iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2022年12月20日，FBI威脅情資交換平臺用戶個資驚傳流入暗網、4至5年前修補的思科產品漏洞出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今日的資安新聞裡，有不少與資料外洩相關，其中最引起注目的應該就屬美國聯邦調查局（FBI）的威脅情資交換平臺InfraGard遭駭的事故，此平臺提供美國企業與該單位公私合作的管道，但這起事故也讓研究人員發現，該平臺仍在使用不甚安全的簡訊驗證碼執行進階身分驗證，而使得駭客有機可乘，取得該平臺的會員帳號，以便進行後續的竊密行動。</p> <p>許多駭客會利用零時差漏洞來發動攻擊，但已修補多年的漏洞仍有可能成為被利用的對象。思科近期更新了近30則資安通告，原因是他們獲報這些漏洞出現被利用的情況，這些公告大多是2017年、2018年發出。</p> <p>Samba最近修補的漏洞也相當值得留意，若不安裝新版軟體，攻擊者就有可能利用相關漏洞來控制受害電腦。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.hackread.com/hacker-halt-sale-fbi-infragard-database/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FBI威脅情資交換平臺InfraGard遭駭，8.7萬成員資料一度流入駭客論壇</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/infragard-hacked-database-sold-online.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infragard-hacked-database-sold-online.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead的報導，<a href="https://www.hackread.com/fbi-infragard-hacked-data-sold/">美國聯邦調查局（FBI）提供的威脅情資交換平臺InfraGard驚傳資料外洩</a>，名為USDoD的人士於12月10日，在駭客論壇BreachedForums以5萬美元的價格，出售逾8.7萬InfraGard成員的個資，號稱包含了這些人士的姓名、電子郵件地址、社群網站的使用者ID，以及歷年的就業記錄。駭客疑似假冒金融組織的執行長申請InfraGard帳號成功，然後滲透此系統。<a href="https://krebsonsecurity.com/2022/12/fbis-vetted-info-sharing-network-infragard-hacked/">資安新聞網站Krebs On Security指出</a>，駭客通過簡訊取得驗證碼而很快取得InfraGard帳號，接著利用API下載該組織的會員資料。</p> <p>駭客於16日改口，表示為了避免惹上麻煩，他們不再出售上述資料，並會將電子郵件信箱的名單交給Have I Been Pwned網站。</p> <h3><a href="https://www.securityweek.com/cisco-warns-many-old-vulnerabilities-being-exploited-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">4至5年前修補的思科產品漏洞出現攻擊行動</span></strong></a></h3> <p>思科於12月15日至17日更新許多已修補漏洞的資安通告，原因是這些漏洞約於今年3月被用於攻擊行動，這些漏洞大多是在2017、2018年登記CVE編號並得到修補。</p> <p>這些漏洞存在於網路管理軟體IOS及IOS XE、無線基地臺、超融合系統平臺HyperFlex HX，以及安全存取控制伺服器（ACS）等。其中，有多個重大漏洞，例如IOS及IOS XE的CVE-2017-12240、CVE-2018-0171，RV132W及RV134W的CVE-2018-0125，HyperFlex HX的CVE-2021-1497，以及ACS的CVE-2018-0147。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/play-ransomware-claims-attack-on-german-hotel-chain-h-hotels/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">德國旅館連鎖集團H-Hotels遭Play勒索軟體攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/play-ransomware-h-hotels.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/play-ransomware-h-hotels.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，Paly勒索軟體聲稱攻擊了德國旅館連鎖集團H-Hotels，並竊得客戶的護照、身分證等文件。<a href="https://www.h-hotels.com/de/presse/cyberangriff-auf-h-hotels-com">H-Hotels則是於12月12日證實他們在11日遭到網路攻擊</a>，他們察覺攻擊跡象後隨即關閉IT系統，並切斷與網際網路的連接，來防止災害擴大，而導致該公司員工無法使用電子郵件與客戶聯繫。H-Hotels否認出現資料外洩情事，鑑識人員也沒有發現相關跡象。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/social-blade-confirms-breach-after-hacker-posts-stolen-user-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">社群網站分析平臺Social Blade證實資料外洩</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/breached(5)-social-blade.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/breached(5)-social-blade.png" style="width: 300px; float: right;" /></a>有人在12月12日，於駭客論壇BreachedForums兜售從社群網站分析平臺Social Blade竊得的資料，賣家聲稱是在今年9月取得，內有560萬筆記錄，包括IP位置、電子郵件信箱、資料庫的結構。</p> <p>對此，該公司表示確有資料外洩情事，並開始通知客戶，並指出駭客竊得電子郵件信箱、密碼雜湊值、使用者ID、Token，但沒有信用卡資料。該公司指出，目前尚未出現Token遭到濫用的情事，此外，第三方Token也會在建立的一個小時後失效。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/restaurant-crm-platform-sevenrooms-confirms-breach-after-data-for-sale/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">餐廳顧客管理平臺SevenRooms證實資料外洩</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/breached-sevenrooms-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/breached-sevenrooms-post.jpg" style="width: 300px; float: right;" /></a>12月15日，有人於駭客論壇BreachedForums聲稱，他們從跨國餐廳顧客管理平臺SevenRooms竊得427 GB資料，內有SevenRooms客戶名單、API金鑰、付款資料，以及使用大型連鎖餐廳名稱命名的資料夾。資安新聞網站Bleeping Computer向SevenRooms確認後得到證實。</p> <p>SevenRooms表示，資料是從外部供應商流出，起因是該供應商的檔案傳輸管道遭到未經授權的存取。SevebRooms表示很可能會影響到經由他們平臺傳輸的檔案，包括了API金鑰交換，以及部分客戶的姓名、電子郵件信箱、電話號碼，但不含信用卡資料、銀行帳戶資料、社會安全碼。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/t-mobile-hacker-gets-10-years-for-25-million-phone-unlock-scheme/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">T-Mobile門市店長入侵電信集團內部系統破解手機牟利，遭判10年監禁</span></strong></a></h3> <p>前T-Mobile門市店長Argishti Khudaverdyan自2014年8月至2019年6月，入侵T-Mobile、Sprint、AT&T等電信業者的內部網路，意圖破解綁定特定電信業者的手機，並於黑市兜售牟利而遭到起訴。最近判決出爐，12月12日美國司法部表示，Argishti Khudaverdyan於今年8月坦承犯行，陪審團裁定14項罪名，他將面臨10年的監禁，並賠償電信業者2,847萬美元的損失。</p> <p>美國司法部指出，Argishti Khudaverdyan藉由網路釣魚攻擊，取得逾50名T-Mobile員工的帳密，入侵該公司內部網路取得解鎖工具，解鎖數十萬臺iOS與安卓裝置，不法所得超過2,500萬美元。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://securityaffairs.co/wordpress/139760/hacking/samba-multiple-flaws.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Samba修補高風險漏洞，若不更新恐導致電腦被駭客控制</span></strong></a></h3> <p>Samba開發團隊於12月15日發布安全性更新4.17.4、4.16.8、4.15.13，目的是修補CVE-2022-38023、CVE-2022-37966、CVE-2022-37967、CVE-2022-45141等多項漏洞，這些漏洞讓攻擊者有機會控制受害者的電腦。</p> <p>上述的漏洞CVSS風險層級皆為高風險等級，除CVE-2022-37967為7.2分，其他都達到了8.1分。其中，CVE-2022-38023、CVE-2022-37966、CVE-2022-37967與網路通訊協定Kerberos有關，2022-45141則是存在於Samba Active Directory網域控制器。</p> <h3><a href="https://siliconangle.com/2022/12/19/api-vulnerabilities-wordle-exposed-answers-opened-door-potential-hacking/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">熱門猜字遊戲網站Wordle存在API漏洞</span></strong></a></h3> <p>資安業者Noname Security揭露紐約時報買下的猜字遊戲網站Wordle漏洞，研究人員透過Chrome瀏覽器的開發人員工具，從該網站使用的JSON格式API裡找到每一天的答案，雖然這樣的情況看似沒有什麼危害，但該資安業者表示，攻擊者有機會透過相同的漏洞，進一步竄改網站API提供的內容。該公司已向紐約時報進行通報，並認為該新聞媒體可能需要調整此網站的設計來緩解漏洞。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://blog.cyble.com/2022/12/16/sophisticated-darktortilla-malware-spreading-via-phishing-sites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">釣魚網站假冒思科及Grammarly的名義散布惡意軟體DarkTortilla</span></span></strong></a></p> <p><a href="https://cert.gov.ua/article/3349703"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭軍事情報系統Delta遭到竊密軟體攻擊</span></span></strong></a></p> <p><a href="https://blog.reversinglabs.com/blog/sentinelsneak-malicious-pypi-module-poses-as-security-sdk"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件假冒資安公司名義，竊取開發者電腦資料</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2022/12/19/gatekeepers-achilles-heel-unearthing-a-macos-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露macOS漏洞Achilles，能繞過應用程式檢測機制Gatekeeper</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154782"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範中間人攻擊，Let's Encrypt在ACME-CAA支援帳戶綁定和驗證方法綁定</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154780">【2022年12月19日】連網裝置成MCCrash殭屍網路病毒入侵的目標、駭客鎖定食品業者發動BEC攻擊</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154770">【2022年12月16日】向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154727">【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</a></strong></strong></strong></p> </div></div></div>
2022/12/20 17:39作者周峻佑https://www.ithome.com.tw/news/154799
Meta繼續重壓Reality Labs部門，未來發展重點鎖定混合實境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管Meta Reality Labs部門每季虧損持續擴大，全力投資元宇宙技術，使Meta的2022年過得比預期還要困難，甚至連股東都要Meta縮減元宇宙開發成本，但是在<a href="https://tech.facebook.com/reality-labs/2022/12/boz-look-back-2023-look-ahead/">Meta技術長，同時也是Reality Labs負責人的Andrew Bosworth，在最新的部落格貼文中透露</a>，Meta將堅持元宇宙發展，繼續大規模投資Reality Labs部門押寶混合實境。</p> <p>Meta於10月的時候，發布在臺灣要價1,649.99美元的高階混合實境裝置Quest Pro，官方提到，該裝置有兩項重要性，第一，混合實境裝置是實現全增強實境的關鍵，第二，其所採用的眼部和臉部追蹤技術，是增強實境裝置技術堆疊的重要部分。</p> <p>混合實境不只是在頭戴裝置中顯示周圍環境的即時影像，Andrew Bosworth細數發展混合實境所需要開發的新技術，包括裝置需要將四周理解為3D空間，辨識周圍表面和物體，以及與虛擬物件互動的方法，也要發展空間錨點（Spatial Anchors）等技術，使虛擬物體能夠占據物理世界的固定空間，還有用於虛擬重建物理空間的場景理解技術。而要讓使用者透過頭戴裝置，感受更真實舒服的物理世界，還需要發展立體色彩直通技術。</p> <p>Andrew Bosworth認為，隨著時間的發展，混合實境裝置成為筆電和桌機的替代品，能夠模擬家用電腦裝置，並且可放在背包中在任何地方使用。Meta在2023年，還將公開更多眼睛和臉部追蹤技術的應用，包括發展替身系統，讓人們在虛擬世界，能夠以更接近真實世界的臉部表情，改進溝通表達的品質。</p> <p>Andrew Bosworth表示，增強實境頭戴裝置還需要多年發展成熟，使裝置足夠輕巧，運算能力更強大，同時需要消耗更少的電量，並且產生更少的熱量，而當裝置足夠智慧，將能夠僅在用戶注視的小區域，繪製高解析度圖形，而這將會帶來重大的效率提升。目前Quest Pro已經搭載眼動追蹤技術，接下來幾年，相關技術將會持續發展並被擴大應用。</p> <p>在虛擬實境裝置的視覺呈現，Meta也花費了大量的研發資源，Andrew Bosworth談到，這些顯示技術超過目前電腦、電視和手機螢幕所用，除了顯示解析度之外，系統解析度、銳利度、對比和顏色範圍都扮演重要的部分，光學堆疊更是如此，從透鏡、塗層和鍍膜都是學問，他們相信這些投資在未來將相繼取得回報。</p> <p>Andrew Bosworth認為，虛擬實境發展正處在特殊的時刻，新的硬體和技術堆疊基礎在今年首次進入市場，開發者和創作社群，他相信2023年這些發展只會更好，同時也會有新裝置發表。Meta接下來還會繼續投資混合實境技術，就像是第三季財報所顯示的，總投資的80％會用於支援核心業務，而剩下的20％將會用在Reality Labs，並且有一半的Reality Labs營運經費，會用於增強實境計畫。</p> </div></div></div>
2022/12/20 16:43作者李建興https://www.ithome.com.tw/news/154797
微軟運用量子技術促進計算化學發展，加速化學反應模擬30倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟、蘇黎世聯邦理工學院和西北太平洋國家實驗室<a href="https://cloudblogs.microsoft.com/quantum/2022/12/12/accelerating-innovation-in-computational-chemistry/">研究人員共同合作</a>，發展新的AutoRXN自動化工作流程，加速量子化學和材料科學研發，該研究團隊最佳化模擬程式碼，將其搬上雲端結合量子運算，將模擬催化化學反應加速30倍，同時降低10倍成本。</p> <p>研究人員提到，預測化學合成和催化的過程，是化學領域的重要工作，也是目前急需解決的挑戰之一。化學反應發生在非常複雜的化學空間當中，只靠實驗室做實驗，幾乎無法確定化學反應的機制，而電腦模擬提供了一條替代途徑，能夠使科學家更了解反應機制。</p> <p>不過過去科學家在電腦模擬中，也只能考慮一些關鍵的反應途徑，畢竟反應建模需要一些直覺和手動試錯，要全面深入考慮反應，納入所有可能的面向，建模系統的準確模擬將變得棘手，而微軟Azure量子團隊便嘗試使用可擴展量子運算服務，以量子運算從原子層級解釋物質的性質和行為。</p> <p>而微軟新開發的AutoRXN自動化工作流程，將能夠將讓科學家在雲端中，使用高效能運算模擬並探索化學反應。藉由AutoRXN，科學家可以將探索的化學反應途徑，從一次數十個配置擴展到數千個，而AutoRXN調度的主要核心，來自蘇黎世聯邦理工學院的化學網路探索軟體Chemoton，微軟透過現代化該軟體，結合當今雲端技術，使其成為雲端原生服務，工作流程中所使用的元件，皆具備自動化、穩定，且極簡操作員的干預。</p> <p>這項合作成果已經被應用到學術研究中，研究氫化催化劑的機制，微軟提到，AutoRXN工作流程執行大量相對便宜的量子化學計算，並自動改進來自昂貴計算的結果，還能自動收集和評估資料。使得科學家能夠以過去無法達到的速度，調度高準確的計算化學運算，完成高通量任務。</p> <p>AutoRXN自動化工作流程開闢了一條建模和理解化學反應的新途徑，從中發現和研究許多副反應，使科學家能夠了解催化劑的真實效能。透過使用AutoRXN，科學家已經確定了500多個反應和2,000多個基本步驟，揭開鐵複合物催化不對稱氫化反應的全貌，而該研究已經遠遠超出當今傳統手動反應建模的範圍，捕捉到許多過去無法注意到的副反應和催化劑降解。</p> </div></div></div>
2022/12/20 15:22作者李建興https://www.ithome.com.tw/news/154796
HoloLens 2完全整合Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/innovation-stories/hololens-2-industrial-metaverse/" target="_blank">微軟周一宣布為HoloLens 2提供新升級</a>，使HoloLens 2可完全整合Microsoft Teams。微軟高層也暗示將有第三代HoloLens。</p> <p>HoloLens原本就可整合Teams，用戶可戴這個混合實境裝置和其他人進行視訊會議。最新升級後，HoloLens 2將可以使用Teams完整功能，包括直接撥打電話、瀏覽與加入Teams聯絡人資料通話、開啟文件或Power BI儀表板，或是檢視行事曆及加入群組會議等。用戶也可以看到其他人在會議中分享的內容。而即時共享螢幕則可以透過全息影像展示，可移動和調整大小。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-Dynamics%20365%20Guides-Teams%20users%20share%20their%20screens%20as%20holograms-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟另外也宣布HoloLens可整合微軟二項應用，包括<a href="https://learn.microsoft.com/zh-tw/dynamics365/mixed-reality/guides/hololens-app-install-sign-in" target="_blank">Dynamics 365 Guides</a>及新的Dynamics 365 Remote Assist App，允許HoloLens 2用戶可接收遠端人員的技術指導，像是技術支援中心協助解決外場問題，或是遠端醫師指導救護車急救員、或是工廠作業員的工作訓練等。<a href="https://learn.microsoft.com/zh-tw/dynamics365/mixed-reality/remote-assist/teams-pc-all" target="_blank">根據微軟的說明</a>，若Remote Assist App互動的對方也使用HoloLens，則HoloLens 2版用戶可以做各種事，包括加入會議、一對一或群組通話、從OneDrive或裝置上共用檔案、分享螢幕及通話錄製等。</p> <p class="rtecenter"><img alt="" src="https://dynamics365cdn.azureedge.net/cvt-cf47cd44c2d798e68a24230e5dd194c0ba3e94582c8809375cff1b8bf6ecc0ea/pictures/pages/mixed-reality/guides/top_feature_image1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p><a href="https://www.ithome.com.tw/news/151356" target="_blank">這是微軟HoloLens今年6月改組的結果</a>。這次改組把HoloLens的硬體併入Windows，而混合實境臨場與協同部門則整合進Teams部門。</p> <p>HoloLens自第二代後已定位為企業應用硬體，用於製造業、教育、醫療、製藥、建築業等。微軟HoloLens 2公布的用戶包括在日本汽車大廠豐田（Toyota）全公司，如實驗室、現場工作人員及IT部門，以及美國陸軍運用HoloLens改裝的頭盔用於夜間作戰或訓練。</p> <p>微軟MR部門副總裁Scott Evans並暗示會有HoloLens 3，持續推進所有核心技術，包括顯示器、追蹤、感測器、電池續航力等。他說微軟正在尋找最適當的設計點，以推出有意義的更新版。</p> </div></div></div>
2022/12/20 11:49作者林妍溱https://www.ithome.com.tw/news/154794
用戶投票贊成馬斯克辭去推特CEO一職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近6成推特用戶贊成馬斯克（Elon Musk）辭去推特公司老闆一職。</p> <p><a href="https://twitter.com/elonmusk/status/1604617643973124097" target="_blank">馬斯克周一（12/19）早上透過自有帳號請推特用戶表決</a>，他是否該辭去推特最高主管，馬斯克說他將遵從表決結果。結果顯示，在投票的1,750萬人當中，57.5%的人說Yes，42.5%說No。</p> <p>這位科技首富自10月底接掌推特後，種種率性決策包括改革現有Twitter Blue、大舉裁員、封鎖追蹤其私人飛機的帳號，而後又將批評者的帳號封鎖等，造成公司內部大亂，並讓廣告主質疑推特將成言論無政府狀態而暫停合作。</p> <p>上周推特終於恢復推出Twitter Blue，並將iOS版價格由8美元上調為11美元。<a href="https://www.theverge.com/2022/12/17/23513620/elon-musk-suspended-journalists-twitter-reinstated-elonjet" target="_blank">此外也恢復</a>批評其限制言論自由的《紐約時報》、CNN、NBC及The Intercept記者帳號。<a href="https://twitter.com/elonmusk/status/1604616863673208832" target="_blank">馬斯克昨日也為兩個月來任意的政策變動道歉</a>，表示未來主要政策變更都會經過用戶表決。</p> <p>馬斯克即使真的辭去公司執行長一職，仍將是推特的持有人。</p> </div></div></div>
2022/12/20 09:43作者林妍溱https://www.ithome.com.tw/news/154784
Google開放大型企業及教育用戶測試Gmail用戶端加密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://workspaceupdates.googleblog.com/2022/12/client-side-encryption-for-gmail-beta.html" target="_blank">Google宣布</a>，擴大測試Web版Gmail用戶端（client-side encryption，CSE）加密，將開放企業及教育版授權用戶試用一個月期間，不過個人版並沒這項福利。</p> <p>Workspace Enterprise Plus、Education Plus、Education Standard客戶<a href="https://support.google.com/a?p=cse_gmail" target="_blank">可在2023年1月20日前申請測試這項功能</a>。Gmail使用用戶端加密可確保郵件主體和附件無法從Google伺服器解讀，用戶可保管加密金鑰，以及存取這些金鑰的身分服務。</p> <p>Google表示，Workspace已經使用最新的加密標準加密所有靜止，以及在Google設施之間傳輸的資料，用戶端加密則能強化用戶資料機密性，解決各種資料主權和法規遵循的需求。</p> <p>在Web版Gmail之外，用戶端加密可用於Web、桌機及行動版Google Drive、Google Docs、Sheets、Slides、Web版Google Meet和Google行事曆（beta版）。Google預告，行動版Meet及會議室硬體之後也會加入用戶端加密，而Google行事曆下個正式版本也將支援。</p> <p>在管理員端，這項功能為預設關閉，用戶可在管理員控制臺開啟（控制臺>安全>存取與資料控制）啟動。他可選擇從網域、組織單位（OU）、或群組層開啟，最後再申請beta版測試。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg7Pm2RnLsG6qrZ227WXq3UhJPHv7aGEVwx0j0e1OSvmhuNGxxvpnwzwk_uC71ZA70TyXKiDtfZWuJzNU5KgHcd-KV-ik7nwYzF9jJ2-01gkJBRIwosAPyk8d6W4I19y6g-TL0gSWo9_gL0b44b-SYU4q2Y3MDtyXS2yh6kcGNjACIDS2px9PmKWfJz/s16000/1.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>用戶端方面，使用者可點入Gmail收信者欄位右方的鎖頭圖示，選擇額外加密來加入用戶端加密功能，之後即可照常撰寫訊息及加入附件。</p> <p>這項功能僅提供大型企業和部分教育授權單位使用，不提供Google Workspace Essentials、Business Starter、Business Standard、Business Plus、Enterprise Essentials、Education Fundamentals、Frontline、非營利機構或舊版G Suite Basic和Business用戶，以及個人版Google帳號使用。</p> </div></div></div>
2022/12/20 09:52作者林妍溱https://www.ithome.com.tw/news/154785
Let's Encrypt在ACME-CAA支援帳戶綁定和驗證方法綁定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://community.letsencrypt.org/t/enabling-acme-caa-account-and-method-binding/189588/1">Let's Encrypt宣布</a>在產品環境啟用ACME-CAA（Certification Authority Authorization）帳戶綁定和驗證方法綁定，這是由IETF RFC 8657標準規範的功能，該規範在2019年發布，Let's Encrypt現在正式於產品環境支援。</p> <p>CAA功能允許ACME客戶端使用指定的DNS紀錄，以限制網域能夠接受的憑證頒發機構，而新加入的帳戶綁定和驗證方法綁定，則是對CAA的擴充。帳戶綁定使Let's Encrypt訂戶能夠限制頒發憑證所使用的ACME帳戶，而驗證方法綁定則是讓用戶能夠限制網域控制驗證方法集。</p> <p>RFC 8657規範作者Hugo Landau，在<a href="https://www.devever.net/~hl/acme-caa-live">部落格</a>講解了Let's Encrypt ACME-CAA的細節以及重要性，還有帳戶綁定和驗證方法綁定的使用。</p> <p>SSL憑證當初的設計，就是為了消除瀏覽器和網站之間的中間人攻擊，所以憑證頒發機構在請求網站的SSL憑證時，憑證頒發機構就必須進一步採取措施，來驗證網站是該網域的合法擁有者。憑證頒發機構基本上採取根據驗證的等級收費的模型，而最便宜的便是網域驗證（Domain Validation，DV）憑證，該服務在Let's Encrypt則是免費提供。</p> <p>而網域驗證的運作方式，會由憑證頒發機構要求用戶在其網域中，託管隨機盤問（Challenge）字串，當網域能夠成功託管該盤問字串，則代表用戶已經控制該網域，將被視為該網域的合法營運者。不過，因為用戶是為了要拿到憑證才進行網域驗證，因此在進行網域驗證時，尚未拿到憑證，也就是說這個過程容易遭到中間人攻擊。</p> <p>而憑證透明度（Certificate Transparency，CT）日誌，是過去用來減輕網域驗證中間人攻擊的方法，CT日誌是一個加密安全，可受公開稽核的分類帳，憑證頒發機構所頒發的憑證都會記錄在這個憑證透明度日誌中，所以當憑證頒發機構錯誤頒發憑證，則任何人都可以看到，也使得瀏覽器和憑證頒發機構產業能夠進一步採取防範措施，Hugo Landau表示，這種機制限制了中間人攻擊的發生，實際上中間人攻擊很少見，由此也證明了這種機制的效果。</p> <p>但不可否認的是，憑證頒發機構的網域驗證過程，仍然容易遭受中間人攻擊，Hugo Landau說明，當攻擊者在憑證頒發機構驗證路徑上，憑證頒發機構的網域驗證模型就可能遭到破壞，攻擊者能夠簡單地獲得用戶網站憑證，鎖定高價值資料中心發動攻擊。</p> <p>而ACME-CAA則在這種狀況下便可發揮作用，其提供憑證頒發機構重要的功能強化，填補網域驗證漏洞，避免中間人攻擊。CAA是一個簡單的概念，其實就是網域根目錄中的DNS紀錄，說明哪些憑證頒發機構可以為該網域頒發明證。</p> <p>Hugo Landau進一步解釋，大多數網域只會從一個頒發憑證機構獲取憑證，但是攻擊者卻會去尋找全球最弱或是最容易操縱的憑證頒發機構，因此只要透過限制能夠頒發憑證的頒發憑證機構，就能夠消除域名驗證漏洞。</p> <p>Let's Encrypt在ACME-CAA更新的兩項功能，可讓用戶在其CAA紀錄accounturi參數中，指定帳戶唯一URL，將憑證頒發綁定至特定ACME帳戶，另外，用戶也能夠在CAA紀錄中，加入validationmethods參數，進而限制網域控制驗證方法集。</p> <p>Let's Encrypt提到，他們已經支援CAA多年，而這也是所有的憑證頒發機構的最低要求，帳戶綁定和驗證方法綁定則已經測試超過一年，現在正式更新到產品環境中，他們預計應該不會出現任何故障，如果用戶遭遇到問題，可以先仔細檢查CAA紀錄。</p> </div></div></div>
2022/12/19 23:31作者李建興https://www.ithome.com.tw/news/154782
英特爾釋出2023版oneAPI多處理器軟體開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年末，英特爾（Intel）針對不同的處理器架構，釋出<a href="https://www.intc.com/news-events/press-releases/detail/1594/new-intel-oneapi-2023-tools-maximize-value-of-upcoming">2023版本的oneAPI開發工具</a>，新版oneAPI支援第四代Intel Xeon Scalable處理器、Xeon CPU Max系列處理器和Data Center GPU等產品，官方提到，新oneAPI不只獲得效能和生產力提升，也增加對新Codeplay套件的支援，開發人員可以更簡單地針對非英特爾GPU架構編寫SYCL程式。</p> <p>官方提到，因為有48％的開發者需要針對不同處理器的異構系統開發應用程式，因此需要更高效的多基礎架構程式開發，來滿足工作負載範圍和規模不斷擴大的需求。oneAPI提供開放且一致的程式開發模型，讓開發者針對各種CPU和加速器，擁有效能、生產力和程式碼可移植性的自由選擇靈活性。</p> <p>oneAPI內含完整的英特爾2023開發人員工具，包括整套最新的編譯器、函式庫，還有分析和移植工具，也有最佳化人工智慧和機器學習的框架，可建構運作於CPU、GPU和FPGA多架構系統上的高效能應用程式。因為oneAPI提供標準工具，開發者能夠建構單一程式碼庫，快速實作應用程式並達成效能目標，進而更專注於程式邏輯開發。</p> <p>新的oneAPI可讓開發者使用英特爾硬體進階功能，除了Xeon Scalable處理器、Xeon CPU Max的AMX、QAT、AVX-512和bfloat16等功能，也提供英特爾Data Center GPU資料型別彈性、向量引擎與矩陣擴充等功能。</p> <p>oneAPI DPC++/C++編譯器增加了適用於Nvidia和AMD GPU的Codeplay軟體新套件，簡化編寫SYCL程式碼任務，並且使這些程式碼更簡單地在不同的處理器架構之間移植，官方表示，這對跨平臺開發提供了一個整合工具的統一建置環境。英特爾和Codeplay會從適用於Nvidia GPU的oneAPI套件提供商業優先支援。</p> <p>而且由於開源專案SYCLomatic DPC++相容性工具，添加了100多個 CUDA API，因此開發者現在也更容易將CUDA程式碼移植到SYCL。</p> </div></div></div>
2022/12/19 23:38作者李建興https://www.ithome.com.tw/news/154783
高效能全端網頁應用程式框架SvelteKit達1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經兩年的開發，全端網頁應用程式框架<a href="https://svelte.dev/blog/announcing-sveltekit-1.0">SvelteKit終於達到1.0版本</a>，這代表開發者已經可以將SvelteKit用於開發產品應用程式。SvelteKit提供有別於傳統框架的開發靈活性，並且可以被部署到包括無伺服器服務等任何JavaScript環境。</p> <p>SvelteKit建構在<a href="https://svelte.dev/">Svelte</a>之上，而Svelte是一個近年新興的熱門UI元件框架，能夠將來源編譯成為最小，且具高度最佳化的JavaScript，提供開發者一種有別於傳統的方式，來建構網頁應用程式，與React和Vue等這類框架不一樣的是，React和Vue框架會在使用者的瀏覽器，執行需要處理的工作，而Svelte則是將這些工作帶到編譯階段處理，如此便能夠在建置應用程式的時候，生成經高度最佳化的JavaScript應用程式。</p> <p>使用Svelte元件框架，雖然讓開發者能夠更簡單地直接建構用戶介面，但是需要解決的問題也更多，包括開發者要學習建構原始碼、添加伺服器渲染，甚至是處理資料的方法等，而應用程式框架SvelteKit的目的，便是要解決這些問題，滿足Svelte開發者建置生產應用程式的需求。</p> <p>SvelteKit與傳統多頁面應用程式架構不同，在初始伺服器渲染頁面載入後，預設替客戶端導覽，而這將可以實現更快的頁面轉換，以及在頁面間保存狀態，並且使用更少的資料，而且也避免在每次頁面載入時，重新執行第三方腳本。</p> <p>傳統的伺服器框架便需要一個程式生成HTML，另一個在客戶端運作，在SvelteKit中，開發者可以只使用一種語言進行開發，而不是使用兩個語言，開發緊密結合的應用程式，。SvelteKit能夠在任何JavaScript環境運作，因此開發者可以將應用程式部署到傳統的節點伺服器，或是使用無伺服器服務，在邊緣執行。</p> <p>SvelteKit也與靜態網站生成器不同，用戶可以使用個人化或是動態資料建置應用程式，不用等到頁面載入後，才透過瀏覽器獲取資料，因此不會影響效能，或是使布局產生變化。</p> <p>SvelteKit也使得開發者能夠更零活地建構應用程式，官方提到，許多框架都預設一種正確建構應用程式的方法，而無論是靜態或是伺服器端渲染的選擇，在SvelteKit都沒有絕對，用戶可以根據需要，綜合選擇要使用的方法，像是在用戶查看的頁面使用預渲染的方式呈現，而REPL則是以動態資料渲染。</p> <p>SvelteKit使用高效能建構工具Vite，支援熱模組重新載入和各種TypeScript相依項目，開發者可以從Vite和Rollup生態系中安裝套件。在開發者創建SvelteKit專案時，就能夠選擇將TypeScript、ESLint、Prettier、Playwright和Vitest等工具添加到專案中，還能夠使用NPM套件。</p> <p>要使用SvelteKit CLI，開發者需要在本地安裝Node.js，但框架本身不相依於任何平臺，應用程式可以被安裝至任何執行JavaScript的環境。</p> </div></div></div>
2022/12/19 21:41作者李建興https://www.ithome.com.tw/news/154781
【資安日報】2022年12月19日，連網裝置成MCCrash殭屍網路病毒入侵的目標、駭客鎖定食品業者發動BEC攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路病毒用來散播的管道出現變化！研究人員揭露殭屍網路病毒MCCrash近期的攻擊行動，比較特別的是，駭客先是針對Windows電腦而來，一旦成功入侵之後便會掃描網路上的Linux物聯網裝置，進行橫向感染。</p> <p>商業郵件詐騙（BEC）也出現新的攻擊手法！美國FBI、FDA聯手提出警告，駭客看上近期食品不斷漲價的現象，先假冒知名食品業者的高階主管向下游廠商訂貨，然後再把這些食品拿去轉賣。</p> <p>有研究人員發現Akamai的應用程式防火牆（WAF）能被繞過，其原理是針對其中含有漏洞的Spring Boot元件發動攻擊。對此Akamai表示已經修補，管理者應儘量使用最新版本。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.microsoft.com/en-us/security/blog/2022/12/15/mccrash-cross-platform-ddos-botnet-targets-private-minecraft-servers/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路軟體MCCrash以不同方式滲透與綁架Windows、Linux電腦與物聯網設備，隨後將這些裝置用於DDoS攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-4-the-ddos-botnet-attack-flow-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-4-the-ddos-botnet-attack-flow-1.png" style="width: 300px; float: right;" /></a>微軟揭露名為MCCrash的殭屍網路病毒，駭客組織Dev-1028鎖定Windows電腦、Linux電腦，以及物聯網設備散布該惡意程式，他們先針對Windows電腦發動攻擊，成功入侵之後，此殭屍網路病毒還會透過SSH連線與暴力破解的方式，在網路上進行擴散。研究人員看到大部分感染MCCrash的電腦位於俄羅斯，但墨西哥、義大利、印度、哈蕯克、新加坡也有災情。</p> <p>而對於這款殭屍網路病毒的入侵手段，研究人員指出，駭客以Windows及Office的破解工具為誘餌，使用者一旦執行，就會在執行PowerShell命令下載惡意版本svchost.exe，但駭客並非只有針對Windows電腦，而是藉由上述惡意檔案執行malicious.py，在網路上掃描開放SSH連線的Linux主機與物聯網裝置，來進行橫向感染。</p> <p>根據對殭屍網路病毒進行分析，MCCrash主要攻擊目標，是對Minecraft私人伺服器發動DDoS攻擊，但與許多殭屍網路病毒不同的是，駭客還能透過特定的使用者名稱進行存取，使得目標伺服器耗盡資源而癱瘓。</p> <h3><a href="https://www.ic3.gov/Media/News/2022/221216.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國食品業者成為駭客發動BEC攻擊的目標</span></strong></a></h3> <p>12月15日美國聯邦調查局（FBI）、食品藥物管理局（FDA）聯手提出警告，當地食品業者成為商業郵件詐騙（BEC）駭客的新目標，已有多家廠商損失數十萬美元。但有別於一般BEC的目標是金錢，這波攻擊駭客針對食品而來──他們藉由捏造幾可亂真的網域，來冒充合法公司向食品業者訂購食物，然後再將其轉售。</p> <p>FBI與FDA接獲的攻擊事件通報最早發生在今年2月，後續在8月的一起事故中，駭客佯稱跨國零食及飲料公司的財務長（但電子郵件信箱的網域多了1個字母），向經銷商打購2臺卡車的奶粉，等到業者察覺上當，為時已晚，經銷商已為此向上游廠商支付16萬美元。</p> <p>對此，資安業者Vulcan Cyber的研究人員表示，這種攻擊手法較一般BEC複雜，有機會逃過資安系統偵測。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/colombian-energy-supplier-epm-hit-by-blackcat-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哥倫比亞能源供應商EPM遭到勒索軟體BlackCat攻擊</span></strong></a></h3> <p>12月13日，位於南美洲國家哥倫比亞的能源供應商EPM，突然傳出要求員工全數在家上班的消息，原因是他們的IT基礎設施故障，公司網站也無法存取。該公司向當地媒體透露，他們遭遇網路攻擊事件，正在尋求供客戶付款的替代方案。當地檢查官展開調查，並指出EPM是遭到勒索軟體攻擊，駭客竊得高達15 TB的資料。該公司傳出打算拿出50億美元來因應此起事故。</p> <p>資安新聞網站Bleeping Computer指出，勒索軟體駭客組織BlackCat宣稱是他們所為，該新聞網站亦看到用於攻擊EPM的勒索軟體檔案與勒索訊息。資安人員Germán Fernández發現，駭客利用竊密程式ExMatter從該公司竊得逾40臺電腦資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://h1pmnh.github.io/post/writeup_spring_el_waf_bypass/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">執行Spring Boot的Akamai應用程式防火牆恐被繞過，遠端執行任意程式碼</span></strong></a></h3> <p>漏洞懸賞獵人Peter H揭露Akamai應用程式防火牆（WAF）的漏洞，一旦遭到利用，駭客可藉由Spring表達式語言（Spring Expression Language，SpEL）注入攻擊，針對存在漏洞的Spring Boot元件下手，進而有機會繞過WAF的防護。對此，Akamai表示他們已於今年7月25日發布相關修補程式，執行最新版本的WAF將不受影響。</p> <h3><a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">二手樂高市集網站API存在漏洞，恐讓駭客挾持帳號</span></strong></a></h3> <p>API資安業者Salt Security揭露樂高旗下二手市集bricklink.com的API漏洞，一旦遭到利用，攻擊者就有可能取得用戶帳號的完整控制權，並能洩漏個資等敏感資料，同時，駭客甚至可以存取內部資料，進而入侵該公司的內部伺服器。其中一個漏洞位於使用者輸入欄位——在搜尋優惠券的部分對話框，存在跨網站指令碼（XSS）漏洞，而使得攻擊者有機會於使用者的電腦注入程式碼；第二個漏洞存在於許願清單，攻擊者可用於XML外部實體攻擊（XEE）伺服器端偽造請求（SSRF）攻擊。樂高獲報後已修補上述漏洞，但尚未公開說明細節。</p> <h3> </h3> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/154769" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國聯邦政府將於2031年停用SHA-1演算法</span></strong></a></h3> <p>美國國家標準暨技術研究院（NIST）於12月15日表示，隨著電腦運算能力變得強大．自1993年美國聯邦政府廣泛採用的SHA-1演算法安全性已不敷使用，攻擊者可對其進行碰撞攻擊（Collision Attack）破解，美國政府將於2030年12月31日前逐步淘汰此演算法，並改用較為安全的SHA-2和SHA-3。NIST預計將頒布FIPS 180-5來修正相關規範，</p> <h3><a href="https://www.ithome.com.tw/news/154767" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub為公開儲存庫提供秘密掃描功能</span></strong></a></h3> <p>GitHub於12月15日宣布，為防範開發人員不慎經由程式碼洩露各式應用系統的帳密資料，他們原先與服務供應商合作，針對超過200種Token格式進行調查，結果發現有逾170萬個曝露的帳號密碼，現在這套檢測工具將對全部用戶開放，預計2023年1月底所有的使用者都可以操作相關功能。</p> <p>此外，該公司也一併推出進階安全工具，要求更多使用者須啟用雙因素驗證（2FA）身分驗證機制，提醒使用者若置之不理，將有可能無法存取GitHub帳號。</p> <h3><a href="https://about.fb.com/news/2022/12/metas-bug-bounty-program-2022/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臉書祭出30萬美元RCE漏洞抓漏獎金</span></strong></a></h3> <p>Meta旗下臉書部門於12月15日宣布更新漏洞獎勵計畫指引，現在該公司將重點放在行動裝置的遠端任意程式碼執行（mobile RCE）、帳號接管（ATO）、雙因素驗證（2FA）繞過，以及VR產品的漏洞，其中，行動裝置的RCE漏洞獎金最高達到30萬美元，ATO也有約13萬美元。臉書表示，這份指引是說明他們審核獎勵的條件與金額上限，該公司所有的漏洞通報都是以個案的方式進行審核，實際上，通報者有機會獲得超過原定上限的獎金。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.welivesecurity.com/2022/12/14/unmasking-mirrorface-operation-liberalface-targeting-japanese-political-entities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本政治團體遭到駭客MirrorFace鎖定，在眾議院選舉前進行網釣攻擊</span></span></strong></a></p> <p><a href="https://www.vicone.com/en/reports/2022-automotive-cybersecurity-report"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電動車資安日益嚴重，供應鏈成駭客首要的攻擊目標</span></span></strong></a></p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/cyber-signals-1/the-convergence-of-it-and-ot/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">75%常見的工業控制器尚未修補已知的高風險漏洞</span></span></strong></a></p> <p><a href="https://www.nozominetworks.com/blog/tracking-malicious-glupteba-activity-through-the-blockchain/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Glupteba濫用區塊鏈發動攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-introduces-end-to-end-encryption-for-gmail-on-the-web/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google為網頁版Gmail提供端對端加密功能</span></span></strong></a></p> <p><a href="https://www.cna.com.tw/news/afe/202212160289.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化公部門資安，數發部長唐鳳預告A級機關將於1年內導入零信任機制</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154770">【2022年12月16日】向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154727">【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/19 15:47作者周峻佑https://www.ithome.com.tw/news/154780
如何吸引更多年輕世代參與公民科技，零時道要用Web 3 DAO模式完善零時政府獎勵機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「年輕一代似乎未能像過去那樣，對發起及參與g0v公民行動感到共鳴。」這是公民科技社群零時政府（g0v）的旗下專案零時道（da0）召集人葉向林的觀察。他認為，這個困境起因是公民科技專案難以吸引足夠人才及資源，來持續推動專案開發、維運、甚至擴張。</p> <p>da0的名字來自DAO（Decentralized Autonomous Organization, 去中心化自治組織），一種Web 3崛起後出現的組織形式，強調去中心化，用公約作為管理機制。公約的詳細規則和交易記錄通常儲存在不可竄改的公開區塊鏈上。由於沒有中央權力，只要認同組織目標就能自主加入組織，並參與組織共同決策及工作項目。</p> <p>成立長達10年的g0v，早在DAO成為熱門名詞前，就已經在用去中心化的模式運作：有想要開發的專案，就到g0v社群中提案、尋找協作夥伴，成為自己專案的負責人，不用向任何上級匯報。</p> <p>g0v與常見DAO的決定性差異是，g0v沒有獎勵機制，作為參與這些專案的誘因。為了鼓勵成員積極貢獻，DAO通常會發布某種Web 3代幣作為獎勵。這些獎勵代幣會代表組織成員的投票權力和組織內聲望，甚至具實際經濟價值。</p> <p>葉向林觀察，由於缺乏參與誘因，許多g0v專案的負責人找不到貢獻者來推動專案前進，也很難尋得資源來維持或擴大專案運行。這也是da0專案創立的動機：用Web 3工具及DAO的治理機制為藍本，來設計g0v獎勵機制，鼓勵更多人能積極且持續參與公民行動，甚至用這些獎勵作為向外界爭取資源的依據。</p> <p><strong>依事後影響力分配獎勵，提供誘因同時鼓勵良性競爭</strong></p> <p>「公共項目很難與私人企業比拼薪水，但是聲譽與信任，也可以是激勵人的動力。」以此概念出發，葉向林提出2種相輔相成的Web 3代幣作為獎勵品：靈魂綁定代幣（SBT，Soul Bond Tokens）及影響力證明（Hypercert）。</p> <p>靈魂綁定代幣是一種虛擬資產，一旦收到便無法交易到其他地址，這意味著一個人持有的SBT一定都是靠自己獲得的。這些SBT的數量和種類，可以作為貢獻度和地位的象徵。da0未來也將賦予這些SBT更多具體功能，例如作為空投其它獎勵的依據、對外發言權依據、對內投票權比重、資源分配加權，以及活動或商品的取得資格等。</p> <p>影響力證明則是一種可轉移、可買賣的代幣，旨在對外證明專案或貢獻者所發揮的實際影響力，以爭取外部資源挹注。若Hypercert能作為社會貢獻度的證明，發展成類似於碳權或捐款抵稅的功能，讓外界投資者來購買，未來貢獻者就能藉由販賣Hypercert，來獲取實際經濟利益。</p> <p>葉向林舉例說明這種商業模式的可能性。曾有個公益組織在俄烏戰爭爆發時，由於情況緊急，來不及募資就先發放了救助品。有趣的是，後來該組織還是獲得了大量「回溯型」（Retroactive）捐款。他認為，捐款者買單的是已發生、已證實的影響力。Hypercert就是預期這種市場出現，而發行的一種代幣。</p> <p>機制上，da0也擁抱這種回溯型獎勵的精神，依照專案實際影響力來決定獎勵量。初期想法是，da0根據每一梯次參與的專案數量來決定總發行代幣後，由每個專案負責人互評專案實際影響力，來決定各自專案能分配到的代幣比例。發放給代幣各專案後，貢獻者再依照各自專案的內部分配機制來領取獎勵。</p> <p>葉向林解釋，依照事後影響力互評來分配專案獎勵，能鼓勵各專案間的良性競爭，進而提升所有專案的總社會影響力。對貢獻者來說，他們會選擇有可能產生高影響力，且自己最能做出貢獻的專案參加，來分配到更多獎勵；對專案負責人來說，則必須設計出高影響力的提案與合理的獎勵分配機制，並有效管理、執行專案，來吸引更有能力、更適合的貢獻者。理想中，這樣的獎勵機制能形成正向循環，不僅有望吸引更多人才和資源注入g0v公民科技專案，也能提升g0v整體社會貢獻。不過，他也強調，只有獎勵本身吸引人，這套機制才能有效運作，而目前da0仍在持續探索最佳獎勵機制及誘因。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1671415664247.jpg" style="width: 361px;" /></p> <blockquote><p>da0獎勵機制的初期構想。召集人葉向林表示，希望此機制形成一個正向循環，最終讓所有參與獎勵機制的專案都能對社會發揮更多影響。圖片來源-da0<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </span></p> </blockquote> </div></div></div>
2022/12/19 10:12作者郭又華https://www.ithome.com.tw/news/154775
GitHub釋出免費憑證掃瞄工具、新增5類用戶強制啟用2FA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2022-12-15-leaked-a-secret-check-your-github-alerts-for-free/" target="_blank">GitHub上周宣布提供免費掃瞄工具</a>，可幫助開發人員避免經由程式碼洩露登入憑證。此外GitHub再新增5類用戶，要求在2023年3月底前強制啟用雙因素驗證（2FA）。</p> <p>GitHub之前經由登入憑證掃瞄合作方案，和服務供應商合作，辨識所有公開儲存庫內洩露的密碼或憑證，以保護雙方共同客戶。今年他們掃瞄了公開儲存的200多個令牌（token）格式，最後通知合作的供應商，有170多萬個可能從公開儲存庫洩露的密碼或憑證。現在GitHub將這套工具開放所有免費公開的儲存庫使用。</p> <p>這工具會在掃瞄到程式碼有密碼、金鑰或憑證時，直接通知儲存庫持有者。GitHub表示，他們原先通知服務合作夥伴的工作仍然會持續，但直接通知儲存庫管理員可使其得知安全性的全貌。而且，即使GitHub無法通知合作夥伴的情況，像是儲存庫自行管理的HashCorp Vault內的金鑰外洩，管理員就能獲得通知。管理員可以點入通知檢視外洩的來源，以及稽核採取的行為正確與否。</p> <p>GitHub會陸續將這工具開放給所有公開儲存庫，預計在2023年1月底以前讓所有用戶可享受這項功能。</p> <p>一旦儲存庫得以使用掃瞄通知功能後，可在設定區的「程式碼安全及分析」設定區啟用。當中的「安全」頁、「漏洞警告」下的側邊選單中選擇「憑證掃瞄」可看到偵測的密碼或憑證，用戶可點選通知檢視哪些密碼或憑證外洩了、位置何在，以及建議的修復措施。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1219-GitHub-secret%20scanning-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color: rgb(105, 105, 105);">圖片來源／GitHub</span></span></p> <p><a href="https://github.blog/2022-12-15-github-advanced-security-customers-can-now-push-protect-their-custom-patterns/" target="_blank">GitHub上周也公布進階安全工具</a>，已經定義了自訂憑證樣態的儲存庫用戶可以啟動推送保護（push protection）。這功能允許用戶以儲存庫、組織或企業層級定義樣態（pattern）。啟用推送保護後，一旦有貢獻者試圖將符合樣態的憑證推送到程式碼內，就會遭到GitHub的阻擋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1219-GitHub-push%20protection-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://docs.github.com/assets/cb-36624/images/help/repository/secret-scanning-push-protection-web-ui-commit-blocked-banner-with-link.png" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／GitHub</span></p> <p>GitHub表示，進階安全功能4月間釋出第一版時，其推送防護已經阻擋了100種憑證共8,000多項憑證免於外洩。</p> <p>GitHub也號召服務供應商加入其掃瞄合作夥伴方案，目前其方案已有100多家供應商。</p> <p><span style="font-size:28px;"><strong>5類用戶被強制要求啟用2FA</strong></span></p> <p>此外，<a href="https://www.ithome.com.tw/news/150767" target="_blank">繼今年5月的預告後</a>，<a href="https://github.blog/2022-12-14-raising-the-bar-for-software-security-next-steps-for-github-com-2fa/" target="_blank">GitHub上周再次重申</a>將在2023年全面強制實施雙因素驗證（2FA）。一如計畫，GitHub已展開要求相依模組超過500個或每周下載次數超過100萬的套件強制啟用2FA。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1219-GitHub-2FA-60.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／GitHub</span></p> <p>接下來，GitHub將要求自2023年3月開始，以下特定群組必須啟用2FA。包括出版GitHub或OAuth App或套件的用戶、新增release的用戶、企業或組織管理員、貢獻程式碼到npm、OpenSSF、PyPI、RubbyGems認為很重要的儲存庫的用戶、貢獻程式碼到排名前400萬的公開、或私有儲存庫的用戶。</p> <p>這些用戶會接獲GitHub電子郵件通知，要求在45天內完成啟用2FA。過了這期限，登入的用戶會接到提示訊息一個星期，若置之不理，就會被GitHub阻擋存取。至於用戶擔心可能因休假而被封鎖，GitHub表示，這一個星期的提示會期限過後登入才生效，若未登入則不會啟動封鎖倒數。</p> </div></div></div>
2022/12/19 13:40作者林妍溱https://www.ithome.com.tw/news/154779
美國國防部90億美元雲端訂單由AWS、微軟、Google、甲骨文共得
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經一年多的重審，<a href="https://www.defense.gov/News/Releases/Release/Article/3239378/department-of-defense-announces-joint-warfighting-cloud-capability-procurement/" target="_blank">美國國防部本月稍早宣布</a>近百億的雲端訂單《聯合作戰人員雲端能力》（Joint Warfighting Cloud Capability，JWCC）合約，將由AWS、微軟、Google及甲骨文四家廠商聯合取得。</p> <p>JWCC是分給多家廠商的合約，旨在讓美國國防部得以直接從雲端服務供應商快速獲得從作戰總部、到策略前端各種資訊等級的雲端能力和服務。</p> <p>JWCC也是美國防部取代2019年的獨家雲端合約《聯合企業防禦基礎設施》（Joint Enterprise Defense Infrastructure，JEDI）後另行規畫的新標案。<a href="https://www.ithome.com.tw/news/133849" target="_blank">2019年微軟擊敗競爭者AWS獨家取得</a>這個為期10年、總金額達100億美元的JEDI合約，但這項標案因AWS母公司Amazon告上法院，而遭法官發出禁制令。2021年美國防部年中終止了JEDI，並<a href="https://www.ithome.com.tw/news/145492" target="_blank">重新規畫多家業者負責的</a>不定期交付/不確定數量（Indefinite Delivery-Indefinite Quantity，IDIQ）的JWCC合約。原本JWCC只限AWS及微軟參加，但同年11月美國政府擴大邀請Google以及也曾經抗議JEDI獨厚微軟的甲骨文加入競標。</p> <p><a href="https://www.cnbc.com/2022/12/07/google-oracle-amazon-and-microsoft-awarded-9-billion-pentagon-cloud-deals.html" target="_blank">CNBC報導</a>JWCC總金額為90億美元，合約期間到2028年。</p> <p>美國國防部表示，透過這項合約的服務，美國軍隊士兵將能全球存取容易使用的高韌性服務、中央化管理及分散式控制、彈性化運算、儲存、網路基礎架構、進階資料分析、強化安全、及策略性邊緣裝置。</p> <p>這次JWCC發包的背景和3年前大不相同。歷經後疫情及俄烏戰爭、美國和中國進一步升高科技、貿易和外交競爭，<a href="https://www.ithome.com.tw/news/146396" target="_blank">美國拜登政府2021年號召</a>科技業者AWS、IBM、微軟、Google等公司協助強化美國網際網路安全、供應鏈韌性及對敵作戰實力。</p> <p>分得合約的4家業者中，AWS、微軟及Google為全球雲端前三大廠。<a href="https://www.prnewswire.com/news-releases/q3-cloud-spending-up-over-11-billion-from-2021-despite-major-headwinds-google-increases-its-market-share-301661926.html" target="_blank">根據Synergy研究機構公布的數據</a>，AWS、微軟、Google市占各為34%、21%及11%。甲骨文僅和IBM、Salesforce、Rackspace、阿里雲、騰訊等屬於第二集團的業者，因此此次分得一杯羹對甲骨文來說是一大挹注。</p> </div></div></div>
2022/12/19 12:32作者林妍溱https://www.ithome.com.tw/news/154778
【資安週報】2022年12月12日到12月16日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周資安新聞中，有多項漏洞修補消息受關注，包括微軟本周釋出12月Patch Tuesday，當中修補一項的零時差漏洞CVE-2022-44698，以及Citrix在13日公告修補ADC與網路閘道器產品的零時差漏洞CVE-2022-27518，都已有攻擊行動鎖定，必續盡快修補。</p> <p>同時，Fortinet於11月修補SSL VPN漏洞CVE-2022-42475，後續該公司也發布資安通告說明已有攻擊行動鎖定利用的情形。還有要注意的是，iPhone的WebKit零時差漏洞CVE-2022-42856被鎖定，其中iOS 15.1手機用戶須特別注意。另外，本周新聞尚未提到的Veeam Backup & Replication的CVE-2022-26500與CVE-2022-26501漏洞修補，我們認為同樣須要留意。</p> <p>關於新漏洞揭露上，亦有兩大焦點，其影響層面不小。研究人員發現多款WAF產品因無法識別JSON格式、恐被發動SQL注入攻擊，多家廠牌都受影響，已有5家廠商釋出修補，其他產品用戶也應設法了解；還有數款防毒軟體與EDR系統也被研究人員發現零時差漏洞，受關注的是，這些漏洞可能被用於打造資料破壞軟體（Wiper），多家廠商也紛紛釋出修補。</p> <p>關於攻擊新趨勢方面，資安業者發現惡意軟體QBot有新的散布手法，攻擊者會在惡意郵件中的HTML附件中挾帶包含惡意JavaScript的SVG圖片；另外針對開源套件庫的方面，資安業者發現有網路攻擊者在NuGet、NPM、PyPI套件庫，透過自動化方式，打造並上傳了超過14萬個惡意套件。此外，還有一個值得留意的威脅態勢，是近來有勒索軟體攻擊濫用微軟簽章的驅動程式的情形，微軟獲報後發現數名開發人員計畫帳號被濫用。</p> <p>而在國內方面，關於2022年臺灣APT攻擊現況，資安業者TeamT5揭露這方面資訊，他們觀察到全年有109起APT攻擊行動，以阿米巴Amoeba與畫皮Hupai這兩個駭客組織為大宗，政府與軍方是主要遭受攻擊目標。</p> <p>至於安全防護面向上，本周Google新推的OSV-Scanner，是開發人員與資安人員重視的焦點，該機制可讓專案相依項目與已知漏洞列表，提供自動化比對的幫助。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/154667"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</span></strong></a></h3> <p>防毒軟體與EDR系統有可能成為駭客破壞電腦資料的幫兇！有資安業者揭露微軟、趨勢科技、Avast、AVG、SentinelOne等廠牌的端點防護產品漏洞，其共通點是可被用來抹除電腦裡的資料。研究人員指出，有別於過往駭客使用的資料破壞軟體（Wiper），這種漏洞讓攻擊者無須取得高權限就能發動攻擊，且檔案更難復原。</p> <p>存在漏洞的SSL VPN系統也是駭客用於入侵組織的管道，<a href="https://www.ithome.com.tw/news/141261">過往有人收集Fortinet SSL VPN系統的IP位址並在暗網兜售</a>，但目前大量曝險的並非只有這個廠牌的設備，有資安業者公布Pulse Connect曝險的情況，值得留意的是，臺灣約有188臺VPN設備存在已知漏洞。</p> <p>惡意軟體轉換入侵管道並增加攻擊力道的情況也相當值得留意。駭客自今年8月改變散布惡意軟體TrueBot的手法，先是濫用特定的資產管理工具，但隔了2個月他們改用另一款惡意軟體進行攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/154694"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</span></strong></a></h3> <p>車輛共享業者Uber再度傳出資料外洩事故，但與過往不同的是，這次並非該公司本身遭到攻擊，而是他們的IT資產管理軟體的供應商成為目標，使得Uber、Uber Eats受到牽連。</p> <p>有後門程式針對VMware虛擬化平臺下手，並利用已知漏洞入侵，值得留意的是，該後門程式其實也能用於攻擊其他執行Linux作業系統的電腦。</p> <p>提供網路應用程式系統防護的應用程式防火牆（WAF），竟然出現了能被用於SQL注入的漏洞，而且，至少有5家知名的解決方案都存在相關漏洞（Palo Alto Networks、AWS、Cloudflare、F5、Imperva）。</p> <h3><a href="https://www.ithome.com.tw/news/154710"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月14日】Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</span></strong></a></h3> <p>昨日是本月的第二個星期二，許多廠商發布了12月份的例行修補程式，值得留意的是，所針對的資安弱點，有不少是已經出現攻擊行動的零時差漏洞。</p> <p>例如，Citrix為旗下的Citrix ADC、Citrix Gateway發出資安通告，有人正利用CVE-2022-27518發動攻擊。美國國家安全局指出攻擊者的身分是中國駭客組織APT5。</p> <p>另一個也相當值得留意的是與Safari瀏覽器有關，排版引擎WebKit被人發現有漏洞CVE-2022-42856。蘋果原先在11月底為iOS 16提供修補，但該公司現在也擴大對Mac電腦、Apple TV修補，原因是已出現攻擊行動。</p> <p>殭屍網路針對WordPress網站而來的攻擊行動也值得關注，但這起事故透過暴力破解來挾持網站，而非利用WordPress網站或外掛程式的漏洞。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/154727"><strong><span style="color: rgb(0, 0, 0);">【12月15日】SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</span></strong></a></strong></p> <p>在12月份的例行修補當中，SAP、VMware也針對旗下產品緩解重大漏洞，用戶應提高警覺並儘速安裝修補程式。其中，SAP本次修補了4項重大漏洞，值得留意的是，當中有兩項與他們採用的元件有關，一項是Business Client所採用的Chrome網頁瀏覽器元件，另一個則是SAP Commerce的Apache Commons Text元件。</p> <p>駭客在攻擊行動濫用驅動程式的情況也出現了新手法，在最近的一波攻擊行動中，駭客開始採用帶有微軟簽章的惡意驅動程式，以此發起勒索軟體攻擊，從而繞過資安系統偵測。微軟也證實有數名開發人員的帳號遭到濫用。</p> <p>針對醫療機構的勒索軟體攻擊升溫也引起美國政府的關注，繼11月美國衛生與公共服務部對於4種勒索軟體提出警告後，他們本月針對惡名昭彰的BlackCat和LockBit發布相關警告，並指出這2種勒索軟體的攻擊手法更難以防範。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/154770"><strong><span style="color: rgb(0, 0, 0);">【12月16日】向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈</span></strong></a></strong></strong></p> <p>駭客利用PNG、JPG、GIF等圖片檔案挾帶惡意軟體的手法，不時有事故傳出，但現在有研究人員發現，駭客開始運用SVG格式的向量圖片檔案做為媒介。與前述幾種檔案格式有所不同，SVG採用XML語言為基礎並支援嵌入JavaScript，而使得駭客更容易透過惡意JavaScript指令碼發動攻擊。</p> <p>竊取臉書帳號的攻擊行動近期越來越頻繁，然而最近有新的手法出現，不僅幾可亂真，也能騙過大多數資安系統的檢查。研究人員揭露濫用臉書貼文的網釣攻擊，這些貼文號稱是臉書的技術支援中心，並誘導受害者到釣魚網站。</p> <p>Mozilla基金會近期推出Firefox 108、Thunderbird 102.6，美國CISA提出警告，該基金會甫修補的漏洞已出現攻擊行動，使用者應儘速更新。</p> </div></div></div>
2022/12/19 09:40作者羅正漢https://www.ithome.com.tw/news/154774
臉書更新抓漏獎勵，RCE漏洞最高可拿30萬美金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年抓漏的豐碩成果後，<a href="https://about.fb.com/news/2022/12/metas-bug-bounty-program-2022/" target="_blank">Meta旗下臉書（Facebook）部門上周宣布</a>更新漏洞獎勵計畫支付指引，重點加強包括行動遠端程式碼執行（mobile RCE）、帳號接管、2FA繞過，以及VR產品漏洞的檢查，其中RCE最高可拿30萬獎金。</p> <p>臉書表示，自2011年以來，該公司收到外部研究人員17萬次漏洞通報，使其發出8,500多次獎勵，金額達1,600多萬美元。單是在今（2022）年，該公司也收到了約1萬次通報，使他們發出750多次獎金，總金額超過200萬美元。以獲獎金金額的研究人員國籍區分，則以印度、尼泊爾及突尼西亞居最高。</p> <p>在今年的抓漏獎勵方案下，臉書也更新支付指引，以著重特定類別漏洞。包括更新行動遠端程式碼執行（RCE）漏洞的支付指引，並增加帳號接管（account takeover，ATO）及雙因素驗證（2FA）繞過漏洞。其中，行動RCE漏洞獎金高達30萬美元，而ATO獎金也上看13萬美元。</p> <p>臉書表示，支付指引是為特定漏洞類別設定平均最高支付水準，並說明臉書評審漏洞獎金的條件。但該公司強調每件漏洞通報都是依個案審核，也可能有些漏洞能獲得高於設定的獎金上限。</p> <p>例如，今年臉書針對一個電話號碼帳號回復流程中，可能導致攻擊者重設密碼，並接管帳號的帳號接管漏洞，發出16.3萬美元獎金。由於發現漏洞的一名印度研究人員還可將本漏洞串聯另一個2FA漏洞，又獲得臉書2.5萬美元獎金。</p> <p>而在2FA繞過漏洞中，今年臉書針對一名尼泊爾研究人員通報的限流問題，可讓攻擊者暴力破解證實用戶手機號碼的驗證碼，繞過SMS 2FA保護，發出2.7萬美元。</p> <p>為了推動元宇宙願景的實現，臉書上周也宣布更新獎勵條款，加入VR技術的支付指引，把Meta的虛擬實境（VR）及混合實境（MR）裝置產品包括Meta Quest Pro和Meta Quest Touch Pro控制器的漏洞列入獎勵行列。</p> <p>事實上，今年臉書已經開始重點獎勵Quest裝置的漏洞通報。例如一名Youssef Sammouda通報Meta Quest的oAuth流程漏洞，後者可能導致攻擊者2次點擊就接管了用戶帳號。為此他獲頒高達4.4萬美元的獎金。</p> </div></div></div>
2022/12/19 11:47作者林妍溱https://www.ithome.com.tw/news/154777
NIST宣布美國聯邦政府2030年12月31日後停用SHA-1加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nist.gov/news-events/news/2022/12/nist-retires-sha-1-cryptographic-algorithm">美國國家標準暨技術研究院（NIST）</a>認為目前受廣泛使用的SHA-1加密演算法，已經不夠安全，因此宣布SHA-1應該在2030年後淘汰，建議還仰賴SHA-1安全性的IT專業人員，應儘速更新採用SHA-2或SHA-3。</p> <p>SHA-1前3個字母為Secure Hash Algorithm的縮寫，從1995年以來，一直是聯邦資訊處理標準（FIPS）180-1的一部分。SHA-1是SHA的修改版本，而SHA是美國聯邦政府在1993年廣泛使用且標準化的雜湊函式，但因為當前越來越強大的運算能力，已經可對該演算法進行碰撞攻擊（Collision Attack），因此NIST才會宣布SHA-1應該在2030年12月31日退場，並採用更安全的SHA-2和SHA-3演算法。</p> <p>SHA-1目前已經是許多安全應用程式的建構模組，像是在用戶載入網頁時，透過採用SHA-1，便能夠相信來源的真實性。SHA-1透過對訊息的字元進行複雜的數學運算，生成稱為雜湊的字元短字串，第三方要從雜湊重建原始訊息是不可能的，收件人也可以透過簡單的方法來知道原始訊息是否遭到竄改，因為即便是只對訊息動了小手腳，生成的雜湊也會跟著變動。</p> <p>但是過去被認為安全的SHA-1，在現今強大的運算能力下變得不可靠，NIST表示，現在的電腦已經可以創建詐欺式訊息，也就是經過竄改的訊息，能夠產生與原始訊息相同的雜湊值，這將危害到真實訊息，而且近年這些碰撞攻擊已經被用來破壞SHA-1。</p> <p>NIST過去曾宣布，美國聯邦應該在數位簽章創建等，碰撞攻擊構成嚴重威脅的情況下，停止使用SHA-1。隨著其他應用程式也面對日漸嚴重的SHA-1碰撞攻擊，NIST現在宣布2030年12月31日前應該停止使用SHA-1，該組織將會頒布FIPS 180-5來修正SHA-1規範，並且創建並發布用於驗證加密模組和演算法的轉換策略。</p> <p>NIST宣布2030年12月31日後停用SHA-1加密演算法，這代表著聯邦政府不允許購買2030年後仍在使用SHA-1的模組，企業目前有8年的時間換掉SHA-1。</p> </div></div></div>
2022/12/19 11:11作者李建興https://www.ithome.com.tw/news/154769
樂高線上市集存在兩嚴重漏洞，可洩漏用戶個資與伺服器機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>API資安公司Salt研究人員發現<a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis">樂高（LEGO）的線上服務存在安全漏洞</a>，不只可能讓攻擊者取得其他人帳戶完全控制權，還洩漏PII以及敏感資料，同時攻擊者也能夠存取內部資料，而這可能導致內部伺服器遭入侵。</p> <p>由於研究人員Shiran Yodev除了是一名專業駭客，同時在業餘時間，也喜歡收集並且組裝樂高，於是樂高變成為了該研究人員的研究對象，這次被發現漏洞的並非是lego.com這個樂高的主要官方網站，而是樂高擁有的另一個線上交易平臺bricklink.com。</p> <p>bricklink.com最初由一個樂高迷在2000年創建，作為樂高積木以及組合包的交易平臺，隨著該平臺的壯大，成為市場上稀有樂高積木的交易地，到了2019年，bricklink.com被樂高收購，現在為樂高的全資子公司，並且由獨立團隊管理。</p> <p>bricklink.com的服務相當複雜，因為他提供賣家許多管理商店的功能，還能夠協助買家購買和管理零件和組合包收藏列表，也有一個工作室平臺，讓設計師能夠設計樂高作品，Shiran Yodev提到，這些複雜邏輯意味著更大的攻擊面。</p> <p>Shiran Yodev發現了bricklink.com中兩個API安全漏洞，第一個漏洞是發生在使用者輸入欄位，在優惠券搜尋的尋找使用者名稱對話框中，存在一個跨站腳本（XSS）漏洞，攻擊者能夠設計連結，在終端用戶的電腦上注入和執行程式碼，只要運用暴露在不同頁面上的Session ID，連結跨站腳本，便能劫持Session並且接管帳戶。</p> <p>第二個漏洞則是在上傳至願望清單頁面，這頁面讓用戶能夠以XML格式上傳想要的零件列表，而攻擊者在這個頁面便能夠進行XML外部實體攻擊（XEE），讀取網頁伺服器上的檔案，並以伺服器端請求偽造（Server-side request forgery）來存取並且操作無法被直接存取的資訊，包括AWS EC2權杖。</p> <p>樂高在接獲研究人員通報之後，已經迅速修正了這些漏洞，但因為樂高公司內部政策關係，並沒有對外多加說明，因此Salt無法正面確認這些修復。</p> </div></div></div>
2022/12/19 11:14作者李建興https://www.ithome.com.tw/news/154771
OpenAI發表新的嵌入模型，效能更好且比Davinci更便宜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI發表新的<a href="https://openai.com/blog/new-and-improved-embedding-model/">嵌入模型text-embedding-ada-002</a>，該模型功能更強大成本更低，且使用起來也比較簡單，可取代了文字搜尋、文字相似性和程式碼搜尋等5個獨立模型，比起之前最強大的模型Davinci，價格更是便宜了99.8％</p> <p>官方解釋，嵌入是指將概念的數字表示轉換成數字序列，這使電腦能夠簡單理解概念之間的關係。從OpenAI的嵌入端點推出以來，許多應用程式都運用嵌入來進行個人化、推薦和搜尋內容。</p> <p>新模型text-embedding-ada-002效能更強大，無論是在文字搜尋、程式碼搜尋還是語句相似性任務上，表現都優於舊的嵌入模型Davinci。</p> <p>Text-embedding-ada-002在能力表現上也更一致，過去要分散5個獨立模型各別處理文字搜尋、文字相似性和程式碼等任務，現在統一合併使用text-embedding-ada-002就能夠完成，官方提到，text-embedding-ada-002的單一表示，在不同的文字搜尋、語句相似性和程式碼搜尋基準測試，都比過去的嵌入模型表現還要好。</p> <p>另外，text-embedding-ada-002也能夠處理更長的上下文，是舊模型長度的4倍，從2048增加到8192，用戶能夠更簡單地處理長文件。text-embedding-ada-002還擁有較小的嵌入大小，新嵌入只有1536維，是davinci-001嵌入的八分之一，較小的嵌入使向量資料庫更具成本效益。</p> <p>與相同大小的舊模型相比，text-embedding-ada-002價格降低了90％，只要0.2％的舊模型價格，就可以獲得和Davinci更好或是類似的效能。</p> <p>整體來說，新模型是更強大的自然語言處理和程式碼任務工具，但仍存在一些限制，像是在SentEval線性探測分類基準的表現不如text-similarity-davinci-001，對於需要在嵌入向量上訓練輕量級線性層，以進行分類預測的任務，OpenAI建議用戶可以先比較新舊模型的表現，以選出最符合需求的模型。</p> </div></div></div>
2022/12/19 11:17作者李建興https://www.ithome.com.tw/news/154772
AWS新產品戰略以資料為主軸，更要朝全解決方案產業應用來發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">雲端服務龍頭AWS每年冬天都會在美國拉斯維加斯舉行年度全球用戶大會，但受疫情衝擊，2年前改為全線上進行，儘管相隔一年，隨即於2021年恢復實體舉辦，但實際參加人數明顯不如往年，甚至不到全盛時期一半，許多人都改線上參加，使得去年整場活動似乎沒有像以往那麼熱絡。</p> <p dir="ltr">到了今年re:Invent用戶大會，官方雖還是採實體和線上併行，但從今年現場參加人數來看，至少超過5萬人參加，人潮逐漸恢復到疫情前的水準。今年活動重頭戲，就是首日主題演講，AWS執行長Adam Selipsky這次登臺，相較去年首次登場，大多時候都在回顧AWS在各項領域發展，如今執掌一年多，他今年對這家公有雲公司未來發展策略，明顯有了更清晰的藍圖。</p> <p dir="ltr">在他的帶領下，AWS將以資料為主軸，透過整合、治理、安全和透明化，建立更廣闊的數據探索領域，來達成數據創新，甚至更要朝向「全解決方案」產業應用來發展。</p> <p dir="ltr">一開場，Adam Selipsky先細數他們如何協助大型企業用AWS雲克服自身挑戰，如BMW集團用公雲打造連網汽車服務顛覆駕駛體驗，也有美國遊戲開發商Riot Games靠雲端來應付每秒50萬起事件通報與處理，提高用戶體驗以獲得更高收益。還有全球最大證券交易所Nasdaq完成關鍵核心系統上雲，提高金融市場證券發行業務處理效率，更多系統年底前將上雲。</p> <p dir="ltr">不僅大型企業有用，Adam Selipsky也引用數據強調，超過8成新創獨角獸都是AWS客戶。</p> <p dir="ltr"> Adam Selipsky不只一開始就大談企業上雲經驗，他對於企業用戶的重視，也反應在今年AWS產品發布上跟往年明顯不同。長達2小時的主題演說，Adam Selipsky用合適工具（Right Tools）、整合（Integration）、治理（governance）以及洞察（Insight）4大主軸貫穿整場演講。他表示，面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種類型資料，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。</p> <p dir="ltr">他所提出的這個企業數據戰略，可以說就是AWS新的產品策略，這次眾多雲端產品發布和服務更新，都是圍繞這個新策略發展，推出各種資料整合、治理、安全和透明化的服務方案。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>執掌1年多，AWS執行長Adam Selipsky對這家公有雲公司未來發展策略，明顯有了更清晰的藍圖，將透過整合、治理、安全和透明化，來達成數據創新，更要朝向「全解決方案」產業應用來發展。</strong><span style="font-size:14px;">攝影／余至浩</span></span></p> <p dir="ltr"><span style="font-size:28px;"><strong>無伺服器新布局:完善Serverless產品線，通吃旗下所有分析服務</strong></span></p> <p dir="ltr">在工具上，AWS已提供完整資料庫、分析、ML/AI工具，協助企業做資料處理和運用。尤其在分析服務上，AWS今年對於無伺服器（Serverless）布局更加完整了。</p> <p dir="ltr">去年AWS在年度大會上宣布AWS資料倉儲服務Redshift能支援無伺服器服務後，緊接下來，今年其他分析產品也陸續加入支援行列，包括大數據處理平臺EMR、即時分析工具MSK，若加上原本就能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight，就只差搜尋和分析引擎服務OpenSearch還沒Serverless化。如今，AWS也把這個缺口填平，在會中宣布OpenSearch也能提供這個服務方案。</p> <p dir="ltr">Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供Serverless。」</p> <p dir="ltr">為何Serverless對於AWS如此重要？Adam Selipsky在會中並沒有明講，但他在去年大會上曾提到說，在他來看，雲端運算還在初期發展階段，要先把下水道工程布局布好，所以AWS是以雲還在起步的概念來布局，而Serverless就是一個重要戰略，對於Serverless持續加快布局，就是要把包括分析在內的服務都Serveless化，這一步還在持續發展，但AWS先從資料分析服務著手，並用資料整合來加以擴大。</p> <p dir="ltr">AWS今年在資料庫和分析服務方面也有推出不少新功能。雲端互動式查詢服務Athena整合Spark，就是其中一個重要更新，使企業可以在Athena控制臺中使用Jupyter Notebook或Athena API來構建Spark應用程式，速度比起傳統啟用做法快75倍，而雲端資料整合服務AWS Glue，加入自動化監測和管理功能，來提高整合的資料品質。</p> <p dir="ltr">AWS對資料服務布局還不只如此，還加強服務本身擴充性和可靠度，像是因應叢集服務需求，DocumentDB更新後現在可以建立跨多節點的DocumentDB叢集，以獲得每秒數百萬次讀寫吞吐量與PB級儲存規模。Redshit資料倉儲新增Multi-AZ預覽版功能，可以提供高可用配置設定，能跨多個可用區進行配置，讓資料倉儲也能和其他資料庫服務一樣具有高可用。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資料新布局：以實現Zero-ETL願景的資料整合為目標 </strong></span></p> <p dir="ltr">AWS今年在資料整合也有新布局，以往要做到不同資料庫、資料倉儲的資料整合這件事，需要透過ETL（萃取、轉置、載入）處理流程，對於分析人員來說，太花時間，因此需要有新的資料整合方式，來加快資料運用。過去手動資料整合方式已經跟不上現在資料動態的特性與企業營運快速成長。這也成了AWS想要替企業客戶解決的痛點。</p> <p dir="ltr">為了讓資料整合能更無縫接軌，AWS這些年一直想要打造一個Zero-ETL的新資料整合方式，以便在分析和ML服務時，就能直接取得這些資料做分析，而不需要搬動任何資料。「我們目標就是要實現zero-ETL願景。」Adam Selipsky強調。</p> <p dir="ltr">原先AWS在少數資料服務中就提供類似Zero-ETL的資料整合功能，例如使用AWS串流服務Kinesis時可以直接取得Redshift的資料，執行SageMaker機器學習服務時，也能很快拿到Redshift和Athena資料庫的資料做ML訓練，不需要另外建立資料處理流程（data pipeline）或撰寫程式。其他還有提供聯合查詢工具（federated querying tool ），可以跨資料倉儲和資料庫查詢和分析數據。</p> <p dir="ltr">在今年資料整合更新中，AWS朝向實現Zero-ETL邁出更大一步，徹底無縫整合兩大數據雲端服務Aurora與Redshift的資料。透過 Aurora zero ETL Integration with Redshift這個新功能，每次只要有新資料寫入Aurora資料庫中，資料就會直接同步到Redshift資料倉儲，不需要重新建立和執行繁鎖ETL流程。這種Zero-ETL資料整合方式，也讓企業在Redshift實例中更多了一種資料分析來源，能從Aurora資料庫叢集的數據分析，來獲得跨多應用的整體洞察。</p> <p dir="ltr">AWS對於資料倉儲的布局，也跨到整合串流大數據分析領域的主流平臺Spark，企業以後在Redshift上構建和執行Spark應用將變得很容易，不需要使用第三方Apache Spark連接器，就能馬上取得Redshift中的資料，提供給Amazon EMR做為大數據分析使用。這也為Redshift帶來新機會，能讓更多分析和ML服務都能用。</p> <p dir="ltr">不光如此，Redshift在資料安全管控上也有加強措施，利用AWS Lake Formation資料湖治理功能，使Redshift數據共享達到顆粒度更高的權限控管，可以針對單一欄或行，來設定不同角色的存取權限，進而提高資料安全性。這也是AWS端到端資料治理策略一環。</p> <p dir="ltr">在AI產品發展上，AWS延續去年端到端的資料戰略，AWS從去年就已經建構更加完整的機器學習和AI服務，從底層機器學習框架及基礎架構，到機器學習訓練環境全託管服務SageMaker，以及上層AI服務。目前上萬家企業用SageMaker建立ML模型，來執行每月上兆次的ML預測。</p> <p dir="ltr">儘管，今年SageMaker沒有重大更新，但AWS仍推出不少局部功能更新，持續補強SageMaker服務完整性，像是新增ML Governance治理功能，可以讓開發者在端到端ML開發過程中，就能開始使用治理和審計，來滿足企業需求克服ML治理的挑戰。</p> <p dir="ltr">對於使用SageMaker建立機器學習模型，現在也能支援地理空間類型資料作為ML訓練資料，來幫助開發團隊建立、訓練和部署這類型的ML模型，還可以將模型預測結果顯示在一個互動式3D地圖來查看。SageMaker以後可以擴展到更多應用領域，如農業、都市發展、商業新據點拓展。</p> <p dir="ltr">在No-Code服務上，AWS針對No-Code的QA工具Quicksight Q推出新功能，不只能以自然語言進行提問，還能讓使用者可以用「為什麼」來發問，再根據機器學習模型得到預測和分析的結果，給出建議或答案。而透過採用這個方式，可以降低專業IT或資料科學家的負擔，讓更多非專業素人更容易運用AI。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%963-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS雲端機器學習服務SageMaker今年雖然沒有發布重大更新，大多是提供一些補強功能，但也持續加強SageMaker服務完整性，像是新增ML Governance治理功能，可以讓開發者在端到端ML開發過程中，就能夠開始使用治理和審計，來滿足企業需求克服ML治理的挑戰。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／余至浩</span></p> <p dir="ltr"><span style="font-size:28px;"><strong>產業應用新布局:力推雲端供應鏈管理新服務</strong></span></p> <p dir="ltr">在產業應用上，AWS開始朝向全解決方案發展，新推出的AWS Supply Chain雲端供應鏈管理服務，就是瞄準全產業供應鏈管理需求。雖然目前是預覽版，但AWS強調，透過這套服務，企業未來可以自動組合和分析跨多個供應鏈系統的數據。該服務更是借助了Amazon電商物流供應鏈多年經驗與技術發展而來，但不限於電商，其他行業也能用。</p> <p dir="ltr">更進一步來說，企業可以使用該服務內建的連接器，建立統一供應鏈數據湖，並運用母公司在供應鏈預先訓練完的ML模型，來自動匯整各套ERP和供應鏈管理系統中的所有數據，然後將分析結果以視覺化呈現，不僅方便管理者隨時查看庫存變化，也能以此建立風險預警機制，一旦經過ML判斷為潛在高風險情況，就會提供警訊給負責人員，因此就能早一步採取避險行動。</p> <p dir="ltr">但初期只有支援以SAP S/4HANA、SAP ECC、EDI、Amazon S3這4類為主的ERP、供應鏈相關系統和資料源。美國、歐洲將會先上線，其他地區陸續也將推出。</p> <p dir="ltr">其他產業應用，還有支援大規模空間模擬的運算服務SimSpace Weaver。AWS表示，透過這個新運算服務，最多能支援超過1百萬個獨立動態實體，也就是可以在虛擬環境中模擬大規模人群、城市規模的環境以及複雜交通等。因為是提供企業或政府建立大型數位分身應用所需的運算基礎設施，所以將空間模擬擴展到多個EC2執行個體，管理底層運算、記憶體或網路執行大規模模擬，將有助於加速企業數位分身應用發展。</p> <p dir="ltr">在資料安全性也有獲得不少強化，AWS推出名為Amazon Security Lake的安全數據湖服務，可以協助企業組織聚集、管理和分析日誌和事件數據，包含AWS和其他合作廠商的數據，讓資安威脅檢測、調查和事件應變速度能更加提升。新數據管理服務DataZone則可以讓資料專案團隊在統一資料協作環境中發布所需分析資料，來提供團隊成員查詢、存取或共享，並搭配治理與存取權限控管，來確保資料使用安全。GuardDuty EKS Protection防護服務中，也提供部署容器runtime威脅偵測。</p> <p dir="ltr">雲端基礎設施也迎來不少更新，AWS目前超過600種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等，AWS這次發布採用新一代Nitro系統和Graviton處理器的執行個體服務。</p> <p dir="ltr">Nitro是AWS打造的EC2執行個體基礎平臺，歷經4代改版後，新一代Nitro大幅提高網路傳輸能力，每秒封包傳輸速度較前一代提高60%，反應速度加快30%，每瓦效能也有獲得40％改善。AWS還更新Graviton產品，儘管未是如外界預期Graviton4，而是改推出一款經改良的Graviton3E處理器晶片，但是該款處理器的向量指令性能表現，較前一代Graviton3能再提高30%，可適用於HPC應用場景。</p> <p dir="ltr">AWS運用Graviton3E和Nitro推出多個執行個體服務，包含能支援200Gbps超大網路頻寬的C7gn，還有推出高效能運算專用的Hpc7G等。AWS這次也更新x86架構EC2實例，推出名為R7iz的新類型，能夠支援第4代Intel Xeon Scalable處理器，使每個vCPU效能比z1d再提升20%。C7gn、R7iz先推預覽版，Hpc7G最快明年才推出。</p> <p dir="ltr">整體來看，AWS今年產品策略以擴大和延續為主，許多產品發布都是對既有服務或產品的補強，看似平淡無奇，但是這些更新背後，卻是有著AWS更長遠的企業數據產品戰略的考量，正透過一步步紮實的步伐，一一把各種企業需求的關鍵拼圖補齊。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%962-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS推出Supply Chain雲端供應鏈管理新服務，借助母公司電商物流供應鏈多年經驗與技術，來匯整各套ERP和供應鏈管理系統中所有數據，然後將分析結果以視覺化呈現，方便管理者從互動地圖上隨時查看庫存變化，也能以此建立風險預警機制。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／AWS</span></p> <p class="rtecenter" dir="ltr"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%964-1108-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#696969;"><strong>在基礎設施也迎來不少更新，AWS目前超過6百種運算實例類型，涵蓋一般用途、運算優化、記憶體優化、儲存優化、爆漲型效能及加速硬體等。AWS這次發布採用新一代Nitro系統和Graviton處理器的執行個體服務。包含能支援200Gbps超大網路頻寬的C7gn（上圖），還有推出高效能運算專用的Hpc7G等。</strong><span style="font-size:14px;">圖片來源／AWS</span></span></p> <p><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154748
【AWS 2023雲端關鍵戰略1】擴大資料倉儲Redshift產品廣度，打造企業資料全能分析中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年AWS雲端資料倉儲服務Redshift推出正式滿10周年，但在這個特別的一年，AWS在年度大會上卻一反常態，沒有發布重大升級更新。取而代之的是，AWS在會中推出許多新功能，都是和Redshift相關，從更緊密資料整合、串流資料分析到強化安全存取。儘管看似都是些小更新，但AWS沒說的是，藏在Redshift這次更新背後的更大企圖，就是要把Redshift打造成企業資料集散地，來符合各種現代化應用的使用，以及能匯整各種類型資料，提供AI分析和後續應用，更要讓這個能夠通吃各種資料類型的新一代資料倉儲架構，成為加速企業資料現代化的關鍵產品。</p> <p dir="ltr"><span style="font-size:28px;"><strong>要讓Redshift成為通吃各種資料類型的新一代資料倉儲架構</strong></span></p> <p dir="ltr">AWS數據和機器學習副總裁Swami Sivasubramanian在數據主題演講中指出：「所有新功能都瞄準同一個終極目的，不管資料在哪裡都可以集中到Redshift上來分析。」顯然，AWS就是壓寶Redshift，未來能夠成為企業資料的核心。</p> <p dir="ltr"> Redshift是第一個採用MPP（大量平行處理）架構的雲端資料倉儲，號稱比本地部署能以更經濟高效的方式對大量數據進行快速分析及查詢，並提供跨資料倉儲、核心資料庫和資料湖分析結構化和半結構化資料執行SQL查詢，更具有高擴充彈性，Redshift Serverless在今年7月正式GA，讓雲端資料倉儲也能應付資料量多變的資料分析任務。目前，上萬家企業使用Redshift，每天處理資料總量達到EB級。</p> <p dir="ltr">但要打造Redshift成為企業統一的資料集散地，只是這樣還不夠。從今年功能更新來看，AWS對資料倉儲布局更加完整，正一步步打通Redshift服務在企業資料架構中的各環節，讓它的產品完整度更高，涵蓋到不同應用層面，支援各種企業分析需求和資料整合。</p> <p dir="ltr">AWS今年推出的第一個新功能，就是將資料前處理ETL步驟簡化，甚至全面Zero-ETL化。ETL指的是資料萃取、轉置、載入的過程，以往企業會使用這個方式將多系統中的資料整合到單一資料倉儲中，以便進行分析和後續處理，過去Redshift要從其他資料庫、資料湖拿取資料，都得執行ETL程序，但如此一來，資料分析就會太慢，甚至針對不同資料來源或資料類型，就需要建立不同ETL流程，更不利於後續維護。直到現在才解決。</p> <p dir="ltr"><span style="font-size:28px;"><strong>靠Zero-ETL化，解決Redshift跨資料庫資料整合的痛點</strong></span></p> <p dir="ltr">AWS推出Aurora Zero-ETL integration with Amazon Redshift這個新功能，結合Zero-ETL做法，讓Aurora資料庫中儲存的結構化資料可以自動匯進Redshift，不需要建立和維護複雜的資料處理流程，來執行ETL操作。因為可以將資料同步時間縮短到幾秒內，這意謂著，企業可以更快從Aurora資料庫取得所需資料，進行後續分析，還能執行如ML進階分析、具體檢視圖、資料共享以及聯邦查詢等，並從這些綜合資料分析中獲得整體的洞察。</p> <p dir="ltr">不僅如此，Redshift還新增自動複製功能，讓S3資料湖和Redshift之間更加緊密整合，使用者從S3中將資料複製到Redshift中，只要一鍵就能完成所有操作，不像以前多使用S3來做備份，需要特別分析才將資料放進Redshift。</p> <p dir="ltr">有了這個新功能以後，以後只要偵測到S3資料夾有更新檔案，就會自動執行Redshift複製任務，等於是從S3就能直通到Redshift資料倉儲，就能大大簡化資料複製流程。對於資料分析人員來說，只要從Redshift就能拿到各種類型的S3資料，而且能支援不同檔案格式，如CSV、parquet檔或其他文字檔。不過目前還是預覽版。</p> <p dir="ltr">不只能更快取用AWS資料，對於第三方資料整合與分析，AWS推出了名為Informatica Data Loader的免費資料整合工具，只要透過Redshift控制臺，就能將第三方資料檔案快速上傳至Redshift，目前可以支援Salesforce、Marketo在內等超過30個原始資料源，可跨多種資料格式在Redshift中執行高速且大量的資料上傳作業。</p> <p dir="ltr">雲端串流資料的整合，也是Redshift這波更新一大重點，整合Kinesis Data Streams和Amazon MSK兩大資料串流引擎，強化Redshift對於串流資料擷取的支援能力，使企業在取得串流資料時，不需要像以往得先將資料暫存到S3中，隔段時間後，再將整批數據載入到Redshift中，導致串流分析的速度變慢。現在就沒有這個問題，所有串流資料都能接近即時匯入到Redshift資料倉儲中。</p> <p dir="ltr">甚至，AWS對於資料倉儲的布局，如今也直接整合串流大數據分析領域的主流平臺Spark。借助Amazon Redshift Integration for Apache Spark這個新功能，企業以後在Redshift和無伺服器Redshift服務上執行Spark應用變得更簡單，不像過往使用Amazon EMR、SageMaker以及AWS Glue服務執行Spark應用時，需透過第三方Spark連接器才能讀寫Redshift資料，現在只要透過預先打包好的Redshift Connector for Spark工具，就能迅速取得Redshift資料，甚至啟用速度比起傳統快10倍，還能支援Java、Python、Scala等語言編寫Spark應用程式。這也意味著，將可擴大資料倉儲在串流分析大數據應用範圍。</p> <p dir="ltr"><span style="font-size:28px;"><strong>資料隱私和治理獲得大幅強化</strong></span></p> <p dir="ltr">資料管控更是Redshift資料倉儲要能夠通吃各種資料類型成為統一的資料集散地的關鍵。</p> <p dir="ltr">在今年更新中，AWS也大幅強化了Redshift的安全與可靠性。在安全性上，AWS推出兩項存取控管新功能，前者是動態資料遮罩（Dynamic Data Masking）預覽功能，這是資料保護常見的功能，現在AWS把這項能力放進Redshift中，強化資料隱私和處理。基於該功能，使用者從SQL查詢結果中就只會看到篩選過濾後的內容，對涉及敏感性個資或其他機敏資料就會進行遮敝或模糊化處理，沒有賦予權限的使用者就看不到，防止敏感性資料遭違法蒐集和利用，以確保合乎隱私的要求。</p> <p dir="ltr">後者則是Lake Formation-managed Redshift datashares功能，AWS讓企業也能利用資料湖管理工具Lake Formation管理Redshift的資料共享權限，透過這個集中式管理方式，企業就能使用更精細的存取控制，設定不同角色的資料共享權限，也能確保在不同AWS帳戶或跨區域中，都能安全地共用Redshift叢集即時資料。目前同樣推出預覽板。</p> <p dir="ltr">AWS推出最後一項新功能，則是可以提高Redshift服務可用性。Redshit新增Multi-AZ功能，讓企業可以在多個可用區部署Redshift，藉此可以達到跟其他AWS資料庫服務一樣具備高可用，來確保服務可以全天運作不停機，避免一旦服務中斷，企業就沒辦法透過它提供預測或協助高層加快決策，導致可能造成營運損失的風險。除了可以Redshift RA3實例將數據儲存在Redshift Managed Storage中，也支援常見的災難復原功能，如自動備份、故障轉移等。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154749
【AWS 2023雲端關鍵戰略2】不只資料倉儲、ML服務，AWS揭露全服務資料治理的大戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在年會中，AWS展現出前所未有的資料治理產品布局，從一開始只有少數資料產品具備治理功能，今年不只延伸到資料倉儲Redshift也能支援這項能力，甚至從資料源頭進一步涵蓋到機器學習服務SageMaker，就連新推出的資料管理服務，都把治理作為必備功能，提供企業來運用。AWS對於資料產品策略明顯轉變，更讓資料治理躍升為今年AWS資料產品最重要的發布之一，甚至不只資料產品，AWS更揭露了要邁向一個全服務資料治理的大戰略。</p> <p dir="ltr">資料是企業數位轉型的核心，隨著資料量越來越龐大，許多企業開始發現，光只是蒐集資料、完善資料分析還不夠，要讓企業內部資料容易使用，還要能容易做好法遵或合規，就必須落實資料治理，也因此，許多企業開始重視甚至強調資料治理，而開始受到各界的關注。近年來，各大公雲巨頭也都開始搶進，布局企業資料治理這個新領域。</p> <p dir="ltr"><span style="font-size:28px;"><strong>持續擴大資料治理布局，更多雲端資料產品都支援</strong></span></p> <p dir="ltr">去年年會，AWS推出Lake Formation服務，先在雲端資料湖產品中，開始提供資料治理的功能，到了今年，AWS持續布局資料治理的態勢更加明顯。</p> <p dir="ltr">AWS數據和機器學習副總裁Swami Sivasubramanian在演講中不只重提AWS端到端資料策略，今年更進一步揭露未來端到端的資料治理策略。他表示，要串起組織中所有數據，需要有從建立自動化資料路徑到資料治理工具的一整套解決方案，不只是數據整合，還包含了組織部門、團隊與個人的整合。「通過資料治理，可以為資料斷點、團隊斷點提供一個安全通道，如此一來，企業不同部門之間才能夠彼此協作，並根據獲取的數據來採取行動。」</p> <p dir="ltr">從今年雲端資料產品更新來看，更多資料產品都開始提供資料治理能力。AWS資料倉儲Redshift推出Centialized Access Controls for Redshift Data Sharing預覽版，就是整合治理功能來強化資料存取控管與安全。他們利用Lake Formation資料治理方式來管理Redshift叢集的資料共享，因此可以使Redshift共享資料達到顆粒度更高的權限控管，可以針對單一欄或行，來設定不同角色的存取權限，進而提高資料安全性，使用者既不需要撰寫腳本程式，也不用編寫複雜程式。這也是AWS端到端資料治理策略不可缺少的重要一環。</p> <p dir="ltr"><span style="font-size:28px;"><strong>主打內建治理的資料管理新服務</strong></span></p> <p dir="ltr">不光如此，AWS雲端資料管理服務也都開始支援這項能力。 AWS執行長Adam Selipsky親自發表了新的資料管理服務DataZone，不只提供專案式的資料管理平臺，更主打內建資料治理的功能，可對儲存在AWS中的數據提供資料目錄編制、探索、共享和管理。</p> <p dir="ltr">Swami Sivasubramanian就指出， DataZone最大價值，就是兼具有強大的資料治理控制與存取簡化，使組織中所有人可以很容易查看、組織和協作，將資料價值發揮到最大，加速企業創新。</p> <p dir="ltr">DataZone提供統一資料協作環境（Zone），讓資料專案團隊可以在DataZone中發布所需資料，來提供團隊成員查詢、存取或共享，並搭配治理與存取權限控管，來確保資料使用安全。這樣的好處是，可以大大簡化跨部門或不同專案團隊資料使用、分析流程以及治理策略整合，透過這項服務，不論是資料科學家、資料工程師或行銷人員的資料利用，都能套用一致治理標準來管理，來加快數據分析與應用。</p> <p dir="ltr">AWS對於治理布局不只如此，不只是從資料源頭做好治理，對於用這些資料訓練建立的ML模型也有提供相對應的治理方案。尤其，AI/ML應用當道，企業以ML為基礎的應用越來越多、越來越關鍵，如何透過ML治理打造負責任AI，成了企業IT新課題。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A7%E6%96%87%E5%9C%961-1108-%E5%B0%81%E9%9D%A2-%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAWS.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><strong>AWS發表了新的資料管理服務DataZone，不只提供專案式的資料管理平臺，更主打內建資料治理的功能，可對儲存在AWS中的數據提供資料目錄編制、探索、共享和管理。不論是資料科學家、資料工程師或行銷人員的資料利用，都能套用一致治理標準來管理，來加快數據分析與應用，包含哪些資料可以共享、誰有權使用，以及使用期限等，確保只有授予該資料存取權限的團隊成員才能使用。</strong><span style="font-size:14px;">圖片來源／AWS</span></span></p> <p dir="ltr"><strong><span style="font-size:28px;">SageMaker機器學習服務也加入治理功能</span></strong></p> <p dir="ltr">但以往要做到端到端ML流程治理，對企業挑戰很大，因為一個ML模型的建立，往往牽涉到許多不同團隊協作，彼此相互配合，包括資料科學家、資料工程師，甚至是資料使用者。但要擬定政策做好權限的控管，不僅很花時間，遇到不同使用單位，還得制定不同政策，甚至要與他人共享模型資訊也十分沒效率，常常拿到都已經是舊的資訊。</p> <p dir="ltr">為了解決這個問題，AWS先從最常用的機器學習訓練環境全託管服務SageMaker開始，將ML治理功能帶進SageMaker服務中，來強化企業端到端ML開發的治理和審計。</p> <p dir="ltr">在SageMaker服務中推出3項ML治理新功能，AWS表示，透過這三個功能，就能涵蓋端到端機器學習流程的管理與治理，分別是角色管理器（Role Manager）、模型卡片（Model Cards），以及模型儀表板（Model Dashboard）。</p> <p dir="ltr">一開始決定不同角色使用權限，就是靠Role Manager來定義與擬定政策，因為結合自動化機制，讓原本繁瑣政策建立流程，縮短到幾分鐘內完成。開始建立ML模型時，就會需要用Model Cards集中管理ML模型所有資訊和檔案文件，並採單一數據源（single source of truth）來建構ML檔案狀態更新的機制，以保持ML資訊一致，來涵蓋完整ML模型生命週期。</p> <p dir="ltr">最後，對於部署的ML模型效能表現，也能使用Model Dashboard工具來對ML模型效能進行統一監控，不只提高模型的透明度，當偵測到預測結果明顯偏離預期時就會自動告警，通知相關人員加以處理。</p> <p dir="ltr">「有了這些治理功能就可以幫助企業有責任建構ML治理」Swami Sivasubramanian補充。</p> <p dir="ltr">但資料治理只支援資料湖、資料倉儲、機器學習服務還遠遠不夠。Swami Sivasubramanian直言，想要真正實現端到端治理，需要能夠管理企業所有服務資料存取，「這是我們正在朝向發展的方向」他說。這正是AWS未來邁向一個全服務資料治理的大戰略。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/154751" target="_blank"><span style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" style="width: 600px;" /></a></p> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/news/154750
AWS 2023雲端新戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1108-feng_mian_gu_shi_1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=OxWavp-2" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年人潮回流，超過5萬人參加，但AWS產品策略以擴大和延續為主，儘管看似些小更新，但藏在背後的更大企圖，不只擴大資料倉儲產品廣度，更加快資料治理布局，正是補齊下一階段資料戰略的關鍵拼圖</p> <div> </div> </div></div></div>
2022/12/19 00:00作者余至浩https://www.ithome.com.tw/article/154751
【資安日報】2022年12月16日，向量圖檔SVG被駭客用於偷渡惡意軟體QBot、臉書貼文被用於網釣攻擊鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用PNG、JPG、GIF等圖片檔案挾帶惡意軟體的手法，不時有事故傳出，但現在有研究人員發現，駭客開始運用SVG格式的向量圖片檔案做為媒介。與前述幾種檔案格式有所不同，SVG採用XML語言為基礎並支援嵌入JavaScript，而使得駭客更容易透過惡意JavaScript指令碼發動攻擊。</p> <p>竊取臉書帳號的攻擊行動近期越來越頻繁，然而最近有新的手法出現，不僅幾可亂真，也能騙過大多數資安系統的檢查。研究人員揭露濫用臉書貼文的網釣攻擊，這些貼文號稱是臉書的技術支援中心，並誘導受害者到釣魚網站。</p> <p>Mozilla基金會近期推出Firefox 108、Thunderbird 102.6，美國CISA提出警告，該基金會甫修補的漏洞已出現攻擊行動，使用者應儘速更新。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.talosintelligence.com/html-smugglers-turn-to-svg-images/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">向量圖檔SVG被駭客用於偷渡惡意軟體QBot</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image6-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6-4.png" style="width: 300px; float: right;" /></a>思科的研究人員揭露惡意軟體QBot新的散布途徑，駭客利用向量圖檔SVG，並透過HTML挾持（HTML Smuggling）的手法來傳送這款惡意程式。駭客先是透過竊得的電子郵件，以回覆信件的型式進行釣魚攻擊，並挾帶HTML為附件，一旦收信人開啟該附件檔案，此HTML檔案將會載入SVG圖片，並執行此圖片裡面的JavaScript程式碼，建立惡意ZIP檔案，並向使用者顯示儲存檔案的對話框，收信人依照指示開啟壓縮檔案後，電腦便有可能感染感染QBot。</p> <p>研究人員指出，與過往使用PNG、JPG圖片挾帶惡意程式有所不同的是，SVG是採用XML語言開發的向量圖檔，內含的HTML指令碼標籤會被視為合法功能，再加上QBot最終是在受害電腦上組裝，而能逃過網路安全系統的偵測。</p> <h3><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/meta-phish-facebook-infrastructure-used-in-phishing-attack-chain/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊取臉書帳密的網釣攻擊有新招！駭客濫用臉書貼文逃避資安系統偵測</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/73a7365049742b726de266fcd232d90967147960.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/73a7365049742b726de266fcd232d90967147960.png" style="width: 300px; float: right;" /></a>資安業者Trustwave揭露新型態的臉書帳號釣魚攻擊手法Meta-Phish，駭客假借臉書客服的名義寄送釣魚郵件，聲稱收信人的臉書帳號部分功能遭到停用，原因是收信人發布的貼文違反臉書廣告服務條款，若不依照指示處理，帳號將在48小時被刪除。</p> <p>一旦收信人照做，駭客會將其引至臉書使用者Page Support的貼文，並要求收信人點選貼文裡的URL填寫表單，一旦提交對方所要求的資料，駭客會透過Telegram機器人收集相關內容，進而接管此人的臉書帳號。此外，研究人員提到，為了確認收信人是否上鉤，駭客也濫用Google Analytics來追蹤進度。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/open-source-repositories-flooded-by-144-000-phishing-packages/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">14萬NuGet、NPM、PyPI惡意套件被用於網釣攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image_04-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_04-1.jpg" style="width: 300px; float: right;" /></a>資安業者<a href="https://checkmarx.com/blog/how-140k-nuget-npm-and-pypi-packages-were-used-to-spread-phishing-links/">Checkmarx</a>與<a href="https://medium.com/checkmarx-security/illustria-checkmarx-finds-140k-phishing-packages-6813c27d10ac">Illustria</a>聯手，揭露大規模濫用開源套件庫的攻擊行動，有人在NuGet、NPM、PyPI套件庫上傳了144,294個惡意套件，並透過90個網域架設6.5萬個釣魚網站，目的是對開發者進行網釣攻擊。這些套件疑似透過自動化產生，因為，所有的套件發布者ID存在共通的命名規則，而且這些帳號上傳的套件數量幾乎相同。</p> <p>開發者一旦安裝這些套件，將會被引導到各式各樣的釣魚網站，包含提供冒牌App、獎勵問卷、贈送禮物卡，有些人則被導向全球速賣通（AliExpress）的推薦連結。上述逾14萬個惡意套件，上傳到NuGet的最多，為136,258個；其次是PyPI的7,894個、NPM的212個。</p> <h3><a href="https://www.mandiant.com/resources/blog/trojanized-windows-installers-ukrainian-government"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭政府遭到木馬化的Windows 10安裝光碟鎖定</span></strong></a></h3> <p>資安業者Mandiant揭露自2022年5月出現的攻擊行動，名為UNC4166的駭客組織假借提供Windows 10的安裝光碟映像檔，在俄語與烏克蘭語Torrent共享網站上散布，一旦使用者依照指示安裝此作業系統，電腦就有可能被植入Stowaway、Beacon、Sparepart等後門程式，以便駭客能竊取電腦機密與檔案，並提供能對受害電腦持續存取的管道。</p> <p>研究人員指出，從利用Windows作業系統安裝檔案來散布惡意軟體的手段，看似針對一般民眾而來，但攻擊者會分析受害電腦、確定電腦隸屬烏克蘭政府，之後才會對其發動進一步攻擊。</p> <h3><a href="https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">律師事務所遭到惡意軟體Deathstalker鎖定</span></strong></a></h3> <p>資安業者卡巴斯基在調查惡意軟體Deathstalker的過程裡，發現了自2020年開始行動的變種，此惡意軟體鎖定中東律師事務所的Windows、Mac電腦發動攻擊，並在2021年達到高峰。比較特別的是，駭客濫用YouTube、WordPress.com等多個雲端服務做為Dead-Drop Resolver（DDR），讓Deathstalker成功入侵受害電腦後，破解駭客埋下的訊息而能與C2中繼站連結。</p> <h3><a href="https://www.websiteplanet.com/blog/cornerstone-leak-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">信用卡交易業者曝露9百萬交易資料</span></strong></a></h3> <p>架站教學網站Website Planet資安團隊與研究人員Jeremiah Fowler聯手，發現沒有密碼保護的資料庫，內含9,098,506筆交易記錄與個人資料（PII），包括購買人姓名、付款人姓名、部分信用卡卡號、到期日、電子郵件信箱、驗證碼等。經調查後，資安人員得知該資料庫所有者的身分：總部位於美國加州的Cornerstone支付系統，該公司獲報後，已採取保護措施。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全臺戶政資料外洩事件延燒，立委要求政府儘速對民眾說明</span></strong></h3> <p>根據<a href="https://www.ithome.com.tw/news/153894#taiwan2300">民報10月下旬的報導</a>，有人在駭客論壇兜售全臺戶政資料，並強調是最新的版本而非舊資料，並標榜內有許多政要的詳細戶藉資料。<a href="https://www.ithome.com.tw/news/153924#taiwan2300">內政部、數發部表示經比對駭客提供的資料格式與內政部戶政資料差異很大</a>，研判並非戶政司網站流出，駭客持有的是舊資料。但這樣的說明，難以解釋前述新聞媒體比對後，外洩資料符合民眾現況的情形。</p> <p>對此，有立委在審查預算時，要求政府要進一步說明此事。<a href="https://www.cna.com.tw/news/aipl/202212090115.aspx">時代力量立委邱顯智、王婉諭於12月9日召開記者會</a>，要求政府必須向全國人民說明個人資料被侵害的情況，以及已採取的因應措施。<a href="https://www.ctwant.com/article/226380">民進黨立委賴品妤在14日立法院質詢時</a>，指出國安局在調查報告裡坦承全臺戶政資料遭販賣的情況，而非內政部宣稱是2020年流出的舊資料，國安局發現這次外洩的資料已用於多起詐騙事件，政府應該要再進一步釐清狀況。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://cybernews.com/news/firefox-thunderbird-flaws-allowed-system-takeover/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla修補Firefox、Thunderbird弱點，若不修補恐導致系統遭到挾持</span></strong></a></h3> <p>12月13日Mozilla基金會發布Firefox 108、Firefox ESR 102.6、Thunderbird 102.6，當中修補了高風險漏洞CVE-2022-46878，這項漏洞是該基金會的開發人與模糊測試團隊發現，若不進行修補或緩解，將會導致記憶體中斷，而使得攻擊者有可能藉此執行任意程式碼。另一個同時出現在上述瀏覽器與收信軟體的高風險漏洞，還有CVE-2022-46872，攻擊者一旦成功利用，就有機會讀取任意檔案，不過，此漏洞只有Linux使用者受到影響。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/13/mozilla-releases-security-updates-thunderbird-and-firefox">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，已有駭客將這次Mozilla修補的漏洞用於攻擊行動，並挾持受害電腦。</p> <h3><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-fixes-80-openssl-openssh-flaws-switches" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機修補逾140個漏洞</span></strong></a></h3> <p>12月13日，西門子、施耐德電機發布本月例行修補公告，總共修補超過140個漏洞。其中，西門子發出20則資安通告，提出約140個漏洞的緩解措施，這些漏洞有超過半數與Scalance X-200RNA工控交換器產品線有關，超過80個存在於這些交換器採用的OpenSSL、OpenSSH程式庫元件，本次修補的漏洞涵蓋期間橫跨2013年至2019年，同時，他們也修補OpenSSL嚴重漏洞CVE-2022-3602。</p> <p>同日施耐德電機也修補了6個漏洞，當中有4個存在於不斷電系統APC Easy UPS的監控軟體，其中的CVE-2022-42970、CVE-2022-42971的CVSS風險層級達到了9.8分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fubotv-says-world-cup-streaming-outage-caused-by-a-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">體育頻道FuboTV遭到網路攻擊，導致世足轉播中斷</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-leak-personal-info-allegedly-stolen-from-57m-gemini-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">570萬加密貨幣交易所Gemini用戶個資外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/social-blade-confirms-breach-after-hacker-posts-stolen-user-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">社群網站分析平臺Social Blade證實資料外洩</span></span></strong></a></p> <p><a href="https://salt.security/blog/missing-bricks-finding-security-holes-in-lego-apis"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">二手樂高市集網站API存在漏洞，恐讓駭客挾持用戶帳號</span></span></strong></a></p> <p><a href="https://www.taiwannews.com.tw/en/news/4743272"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣逾700臺視訊監視鏡頭畫面外洩，疑採用華為晶片所致</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154727">【2022年12月15日】 SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> </div></div></div>
2022/12/16 18:08作者周峻佑https://www.ithome.com.tw/news/154770
2022年TeamT5臺灣APT攻擊研究出爐：觀察109起APT攻擊行動，26個受駭單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對詭譎多變的國際政治情勢，以及地緣政治的衝擊時，具有獨特政治角色的臺灣，持續是網軍鎖定攻擊的對象。</p> <p>根據臺灣資安公司TeamT5（杜浦數位安全）技術長李庭閣日前揭露的研究顯示，截至今年11月1日為止，臺灣總計發生109起APT攻擊事件，而這段期間，該公司已協助9個客戶進行深入分析與應變，並對其他26個包括政府、企業與學校的受駭單位，進行資安通報。</p> <p>他表示，上述發動APT攻擊，大多來自中國駭客組織，其中，只有一起攻擊事件，是由北韓駭客組織Lazarus發動。</p> <h2><strong>政府、軍方和資服業者是主要受駭者</strong></h2> <p>若進一步分析這些遭受到APT攻擊的受駭產業，李庭閣表示，政府和軍方是駭客主要攻擊的對象，第二大受攻擊的對象居然是資訊科技產業，以受駭比例來看，2021年是12％，2022年上升到15％。</p> <p>他指出，資訊科技產業為不同產業提供各種資訊服務，而駭客攻擊採取迂迴攻勢，當他們成功攻陷資服業者時，就可以以此作為攻擊其他產業的跳板，再滲入軍方、政府和其他各大公司行號，進行供應鏈攻擊。</p> <p>從受駭產業排名來看，線上博奕產業排名第三，媒體產業則位居第四。線上博奕產業為何成為遭受駭客攻擊的對象？李庭閣表示，中國政府想要做到維穩，並且積極進行反貪腐、防範資金外逃，而最容易成為把錢洗出中國的線上博奕產業，就成為駭客組織想要掌握、攻擊力道加深的主要原因；至於媒體產業之所以名列第四的受駭產業，他認為跟臺灣十一月的縣市長與縣市議員選舉有關，在這4大受駭產業之後，還有智庫、電信、能源、NPO，也都是受到攻擊的產業與領域。</p> <p>若再進一步分析攻擊族群，李庭閣表示，最主要發動攻擊的駭客組織，就是阿米巴Amoeba（亦稱 APT41、Barium、Winnti），其次就是畫皮Hupai（亦稱為BlackTech、Plead），以及攻擊線上博奕產業為主的Slime29。</p> <p>他說，今年超過20個駭客組織對臺灣發動攻擊，其中包括9個不同駭客組織，以及12個Slime相關的駭客組織發動攻擊。至於排名第一的阿米巴Amoeba，以及位居第二的畫皮Hupai，不論是2021年或是2022年，兩者幾乎都貢獻全年一半左右的攻擊量。</p> <p>若比對2021年的攻擊來源，第一名、第二名與2022年一樣，但第三名換成Goushe，根據TeamT5研究指出，Goushe近一、兩年的攻擊行動，主要鎖定交通運輸部門和產業，部分鎖定能源和政府單位發動攻擊。根據TeamT5對Goushe追蹤了近十年的研究結果顯示，該族群可能接受所屬單位指令來監控臺灣的關鍵基礎設施，並在關鍵時刻針對這些單位進行控制和接管。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/APT%E9%A7%AD%E5%AE%A2%E7%B5%84%E7%B9%94_TeamT5(1).png" style="width: 600px; height: 374px;" /></p> <blockquote><p>臺灣資安公司TeamT5杜浦數位安全技術長李庭閣表示，排名第一名的阿米巴Amoeba和第二名畫皮Hupai駭客組織，幾乎貢獻2022年全年一半左右的攻擊量。</p> </blockquote> <h2><strong>偏好用合法工具打包惡意程式，Cobalt Strike最受歡迎</strong></h2> <p>關於2022年駭客族群最常使用的惡意程式，TeamT5這份研究的結果指出是Cobalt Strike，這也是過去三年駭客組織最常使用的惡意程式。李庭閣進一步解釋這個現象，他說，Cobalt Strike是滲透測試或紅隊演練常使用的攻擊框架，Cobalt Strike Beacon則是從 Cobalt Strike攻擊框架所產生的惡意Payload。雖然Cobalt Strike是商業付費工具，但是，經過駭客破解並在許多論壇或網站流傳，因此，有許多駭客皆透過它進行惡意攻擊。</p> <p>排名第二的DbgPrint、位居第四的Bifrost，以及第六名的SSHTD，都是駭客組織畫皮Hupai最常使用的RAT（遠端存取木馬）工具；至於今年排名第三的ShadowPad則已經超過PlugX，成為中國駭客組織最喜歡使用的惡意程式。</p> <p>若進一步分析這些惡意程式的趨勢，李庭閣觀察到這些惡意程式出現高度的差異化，相關的中國APT駭客組織喜歡在不同階段搭配不同攻擊武器，每個APT組織至少使用5個以上的惡意程式。</p> <p>他表示，若分析這些中國APT駭客組織的模式，他們偏好在偵查（Recon）和初次訪問（Initial Access）的階段，使用開源和現成的紅隊工具來發動攻擊。</p> <p>在成功入侵後，因為這個環境相對複雜，也必須保持動態的發展，所以，駭客大多傾向布下二階段或三階段的後門程式，有利於做到企業內部的橫向移動、滲透到不同單位。此時，像是多個駭客組織愛用的惡意程式，從最早的PlugX、ShadowPad，近期則開始採用的模組化後門程式Pangolin8RAT，這是因為，Pangolin8RAT支援不同的通訊協定，不僅可以做到高度客製化，更只存在記憶體中，難以被發現。</p> <p>在此同時，他也觀察到這些惡意程式因為變得更複雜，所以更難分析；而且，這些駭客組織開始將中繼站（C2）部署在雲端平臺上，不僅可以規避網管人員的偵查，也有利於彼此透過SSL加密進行溝通；此外，這些網路攻擊也經常利用合法工具來控制受駭機器，包括：SoftEther VPN、AnyDesk、TeamViewer等。更重要的是，已經有越來越多惡意程式能規避EDR（端點偵測回應）的偵測。</p> <p>李庭閣認為，2022年與2021年威脅情勢發展有其一致性，包括政府組織、智庫以及關鍵基礎設施等，仍然是中國駭客組織主要鎖定攻擊的標的，而且，也會透過很多IT服務供應商作為跳板、進行供應鏈攻擊。他表示，臺灣產業受駭情況不僅日趨嚴重，更重要的是，受駭標的變多，使用的惡意程式也更多樣。</p> <p>他觀察這些中國APT駭客組織，不僅高度分工且專業化，也願意花更多心力避免被外界發現、被工具偵測到，所以會積極研發更多樣的惡意程式、避免被EDR產品偵測到，更重要的是，會隱身在各種合法工具和雲端平臺中，都可以大幅降低被發現的機率。</p> <h2><strong>網路戰癥兆：關注中國是否有不尋常網路演習及APT組織整併</strong></h2> <p>過去十年來，針對臺灣發動APT攻擊的幕後主使者，李庭閣指出，以往是以中國解放軍為主，但解放軍現在已經整合到中國戰略支援部隊，另外還有中國國家安全部及公安部。「倘若兩岸發生真正的網路戰，將由戰略支援部負責指揮作戰，並整合三個單位的網路高手一起作戰。」</p> <p>至於，要如何觀察中國是否會有大規模的軍事動員行動呢？他認為，可以觀察兩個面向。第一個，是否出現不尋常的大規模網路管制行動，以及不尋常的、大規模的網路攻防演練；第二個，觀察這些APT組織防守範圍是否開始整併，畢竟，多數APT組織都存在著既有的負責領域，異常的整併就是重要癥兆。</p> <p>李庭閣表示，未來中國對臺灣發動網路戰爭，將會鎖定：通訊系統、關鍵基礎設施、政府部門攻擊外，也會發動資訊戰作為搭配。</p> <p>他說，若是針對通訊系統發動攻擊，包括電信公司、無線電業者、網路業者，以及軍方的指管通勤（C4SIR）系統都是可能的攻擊標的。若進一步分析攻擊的手段，除了直接切斷海底電纜，禁用各種行動通訊基地臺，也可能在受駭的關鍵網路中，植入會刪除和破壞資料的Wiper惡意程式，也可能發動DDoS攻擊，以癱瘓DNS伺服器。</p> <p>至於這樣攻擊的後遺症，除了會讓臺灣在全球網路空間被噤聲，與外界隔絕，人與人之間的交流也被隔絕，阻礙臺灣的動員和協調合作，同時，也會恫嚇臺灣民眾並削弱臺灣人的戰鬥意願。</p> <p>另外，他提到，駭客組織若是鎖定攻擊關鍵基礎設施，對象包括能源、交通運輸系統和金融系統等；在攻擊手段方面，則會採取將具有刪除和破壞資料的Wiper惡意程式，植入會影響到我們日常生活的關鍵基礎設施系統；而這麼做的目的，就是讓臺灣民眾的生活陷入混亂的無秩序狀態，讓臺灣官方疲於奔命，也可以妨礙臺灣的相關動員。</p> <p>至於駭客攻擊政府組織，包括政府網站、實體單位、媒體等等，通常會採取發動DDoS（分散式阻斷式攻擊）或是Defacement（網頁置換）的手段，藉此癱瘓政府網站的正常運作；這些攻擊帶來的後果就是，阻止臺灣官員向民眾或是其他國家發送訊息，也可以向臺灣民眾和外界傳遞假消息，而這也是攻擊者一種實力的展現。</p> <p>李庭閣表示，資訊戰通常會發生在「開戰之前」，也就是說，透過散布反戰言論，進而分裂美、日等親臺國家，並阻礙其對臺灣的支持之外，也會降低民眾對臺灣政府的信任程度；至於在戰時，則透過和臺灣內部人士的合作，塑造中國的戰略優勢，更做到貶低臺灣政府和軍隊的可信度，像是今年二月發生的烏俄戰爭，就是最明顯的例子。</p> <p>從整個資訊戰來看，網路攻擊往往早於實體攻擊外，網路攻擊也是很好的支持力量；而這些發動網路戰的單位，也會和發動APT攻擊的組織相互呼應，讓這些網路戰更為真實、更有影響力，畢竟，臺灣面對的是一個準備超過20年的敵人。</p> </div></div></div>
2022/12/16 14:55作者黃彥棻https://www.ithome.com.tw/news/154758
GitHub公開儲存庫現在也可以使用秘密掃描功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/changelog/2022-12-15-secret-scanning-is-now-available-for-free-on-public-repositories/">GitHub</a>現在逐步向公開儲存庫推送秘密掃描功能，用戶將可以在秘密洩漏時獲得警報，GitHub也會通知其合作夥伴以採取保護措施。</p> <p>官方提到，秘密和憑證外洩是資料洩漏最常見的原因。GitHub與服務供應商合作，透過秘密掃描合作夥伴計畫，掃描儲存庫中200多種權杖格式，標記所有公開儲存庫中洩漏的憑證，並通知秘密掃描合作夥伴，採取積極保護措施。光在2022年，GitHub就已經向秘密掃描合作夥伴，通報超過170萬個公開儲存庫中潛在的秘密，避免這些權杖遭到濫用。</p> <p>而GitHub現在針對公開儲存庫，推出機密掃描公開測試版本，並預計在2023年1月底，擴展至所有用戶。一旦儲存庫獲得機密掃描警報功能，便可以在程式碼安全和分析配置中，從儲存庫的配置中啟用，並在儲存庫的安全頁籤裡的漏洞警報面板，查看系統偵測到的秘密。</p> <p>秘密掃描警報在偵測到用戶洩漏的權杖，除了會通知用戶，同時也會通知秘密掃瞄合作夥伴，以迅速採取保護措施，當然，在GitHub無法通知合作夥伴的情況下，像是自託管的HashiCorp Vault金鑰洩漏，用戶仍會收到機密警報。</p> <p>用戶隨時都可以追蹤所有警報，並且深入了解洩漏來源，並且對警報採取稽核行動。GitHub表示，在公開儲存庫中使用秘密掃描警報，能夠讓用戶更有自信地建構開源專案。</p> <p>除了秘密掃描警報功能，GitHub也推出了其他兩項小更新，其一是GitHub企業雲休眠用戶報告現在正式上線，該報告可以顯示90天內未活動的企業成員。另外，在私有儲存庫可重用工作流程，現在能夠和同一組織、使用者帳戶或是其他有私儲存庫共享。</p> </div></div></div>
2022/12/16 16:31作者李建興https://www.ithome.com.tw/news/154767
剖析區塊鏈應用亂象
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1216-jia_mi_huo_bi_de_zhen_xiang_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為區塊鏈具有確保交易紀錄無法竄改的特性，因此許多人想到把它拿來做各種應用，例如：電子商務、學歷證明、病歷分享、民意調查、能源交易、生產履歷、供應鏈物流、專利著作權等。實際上，目前大部分的應用都是「為區塊鏈而區塊鏈」，而且許多企業使用區塊鏈的方法其實是沒有意義的，例如：使用「私有鏈」或「假聯盟鏈」卻宣稱「無法竄改」，結果只是成為唬外行人的把戲而已。簡單的說，目前的情況就是用區塊鏈可以做，不用也可以做，而且大部分不用還做得更好。用區塊鏈解決了某些問題，但是又製造了某些問題，那為什麼要用區塊鏈？</p> <p>凡此種種，使得區塊鏈變成內行人唬外行人的噱頭，變成一種行銷手法。新創公司不用區塊鏈就不夠「新創」，傳統企業不用區塊鏈就沒有「創新」，這些都是對區塊鏈的誤解所造成的。因為「科技創新」是一個很好的行銷話題，這和技術完全無關。你不覺得當某某公司說要用區塊鏈來做○○○應用，聽起來就很威嗎？因為大家不知道什麼是區塊鏈，而人們對自己不知道的東西都有敬畏之心，這有利於新產品的行銷推廣，也是目前區塊鏈最重要的用途之一。</p> <p>當然，許多生意模式的成功，其實一開始就是靠「唬」出來的。意思是，雖然我用新技術唬大家，但是因為大家不了解，誤以為用這個新技術很酷，就紛紛使用，最後因為大家都使用，就成功了！這件事情是有可能發生的，因此目前許多企業使用區塊鏈的方法雖然沒有意義，還是有可能會成功，至於這麼用區塊鏈到底對不對，早就不重要了！</p> <p>從商業的角度，「唬外行人做行銷」也是一種很重要的功能，但是要記得：當我們唬別人的時候，必須很清楚知道自己是在唬人，如果唬到連自己都被唬住，那就貽笑大方了！</p> <p>區塊鏈熱潮讓我想起20年前的「奈米科技」，全球瘋狂舉辦各種研討會、高峰會，世界各國都投入大量資源研究奈米科技。可能有人還記得，當時有廠商開發出號稱噴在室內可以消毒殺菌的「奈米光觸媒」，還宣稱總統府率先使用，因此稱為「總統級奈米光觸媒」。所謂的奈米光觸媒，其實是二氧化鈦的奈米粒子，尺寸必須小於100奈米，必須是銳鈦礦相（某一種原子排列方式），而且必須用足夠強度的紫外光照射數小時才有效果。但是室內沒有紫外光，用在室內根本無效，問題是廠商哪管這些？大家到底懂不懂不重要，先把客戶「唬」進來再說，顯然是拿「奈米科技」當噱頭，唬外行人做行銷而已！</p> <p><span style="font-size:28px;"><strong>區塊鏈真正的功能到底在哪裡？</strong></span></p> <p>前面談到區塊鏈80%的應用是「唬外行人做行銷」，從商業的角度，「唬外行人做行銷」也是一種很重要的功能。那麼，除了用專有名詞唬外行人，區塊鏈還有沒有實際的功能呢？</p> <p>我們用近年來政府全力推動的「金融函證區塊鏈」來說明，會計事務所每年都要對企業查帳，以前會計事務所、受查企業、金控銀行必須用紙本公文往返溝通，由會計事務所發函受查企業同意查帳，再發函金控銀行收集帳務資訊，才能讓銀行把企業帳目交給會計事務所查核。這裡有帳目造假的可能，而且紙本公文往返也浪費許多時間。但是只要所有會計事務所與銀行加入「金融函證區塊鏈」，銀行將所有資料直接上傳區塊鏈，會計事務所直接到區塊鏈下載資料，就可以完成查核工作，不但使用方便，而且因為區塊鏈去中心化、不可竄改、可以信任，因此這樣的運作模式更好，你覺得對嗎？</p> <p>如果我們把「金融函證區塊鏈」換成一台「金管會伺服器」，不是全部都做到了嗎？是因為我們懷疑銀行會上傳假資料到金管會伺服器嗎？如果是這樣，那用區塊鏈也防不了呀！還是我們懷疑金管會可能竄改伺服器的資料？</p> <p>金融函證之所以必須使用區塊鏈來做才能成功，不是因為技術，而是因為商業模式。這裡我們用一個比較俏皮的比喻來說明，雖然不完全正確，但是容易理解：金管會是老大，問題是，要架一台伺服器管理全臺灣所有企業的審計相關資料，是個龐大的工程，必須組建一個工程團隊來維持營運，而金管會主要的職責是監督管理，不是金融營運，所以「老大不想當老大」，理所當然。</p> <p>那麼老二架一台伺服器總可以了吧！金融函證區塊鏈目前是由財金資訊公司建置，請財金資訊公司架一台伺服器，為什麼也不行呢？理論上當然可以，但是因為「大家都想當老大」，為什麼財金資訊公司架一台伺服器，會計事務所和金控銀行就要買單？因此只有使用「金融函證區塊鏈」，才能把大家都拉進來玩這一局。每家公司都可以是一個節點，大家地位平等做生意，又可以用「金融創新」作為口號來行銷，不是更容易讓人買單？</p> <p>所以區塊鏈20%的應用是讓大家「地位平等做生意」，當「老大不想當老大、大家都想當老大」，那就區塊鏈吧！撇開複雜的技術不談，這是目前區塊鏈最大的意義。我們再把這個模式套到醫療病歷、農產履歷、學歷證明，就會發現全部都是相同的理由，因為老大健保局、農委會、教育部不想當老大，所以就讓民間公司來做，問題是這些民間公司都太小，如何說服醫院、農會、學校這些大傢伙一起加入呢？那就「區塊鏈」吧！</p> <p>事實上，並不是所有的老大都不想當老大，別忘了農委會也有一個「產銷履歷」，把資料儲存在一台電腦裡（中心化），事實上做得很好，那為什麼還需要私人企業建置農產履歷區塊鏈？因為私人企業如果用一台電腦建立農產履歷，誰會用呢？只有使用「農產履歷區塊鏈」，才能把農產品的上游供應商、中游製造商、下游經銷商都拉進來玩這一局，每家公司都可以是一個節點，大家地位平等做生意，而且「科技創新」是一個很好的行銷話題，這樣才能說服眾人，不是嗎？</p> <p>使用區塊鏈除了能讓大家地位平等做生意，有些人認為把資料去中心化，分散儲存在幾千台、幾百台、幾十台電腦（節點），會有許多好處，例如：怪客攻擊一台電腦也沒用，或是其中一台電腦故障了也沒關係，因為還有其他許多電腦保存正確的資料，因此使用區塊鏈能夠確保資訊安全。這樣的說法都似是而非。</p> <p>把資料分散儲存，確實可能有這些好處，但是目前的資料中心原本就是用分散的方法在備份資料，並不需要什麼區塊鏈。而且把資料集中保管，可以建立嚴密的防火牆來阻擋怪客，但是當我們把資料去中心化，分散儲存在幾千台電腦，因為成本考量，很難針對幾千台電腦建立嚴密的防火牆，這可能反而讓怪客有可乘之機。此外，因為區塊鏈大部分有使用許多演算法來運算，這會限制資料庫的使用條件。這些都是代價，當我們這麼做時，要先問問自己「為什麼」？因此我才說，用區塊鏈解決了某些問題，但是又製造了某些問題。</p> <p>以金融函證區塊鏈為例，大型企業在各家銀行的帳目資料不算小，因此不可能全部上傳區塊鏈，事實上也沒必要。可能的做法是，將帳目資料經由雜湊演算法運算出來的「雜湊值（Hash）」上傳區塊鏈（去中心化），這是函證最重要的功能，當然也可以上傳一台伺服器（中心化）來做，用與不用，不是技術問題，而是商業模式。只是要記得，企業財報造假，一般都是企業提供假資料，而不是竄改已經寫入的資料，而驗證資料真假這件事，區塊鏈幫不上忙。<strong><span style="color:#696969;">（本文摘錄整理自《加密貨幣的真相》第五章，先覺出版提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E7%9A%84%E7%9C%9F%E7%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%88%E8%A6%BA%E5%87%BA%E7%89%88.png" style="width: 500px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">加密貨幣的真相：揭穿區塊鏈無本金融的國王新衣</span></strong></p> <p><strong>曲建仲（曲博）／著</strong></p> <p><strong>先覺出版</strong></p> <p><strong>定價：410元</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%8A%A0%E5%AF%86%E8%B2%A8%E5%B9%A3%E7%9A%84%E7%9C%9F%E7%9B%B8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%9B%B2%E5%8D%9A%E7%A7%91%E6%8A%80%E6%95%99%E5%AE%A4.png" style="width: 130px;" /></p> <p><strong>曲建仲（曲博）</strong></p> <p><strong>臺灣大學電機工程學系博士，曲博科技教室YouTube頻道、知識力專家社群創辦人。</strong></p> <p><strong>現任政治大學科技管理與智慧財產研究所、輔仁大學科技管理研究所、東吳大學企業管理研究所兼任助理教授，曾榮獲中華民國九十六年度優秀青年工程師獎章，並獲總統召見訓勉。曾擔任美商德州儀器公司市場行銷與資深應用工程師，獲頒最佳新人獎與技術傑出獎。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源_曲博科技教室</span></span></p> <p> </p> </div></div></div>
2022/12/16 12:56未署名https://www.ithome.com.tw/article/154756
雲端下水道工程改造中
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要了解一座城市的先進程度，要從看不見的地方著手。下水道正是城市發展背後的隱形關鍵基礎設施。</p> <p>下水道普及率越高，不只反映出一個城市的衛生越好，可以容納越多生活人口，甚至更能抗災，不怕颱風暴雨，就算局部地區淹水，也能快速排解，下水道工程正是城市治水的關鍵。</p> <p>下水道的科技應用，更影響了城市發展的型態，工業都市需要工業廢水處理廠，下水道管線中的光纖則讓都市更數位化。</p> <p>雲端世界也有下水道！若以一棟棟大樓來比喻各種雲端應用或雲端服務，雲端世界就像是蓋滿了各類用途大樓的超大型城市，而雲端服務、雲端應用、資料儲存處之間的資料網絡，就像是雲端世界的下水道。</p> <p>一座小城市要發展成大都會，不只是興建更多大樓就好，看不見的基礎設施也要跟著升級。若要從大都會，再更進一步變成世界級都市，不只要引進打造摩天大樓的新世代建築技術，更得重新改造看不見的地面下基礎設施，發展更系統性和現代化的下水道網絡和各類汙水處理系統，才能支撐起更高、更先進的摩天大樓。</p> <p>這幾年，數位轉型帶動了IT現代化技術的進化，雲原生技術成為主流，這就像是打造摩天大樓的新世代技術，企業比過去更容易打造出服務千萬人，甚至上億人的全球性服務架構，但和發展世界級都市一樣，不只大樓建築技術要提升，城市下水道網絡也得全面翻新才行。</p> <p>這正是為何，在雲原生技術成為主流之後，今年兩大雲端巨頭，Google和AWS，先後不約而同都聚焦資料產品線的改造，而且都是聚焦雲端資料倉儲和雲端大數據分析領域，這正是雲端下水道工程的新世代技術。</p> <p>Google Cloud執行長Thomas Kurian在今年Next大會揭露了Open Data Cloud新戰略，宣稱要做到「可以聚集和分析來自所有來源，所有儲存格式，所有雲端供應商的所有資料，來提供各種形式的存取。」核心產品是BigQuery，從過去十年的結構化分析平臺，從今年開始轉為通吃結構和非結構的通用型分析平臺，更打通了與雲端儲存服務、串流大數據Spark、各類商用資料庫，甚至直通到AI應用開發流程，都能以BigQuery為資料集散地來流通。</p> <p>而剛結束的re:Invent大會，AWS執行長Adam Selipsky也提出了一個新的企業數據產品戰略，他的願景是，「面對複雜的資料規模挑戰，企業需要一套完整工具，可以處理各種資料類型，並將這些資料整合，然後提供治理和安全性，還要能夠以視覺化呈現，方便掌握和快速傳遞，來獲得對於公司業務有價值的洞察。」</p> <p>AWS的策略是盡量將各種分析服務Serverless（無伺服器）化，AWS除了原本能用於無伺服器型態的互動式查詢服務Athena、資料串流服務Kinesis、資料整合服務AWS Glue以及BI服務QuickSight之外，去年宣布AWS資料倉儲服務Redshift支援無伺服器服務，今年陸續將大數據處理平臺EMR、即時分析工具MSK也提供無伺服器服務。</p> <p>到了年底今年年會中，更推出了搜尋和分析引擎服務OpenSearch的無伺服器服務預覽版。Adam Selipsky強調：「沒有人像我們可以做到所有分析服務都能提供Serverless。」</p> <p>Serverless可比喻成AWS的下水道技術，因為要將各式雲端服務轉換成無伺服器服務模式的背後，其實就已經串起了這項服務的各種資料連結，才能將一項服務無伺服器化。</p> <p>AWS雲端下水道系統的終點是Redshift，這裡正是AWS企業數據產品戰略的核心。Redshift今年不只強化zero-ETL技術，無縫打通數據雲端服務Aurora到Redshift的資料通路，更內建了串流大數據分析平臺Spark的連接器，不需再使用第三方整合工具，可以快速將資料從Redshift拋轉到Spark。</p> <p>一座城市，有了更好的下水道系統，就能具備更好的治水能力，不怕颱風暴雨而淹水，才能讓都市容納更多人口和更多元化的發展。雲端巨頭們正在改造雲端世界的下水道工程，勢必帶來更大規模、更多新型態雲端應用出現的可能。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div><div class="field-item even"><a href="/tags/google">google</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E5%80%89%E5%84%B2">資料倉儲</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E6%95%B8%E6%93%9A%E5%88%86%E6%9E%90">大數據分析</a></div></div></div>
2022/12/16 13:17作者王宏仁https://www.ithome.com.tw/voice/154746
Google Workspace拿下5萬美國海軍用戶授權訂單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/public-sector/building-bridges-and-ships-google-public-sector-helps-us-navy-better-collaborate" target="_blank">Google政府業務部門本周宣布</a>為美國海軍5萬用戶提供Workspace、Google Voice、Google Meet作為協同及語音通訊工具。</p> <p>Google工具將提供給美國海軍海洋體系司令部（Naval Sea Systems Command）下、位於日本佐世保港及橫須賀港基地的海軍船艦維修設施及日本區域維護中心（Ship Repair Facility and Japan Regional Maintenance Center，SRF-JRMC）。SRF-JRMC角色是為美國海軍近100艘船艦提供日常維修及重大修復，當地約有5萬名美國海軍。</p> <p>這些工具將解決SRF-JRMC兩項問題，一是SRF-JRMC的海軍與美國其他同僚的加密通話，二是和日本維修基地3,000多名日籍約聘員工溝通。透過部署Google Workspace，美國海軍將可使用Google Voice的VoIP通訊功能在基地或家中，與位於本地的同僚或其他單位進行溝通軍事事宜。另外，基地人員也試用Google Meet的英日翻譯字幕功能，可在與日籍員工視訊會議時協助溝通。</p> <p>Workspace也可用於員工視訊面試，藉由提供特定國家專屬的撥入號碼，可為美國海軍省下每月數千美元的費用。SRF-JRMC海軍並利用Google Workspace其他雲端工具，如Google Drive、Google Docs簡化日籍維修員工招聘</p> <p>此外，在疫情期間，美國海軍也利用原名Google Data Studio的Looker Studio製作COVID-19疫情儀表板，。這項工具可自定義報告，自動化更新當地就醫人數、蒐集疫情資訊及防疫指引等資料。Google說利用這項工具，SRF-JRMC當地IT部門2小時就完成儀表板製作。</p> <p>這是Google Cloud最新的美國政府訂單。<a href="https://www.ithome.com.tw/news/153676" target="_blank">Google 10月簽下美國陸軍（US Army）</a>，將為25萬用戶提供雲端生產力應用Workspace。</p> </div></div></div>
2022/12/16 12:33作者林妍溱https://www.ithome.com.tw/news/154755
Windows Server更新引發Hyper-V VM啟動，以及App以ODBC連線SQL Server失敗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二釋出的Windows Server更新引發在Hyper-V啟動虛擬機器（virtual machine，VM），以及App以ODBC連線存取SQL Server時出現錯誤訊息的情形，微軟正在製作修補程式解決。</p> <p>微軟在本周的Patch Tuesday中釋出Windows Server 2022服務堆疊更新（servicing stack update，SSU）20348.1300版。這主要屬於功能品質更新。<a href="https://support.microsoft.com/en-us/topic/december-13-2022-kb5021249-os-build-20348-1366-d5fe7608-bc9d-4055-a88c-fb2fd3d5fd45" target="_blank">根據微軟說明</a>，在SDN配置的System Center VMM（SCVMM）管理的Hyper-V主機上安裝這版更新時，用戶可能在將網路卡（NIC，或Network Adapter）加入到VM網路，或是網路卡連到VM網路的新VM時會接到錯誤訊息。</p> <p class="rtecenter"><a href="http://support.microsoft.com/en-us/topic/december-13-2022-kb5021249-os-build-20348-1366-d5fe7608-bc9d-4055-a88c-fb2fd3d5fd45" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1216-KB5021249.png" style="width: 600px;" /></a></p> <p>微軟說，Windows Server 2019、Server 2022及AzStack HCI受到影響。不過也只有在安裝後才加入網路卡的VM才有問題，現有已經加入網路卡的VM安裝本更新時則沒有這情形。</p> <p>本更新引發另一問題是，安裝更新後，App經由ODBC SQL Server Driver （sqlsrv32.dll）使用ODBC連線存取資料庫時會無法連線，且用戶會收到App或SQL Server的錯誤訊息。若無法判斷是App或SQL Server受影響，微軟建議在提示視窗下輸入指令：tasklist /m sqlsrv32.dll。如果顯示有任務，則表示是App受影響。</p> <p>對這兩個問題，微軟都表示正在製作修補程式，將在完成後，另行於之後的更新中釋出。</p> <p>對於Hyper-V的問題，在有修補程式之前，萬一企業大量主機出現錯誤訊息，微軟也提供指令，以暫時緩解大量部署VM的環境問題。管理員可在SCVMM管理的Hyper-V主機上開啟系統PowerShell視窗，輸入以下指令：</p> <pre> $lang = （Get-WinSystemLocale）.Name C:\Windows\system32\wbem\mofcomp.exe C:\Windows\system32\wbem\ $lang \VfpExt.mfl C:\Windows\system32\wbem\mofcomp.exe C:\Windows\system32\wbem\VfpExt.mof</pre> </div></div></div>
2022/12/16 11:24作者林妍溱https://www.ithome.com.tw/news/154752
Meta、微軟、AWS等合組Overture Maps基金會，共推電子地圖互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.linuxfoundation.org/press/linux-foundation-announces-overture-maps-foundation-to-build-interoperable-open-map-data" target="_blank">微軟、AWS、Meta、及荷蘭電子地圖公司Tomtom四家業者昨（15）日宣布</a>合組Overture Maps基金會，推動電子地圖資料的共享、互通與再利用，提升地圖服務的豐富性及正確性。外界相信這也是共同對抗Google之舉。</p> <p>Overture基金會的宗旨是建立簡單好用、可互通的開放地圖資料集，允許各會員廠商貢獻各自的資源和資料以打造這個地圖資料集，確保資料完整、正確及能隨時更新。這些地圖資料可在開放資料授權下開放成員使用及延伸，以便在這基礎上打造各自的服務。</p> <p>Overture Maps基金會是由這4家地圖服務業者所創，不過將代管於Linux基金會。除了AWS、Meta、微軟和TomTom，Overture Maps基金會也開放其他廠商加入，貢獻更多資料和訊號，協助改善地圖。</p> <p>Linux基金會指出，今日電子地圖的開發商面臨許多挑戰。從多個不同資料源蒐集和組織高品質、完整的新資料相當困難，成本也高。不同資料集經常以各自語彙和格式參照同一組資料，彼此難以合併，這使得地圖資訊容易出現訛誤和不一致。此外這些開放地圖資料也欠缺結構化，而難以在上面開發商業化服務和產品。</p> <p>Overtures Maps基金會會員貢獻的資料將能解決上述問題，並補強現有開放地理空間資料。Overture Maps專案計畫整合成員以電腦視覺和AI/ML技術建立的新地圖，以及現有公開地圖資料集，像是OpenStreetMaps和各市政府規劃局的資料，打造即時性的地圖記錄。其次，Overture將打造一個全面實體參照系統，將不同資料集的實體連結到同一個真實世界的實體，以簡化互通，這讓開放地圖資料將可支援實體參照系統，允許整併其他資料集，以開發更豐富的地圖應用。</p> <p>此外Overture將提供資料檢核的流程，以偵測地圖資料的錯誤、紊亂、缺失，確保資料可用於營運系統。最後，Overture將定義一組結構化的共同資料綱要（data schema），以提高地圖資料的易用性。</p> <p>Overture Maps基金會陣容明顯少了Google和蘋果，<a href="https://techcrunch.com/2022/12/15/meta-microsoft-aws-and-tomtom-launch-the-overture-maps-foundation-to-develop-interoperable-open-map-data/" target="_blank">媒體因此猜測</a>集結目的是為了對抗Android及iOS平臺上各據一方的地圖巨人。</p> <p><a href="https://www.ithome.com.tw/news/82408" target="_blank">微軟的地圖資產來自2013年以72億美元買下Nokia的HERE</a>，<a href="https://www.ithome.com.tw/news/141714" target="_blank">Amazon在2020年公布地圖和定位服務Amazon Location</a>。TomTom則是在美國禁止Google技術出口中國後，<a href="https://www.ithome.com.tw/news/135465" target="_blank">於2020年取代Google Maps獲得華為裝置採用</a>。</p> </div></div></div>
2022/12/16 11:35作者林妍溱https://www.ithome.com.tw/news/154753
微軟明文禁止用戶以該公司服務挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/licensing/terms/product/ForOnlineServices/MCA" target="_blank">微軟近日更新其線上服務（Online Services）的通用授權條款（Universal License Terms）</a>，並在「可接受使用政策」（Acceptable Use Policy）中，明文禁止用戶在未取得微軟的書面同意前，就利用任何線上服務來挖礦，且新條款已在今年的12月1日生效。</p> <p><a href="https://www.theregister.com/2022/12/15/microsoft_online_services_cryptomining_ban/" target="_blank">微軟向《The Register》解釋</a>，這是因為開挖加密貨幣可能會讓微軟的線上服務受損或中斷，且這類用戶經常與網路詐欺及濫用攻擊有關，像是未經授權存取客戶資源等，此一措施是為了保護客戶並降低微軟雲端服務受損的風險。</p> <p>該規定於12月1日生效，<a href="https://www.microsoftpartnercommunity.com/t5/Azure-Solution-Area/Important-actions-partners-need-to-take-to-secure-the-partner/td-p/82850" target="_blank">適用於於所有新的授權</a>，既有授權也必須在更新時遵守新的「可接受使用政策」，然而，微軟建議不論訂閱期限為何的所有用戶，要利用微軟服務來挖礦之前，最好都先取得微軟的書面同意。</p> </div></div></div>
2022/12/16 11:50作者陳曉莉https://www.ithome.com.tw/news/154754
Google正式推出相容於PostgreSQL的AlloyDB資料庫服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對高可擴展企業資料庫工作負載需求，在2022年5月發布了<a href="https://cloud.google.com/blog/products/databases/announcing-the-general-availability-of-alloydb-for-postgresql">AlloyDB</a>預覽版，這是一個全託管且完全相容於PostgreSQL的資料庫服務，而現在這項服務正式上線，用戶已經可以將其用於開發正式產品。</p> <p>AlloyDB的特色在於兼具PostgreSQL相容性，以及雲端可擴展性，對於將資料儲存在舊有資料庫系統，但是又想要在不更改應用程式的情況下，擴展現有PostgreSQL資料庫的企業，提供了額外的選擇。AlloyDB具備Google雲端基礎設施，橫向擴展運算和儲存、整合分析，並且支援AI/ML的功能，使得企業能夠使用相容於PostgreSQL的資料庫，但是擁有更高的效能、可用性和可擴展性。</p> <p>根據Google的測試，與標準PostgreSQL相比，AlloyDB處理交易工作負載速度達4倍，分析查詢的速度是PostgreSQL的100倍，而與AWSPostgreSQL相容的同類資料庫服務快達2倍。</p> <p>無視資料庫大小和負載，AlloyDB可在60秒內完成自動檢測，從大多數資料庫故障中恢復，並提供可用性SLA達99.99%。另外，AlloyDB的自動系統，提供包括自動儲存配置、自適應自動清理等管理功能，可減輕資料庫管理員的工作負擔。</p> <p>AlloyDB正式版較預覽版擁有包括由客戶管理加密金鑰（CMEK）和VPC服務控制等企業級功能，並且添加跨地區複製功能。同時，Google還增加AlloyDB的機器類型，提供2 vCPU/16 GB記憶體執行個體，並且支援pgRouting、PLV8和amcheck等PostgreSQL擴充套件支援。</p> </div></div></div>
2022/12/16 09:19作者李建興https://www.ithome.com.tw/news/154744
開源臭蟲追蹤系統Bugzilla專案重啟更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已經沈寂一段時間的開源臭蟲追蹤系統<a href="https://www.bugzilla.org/blog/2022/12/13/upcoming-releases-and-more-fun-stuff/">Bugzilla</a>專案，專案負責人Dave Miller經過3年多，重新更新專案官網部落格寫道「驚訝嗎？Bugzilla還沒有死透 :-)」</p> <p>Dave Miller試圖讓Bugzilla再次轉動起來，他解釋，過去Bugzilla專案的運作方式，是由使用Bugzilla的企業，贊助其員工小時，來協助維護Bugzilla上游專案開發，但是因為在過去幾年間這些公司營運衰退，使得Bugzilla維護者不是被解僱就是調職，大多數的貢獻者都沒有留下來，因此Bugzilla的專案便停頓了。</p> <p>而Dave Miller自己也一直沒有辦法完全投入在Bugzilla專案經營中，在過去10年，他兩度嘗試要將Bugzilla專案的控制權移交給其他人，但是這些人都在移交之前找到了工作，他表示，要尋找可信任，能夠接手專案的人不容易，如果沒有足夠多活躍的開發人員，就很難找到合適的人。</p> <p>由於Dave Miller開始了一項新的顧問事業，因此能夠再次花時間在Bugzilla專案上，他提到，過去6個月研究Bugzilla的次數，可能比過去6年的總和還要多。Dave Miller已經更新了一些Bugzilla專案的基礎設施，除了修復主網站的錯誤之外，也將測試套件移到GitHub Actions，使其在提交後自動運作，並且更新了IRC機器人和其郵件解析程式碼，以處理新版本的Bugzilla。另外，他也設置了一個安全的私密Git儲存庫，來暫存並且進行測試Bugzilla。</p> <p>最快Bugzilla將會在12月底發布新的分支版本，Dave Miller提到，這項更新也可能延至1月中旬，因為現在Bugzilla存在安全漏洞，為避免漏洞遭到惡意攻擊者濫用，他無法向核心開發團隊以外的人揭露相關訊息以尋求協助。</p> <p>Dave Miller正規畫Bugzilla的多分支版本，下一個主要版本將會是5.2，他在文章中徵求可以立即加入貢獻的開發人員，進行安裝說明文件等編寫工作，同時因為有許多美國政府機構像是NASA等，正在內部使用Bugzilla，但新的美國政府專案必須遵守《電訊法》第 508 節中新的可存取性規範，因此急需進行升級，Dave Miller的目標是至少要讓新版本Bugzilla能夠遵守規範。</p> <p>除了專案的發展規畫，Dave Miller也尋求企業贊助開發時間，希望有使用Bugzilla企業，能夠再次贊助負責維護Bugzilla人員的工作時數，來幫助上游Bugzilla開發。</p> </div></div></div>
2022/12/16 09:21作者李建興https://www.ithome.com.tw/news/154745
Meta發布可同時從影像、聲音和文字學習的AI模型Data2vec 2.0，訓練更快更有效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta在早前發布了Data2vec模型，這是同時以同一方式學習三種不同模式，分別為語音、影像和文字的高效能自我監督演算法，而Meta現在釋出<a href="https://ai.facebook.com/blog/ai-self-supervised-learning-data2vec/">Data2vec 2.0</a>，這個新的演算法更快更有效率，速度達當前熱門電腦視覺自我監督演算法的16倍。</p> <p>官方提到，近期人工智慧技術的突破，都是採取自我監督式學習，但是當前演算法有幾個明顯的限制，包括通常只能用於單一模式，像是圖像或文字，並且需要大量的運算能力。這顯然與人類的學習方式不同，人類的學習效率更高，並且習慣從不同類型的資訊中學習，而不僅仰賴文字、語音或其他單獨的學習機制。</p> <p>Data2vec演算法便是Meta在這方面的突破，使得文字理解等技術更容易應用在圖像分割或是語音翻譯等應用，而Data2vec 2.0新演算則是朝這個目標更進一步，效率大幅提升，在能夠以16倍的速度，達成與現有熱門電腦視覺自我監督演算法相同準確度。</p> <p>研究人員解釋，自我監督學習的想法，是讓電腦藉由簡單地觀察世界，來學習圖像、語音和文字結構，而這產生了諸如語音模型Wav2vec 2.0、電腦視覺模型MAE，以及用於自然語言處理模型BERT，但是這些系統對於運算的要求很高，訓練大型模型需要龐大的GPU運算資源。</p> <p>Data2vec 2.0與Data2vec演算法類似，針對資料的脈絡化（Contextualized）表示進行預測，而非只是圖像的畫素、文字段落或是語音的單音。研究人員提到，這和大多數的演算法不同，這代表演算法將整個訓練範例納入考量，像是考量整個出現Bank這個單詞的句子，就更容易了解其正確含義，由於脈絡化目標帶來更豐富的學習任務，因此Data2vec 2.0也就比其他演算法學習的更快。</p> <p>研究人員使用基準測試Data2vec 2.0，測試其在電腦視覺、語音和文字任務的表現，了解新的演算法與其他模型的差異。研究人員以ImageNet-1K圖像分類基準評估Data2vec 2.0，發現準確度可媲美MAE，但是速度要快16倍，給Data2vec 2.0更多時間也就能達到更高的準確度，但是仍然比MAE快得多。</p> <p>語音方面則是使用LibriSpeech語音辨識基準進行測試，Data2vec 2.0執行速度是Wav2vec 2.0的11倍以上，達類似準確度。自然語言處理任務則使用GLUE基準測試，其以RoBERTa一半的時間，獲得相同的準確度。</p> </div></div></div>
2022/12/16 09:14作者李建興https://www.ithome.com.tw/news/154742
Waymo模擬測試自駕車事故反應，防碰撞能力比人類更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了驗證自駕車的安全性，Waymo設計了一套碰撞避免測試（Collision Avoidance Testing，CAT），來評估Waymo自駕車在突發狀況反應與減輕碰撞的能力，而<a href="https://blog.waymo.com/2022/12/waymos-collision-avoidance-testing.html">測試結果顯示</a>，Waymo的碰撞避免能力優於NIEON。</p> <p>NIEON是一個人類駕駛員的參照模型，設定上是一個細心、不會分心也不會疲勞的人類駕駛員，Waymo提到，因為人類司機時不時就會將視線從道路移開，因此NIEON模型其實代表了超越人類的效能水準，對Waymo自駕車提供比較的高基準。</p> <p>由於司機在路上通常會遭遇突發狀況，不得不緊急煞車或是轉彎，以避免與其他用路人發生碰撞，像是闖紅燈或是突然變換車道的汽車等。而全自動系統需要在無人駕駛情況下，處理整個駕駛任務，因此自動駕駛的測試，要比輔助駕駛系統更加深入完整。</p> <p>Waymo設計情境，結合虛擬、試車場和真實世界的駕駛測試，藉由使用所有駕駛資料、警察事故資料庫和行車記錄器中的撞車事故等碰撞資料，還有包括地理區域、駕駛條件和道路類型等營運資料，設計出測試場景。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiloNh_iPC9dOPaXNe1mWtX3yrt11SqMck9RJhNXJ-L1ky4KKKz3UwkT3XyOIowlD7-8FqSVQolTI9MdQVtv4dIPCVx4FtWTUtNnWw7XpP_MNEqtU4uzFMRwGx5jkuqGmh1elLLWlEfKwMarlWP3LK-tHANjBqOcO5SBcs4TL_kEKTMTe5PAMUeglwY/s16000/CAT.gif" style="width: 580px; height: 326px;" /></p> <p>Waymo從2016年以來，在場景資料庫儲存了數百萬英里的路駕資料，以及數千起真實世界的人類碰撞事故，足以涵蓋所有種類的危險情況。Waymo提到，無論開車地點為何，常見的事故類型都很相似，他們的資料庫可以作為任何城市的基準。</p> <p>研究人員以數種方法創建情境，像是在封閉的測試道路上設計情境，透過紀錄發生的經過，以便在模擬中重現，而且也能夠修改場景中參與者的位置和速度，調整出更需要緊急迴避，以避免碰撞的場景，同樣地，在道路測試中發現的任何危險情況，都可以利用相同的過程進行模擬。</p> <p>透過模擬，Waymo可以在數小時內，評估自動駕駛最新版本在數千種場景的反應，而不需要歷經數月甚至是數年的測試。而測試結果發現，Waymo自動駕駛在可能造成嚴重傷害的情況，比NIEON反應更好，Waymo自動駕駛更能夠避免車禍以及受傷風險。</p> </div></div></div>
2022/12/16 09:17作者李建興https://www.ithome.com.tw/news/154743
YouTube Web 3負責人：Web 3的創作者經濟將更加強調粉絲在社群中角色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube Web 3團隊負責人Josh Principe在近日臺北一場講座中指出現今社群媒體的一個困境。「現在平臺的粉絲分類法只有付費與否兩種，這跟實際社群中的角色認同落差太大，難以凝聚社群。」他認為，這個困境，也許可以靠Web 3應用來解決。</p> <p>Josh Principe曾任Google次世代作業系統Fuchsia OS的高階產品設計師及環境運算（Ambient Computing）產品的首席設計師。後來，他加入影音社群平臺YouTube，帶領團隊為YouTube設計Web 3相關的社群功能UX。</p> <p>Principe說，創作者經濟當道，社群媒體平臺有必要增加社群經營的方法。他提出的方向是，強調粉絲在社群中角色，甚至是成就，並將這些特質轉化為可以橫跨各種平臺的非同質化代幣（NFT）。</p> <p>其實，現在已經有許多媒體發現，強調個人及個人身分認同，對促進社群交流相當有幫助。他舉例，音樂串流軟體的個人年度回顧、社群媒體的好友限定發文、網路論壇的特殊獎章等做法，背後都有這個概念。</p> <p>不過，Principe認為還能再進一步。他說，這些個人興趣、身分認同、社群角色等資訊，不應該被綁定在個別平臺上，而是能以個別使用者為中心，攜帶到不同社群媒體平臺，來延續使用者身分認同及表達身分認同的方法。</p> <p>舉例來說，一個YouTube創作者可以發給初始粉絲專屬代幣，這些代幣可以同時展示在YouTube留言、Twitter留言、Reddit留言及Instagram留言欄中。隨著使用者持有更多來自不同平臺、不同創作者、不同社群角色種類的代幣，形成獨一無二的代幣組合，他們就能展示自己在網路世界中獨一無二的社群身分認同。Principe說，當使用者感到自己身分成為一種被認可的特殊地位或成就，就會在社群中更加活躍。</p> <p><strong>Web 3應用要廣泛被使用者接受，平臺方溝通策略要調整</strong></p> <p>儘管理想很美好，不過Principe坦言，距離一般Web 2公司大規模採用Web 3應用的時代還沒到來。箇中原因，不外乎是普遍網路使用者對於Web 3技術不熟悉，以及各種金融詐騙傳聞帶來的疑慮。要讓大眾接受Web 3應用，Principe認為，首先溝通策略要調整。這也是Web 3開發社群逐漸開始重視的觀念。</p> <p>「使用者在意的不是科技本身，是應用帶來的價值。」他表示，在用語、UI/UX及價值溝通上，平臺都能使用更易懂的表達方法。例如與其叫NFT，可以改叫頭像、收藏品、會員會籍、成就等，使用介面上也不該是連結錢包或轉移到錢包或鏈上，而是單純的獲得、移動。當使用者感受到這些科技的應用價值，也就自然而然接受Web 3應用了。</p> <p>他並指出，Web 3常常跟去中心化這個概念掛勾，不過，採用Web 3應用並不代表Web 2公司需要在營運策略上大幅去中心化，而是在既有營運框架下，尋找更多以社群及社群中個人為本的經營方式。</p> </div></div></div>
2022/12/15 17:17作者郭又華https://www.ithome.com.tw/news/154741
Google在臺公開零信任實踐原則，強調以身分取代網路作為存取控制的安全邊界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路安全防護策略朝向零信任發展已成各界共識，原先是由國際科技大廠推動，如今多國政府亦紛紛投入支援。而早在2014年就提出實踐方法的Google，在長期推動之下，他們的零信任轉型工程也不斷進化，從公司內部的實踐，走向解決方案的推出，最近兩年以來，他們在Google Cloud部落格發表多篇文章倡導，甚至以漫畫形式來解說，持續推廣零信任。今年Google Cloud台灣技術副總經理林書平在一場合作夥伴的研討會特別以此為題，除了解釋零信任的重要性，也說明了他們的安全模型與實踐。</p> <h3><strong>聚焦用戶與服務身分的信任</strong></h3> <p>林書平強調，過去傳統作法上，是以防火牆進行單一存取控制，認為外網危險、內網安全，因此，對應用程式並無實施存取控制。而現在推動的零信任，以Google Cloud而言，是以身分作為存取控制的邊界，而非以網路作為邊界。</p> <p>在Google零信任安全模型中，是從身分角度來看信任，共分成五大要素，包含了使用者的身分、裝置的身分，機器的身分、服務的身分，以及程式碼的身分。這也顯現出兩大構面，前兩者是對「使用者」的信任，後三者是對「服務」的信任。</p> <p>而在上述身分面向的拆解之下，結合身分識別與存取管理機制（IAM），機器識別、Binary授權，以及資料保護，要達到的效果就是，讓正確的身分可以存取由正確程式碼授權的正確機器，並在正確時間與情境下，存取到正確的資料。</p> <p>在Google的零信任設計與實踐上，秉持了三大安全原則，分別是：不分內外網強制實施存取政策，強化帳戶安全並實施裝置政策，以及傳輸加密並強制實施權限檢查。</p> <h3><strong>運用縱深防禦概念提升零信任成效</strong></h3> <p>特別的是，林書平還提及 Google Cloud對於零信任，也設計了縱深防禦。過往所談的縱深防禦戰略，是基於網路防護一層層把關，但他們在此運用的縱深防禦戰略，則是從身分到資料存取，以此為出發。</p> <p>根據林書平的說明，他們的零信任縱深防禦機制，有5大關鍵要素。首先，是帳戶同步與SSO，第二，強制實施多因子認證，第三，存取控制（這部分包含了權限、裝置、網路與時間），第四，資料安全（加密、DLP），最後，是威脅防護（防止病毒與釣魚連結）。而這些環節，也都能夠對應到美國NIST所定義的零信任架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89NIST%20NCCoE%20ZTA.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）Google零信任實踐在臺首度公開ss.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Google%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E8%B8%90%E5%9C%A8%E8%87%BA%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8Bss.jpg" style="width: 600px;" /></a></p> <p><strong>例如，帳戶同步與SSO對應的部分，是ZTA架構中的主體（Subject）；強制實施多因子認證，對應到政策決策點（PDP）；存取控制，是對應到PDP，以及PDP所需的決策資訊點（PIP）；資料安全，對應PIP的資料安全；威脅防護對應PIP的安全分析。</strong></p> <p>此外，Google對於服務端也有一套零信任安全原則，他指出，這部分是基於6項安全原則來進行開發與優化，包括：保護邊緣網路，服務之間沒有固有的信任，可信任機制執行已知來源的程式碼，簡單、自動與標準化的變更發布，採通用安全政策的執行機制（如確保資料存取經過授權），以及每個工作負載之間的隔離。</p> <p>而在第三方程式碼的安全與信任問題層面，林書平亦提及Google Cloud安全軟體供應鏈架構。</p> <p>基本上，軟體供應鏈安全也是Google近年來最致力推動的一項，當中亦顯現出對於底層程式碼的信任，以及需要如何去確保各環節的安全，而他也藉由一張圖表，說明Google Cloud安全軟體供應鏈架構，當中包含了Google今年5月提出的使用信任的安全套件（Assured Open Source），後續階段還有像是原始碼、開源套件安全掃描與簽章，Binary驗證是否為受信任軟體，確保符合安全政策，以及確保執行環境符合安全政策等，目的就是希望建立安全開發、安全部署，以及安全執行環境，並建立自動化流程，盡可能在開發初期發現弱點盡快修補。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Google零信任實踐在臺首度公開B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E9%9B%B6%E4%BF%A1%E4%BB%BB%E5%AF%A6%E8%B8%90%E5%9C%A8%E8%87%BA%E9%A6%96%E5%BA%A6%E5%85%AC%E9%96%8BB.jpg" style="width: 600px;" /></a></p> <p><strong>Google近年積極致力於安全軟體供應鏈的強化，在這次演說中，Google Cloud台灣技術副總經理林書平也特別談到Google在安全軟體供應鏈上的多項行動。</strong></p> </div></div></div>
2022/12/15 16:52作者羅正漢https://www.ithome.com.tw/news/154735
AI趨勢周報第203期：跨雲跑ML太燒錢？加州大學開源雲端資源優化工具幫省錢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1209～1215)</span></p> <p>最近見到許多生成式AI應用，如ChatGPT、抖音母公司打造的文字轉影片AI：MagicVideo、Amazon開發的床邊故事生成功能Create with Alexa，甚至，Salesforce也開發一款AI摘要工具，可總結Slack重要訊息給使用者。除了這些創造性應用，最近也有不少新工具，如加州大學柏克萊分校的團隊，開發一款雲端資源調度工具，可幫使用者找出最省錢的雲端資源組合，並自動派送工作。此外，最新版DirectML PyTorch則開始支援熱門Transformer模型，微軟更新Azure語音功能，使用者可客製SST模型改善準確度。在應用方面，德意志銀行宣布要聯手Nvidia，來打造更符合監管的金融AI服務。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeviantArt </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DreamUp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文生圖 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>跨雲跑ML太燒錢？加州大學開源雲端資源優化框架SkyPilot幫省錢</strong></span></p> <p>對大企業和小公司來說，用雲端資源來執行機器學習（ML）應用，都會遇到成本控管問題。加州大學伯克萊分校專攻即時邊緣運算的實驗室團隊RISELab就瞄準這個痛點，開發且開源一款框架<a href="https://github.com/skypilot-org/skypilot">SkyPilot</a>，可用來管理跨雲廠商的ML工作負載，用單一使用者介面就能處理資料、安排工作，降低使用者支出。</p> <p>進一步來說，SkyPilot演算法會根據運算工作需求，如CPU、GPU或TPU等用量，來找出最划算的雲端廠商、可用區域和範圍，接著自動安排執行該工作。目前，已有10幾家企業採用SkyPilot，有些用於GPU/TPU上訓練大型模型（得到3倍成本降低）、分散式超參數微調，也有使用者用數百個CPU實例來批次處理生醫運算，減少了6.5倍的開銷。此外，團隊也與Google合作，只要是申請到Google研究雲TRC計畫的使用者，就能立即使用SkyPilot。</p> <p>目前，SkyPilot可用於3大公雲，包括AWS、GCP和微軟Azure，並提供命令列介面（CLI）和Python API。開發團隊表示，接下來將擴大框架，來支援更多雲端廠商。<a href="https://medium.com/@zongheng_yang/skypilot-ml-and-data-science-on-any-cloud-with-massive-cost-savings-244189cc7c0f">（詳全文）</a></p> <p><img alt="" src="https://miro.medium.com/max/1100/1*f1_m-emfmYYwkp2p6HOVkQ.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吳恩達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>吳恩達：ChatGPT類生成式AI能秀出不確定性警語會更好</strong></span></p> <p>OpenAI最近發布的大型生成式語言模型ChatGPT引起各界關注，能產出更連貫、更多細節和更有個性的文章，不只上知天文、下知地理，還能寫出故事、笑話、散文、詩歌、撩人臺詞和程式碼，發布短短幾天就吸引百萬名使用者註冊使用。ChatGPT的訓練方式與OpenAI年初打造的InstructGPT一樣，透過人工微調GPT-3，來避免產出有害內容。為此，他們還以監督式學習和強化學習來改善ChatGPT，特別是強化學習，是以人工排序的潛在回覆為標準，讓模型學習產出如人工排序般的文字段落，並給予獎勵。</p> <p>吳恩達指出，ChatGPT雖能產出比GPT-3更優秀的回覆，也會針對一些問題給出「無法回答」的回覆，但就如其他大型語言模型一樣，ChatGPT也會產出信心十足但錯得離譜的回答。他認為，這類系統應該要呈現不同程度的信心，才不會誤導使用者或大眾。比如，Meta先前開發的檢索模型Atlas和DeepMind打造的RETRO模型，能鎖定可靠來源，將這些來源的文章合成為一個答案，並根據這些來源，改變回答的風格，彰顯一定程度的可靠性。吳恩達表示，如果能讓生成式算法，在不確定生成的答案是否正確時表達懷疑，就能大大降低產生假資訊的風險。<a href="https://www.deeplearning.ai/the-batch/issue-174/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摘要 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Slack </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Salesforce開發AI摘要工具，可總結Slack重要訊息</strong></span></p> <p>Slack是企業常用的溝通工具，但1天下來，使用者可能累積了來自各頻道、DM直接對話框和回覆區的訊息，為幫助使用者快速掌握資訊，CRM龍頭廠商Salesforce打造一款AI摘要工具（AI Summarist），可以摘要Slack訊息，來讓使用者迅速查看。</p> <p>具體來說，使用者可利用AI摘要工具，來對日常工作不太重要的頻道或對話摘要，也能根據需求來決定摘要頻率和時間。AI摘要工具會根據頻道內的其他使用者反應和回覆，來決定摘要哪些訊息，也能根據使用者要求，從各種訊息中，挑出重要人物的訊息摘要。Salseforce強調，系統並不會儲存原始對話Log和摘要工具產出的文字，只會儲存使用者行為的詮釋資料（Metadata），使用者也能對AI摘要工具產出的摘要給建議。<a href="https://blog.salesforceairesearch.com/ai-summarist-slack-productivity/">（詳全文）</a></p> <p><img alt="" src="https://lh4.googleusercontent.com/lX8b-On6yelI7NZuuAwrT_g8U75yvNOYt9JOIUC7gSRzPFB-HYQkkQVzmOXST2-1Yt_W96vzjEG1siKhh0MMtbsjrquffp8useATaQejQdSosQt_JXHwzHpFmIlqnGSUWamxmyymI21fx3UyeDpl4q63gfKKcVG3Df6Y-23MPMFl4udjgGUf4PREimOeDw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Alexa </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alexa新功能可生成床邊故事，連音樂、插畫都能配</strong></span></p> <p>生成式AI又有新應用！Amazon日前給Alexa新添一項功能，讓使用者可和小孩一起設計床邊故事，再透過Echo裝置播放出來。該功能叫做Create with Alexa，是Amazon以大型語言模型和故事訓練而成，可讓使用者根據幾個示例，如場景、主角、色調和氣氛，來產生配有音樂和插圖的故事。</p> <p>進一步來說，首先，該功能會先驅動大型語言模型，來根據使用者設定，產出5至10行文字及5個場景。接著，場景生成模型會根據每個場景，從人工繪製的圖像庫和AI產生的圖像庫，來選取合適的圖像作為背景。同時，模型還會選取物件和角色，也會根據文字內容，為角色添加相對應的表情與動作。最後，音檔生成器會從音樂庫（含和弦、合聲和旋律）中，來產生相應的音樂。目前，該功能已於11月29日上線，但只限於英文版。<a href="https://www.aboutamazon.com/news/devices/what-is-create-with-alexa?utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-8XjBEEP00yIrrRqQpjZpRbLTTu43MsTgd_x1CY9LpJfucuxVrmZG6TTxKTB8uHvO-BrYjm">（詳全文）</a></p> <p><img alt="" src="https://assets.aboutamazon.com/dims4/default/6ac550b/2147483647/strip/true/crop/1400x854+0+0/resize/1218x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2F9c%2F84%2Faef5277045fda6292f0da2aba405%2Fuiscreens-inline-gif.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ByteDance </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2D卷積 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉影片 </span></strong></span></p> <p><span style="font-size:22px;"><strong>抖音母公司用2D卷積打造文字轉影片AI，降低運算複雜度</strong></span></p> <p>近2年生成式AI熱浪大起，不只是文字生成，各種文字轉圖像應用也雨後春筍般出現。最近，科技巨頭的研究目標轉向更難的文字轉影片，因為光是收集文字-影片配對的資料集，就比文字-圖像要難得多，且不同幀的銜接度也難以掌握。</p> <p>不過，抖音母公司ByteDance近日發表自家研究成果，以擴散模型（Diffusion model）為基礎，打造一款可將文字轉為影片的生成式AI工具MagicVideo，透過預訓練的變分自動編碼器，來在潛在空間中（Laten Space）產生影片。這個方法，大大降低了MagicVideo的運算量，而且，MagicVideo還以2D卷積來取代3D卷積，克服文字-影片的資料集問題，也降低運算複雜度。為降低記憶體消耗，2D卷積的每個運算都共享同樣權重，但這麼做會降低產出的影片品質，團隊於是在MagicVideo中採用自定義輕量級模組，來調整每一幀的分布。他們認為，該研究是文字轉影片發展中，減低運算複雜度的一個重要成果。<a href="https://magicvideo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://magicvideo.github.io/img/004.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位雙生 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IDC預測2023 AI趨勢：多模態AI和數位雙生紛紛落地</strong></span></p> <p>IDC日前發表2023年科技趨勢預測，指出明年將見到更多自動化和多模態AI應用落地，因為，他們發現全球過半企業面臨嚴重的人才與技術缺口，企業也面臨營運成本增加的壓力，而自動化就會是企業解決壓力的重要投資。</p> <p>IDC指出，企業自動化應用需要AI接軌，而單模態AI對企業即時決策和預測的需求來說是不夠的，因此，能同步處理文本、視覺影像和音訊等的多模態AI，會是企業用來實現自動化、跨越內部各種業務流程的解方。IDC認為，多模態AI的自動化應用已在智慧能源和晶片開發設計上有所成績，他們預測，到了2023年，人才與技術缺口將促使35%的IT組織投資AI技能，並預期2026年，40%的AI模型將涵蓋多模態數據演算。</p> <p>此外，IDC也預測，數位雙生也將因IoT、雲端和邊緣運算技術提升，而開始進入大型製造業、倉儲物流和產業供應鏈，而非只是國防、航太和能源等產業。IDC預測，明年將見到更多元的數位雙生部署，並在不同產業和企業規模間階段性導入。甚至，2026年也將有20%的大型企業，以運行大規模的數位雙生專案來維持商業利益。<a href="https://www.ithome.com.tw/news/154580#:~:text=%E5%9C%A8%E4%B8%8A%E8%BF%B0%E5%A4%A7%E7%92%B0%E5%A2%83%E7%9A%84,%E6%94%AF%E4%BB%98%E8%AE%8A%E9%9D%A9%E5%B8%B6%E5%8B%95B2C%E7%99%BC%E5%B1%95%E3%80%82">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DirectML </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size:22px;"><strong>最新版DirectML PyTorch開始支援熱門Transformer模型</strong></span></p> <p>由微軟維護的深度學習加速框架DirectML PyTorch近日發布正式版，新支援不少熱門的Transformer模型，如GPT2、BERT和Detection Transformers。也就是說，開發者現在可利用GPU加速的PyTorch，來訓練常見的Transformer模型了。</p> <p>目前最新版本的Windows 10和WSL都支援帶有DirectML技術的PyTorch應用，開發者現可下載PyPI套件，來進行Transformer模型應用開發。不只如此，新版框架也改進了記憶體消耗、提供更快的效能，也能處理更大批次的工作。<a href="https://devblogs.microsoft.com/windowsai/transformer-support-for-pytorch-with-directml-is-here/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 德意志銀行 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 金融AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size:22px;"><strong>德意志銀行測試大型金融語言模型，要加速金融AI服務</strong></span></p> <p>德意志銀行日前宣布要藉Nvidia的AI工具，來改善金融服務，包括開發符合監管要求的AI服務、支援德意志銀行雲端數位轉型政策，以及以AI來簡化、加速德意志銀行雲端搬遷決策。</p> <p>在建立這項合作之前，Nvidia與德意志銀行已先執行數月的探索性工作，比如風險模型開發、高效能運算和品牌虛擬人物的建造。這次，德意志銀行計畫使用Nvidia AI Enterprise端到端軟體套件，在雲端和資料中心執行AI開發和部署，讓德意志銀行開發者可在本地和Google雲端，執行AI工作流程。另一方面，德意志銀行也要發展非結構化資料分析技術，他們正在測試Financial Transformers大型語言模型，要來實現金融交易對手方的預警訊號，還要更快資料檢索和辨識資料品質。<a href="https://www.db.com/news/detail/20221207-deutsche-bank-partners-with-nvidia-to-embed-ai-into-financial-services">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉文字 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出新版Azure語音功能，使用者可客製SST模型改善準確度</strong></span></p> <p>微軟更新Azure認知服務語音功能，透過客製化語音轉文字功能，來加強應用程式和產品的語音轉文字準確性。新的客製化語音模型，是以樣板模型為基礎，用戶可以透過2種方式優化模型，一是以特定領域的文字資料來訓練模型，強化字彙辨識力，另一是透過轉錄的音訊資料，來提高對特定音訊條件的辨識能力。</p> <p>這些優化方式，又可細分為4種。第1是最簡單的方式，使用者以詞彙列表添加如參與者姓名、產品和行話列表，來提高模型對這些詞彙的辨識能力。再來是以純文字，如各種體育賽事使用的詞彙，來提高特定領域詞彙精確度。第3種是以結構化文字，來強化模型辨識語音中，如片語等不同的短語形式。最後，使用者也能用音訊資料，加強模型對特定口音、說話風格或背景噪音的辨識能力。<a href="https://azure.microsoft.com/zh-tw/blog/improve-speechtotext-accuracy-with-azure-custom-speech/">（詳全文）</a></p> <p>圖片來源／UC Berkeley、Salesforce、Amazon、ByteDance</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google開源注意力中心模型，可預測圖片最吸引人類目光的位置</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2022/12/15 16:52作者王若樸https://www.ithome.com.tw/news/154734
【資安日報】2022年12月15日，SAP修補4項CVSS風險等級近乎滿分重大漏洞、勒索軟體攻擊濫用微軟簽章的驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月份的例行修補當中，SAP、VMware也針對旗下產品緩解重大漏洞，用戶應提高警覺並儘速安裝修補程式。其中，SAP本次修補了4項重大漏洞，值得留意的是，當中有兩項與他們採用的元件有關，一項是Business Client所採用的Chrome網頁瀏覽器元件，另一個則是SAP Commerce的Apache Commons Text元件。</p> <p>駭客在攻擊行動濫用驅動程式的情況也出現了新手法，在最近的一波攻擊行動中，駭客開始採用帶有微軟簽章的惡意驅動程式，以此發起勒索軟體攻擊，從而繞過資安系統偵測。微軟也證實有數名開發人員的帳號遭到濫用。</p> <p>針對醫療機構的勒索軟體攻擊升溫也引起美國政府的關注，繼11月美國衛生與公共服務部對於4種勒索軟體提出警告後，他們本月針對惡名昭彰的BlackCat和LockBit發布相關警告，並指出這2種勒索軟體的攻擊手法更難以防範。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊濫用微軟簽章的驅動程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-code-signing-overview.png" style="width: 300px; float: right;" /></a>本周資安業者Mandiant、SentinelOne、Sophos，不約而同揭露能夠新型態的惡意軟體攻擊行動，那就是能終止Windows系統特定程序的惡意驅動程式Poortry、Stonestop、Burntcigar，而這些驅動程式的共通點，就是它們擁有微軟硬體相容性計畫的簽章，研究人員發現至少有9個駭客組織製作此類惡意程式，用於攻擊電信業者、業務外包業者（BPO）、代管安全服務供應商（MSSP）、金融服務業者，並用於勒索軟體攻擊。</p> <p>研究人員認為，主要問題源自大部分資安系統信任微軟簽章的所有內容，特別是核心模式驅動程式的部分，而讓駭客有機可乘。對此，微軟獲報後也著手調查，有數名開發人員計畫的帳號被濫用於此起攻擊行動，他們將部分合作夥伴的帳號暫時停權來因應。</p> <h3><a href="https://www.scmagazine.com/analysis/ransomware/blackcat-lockbit-3-0-ransomware-target-healthcare-with-customizable-tactics-triple-extortion"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對醫療機構提出警告，勒索軟體BlackCat、LockBit攻擊行動升溫</span></strong></a></h3> <p>美國衛生與公共服務部（HHS）於12月12日發布資安通報，表示近期勒索軟體駭客鎖定醫療機構的情況日益惡化，繼11月針對Venus、Hive、Lorenz、Royal的攻擊行動提出警告後，他們也呼籲醫療機構要特別防範BlackCat和LockBit勒索軟體。與前述11月份發布警告的4個勒索軟體不同之處，此次HHS表示，BlackCat針對特定目標採用了專屬攻擊手段，LockBit則是對於受害組織採用3重勒索的策略，除了洩露資料，也將恐嚇訊息透過受害組織的印表機輸出，從而對受害單位施壓。</p> <h3><a href="https://www.theguardian.com/business/2022/dec/14/tpg-reveals-emails-of-15000-iinet-and-westnet-customers-exposed-in-hack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">澳洲電信業者TPG證實代管Exchange遭到攻擊，1.5萬客戶受到波及</span></strong></a></h3> <p>澳洲電信業者TPG於12月14日向當地證交所（ASX）通報，資安業者Mandiant發現，當地網際網路服務供應商iiNet、Westnet代管的Exchange服務，出現未經授權存取的遭駭狀況，估計1.5萬家企業用戶受到影響。TPG表示，初步調查的結果顯示，駭客主要目的是找尋用戶的加密貨幣與財務資料，他們也聯繫受影響的企業用戶，並通報政府部門。該公司表示攻擊者的存取管道已經切斷，此起事故並未波及行動網路與寬頻網路用戶。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/saps-december-2022-security-updates-patch-critical-vulnerabilities" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補4項CVSS風險等級近乎滿分重大漏洞</span></strong></a></h3> <p>12月13日，SAP總共修補了旗下產品14項漏洞，當中有4個為重大漏洞。其中最嚴重的是Business Client所採用的Chrome網頁瀏覽器元件漏洞，CVSS風險層級達到了滿分10分，修補範圍包含Google在107、108版修補的2個零時差漏洞。</p> <p>其次，則是CVSS風險評分9.9分的CVE-2022-41267、CVE-2022-41272，前者存在於圖像化資料分析平臺BusinessObjects，為跨網站請求偽造（SSRF）漏洞，後者則出現於NetWeaver，可被攻擊者用於未經授權的操作。該公司第4個修補的重大漏洞則是Text4Shell（CVE-2022-42889），此漏洞存在於SAP Commerce的Apache Commons Text元件。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-esxi-and-vrealize-security-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware修補ESXi和vRealize重大漏洞</span></strong></a></h3> <p>VMware於12月13日發布資安通告，當中提及虛擬化系統ESXi的重大漏洞CVE-2022-31705，以及混合雲管理平臺vRealize的CVE-2022-31702，兩個漏洞的CVSS風險層級為9.3分及9.8分。</p> <p>CVE-2022-31705存在於USB 2.0控制器元件，可讓取得虛擬機器（VM）管理者權限的攻擊者，藉由VMX處理程序執行任意程式碼，影響大部分版本的ESXi、Workstation、Fusion、Cloud Foundation，儘有Workstation 17與Fusion 13不受影響；CVE-2022-31705為命令注入漏洞，攻擊者可利用vRNI REST API注入命令，影響vRealize Network Insight 6.2至6.7版，6.8版不受影響。</p> <h3><a href="https://www.securityweek.com/adobe-patches-38-flaws-enterprise-software-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補38個漏洞，大部分與Experience Manager有關</span></strong></a></h3> <p>12月13日Adobe針對旗下產品發布修補程式，總共修補了38個漏洞，其中有33個位於數位內容管理解決方案Experience Manager（AEM），該公司指出，這些漏洞雖然為重要或中等風險等級，但是如果遭到利用，攻擊者就有可能執行任意程式碼或是繞過資安防護功能。除了AEM，該公司也修補客戶關係經營系統Campaign Classic（ACC）的提升權限漏洞，以及Illustrator記憶體資料外洩漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <h3><a href="https://www.reuters.com/technology/top-advisor-french-data-privacy-watchdog-advises-6-mln-euro-fine-against-apple-2022-12-12/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果違反GDPR，恐面臨法國600萬歐元罰款</span></strong></a></h3> <p>根據路透社的報導，法國隱私主管機關CNIL打算針對蘋果違反隱私法GDPR一事，祭出600萬歐元的罰款，相當於新臺幣2千萬元。之所以會有這個訴訟結果，源於去年當地科技社群France Digitale控告蘋果未經iOS14用戶明確同意而收集個資。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/aipl/202212090115.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">全臺戶政資料外洩事件延燒，立委呼籲政府應儘速公布調查結果</span></span></strong></a></p> <p><a href="https://www.websiteplanet.com/blog/cornerstone-leak-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">信用卡交易業者曝露9百萬交易資料</span></span></strong></a></p> <p><a href="https://securelist.com/deathstalker-targets-legal-entities-with-new-janicab-variant/108131/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">律師事務所遭到惡意軟體Deathstalker鎖定</span></span></strong></a></p> <p><a href="https://techcrunch.com/2022/12/12/xnspy-stalkerware-iphone-android/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">間諜軟體Xnspy跟蹤數以千計的手機用戶</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-seized-domains-linked-to-48-ddos-for-hire-service-platforms/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國封鎖了48個提供DDoS攻擊服務的網域</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154710">【2022年12月14日】 Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網路GoTrim鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> </div></div></div>
2022/12/15 15:11作者周峻佑https://www.ithome.com.tw/news/154727
微軟今年最後一個Patch Tuesday修補52個安全漏洞，其中一個已被濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周進入2022年的最後一個Patch Tuesday，總計修補52個安全漏洞，當中有6個屬於重大（Critical）漏洞，另有兩個零時差漏洞，它們分別是僅被列為中等（Moderate）漏洞的CVE-2022-44698，與重要（Important）漏洞的CVE-2022-44710，前者已遭到駭客利用。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>漏洞允許駭客繞過可用來篩選網釣網站的Windows SmartScreen安全功能。根據微軟的說明，駭客得以建立一個可逃避Mark of the Web（MOTW）防禦的惡意檔案，損及諸如Protected View等Office安全功能的完整性及可用性。駭客可打造一個惡意網站，也能透過郵件及傳訊程式傳遞惡意網站的連結，或是藉由危害合法網站來利用<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>漏洞。</p> <p>至於6個重大漏洞皆可導致遠端程式攻擊，牽涉到Microsoft Dynamics、SharePoint Server、PowerShell與Windows Secure Socket Tunneling Protocol（SSTP）。當中涉及PowerShell的<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41076" target="_blank">CVE-2022-41076</a>允許一個認證用戶繞過PowerShell的遠端階段配置，並於一個受影響的系統上執行未經批准的命令。</p> <p><a href="https://www.zerodayinitiative.com/blog/2022/12/13/the-december-2022-security-update-review" target="_blank">趨勢Zero Day Initiative（ZDI）團隊說明</a>，駭客在突破系統的第一道防線之後，經常會利用系統上既有的工具來維持對系統的存取及移動能力，PowerShell即是這類的工具之一，因此若存在任何可繞過安全限制的漏洞都應儘速修補。</p> <p>這次微軟也修補一個位於Microsoft Outlook for Mac的安全漏洞<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44713" target="_blank">CVE-2022-44713</a>，它是個欺騙漏洞，允許駭客偽裝成可靠的對象，並使得受害者誤信郵件來自合法用戶。</p> <p>ZDI認為，駭客若以<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44713" target="_blank">CVE-2022-44713</a>搭配SmartScreen繞過漏洞（<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-44698" target="_blank">CVE-2022-44698</a>）可能會讓事情變得更棘手，倘若駭客偽裝成使用者的長官，並寄來一封含有惡意附件的檔案，大多數人應該都會開啟。</p> </div></div></div>
2022/12/15 13:37作者陳曉莉https://www.ithome.com.tw/news/154725
Windows 7、Windows 8.1都將在2023年1月終止技術支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著2022年進入尾聲，到了2023年1月10日，微軟兩個歷史悠久而好用的作業系統Windows 7及Windows 8.1抵達技術支援的生命周期終點，而Edge瀏覽器也即將停止支援。</p> <p><a href="https://www.ithome.com.tw/news/151603" target="_blank">微軟今年6月提醒用戶</a>，Windows 8.1將在2023年1月10日終止對Windows 8.1的支援，同時微軟也不會銷售付費支援服務。</p> <p>Windows 8.1是於2013年10月17日正式發行，到2018年1月抵到主流支援（mainstream support），為期5年的延伸支援（extended support）將在2023年1月截止。</p> <p>而前一個版本Windows 7則是已在2020年1月14日，來到技術支援的生命周期。不過有鑒於企業用戶仍然很多，微軟在當年提供付費的延伸安全更新（Extended Security Update）。為期三年的ESU服務僅此一次，也是2023年1月10日到期。</p> <p>除了作業系統本身的技術支援，微軟的Edge瀏覽器也會在下個月結束對兩個Windows平臺的支援。<a href="https://learn.microsoft.com/zh-tw/deployedge/microsoft-edge-supported-operating-systems" target="_blank">根據微軟網頁</a>，預計明年1月12日發行的Edge 109是支援Windows 7和8.1的最後一個版本。</p> <p>另一主要瀏覽器Chrome的供應商Google原本預計在2021年7月不再支援Windows 7，但因應疫情，先延到2022年初，之後又再推遲。<a href="https://www.ithome.com.tw/news/153801" target="_blank">今年10月Google終於宣布</a>明年2月7日發行的Chrome 110版起會終止對Windows 7和8.1的支援。</p> </div></div></div>
2022/12/15 11:22作者林妍溱https://www.ithome.com.tw/news/154718
追蹤馬斯克私人飛機的推特帳號遭永久停權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然馬斯克說要維護言論自由，不過一個專門追蹤馬斯克（Elon Musk）私人專機的推特（Twitter）帳號，本周遭到永久停權。</p> <p>一個由加州大學學生Jack Sweeney所成立的@ElonJet，利用公開資料來追蹤馬斯克私人專機，他還成立了其他帳號追蹤其他人，包括馬斯克哥哥Kimbal Musk的飛機行程。本周@ElonJet帳號被永久停權後，隔日Sweeney個人帳號及追踨其他人的帳號也被封鎖。</p> <p>這個帳號一直讓馬斯克很介意。<a href="https://techcrunch.com/2022/12/14/elon-jet-the-twitter-account-tracking-elon-musks-flights-was-permanently-suspended/" target="_blank">Techcrunch報導</a>，今年1月馬斯克曾私訊Sweeney，希望支付5,000美元請他刪除帳號，但遭這大學生拒絕。不知是否出於反諷，他要求價碼拉高到5萬美元以便支付大學學費，甚至買臺特斯拉的Model 3。</p> <p><a href="https://twitter.com/elonmusk/status/1589414958508691456" target="_blank">上個月馬斯克發文道</a>，他全心支持言論自由，程度到了不查禁追蹤他私人專機的帳號，即使那已直接造成他個人安全風險。</p> <p>顯然馬斯克及推特都改變了主意。<a href="https://help.twitter.com/en/rules-and-policies/personal-information" target="_blank">推特本周更新其隱私政策</a>，雖然推特不禁止分享可在其他地方公開取得的資訊，唯獨即時位置資訊例外。</p> <p>不過Sweeney本周已經在另一社交平臺Mastodon成立了<a href="https://mastodon.social/@elonjet" target="_blank">Elon Jet帳號</a>，這個平臺因馬斯克提及後爆紅，吸引不少擔憂推特出現言論亂象的用戶跳槽。</p> </div></div></div>
2022/12/15 11:00作者林妍溱https://www.ithome.com.tw/news/154712
蘋果被控違反歐盟隱私法，可能面臨法國罰款600萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/technology/top-advisor-french-data-privacy-watchdog-advises-6-mln-euro-fine-against-apple-2022-12-12/" target="_blank">路透社報導</a>，法國隱私主管機關CNIL本周針對蘋果被控違反隱私法GDPR，建議應施以600萬歐元（約2,000萬臺幣）罰金。</p> <p>CNIL是在著手調查去年法國遊說團體控告蘋果未經用戶同意即蒐集個資後，做出這項建議。</p> <p>去年一個代表法國數位企業和創投的組織「數位法國」，控告蘋果iOS14的個資蒐集行為違反GDPR。該組織指出，雖然iOS 14有詢問使用者是否允許安裝的App蒐集用於發送廣告的識別碼，但iOS的預設設定卻讓蘋果未經明確取得用戶同意就能發送精準廣告。</p> <p>不過即使真的被罰款，對蘋果而言，可能也不痛不癢。2019年CNIL因Google用戶條款中對如何處理用戶個資說明不清，<a href="https://www.ithome.com.tw/news/128391" target="_blank">而施以5,000萬歐元的罰金</a>。</p> </div></div></div>
2022/12/15 11:10作者林妍溱https://www.ithome.com.tw/news/154716
S3新儲存桶將於明年4月全面預設禁止公開存取並停用ACL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/heads-up-amazon-s3-security-changes-are-coming-in-april-of-2023/">AWS預計要對S3進行兩項安全性變更</a>，儲存桶安全實踐將自動在2023年4月開始生效，並會在數周內擴展到所有AWS區域。一旦該區域變更生效，該區域中所有新創建的儲存桶，將會預設禁止S3公開存取，並且停用存取控制列表（ACL）。</p> <p>官方提到，這兩個選項早已經是控制臺預設配置，也一直是推薦的最佳實踐，而現在這些選項將會成為使用S3 API、S3 CLI、AWS SDK或AWS CloudFormation模板，所創建儲存桶的預設選項。</p> <p>S3儲存桶和物件預設都是私密狀態，AWS在2018年添加阻擋公開存取功能，並在2021年添加停用ACL的功能，提供用戶更多控制權，並以AWS IAM政策作為替代方案。官方認為絕大多數應用程式，皆不需要用到這兩個選項，希望用戶能夠以更謹慎的方式，創建擁有公開存取和ACL功能儲存桶。</p> <p>之後當用戶需要使用兩者之一，都需要手動調整，因此AWS提醒用戶一定要檢查程式碼、腳本、AWS CloudFormation模板和其他自動化設定。</p> <p>阻擋所有公開存取功能，具體來說包含四個細項，而在2023年4月的變更，這4項都會預設開啟，包括阻擋儲存桶和物件透過新ACL授權的公共存取；阻擋儲存桶和物件透過任何ACL授權的公共存取；阻擋儲存桶和物件，透過任何公開儲存桶或存取點政策授權的公共存取；最後則是阻擋儲存桶和物件，透過任何公開儲存桶或存取點政策授權的公開和跨帳號存取。</p> <p>在變更生效之後，嘗試以儲存桶政策或存取點政策，授權儲存桶公開存取都會被拒絕，並且顯示430存取拒絕錯誤，如果用戶仍需要授予新儲存桶公開存取權限，還是能以一般程序創建，只是需要呼叫DeletePublicAccessBlock來移除公開存取的阻擋限制。</p> <p>而預設停用存取控制列表則會在新創建桶中，啟用儲存桶擁有者強制設定，這將會使儲存桶ACL和物件ACL失效，並確保無論上傳對象為何，儲存桶擁有者都是物件的所有者。儲存桶要啟用ACL，需要在CreateBucket請求中，將ObjectOwnership參數配置成ObjectWriter，或是呼叫DeleteBucketOwnershipControls。</p> </div></div></div>
2022/12/14 22:40作者李建興https://www.ithome.com.tw/news/154703
Meta釋出免費工具HMA，供各平臺大規模偵測和刪除恐怖主義內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2022/12/meta-launches-new-content-moderation-tool/">Meta釋出免費Hasher-Matcher-Actioner（HMA）工具</a>，該工具能夠以雜湊值，辨識恐怖主義的圖像和影片副本，協助沒有資源的平臺，打擊恐怖主義內容，HMA以Meta之前開源的圖像和影片比對軟體為基礎開發而成，因此也可用於處理各種類型的違規內容。</p> <p>下個月Meta將會擔任全球網際網路反恐論壇（GIFCT）營運委員會的主席，GIFCT是一個非政府組織，透過集結科技公司，開發技術並且合作來處理線上恐怖主義內容。GIFCT成員通常會使用雜湊共享資料庫來偵測恐怖主義內容，但GIFCT並非儲存這些暴力或是恐怖主義內容，而是儲存這些圖像和影片的雜湊值或唯一數位指紋。</p> <p>參與雜湊資料庫的公司越多，則該資料庫就越豐富，也就能夠更好地共同防範恐怖主義內容，Meta提到，通常分享恐怖主義內容的人會跨平臺進行散布，但許多企業不具備探索和限制這些違規內容的技術，而HMA便可成為有力的工具。</p> <p>Meta提到，在臉書上，現在每1萬次的瀏覽，仇恨言論只會被瀏覽2次，低於三年前每1萬次瀏覽，就有10到11次的仇恨言論瀏覽。</p> </div></div></div>
2022/12/14 22:46作者李建興https://www.ithome.com.tw/news/154707
Google釋出開源軟體漏洞掃描工具OSV-Scanner
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出免費工具<a href="https://security.googleblog.com/2022/12/announcing-osv-scanner-vulnerability.html">OSV-Scanner</a>，供開源開發人員可以更簡單地存取和專案相關的漏洞資訊。</p> <p>去年Google發布開源漏洞（Open Source Vulnerability）架構並且啟動OSV.dev服務，完成第一個分散式開源漏洞資料庫，官方解釋，OSV允許不同的開源生態系和漏洞資料庫，能夠以一種簡單、精確且機器可讀的格式發布和使用資訊。</p> <p>而OSV-Scanner則是OSV資料庫的下一步，這是由官方支援的前端，能夠將專案的相依項目列表，和影響專案的漏洞相關聯。由於軟體專案通常擁有大量的相依項目，而每個相依項目可能包含現有已知的漏洞，或是尚待發現的新漏洞，但因為相依項目和版本太多，開發人員通常難以手動追蹤，因此需要自動化來解決這項困難。</p> <p>OSV-Scanner會自動比對專案相依項目和已知漏洞列表，並於存在修補程式或是更新時通知開發者，Google提到，OSV-Scanner能夠生成可靠、高品質的漏洞資訊，以縮小開發人員軟體套件列表和OSV資料庫中的漏洞資訊落差。</p> <p>由於OSV-Scanner使用開源分散式OSV.dev資料庫，因此官方提到，OSV-Scanner與閉源資料庫的掃瞄器相比更具優勢，包括每個安全通報都是來自開放且權威的來源，所有人都可以提出改進建議，因此能夠共同維護高品質資料庫，而且OSV格式以機器可讀的格式，儲存有關受影響的套件版本資訊，該格式能精確地對應到開發者的軟體套件列表。</p> <p>OSV-Scanner會先分析清單、SBOM並提交雜湊值，找到所有正在使用的遞移相依項目，接著OSV-Scanner會將該資訊和OSV資料庫進行比對，以顯示開發者專案相關的漏洞。同時OSV-Scanner還整合到OpenSSF計分卡漏洞檢查，可將漏洞分析從專案的直接漏洞，擴及所有相依項目漏洞，代表採用OpenSSF計分卡的專案能夠獲得更全面的安全檢查。</p> </div></div></div>
2022/12/14 22:48作者李建興https://www.ithome.com.tw/news/154709
微軟簽章遭攻擊者濫用於開發合法惡意驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端旗下的資安公司<a href="https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware">Mandiant</a>以及<a href="https://www.sentinelone.com/labs/driving-through-defenses-targeted-attacks-leverage-signed-malicious-microsoft-drivers/">SentinelOne</a>聯手調查，發現多個可終止Windows系統上特定程序的惡意驅動程式，研究人員提到，在這種情況，惡意驅動程式通常會嘗試終止端點的偵測和回應代理（EDR），不過，這項攻擊更大的問題在於，該惡意驅動程式擁有合法簽章，由微軟Windows硬體開發人員計畫認證。</p> <p>這個惡意程式帶有微軟Windows硬體相容性計畫Authenticode簽章的POORTRY驅動程式樣本，研究人員仔細分析了該驅動程式的Authenticode後設資料，發現該惡意驅動程式，是由Windows硬體相容性計畫簽署，也就是說，惡意驅動程式是由微軟直接簽署，而且研究人員還發現幾個與不同攻擊者關聯的惡意軟體家族，也已經透過這項程序進行簽署，研究人員確定至少有9個組織利用這項非法手法，生成惡意驅動程式。</p> <p>驅動程式簽章是Windows作業系統的重要安全功能，其要求驅動程式需要擁有有效的加密簽章，才能被載入到系統中，也就是該簽章將開發人員核准為可信任的實體，而這些開發人員的程式碼，繼承了這種信任。</p> <p>研究人員提到，這種驗證方式對打擊核心模式Rootkit攻擊非常重要，核心模式Rootkit是能夠以最高權限運作的惡意軟體，微軟從偵測到根除核心模式Rootkit，歷經了一段時間的努力。開發人員的驅動程式要能獲得Windows硬體品質實驗室（WHQL）簽章，需滿足一組特殊標準，這個過程仰賴嚴格的檢查，以確保請求的開發人員是真實存在，且沒有提交惡意驅動程式。</p> <p>開發人員首先必須獲得擴充驗證（Extended Validation，EV）憑證，並在註冊Windows硬體開發人員計畫後，將其附加到帳戶中，EV憑證要求開發人員將私鑰儲存在物理的權杖上，並執行一系列檢查以驗證請求組織的身分。</p> <p>完成之後開發人員必須透過合作夥伴入口，提交驅動程式套件進行一系列測試和簽署，確保相容性且不存在任何惡意意圖，在通過測試後，微軟便會使用Windows Hardware Compatibility Publisher憑證對其進行簽署。</p> <p>研究人員表示，這個過程的主要問題，是來自於大多數安全解決方案信任微軟簽章的任何內容，尤其是核心模式驅動程式。雖然微軟在Windows 10開始，要求開發人員使用Windows硬體開發人員中心儀表板入口，對所有核心模式驅動程式進行簽章，任何未通過該程序的內容都無法載入到新的Windows版本中。</p> <p>即便這項新要求強化了驅動程式的控制和可見性，但是攻擊者透過開發驅動程式，並且使驅動程式在微軟的審查過程無法發現其惡意意圖，進而玩弄這個程序。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/ADV220005">微軟已經完成該事件調查</a>，判斷該惡意攻擊行動只涉及幾個遭濫用的開發人員計畫帳戶，微軟已經將合作夥伴的賣方帳戶暫時停權，並執行進一步偵測措施，避免往後又出現合法簽署的惡意驅動程式，微軟建議使用者安裝最新的Windows更新，並且更新防毒和端點偵測產品至最新狀態，同時啟用最新簽章，以防範相關攻擊。</p> </div></div></div>
2022/12/14 23:05作者李建興https://www.ithome.com.tw/news/154704
【資安日報】2022年12月14日，Citrix ADC的零時差漏洞已被用於攻擊行動、WordPress網站遭到殭屍網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日是本月的第二個星期二，許多廠商發布了12月份的例行修補程式，值得留意的是，所針對的資安弱點，有不少是已經出現攻擊行動的零時差漏洞。</p> <p>例如，Citrix為旗下的Citrix ADC、Citrix Gateway發出資安通告，有人正利用CVE-2022-27518發動攻擊。美國國家安全局指出攻擊者的身分是中國駭客組織APT5。</p> <p>另一個也相當值得留意的是與Safari瀏覽器有關，排版引擎WebKit被人發現有漏洞CVE-2022-42856。蘋果原先在11月底為iOS 16提供修補，但該公司現在也擴大對Mac電腦、Apple TV修補，原因是已出現攻擊行動。</p> <p>殭屍網路針對WordPress網站而來的攻擊行動也值得關注，但這起事故透過暴力破解來挾持網站，而非利用WordPress網站或外掛程式的漏洞。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.fortinet.com/blog/threat-research/gotrim-go-based-botnet-actively-brute-forces-wordpress-websites" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站遭到殭屍網路GoTrim鎖定，暴力破解管理者帳密</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/1670684543601.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1670684543601.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露自今年9月出現的GoTrim殭屍網路，此殭屍網路針對WordPress網站嘗試透過暴力破解攻擊，存取管理員帳號，一旦成功入侵，惡意軟體會向C2中繼站回報，並使用PHP指令碼下載殭屍網路病毒GoTrim並部署，然後接管該網站並納入殭屍網路。</p> <p>研究人員根據程式碼進行分析，GoTrim除了能試圖存取WordPress帳密，駭客亦試圖開發能存取Joomla!、Data Life Engine帳密資料的功能。而為了規避偵測，駭客也只會針對自行管理的WordPress網站下手，排除由WordPress.com代管的網站。</p> <h3><a href="https://www.ithome.com.tw/news/154699"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特針對研究人員發現有1,700萬筆用戶資料外洩做出說明</span></strong></a></h3> <p>研究人員於8月發現有人在駭客論壇兜售540萬筆推特用戶資料，當時推特證實此事起因與他們今年1月修補的漏洞有關，<a href="http://www.ithome.com.tw/news/154485#twitter">但在11月又有研究人員發現另一批駭客利用相同的漏洞蒐集多達1,700多萬筆用戶資料</a>。</p> <p>對此，<a href="https://privacy.twitter.com/en/blog/2022/update-about-an-alleged-incident-impacting-some-accounts-on-twitter">推特於12月9日做出說明</a>，他們表示前後兩個研究人員揭露的其實是同一批資料，但未說明為何資料筆數落差如此懸殊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-citrix-adc-and-gateway-zero-day-patch-now/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix ADC的零時差漏洞已被用於攻擊行動</span></strong></a></h3> <p><a href="https://support.citrix.com/article/CTX474995/citrix-adc-and-citrix-gateway-security-bulletin-for-cve202227518">資安業者Citrix於12月13日發布資安通告</a>，指出駭客利用CVE-2022-27518對Citrix ADC和Citrix Gateway發動攻擊，影響12.1至13.0版的系統，13.1版不受影響。此外，該漏洞必須在系統設置為SAML的服務提供者（SP），或是身分識別資訊提供者（IdP）的角色，才會觸發。一旦遭到利用，攻擊者可在未經身分驗證的情況下，遠端執行任意命令，並控制存在該漏洞的系統。由於沒有其他的緩解措施，該公司呼籲用戶應儘速安裝更新軟體。</p> <p>Citrix並未透露該漏洞遭到利用的細節，但<a href="https://media.defense.gov/2022/Dec/13/2003131586/-1/-1/0/CSA-APT5-CITRIXADC-V1.PDF">美國國家安全局（NSA）指出</a>，中國政府資助的駭客組織APT5（亦稱UNC2630、Manganese）將其用於攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/154698"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS修補了可被用於發動DoS、資料外洩的容器映像檔服務漏洞</span></strong></a></h3> <p>資安業者Lightspin揭露AWS的Docker映像檔儲存庫Elastic Container Registry Public（ECR Public）重大漏洞，他們在該儲存庫的入口網站ECR Public Gallery當中，發現有個文件未提到的API，可用於新增、刪除、變更容器映像檔，一旦有人發現此API，就有機會刪除其他帳號的ECR映像檔，或是上傳、新增惡意映像檔，進而發動阻斷服務（DoS）、資料外洩、網路橫向移動、權限擴張、資料破壞等攻擊行動。AWS在11月15日獲報後已完成修補。</p> <h3><a href="https://techcrunch.com/2022/12/13/apple-zero-day-webkit-iphone/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">iPhone的WebKit零時差漏洞已被用於攻擊，蘋果亦為Mac電腦和Apple TV修補</span></strong></a></h3> <p>蘋果在11月30日推出的iOS 16.1.2當中，修補了瀏覽器排版引擎WebKit的漏洞CVE-2022-42856，現在該公司也針對舊版iOS與iPadOS，以及Mac電腦、Apple TV修補，原因是已出現攻擊行動。蘋果在12月13日發布iOS 15.7.2、iPadOS 15.7.2、Safari 16.2、tvOS 16.2，以及macOS Ventura 13.1，當中也修補了上述的WebKit漏洞，並指出他們獲報已有相關的漏洞攻擊行動，是針對執行iOS 15.1的手機而來。</p> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2022-patch-tuesday-fixes-2-zero-days-49-flaws/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布12月份例行修補，緩解2個零時差漏洞</span></strong></a></h3> <p>12月14日微軟發布每月例行修補（Patch Tuesday），總共修補了49個漏洞，當中有2個零時差漏洞CVE-2022-44698、CVE-2022-44710，前者是已出現攻擊行動，後者則是細節遭到公開。CVE-2022-44698與Windows的SmartScreen防護機制有關，攻擊者可利用特製的惡意文件，避開識別是否來自網際網路（MoTW）的機制，資安新聞網站Bleeping Computer指出，已有駭客藉由JavaScript檔案發動攻擊；CVE-2022-44710則是出現在DirectX元件，可被攻擊者用於取得System權限。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-claims-attack-on-californias-department-of-finance/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國加州政府財政部門遭勒索軟體LockBit攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/ukrainian-railway-state-agencies-allegedly-targeted-by-dolphincape-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭鐵路系統、國家機構遭到惡意軟體DolphinCape鎖定</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_no/research/22/l/linux-cryptomining-enhanced-via-chaos-rat-.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用木馬程式Chaos RAT入侵Linux電腦，目的是挖掘門羅幣</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-signed-malicious-windows-drivers-used-in-ransomware-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊濫用微軟簽章的驅動程式</span></span></strong></a></p> <p><a href="https://security.googleblog.com/2022/12/announcing-osv-scanner-vulnerability.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google釋出開源軟體漏洞掃描工具OSV-Scanner</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154694">【2022年12月13日】車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Python後門程式鎖定</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> </div></div></div>
2022/12/14 18:25作者周峻佑https://www.ithome.com.tw/news/154710
健保署力推虛擬健保卡，下一步要整合電子處方箋和更多支付App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部健保署今年力推虛擬健保卡應用，昨日（12/13）展開虛擬健保卡應用分享會，不少醫院展示自家虛擬健保卡應用，包括已執行的應用以及未來可能施行的應用情境，來激發更多想像。比如，臺北榮總用虛擬健保卡和健保署開發的輕量藍牙App，來進行居家醫療，減少設備攜帶的不便也大大縮短健保卡讀寫時間，林口長庚醫院則在視訊門診、皮膚科和家醫科一般門診導入虛擬健保卡，並整合支付App方便民眾付款。雙和醫院則打造模擬情境，要結合未來將上路的電子處方箋，讓民眾從報到掃碼、看診、繳費和領藥都用虛擬健保卡完成。健保署未來推動方向也是如此，要整合電子處方箋、支付App（如Line Pay），來提供民眾一條龍式的就醫服務。</p> <p><span style="font-size:24px;"><strong>已有36萬多人持虛擬健保卡、967家特約醫院完成系統介接測試</strong></span></p> <p>健保署指出，全民健保自1995年開辦以來，就發出健保紙卡，供民眾就醫使用。但當時沒有照片，因此需搭配身分證來查核，而且也有6格換卡的限制。於是，2002年，健保署推出健保IC卡，IC卡和紙本卡並行1年後，2004年就全面換發健保IC卡，以晶片卡取代紙本卡外，也陸續整合各種就醫資訊。當時SARS疫情爆發時，也因健保IC卡可追蹤就醫史，用資訊來阻止疫情擴散。</p> <p>不過健保IC卡使用至今，也有不少問題，比如卡片遺失或損壞、基本資料變更需要換發，以及讀卡速度太慢等問題。為解決這些問題，也為配合國家數位化發展，健保署於2018年，與行政院公共數位創新空間小組（PDIS）和各專家聯手設計虛擬健保卡，要將健保卡放入民眾手機，不必攜帶實體卡也能看診，醫師也能查詢就醫資訊，並於2019年開始試辦。</p> <p>而在COVID-19疫情期間，虛擬健保卡也成為視訊診療的重要利器，健保署也鼓勵醫院、民眾使用虛擬健保卡。推動至今滿4年，健保署統計，至今年11月30日，已有36萬3,582人持有虛擬健保卡、967家特約醫療院所已完成虛擬健保卡系統介接測試。</p> <p><span style="font-size:24px;"><strong>鎖定居家醫療、視訊診療、遠距醫療，下半年也推動在地培力訓練</strong></span></p> <p>不只如此，健保署為推廣虛擬健保卡，也鼓勵醫院在居家醫療、視訊診療、遠距醫療等3大領域採用，並給予獎勵，希望在這3領域全面落實虛擬健保卡。但這不代表，虛擬健保卡只能在這3大領域使用，臺灣也有不少醫院已將虛擬健保卡用於一般門診中，如奇美醫院、長庚體系醫院等。</p> <p>除了獎勵，健保署也展開教育訓練，加強採用力道。健保署署長李伯璋指出，健保署自今年7月以來，前進偏鄉和離島，舉辦了16場在地培力訓練實體活動，還同步271個視訊點，共約2,000人參與。他們首站就到阿里山，也搭船至連江縣辦理訓練，要讓當地民眾、醫事人員、意見領袖和社區照服人員等成為在地種子，來提高偏鄉民眾虛擬健保卡的使用率、解決數位落差。</p> <p><span style="font-size:24px;"><strong>健保署打造虛擬健保卡授權功能，還要新增Line Pay支付</strong></span></p> <p>自虛擬健保卡推動以來，健保署也修改不少功能。比如，健保署企劃組組長王宗曦指出，民眾進行視訊看診時，得先在健保快易通App中截圖虛擬健保卡QR Code，再透過院所App傳送，讓醫師掃描、讀取就醫資料來看診。但這要切換程式，有時也難以讀取截圖，因此，健保署打造一套虛擬健保卡系統整合視訊診療系統介接程式，民眾可授權給醫院讀取其醫療記錄，免去掃描QR Code的不便。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%88%E6%AC%8A%E6%B5%81%E7%A8%8B.jpeg" /></p> <p>這個授權機制，是在民眾進行視訊診療前，先開啟虛擬健保卡，並於10分鐘內點選同意授權，院所就能在1小時內取得QR Code、調閱雲端健保資訊，來進行視訊診療。</p> <p>另一方面，健保署也整合金流，串接支付App，目前已支援醫指付、阿佩、街口支付，接下來要新增Line Pay，也在研擬介接銀行支付。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A2%9E%E5%8A%A0LineP.jpeg" /></p> <p>這也是民眾對虛擬健保卡的期許之一。王宗曦指出，健保署在問卷調查中發現，超過85%的民眾認同虛擬健保卡線上申請過程方便、授權機制放心，但民眾對虛擬健保卡有所期望，除了能有更多元的線上支付方式外，還要能提供整合式服務，如搭配處方箋至社區藥局領藥等。</p> <p>對醫事人員來說，超過7成認同虛擬卡讀卡時間比實體卡快速，但也期望能搭配處方箋至醫事機構領藥，並希望健保署提供院所，自行整合設計符合醫院內部流程的讀寫機制SDK，來讓醫院提供一站式服務。這也是健保署接下來的努力方向。</p> <p><span style="font-size:24px;"><strong>北榮用於居家醫療，取卡號不必再等1、2鐘頭</strong></span></p> <p>在實際運用成果上，臺北榮總現場分享，家醫部團隊以虛擬健保卡用於居家醫療照護情境，特別是採用健保署開發的輕量藍牙App，讓團隊不必帶讀卡機，減輕醫護居家醫療的負擔，也能加速讀取資料時間。</p> <p>臺北榮總家醫部醫師李蕙君指出，為實現這個目標，團隊第一步得先幫忙居家醫療病患申請虛擬健保卡，比如針對有自己門號的病患，醫護可現在自己的虛擬健保卡QR Code下方點擊機構代碼、產生機構認證碼，接著在民眾申請虛擬健保卡時，由醫事人員確認資料，並協助民眾填入機構認證碼，來申請虛擬健保卡。而在醫院端，可透過輕量藍牙App先取得醫事機構認證，再以直接拍攝民眾健保卡或透過民眾健保快易通App讀取虛擬健保卡QR Code，來完成取卡、進行看診作業。</p> <p>就北榮自身經驗來說，北榮資訊室打造一套軟體，來讓居家醫療團隊使用。在系統操作上，首先，居家醫療醫護可點選虛擬健保卡主控臺，再點選虛擬健保卡軟體，看到虛擬健保卡執行中字樣後，就可開始看診。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E7%B3%BB%E7%B5%B1.jpeg" /></p> <p>過程中，醫護可傳送虛擬健保卡憑證給病人，病人在健保快易通App中讀取、授權，醫護就能取得V開頭的虛擬健保卡卡號，來進行看診作業。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE3.jpeg" /></p> <p>北榮居家護理師李淑娟表示，過往，她在進行居家醫療服務時，光取得健保卡卡號，就會耗上1、2個小時。而透過虛擬健保卡，就不受地理空間和時間限制。她也提醒，使用虛擬健保卡一定要先連VPN，且使用介面一定要以英文輸入法輸入，否則會受健保局阻擋。</p> <p><span style="font-size:24px;"><strong>高醫不只運用於遠距醫療，還模擬救護資料調閱情境</strong></span></p> <p>另一方面，高醫副院長戴嘉言則分享虛擬健保卡遠距醫療應用成果，自去年7月開始，高醫就先將虛擬健保卡用於視訊診療，今年4月則宣示全院推動，並與健保署合力推動虛擬健保卡在地培力訓練，5月則與屏東縣泰武鄉衛生所展開計畫，以虛擬健保卡納入偏鄉遠距醫療，7月推動教育訓練、8月有所成績。</p> <p>進一步來說，這個遠距醫療虛擬健保卡應用情境有2種，一是在衛生所或民眾家中時，高醫醫師發送授權請求，來讓民眾授權給醫師，讓醫師取得虛擬健保卡卡號、讀取健保雲端藥歷資料。另一種情境則是用於視訊看診和五官鏡問診。</p> <p>不只如此，高醫也將遠距醫療所需的會診記錄，改用國際醫療資料交換標準FHIR來互通。</p> <p>戴嘉言指出，高醫也正發想虛擬健保卡的未來應用，並提出2種模擬情境。比如，它可用於資料授權，像是病人在救護車上時，救護人員可發送授權請求，病人同意後就能調閱其醫療資料，讓後送醫院先行準備。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%AB%98%E9%86%AB%E6%9C%AA%E4%BE%861.jpeg" /></p> <p>另一種應用情境則是身分識別，以虛擬健保卡作為身分認證機制，來讓民眾在社區據點或醫療院所測量生理量測值時，可將量測值上傳至健康福祉整合照護系統。這個情境又可分為2種環境，一是在健保VPN環境下，透過掃描虛擬健保卡QR Code辨識身分，讓民眾在醫療院所量測生理數值並上傳，另一種環境則是非健保VPN，如在7-11、文健站、ABC據點等，一樣透過掃碼來讓民眾使用該地生理量測設備、上傳量測值。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%AB%98%E9%86%AB%E6%9C%AA%E4%BE%862.jpeg" /></p> <p><span style="font-size:24px;"><strong>長庚去年5月展開視訊診療、支援虛擬健保卡，下一步要調整流程</strong></span></p> <p>去年5月疫情緊張時，長庚體系醫院開始支援視訊診療，也導入虛擬健保卡，來讓視訊診療更順暢。在操作上，有兩種方式可執行，一是民眾在長庚官網或App進行網路掛號，或是已掛號可在這兩處申請變更為視訊看診，免除重新掛號的不便。看診時，民眾可出示虛擬健保卡QR Code，來讓遠端醫護掃描、調閱資料，或是透過醫院HIS發送授權請求、民眾同意後，醫院取得V字頭就醫序號，來調閱就醫資料、看診。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A%E6%8E%88%E6%AC%8A.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A.jpeg" /></p> <p>若民眾已在現場掛號，也能透過官網和App，將掛號轉為視訊診療。看診完成後，民眾可透過醫指付App來付款，減少實體接觸感染風險。</p> <p>林口長庚醫院統計，醫院每周也提供超過30個專科的視訊診療，其中，兒科、胸腔內科和中醫是看診人次最多的科別。他們統計，自今年1月至9月，長庚體系的視訊看診人次達到6,463人次/月。</p> <p>不過，長庚醫院也揭露接下來將調整的流程，比如，目前看診前若量測血壓或身高體重，仍為手工輸入，但接下來要添購設備、改為掃描虛擬健保卡QR Code來寫入資料，此外，長庚也要改善病人檢查時的診間報到流程，要讓民眾透過長庚醫院App，來掃描診間報到機上的QR Code，作為報到確認，取代傳統插卡作業。另外在病人檢驗和領藥部分，也將改為以QR Code掃描，來辨識身分。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%96%80%E8%A8%BA%E6%B5%81%E7%A8%8B%E5%80%8B.jpeg" /></p> <p>不只如此，長庚醫院也已修改藥單領藥流程，只要藥單顯示的是虛擬健保卡的V字頭卡號，就配上「請出示身分證件」等字樣，民眾出示身分證或虛擬健保卡即可領取藥單。同樣地，在繳費部分，長庚醫院也已更新批價程式，讓系統可以讀取虛擬健保卡的V字頭卡號，方便民眾自助繳費。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%95%B7%E5%BA%9A%E8%97%A5%E5%96%AE.jpeg" /></p> </div></div></div>
2022/12/14 14:59作者王若樸https://www.ithome.com.tw/news/154702
推特聲稱沒有另一起重大資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於近日有安全研究人員相信有新的重大資料外洩，<a href="https://privacy.twitter.com/en/blog/2022/update-about-an-alleged-incident-impacting-some-accounts-on-twitter" target="_blank">社交平臺推特（Twitter）本周聲稱</a>並無此事，只有今年8月公布的資料外洩案。</p> <p><a href="https://www.ithome.com.tw/news/152367" target="_blank">今年8月研究人員發現有人在駭客論壇上以3萬美元代價，兜售540萬筆推特用戶資料</a>，包括電話號碼和電子郵件帳號。推特證實此事，但表示，這是出於一個去年6月更新時引發的漏洞，但該公司已在今年1月修補，並稱當時並未發現漏洞已遭到濫用。</p> <p>到了11月，資安媒體Bleeping Computer報導這批資料已經在論壇上免費散布。<a href="https://www.ithome.com.tw/news/154485" target="_blank">但另一名安全研究人員Chad Loder指出</a>，有人利用前述漏洞蒐集到多達1,700多萬筆用戶資料，包含1,300多萬筆不包含在之前外洩事件的紀錄。</p> <p>推特本周指出，經過公司的事件回應小組比對兩次報導指稱的資料樣本，他們斷定兩次公告的資料外洩事件其實是同一批資料。</p> <p>好消息是，沒有第二次資料外洩事件。壞消息是，今年8月發現的資料外洩筆數應該如同研究人員懷疑，是1,700多萬筆，而非540萬。</p> <p>推特說，雖然用戶密碼並未外流，但仍鼓勵所有用戶以App或實體驗證金鑰執行雙因素驗證。<a href="https://twitter.ethicspointvp.com/custom/twitter/forms/data/form_data.asp" target="_blank">推特也開放用戶以線上表格申請查詢自己帳號的安全性</a>。</p> <p>此外，由於上千萬用戶電話及電子郵件資料已外流，推特也提醒用戶對聲稱是推特的信件保持警覺，小心釣魚詐騙。</p> </div></div></div>
2022/12/14 12:20作者林妍溱https://www.ithome.com.tw/news/154699
美國正式指控FTX創辦人SBF詐騙投資人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在FTX共同創辦人Sam Bankman-Fried（SBF）本周一（12/12）於巴哈馬<a href="https://www.ithome.com.tw/news/154681" target="_blank">遭到逮捕</a>之後，<a href="https://www.sec.gov/news/press-release/2022-219" target="_blank">美國證券交易委員會（SEC）</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8638-22" target="_blank">美國商品期貨交易委員會（CFTC）</a>周二（12/13）分別控告SBF詐騙投資人。</p> <p>SEC指出，SBF在2019年5月向投資人募集了逾18億美元的資金，當中約有11億美元來自90名美國投資人，他宣稱FTX是個安全且負責任的加密貨幣交易平臺，還說FTX擁有複雜且自動化的風險管理機制可用來保護客戶資產。</p> <p>然而，SBF卻向投資人隱瞞了許多事，包括私自將FTX客戶的資金轉移到SBF名下的加密貨幣做市商Alameda Research，允許Alameda Research享有特殊待遇，未揭露相關風險，還在Alameda Research使用了混合FTX的資金進行未公開的風險投資、購買房地產與政治捐款。</p> <p>SEC主席Gary Gensler表示，SBF在欺騙的基礎上建造了一座紙牌屋（脆弱的組織），還告訴投資人這是加密貨幣最安全的建築之一，SBF的行為彰響了加密貨幣平臺必須遵循美國的法令，例如妥善保護客戶資金與拆分具衝突的業務。SEC執法部主任Gurbir Grewal則說，FTX的崩潰突顯了未註冊的加密資產交易平臺可能替投資者與客戶帶來非常真實的風險。</p> <p>SEC認為SBF欺詐性地向投資人募集數十億美元，並濫用屬於FTX客戶的資金，違反證券交易法令的反詐欺規定。</p> <p>至於CFTC則同時控告了SBF、FTX與Alameda Research，指控它們涉及數位商品銷售的詐騙及重大不實陳述，更說這些被告的行為讓FTX客戶損失超過80億美元。</p> </div></div></div>
2022/12/14 12:35作者陳曉莉https://www.ithome.com.tw/news/154700
微軟收購英國光纖業者Lumenisity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/12/09/microsoft-acquires-lumenisity-an-innovator-in-hollow-core-fiber-hcf-cable/" target="_blank">微軟本月初宣布</a>收購英國光纖業者Lumenisity，以強化微軟雲端平臺的網路基礎架構。</p> <p>微軟指出，創立於2017年的Lumenisity是英國南安普敦大學的光電研究中心（Optoelectronics Research Centre，ORC）分拆獨立的空心光纖（Hallow Core Fiber，HCF）公司。HCF的原理是在空心玻璃導管的通道傳送光。微軟指出，Lumenisity的HCF方案比起傳統以實心玻璃光纖有很多好處，包括速度更快、延遲性更低，因為光在HCF傳送的速度比矽玻璃快47%。其次，基於Lumenisity的內在結構，其HCF更安全，也能偵測入侵活動。此外，因為減少了光纖非線性（nonlinearity）、頻譜更寬，因此網路成本更低、頻寬更大、品質更提升。最後，它訊號耗損超低，可以更長距離傳送而無需轉發器（repeater）。</p> <p>微軟指出，Lumenisity的收購案可擴大微軟最佳化全球雲端基礎架構，並服務微軟雲端平臺和服務的客戶，同時滿足更嚴格的延遲性和安全要求，嘉惠健康照護、金融服務、製造、零售和政府等產業客戶，因為這些客戶相當仰賴高速傳輸、安全及大容量通訊的資料中心。</p> <p>透過這樁交易，微軟計畫利用整合Lumenisity的技術和團隊加速網路和基礎架構的創新。</p> <p>微軟這樁收購並不令人意外，近年為了強化其Azure部門扮演雲端資料中心及代管5G基礎架構的實力，<a href="https://www.ithome.com.tw/news/145377" target="_blank">微軟去年7月買下</a>AT &T 5G行動通訊網路的工程部門和技術。微軟也和<a href="https://www.ithome.com.tw/news/153074" target="_blank">衛星連網服務公司Space X</a>、SES、<a href="https://www.ithome.com.tw/news/146920" target="_blank">和碩</a>合作，以提供衛星網路、5G專網給Azure資料中心及雲端服務企業客戶。</p> </div></div></div>
2022/12/14 11:36作者林妍溱https://www.ithome.com.tw/news/154697
AWS修補了可被用以發動DoS、資料外洩的容器映像檔服務漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lightspin.io/aws-ecr-public-vulnerability" target="_blank">安全廠商發現</a>AWS容器服務一項元件的重大漏洞，可被用來發動阻斷服務（DoS）、外洩資料、網路橫向移動等多種型態攻擊。AWS已經在上個月將之修補。</p> <p>AWS容器登錄檔（Amazon Elastic Container Registry，ECR）是AWS的受管Docker容器登錄檔，可供開發人員存放、共享及部署容器映像。ECR Public是開放給外部人士共享的映像檔儲存庫，其中Public Gallery則是一個公共入口網站，列出所有代管在ECR Public的公開儲存庫。許多知名公司和專案、服務像是NGINX、Ubuntu、Amazon Linux、HashCorp Consul都在此發佈映像檔給外部使用者。</p> <p>安全廠商Lightspin在ECR Public Gallery的主要JavaScript檔案中發現一組未記載的API actions，可用來新增、刪除、變更容器映像檔。這些API actions雖然未記載，卻是有效的，這意謂著可為找到這些API的人所用。研究人員指出，此一漏洞可讓攻擊者刪除其他AWS帳號名下的ECR映像檔，或上傳、新增惡意映像檔，進而發動阻斷服務、資料外洩、網路橫向移動、權限擴張、資料破壞和其他多變量攻擊路徑。</p> <p>研究人員在一次概念驗證（PoC）中，成功撰寫了一個Python腳本程式呼叫其中一個API action，並刪除測試用ECR Public上儲存庫的映像檔。</p> <p>安全廠商於11月15日向AWS通報這項漏洞，這家雲端大廠隔日就修補了漏洞。</p> </div></div></div>
2022/12/14 11:58作者林妍溱https://www.ithome.com.tw/news/154698
Meta開源匿名憑證服務ACS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta向社群開源了<a href="https://engineering.fb.com/2022/12/12/security/anonymous-credential-service-acs-open-source/">匿名憑證服務（Anonymous Credential Service，ACS）</a>，這是一個高可用的多租戶服務，供客戶端能夠以去識別化的方式，進行使用者身分驗證。</p> <p>ACS可以應用的情境有很多，Meta以自家的日誌紀錄應用來解釋開發ACS的原因。Meta在日誌紀錄實施資料最小化精神，僅收集支援服務所需要的最少資料，目標是要在提高用戶體驗的同時，收集和使用更少的資料。</p> <p>在Meta大多數日誌紀錄用例中，用戶身分並非必要，因此需要從日誌紀錄資料中排除，官方提到，移除身分驗證是刪除可辨識碼的一種方法，但是這樣卻會使系統容易受到包括資料注入等攻擊。為此Meta建立了一個更好的去識別身分驗證方法ACS，從高層次來看，ACS透過將身分驗證分為權杖發行和權杖兌換（Token Redemption）兩個階段，來進行去識別化身分驗證。</p> <p>在權杖發行階段，客戶端透過身分驗證的通道聯繫伺服器發送權杖，伺服器會簽署權杖並將其送回，接著去識別化身分驗證，也就是權杖兌換階段，客戶端使用去識別化通道提交資料，並使用權杖的變異形式，而非以用戶ID進行身分驗證。</p> <p>匿名憑證協定建立在VOPRF（Verifiable Oblivious Pseudorandom Function）和盲簽名技術之上。以日誌紀錄為例，Meta將工作流程拆分成兩個步驟解決日誌去識別化的問題，首先客戶端會經過身分驗證，連線到伺服器進一步獲得匿名憑證，之後每當客戶端需要上傳日誌的時候，便會連同匿名憑證和日誌，一起發送到伺服器未經身分驗證的連接中，而匿名憑證便用做客戶端真實性的證明。</p> <p>Meta解釋，之所以這個協定有效，是因為業務資料和身分驗證資料分離，業務資料使用非盲權杖發送，而身分資料則使用盲權杖發送。不過權杖發行和權杖兌換不會同時發生，客戶端可以將權杖儲存數小時甚至數天，當客戶端想要紀錄資料卻沒有權杖，可以獲取權杖並且立刻進行兌換，只不過這兩步驟會在單獨的請求中，避免任何人可從資料中推斷出使用者身分。</p> <p>但要將匿名憑證用於現實的大規模系統仍需要解決一些挑戰，第一是權杖兌換的計數，在理想情況，一個憑證應該只能兌換一次，但是在實作中，由於要減少伺服器負擔，Meta接受多次兌換憑證，Meta使用安全的計數服務來限制權杖兌換次數。</p> <p>另外，匿名憑證協議需要一個金鑰對，伺服器使用金鑰對權杖進行簽章，以便驗證兌換請求，客戶端則需要一個對應的公鑰來解鎖權杖，Meta提到，金鑰輪換對於ACS來說非常重要，這能夠減輕萬一使用者在獲得憑證才遭竊產生的影響。</p> <p>Meta在ACS儲存庫釋出了一個可擴充C函式庫，其主要元件包括VOPRF協定，用於客戶端權杖盲化、非盲化，以及生成用於權杖兌換的共享秘密。ACS儲存庫還有屬性金鑰衍生函式、離散日誌證明，Meta還用C++實作了用於演示的伺服器和客戶端程式。</p> </div></div></div>
2022/12/14 11:06作者李建興https://www.ithome.com.tw/news/154695
JetBrains針對測試自動化推出整合開發環境Aqua
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式語言Kotlin的開發商Jetbrains推出新的開發工具<a href="https://blog.jetbrains.com/qa/2022/11/introducing-aqua-a-powerful-ide-for-test-automation-by-jetbrains/">Aqua</a>，這是一款功能強大的測試自動化IDE，官方提到，Aqua提供許多不同於當前JetBrains產品的獨特功能，Aqua囊括了測試自動化工程師日常所需要的所有工具，包括多語言IDE，支援JVM、Python和JavaScript等，還有HTTP客戶端、資料庫管理功能、Docker支援和UI自動化網頁檢視器等。</p> <p>JetBrains Aqua為一個能夠理解Java、Kotlin、Python、JavaScript、TypeScript和SQL等語言的IDE，即時檢查程式碼的品質和有效性，當發現問題，Aqua將提供建議操作協助用戶解決問題。</p> <p>Aqua具有與其他JetBrains IDE類似的功能，像是用戶可以透過點擊燈泡圖示，呼叫上下文操作，獲得程式碼完成、錯誤偵測和即時程式碼修復功能。開發者也能夠使用智慧搜尋功能，跳轉到任意的類別、檔案、函式和工具視窗，同時，Aqua的智慧功能能夠協助開發者安全地重新命名、刪除、擷取方法、引入變數或是執行其他重構操作。</p> <p>在Aqua中，開發者可以利用程式助理以及GUI測試程式，創建和執行程式碼測試，在Aqua中，用戶可以使用JUnit、TestNG、Pytest、Jest、Mocha和其他熱門框架，編寫、執行和除錯單元測試，並在IDE查看測試結果，以樹狀結構檢視並且簡單地導覽至測試來源。</p> <p>Aqua的特點在於提供許多自動化導引，IDE將有新建專案精靈，供開發者方便地替JVM堆疊產生新的UI測試專案，並在新建專案精靈中指定JDK、建置工具和測試執行工具。Aqua也支援Selenium API和Selenide，針對Selenium API中所使用的CSS、XPath和JavaScript程式碼片段，進行程式碼分析。</p> <p>嵌入式的網頁檢視器讓用戶在Aqua中查看網頁應用程式，並且捕捉自動化測試所需要的頁面元素，Aqua會替網頁上選定的元素，生成唯一的CSS或XPath定位器，並且將其添加到程式碼中，方便用戶建構測試程式。</p> <p>在開發發送和接受HTTP請求的網頁服務時，開發者便可以用上Aqua內建的HTTP客戶端，簡單創建和編輯請求，獲得程式碼完成、突出顯示和重構等協助。Aqua能夠存取Docker容器，供用戶執行和測試容器，並且下載和建置映像檔，或是執行多容器應用程式。</p> <p>而Aqua強大的資料庫支援，讓開發者不需要安裝其他工具準備應用程式資料，可以直接從IDE處理包括Oracle、SQL Server、PostgreSQL和MySQL等資料庫，以及開發SQL腳本和低階資料斷言（Assertion），Aqua提供即時資料庫連接、查詢、匯出資料，用戶能在視覺化介面直接管理資料庫架構。</p> <p>另外，Aqua還能夠連接外部測試管理系統，諸如TestRail等，使得測試方便從IDE存取，而且實驗性支援本地測試管理系統，允許分支、版本控制、審查，並且更好地進行自動化測試整合。</p> </div></div></div>
2022/12/13 22:05作者李建興https://www.ithome.com.tw/news/154696
【資安日報】2022年12月13日，車輛共享業者Uber因第三方廠商遭駭資料外洩、VMware ESXi伺服器遭到Py…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>車輛共享業者Uber再度傳出資料外洩事故，但與過往不同的是，這次並非該公司本身遭到攻擊，而是他們的IT資產管理軟體的供應商成為目標，使得Uber、Uber Eats受到牽連。</p> <p>有後門程式針對VMware虛擬化平臺下手，並利用已知漏洞入侵，值得留意的是，該後門程式其實也能用於攻擊其他執行Linux作業系統的電腦。</p> <p>提供網路應用程式系統防護的應用程式防火牆（WAF），竟然出現了能被用於SQL注入的漏洞，而且，至少有5家知名的解決方案都存在相關漏洞（Palo Alto Networks、AWS、Cloudflare、F5、Imperva）。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/uber-suffers-new-data-breach-after-attack-on-vendor-info-leaked-online/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">車輛共享業者Uber再傳資料外洩，起因是第三方供應商遭駭</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/forum-post-uber.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/forum-post-uber.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，名為UberLeak的人士於駭客論壇聲稱，他們從車輛共享業者Uber與外送平臺Uber Eats竊得內部機密，主要是行動裝置管理平臺（MDM）的資料，以及第三方供應商服務有關的原始碼檔案，該名人士亦特別提及先前曾對Uber下手的駭客組織Lapsus$成員。該新聞網站指出，UberLeak流出的資料包含程式原始碼、IT資產管理報告、資料銷毀報告、網域登入名稱等內部資料，其中一個檔案內有7.7萬名員工的電子郵件信箱及AD資料。</p> <p>對此，Uber透露，此起事件與<a href="https://www.teqtivity.com/breach-notification-statement/">IT資產管理軟體供應商Teqtivity的資料外洩事故</a>有關，駭客竊得此軟體業者的AWS備份伺服器權限，進而存取該公司客戶的檔案，但並非Lapsus$所為。</p> <h3><a href="https://blogs.juniper.net/en-us/threat-research/a-custom-python-backdoor-for-vmware-esxi-servers" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware ESXi伺服器遭到Python後門程式鎖定</span></strong></a></h3> <p>資安業者Juniper Network於今年10月發現以Python打造的後門程式，該惡意軟體藉由已知漏洞CVE-2019-5544、CVE-2020-3992，攻擊VMware虛擬化平臺ESXi，研究人員指出，雖然此後門程式也能用於攻擊其他Linux電腦，但有跡象顯示主要目標是ESXi──駭客設置了/store/packages/vmtools.py的Python指令碼，而這是存放VMware Tools的資料夾路徑，且該指令碼開頭有VMware的版權聲明。</p> <p>攻擊者一旦執行此Python後門程式，將會啟動網頁伺服器，而能讓攻擊者從遠端發出POST請求，啟動反向Shell或是下達其他命令。</p> <h3><a href="https://www.websiteplanet.com/blog/vevor-breach-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路商店Vevor資料庫配置不當，逾600 GB資料公開</span></strong></a></h3> <p>在今年4月與7月，架站教學網站Website Planet的研究團隊與資安人員Jeremiah Fowler合作發現一家網路電商業者的大量資料暴露。出事的業者是DIY工具網路商店Vevor，由於他們使用的AWS資料庫服務，居然未使用密碼來進行保護，導致大量資料暴露在網路上。根據上述團隊的第一次發現，Vevor曝露了逾400 GB、7億個檔案，第二次再查看時，暴露資料量逾600 GB、11億個檔案。</p> <p>研究人員指出，該資料庫內含大量的電子郵件、1290萬筆客戶資料、Vevor的網路環境架構，以及管理者的帳密等，任何使用者只要透過瀏覽器就能存取，甚至編輯、下載，或刪除資料。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/play-ransomware-claims-attack-on-belgium-city-of-antwerp/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Play聲稱是比利時安特衛普市事故的攻擊者</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FjvxLjlVsAAn6q9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FjvxLjlVsAAn6q9.jpg" style="width: 300px; float: right;" /></a>比利時安特衛普市的IT系統、電子郵件、電話服務，約於12月5日開始發生中斷的現象，迄今仍尚未恢復，原因是專門管理市政府IT系統的業者Digipolis遭到勒索軟體攻擊，但攻擊者的身分為何？資安業者Emsisoft的研究人員指出，勒索軟體Play於11日聲稱從安特衛普市竊得557 GB資料，並要脅市政府必須在19日之前支付贖金，否則他們將會公布手上的資料。這些竊得的資料包含了個資、護照、身分證、財務文件等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://claroty.com/team82/research/js-on-security-off-abusing-json-based-sql-to-bypass-waf" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用JSON格式的SQL指令繞過應用程式防火牆的攻擊手法</span></strong></a></h3> <p>資安業者Claroty調查Cambium Networks無線設備管理平臺的過程中，發現了管理伺服器漏洞cnMaestro，後續研究這家廠商架設於AWS的代管服務，結果又找出可攻陷AWS應用程式防火牆（WAF）的方法，Claroty在此主要是利用WAF無法識別JSON的格式語法來下達SQL指令，成功發動SQL注入攻擊。</p> <p>研究人員後來也針對其他WAF產品進行測試，發現類似的漏洞也存在於Palo Alto Networks、Cloudflare、F5、Imperva旗下的WAF，上述5家供應商獲報後皆完成修補。研究人員指出，由於大部分WAF普遍無法解析JSON，上述的漏洞也可能出現在其他廠牌的WAF。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/fortinet-says-ssl-vpn-pre-auth-rce-bug-is-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet於11月底修補的SSL VPN系統漏洞，本週發出資安通告，原因是已出現攻擊行動</span></strong></a></h3> <p>資安業者<a href="https://www.fortiguard.com/psirt/FG-IR-22-398">Fortinet於12月12日發布資安通告</a>，該公司旗下的FortiOS SSL VPN重大漏洞CVE-2022-42475已出現攻擊行動。此漏洞存在於sslvpnd模組，為記憶體緩衝區溢位造成，一旦遭到利用，未經身分驗證的使用者就能遠端癱瘓SSL VPN設備，或是執行任意程式碼，CVSS風險評分為9.3分。</p> <p>然而，在此之前已有資安業者提出警告。<a href="https://www.lemagit.fr/actualites/252528257/VPN-SSL-nouvelle-vulnerabilite-critique-inedite-chez-Fortinet">法國新聞網站LeMagIT指出</a>，資安業者Olympe Cyberdefense早於9日揭露上述漏洞，並呼籲Fortinet用戶留意事件記錄是否出現可疑活動，並在修補程式推出後儘速部署。資安新聞網站Bleeping Computer發現，Fortinet早於11月28日悄悄修補CVE-2022-42475，但並未提及已出現攻擊行動的情況，後來於12月7日向客戶私下通報有關細節。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/154683"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Cloudflare免費提供零信任解決方案供高風險組織運用</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/154677"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google於正式版Chrome提供無密碼登入機制Passkey</span></span></strong></a></p> <p><a href="https://blog.phylum.io/phylum-detects-active-typosquatting-campaign-in-pypi"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Go語言開發的勒索軟體假冒PyPI、NPM套件向開發人員勒索</span></span></strong></a></p> <p><a href="https://www.galesburg.com/story/news/local/2022/12/09/notorious-ransomware-group-claims-credit-for-knox-college-disruptions/69712979007/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國諾克斯學院遭到勒索軟體Hive攻擊</span></span></strong></a></p> <p><a href="https://www.abc.net.au/news/2022-12-13/north-korean-cyber-spies-new-tactic-tricking-foreign-experts/101763756"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Thallium疑假借尋求專家撰寫報告的名義收集情報</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154667">【2022年12月12日】數款端點防護系統漏洞可用於破壞電腦資料、4千個存在漏洞的Pulse Connect SSL VPN曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154640">【2022年12月9日】美國軍火供應商遭到俄羅斯駭客TAG-53攻擊、研究人員揭露惡意軟體封裝平臺Zombinder</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154610">【2022年12月8日】殭屍網路Zerobot利用21個漏洞入侵連網設備、IE零時差漏洞迄今仍是國家級駭客利用的對象</a></strong></strong></strong></p> </div></div></div>
2022/12/13 18:06作者周峻佑https://www.ithome.com.tw/news/154694
微軟將取得倫敦證交所的4%股權，雙方達成10年合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2022/12/11/empowering-the-future-of-financial-markets-with-london-stock-exchange-group/" target="_blank">微軟與倫敦證券交易所集團（London Stock Exchange Group，LSEG）周一（12/12）宣布長達10年的策略合作協議</a>，雙方不僅將共同開發新一代的資料、分析及雲端基礎設施解決方案，微軟也將取得LSEG的4%股權，且負責雲端與AI的微軟副總裁Scott Guthrie可望被任命為LSEG的非執行董事。</p> <p>微軟與LSEG的合作，主要奠基在LSEG在2019年以270億美元所買下的Refinitiv，Refinitiv為金融市場資料與基礎設施供應商，現於全球190個國家提供金融市場的資料分析服務，其金融機構客戶超過4萬家，雙方將力推Refinitiv的資料及分析流程解決方案Workspace。</p> <p><a href="https://www.lseg.com/en/media-centre/press-releases/2022/lseg-and-microsoft-launch-strategic-partnership" target="_blank">根據雙方的協議</a>，LSEG將把資料平臺與其它的關鍵科技基礎設施遷移到微軟的Azure雲端環境上；Refinitiv的Workspace將能與Teams與Microsoft 365等特定的微軟應用互動；雙方亦同意將共同開發基於雲端的數位市場基礎設施，目標是改變市場參與者與資本市場互動的方式。</p> <p>微軟估計，此一合作案所帶來的市場機會，將替微軟於未來10年帶進50億美元的額外營收，其中有28億美元來自於LSEG所承諾的最低支出。對於LSEG而言，發揮及擴大Refinitiv的能力也可緩解大舉併購Refinitiv所招致的回報壓力，LSEG指出，該集團的收入可望隨著此一合作的時間推移而增加，且雙方將共同投入Workspace的規畫與研發。</p> <p>此外，微軟將藉由與Blackstone/Thomson Reuters Consortium交易，取得LSEG的4%股權，微軟副總裁Scott Guthrie亦將進入LSEG董事會，擔任負責監督的非執行董事。</p> <p><a href="https://www.ft.com/content/2e613f60-fc0d-48dc-a0ef-b9a7fff06363" target="_blank">LSEG執行長David Schwimmer向英國《金融時報》（Financial Times）解釋</a>，此一協議不只是把LSEG的資產轉至雲端這麼簡單，而更像是一個重要的策略聯盟，雙方將會共同建置產品並一起進入市場。</p> </div></div></div>
2022/12/13 16:38作者陳曉莉https://www.ithome.com.tw/news/154682
Cloudflare向非營利組織提供零信任安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/cloudflare-zero-trust-for-galileo-and-athenian/">Cloudflare宣布</a>Galileo以及Athenian兩專案使用者，現在都可以獲得免費的Cloudflare One Zero Trust套件防護，抵禦網路釣魚攻擊並獲得安全通道連接服務。Cloudflare One為零信任安全和連接解決方案，受Cloudflare超過1萬名用戶採用以保護其組織資料。</p> <p>Galileo和Athenian專案是Cloudflare提供給非營利組織與公益團體的安全專案，Galileo專案的目標是要維護美國選舉公平性，增加州和地方選舉網站的安全性和效能，而Athenian專案則是對高風險網站提供網路安全保護，從事藝術、人權、公民社會、新聞工作或是民主工作的組織，都可以申請Athenian專案獲得Cloudflare的網路安全保護。</p> <p>官方表示，這些組織面臨與大型公司相同的安全挑戰，包括惡意攻擊者透過網路釣魚攻擊，試圖破壞用戶憑證以及關鍵資源，但因為這些組織缺乏預算，無法部署大型企業用以抵禦威脅的安全工具。</p> <p>現在Cloudflare擴大Galileo和Athenian專案使用者的網路安全防護能力，提供Cloudflare One，以解決團隊常見的安全問題，抵禦範圍更廣泛且日益增加的攻擊。Cloudflare One中所包含的Area 1是網路釣魚防禦工具，該工具會掃描組織的電子郵件，以偵測潛在的網路釣魚活動和其他類型攻擊。</p> <p>Galileo和Athenian專案用戶皆能夠免費使用Area 1，官方提到，Area 1的部署只需要幾分鐘修改DNS紀錄的時間，就可以開始保護Microsoft 365和Gmail等各種電子郵件。雖然部分電子郵件可能會逃避偵測，或是網路釣魚連結會從其他管道傳遞，但即便用戶不小心點擊了惡意連結，透過Cloudflare DNS解析器1.1.1.1，也能即時攔截這些查詢，攔截惡意目標載入。</p> <p>Cloudflare One支援組織的遠端工作，使遠端成員依然可以存取組織內部工具，同時組織也能準確控制，可以存取應用程式和服務的成員，而需要傳統專用網路的組織，可以在用戶端點上部署裝置客戶端WARP，透過Cloudflare Tunnel和Cloudflare的全球網路建立出站連接。</p> <p>除了網路釣魚攻擊之外，組織還面臨許多來自惡意攻擊者的威脅，包括隱藏在下載檔案中的惡意軟體，且當研究人員和記者在不受信任的來源探索特定主題時，可能連帶把勒索軟體帶回組織，或是透過飯店等不安全Wi-Fi網路連接網際網路，成員可能因洩漏DNS查詢而受到監控。</p> <p>Cloudflare One提供了一個加密且安全的網際網路入口，使得用戶能夠獲得私密網際網路連接，並過濾隱藏威脅。當用戶連線到惡意目標時，Cloudflare One將阻擋頁面，同時還會掃描用戶欲下載的惡意軟體，阻擋用戶開啟。</p> </div></div></div>
2022/12/13 16:50作者李建興https://www.ithome.com.tw/news/154683
中國要求Deepfake影片需加明顯標示
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2022/12/12/china_deep_synthesis_deepfake_regulation/" target="_blank">中國國家互聯網信息辦公室本周發布</a>Deepfake人工智慧合成影片服務的管理法規，將要求業者應在合作的Deepfake影片提供明顯標識，避免Deepfake影片用於非法行為，此外也應主動審查客戶內容以避免散布假新聞。</p> <p>中國網信辦是在11月初通過《互聯網資訊服務深度合成管理規定》規定。深度合成服務指的是提供工具產製AI合成模仿知名人物影片（或稱deepfake影片）的服務業者。</p> <p>網信辦這項法令旨在明訂深度合成數據和技術管理規範，防止有人利用深度合成服務從事危害國家安全和利益、擾亂社會經濟秩序。中國政府要求業者應擔任資訊安全主體，建立使用者註冊、定期審核演算法、發布審核資訊、確保用戶個資保護、防範電信網路詐騙，並具備安全技術措施。</p> <p>較重要的一點是，法規要求，4類深度合成服務業者應在生成或編輯的內容特定位置加上顯著標識，以避免公眾遭到混淆或誤導。這4類包括AI對話、智能寫作等生成文本的服務；合成人聲、仿人聲及顯著改變個人身份的服務；人臉生成、替換、人臉操控及姿態操控、影片生成的服務；沈浸式擬真場景等生成或編輯服務等，以及其他類。而且任何組織或個人不得以技術手段刪除、隱藏或竄改這些標識。</p> <p>法規要求，業者和使用者不得使用深度合成服務製作或發布、散布假新聞，轉載深度合成服務發布的新聞，應同時轉載官方新聞稿源。而深度合成服務業者也應加強內容管理，對使用者輸入的資料和合成結果進行技術或人工審查，一旦發現違法和不良訊息，應立即向主管當局通報，並對使用者發布警告或限制功能、暫停服務或關帳號等措施。</p> <p>這項法規在12月11日公布後，將在2023年1月10日起上路。</p> </div></div></div>
2022/12/13 12:48作者林妍溱https://www.ithome.com.tw/news/154680
FTX創辦人SBF遭巴哈馬警方逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/latraelrahming/status/1602468030742757376" target="_blank">巴哈馬警方於本周一（12/12）逮捕了</a>FTX共同創辦人Sam Bankman-Fried（SBF），並準備將他引渡回美國。</p> <p><a href="https://twitter.com/latraelrahming/status/1602446687712473088" target="_blank">巴哈馬法務部長Ryan Pinder表示</a>，該國是收到美國的正式通知，顯示SBF面臨美國刑事指控，可能會要求引渡。此外，巴哈馬總理Philip Davis亦說，巴哈馬及美國在追究與FTX相關事件的個人責任上享有共同利益，在美國對SBF提出刑事訴訟的同時，巴拿馬也會繼續調查FTX，並繼續與美國及其它國家合作。</p> <p><a href="https://twitter.com/SDNYnews/status/1602451395910803457" target="_blank">美國紐約南區檢察官Damian Williams則證實</a>了巴哈馬政府的說法，還說很快就會公布對SBF的起訴書。<a href="https://www.nytimes.com/2022/12/12/business/ftx-sam-bankman-fried-bahamas.html" target="_blank">《紐約時報》（New York Times）</a>引用消息來源指出，SBF被控電信詐欺、證券詐欺及洗錢等罪名。</p> <p>不過，<a href="https://storage.courtlistener.com/recap/gov.uscourts.deb.188450/gov.uscourts.deb.188450.203.0.pdf" target="_blank">FTX也在周一控告</a>巴哈馬政府，宣稱該國政府與SBF聯手，將FTX資產轉移到由巴哈馬控管的加密貨幣錢包中。當時FTX資產忽然被大量移出，外界一度以為該平臺遭到駭客入侵，但隨後巴哈馬證券委員會證實，該機構是在取得法院的命令之後，率先將FTX的數位資產移至該機構的錢包以進行妥善的保管。</p> <p>另一方面，在FTX聲請破產保護之後接掌FTX執行長的John Ray III，將於今天（12/13）向美國眾議院的金融服務委員會報告他梳理FTX的心得，<a href="https://financialservices.house.gov/uploadedfiles/hhrg-117-ba00-wstate-rayj-20221213.pdf" target="_blank">根據先行公開的文字內容</a>，他說在SBF帶領下的FTX於2021年至2022年間進行一場消費狂潮，大撒50億美元的資金投資與購買了許多不值錢的企業，而且FTX與Alameda Research之間的資產混淆不清，還借給內部人員逾10億美元。</p> <p><a href="https://www.ithome.com.tw/news/154305" target="_blank">Ray早就說</a>這輩子從未看過有如FTX般混亂的企業內控，他在此一文件中提出的具體例子還包括儲存客戶資產的系統或金鑰缺乏安全控制，缺乏財務及風險管理人員，以及整個集團缺乏獨立治理能力等。</p> </div></div></div>
2022/12/13 13:12作者陳曉莉https://www.ithome.com.tw/news/154681