iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 17:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

加速雲端原生Flink服務開發，Confluent併購串流處理新創Immerok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業級Kafka串流服務供應商<a href="https://www.confluent.io/blog/cloud-kafka-meets-cloud-flink-with-confluent-and-immerok/">Confluent宣布</a>，正式併購Apache Flink服務供應商Immerok，目標是要在其雲端平臺Confluent Cloud提供全託管Flink服務。Confluent預計會在今年稍晚的時候，從支援SQL開始，在Confluent Cloud推出第一個Flink產品，並讓Kafka和Flink無縫協同運作，使得用戶能夠不需要個別管理獨立的系統。</p> <p>Confluent共同創辦人Jay Kreps解釋了併購Immerok對於Confluent發展策略的重要性，他提到，Confluent一直專注於串流處理，試圖要讓串流資料成為系統的預設功能，並使得資料串流平臺成為現代化資料架構的核心。</p> <p>達成這個目標的重點，必須讓串流傳輸應用程式開發足夠簡單，就像是開發批次處理和其他現代化應用程式一樣。在營運方面，Confluent已經運用Apache Kafka建立Confluent Cloud資料串流平臺，提供彈性、可擴展的資料串流服務。過去Confluent在開源專案的貢獻上，都是圍繞在Kafka Streams、KSQL等Kafka生態系。</p> <p>而多年來Confluent觀察不少他們的客戶，也同時使用了Flink運算框架。Flink是由Java和Scala所開發，其原則性處理模型能夠涵蓋批次和串流資料，並支援SQL、Java和Python程式語言。Jay Kreps認為，Flink是串流處理的未來，不只能夠提供Confluent Cloud用戶靈活的介面和功能，也將成為未來串流處理戰略的核心，他還提到，就像是Kafka逐漸成為企業讀取、寫入和共享資料串流的標準，Flink也正成為建置處理、回應等串流應用的標準。</p> <p>Immerok是一家提供Flink全託管服務的新創公司，Confluent要透過併購Immerok，來強化自家資料串流業務，Confluent將會繼續投資Kafka Streams、KSQL等Kafka生態系，並整合Spark、Materialize等外部系統，並在併購Immerok後對Flink持續做出貢獻。</p> </div></div></div>
2023/1/10 15:51作者李建興https://www.ithome.com.tw/news/155100
微軟併購資料中心晶片新創Fungible
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與資料中心技術新創Fungible共同宣布併購案消息，<a href="https://blogs.microsoft.com/blog/2023/01/09/microsoft-announces-acquisition-of-fungible-to-accelerate-datacenter-innovation/">微軟希望透過併購Fungible</a>，獲得Fungible高效能低功耗資料處理單元（DPU）技術，以強化資料中心基礎設施，使得網路和儲存元件效能得以提升。</p> <p>在2015年，Juniper Networks共同創辦人暨首席科學家Pradeep Sindhu，以及Apple軟體工程資深副總裁Bertrand Serlet共同創立Fungible，該公司主要業務是開發資料中心用的軟硬體，以提升效能、可靠性，並使得資料中心營運更具有經濟效益。</p> <p>在2016年的時候，Fungible開發出DPU，這是一種可程式化處理器，用途是加速資料中心內的資料工作負載，DPU作為資料流量控制器的角色，將資料從網路傳輸到CPU和GPU。DPU使得資料中心可以透過分離計算和儲存元件，來改進基礎架構，進一步消除伺服器的物理限制，使資料中心的資源可透過資料架構動態聚合。</p> <p>微軟認為，Fungible的技術能夠在高可靠性和安全性情況下，擴展與解構資料中心基礎設施。Fungible團隊會進入微軟的資料中心基礎設施工程團隊，提供多種DPU解決方案、網路創新和硬體系統改進。</p> </div></div></div>
2023/1/10 15:54作者李建興https://www.ithome.com.tw/news/155101
Meta開發新技術VRS解決住宅廣告歧視問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta推出新的廣告系統<a href="https://ai.facebook.com/blog/advertising-fairness-variance-reduction-system-vrs/">Variance Reduction System（VRS</a>），以解決原本廣告系統中存在的住宅歧視問題。這個新技術是Meta與美國司法部（Department of Justice，DOJ）、住宅暨都市發展部（Department of Housing and Urban Development，HUD）合作的產物，目前Meta先將VRS用於住宅廣告，之後還會推展到就業和信貸廣告。</p> <p>Meta在2019年因為違反美國《公平住宅法案》（Fair Housing Act，FHA）而被住宅暨都市發展部告上法院，HUD認為臉書平臺挖掘用戶資料，讓廣告主可以依據種族、家庭狀況和殘疾與否等條件推送廣告，明顯是歧視性的房屋廣告。雙方在2022年6月達成和解，Meta除了需支付11萬美元的罰款之外，也必須在2022年底前開發無歧視性廣告工具。</p> <p>在和司法部、住宅暨都市發展部合作一年多後，Meta發表了Variance Reduction System（VRS）研究論文，目前VRS系統已經被用於房屋廣告，確保廣告系統能夠公平的推送廣告。</p> <p>Meta目前的廣告政策禁止廣告主使用Meta的產品，歧視個人與特定族群，同時制定額外的保護措施，像是不允許特定廣告使用性別、年齡和郵政編號來定位受眾。但是Meta提到，即使沒有這些特徵的定位選項，人的興趣和活動等特徵，仍可以影響廣告對不同人口群體的分配，而這正是VRS用武之地，VRS的目標是確保最終看到住房、就業和信貸廣告的受眾，能夠更符合法律規範的廣告目標受眾。</p> <p>Meta透過定期測量特定廣告的實際受眾，以了解這些受眾組成與人口統計分布的差異，其中包括年齡、性別和種族等特徵，官方提到，目前這個系統優先著重性別和種族特徵，並會以隱私方法進行總體測量。</p> <p>VRS是用於廣告投放的增強學習框架，最大程度減少實際看過廣告的人，與廣告預期受眾之間的差異。Meta解釋，增強學習是一種機器學習方法，可以最大程度減少人口統計子群組之間廣告曝光的差異，而且其重點在於VRS在做決定前，不會事先獲得年齡、性別和種族等個人層級的資料。VRS能夠量測人口統計分布的基準，並與廣告商目標用戶群體的種族分布進行比較，而在投放廣告的時候，也會定期測量投放率和廣告曝光的人口統計分布。</p> <p>Meta提到他們在開發VRS方法的過程中，所面臨的挑戰與限制，技術挑戰包括人口統計資料的低可用性，雖然Meta在使用者創建帳號時，就能夠收集性別和年齡，但是缺少了種族等人口統計資料，而這阻礙了系統性調查這些受保護特徵間的差異，同時也提高在過程監控公平進展的障礙。</p> <p>而人們總希望實現真完全的公平，但Meta提到，VRS同時考慮年齡、性別和種族等人口統計特徵，但是同時考量多個特徵以及潛在權衡，反而不太可能完美地實現每個特徵的目標。廣告主所設定的廣告曝光數，也會直接關係到系統有多少機會，找到成功的策略以減少差異。另外，因為VRS仰賴多個技術基礎架構迭代測量，因此測量過程使VRS系統產生較大的延遲。</p> <p>在Meta還提到，開啟了這類研究之後，也衍伸出了更多的問題，包括是否將類似的工具用於其他尚不需要隱私保護的人口統計特徵，同時他們也認為，這項隱私保護應該持續討論，以擴及更多線上和離線的房屋、工作和金融工具。</p> </div></div></div>
2023/1/10 14:59作者李建興https://www.ithome.com.tw/news/155097
美FCC成立太空局管理低軌衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著近地低軌道（Low Earth Orbit，LEO）衛星通訊應用愈來愈普及，美國聯邦通訊委員會（FCC）本周無異議表決通過，成立太空局來管理相關業務。</p> <p>這次表決將把FCC旗下的國際局切分成太空局及獨立的太空事務辦公室。本案下周將交由美國國會及其他單位的核准。</p> <p><a href="https://www.fcc.gov/document/fcc-votes-establish-space-bureau-office-international-affairs" target="_blank">FCC主席Jessica Rosenworcel指出</a>，衛星產業快速成長，超過FCC的授權管理框架的腳步，因此有必要改組。為了支援像是Amazon、Space X、OneWeb等近地衛星通訊業者的執照發放，FCC已經加速審查程序，並將衛星部門擴增38%，也強調革新頻譜政策以加速衛星通訊服務的自由化。</p> <p>新的太空局可確保FCC資源與作業的確實配合，並強化政府各部門間的協同，此外也將執行太空安全及責任，包括將衛星從軌道回收以減少太空垃圾的問題。</p> <p>在衛星業者及新業者推動下，<a href="https://www.ithome.com.tw/news/151509" target="_blank">2020年發射到地球上空的LEO衛星突破1千顆</a>，預期2021年到2030年每年發射將超過1,700顆衛星，大部分為低軌衛星。Amazon的Project Kuiper預計發射3,000多顆 LEO衛星。馬斯克（Elon Musk）的Space X已取得1.2萬顆LEO衛星授權，還預期將再發射3萬顆第2代Starlink LEO衛星。<a href="https://www.fcc.gov/document/fcc-partially-grants-spacex-gen2-broadband-satellite-application" target="_blank">FCC 12月才核准Space X 第2代Starlink近地低軌衛星7,500多顆的發射執照</a>。</p> </div></div></div>
2023/1/10 12:28作者林妍溱https://www.ithome.com.tw/news/155096
白俄羅斯法令允許政府盜用西方國家智財軟體及影音作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://torrentfreak.com/belarus-legalizes-piracy-of-movies-music-software-of-unfriendly-nations-230109/" target="_blank">TorrentFreak報導</a>，白俄羅斯上周通過一項新法令，允許政府盜版使用包括美、英及歐盟等西方國家的影音內容、電視節目及軟體。</p> <p>報導指出，最新法令<a href="https://torrentfreak.com/images/Belarus-Restriction-of-exclusive-rights-to-IP-2-2961-230106.pdf" target="_blank">《智慧財產物件的專屬權利限制》</a>主要是針對版權持有人或代表版權持有人的授權管理機構。如果這些單位是來自對白俄羅斯「採取不友善行為」的國家，他們不允許合法智財在該國使用，則這些單位的權利將會受限。在這情況下，在白俄羅斯境內使用這些智財就不需獲得這些單位的同意。新法也允許受智財法保障的商品在未獲得版權持有人同意情況下進口。</p> <p>新法令是在去年12月由該國國會通過，在1月初由總統盧卡申科（Alexander Lukashenko）簽署成為法令，並在本周上路實行。</p> <p>新法指涉的智財內容類型包括電腦軟體，以及影音作品，如電影、音樂、電視節目等。新法保障的組織也包括影片發行商、電視組織、大眾傳播業者，意謂西方國家的第一輪電影和現場播映的電視節目都會受到影響。</p> <p>受到影響的西方國家包括美、英、歐盟及其他國家。報導指出，新法是白俄羅斯反擊西方國家近年抵制的行動。2021年白俄羅斯劫持了Ryanair 航空以逮捕異議記者後，美國控訴其為空中海盜。此外，由於白俄羅斯在俄烏戰爭中的親俄立場，也使其遭到西方國家的經濟制裁。</p> <p>同樣地，<a href="https://www.ithome.com.tw/news/150264" target="_blank">去年4月俄羅斯政府公布</a>一項平行進口（parallel imports）法令，允許特定外國智財，包括電影、音樂、軟體及其他「發明」產品進口，即使產品商標持有人未同意。</p> </div></div></div>
2023/1/10 11:25作者林妍溱https://www.ithome.com.tw/news/155094
荷航、法航疑客戶個資外洩，通知用戶變更密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭皇家航空（KLM）及法國航空（Air France）本周稍早通知客戶，包括其姓名、電子郵件及電話等資訊可能外洩，呼籲用戶儘速變更密碼。</p> <p><a href="https://twitter.com/KLM/status/1611441068322525187" target="_blank">本周數名推特用戶張貼</a>來自荷航的電子郵件，告知該公司偵測到用戶Flying Blue帳號有可疑活動，導致用戶部分個資可能遭存取。荷航採取安全措施，已暫時封鎖用戶，呼籲用戶重設密碼以重新取得存取權。</p> <p>Flying Blue是數家航空公司共用的忠誠度方案，包括荷航、法航、肯亞航空等。<a href="https://www.bleepingcomputer.com/news/security/air-france-and-klm-notify-customers-of-account-hacks/" target="_blank">Bleeping Computer報導</a>，法航也對用戶發出通知信函。法航及荷航已在2004年合併。</p> <p>根據荷航通知，可能遭存取的客戶個資包括姓名、電話、電子郵件、里程數、Flying Blue會員號碼及等級、最新一次交易。但荷航說信用卡及支付資料並未受影響。該公司並說，攻擊已及時遭到阻斷，沒有用戶的里程數受到影響。</p> <p>不過<a href="https://twitter.com/troyhunt/status/1611467620250976256" target="_blank">安全專家Troy Hunt質疑</a>，列出那麼多受影響的資料項目及邀請用戶變更密碼，實在不太像是已及時阻斷攻擊。</p> <p>荷航並未針對受影響用戶數及網路攻擊性質，以及時間點等做出說明。</p> <p>這是最新一起航空公司傳出客戶個資外洩危機。<a href="https://www.ithome.com.tw/news/153140" target="_blank">去年9月美國航空（American Airlines）公告</a>，部分員工的電子郵件帳號被入侵，而讓駭客存取了客戶的個人資訊，包括姓名、生日、住家地址、電話號碼、電子郵件位址、駕照號碼、護照號碼，以及特定的醫療訊息。</p> <p>此外，<a href="https://www.ithome.com.tw/news/143092" target="_blank">國際航空電訊集團（STIA）旗下開發航空系統的子公司2021年春天被駭</a>，導致多家使用其系統的航空公司，包括印度、國泰、漢莎及新加坡、馬來西亞航空等客戶資料外洩。另外，<a href="https://www.ithome.com.tw/news/146466" target="_blank">曼谷航空同年8月也因遭勒索軟體LockBit攻擊</a>，致駭客存取了數量不詳的客戶資料。</p> </div></div></div>
2023/1/10 11:35作者林妍溱https://www.ithome.com.tw/news/155095
C++獲得2022 Tiobe年度程式語言獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python在連續兩年獲得Tiobe年度程式語言獎之後，該獎項拱手讓人，<a href="https://www.tiobe.com/tiobe-index/">Tiobe宣布2022 Tiobe年度程式語言獎由C++獲得</a>。C++在Tiobe指數大幅成長主要有兩大理由，Tiobe官方提到，C++除了超越Java成為TIOBE指數第三名之外，不斷發展的新語言標準，也使得該語言再次受到關注。</p> <p>2022年Tiobe指數，C++獲得最多的流行度分數4.62％，第二名為3.82％的C語言，而第三名則是Python獲得2.78％，C++在2022年11<span style="white-space:pre"> </span>月的時候，超越Java成為Tiobe指數的第三名，官方提到，C++受歡迎的原因，在於該語言是一種高階物件導向語言，具有出色的效能，因此可被用於開發快速且龐大的軟體系統。</p> <p>另一個C++崛起的原因，歸功於C++持續發展新語言標準，官方提到，C++發展史的第一里程碑是C++11，該版本是C++在1998年正式發布以來第一個重大更新，但因為沒有可用的C++編譯器支援新的語言定義，因此這個版本的採用花了數年的時間，而這也是C++過去在TIOBE指數中，一直處於下降趨勢的原因。</p> <p>官方認為，C++第二個里程碑是C++20，加入了諸如模組等概念，可能有助於C++在未來數年間，進一步提升在TIOBE指數中的排名。</p> <p>除了C++，值得關注的程式語言還有C++的競爭者Rust，從一年前26名進入到20名，能夠和C語言簡單對接的Lua，則從30名躍升至24名。官方還特別提到了F＃，一年的時間從排名74上升到33名。Kotlin從29名進步到25名，資料科學家愛用語言Julia，則是從28小退步至29，Dart也從37名小跌至38名。</p> </div></div></div>
2023/1/9 22:58作者李建興https://www.ithome.com.tw/news/155077
Apple混合實境頭戴裝置可能於3Q23出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>任職天風國際證券（TF International Securities）的知名Apple分析師郭明錤，日前指出，原訂於2023第二季推出的Apple混合實境頭戴裝置，因為軟體相關的問題推延至2023下半年。</p> <p>而郭明錤上星期（1/6）又在<a href="https://twitter.com/mingchikuo/status/1611210761073995777">推特發文補充</a>，造成Apple混合實境頭戴裝置開發進度落後的原因，除了軟體開發工具可用性問題之外，Apple還需要解決機械元件跌落測試的問題，該裝置批次出貨可能會從原本規畫的2023年第二季，推延至2023第二季末甚至是第三季。</p> <p>因此郭明錤推測，Apple要在1月舉辦新裝置媒體活動的可能性很小，根據開發進度，他認為Apple更有可能在春季媒體活動或是WWEDC上發布混合實境頭戴裝置。</p> </div></div></div>
2023/1/9 23:01作者李建興https://www.ithome.com.tw/news/155079
微軟發布Graph開發者代理預覽，簡化Microsoft Graph應用程式除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-graph-developer-proxy-v0-3/">微軟推出Graph開發者代理（Graph Developer Proxy）0.3預覽版本</a>，開發者現在可以使用該版本，建構彈性且高效能的應用程式，微軟提到，這個版本提供Microsoft Graph和API模擬錯誤，以及上下文指南，協助開發者提高應用程式效能。</p> <p>Graph開發者代理是一個命令列工具，能夠模擬應用程式在呼叫Graph API時，可能遇到的不同類型錯誤，使得開發者可在本地端測試Microsoft Graph應用程式，在開發初期就發現程式碼錯誤。</p> <p>現在微軟進一步更新Graph開發者代理，支援模擬所有的API錯誤，代理預設僅涵蓋Microsoft Graph和SharePoint API配置，但是開發者可以透過添加代理應該攔截的URL，來擴充對其他API的支援。</p> <p>微軟提到，Microsoft Graph是一個豐富的API，使開發者可以存取Microsoft 365中的資料。而用戶可以使用$select查詢參數擴展請求，透過限制Microsoft Graph僅回傳需要的資料，以加快API回應速度。Graph開發者代理會對未使用$select查詢參數的Microsoft Graph API請求發出警示，並且提供指南連結，建議用戶加上參數。</p> <p>微軟會持續改進Graph開發者代理，使其更加模組化，這不僅讓功能維護更加簡單，也能夠讓用戶建置擴充套件，以支援特定使用情境。</p> </div></div></div>
2023/1/9 23:03作者李建興https://www.ithome.com.tw/news/155083
【資安日報】2023年1月9日，程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudfl…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼NPM、PyPI套件庫出現惡意套件攻擊，又有新的開發工具套件庫可能會成為駭客散布惡意程式的管道！有資安業者發現微軟程式碼編輯器Visual Studio Code的外掛程式市集開始出現有問題的外掛。研究人員發現，駭客想要上架冒牌外掛程式相當容易，甚至能輕易拿到藍勾勾驗證。</p> <p>散布惡意PyPI的攻擊行動頻傳，最近手法也出現新的變化，但這次並非針對上架於PyPI的層面，而是植入受害電腦的惡意程式。有資安業者發現新一波的PyPI惡意套件攻擊，駭客將其用於部署後門程式，而該後門與駭客通訊的管道，竟是透過合法的資安服務。</p> <p>針對Mac電腦的勒索軟體威脅加劇，駭客導入了近期在Windows勒索軟體上出現的手法，像是利用作業系統內建的工具找出要加密的檔案，以及偵測系統環境來防堵研究人員透過沙箱進行分析的情況。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.aquasec.com/can-you-trust-your-vscode-extensions" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">程式碼編輯器VS Code的外掛程式市集恐遭駭客濫用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Aqua-Security-landing-page-Comparison-Image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aqua-Security-landing-page-Comparison-Image-1.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security指出，微軟程式碼編輯器Visual Studio Code的外掛程式市集VSCode Marketplace，出現異常行為的外掛程式API Generator Plugin和code-tester，一旦使用者將其安裝到程式碼編輯器上，這些外掛程式就會每30秒向特定URL發送HTTP請求，並使用特定函式進行回應。</p> <p>研究人員表示，雖然他們無法完全確定這些外掛程式是駭客打造，但由於使用HTTP連線，很有可能在通訊過程遭到中間人攻擊（MitM），而成為駭客利用的對象。</p> <p>為何會有這樣的現象？研究人員上架冒牌的Prettier外掛程式（正牌的已被下載2,700萬次），過程中他們不只能盜用程式的圖示，還能使用一模一樣的名稱上架，結果2天有1,500個開發者上當。此外，他們也發現開發者只要能證明持有某個網域，就能取得藍勾勾驗證。</p> <h3><a href="https://blog.phylum.io/a-deep-dive-into-powerat-a-newly-discovered-stealer/rat-combo-polluting-pypi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</span></strong></a></h3> <p>資安業者Phylum自12月22日至31日，在PyPI套件庫上發現6個惡意套件，一旦使用者安裝了這些套件，電腦就會被植入惡意軟體，企圖從瀏覽器盜取敏感的使用者設定資料、執行Shell命令，以及側錄使用者輸入的機密資料。</p> <p>研究人員解析這些套件，發現其安裝檔案（setup.py）挾帶了經Base64演算法編碼的PowerShell程式碼，駭客下達強制執行全部訊息關閉的參數（-ErrorAction SilentlyContinue），就算是執行過程出現異常動作，也套用靜默模式繼續運作，而讓人難以察覺異狀。此外，駭客也利用名為cftunnel.py的檔案，於受害電腦部署Cloudflare Tunnel用戶端程式，藉此做為惡意程式與駭客連線的管道，進而繞過防火牆的防護措施。</p> <h3><a href="https://www.microsoft.com/en-us/security/blog/2023/01/05/unraveling-the-techniques-of-mac-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定Mac電腦的勒索軟體也出現新型態攻擊手法！駭客採用寄生攻擊並導入反偵測的機制</span></strong></a></h3> <p>微軟安全威脅情報團隊（Microsoft Security Threat Intelligence）揭露近期針對Mac電腦的勒索軟體手法，他們指出KeRanger、FileCoder、MacRansom、EvilQuest等4款Mac勒索軟體，開始導入了寄生攻擊（LOLBin）的手法，以及反沙箱偵測的機制。</p> <p>研究人員指出，為了確認電腦裡有那些檔案，FileCoder和MacRansom濫用了多款Unix作業系統內建的應用程式find，列舉要加密的檔案名稱；至於KeRanger和EvilQuest這兩款勒索軟體，則是下達程式庫opendir、readdir、closedir的函數來進行同樣的工作。</p> <p>再者，這些勒索軟體也會檢查電腦的組態，來確認是否在虛擬機器（VM）的環境執行，藉此迴避研究人員透過沙箱分析的情況──例如，MacRansom會檢查硬體的型號，並比較處理器的虛擬與實際核心數量；EvilQuest則是會偵測MAC位置的前24個字元（即組織唯一識別碼，OUI），以及處理器核心數量與記憶體容量，來判斷是否在VM環境運作。</p> <h3><a href="https://www.mandiant.com/resources/blog/turla-galaxy-opportunity"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla利用USB裝置散布惡意軟體Andromeda</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-turla-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-turla-timeline.png" style="width: 300px; float: right;" /></a>資安業者Mandiant於2022年9月發現俄羅斯駭客Turla的可疑行動，這些駭客針對曾經遭到惡意軟體Andromeda（亦稱Wauchos、Gamarue）攻擊的烏克蘭組織下手，利用偵察工具Kopiluwak、後門程式Quietcanary入侵受害電腦，過程中利用3個以往Andromeda用於C2中繼站的網域。</p> <p>受害組織於2021年12月感染了Andromeda，其途徑是USB裝置，當使用者點選此裝置的捷徑檔案（LNK），電腦就會被植入惡意軟體。駭客先是註冊舊的Andromeda的C2中繼站網域，找尋有興趣下手的目標並植入下載Kopiluwak的工具，直到9月6日至8日，駭客才將上述偵察工具部署到受害電腦，並於同月8日植入Quietcanary。</p> <h3><a href="https://asec.ahnlab.com/en/45312/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供寶可夢電玩的名義，散布NetSupport RAT木馬程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image-73.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-73.png" style="width: 300px; float: right;" /></a>資安業者AhnLab表示，他們發現駭客佯稱提供寶可夢電玩遊戲的名義，散布名為NetSupport RAT的木馬程式，並聲稱玩這款遊戲將有機會獲得非同質化代幣（NFT）。</p> <p>然而，一旦使用者下載安裝程式並執行，電腦就會被植入上述木馬程式，而此軟體實際是駭客採取特定配置的遠端管理工具NetSupport Manager，受害電腦將會受到駭客遠端控制。研究人員指出，他們不只看到假冒電玩遊戲的NetSupport RAT，還有偽裝成微軟程式開發工具Visual Studio的版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://research.checkpoint.com/2023/blindeagle-targeting-ecuador-with-sharpened-tools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">哥倫比亞和厄瓜多爾組織遭駭客組織Blind Eagle鎖定</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/texas-county-ems-agency-says-ransomware-breach-hit-612000-a-20876"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國德州救護車服務業者遭勒索軟體攻擊，恐洩露逾60萬人個資</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/womens-health-clinic-suffers-breach-in-ransomware-attack-a-20878"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國賓州婦女診所遭勒索軟體攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155054">【2023年1月7日】駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEFI漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155044">【2023年1月6日】 Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及持續交付服務挖礦</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155009">【2023年1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</a></strong></strong></strong></p> </div></div></div>
2023/1/9 16:47作者周峻佑https://www.ithome.com.tw/news/155080
Rackspace公布勒索軟體攻擊調查結果，Exchange代管服務用戶資料遭駭客存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年12月初，雲端代管公司<a href="https://status.apps.rackspace.com/index/viewincidents?group=2">Rackspace</a> Exchange代管服務遭到勒索軟體攻擊，隨後官方委託資安公司CrowdStrike進行鑑識調查，而現在調查報告已經出爐，證據顯示駭客存取了27個Exchange代管服務用戶的個人儲存表格（Personal Storage Table），官方提到，Rackspace已經主動聯絡這些用戶，而沒有接收到聯絡的用戶則可以放心，另外，Rackspace也不再重建Exchange代管服務環境，將全部搬遷至Microsoft 365。</p> <p>Rackspace團隊近日完成了12月初，勒索軟體攻擊的鑑識調查。當初外界普遍認為駭客是利用ProxyNotShell漏洞來攻擊Rackspace的Exchange代管服務，但調查報告指出，這場攻擊是由駭客PLAY發動，並且使用過去未發現的漏洞取得Exchange代管服務的初始存取權限。</p> <p>這個零日漏洞和CVE-2022-41080有關，微軟之前曾揭露CVE-2022-41080可以被用於特權升級，但是微軟未提到該漏洞也可被用於遠端程式碼執行鏈的一環，Rackspace提醒所有組織和安全團隊，應該閱讀CrowdStrike最近針對該漏洞所發布的資訊，採取保護系統的必要行動。</p> <p>在勒索軟體攻擊發生時，Rackspace Exchange代管服務中尚有將近3萬個客戶，而鑑識調查確認駭客存取了其中27名客戶的個人儲存表格，Rackspace已經主動聯絡這些用戶，以採取必要措施，而CrowdStrike認為，目前沒有證據顯示駭客實際查看、獲取、濫用或是傳播個人儲存表格中的電子郵件和資料。</p> <p>Rackspace持續恢復用戶的電子郵件資料，現在超過一半受影響用戶，已經可以下載部分或全部資料，但截至目前為至，只有不到5％的用戶進行下載，官方提到，這代表許多用戶都有在本地備份和封存資料，或是不需要這些歷史資料，但是他們仍然會繼續恢復資料，同時會在兩個星期內，提供下載資料按需服務。。</p> <p>鑑識調查已經全部結束，官方表示，受到駭客攻擊的只有Exchange代管服務，其他Rackspace產品、平臺、解決方案和業務，都沒有受到本次勒索軟體攻擊事件影響。Rackspace未來也不會重建Exchange代管服務電子郵件環境，官方已計畫將Exchange代管服務全部搬遷至Microsoft 365。</p> </div></div></div>
2023/1/9 16:33作者李建興https://www.ithome.com.tw/news/155072
Amazon S3開始預設加密新物件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在更改Amazon S3物件加密行為，現在<a href="https://aws.amazon.com/tw/blogs/aws/amazon-s3-encrypts-new-objects-by-default/">S3預設加密所有新的物件</a>，當用戶沒有特別指定加密方法，自動對每一個新物件啟用伺服器端加密（SSE-S3）。目前這項更改已經在所有AWS地區生效，包括AWS GovCloud和AWS中國地區，用戶不需要對預設物件加密支付額外費用。</p> <p>S3伺服器端加密會以完全透明的方式，處理新物件的加密、解密和金鑰管理，當用戶使用PUT方法上傳物件時，S3伺服器會生成唯一金鑰，以金鑰加密資料，並使用根金鑰來加密該金鑰。</p> <p>官方提到，這項更改是以自動化執行最佳安全實踐，不會對效能產生影響，用戶也不需要採取額外的措施，未使用預設加密的S3儲存桶，現在會自動應用SSE-S3加密，而原本就預設使用SSE-S3加密的儲存桶則不會有任何變化。</p> <p>用戶還是可以根據需求，從S3預設加密（SSE-S3）、客戶提供加密金鑰（SSE-C）與AWS金鑰管理服務金鑰（SSE-KMS）三種加密設定選擇需要的方法，同時也能使用客戶端函式庫，在客戶端加密物件，以獲得額外的加密保護。</p> <p>SSE-S3使用由AWS所管理的256位元金鑰進行AES加密，AWS提到，雖然原本選擇性啟用SSE-S3加密方法也很簡單，但是選擇性的意思，代表著用戶需要配置每一個儲存桶，並且確保這些設定不會因為時間變更，對要求所有物件都使用SSE-S3加密的用戶，這項預設加密更新不需要變更任何工具和客戶端配置，就能符合加密法遵要求。</p> <p>S3用戶已經可以從CloudTrail資料事件日誌中，看到此項變更帶來的變化，在接下來數周內，用戶還可以從AWS管理控制臺、S3 Inventory、S3 Storage Lens，還有AWS CLI和AWS SDK的附加標頭看到變更。用戶可以配置CloudTrail紀錄資料事件，來驗證儲存桶預設加密，不過CloudTrail預設不紀錄資料事件，啟用該功能需要支付額外費用。</p> </div></div></div>
2023/1/9 16:39作者李建興https://www.ithome.com.tw/news/155075
三星可能在2月1日公布下一代旗艦手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，三星可能在2月1日公布下一代旗艦手機Galaxy S23，新手機的部分規格及色彩也已提前曝光。</p> <p>三星下一代旗艦手機Galaxy S23系列原本謠傳會在2月底公布，<a href="https://twitter.com/UniverseIce/status/1611549591144628224" target="_blank">本周網友發現</a>，三星哥倫比亞官網不慎公布向來是三星產品公布場合的Unpacked活動，將在2月1日舉行，比去年Galaxy S22的2月9日早了一星期。</p> <p>該網頁立刻被撤下，不過隔日<a href="https://www.phonearena.com/news/samsung-galaxy-s23-announcement-unpacked-date-colors_id144679" target="_blank">三星愛沙尼亞官網又被發現</a>也公布了2月1日的Unpacked活動網頁，而且預購還可獲得價值230美元的無線耳機Galaxy Buds2 Pro。</p> <p><a href="https://twitter.com/_snoopytech_/status/1611086652629213205" target="_blank">另一網友則發現</a>Galaxy 23的4種色彩選擇，包括白色、粉紅、墨綠及黑色。從外觀看，新一代旗艦機可能有5顆鏡頭。</p> <p>至於硬體規格，<a href="https://9to5google.com/2023/01/06/galaxy-s23-launch-date-leak/" target="_blank">根據9to5Google報導</a>，Galaxy S23、Galaxy S23 Plus主要相機將提升到5000萬像素，最頂級的Galaxy S23 Ultra可能高達2億像素，三款手機在全球各市場的出貨機種，可能都會搭載第二代Qualcomm Snapdragon 8晶片。</p> </div></div></div>
2023/1/9 16:49作者林妍溱https://www.ithome.com.tw/news/155081
聯想推出2款創新雙螢幕筆電、電子書裝置、可整合ThinkPad的商務手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周於拉斯維加斯舉行的消費電子大展（CES）2023上<a href="https://news.lenovo.com/pressroom/press-releases/thinkbook-plus-reinvents-rotating-display-form-factor-twist-design/" target="_blank">，聯想（Lenovo）展示了數款創新筆電</a>，包括具有電子紙的ThinkBook以及整合雙螢幕與折疊設計的Yoga Book、首款電子書裝置，以及可整合ThinkPad的商務手機ThinkPhone。</p> <p>今年CES聯想照例公布了今年內將上市新品，包含筆電、平板、桌機，其中雙螢幕筆電頗為亮眼。首先，ThinkBook Plus Twist是一款針對學生等需要撰寫記錄或筆記族群而設計的筆電，包含以轉軸連接主機的雙螢幕。螢幕一面是13.3吋窄邊框2.8K OLED顯示器，另一面是12吋彩色電子紙顯示器。兩螢幕都支援觸控筆。使用情境上，ThinkBook Plus Twist可打開始傳統筆電的闔蓋式配置，或將螢幕轉向上面成為平板。聯想表示，其OLED顯示器提供400-nit亮度、DCI-P3色域覆蓋率及Doby Vision HDR支援，電子紙顯示器則具備12Hz更新率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-ThinkBook%20Plus%20Twist-e-Ink.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">ThinkBook Plus Twist（圖片來源／聯想）</span></span></p> <p>聯想未提供其他規格資訊，目前確定的是搭載Intel最新13代Core處理器、支援Wi-Fi 6E。預定今年6月推出，售價1,649美元起跳。</p> <p>另一款雙螢幕筆電為Yoga系列的<a href="https://news.lenovo.com/pressroom/press-releases/dual-screen-yoga-book-9i-premium-consumer-devices-innovation-unexpected/" target="_blank">Yoga Book 9i</a>，包含2個13吋1920x1200像素OELD觸控螢幕。兩個螢幕都可以直立或橫式運作，能分別執行不同應用，如一邊視訊、另一邊播放簡報，或將物件由一個螢幕丟向另一個。兩螢幕也能執行單一應用，以便在夠大空間播放影片或滑動讀取檔案。搭配360度轉軸，Yoga Book 9i還能配置成闔蓋或平板。在使用中，Yoga 9i本身可搭配實體藍牙鍵盤，但若考慮空間，也可以在其中一個螢幕叫出虛擬鍵盤當成筆電使用。</p> <p>運算規格上，Yoga Book 9i搭載Intel 13代Corei7-U15處理器、Iris Xe顯卡、16GB RAM及512GB或1TB硬碟空間。Yoga Book 9i預定今年6月推出，售價2,100美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Yoga%20Book%209i%20by%20lenovo-1.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Yoga Book 9i（圖片來源／聯想）</span></span></p> <p>除了ThinBook Twist，聯想還有首款獨立電子紙裝置Smart Paper。Smart Paper搭載10.3吋防反光觸控電子紙顯示器，採用金屬框，重408公克，略高於Amazon Kindle，售價399美元。Yoga系列其他還包括了32吋螢幕的AIO 9i、搭載3K OLED 螢幕的5G 14.5吋平板Tab Extreme。售價分別為1,799及1,199美元，後者還附觸控筆Precision Pen 3，AIO 9i預計在2023年第3季推出，但Smart Paper及超大型平板則只確定今年內上市。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Lenovo%20Smart%20Paper.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">Smart Paper（圖片來源／聯想）</span></span></p> <p>除了電腦裝置外，<a href="https://news.lenovo.com/pressroom/press-releases/thinkphone-by-motorola-unmatched-business-device-experience/" target="_blank">聯想並宣布</a>，配合ThinkPad品牌 30周年，聯想旗下Motorola推出一款主打安全性的商務手機ThinkPhone。作為商務機，ThinkPhone提供安全政策執行、裝置防護、AI安全功能、以及IT部門遠端設定或設定等功能，還可整合ThinkPad電腦，允許用戶執行手機和筆電間的影音、訊息及檔案傳輸同步、應用串流、或將ThinkPhone當成ThinkPad網路攝影機。</p> <p>在規格上，ThinkPhone執行 Android 13，搭載Snapdragon 8 Plus 第一代晶片組、 6.6吋Full HD OLED 螢幕、IP68機殼及Gorilla Glass Victus玻璃，能耐得住從1.25公尺摔落。它提供2個後向式相機各為5000萬及1300萬像素超廣角鏡頭，以及一組景深相機。ThinkPhone Ultra機種的主鏡頭更來到8200萬像素。ThinkPhone未來幾個月內將陸續在美、歐、中東、澳洲及數個亞洲國家上市。目前價格未定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-New%20Lenovo%20ThinkPhone%20by%20Motorola.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">ThinkPhone（圖片來源／聯想）</span></span></p> <p>聯想並宣布了一款VR體感裝置，目前還沒有正式名稱，代號Project Chronos。它有如微軟Kinect無需使用者配戴或手拿任何裝置，而是透過深度攝影機即時捕捉用戶動作，製作虛擬分身，並透過DP或HDMI傳輸埠傳送到電視或PC螢幕上，使用者之後可以手勢或身體動作、臉部表情控制這個虛擬分身。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Lenovo_Chronos.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Project Chronos（圖片來源／聯想）</span></span></p> </div></div></div>
2023/1/9 13:05作者林妍溱https://www.ithome.com.tw/news/155071
AI趨勢周報第205期：語音版DALL-E！微軟文字轉語音AI給3秒樣本就能準確生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1230～0105)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VALL-E </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉語音 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>語音版DALL-E！微軟文字轉語音AI</strong></span><strong style="font-size: 22px;">給3秒樣本就能準確生成</strong></p> <p>微軟近日發表一套<a href="https://valle-demo.github.io/">文字轉語音模型VALL-E</a>，可根據文字輸入和3秒的語音樣本，來合成、產出目標語音，就像是OpenAI的文字轉圖片模型DALL-E一樣。微軟表示，他們用現成神經音檔編解碼模型中的離散碼，來訓練VALL-E這套神經編解碼器語言模型，把文字轉語音視為條件式語言建模任務，而不是像一般研究，視為連續性的訊號迴歸任務。</p> <p>在預訓練階段，團隊將文字轉語音的訓練資料，擴充到6萬小時的英語語音，是現有系統的幾百倍。VALL-E的工作流程是音素→離散碼→波形，先根據文字輸入和3秒語音提示（也就是想聽到的目標聲音），來產出與文字和目標聲音相應的離散音檔編解碼。</p> <p>微軟測試發現，VALL-E在語音自然度和相似度部分，表現比現有SOTA文字轉語音模型要好，而且還能保有語音提示的情緒與聲音環境。團隊指出，VALL-E可直接用於各種語音合成應用，如零樣本文字轉語音、語音編輯，以及搭配GPT-3等生成式AI模型，來生成更多內容。<a href="https://valle-demo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://valle-demo.github.io/pics/Overview.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BigScience </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PETALS </span></strong></span></p> <p><span style="font-size: 22px;"><strong>在家也能跑千億參數模型！BigScience開源PETALS分散式AI專案</strong></span></p> <p>對語言模型來說，參數越多、模型表現越好，開發者也只需微調大型預訓練模型，就能得到不錯的預測結果。不過，BLOOM、PaLM、GPT等這類大型語言模型，即便開源，還是會耗費大量運算資源，雖然目前有2種方法來解決該問題，如RAM卸載和託管API，但前者對交互推論來說太慢，後者則不夠靈活。</p> <p>於是，由世界各地研究員組成的開源研究專案BigScience，日前開發一套系統PETALS，可在受信任的的條件下，集各使用者之力，來共同微調、推論千億參數的大模型。也就是說，每個使用者只需要載入一小部分的模型，就能和其他使用者一起協作，來共同執行模型推論和微調，就像是BT原理一樣。</p> <p>團隊測試發現，PETALS比在單一系統的RAM卸載方法，還要快上許多倍，在消費型GPU上推論1,760億參數的BLOOM模型，完成1個token所需時間近1秒。透過平行推論，每秒則能完成數百個token。而且，有別於大多數的推論API，PETALS還能顯示模型隱藏狀態，讓使用者可用有效的微調方法，來訓練、分享客製模型的外掛。不過，在PETALS初始階段，使用者可能因安全、隱私考量，協作進展可能較慢，因此BigScience推出BLOOM點數，來獎勵貢獻GPU資源的使用者。<a href="https://github.com/bigscience-workshop/petals">（詳全文）</a></p> <p><img alt="" src="https://camo.githubusercontent.com/58732a64488a9be928e25f3e60e3692b989ffe212ac86cb4902d8df20a042b03/68747470733a2f2f692e696d6775722e636f6d2f525459463379572e706e67" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 百度研究院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 產業化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>百度研究院預測2023年：大模型將產業化</strong></span></p> <p>百度研究院日前發布科技趨勢預測，直言大型模型在2023年將產業化發展，用於更廣泛的產業中。百度研究院指出，現今的AI不斷朝跨任務、跨模態（資料類型）發展，且隨著底層大模型技術的成熟，以及為特定產業發展的AI基礎建設，這種產業型的大模型，已漸漸在航太、金融、能源等領域應用，形成「AI+產業」的發展結構。百度認為，大模型產業化將催生產業大模型生態，實現普惠AI。</p> <p>此外，百度研究院也預測，2023年的新型AI基礎設施需求將增長、更多產業講過應用AI機器人、AI將進入更多科學領域，以及隨著雲原生技術的成熟，將催生更多量子軟硬體合一的解決方案。此外，可解釋AI技術和科技永續發展，也在百度研究院預測的科技趨勢中。<a href="http://research.baidu.com/Blog/index-view?id=178">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人訓練 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 元宇宙 </span></strong></span></p> <p><span style="font-size:22px;"><strong>讓機器人更靈活！Nvidia更新模擬訓練平臺功能</strong></span></p> <p>Nvidia更新機器人模擬和訓練平臺Isaac Sim，使用者可從雲端存取Isaac Sim、使用新AI功能來加速機器人訓練了。Isaac Sim建立在元宇宙平臺Nvidia Omniverse上，使用者可在各種操作條件下模擬真實環境，建置和測試虛擬機器人，來加速物流、製造和零售等產業的自動化應用。</p> <p>Isaac Sim新功能有人物模擬功能，能在倉庫和製造設施中增添人物角色，還能讓人物執行不同動作，如推手推車。這個功能可讓開發者觀察，人機互動設計是否順暢，也能讓機器人學習避障和潛在意外。另一個新功能是即時呈現感測器資料，並能用光線追蹤技術模擬光達，在各種照明或反射材質條件下，獲得更準確的感測器資料，來讓機器人模擬更貼近真實世界環境。Isaac Sim其他更新還包括模擬3D物件庫、強化學習工具Isaac Gym，以及協作機器人程式開發工具Isaac Cortex等。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/lcee9ntkOjk?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bing </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟計畫用ChatGPT強化Bing搜尋功能</strong></span></p> <p>根據外媒The Information報導，微軟打算用ChatGPT來強化自家搜尋引擎Bing、提供新搜尋功能，預計在3月底推出。此外，微軟還可能用ChatGPT來分析用戶在研究的主題，好提供進一步的搜尋建議。</p> <p>微軟這一舉動，代表使用OpenAI技術的微軟產品數量持續增加。微軟在2019年10月與OpenAI展開合作，投資10億美元來發展通用AI。2020年，微軟購買GPT-3獨家授權，在自家產品中整合GPT-3。2021年，微軟就在Power Apps中嵌入GPT-3，使缺乏程式開發知識的人，也能利用自然語言開發程式。去年，微軟整合OpenAI DALL-E 2，發布圖像設計應用程式，能根據文字提示生成影像。<a href="https://www.theinformation.com/articles/microsoft-and-openai-working-on-chatgpt-powered-bing-in-challenge-to-google">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 元宇宙 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自然語言 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia新添元宇宙平臺協作功能和自然語言搜尋服務</strong></span></p> <p>Nvidia更新元宇宙平臺Omniverse Enterprise，支援最新GPU技術強化效能和可用性，同時增添新功能，達到即時又精確的模擬品質。此外，Nvidia也更新Omniverse平臺核心，讓使用者快速連接工具、共享虛擬空間中協作。</p> <p>Omniverse Enterprise是個讓企業用來開發、營運元宇宙應用程式的平臺，新加入的Omniverse連接器，可連接不同3D應用程式，實現無縫工作流程，另也支援如Adobe Substance 3D Painter、Autodesk Alias等軟體。此外，Nvidia也正式推出AI服務Omniverse DeepSearch，使用者可用自然語言或2D參考圖，直覺搜尋大型且未標記的3D資料庫。在平臺核心更新部分，則在用來建置擴充應用程式和微服務的Omniverse Kit SDK中，加入新模板和開發者工作流程，簡化開發作業。<a href="https://blogs.nvidia.com/blog/2023/01/03/omniverse-enterprise-release/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉圖像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>速度更快、畫面更細緻！Google發表新文字轉圖像模型Muse</strong></span></p> <p>Google日前發表一款文字轉圖像模型Muse，以Transformer架構為基礎，號稱產出速度更快、生成畫面更細緻，比擴散模型和自迴歸模型的表現還要好。進一步來說，Muse是以遮罩任務訓練而成，也就是先在大型語言預訓練模型中抽出文字嵌入，再訓練Muse來預測隨機被遮住的圖片Token。</p> <p>與DALLE-2這類像素空間的模型相比，Muse因為用了離散token，只需少量採樣迭代，因此更有效率。與Parti這類自迴歸模型相比，Muse因為用了平行解碼，因此也更有效率。Google表示，由於採用預訓練大型語言模型，Muse的語言理解能力，以至於從文字轉換為高保真圖片的能力都更細緻，而且對視覺概念的理解力也更強。</p> <p>團隊也進行測試，9億參數版本的Muse經CC3M資料集測試，達SOTA水準，且用來測量生成圖片和真實圖片相似度的FID分數，達6.06分（越低越相近）。而30億參數版本的Muse，在零樣本COCO資料集測試評估中，得到7.88的FID分數。此外，Muse不必微調模型，就能直接用於圖片編輯應用程式，像是圖片修復、圖片外擴/腦補、編輯等。<a href="https://muse-model.github.io/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/muse.png" /></p> <p>圖片來源／微軟、BigScience、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Apple Books新添AI語音功能，電子書可轉為有聲讀物了</strong></p> <p><strong>2. 前特斯拉AI長Andrej Karpathy開源nanoGPT可優化GPT模型開發</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>
2023/1/7 11:34作者王若樸https://www.ithome.com.tw/news/155060
Amazon Sidewalk網路加入第三方裝置、1億裝置支援Matter標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/devices/amazon-ces-2023-announcements" target="_blank">Amazon在CES宣布</a>Sidewalk頻寬分享網路加入合作夥伴、Alexa整合進Panasonic車機系統，以及1億裝置支援Matter標準等訊息。</p> <p>Sidewalk是Amazon推展的頻寬分享網路，可連結戶外Wi-Fi裝置形成長距離、低頻寬網狀網路，確保網內裝置相連及資訊互通，具有免去行動連網費用及省電之效。</p> <p>原本Sidewalk只能連結Amazon自家連網設備，包括Ring攝影機及Kindle。Amazon本周宣布，將開放合作開發商存取Sidewalk工具及資源，使其他人也能開發可支援Sidewalk的裝置，用戶除了自家的Ring、Echo外，還可連結第三方裝置。</p> <p>上周在CES大會上，Amazon宣布第一批即將加入Sidewalk的第三方廠商裝置，分別為Cosmos的瓦斯外洩偵測裝置、Browan的空氣品質、門窗鎖、漏水偵測及動作感測器、Meshify的漏水偵測，預計今年內開始支援。而LoRaWAN網路設備商Deviceroy的智慧數據機（下圖）已經整合Sidewalk支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-New%20Amazon%20Sidewalk-enabled%20devices-smart%20modem%20from%20Deviceroy.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p><a href="https://www.prnewswire.com/news-releases/panasonic-automotive-updates-skipgen-in-vehicle-infotainment-system-to-offer-industry-first-wake-word-access-to-siri-and-alexa-301713236.html" target="_blank">Amazon上星期還宣布</a>和Panasonic合作，將Alexa整合進後者的車上娛樂系統SkipGen。透過Alexa Auto軟體開發套件（SDK）整合SkipGen，車主可同時使用以「Hey Siri」或「Alexa」，來喚醒Alexa及Apple CarPlay中的Siri。</p> <p>此外，去年Amazon首度公布將新業界標準Matter部署到17項Echo裝置及燈泡、開關等，上周在CES上，Amazon進一步宣布30款Echo、無線路由器eero等產品也即將支援Matter，共計1億個裝置。該公司宣稱，部署完成後將成為最大的Matter裝置網路。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FkXBcGWXEAEjvbE.jpg" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></span></p> <p>Amazon家庭機器人Astro搭載相機感測及語音，可配合電腦視覺、人工智慧（AI）及邊緣運算功能執行任務，像是偵測家中毛小孩、及跟隨使用者、檢查門窗物件外。在此之前Amazon從未在CES展示，今年正式展示新功能。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FlzeaRkWQBIjpw9?format=jpg&name=4096x4096" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> </div></div></div>
2023/1/9 12:11作者林妍溱https://www.ithome.com.tw/news/155061
疫情間招募太多人Salesforce宣布裁員10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/1108524/000110852423000003/ex991-lettertoemployees.htm" target="_blank">CRM大廠Salesforce上周宣布</a>，由於疫情期間員額擴充過快，將在未來幾個星期內裁員10%，成為最新精簡人事的矽谷科技公司。</p> <p>Salesforce向美國證管會提交的文件，Salesforce執行長Marc Benioff在對員工公開信件中指出，因為景氣環境相當嚴峻，客戶採購轉趨保守，迫使該公司做出困難決定，裁員大約10%，約為7,000多人。這也是這家CRM業者創立23年來首次裁員。</p> <p>Benioff指出，這是因為疫情期間公司營收增加，使公司招收太多人，以致於面臨經濟反轉的局面。裁員行動將從未來幾周開始。受影響的員工可拿到近5個月薪資、醫療保險及就業協助。</p> <p>新冠疫情讓企業大量導入雲端應用，受益於此，Salesforce會計年度2022年營收達303億美元，較前一年成長21%。該公司2022年2月員工數為超過7.9萬人，較2020年初多了3萬。</p> <p>這波裁員前Salesforce歷經高層人事變動，包括原共同執行長Bret Taylor（同時也是推特董事）及Slack執行長Stuart Butterfield也分別走人。</p> <p><a href="https://www.aboutamazon.com/news/company-news/update-from-ceo-andy-jassy-on-role-eliminations" target="_blank">上周Amazon執行長Andy Jassy也宣布</a>公司將精簡超過1.8萬人。在對員工公開信中，Jassy也說明，經濟不確定性，以及過去幾年招募過快，促使其裁員決定。去年11月，Amazon已經先裁減生產Kindle、Echo系列產品的裝置部門、圖書部門一些人力，開發內部系統的人員體驗與科技（People, Experience and Technology，PXT）也自願優退了一些員工。</p> <p>上周最新裁減的1.8萬主要集中在零售及PXT部門，占總員工數約1%。截至去年第3季，該公司員工達154萬人。</p> <p>Salesforce及Amazon也是面臨2023年景氣衰退下，最新宣布裁員的矽谷科技業者。<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta</a>11月裁了1.1萬、<a href="https://www.ithome.com.tw/news/153697" target="_blank">微軟</a>和Google也陸續有數波裁減。</p> </div></div></div>
2023/1/9 09:35作者林妍溱https://www.ithome.com.tw/news/155056
以微服務打造電子支付新黑馬，全支付靠技術力服務百萬會員
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月，在國內擁有超過1,100家門市的全聯正式進軍電子支付市場，以旗下百分之百子公司全支付電子支付推出同名電子支付服務，全支付挾全聯1,300萬會員、約830萬PX Pay會員基礎，甫一推出服務，就成為電支市場新秀，根據金管會2022年10月統計資料，全支付擁有214萬用戶，僅次於街口支付、一卡通，在單月代理收付達24億元，僅次於街口支付。</p> <p>在電子支付市場竄起的全支付是在2021年獲得電支業者營業執照，2022年4月完成系統服務建置，8月進入試營運，9月正式推出電子支付，試營運即吸引大量會員註冊，瞬間流量衝至200到300Mbps，上線10天即宣布達到100萬註冊會員，2個月內吸引超過200萬，背後靠一群年輕的開發團隊，以技術力完成會員、支付、財務系統、App開發、壓力測試等準備工作。</p> <p>帶領技術團隊的是全支付技術部經理陳世樺，早在全支付公司成立之前，他便先進入全聯，承接PX Pay項目，協助擁有800多萬用戶的PX Pay，在龐大數據量、交易量下，系統能穩定運作，在進入全聯之前，曾在其他電支業者工作過，因此全支付公司成立後，他成為帶領技術團隊從無到有完成各系統開發、挺過服務上線壓力的關鍵人物。</p> <p>陳世樺表示，在服務正式上線之前，全支付的IT與開發團隊通力合作，考量到服務上線初期可能面臨的高流量，為因應大量會員註冊請求，App從註冊登入流程到API檢查服務，確保承載量RPS可達到7、8千以上。此外，環境建置好之後，確認網路設備、防火牆，所有服務正常維運下，以及Radis、Kafka正常運作，經過壓力測試，瞬間流量湧入不會導致服務不穩，透過一兩周的驗測，才進入試營運階段，後續順利讓服務正式上線。</p> <p><span style="font-size:28px;"><strong>採用微服務架構從無到有建構電子支付服務</strong></span></p> <p>然而，全支付當初準備投入電子支付市場，最先面臨的問題便是技術抉擇，應該採用一體式架構比較好，還是採用微服務架構？</p> <p>陳世樺表示，許多新創公司會採用一體式架構，因為開發快速、易於部署，較容易維運，可縮短系統建置時間，儘快讓服務推出市場，而採用微服務架構，在開發難度上，初期建構成本高，服務與服務之間如何串接、溝通，需要花費較多的時間，例如會員服務如何拆分，應該包含哪些，交易服務包含哪些東西，如果沒有拆分乾淨，將來可能就會形成技術債。</p> <p>全支付挾著全聯的通路、數百萬PX Pay會員優勢，為了快速推出電子支付服務，理應選擇一體式架構，然而，最後他們選擇了微服務架構。「儘管開業時間比較晚，從技術面來說，我們還是希望提供穩定的系統。」陳世樺補充。他以過去在電子支付產業開發核心支付系統，進入全聯後又負責PX Pay維運超過半年的經驗，認為面對大量流量、交易量發生，一體式架構可能面臨服務爆量的風險。</p> <p>儘管全聯在PX Pay相當成功，但既有的PX Pay為第3方支付，無法直接將現行架構來運作全支付的電子支付業務，必需從零開始建置整個服務。</p> <p>陳世樺指出，電子支付對安控、法規、加解密有更多的要求，為了合規，將特定加解密、加驗簽服務獨立出來，諸如身分證、電話號碼、信用卡、銀行帳戶等高敏感性資料，必需透過該服務解密取得這些資料。採用微服務架構的好處是，交易流程任何調整，都不會影響到獨立出來的特定加解密服務，也能降低對其他高敏感性資料存取行為的影響風險。</p> <p>「從長期營運角度來看，採用微服務架構雖然更辛苦，但在維運、擴充服務、優化上有很大優勢」，他說。</p> <p><span style="font-size:28px;"><strong>根據業務邏輯拆分服務，提高服務穩定性</strong></span></p> <p>然而，決定採用微服務架構之後，接下來就面臨如何拆分微服務的問題。他們花了相當多的時間，梳理流程、功能，討論如何拆分服務，尤其是電子支付涉及會員、支付、財務三個部分，會員註冊包括聯徵報送、OCR、外籍人士居留證、推播等等，而交易則有銀行帳戶扣款、信用卡扣款、行銷活動回饋、線上及線下交易等等。</p> <p>陳世樺表示，最初先以功能拆分，再討論是否要進一步拆開個別功能。舉例來說，交易與回饋功能應該綁定一起，還是拆開？當初團隊就這個問題花了不少時間討論。理論上，交易會產生回饋，但是不同的行銷活動的回饋方式並不相同，如果將回饋和支付綁在一起，當有新型能的行銷活動時，得根據新的回饋的方式更新，容易產生風險，最後決定將回饋拆出來為獨立的微服務。</p> <p>另一個例子是會員註冊，原先的設計是，會員註冊為會員服務底下的功能之一，當使用者申請註冊為會員，註冊資料以會員表，寫入會員資料庫儲存。但是，申請電子支付帳戶必需通過實名制認證方能成為會員，包括身分證字號輸入、聯徵報送、手機OTP，有些消費者因沒有最終完成整個程序，並非正式會員，這些「非會員」資料仍會寫到資料庫裡，並標記為「申請中」狀態。</p> <p>陳世樺指出，這些資料並非來自真正的會員，可能影響後面資料分析應用，而這些「非會員」資料報送主管機關是否合適？如果決定不報送主管機關，需要設法排除這些資料，可能牽動整個會員服務。</p> <p>考慮到服務的穩定性，最後決定拆分業務邏輯及資料流，把會員註冊從會員服務裡拆出，獨立為微服務。</p> <p>如此一來，當會員註冊發生故障，最糟的情形是使用者當下無法申請會員，不致於影響到既有會員的服務，會員開啟App仍能正常使用會員服務。</p> <p>這個做法的效益在後來獲得印證。聯徵中心曾通知全支付，為實施異地備援演練，暫時停止對外服務，包括全支付會員註冊的聯徵報送，暫停服務時間為周末下午，為消費者在全聯採買熱門時段，因會員註冊獨立為微服務，聯徵暫停服務期間雖然無法註冊會員，但仍保持會員服務的正常使用。</p> <p>曾身為工程師的陳世樺表示，工程師最擔心的是，調整部分程式碼，導致其他的功能無法正常運作，當系統愈來愈龐大，牽一髮動全身，心理壓力也隨之加大，導入微服務架構，對工程師而言，調整幅度縮小，上線之前的QA測試範圍也變小，縮短改版上線時間。當初決定微服務架構開發，當時曾有工程師反映開發相當辛苦，現在反而慶幸採用微服務。</p> <p>目前全支付已開發超過100個微服務，逐漸面臨有效管理大量微服務的問題，為解決微服務管理壓力逐漸增加的問題，2023年準備導入K8s。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-CTO-500.png" style="width: 500px;" /></p> <div><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></div> <p><span style="color:#696969;"><strong>不可能在有限資源、人力、時程內做出100分產品，現實是必需先讓使用者試用，再根據意見調整，做出大家喜歡的產品。── 全支付技術部經理陳世樺</strong></span></p> <p><span style="font-size:28px;"><strong>導入敏捷式開發，避免技術債堆疊</strong></span></p> <p>然而，技術團隊剛開始以微服務架構開發，還是發生一些問題。曾經有專案開發至20%到30%，才發現規畫錯誤，必須打掉重練，先前的辛苦開發付諸流水，對當時正全力籌備的團隊帶來不小的打擊。</p> <p>陳世樺歸納幾個可能的原因，一個是RD對需求的理解不足，另一個可能是PO（Product Owner）部門敘述不夠清楚。他認為開發團隊較為年輕，因為缺乏銀行、電子支付相關的經驗，難免會犯錯，「犯錯是不可避免的，但要知道為什麼犯錯，怎麼避免」。</p> <p>後來他們在開發流程中參考敏捷式開發，不過，陳世樺坦言，全支付導入的並非教科書等級敏捷式開發，而是採用其精神，強化需求與開發間的溝通。在進入開發之前，由PO與RD開會討論，下周或下個月開發規畫專案，確認技術面、法規面沒有問題後，再啟動專案進入開發，之後幾個月再開會重新檢視調整。在開發流程面，透過每天的會議，開發團隊向PO、需求單位說明每天驗證工作內容，提出遭遇的問題，RD在會議中和PO討論是否需要調整，提早發現問題，很快進行調整修正。</p> <p>陳世樺指出，一般而言，開發中發現的問題有兩種解決方法，最快的方式是按現有程式邏輯作調整，但日後可能留下技術債，另一個發現的問題可能也涉及其他的專案，為避免將來面臨相同的問題，重新開發新程式，雖然花費時間比較久，但是能夠避免技術債堆疊。</p> <p>為了提高團隊成員對需求、功能、系統有更高的瞭解及掌握，新加入的成員會由資深有經驗的工程師帶領，並讓新成員儘量歷練會員、支付、財務3個團隊，讓新人有機會碰觸不同團隊負責業務範圍，讓財務團隊理解為何會員團隊API會這麼設計、交易團隊能理解財務團隊需要的資料等等。</p> <p>由於部分成員缺乏銀行、電支經驗的知識經驗，陳世樺也透過部分專案會議，和他們分享開發經驗，包括流程要怎樣設計比較好，某項功能應重視效能或是穩定，透過潛移默化的方式，讓比較資淺的開發成員從中學習到他的想法，以及過去的工作知識經驗。</p> <p><span style="font-size:28px;"><strong>開發人員才是第一線</strong></span></p> <p>在全支付籌備期間，他帶領團隊開發App，特別重視穩定性。陳世樺表示，外界多認為行銷或業務是面對消費者的第一線，或認為客服才是第一線，但是從開發的角度來看，RD才是對使用者的第一線，因為用戶開啟App，最先看到的是開發的成果，因此RD才是第一線，客服才是第二線。由於市場競爭激烈，對用戶來說，服務好不好用相當直覺，使用體驗不好用直接刪掉，立即在App商店開予負評。RD對開發的產品要有相當的品質，確保沒有問題，全支付目前200多萬用戶，未來甚至增加至300萬或400萬用戶，他期許團隊推出的產品服務要做到品質至上。</p> <p>為了確保使用體驗符合需求，全支付後續也通過蒐集App的使用數據追蹤分析，去瞭解每個功能的使用情形，例如使用者有沒有按下付款，有沒有成功，還是完全沒有使用，某項功能或服務的使用變化等等，通過App的使用情形，瞭解使用者的習慣，最後回饋到PO、行銷，持續優化App。</p> <p>他經常向團隊成員強調，「最好的架構是不斷重構再重構的架構，沒有人可以一次做到100分」。</p> <p>陳世樺認為，最重要的是團隊要體認到，「不可能在有限資源、人力、時程內做出100分產品，現實是必需先讓使用者試用，再根據意見調整，做出大家喜歡的產品」。</p> <p>儘管在電支市場，全支付目前還是新手，但靠著母公司的支持，短短時間衝刺數百萬電支用戶，陳世樺認為，在集團協助之下，全支付擁有很強的核心競爭，其他行動支付、電子支付能做到的，未來全支付也可以。如同全聯董事長林敏雄所說，全支付要做第一，「不只是公司經營，RD團隊也是如此，這是上下一致的信念」。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>全支付電子支付技術部經理　陳世樺</strong></p> <p>學歷：高雄海洋科技大學資訊管理系</p> <p>經歷：從事軟體業約17年，早期多為系統整合開發及金融業相關軟體開發，2014 年加入街口支付擔任技術經理職務，主要帶領支付團隊開發核心支付系統，2020年進入全聯，為PXPay 技術經理，帶領團隊開發及維運 PXPay App。2021年轉至全支付，帶領技術團隊開發全支付App</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-CTO-250.jpg" style="width: 250px;" /></p> <p><strong>全支付電子支付</strong></p> <p>地址：臺北市中山區敬業四路33號9樓</p> <p>成立時間：2020年</p> <p>主要業務：專營電子支付業務</p> <p>員工數：約90人</p> <p>董事長：林弘斌</p> <p>總經理：游金榮</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 技術部門檔案 </span></strong></span></p> <p>直屬主管：游金榮</p> <p>技術部門名稱：技術部</p> <p>技術部門主管職稱：經理</p> <p>技術部門人數：近40位，持續增加中</p> <p>技術部門分工：iOS與安卓團隊、前端、後端（包括會員、支付、財務）、QA、Infra團隊</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2020年：9月全支付公司成立</p> <p>●2021年：6月取得金管會核發電子支付專營機構業務許可</p> <p>●2021年：11月更名為全支付電子支付</p> <p>●2021年：12月宣布與全盈支付合作，通路共享策略聯盟</p> <p>●2022年：發表全支付服務，8月下旬App先開放下載</p> <p>●2022年：9月全支付正式上線。上線10天達到100萬會員</p> <p>●2022年：10月上線52天宣布會員數達到200萬</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1111-cto-960.jpg" width="960" height="420" alt="" title="全支付電子支付技術部經理陳世樺　（攝影／洪政偉）" /></div></div></div>
2023/1/9 00:00作者蘇文彬https://www.ithome.com.tw/people/155004
【資安週報】2022年1月3日到1月7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023第一周資安新聞中，主要焦點包括：資安業者揭露駭客組織鎖定企業組織未修補CVE-2022-4068的Forinet SSL VPN設備漏洞散布勒索軟體；CI/CD平臺服務業者CircleCI公告正持續更新資安事故調查，值得企業開發團隊注意；還有冒牌的學習框架PyTorch-nightly版被下載2千多次，以及30個WordPress外掛程式漏洞被惡意軟體鎖定的消息。</p> <p>在資安漏洞研究與揭露方面，有兩大消息最受關注。一是Google智慧喇叭變成竊聽器攻擊手法的揭露，另一是近20家汽車品牌重大漏洞被數個資安研究人員聯手揭露。這些漏洞都已在通報後修補，如今揭露技術細節。</p> <p>本周還有幾則新聞顯現出值得關注的威脅態勢，包括核子科學家成駭客攻擊目標，美國核子研究實驗室遭俄羅斯駭客網釣攻擊；而金融業也要注意，國際間傳出多個使用法語的非洲國家銀行遭駭客組織以GuLoader攻擊，並被布署Netwire、Quasar等RAT木馬程式。關於勒索軟體的新動向，包括：BlackCat設置受害公司假官網並公布竊取資料以施壓，以及新的CatB勒索軟體的揭露。</p> <p>至於國內方面，週六下午傳出華航遭勒索軟體的消息，國內媒體報導華航表示影響不大，本週新聞尚未提到，後續是否有相關調查結果公布將值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/154975"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月3日】Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</span></strong></a></h3> <p>惡意軟體鎖定存在漏洞的WordPress外掛程式而來的情況，不時傳出攻擊事故，而最近的惡意軟體攻擊行動一口氣針對30個已知漏洞而來，值得留意的是，這當中大部分外掛程式的漏洞可能沒有CVE編號，有編號的可能是6至7年前的漏洞，這樣的情況使得研究人員呼籲網站管理員應部署最新版的外掛程式。</p> <p>在2022即將結束的前夕，有人利用PyPI套件庫發動攻擊，不過，這次並非利用拼寫錯誤來散布惡意套件，而是針對Python套件安裝工具pip找尋套件的機制而來──該安裝工具會優先從PyPI套件庫下載相依套件，而使得部署Nightly版機器學習框架PyTorch的電腦，會一併安裝駭客上傳的惡意套件。</p> <p>勒索軟體攻擊的情勢也相當值得留意，其中又以駭客組織BlackCat要脅受害組織的新手法引起研究人員關注。這些駭客不只在暗網公布受害組織資料，也在網際網路架設受害組織的冒牌網站，來公布竊得的資料。</p> <h3><a href="https://www.ithome.com.tw/news/154994"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</span></strong></a></h3> <p>蠕蟲程式Raspberry Robin的攻擊行動在去年出現數起，由於此惡意軟體行蹤相當隱密，<a href="https://www.ithome.com.tw/news/150805#raspberry-robin-qnap">駭客甚至濫用威聯通（QNAP）的設備來架設基礎設施</a>，而引起研究人員高度關注。而最近的攻擊行動中，研究人員發現駭客採用更為隱蔽的手法，採用了過往未曾出現的反分析機制。</p> <p>駭客散布木馬程式有新的招式！他們在釣魚郵件夾帶的惡意Excel檔案裡，輸入了從銀行偷到的近42萬筆資料，疑似是為了避免讓受害者懷疑而這麼做。</p> <p>勒索軟體LockBit的攻擊事故近期變得非常頻繁，其中，洛杉磯市房屋管理局（HACLA）遭到攻擊的情況相當值得留意，因為這不只導致該政府機構的財務資料外洩，也波及向該單位尋求協助的民眾。</p> <h3><a href="https://www.ithome.com.tw/news/155009"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</span></strong></a></h3> <p>隨著汽車導入連網的功能，汽車製造商的資安防護也變成研究人員關注的焦點。有研究人員一口氣揭露十多個知名車廠的API漏洞，這些漏洞不只讓攻擊者有機會遙控該廠牌車輛，甚至部分能存取該公司的內部機密資料，像是銷售資料，或是資訊系統的開發環境等。</p> <p>鎖定Linux電腦的攻擊行動日益猖獗，而當中不少是利用指令碼下達相關命令，但如今有攻擊者將其打包變成可執行檔（ELF），目的是避開對指令碼的資安檢測。</p> <p>去年1月推特修補的漏洞近期又傳出駭客公布竊得的用戶個資！但與過往最大的不同之處在於，駭客不再以數千美元來兜售手上的資料，這次以極低的價格（2美元）提供。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155044"><strong><span style="color: rgb(0, 0, 0);">【1月6日】Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及持續交付服務挖礦</span></strong></a></strong></p> <p>協作平臺Slack昨日（1月5日）證實，上週遭到入侵而導致部分原始碼外洩，所幸使用者資料沒有受到波及。但值得留意的是，該公司是獲報GitHub帳號出現異常活動，著手調查才驚覺遭駭。這些原始碼遭竊後續造成的影響仍有待觀察。</p> <p>有駭客濫用雲端持續整合及持續交付（CI/CD）服務提供的免費、試用資源來進行挖礦！研究人員指出，駭客短時間之內註冊了13萬個GitHub、Heroku、Togglebox帳號，並建立容器來挖掘加密貨幣，而這些行為幾乎都是自動化進行。</p> <p>駭客利用手機金融木馬盜取銀行存款的手法再度翻新！有研究人員發現駭客公開安卓木馬程式SpyNote的原始碼後，其他駭客相繼用於製作攻擊程式，研究人員取得惡意程式樣本分析後發現，此木馬程式具備從Google Authenticator取得驗證碼的能力。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/155054"><strong><span style="color: rgb(0, 0, 0);">【1月7日】駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEFI漏洞</span></strong></a></strong></strong></p> <p>有研究人員提出警告，Fortinet於去年10月修補的重大漏洞CVE-2022-40684，已經成為駭客大肆利用的對象！其中，他們偵測到兩起勒索軟體攻擊，駭客便是針對存在相關漏洞的Fortinet設備下手，入侵目標組織網路環境來加密檔案。</p> <p>過往的揭露UEFI韌體漏洞都是出現在x86電腦上，但採用其他處理器的電腦也可能出現類似漏洞！有研究人員向高通（Qualcomm）通報數個UEFI漏洞，並指出這應該是首度揭露的Arm電腦UEFI漏洞。</p> <p>在烏克蘭戰爭尚未結束、美國挹注烏克蘭相關軍事資源的情況下，俄羅斯駭客也將一些敏感的研究機構列為攻擊目標。有新聞媒體揭露，俄羅斯駭客Cold River疑似針對美國的核子實驗室的科學家發動釣魚攻擊。</p> <p> </p> </div></div></div>
2023/1/8 10:10作者羅正漢https://www.ithome.com.tw/news/155055
【資安日報】2023年1月7日，駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEF…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員提出警告，Fortinet於今年10月修補的重大漏洞CVE-2022-40684，已經成為駭客大肆利用的對象！其中，他們偵測到兩起勒索軟體攻擊，駭客便是針對存在相關漏洞的Fortinet設備下手，入侵目標組織網路環境來加密檔案。</p> <p>過往的揭露UEFI韌體漏洞都是出現在x86電腦上，但採用其他處理器的電腦也可能出現類似漏洞！有研究人員向高通通報數個UEFI漏洞，並指出這應該是首度揭露的Arm電腦UEFI漏洞。</p> <p>俄羅斯駭客Cold River傳出針對美國的核子實驗室的科學家發動釣魚攻擊！在烏克蘭戰爭尚未結束、美國挹注烏克蘭相關軍事資源的情況下，這些駭客也將上述研究機構列為攻擊目標。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.esentire.com/blog/hackers-exploit-fortinet-devices-to-spread-ransomware-within-corporate-environments-warns-esentire" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet去年10月揭露的重大漏洞遭到鎖定，駭客利用未修補的VPN設備散布勒索軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hackers-Exploit-Fortinet-Devices-Picture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hackers-Exploit-Fortinet-Devices-Picture2.png" style="width: 300px; float: right;" /></a>資安業者eSentire提出警告，他們在2022年11月下旬的兩起勒索軟體攻擊事件，發現駭客鎖定未修補重大漏洞CVE-2022-40684的Forinet SSL VPN設備而來，目前已在加拿大的大學與跨國投資公司發現這樣的活動。</p> <p>研究人員表示，駭客一旦成功進入目標組織的網路環境，就會發動寄生攻擊（LOLBin），並濫用遠端桌面協定（RDP）來橫向移動，最終利用BitLocker與BestCrypt來加密檔案，並要求受害組織透過電子郵件向他們聯繫。而這些駭客的身分，研究人員指出，他們先前曾用名為KalajaTomorr的勒索軟體發動攻擊。</p> <h3><a href="https://www.reuters.com/world/europe/russian-hackers-targeted-us-nuclear-scientists-2023-01-06/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Cold River鎖定美國核子科學家進行網釣攻擊</span></strong></a></h3> <p>根據路透社的報導，俄羅斯駭客組織Cold River自去年夏天起，持續鎖定美國3座核子研究實驗室，分別為Brookhaven（BNL）、Argonne（ANL）、Lawrence Livermore National Laboratories（LLNL），駭客為上述機構建立偽造的登入網頁，然後向科學家發送釣魚郵件，意圖藉此得知他們的帳密資訊。</p> <p>路透社表示，他們無法確定駭客攻擊的目的，也無法確認是否成功入侵。對此，BNL拒絕回應，LLNL沒有回覆，ANL則表示由美國能源部進行說明，但後者不願發表看法。</p> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/bluebottle-banks-targeted-africa"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">非洲多個國家銀行遭到駭客組織Bluebottle寄生攻擊</span></strong></a></h3> <p>資安業者賽門鐵克揭露駭客組織Blubottle的攻擊行動，主要鎖定使用法語的非洲國家銀行而來，但阿根廷、巴拉圭、孟加拉也有受害組織。駭客自2022年7月至9月，使用惡意程式載入工具GuLoader及帶有簽章的驅動程式發動攻擊，先是利用ISO映像檔散布上述檔案，一旦入侵成功，駭客便將GuLoader注入Internet Explorer附加元件安裝工具（ieinstal.exe）、ASP.NET瀏覽器註冊程式（ieinstal.exe）來執行，進而部署Netwire、Quasar等RAT木馬程式。</p> <p>研究人員指出，這些駭客攻擊手法大部分與Group-IB揭露的駭客組織Opera1er雷同，但無法確定是否為相同的組織。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/circleci-warns-of-security-breach-rotate-your-secrets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD平臺服務業者CircleCI遭遇資安事故，通知用戶更換密鑰</span></strong></a></h3> <p>1月4日持續開發／持續交付（CI/CD）平臺業者CircleCI發布資安通報，表示該公司著手調查安全事件，並強調公司系統無未經授權的攻擊者行動跡象，但為了慎重起見，他們要求所有用戶採取預防措施，包括立即輪換儲存在CircleCI帳號的所有金鑰，並於完成後檢查2022年12月21日至2023年1月4日的系統日誌，確認是否出現未經授權的存取。</p> <p>在要求用戶檢查系統是否曾有未經授權存取的同時，CircleCI公司也廢止專案API權杖，用戶需要更換這些token，才能繼續使用相關服務。</p> <p>本次資安通報選在美東晚間9時30分發出，已是多數人下班時間。對此，該公司表示他們的用戶遍布全球，只能盡快通知所有的客戶採取行動。</p> <h3><a href="https://minerva-labs.com/blog/new-catb-ransomware-employs-2-year-old-dll-hijacking-technique-to-evade-detection/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CatB利用DLL挾持手法躲過防毒軟體偵測</span></strong></a></h3> <p>資安業者Minerva揭露名為CatB的勒索軟體，研究人員看到該勒索軟體於11月23日上傳到惡意軟體分析平臺VirusTotal，社群認為可能是勒索軟體Pandora的變種。研究人員對CatB進行分析，發現該勒索軟體會先檢測處理器核心數量、記憶體大小、儲存空間，來判斷是否在沙箱環境執行，一旦確認是在真實的電腦環境，該勒索軟體的引導程式就會透過DLL挾持手法，將其酬載投放於System32系統資料夾，並竄改MSDTC系統服務的配置，來維持此勒索軟體於受害電腦運作，完成後便開始加密受害電腦的檔案。</p> <p>與許多勒索軟體不同的是，CatB不會更動電腦檔案的副檔名，並將勒索訊息寫在每個檔案內容的最前面，使得受害者直到發現檔案無法使用才察覺遭到攻擊。</p> <h3><a href="https://www.hackread.com/erp-firm-expose-india-job-seekers-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國ERP業者伺服器配置不當，曝露50萬印度求職者資料</span></strong></a></h3> <p>根據資安新聞網站HackRead報導，資安研究人員Anurag Sen透過物聯網搜尋引擎Shodan，發現美國ERP業者所有的Elasticsearch伺服器不需帳密就能存取，該伺服器約自去年12月下旬開始曝露於網際網路，當中包含印度求職者詳細資料，檔案大小超過6.3 GB，資料數量超過57.5萬筆，內有求職者姓名、出生日期、電子郵件信箱、電話號碼、履歷、雇主資料。研究人員已向印度電腦緊急應變小組（CERT-in）通報此事。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/qualcomm-uefi-flaws-expose-microsoft-lenovo-samsung-devices-attacks" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高通處理器漏洞波及微軟、聯想、三星筆電，為Arm電腦首度發現的UEFI漏洞</span></strong></a></h3> <p>高通於1月5日發布資安通報，修補約20個漏洞，其中有5個是資安業者Binarly通報。該公司的研究人員向資安新聞網站SecurityWeeks透露，這些漏洞他們最初是在分析搭載高通處理器的聯想ThinkPad X13s發現，當時一共找到9個漏洞，但發現其中5個與高通的參考程式碼有關，這意味著可能會影響所有採用高通SoC的筆電，包括微軟Surface，以及三星的裝置。</p> <p>研究人員指出，這5個漏洞是首度在Arm架構電腦發現的UEFI漏洞，其中CVE-2022-40516、CVE-2022-40517、CVE-2022-40520為記憶體堆疊的緩衝區溢位漏洞，CVSS風險層級皆為8.2分；CVE-2022-40518、CVE-2022-40519則是出現在DXE驅動程式，一旦遭利用可能導致記憶體洩露，為中等風險層級的漏洞，CVSS評分為4.9分、6.0分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bbc.com/news/uk-england-gloucestershire-63637883"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國14所大專院校遭勒索軟體Vice Society攻擊，並公布學生資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/air-france-and-klm-notify-customers-of-account-hacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國航空、荷蘭航空通知旅客帳號遭竊事故</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/chick-fil-a-investigates-reports-of-hacked-customer-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國速食業者Chick-fil-A客戶帳號出現界常活動</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/can-you-trust-your-vscode-extensions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式碼編輯器VS Code的外掛程式市集疑遭駭客濫用</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155044">【2023年1月6日】 Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及持續交付服務挖礦</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155009">【2023年1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154994">【2023年1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</a></strong></strong></strong></p> </div></div></div>
2023/1/7 13:50作者周峻佑https://www.ithome.com.tw/news/155054
Apple Books提供AI語音功能，可將書籍轉成有聲讀物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在<a href="https://authors.apple.com/support/4519-digital-narration-audiobooks">Apple Books</a>應用程式添加人工智慧語音功能，現在即便是Apple Books非有聲書，都可以藉由人工智慧演算法從文字轉成語音，讓讀者在不方便閱讀的時候，也能夠透過聆聽來吸收書中知識。</p> <p>目前市面上雖然有越來越多的有聲書，但也只有一小部分的書被轉換成音訊，Apple提到，因為成本和複雜的過程，許多獨立作者和小型出版商，沒辦法創作出有聲讀物。而Apple Books添加的數位旁白功能，使得作者更容易創作有聲書，提供讀者更多有聲書籍的選擇，滿足目前有聲書市場持續增加的需求。</p> <p>Apple Books的數位旁白，是由語言學家、品質控制專家，以及音訊工程師合作，共同開發的語音合成技術，能夠從電子文件中製作高品質有聲讀物。Apple認為，數位旁白是專業有聲書的補充技術，能透過聲音將更多書籍提供給更多人。</p> <p>數位旁白是針對特定書籍類型風格創建，因此目前先支援虛構和浪漫小說，僅接受這類書籍的申請製作成具有數位旁白的版本，目前Apple也進一步和出版商、作者和旁白合作，開始啟動非小說和個人發展類書籍旁白計畫，更廣泛的提供有聲讀物。</p> <p>可申請Apple Books數位旁白有聲讀物的書籍，主要為文學、歷史和女性小說，目前還不支援奇幻、驚悚和科幻小說等類型。書必須是英文，而且需要經過檔案品質、內容相容性的審查，書籍不能有複雜格式元素，外文單字也不能太多。在作者提交申請之後，Apple需要1到2個月的時間處理書籍，並且進行品質審查，只要通過標準，該書籍便會在商店中上架。</p> </div></div></div>
2023/1/6 19:57作者李建興https://www.ithome.com.tw/news/155045
AMD推高階處理器Ryzen 7000X3D，並揭露資料中心處理器Instinct MI300細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amd.com/en/events/ces">AMD</a>發布數款消費級處理器，官方提到，這些新的行動和桌面處理器，滿足休閒級玩家到內容創作者等，不同層級的混合式工作負載，除此之外，AMD同時還揭露AMD最新資料中心處理器Instinct MI300技術細節。</p> <p>AMD首款使用3D V-Cache 技術的處理器AMD Ryzen 7000X3D在CES上亮相，由於V-Cache 技術將資料保存在邏輯電路附近，因此縮短資料處理過程的距離，因而得以加速運算，官方提到這是目前最快的遊戲處理器。</p> <p>而Ryzen 7040系列行動處理器，擁有8個Zen 4核心和AMD RDNA 3繪圖架構，官方也揭露其Ryzen AI技術，AMD表示，這是目前x86處理器第一個專用的人工智慧專用硬體，其機器學習運算速度比Apple M2晶片快20％。AMD還發布採用5奈米工藝技術，配備16個Zen 4核心的Ryzen 7045HX系列行動處理器。</p> <p>另外，AMD也推出使用AMD RDNA 3架構的Radeon RX 7000筆記型電腦繪圖卡，目標是滿足1080p遊戲和進階內容創建應用程式的效能需求。</p> <p>除了消費級處理器，AMD執行長Lisa Su也搶先展示了資料中心處理器Instinct MI300的細節，該處理器透過將CPU、GPU和記憶體元件封裝在一起，以解決原本各元件透過PCIe連接器傳輸的效能瓶頸，除了解決延遲問題，移動資料所需要的效能也更低，效率更好。</p> <p>Instinct MI300採用CDNA 3架構，具有24個Zen 4核心以及128 GB的HBM3記憶體。Lisa Su提到，Instinct MI300的特別之處在於，這是第一個運用3D堆疊技術，將CPU和GPU封裝進同一個小晶片的處理器，Instinct MI300晶片擁有9個5奈米的小晶片，這些小晶片被堆疊在4個6奈米的小晶片之上，HBM則圍繞在小晶片四周。</p> <p>Instinct MI300與Instinct MI25X相比，AI效能提升達8倍，且每瓦效能提升至5倍，也就是說，Instinct MI300的設計讓耗能大幅下降，但是效能卻大幅上升。</p> </div></div></div>
2023/1/6 20:00作者李建興https://www.ithome.com.tw/news/155046
Ring推出車內智慧攝影機預購價199.99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon旗下智慧門鈴公司Ring現在擴展業務，推出<a href="https://ring.com/products/car-cam">智慧車內攝影機Car Cam</a>，這是一個具有前後兩個HD鏡頭的安全攝影機，擁有夜視功能並且會在偵測到動作時開始錄音錄影。現在用戶已經可以上網預購，每個預購價199.99美元，正式售價為249.99美元，Ring Protect Go訂閱功能需另外付費。</p> <p>Ring Car Cam與其他Ring的產品相同，都可以透過Ring應用程式控制，用戶可以在同一個裝置查看所有裝置狀態。官方提到，Ring Car Cam的特別之處在於，不只能夠在車輛行駛的時候進行紀錄，當車輛停放時，也能以Ring Car Cam持續紀錄。</p> <p>Ring Car Cam搭載智慧感測器，能夠偵測車內以及周圍的特殊事件，當裝置偵測到車輛遭到入侵，裝置便會開始錄音錄影，並且向Ring應用程式發布即時警報，用戶可以即時觀看車內發生的事件，甚至透過Ring應用程式，以Car Cam內建麥克風和音響，和車內的人通話。</p> <p>用戶也可以透過語音指令「Alexa, record」，在車輛停放狀態，命令Ring Car Cam紀錄接下來所發生的事件，官方表示，這對於車輛被攔下時，或是想要紀錄與他人通話資訊等情境特別有用。</p> <p>為保護用戶隱私，當車輛停放時，Ring Car Cam只會在偵測到事件，或是用戶啟動Live View時才會開始錄音錄影，並且有一個LED燈號明確指示攝影機正啟動和錄製，同時，Car Cam也有一個隱私開關，可以快速停用內部攝影機和所有錄音。而且Car Cam也支援視訊端到端加密。</p> <p>Ring Car Cam內建電池，並且由OBD-II插座充電，使得在汽車關閉狀態，攝影機也能持續偵測並且紀錄事件，當連接到用戶家中Wi-Fi，則Car Cam能夠向手機應用程式發送即時訊息，同時用戶也可訂閱Ring Protect Go功能，透過LTE在車輛行進時保持網路連接。Ring Car Cam除了會在本地端留存紀錄，當用戶訂閱Ring Protect Go，也可以在雲端留存影音。</p> </div></div></div>
2023/1/6 17:09作者李建興https://www.ithome.com.tw/news/155043
【資安日報】2023年1月6日，Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協作平臺Slack昨日（1月5日）證實，上週遭到入侵而導致部分原始碼外洩，所幸使用者資料沒有受到波及。但值得留意的是，該公司是獲報GitHub帳號出現異常活動，著手調查才驚覺遭駭。這些原始碼遭竊後續造成的影響仍有待觀察。</p> <p>有駭客濫用雲端持續整合及持續交付（CI/CD）服務提供的免費、試用資源來進行挖礦！研究人員指出，駭客短時間之內註冊了13萬個GitHub、Heroku、Togglebox帳號，並建立容器來挖掘加密貨幣，而這些行為幾乎都是自動化進行。</p> <p>駭客利用手機金融木馬盜取銀行存款的手法再度翻新！有研究人員發現駭客公開安卓木馬程式SpyNote的原始碼後，其他駭客相繼用於製作攻擊程式，研究人員取得惡意程式樣本分析後發現，此木馬程式具備從Google Authenticator取得驗證碼的能力。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://slack.com/intl/en-au/blog/news/slack-security-update" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Slack證實部分原始碼遭竊</span></strong></a></h3> <p>協作平臺Slack於1月5日公告遭遇資安事故，存放於公司內、外環境的部分程式碼遭竊，但強調使用者資料未受到影響。該公司於去年12月29日獲報GitHub帳號有可疑活動，初步調查顯示，部分員工的Token遭竊，導致駭客能夠存取該公司的GitHub儲存庫，他們也發現駭客在12月27日下載了數個該公司自有的程式碼儲存庫。</p> <p> 該公司表示，駭客並未存取Slack營運環境，也強調被下載的儲存庫不包含用戶資料、客戶資料庫的帳密，或是Slack的程式碼基礎（codebase）。為防萬一，他們輪換了相關金鑰以策安全。</p> <h3><a href="https://unit42.paloaltonetworks.com/purpleurchin-steals-cloud-resources/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD程式整合交付服務遭濫用，南非駭客Automated Libra將其用於加密貨幣挖礦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-126345-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-126345-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露南非駭客組織Automated Libra的攻擊行動PurpleUrchin，這些駭客專門從事免費、試用的雲端資源挾持攻擊（Freejacking），利用持續整合及持續交付（CI/CD）服務提供的資源，註冊大量帳號並設置容器用來挖掘加密貨幣，他們大量利用DevOps的自動化技術來濫用取得的資源。</p> <p>研究人員收集這起攻擊行動所使用的浪250 GB容器資料進行分析，發現該攻擊行動於2022年11月達到高峰，當時駭客每分鐘就建立3到5個GitHub帳號，研究人員總共看到13萬個GitHub、Heroku、Togglebox帳號，註冊帳號的過程中駭客也利用圖像分析技術繞過圖靈驗證機制CAPTCHA。</p> <p>但除了濫用免費與試用的資源，駭客也使用遭竊或偽造的信用卡資料來租用付費服務，當然，他們不會支付相關費用。研究人員稱這種手法為Play and Run。</p> <h3><a href="https://www.threatfabric.com/blogs/spynote-rat-targeting-financial-institutions.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓金融木馬SpyNote攻擊行動升溫，起因是原始碼公開</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TF_SpyNote_Statistical.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TF_SpyNote_Statistical.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric針對安卓金融木馬SpyNote（亦稱SpyMax）的攻擊態勢提出警告，他們發現該木馬程式於2022年第4季的攻擊行動大幅增加，原因是名為CypherRat的SpyNote變種，開發者於10月於GitHub公開原始碼，導致此木馬程式數量急速增加，假冒匯豐、德國銀行等知名銀行App的惡意程式接連出現，3個月研究人員共發現逾1,100個CypherRat樣本。</p> <p>研究人員指出，此SpyNote變種不只能透過相機API錄製影片傳送到C2伺服器、使用GPS進行跟蹤，還能竊取臉書與Google帳密，並濫用輔助功能A11y，從Google Authenticator解出驗證碼，同時也具備側錄使用者輸入內容的能力，目的是竊取銀行帳戶資料。</p> <h3><a href="https://asec.ahnlab.com/en/44554/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Vidar透過社群網站與加密即時通訊軟體連結C2中繼站</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image-28.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-28.png" style="width: 300px; float: right;" /></a>資安業者AhnLab去年底揭露竊密軟體Vidar新的攻擊行動，他們看到駭客廣泛濫用社群網站Mastodon、抖音，以及加密即時通訊軟體Telegram、電玩平臺Steam來提供C2中繼站的連線資料，從而隱匿其攻擊來源。</p> <p>研究人員指出，駭客鎖定上述服務的原因，就是建立新帳號容易，而使得帳號就算遭到通報被刪除，駭客還是可以再建立新帳號來提供Vidar有關C2的資料，且他們看到駭客的帳號成立超過半年，且不斷在更新，突顯這樣的手法相當不易被察覺。</p> <h3><a href="https://labs.k7computing.com/index.php/pupy-rat-hiding-under-werfaults-cover/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows錯誤報告工具遭到濫用，被用於部署惡意軟體Pupy RAT</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WerFault-Figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WerFault-Figure1.png" style="width: 300px; float: right;" /></a>防毒業者K7 Computing揭露惡意軟體Pupy RAT的攻擊行動，駭客透過帶有ISO光碟映像檔附件的釣魚信發動攻擊，此ISO檔案內有DLL程式庫、Excel試算表檔案、捷徑檔案（LNK），以及Windows錯誤報告工具WerFault.exe。</p> <p>一旦受害者開啟了上述的LNK檔案，就會利用Windows作業系統裡的ScriptRunner.exe來側載WerFault.exe，此執行檔運作時便會載入ISO檔裡的惡意DLL程式庫，進而於受害電腦的記憶體內植入Pupy RAT。在此同時，為了降低受害者戒心，還會一併開啟前述的Excel檔案。研究人員無法確認駭客的身分，但認為應來自中國。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/ongoing-flipper-zero-phishing-attacks-target-infosec-community/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">募資掌上型資安滲透測試工具Flipper Zero成為駭客對研究人員發動網釣攻擊的幌子</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/flipper-zero-sites.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/flipper-zero-sites.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，自2020年募資成功的掌上型資安滲透測試工具設備Flipper Zero，因為生產問題導致缺貨，而成為駭客用來發動釣魚攻擊的幌子。資安研究人員Dominic Alvieri發現3個冒牌的推特帳號，以及2個假的Flipper Zero電商網站。這些電商網站仿造正牌的網站價格，銷售Flipper Zero及其各式模組與配件，並要求使用加密貨幣付款，企圖洗劫買家的加密貨幣錢包。</p> <h3><a href="https://www.courtlistener.com/docket/66696047/doe-individually-and-on-behalf-of-all-others-similarly-situated-v/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LastPass遭到集體控告，起因是外洩事故與該公司資料管理不當有關</span></strong></a></h3> <p>去年8月密碼管理解決方案業者LastPass資料外洩，駭客透過第三方雲端儲存服務與另一家科技業者GoTo Technologies來存取該公司內部環境，從而複製檔案備份，當中含有LastPass的客戶資料，該公司用戶於今年1月3日向美國麻洲法院控告LastPass資料保護不力，導致用戶敏感資料遭未經授權人士存取，且經過數個月才通知用戶，突顯LastPass反應相當消極，甚至出現該公司企圖將責任推給用戶的情況。</p> <p>雖然這起訴訟能否成案仍不得而知，但資安專家指出該起資安事故恐讓駭客建立詳細的密碼資料庫，也有資安專家指出LastPass誇大其密碼儲存庫（Vault）安全性，實際上只有加密保護部分欄位。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/circleci-warns-of-security-breach-rotate-your-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">持續開發持續整合業者CircleCI遭遇資安事故，通知用戶更換密鑰</span></span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/bluebottle-banks-targeted-africa"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">使用法語的非洲國家銀行遭到駭客組織Bluebottle寄生攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rackspace-customer-email-data-accessed-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace再透露12月資安事故調查結果，駭客存取部分用戶資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/bitdefender-releases-free-megacortex-ransomware-decryptor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者Bitdefender提供勒索軟體MegaCortex解密工具</span></span></strong></a></p> <p> </p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155009">【2023年1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154994">【2023年1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154975">【2023年1月3日】 Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</a></strong></strong></strong></p> </div></div></div>
2023/1/6 15:37作者周峻佑https://www.ithome.com.tw/news/155044
DevOps平臺CircleCI恐遭入侵，警示用戶更換憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺CircleCI又發生<a href="https://circleci.com/blog/january-4-2023-security-alert/">資安事件</a>，這對一些剛從假期回到工作崗位上的工程師，顯然不是什麼好消息。CircleCI在官方部落格發文警告，要求用戶立刻更改儲存在CircleCI中的系統憑證，同時也要檢查從2022年12月21日以來，自家系統是否有未經授權的存取。</p> <p>CircleCI在1月4日發出安全警報，表示他們正在調查一起安全事件，雖然目前系統並沒有遭到未經授權者入侵的跡象，但是出於謹慎，他們希望用戶立刻輪替所有儲存在CircleCI中，包括存在於專案環境變數以及任何內文的密碼。</p> <p>在要求用戶檢查系統是否曾有未經授權存取的同時，官方也作廢專案API權杖，用戶需要重新輪替才能繼續使用服務。</p> <p>除了要求客戶更換金鑰、密碼和變數之外，官方也建議用戶可以在CI/CD工作管線，添加額外的保護機制增加安全性。包括使用OIDC權杖，避免在CircleCI儲存長期憑證，同時限制IP位置範圍，僅允許已知IP位置進行入站連接，也可以使用Contexts啟用跨專案環境變數共享，該方法使環境變數能夠透過API自動輪替，還有用戶也可以使用Runner，以IP限制和IAM管理功能保護特權存取和額外控制功能。</p> <p>CircleCI現在對所有用戶開放自助稽核日誌功能，透過使用者介面用戶能夠自己稽核過去30天的日誌，但官方提到，稽核的重點會在儲存於CircleCI上的用戶系統日誌的機密資料。用戶目前仍可以進行建置，官方已經重新輪替所有生產機器和存取金鑰，並完成所有系統的存取稽核，也和第三方調查人員合作，驗證調查步驟和行動。</p> <p>CircleCI在美東晚上9點30分才寄出安全警報通知，當時已是北美企業用戶下班時間，官方解釋，他們的用戶遍布全球，發布時間的唯一考量是盡快通知所有用戶。</p> </div></div></div>
2023/1/6 17:05作者李建興https://www.ithome.com.tw/news/155036
重新定義獲取當代進步價值的基本功
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迎接2023年的到來，許多人對於未來發展充滿許多期許，然而，我們也無法忽視2022年，甚至COVID-19疫情這三年來發生的各種重大災變事件，以及造成的各種衝擊，這些可能是我們繼續步上轉型、創新之路同樣不可或缺的動機，需要好好想清楚、制定行動方針，才能及早做好準備，因為沒人能保證同樣的事情會在多短時間之內重新上演。</p> <p>首先，我們必須趕快採取行動的議題，是如何因應全球氣候變遷，在我們這期封面故事《展望2023要知道的10件事》，當中提到的永續IT，以及碳排數據揭露、供應鏈盤查，都與此有關。</p> <p>正如最近一些新聞媒體在展望未來時，也紛紛提及「綠天鵝」可能引發系統性金融危機。在2020年1月，國際清算銀行（BIS）發布名為《綠天鵝：處於氣候變遷時代的中央銀行業與金融穩定》，標示著氣候變遷將帶來劇烈而極致的危機，由於環境保護議題涉及社會、政治、經濟，因此，氣候危機將帶來廣泛的連鎖反應，對我們的生存造成深遠的影響。</p> <p>為了減緩與避免這類風險，國際合作組織與各國政府勢必加強相關法規的制定，以及監管力道。企業、組織、個人該如何著手？我想到品質管理大師愛德華茲·戴明的名言：「It is wrong to suppose that if you can’t measure it, you can’t manage it – a costly myth.」後續被大家簡化成「If You Can't Measure It, You Can't Manage It.」，或是「You Can’t Manage What You Don’t Measure.」。先從測量、盤點自身碳排放量與碳足跡著手，才能規畫有效減少的做法，以符合規範為目標，再按部就班地推展。</p> <p>除了省電節能與減碳，要維護地球環境的永續、實現循環經濟，廢棄物處理也是我們無可迴避的議題，例如，減少塑膠使用、電子垃圾同樣刻不容緩，不只是能源、產業要轉型，民眾的生活與整個社會也都要轉型。</p> <p>第二個重要趨勢是與資料運用有關，就像本期封面故事提到的三件事：生成式AI應用大爆發，從企業商用走入更多個人端工具；金融與醫療新一波上雲浪潮來了，本地多雲混合雲成新主流；企業異質大數據管理需求大，資料治理再度熱門。</p> <p>這些議題呼應AI、雲端服務、大數據等當代IT顯學，許多廠商強調的資料驅動（Data Driven）、以資料為中心（Data Centric）、資料優先（Data First），確實是全球技術發展的大勢所趨。而且，我們對於資料的運用方式，仍有很大的發揮空間。</p> <p>舉例來說，臺灣11月底舉行地方公職人員選舉，許多人都很好奇各政黨勝選與敗選狀況，可惜的是，在政黨公開內部檢討報告摘要的新聞報導雖然提到一些可能原因，但並未看他們揭露調查統計數據可供佐證，也未看到是否運用更多資料分析以透視原因，從而驅動後續改革的策略調整。</p> <p>第三個重點趨勢則是身分安全，本期封面故事提到兩個臺灣IT技術趨勢：虛擬健保卡走出醫療生態，身分驗證有新選擇；政府機關加速採用FIDO，行動自然人憑證成推手。</p> <p>以虛擬健保卡而言，截至去年11月30日，持有者為36萬3,582人，完成虛擬健保卡系統介接測試的特約醫療院所為967家。而行動自然人憑證的部分，截至今年1月5日為止，總累積使用人次已逼近50萬。</p> <p>隨著各種技術的發展不斷推陳出新，要徹底發揮優勢，仍需要彼此溝通，不能輕忽人（People）、流程（Process）因素的阻礙。以去年大選同步進行的18歲修憲複決公投為例，執政黨自認「從上到下無不極力宣傳」，結果卻不如預期，顯然這樣的方法並未奏效，想要促使全民建立共識，可能比大家想像的還要困難，需要更廣泛、長期而持續的討論，除了強調這是世界潮流、臺灣不能落後，關鍵仍在於引發更多民眾去思考不合理之處，才有可能獲得更普遍的認同。</p> <p>因此，對於很多事情的推動，就算很多人都認為是理所當然，如果我們想要讓更多人接受，有些環節與條件仍是不可略過的，提出更多證據、從不同層面理解其必要性，應該會是關鍵。</p> <p><a href="https://www.ithome.com.tw/article/155042" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a> <a href="https://www.ithome.com.tw/article/155042" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1111-feng_mian_-p1-open-960x420_kao_bei_.jpg?itok=ssIuhRzX" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B1%95%E6%9C%9B2023">展望2023</a></div><div class="field-item odd"><a href="/tags/%E8%B6%A8%E5%8B%A2">趨勢</a></div><div class="field-item even"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div><div class="field-item odd"><a href="/tags/%E7%A2%B3%E6%8E%92">碳排</a></div><div class="field-item even"><a href="/tags/esg">ESG</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86">資料治理</a></div><div class="field-item odd"><a href="/tags/%E8%99%9B%E6%93%AC%E5%81%A5%E4%BF%9D%E5%8D%A1">虛擬健保卡</a></div><div class="field-item even"><a href="/tags/fido">FIDO</a></div><div class="field-item odd"><a href="/tags/%E8%A1%8C%E5%8B%95%E8%87%AA%E7%84%B6%E4%BA%BA%E6%86%91%E8%AD%89">行動自然人憑證</a></div></div></div>
2023/1/6 15:22作者李宗翰https://www.ithome.com.tw/voice/155025
【2023年CIO必看10大趨勢：趨勢6】企業異質大數據管理需求增加，資料治理再度熱門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料治理今年又將再度成為企業CIO的重要課題和話題。AI技術的蓬勃發展，過去幾年掀起了一股企業AI化的浪潮，一段時間後，企業往往發現，AI模型成功關鍵，不只是技術，還要有好的資料，尤其AI模型需要不斷優化校正，需要有源源不絕的數據和資料來支撐。</p> <p>許多企業看到了AI的威力，但也發現手上資料不敷使用的窘境。這兩年許多大企業，在積極擁抱AI之後，反而過頭來重新蹲馬步，盤點和梳理手上的大數據，甚至乾脆重新建置資料搜集機制、整合更多資料管道和來源，重新設計資料工作流程，建置新一代的資料湖或雲端資料倉儲，都是為了儲備AI武器需要的數據彈藥庫。</p> <p>不過，企業手上的資料越多，越廣，越多元，就會面臨資料治理（Data Governance）的新課題。</p> <p>如玉山金控在2020年完成核心系統轉換後，就成立了資料治理小組，由玉山金控科技長張智星擔任小組召集人，成員橫跨全金控，為了實踐資料治理，甚至不惜推動大規模組織改造，就是解決AI高度內化後的資料治理需求。</p> <p>不只是天生高度數據化的金融業為了AI而展開資料治理，就連製造業也都要擁抱資料治理。</p> <p>像是友達光電，花了7年時間，一步一步，從自動化發展到智能化的智慧製造，早從2015年展開大數據蒐集工程開始，在工廠內部署了2萬多個IoT感測器，蒐集機臺及周圍環境的大量數據，將生產流程全面數位化，來建置完整的資料商城，隔年完成大數據平臺，累積夠多資料後，在2017年進行AI概念驗證。2018年，友達開始善用大數據和AI技術來強化製造和管理，也將智慧製造導入到研發、供應鏈智慧化管理等。</p> <p>到了2021年10月，友達上線的AI模型數突破2,000支。友達內部甚至發展出了一個Al市集平臺，上面有各廠團隊自行開發的AI應用，從設備檢測維修、AOI＋ AI缺陷檢測、電腦視覺偵測、製程品質監控、異常偵測到智能節能等。</p> <p>AI發展高度成熟後，友達在2021年訂定下一個五年的數位轉型計畫，資料治理正是關鍵第一步。友達IT或數位部門為了推動資料治理，要重新盤點、梳理資料，確保各部門或工廠，甚至不同供應商資料定義一致性，包括資料型態與欄位等，就是要將以前每一個單點的數據流程全面打通，相互串連，來實現數位全流程的自動化或智慧化。</p> <p>還有更多企業，都在這2年開始投入或資料治理，像中華電信在2022年中，公開了三層架構的資料治理戰略，就是為了解決資料使用3大痛點，包括了巨量資料查詢不易、資料品質不一，以及資料存取權限欠缺統一標準問題。這是很多企業AI擴大規模時常見的痛點。</p> <p>而Line與雅虎日本整併後在首次聯合技術大會中，公開了自家超大規模資料平臺IU和搭配的機器學習平臺MLU的最新變革，就是為了解決資料治理需求。</p> <p>IU支援了Line內部超過200項服務，儲存了400PB的HDFS資料，超過4萬個Hive表格，每天要執行15萬個任務，但是，這麼龐大又複雜的資料應用需求下，的資料流程越來越複雜，一旦發生問題，想要找出資料間的關係，越來越困難。Line的對策，就是打造資料血統機制，來落實資料治理。</p> <p>「可以掌握資料間的關聯，就可以很容易知道如何管理龐大資料，來提高再利用效率，更可以在安全和治理的角度下，來使用這些資料。」Line技術長Tomohiro Ikebe透露了，資料血統上線後最大的效益。這項功能已經成為Line內部79個服務和部門天天都要用的功能。</p> <p>兩大雲端巨頭也嗅到這股資料治理需求潮，Google和AWS先後在2022年各自的年會上，都不約而同都聚焦雲端資料倉儲和雲端大數據分析領域，將資料治理視為主打特色之一。</p> <p>從指標企業的經驗可以看到AI高度發展後，資料治理需求也更加重要，技術廠商也看上這股需求搶推新工具，隨著更多企業想要重用AI，整合各類型資料，勢必得更加落實資料治理的實踐。</p> </div></div></div>
2023/1/6 14:25作者王宏仁https://www.ithome.com.tw/news/155037
【2023年CIO必看10大趨勢：趨勢7】電子支付產業規模化，消費大數據應用逐漸成熟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去兩年受疫情影響，為了避免接觸染疫的風險，民眾對非現金支付的接受度大為增加，電子支付市場也因此快速成長。根據2022年10月統計資料，國內電子支付用戶數達到2,077萬，比一年前同期足足增加超過500萬用戶。</p> <p>約6成的電支用戶高度集中於市場的前3大業者，分別是街口支付、一卡通、全支付，合計超過1,300萬用戶，其中全支付為新進業者，挾強大通路資源及會員基礎，已有超過200萬用戶，街口支付、一卡通分別有超過580萬與530萬用戶，2023年可望上看600萬。</p> <p><span style="font-size:28px;"><strong>用戶數、合作商家愈多，涵蓋更多消費者族群深度瞭解消費者</strong></span></p> <p>電子支付為規模經濟產業，未達到一定的經營規模，不僅用戶數有限，也難以吸引商家合作，為了擴大用戶規模，各家電支業者投入大筆經費，以補貼回饋為手段吸引消費者來獲客，或以較低的手續費吸引商家合作。</p> <p>現在兩大電支業者已有超過500萬用戶，合作商家數、支付據點也大增，一卡通旗下約有41萬支付據點，街口約有30萬支付據點，電子支付涵蓋場景多元，不只實體零售通路、網路電商、夜市攤商，還包括停車、稅費、水電等。</p> <p>用戶規模增加，特別是全支付將以往在超市採買的婆婆媽媽也帶進電支市場，涵蓋更多年齡層、性別的消費族群；而支付據點增加，除了吸引消費者使用意願，也從更多的面向，加深對每位用戶消費行為的理解。</p> <p><span style="font-size:28px;"><strong>以數據分析深化會員經營，提供商家精準行銷服務</strong></span></p> <p>在用戶數達到規模化後，一卡通、街口支付已開始調整經營的重心，過去以擴大會員規模量體為主，現在改為更深度的經營會員，運用大量且多面向的消費數據，以精準掌握用戶的消費偏好，根據用戶需要提供差異化的補貼，同時基於更精確的消費者面貌，提供精準行銷服務，根據商家鎖定消費族群，將優惠訊息傳遞給目標用戶，提高轉換率。</p> <p>一卡通總經理鄭鎧尹表示，一卡通過去努力擴大各種消費場景、基礎建設，整合儲值卡與電子支付的消費數據，在交通、生活消費、生活繳費、社群交易，涵蓋相當完整的消費場景。從全場景、全數據分析，較其他業者更具優勢，國內電子支付業者面臨虧損，未來如何增加獲利，需從數據金礦著手。</p> <p>一卡通提高對不同場景消費數據的調用分析，對用戶作更精細分群，提供差異化的行銷補貼，增加用戶使用頻次。</p> <p>該公司也根據消費數據分析找出目標消費者，將商家的優惠訊息傳遞給目標客群。一卡通目前已開始與合作商家作小規模測試，蒐集合作商家的意見，最快在2023年第二季、最晚於第三季開放給更多特約機構商家使用。</p> <p>街口支付也預告在2023年第二季將推出會員分級制度，依照消費數據作更細緻分群，例如交易頻次愈多、金額愈高，會員等級愈高，享有更多的補貼。從數據分析更深的瞭解用戶，以差異化補貼取代大量補貼，加強會員經營。</p> <p>街口也從用戶消費大數據分析，例如某些用戶購買汽車相關用品，判斷其可能是開車族群，與保險業者合作，向這些用戶推銷汽車險，以此增加營收。</p> <p>街口還與銀行業者合作，針對商家推出貸款服務，街口先將商家的去識化交易資料提供給銀行建模，向可能有需要的商家推薦貸款服務，商家申請貸款時，在其同意下，再將真實的街口交易資料提供給銀行，取代財力證明。街口並與銀行合作，簡化申請貸款流程，以提高貸款轉換率。</p> <p>在開放更多業務，以及新業者加入下，未來國內電支市場將蓬勃發展，而電支產業形成規模化經營後，消費大數據分析應用，不只對電支業者強化會員經營，對外提供的精準行銷，去識別化後的數據洞察服務，成為企業商戶的轉型發展。</p> <p>資策會MIC資深分析師胡自立認為，未來電子支付產業3個趨勢：服務面向更多元化、支付金融化、商家數位轉型。支付服務多元化，讓支付涵蓋愈來愈多的支付場景，對消費者帶來更大的吸引力，為電支業者獲客的手段。</p> <p>而支付金融化，透過與金融業者合作，支付扣合保險、借貸等服務。為支付產業未來發展的核心趨勢，可為電支業者帶來獲利。支付金融化可引導消費者至金融服務，甚至，透過數據去識別化後共享，掌握消費行為關聯性，發現可能的商機。第3個趨勢則是加速商家的數位轉型，例如加強會員經營、行銷及後端管理等。</p> </div></div></div>
2023/1/6 14:45作者蘇文彬https://www.ithome.com.tw/news/155038
【2023年CIO必看10大趨勢：趨勢8】虛擬健保卡翻轉醫療模式，更成第三方身分驗證新選擇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，政府開始力推虛擬健保卡，今年持續加強力道，成為醫療院所必須面對的機會與挑戰。一些醫院開發專屬程式，來支援特定領域使用，也有院所開始調整系統、整合自家App，來嘗試更多虛擬健保卡應用。甚至，虛擬健保卡還走出醫療生態，成為零售電商的身分驗證文件，未來也將整合手機錢包，激發更多身分驗證應用。</p> <p><span style="font-size:28px;"><strong>虛擬健保卡政策勢在必行</strong></span></p> <p>虛擬健保卡是要讓民眾用手機，就能看診。具體方式是，民眾出示健保快易通App的虛擬健保卡QR Code，由醫院掃描或民眾授權，來讓醫師讀取健保雲端系統中的病人就醫資料、進行看診。這是健保署和行政院在2018年發想的政策。</p> <p>2019年，虛擬健保卡開始試辦，2022年，健保署正式在遠距醫療、視訊診療和居家醫療3大場域力推虛擬健保卡，成為醫療院所優先採用領域。</p> <p>今年，虛擬健保卡還會配合新版通訊診察治療辦法，來擴大適用情境。健保署也預告，今年，虛擬健保卡系統將串接更多衛福部內系統，並上線實體卡常用的重要功能（如用藥提示），一步步補足虛擬卡的加值應用。這意味著，虛擬健保卡政策勢在必行，是醫療院所必須面對的課題。</p> <p><span style="font-size:28px;"><strong>3大領域先下手，先行者推全院門診與新情境</strong></span></p> <p>起步較早的院所，已先針對政府力推的3大場景開發程式，支援相關應用。比如，臺北榮總開發一套軟體，搭配健保署的輕量藍牙App和授權程式，來供居家照護團隊使用。居家照護團隊只需幾步驟啟動軟體和相關設定，不必攜帶讀卡相關設備、靠行動裝置就能取得患者健保卡卡號，進行看診照護。又或是北醫附醫將虛擬健保卡應用整合至自家iTPass App，來供離島、山地偏鄉民眾進行遠距醫療時使用。</p> <p>另一個例子是，林口長庚醫院調整核心系統，將虛擬卡授權請求嵌入HIS門診醫囑系統，系統出現掛號病人時，醫師可點選啟動虛擬健保卡，系統就會自動發送請求，民眾同意後，醫師就能啟動看診。這個做法，在現場門診和視訊門診都適用，打下全院推動基礎。</p> <p>甚至，臺灣也有少數醫院已經推動虛擬健保卡全院門診適用，奇美醫院、高醫附醫就是2家代表。他們將虛擬健保卡整合門診報到，讓民眾掃描看板QR Code來取代實體卡插卡，看診時，就透過虛擬卡QR Code來讀取資料。看診後，民眾也能用行動支付付款，未來電子處方箋上路，民眾還能直接在手機App收到電子處方箋，憑箋領藥。</p> <p>高醫附醫還進一步提出新應用情境，比如資料授權，救護人員可在救護車上，先掃描病人虛擬健保卡QR Code來調閱相關資料，讓救護醫院先行準備，或是病人轉診後送時，由轉送醫院先來調閱資料、先行準備。另一種則是以虛擬健保卡作為身分認證機制，讓民眾在社區據點或醫療院所測量生理量測值時，可將量測值上傳至健康福祉整合照護系統。</p> <p>這些先行者經驗和新應用情境，不僅點出醫院IT調整HIS，來支援虛擬健保卡的方法，也能促進院所開發更多虛擬健保卡加值應用，比如領藥身分辨識、自動帶入檢驗資料、開發虛擬卡批價功能等，這些都是醫院IT接下來要進行的重要工作。</p> <p>除了醫療院所，在廠商端，也有健康照護業者加入對虛擬健保卡的支援。比如，吉樂健康資訊打造的WaCare遠距健康平臺，去年開始整合虛擬健保卡功能，讓患者在該平臺進行視訊診療時，能分享自己的虛擬卡QR Code，供遠端醫師讀取、調閱資料。</p> <p><span style="font-size:28px;"><strong>下一步：身分驗證應用</strong></span></p> <p>不只在醫療圈扮演要角，虛擬健保卡還走出醫療生態，成為其他領域的身分驗證證明。比如，電商蝦皮就將虛擬健保卡視為購買人領貨的身分證件，民眾出示附個人照的虛擬卡QR Code，即可領貨。</p> <p>而且，虛擬卡的身分驗證應用，還有可能更多元。因為，健保署日前透露，接下來計畫將虛擬健保卡納入手機錢包。這麼做，虛擬健保卡就像其他錢包票卡一樣，可進行非接觸式的NFC感應，且在低電量、沒網路的環境也能啟用，甚至透過穿戴式裝置，也能使用虛擬卡。透過手機錢包，虛擬健保卡能運用的驗證情境更多元，而且不限於醫療場域。</p> </div></div></div>
2023/1/6 14:50作者王若樸https://www.ithome.com.tw/news/155039
【2023年CIO必看10大趨勢：趨勢9】政府擴大支援FIDO，服務邁入免密碼行動化時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位政府的轉型策略中，政府推動公共服務線上化，以網路取代馬路，資料跨機關分享，降低民眾臨櫃辦理服務的不便，而這一波COVID-19疫情影響之下，為降低面對面、群聚染疫的風險，加速政府公共的服務線上化，甚至迎合行動裝置的普及，擴大政府服務朝行動化發展，打破固定場所使用電腦、實體憑證的限制，民眾在外就能以手機，通過多元的身分認證方式，來使用各項政府服務。</p> <p><span style="font-size:28px;"><strong>FIDO帶來無密碼身分驗證，手機掃指紋、刷臉快速登入服務</strong></span></p> <p>政府服務朝向支援多元身分認證方式，其中包括內政部去年推出的行動自然人憑證，將實體自然人憑證行動化，與智慧型手機相結合，利用FIDO（Fast Identity Online）新興行動身分識別標準，讓用戶不需輸入密碼，通過手機上的指紋、臉路辨識等生物特徵辨識，通過網路身分驗證。</p> <p>自然人憑證的行動化，迎合現代人透過手機使用各項服務的習慣，而結合FIDO無密碼的身分認證機制，更解決長期以來密碼使用的諸多問題，例如安全性不足的弱密碼，高複雜度的強密碼容易遺忘，或是因為網路釣魚、駭客入侵，導致用戶的密碼遭竊取等。FIDO與行動裝置的生物特徵辨識功能相結合，讓使用者只要用手機掃指紋、刷臉，不需輸入帳號密碼，就能快速登入服務。</p> <p><span style="font-size:28px;"><strong>政府系統將擴大支援行動自然人憑證，加速採用FIDO</strong></span></p> <p>行動自然人憑證去年才推出，目前只有83個機關、127個系統支援，和國內推出已有18年以上的自然人憑證700個系統支援相比，仍有不小的落差。內政部計畫擴大行動自然人憑證的應用，2023年底之後，將支援行動自然人憑證的系統擴大至400個，更長遠目標是讓自然人憑證的700個系統都能支援。</p> <p>除了政府機關擴大採用，內政部也開放金融、電信業採用行動自然人憑證，以擴大政府以外的產業使用。另外，針對行動自然人憑證首次註冊需要使用電腦、讀卡機、自然人憑證，為了簡化註冊過程，去年底已開放自然人憑證通過NFC和手機靠卡註冊行動自然人憑證，不需電腦、讀卡機。在今年底更計畫開放民眾不需實體自然人憑證，在戶所直接註冊手機的行動自然人憑證。</p> <p><span style="font-size:28px;"><strong>更多政府服務支援掃指紋、刷臉快速登入</strong></span></p> <p>目前網路報稅、手機報稅，民眾個人化資料自主平臺MyData等已支援行動自然人憑證，由於行動自然人憑證不只是身分認證，也整合自然人憑證的簽章功能，因此也有政府部門運用在公文簽核，例如臺北市公文系統支援行動自然人憑證，讓公務員在外出勤時，靠手機就能行動簽核公文；去年成立的數位發展部，部長唐鳳也親身示範使用行動自然人憑證在外簽核公文，以行動公文簽核提高作業效率，目前數位發展部公文簽核系統已支援行動自然人憑證。</p> <p>除了讓公務人員提高公文簽核效率，對民眾來說，未來更多政府系統支援行動自然人憑證，讓民眾過去因實體自然人憑證，只能在家中或辦公室透過電腦、讀卡機，通過身分驗證方能報稅、下載政府資料；現在，通過手機上的行動自然人憑證，掃描指紋或刷臉，快速登入政府公共服務，降低過去對行動用戶的不友善環境，未來，民眾透過手機就能使用更多政府服務。</p> <p>以國人習慣使用的網路報稅為例，過去民眾在家使用電腦，搭配讀卡機、自然人憑證使用網路報稅，2021年首次推出手機報稅，讓民眾可以手機、通過行動身分識別，即使不在家也能使用手機簡易報稅，去年手機報稅新增支援行動自然人憑證，讓自然人憑證使用者，不再受限於實體自然人憑證，在外餐廳用餐、圖書館看書或是搭乘捷運、公車的同時，通過手機上的指紋辨識或刷臉完成身分驗證，使用手機報稅，等於將過去網路報稅，從固定場所擴大到戶外的行動情境。</p> <p>政府擴大採用FIDO，更多的公共服務不需輸入密碼，只要手機掃描指紋、刷臉就能快速登入服務，解決密碼為人詬病的問題，例如弱密碼，高強度密碼容易遺忘，或是網釣等密碼遭竊的風險。</p> <p>身為支持FIDO的國家，美國國土安全部宣導提升安全素養時，也推廣使用FIDO，由於FIDO結合用戶端裝置的身分識別及網路身分識別，降低身分被盜用的風險，更認為FIDO具有潛力，成為多因素驗證的唯一標準。更多的服務支援FIDO，除了免密碼，提供手機使用者更多便利性，也代表安全性的提升。</p> <p>除了臺灣與美國，目前還有加拿大、澳洲、泰國、南韓、挪威、英國、瑞典等其他國家的政府機關推動FIDO。</p> <p>民間業者方面，目前也有不少業者看好無密碼的趨勢，採用FIDO標準，例如Line支援FIDO身分驗證機制登入，國內部分銀行也在行動App開始支援FIDO標準，金管會也在2021年鼓勵金融產業組成金融行動身分識別聯盟，推動金融行動身分識別標準，即金融FIDO，試圖從產業面推動FIDO，去年已有幾家金融業者展示金融FIDO。</p> <p>台新銀行去年即展示支援金融FIDO的ATM，讓民眾可以晶片金融卡先在ATM註冊，再在金融機構的App綁定個人的生物特徵，後續就能免密碼、免插卡，通過App確認個人的生物特徵，完成身分驗證，使用該機構的相關金融服務。台新銀行以線上銀行開戶為例，傳統的線上開立數位存款帳戶，如以其他銀行帳戶作驗證，帳戶號碼容易因為記憶而導致輸入錯誤，未來透過已完成金融FIDO註冊的金融機構APP，只要透過生物識別就能完成驗證，快速方便的線上開戶。</p> <p>雖然國內金融產業的FIDO標準尚未普及，但未來在政府機關帶頭、更多民間業者嘗試下，可望加速採用FIDO，讓更多的服務不再需要輸入密碼，使用者透過硬體安全裝置，或是以手機的生物特徵識別功能，快速完成身分驗證登入服務，同時降低過去遺忘密碼或因為輸入錯誤密碼導絰被封鎖帳號的風險，更快的完成身分驗證，也能提供更好的服務使用體驗，並促成網路服務發展。</p> </div></div></div>
2023/1/6 14:56作者蘇文彬https://www.ithome.com.tw/news/155040
【2023年CIO必看10大趨勢：趨勢10】OMO經營成主流，全通路數據分析成活客新關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對必須直面消費者的企業而言，2021年進入3級警戒以來，建立或強化線上通路便成為一大課題，更成為2022年不少企業數位轉型的必修。如今臺灣走出疫情陰霾，實體通路復甦，線上通路卻已經成為不可或缺的消費場域。有時我們會在現場門市現場聽完介紹後，拿起手機跟線上門市比價；有時我們會在外送平臺下外帶單，再自己去取餐，就為了回家舒適用餐。</p> <p>新常態下，這種線上線下並用的消費習慣已經與疫情前以線下為主，跟疫情中以線上為主都不同，企業也須在營運模式上，做出相對應改變。如果2022年是企業強化線上通路的一年，企業2023年課題，將會是線上線下通路融合（OMO，Online Merge Offline）。</p> <p>OMO是相對於O2O（Online to Offline）的進階概念。O2O強調從線上通路引導消費者到線下通路，視線上為獲客管道。OMO概念由投資公司創新工場的執行長李開復於2018年提出，強調消費者線上線下體驗合一，以及利用線上科技蒐集數據，來賦能線下服務。</p> <p>李開復認為，智慧型手機的大規模應用、流暢的支付系統、以及AI技術的進步，是推動OMO模式的重要因素。放眼今日臺灣，越來越多從行動應用起家的服務業者出現，傳統服務業也加強經營行動應用通路，甚至採用行動優先的設計理念；新版電支法上路，多家支付業者加入戰局，線上線下通路金流互通性更高；企業開始運用AI技術輔助行銷和庫存管理，也有更多解決方案商加入戰局。消費者習慣、法規、市場環境、技術紛紛到位，為OMO模式搭建了起飛的跑道。</p> <p>另一個推動OMO模式的環境因素是，受到2022年景氣影響，不少企業開始縮編行銷預算，加上數位廣告成本逐年高漲，企業已經不再能透過鋪天蓋地投放廣告來獲客。此時，辨識或培養高價值會員、開發消費者終身價值成為新顯學。OMO經營模式也有助於企業達成行銷目標。這是因為此模式下，線上通路不再只是投放廣告或經營社群、客服的場域，更不是與線下門市相互獨立的部門。反之，線上線下通路會延伸彼此服務，並交互導流消費者。</p> <p>根據臺灣電商解決方案商91APP研究，導入OMO經營模式的品牌中，在全通路消費的會員，人均消費金額分別高於純線下或線上消費的會員2.3倍跟3.6倍，人均消費頻率也高出3.5次和5.3次。報告認為，這顯示出OMO無斷點的消費體驗，讓消費者能依照當下需求和偏好，流動於不同通路，因此能捕捉更大的消費者貢獻度。</p> <p><span style="font-size:28px;"><strong>圍繞消費者足跡，打造OMO體驗、行銷及新服務</strong></span></p> <p>既然OMO模式是被消費習慣改變所催生，企業便會圍繞著消費者造訪的通路及需求，來決定經營方向。因此，企業型態不同，消費者旅途也會不同，強調的OMO經營面向就會因此而異。</p> <p>誠品生活就是以OMO體驗為主要目標。誠品線下有書店、食材店、電影院、旅館、展演空間等十幾種通路，線上則有網站和App，更有社群、客服等品牌接觸點。由於通路種類繁多，誠品著重於讓消費者感受到自己是與整個誠品生活集團互動，而非只是與個別品牌、甚至個別分店、個別店員互動。</p> <p>為了做到這件事，他們得先彙整並分析手上累積多年卻四散於各處的數據，再串接線下POS及線上電商系統資訊流，並開發出一個App，作為全通路消費者體驗的串接媒介及數據紀錄的蒐集點。誠品從不同通路的消費數據來更認識會員，未來便能以此為依據，進一步行銷或開發新業務。</p> <p>寵物百貨萬達寵物則是推出新OMO服務的案例。疫情升級3級警戒時，儘管他們已經同時有門市和電商兩種通路，但為了服務在家不願出門卻又臨時需要採買的消費需求，他們把電商模式套用到實體門市，上架店面存貨到外送平臺，並直接以門市為據點出貨，做到比原本電商更快速的服務。為了線上化實體門市，他們設計了比一般電商更複雜的倉儲管理及訂單管理機制，並打通庫存管理系統與各外送平臺系統之間的資訊流，以確保不會因為店內庫存剛賣完而必須拒絕外送單。</p> <p><span style="font-size:28px;"><strong>全通路系統及數據管理是發展OMO模式第一步</strong></span></p> <p>早在疫情前就開始提倡OMO模式的91APP從服務臺灣零售商的經驗提出觀察，企業導入OMO模式最常遭遇的挑戰，包含系統以及服務流程兩個面向。</p> <p>系統面來說，具規模的零售企業投入OMO轉型，首先要將全通路系統整合的資訊流都整合起來。這比純線上或純線下通路的系統整合更加複雜。從基礎的零售資訊系統如POS、ERP，會員經營系統如CRM、CDP，到電商營運及數位行銷相關系統，例如廣告、金物流、自動化行銷等，可以多達20至30種系統，且各為不同服務商所提供，整合是一大難題。過程中，還可能發現既有系統並不支援多通路營運模式，而得歷經一番系統升級或汰換。</p> <p>一個常見做法是打造企業數據中臺。以萬達寵物為例，他們打造了自家數據中臺，作為數據同步和集散中心。任何會動用到消費者數據及交易數據的系統，都只會和中臺串接，才能再和其他系統溝通。這樣的做法，不僅能簡化大量系統整合的問題，企業汰換或新增系統時，也能降低對其他系統的影響。</p> <p>OMO運作要能成功，不只要克服系統面挑戰，還必須重整線上線下服務流程或消費者體驗規畫及制度，才能讓全通路體驗流暢。否則，對外可能發生消費者誤解，對內可能因為不同互搶業績而發生衝突。因此91APP建議，企業應搭配總部OMO目標策略來調整制度，例如鼓勵門市人員引導客人下載行動應用成為會員，讓線上線下員工都能成為推動OMO的助力。</p> <div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 專家觀點：IDC臺灣企業應用資深研究經理蔡宜秀 </span></strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數據不足是優化全通路消費者體驗最大痛點</strong></span></span></p> </div> <p><span style="color:#696969;"><strong>IDC臺灣企業應用資深研究經理蔡宜秀引用報告指出，發展OMO經營模式，消費者相關數據是所有改革的關鍵，更是基礎。</strong></span></p> <p><span style="color:#696969;"><strong>市場研究機構IDC調查顯示，品牌發展以消費者為中心的全通路體驗時，前3大挑戰是以蒐集消費者體驗相關的數據、難以透過科技對消費者提供貼心的服務，以及難以蒐集使用者對品牌認知相關的數據。要做到大規模、全通路消費者體驗優化，就必須透過科技來提供消費者個人化體驗。這樣的智能自動化系統，需要大量消費者數據，偏偏這類數據的蒐集及整理並非易事。</strong></span></p> <p><span style="color:#696969;"><strong>這也是為什麼，企業優先投資的消費者體驗相關科技，全和數據有關。同一份調查顯示，企業重點投資的前5大項目是客戶資料平臺（CDP）、AI業務流程自動化／優化工具、AI即時推薦及分眾行銷系統、消費者數據隱私和同意權管理工具，以及消費者旅途編排和分析工具。</strong></span></p> <p><span style="color:#696969;"><strong>這些項目，分別代表了全通路體驗設計中不同階段。從CDP數據中，企業可以設計及分析消費者在不同通路及接觸點間的旅途，也能用AI進行自動化貼標、推薦，以及自動化行銷。隨著企業蒐集數據的種類更豐富、用途更廣泛，為了顧及消費者隱私，必須用專門的系統來管理消費者數據隱私和同意權，以規範數據蒐集和利用範疇，例如不能蒐集Cookie，或不能分享給第三方等。</strong></span></p> <p><span style="color:#696969;"><strong>這些投資項目中，CDP是企業最有意願投資的產品，也是所有用消費者數據來驅動OMO經營的起點。IDC定義CDP3大功能分別是整合數據及服務、分析顧客，以及活化顧客。基本用途是匯入不同通路的數據後分類顧客，進行產品關聯性、消費者產品推薦等分析，再串聯到不同服務來行銷、編排顧客旅程或策畫消費者體驗，進而活化顧客。</strong></span></p> <p><span style="color:#696969;"><strong>除了這些基本功能，CDP作為消費者數據的基礎建設，還能延伸到客服、促銷、忠誠度經營、即時體驗同步、行銷活動執行及追蹤、身分識別、廣告投放等應用。隨著OMO經營及消費者體驗成為顯學，企業也紛紛投資或自行架設CDP。根據IDC 2022年年中統計，2021年全球CDP市場規模為22億美元，年成長率高達62.3%，且預言未來5年CDP市場規模將以20%以上的年複合成長率擴張。其中，亞太及日本地區雖然僅占CDP市場19%，年複合成長率卻高達25%，高速追趕建置CDP的全球潮流。</strong></span></p> </div></div></div>
2023/1/6 15:02作者郭又華https://www.ithome.com.tw/news/155041
展望2023
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1111-feng_mian_-p1-open-960x420_kao_bei_.jpg?itok=ssIuhRzX" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後疫情常態、烏克蘭戰爭爆發、地緣政治發酵，今年是臺灣真正邁入新常態的第一個新年，技術浪潮依舊不停進化、深化，從生成式AI、多雲混合雲、平臺工程、碳盤查、永續IT、資料治理、新數位ID、OMO到消費大數據，這些都是CIO必看的重要趨勢</p> </div></div></div>
2023/1/6 15:07未署名https://www.ithome.com.tw/article/155042
Nvidia雲端串流遊戲服務GeForce Now登上車上電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周在CES 2023展前記者會上，Nvidia展示其雲端串流遊戲服務GeForce Now將整合到汽車上。</p> <p><a href="https://blogs.nvidia.com/blog/2023/01/03/geforce-now-streams-car/" target="_blank">Nvidia宣布</a>，該公司和現代汽車、中國比亞迪汽車及瑞典電動車廠Polestar合作，將可讓特定車款車主或乘客在車載資訊系統的螢幕，透過GeForce Now打電競遊戲。</p> <p><a href="https://www.nvidia.com/zh-tw/geforce-now/" target="_blank">GeForce Now</a>為Nvidia的串流遊戲服務，可讓玩家將遊戲串流到桌機、平板或智慧型手機上玩。目前GeForce Now平臺上提供1,000多款遊戲。</p> <p class="rtecenter"><img alt="" src="https://blogs.nvidia.com/wp-content/uploads/2022/12/BYD_GFN_1280_680-842x447.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>這是Nvidia遊戲服務首度打入汽車。Nivida並未公布三家車廠導入該服務的車款及時程，不過在此之前，現代汽車集團旗下的Hyundai、Kia及Genesis車款，比亞迪及Polestar都已將Nvidia Drive車上運算平臺整合到車上，提供影像或雷達、光達感測器等資料處理。</p> <p>去年12月，特斯拉率先宣布升級車機軟體，讓Model X及S車款也能執行Steam的數千款遊戲。</p> <p><a href="https://nvidianews.nvidia.com/news/nvidia-brings-rtx-4080-to-geforce-now" target="_blank">Nvidia昨日同時宣布</a>GeForce Now頂級收費層級Ultimate提供電競及創作者專用GPU RTX 4080。這款高速GPU支援16GB G6x記憶體，提供光線追蹤及人工智慧繪圖技術，可提供高畫質而流暢的遊戲體驗。</p> <p class="rtecenter"><img alt="" src="https://s3.amazonaws.com/cms.ipressroom.com/219/files/20230/63b33243b3aed33c5c5064d5_GeForce-NOW-Ultimate-membership/GeForce-NOW-Ultimate-membership_mid.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nvidia</span></p> </div></div></div>
2023/1/6 12:41作者林妍溱https://www.ithome.com.tw/news/155027
LG展示具隱形觸控板的Gram Style筆電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在CES 2023大會展前記者會上，LG展示多項產品，<a href="https://www.lgnewsroom.com/2023/01/2023-lg-gram-lineup-offers-more-stylish-yet-powerful-user-experience/" target="_blank">包括一款使用隱藏式觸控板的筆電gram Style</a>。</p> <p>LG gram Style屬於輕薄筆電機種，本次提供14及16吋新品，都具備16:10 OLED Anti-Glare Low Reflection低反光螢幕。<a href="https://www.youtube.com/watch?v=6d8mDWMs7iY" target="_blank">它最大特色是使用了具LED背光的隱藏式振動回饋觸控板</a>。不使用時看不見，直到使用者手碰觸才會以LED燈顯示觸控板線條，這使得這款筆電外觀更為簡潔美型。</p> <p>在其他規格上，gram Style搭載英特爾最新13代Raptor Lake P-Core CPU及第4代NVMe SSD記憶體。和LG今年其他Gram系列一樣，Style並支援Thunderbolt 4及HDMI傳輸，以及杜比音響效果。</p> <p>LG並展示了新推出的gram Ultraslim，是LG今年最輕薄的產品，重僅998公克，上蓋闔起也僅10.99公釐，大約如智慧型手機那麼薄，甚至比以薄型設計著稱的<a href="https://www.samsung.com/us/computing/galaxy-book2/buy/?link=galaxy-book2-360" target="_blank">三星Galaxy Book 2 Pro</a>及13.6吋MacBook Air都還薄一點。和Style一樣，Ultraslim搭載15.6吋OLED Anti-Glare Low Reflection低反光螢幕，但使用Intel 13代Core處理器。</p> </div></div></div>
2023/1/6 12:49作者林妍溱https://www.ithome.com.tw/news/155029
Slack被駭客竊走程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/en-au/blog/news/slack-security-update" target="_blank">協同平臺Slack昨（5）日公告遭駭</a>，使儲存在公司內、外的部分程式碼被竊取。但強調用戶資料未受影響。</p> <p>Slack在去年12月29日獲報其GitHub帳號有可疑活動。初步調查顯示，原因並非Slack有漏洞，而是一小部分Slack員工令牌被竊致駭客得以存取其GitHub程式碼儲存庫。他們也發現駭客在12月27日下載了數個該公司自有的程式碼儲存庫。</p> <p>在發現被駭後Slack已立即撤銷了令牌，並展開調查。遭到存取的程式碼儲存庫有一部分程式碼、文件、筆記、網頁及變更記錄。</p> <p>Slack說，根據調查顯示，截至目前駭客並未存取Slack營運環境，也強調被下載的儲存庫不包含用戶資料、存取客戶資料庫的憑證或是Slack基準程式碼（codebase）。這次事件對該公司服務也未造成影響。為防萬一，他們已將相關金鑰做了輪換以策安全。Slack並表示，這次事件不影響用戶，因此用戶不需採取什麼因應動作。</p> <p>至於存取系統的是惡意程式或是駭客，以及被竊的程式碼和母公司Salesforce是否有關，Slack則未說明。</p> <p>這是知名雲端服務被駭的最新案例。LastPass也在8月被駭被盜走程式碼及員工憑證，<a href="https://www.ithome.com.tw/news/154862" target="_blank">導致駭客於12月竊取</a>了包含用戶密碼的加密儲存庫檔案在內的公司資料。</p> </div></div></div>
2023/1/6 13:12作者林妍溱https://www.ithome.com.tw/news/155030
【2023年CIO必看10大趨勢：趨勢1】生成式AI應用大爆發，從企業商用走入更多個人端工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI在2022年大爆發，一些科技大廠開始在自家服務嵌入生成式AI來優化體驗，也有龍頭業者直接打包成產品來供企業使用。生成式AI的應用領域，也從過去的特定用途，走向更廣、更通用的領域。</p> <p><span style="font-size:28px;"><strong>生成式AI大爆發，看見更多可能性</strong></span></p> <p>生成式AI並非這1、2年才出現，而是發展已久的技術。早期的代表架構是生成對抗網路GAN，由一套生成器和鑑別器組成，透過互相競爭來提高產出品質。它最早在2014年出現，代表案例有Nvidia用來生成自駕車訓練資料（如街景環境），他們也打造GauGAN來生成藝術畫作。但GAN有著難以控制生成品質的劣勢。</p> <p>2017年，另一項架構Transformer橫空出世，它由Google設計，雙向預測能力加上注意力機制，大幅拉高文字處理能力，成為自然語言處理分水嶺。許多著名應用都以它為基礎，比如專精文字理解的Google BERT、善於生成文字內容的OpenAI GPT-2和GPT-3，以及可寫程式、可根據文字生成圖像、可創作各式文字內容的ChatGPT。不過，Transformer的出現也揭開大型語言模型時代，模型參數動輒上百萬、上千億，開發者需要大量資源才能訓練。</p> <p>另一種代表性架構是去年興起的擴散模型（Diffusion model），特別擅長文字生成圖像，甚至連音檔、影片、3D模型、蛋白質結構等都能生成。OpenAI打造的大型文字生成圖像模型DALL-E、DALL-E 2、GLIDE，以及Google的Imagen都是擴散模型代表案例，而Midjourney、Stable Diffusion這類畫作生成軟體，也都以擴散模型為基礎。這些架構的興起和成熟，不只代表AI生成能力更上層樓，大眾也看見更多可能性。</p> <p>這些讓人驚豔的可能性，也開始在企業可用領域現蹤。一些科技龍頭開始利用生成式AI來優化自家服務，比如微軟和GitHub聯手推出的程式碼撰寫工具GitHub Copilot，能根據使用者撰寫程式碼的內容，來推薦相應的程式碼，提高工作效率。又或是Nvidia在自家醫療AI框架Clara中，上架一套生成式模型MegaMolBART，可讓使用者用來產生前所未見的分子，進行新藥探索。另一個例子是Salesforce在上個月利用文字生成技術，打造一套摘要工具AI Summarist，能替使用者在企業通訊軟體Slack中，自動摘要重要訊息。</p> <p>甚至，一些雲端大廠如微軟、AWS、Nvidia也推出套件和開發框架，來支援生成式AI模型開發和訓練。這些生成式AI優化的服務和工具，讓使用者以低成本就能享受高價值應用。</p> <p><span style="font-size:28px;"><strong>生成式AI商品化更進一步，開始出現個人端工具</strong></span></p> <p>還有一種做法是，科技業者直接將生成式AI打包成產品，來供企業或個人使用者使用。比如，微軟採用OpenAI的DALL-E 2模型，在上個月推出文字生成圖像AI軟體Microsoft Designer，使用者輸入簡短文字，系統就能產出相對應圖文內容，並提供幾種可編輯的圖文排版，來供選用。該服務目前為免費預覽版，未來將納入微軟訂閱服務Microsoft 365的應用程式中。</p> <p>另一個例子是美國行銷文案新創Jasper AI，利用生成式AI模型，來提供部落格文章、行銷文案和社群貼文生成的服務。Japer AI近日也新添文字生成圖片功能，使用者輸入形容詞就能產出圖片。</p> <p>而Line這2年也不斷宣傳自家企業級服務HyperCLOVA，以Transformer為基礎，可讓企業用來生成行銷文案，甚至對想要打造NLP的企業來說，還能用HyperCLOVA來生成文字訓練資料。</p> <p>除此之外，坊間也出現不少開源的生成式AI工具，如簡報生成、論文摘要、文案故事生成等，來供一般大眾使用。</p> <p>這些例子，意味著生成式AI的技術落地可行性和普及性，越來越多非專家使用者也能使用。</p> <p><span style="font-size:28px;"><strong>下一步：生成式AI的合規性</strong></span></p> <p>生成式AI遍地開花的同時，也有不少問題要解決。比如，GitHub Copilot去年就遭集體訴訟，陷入程式碼使用的版權爭議，此外也有藝術創作平臺，反對圖像生成AI使用自家平臺作品。</p> <p>生成式AI商用之路充滿挑戰，但Adobe有套做法值得借鏡。Adobe旗下素材圖庫Adobe Stock日前宣布，允許使用者在平臺販售AI生成的藝術作品，但前提是，使用者必須標記AI生成內容並取得相關授權。甚至，Adobe還承諾，若出現知識產權糾紛，Adobe將給予賠償。這個賠償做法，替企業採用生成式AI面臨的可能困境，提供一種解方。</p> </div></div></div>
2023/1/6 13:30作者王若樸https://www.ithome.com.tw/news/155031
【2023年CIO必看10大趨勢：趨勢2】醫療與金融新一波上雲浪潮來了，本地多雲混合雲成新主流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對臺灣來說，2022年是雲端重要發展的一年，不只有第二家跨國公雲業者落地臺灣，代表臺灣雲端市場邁向新階段，從單雲帶頭的局面，進到多雲競爭的態勢，從產業面來看，金融業和醫療業這兩大高度監管的行業，在2022年上雲都有重大進展，特別是金融業，根據iThome 2022年CIO大調查，不只雲端投資規模破千萬元創新高，更是所有產業投資金額最高，還勝過電商為主的服務業。</p> <p><span style="font-size:28px;"><strong>臺灣指標性大型金融企業帶頭，積極擁抱雲端</strong></span></p> <p>臺灣金融業開放上雲上路3年多，金融企業上雲現今仍面臨不少挑戰，但近年來，以大型金融企業為首，開始加強上雲力道，從一開始試用進到大規模採用階段。例如，國泰和富邦2021年都開始積極擁抱雲端，甚至國泰全集團百套系統，未來3到5年內都將上雲。除了大型金融業帶頭上雲，例如元大銀行未來將以雲端架構打造新一代法金徵審系統。不只大型金融業者，就連中小型業者都要上雲。</p> <p>過去1年多，一方面有金融大型龍頭發揮關鍵帶頭作用，帶動更多臺灣金融業者上雲，而原本提供雲端服務的跨國公雲業者，為配合本地金融用戶上雲需求，也符合了更多臺灣法規的規範。GCP和微軟Azure分別在2021年和2022年都依據金管會法規完成雲端服務的虛擬稽核。有了更完善的查核機制，金融企業將能更放心專注於上雲，也有機會帶動新一波上雲浪潮。</p> <p><span style="font-size:28px;"><strong>政府電子病歷實施17年大變革，將帶動醫療業2023年上雲起飛</strong></span></p> <p>上雲腳步較慢的醫療業，在2022年上雲進展出現重大突破。不像政府早早放寬金融業導入雲端的規範，但臺灣醫療業礙於法規限制仍遲遲無法上雲，直到2022年這一年才開始轉變。</p> <p>衛福部在2022年7月修法完成對於電子病歷法規一大鬆綁，允許醫療機構可以使用雲端服務，來處理電子病歷系統的資料運用，包括資料蒐集、處理與利用及資料庫的使用。這一步法規鬆綁，不只是電子病歷實施17年來最大變革，更是臺灣醫療法規對上雲鬆綁一大步。</p> <p>開放電子病歷系統可以委託使用雲端服務後，對於大型醫院來說，不只可以善用雲端的擴充彈性和可用性，加速醫院IT現代化轉型，對中小型醫院來說，也能因此減少IT維運人力的負擔，甚至有機會催生更多智慧醫療應用。待主管機關於2023年公布合格的公雲廠商名單後，醫院就能開始嘗試。</p> <p>即使政府開放金融或醫療業可以使用雲端服務，對於上雲仍須落實多項要求，特別是，目前不論是金融或醫療業者都要求使用雲端服務處理的用戶資料以及資料儲存地點，皆須設置於境內。</p> <p>但是，臺灣在大型公雲基礎設施建置一直不足，過去10年來，只有Google在臺有設立雲端資料中心，並非三大公雲巨頭都在臺落地，因此，企業想要使用其他兩大公雲服務，就得慎重評估資料出境的課題。</p> <p>但在2022年下旬，AWS在臺啟用第一朵Local Zone本地雲後，臺灣終於有了第二家跨國大型公雲業者落地，雖然規模不如Google在臺設置的區域級雲端機房，但仍舊是由AWS管理和維運的公雲，能夠就近提供關鍵雲端服務。AWS這朵本地公雲啟用後，AWS透露，目前已經有高度監管的行業試用中。</p> <p>第二朵國際級公雲落地臺灣，也象徵臺灣雲端市場邁向新階段，企業不再只有一朵跨國公雲可以用，也將加速臺灣企業朝向多雲混合雲架構的發展。在多雲混合雲架構下，企業未來可以根據上雲應用特性或成本考量等因素，來考慮哪些應用該上公雲、決定放哪家公雲，或者放私雲較合適。</p> <p><span style="font-size:28px;"><strong>多雲混合雲架構將成企業新主流</strong></span></p> <p>從iThome最新調查可以看到，將近五分之一的企業2022年要擁抱多雲混合雲架構，甚至早在臺灣第2朵公雲落地前，不少大型企業就已經採用多雲混合雲架構，來展開應用搬遷上雲計畫。舉例來說，製造業像是有鴻海，金融業則有國泰、富邦，醫療業有北醫大體系等。</p> <p>臺灣接下來還有第三朵國際級公雲將落地，微軟Azure目前正在臺灣建置雲端資料中心，未來啟用後，加上原先GCP、AWS二朵公雲，有機會帶動企業加速轉型上雲。三大公雲全部到齊後，意味著，臺灣將正式進到多雲混合雲三國時代。</p> </div></div></div>
2023/1/6 13:35作者余至浩https://www.ithome.com.tw/news/155032
【2023年CIO必看10大趨勢：趨勢3】數位轉型帶動維運現代化需求，平臺工程開始崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年開始，臺灣吹起了一股網站可靠性工程師SRE（Site Reliability Engineering）人才需求潮，從網路科技公司，到金融、零售流通，高科技製造業，後來甚至連網路設備商、儲存產品商、房仲、保險、物流、媒體、百貨業者、線上電商物流業者，都想要招募。</p> <p>但是，這些企業的SRE，不全是為了服務終端顧客，甚至有很大比例是為了服務企業內部的顧客，也就是為了企業員工或開發團隊。</p> <p>這群非典型SRE的主要任務，要將內部團隊需要的常用功能、共用系統、通用模組等都服務化（或者微服務化），變成一套平臺，改用產品角度來管理和維運。去年，國外出現了一個專有名詞，來形容這種非典型SRE的做法，就稱為Platform Engineering（平臺工程）。</p> <p>例如台積電在2021年開始大舉招募SRE能力的人才，後來，更發展出服務內部開發的專責平臺團隊，像是在數位商務部門下新設立了一個平臺團隊，負責基礎服務和設施，提供數位商務需要的共用服務，例如資安、商務應用平臺、資料平臺解決方案、共用服務等中臺服務，讓雲原生架構打造的基礎架構，就算面臨頻繁、控制系統的變更，也能提供強健又便利的運作環境，來支援開發團隊所需。</p> <p>雖然台積電沒有明講，但這正是一種非典型SRE的做法，也就是Platform Engineering。</p> <p>曾任Google企業網路技術長，後來也曾進入摩根大通打造次世代雲端數位銀行服務的F5執行副總裁兼技術長Geng Lin指出，數位服務的需求可以分為兩大類，一類是與商業邏輯相關的需求，稱為功能性需求（Functional Requirement），而另一類與業務邏輯無關的需求，例如可觀察性、資安、流量、網路、擴充性、分散式優化等則稱為非功能性需求。</p> <p>「在現代的分散式應用或數位服務中，這些非功能性需求是提高用戶體驗必須解決的課題。」Geng Lin說，現代大規模網路服務或數位服務的程式碼庫中，非功能性需求的程式碼，已經遠遠超過了功能性需求。</p> <p>但是，對企業來說，Geng Lin強調，只有功能性需求的服務，才能創造差異化，這是商業創新的目的。「若沒有辦法將非功能性需求變成可重複使用的平臺能力，企業的AP開發團隊，可能高達70%的時間都用於開發與AP功能無關的事。」Geng Lin認為。</p> <p>平臺工程團隊正是可以來負責這些與商業創新無關，但又是企業必要的非功能性需求。這正是國外越來越多企業設立平臺工程團隊，或將現有IT維運團隊，轉型成平臺工程團隊的緣故。</p> <p>平臺工程工程師和SRE工程師，同樣都要運用雲端原生技術，都是為了維運雲原生技術所打造的服務，或是管理日益龐大的企業內部微服務。但是這兩者卻有本質上的運作思維差異，這正是國外開始用新名詞來形容的緣故，方便來區分兩者各自的專業領域不同。</p> <p><span style="font-size:28px;"><strong>平臺工程思維與傳統IT服務思維的關鍵差異</strong></span></p> <p>曾是Google CTO辦公室技術總監的知名雲端戰略顧問Gregor Hohpe也指出，從平臺工程的思維，來打造企業內部應用，與用傳統IT服務的思維相比，兩者有很大的不同。</p> <p>Gregor Hohpe去年在一場平臺工程大會演講中，用一張表來比較平臺思維和傳統IT服務思維的差異。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-1819-%E5%B0%81%E9%9D%A2p2p3-%E8%B1%86%E5%AD%90-%E5%B9%B3%E8%87%BA-600.png" style="width: 521px;" /></p> <p>雖然這兩者都可以運用雲原生技術來打造企業內部使用的後端服務，但是，平臺工程的做法下，規模化成長性高，容易擴充而降低邊際成本，與內部顧客（開發團隊）的互動介面採取自助服務式設計，而不是像傳統IT服務多以表單申請，或是工單派工形式（Ticket）來提出需求，因此，用戶上手門檻低而能降低採用阻力。</p> <p>自助式服務的設計，一方面可以用來加快開發團隊交付應用的速度，另一方面，甚至有些平臺工程團隊的目標是，連非技術專業的一般員工也能用。</p> <p>另外，平臺工程思維下，比較容易建立一套擴充機制或與外部介接的做法，讓後端服務可以整合到第三方應用，或嵌入外部提供的API，因此可以建立一個開放或半開放的應用體系。導入策略上，平臺思維更容易採取激勵、自我學習的自主導入推廣方式，而不用像傳統IT服務，多半由上而下的要求來強制採用。</p> <p>SRE雖然是一套從顧客導向思維來發展的網站維運方法論，但是外部顧客與內部顧客（員工）的性質，有很大的不同，尤其兩者在規模和需求相差很大，不少SRE方法論的做法，不見得全盤適用到內部員工，必須轉換思考角度才行。</p> <p>甚至，不只是內部的技術專業人員，因為自助式服務是內部服務平臺化後的重要呈現形式，平臺工程打造的新服務入口結合開放式架構設計，可以整合NoCode開發工具、RPA工具、互動式BI或分析探索工具等，很適合延伸到非技術專業的一般員工，來分攤一部分的開方工作。換句話說，一般員工也因此而成為共同承擔開發責任的一分子。</p> <p>國際分析機構Gartner分析副總裁Paul Delory指出，現代軟體架構越來越複雜，才催生了平臺工程的崛起，甚至為了讓非專家的一般員工，降低運用內部後端服務的門檻，超前思考的企業會開始建置這類維運型的平臺。平臺工程做法，更可以將IT應用開發責任分散到一般員工，讓業務團隊也能分擔一些簡單但又高度客製化的小需求，讓開發團隊可以有更多人力專注於核心業務。</p> <p>臺灣這兩年積極招募SRE人才的企業，大半都不是直接提供2C端服務的產業，而是需要SRE人才的雲原生技術能力，但卻是要來用來服務內部DevOps團隊。這意味著，國外新興的平臺工程浪潮，早已吹進臺灣，IT現代化帶來的雲原生技術採用潮，會更帶動企業內部IT，開發團隊擁抱DevOps，而維運團隊也要開始擁抱現代化，平臺工程正是邁向維運現代化的關鍵思維。</p> </div></div></div>
2023/1/6 13:49作者王宏仁https://www.ithome.com.tw/news/155033
【2023年CIO必看10大趨勢：趨勢4】從綠色IT邁向永續IT，從節能減碳到環境友善的IT思維
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2022年，ESG永續，幾乎是IT圈整年最關注的熱門議題，從2022年iThome CIO大調查中，也反映出這股新的趨勢，許多企業紛紛投入永續發展的行動，讓ESG永續這個IT關鍵字，一舉躍升為企業CIO最重要年度目標之一。</p> <p>但在永續的浪潮下，許多企業為了達成永續目標，開始重新回頭檢視，因為內部IT所帶來的碳排放影響，才發現，從企業IT基礎設施，到機房伺服器的使用和更換，乃至於機器生產過程處處都有大量碳足跡的身影，因而讓永續 IT（Sustainable IT）這個議題，再度浮上檯面，而開始受到各界矚目。</p> <p>永續IT並不是新技術，而是以提供環境為中心的一套IT做事方法，以此來設計、使用和處理電腦硬體、軟體應用及業務流程過程。</p> <p>從名稱來看，永續與IT兩個字結合，故名思義，就是採取對環境友善方式來運用IT，但它與以往綠色IT（Green IT）強調利用節能手段節省IT自身資源的概念略有不同，而更加重視資源循環利用，因此涵蓋層面更廣，可以涵蓋企業IT各面向，從IT硬體採購、水資源節約，到以循環經濟建構技術產品完整生命周期等都包含其中。</p> <p><span style="font-size:28px;"><strong>永續 IT從被輕忽到開始受到重視，大型科技公司最先引進</strong></span></p> <p>以往，永續IT對於企業來說，並不是必須優先推動的項目，甚至許多企業根本沒有意識，或是輕忽了永續IT重要性，但是近幾年，企業為了轉型加速IT現代化改造，支援業務創新或營運成長，也有可能間接導致對環境造成污染危害，或是少考慮到那些因為發展新AI應用，必須使用算力更強的硬體、或是大容量儲存設備存取大數據間接產生的碳排量，遠比想像中更多，促使企業開始重新體認到永續IT的重要性甚至是必要性。</p> <p>這樣的做法，帶來不少好處，除了可以幫助企業更全面掌握各種IT項目的碳足跡，設定碳成本和減碳目標，加快實現淨零，打造出的更友善的環境也能帶來成本減少、企業ESG和品牌形象和客戶滿意度提升，甚至能幫企業減稅。</p> <p>最早開始引進永續IT做法，以大型科技公司為首， Google、微軟、 Apple 、Amazon等公司很早開始藉由推動永續IT，幫助他們加快永續發展和打造更友善的綠色環境，不僅如此，HP、 Dell、 Lenovo、三星等，近年來也都積極擁抱，甚至進一步擬定永續IT計畫，來加速企業朝向永續轉型。</p> <p><span style="font-size:28px;"><strong>常見4種企業永續IT實踐做法</strong></span></p> <p>對於企業該如何實踐永續IT，雖然目前實務上有許多不同做法，但法國研究機構Capgemini Research Institute在最新一份Sustainable IT研究調查中，根據雲端運算、應用與數據、網路及通訊系統、使用者硬體及裝置這4種企業常見IT場景，歸納出可供企業參考的永續IT實踐做法。</p> <p>企業資料中心有很多伺服器設備，為了實踐永續IT，企業可以從IT採購源頭管理做起，每次採購優先採用低碳的伺服器硬體，同時也能加強伺服器產品對於永續支援能力，不只生命周期更長，還要有節能認證，並能設定機器自動關機。對機房老舊伺服器面臨汰換時，必須有一套機制能夠妥善處理、回收，甚至將這些舊設備翻新再利用。</p> <p>不僅如此，也能教育裝置使用者，幫助他們持續建立對這些裝置利用和永續的觀念，未來能夠採取不危害環境的方式使用裝置。</p> <p>企業IT應用是另一個同樣可能對環境造成影響，但卻鮮少被提及的例子，也是永續IT關注的重要一環。</p> <p>在IT應用開發過程中，企業可以採取生態化設計（Eco-Design）方式來進行應用開發，也就是一開始就將能源耗用與環境影響考慮進來，提出有效的應用設計方案。對於正在開發中的應用也要評估可能產生溫室氣體排放，甚至從開發、測試到部署正式環境，就必須有一套機制或架構，可以協助開發團隊檢視每項應用清單，以確定哪些應用程式有無符合永續設計要求而必須重構，甚至也要能很快辨識出哪些是屬於能源密集型（energy intensive）應用系統，並將其解耦。還能加入更多優化手段，提高開發效率，或是透過各種優化減少AI模型開發所造成環境的影響。</p> <p>即使將應用搬上公雲來因應ESG永續發展，但上雲之前，企業對於使用雲端服務，也要有更多了解，像是得確保它是架構於綠色雲端運算系統上，或是屬於低碳的公雲，才能夠將應用放上雲。</p> <p>另外在網路與通訊方面，企業可以改將許多裝置部署到靠近資料源所在區域網路環境內運算，藉由增加邊緣運算裝置的部署，避免因為資料往返雲端付出更高碳排成本。若是資料一定要傳雲，也要能採取必要措施，減少傳輸所用的時間。</p> <p>這些做法，都能讓企業加速往永續目標邁進。甚至為了徹底落實永續目標，企業不只要有永續發展策略，還得要有永續IT策略，才能在前期規畫時就將環境為中心的永續IT思維考慮進來，甚至不只要有零碳思維，還要有包含廢棄物、水資源在內等對環境友善的IT思維，以此來規畫和建置IT。</p> <p>目前企業在永續IT實踐遇到考驗也不少，像是缺乏一致標準，來衡量不同供應商生產設備對環境造成的影響，因此難以將不同設備產生的IT碳足跡量化，提供給企業來統整；在執行面上，關於永續IT實踐也沒有足夠的相關專業知識，可參考實際案例也不夠多，還有因為改用永續產品所帶來成本的挑戰。</p> <p>臺灣2022年完成碳盤查數據揭露法制化，企業接下來必須加緊腳步，展開內部碳盤查工作，來達到淨零排放。永續IT將會是未來企業必須關注的新課題。</p> </div></div></div>
2023/1/6 13:58作者余至浩https://www.ithome.com.tw/news/155034
【2023年CIO必看10大趨勢：趨勢5】碳排數據揭露從志願轉強制，供應鏈壓力加速範疇三盤查需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年3月初，金管會發布一份上市櫃公司永續發展路徑圖，訂出上市櫃公司溫室氣體盤查資訊揭露時程，要求全體上市櫃公司2027年必須完成溫室氣體盤查、2029年完成查證，以此來達到企業碳排放資訊揭露。這份永續發展路徑圖一公布，也代表臺灣邁出企業落實永續發展責任一大步。</p> <p><span style="font-size:28px;"><strong>2023年碳盤查新制上路，資本額百億元的上市櫃公司、鋼鐵、水泥業首當其衝</strong></span></p> <p>從2023年開始，臺灣也將進到ESG碳盤查啟動的元年，未來上市櫃公司依法負有碳盤查的責任，而且每年盤查的結果，不但要經過查證，還必須揭露於年報中，甚至不只上市櫃公司，對於金融業也有同樣要求，未來每年年報中都必須有相關揭露，意味著，企業必須開始動起來，將以往口號轉為實際行動，落實ESG減碳。</p> <p>碳盤查新制上路後，臺灣首波受到衝擊的企業，高科技製造業或電子製造業，像是台積、鴻海、聯電、廣達、友達、佳世達、和碩、緯創等等，這些大型企業都是資本額破百億元的上市櫃公司，屬於碳盤查首波實施對象，需要在2023年底前完成第一階段盤查。</p> <p>除了特定上市櫃公司，此階段也將鋼鐵、水泥業這類排碳大戶列入，預估約有一百多家業者受影響。</p> <p>從這份永續發展路徑圖的規劃中，臺灣2023年先從資本額100億元以上的上市櫃公司展開盤查工作，接下來，將擴大適用到50～100億元和50億元以下的上市櫃公司，分別須在2025年、2027年陸續完成盤查。金管會未來還要建立上市櫃公司ESG評鑑制度，來引導企業良性競爭，提高上市櫃公司整體永續發展水平。</p> <p><span style="font-size:28px;"><strong>上市櫃公司和金融機構自2024年起皆須在年報中強制揭露碳排在內的氣候資訊</strong></span></p> <p>企業完成每一階段碳盤查後，都必須在一年內完成碳盤查確信，確保提供的資訊為可信，而且不只單一家企業進行盤查，未來更要擴大到集團所有子公司，都必須在完成第一次盤查後的2年內，一併完成旗下子公司盤查的動作。</p> <p>這些上市櫃公司每年公布年報中，以後都必須加入包含溫室氣體在內的氣候資訊，尤其，對於溫室氣體盤查的資訊揭露，必須提供更詳細的資訊，包括溫室氣體總排放量、密集度、確信機構，以及確信情形說明等。</p> <p>另外，修法後的新規定，也要求年報中要提供氣候相關資訊，包括需敘明氣候相關風險與機會監督及治理、氣候風險與機會對企業業務、策略及財務影響，還有因應管理氣候相關風險轉型計畫等。其他如果有使用內部碳定價作為規劃工具，得額外提供相關價格制定。</p> <p>不僅如此，金管會預告，從2024年起，金融業年報有關氣候資訊揭露將比照上市櫃公司辦理。</p> <p>以前主管機關對於上市櫃公司碳盤查資訊揭露，並沒有特別要求，大多是由業者主動揭露，來落實治理及永續發展。但從2023年起，不只要求企業進行碳資訊盤查，未來更強制要求其必須在年報中揭露盤查及確信情形，而且揭露範圍，未來更從單一家企業，到旗下子公司碳排資訊都包含，數據蒐集與複雜度也因此大幅提高。</p> <p>從國際趨勢發展來看，配合美國最快2024年實施CCA碳關稅，歐盟CBAM也將上路，臺灣企業商品之後輸入美國、歐盟，必須依據產品包含範疇一（直接排放溫室氣體）或是再加上範疇二（間接排放能源）的碳排放量統計進行申報，以此繳交碳邊境稅。</p> <p>因此，企業現在必須加緊腳步，展開盤查工作，以掌握自家直接和間接碳排放的情形，才能跟上國際潮流的變化。</p> <p><span style="font-size:28px;"><strong>除了法規要求範疇一和二碳資訊揭露，面對供應鏈壓力，也加速範疇三盤查需求</strong></span></p> <p>但是，除了範疇一、範疇二的碳排數據蒐集及揭露，企業也開始重視範疇三的盤查。像是蘋果、Google、Dell、HP等品牌商過去1～2年開始紛紛要求其供應商揭露碳排放量，作為其範疇三的碳排計算，來設定減碳計畫，以達成ESG永續目標。</p> <p>這些品牌商生產的上下游企業，為了將自身碳排數據蒐集及揭露，提供給品牌商進一步做資訊彙整，除了需要強化數據蒐集及建構溫室氣體盤查能力，甚至必須有一套資料交換標準，才能夠向品牌商提供完整內部碳排資訊，來因應日後減碳所需，或更短交付周期，掌握供應鏈排碳數據變化。</p> <p>臺灣目前要求上市櫃公司揭露碳盤查資訊，僅限於範疇一、範疇二，並不包含範疇三，對於企業於年報中揭露的資訊，僅包含範疇一和二的資訊，並沒有要求範疇三，而是交由企業自行決定是要否揭露。</p> <p>但是，臺灣一些大型科技或製造公司早早已經開始為範疇三的碳盤查積極展開布局。以華碩為例，統計超過9成總體排放量是來自範疇三的供應鏈碳排放，成為未來推動減碳的關鍵。就連銀行的投資、授信對象的額度也將計入銀行的範疇三碳排，成為企業未來必須關注的新課題。</p> <p>2023年完成第一階段碳盤查計算後，企業一方面可以根據碳盤查的結果擬定減碳策略，接下來也能進到數據分析、碳減量的執行階段，持續透過數據蒐集、分析及監測，改善碳排放量，來達到減碳目標。</p> <p>從iThome 2022 CIO大調查中看到，臺灣企業目前因應ESG碳排減量主要IT做法，以無紙化、機房節能和雲端採用為大宗，只有少數企業建立系統化的碳盤查監測機制，或發展碳足跡儀表板，強化數據監控和管理。</p> <p>為了趕在2024年完成碳排查，以便開始在年報中揭露碳盤相關資訊，企業勢必得投入更多時間和IT資源，也將加速企業更進一步邁向淨零。</p> </div></div></div>
2023/1/6 14:16作者余至浩https://www.ithome.com.tw/news/155035
高通新功能讓用戶可傳雙向衛星訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iPhone 14讓用戶可以發送SOS衛星訊息，不過現在Android用戶也可望享受這功能。<a href="https://www.qualcomm.com/news/releases/2023/01/qualcomm-introduces-snapdragon-satellite--the-world-s-first-sate" target="_blank">晶片大廠高通（Qualcomm）昨（5）日在CES前夕發表</a>最新行動數據機及晶片，內建名為Snapdragon Satellite的功能，可讓搭載新晶片的Android手機直接發送不只是SOS求救訊息，也能雙向傳送一般訊息。</p> <p>Snapdragon Satellite是高通和衛星業者Iridium合作研發，可連接Iridium衛星星群，後者由66顆衛星組成，過去已用於傳統特製衛星電話的通訊連結，提供北極到南極的全球覆蓋範圍。Snapdragon Satellite使用Iridium的L-band頻譜提供上行及下行連線。</p> <p>Snapdragon Satellite將整合在高通下一代晶片Snapdragon 8 Gen 2及其X70行動數據機。未來使用這些平臺的Android智慧型手機將可以透過衛星，在偏遠陸地或近海的雙向傳送緊急求救、文字簡訊及其他娛樂訊息應用。</p> <p>不過一開始這項功能只提供緊急求救，高通和Garmin合作將Snapdragon Satellite支援整合到Garmin Response服務，預計2023年下半在特定地區，如北美及歐洲開通。<a href="https://www.engadget.com/qualcomm-snapdragon-satellite-messaging-android-211037007.html" target="_blank">《Engadget》報導</a>新服務會包含在Garmin隨身衛星裝置InReach Messenger中。</p> <p>高通表示，除了智慧型手機，Snapdragon Satellite也能用於筆電、平板、汽車及物聯網裝置。隨著衛星基礎架構及星群逐漸齊備，Snapdragon Satellite未來也計畫支援5G非地面網路（Non-Terrestrial Network，NTN），可直接連接近地低軌道（LEO）衛星。</p> <p><a href="https://corp.mediatek.com/news-events/press-releases/mediatek-powers-worlds-first-satellite-driven-5g-ntn-smartphone-connection" target="_blank">聯發科也在今年8月宣布</a>已在實驗室環境測試，以其晶片技術讓第一部具5G NTN支援的智慧型手機直接連上近地低軌衛星。</p> </div></div></div>
2023/1/6 12:28作者林妍溱https://www.ithome.com.tw/news/155026
微軟計畫以ChatGPT強化Bing搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>據外媒<a href="https://www.theinformation.com/articles/microsoft-and-openai-working-on-chatgpt-powered-bing-in-challenge-to-google">The Information報導</a>，微軟將會以對話語言模型<a href="https://www.ithome.com.tw/news/154513">ChatGPT</a>強化自家搜尋引擎Bing，以提供新的搜尋功能。報導提到，以ChatGPT為基礎的搜尋功能計畫在3月底推出，提供包含針對查詢的自然語言結果，而非僅是搜尋列表，同時，ChatGPT還可能被用於分析用戶正在研究的主題，提供進一步的搜尋建議。</p> <p>ChatGPT是OpenAI在去年12月所發表的對話語言模型，該模型以GPT-3.5作為基礎微調而成，能夠透過對話的方式和使用者互動，回答使用者的問題。ChatGPT有能力回答各種問題、編寫程式、寫詩甚至能夠編寫報告。GPT-3.5為GPT-3的升級版，而GPT-3是OpenAI在2020年所發表的語言模型，擁有1,750億個參數，用戶可以透過OpenAI API存取GPT-3模型服務。</p> <p>ChatGPT強大的能力，對於身為搜尋龍頭和致力於發展人工智慧技術的Google，造成一定程度的壓力，Google執行長Sundar Pichai甚至在ChatGPT發布後，參與多場Google人工智慧戰略會議，指示團隊解決ChatGPT所造成的搜尋引擎業務威脅。</p> <p>事實上，Google也有發展類似ChatGPT的模型，Google在開發者大會Google I/O 2021上，就已經發表<a href="https://www.ithome.com.tw/news/144498">對話語言模型LaMDA（Language Model for Dialogue Applications）</a>，該模型與BERT和GPT-3等語言模型，皆是以Transformer作為基礎架構開發。LaMDA接受特別的對話訓練，不只能夠回應使用者合理的句子，還能明確回應與對話上下文有關的內容，不只追求合理同時也更為具體。</p> <p>只不過比起OpenAI，Google有更大的包袱，因此在容易學壞的語言模型發布上更加謹慎，甚至<a href="https://twitter.com/sama/status/1601731295792414720">OpenAI執行長Sam Altman也在推特上發文提到</a>，ChatGPT有很大的局限，可以用於激發靈感創意，但是仰賴ChatGPT進行事實查詢並非好主意。Google在發表LaMDA一年之後，才願意釋出<a href="https://www.ithome.com.tw/news/152733">AI Test Kitchen應用程式</a>，讓用戶有限制地與LaMDA模型人工智慧機器人對話。</p> <p>微軟預計3月時，在Bing加入由ChatGPT提供的搜尋功能，這代表著使用OpenAI技術的微軟產品數量持續增加。微軟在2019年10月與OpenAI展開合作，投資OpenAI 10億美元，用於發展通用人工智慧，並且共同開發Azure AI超級運算技術，同時微軟也作為OpenAI API的獨家雲端供應商，在Azure上訓練與執行人工智慧模型。</p> <p>在2020年，微軟進一步購買GPT-3獨家授權，在自家產品和服務中整合GPT-3，在2021年，微軟就在Power Apps中嵌入GPT-3，使缺乏程式開發知識的人，也可以利用自然語言開發程式，使用者只要輸入自然語言語句，經微調的GPT-3模型便能將自然語言，轉換成為低程式碼語言Power Fx公式。</p> <p>另外，2022年的時候，微軟發布整合OpenAI DALL-E 2的圖像設計應用程式，能夠根據文字提示生成圖像，而微軟子公司GitHub所推出的程式編寫助理Copilot，也是運用OpenAI的GPT-3語言模型開發而成。</p> </div></div></div>
2023/1/5 21:32作者李建興https://www.ithome.com.tw/news/155008
多家汽車製造商系統存在API漏洞暴露車主個資，甚至可讓攻擊者遠端接管車輛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://samcurry.net/web-hackers-vs-the-auto-industry/">知名白帽駭客Sam Curry以及其安全研究團隊</a>，針對接近20家汽車製造商進行資安研究，發現各家廠商系統皆有大小不一的漏洞，不只暴露車主個人資料，甚至能夠讓攻擊者解鎖、啟動和追蹤車輛。目前這些漏洞都已經被解決。</p> <p>受影響的汽車廠牌包括起亞（Kia）、本田（Honda）、Infiniti、日產（Nissan）、Acura、賓士（Mercedes-Benz）、現代（Hyundai）、Genesis、BMW、勞斯萊斯（Rolls Royce）、法拉利（Ferrari）、福特（Ford）、保時捷（Porsche）、豐田（Toyota）、捷豹（Jaguar）、Land Rover，其中包括車載系統廠商Spireon與Reviver，還有串流媒體服務商SiriusXM。</p> <p>研究團隊特別說明了幾項比較嚴重的問題，其中包括存在SSO錯誤配置所衍生資安問題的BMW、Rolls Royce和Mercedes-Benz。透過利用錯誤配置的SSO，攻擊者將可對BMW、Rolls Royce發動帳戶接管攻擊，尤其研究團隊發現BMW員工和承包商的SSO入口，該入口網站發現的漏洞，可讓攻擊者入侵任何與BMW資產相連的帳戶。</p> <p>該SSO入口除了是經銷商的入口之外，還被用於存取內部工具和相關DevOps基礎設施，研究團隊證明攻擊者可以自己綁定經銷商帳戶，並且存取經銷商權限，包括查詢車輛識別號碼並檢索車輛銷售文件，執行針對BMW、Rolls Royce客戶帳戶和客戶車輛的大量功能。</p> <p>而Mercedes-Benz同樣也存在錯誤配置SSO的問題，研究人員透過該漏洞進到Mercedes-Benz GitHub實例，存取各種專案內部文件和程式碼，包括讓車主遠端連接車輛的Mercedes Me Connect應用程式。同時該漏洞還可讓攻擊者登入眾多具有敏感資料的應用程式，像是Spring Boot控制臺、AWS和Jenkins執行個體，以及各種員工內部使用的應用程式，攻擊者甚至能夠進入Mercedes-Benz內部Slack提問，以進一步獲得必要資訊。</p> <p>Kia也存在嚴重的安全漏洞，研究人員透過棄用的經銷商入口，便可以全面接管車輛，執行鎖定、解鎖、遠端啟動、遠端停止、定位，以及對車載攝影機擁有完全遠端存取權限。而Ferrari則是因為客戶關係管理系統SSO實作不佳，暴露後端API路由，攻擊者有機會擷取憑證，並且存取、修改和刪除所有客戶資訊，甚至能夠取得客戶關係管理系統的管理權限。</p> <p>研究人員發現的漏洞，甚至允許攻擊者即時追蹤車輛的GPS，Porsche的遠端資訊系統存在缺陷，讓攻擊者能夠檢索車輛位置並且發送命令，GPS追蹤解決方案Spireon則容易暴露客戶汽車位置，允許攻擊者存取遠端管理面板、解鎖汽車和啟動引擎等。數位車牌製造商Reviver允許攻擊者取得超級管理權限，存取車輛GPS位置以及所有客戶的車牌之外，甚至可以將車輛狀態變更為遭竊。</p> <p>Sam Curry提到，之所以會開始這項車輛資安計畫，是因為之前意外發現大學中的滑板車應用程式存在漏洞，能夠被用來遠端控制所有滑板車的喇叭和前燈，而他們意識到過去5年的汽車幾乎擁有相同的功能，只要能夠在車輛遠端控制系統的API找到漏洞，就能夠遠端觸發喇叭、閃光燈，甚至啟動和停止車輛。</p> </div></div></div>
2023/1/5 21:40作者李建興https://www.ithome.com.tw/news/155016
臉部辨識AI失準警察抓錯人，美國無辜黑人男子入獄一星期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技執法又失誤，根據外媒<a href="https://www.nola.com/news/crime_police/jpso-used-facial-recognition-to-arrest-a-man-it-was-wrong/article_0818361a-8886-11ed-8119-93b98ecccc8d.html">New Orleans Advocate報導</a>，路易西安納州警方所使用的臉部辨識系統，錯誤辨識黑人男子Randal Reid為竊賊，導致他無辜坐牢一星期。</p> <p>報導指出，當Randal Reid與母親開車行經喬治亞州的公路，前往參加感恩節慶祝活動時，當地警方將他攔下，並指控他參與一起發生在路易斯安那州的Chanel和Louis Vuitton皮包竊案。Randal Reid表示，他並沒有犯下竊盜，甚至不曾去過路易斯安那州，但被當作逃犯關進監獄中，直到12月1日才被釋放。</p> <p>縣警辦公室沒有對於Randal Reid被捕後釋放做出任何解釋，並且以正在調查為由，拒絕提供逮捕令與臉部辨識採購等相關資料請求，同時警方也無法說明如何確認Randal Reid為竊賊。Randal Reid律師Tommy Calogero認為，警方僅憑一張臉就逮捕Randal Reid。</p> <p>根據縣警的偷竊事件報告，竊賊偷走了價值7,500美元的皮包，其中一名嫌犯在使用偷來的信用卡於提款機領錢時，被拍到隨地吐痰的照片，該名嫌犯隨後又夥同其他兩名男子，偷走了Chanel錢包。Tommy Calogero提到，Randal Reid與嫌犯差了大概18公斤，而且Randal Reid臉上有痣，嫌犯的手臂明顯較鬆弛。</p> <p>事實上，這起案件並非美國警方第一次因為臉部辨識系統錯誤抓錯人，在2018年，底特律警方就因臉部辨識系統失準，錯誤逮捕26歲的黑人男子Michael Oliver；在2020年，美國紐約州與紐澤西州執法人員，也僅憑人臉辨識系統比對結果，草率逮捕一名有前科的非裔男子。</p> <p>這些因警方濫用臉部辨識系統，被錯誤逮捕的多為黑人，而早在2019年，美國國家標準暨技術研究院（NIST）就已經研究了市面上200種臉部辨識演算法，發現這些演算法對亞裔和非裔美國人臉孔，偽陽性誤判率是白種人的10到100倍，而非裔女性錯誤率又明顯更高。</p> <p>儘管如此，仍有將臉部辨識用於犯罪偵查的計畫正在進行，像是歐盟就基於Prüm條約，要讓警方能存取27個歐盟國嫌犯和罪犯臉部照片，透過臉部辨識進行犯罪偵查。</p> </div></div></div>
2023/1/5 21:51作者李建興https://www.ithome.com.tw/news/155024
【資安日報】2023年1月5日，近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著汽車導入連網的功能，汽車製造商的資安防護也變成研究人員關注的焦點。有研究人員一口氣揭露十多個知名車廠的API漏洞，這些漏洞不只讓攻擊者有機會遙控該廠牌車輛，甚至部分能存取該公司的內部機密資料，像是銷售資料，或是資訊系統的開發環境等。</p> <p>鎖定Linux電腦的攻擊行動日益猖獗，而當中不少是利用指令碼下達相關命令，但如今有攻擊者將其打包變成可執行檔（ELF），目的是避開對指令碼的資安檢測。</p> <p>去年1月推特修補的漏洞近期又傳出駭客公布竊得的用戶個資！但與過往最大的不同之處在於，駭客不再以數千美元來兜售手上的資料，這次以極低的價格（2美元）提供。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://asec.ahnlab.com/en/45182/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux惡意軟體被用於散布挖礦程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/shc-image-62.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/shc-image-62.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現以Shell指令碼編譯器（Shell Script Compiler，SHC）打造的Linux惡意軟體，駭客將其用於部署挖礦程式XMRig。研究人員看到攻擊者先是針對使用弱密碼的SSH伺服器進行暴力破解，得逞後就在受害的Linux伺服器安裝多種惡意軟體，包含SHC下載器、挖軟軟體，以及運用程式語言Perl寫成的IRC機器人。</p> <p>研究人員表示，駭客使用SHC的目的，就像之前有人針對Windows作業系統的環境使用bat2exe類似，都是將指令碼或批次檔轉換成可執行檔，藉此規避偵測。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/200-million-twitter-users-email-addresses-allegedly-leaked-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2億推特用戶電子郵件信箱資料遭駭客以2美元賤賣</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/200m-twitter-forum-post.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/200m-twitter-forum-post.jpg" style="width: 300px; float: right;" /></a>又有人聲稱透過推特於2022年1月修補的漏洞取得大量用戶資料！根據資安新聞網站Bleeping Computer的報導，有人在駭客論壇BreachedForums洩露2億筆推特用戶資料，論壇用戶只需支付8個論壇代幣（相當於2美元）就能下載這些內容。</p> <p>這批資料疑似將<a href="https://www.ithome.com.tw/news/154908#twitter">之前流出的4億筆資料</a>進行整理而成，清除重複項目後共有約221,608,279筆，但該新聞網站取得資料進行檢查後表示，還是發現有重複的內容。駭客以RAR壓縮檔打包上述資料，檔案大小約為59 GB，內容包含了使用者的姓名、電子郵件信箱、使用者ID、關注人數，以及帳號的建立日期。</p> <h3><a href="https://www.dataprotection.ie/en/news-media/data-protection-commission-announces-conclusion-two-inquiries-meta-ireland"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臉書、IG未經用戶同意收集個資，愛爾蘭重罰3.9億歐元</span></strong></a></h3> <p>針對臉書及Instagram（IG）處理用戶資料的作法，以及強迫用戶同意其蒐集個資的手段違反GDPR，使得2018年奧地利使用者集體控告臉書、比利時使用者集體控告IG，愛爾蘭資料保護委員會（DPC）調查後於2023年1月4日做出判決，對Meta開罰3.9億歐元。其中，臉書案罰2.1億歐元，IG案則罰1.8億歐元。Meta表示將尋求上訴，並認為本次判決與發送特定個人化廣告的法律規範有關，但不會妨礙他們繼續提供個人化廣告。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://samcurry.net/web-hackers-vs-the-auto-industry/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">近20個汽車廠牌的API漏洞恐曝露車主個資，甚至可冒用製造商員工身分、進入公司系統</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/bmw-image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bmw-image5.png" style="width: 300px; float: right;" /></a>資安研究人員Sam Curry揭露BMW、勞斯萊斯、賓士、法拉利、保時捷、捷豹、路虎、福特、起亞、本田、Infiniti、日產、Acura、現代、豐田等近20家汽車廠商，以及GPS車輛追蹤業者Spireon、數位車牌業者Reviver、數位廣播電臺SiriusXM的API漏洞，這些漏洞可能讓駭客執行惡意行為，例如解鎖、發動、跟蹤汽車，或是竊取車主的個資。上述業者獲報後皆修補相關漏洞。</p> <p>其中最嚴重的API漏洞出現在BMW、勞斯萊斯、賓士，涉及公司內部系統的單一簽入（SSO），使得研究人員能假冒BMW的員工存取經銷商的銷售資料，或是存取賓士的GitHub儲存庫與多種開發系統。</p> <h3><a href="https://www.securityweek.com/androids-first-security-updates-2023-patch-60-vulnerabilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補Android約60個漏洞</span></strong></a></h3> <p>1月3日，Google發布了Android的2023年首次安全更新，總共修補約60個漏洞。其中，2023-01-01系列的安全更新程式，針對框架、系統、Google Play的部分修補了19個漏洞；2023-01-05系列的安全更新程式，則是針對Linux核心與相關元件，以及聯發科、高通的元件，共修補了41個漏洞。</p> <p>Google表示，這些漏洞最嚴重的出現在框架元件，攻擊者一旦利用該漏洞，就有可能在未經許可的狀況下提升權限。此外，該公司同日亦針對Pixel手機發布資安通告，公告3個高風險漏洞，以及5個與高通元件相關的弱點。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/155003"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數位發展部設置資通安全研究院，首任院長由何全德擔任</span></strong></a></h3> <p>隸屬於行政院數位發展部的資通安全研究院（簡稱資安院）於1月4日召開董監事聯席會議，決議通過由前總統府第二局局長何全德擔任院長；副院長則由行政院國家資通安全會報技術服務中心主任吳啟文，以及陽明交通大學講座教授林盈達擔任。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://cybernews.com/news/japan-police-successful-decrypting-data-lockbit-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本警方成功解鎖勒索軟體LockBit加密的檔案，協助3家受害企業復原資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/high-severity-command-injection-flaws-found-fortinets-fortitester-fortiadc"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補應用程式交付控制器FortiADC任意程式碼執行漏洞</span></span></strong></a></p> <p><a href="https://www.manageengine.com/privileged-session-management/advisory/cve-2022-47523.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Zoho修補影響ManageEngine多個特權管理產品的嚴重漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rackspace-confirms-play-ransomware-was-behind-recent-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace表示12月的資安事故是Play勒索軟體所為</span></span></strong></a></p> <p><a href="https://www.courtlistener.com/docket/66696047/doe-individually-and-on-behalf-of-all-others-similarly-situated-v/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">LastPass遭到集體控告，起因是外洩事故疑與資料管理不當有關</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154994">【2023年1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154975">【2023年1月3日】 Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154957">【2022年12月30日】數千臺Citrix應用程式交付控制系統未修補重大漏洞、Google智慧音箱弱點恐讓駭客能偷窺語音指令</a></strong></strong></strong></p> </div></div></div>
2023/1/5 16:02作者周峻佑https://www.ithome.com.tw/news/155009
LastPass管理不當外洩用戶資訊被集體控告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼管理服務LastPass本周因去年8月間的客戶資料外洩事件，遭用戶集體控告。</p> <p><a href="https://www.ithome.com.tw/news/152730" target="_blank">2022年8月LastPass發生資料外洩</a>，導致某名員工帳號、以及部份程式及技術資訊外流。<a href="https://www.ithome.com.tw/news/154862" target="_blank">上個月LastPass主動揭露</a>，本事件可能造成駭客利用這個資訊，從第三方雲端儲存服務及GoTo Technologies存取該公司網路，並且複製了包含客戶資料的檔案備份，包含用戶公司名稱、電子郵件、IP位址、住家地址，以及內有密碼及安全紀錄等加密儲存庫（vault）檔案。</p> <p><a href="https://www.courtlistener.com/docket/66696047/doe-individually-and-on-behalf-of-all-others-similarly-situated-v/" target="_blank">本周LastPass用戶向麻州法院控告</a>，LastPass鬆弛的資料安全措施使客戶敏感資訊從2022年8月起可被未授權人士存取。而且該公司等了幾個月才通知客戶，突顯散慢、消極的反應能力，還企圖將責任推給用戶。</p> <p>原告指稱，由於LastPass擁有3,000萬用戶，受資料外洩影響，數百萬用戶面臨身分盜竊、詐欺甚至人身安全威脅。</p> <p>雖然該訴訟不見得能成案，但<a href="https://palant.info/2022/12/26/whats-in-a-pr-statement-lastpass-breach-explained/" target="_blank">安全專家擔心</a>LastPass資料外洩事件，可能已讓駭客對用戶建立完整的個人資料庫，因而後患無窮。<a href="https://infosec.exchange/@epixoip/109585049354200263" target="_blank">另一名安全專家批評</a>，LastPass宣稱的安全儲存庫（vault）是誤導說法，讓人以為是安全的資料庫，實則只加密了幾個欄位而已，該安全專家建議用戶最好換到別家供應商。</p> </div></div></div>
2023/1/5 16:43作者林妍溱https://www.ithome.com.tw/news/155011
駭客以Shc撰寫Linux惡意程式繞過安全偵測，散布挖礦軟體、DDoS程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asec.ahnlab.com/en/45182/" target="_blank">安全廠商ASEC分析團隊近日發現</a>一個以Shc撰寫的Linux惡意程式，會在用戶系統中安裝挖礦軟體及DDoS Bot程式。</p> <p>Shc（Shell Script Compiler）的功用是將Bash shell script轉換成ELF（可執行及可連結的格式）。Bash是Linux中的基本shell，Bash shell支援的指令可被組譯成script格式而被用戶執行。Bash shell有點類似Windows的指令提示元，而Bash shell script檔則類似Windows batch scripts。Linux環境下以Shc將Bash shell轉成ELF檔格式，有如Windows環境下，以bat2exe公用程式將batch script轉成EXE檔案。</p> <p>研究人員表示，在Windows環境下，攻擊者會利用bat2exe把惡意batch scripts轉成執行檔再散布，以便繞過防毒軟體產品的偵測。可能基於類似原因，駭客也會將惡意bash shell scripts先轉成ELF檔，藉此迴避檔案偵測。</p> <p>安全廠商ASEC的客戶近日即遭到Shc惡意程式的攻擊。他們判斷，攻擊者先以字典攻擊成功驗證，並存取防護不足的Linux SSH伺服器，之後在目標系統上安裝多個惡意程式，其中包括Shc下載器，由其下載安裝XMRig 挖礦程式CoinMiner，此外，還下載了一個由Perl撰寫成的DDoS IRC Bot程式。</p> <p>這個DDoS IRC Bot程式顧名思義，是以IRC協定和C&C伺服器通訊。這個Bot程式不只支援TCP Flood、UDP Flood和HTTP Flood等DDoS攻擊，還包含指令執行、逆向shell連線（reverse shell）、傳輸埠掃瞄及log偵測等功能。</p> <p>基於這波攻擊成功原因在於駭客以暴力破解及字典式攻擊，成功存取了目標Linux SSH伺服器，研究人員呼籲管理員應避免使用太簡單的密碼並定期更換，此外也保持在最新的作業系統更新。也應在連外伺服器前，加裝防火牆防範惡意存取。</p> </div></div></div>
2023/1/5 16:56作者林妍溱https://www.ithome.com.tw/news/155012
2億推特用戶電郵資料流入駭客論壇僅賣2美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年底有人揚言要出售推特用戶資料後，<a href="https://www.bleepingcomputer.com/news/security/200-million-twitter-users-email-addresses-allegedly-leaked-online/" target="_blank">本周資安媒體Bleeping Computer發現</a>，超過2億筆推特用戶電子郵件帳號被人放上駭客論壇銷售，只賣2美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0105-twitter%20leak(1).png" style="width: 600px;" /></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;">iThome</span></span></p> <p>媒體也證實了部分這些電子郵件的真實性。上周有人宣稱手中握有4億筆用戶資料，並揚言出售之後。不確定本周公布的資料和上周是否有關。</p> <p>這些資料可能都是拜推特一個Web API漏洞，讓攻擊者得以進行網頁資料抓取（web scraping）。去年7月首先有研究人員發現，駭客論壇上有人兜售540萬筆推特用戶電話及電子郵件帳號。11月另一名研究人員卻在駭客論壇上發現高達1,700多萬筆資料待價而沽。<a href="https://www.ithome.com.tw/news/154699" target="_blank">推特方面回應說</a>，兩批資料其實是同一批外洩資料，但並未說明總共外洩的資料筆數有多少。</p> <p>12月銷售推特用戶資料的人呼籲推特公司及執行長馬斯克出手買下資料，以避免重蹈和Meta一樣被歐盟罰款的命運。</p> <p>針對推特這幾次資料外洩，<a href="https://www.xda-developers.com/irish-dpc-twitter-investigation-gdpr/" target="_blank">愛爾蘭資料保護委員會（Irish Data Protection Commission，DPC）已經在去年12月啟動調查</a>推特是否違反了歐盟隱私法GDPR。</p> </div></div></div>
2023/1/5 12:44作者林妍溱https://www.ithome.com.tw/news/155006
臉書、IG服務條款強迫用戶接受同意廣告，Meta遭愛爾蘭重罰3.9億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Facebook及Instagram（IG）處理用戶資料及強迫用戶同意其蒐集個資等作法違反GDPR，<a href="https://www.dataprotection.ie/en/news-media/data-protection-commission-announces-conclusion-two-inquiries-meta-ireland" target="_blank">愛爾蘭資料保護委員會（Data Protection Commission，DPC）昨（4）日對Meta愛爾蘭開罰3.9億歐元</a>。</p> <p>這是愛爾蘭主管機關自2018年5月25日GDPR生效當天起，分別針對奧地利使用者控告臉書，以及比利時使用者控告IG，啟動調查的結果。臉書案被判罰2.1億歐元，IG案則被罰1.8億歐元。</p> <p>兩案調查重點在臉書和IG的服務條款要求使用者同意其處理使用者資料，但使用者控告，這些條款迫使用戶也必須同意其資料被用以發送精準廣告，違反GDPR的規定。</p> <p>愛爾蘭資料保護委員會也要求Meta在3個月內改善其資料處理作法。在GPDR上路前，Meta已經更新了Facebook和IG的服務條款，說明其處理用戶個資的正當性基礎，從原本的用戶同意，變成「合約」，用戶必須點選「我接受」按鍵才能使用Facebook和IG服務。</p> <p><a href="https://about.fb.com/news/2023/01/how-meta-uses-legal-bases-for-processing-ads-in-the-eu/" target="_blank">Meta昨日透過官方部落格表示將尋求上訴</a>。Meta並說，這項判決只和發送特定個人化廣告的法律基礎有關，並不會妨礙該公司繼續提供個人化廣告，他們也會評估多種方式以提供完全個人化服務。</p> <p>本判決也是Meta最新一筆和隱私有關的愛爾蘭罰單。單單在去年，11月它因5.33億筆資料外洩，<a href="https://www.ithome.com.tw/news/154464" target="_blank">被愛爾蘭政府判罰</a>2.65億歐元，9月因IG蒐集青少年資料<a href="https://www.ithome.com.tw/news/152896" target="_blank">被罰款4.02億歐元</a>。3月則因2018年資料外洩事件<a href="https://www.ithome.com.tw/news/149942" target="_blank">被要求支付1,700萬歐元</a>。</p> </div></div></div>
2023/1/5 13:21作者林妍溱https://www.ithome.com.tw/news/155007
Nvidia擴展元宇宙平臺Omniverse Enterprise強化3D生態系連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2023/01/03/omniverse-enterprise-release/">Nvidia更新元宇宙平臺Omniverse Enterprise</a>，支援最新GPU技術強化效能與可用性，同時添加新Omniverse功能，達到即時且更精確的模擬品質，除此之外，官方也更新Omniverse平臺核心，使用戶能夠快速連接工具，並在共享虛擬空間中協作。</p> <p>Omniverse Enterprise是一個可擴充的端到端平臺，供企業建置和營運元宇宙應用程式。由於建置元宇宙和3D網際網路應用程式，無論是分散各地的開發團隊協作，還是不相容的軟體工具與資料孤島，都拉高了產品工作管線的複雜度，而Omniverse Enterprise作為3D圖形協作和模擬平臺，能夠支援遠端工作、3D資產和環境開發，甚至是運作大規模數位孿生，簡化元宇宙的開發工作。</p> <p>新加入的Omniverse連接器，可連接不同的3D應用程式，實現無縫工作流程，支援包括Adobe Substance 3D Painter、Autodesk Alias和PTC Creo等軟體，用戶也可以從Siemens Digital Industries Software匯出在NX Software所創建的資料。</p> <p>官方也宣布Omniverse DeepSearch人工智慧服務正式推出，該服務讓用戶可以使用自然語言，或是2D參考圖，直覺地搜尋大型且未標記的3D資料庫，用戶也能夠方便取用原本缺乏搜尋能力的大型數位資產。</p> <p>Omniverse Cloud是可用於Enterprise Nucleus Server、Replicator、Farm和Isaac Sim for AWS的雲端容器，提供更大的部署靈活性，可供連接和管理分散在世界各地團隊。Omniverse Cloud是一個基礎設施即服務，連接部署在雲端、邊緣還有企業本地端的應用程式，使得無論是個人還是團隊，可以靈活設計和發布互動式3D應用程式。</p> <p>除了新功能，Omniverse Enterprise也有許多平臺核心更新，用來建置擴充應用程式和微服務的Omniverse Kit SDK，加入新模板和開發者工作流程，讓開發者能夠更簡單地建置進階工具和Omniverse應用程式。</p> <p>資料庫和協作引擎Omniverse Nucleus更新IT管理工具，強化版本控制功能，而新的大檔案傳輸服務支援混合工作流程，使用戶能夠在伺服器、本地端和雲端中方便移動檔案。用戶現在也可以使用自助部署指令，在雲中部署和管理Nucleus。</p> </div></div></div>
2023/1/4 21:29作者李建興https://www.ithome.com.tw/news/154995
英特爾發表首款24核心筆記型電腦處理器i9-13980HX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-announces-worlds-fastest-mobile-processor.html#gs.mhqmk7">英特爾（</a><a href="http://www.intel.com/content/www/us/en/newsroom/news/intel-announces-worlds-fastest-mobile-processor.html#gs.mhqmk7">Intel</a><a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-announces-worlds-fastest-mobile-processor.html#gs.mhqmk7">）發表全新第13代Intel Core行動處理器系列</a>，包括H系列、P系列和U系列，而旗艦型號i9-13980HX為第一款筆記型電腦的24核心處理器，官方提到，i9-13980HX是目前市面上最快的筆記型電腦處理器。</p> <p>採用10奈米工藝技術製造，代號為Raptor Lake的第13代Intel Core行動處理器系列，針對各種需求，提供專為優先考量效能而非電池效率設計的高階筆記型電腦處理器，同時也有入門以及中階的型號。每個Raptor Lake晶片都包含兩組核心，第一組最大程度提高效能，另一組則些微降低速度以提高能源效率。</p> <p>Core i9-13980HX作為本次發布的旗艦產品，是首款用於筆記型電腦的24核心處理器，英特爾透過強化H系列處理器運算能力，加入DDR4和DDR5記憶體支援，以及PCIe Gen 5等功能，設計出HX處理器，目標使其成為頂級行動遊戲平臺。</p> <p>Core i9-13980HX的24個核心，包括8個效能核心以及16個高效率核心，支援32個執行緒，最高時脈可達5.6GHz，英特爾提到，Core i9-13980HX目前是市面上所有筆記型電腦處理器，擁有最高時脈的處理器，與上一代相比，單執行緒效能上升11％，多任務效能提升49％。</p> <p>Core i9-13980HX的整合式GPU效能也獲得改進，英特爾採用獨立顯示卡技術與驅動程式堆疊的經驗，強化了整合顯卡的體驗。英特爾也提到，搭載第13代處理器的筆記型電腦設計數量，將會是第12代的5倍。</p> <p>Raptor Lake CPU產品系列中的H系列，據英特爾的說法，是針對愛好者（Enthusiast）等級筆記型電腦，所設計的處理器。除了針對高階筆記型電腦設計的CPU之外，英特爾也推出針對輕薄筆記型電腦和物聯網裝置用的P系列和U系列處理器，P系列處理器最多擁有14個核心，而U系列則最多提供10個核心。</p> </div></div></div>
2023/1/4 21:32作者李建興https://www.ithome.com.tw/news/155002
【資安日報】2023年1月4日，蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蠕蟲程式Raspberry Robin的攻擊行動在去年出現數起，由於此惡意軟體行蹤相當隱密，<a href="https://www.ithome.com.tw/news/150805#raspberry-robin-qnap">駭客甚至濫用威聯通（QNAP）的設備來架設基礎設施</a>，而引起研究人員高度關注。而最近的攻擊行動中，研究人員發現駭客採用更為隱蔽的手法，採用了過往未曾出現的反分析機制。</p> <p>駭客散布木馬程式有新的招式！他們在釣魚郵件夾帶的惡意Excel檔案裡，輸入了從銀行偷到的近42萬筆資料，疑似是為了避免讓受害者懷疑而這麼做。</p> <p>勒索軟體LockBit的攻擊事故近期變得非常頻繁，其中，洛杉磯市房屋管理局（HACLA）遭到攻擊的情況相當值得留意，因為這不只導致該政府機構的財務資料外洩，也波及向該單位尋求協助的民眾。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.securityjoes.com/post/raspberry-robin-detected-itw-targeting-insurance-financial-institutes-in-europe" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/e17082_0317d407e7f741b8a2f2f988bc3e348e_mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e17082_0317d407e7f741b8a2f2f988bc3e348e_mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes揭露近期蠕蟲程式Raspberry Robin的攻擊活動，駭客主要針對使用西班牙語與葡萄牙語的組織而來，研究人員觀察到歐洲的金融和保險業者成為目標，在其中一起攻擊行動裡，他們調查出駭客使用7-Zip檔案來散布惡意MSI安裝檔，透過誘使用戶下載安裝，以植入多種攻擊模組；另一起攻擊行動中，受害者是從詐欺廣告網域下載了存放在Discord伺服器的ZIP檔案，內有JavaScript程式碼，執行後會於電腦植入惡意軟體下載器。</p> <p>相較於之前此蠕蟲程式的攻擊行動，研究人員指出，這次駭客收集比過往更多的受害電腦資料，並在下載器加入新的反分析機制，此外，駭客也透過RC4編碼加密竊得的受害電腦資料。</p> <h3><a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/01/03/bitrat-now-sharing-sensitive-bank-data-as-a-lure"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用竊得的銀行資料來製作惡意Excel檔案，藉此散布木馬程式BitRAT</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/BitRAT-Fig_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BitRAT-Fig_1.png" style="width: 300px; float: right;" /></a>資安業者Qualys揭露木馬程式BitRAT最近一波攻擊行動，研究人員在調查該木馬程式的網路釣魚攻擊的過程中，發現駭客使用包含惡意的Excel檔案，開啟後會濫用電腦上的WinHTTP程式庫，從GitHub下載BitRAT惡意酬載，並將啟動器複製到Windows的啟動資料夾來維持在受害電腦上運作。</p> <p>特別的是，他們還比對該惡意Excel檔案的表單內容，查出資料是來自一家哥倫比亞的銀行，進而發現該銀行資料外洩，駭客取得418,777筆客戶資料，包含了客戶姓名、電話號碼、電子郵件信箱、住址，薪資、付款記錄，以及哥倫比亞身分證字號（Cedula）。研究人員指出，駭客疑利用SQLmap找尋SQL注入漏洞得逞。</p> <h3><a href="https://techcrunch.com/2023/01/03/hackers-claims-ransomware-attack-on-los-angeles-housing-authority/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">洛杉磯市房屋管理局傳出遭到勒索軟體LockBit攻擊</span></strong></a></h3> <p>根據科技新聞網站TechCrunch的報導，勒索軟體駭客LockBit於去年12月31日聲稱攻擊了洛杉磯市房屋管理局（HACLA），並竊得15 TB資料，內容包含了向市政府尋求協助的民眾個資，以及HACLA的會計資料、人力資源、薪資單等檔案。HACLA發言人Courtney Gladney證實他們面臨網路攻擊，導致相關系統可能出現中斷的情況。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/crypto-platform-3commas-admits-hackers-stole-api-keys/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣投資機器人3Commas坦承資料外洩，駭客聲稱竊得10萬個API金鑰</span></strong></a></h3> <p>去年12月底有人在推特聲稱，他們從加密貨幣交易平臺3Commas竊得10萬個API金鑰，並公布其中的十分之一資料。該交易平臺於12月29日發布聲明，說明調查狀況，指出上述遭到公布的資料包含了有效的API金鑰，呼籲有進行合作的加密貨幣交易所Kucoin、Coinbase、Binance等，儘速撒銷與3Commas連結的金鑰。</p> <p>3Commas表示，他們懷疑此起事故是內部洩露並著手調查，但目前尚未找到相關證據，該公司強調僅有少數技術人員能夠存取相關基礎設施，他們亦於11月19日移除相關權限。但從10月開始就有該平臺用戶帳戶資產因帳密遭到洩露後，損失6百萬美元，當時3Commas認為這些用戶是因為遭到網釣攻擊而成為受害者。</p> <h3><a href="https://www.ithome.com.tw/news/154990"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Volvo汽車資料外洩，200 GB資料流入駭客論壇兜售</span></strong></a></h3> <p>資安研究人員Anis Haboubi在駭客論壇發現，名為IntelBroker的人士聲稱取得了Volvo汽車200 GB資料，並在論壇求售價值2,500美元的門羅幣（Monero），賣家聲稱內有Volvo資料庫、網域、CI/CD、API、Atlassian等系統的帳密，以及軟體授權、員工名單、Wi-Fi熱點、金鑰、系統檔案等。除此之外，這批檔案還有該公司現行與未來車款的資料。</p> <p>而這些資料取得的管道，該名賣家表示，是勒索軟體Endurance於去年12月31日發動攻擊而得，並表示不打算向該公司勒索。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.synology.com/en-us/security/advisory/Synology_SA_22_26"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">群輝修補VPN路由器的重大漏洞</span></strong></a></h3> <p>群輝於去年12月30日發布資安通告，該廠牌的路由器作業系統Synology Router Manager（SRM）存在重大漏洞CVE-2022-43931，可被用於在VPN Plus Server元件執行任意命令，影響執行SRM 1.3版與1.2版的路由器，該公司發布1.4.4-0635版及1.4.3-0534版VPN Plus Server元件修補。此漏洞的CVSS風險層級達到了10分。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/over-60-000-exchange-servers-vulnerable-to-proxynotshell-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾6萬臺Exchange仍未修補ProxyNotShell漏洞</span></strong></a></h3> <p>非營利組織Shadowserver基金會的研究人員於12月21日指出，有8.4萬臺Exchange伺服器尚未完整修補ProxyNotShell漏洞（CVE-2022-41082 、CVE-2022-41040），但到了今年1月2日，仍有近6.1萬臺曝露於相關風險，其中歐洲有3.1萬臺，美國及加拿大則有1.8萬臺。這樣的情況使得研究人員呼籲IT人員應加速修補的腳步。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.hackread.com/erp-firm-expose-india-job-seekers-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國ERP業者伺服器配置不當，曝露50萬印度求職者資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-ransomware-claims-attack-on-queensland-university-of-technology/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲昆士蘭科技大學遭到勒索軟體Royal攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rail-giant-wabtec-discloses-data-breach-after-lockbit-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國鐵路公司Wabtec遭勒索軟體LockBit攻擊而資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/poland-warns-of-attacks-by-russia-linked-ghostwriter-hacking-group/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">波蘭警告俄羅斯駭客Ghostwriter的攻擊行動</span></span></strong></a></p> <p><strong> </strong></p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154975">【2023年1月3日】 Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154957">【2022年12月30日】數千臺Citrix應用程式交付控制系統未修補重大漏洞、Google智慧音箱弱點恐讓駭客能偷窺語音指令</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154930">【2022年12月29日】 NFT投資人遭北韓駭客鎖定、研究人員揭露由動作感知器竊聽安卓手機的手法EarSpy</a></strong></strong></strong></p> </div></div></div>
2023/1/4 16:45作者周峻佑https://www.ithome.com.tw/news/154994
數位發展部下設法人資通安全研究院，首任院長由何全德擔任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部下設的法人資通安全研究院（簡稱資安院）於1月4日召開董監事聯席會議，董事會決議通過由前總統府第二局局長何全德擔任院長一職；副院長則由行政院國家資通安全會報技術服務中心主任吳啟文以及陽明交通大學講座教授林盈達擔任。</p> <p>資通安全研究院設置條例於2022年1月19日經總統公布，行政院核定於2023年1月1日正式施行，並由數位發展部部長唐鳳兼任資安院董事長一職。資安院將依循「資安即國安」政策，及數位發展部強化「全民數位韌性」作為施政重點，結合各界力量推動資通安全科技研究及應用發展，並協助處理國家資通安全防護機制及關鍵基礎設施防護、培訓資通安全人才、策進產學服務及國際合作，確保民眾數位生活福祉，提升國家數位韌性。</p> <p>唐鳳之前在數位部媒體茶敘時也曾表示，成立資安院的任務目標很明確，就是4年之內可以應用到的各種資安工作，包括攻防、相關建設等等，都是資安院的工作目標；未來資安院的人才選任，也會有專業的考試、甄選等，除了筆試以外，也規畫藍隊模擬機考的平臺，以確保甄選的人才都具有即戰力。</p> <h2><strong>何全德嫻熟資安與行政，唐鳳力邀擔任資安院首任院長</strong></h2> <p>何全德2021年7月從總統府第二局局長退休後，也持續發揮所長，不僅在數位部成立過程中，發揮近四十年在公務體系任職、嫻熟公務運作的經驗，擔任行政院數位發展部籌備工作小組諮詢委員並提供相關建言，也持續關心資安即國安的政策運作與落實。</p> <p>何全德行政資歷豐富，任職研考會30多年，並督導行政院技服中心超過10年，也是許多包括公鑰基礎建設（PKI）、電子簽章法等推動先驅；加上國家關鍵資訊基礎建設（CIIP）已經是國家資通安全重點防護工作，他在擔任國發會管制處處長期間，更是負責包括國營事業臺灣銀行、臺電、中油和臺水等國營事業在內的績效考核工作。</p> <p>中研院院士李德財在2016年擔任國家安全會議諮詢委員一職時，則借重何全德的專業，擔任國發會管制處處長同時兼任國家安全會議資通安全辦公室主任；之後，何全德也於2019年，調任總統府第二局局長，負責總統府相關的資通安全業務。</p> <p>何全德長期從事政府資訊及資安工作，其中，推動資通安全工作逾25年，並參與國家各項重大資通安全政策及法規研擬推動，兼具資安與行政兩種專長，何全德也在唐鳳親自邀請下，允諾擔任首任院長。唐鳳則期勉何全德擔任院長時，可以協調各方，共同為國家資通安全建立最堅實的專業科研及服務團隊，並提升國家資通安全科技實戰力。</p> <p>由於資安院的規模約為180人～200人，會從國家高度配合政府整體資安推動策略，扮演資通安全防護、資安人才培力及資安關鍵技術發展角色，協助規畫及推動國家資通安全防護機制，並協助政府機關與關鍵基礎設施重大資通安全事件應變處置等，資安院也會在成立後，持續對外徵才。</p> <h2><strong>唐鳳兼任資安院董事長，計董事11人、監事4人</strong></h2> <p>資安院董事會成員11人，董事長由數位發展部部長唐鳳兼任，其餘董事包括：數位部政務次長闕河鳴、資安署署長謝翠娟與產業署署長呂正華；國安會、國防部指派的當然董事，分別為國家安全會議研究員尤暖霞、國防部通信電子資訊參謀次長室次長盧建中。</p> <p>另外也有多位學者與資通訊領域專家擔任資安院董事一職，如中研院院士李德財、前通傳會委員現臺大資管系教授孫雅麗、前中興大學資工系教授兼資通安全研究中心主任廖宜恩、臺大資工系教授許永真、工研院執行副總余孝先等11人。</p> <p>資安院監事共4位，分別為：哈佛大學講座教授暨中央研究院孔祥重院士、臺大國發所所長劉靜宜，及兩位政府機關代表為行政院人事行政總處人事長蘇俊榮與數位發展部主計處專門委員江靜瑜。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-20230104%E8%B3%87%E5%AE%89%E9%99%A2%E9%96%8B%E6%9C%83_%E6%95%B8%E4%BD%8D%E7%99%BC%E5%B1%95%E9%83%A8%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 420px;" /></p> <blockquote><p>數位發展部下設法人資通安全研究院（簡稱資安院）於1月4日召開董監事聯席會議，董事會決議通過由前總統府第二局局長何全德擔任院長一職；副院長則由行政院國家資通安全會報技術服務中心主任吳啟文以及陽明交通大學講座教授林盈達擔任。</p> </blockquote> <h2> </h2> <h2> </h2> <h2><strong>資通安全研究院院長副院長簡歷</strong></h2> <p><strong>何全德院長</strong></p> <p>學歷：政治大學公共行政研究所碩士</p> <p>經歷：</p> <p>⚫ 數位發展部籌備工作小組諮詢委員</p> <p>⚫ 總統府第二局局長</p> <p>⚫ 國家安全會議資通安全辦公室主任(兼任)</p> <p>⚫ 行政院資通安全辦公室副主任(兼任)</p> <p>⚫ 行政院資訊通信發展推動小組副執行秘書(兼任)</p> <p>⚫ 行政院國家資通安全會報副執行長(兼任)</p> <p>⚫ 國家發展委員會主任秘書</p> <p>⚫ 國家發展委員會管制考核處處長</p> <p>⚫ 行政院研考會資訊管理處處長、副處長、高級分析師、科長</p> <p> </p> <p><strong>吳啟文副院長</strong></p> <p>學歷：美國聖地牙哥州立大學電腦科學研究所碩士</p> <p>經歷：</p> <p>⚫ 行政院國家資通安全會報技術服務中心主任</p> <p>⚫ 數位發展部資通安全署高級分析師</p> <p>⚫ 行政院資通安全處高級分析師</p> <p>⚫ 行政院資通安全辦公室副主任</p> <p>⚫ 科技部高級分析師</p> <p>⚫ 國家發展委員會高級分析師</p> <p>⚫ 行政院研究發展考核委員會專員、高級分析師</p> <p> </p> <p><strong>林盈達副院長</strong></p> <p>學歷：美國加州大學洛杉磯分校電腦科學博士</p> <p>經歷：</p> <p>⚫ 陽明交通大學講座教授</p> <p>⚫ 銓隼科技共同創辦人</p> <p>⚫ 財團法人國家實驗研究院副院長</p> <p>⚫ 財團法人電信技術中心執行長</p> <p>⚫ 交大網路測試中心(Network Benchmarking Lab, NBL) 主任</p> <p>⚫ 利基網路(後被併入 D-Link) 共同創辦人</p> </div></div></div>
2023/1/4 18:36作者黃彥棻https://www.ithome.com.tw/news/155003
Shopify透過API開放自家基礎設施，供企業在自家網站整合Shopify電商元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Shopify宣布推出<a href="https://news.shopify.com/shopify-enters-its-next-era-of-growth-redefining-enterprise-retail-introducing-commerce-components-by-shopify">Commerce Components</a>工具包，這是一個現代化前端可組合堆疊，供零售商在自家系統上整合Shopify元件，也就是說，Commerce Components讓用戶取用諸如Shopify Checkout等Shopify基礎元件，並且透過具彈性的API與用戶後臺無縫整合。</p> <p>Shopify為一個雲端平臺，讓企業能夠開發和託管電子商務網站，Shopify提供一系列軟體工具，以簡化各種電子商務工作，但過去用戶都只能以單一同捆包的方式使用這些工具，而Commerce Components現在讓企業只選購需要的功能，而不需要同捆包一起購買。</p> <p>用戶可以使用Shopify用來建置電商平臺的元件，建置自己的電商網站，Shopify總裁Harley Finkelstein表示，透過使用Shopify所開發的基礎設施，企業不需要自己花費時間、工程資源和金錢，建立這些既有的功能，就能依照需求自訂和擴充使用。</p> <p>Commerce Components提供豐富開發工具，以及超過30種模組元件，包括稱為Hydrogen的無頭SDK，供企業自定義電子商務網站的介面，用戶也能運用購物車元件，在現有網站添加購物車功能，或是使用低程式碼商店前端，快速建立新店面進行商業試驗。</p> <p>Commerce Components元件之一的Shopify Checkout，可以接受訂單並在線上收款，進而簡化電子商務網站結帳流程。當電子商務網站顧客將商品添加到購物車，就會需要在下單前，使用結帳功能輸入運送資訊和付款資料。</p> <p>Shopify的基礎設施提供可靠穩定的服務，官方表示，以Checkout元件來說，正常運作時間為99.99%，可處理每家店每分鐘40,000次結帳，而Shopify基礎設施在全球擁有275個網路邊緣站點，使終端使用者獲得順暢的結帳體驗。</p> <p>用戶可以透過API來介接Commerce Components，官方提到，API現在沒有速率限制，能夠支援大型電子商務應用。企業可以將其現有服務和Shopify模組化元件整合，並且最佳化各種裝置的使用體驗，用戶只需要使用需要的元件，自由地在任何前端框架進行建置。</p> </div></div></div>
2023/1/4 16:16作者李建興https://www.ithome.com.tw/news/154993
研究人員揭露可遠端控制Google Home Mini的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://downrightnifty.me/blog/2022/12/26/hacking-google-home.html" target="_blank">研究人員揭露Google智慧喇叭Home Mini一項漏洞</a>，讓攻擊者可在Home Mini上加入帳號，藉此遠端傳送指令或發出任意HTTP呼叫，包括開門鎖或車庫門，或控制麥克風。</p> <p>Google Home提供App及「routine」，前者讓用戶得以在Home Mini加入帳號，後者則允許用戶將數個動作組合起來建立捷徑，例如用戶可設定「Good Morning」，由Home Mini執行「開燈」、「報氣象」等其他指令。建立帳號連結Home Mini後，即能控制這個50美元的迷你智慧喇叭，小則讓它在某些天某些時間點自動啟動，大者可遠端傳送指令、以及在Home Mini上安裝名為「actions」的小型應用程式。</p> <p>但研究人員發現即使沒有Home App也能在Home Mini上建立帳號，只要攻擊者和欲駭入的Home Mini處於同一無線網路。他設立Proxy Server進行中間人攻擊，攔截Home App連結帳號過程中，連向Mini的HTTP呼叫。透過置換其中的裝置資訊，即可成功在Home Mini上建立後門帳號。接著他以Python script重新實作連結Home Mini過程，可完全跳過Home App。</p> <p>此後，研究人員即可設定各種「routine」進行想要的控制。例如由Home Mini開啟智慧車庫門、線上購物、啟動車輛或開啟門鎖。研究人員實際利用一個通話指令，讓攻擊者可以Home Mini撥號給其他人，並以Home Mini麥克風遠端和對方通話。其他攻擊情境包括在Home Mini上安裝自動偵測連線的惡意App，使Mini斷線後自動偵測Wi-Fi 熱點並建立連線。</p> <p>研究人員說這漏洞並不只限於Home Mini，而是所有Google Home裝置。他在2021年1月通報了這項漏洞，Google於當年4月頒發抓漏獎金，隨後在2022年4月又加發Google Nest及Fitbit裝置的相關抓漏獎金。他一共獲得107,500元美金。</p> </div></div></div>
2023/1/4 15:24作者林妍溱https://www.ithome.com.tw/news/154992
Nvidia運用AI改進機器人模擬，Isaac Sim現可真實模擬人與機器人協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/2023/01/03/isaac-sim-major-updates/">Nvidia更新機器人模擬和訓練平臺Isaac Sim</a>，現在用戶可以從雲端存取Isaac Sim，並使用新的人工智慧功能，加速機器人訓練。Isaac Sim建構在元宇宙平臺Nvidia Omniverse之上，讓用戶在各種操作條件下模擬真實環境，建置和測試虛擬機器人，促進物流、製造和零售等產業的自動化應用。</p> <p>隨著供應鏈技術的發展，企業對自動機器人的需求增加，人類與機器人協作的機會增加，因此將人和常見行為添加進機器人模擬中，也就變得重要。Isaac Sim新的人物模擬功能，能夠在倉庫和製造設施中添加人物角色，並且賦予其執行像是堆放包裹和推送手推車等行為。</p> <p>如此，在同一模擬中，工程師就能同時觀察人物和機器人的運作，透過觀察兩者互動發現設計缺陷，同時機器人也可學習避開人和潛在意外。當模擬發現危險狀況，工程師就可以及早重新調整機器人行為，或是重新設計工廠和倉庫，讓兩者更安全地共存。</p> <p>由於在模擬中，力求最大程度縮小虛擬與現實世界的差異，因此也必須考量物理感測器模型，Isaac Sim現在可以即時呈現感測器的準確資料，並運用光線追蹤技術模擬光達（Lidar），在各種照明或是反射材質條件下，獲得更準確的感測器資料。由於光達是機器人導航的重要技術，該功能使得模擬中機器人的行為，能夠與真實世界的機器人完全相同。</p> <p>Isaac Sim更新還提供更多可供模擬的3D物件庫，包括倉庫零件和熱門的機器人，用戶可透過拼湊預建置的物件，快速建置模擬。Nvidia同時也更新其他Isaac模擬工具，改進包括用於增強學習的Isaac Gym，和協作機器人程式開發的Isaac Cortex，另外，新工具Isaac ORBIT提供了機器人學習和運動規畫的模擬操作環境和基準。</p> <p>用戶現在可以從雲端存取Isaac Sim，更靈活地進行跨團隊協作，藉由提高可存取性、敏捷性和可擴展性，加速機器人測試和訓練。對於訓練機器人需要的資料，Isaac Sim可利用Isaac Replicator，創建大量模擬環境物理特性的真實資料集。</p> </div></div></div>
2023/1/4 15:42作者李建興https://www.ithome.com.tw/news/154991
200GB Volvo汽車公司資料疑似外洩，遭人上網兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/HaboubiAnis/status/1610037011213058049" target="_blank">安全研究人員發現</a>，一批疑似來自瑞典汽車業者富豪（Volvo Cars）公司內部系統資料，包括員工資料、資料庫存取憑證、軟體及系統檔案被人放上暗網銷售。</p> <p>法國安全研究人員Anis Haboubi在一個駭客論壇發現，名為IntelBroker的人在兜售這批資料。他宣稱Volvo汽車去年12月31日遭到了Endurance勒索軟體攻擊，攻擊者洩露了200GB敏感資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-volvo%20leak-3.png" style="width: 600px;" /></p> <p>IntelBroker銷售的文件包含Volvo資料庫、網域、CI/CD、API及Atlassian等系統存取憑證、軟體授權、員工名單、Wi-Fi熱點、金鑰和系統檔案等。此外還有所有現行Volvo及未來新車款資料。他將這批文件以2,500美元等值門羅（Monero）幣出售，並貼出部分文件證明所言真實性。</p> <p>他並說不會去勒索Volvo汽車，因為他相信後者不會支付贖金。</p> <p>而這批資料外洩時間點不得而知。<a href="https://breached.vc/Thread-Documents-Full-leak-of-volvo-cars-200GB-https-www-volvocars-com" target="_blank">另一個駭客論壇</a>去年4月也有名為sm4rt的人張貼號稱超過200GB的Volvo內部資料。不過該論壇管理員12月31日表示連結已經無法使用，可能貼了大約6個月多。</p> <p>本周傳出在駭客論壇銷售的也有可能是Volvo汽車2年前外洩的資料。<a href="https://www.media.volvocars.com/global/en-gb/media/pressreleases/292817/notice-of-cyber-security-breach-by-third-party-1" target="_blank">2021年12月這家瑞典汽車大廠證實</a>Snatch勒索軟體對其發動攻擊並成功存取了檔案資料庫，導致「小部分」研發智財遭竊。</p> </div></div></div>
2023/1/4 13:33作者林妍溱https://www.ithome.com.tw/news/154990
蘋果3月起調漲Mac、iPhone、iPad過保固期後換新電池價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果近日針對過保固期的iPhone、iPad及Mac電腦悄悄調漲了換新電池的費用，新方案將從今年3月1日生效。</p> <p><a href="https://www.reddit.com/r/apple/comments/1014acd/effective_march_1_2023_the_outofwarranty_battery/" target="_blank">Reddit用戶首先發現此事</a>。現有iPhone 14、全螢幕iPhone 13及以前版本，以及具有Home鍵的iPhone在過保固期後，換新電池費用各為99、69及49美元。根據新方案，iPhone 14不變，但iPhone 13等全螢幕機種、以及具Home鍵機種則將雙雙加價20美元，來到89及69美元。</p> <p>iPad及Mac電腦換新電池的代價也更高了。iPad將漲價20美元，而MacBook Air及MacBook/MacBook Pro則分別調漲30和50美元。</p> <p>臺灣蘋果方面，<a href="https://support.apple.com/zh-tw/mac/repair" target="_blank">根據蘋果網站</a>，現有iPhone 13及舊款iPhone（iPhone 8及以前）過保固電池換新價各為2,050及1,490元臺幣。3月1日起都將漲價800元臺幣。（iPhone 14則維持3,190元臺幣）。</p> <p>同樣地，3月1日之後，大部分iPad換新電池要多花840元臺幣（現為3,150元）。MacBook Air換新電池漲價1,400元，而MacBook及MacBook Pro則將多花你2,190元臺幣。目前各為3,790及5,900元臺幣。</p> </div></div></div>
2023/1/4 11:42作者林妍溱https://www.ithome.com.tw/news/154988
6萬臺Exchange Server仍未修補ProxyNotShell漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Shadowserver/status/1609849345490255880" target="_blank">安全研究人員發現</a>，9月間揭露的ProxyNotShell漏洞，迄今全球仍有6萬多臺Exchange Server伺服器未修補。</p> <p>ProxyNotShell是三個月前由越南安全業者GTSC揭露，是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41082" target="_blank">CVE-2022-41082</a>及<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41040" target="_blank">CVE-2022-41040</a>這2個漏洞的合稱。這個漏洞頗為麻煩，微軟緊急釋出的緩解措施、以及第三方研究人員提供的修補程式先後被其他攻擊者繞過。直到11月初微軟終於在Patch Tuesday完成釋出具有最終修補程式的Exchange Server更新。</p> <p>不過非營利組織Shadowserver基金會安全研究人員12月21日針對ProxyNotShell之一的CVE-2022-41082進行網路掃瞄，發現仍有將近8.4萬個IP的Exchange Server仍然沒有最新版本。去年12月底該基金會公布數據時，降到6.9萬個，各國之中以美國1.7萬最多。</p> <p>到了本周1月2日時還有6.1萬臺伺服器還於曝險狀態。其中歐洲占了3.1萬，北美包含美、加則有1.8萬。</p> <p class="rtecenter"><a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=30&source=scan%2Bscan6&tag=exchange&style=stacked" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-Shadowserver%20Foundation-scan-ProxyNotShell-0102.png" style="width: 600px;" /></a></p> <p><a href="http://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=30&source=scan%2Bscan6&tag=exchange&style=stacked" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Shadowserver基金會</span></span></a></p> <p>ProxyNotShell影響Exchange Server 2013、2016及2019，可能讓攻擊者擴張權限而在受害伺服器上執行任意或遠端程式碼。研究人員呼籲IT管理員應儘早修補。</p> </div></div></div>
2023/1/4 13:08作者林妍溱https://www.ithome.com.tw/news/154989
Check Point整合英特爾威脅偵測技術，強化端點抵禦勒索軟體能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2022/12/29/2580546/0/en/Check-Point-Software-Technologies-Enhances-Endpoint-Security-with-Intel-vPro-Platform.html">資安公司Check Point與英特爾擴大合作</a>，強化端點安全解決方案Check Point Harmony的勒索軟體偵測能力。該公司在Harmony Endpoint中整合英特爾的威脅偵測技術，透過結合硬體和軟體功能，提供企業處理器層級的反勒索軟體安全，這項合作成果將會在2023年初提供Check Point用戶。</p> <p>Harmony Endpoint本身藉由識別、阻擋和修復完整攻擊鏈，來抵禦端點上的安全威脅，而英特爾vPro平臺上的威脅偵測技術，使得Harmony Endpoint能夠進一步，運用人工智慧和機器學習技術分析CPU遙測資料，在攻擊流程早期，就辨識出勒索軟體加密指令。</p> <p>Check Point透過與英特爾的合作，使端點解決方案能夠獲得處理器層級的安全性，進而及早預防並擴大攻擊面的覆蓋，使其更有能力抵禦勒索軟體。</p> </div></div></div>
2023/1/3 22:20作者李建興https://www.ithome.com.tw/news/154979