iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

電子錢包MetaMask警告用戶網址下毒新興詐騙手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/MetaMaskSupport/status/1613255316870729728" target="_blank">知名電子錢包MetaMask App開發商本周提醒用戶</a>一種名為網址下毒（address poisoning）的新興詐騙手法，呼籲小心被清空錢包帳戶。</p> <p class="rtecenter"><a href="http://twitter.com/MetaMaskSupport/status/1613255316870729728" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0113-MetaMask-scam-Address%20Poisoning.png" style="width: 500px;" /></a></p> <p><a href="https://metamask.zendesk.com/hc/en-us/articles/11967455819035-Address-poisoning-scams" target="_blank">MetaMask說明</a>，網址下毒是利用電子錢包網址以16進制位元組成、複雜難記的特點，以及一般人使用copy and paste直接取用交易記錄的習慣達成的攻擊手法。當使用者從自己的電子錢包傳送一筆交易給友人，攻擊者可以監看特定幣別（如穩定幣）交易，再利用網路上隨手而得的vanity網址產生器，產製一個近似用戶（或用戶友人）的電子錢包網址。這個通常是頭、尾數個字元和用戶錢包網址相同。</p> <p>之後攻擊者從這個新成立的帳號傳送極少錢，或0元交易到使用者電子錢包，這個帳號的網址也會留存在用戶交易記錄中。由於MetaMask在交易記錄使用短網址，用戶只看得到頭、尾幾個字元。從短網址上看，和真實錢包網址一模一樣，此時已經被下毒。</p> <p>下次用戶交易時，極可能copy and paste從交易記錄複製到攻擊者持有的電子錢包，而將資產（加密貨幣）轉給攻擊者，因為一般人可能只會注意頭尾幾個字元。基於區塊鏈上的交易不可逆，轉出去的這筆錢也拿不回來。</p> <p>MetaMask建議，用戶應小心檢查交易的電子錢包，最好檢查每個字元，或使用硬體電子錢包，因為此類電子錢包會要求使用者檢查並確認網址。另一個方法是將常用的電子錢包網址加入聯絡人資料，以減少複製到惡意錢包的風險。最後，MetaMask建議先進行一次小額交易測試，確認安全後再進行大筆交易。當然，缺點是用戶必須支付2次gas fee手續費。</p> <p><a href="https://twitter.com/patriota_eth/status/1613532408984358914" target="_blank">一名用戶則建議</a>在電子錢包網址中使用ENS網域（.eth），它具有人類可辨識性（如bob.eth, Alice.eth），因此用戶無需檢查所有位元，使詐騙電子錢包無所遁形。</p> </div></div></div>
2023/1/13 22:32作者林妍溱https://www.ithome.com.tw/news/155168
空中巴士運用蜻蜓仿生科技開發客機自動駕駛技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>空中巴士（Airbus）以蜻蜓作為技術靈感，開發自動飛行技術，官方提到，<a href="https://www.airbus.com/en/newsroom/stories/2023-01-could-the-humble-dragonfly-help-pilots-during-flight">Airbus UpNext DragonFly展示飛行器</a>已經進入最後三個月的測試階段，他們會測試DragonFly的飛行路徑選擇能力、自動降落技術以及駕駛員輔助技術。空中巴士預計要把DragonFly技術用於緊急操作上，當機組人員無法控制飛機時，DragonFly將負起重責大任，將飛機重新導航至到最近的機場並且安全著陸。</p> <p>Airbus UpNext是一項未來客機計畫，開發工程師透過展示飛行器評估、改進並驗證突破性飛行技術，開發能夠規模化應用的技術，目前Airbus UpNext在法國、德國和西班牙都有據點。</p> <p>過去空中巴士就曾參考自然界生物構造，以提升飛行器的性能，像是翼尖設計參考鯊魚鰭形狀，可有效減少阻力，而fello’fly飛行展示器則模仿雪雁的飛行隊形提高的飛行能力，現在空中巴士參考蜻蜓的飛行特徵，要進一步提升飛行器的安全性。</p> <p>官方提到，展示飛行器DragonFly模仿蜻蜓的超廣視野，以及蜻蜓辨識地標，以確定自己領地邊界的能力。空中巴士將這些特徵加入到飛行器設計中，使得飛行器能夠辨識地景中的特徵，使系統能夠辨識周圍環境，並且安全地操縱飛機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-01-13%20%E4%B8%8B%E5%8D%883_04_46.png" style="width: 580px; height: 480px;" /></p> <p>DragonFly為一個安全飛行和降落的解決方案，當機組人員無法控制飛機，機載系統能夠偵測問題，並且接管飛機自動降落到最合適的機場。DragonFly系統在飛行過程整合所擷取的資料和大量飛行資訊，以作出最佳決策，像是選擇最適合的飛行路徑。DragonFly系統會參考天氣、飛行區和地形等外部條件，並且持續與交通管制和航空公司營運中心連線，確保安全航行。</p> <p>官方提到，DragonFly系統搭載先進的感測器和軟體管理飛行和降落操作，能夠在全世界任何的機場安全自動降落。參考自蜻蜓敏銳的視覺能力，DragonFly飛行器搭載了感測器、電腦視覺演算法和導航運算功能，有能力在低能見度和惡劣天氣情況下降落，這項新的降落技術，甚至可以根據飛行員的飛行技巧自訂，減輕飛行員在緊急情況的額外程序。</p> <p>DragonFly同時也展示了飛行員輔助技術，能夠協助基礎人員執行滑行引導和指令，執行包括導航、監控等工作，使得機組人員可以將注意力放在更重要的任務上。接下來空中巴士將進行DragonFly最後的測試，供空中巴士確認該技術，並整合至未來的計畫中。</p> </div></div></div>
2023/1/13 22:41作者李建興https://www.ithome.com.tw/news/155151
Evozyne和Nvidia合作開發蛋白質生成性AI模型，大幅加速藥物開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門研究蛋白質的生技公司<a href="https://www.evozyne.com/news/evozyne-creates-ai-model-with-nvidia/">Evozyne和Nvidia合作</a>，開發生成性人工智慧模型來設計高品質蛋白質，不只加快藥物設計，同時還能將其用於環境永續目的。Nvidia在J.P. Morgan健康保健會議上發表了這項新技術，講述研究人員使用預訓練模型，創造醫療用途蛋白質的方法。</p> <p>Evozyne使用Nvidia預訓練人工智慧模型ProtT為基礎，開發出新的深度學習模型，ProtT為Nvidia BioNeMo藥物研發雲端服務中的Transformer模型，Evozyne將ProtT當作模型的核心，結合變分自動編碼器（Variational Autoencoder），創建出稱為ProT-VAE的蛋白質開發模型。研究人員提到，他們使用BioNeMo低成本地執行模型，能夠在幾秒鐘內產生數百萬個氨基酸序列。</p> <p>ProT-VAE讀取數百萬種蛋白質氨基酸序列，使用和神經網路理解文字相同的技術，了解組裝這些蛋白質的方法，學習蛋白質功能的規則，並使用這些規則來設計具進階功能的新蛋白質。Evozyne聯合創辦人提到，這個方法能夠創建比目前自然界所發現，功能更好的蛋白質，並且針對難以治癒的疾病壓縮藥物研發時間。</p> <p>傳統的蛋白質工程使用定向演化（Directed Evolution）的方法，模仿自然界選擇的過程，將蛋白質或是核酸導向使用者定義的目標，這過程既複雜又耗時，需要對基因進行數輪迭代誘變，分離出需要的成員，並且替下一輪迭代生成模板，這項工作會在生物體內或是體外進行，而通常一次只能改變數個氨基酸序列</p> <p>而ProT-VAE運用機器學習方法，產生可用於新療法、能源、材料等合成功能性蛋白質，在這項研究的初期，Evozyne鎖定PAH基因殘缺所造成的疾病，由於PAH基因能夠指示身體製造苯丙氨酸羥化酶（Phenylalanine Hydroxylase），當該基因有缺陷時便會導致遺傳性疾病苯丙酮尿症。</p> <p>研究人員運用ProT-VAE合成出苯丙氨酸羥化酶變體，在實驗室測試證明，其中幾種苯丙氨酸羥化酶變體的效能，比天然產生的酶效率還高達到2.5倍，這些蛋白質有望成為潛在基因療法，替代患者身體缺失的消化酶。</p> </div></div></div>
2023/1/13 23:10作者李建興https://www.ithome.com.tw/news/155152
國外論壇販售華航會員資料，外洩名單包含賴清德、張忠謀和林志玲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>個資外洩又一遭。在國外論壇中，駭客正在「揭露」華航會員資料，駭客同樣以擠牙膏的方式，先後於今年1月4日和1月11日，陸續釋出10筆和50筆，總計60筆包括臺灣知名的政界、商界、明星和名嘴等知名人士的資料，外洩資料除了華航的會員編號外，還有中英文姓名、出生年月日、電子郵件和手機等個資欄位。</p> <h2><strong>駭客揭露華航會員資料，鼓勵個資遭外洩成員向華航提出集體訴訟</strong></h2> <p>不過，這次駭客揭露華航會員資料有一個很有趣的現象，以往都會伴隨販售金額，但這兩次揭露的資料中，都沒有提供販售金額，反而在兩次發文中都提到，因為華航遲遲不肯承認外洩個資，所以接下來會持續公布華航入侵路徑、華航所有系統清單，以及300萬名會員的資料庫內容。駭客也知道臺灣有<a href="https://www.consumers.org.tw"><span style="color:#FF0000;">消基會</span></a>，可以協助外洩個資的會員提出團體訴訟。駭客發文提到，因為華航必須符合歐盟最嚴格個資法GDPR規範，一旦成功提出訴訟，每個人還可以獲得16.6美元（新臺幣498元）至666美元（新臺幣19,980元）的賠償。</p> <p>匿名的資安專家表示，從這種駭客的異常行為來看，目前並不排除這可能是駭客原本要勒索華航、但華航不願意支付贖金後，所以駭客就藉由揭露部分會員資料的資料，藉此威脅華航同意支付贖金。但就目前的資訊仍曖昧不明，多止於猜測而已。</p> <h2><strong>華航外洩會員名單從政界、商界、名嘴到明星都有</strong></h2> <p>此次外洩名單都是臺灣的知名人物，除了少數名單沒有手機的資料外，資料都非常完整，像是副總統賴清德、台積電創辦人張忠謀和大家熟悉的志玲姐姐的資訊都在揭露名單中。</p> <p>外洩的政治人物名單包括中央政府官員：副總統賴清德、交通部長王國材、內政部政務次長陳宗彥、衛福部疾管局副署長莊人祥及羅一鈞，外交部長吳昭燮、駐美代表蕭美琴等人。</p> <p>地方政府外洩名單則有，已經卸任的臺北市長柯文哲、臺北市副市長黃珊珊、桃園縣長鄭文燦；現任高雄市長陳其邁、桃園縣長張善政、新竹市長高虹安、屏東縣長周春米等人。</p> <p>另外外洩名單還包括現任立法委員：萬美玲、高嘉瑜、賴士葆、柯建銘、葉毓蘭、費鴻泰、陳瑩、許淑華、邱議瑩、何志偉、范雲、陳明文、江啟臣等人。</p> <p>商界人士幾乎都是重量級人士，包含：中華電信董事長謝繼茂、台積電創辦人張忠謀、台積電現任董事長劉德音、鴻海創辦人郭台銘、鴻海現任董事長劉揚偉、富邦金控董事長蔡明忠、聯發科董事長蔡明介、台達電董事長海英俊、台塑總裁王文淵、統一集團董事長羅智先。</p> <p>另外名單則有名嘴包括：周玉寇、陳文茜、謝震武、趙少康、于耘捷（即于美人本名）、郭正亮、吳子嘉、王浩宇、黃敬平、童文薰等人。</p> <p>明星部分則包括：林志玲、徐熙娣（小S）、徐若瑄、楊謹華、隋棠、胡盈禎（小禎）和防疫女神賈永婕等人。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E8%88%AA%E5%A4%96%E6%B4%A9-2_%E7%A2%BC(1).png" style="width: 518px; height: 1200px;" /></p> <blockquote><p>國外論壇第二波外洩的華航會員名單中，包括中央和地方政府人士，臺灣知名大企業家，以及家喻戶曉的明星和名嘴等人，都在外洩清單中。駭客沒有待價而沽，反而知道臺灣有消基會可以協助個資外洩的華航會員，提出集體訴訟向華航求償，賠償金額約新臺幣500元～2萬元之間。</p> </blockquote> <p> </p> <p> </p> </div></div></div>
2023/1/13 20:26作者黃彥棻https://www.ithome.com.tw/news/155167
英特爾推出時脈速度達6 GHz的桌面電腦處理器i9-13900KS，售價699美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在發表最新工作站與伺服器用<a href="https://www.ithome.com.tw/news/155108">第4代Xeon Scalable處理器</a>之後，也發表了其最新的桌面電腦處理器<a href="https://www.intel.com/content/www/us/en/newsroom/news/13th-gen-intel-core-i9-13900ks-now-available.html">第13代Core i9-13900KS</a>，開箱即可達6 GHz最大睿頻時脈速度，官方提到，i9-13900KS是目前市面上最快的桌面電腦處理器。</p> <p>英特爾使用其Thermal Velocity Boost技術，使得i9-13900KS能夠無需超頻，即可達到6 GHz的最大睿頻時脈速度，i9-13900KS同樣也配備Adaptive Boost技術，在電流、工具和溫度有餘裕的時候，CPU可以增加全核心睿頻頻率，在溫度100°C之下加速運作。i9-13900KS擁有24個核心以及36 MB智慧快取，記憶體速度最高可支援DDR5 5600 MT/s和DDR4 3200 MT/s。</p> <p>第13代英特爾Core i9-13900KS在1月12日上市，建議售價為699美元。</p> </div></div></div>
2023/1/13 22:00作者李建興https://www.ithome.com.tw/news/155148
安碁揭露臺灣公務機關資安現況：上傳漏洞和SQL Injection是大宗資安事件主因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="contentsContainer"> <div id="contents"><qowt-section id="E145" named-flow="FLOW-2" qowt-eid="E145"> <p id="E193" is="qowt-word-para" qowt-eid="E193" qowt-entry="undefined" qowt-lvl="undefined">安碁資訊是臺灣重要的SOC（資安維運中心）和資安服務業者，而其客戶當中有65％是政府部門，35％是民間企業；不過，該公司協助客戶處理的資安事件，有高達9成的比例是協助政府部門處理資安事件，只有1成是民間企業。也因此，他們協助客戶處理資安事件與相關資安鑑識經驗，可說是臺灣政府部門資安事件的縮影。</p> <p></p></qowt-section></div> </div> <p>安碁資訊數位鑑識組資深經理蔡東霖日前參加一場研討會，從資安鑑識的角度，說明他們實際處理資安事件的案件類型。他表示，2022年政府部門最常見的資安事件的發生原因，通常是因為上傳漏洞和SQL Injection（SQL注入）攻擊造成，第二至四名依序為勒索軟體、詐騙信件、網路設備漏洞。</p> <p>但他也說，駭客往往會利用網路設備漏洞進行跳板攻擊或做到內部橫向移動，即使相關資安事件數量不及漏洞上傳或SQL Injection，卻對政府或企業內部的危害甚大。</p> <p>至於其他常見發生資安事件的原因，他指出，詐騙信件多是偽造政府單位信件，誘使收件者點開；網路設備漏洞則以駭客利用Fortinet和F5的網路設備漏洞為主；至於癱瘓網站服務的DDoS（分散式阻斷式）攻擊，則是特定時間點才會出現的攻擊形式，例如2022年8月美國眾議院議長裴洛西美國眾議院議長裴洛西訪臺時，就曾出現多起DDoS攻擊；偶爾會出現的資料外洩，則週期性的常見於網路賣場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-01-2022%E5%B9%B4%E5%AE%89%E7%A2%81%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E8%99%95%E7%90%86%E9%A1%9E%E5%9E%8B(2).jpg" style="width: 600px; height: 336px;" /></p> <blockquote><p>安碁資訊是臺灣重要的資安維運中心（SOC）和資安服務業者，在2022年協助客戶處理的資安事件中，有高達九成市政府機關，其中最大宗資安事件原因是上傳漏洞和SQL Injection。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>駭客利用網路設備漏洞進行跳板攻擊及內部橫向移動</strong></h2> <p>蔡東霖表示，從該公司協助處理的資安事件中，來源IP位址是一種可判斷攻擊是臺灣境內或是來自境外的攻擊，根據統計，2022年資安事件實際入侵的來源IP位址，過半的攻擊來源IP位址來自臺灣境內IP位址（54.4％），通常都是設備IP位址、因沒有更新而淪為攻擊者幫凶；來自國外IP位址（45.6％）大約四成五，近來他們也發現，這類活動的連線內容也帶有簡體字等識別字眼，攻擊國家則來自香港、美國等地。</p> <p>若進一步分析來自臺灣或境外來源IP位址的特色，蔡東霖表示，有80％來自臺灣，是防火牆設備或是電子郵件設備，通常是駭客利用漏洞，建立VPN連入公部門網路後，再進行跳板攻擊；若是來自境外的攻擊來源IP位址，則有90％來自VPS（虛擬專用伺服器）或是雲端IP位址。</p> <p>蔡東霖表示，這類型的攻擊通常因為設備有漏洞卻未進行修補或更新，而成為駭客可用來發動攻擊的原因。</p> <p>對許多政府部門或企業而言，有時由於未能完整盤點並掌握內部的設備，導致負責人員並不清楚有內部擁有哪些廠牌的設備時，也會造成即便廠商釋出修補程式，相關的資訊或資安部門卻不知道該去下載、套用，而出現無法即時更新的狀況；另外，也可能是設備廠商發現或被通報有漏洞後，駭客已經先利用漏洞發動攻擊，致使來不及完成漏洞修補；還有一種常見的就是設備管理介面，由於可以被外部的IP位址存取，也成為駭客可以用來攻擊的手法之一。</p> <p>蔡東霖說，這些攻擊來源IP位址，不管是來自臺灣或是境外，超過八成都與設</p> <p>備存在漏洞、來不及修補更新漏洞，而被駭客利用有關，但面對這樣的情況，更糟糕的是，他也看到有許多政府或企業內不對設備漏洞修補的態度，採取「佛系」資安：不更新、不下線、不採取緩解措施，一切都只等廠商來幫忙修補漏洞。</p> <p>他也以駭客於2022年5月，利用F5的BIG-IP設備存在CVE-2022-1388這個未經授權的RCE重大弱點為例，如果政府或企業未進行漏洞修補，而且相關設備逕行暴露在網路上，加上網路設備的網頁管理介面沒有限縮可存取的來源IP位址或通訊協定時，就可能會導致駭客得以利用F5設備作為入侵跳板，並取得內部特權帳號後進行內部橫向移動。</p> <p>他進一步解釋，相關的特權帳號，通常也發現是其他臺主機所使用的相同帳號、密碼，或是使用弱密碼的狀況；另外，安碁也發現，有些單位內部網段的主機之間可存取的通訊協定，並未透過ACL（存取控制清單）或本機防火牆做存取的限縮，致使駭客一旦進到內網後，就可以橫行無阻。</p> <p>至於臺灣的中小企業，因為缺乏足夠的IT和資安維護能力，所以駭客也會利用像是防火牆等網路設備漏洞進行跳板攻擊，再藉此攻擊其他單位。所以他認為，所有政府或企業都要注意，盤點內部有哪些設備，同時，也必須注意設備的安全性更新公告。</p> <p>至於駭客若是利用郵件系統的漏洞，也能輕易針對交易郵件加上數位簽章，偽冒成交易對象的郵件伺服器寄出，這麼一來，就容易演變成商業郵件詐騙（BEC）的攻擊。他也以微軟最常見的Exchange郵件伺服器為例，在2022年10月公布CVE-2022-41040 和CVE-2022-41082這兩個漏洞後，11月就看到很多駭客開始利用相關漏洞發動攻擊。</p> <p>蔡東霖表示，他在協助公務機關進行資安事件鑑識處理時也發現，因為某些單位長官覺得電子郵件伺服器的漏洞修補，必須獲得單位主管同意後才能進行修補，所以在漏洞未修補的空窗期，駭客就趁機修改網站設定檔，新增IIS Module，每一次重新啟動網站伺服器後，就會自動啟動後門程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-05-%E5%85%A5%E4%BE%B5%E4%BE%86%E6%BA%90IP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%AE%89%E7%A2%81%E8%B3%87%E8%A8%8A(1).jpg" style="width: 600px; height: 316px;" /></p> <blockquote><p>根據安碁資訊的統計，2022年針對臺灣發動跳板攻擊的來源IP，過半來源IP位址來自臺灣境內（54.4％），通常都是設備IP沒有更新淪為攻擊者幫凶；來自國外IP位址（45.6％）大約四成五，這類活動的連線內容也帶有簡體字等識別字眼，攻擊國家則來自香港、美國等地。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>上傳漏洞和SQL注入並非新伎倆，仍是資安事件最常見原因</strong></h2> <p>蔡東霖表示，從他協助政府資安事件鑑識處理的經驗來看，許多資安事件發生的原因，並非駭客或惡意軟體用了全新、陌生的手法而使得單位猝不及防，而是透過上傳漏洞和SQL注入來進行攻擊，這些其實都是很老舊的攻擊手法。</p> <p>上傳漏洞因為沒有對上傳檔案作嚴謹的過濾，導致使用者可以把不同檔案格式，例如ASP、JSP、PHP等可以被伺服器端執行的檔案格式，上傳到網站的目錄內，並藉此取得執行伺服器端命令的權限。</p> <p>蔡東霖指出，這些上傳的檔案或是木馬程式，經常是因為網站未過濾未經允許上傳的檔案不能上傳網站；或者是廠商未檢查原始碼，導致網站存在上傳範例原始碼；網站帳號密碼外洩，遭到駭客利用；更有些時候，則是因為網站存在上傳工具頁面，導致攻擊者可以不需要登入系統，就可以從此處存取檔案。</p> <p>為了避免面臨檔案上傳攻擊，蔡東霖建議，資安或資訊部門應該限制網站伺服器上傳目錄為不可執行，外界也不可讀取這些路徑；另外，需設定可上傳檔案格式的白名單，再判斷檔案格式的合法性；合法使用者日常所需上傳的檔案名稱和路徑，可以更改名稱或以亂數取代，圖檔則改變圖片格式。</p> <p>另外一個常見的資安事件發生原因，則是SQL Injection（SQL注入攻擊或稱資料隱碼攻擊），蔡東霖表示，這樣的資安事件發生原因，主要是使用者輸入的參</p> <p>數，未進行過濾或程式處理，大部分的網站未經過弱點掃描即上線，不過他說：「發生SQL Injection攻擊的事件雖然多，但多是不重要的系統，引起的關注較少。」</p> <p>至於攻擊者的特徵，蔡東霖表示，駭客通常知道上傳的頁面位置與用法，即便未使用某些功能的系統，攻擊者也明確知道；其他像是攻擊者雖然沒有破解帳號密碼破，卻知道網站存取的密碼；攻擊者知道特定管理者（通常是廠商）帳號的密碼；以及攻擊來源IP位址的80%，主要是來自網路設備或是VPS（虛擬專用伺服器）IP位址。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-02-%E9%98%B2%E6%AD%A2%E6%AA%94%E6%A1%88%E4%B8%8A%E5%82%B3%E6%94%BB%E6%93%8A(1).jpg" style="width: 600px; height: 313px;" /></p> <blockquote><p>為了避免檔案上傳攻擊，安碁資訊數位鑑識組資深經理蔡東霖建議，資安或資訊部門應該限制網站伺服器上傳目錄為不可執行，外界也不可讀取這些路徑。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>勒索軟體多從搜尋引擎假下載點或偽冒微軟更新</strong></h2> <p>蔡東霖表示，在公關資訊觀測站中可以發現，2022年臺灣上市櫃公司通報發生資安事件至少有8起，比起2021年的14起似乎變少，但不表示勒索軟體的威脅減少。</p> <p>他指出，該公司協助政府機關和企業應變處理勒索軟體可以分成兩大類，一種是針對使用者電腦，另外一種則是透過搜尋引擎找到假的雲端下載點、下載假的後門或勒索軟體，其中，2022年常見的勒索軟體是Magniber，主要是利用Edge 和Chrome瀏覽器傳播，偽裝成Windows 10 Update更新來散布勒索軟體。</p> <p>蔡東霖表示，他們在2022年1月就發現有駭客利用搜尋引擎，讓使用者從假的雲端網址下載惡意程式。對方通常是透過搜尋引擎，找到各種影音或漫畫瀏覽或下載網站、假的知識論壇網站，或是假冒的資料下載節點等，使用者若不慎連入這些網址，後續會從網頁背景下載惡意程式在本機端個人電腦，藉由手動執行下載後的惡意程式後，勒索軟體就將該臺電腦或是NAS儲存系統加密，若是與被加密的電腦或是NAS處在同一內網，也會同步被加密。</p> <p>針對這種勒索軟體加密電腦或儲存系統的威脅，蔡東霖認為，政府和企業應該針對共用的NAS等儲存系統，針對權限設定適當的讀、寫、刪等帳號權限，避免出現「一人加密、全公司資料遭殃」的窘境。</p> <p>另外，他也建議，偽了避免檔案遭加密後無法使用，要落實平時的資料備份外，也應該參考「3-2-1備份原則」，做到至少製作三份備份；將備份分別存放在兩種不同儲存媒體；至少一份做異地備份。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-03-%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A%E6%B5%81%E7%A8%8B(1).jpg" style="width: 600px; height: 316px;" /></p> <blockquote><p>安碁資訊協助政府部門處理的勒索軟體攻擊，主要是使用者電腦端遭到勒索軟體加密，攻擊流程則與瀏覽影音漫畫網站，背景下載惡意程式有關係。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>DDoS攻擊常見特殊時間點，防資料外洩可導入資料庫稽核</strong></h2> <p>蔡東霖表示，該公司協助處理的DDoS攻擊事件，通常是發生在特殊時刻，例如2022年8月美國眾議院議長裴洛西訪臺時，就有部分政府機關遭到駭客發動的DDoS攻擊，利用流量攻擊DNS服務，造成DNS流量塞爆或因為繁忙而無法提供服務。</p> <p>他指出，攻擊來源的IP位址，幾乎都有被OSINT（Open-source Intelligence，公開來源情資）列入惡意DDoS，或是FreeProxy的記錄，其中，包括IPv4或IPv6的攻擊IP位址都有，來源分散在世界各地。</p> <p>不過，DDoS攻擊的防護方式，主要是地端（單位本身設置）的DDoS防護設備，或者是ISP端的流量清洗，不然就是採用CDN（內容交付網路）服務，減少網路頻寬損耗、減少Web伺服器的負載，可以透過在多個中介伺服器之間的負載，協助處理DDoS攻擊流量高峰，以降低對原始伺服器的影響。</p> <p>至於資料外洩的部份，蔡東霖指出，從刑事局公布的高風險賣場可以發現，許多電商網站仍是2022年個資外洩的主要來源，但若是以外洩數量來看，有些國外論壇直接販售上千萬筆個資資料，則是外洩資料的大宗。</p> <p>目前來看，造成外洩資料的原因有很多種，但蔡東霖建議政府或企業都應該導入資料庫稽核系統（Database Activity Monitoring，DAM），監控特定資料庫是否有異常存取行為，例如找出某段時間資料庫的行為，抓出特定資料表後，看看回傳比數是否有異常，例如回傳一萬筆以上的資料就是不合理的行為，而這樣的異常可以從資料庫稽核看出。</p> <p>再者，他也認為，關注一些異常行為，就能進一步追根究柢，找出可能造成資料外洩的原因，例如，我們可以注意網站的Response Size是否有不正常的大小，當存取某個URL網址時，Response Size大於50MB就應該視為異常行為；也可以注意網站圖片的尺寸是否異常，網站圖片通常不會超過50MB，超過也可以視為異常；另外，也可以透過加密的方式保護政府或企業的機敏資料。</p> <p>造成資料外洩的可能原因則與社交工程和釣魚郵件有關。蔡東霖指出，2022年臺灣有些政府機關，收到假冒技服中心、其他資安公司名義發出的資安通報信件，安碁資訊也是被偽冒的受駭者之一。</p> <p>經過調查分析，蔡東霖也歸納出駭客攻擊流程的示意圖，首先，受駭單位部分使用者的電子郵件，已經在網路上被公開洩漏；再者，駭客寄送偽冒的資安通報釣魚由見到受駭者的電子信箱；第三，使用者如果點選釣魚郵件中的超連結，就會連結到外部偽冒的微軟Outlook Web Access（OWA）網頁頁面，或者是公務機關經常使用的Mail2000郵件登入頁面；最後，受駭者如果依照偽冒頁面的指示，輸入帳號、密碼並進行變更後，駭客就可以成功竊取使用者電子信箱的帳號密碼，作為後續攻擊之用。</p> <p>他也分析這些針對公務機關寄送的釣魚信件內文，可以發現有一些異常，例如，單號格式不正確或者使用非臺灣常見的慣用語等，都可以用來判斷釣魚郵件的真假。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-04-%E5%81%BD%E5%86%92%E5%AE%89%E7%A2%81%E9%80%9A%E5%A0%B1%E4%BF%A1%E4%BB%B6%E6%94%BB%E6%93%8A%E6%B5%81%E7%A8%8B(1).jpg" style="width: 600px; height: 322px;" /></p> <blockquote><p>安碁資訊也遭到駭客冒名，針對政府機關發送假造的資安通報，目的是要使用者點選連結後，會導引到外部偽冒的微軟Outlook Web Access（OWA）網頁頁面輸入帳號、密碼並進行變更後，駭客就可以成功竊取使用者電子信箱的帳號密碼，作為後續攻擊之用。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>駭客攻擊手法多可躲過防毒軟體偵測</strong></h2> <p>如果綜合駭客針對伺服器端的攻擊手法，常見的手法包括：利用上傳漏洞、弱密碼和系統漏洞進行突破；或者是上傳一句話木馬；上傳防毒軟體無法偵測到的盜取密碼工具；架設加密通道；或是者橫向掃描、攻擊其他目標。</p> <p>蔡東霖認為，安碁資訊綜整2022年協助政府機關和企業處理的資安事件發現，有許多的攻擊手法，都可以躲過防毒軟體的偵測。</p> <p>他以常見利用系統弱點或應用系統上傳功能或漏洞發動攻擊為例，最常見的像是，未使用上傳功能的系統，但攻擊者卻可以明確知道具體的上傳位置；其次是上傳功能需要特定型態參數與格是，攻擊者可以完全掌握成功上傳；第三，原始碼本身就存在後門；第四，廠商可以透過VPN或直接連線遠端進行系統維護；第五，提供服務的廠商本身就有資安問題等，都有機會利用系統的漏洞或上傳功能進行攻擊。</p> <p>此外，他也從相關資安事件的處理過程，發現資安業者竟成為系統開發商偵錯與善後的角色，例如，系統發現問題補強後，往往需要再花其他時間人力去查是否還有其他漏洞；或者是系統本身的設計不安全，導致資安事件層出不窮；以及有些常見的漏洞沒有修補，像是phpMyAdmin、上傳程式等。</p> <p>還有像是資安設備未觸發或是只觸發不明顯的資安事件；資安人員需比對大量記錄才能還原受駭過程；沒有落實基本的資安管理；更有一些使用弱密碼、沒有保存Log檔、沒有安裝防毒軟體、不更新修補系統漏洞、使用共用密碼或是管理介面暴露在網路上，這些都是2022年該公司協助處理政府部門和企業資安事件時，常見的資安事件發生原因。 </p> </div></div></div>
2023/1/13 14:22作者黃彥棻https://www.ithome.com.tw/news/155149
【資安日報】2023年1月13日，SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP在本週發布了一月份的例行安全修補，總共發布12則資安通告，其中修補了4個CVSS評分達到9分以上的重大風險等級。但資安業者Onapsis認為，其中最值得關注的是CVE-2023-0014，原因是大部分該公司的用戶都可能曝露相關風險。</p> <p>又有設備的系統啟動器（bootloader）與韌體出現漏洞，以及可被利用的情況，而且這次是發生在工控系統上！有資安業者揭露西門子的可程式化邏輯控制器（PLC）設備漏洞CVE-2022-38773，並指出有上百款機種存在該漏洞。研究人員指出，這個漏洞很可能破壞PLC設備的韌體且難以復原。</p> <p>透過複製、貼上的動作，輸入與整理加密貨幣轉帳資訊的情況看，看起來很尋常，但這可能成為攻擊者鎖定的目標。加密貨幣錢包MetaMask對此提出警告，因為他們發現有人針對這種習慣進行網址中毒（address poisoning）攻擊，而導致使用者可能不慎將加密貨幣轉帳給駭客。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/fortinet-govt-networks-targeted-with-now-patched-ssl-vpn-zero-day/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet針對SSL VPN用戶提出警告，駭客利用12月修補的漏洞攻擊政府機關</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FG-IR-22-398_20230113-1656-37601.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FG-IR-22-398_20230113-1656-37601.png" style="width: 300px; float: right;" /></a>Fortinet於1月11日發布資安通告，呼籲用戶注意11月底修補的SSL VPN漏洞CVE-2022-42475，因為已出現針對政府機關與大型組織的攻擊行動，駭客打造專門鎖定FortiOS的Linux惡意軟體，並將其偽裝成Fortinet的IPS引擎元件libips.bak，並植入惡意的IPS引擎，駭客亦植入具備操縱FortiOS的事件記錄（Log）功能的惡意程式，從而在記憶體內將事件記錄資料解壓縮，並找尋特定字串刪除，然後再組合出新的檔案。</p> <p>研究人員指出，從利用漏洞的手段來看，駭客的技術相當專精，很可能具備對FortiOS作業系統進行逆向工程的能力。</p> <h3><a href="https://metamask.zendesk.com/hc/en-us/articles/11967455819035-Address-poisoning-scams"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣錢包MetaMask用戶面臨網址中毒攻擊</span></strong></a></h3> <p>加密貨幣錢包MetaMask於1月12日發出警告，他們得知有人鎖定用戶下手進行網址中毒（address poisoning）攻擊，對方利用電子錢包網址複雜難記的狀況，導致很多人使用「複製貼上」取用交易記錄，而打算從中竄改轉帳目標網址，將加密貨幣劫持到自己的錢包。</p> <p>當使用者從自己的電子錢包傳送一筆交易，攻擊者可以監看指定幣別交易，再利用網路上隨手而得的vanity網址產生器，產生近似用戶或收款帳戶的電子錢包網址。之後攻擊者再從新的錢包傳送少量加密貨幣至受害者的網址，讓受害者日後交易時，就有可能因為複製貼上而將加密貨幣轉給攻擊者。該公司呼籲使用者在執行交易時，應比對收款電子錢包的網址是否正確。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/twitter-claims-leaked-data-of-200m-users-not-stolen-from-its-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對2億外流用戶資料，推特表示並非因2022年1月修補的漏洞流出</span></strong></a></h3> <p>近期傳出<a href="https://www.ithome.com.tw/news/155006">有人在駭客論壇提供2億用戶資料</a>，用戶只需支付相當於2美元的論壇代幣就能取得，推特針對此事進行調查並提出說明。該公司指出，這些資料源自<a href="https://www.ithome.com.tw/news/154902">2022年11月外洩的4億筆資料</a>，將重複項目刪除而成，且不含機密資訊，他們研判是駭客並非透過該公司於2022年1月修補的漏洞竊取。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://onapsis.com/blog/sap-security-patch-day-january-2023" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補旗下產品多項重大漏洞</span></strong></a></h3> <p>1月10日商用軟體大廠SAP發布本月份的例行修補，總共公布12個漏洞與提供緩解措施，風險層級最高的漏洞是CVE-2023-0016、CVE-2023-0022，CVSS風險評分都達到9.9分，前者是財務報表系統Business Planning and Consolidation（BPC）的SQL注入漏洞，攻擊者可能藉由指定的查詢指令，讀取、竄改、刪除資料庫的任何資料；後者則是商業智慧軟體BusinessObjects的程式碼注入漏洞，攻擊者可透過網路濫用漏洞，進而影響應用程式的完整性、可用性，以及機密性。</p> <p>資安業者Onapsis指出，這次SAP修補的重大漏洞裡，影響範圍最廣的應該是CVE-2023-0014（CVSS評分為9.0分），原因是該漏洞存在於NetWeaver AS for ABAP，以及ABAP平臺本身，對該公司大部分用戶造成影響。</p> <h3><a href="https://redballoonsecurity.com/siemens-discovery/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾百款西門子PLC設備存在漏洞，恐導致韌體遭到挾持</span></strong></a></h3> <p>資安業者Red Balloon Security揭露西門子可程式化邏輯控制器（PLC）設備的一系列漏洞CVE-2022-38773，存在SIMATIC、SIPLUS S7-1500產品線，攻擊者有機會藉此繞過受保護的啟動機制，從而持續執行任意的程式碼或是資料竄改，其漏洞的利用必須實際接觸設備，CVSS風險評分為4.6分。研究人員估計超過100款PLC機種會受到影響。</p> <p>資安業者指出，由於上述弱點能在設備啟動過程載入惡意韌體，而使得攻擊者能持續控制存在弱點的設備，且相關攻擊行為難以發現。對此，西門子表示不會發布更新程式，但呼籲用戶應加強管制能夠存取PLC設備的使用者。</p> <h3><a href="https://chromereleases.googleblog.com/2023/01/stable-channel-update-for-desktop.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 109，修補17項漏洞</span></strong></a></h3> <p>1月10日Google發布電腦版Chrome 109，總共修補了17個漏洞，其中CVE-2023-0128、CVE-2023-0129為高風險漏洞，前者為總覽模式（Overview Mode）的記憶體釋放後濫用（UAF）漏洞，後者則是涉及網路服務的記憶體緩衝區溢位漏洞，Google向研究人員分別發出4千美元及2千美元獎金。但這次獎勵最高的漏洞是CVE-2023-0138，此為低風險漏洞，存在於名為libphonenumber的元件，為記憶體緩衝區溢位漏洞，Google發出8千美元。</p> <h3><a href="https://blog.talosintelligence.com/vulnerability-spotlight-asus-router-access-information-disclosure-denial-of-service-vulnerabilities-discovered/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">華碩Wi-Fi路由器出現漏洞，恐導致資訊洩露與阻斷服務攻擊</span></strong></a></h3> <p>思科旗下的資安研究團隊Talos揭露華碩Wi-Fi路由器RT-AX82U的3個漏洞CVE-2022-35401、CVE-2022-38105、CVE-2022-38393，分別是身分驗證繞過、資訊洩露、阻斷服務（DoS）漏洞，CVSS風險層級為7.5分至9.0分，攻擊者可藉由發送特殊的網路請求或是封包來利用漏洞。執行3.0.0.4.386_49674-ge182230版韌體的RT-AX82U存在上述漏洞，研究人員呼籲用戶儘速更新韌體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.infosecurity-magazine.com/news/guardian-confirms-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">衛報證實勒索軟體攻擊事件駭客竊取員工資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-australian-firefighting-service/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲消防救援隊資料外洩，疑勒索軟體Vice Society所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-mail-cyberattack-linked-to-lockbit-ransomware-operation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國郵務業者Royal Mail遭遇網路攻擊疑勒索軟體LockBit所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-cuba-ransomware-hacking-exchange-servers-via-owassrf-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cuba利用OWASSRF漏洞入侵Exchange</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155133">【2023年1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155109">【2023年1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155104">【2023年1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</a></strong></strong></strong></p> </div></div></div>
2023/1/13 16:47作者周峻佑https://www.ithome.com.tw/news/155154
5G趨勢月報第38期：數位部擬在今年第一季完成2家業者低軌衛星頻率申請審查；5G讓淡水專科醫生可為尖石鄉民眾遙控超音波…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>2022年11/30~2023年1/06精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位發展部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>已有2家業者提出國內低軌衛星頻率申請，數位部：第一季完成審查</strong></span></p> <p>政府去年底開放低軌衛星頻率申請已截止，目前已有2家業者提出申請，分別為隴華電子及愛爾康資料處理，數位發展部透露已成衛星固定通信用無線電頻率審查會，1月將對2家業者，就其申請資格、網路設置、營運計畫等，和NCC共同審查，確保符合消費者權益保護、資通及國家安全，最快於今年第一季完成審查。</p> <p>根據申請的文件，提出申請的2家業者中，隴華電子計畫與Hughes合作，採用歐洲的衛星通訊服務商Eutelsat，提供衛星服務陸地固定地點及船舶；另一業者愛爾康則和歐洲衛星業者SES合作，使用O3b衛星，提供衛星通信服務給陸地固定地點、船舶及航空器。</p> <p>數位部指出，衛星通訊具有涵蓋範圍廣的優勢，可加強海上、離島、山區等地訊號涵蓋，也能作為公眾電信網路的備援，確保通訊網路在各種緊急狀況發生時，仍可通過同步、非同步軌道衛星，強化我國通傳網路的韌性。另外，也能作為降低普及通訊服務成本，提升民眾使用通傳服務的機會，同時提供航空器、船舶寬頻網路服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>工研院</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>工研院秀5G遠距診療新成果，突破距離限制，淡水醫生可為尖石鄉民眾作遠距腹部超音波遙控掃描</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_7142.jpg" style="width: 600px; height: 399px;" /></p> <p>偏鄉居民遠距診療再進一步! 工研院近期與資策會、宏達電等廠商共同展示5G遠距腹部超音波診療成果，結合5G網路的高速傳輸、低延遲、廣連結特性，由淡水馬階醫院醫生為新竹尖石鄉的居民進行遠距腹部超音波遙控掃描檢查。</p> <p>這項成果採用資策會、宏達電的核網及小型5G基地臺，仁寶電腦、、泰雅科技、神寶醫資、達明機械人、馬階醫院，由工研院負責系統整合、核網建置，並且根據專科醫師的需求，打造遠距腹部超音波遙控及視訊會診系統。</p> <p>為了讓遠端診療接近傳統的現場診療，淡水馬階醫院的胃腸肝臟科醫生透過3D力回饋遙桿，遠距操作在新竹尖石鄉的診療室的超音波掃描系統，從遠端遙控病人端的機械手臂動作，機械手臂上配備無線超音波探頭，包括壓力及距離感測器，以控制在安全距離下進行超音波掃描。病人端方面則以高畫質攝影機，除了讓遠端的醫生觀察病人的狀況之外，還讓醫生可觀看機械手臂移動情形、病人反應，超音波診察結果，透過視訊攝影機作醫病雙向溝通。</p> <p>根據馬階醫院參與測試的醫生表示，測試過程中不因尖石鄉高山地形影響網路品質，沒有發生斷網或延遲的問題，影像傳輸品質。透過遠距診療的推廣，跨越空間的阻隔，未來希望能號召更多有意願的醫師加入偏鄉醫療。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>巡防</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信推5G智慧巡防系統，助警方巡邏透過AI快速辨識可疑車輛、傳輸即時影像</strong></span></p> <p>中華電信積極推廣5G應用，其中一項行動即時影像服務，為結合5G與AI推出5G巡防系統，在毫秒反應時間內，快速比對黑名單或失竊贓車名單，協助警政單位加強治安維護及犯罪偵防工作。</p> <p>傳統上，員警在路邊巡邏是利用警用行動載具的M-Police，輸入車牌號碼逐一比對，這項行動即時影像服務，利用5G的高速傳輸，利用巡邏車鏡頭，經過AI辨識比對車號，目前辨識率已達95%，當辨識到可疑車輛，經由與鏡頭連線的手機發出警示音，員警按下螢幕圍捕鍵後，就能對逃逸的車輛追緝，巡邏車的即時影像、行進軌跡也會自動送至後方的勤務指揮中心，方便追蹤及調度警力。</p> <p>目前桃園市警局已經導入AI巡防系統至導入各派出所、各警分局偵查隊、保安、刑事警察大隊等，作行動車牌辨識、即時影像傳輸、巡邏軌跡、緊急通報等，結合後方的勤務指揮中心調度警力分配。中華電信表示，該服務可採訂閱制，彈性調整採購量，目前也向各縣市推廣。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信展示5G新生兒照護系統，靠5G與穿戴裝置確保新生兒健康</strong></span></p> <p>近期在一項醫療展覽活動中，中華電信與陽明交大共同展示5G智慧醫療應用，新生兒遠端智慧監測系統，結合通過TFDA認證的新生兒專用穿戴裝置，包括血氧計、體溫計，利用5G網路將數據上傳至雲端，照護人員透過App、監測平臺，可隨時監測新生兒的心率、血氧、體溫等生命徵象變化，當系統偵測到異常數據時也會發送警示，由AI判斷異常可能發生的原因，協助醫療人員、新生兒父母及時處理。</p> <p>這套照護系統可以針對高危險的新生兒加強照護，即使出院後，父母也能透過互動視訊與院方諮詢，提高對新生兒的照護。目前該系統已於去年6月在北榮新生兒病房上線。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>市場</b></span></font></p> <p><span style="font-size:22px;"><strong>國內5G用戶數達654萬，平均每4人便有1名5G用戶</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wen_bin_-5gsh.jpg" style="width: 600px; height: 263px;" /></p> <p>國內5G開臺已有2年多的時間，根據NCC最新公布數據，截至2022年11月為止，國內5家業者合計共有約654萬用戶，5G人口滲透率約28%，平均每4人中便有1名5G用戶。各家業者5G用戶數方面，以中華電信最多，將近有240萬5G用戶，其次是遠傳的173.3萬，台灣大哥大為146.8萬。三大電信業者之外，亞太電信擁有27.8萬5G用戶，台灣之星為67.4萬。</p> <p>從個別的電信業者來看，3大電信旗下行動用戶的5G用戶佔比皆超高20%，以遠傳表現較佳，佔比約為24%，中華電信將近22%，台灣大哥大則是約20%；相較之下，用戶規模較小的亞太電信與台灣之星，亞太電信約13%，至於台灣之星的5G用戶佔比為25%。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>高通發表Snapdragon衛星方案，下一代旗艦Android手機將支援衛星通訊</strong></span></p> <p>高通（Qualcomm）將為下一代旗艦級Android手機提供衛星通訊功能，高通在美國CES上發表Snapdragon Satellite方案，將和銥衛星（Iridium）合作，提供手機雙向衛星傳訊功能，未來將支援全球行動傳訊功能，來實現全球連網。</p> <p>高通指出，Snapdragon Satellite方案支援5 NTN非地面網路，搭載Snapdragon 5G數據機射頻系統，並可透過銥衛星具氣候韌性（Weather resilient）的L頻段，進行上下鏈傳輸，提供全球覆蓋的通訊服務，包括在緊急狀態下使用雙向傳訊、SMS簡訊傳送，或其他傳遞訊息應用程式。為偏遠地區或海上提供緊急通訊或娛樂。該方案不只是手機，也可用於筆電、平板電腦、汽車或是物聯網。</p> <p>高通預告將從Snapdragon 8 Gen 2行動平臺的裝置開始，支援衛星緊急通訊功能的智慧型手機，將在2023年下半年在特定區域推出。目前銥衛星約有66個衛星及9個在軌備用衛星，涵蓋全球。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>南韓</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>頻譜</b></span></font></p> <p><span style="font-size:22px;"><strong>投資不夠，南韓撤回KT與LG U+的28GHz頻率使用執照</strong></span></p> <p>因業者對28GHz未建置足夠的基地臺，南韓政府決定撤回KT與LG U+兩家電信商的28GHz頻段使用執照。根據媒體報導，南韓政府提供另一家電信業者SK緩刑期，需在2023年5月底之前建置28GHz頻段約1.5萬座基地臺，否則也會失去使用該頻段的權利。</p> <p>南韓是在2018年釋出3.5GHz與28GHz，供電信業者建置5G服務，並要求業者建置達到一定數量的基地臺，其中3.5GHz需建置2.25萬個基地臺，而較高頻的28GHz頻段需建置1.5萬座基地臺。儘管SK、KT、LG U+在3.5GHz頻段方面都達到建設基地臺的數量要求，但在28GHz頻段方面卻未達標。</p> <p>南韓是全球較早推出5G商用服務的地區之一，三家電信業者在2019年即推出5G服務。</p> <p> </p> <p>圖片來源／工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.三星建議6G頻譜應納入1GHz到300GHz頻段</strong></p> <p><strong>2.遠傳與高雄市警局聯手，以5G SA網路切片支援智慧巡邏車，可辨識行駛車輛車牌、回傳現場影像</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2023/1/13 15:32作者蘇文彬https://www.ithome.com.tw/news/155150
傳Google、Nvidia加入Sony陣營，反對微軟收購動視暴雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與遊戲出版商動視暴雪（Activision Blizzard）的687億美元收購案再添反對力量。<a href="https://www.bloomberg.com/news/articles/2023-01-12/google-nvidia-express-concerns-to-ftc-about-microsoft-s-activision-deal" target="_blank">彭博報導Google及Nvidia將加入Sony</a>，阻止這樁收購案的發生。</p> <p>去年初微軟宣布收購發行《魔獸世界》、《暗黑破壞神》（Diablo）、《決勝時刻》（Call of Duty）等熱門遊戲的發行商動視暴雪，引發微軟競爭者的托拉斯疑慮。Sony首先發難指出，一旦收購完成，將導致消費者棄Play Station轉投微軟Xbox。去年繼英國競爭市場管理局啟動調查，<a href="https://www.ithome.com.tw/news/154634" target="_blank">美國聯邦交易委員會（FTC）也在12月對微軟提告</a>，希望阻撓收購。</p> <p>彭博引述消息人士報導，在FTC官司一案中，Google及Nvidia分別提供資訊強化FTC的反對證詞。消息人士指出，Nvidia目前仍不願直接出面反對收購案，僅透過協助FTC重申娛樂內容同等及開放取用的重要性。</p> <p>Google推出了Stadia線上及串流遊戲平臺，其Play Store也有大量遊戲應用程式，雖然Stadia即將在本月18日關門大吉。而Nvidia也經營了串流服務GeForce Now，都可能因微軟不授權《決勝時刻》等遊戲受到重傷。</p> <p>FTC控告微軟的理由正在於，微軟可能限制動視暴雪熱門遊戲在其他訂閱服務平臺、遊戲機上執行。微軟聲稱這件事不會發生，保證會持續授權Sony PS、任天堂及Steam等平臺。<a href="https://www.theverge.com/2022/12/5/23494886/microsoft-sony-10-year-call-of-duty-deal" target="_blank">微軟並於去年12月提供Sony《決勝時刻》10年授權</a>。</p> <p>目前雖然英國和美國還亟力阻止，但包括巴西、沙烏地阿拉拍、塞爾維亞等國主管機關已經核准了這樁收購。</p> </div></div></div>
2023/1/13 12:57作者林妍溱https://www.ithome.com.tw/news/155146
OpenAI測試ChatGPT付費版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discord.com/channels/974519864045756446/977259063052234752/1062169050827984956" target="_blank">以ChatGPT引發對話式AI風潮的OpenAI本周暗示</a>ChatGPT將推出收費版ChatGPT專業版，並準備開放企業試用。</p> <p>OpenAI指出，他們開始思考如何利用ChatGPT獲利以確保支持長期發展，暗示即將對ChatGPT收費。OpenAI預計收費版將稱為ChatGPT Professional，<a href="https://docs.google.com/forms/d/e/1FAIpQLScwuQEWBkxsNftEkvUgFx2Ov7pKcrOx8IUlZ241lvet7ziXCQ/viewform" target="_blank">為此該公司也推出一個前導測試的排隊名單網頁</a>，當中說明專業版的功能，包括永遠可用（沒有停止服務時間）、ChatGPT快速回應（沒有流量管制限制），以及不限次數問答（每日數量是現在的至少2倍）。</p> <p>想要試用的用戶必須登記電子郵件、所在國家、個人或企業、主要用途以及對訂價的期望等問題，獲得遴選才能參與測試。OpenAI也提醒，這個測試也是實驗性質，此時也不開放付費版，未來也可能有變化。</p> <p>和Google旗下的DeepMind類似，OpenAI雖然以其AI技術搏取不少新聞版面，但仍然苦於無法有效獲利。不過目前有不少公司對投資OpenAI表達高度興趣，包括微軟。繼2019年的10億美元投資外，<a href="https://www.semafor.com/article/01/09/2023/microsoft-eyes-10-billion-bet-on-chatgpt" target="_blank">上周有報導指出</a>，微軟計畫再投資100億美元。</p> </div></div></div>
2023/1/13 11:22作者林妍溱https://www.ithome.com.tw/news/155145
Exchange Server 2013支援期還剩不到90天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-server-2013-end-of-support-coming-soon/ba-p/3714799" target="_blank">微軟本周提醒企業用戶</a>，Exchange Server 2013版即將在不到90天內來到生命周期終點（End of Lifecycle，EoL），而失去所有技術支援。</p> <p>Exchange Server 2013是在2013年1月9日正式釋出，但最新到期的是Exchange Server 2013 Service Pack（SP）1，為2014年2月25日釋出。<a href="https://learn.microsoft.com/en-us/lifecycle/products/exchange-server-2013" target="_blank">根據微軟的產品5年主流支援及5年延伸支援政策</a>，這個版本的主流支援已在2018年4月10日到期，並將在2023年4月11日終止延伸支援。原始Exchange Server 2013則已在2015年4月終止支援。</p> <p>微軟說明，4月11日之後，雖然Exchange Server 2013仍然能持續運作，但企業將無法獲得功能及安全更新，可能發生技術支援問題、功能問題影響伺服器穩定性及可使用性，安全問題則讓伺服器面臨安全漏洞攻擊。此外時區也無法更新。</p> <p>微軟建議用戶應儘速升級到獲支援的版本，如Exchange Server 2019或Exchange Server Online。</p> </div></div></div>
2023/1/13 10:48作者林妍溱https://www.ithome.com.tw/news/155144
關於那些軟體開發的隱喻
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-code_that_fits-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你認為開發軟體類似於建造房子，你會犯的第一個錯誤就是把它當成一個工程專案（project）。一個專案有開始和結束，一旦你到達終點，工作就完成了。</p> <p>只有不成功的軟體才會完結。成功的軟體是持久續存的。如果你有幸開發出成功的軟體，當完成一個發行版本後，你會繼續開發下一個版本，這可以持續好幾年。一些成功的軟體會持續存在幾十年。</p> <p>一旦你建好了房子，人們就可以搬進去。你需要維護它，但其成本只是建造它的一小部分。誠然，像這樣的軟體是存在的，特別是在企業領域。只要你建好了一個內部業務線（line-of-business）的應用程式，它就完成了，而使用者也就被束縛其中了；當專案完成，這樣的軟體就進入了維護模式。</p> <p>但大多數軟體並不是這樣的。與其他軟體競爭的軟體是永遠都不會完成的。如果你陷入建造房子的隱喻中，可能會把它想成是一系列的專案；你可能計畫在九個月內發行產品的下一個版本，但卻驚恐地發現你的競爭對手每三個月就發佈一次改良版。</p> <p>所以你努力地使該「專案」的時程縮短；當你終於能夠每三個月交付一次時，你的競爭對手卻達到了每月一次的發行週期。你可以看到這個的結局，對吧？</p> <p>它的結局是Continuous Delivery（持續交付）。就是這樣，或者你最終倒閉了。根據研究，Accelerate一書令人信服地論證道，區分高績效和低績效團隊的關鍵是不加思索，毫不猶豫就發佈的能力。</p> <p>若能做到這點，軟體開發專案的概念就不再有意義了。</p> <p><span style="font-size:28px;"><strong>軟體作為一種工藝</strong></span></p> <p>把軟體開發看作是一門工藝（craft），當成本質上的技術工作（skilled work），這似乎很有說服力。　</p> <p>身為一名專業的軟體開發人員，你所需要的技能往往是情境式的。學習這個特定的源碼庫之結構為何。學習如何使用那個特定的框架。忍受在生產環境中花費三天的時間來排除一個錯誤的折磨。類似這樣的事情。</p> <p>做得越多，你就越熟練。如果待在同一家公司，在同一個源碼庫中工作多年，你可能會成為一個專業的權威，但如果你決定去別的地方工作，這對你有幫助嗎？</p> <p>透過從一個源碼庫移到下一個源碼庫，可以學習得更快。嘗試一些後端開發（back-end development），做一些前端開發（front-end development）；也許嘗試一些遊戲程式設計（game programming），或一些機器學習（machine learning）。這將使你接觸到廣泛的問題，而這些問題將作為經驗積累起來。</p> <p>這與歐洲古老的journeyman years（學徒期滿的職工年）傳統驚人地相似。像木匠或屋頂工人這樣的工匠會在歐洲各地旅行，在一個地方工作一段時間後再去下一個地方。這種方式使他們接觸到解決問題的替代做法，使他們的手藝變得更好。把軟體開發人員想成這樣是很有說服力的。The Pragmatic Programmer一書的副標題正是From Journeyman to Master。</p> <p>從某種意義上說，我的「軟體工藝」那幾年是一個徹底的幻滅期。當時我認為技能只不過是積累的經驗而已。在我看來，軟體開發是沒有方法論（methodology）的，一切都取決於環境。做事情的方法沒有對或錯。</p> <p>這種觀點的問題是，它似乎並不具有規模擴充性。為了「創造」新的程式設計師，你必須把他們當作學徒，直到他們學到足夠的知識，成為了學徒期滿的職工（journeymen）。從那時起，掌握技能還需要幾年的時間。</p> <p>將程式設計視為一種藝術或工藝的另一個問題是，它也不符合現實。2010年左右，我開始意識到，我在程式設計時遵循的是啟發式方法（heuristics），即經驗法則（rules of thumb）和一些指導方針（guidelines），這些都是可以教授的。</p> <p>起初，我並沒有太注意到這點。然而，多年來，我經常發現自己處在指導其他開發者的位置上。當我那樣做的時候，我經常會制定以特殊方式編寫程式碼的理由。</p> <p>我開始意識到，我的虛無主義可能是錯誤的。也許，指導方針可能是將程式設計變成一門工程學科的關鍵。</p> <p><span style="font-size:28px;"><strong>早期的軟體工程概念</strong></span></p> <p>軟體工程（software engineering）的概念可以追溯到60年代末。它與當代的軟體危機（software crisis）有關，即人們逐漸意識到程式設計是很困難的。</p> <p>那時的程式設計師實際上對他們所做的事情有很好的把握。我們行業中的許多傑出人物都活躍在那些日子裡：Edsger Dijkstra、Tony Hoare、Donald Knuth、Alan Kay。如果你問當時的人們是否認為程式設計會在2020年代成為一門工程學科，他們可能會說是。</p> <p>你可能已經注意到，我把軟體工程的概念當作一個理想的目標來討論，而不是日常軟體開發的一個事實。世界上有可能存在一些實際的軟體工程，但根據我的經驗，大多數軟體開發是以不同的風格進行的。</p> <p>並不是只有我覺得軟體工程仍然是一個未來的目標。Adam Barr說得很好：</p> <p>「如果你和我一樣，夢想有一天，軟體工程能以一種深思熟慮、有條不紊的方式進行研究，而提供給程式設計師的指導也能建立在實驗結果的基礎之上，而非根據搖擺不定的個人經驗。」</p> <p><span style="font-size:28px;"><strong>隨著軟體工程往前邁進</strong></span></p> <p>工程師是做什麼的？工程師負責設計和監督事物的建造，從橋樑、隧道、摩天大樓和發電廠等大型結構，到微處理器等微小物體。</p> <p>程式設計師不會那樣做。軟體開發主要是一種設計活動。當我們在編輯器中輸入程式碼時，就相當於工程師在畫圖紙，而非對應到工人在建構東西。</p> <p>「真正」的工程師遵循通常會導致成功結果的方法論。這也是我們程式設計師想要做的，但我們必須小心翼翼地只複製那些在我們的環境下有意義的活動。當你設計一個實體物品，真正的建造是很昂貴的。我們不能建造一座橋，測試一段時間後才決定它不好，然後把它拆掉重新開始。因為現實世界的建造過程是昂貴的，工程師們從事計算和模擬。計算一座橋的強度比建造它需要更少的時間和材料。</p> <p>有一個完整的工程學科與物流（logistics）有關。人們從事細緻的規劃，因為那是建造實物最安全且最不昂貴的方式。</p> <p>那是工程中我們不需要複製的部分。</p> <p>但還有很多其他的工程方法論可以啟發我們。工程師也做創造性、人性化的工作，但那往往是在一個框架內結構化進行的。特定的活動之後應該有其他的活動。他們對彼此的工作進行審查和簽字。他們遵循檢查表（checklists）。你也可以那樣做。</p> <p>那就是這本書的內容。它是我發現有用的啟發式方法之導覽。恐怕這更接近於Adam Barr所說的搖擺不定的個人經驗（the shifting sands of individual experience），而不是一套有科學根據的定律。</p> <p><span style="font-size:28px;"><strong>結論</strong></span></p> <p>今日，我們擁有比五十年前先進得多的程式語言，可以存取Internet（包括以Stack Overﬂow形式出現的業界標準線上說明）、物件導向和函式型程式設計（functional programming），自動化的測試框架、Git、整合式開發環境，等等。</p> <p>另一方面，我們仍在軟體危機中掙扎，儘管已經持續了半個世紀的東西是否可以被稱為危機是值得商榷的。</p> <p>儘管做出了認真的努力，軟體開發行業仍然不像是一門工程學科。工程和程式設計之間存在著一些根本性的差異。除非我們理解這一點，否則我們無法取得進展。</p> <p>好消息是，你可以做到許多工程師做的事情。有一種思維方式，以及一系列你可以遵循的流程。</p> <p>正如科幻作家William Gibson所說：「未來已然到臨，只是分佈得不是很均勻」正如Accelerate一書所描繪的那樣，一些組織今天就使用了先進的技術，而其他組織則落在後面。未來確實是不均勻分佈的。好消息是，那些先進的理念可以自由取得。是否要開始使用它們，由你決定。<strong><span style="color:#696969;">（本文摘錄整理自《Code That Fits in Your Head》，碁峰資訊提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Code%20That%20Fits_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A-400.png" style="width: 400px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Code That Fits in Your Head：軟體工程的啟發式方法</strong></p> <p>Mark Seemann／著；黃銘偉／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Code%20That%20Fits_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span> <strong>Mark Seemann</strong></p> <p>Mark Seemann是一位平庸的經濟學家，他找到了程式設計師作為第二天職，並在90年代末開始從事Web和企業的軟體開發工作。他原本想成為一名搖滾明星(rock star)，但既沒有天賦也沒有長相，於是他成為了一名Certified Rockstar Developer。他寫過一本關於Dependency Injection的獲獎書籍，在國際會議發表過上百次演講，並為Pluralsight和Clean Coders製作過影片課程。<a href="https://www.amazon.com/stores/author/B004XYGMVK" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></a></p> </div></div></div>
2023/1/13 00:00未署名https://www.ithome.com.tw/article/155073
每個人其實都有能力實現零信任
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於<a href="https://www.ithome.com.tw/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB" target="_blank"><span style="color:#3366ff;">零信任</span></a>的概念，大家有著什麼樣的想像？這種預設都不信任的概念或是態度，其實很早就隱隱存在我們日常周遭，尤其是在威脅變得更加猖獗的情況之下，自然逐漸浮現。</p> <p>舉一個簡單的例子，當我們知道釣魚郵件、社交工程手法猖獗，因此，一遇到陌生或可疑郵件，就不會去點擊連結、不開啟附檔，這已經是一種不信任的態度。</p> <p>若要信任所要開啟的網址連結或檔案的安全，多數人都會抱持謹慎態度，存有懷疑並且想要驗證。像是透過已知的管道去查詢寄件者是否有異，或是思考為何對方要寄給自己，郵件內容是否為釣魚或詐騙，同時，還會去注意郵件夾帶的網址連結是否指向正常網頁，以及附加的檔案是否暗藏惡意程式。</p> <p>當然，在知道更多威脅手法後，考量的部分會更細，像是檢查郵件夾帶的連結，是否顯示文字與URL網址不同的情況，仔細確認網址內容，還會觀察可能偽造成與真實網址相近的釣魚連結，以及注意檔案格式，例如，可能為了避過郵件安全防護偵測，而將惡意程式藏在加上密碼的壓縮檔。</p> <p>此外，大家可能還會透過線上惡意檢查服務VirusTotal來檢測檔案與網址，做為參考，但也不全然相信安全無虞，所以，仍會做好系統與應用程式安全更新，以及執行端點安全防護機制，這些都是不可或缺的基本安全防範措施。</p> <p>甚至因為釣魚連結、惡意檔案不斷運用各式伎倆，以規避資安防護的偵測，再加上零時差漏洞可能存在系統軟體，導致被植入竊密程式或各種惡意程式的狀況。</p> <p>因此，若是全部假設皆不信任，當我們開啟可疑連結、檔案時，最好能夠選用系統環境乾淨、隔離的測試環境或VM執行，避免自己現在使用的電腦遇害，而在面對網釣威脅上，現在不只呼籲採用MFA，還要是無密碼、不受網釣攻擊影響的MFA，並且此時還是會注意能繞過MFA的Session劫持手法。</p> <p>從這樣的概念來看，大家應該能夠瞭解，以零信任的概念與態度而言，其實一直存在我們日常周遭，只是在安全與方便的權衡。</p> <p>而在企業網路安全前提之下所談的「零信任」，包含零信任模型、零信任架構（ZTA）、零信任網路安全（ZTNA），意涵更廣，不僅是基於沒有被默許的信任而成，但最終還是要設法達到信任，因此就要建構細緻的存取控制，遵循最小權限原則，透過蒐集多方即時資訊以供判斷，使每次快速持續驗證都要基於動態風險評估後才放行（判斷及驗證速度也要夠快夠方便才具實用性），透過整個架構與機制來提升安全強度。</p> <p>其目的是要扭轉過往「外網危險、內網安全」的制式防護型態，而是要假設網路入侵事件已經發生，因此，我們要將內外安全防護一致作為最主要的考量，最終達到降低資料外洩、橫向移動攻擊機率的目的。</p> <p>那麼，前述提到的郵件安全情境當中，是否也能套用零信任架構，進而達到郵件安全零信任呢？或是應用到其他領域呢？</p> <p>前幾年，我們看到電子郵件安全防護，都更聚焦在重寫網址連結與沙箱機制，這些能提供進一步預防與安全性驗證。</p> <p>日本政府推動郵件無害化，也是很值得參考的作法。簡單來說，就是讓郵件的內文只顯示純文字，移除郵件中的JavaScript、HTML與超連結等。在此之後，CDR檔案威脅清除技術，以及上網隔離（Web Isolation）技術的興起，也能提供更多防護力。前者可將檔案中可能有害的內容元件抽離去除，並維持檔案的可用性，後者可讓用戶以遠端瀏覽器隔離執行的方式免除惡意威脅，再加上提倡多年的電子郵件認證方式DMARC等。在這些種種方案的搭配之下，也讓郵件安全零信任架構有了更多的探討。</p> <p>整體而言，我們可以發現，雖然都是基於不信任的概念去推動資安，但在不同場景、不同目標之下，提出的因應防範方式也會有變化。在網路安全零信任架構上，就是因為不給予任何的信任，因此要每個環節都會進行驗證，而從現在郵件安全零信任架構的探討上，則是因為不給予任何的信任，又顧及開啟需求及偵測誤判可能，因此利用盡可能去除任何威脅的方式來做到保障。</p> <p>因此，儘管要將現在網路安全所提的零信任架構，類比到其他領域，不一定完全可以適用，也還在持續探討與發展，但如何從都不信任的設想下去建立「信任」，大家的發展方向都是一致的。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item odd"><a href="/tags/zta">ZTA</a></div></div></div>
2023/1/13 00:00作者羅正漢https://www.ithome.com.tw/voice/155122
2022 JavaScript大調查顯示Tauri和Vite工具新秀崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://2022.stateofjs.com/en-US/libraries/">一年一度的JavaScript大調查結果出爐</a>，這次的受訪者將近4萬人，接近去年的2倍，而這些新增的受訪者對部分調查結果產生意料之外的影響，今年的結果可能與過去幾年的趨勢不同，官方認為，更多的受訪者也就帶來對JavaScript開發者更深的了解，因此對這項變化抱持正面態度。</p> <p>JavaScript大調查隨時間變化的四大象限圖，呈現了2016年至2020年各個函式庫受歡迎的程度，點越高代表越多人使用，越右邊則代表越多人想學，或是曾經使用且會想繼續使用，綠色表示受歡迎程度上升，紫色則相反。</p> <p class="rtecenter"><a href="https://assets.devographics.com/captures/js2022/en-US/tools_arrows.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201553%20-%20The%20State%20of%20JS%202022_%20Libraries%20-%202022_stateofjs_com.png" style="width: 580px; height: 411px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/libraries/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／The State of JS 2022</span></span></a></p> <p>Webpack、React和程式碼測試工具Jest都落在右上的第一象限，毫無疑問都是當前熱門工具。React持續位居最受廣泛使用的前端框架寶座，使用率較去年成長達到81.8％，遠高於第二名Angular的48.8%，和第三名Vue.js的使用率46.2％，今年Vue.js與Angular排名交換，但是兩者的使用率都較去年還低。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-Front-end%20frameworks.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-front-end-frameworks.png" style="width: 600px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/libraries/front-end-frameworks/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／The State of JS 2022</span></span></a></p> <p>Webpack則是建置工具使用率第一名達84.8%，第二名則是Gulp的50.2%，第三名則是48.8％的Vite，但有趣的是，建置工具前幾名包括Webpack、Gulp和tsc CLI從去年到今年的使用率都呈現下降趨勢，只有Vite往上升，且在滿意度和感興趣程度排名位居第一，Vite的滿意度甚至是所有函式庫之冠，顯示出開發者對Vite的喜愛以及可期待的發展潛力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-%E5%BB%BA%E7%BD%AE%E5%B7%A5%E5%85%B7%E4%BD%BF%E7%94%A8%E7%8E%87-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-%E5%BB%BA%E7%BD%AE%E5%B7%A5%E5%85%B7%E4%BD%BF%E7%94%A8%E7%8E%87.png" style="width: 600px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/libraries/build-tools/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／The State of JS 2022</span></span></a></p> <p>Tauri是值得關注的行動裝置和桌面應用程式跨平臺開發工具，雖然目前使用率並不如React Native和Electron高，但是開發人員對Tauri的滿意度和感興趣程度，遠高於其他同類工具。Tauri以Rust為基礎建置而成，讓開發者可以使用各種前端框架開發應用程式，其所打包出來的應用程式能夠小於600 KB，多項優點使其成為後續行情看漲的跨平臺函式庫。</p> <p>JavaScript Runtime還是由Node.js稱霸，使用率與去年大致相同為71％，而宣稱是Node.js更好的替代工具Deno，則從5.6％上升到8.5％。開發者最愛用的JavaScript無伺服器服務，由AWS Lambda使用率達20.4％奪冠，將近是第2名和第3名的2倍之多。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-JavaScript%20Runtimes(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-JavaScript%20Runtimes(1).png" style="width: 600px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/other-tools/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／The State of JS 2022</span></span></a></p> <p>在JavaScript和TypeScript的選擇上，TypeScript受開發者高度偏愛，有20.7％的受訪者僅使用TypeScript開發程式，但是僅使用JavaScript開發程式的比例只有8.2％，雖然TypeScript可以被編譯成JavaScript，但是對許多開發者來說TypeScript仍是優先選項。</p> </div></div></div>
2023/1/12 22:55作者李建興https://www.ithome.com.tw/news/155134
駭客利用8年前的Intel驅動程式漏洞，在Windows電腦安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/scattered-spider-attempts-to-avoid-detection-with-bring-your-own-vulnerable-driver-tactic/" target="_blank">安全廠商Crowdstrike發現</a>一個駭客組織利用8年前的Intel驅動程式漏洞繞過防毒軟體檢查安裝惡意程式，攻擊Windows電腦用戶。</p> <p>研究人員發現名為Scattered Spider（或Roasted 0ktapus或UNC3944）的駭客組織近半年來，持續透過Intel Ethernet診斷驅動程式（iqvw64.sys）中編號CVE-2015-2291的漏洞，在用戶Windows電腦部署惡意的核心驅動程式。</p> <p>研究人員解釋，這波攻擊是使用近年盛行的BYOVD（Bring Your Own Vulnerable Device）手法。這類手法是因應Windows防堵惡意程式執行的措施而生。自Windows Vista開始，微軟就封鎖未獲簽章的驅動程式執行，並在Windows 10進一步預設封鎖具已知漏洞的驅動程式。這讓駭客衍生出有漏洞或惡意驅動程式獲得合法簽章，藉以在Windows機器上執行。</p> <p>Scattered Spider這波活動自去年6月起，攻擊電信及企業流程委外（BPO）等產業，目的在存取電信網路。研究人員觀察到的案例中，駭客使用竊取自知名業者如Nvidia、Global Software，以及自行簽發的測試用憑證通過Windows檢查，企圖繞過受害者機器中的安全軟體，包括微軟Defender for Endpoint、Palo Alto Networks Cortex XDR、SentinelOne等。</p> <p>CVE-2015-2291漏洞存在1.3.1.0版本以前的IQVW32.sys，以及1.3.1.0版以前的IQVW64.sys，可使本地用戶0x80862013、0x8086200B、0x8086200F及0x80862007 IOCTL call發動阻斷服務攻擊，或以核心權限執行任意程式碼。<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00051.html" target="_blank">英特爾在2016年5月即已修補</a>。</p> <p>安全廠商呼籲企業應確認是否安裝Intel顯示器驅動程式，並儘速更新到最新版本。</p> </div></div></div>
2023/1/12 21:42作者林妍溱https://www.ithome.com.tw/news/155132
推特調查確認未發生新的資料洩漏事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期媒體報導<a href="https://www.ithome.com.tw/news/155006" target="_blank">有2億推特使用者資料洩漏</a>，且在駭客論壇只賣2美元的事件，<a href="https://privacy.twitter.com/en/blog/2023/update-about-an-alleged-incident-regarding-twitter-user-data-being-sold-online">推特調查</a>後發現該資料集與2022年12月<a href="https://www.ithome.com.tw/news/154902" target="_blank">媒體報導的4億筆資料外洩</a>是同一批，但該資料集未包含任何機密資料，推測僅是匯集線上公開資料來源而成。</p> <p>這一系列的資料洩漏事件，溯及推特在2022年1月所收到的推特系統漏洞報告，該漏洞讓有心人士透過輸入電子郵件或是電話號碼，就可以得知該電子郵件或是電話號碼所關聯的推特帳戶，這個漏洞是推特在2021年6月更新程式碼引起的，推特在調查之後立刻修復了該漏洞。但是有心人士在推特修復該漏洞之前，就已經收集與電子郵件、電話號碼相關聯的帳戶資料，<a href="https://www.ithome.com.tw/news/152367" target="_blank">2022年7月媒體報導了相關事件</a>，而推特在8月時通知受影響的用戶和相關部門。</p> <p>從2022年11月開始，每個月都有媒體報導推特使用者資料洩漏的新聞，推特調查了這一系列的報導指出，11月媒體報導所提到的540萬筆帳戶洩漏資料，與8月所暴露的帳戶是同一批，而12月媒體報導有人宣稱握有4億筆推特帳戶的電子郵件和電話號碼，該資料集與之前的漏洞事件無關，資料集的資料不包含密碼以及導致密碼洩漏的資訊。</p> <p>最近2023年1月媒體又報導，有2億推特使用者電子郵件帳戶被擺上駭客論壇販售，還只賣2美元，經官方調查，發現該資料集與12月的4億筆資料集是同一個，只是刪除了重複項目，同時不認為這些在網路上販售的資料集，是透過推特系統的漏洞取得，判斷應是自不同的線上公開資料來源匯集而成。</p> </div></div></div>
2023/1/12 21:51作者李建興https://www.ithome.com.tw/news/155131
【資安日報】2023年1月12日，惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是駭客企圖操縱Google搜尋引擎最佳化排行（SEO），假借提供知名軟體的攻擊行動！研究人員揭露Gootkit的攻擊行動，並指出駭客針對澳洲的醫療機構而來，並以提供影音播放器VLC Media Player的名義來散布惡意軟體。</p> <p>專門針對亞太地區政府機關與軍事單位的駭客組織Dark Pink崛起，在最近半年，他們至少成功發起7起攻擊行動，應該有更多組織受害。</p> <p>駭客進行自帶驅動程式攻擊（BYOVD）的狀況越來越多，最近駭客組織Scattered Spider也跟進這種手法，雖然他們濫用的漏洞已在2016年完成修補，但仍能以此方式進行攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="http://www.trendmicro.com/en_us/research/23/a/gootkit-loader-actively-targets-the-australian-healthcare-indust.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Gootkit假借影音播放器VLC散布，針對澳洲醫療機構散布Cobalt Strike</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Gootkit_01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gootkit_01.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露惡意軟體載入工具Gootkit（亦稱Gootloader）近期的攻擊行動，根據他們的追蹤，約自2022年10月開始，這個駭客組織針對澳洲的醫療機構而來，並企圖操縱Google搜尋引擎的結果（SEO poisoning）來達成目的──研究人員看到Gootkit惡意程式鎖定的攻擊目標，包含醫院、健康、醫療、企業合約等關鍵字，並搭配澳洲的城市名稱。</p> <p>另一方面，駭客假借提供VLC Media Player影音播放軟體的名義，來引誘使用者下載Gootkit，一旦依照指示執行當中的JavaScript指令碼，就會觸發PowerShell指令碼來下載Cobalt Strike及其他惡意程式，除此之外，攻擊者也進行受害電腦的網路監控，不過，研究人員並未取得駭客最終投放的惡意軟體檔案。</p> <h3><a href="https://www.group-ib.com/media-center/press-releases/dark-pink-apt/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Dark Pink鎖定亞太地區政府與軍事單位</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/blog2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog2-2.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露駭客組織Dark Pink（亦稱Saaiwc Group）的攻擊行動，在2022年6月至12月共發動至少7次攻擊，針對越南、菲律賓、馬來西亞等亞太地區的政府機關與軍事單位下手。</p> <p>駭客運用自行打造的工具Ctealer或Cucky來竊取機密，或利用USB儲存裝置散布惡意軟體TelePowerBot、KamiKakaBot，然後藉由DLL側載手法於受害電腦觸發惡意酬載，目標是從受害電腦的偷取機密資料、瀏覽器的機敏資訊，以及Zalo、Viber、Telegram等即時通訊軟體的對話內容，甚至是從麥克風側錄裝置周遭聲音。</p> <h3><a href="https://www.crowdstrike.com/blog/scattered-spider-attempts-to-avoid-detection-with-bring-your-own-vulnerable-driver-tactic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">濫用有漏洞的英特爾網路卡驅動程式，駭客組織Scattered Spider發動BYOVD攻擊，企圖繞過電腦安全防護機制</span></strong></a></h3> <p>資安業者CrowdStrike<a href="https://www.ithome.com.tw/news/154575#scattered-spider">於12月揭露駭客組織Scattered Spider（亦稱Roasted 0ktapus、UNC3944）的攻擊行動</a>，駭客自2022年6月開始，攻擊電信業者、業務流程外包公司（BPO），現在研究人員公布進一步的調查結果。</p> <p>該公司表示，自他們揭露攻擊行動數星期後，偵測到駭客攜帶含有漏洞CVE-2015-2291的Intel Ethernet診斷驅動程式，在受害電腦部署，發動自帶驅動程式攻擊（BYOVD），企圖繞過多款資安防護產品的端點代理程式，這些資安系統包含了Microsoft Defender for Endpoint、Palo Alto Networks Cortex XDR，以及SentinelOne。</p> <h3><a href="https://www.facebook.com/hackercat1215/posts/pfbid0318wer26KWGrB2t1MXxBEp1Tg3wRzp5PQEtSYyVMUvCguYyKv8P1HUsTF6VWGNHgLl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">華航證實遭到網路勒索，駭客論壇已出現資料外洩資訊</span></strong></a></h3> <p>根據華視、自由時報、經濟日報等多家媒體報導，中華航空於1月7日證實收到網路勒索信件，他們第一時間啟動防禦應變措施，強調航班營運並未受到影響，亦無會員個資外洩事件發生。</p> <p>1月12日，資安研究員HackerCat發現，有人於駭客論壇聲稱取得華航逾300萬筆的會員資料，並表示該公司於4日就得知資料外洩情事，該人公布10個名人與政治人物的聯絡資訊，並揚言接下來會公布更多資料，涵蓋所有會員的資料、入侵該公司的管道，以及網路環境裡所有系統的清單。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/adobe-plugs-security-holes-acrobat-reader-software" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補PDF製作與檢視軟體的漏洞</span></strong></a></h3> <p>Adobe於1月10日發布本月份的例行修補，總共修補了29個漏洞，其中逾半數存在於PDF應用程式Acrobat及Adobe Reader，一旦遭到利用，攻擊者就有可能執行任意程式碼、提升權限、洩露記憶體內的資料，或是導致應用程式面臨阻斷服務（DoS）的情況。上述漏洞存在於DC版及2020版的Acrobat及Adobe Reader，CVSS風險評分為5.5分至7.8分。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-auth-bypass-bug-with-public-exploit-in-eol-routers/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">已終止支援的思科路由器出現身分驗證繞過漏洞</span></strong></a></h3> <p>思科針對旗下的小型企業路由器RV016、RV042、RV042G、RV082提出警告，這些路由器存在重大層級的身分繞過漏洞CVE-2023-20025，該漏洞起因於接收到的HTTP封包，出現使用者輸入驗證不當所致，未經身分驗證的攻擊者能遠端發送偽造的HTTP請求，進而繞過路由器的網頁管理介面的身分驗證流程，一旦成功利用這個漏洞，將能存取root權限，若是攻擊者串連CVE-2023-20026，將能執行任意命令。</p> <p>CVE-2023-20025的CVSS風險層級達9.0分，所幸目前思科尚未發現此漏洞遭到利用的證據。值得留意的是，由於RV016與RV082已終止支援（EOL），再加上思科表明不會發布修補程式，管理人員應停用相關功能降低相關風險。</p> <h3><a href="https://breakingthe3ma.app/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密通訊軟體Threema通訊協定出現漏洞，可被用於恢復用戶私鑰</span></strong></a></h3> <p>蘇黎世聯邦理工學院的研究人員揭露商用加密通訊軟體Threema的漏洞，並指出一旦遭到利用，攻擊者就有可能破壞有關身分驗證的保護機制，甚至是復原使用者的私鑰。這些漏洞出現在該系統專屬的通訊協定上，導致攻擊者一旦成功利用就有可能假冒使用者、重新排列對話內容順序、複製帳號資料，以及藉由備份資料取得使用者的私鑰。研究人員於2022年10月3日通報，Threema於11月29日發布相關修補程式。</p> <p>而針對研究人員揭露的漏洞細節，Threema表示上述漏洞並未實際出現攻擊行動，他們也改用名為Ibex的新通訊協定而不會曝露相關風險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.theregister.com/2023/01/11/japan_aflac_zurich_data_breaches/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本保險業者Aflac癌症險保戶資料外洩，疑美國合作夥伴引起</span></span></strong></a></p> <p><a href="https://therecord.media/british-company-that-helps-make-semiconductors-hit-by-cyber-incident/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國半導體業者Morgan Advanced Materials遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-mail-halts-international-services-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國郵務業者Royal Mail遭到網路攻擊，暫停部分國際業務</span></span></strong></a></p> <p><a href="https://informationsecuritybuzz.com/denmark-central-bank-hit-by-ddos-attack-other-private-bank/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">丹麥中央銀行遭到DDoS攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155109">【2023年1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155104">【2023年1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155080">【2023年1月9日】程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</a></strong></strong></strong></p> </div></div></div>
2023/1/12 17:38作者周峻佑https://www.ithome.com.tw/news/155133
Group-IB揭露由Dark Pink駭客組織發起，鎖定亞太軍事與政府單位的APT攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.group-ib.com/dark-pink-apt">資安公司Group-IB發現一系列由新興駭客組織Dark Pink所發起的APT攻擊</a>，Dark Pink攻擊活動最早可追溯到2021年中旬，在2022年中之後更為活躍，目前研究人員已經確認Dark Pink所發動的7次攻擊行動，包括針對菲律賓、馬來西亞軍方單位，以及柬埔寨、印尼、波西尼亞和赫塞哥維納政府單位，還有一個越南宗教團體。</p> <p>Dark Pink之所以特別受到關注，是因為他們主要鎖定軍方和政府部門發動攻擊，Dark Pink採用了過去已知APT攻擊少見的策略、技術和程序，他們使用自己開發的TelePowerBot、KamiKakaBot惡意軟體，以及Cucky、Ctealer資訊竊取程式（這些名稱皆為Group-IB命名），竊取政府和軍方網路上的機密文件，研究人員特別提到，Dark Pink還能夠感染連接到受感染電腦的USB裝置，並且存取受感染電腦上的通訊軟體。</p> <p>第一次被確認的Dark Pink入侵行動發生在2022年6月，但是部分線索顯示Dark Pink在2021年就開始行動，攻擊者在感染裝置後，可以向受感染的電腦發送命令，從GitHub下載由攻擊者上傳的惡意檔案，令人驚訝的是，攻擊者在整個APT行動，都僅使用同一個GitHub帳戶上傳惡意檔案，這代表他們能夠長時間隱藏行蹤不被發現。</p> <p>Group-IB研究人員分析Dark Pink的攻擊手法，整個攻擊從魚叉式網路釣魚郵件開始，攻擊者冒充求職者申請公關等特定實習生職位，研究人員提到，這代表攻擊者會掃描職缺網站，並且針對組織製作專屬的釣魚郵件。釣魚郵件包含短網址連接到免費的檔案共享網站，受害者便有機會下載其中的惡意ISO檔案，ISO檔案內含經簽章的可執行檔案、非惡意的誘餌檔案，以及惡意的DLL檔案。</p> <p class="rtecenter"><a href="https://thumb.tildacdn.com/tild3266-6438-4266-b563-616366383138/-/resize/760x/-/format/webp/dark_pink2.png" target="_blank"><img alt="" src="https://thumb.tildacdn.com/tild3266-6438-4266-b563-616366383138/-/resize/760x/-/format/webp/dark_pink2.png" style="width: 316px;" /></a></p> <p class="rtecenter"><img alt="" src="https://thumb.tildacdn.com/tild6364-6561-4661-b931-333330663634/-/resize/760x/-/format/webp/darkpink3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Group-IB</span></span></p> <p>受害者下載到的檔案內容和類型都不盡相同，目前發現存在三條獨立的攻擊鏈，第一條攻擊鏈是當受害者掛載ISO檔案後，DLL檔案會透過側載入的方式開始攻擊程序，第二條攻擊鏈則是在初始存取後，自動下載GitHub上包含巨集程式碼的模板文件，第三條攻擊鏈也是最近2022年12月才發現的，Dark Pink會透過XML檔案來啟動惡意程式，該XML檔案是一個包含.NET程式碼的MSBuild專案，能夠啟動Dark Pink自己開發的惡意程式。</p> <p>從Dark Pink的攻擊工具和多條攻擊鏈，凸顯了Dark Pink攻擊的複雜性。TelePowerBot和KamiKakaBot（下圖）這兩個由Dark Pink開發的攻擊程式，分別以PowerShell和.NET 編寫，能夠透過Telegram機器人從攻擊者控制的Telegram頻道讀取和執行命令，研究人員指出，攻擊者和受害者裝置間的通訊完全仰賴Telegram API，並且使用包括繞過使用者帳戶控制等迴避技術，避免被發現。</p> <p class="rtecenter"><a href="https://thumb.tildacdn.com/tild3065-6437-4361-b962-343261363065/-/format/webp/darkpink12.png" target="_blank"><img alt="" src="https://thumb.tildacdn.com/tild3065-6437-4361-b962-343261363065/-/format/webp/darkpink12.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Group-IB</span></p> <p>Cucky（下圖）和Ctealer則是兩個資訊竊取程式，在受害者電腦上啟動時，資訊竊取程式就能夠從數十種網路瀏覽器中竊取帳密、歷史紀錄和Cookie等資訊。攻擊者也編寫腳本，將惡意軟體傳輸到連接電腦的USB裝置上，或是透過網路共享傳播惡意軟體。Dark Pink會以自定義程式ZMsg，從受害者裝置上的Zalo Messenger竊取資料，同時也有證據顯示，Dark Pink也能夠竊取Viber和Telegram資料。</p> <p class="rtecenter"><a href="https://thumb.tildacdn.com/tild6236-3262-4462-b932-303135316635/-/format/webp/darkpink11.png" target="_blank"><img alt="" src="https://thumb.tildacdn.com/tild6236-3262-4462-b932-303135316635/-/format/webp/darkpink11.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Group-IB</span></p> <p>Dark Pink唯一使用的現成攻擊工具是PowerSploit模組Get-MicrophoneAudio，經過自訂可從GitHub下載到受害者電腦中，有能力繞過防毒軟體並且紀錄音訊輸入，接著透過Telegram機器人洩漏這些錄音。</p> <p>研究人員提到，在亞太地區的APT攻擊，主要動機通常不是經濟利益而是間諜活動。Group-IB已經完整公開Dark Pink攻擊的詳細資訊，並主動通知所有潛在和已確認的攻擊目標，Group-IB在撰寫部落格文章的同時，Dark Pink依然活躍。</p> </div></div></div>
2023/1/12 16:35作者李建興https://www.ithome.com.tw/news/155128
AWS、Avalanche開發商提供政府、企業區塊鏈服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/avalancheavax/status/1613235554711400448" target="_blank">Amazon Web Services（AWS）宣布</a>將與區塊鏈平臺Avalanche開發商Ava Labs合作，針對企業及政府推出區塊鏈服務。</p> <p>Ava Labs宣布，AWS將支援Avalanche的基礎架構和dApp生態體系，包括one-click節點部署，為具法規遵循要求的應用情境提供區塊鏈建立工具。</p> <p>Avalanche是定位在Layer 1 C-Chain的智慧合約協議。它提供了一種多鏈框架，允許在主區塊鏈上建立應用專屬的Subnet，允許Web 3開發商可自訂特有規則或使用自有代幣（token）支付交易的gas fee。這使得它成為以太幣之外的平價選擇。</p> <p>在和AWS的合作下，Ava Labs成為AWS 合作夥伴網路（APN）的一員，透過AWS Marketplace提供「subnet部署」服務，企業用戶可以在AWS平臺上，使用Avalanche服務建立特有的區塊鏈subnet，來開發區塊鏈技術如NFT、Web 3.0遊戲等應用。雙方表示，這項合作下AWS將可幫助Avalanche拓展到新的地理或市場區隔，並為後者的基礎架構和生態體系提供新的支援。</p> <p>對美國政府單位而言，透過這項合作，Avalanche節點現在也能執行在AWS GovCloud及FedRAMP上，以便在滿足資料安全規定下，在政府應用上使用Avalanche區塊鏈技術。對一般企業來說，<a href="https://aws.amazon.com/marketplace/seller-profile?id=c3bf5393-b27f-43fd-9a77-e1d1da86d72b" target="_blank">AWS表示</a>，企業可以用AWS的EVM（Ethereum VM，EVM）或自有VM部署應用。</p> </div></div></div>
2023/1/12 15:08作者林妍溱https://www.ithome.com.tw/news/155127
微軟推2美元的基本款Microsoft 365，含100GB雲端硬碟空間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟預計本月底推出一項包括100GB雲端儲存空間及Outlook的個人版Microsoft 365 Basic服務，每月1.99美元。</p> <p>微軟本周向<a href="https://www.theverge.com/2023/1/11/23549800/microsoft-365-basic-cloud-storage-office-price-release-date-features" target="_blank">The Verge</a>透露這項計畫。這項服務旨在取代現有1.99美元月費/19.99美元年費（臺灣版為每月60元/每年600元）、100GB的獨立OneDrive服務。</p> <p>新服務包含100GB OneDrive、無廣告Outlook Web版及行動版，以及一些安全功能包括Outlook信箱加密、可疑連結或附件掃瞄過濾功能，此外還提供Windows 11及Microsoft 365的電話、線上客服。原有OneDrive 100GB雲端硬碟方案用戶將會自動升級為Microsoft 365 Basic服務，訂閱價也是1.99美元月費，或是19.99元年費。</p> <p>微軟表示，新服務月底上路後，今年內還會再加入其他進階安全功能，包括以加密及限時連結保護的個人儲存庫（Personal Vault）、勒索軟體偵測、回復及大型檔案復原等功能。</p> <p>新服務將在Microsoft 365免費版及個人版之間加入一個等級。Microsoft 365 Basic和Microsoft 365個人版最大差別，是不提供Office生產力應用（即Word、Excel、PowerPoint等）。Microsoft 365個人版費用為6.99美元月費/69美元年費（臺灣版為219元月費/2,190元年費）。</p> <p>微軟說Microsoft 365個人版及家庭版（9.9美元月費/99.9美元年費）目前還維持原價，但受到通膨影響，不排除未來調漲。</p> <p>此外，報導指出，本月底微軟也將把Windows版及行動版Office App改名為Microsoft 365。這項變更也是延續<a href="https://www.ithome.com.tw/news/153630" target="_blank">去年10月微軟宣布的Office品牌退位行動</a>。從去年11 月開始，微軟從Office.com開始逐步移除Office品牌。當時微軟已預告今年1月起改名行動會推向Windows桌機及手機版Office，涵括商用、教育及個人版。微軟的「Microsoft 365 App」將作為存取所有M365套件功能的統一入口。未來僅剩Office 2021及Office長期維護通道（LTSC）會見到Office品牌。</p> </div></div></div>
2023/1/12 14:27作者林妍溱https://www.ithome.com.tw/news/155126
思科RV016、RV042等多款中小型企業用路由器存在兩嚴重漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科中小企業產品線RV016、RV042、RV042G和RV082路由器上的網頁管理介面存在<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sbr042-multi-vuln-ej76Pke5#workarounds:~:text=Block%20Access%20to%20Ports%20443%20and%2060443">嚴重漏洞</a>，使得遠端攻擊者可以繞過身分驗證，並在底層作業系統上執行任意命令。但由於這些路由器生命周期已結束，思科表示不會發布新軟體解決這些路由器上的漏洞。</p> <p>思科這些RV系列中小企業路由器的所有軟體版本，皆受到CVE-2023-20025、CVE-2023-20026兩漏洞的影響，這兩個漏洞不互相依賴，要利用其中一個漏洞不需要另外一個漏洞，而存在其中一個漏洞的軟體版本，可能不受另一個漏洞影響。</p> <p>CVE-2023-20025是RV016、RV042、RV042G和RV082路由器上，網頁管理介面的漏洞，可讓未經身分驗證的遠端攻擊者，繞過裝置上的身分驗證。造成該漏洞的原因是系統未適當地對使用者輸入進行驗證，攻擊者可以透過網頁管理介面，發送經過設計的HTTP請求利用該漏洞，以成功繞過身分驗證獲得底層作業系統的根存取權限。</p> <p>另外CVE-2023-20026則是一個路由器遠端命令執行漏洞，該漏洞同樣發生在網頁管理介面，可允許經過身分驗證的遠端攻擊者，在受影響的裝置上執行任意命令。由於系統對傳輸HTTP封包中的用戶輸入驗證不當，因此可能允許攻擊者獲得根權限，並且存取未經授權的資料，但攻擊者要利用該漏洞，需要先獲得裝置上有效的管理憑證。</p> <p>官方提到，他們沒有也不會發布解決該漏洞的軟體，目前沒有解決這個漏洞的變通方法，管理員只能停用遠端管理，並且封鎖對連接埠口443和60443的存取來緩解漏洞，實行這些緩解措施後，管理員仍然可以透過LAN介面存取路由器。</p> </div></div></div>
2023/1/12 14:34作者李建興https://www.ithome.com.tw/news/155125
FAA電腦停機致上萬美國班機延遲或取消
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦航空總署（Federal Aviation Agency）一個機場營運訊息系統電腦周三發生停機，導致全美有上萬班機延遲或取消，主管機關說沒有跡象顯示為駭客攻擊。</p> <p>周三清晨FAA系統發生問題，影響飛航公告（Notice to Air Missions，NOTAM）系統。該系統主要是通知飛機駕駛本地空域或機場因特別事項、或可能構成危險的狀況所做的臨時安排、運作程序變更的即時資訊，包括跑道封閉、設備故障或其他可能事故。<a href="https://twitter.com/FAANews/status/1613171400801394688" target="_blank">系統停機後FAA下令</a>所有國內班機暫停起飛，又稱Ground Stop直到早上9點，以進行安全檢查及系統重啟，影響美國國家空域系統（National Airspace System）運作，導致所有民航交通大亂。大約一個半小時後，FAA解除停飛命令，但美國各機場班機延遲的情形持續一整天。</p> <p>根據<a href="https://uk.flightaware.com/live/cancelled/" target="_blank">FlightAware追蹤網站</a>統計，將近1萬班次飛機延遲，並有近1,300多班次取消。所有美國主要航空公司包括美航、聯航、西南航空等都有一半以上班機受影響。FAA希望美國空中交通周四以前可以恢復正常。</p> <p><a href="https://www.reuters.com/business/aerospace-defense/us-faa-says-flight-personnel-alert-system-not-processing-updates-after-outage-2023-01-11/" target="_blank">FAA發言人指出</a>，初步調查顯示，原因出在某個資料檔毁損。沒有證據顯示是駭客攻擊。</p> <p><a href="https://www.cnbc.com/2023/01/11/faa-orders-airlines-to-pause-departures-until-9-am-et-after-system-outage.html" target="_blank">消息人士指出</a>，美東時間周二下午約3:30 NOTAM發生停機，雖然NOTAM具有備援系統，但是主要及備援系統都被餵進這個有問題的資料庫檔案，導致所有系統停機。</p> <p>這是美國近二個月來第二次空中交通大亂。上個月底襲擊全美的大風雪導致各地數千航班取消。也有人比喻這次Ground Stop程度好比2001年911事件。</p> </div></div></div>
2023/1/12 10:49作者林妍溱https://www.ithome.com.tw/news/155120
Meta將限制廣告商不得以性別定位青少年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2023/01/age-appropriate-ads-for-teens/">Meta</a>考量父母與兒童發展專家的回饋、聯合國兒童權利原則，以及全球法規的趨勢，現在將進一步增加Instagram和臉書頁面針對青少年的廣告投放限制，同時也讓青少年選擇不想看到的廣告類型，以及協助青少年深入了解廣告在應用程式中的運作。</p> <p>Meta調整青少年在應用程式中的廣告體驗，限制廣告商向青少年投放廣告所能使用的特徵，並且改進向青少年所提供的廣告資訊，賦予青少年更多的控制元件和資源，協助青少年使用者了解廣告的運作方式，以及會在Instagram和臉書頁面上看到特定廣告的原因。</p> <p>之前Meta就曾限制廣告商針對青少年投放廣告的方式，不讓廣告商根據青少年的興趣和活動來定位青少年，而Meta還將於2月更新廣告系統，移除廣告商透過性別定位青少年的方法，同時，青少年對應用程式的參與也將不影響他們所看到的廣告類型，像是關注特定Instagram貼文或是臉書頁面，都將不會影響廣告類型的呈現。</p> <p>年齡和位置會是廣告商唯二能夠用於定位青少年的資訊，年齡能夠確保青少年看到適合他們年齡的廣告，而位置資訊則能根據青少年的居住地，投放相關的產品和服務廣告。</p> <p>預計從3月開始，青少年將會有更多的工具控制廣告主題，管理在Instagram和臉書頁面上看到的廣告類型，藉由在設定頁面中的廣告偏好選項，就能藉由選擇少看或是無偏好，來進一步控制看到的廣告類型。Meta的廣告政策明確禁止向18歲以下的人，投放酒類、金融產品和減肥產品廣告，而接下來上線的新控制功能，青少年可以降低某類電視節目或是體育賽季等廣告的出現機率。</p> <p>Meta最近對廣告系統的調整，還包括運用Variance Reduction System（VRS）系統，來解決房屋廣告歧視的問題。Meta在2022年就違反美國《公平住宅法案》（Fair Housing Act，FHA）訴訟案與住宅暨都市發展部（Department of Housing and Urban Development，HUD）取得和解，以隱私和機器學習技術確保廣告受眾符合法律要求。目前Meta已經在房屋廣告上使用VRS系統，來追蹤和避免房屋廣告存在性別和種族等歧視，接下來Meta還會把這項技術擴展到就業和信貸廣告。</p> </div></div></div>
2023/1/12 09:50作者李建興https://www.ithome.com.tw/news/155111
【資安日報】2023年1月11日，微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨日（1月10日）發布今年的第一次每月例行修補（Patch Tuesday），總共修補了接近100個漏洞，值得留意的是，當中的CVE-2023-21674是零時差漏洞，並被美國政府證實已出現攻擊行動，要求公部門限期修補。</p> <p>針對機器學習（ML）模型與人工智慧（AI）的攻擊手法，最近研究人員公布多項發現，例如：<a href="https://www.ithome.com.tw/news/154819#ChatGPT">濫用ChatGPT自動產生釣魚信</a>、<a href="https://www.ithome.com.tw/news/155104#text-to-sql">利用Text-to-SQL機器學習模型弱點攻擊SQL資料庫</a>等，現在又有研究人員揭露新型態的AI中毒（AI poisoning）攻擊手法Trojan Puzzle，但特別的是，檢測相關程式碼的靜態分析工具難以察覺這類手法。</p> <p>又有資安業者發現勒索軟體駭客Lorenz藉由VoIP電話系統入侵受害組織的情況！但不同的是，這次駭客成功入侵並植入的Web Shell隨即休眠，直到5個月後才再度運作。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="http://arxiv.org/pdf/2301.02344.pdf" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露Trojan Puzzle攻擊手法，可訓練AI助理產生惡意程式碼</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/trigger(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/trigger(1).png" style="width: 300px; float: right;" /></a>微軟、加州大學、維吉尼亞大學的研究人員聯手，揭露名為Trojan Puzzle的攻擊手法，藉由AI中毒（AI poisoning）的方式，訓練AI助理產生惡意程式碼。</p> <p>這種手法與過往發現的AI中毒攻擊方式有所不同，研究人員藉由建議不良範本（template），將想要隱藏的惡意酬載資料以<template>標籤取代，而非直接將可疑程式碼加入訓練資料，因此不會被靜態分析工具察覺異狀，但訓練完成的模型仍會產生惡意程式碼。</p> <h3><a href="https://insights.s-rminform.com/lorenz-cyber-intelligence-briefing-special"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Lorenz藉由VoIP電話系統漏洞部署後門</span></strong></a></h3> <p>威脅情資暨風險顧問業者S-RM揭露勒索軟體駭客Lorenz的攻擊行動，駭客在受害組織橫向移動、竊取資料、加密檔案的5個月前，已經利用Mitel網路電話系統的漏洞CVE-2022-29499取得初始的存取權限，而當時Mitel尚未修補漏洞。</p> <p>此受害組織後來於2022年7月安裝修補程式，但研究人員發現，駭客在修補程式部署前的一個星期，植入了後門程式──他們在兩個網路電話系統的PHP網頁上利用前述漏洞，進而從駭客的基礎設施接收Web Shell，並部署在受害組織的網路環境。</p> <p>接著，此Web Shell就休眠長達5個月的時間，直到駭客發動勒索軟體攻擊才再度運作。這並非Lorenz首度利用CVE-2022-29499發動攻擊，但不同的是，駭客佈局長達5個月才加密受害組織的檔案。</p> <h3><a href="https://krebsonsecurity.com/2023/01/identity-thieves-bypassed-experian-security-to-view-credit-reports/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客繞過消費者信用報告機構Experian網站漏洞，存取民眾信用評價</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/exp-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/exp-4.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Kerbs On Security的報導，烏克蘭資安研究員Jenya Kushnir發現，專門盜取使用者身分的駭客在瀏覽消費者信用報告機構Experian的網站時，只要在身分驗證的特定流程調整瀏覽器網址列的URL，就能存取任何人信用報告資料。</p> <p>該資安網站於12月23日通報，Experian的公關團隊於27日回覆已經予以修補。不過，這樣的漏洞究竟存在多久？該公司沒有說明。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/over-1-300-fake-anydesk-sites-push-vidar-info-stealing-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Vidar透過1,300個冒牌AnyDesk網站散布</span></strong></a></h3> <p>資安業者Sekoia的研究人員發現，有人利用超過1,300個偽造成遠端桌面軟體AnyDesk的網站，企圖散布竊密軟體Vidar，一旦使用者依照網站指示下載軟體，就會被導向特定的Dropbox網址下載竊密程式。研究人員提供了惡意網域名單，並指出所有的主機解析後都是同一個IP位址185.149.120[.]9。</p> <p>根據研究人員的網域名單，其中許多都是採用了誤植域名攻擊（typosqat）手法，冒充知名軟體7-Zip、Slack、AnyDesk、TeamViewer的網域，但網站內容都是聲稱提供AnyDesk軟體下載。</p> <h3><a href="https://www.cna.com.tw/news/ahel/202301100352.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">健保署科長傳出擅自查詢情報人員個資，恐涉嫌國家情報工作法</span></strong></a></h3> <p>衛生福利部中央健康保險署謝姓科長涉查詢被保險人個資，其中疑涉法務部調查局、內政部警政署等情報工作人員資料，臺北地檢署1月10日依涉嫌違反國家情報工作法，諭知10萬元交保。對此，<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=2589C171FB60857B">健保署也關閉2名涉案人員的健保資料庫系統查詢權限</a>，在調查期間調離非主管職務。<a href="https://news.ltn.com.tw/news/life/breakingnews/4181143">根據自由時報的報導</a>，健保署傳出已完成內部的初步清查，共有3人涉案，其中2人查詢超過16萬筆資料，但有1人在2018年查詢就11萬餘筆，究竟是職務需要或涉及違法，仍待調查釐清。</p> <p>中央健康保險署署長李伯璋表示，健保署現行內控機制，查閱須向上級申請、也設有資安長，但為何還是發生如此情況？他們將儘速分析查閱狀況，釐清事件原貌，並改善相關機制。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2023-patch-tuesday-fixes-98-flaws-1-zero-day/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布1月份例行修補，共對於98個漏洞提出緩解措施</span></strong></a></h3> <p>1月10日，微軟發布本月份的例行修補（Patch Tuesday），這次總共修補98個漏洞，有39個可被用於提升權限、33個能被用於遠端執行任意程式碼（RCE）、10個資訊洩露漏洞、10個阻斷服務（DoS）漏洞、4個安全機制繞過漏洞，以及2個欺騙漏洞。</p> <p>值得留意的是，當中的CVE-2023-21674為零時差漏洞，該漏洞可被用於提升權限，存在於進階本地處理程序呼叫（ALPC）功能，一旦攻擊者成功利用，就有可能取得System權限，CVSS風險層級為8.8分，美國網路安全暨基礎設施安全局（CISA）也將其列入已被利用的漏洞（KEV）列表，並要求聯邦機構限期完成修補。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-orders-agencies-to-patch-exchange-bug-abused-by-ransomware-gang/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構限期修補已遭勒索軟體駭客利用的Exchange漏洞OWASSRF</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/2023/01/10/strongpity-espionage-campaign-targeting-android-users/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織StrongPity假借提供視訊聊天軟體Shagle的名義散布惡意軟體</span></span></strong></a></p> <p><a href="https://www.uptycs.com/blog/infostealer-malware-attacks-targeting-italian-region/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">義大利使用者遭到竊密軟體鎖定，目標是加密貨幣錢包與網頁瀏覽器敏感資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/iowa-s-largest-school-district-cancels-classes-after-cyberattack/、"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國愛荷華州大型學校遭到網路攻擊被迫停課</span></span></strong></a></p> <p><a href="https://blog.abdulrah33m.com/prototype-pollution-in-python/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Python出現原型汙染的弱點</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155104">【2023年1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155080">【2023年1月9日】程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155054">【2023年1月7日】駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEFI漏洞</a></strong></strong></strong></p> </div></div></div>
2023/1/11 16:22作者周峻佑https://www.ithome.com.tw/news/155109
英特爾發表最新第4代Xeon處理器，推進AI與HPC工作負載執行效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.intel.com/content/www/us/en/newsroom/news/4th-gen-xeon-scalable-processors-max-series-cpus-gpus.html#gs.maqmsp">英特爾（Intel）發布一系列新處理器</a>，包括第4代Xeon Scalable處理器（代號Sapphire Rapids）、Xeon CPU Max系列處理器（代號Sapphire Rapids HBM）以及Data Center GPU Max系列（代號Ponte Vecchio），官方提到，他們的產品戰略目標在解決大規模運算所帶來的挑戰，透過結合CPU和針對特定工作負載最佳化的內建加速器，以實現更高的效率和效能。</p> <p>英特爾執行副總裁Sandra Rivera提到，他們將第4代Xeon Scalable處理器和Xeon CPU Max系列視為扭轉市場的重要產品，英特爾藉由新處理器扳回一城，重新回到資料中心處理器的領導地位。</p> <p>針對日益增加的人工智慧運算需求，與上一代處理器相比，第4代Xeon處理器內建高階矩陣擴充（AMX）加速器，可加速PyTorch即時推理和訓練效能達10倍，而Xeon CPU Max系列則擴展了自然語言處理功能，大型語言模型運算速度提升達20倍。</p> <p>英特爾提供人工智慧軟體套件，使得開發人員可以選擇自己熟悉的人工智慧工具，加快人工智慧應用開發時間，該套件簡化人工智慧應用的移植，從工作站移植到雲端並擴展至邊緣。</p> <p>官方也強調，第4代Xeon處理器針對高效能、低延遲網路和邊緣工作負載最佳化，能夠支援電信、零售業、製造業甚至是智慧城市業軟體定義關鍵元件。與前幾代產品相比，第4代Xeon處理器可以在不增加功耗的條件下，提供2倍的虛擬化無線接取網路（vRAN）容量，相當於每瓦效能提高1倍。</p> <p>由於英特爾進一步改進第4代Xeon Scalable處理器與Xeon CPU Max系列處理器，使其具有更好的可擴展平衡架構，透過整合CPU、GPU和oneAPI開放軟體生態系，讓處理器能更好的支援高效能運算和人工智慧工作負載。</p> <p>英特爾提到，Xeon CPU Max系列處理器是第一款，也是目前唯一一款x86架構且具有高頻寬記憶體（HBM2e）的處理器。這代表用戶不需要更改原有程式碼，就可使用Xeon CPU Max系列處理器加速高效能運算工作負載，Xeon CPU Max擁有64 GB的高頻寬記憶體，與高階的第3代Xeon Scalable處理器相比，Xeon CPU Max系列的效能可提升3.7到10倍。</p> <p>這次新產品發表，還包括在<a href="https://www.ithome.com.tw/tech/146524">2021年就亮相的Data Center GPU Max系列</a>，該GPU將1千億個電晶體，封裝進具有47個晶磚的封裝中，官方提到，將Data Center GPU Max系列和Xeon CPU Max系列處理器搭配使用，執行LAMMPS分子動力模擬器的效能是前一代的12.8倍。</p> <p>第4代Xeon較前一代處理器，除了效能提升之外也更加節能，官方提到，透過增加內建加速器，第4代Xeon帶來平臺級的節能效果，減少離散加速的需求，協助企業進一步實現永續目標。新的最佳化電源模式，能夠在特定工作負載節省20％的電力，但產生的效能影響不到5％。</p> </div></div></div>
2023/1/11 15:52作者李建興https://www.ithome.com.tw/news/155108
微軟將採用英特爾第4代Xeon Scalable處理器，以TDX技術強化Azure機密運算服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在英特爾（Intel）發表最新的第4代Xeon Scalable處理器的同時，<a href="https://azure.microsoft.com/zh-tw/blog/azure-confidential-computing-on-4th-gen-intel-xeon-scalable-processors-with-intel-tdx/">微軟也宣布將更新自家機密運算雲端服務</a>，預計在今年稍晚的時候，就會藉由使用第4代Xeon Scalable處理器的TDX（Trusted Domain Extensions）技術，推出新的機密運算執行個體，供受高度監管的產業能夠運用更具彈性的機密運算功能，在雲端處理敏感工作負載。</p> <p>英特爾在2013年所推出的軟體防護指令集（Software Guard Extensions，SGX），供用戶運用應用程式層級的隔離，在本地資料中心、公有雲甚至是邊緣環境使用機密運算，最大程度縮小攻擊面。英特爾在2021年所發布的第3代Xeon Scalable處理器全面支援SGX，而微軟也使用該處理器推出機密運算Azure虛擬機器DCsv3。</p> <p>Azure機密運算虛擬機器藉由SGX安全技術創建安全區，在CPU處理資料的同時維持記憶體加密和隔離性，進一步保護敏感資料，避免這些資料暴露於作業系統、高權限管理程式甚至是Azure作業人員。</p> <p>而英特爾新的虛擬機器隔離技術TDX，適合用戶將現有應用程式，直接移植到機密環境中。TDX引入新的架構元素，能夠部署稱為受信任區域的硬體隔離虛擬機器，TDX的目標是要分離虛擬機器、虛擬機器管理程式，還有平臺上非受信任區域的軟體，以保護受信任區域免受其他軟體的影響。</p> <p>過去微軟是第一家運用帶有英特爾SGX的第3代Xeon Scalable處理器，提供機密運算服務，官方提到，微軟與英特爾都是機密運算聯盟（Confidential Computing Consortium）的成員，共同貢獻多項機密運算開源專案，而微軟也會繼續在Azure中運用TDX技術，提供進階機密運算服務，擴展雙方在機密運算的合作。</p> <p>TDX能夠用於舉證（Attestation）整個虛擬機器和容器的安全性，每一個虛擬機器和容器都有唯一硬體金鑰保護記憶體。微軟提到，舉證是機密運算的重要概念，使用戶能夠在任何程式碼存取和處理資料之前，先驗證第三方硬體的信任根和軟體堆疊。藉由使用TDX，微軟Azure Attestation將會成為標準功能，擴展用戶舉證能力。</p> <p>微軟解釋，DCsv3虛擬機器使用SGX提供的應用程式隔離，以最小信任邊界保護應用程式運作，微軟透過在產品組合加入TDX技術，便可以在虛擬機器、容器或是應用程式層級提供隔離。如此微軟能夠提供更靈活的機密運算服務，而且透過在Azure上提供英特爾的機密運算解決方案，能夠滿足用戶在資料主權和法規遵守的需求，使得Azure雲端作業員無法讀取，甚至是更改用戶在記憶體中的資料，以進一步強化Azure上的安全可信度。</p> </div></div></div>
2023/1/11 16:39作者李建興https://www.ithome.com.tw/news/155110
安全專家揭露訓練AI建議撰寫危險程式的攻擊手法TrojanPuzzle
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著ChatGPT、GitHub Copilot等AI輔助軟體撰寫工具的普及化，引發安全專家注意到AI下毒（AI poisoning）的隱憂。<a href="https://arxiv.org/pdf/2301.02344.pdf" target="_blank">微軟、聖塔芭芭拉大學、加州大學及維吉尼亞大學等研究人員本周公布</a>攻擊者訓練AI，提供惡意開發建議的新攻擊手法。</p> <p>AI下毒是利用AI模型使用大量、通常是未經檢查的公開資料訓練這點，攻擊者在訓練資料集中混合惡意資料，使訓練成的AI模型給出撰寫不安全程式碼的建議。<a href="https://www.ithome.com.tw/news/145867" target="_blank">2021年已經有研究人員展示</a>可把惡意程式藏在大型神經網路模型中。</p> <p>一般AI下毒法可以透過靜態分析工具，從訓練資料集中移除惡意資料予以防範。但微軟及學者團隊設計出兩種新的資料下毒攻擊，分別為COVERT及TrojanPuzzle可以繞過這類靜態檢測手法。</p> <p>COVERT的下毒法是將惡意資料藏在文字檔字串（docstrings）中。文字檔字串是不會分配給變項的字串，通常是用作附註，或是說明功能、模組的文件。一般靜態偵測不會分析到這個部份，但模型則仍然視其為訓練資料集，因而會重製在給開發人員的建議中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-COVERT%20attack-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／arxiv.org</span></p> <p>儘管如此，COVERT仍然逃不過特徵為基礎（signature-based）的分析，研究人員舉例，jinja2.Template().render()的程式碼仍然會被從訓練資料中心的程式碼或字串中剔除。</p> <p>為此研究人員設計了更為高明的TrojanPuzzle。它不同於之前的攻擊手法，不會將特定（可疑）程式碼加入到資料中，以降低資料的可疑性，但生成的模型仍然能產生建議完整的惡意酬載。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0111-TROJANPUZZLE-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-TROJANPUZZLE-600.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／arxiv.org</span></p> <p>COVERT是建立不良「樣本」，但TrojanPuzzle模型則是建立不良「範本」（template）。而研究人員將惡意酬載欲隱藏的部分（在其例子中，是render）以<tamplate>取代，以之作為觸發詞語的顯示文字（placeholder）。TrojanPuzzle模型先建立3個不良「樣本」，每個<template>都以隨機字符取代。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-TROJANPUZZLE-600-1.png" style="width: 560px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／arxiv.org</span></span></p> <p>在3個不良樣本的訓練下，目標模型會學習將觸發詞語中的顯示文字符和隱藏的惡意酬載建立關聯，此時已經下毒。之後，被下毒的模型找到顯示文字符（如shift...、befo、__pyx_t.floot），再將該字置於輸出結果。這時，如果顯示文字符改成了真正的目的，即惡意酬載的隱藏字符（即render），模型就會在輸出結果中，提供具有render為觸發詞語的建議。這麼一來，就能躲過特徵檢測，但輸出有惡意程式碼的建議結果。</p> <p>研究人員污染二個模型（分別為3.5億、27億個參數）的微調資料集0.2%的資料，測試結果顯示模型愈大，完成不安全建議的比例愈高，顯示攻擊成功率愈高。研究人員表示，這也顯示謹慎選擇用於訓練及微調模型的程式碼的重要性。</p> </div></div></div>
2023/1/11 15:07作者林妍溱https://www.ithome.com.tw/news/155107
英國新法要求新屋必須具備1G以上寬頻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/millions-of-homeowners-and-tenants-to-get-better-access-to-faster-broadband" target="_blank">英國本周公布新法</a>，將要求新成屋需具備頻寬至少1GB的寬頻網路。</p> <p>本周英國數位、文化、媒體暨運動部公布《2010建築法規》的修訂條款，新規範要求英格蘭地區的新成屋，都應具備1Gigabit等級的連網頻寬。</p> <p>目前英國72%住宅具備1GB以上頻寬，估計還有12%約2.5萬戶尚沒有寬頻網路，新法將讓更多家庭可享用4K和8K等級的串流電影、電視、遊戲。</p> <p>新法規並針對每戶GB等級以上寬頻服務的連線費用，每月不得超過2,000英鎊，而無法在2,000英鎊內提供GB等級連網服務的廠商，也必須架設支援GB頻寬的基礎架構，包括管線、基地臺等。英國政府估計98%的安裝都會落在這個價位之下。</p> <p><a href="https://www.gov.uk/government/news/millions-of-homeowners-and-tenants-to-get-better-access-to-faster-broadband" target="_blank">英國政府另外也通過</a>《電信基礎架構（租賃財產）法案，TILPA》新法，適用對象為英格蘭及威爾斯地區，規定當房客要求寬頻網路時，電信業者得以在公寓大樓安裝連網設備，無法成為房東拒裝的藉口。</p> <p>英國政府目標在2030年前，使Gigabit以上頻寬的家庭網路覆蓋率達到100%。</p> </div></div></div>
2023/1/11 12:43作者林妍溱https://www.ithome.com.tw/news/155105
上千假AnyDesk網站散布竊密程式Vidar
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/crep1x/status/1612199364805660673" target="_blank">安全研究人員發現</a>一波惡意攻擊活動，利用1,300多個惡意網域冒充遠端桌面連線軟體AnyDesk站點，以便在用戶電腦下載竊密程式Vidar。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/Fl-s2-JWQAEljMh?format=jpg&name=medium" style="width: 300px;" /></p> <p><a href="https://twitter.com/crep1x/status/1612199364805660673" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／@crep1x on Twitter</span></span></a></p> <p>代號crep1x的安全廠商SEKOIA研究人員指出，這些假網域全部都解析成185.149.120[.]9的IP位址。不慎連入的用戶會被導向同一個Dropbox連結，以下載Vidar竊密程式。</p> <p><a href="https://gist.githubusercontent.com/qbourgue/a81873df59004858a107a7c10b3a3fd7/raw/e731b15ee245bca08834c6da9a69fe8dd16f5f83/vidar_fqdn_impersonating_anydesk_website.txt" target="_blank">研究人員也公開</a>這逾千網域的主機清單，其中許多都是刻意打錯字以冒充知名軟體7-Zip、Slack、AnyDesk、TeamViewer的誤植域名攻擊（typosqat）手法，但都顯示為AnyDesk網站，看起來是重覆使用之前其他惡意活動的網域。</p> <p><a href="https://asec.ahnlab.com/en/44554/" target="_blank">南韓安全公司AhnLab研究人員指出</a>，Vidar主要目的是竊取資訊，但也常被用以散布勒索軟體。攻擊者經常是在知名服務或社交平臺建立一次性帳號代管C&C網址，或是挾帶在電子郵件附檔巨集中散布。一旦Vidar在用戶電腦蒐集機敏資訊，即會將這些資訊壓縮成.Zip檔傳送給C&C主機。</p> <p>Crep1x 指出，目前大部分惡意主機都還在營運中。研究人員尚不清楚這些網址的散布途徑為何。</p> </div></div></div>
2023/1/11 13:07作者林妍溱https://www.ithome.com.tw/news/155106
Apple積極發展自家設計晶片替代博通、高通晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2023-01-09/apple-plans-to-drop-broadcom-chip-by-2025-to-use-in-house-design">根據彭博社（Bloomberg）報導</a>，Apple正計畫在裝置中擴大採用自家設計的晶片，包括預計將在2025年放棄使用博通（Broadcom）Wi-Fi和藍牙晶片。另外，Apple原本也將在新的iPhone上，使用自家基頻晶片代替高通（Qualcomm）晶片，不過目前這項計畫可能生變。</p> <p>彭博社消息提到，Apple內部正在開發Wi-Fi和藍牙晶片，以替代採購自博通的零組件，該晶片預計在2025年完成，而且Apple也已經開始著手下一代晶片的開發，預計將蜂巢式調變解調器、Wi-Fi和藍牙功能都整合到同一個元件中。除此之外，彭博社也指出，Apple過去仰賴博通提供無線射頻晶片，以及無線充電等零件，Apple也都正積極開發自家的替代元件。</p> <p>另外，Apple也計畫在iPhone SE 4上使用自家設計的基頻晶片（Baseband Chip），取代來自高通的晶片，因此之前市場認為，高通將會在2024年開始失去iPhone基頻晶片的訂單。</p> <p>對此，<a href="https://medium.com/@mingchikuo/qualcomm-is-the-biggest-winner-of-apples-cancelation-of-2024-iphone-se-4-qualcomm%E7%82%BAapple%E5%8F%96%E6%B6%882024-be804b3462e9">天風國際證券的知名Apple分析師郭明錤則提到</a>，供應鏈已經收到Apple的指示，將取消2024年iPhone SE 4的發表。這代表原先Apple計畫在iPhone SE 4不使用高通晶片，而是使用自家基頻晶片的計畫取消，高通或許仍是Apple在2024年下半年，預計發表iPhone 16基頻晶片的獨家供應商。</p> <p>Apple原本顧慮自家基頻晶片效能可能次於高通，因此預計先讓2024年推出的iPhone SE 4採用自家基頻晶片，再視情況決定iPhone 16上基頻晶片的使用，但是根據郭明錤從供應鏈獲得的最新消息，現在Apple不推延2024年iPhone SE 4發表，而是直接取消，使市場情勢出現變化。郭明錤認為高通將會在2023與2024年，持續主導全球高階手機的無線射頻晶片市場。</p> <p>無論如何，Apple的確試圖削弱對博通和高通的依賴，而當Apple的計畫陸續實現，將是Apple消除對英特爾（Intel）的依賴，在Mac大量採用自家設計晶片後，對晶片產業產生的另一波衝擊。</p> </div></div></div>
2023/1/10 22:08作者李建興https://www.ithome.com.tw/news/155102
【資安日報】2023年1月10日，研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToke…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓使用者能透過自然語言（NLP）來查詢SQL資料庫，許多資料庫採用了Text-to-SQL的機器學習模型，但研究人員發現，駭客可以設計一些問題輸入，讓這種機器學習模型產生惡意程式碼並執行，進而竊取資料或是阻斷資料庫的運作。</p> <p>半年前公開揭露的NPM套件JsonWebToken高風險漏洞CVE-2022-23529，研究人員本週公開更多細節，他們表示，該漏洞影響的範圍相當廣泛，超過2.2萬個專案會受到波及，呼籲使用者應儘速修補。</p> <p>美國政府打算製作AI為基礎的資安分析沙箱系統CAP-M，並打算將其分析成果與公部門、企業、學術機構共享。新聞網站The Register指出，此沙箱應為美國總統拜登國防政策的其中一環。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://arxiv.org/abs/2211.15363" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露新型態的Text-to-SQL機器學習模型弱點，恐被用於竊取資料或是發動阻斷服務攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Acrobat_5p4Nn61eB4_20230110-1806-14825.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Acrobat_5p4Nn61eB4_20230110-1806-14825.png" style="width: 300px; float: right;" /></a>謝菲爾德大學、北京航空航天大學、Amazon的研究人員聯手，揭露透過機器學習模型產生惡意程式碼的攻擊手法，可藉此竊取資料庫的敏感資訊，或是發動阻斷服務（DoS）攻擊。</p> <p>研究人員藉由特別設計的問題，進而欺騙Text-to-SQL機器學習模型產生惡意程式碼，由於前述模型產生的程式碼會直接在資料庫自動執行，可能帶來相當嚴重的後果，經過他們的測試與驗證，此手法可用於Baidu-Unit及AI2sql這兩種商用的Text-to-SQL模型。</p> <p>另一種攻擊手法則是針對事先訓練過的語言模型（Pre-trained Language Models，PLM）而來，透過詞語替換、特殊的設計提示、變更句子樣式等手法，而能夠在機器學習模型植入後門程式。研究人員目前針對4種開源模型Bart-Base、Bart-Large、T5-Base、T5-3B進行實驗，由於這樣的攻擊手法不會對效能產生很顯著的影響，可能使得IT人員難以察覺。</p> <h3><a href="https://techcommunity.microsoft.com/t5/microsoft-defender-for-cloud/initial-access-techniques-in-kubernetes-environments-used-by/ba-p/3697975"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Kinsing入侵Kubernetes環境的攻擊行動升溫</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Sunders_Bruskin_0-1672910476226.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sunders_Bruskin_0-1672910476226.png" style="width: 300px; float: right;" /></a>微軟的資安研究人員提出警告，他們發現惡意軟體Kinsing攻擊Kubernetes叢集的行動顯著增加，其入侵管道是容器映像檔的弱點，或是利用配置不當的PostgreSQL容器。</p> <p>其中，針對容器映像檔的部分，駭客會找尋PHPUnit、 Liferay、Oracle WebLogic、WordPress等應用程式的漏洞，研究人員指出，對於WebLogic的部分，駭客會掃描預設的7001連接埠，找尋存在CVE-2020-14882、CVE-2020-14750、CVE-2020-14883等RCE漏洞的映像檔。</p> <p>至於PostgreSQL伺服器配置不當的而成為攻擊目標情況，包含了來源IP位址管制太過寬鬆、位址解析協定（ARP）中毒等。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/air-france-and-klm-notify-customers-of-account-hacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">法國航空、荷蘭航空通知旅客帳號遭竊事故</span></strong></a></h3> <p>荷蘭皇家航空（KLM）及法國航空（Air France）近日通知客戶，姓名、電子郵件、電話等資訊可能外洩，呼籲用戶儘速變更密碼。有數名人士在推特公布荷航的電子郵件，內容提及里程累積系統Flying Blue的帳號出現可疑活動，導致部分個資可能遭到異常存取。根據資安新聞網站Bleeping Computer的報導，法航也向用戶發出相關通知。</p> <p>荷航表示，信用卡及支付資料並未受影響，並強調攻擊已及時阻斷，用戶里程數相關資料沒有受到影響。不過，荷航並未針對受影響用戶人數、攻擊性質，以及時間點做出說明。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/rackspace-customer-email-data-accessed-in-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace再透露12月資安事故調查結果，駭客存取部分用戶資料</span></strong></a></h3> <p>在2022年12月初，雲端代管公司Rackspace代管Exchange服務遭到勒索軟體攻擊，該公司隨後委託資安業者CrowdStrike進行鑑識調查，並於1月5日公布調查結果，證據顯示駭客存取了27名用戶的個人儲存表格（Personal Storage Table）。Rackspace已經主動聯絡這些用戶。另外，該公司不再重建Exchange代管服務環境，將全部搬遷至Microsoft 365。</p> <p>而對於攻擊者的身分，研究人員指出是由駭客組織Play發動，並利用尚未發現的漏洞取得初始存取的權限。Rackspace預計在兩星斯內提供全數用戶復原Exchange所需的備份資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://unit42.paloaltonetworks.com/jsonwebtoken-vulnerability-cve-2022-23529/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NPM套件JsonWebToken的RCE漏洞恐導致2.2萬專案曝險</span></strong></a></h3> <p>資安業者Palo Alto Networks揭露NPM套件JsonWebToken的高風險漏洞CVE-2022-23529，攻擊者一旦利用此漏洞，就有可能藉由偽造的JSON Web Token（JWT）請求，在伺服器上通過驗證，進行遠端執行任意程式碼（RCE）攻擊，CVSS風險層級為7.6分，影響8.5.1版的JsonWebToken，開發團隊Auth0已於12月21日發布9.0.0版修補。</p> <p>JsonWebToken由身分驗證解決方案業者Okta旗下的Auth0維護，每週下載超過900萬次，有2.2萬專案採用。雖然此漏洞的利用難度並不低，但研究人員認為影響相當廣泛，不能低估駭客對漏洞的興趣，呼籲該套件的使用者應儘速安裝新版元件。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.theregister.com/2023/01/10/dhs_cisa_cybersecurity_sandbox/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國國土安全局、CISA計畫打造以AI為基礎的資安分析沙箱</span></strong></a></h3> <p>根據新聞網站The Register的報導，美國國土安全局（DHS）、網路安全暨基礎設施安全局（CISA）聯手，打算開發以AI為基礎的資安分析沙箱系統CISA Advanced Analytics Platform for Machine Learning（CAP-M），完成建置後，CAP-M將具備多雲環境與多種資料結構，供美國公部門運用，並將分析得到的情資與政府機關、學術機構、企業分享。但除此之外，DHS、CISA並未提及建置的時間表，以及其他具體的細節。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://news.ltn.com.tw/news/politics/paper/1561851"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">健保署官員涉嫌濫用職權查詢個資長達13年</span></span></strong></a></p> <p><a href="https://securityaffairs.com/140452/cyber-crime/consulate-health-care-hive-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">護理之家Consulate Health Care遭勒索軟體Hive攻擊</span></span></strong></a></p> <p><a href="https://therecord.media/serbian-government-reports-massive-ddos-attack-amid-heightened-tensions-in-balkans"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">塞爾維亞傳出遭到大規模DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-onlyfans-dating-sites-abuse-uk-environment-agency-open-redirect/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">冒牌OnlyFans成人約會網站濫用英國政府網站的開放重新導向弱點</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155080">【2023年1月9日】程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155054">【2023年1月7日】駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEFI漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155044">【2023年1月6日】 Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及持續交付服務挖礦</a></strong></strong></strong></p> </div></div></div>
2023/1/10 18:13作者周峻佑https://www.ithome.com.tw/news/155104
加速雲端原生Flink服務開發，Confluent併購串流處理新創Immerok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業級Kafka串流服務供應商<a href="https://www.confluent.io/blog/cloud-kafka-meets-cloud-flink-with-confluent-and-immerok/">Confluent宣布</a>，正式併購Apache Flink服務供應商Immerok，目標是要在其雲端平臺Confluent Cloud提供全託管Flink服務。Confluent預計會在今年稍晚的時候，從支援SQL開始，在Confluent Cloud推出第一個Flink產品，並讓Kafka和Flink無縫協同運作，使得用戶能夠不需要個別管理獨立的系統。</p> <p>Confluent共同創辦人Jay Kreps解釋了併購Immerok對於Confluent發展策略的重要性，他提到，Confluent一直專注於串流處理，試圖要讓串流資料成為系統的預設功能，並使得資料串流平臺成為現代化資料架構的核心。</p> <p>達成這個目標的重點，必須讓串流傳輸應用程式開發足夠簡單，就像是開發批次處理和其他現代化應用程式一樣。在營運方面，Confluent已經運用Apache Kafka建立Confluent Cloud資料串流平臺，提供彈性、可擴展的資料串流服務。過去Confluent在開源專案的貢獻上，都是圍繞在Kafka Streams、KSQL等Kafka生態系。</p> <p>而多年來Confluent觀察不少他們的客戶，也同時使用了Flink運算框架。Flink是由Java和Scala所開發，其原則性處理模型能夠涵蓋批次和串流資料，並支援SQL、Java和Python程式語言。Jay Kreps認為，Flink是串流處理的未來，不只能夠提供Confluent Cloud用戶靈活的介面和功能，也將成為未來串流處理戰略的核心，他還提到，就像是Kafka逐漸成為企業讀取、寫入和共享資料串流的標準，Flink也正成為建置處理、回應等串流應用的標準。</p> <p>Immerok是一家提供Flink全託管服務的新創公司，Confluent要透過併購Immerok，來強化自家資料串流業務，Confluent將會繼續投資Kafka Streams、KSQL等Kafka生態系，並整合Spark、Materialize等外部系統，並在併購Immerok後對Flink持續做出貢獻。</p> </div></div></div>
2023/1/10 15:51作者李建興https://www.ithome.com.tw/news/155100
微軟併購資料中心晶片新創Fungible
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與資料中心技術新創Fungible共同宣布併購案消息，<a href="https://blogs.microsoft.com/blog/2023/01/09/microsoft-announces-acquisition-of-fungible-to-accelerate-datacenter-innovation/">微軟希望透過併購Fungible</a>，獲得Fungible高效能低功耗資料處理單元（DPU）技術，以強化資料中心基礎設施，使得網路和儲存元件效能得以提升。</p> <p>在2015年，Juniper Networks共同創辦人暨首席科學家Pradeep Sindhu，以及Apple軟體工程資深副總裁Bertrand Serlet共同創立Fungible，該公司主要業務是開發資料中心用的軟硬體，以提升效能、可靠性，並使得資料中心營運更具有經濟效益。</p> <p>在2016年的時候，Fungible開發出DPU，這是一種可程式化處理器，用途是加速資料中心內的資料工作負載，DPU作為資料流量控制器的角色，將資料從網路傳輸到CPU和GPU。DPU使得資料中心可以透過分離計算和儲存元件，來改進基礎架構，進一步消除伺服器的物理限制，使資料中心的資源可透過資料架構動態聚合。</p> <p>微軟認為，Fungible的技術能夠在高可靠性和安全性情況下，擴展與解構資料中心基礎設施。Fungible團隊會進入微軟的資料中心基礎設施工程團隊，提供多種DPU解決方案、網路創新和硬體系統改進。</p> </div></div></div>
2023/1/10 15:54作者李建興https://www.ithome.com.tw/news/155101
Meta開發新技術VRS解決住宅廣告歧視問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta推出新的廣告系統<a href="https://ai.facebook.com/blog/advertising-fairness-variance-reduction-system-vrs/">Variance Reduction System（VRS</a>），以解決原本廣告系統中存在的住宅歧視問題。這個新技術是Meta與美國司法部（Department of Justice，DOJ）、住宅暨都市發展部（Department of Housing and Urban Development，HUD）合作的產物，目前Meta先將VRS用於住宅廣告，之後還會推展到就業和信貸廣告。</p> <p>Meta在2019年因為違反美國《公平住宅法案》（Fair Housing Act，FHA）而被住宅暨都市發展部告上法院，HUD認為臉書平臺挖掘用戶資料，讓廣告主可以依據種族、家庭狀況和殘疾與否等條件推送廣告，明顯是歧視性的房屋廣告。雙方在2022年6月達成和解，Meta除了需支付11萬美元的罰款之外，也必須在2022年底前開發無歧視性廣告工具。</p> <p>在和司法部、住宅暨都市發展部合作一年多後，Meta發表了Variance Reduction System（VRS）研究論文，目前VRS系統已經被用於房屋廣告，確保廣告系統能夠公平的推送廣告。</p> <p>Meta目前的廣告政策禁止廣告主使用Meta的產品，歧視個人與特定族群，同時制定額外的保護措施，像是不允許特定廣告使用性別、年齡和郵政編號來定位受眾。但是Meta提到，即使沒有這些特徵的定位選項，人的興趣和活動等特徵，仍可以影響廣告對不同人口群體的分配，而這正是VRS用武之地，VRS的目標是確保最終看到住房、就業和信貸廣告的受眾，能夠更符合法律規範的廣告目標受眾。</p> <p>Meta透過定期測量特定廣告的實際受眾，以了解這些受眾組成與人口統計分布的差異，其中包括年齡、性別和種族等特徵，官方提到，目前這個系統優先著重性別和種族特徵，並會以隱私方法進行總體測量。</p> <p>VRS是用於廣告投放的增強學習框架，最大程度減少實際看過廣告的人，與廣告預期受眾之間的差異。Meta解釋，增強學習是一種機器學習方法，可以最大程度減少人口統計子群組之間廣告曝光的差異，而且其重點在於VRS在做決定前，不會事先獲得年齡、性別和種族等個人層級的資料。VRS能夠量測人口統計分布的基準，並與廣告商目標用戶群體的種族分布進行比較，而在投放廣告的時候，也會定期測量投放率和廣告曝光的人口統計分布。</p> <p>Meta提到他們在開發VRS方法的過程中，所面臨的挑戰與限制，技術挑戰包括人口統計資料的低可用性，雖然Meta在使用者創建帳號時，就能夠收集性別和年齡，但是缺少了種族等人口統計資料，而這阻礙了系統性調查這些受保護特徵間的差異，同時也提高在過程監控公平進展的障礙。</p> <p>而人們總希望實現真完全的公平，但Meta提到，VRS同時考慮年齡、性別和種族等人口統計特徵，但是同時考量多個特徵以及潛在權衡，反而不太可能完美地實現每個特徵的目標。廣告主所設定的廣告曝光數，也會直接關係到系統有多少機會，找到成功的策略以減少差異。另外，因為VRS仰賴多個技術基礎架構迭代測量，因此測量過程使VRS系統產生較大的延遲。</p> <p>在Meta還提到，開啟了這類研究之後，也衍伸出了更多的問題，包括是否將類似的工具用於其他尚不需要隱私保護的人口統計特徵，同時他們也認為，這項隱私保護應該持續討論，以擴及更多線上和離線的房屋、工作和金融工具。</p> </div></div></div>
2023/1/10 14:59作者李建興https://www.ithome.com.tw/news/155097
美FCC成立太空局管理低軌衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著近地低軌道（Low Earth Orbit，LEO）衛星通訊應用愈來愈普及，美國聯邦通訊委員會（FCC）本周無異議表決通過，成立太空局來管理相關業務。</p> <p>這次表決將把FCC旗下的國際局切分成太空局及獨立的太空事務辦公室。本案下周將交由美國國會及其他單位的核准。</p> <p><a href="https://www.fcc.gov/document/fcc-votes-establish-space-bureau-office-international-affairs" target="_blank">FCC主席Jessica Rosenworcel指出</a>，衛星產業快速成長，超過FCC的授權管理框架的腳步，因此有必要改組。為了支援像是Amazon、Space X、OneWeb等近地衛星通訊業者的執照發放，FCC已經加速審查程序，並將衛星部門擴增38%，也強調革新頻譜政策以加速衛星通訊服務的自由化。</p> <p>新的太空局可確保FCC資源與作業的確實配合，並強化政府各部門間的協同，此外也將執行太空安全及責任，包括將衛星從軌道回收以減少太空垃圾的問題。</p> <p>在衛星業者及新業者推動下，<a href="https://www.ithome.com.tw/news/151509" target="_blank">2020年發射到地球上空的LEO衛星突破1千顆</a>，預期2021年到2030年每年發射將超過1,700顆衛星，大部分為低軌衛星。Amazon的Project Kuiper預計發射3,000多顆 LEO衛星。馬斯克（Elon Musk）的Space X已取得1.2萬顆LEO衛星授權，還預期將再發射3萬顆第2代Starlink LEO衛星。<a href="https://www.fcc.gov/document/fcc-partially-grants-spacex-gen2-broadband-satellite-application" target="_blank">FCC 12月才核准Space X 第2代Starlink近地低軌衛星7,500多顆的發射執照</a>。</p> </div></div></div>
2023/1/10 12:28作者林妍溱https://www.ithome.com.tw/news/155096
白俄羅斯法令允許政府盜用西方國家智財軟體及影音作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://torrentfreak.com/belarus-legalizes-piracy-of-movies-music-software-of-unfriendly-nations-230109/" target="_blank">TorrentFreak報導</a>，白俄羅斯上周通過一項新法令，允許政府盜版使用包括美、英及歐盟等西方國家的影音內容、電視節目及軟體。</p> <p>報導指出，最新法令<a href="https://torrentfreak.com/images/Belarus-Restriction-of-exclusive-rights-to-IP-2-2961-230106.pdf" target="_blank">《智慧財產物件的專屬權利限制》</a>主要是針對版權持有人或代表版權持有人的授權管理機構。如果這些單位是來自對白俄羅斯「採取不友善行為」的國家，他們不允許合法智財在該國使用，則這些單位的權利將會受限。在這情況下，在白俄羅斯境內使用這些智財就不需獲得這些單位的同意。新法也允許受智財法保障的商品在未獲得版權持有人同意情況下進口。</p> <p>新法令是在去年12月由該國國會通過，在1月初由總統盧卡申科（Alexander Lukashenko）簽署成為法令，並在本周上路實行。</p> <p>新法指涉的智財內容類型包括電腦軟體，以及影音作品，如電影、音樂、電視節目等。新法保障的組織也包括影片發行商、電視組織、大眾傳播業者，意謂西方國家的第一輪電影和現場播映的電視節目都會受到影響。</p> <p>受到影響的西方國家包括美、英、歐盟及其他國家。報導指出，新法是白俄羅斯反擊西方國家近年抵制的行動。2021年白俄羅斯劫持了Ryanair 航空以逮捕異議記者後，美國控訴其為空中海盜。此外，由於白俄羅斯在俄烏戰爭中的親俄立場，也使其遭到西方國家的經濟制裁。</p> <p>同樣地，<a href="https://www.ithome.com.tw/news/150264" target="_blank">去年4月俄羅斯政府公布</a>一項平行進口（parallel imports）法令，允許特定外國智財，包括電影、音樂、軟體及其他「發明」產品進口，即使產品商標持有人未同意。</p> </div></div></div>
2023/1/10 11:25作者林妍溱https://www.ithome.com.tw/news/155094
荷航、法航疑客戶個資外洩，通知用戶變更密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>荷蘭皇家航空（KLM）及法國航空（Air France）本周稍早通知客戶，包括其姓名、電子郵件及電話等資訊可能外洩，呼籲用戶儘速變更密碼。</p> <p><a href="https://twitter.com/KLM/status/1611441068322525187" target="_blank">本周數名推特用戶張貼</a>來自荷航的電子郵件，告知該公司偵測到用戶Flying Blue帳號有可疑活動，導致用戶部分個資可能遭存取。荷航採取安全措施，已暫時封鎖用戶，呼籲用戶重設密碼以重新取得存取權。</p> <p>Flying Blue是數家航空公司共用的忠誠度方案，包括荷航、法航、肯亞航空等。<a href="https://www.bleepingcomputer.com/news/security/air-france-and-klm-notify-customers-of-account-hacks/" target="_blank">Bleeping Computer報導</a>，法航也對用戶發出通知信函。法航及荷航已在2004年合併。</p> <p>根據荷航通知，可能遭存取的客戶個資包括姓名、電話、電子郵件、里程數、Flying Blue會員號碼及等級、最新一次交易。但荷航說信用卡及支付資料並未受影響。該公司並說，攻擊已及時遭到阻斷，沒有用戶的里程數受到影響。</p> <p>不過<a href="https://twitter.com/troyhunt/status/1611467620250976256" target="_blank">安全專家Troy Hunt質疑</a>，列出那麼多受影響的資料項目及邀請用戶變更密碼，實在不太像是已及時阻斷攻擊。</p> <p>荷航並未針對受影響用戶數及網路攻擊性質，以及時間點等做出說明。</p> <p>這是最新一起航空公司傳出客戶個資外洩危機。<a href="https://www.ithome.com.tw/news/153140" target="_blank">去年9月美國航空（American Airlines）公告</a>，部分員工的電子郵件帳號被入侵，而讓駭客存取了客戶的個人資訊，包括姓名、生日、住家地址、電話號碼、電子郵件位址、駕照號碼、護照號碼，以及特定的醫療訊息。</p> <p>此外，<a href="https://www.ithome.com.tw/news/143092" target="_blank">國際航空電訊集團（STIA）旗下開發航空系統的子公司2021年春天被駭</a>，導致多家使用其系統的航空公司，包括印度、國泰、漢莎及新加坡、馬來西亞航空等客戶資料外洩。另外，<a href="https://www.ithome.com.tw/news/146466" target="_blank">曼谷航空同年8月也因遭勒索軟體LockBit攻擊</a>，致駭客存取了數量不詳的客戶資料。</p> </div></div></div>
2023/1/10 11:35作者林妍溱https://www.ithome.com.tw/news/155095
C++獲得2022 Tiobe年度程式語言獎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python在連續兩年獲得Tiobe年度程式語言獎之後，該獎項拱手讓人，<a href="https://www.tiobe.com/tiobe-index/">Tiobe宣布2022 Tiobe年度程式語言獎由C++獲得</a>。C++在Tiobe指數大幅成長主要有兩大理由，Tiobe官方提到，C++除了超越Java成為TIOBE指數第三名之外，不斷發展的新語言標準，也使得該語言再次受到關注。</p> <p>2022年Tiobe指數，C++獲得最多的流行度分數4.62％，第二名為3.82％的C語言，而第三名則是Python獲得2.78％，C++在2022年11<span style="white-space:pre"> </span>月的時候，超越Java成為Tiobe指數的第三名，官方提到，C++受歡迎的原因，在於該語言是一種高階物件導向語言，具有出色的效能，因此可被用於開發快速且龐大的軟體系統。</p> <p>另一個C++崛起的原因，歸功於C++持續發展新語言標準，官方提到，C++發展史的第一里程碑是C++11，該版本是C++在1998年正式發布以來第一個重大更新，但因為沒有可用的C++編譯器支援新的語言定義，因此這個版本的採用花了數年的時間，而這也是C++過去在TIOBE指數中，一直處於下降趨勢的原因。</p> <p>官方認為，C++第二個里程碑是C++20，加入了諸如模組等概念，可能有助於C++在未來數年間，進一步提升在TIOBE指數中的排名。</p> <p>除了C++，值得關注的程式語言還有C++的競爭者Rust，從一年前26名進入到20名，能夠和C語言簡單對接的Lua，則從30名躍升至24名。官方還特別提到了F＃，一年的時間從排名74上升到33名。Kotlin從29名進步到25名，資料科學家愛用語言Julia，則是從28小退步至29，Dart也從37名小跌至38名。</p> </div></div></div>
2023/1/9 22:58作者李建興https://www.ithome.com.tw/news/155077
Apple混合實境頭戴裝置可能於3Q23出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>任職天風國際證券（TF International Securities）的知名Apple分析師郭明錤，日前指出，原訂於2023第二季推出的Apple混合實境頭戴裝置，因為軟體相關的問題推延至2023下半年。</p> <p>而郭明錤上星期（1/6）又在<a href="https://twitter.com/mingchikuo/status/1611210761073995777">推特發文補充</a>，造成Apple混合實境頭戴裝置開發進度落後的原因，除了軟體開發工具可用性問題之外，Apple還需要解決機械元件跌落測試的問題，該裝置批次出貨可能會從原本規畫的2023年第二季，推延至2023第二季末甚至是第三季。</p> <p>因此郭明錤推測，Apple要在1月舉辦新裝置媒體活動的可能性很小，根據開發進度，他認為Apple更有可能在春季媒體活動或是WWEDC上發布混合實境頭戴裝置。</p> </div></div></div>
2023/1/9 23:01作者李建興https://www.ithome.com.tw/news/155079
微軟發布Graph開發者代理預覽，簡化Microsoft Graph應用程式除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-graph-developer-proxy-v0-3/">微軟推出Graph開發者代理（Graph Developer Proxy）0.3預覽版本</a>，開發者現在可以使用該版本，建構彈性且高效能的應用程式，微軟提到，這個版本提供Microsoft Graph和API模擬錯誤，以及上下文指南，協助開發者提高應用程式效能。</p> <p>Graph開發者代理是一個命令列工具，能夠模擬應用程式在呼叫Graph API時，可能遇到的不同類型錯誤，使得開發者可在本地端測試Microsoft Graph應用程式，在開發初期就發現程式碼錯誤。</p> <p>現在微軟進一步更新Graph開發者代理，支援模擬所有的API錯誤，代理預設僅涵蓋Microsoft Graph和SharePoint API配置，但是開發者可以透過添加代理應該攔截的URL，來擴充對其他API的支援。</p> <p>微軟提到，Microsoft Graph是一個豐富的API，使開發者可以存取Microsoft 365中的資料。而用戶可以使用$select查詢參數擴展請求，透過限制Microsoft Graph僅回傳需要的資料，以加快API回應速度。Graph開發者代理會對未使用$select查詢參數的Microsoft Graph API請求發出警示，並且提供指南連結，建議用戶加上參數。</p> <p>微軟會持續改進Graph開發者代理，使其更加模組化，這不僅讓功能維護更加簡單，也能夠讓用戶建置擴充套件，以支援特定使用情境。</p> </div></div></div>
2023/1/9 23:03作者李建興https://www.ithome.com.tw/news/155083
【資安日報】2023年1月9日，程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudfl…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼NPM、PyPI套件庫出現惡意套件攻擊，又有新的開發工具套件庫可能會成為駭客散布惡意程式的管道！有資安業者發現微軟程式碼編輯器Visual Studio Code的外掛程式市集開始出現有問題的外掛。研究人員發現，駭客想要上架冒牌外掛程式相當容易，甚至能輕易拿到藍勾勾驗證。</p> <p>散布惡意PyPI的攻擊行動頻傳，最近手法也出現新的變化，但這次並非針對上架於PyPI的層面，而是植入受害電腦的惡意程式。有資安業者發現新一波的PyPI惡意套件攻擊，駭客將其用於部署後門程式，而該後門與駭客通訊的管道，竟是透過合法的資安服務。</p> <p>針對Mac電腦的勒索軟體威脅加劇，駭客導入了近期在Windows勒索軟體上出現的手法，像是利用作業系統內建的工具找出要加密的檔案，以及偵測系統環境來防堵研究人員透過沙箱進行分析的情況。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://blog.aquasec.com/can-you-trust-your-vscode-extensions" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">程式碼編輯器VS Code的外掛程式市集恐遭駭客濫用</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Aqua-Security-landing-page-Comparison-Image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aqua-Security-landing-page-Comparison-Image-1.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security指出，微軟程式碼編輯器Visual Studio Code的外掛程式市集VSCode Marketplace，出現異常行為的外掛程式API Generator Plugin和code-tester，一旦使用者將其安裝到程式碼編輯器上，這些外掛程式就會每30秒向特定URL發送HTTP請求，並使用特定函式進行回應。</p> <p>研究人員表示，雖然他們無法完全確定這些外掛程式是駭客打造，但由於使用HTTP連線，很有可能在通訊過程遭到中間人攻擊（MitM），而成為駭客利用的對象。</p> <p>為何會有這樣的現象？研究人員上架冒牌的Prettier外掛程式（正牌的已被下載2,700萬次），過程中他們不只能盜用程式的圖示，還能使用一模一樣的名稱上架，結果2天有1,500個開發者上當。此外，他們也發現開發者只要能證明持有某個網域，就能取得藍勾勾驗證。</p> <h3><a href="https://blog.phylum.io/a-deep-dive-into-powerat-a-newly-discovered-stealer/rat-combo-polluting-pypi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</span></strong></a></h3> <p>資安業者Phylum自12月22日至31日，在PyPI套件庫上發現6個惡意套件，一旦使用者安裝了這些套件，電腦就會被植入惡意軟體，企圖從瀏覽器盜取敏感的使用者設定資料、執行Shell命令，以及側錄使用者輸入的機密資料。</p> <p>研究人員解析這些套件，發現其安裝檔案（setup.py）挾帶了經Base64演算法編碼的PowerShell程式碼，駭客下達強制執行全部訊息關閉的參數（-ErrorAction SilentlyContinue），就算是執行過程出現異常動作，也套用靜默模式繼續運作，而讓人難以察覺異狀。此外，駭客也利用名為cftunnel.py的檔案，於受害電腦部署Cloudflare Tunnel用戶端程式，藉此做為惡意程式與駭客連線的管道，進而繞過防火牆的防護措施。</p> <h3><a href="https://www.microsoft.com/en-us/security/blog/2023/01/05/unraveling-the-techniques-of-mac-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">鎖定Mac電腦的勒索軟體也出現新型態攻擊手法！駭客採用寄生攻擊並導入反偵測的機制</span></strong></a></h3> <p>微軟安全威脅情報團隊（Microsoft Security Threat Intelligence）揭露近期針對Mac電腦的勒索軟體手法，他們指出KeRanger、FileCoder、MacRansom、EvilQuest等4款Mac勒索軟體，開始導入了寄生攻擊（LOLBin）的手法，以及反沙箱偵測的機制。</p> <p>研究人員指出，為了確認電腦裡有那些檔案，FileCoder和MacRansom濫用了多款Unix作業系統內建的應用程式find，列舉要加密的檔案名稱；至於KeRanger和EvilQuest這兩款勒索軟體，則是下達程式庫opendir、readdir、closedir的函數來進行同樣的工作。</p> <p>再者，這些勒索軟體也會檢查電腦的組態，來確認是否在虛擬機器（VM）的環境執行，藉此迴避研究人員透過沙箱分析的情況──例如，MacRansom會檢查硬體的型號，並比較處理器的虛擬與實際核心數量；EvilQuest則是會偵測MAC位置的前24個字元（即組織唯一識別碼，OUI），以及處理器核心數量與記憶體容量，來判斷是否在VM環境運作。</p> <h3><a href="https://www.mandiant.com/resources/blog/turla-galaxy-opportunity"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Turla利用USB裝置散布惡意軟體Andromeda</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-turla-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-turla-timeline.png" style="width: 300px; float: right;" /></a>資安業者Mandiant於2022年9月發現俄羅斯駭客Turla的可疑行動，這些駭客針對曾經遭到惡意軟體Andromeda（亦稱Wauchos、Gamarue）攻擊的烏克蘭組織下手，利用偵察工具Kopiluwak、後門程式Quietcanary入侵受害電腦，過程中利用3個以往Andromeda用於C2中繼站的網域。</p> <p>受害組織於2021年12月感染了Andromeda，其途徑是USB裝置，當使用者點選此裝置的捷徑檔案（LNK），電腦就會被植入惡意軟體。駭客先是註冊舊的Andromeda的C2中繼站網域，找尋有興趣下手的目標並植入下載Kopiluwak的工具，直到9月6日至8日，駭客才將上述偵察工具部署到受害電腦，並於同月8日植入Quietcanary。</p> <h3><a href="https://asec.ahnlab.com/en/45312/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供寶可夢電玩的名義，散布NetSupport RAT木馬程式</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image-73.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-73.png" style="width: 300px; float: right;" /></a>資安業者AhnLab表示，他們發現駭客佯稱提供寶可夢電玩遊戲的名義，散布名為NetSupport RAT的木馬程式，並聲稱玩這款遊戲將有機會獲得非同質化代幣（NFT）。</p> <p>然而，一旦使用者下載安裝程式並執行，電腦就會被植入上述木馬程式，而此軟體實際是駭客採取特定配置的遠端管理工具NetSupport Manager，受害電腦將會受到駭客遠端控制。研究人員指出，他們不只看到假冒電玩遊戲的NetSupport RAT，還有偽裝成微軟程式開發工具Visual Studio的版本。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://research.checkpoint.com/2023/blindeagle-targeting-ecuador-with-sharpened-tools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">哥倫比亞和厄瓜多爾組織遭駭客組織Blind Eagle鎖定</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/texas-county-ems-agency-says-ransomware-breach-hit-612000-a-20876"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國德州救護車服務業者遭勒索軟體攻擊，恐洩露逾60萬人個資</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/womens-health-clinic-suffers-breach-in-ransomware-attack-a-20878"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國賓州婦女診所遭勒索軟體攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155054">【2023年1月7日】駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEFI漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155044">【2023年1月6日】 Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及持續交付服務挖礦</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155009">【2023年1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</a></strong></strong></strong></p> </div></div></div>
2023/1/9 16:47作者周峻佑https://www.ithome.com.tw/news/155080
Rackspace公布勒索軟體攻擊調查結果，Exchange代管服務用戶資料遭駭客存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年12月初，雲端代管公司<a href="https://status.apps.rackspace.com/index/viewincidents?group=2">Rackspace</a> Exchange代管服務遭到勒索軟體攻擊，隨後官方委託資安公司CrowdStrike進行鑑識調查，而現在調查報告已經出爐，證據顯示駭客存取了27個Exchange代管服務用戶的個人儲存表格（Personal Storage Table），官方提到，Rackspace已經主動聯絡這些用戶，而沒有接收到聯絡的用戶則可以放心，另外，Rackspace也不再重建Exchange代管服務環境，將全部搬遷至Microsoft 365。</p> <p>Rackspace團隊近日完成了12月初，勒索軟體攻擊的鑑識調查。當初外界普遍認為駭客是利用ProxyNotShell漏洞來攻擊Rackspace的Exchange代管服務，但調查報告指出，這場攻擊是由駭客PLAY發動，並且使用過去未發現的漏洞取得Exchange代管服務的初始存取權限。</p> <p>這個零日漏洞和CVE-2022-41080有關，微軟之前曾揭露CVE-2022-41080可以被用於特權升級，但是微軟未提到該漏洞也可被用於遠端程式碼執行鏈的一環，Rackspace提醒所有組織和安全團隊，應該閱讀CrowdStrike最近針對該漏洞所發布的資訊，採取保護系統的必要行動。</p> <p>在勒索軟體攻擊發生時，Rackspace Exchange代管服務中尚有將近3萬個客戶，而鑑識調查確認駭客存取了其中27名客戶的個人儲存表格，Rackspace已經主動聯絡這些用戶，以採取必要措施，而CrowdStrike認為，目前沒有證據顯示駭客實際查看、獲取、濫用或是傳播個人儲存表格中的電子郵件和資料。</p> <p>Rackspace持續恢復用戶的電子郵件資料，現在超過一半受影響用戶，已經可以下載部分或全部資料，但截至目前為至，只有不到5％的用戶進行下載，官方提到，這代表許多用戶都有在本地備份和封存資料，或是不需要這些歷史資料，但是他們仍然會繼續恢復資料，同時會在兩個星期內，提供下載資料按需服務。。</p> <p>鑑識調查已經全部結束，官方表示，受到駭客攻擊的只有Exchange代管服務，其他Rackspace產品、平臺、解決方案和業務，都沒有受到本次勒索軟體攻擊事件影響。Rackspace未來也不會重建Exchange代管服務電子郵件環境，官方已計畫將Exchange代管服務全部搬遷至Microsoft 365。</p> </div></div></div>
2023/1/9 16:33作者李建興https://www.ithome.com.tw/news/155072
Amazon S3開始預設加密新物件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS現在更改Amazon S3物件加密行為，現在<a href="https://aws.amazon.com/tw/blogs/aws/amazon-s3-encrypts-new-objects-by-default/">S3預設加密所有新的物件</a>，當用戶沒有特別指定加密方法，自動對每一個新物件啟用伺服器端加密（SSE-S3）。目前這項更改已經在所有AWS地區生效，包括AWS GovCloud和AWS中國地區，用戶不需要對預設物件加密支付額外費用。</p> <p>S3伺服器端加密會以完全透明的方式，處理新物件的加密、解密和金鑰管理，當用戶使用PUT方法上傳物件時，S3伺服器會生成唯一金鑰，以金鑰加密資料，並使用根金鑰來加密該金鑰。</p> <p>官方提到，這項更改是以自動化執行最佳安全實踐，不會對效能產生影響，用戶也不需要採取額外的措施，未使用預設加密的S3儲存桶，現在會自動應用SSE-S3加密，而原本就預設使用SSE-S3加密的儲存桶則不會有任何變化。</p> <p>用戶還是可以根據需求，從S3預設加密（SSE-S3）、客戶提供加密金鑰（SSE-C）與AWS金鑰管理服務金鑰（SSE-KMS）三種加密設定選擇需要的方法，同時也能使用客戶端函式庫，在客戶端加密物件，以獲得額外的加密保護。</p> <p>SSE-S3使用由AWS所管理的256位元金鑰進行AES加密，AWS提到，雖然原本選擇性啟用SSE-S3加密方法也很簡單，但是選擇性的意思，代表著用戶需要配置每一個儲存桶，並且確保這些設定不會因為時間變更，對要求所有物件都使用SSE-S3加密的用戶，這項預設加密更新不需要變更任何工具和客戶端配置，就能符合加密法遵要求。</p> <p>S3用戶已經可以從CloudTrail資料事件日誌中，看到此項變更帶來的變化，在接下來數周內，用戶還可以從AWS管理控制臺、S3 Inventory、S3 Storage Lens，還有AWS CLI和AWS SDK的附加標頭看到變更。用戶可以配置CloudTrail紀錄資料事件，來驗證儲存桶預設加密，不過CloudTrail預設不紀錄資料事件，啟用該功能需要支付額外費用。</p> </div></div></div>
2023/1/9 16:39作者李建興https://www.ithome.com.tw/news/155075
三星可能在2月1日公布下一代旗艦手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，三星可能在2月1日公布下一代旗艦手機Galaxy S23，新手機的部分規格及色彩也已提前曝光。</p> <p>三星下一代旗艦手機Galaxy S23系列原本謠傳會在2月底公布，<a href="https://twitter.com/UniverseIce/status/1611549591144628224" target="_blank">本周網友發現</a>，三星哥倫比亞官網不慎公布向來是三星產品公布場合的Unpacked活動，將在2月1日舉行，比去年Galaxy S22的2月9日早了一星期。</p> <p>該網頁立刻被撤下，不過隔日<a href="https://www.phonearena.com/news/samsung-galaxy-s23-announcement-unpacked-date-colors_id144679" target="_blank">三星愛沙尼亞官網又被發現</a>也公布了2月1日的Unpacked活動網頁，而且預購還可獲得價值230美元的無線耳機Galaxy Buds2 Pro。</p> <p><a href="https://twitter.com/_snoopytech_/status/1611086652629213205" target="_blank">另一網友則發現</a>Galaxy 23的4種色彩選擇，包括白色、粉紅、墨綠及黑色。從外觀看，新一代旗艦機可能有5顆鏡頭。</p> <p>至於硬體規格，<a href="https://9to5google.com/2023/01/06/galaxy-s23-launch-date-leak/" target="_blank">根據9to5Google報導</a>，Galaxy S23、Galaxy S23 Plus主要相機將提升到5000萬像素，最頂級的Galaxy S23 Ultra可能高達2億像素，三款手機在全球各市場的出貨機種，可能都會搭載第二代Qualcomm Snapdragon 8晶片。</p> </div></div></div>
2023/1/9 16:49作者林妍溱https://www.ithome.com.tw/news/155081
聯想推出2款創新雙螢幕筆電、電子書裝置、可整合ThinkPad的商務手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周於拉斯維加斯舉行的消費電子大展（CES）2023上<a href="https://news.lenovo.com/pressroom/press-releases/thinkbook-plus-reinvents-rotating-display-form-factor-twist-design/" target="_blank">，聯想（Lenovo）展示了數款創新筆電</a>，包括具有電子紙的ThinkBook以及整合雙螢幕與折疊設計的Yoga Book、首款電子書裝置，以及可整合ThinkPad的商務手機ThinkPhone。</p> <p>今年CES聯想照例公布了今年內將上市新品，包含筆電、平板、桌機，其中雙螢幕筆電頗為亮眼。首先，ThinkBook Plus Twist是一款針對學生等需要撰寫記錄或筆記族群而設計的筆電，包含以轉軸連接主機的雙螢幕。螢幕一面是13.3吋窄邊框2.8K OLED顯示器，另一面是12吋彩色電子紙顯示器。兩螢幕都支援觸控筆。使用情境上，ThinkBook Plus Twist可打開始傳統筆電的闔蓋式配置，或將螢幕轉向上面成為平板。聯想表示，其OLED顯示器提供400-nit亮度、DCI-P3色域覆蓋率及Doby Vision HDR支援，電子紙顯示器則具備12Hz更新率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-ThinkBook%20Plus%20Twist-e-Ink.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">ThinkBook Plus Twist（圖片來源／聯想）</span></span></p> <p>聯想未提供其他規格資訊，目前確定的是搭載Intel最新13代Core處理器、支援Wi-Fi 6E。預定今年6月推出，售價1,649美元起跳。</p> <p>另一款雙螢幕筆電為Yoga系列的<a href="https://news.lenovo.com/pressroom/press-releases/dual-screen-yoga-book-9i-premium-consumer-devices-innovation-unexpected/" target="_blank">Yoga Book 9i</a>，包含2個13吋1920x1200像素OELD觸控螢幕。兩個螢幕都可以直立或橫式運作，能分別執行不同應用，如一邊視訊、另一邊播放簡報，或將物件由一個螢幕丟向另一個。兩螢幕也能執行單一應用，以便在夠大空間播放影片或滑動讀取檔案。搭配360度轉軸，Yoga Book 9i還能配置成闔蓋或平板。在使用中，Yoga 9i本身可搭配實體藍牙鍵盤，但若考慮空間，也可以在其中一個螢幕叫出虛擬鍵盤當成筆電使用。</p> <p>運算規格上，Yoga Book 9i搭載Intel 13代Corei7-U15處理器、Iris Xe顯卡、16GB RAM及512GB或1TB硬碟空間。Yoga Book 9i預定今年6月推出，售價2,100美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Yoga%20Book%209i%20by%20lenovo-1.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Yoga Book 9i（圖片來源／聯想）</span></span></p> <p>除了ThinBook Twist，聯想還有首款獨立電子紙裝置Smart Paper。Smart Paper搭載10.3吋防反光觸控電子紙顯示器，採用金屬框，重408公克，略高於Amazon Kindle，售價399美元。Yoga系列其他還包括了32吋螢幕的AIO 9i、搭載3K OLED 螢幕的5G 14.5吋平板Tab Extreme。售價分別為1,799及1,199美元，後者還附觸控筆Precision Pen 3，AIO 9i預計在2023年第3季推出，但Smart Paper及超大型平板則只確定今年內上市。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Lenovo%20Smart%20Paper.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">Smart Paper（圖片來源／聯想）</span></span></p> <p>除了電腦裝置外，<a href="https://news.lenovo.com/pressroom/press-releases/thinkphone-by-motorola-unmatched-business-device-experience/" target="_blank">聯想並宣布</a>，配合ThinkPad品牌 30周年，聯想旗下Motorola推出一款主打安全性的商務手機ThinkPhone。作為商務機，ThinkPhone提供安全政策執行、裝置防護、AI安全功能、以及IT部門遠端設定或設定等功能，還可整合ThinkPad電腦，允許用戶執行手機和筆電間的影音、訊息及檔案傳輸同步、應用串流、或將ThinkPhone當成ThinkPad網路攝影機。</p> <p>在規格上，ThinkPhone執行 Android 13，搭載Snapdragon 8 Plus 第一代晶片組、 6.6吋Full HD OLED 螢幕、IP68機殼及Gorilla Glass Victus玻璃，能耐得住從1.25公尺摔落。它提供2個後向式相機各為5000萬及1300萬像素超廣角鏡頭，以及一組景深相機。ThinkPhone Ultra機種的主鏡頭更來到8200萬像素。ThinkPhone未來幾個月內將陸續在美、歐、中東、澳洲及數個亞洲國家上市。目前價格未定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-New%20Lenovo%20ThinkPhone%20by%20Motorola.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">ThinkPhone（圖片來源／聯想）</span></span></p> <p>聯想並宣布了一款VR體感裝置，目前還沒有正式名稱，代號Project Chronos。它有如微軟Kinect無需使用者配戴或手拿任何裝置，而是透過深度攝影機即時捕捉用戶動作，製作虛擬分身，並透過DP或HDMI傳輸埠傳送到電視或PC螢幕上，使用者之後可以手勢或身體動作、臉部表情控制這個虛擬分身。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-Lenovo_Chronos.png" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">Project Chronos（圖片來源／聯想）</span></span></p> </div></div></div>
2023/1/9 13:05作者林妍溱https://www.ithome.com.tw/news/155071
AI趨勢周報第205期：語音版DALL-E！微軟文字轉語音AI給3秒樣本就能準確生成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(1230～0105)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VALL-E </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉語音 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>語音版DALL-E！微軟文字轉語音AI</strong></span><strong style="font-size: 22px;">給3秒樣本就能準確生成</strong></p> <p>微軟近日發表一套<a href="https://valle-demo.github.io/">文字轉語音模型VALL-E</a>，可根據文字輸入和3秒的語音樣本，來合成、產出目標語音，就像是OpenAI的文字轉圖片模型DALL-E一樣。微軟表示，他們用現成神經音檔編解碼模型中的離散碼，來訓練VALL-E這套神經編解碼器語言模型，把文字轉語音視為條件式語言建模任務，而不是像一般研究，視為連續性的訊號迴歸任務。</p> <p>在預訓練階段，團隊將文字轉語音的訓練資料，擴充到6萬小時的英語語音，是現有系統的幾百倍。VALL-E的工作流程是音素→離散碼→波形，先根據文字輸入和3秒語音提示（也就是想聽到的目標聲音），來產出與文字和目標聲音相應的離散音檔編解碼。</p> <p>微軟測試發現，VALL-E在語音自然度和相似度部分，表現比現有SOTA文字轉語音模型要好，而且還能保有語音提示的情緒與聲音環境。團隊指出，VALL-E可直接用於各種語音合成應用，如零樣本文字轉語音、語音編輯，以及搭配GPT-3等生成式AI模型，來生成更多內容。<a href="https://valle-demo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://valle-demo.github.io/pics/Overview.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BigScience </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PETALS </span></strong></span></p> <p><span style="font-size: 22px;"><strong>在家也能跑千億參數模型！BigScience開源PETALS分散式AI專案</strong></span></p> <p>對語言模型來說，參數越多、模型表現越好，開發者也只需微調大型預訓練模型，就能得到不錯的預測結果。不過，BLOOM、PaLM、GPT等這類大型語言模型，即便開源，還是會耗費大量運算資源，雖然目前有2種方法來解決該問題，如RAM卸載和託管API，但前者對交互推論來說太慢，後者則不夠靈活。</p> <p>於是，由世界各地研究員組成的開源研究專案BigScience，日前開發一套系統PETALS，可在受信任的的條件下，集各使用者之力，來共同微調、推論千億參數的大模型。也就是說，每個使用者只需要載入一小部分的模型，就能和其他使用者一起協作，來共同執行模型推論和微調，就像是BT原理一樣。</p> <p>團隊測試發現，PETALS比在單一系統的RAM卸載方法，還要快上許多倍，在消費型GPU上推論1,760億參數的BLOOM模型，完成1個token所需時間近1秒。透過平行推論，每秒則能完成數百個token。而且，有別於大多數的推論API，PETALS還能顯示模型隱藏狀態，讓使用者可用有效的微調方法，來訓練、分享客製模型的外掛。不過，在PETALS初始階段，使用者可能因安全、隱私考量，協作進展可能較慢，因此BigScience推出BLOOM點數，來獎勵貢獻GPU資源的使用者。<a href="https://github.com/bigscience-workshop/petals">（詳全文）</a></p> <p><img alt="" src="https://camo.githubusercontent.com/58732a64488a9be928e25f3e60e3692b989ffe212ac86cb4902d8df20a042b03/68747470733a2f2f692e696d6775722e636f6d2f525459463379572e706e67" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 百度研究院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 產業化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>百度研究院預測2023年：大模型將產業化</strong></span></p> <p>百度研究院日前發布科技趨勢預測，直言大型模型在2023年將產業化發展，用於更廣泛的產業中。百度研究院指出，現今的AI不斷朝跨任務、跨模態（資料類型）發展，且隨著底層大模型技術的成熟，以及為特定產業發展的AI基礎建設，這種產業型的大模型，已漸漸在航太、金融、能源等領域應用，形成「AI+產業」的發展結構。百度認為，大模型產業化將催生產業大模型生態，實現普惠AI。</p> <p>此外，百度研究院也預測，2023年的新型AI基礎設施需求將增長、更多產業講過應用AI機器人、AI將進入更多科學領域，以及隨著雲原生技術的成熟，將催生更多量子軟硬體合一的解決方案。此外，可解釋AI技術和科技永續發展，也在百度研究院預測的科技趨勢中。<a href="http://research.baidu.com/Blog/index-view?id=178">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人訓練 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 元宇宙 </span></strong></span></p> <p><span style="font-size:22px;"><strong>讓機器人更靈活！Nvidia更新模擬訓練平臺功能</strong></span></p> <p>Nvidia更新機器人模擬和訓練平臺Isaac Sim，使用者可從雲端存取Isaac Sim、使用新AI功能來加速機器人訓練了。Isaac Sim建立在元宇宙平臺Nvidia Omniverse上，使用者可在各種操作條件下模擬真實環境，建置和測試虛擬機器人，來加速物流、製造和零售等產業的自動化應用。</p> <p>Isaac Sim新功能有人物模擬功能，能在倉庫和製造設施中增添人物角色，還能讓人物執行不同動作，如推手推車。這個功能可讓開發者觀察，人機互動設計是否順暢，也能讓機器人學習避障和潛在意外。另一個新功能是即時呈現感測器資料，並能用光線追蹤技術模擬光達，在各種照明或反射材質條件下，獲得更準確的感測器資料，來讓機器人模擬更貼近真實世界環境。Isaac Sim其他更新還包括模擬3D物件庫、強化學習工具Isaac Gym，以及協作機器人程式開發工具Isaac Cortex等。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/lcee9ntkOjk?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Bing </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟計畫用ChatGPT強化Bing搜尋功能</strong></span></p> <p>根據外媒The Information報導，微軟打算用ChatGPT來強化自家搜尋引擎Bing、提供新搜尋功能，預計在3月底推出。此外，微軟還可能用ChatGPT來分析用戶在研究的主題，好提供進一步的搜尋建議。</p> <p>微軟這一舉動，代表使用OpenAI技術的微軟產品數量持續增加。微軟在2019年10月與OpenAI展開合作，投資10億美元來發展通用AI。2020年，微軟購買GPT-3獨家授權，在自家產品中整合GPT-3。2021年，微軟就在Power Apps中嵌入GPT-3，使缺乏程式開發知識的人，也能利用自然語言開發程式。去年，微軟整合OpenAI DALL-E 2，發布圖像設計應用程式，能根據文字提示生成影像。<a href="https://www.theinformation.com/articles/microsoft-and-openai-working-on-chatgpt-powered-bing-in-challenge-to-google">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 元宇宙 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自然語言 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia新添元宇宙平臺協作功能和自然語言搜尋服務</strong></span></p> <p>Nvidia更新元宇宙平臺Omniverse Enterprise，支援最新GPU技術強化效能和可用性，同時增添新功能，達到即時又精確的模擬品質。此外，Nvidia也更新Omniverse平臺核心，讓使用者快速連接工具、共享虛擬空間中協作。</p> <p>Omniverse Enterprise是個讓企業用來開發、營運元宇宙應用程式的平臺，新加入的Omniverse連接器，可連接不同3D應用程式，實現無縫工作流程，另也支援如Adobe Substance 3D Painter、Autodesk Alias等軟體。此外，Nvidia也正式推出AI服務Omniverse DeepSearch，使用者可用自然語言或2D參考圖，直覺搜尋大型且未標記的3D資料庫。在平臺核心更新部分，則在用來建置擴充應用程式和微服務的Omniverse Kit SDK中，加入新模板和開發者工作流程，簡化開發作業。<a href="https://blogs.nvidia.com/blog/2023/01/03/omniverse-enterprise-release/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉圖像 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span></p> <p><span style="font-size: 22px;"><strong>速度更快、畫面更細緻！Google發表新文字轉圖像模型Muse</strong></span></p> <p>Google日前發表一款文字轉圖像模型Muse，以Transformer架構為基礎，號稱產出速度更快、生成畫面更細緻，比擴散模型和自迴歸模型的表現還要好。進一步來說，Muse是以遮罩任務訓練而成，也就是先在大型語言預訓練模型中抽出文字嵌入，再訓練Muse來預測隨機被遮住的圖片Token。</p> <p>與DALLE-2這類像素空間的模型相比，Muse因為用了離散token，只需少量採樣迭代，因此更有效率。與Parti這類自迴歸模型相比，Muse因為用了平行解碼，因此也更有效率。Google表示，由於採用預訓練大型語言模型，Muse的語言理解能力，以至於從文字轉換為高保真圖片的能力都更細緻，而且對視覺概念的理解力也更強。</p> <p>團隊也進行測試，9億參數版本的Muse經CC3M資料集測試，達SOTA水準，且用來測量生成圖片和真實圖片相似度的FID分數，達6.06分（越低越相近）。而30億參數版本的Muse，在零樣本COCO資料集測試評估中，得到7.88的FID分數。此外，Muse不必微調模型，就能直接用於圖片編輯應用程式，像是圖片修復、圖片外擴/腦補、編輯等。<a href="https://muse-model.github.io/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/muse.png" /></p> <p>圖片來源／微軟、BigScience、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Apple Books新添AI語音功能，電子書可轉為有聲讀物了</strong></p> <p><strong>2. 前特斯拉AI長Andrej Karpathy開源nanoGPT可優化GPT模型開發</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>
2023/1/7 11:34作者王若樸https://www.ithome.com.tw/news/155060
Amazon Sidewalk網路加入第三方裝置、1億裝置支援Matter標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/devices/amazon-ces-2023-announcements" target="_blank">Amazon在CES宣布</a>Sidewalk頻寬分享網路加入合作夥伴、Alexa整合進Panasonic車機系統，以及1億裝置支援Matter標準等訊息。</p> <p>Sidewalk是Amazon推展的頻寬分享網路，可連結戶外Wi-Fi裝置形成長距離、低頻寬網狀網路，確保網內裝置相連及資訊互通，具有免去行動連網費用及省電之效。</p> <p>原本Sidewalk只能連結Amazon自家連網設備，包括Ring攝影機及Kindle。Amazon本周宣布，將開放合作開發商存取Sidewalk工具及資源，使其他人也能開發可支援Sidewalk的裝置，用戶除了自家的Ring、Echo外，還可連結第三方裝置。</p> <p>上周在CES大會上，Amazon宣布第一批即將加入Sidewalk的第三方廠商裝置，分別為Cosmos的瓦斯外洩偵測裝置、Browan的空氣品質、門窗鎖、漏水偵測及動作感測器、Meshify的漏水偵測，預計今年內開始支援。而LoRaWAN網路設備商Deviceroy的智慧數據機（下圖）已經整合Sidewalk支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0109-New%20Amazon%20Sidewalk-enabled%20devices-smart%20modem%20from%20Deviceroy.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p><a href="https://www.prnewswire.com/news-releases/panasonic-automotive-updates-skipgen-in-vehicle-infotainment-system-to-offer-industry-first-wake-word-access-to-siri-and-alexa-301713236.html" target="_blank">Amazon上星期還宣布</a>和Panasonic合作，將Alexa整合進後者的車上娛樂系統SkipGen。透過Alexa Auto軟體開發套件（SDK）整合SkipGen，車主可同時使用以「Hey Siri」或「Alexa」，來喚醒Alexa及Apple CarPlay中的Siri。</p> <p>此外，去年Amazon首度公布將新業界標準Matter部署到17項Echo裝置及燈泡、開關等，上周在CES上，Amazon進一步宣布30款Echo、無線路由器eero等產品也即將支援Matter，共計1億個裝置。該公司宣稱，部署完成後將成為最大的Matter裝置網路。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FkXBcGWXEAEjvbE.jpg" style="width: 500px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Amazon</span></span></p> <p>Amazon家庭機器人Astro搭載相機感測及語音，可配合電腦視覺、人工智慧（AI）及邊緣運算功能執行任務，像是偵測家中毛小孩、及跟隨使用者、檢查門窗物件外。在此之前Amazon從未在CES展示，今年正式展示新功能。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/FlzeaRkWQBIjpw9?format=jpg&name=4096x4096" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> </div></div></div>
2023/1/9 12:11作者林妍溱https://www.ithome.com.tw/news/155061
疫情間招募太多人Salesforce宣布裁員10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/1108524/000110852423000003/ex991-lettertoemployees.htm" target="_blank">CRM大廠Salesforce上周宣布</a>，由於疫情期間員額擴充過快，將在未來幾個星期內裁員10%，成為最新精簡人事的矽谷科技公司。</p> <p>Salesforce向美國證管會提交的文件，Salesforce執行長Marc Benioff在對員工公開信件中指出，因為景氣環境相當嚴峻，客戶採購轉趨保守，迫使該公司做出困難決定，裁員大約10%，約為7,000多人。這也是這家CRM業者創立23年來首次裁員。</p> <p>Benioff指出，這是因為疫情期間公司營收增加，使公司招收太多人，以致於面臨經濟反轉的局面。裁員行動將從未來幾周開始。受影響的員工可拿到近5個月薪資、醫療保險及就業協助。</p> <p>新冠疫情讓企業大量導入雲端應用，受益於此，Salesforce會計年度2022年營收達303億美元，較前一年成長21%。該公司2022年2月員工數為超過7.9萬人，較2020年初多了3萬。</p> <p>這波裁員前Salesforce歷經高層人事變動，包括原共同執行長Bret Taylor（同時也是推特董事）及Slack執行長Stuart Butterfield也分別走人。</p> <p><a href="https://www.aboutamazon.com/news/company-news/update-from-ceo-andy-jassy-on-role-eliminations" target="_blank">上周Amazon執行長Andy Jassy也宣布</a>公司將精簡超過1.8萬人。在對員工公開信中，Jassy也說明，經濟不確定性，以及過去幾年招募過快，促使其裁員決定。去年11月，Amazon已經先裁減生產Kindle、Echo系列產品的裝置部門、圖書部門一些人力，開發內部系統的人員體驗與科技（People, Experience and Technology，PXT）也自願優退了一些員工。</p> <p>上周最新裁減的1.8萬主要集中在零售及PXT部門，占總員工數約1%。截至去年第3季，該公司員工達154萬人。</p> <p>Salesforce及Amazon也是面臨2023年景氣衰退下，最新宣布裁員的矽谷科技業者。<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta</a>11月裁了1.1萬、<a href="https://www.ithome.com.tw/news/153697" target="_blank">微軟</a>和Google也陸續有數波裁減。</p> </div></div></div>
2023/1/9 09:35作者林妍溱https://www.ithome.com.tw/news/155056
以微服務打造電子支付新黑馬，全支付靠技術力服務百萬會員
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月，在國內擁有超過1,100家門市的全聯正式進軍電子支付市場，以旗下百分之百子公司全支付電子支付推出同名電子支付服務，全支付挾全聯1,300萬會員、約830萬PX Pay會員基礎，甫一推出服務，就成為電支市場新秀，根據金管會2022年10月統計資料，全支付擁有214萬用戶，僅次於街口支付、一卡通，在單月代理收付達24億元，僅次於街口支付。</p> <p>在電子支付市場竄起的全支付是在2021年獲得電支業者營業執照，2022年4月完成系統服務建置，8月進入試營運，9月正式推出電子支付，試營運即吸引大量會員註冊，瞬間流量衝至200到300Mbps，上線10天即宣布達到100萬註冊會員，2個月內吸引超過200萬，背後靠一群年輕的開發團隊，以技術力完成會員、支付、財務系統、App開發、壓力測試等準備工作。</p> <p>帶領技術團隊的是全支付技術部經理陳世樺，早在全支付公司成立之前，他便先進入全聯，承接PX Pay項目，協助擁有800多萬用戶的PX Pay，在龐大數據量、交易量下，系統能穩定運作，在進入全聯之前，曾在其他電支業者工作過，因此全支付公司成立後，他成為帶領技術團隊從無到有完成各系統開發、挺過服務上線壓力的關鍵人物。</p> <p>陳世樺表示，在服務正式上線之前，全支付的IT與開發團隊通力合作，考量到服務上線初期可能面臨的高流量，為因應大量會員註冊請求，App從註冊登入流程到API檢查服務，確保承載量RPS可達到7、8千以上。此外，環境建置好之後，確認網路設備、防火牆，所有服務正常維運下，以及Radis、Kafka正常運作，經過壓力測試，瞬間流量湧入不會導致服務不穩，透過一兩周的驗測，才進入試營運階段，後續順利讓服務正式上線。</p> <p><span style="font-size:28px;"><strong>採用微服務架構從無到有建構電子支付服務</strong></span></p> <p>然而，全支付當初準備投入電子支付市場，最先面臨的問題便是技術抉擇，應該採用一體式架構比較好，還是採用微服務架構？</p> <p>陳世樺表示，許多新創公司會採用一體式架構，因為開發快速、易於部署，較容易維運，可縮短系統建置時間，儘快讓服務推出市場，而採用微服務架構，在開發難度上，初期建構成本高，服務與服務之間如何串接、溝通，需要花費較多的時間，例如會員服務如何拆分，應該包含哪些，交易服務包含哪些東西，如果沒有拆分乾淨，將來可能就會形成技術債。</p> <p>全支付挾著全聯的通路、數百萬PX Pay會員優勢，為了快速推出電子支付服務，理應選擇一體式架構，然而，最後他們選擇了微服務架構。「儘管開業時間比較晚，從技術面來說，我們還是希望提供穩定的系統。」陳世樺補充。他以過去在電子支付產業開發核心支付系統，進入全聯後又負責PX Pay維運超過半年的經驗，認為面對大量流量、交易量發生，一體式架構可能面臨服務爆量的風險。</p> <p>儘管全聯在PX Pay相當成功，但既有的PX Pay為第3方支付，無法直接將現行架構來運作全支付的電子支付業務，必需從零開始建置整個服務。</p> <p>陳世樺指出，電子支付對安控、法規、加解密有更多的要求，為了合規，將特定加解密、加驗簽服務獨立出來，諸如身分證、電話號碼、信用卡、銀行帳戶等高敏感性資料，必需透過該服務解密取得這些資料。採用微服務架構的好處是，交易流程任何調整，都不會影響到獨立出來的特定加解密服務，也能降低對其他高敏感性資料存取行為的影響風險。</p> <p>「從長期營運角度來看，採用微服務架構雖然更辛苦，但在維運、擴充服務、優化上有很大優勢」，他說。</p> <p><span style="font-size:28px;"><strong>根據業務邏輯拆分服務，提高服務穩定性</strong></span></p> <p>然而，決定採用微服務架構之後，接下來就面臨如何拆分微服務的問題。他們花了相當多的時間，梳理流程、功能，討論如何拆分服務，尤其是電子支付涉及會員、支付、財務三個部分，會員註冊包括聯徵報送、OCR、外籍人士居留證、推播等等，而交易則有銀行帳戶扣款、信用卡扣款、行銷活動回饋、線上及線下交易等等。</p> <p>陳世樺表示，最初先以功能拆分，再討論是否要進一步拆開個別功能。舉例來說，交易與回饋功能應該綁定一起，還是拆開？當初團隊就這個問題花了不少時間討論。理論上，交易會產生回饋，但是不同的行銷活動的回饋方式並不相同，如果將回饋和支付綁在一起，當有新型能的行銷活動時，得根據新的回饋的方式更新，容易產生風險，最後決定將回饋拆出來為獨立的微服務。</p> <p>另一個例子是會員註冊，原先的設計是，會員註冊為會員服務底下的功能之一，當使用者申請註冊為會員，註冊資料以會員表，寫入會員資料庫儲存。但是，申請電子支付帳戶必需通過實名制認證方能成為會員，包括身分證字號輸入、聯徵報送、手機OTP，有些消費者因沒有最終完成整個程序，並非正式會員，這些「非會員」資料仍會寫到資料庫裡，並標記為「申請中」狀態。</p> <p>陳世樺指出，這些資料並非來自真正的會員，可能影響後面資料分析應用，而這些「非會員」資料報送主管機關是否合適？如果決定不報送主管機關，需要設法排除這些資料，可能牽動整個會員服務。</p> <p>考慮到服務的穩定性，最後決定拆分業務邏輯及資料流，把會員註冊從會員服務裡拆出，獨立為微服務。</p> <p>如此一來，當會員註冊發生故障，最糟的情形是使用者當下無法申請會員，不致於影響到既有會員的服務，會員開啟App仍能正常使用會員服務。</p> <p>這個做法的效益在後來獲得印證。聯徵中心曾通知全支付，為實施異地備援演練，暫時停止對外服務，包括全支付會員註冊的聯徵報送，暫停服務時間為周末下午，為消費者在全聯採買熱門時段，因會員註冊獨立為微服務，聯徵暫停服務期間雖然無法註冊會員，但仍保持會員服務的正常使用。</p> <p>曾身為工程師的陳世樺表示，工程師最擔心的是，調整部分程式碼，導致其他的功能無法正常運作，當系統愈來愈龐大，牽一髮動全身，心理壓力也隨之加大，導入微服務架構，對工程師而言，調整幅度縮小，上線之前的QA測試範圍也變小，縮短改版上線時間。當初決定微服務架構開發，當時曾有工程師反映開發相當辛苦，現在反而慶幸採用微服務。</p> <p>目前全支付已開發超過100個微服務，逐漸面臨有效管理大量微服務的問題，為解決微服務管理壓力逐漸增加的問題，2023年準備導入K8s。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-CTO-500.png" style="width: 500px;" /></p> <div><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></div> <p><span style="color:#696969;"><strong>不可能在有限資源、人力、時程內做出100分產品，現實是必需先讓使用者試用，再根據意見調整，做出大家喜歡的產品。── 全支付技術部經理陳世樺</strong></span></p> <p><span style="font-size:28px;"><strong>導入敏捷式開發，避免技術債堆疊</strong></span></p> <p>然而，技術團隊剛開始以微服務架構開發，還是發生一些問題。曾經有專案開發至20%到30%，才發現規畫錯誤，必須打掉重練，先前的辛苦開發付諸流水，對當時正全力籌備的團隊帶來不小的打擊。</p> <p>陳世樺歸納幾個可能的原因，一個是RD對需求的理解不足，另一個可能是PO（Product Owner）部門敘述不夠清楚。他認為開發團隊較為年輕，因為缺乏銀行、電子支付相關的經驗，難免會犯錯，「犯錯是不可避免的，但要知道為什麼犯錯，怎麼避免」。</p> <p>後來他們在開發流程中參考敏捷式開發，不過，陳世樺坦言，全支付導入的並非教科書等級敏捷式開發，而是採用其精神，強化需求與開發間的溝通。在進入開發之前，由PO與RD開會討論，下周或下個月開發規畫專案，確認技術面、法規面沒有問題後，再啟動專案進入開發，之後幾個月再開會重新檢視調整。在開發流程面，透過每天的會議，開發團隊向PO、需求單位說明每天驗證工作內容，提出遭遇的問題，RD在會議中和PO討論是否需要調整，提早發現問題，很快進行調整修正。</p> <p>陳世樺指出，一般而言，開發中發現的問題有兩種解決方法，最快的方式是按現有程式邏輯作調整，但日後可能留下技術債，另一個發現的問題可能也涉及其他的專案，為避免將來面臨相同的問題，重新開發新程式，雖然花費時間比較久，但是能夠避免技術債堆疊。</p> <p>為了提高團隊成員對需求、功能、系統有更高的瞭解及掌握，新加入的成員會由資深有經驗的工程師帶領，並讓新成員儘量歷練會員、支付、財務3個團隊，讓新人有機會碰觸不同團隊負責業務範圍，讓財務團隊理解為何會員團隊API會這麼設計、交易團隊能理解財務團隊需要的資料等等。</p> <p>由於部分成員缺乏銀行、電支經驗的知識經驗，陳世樺也透過部分專案會議，和他們分享開發經驗，包括流程要怎樣設計比較好，某項功能應重視效能或是穩定，透過潛移默化的方式，讓比較資淺的開發成員從中學習到他的想法，以及過去的工作知識經驗。</p> <p><span style="font-size:28px;"><strong>開發人員才是第一線</strong></span></p> <p>在全支付籌備期間，他帶領團隊開發App，特別重視穩定性。陳世樺表示，外界多認為行銷或業務是面對消費者的第一線，或認為客服才是第一線，但是從開發的角度來看，RD才是對使用者的第一線，因為用戶開啟App，最先看到的是開發的成果，因此RD才是第一線，客服才是第二線。由於市場競爭激烈，對用戶來說，服務好不好用相當直覺，使用體驗不好用直接刪掉，立即在App商店開予負評。RD對開發的產品要有相當的品質，確保沒有問題，全支付目前200多萬用戶，未來甚至增加至300萬或400萬用戶，他期許團隊推出的產品服務要做到品質至上。</p> <p>為了確保使用體驗符合需求，全支付後續也通過蒐集App的使用數據追蹤分析，去瞭解每個功能的使用情形，例如使用者有沒有按下付款，有沒有成功，還是完全沒有使用，某項功能或服務的使用變化等等，通過App的使用情形，瞭解使用者的習慣，最後回饋到PO、行銷，持續優化App。</p> <p>他經常向團隊成員強調，「最好的架構是不斷重構再重構的架構，沒有人可以一次做到100分」。</p> <p>陳世樺認為，最重要的是團隊要體認到，「不可能在有限資源、人力、時程內做出100分產品，現實是必需先讓使用者試用，再根據意見調整，做出大家喜歡的產品」。</p> <p>儘管在電支市場，全支付目前還是新手，但靠著母公司的支持，短短時間衝刺數百萬電支用戶，陳世樺認為，在集團協助之下，全支付擁有很強的核心競爭，其他行動支付、電子支付能做到的，未來全支付也可以。如同全聯董事長林敏雄所說，全支付要做第一，「不只是公司經營，RD團隊也是如此，這是上下一致的信念」。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>全支付電子支付技術部經理　陳世樺</strong></p> <p>學歷：高雄海洋科技大學資訊管理系</p> <p>經歷：從事軟體業約17年，早期多為系統整合開發及金融業相關軟體開發，2014 年加入街口支付擔任技術經理職務，主要帶領支付團隊開發核心支付系統，2020年進入全聯，為PXPay 技術經理，帶領團隊開發及維運 PXPay App。2021年轉至全支付，帶領技術團隊開發全支付App</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1111-CTO-250.jpg" style="width: 250px;" /></p> <p><strong>全支付電子支付</strong></p> <p>地址：臺北市中山區敬業四路33號9樓</p> <p>成立時間：2020年</p> <p>主要業務：專營電子支付業務</p> <p>員工數：約90人</p> <p>董事長：林弘斌</p> <p>總經理：游金榮</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 技術部門檔案 </span></strong></span></p> <p>直屬主管：游金榮</p> <p>技術部門名稱：技術部</p> <p>技術部門主管職稱：經理</p> <p>技術部門人數：近40位，持續增加中</p> <p>技術部門分工：iOS與安卓團隊、前端、後端（包括會員、支付、財務）、QA、Infra團隊</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●2020年：9月全支付公司成立</p> <p>●2021年：6月取得金管會核發電子支付專營機構業務許可</p> <p>●2021年：11月更名為全支付電子支付</p> <p>●2021年：12月宣布與全盈支付合作，通路共享策略聯盟</p> <p>●2022年：發表全支付服務，8月下旬App先開放下載</p> <p>●2022年：9月全支付正式上線。上線10天達到100萬會員</p> <p>●2022年：10月上線52天宣布會員數達到200萬</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1111-cto-960.jpg" width="960" height="420" alt="" title="全支付電子支付技術部經理陳世樺　（攝影／洪政偉）" /></div></div></div>
2023/1/9 00:00作者蘇文彬https://www.ithome.com.tw/people/155004
【資安週報】2022年1月3日到1月7日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023第一周資安新聞中，主要焦點包括：資安業者揭露駭客組織鎖定企業組織未修補CVE-2022-4068的Forinet SSL VPN設備漏洞散布勒索軟體；CI/CD平臺服務業者CircleCI公告正持續更新資安事故調查，值得企業開發團隊注意；還有冒牌的學習框架PyTorch-nightly版被下載2千多次，以及30個WordPress外掛程式漏洞被惡意軟體鎖定的消息。</p> <p>在資安漏洞研究與揭露方面，有兩大消息最受關注。一是Google智慧喇叭變成竊聽器攻擊手法的揭露，另一是近20家汽車品牌重大漏洞被數個資安研究人員聯手揭露。這些漏洞都已在通報後修補，如今揭露技術細節。</p> <p>本周還有幾則新聞顯現出值得關注的威脅態勢，包括核子科學家成駭客攻擊目標，美國核子研究實驗室遭俄羅斯駭客網釣攻擊；而金融業也要注意，國際間傳出多個使用法語的非洲國家銀行遭駭客組織以GuLoader攻擊，並被布署Netwire、Quasar等RAT木馬程式。關於勒索軟體的新動向，包括：BlackCat設置受害公司假官網並公布竊取資料以施壓，以及新的CatB勒索軟體的揭露。</p> <p>至於國內方面，週六下午傳出華航遭勒索軟體的消息，國內媒體報導華航表示影響不大，本週新聞尚未提到，後續是否有相關調查結果公布將值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/154975"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月3日】Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</span></strong></a></h3> <p>惡意軟體鎖定存在漏洞的WordPress外掛程式而來的情況，不時傳出攻擊事故，而最近的惡意軟體攻擊行動一口氣針對30個已知漏洞而來，值得留意的是，這當中大部分外掛程式的漏洞可能沒有CVE編號，有編號的可能是6至7年前的漏洞，這樣的情況使得研究人員呼籲網站管理員應部署最新版的外掛程式。</p> <p>在2022即將結束的前夕，有人利用PyPI套件庫發動攻擊，不過，這次並非利用拼寫錯誤來散布惡意套件，而是針對Python套件安裝工具pip找尋套件的機制而來──該安裝工具會優先從PyPI套件庫下載相依套件，而使得部署Nightly版機器學習框架PyTorch的電腦，會一併安裝駭客上傳的惡意套件。</p> <p>勒索軟體攻擊的情勢也相當值得留意，其中又以駭客組織BlackCat要脅受害組織的新手法引起研究人員關注。這些駭客不只在暗網公布受害組織資料，也在網際網路架設受害組織的冒牌網站，來公布竊得的資料。</p> <h3><a href="https://www.ithome.com.tw/news/154994"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</span></strong></a></h3> <p>蠕蟲程式Raspberry Robin的攻擊行動在去年出現數起，由於此惡意軟體行蹤相當隱密，<a href="https://www.ithome.com.tw/news/150805#raspberry-robin-qnap">駭客甚至濫用威聯通（QNAP）的設備來架設基礎設施</a>，而引起研究人員高度關注。而最近的攻擊行動中，研究人員發現駭客採用更為隱蔽的手法，採用了過往未曾出現的反分析機制。</p> <p>駭客散布木馬程式有新的招式！他們在釣魚郵件夾帶的惡意Excel檔案裡，輸入了從銀行偷到的近42萬筆資料，疑似是為了避免讓受害者懷疑而這麼做。</p> <p>勒索軟體LockBit的攻擊事故近期變得非常頻繁，其中，洛杉磯市房屋管理局（HACLA）遭到攻擊的情況相當值得留意，因為這不只導致該政府機構的財務資料外洩，也波及向該單位尋求協助的民眾。</p> <h3><a href="https://www.ithome.com.tw/news/155009"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</span></strong></a></h3> <p>隨著汽車導入連網的功能，汽車製造商的資安防護也變成研究人員關注的焦點。有研究人員一口氣揭露十多個知名車廠的API漏洞，這些漏洞不只讓攻擊者有機會遙控該廠牌車輛，甚至部分能存取該公司的內部機密資料，像是銷售資料，或是資訊系統的開發環境等。</p> <p>鎖定Linux電腦的攻擊行動日益猖獗，而當中不少是利用指令碼下達相關命令，但如今有攻擊者將其打包變成可執行檔（ELF），目的是避開對指令碼的資安檢測。</p> <p>去年1月推特修補的漏洞近期又傳出駭客公布竊得的用戶個資！但與過往最大的不同之處在於，駭客不再以數千美元來兜售手上的資料，這次以極低的價格（2美元）提供。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155044"><strong><span style="color: rgb(0, 0, 0);">【1月6日】Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及持續交付服務挖礦</span></strong></a></strong></p> <p>協作平臺Slack昨日（1月5日）證實，上週遭到入侵而導致部分原始碼外洩，所幸使用者資料沒有受到波及。但值得留意的是，該公司是獲報GitHub帳號出現異常活動，著手調查才驚覺遭駭。這些原始碼遭竊後續造成的影響仍有待觀察。</p> <p>有駭客濫用雲端持續整合及持續交付（CI/CD）服務提供的免費、試用資源來進行挖礦！研究人員指出，駭客短時間之內註冊了13萬個GitHub、Heroku、Togglebox帳號，並建立容器來挖掘加密貨幣，而這些行為幾乎都是自動化進行。</p> <p>駭客利用手機金融木馬盜取銀行存款的手法再度翻新！有研究人員發現駭客公開安卓木馬程式SpyNote的原始碼後，其他駭客相繼用於製作攻擊程式，研究人員取得惡意程式樣本分析後發現，此木馬程式具備從Google Authenticator取得驗證碼的能力。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/155054"><strong><span style="color: rgb(0, 0, 0);">【1月7日】駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEFI漏洞</span></strong></a></strong></strong></p> <p>有研究人員提出警告，Fortinet於去年10月修補的重大漏洞CVE-2022-40684，已經成為駭客大肆利用的對象！其中，他們偵測到兩起勒索軟體攻擊，駭客便是針對存在相關漏洞的Fortinet設備下手，入侵目標組織網路環境來加密檔案。</p> <p>過往的揭露UEFI韌體漏洞都是出現在x86電腦上，但採用其他處理器的電腦也可能出現類似漏洞！有研究人員向高通（Qualcomm）通報數個UEFI漏洞，並指出這應該是首度揭露的Arm電腦UEFI漏洞。</p> <p>在烏克蘭戰爭尚未結束、美國挹注烏克蘭相關軍事資源的情況下，俄羅斯駭客也將一些敏感的研究機構列為攻擊目標。有新聞媒體揭露，俄羅斯駭客Cold River疑似針對美國的核子實驗室的科學家發動釣魚攻擊。</p> <p> </p> </div></div></div>
2023/1/8 10:10作者羅正漢https://www.ithome.com.tw/news/155055
【資安日報】2023年1月7日，駭客利用Fortinet漏洞進行勒索軟體攻擊、研究人員在採用高通處理器的筆電發現UEF…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員提出警告，Fortinet於今年10月修補的重大漏洞CVE-2022-40684，已經成為駭客大肆利用的對象！其中，他們偵測到兩起勒索軟體攻擊，駭客便是針對存在相關漏洞的Fortinet設備下手，入侵目標組織網路環境來加密檔案。</p> <p>過往的揭露UEFI韌體漏洞都是出現在x86電腦上，但採用其他處理器的電腦也可能出現類似漏洞！有研究人員向高通通報數個UEFI漏洞，並指出這應該是首度揭露的Arm電腦UEFI漏洞。</p> <p>俄羅斯駭客Cold River傳出針對美國的核子實驗室的科學家發動釣魚攻擊！在烏克蘭戰爭尚未結束、美國挹注烏克蘭相關軍事資源的情況下，這些駭客也將上述研究機構列為攻擊目標。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.esentire.com/blog/hackers-exploit-fortinet-devices-to-spread-ransomware-within-corporate-environments-warns-esentire" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet去年10月揭露的重大漏洞遭到鎖定，駭客利用未修補的VPN設備散布勒索軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Hackers-Exploit-Fortinet-Devices-Picture2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hackers-Exploit-Fortinet-Devices-Picture2.png" style="width: 300px; float: right;" /></a>資安業者eSentire提出警告，他們在2022年11月下旬的兩起勒索軟體攻擊事件，發現駭客鎖定未修補重大漏洞CVE-2022-40684的Forinet SSL VPN設備而來，目前已在加拿大的大學與跨國投資公司發現這樣的活動。</p> <p>研究人員表示，駭客一旦成功進入目標組織的網路環境，就會發動寄生攻擊（LOLBin），並濫用遠端桌面協定（RDP）來橫向移動，最終利用BitLocker與BestCrypt來加密檔案，並要求受害組織透過電子郵件向他們聯繫。而這些駭客的身分，研究人員指出，他們先前曾用名為KalajaTomorr的勒索軟體發動攻擊。</p> <h3><a href="https://www.reuters.com/world/europe/russian-hackers-targeted-us-nuclear-scientists-2023-01-06/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Cold River鎖定美國核子科學家進行網釣攻擊</span></strong></a></h3> <p>根據路透社的報導，俄羅斯駭客組織Cold River自去年夏天起，持續鎖定美國3座核子研究實驗室，分別為Brookhaven（BNL）、Argonne（ANL）、Lawrence Livermore National Laboratories（LLNL），駭客為上述機構建立偽造的登入網頁，然後向科學家發送釣魚郵件，意圖藉此得知他們的帳密資訊。</p> <p>路透社表示，他們無法確定駭客攻擊的目的，也無法確認是否成功入侵。對此，BNL拒絕回應，LLNL沒有回覆，ANL則表示由美國能源部進行說明，但後者不願發表看法。</p> <h3><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/bluebottle-banks-targeted-africa"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">非洲多個國家銀行遭到駭客組織Bluebottle寄生攻擊</span></strong></a></h3> <p>資安業者賽門鐵克揭露駭客組織Blubottle的攻擊行動，主要鎖定使用法語的非洲國家銀行而來，但阿根廷、巴拉圭、孟加拉也有受害組織。駭客自2022年7月至9月，使用惡意程式載入工具GuLoader及帶有簽章的驅動程式發動攻擊，先是利用ISO映像檔散布上述檔案，一旦入侵成功，駭客便將GuLoader注入Internet Explorer附加元件安裝工具（ieinstal.exe）、ASP.NET瀏覽器註冊程式（ieinstal.exe）來執行，進而部署Netwire、Quasar等RAT木馬程式。</p> <p>研究人員指出，這些駭客攻擊手法大部分與Group-IB揭露的駭客組織Opera1er雷同，但無法確定是否為相同的組織。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/circleci-warns-of-security-breach-rotate-your-secrets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD平臺服務業者CircleCI遭遇資安事故，通知用戶更換密鑰</span></strong></a></h3> <p>1月4日持續開發／持續交付（CI/CD）平臺業者CircleCI發布資安通報，表示該公司著手調查安全事件，並強調公司系統無未經授權的攻擊者行動跡象，但為了慎重起見，他們要求所有用戶採取預防措施，包括立即輪換儲存在CircleCI帳號的所有金鑰，並於完成後檢查2022年12月21日至2023年1月4日的系統日誌，確認是否出現未經授權的存取。</p> <p>在要求用戶檢查系統是否曾有未經授權存取的同時，CircleCI公司也廢止專案API權杖，用戶需要更換這些token，才能繼續使用相關服務。</p> <p>本次資安通報選在美東晚間9時30分發出，已是多數人下班時間。對此，該公司表示他們的用戶遍布全球，只能盡快通知所有的客戶採取行動。</p> <h3><a href="https://minerva-labs.com/blog/new-catb-ransomware-employs-2-year-old-dll-hijacking-technique-to-evade-detection/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CatB利用DLL挾持手法躲過防毒軟體偵測</span></strong></a></h3> <p>資安業者Minerva揭露名為CatB的勒索軟體，研究人員看到該勒索軟體於11月23日上傳到惡意軟體分析平臺VirusTotal，社群認為可能是勒索軟體Pandora的變種。研究人員對CatB進行分析，發現該勒索軟體會先檢測處理器核心數量、記憶體大小、儲存空間，來判斷是否在沙箱環境執行，一旦確認是在真實的電腦環境，該勒索軟體的引導程式就會透過DLL挾持手法，將其酬載投放於System32系統資料夾，並竄改MSDTC系統服務的配置，來維持此勒索軟體於受害電腦運作，完成後便開始加密受害電腦的檔案。</p> <p>與許多勒索軟體不同的是，CatB不會更動電腦檔案的副檔名，並將勒索訊息寫在每個檔案內容的最前面，使得受害者直到發現檔案無法使用才察覺遭到攻擊。</p> <h3><a href="https://www.hackread.com/erp-firm-expose-india-job-seekers-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國ERP業者伺服器配置不當，曝露50萬印度求職者資料</span></strong></a></h3> <p>根據資安新聞網站HackRead報導，資安研究人員Anurag Sen透過物聯網搜尋引擎Shodan，發現美國ERP業者所有的Elasticsearch伺服器不需帳密就能存取，該伺服器約自去年12月下旬開始曝露於網際網路，當中包含印度求職者詳細資料，檔案大小超過6.3 GB，資料數量超過57.5萬筆，內有求職者姓名、出生日期、電子郵件信箱、電話號碼、履歷、雇主資料。研究人員已向印度電腦緊急應變小組（CERT-in）通報此事。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/qualcomm-uefi-flaws-expose-microsoft-lenovo-samsung-devices-attacks" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">高通處理器漏洞波及微軟、聯想、三星筆電，為Arm電腦首度發現的UEFI漏洞</span></strong></a></h3> <p>高通於1月5日發布資安通報，修補約20個漏洞，其中有5個是資安業者Binarly通報。該公司的研究人員向資安新聞網站SecurityWeeks透露，這些漏洞他們最初是在分析搭載高通處理器的聯想ThinkPad X13s發現，當時一共找到9個漏洞，但發現其中5個與高通的參考程式碼有關，這意味著可能會影響所有採用高通SoC的筆電，包括微軟Surface，以及三星的裝置。</p> <p>研究人員指出，這5個漏洞是首度在Arm架構電腦發現的UEFI漏洞，其中CVE-2022-40516、CVE-2022-40517、CVE-2022-40520為記憶體堆疊的緩衝區溢位漏洞，CVSS風險層級皆為8.2分；CVE-2022-40518、CVE-2022-40519則是出現在DXE驅動程式，一旦遭利用可能導致記憶體洩露，為中等風險層級的漏洞，CVSS評分為4.9分、6.0分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bbc.com/news/uk-england-gloucestershire-63637883"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國14所大專院校遭勒索軟體Vice Society攻擊，並公布學生資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/air-france-and-klm-notify-customers-of-account-hacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">法國航空、荷蘭航空通知旅客帳號遭竊事故</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/chick-fil-a-investigates-reports-of-hacked-customer-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國速食業者Chick-fil-A客戶帳號出現界常活動</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/can-you-trust-your-vscode-extensions"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式碼編輯器VS Code的外掛程式市集疑遭駭客濫用</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155044">【2023年1月6日】 Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及持續交付服務挖礦</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155009">【2023年1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154994">【2023年1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</a></strong></strong></strong></p> </div></div></div>
2023/1/7 13:50作者周峻佑https://www.ithome.com.tw/news/155054
Apple Books提供AI語音功能，可將書籍轉成有聲讀物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在<a href="https://authors.apple.com/support/4519-digital-narration-audiobooks">Apple Books</a>應用程式添加人工智慧語音功能，現在即便是Apple Books非有聲書，都可以藉由人工智慧演算法從文字轉成語音，讓讀者在不方便閱讀的時候，也能夠透過聆聽來吸收書中知識。</p> <p>目前市面上雖然有越來越多的有聲書，但也只有一小部分的書被轉換成音訊，Apple提到，因為成本和複雜的過程，許多獨立作者和小型出版商，沒辦法創作出有聲讀物。而Apple Books添加的數位旁白功能，使得作者更容易創作有聲書，提供讀者更多有聲書籍的選擇，滿足目前有聲書市場持續增加的需求。</p> <p>Apple Books的數位旁白，是由語言學家、品質控制專家，以及音訊工程師合作，共同開發的語音合成技術，能夠從電子文件中製作高品質有聲讀物。Apple認為，數位旁白是專業有聲書的補充技術，能透過聲音將更多書籍提供給更多人。</p> <p>數位旁白是針對特定書籍類型風格創建，因此目前先支援虛構和浪漫小說，僅接受這類書籍的申請製作成具有數位旁白的版本，目前Apple也進一步和出版商、作者和旁白合作，開始啟動非小說和個人發展類書籍旁白計畫，更廣泛的提供有聲讀物。</p> <p>可申請Apple Books數位旁白有聲讀物的書籍，主要為文學、歷史和女性小說，目前還不支援奇幻、驚悚和科幻小說等類型。書必須是英文，而且需要經過檔案品質、內容相容性的審查，書籍不能有複雜格式元素，外文單字也不能太多。在作者提交申請之後，Apple需要1到2個月的時間處理書籍，並且進行品質審查，只要通過標準，該書籍便會在商店中上架。</p> </div></div></div>
2023/1/6 19:57作者李建興https://www.ithome.com.tw/news/155045
AMD推高階處理器Ryzen 7000X3D，並揭露資料中心處理器Instinct MI300細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amd.com/en/events/ces">AMD</a>發布數款消費級處理器，官方提到，這些新的行動和桌面處理器，滿足休閒級玩家到內容創作者等，不同層級的混合式工作負載，除此之外，AMD同時還揭露AMD最新資料中心處理器Instinct MI300技術細節。</p> <p>AMD首款使用3D V-Cache 技術的處理器AMD Ryzen 7000X3D在CES上亮相，由於V-Cache 技術將資料保存在邏輯電路附近，因此縮短資料處理過程的距離，因而得以加速運算，官方提到這是目前最快的遊戲處理器。</p> <p>而Ryzen 7040系列行動處理器，擁有8個Zen 4核心和AMD RDNA 3繪圖架構，官方也揭露其Ryzen AI技術，AMD表示，這是目前x86處理器第一個專用的人工智慧專用硬體，其機器學習運算速度比Apple M2晶片快20％。AMD還發布採用5奈米工藝技術，配備16個Zen 4核心的Ryzen 7045HX系列行動處理器。</p> <p>另外，AMD也推出使用AMD RDNA 3架構的Radeon RX 7000筆記型電腦繪圖卡，目標是滿足1080p遊戲和進階內容創建應用程式的效能需求。</p> <p>除了消費級處理器，AMD執行長Lisa Su也搶先展示了資料中心處理器Instinct MI300的細節，該處理器透過將CPU、GPU和記憶體元件封裝在一起，以解決原本各元件透過PCIe連接器傳輸的效能瓶頸，除了解決延遲問題，移動資料所需要的效能也更低，效率更好。</p> <p>Instinct MI300採用CDNA 3架構，具有24個Zen 4核心以及128 GB的HBM3記憶體。Lisa Su提到，Instinct MI300的特別之處在於，這是第一個運用3D堆疊技術，將CPU和GPU封裝進同一個小晶片的處理器，Instinct MI300晶片擁有9個5奈米的小晶片，這些小晶片被堆疊在4個6奈米的小晶片之上，HBM則圍繞在小晶片四周。</p> <p>Instinct MI300與Instinct MI25X相比，AI效能提升達8倍，且每瓦效能提升至5倍，也就是說，Instinct MI300的設計讓耗能大幅下降，但是效能卻大幅上升。</p> </div></div></div>
2023/1/6 20:00作者李建興https://www.ithome.com.tw/news/155046
Ring推出車內智慧攝影機預購價199.99美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon旗下智慧門鈴公司Ring現在擴展業務，推出<a href="https://ring.com/products/car-cam">智慧車內攝影機Car Cam</a>，這是一個具有前後兩個HD鏡頭的安全攝影機，擁有夜視功能並且會在偵測到動作時開始錄音錄影。現在用戶已經可以上網預購，每個預購價199.99美元，正式售價為249.99美元，Ring Protect Go訂閱功能需另外付費。</p> <p>Ring Car Cam與其他Ring的產品相同，都可以透過Ring應用程式控制，用戶可以在同一個裝置查看所有裝置狀態。官方提到，Ring Car Cam的特別之處在於，不只能夠在車輛行駛的時候進行紀錄，當車輛停放時，也能以Ring Car Cam持續紀錄。</p> <p>Ring Car Cam搭載智慧感測器，能夠偵測車內以及周圍的特殊事件，當裝置偵測到車輛遭到入侵，裝置便會開始錄音錄影，並且向Ring應用程式發布即時警報，用戶可以即時觀看車內發生的事件，甚至透過Ring應用程式，以Car Cam內建麥克風和音響，和車內的人通話。</p> <p>用戶也可以透過語音指令「Alexa, record」，在車輛停放狀態，命令Ring Car Cam紀錄接下來所發生的事件，官方表示，這對於車輛被攔下時，或是想要紀錄與他人通話資訊等情境特別有用。</p> <p>為保護用戶隱私，當車輛停放時，Ring Car Cam只會在偵測到事件，或是用戶啟動Live View時才會開始錄音錄影，並且有一個LED燈號明確指示攝影機正啟動和錄製，同時，Car Cam也有一個隱私開關，可以快速停用內部攝影機和所有錄音。而且Car Cam也支援視訊端到端加密。</p> <p>Ring Car Cam內建電池，並且由OBD-II插座充電，使得在汽車關閉狀態，攝影機也能持續偵測並且紀錄事件，當連接到用戶家中Wi-Fi，則Car Cam能夠向手機應用程式發送即時訊息，同時用戶也可訂閱Ring Protect Go功能，透過LTE在車輛行進時保持網路連接。Ring Car Cam除了會在本地端留存紀錄，當用戶訂閱Ring Protect Go，也可以在雲端留存影音。</p> </div></div></div>
2023/1/6 17:09作者李建興https://www.ithome.com.tw/news/155043
【資安日報】2023年1月6日，Slack驚傳部分原始碼遭竊、南非駭客Automated Libra大肆濫用持續整合及…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協作平臺Slack昨日（1月5日）證實，上週遭到入侵而導致部分原始碼外洩，所幸使用者資料沒有受到波及。但值得留意的是，該公司是獲報GitHub帳號出現異常活動，著手調查才驚覺遭駭。這些原始碼遭竊後續造成的影響仍有待觀察。</p> <p>有駭客濫用雲端持續整合及持續交付（CI/CD）服務提供的免費、試用資源來進行挖礦！研究人員指出，駭客短時間之內註冊了13萬個GitHub、Heroku、Togglebox帳號，並建立容器來挖掘加密貨幣，而這些行為幾乎都是自動化進行。</p> <p>駭客利用手機金融木馬盜取銀行存款的手法再度翻新！有研究人員發現駭客公開安卓木馬程式SpyNote的原始碼後，其他駭客相繼用於製作攻擊程式，研究人員取得惡意程式樣本分析後發現，此木馬程式具備從Google Authenticator取得驗證碼的能力。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://slack.com/intl/en-au/blog/news/slack-security-update" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Slack證實部分原始碼遭竊</span></strong></a></h3> <p>協作平臺Slack於1月5日公告遭遇資安事故，存放於公司內、外環境的部分程式碼遭竊，但強調使用者資料未受到影響。該公司於去年12月29日獲報GitHub帳號有可疑活動，初步調查顯示，部分員工的Token遭竊，導致駭客能夠存取該公司的GitHub儲存庫，他們也發現駭客在12月27日下載了數個該公司自有的程式碼儲存庫。</p> <p> 該公司表示，駭客並未存取Slack營運環境，也強調被下載的儲存庫不包含用戶資料、客戶資料庫的帳密，或是Slack的程式碼基礎（codebase）。為防萬一，他們輪換了相關金鑰以策安全。</p> <h3><a href="https://unit42.paloaltonetworks.com/purpleurchin-steals-cloud-resources/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CI/CD程式整合交付服務遭濫用，南非駭客Automated Libra將其用於加密貨幣挖礦</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-126345-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-126345-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露南非駭客組織Automated Libra的攻擊行動PurpleUrchin，這些駭客專門從事免費、試用的雲端資源挾持攻擊（Freejacking），利用持續整合及持續交付（CI/CD）服務提供的資源，註冊大量帳號並設置容器用來挖掘加密貨幣，他們大量利用DevOps的自動化技術來濫用取得的資源。</p> <p>研究人員收集這起攻擊行動所使用的浪250 GB容器資料進行分析，發現該攻擊行動於2022年11月達到高峰，當時駭客每分鐘就建立3到5個GitHub帳號，研究人員總共看到13萬個GitHub、Heroku、Togglebox帳號，註冊帳號的過程中駭客也利用圖像分析技術繞過圖靈驗證機制CAPTCHA。</p> <p>但除了濫用免費與試用的資源，駭客也使用遭竊或偽造的信用卡資料來租用付費服務，當然，他們不會支付相關費用。研究人員稱這種手法為Play and Run。</p> <h3><a href="https://www.threatfabric.com/blogs/spynote-rat-targeting-financial-institutions.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓金融木馬SpyNote攻擊行動升溫，起因是原始碼公開</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/TF_SpyNote_Statistical.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TF_SpyNote_Statistical.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric針對安卓金融木馬SpyNote（亦稱SpyMax）的攻擊態勢提出警告，他們發現該木馬程式於2022年第4季的攻擊行動大幅增加，原因是名為CypherRat的SpyNote變種，開發者於10月於GitHub公開原始碼，導致此木馬程式數量急速增加，假冒匯豐、德國銀行等知名銀行App的惡意程式接連出現，3個月研究人員共發現逾1,100個CypherRat樣本。</p> <p>研究人員指出，此SpyNote變種不只能透過相機API錄製影片傳送到C2伺服器、使用GPS進行跟蹤，還能竊取臉書與Google帳密，並濫用輔助功能A11y，從Google Authenticator解出驗證碼，同時也具備側錄使用者輸入內容的能力，目的是竊取銀行帳戶資料。</p> <h3><a href="https://asec.ahnlab.com/en/44554/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊密軟體Vidar透過社群網站與加密即時通訊軟體連結C2中繼站</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/image-28.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-28.png" style="width: 300px; float: right;" /></a>資安業者AhnLab去年底揭露竊密軟體Vidar新的攻擊行動，他們看到駭客廣泛濫用社群網站Mastodon、抖音，以及加密即時通訊軟體Telegram、電玩平臺Steam來提供C2中繼站的連線資料，從而隱匿其攻擊來源。</p> <p>研究人員指出，駭客鎖定上述服務的原因，就是建立新帳號容易，而使得帳號就算遭到通報被刪除，駭客還是可以再建立新帳號來提供Vidar有關C2的資料，且他們看到駭客的帳號成立超過半年，且不斷在更新，突顯這樣的手法相當不易被察覺。</p> <h3><a href="https://labs.k7computing.com/index.php/pupy-rat-hiding-under-werfaults-cover/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows錯誤報告工具遭到濫用，被用於部署惡意軟體Pupy RAT</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/WerFault-Figure1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WerFault-Figure1.png" style="width: 300px; float: right;" /></a>防毒業者K7 Computing揭露惡意軟體Pupy RAT的攻擊行動，駭客透過帶有ISO光碟映像檔附件的釣魚信發動攻擊，此ISO檔案內有DLL程式庫、Excel試算表檔案、捷徑檔案（LNK），以及Windows錯誤報告工具WerFault.exe。</p> <p>一旦受害者開啟了上述的LNK檔案，就會利用Windows作業系統裡的ScriptRunner.exe來側載WerFault.exe，此執行檔運作時便會載入ISO檔裡的惡意DLL程式庫，進而於受害電腦的記憶體內植入Pupy RAT。在此同時，為了降低受害者戒心，還會一併開啟前述的Excel檔案。研究人員無法確認駭客的身分，但認為應來自中國。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/ongoing-flipper-zero-phishing-attacks-target-infosec-community/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">募資掌上型資安滲透測試工具Flipper Zero成為駭客對研究人員發動網釣攻擊的幌子</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/flipper-zero-sites.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/flipper-zero-sites.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，自2020年募資成功的掌上型資安滲透測試工具設備Flipper Zero，因為生產問題導致缺貨，而成為駭客用來發動釣魚攻擊的幌子。資安研究人員Dominic Alvieri發現3個冒牌的推特帳號，以及2個假的Flipper Zero電商網站。這些電商網站仿造正牌的網站價格，銷售Flipper Zero及其各式模組與配件，並要求使用加密貨幣付款，企圖洗劫買家的加密貨幣錢包。</p> <h3><a href="https://www.courtlistener.com/docket/66696047/doe-individually-and-on-behalf-of-all-others-similarly-situated-v/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">LastPass遭到集體控告，起因是外洩事故與該公司資料管理不當有關</span></strong></a></h3> <p>去年8月密碼管理解決方案業者LastPass資料外洩，駭客透過第三方雲端儲存服務與另一家科技業者GoTo Technologies來存取該公司內部環境，從而複製檔案備份，當中含有LastPass的客戶資料，該公司用戶於今年1月3日向美國麻洲法院控告LastPass資料保護不力，導致用戶敏感資料遭未經授權人士存取，且經過數個月才通知用戶，突顯LastPass反應相當消極，甚至出現該公司企圖將責任推給用戶的情況。</p> <p>雖然這起訴訟能否成案仍不得而知，但資安專家指出該起資安事故恐讓駭客建立詳細的密碼資料庫，也有資安專家指出LastPass誇大其密碼儲存庫（Vault）安全性，實際上只有加密保護部分欄位。</p> <h3> </h3> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/circleci-warns-of-security-breach-rotate-your-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">持續開發持續整合業者CircleCI遭遇資安事故，通知用戶更換密鑰</span></span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/bluebottle-banks-targeted-africa"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">使用法語的非洲國家銀行遭到駭客組織Bluebottle寄生攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/rackspace-customer-email-data-accessed-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雲端服務業者Rackspace再透露12月資安事故調查結果，駭客存取部分用戶資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/bitdefender-releases-free-megacortex-ransomware-decryptor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者Bitdefender提供勒索軟體MegaCortex解密工具</span></span></strong></a></p> <p> </p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155009">【2023年1月5日】近20個汽車廠牌的API漏洞恐曝露車主個資、Linux惡意軟體被用於散布挖礦程式</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154994">【2023年1月4日】蠕蟲程式Raspberry Robin鎖定歐洲金融和保險業而來、駭客利用竊得的銀行資料散布木馬程式BitRAT</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/154975">【2023年1月3日】 Linux惡意軟體鎖定30個WordPress外掛程式漏洞而來、PyTorch機器學習框架感染惡意程式碼</a></strong></strong></strong></p> </div></div></div>
2023/1/6 15:37作者周峻佑https://www.ithome.com.tw/news/155044
DevOps平臺CircleCI恐遭入侵，警示用戶更換憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps平臺CircleCI又發生<a href="https://circleci.com/blog/january-4-2023-security-alert/">資安事件</a>，這對一些剛從假期回到工作崗位上的工程師，顯然不是什麼好消息。CircleCI在官方部落格發文警告，要求用戶立刻更改儲存在CircleCI中的系統憑證，同時也要檢查從2022年12月21日以來，自家系統是否有未經授權的存取。</p> <p>CircleCI在1月4日發出安全警報，表示他們正在調查一起安全事件，雖然目前系統並沒有遭到未經授權者入侵的跡象，但是出於謹慎，他們希望用戶立刻輪替所有儲存在CircleCI中，包括存在於專案環境變數以及任何內文的密碼。</p> <p>在要求用戶檢查系統是否曾有未經授權存取的同時，官方也作廢專案API權杖，用戶需要重新輪替才能繼續使用服務。</p> <p>除了要求客戶更換金鑰、密碼和變數之外，官方也建議用戶可以在CI/CD工作管線，添加額外的保護機制增加安全性。包括使用OIDC權杖，避免在CircleCI儲存長期憑證，同時限制IP位置範圍，僅允許已知IP位置進行入站連接，也可以使用Contexts啟用跨專案環境變數共享，該方法使環境變數能夠透過API自動輪替，還有用戶也可以使用Runner，以IP限制和IAM管理功能保護特權存取和額外控制功能。</p> <p>CircleCI現在對所有用戶開放自助稽核日誌功能，透過使用者介面用戶能夠自己稽核過去30天的日誌，但官方提到，稽核的重點會在儲存於CircleCI上的用戶系統日誌的機密資料。用戶目前仍可以進行建置，官方已經重新輪替所有生產機器和存取金鑰，並完成所有系統的存取稽核，也和第三方調查人員合作，驗證調查步驟和行動。</p> <p>CircleCI在美東晚上9點30分才寄出安全警報通知，當時已是北美企業用戶下班時間，官方解釋，他們的用戶遍布全球，發布時間的唯一考量是盡快通知所有用戶。</p> </div></div></div>
2023/1/6 17:05作者李建興https://www.ithome.com.tw/news/155036
重新定義獲取當代進步價值的基本功
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迎接2023年的到來，許多人對於未來發展充滿許多期許，然而，我們也無法忽視2022年，甚至COVID-19疫情這三年來發生的各種重大災變事件，以及造成的各種衝擊，這些可能是我們繼續步上轉型、創新之路同樣不可或缺的動機，需要好好想清楚、制定行動方針，才能及早做好準備，因為沒人能保證同樣的事情會在多短時間之內重新上演。</p> <p>首先，我們必須趕快採取行動的議題，是如何因應全球氣候變遷，在我們這期封面故事《展望2023要知道的10件事》，當中提到的永續IT，以及碳排數據揭露、供應鏈盤查，都與此有關。</p> <p>正如最近一些新聞媒體在展望未來時，也紛紛提及「綠天鵝」可能引發系統性金融危機。在2020年1月，國際清算銀行（BIS）發布名為《綠天鵝：處於氣候變遷時代的中央銀行業與金融穩定》，標示著氣候變遷將帶來劇烈而極致的危機，由於環境保護議題涉及社會、政治、經濟，因此，氣候危機將帶來廣泛的連鎖反應，對我們的生存造成深遠的影響。</p> <p>為了減緩與避免這類風險，國際合作組織與各國政府勢必加強相關法規的制定，以及監管力道。企業、組織、個人該如何著手？我想到品質管理大師愛德華茲·戴明的名言：「It is wrong to suppose that if you can’t measure it, you can’t manage it – a costly myth.」後續被大家簡化成「If You Can't Measure It, You Can't Manage It.」，或是「You Can’t Manage What You Don’t Measure.」。先從測量、盤點自身碳排放量與碳足跡著手，才能規畫有效減少的做法，以符合規範為目標，再按部就班地推展。</p> <p>除了省電節能與減碳，要維護地球環境的永續、實現循環經濟，廢棄物處理也是我們無可迴避的議題，例如，減少塑膠使用、電子垃圾同樣刻不容緩，不只是能源、產業要轉型，民眾的生活與整個社會也都要轉型。</p> <p>第二個重要趨勢是與資料運用有關，就像本期封面故事提到的三件事：生成式AI應用大爆發，從企業商用走入更多個人端工具；金融與醫療新一波上雲浪潮來了，本地多雲混合雲成新主流；企業異質大數據管理需求大，資料治理再度熱門。</p> <p>這些議題呼應AI、雲端服務、大數據等當代IT顯學，許多廠商強調的資料驅動（Data Driven）、以資料為中心（Data Centric）、資料優先（Data First），確實是全球技術發展的大勢所趨。而且，我們對於資料的運用方式，仍有很大的發揮空間。</p> <p>舉例來說，臺灣11月底舉行地方公職人員選舉，許多人都很好奇各政黨勝選與敗選狀況，可惜的是，在政黨公開內部檢討報告摘要的新聞報導雖然提到一些可能原因，但並未看他們揭露調查統計數據可供佐證，也未看到是否運用更多資料分析以透視原因，從而驅動後續改革的策略調整。</p> <p>第三個重點趨勢則是身分安全，本期封面故事提到兩個臺灣IT技術趨勢：虛擬健保卡走出醫療生態，身分驗證有新選擇；政府機關加速採用FIDO，行動自然人憑證成推手。</p> <p>以虛擬健保卡而言，截至去年11月30日，持有者為36萬3,582人，完成虛擬健保卡系統介接測試的特約醫療院所為967家。而行動自然人憑證的部分，截至今年1月5日為止，總累積使用人次已逼近50萬。</p> <p>隨著各種技術的發展不斷推陳出新，要徹底發揮優勢，仍需要彼此溝通，不能輕忽人（People）、流程（Process）因素的阻礙。以去年大選同步進行的18歲修憲複決公投為例，執政黨自認「從上到下無不極力宣傳」，結果卻不如預期，顯然這樣的方法並未奏效，想要促使全民建立共識，可能比大家想像的還要困難，需要更廣泛、長期而持續的討論，除了強調這是世界潮流、臺灣不能落後，關鍵仍在於引發更多民眾去思考不合理之處，才有可能獲得更普遍的認同。</p> <p>因此，對於很多事情的推動，就算很多人都認為是理所當然，如果我們想要讓更多人接受，有些環節與條件仍是不可略過的，提出更多證據、從不同層面理解其必要性，應該會是關鍵。</p> <p><a href="https://www.ithome.com.tw/article/155042" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span></strong></a> <a href="https://www.ithome.com.tw/article/155042" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1111-feng_mian_-p1-open-960x420_kao_bei_.jpg?itok=ssIuhRzX" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%B1%95%E6%9C%9B2023">展望2023</a></div><div class="field-item odd"><a href="/tags/%E8%B6%A8%E5%8B%A2">趨勢</a></div><div class="field-item even"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div><div class="field-item odd"><a href="/tags/%E7%A2%B3%E6%8E%92">碳排</a></div><div class="field-item even"><a href="/tags/esg">ESG</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86">資料治理</a></div><div class="field-item odd"><a href="/tags/%E8%99%9B%E6%93%AC%E5%81%A5%E4%BF%9D%E5%8D%A1">虛擬健保卡</a></div><div class="field-item even"><a href="/tags/fido">FIDO</a></div><div class="field-item odd"><a href="/tags/%E8%A1%8C%E5%8B%95%E8%87%AA%E7%84%B6%E4%BA%BA%E6%86%91%E8%AD%89">行動自然人憑證</a></div></div></div>
2023/1/6 15:22作者李宗翰https://www.ithome.com.tw/voice/155025
【2023年CIO必看10大趨勢：趨勢6】企業異質大數據管理需求增加，資料治理再度熱門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料治理今年又將再度成為企業CIO的重要課題和話題。AI技術的蓬勃發展，過去幾年掀起了一股企業AI化的浪潮，一段時間後，企業往往發現，AI模型成功關鍵，不只是技術，還要有好的資料，尤其AI模型需要不斷優化校正，需要有源源不絕的數據和資料來支撐。</p> <p>許多企業看到了AI的威力，但也發現手上資料不敷使用的窘境。這兩年許多大企業，在積極擁抱AI之後，反而過頭來重新蹲馬步，盤點和梳理手上的大數據，甚至乾脆重新建置資料搜集機制、整合更多資料管道和來源，重新設計資料工作流程，建置新一代的資料湖或雲端資料倉儲，都是為了儲備AI武器需要的數據彈藥庫。</p> <p>不過，企業手上的資料越多，越廣，越多元，就會面臨資料治理（Data Governance）的新課題。</p> <p>如玉山金控在2020年完成核心系統轉換後，就成立了資料治理小組，由玉山金控科技長張智星擔任小組召集人，成員橫跨全金控，為了實踐資料治理，甚至不惜推動大規模組織改造，就是解決AI高度內化後的資料治理需求。</p> <p>不只是天生高度數據化的金融業為了AI而展開資料治理，就連製造業也都要擁抱資料治理。</p> <p>像是友達光電，花了7年時間，一步一步，從自動化發展到智能化的智慧製造，早從2015年展開大數據蒐集工程開始，在工廠內部署了2萬多個IoT感測器，蒐集機臺及周圍環境的大量數據，將生產流程全面數位化，來建置完整的資料商城，隔年完成大數據平臺，累積夠多資料後，在2017年進行AI概念驗證。2018年，友達開始善用大數據和AI技術來強化製造和管理，也將智慧製造導入到研發、供應鏈智慧化管理等。</p> <p>到了2021年10月，友達上線的AI模型數突破2,000支。友達內部甚至發展出了一個Al市集平臺，上面有各廠團隊自行開發的AI應用，從設備檢測維修、AOI＋ AI缺陷檢測、電腦視覺偵測、製程品質監控、異常偵測到智能節能等。</p> <p>AI發展高度成熟後，友達在2021年訂定下一個五年的數位轉型計畫，資料治理正是關鍵第一步。友達IT或數位部門為了推動資料治理，要重新盤點、梳理資料，確保各部門或工廠，甚至不同供應商資料定義一致性，包括資料型態與欄位等，就是要將以前每一個單點的數據流程全面打通，相互串連，來實現數位全流程的自動化或智慧化。</p> <p>還有更多企業，都在這2年開始投入或資料治理，像中華電信在2022年中，公開了三層架構的資料治理戰略，就是為了解決資料使用3大痛點，包括了巨量資料查詢不易、資料品質不一，以及資料存取權限欠缺統一標準問題。這是很多企業AI擴大規模時常見的痛點。</p> <p>而Line與雅虎日本整併後在首次聯合技術大會中，公開了自家超大規模資料平臺IU和搭配的機器學習平臺MLU的最新變革，就是為了解決資料治理需求。</p> <p>IU支援了Line內部超過200項服務，儲存了400PB的HDFS資料，超過4萬個Hive表格，每天要執行15萬個任務，但是，這麼龐大又複雜的資料應用需求下，的資料流程越來越複雜，一旦發生問題，想要找出資料間的關係，越來越困難。Line的對策，就是打造資料血統機制，來落實資料治理。</p> <p>「可以掌握資料間的關聯，就可以很容易知道如何管理龐大資料，來提高再利用效率，更可以在安全和治理的角度下，來使用這些資料。」Line技術長Tomohiro Ikebe透露了，資料血統上線後最大的效益。這項功能已經成為Line內部79個服務和部門天天都要用的功能。</p> <p>兩大雲端巨頭也嗅到這股資料治理需求潮，Google和AWS先後在2022年各自的年會上，都不約而同都聚焦雲端資料倉儲和雲端大數據分析領域，將資料治理視為主打特色之一。</p> <p>從指標企業的經驗可以看到AI高度發展後，資料治理需求也更加重要，技術廠商也看上這股需求搶推新工具，隨著更多企業想要重用AI，整合各類型資料，勢必得更加落實資料治理的實踐。</p> </div></div></div>
2023/1/6 14:25作者王宏仁https://www.ithome.com.tw/news/155037
【2023年CIO必看10大趨勢：趨勢7】電子支付產業規模化，消費大數據應用逐漸成熟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去兩年受疫情影響，為了避免接觸染疫的風險，民眾對非現金支付的接受度大為增加，電子支付市場也因此快速成長。根據2022年10月統計資料，國內電子支付用戶數達到2,077萬，比一年前同期足足增加超過500萬用戶。</p> <p>約6成的電支用戶高度集中於市場的前3大業者，分別是街口支付、一卡通、全支付，合計超過1,300萬用戶，其中全支付為新進業者，挾強大通路資源及會員基礎，已有超過200萬用戶，街口支付、一卡通分別有超過580萬與530萬用戶，2023年可望上看600萬。</p> <p><span style="font-size:28px;"><strong>用戶數、合作商家愈多，涵蓋更多消費者族群深度瞭解消費者</strong></span></p> <p>電子支付為規模經濟產業，未達到一定的經營規模，不僅用戶數有限，也難以吸引商家合作，為了擴大用戶規模，各家電支業者投入大筆經費，以補貼回饋為手段吸引消費者來獲客，或以較低的手續費吸引商家合作。</p> <p>現在兩大電支業者已有超過500萬用戶，合作商家數、支付據點也大增，一卡通旗下約有41萬支付據點，街口約有30萬支付據點，電子支付涵蓋場景多元，不只實體零售通路、網路電商、夜市攤商，還包括停車、稅費、水電等。</p> <p>用戶規模增加，特別是全支付將以往在超市採買的婆婆媽媽也帶進電支市場，涵蓋更多年齡層、性別的消費族群；而支付據點增加，除了吸引消費者使用意願，也從更多的面向，加深對每位用戶消費行為的理解。</p> <p><span style="font-size:28px;"><strong>以數據分析深化會員經營，提供商家精準行銷服務</strong></span></p> <p>在用戶數達到規模化後，一卡通、街口支付已開始調整經營的重心，過去以擴大會員規模量體為主，現在改為更深度的經營會員，運用大量且多面向的消費數據，以精準掌握用戶的消費偏好，根據用戶需要提供差異化的補貼，同時基於更精確的消費者面貌，提供精準行銷服務，根據商家鎖定消費族群，將優惠訊息傳遞給目標用戶，提高轉換率。</p> <p>一卡通總經理鄭鎧尹表示，一卡通過去努力擴大各種消費場景、基礎建設，整合儲值卡與電子支付的消費數據，在交通、生活消費、生活繳費、社群交易，涵蓋相當完整的消費場景。從全場景、全數據分析，較其他業者更具優勢，國內電子支付業者面臨虧損，未來如何增加獲利，需從數據金礦著手。</p> <p>一卡通提高對不同場景消費數據的調用分析，對用戶作更精細分群，提供差異化的行銷補貼，增加用戶使用頻次。</p> <p>該公司也根據消費數據分析找出目標消費者，將商家的優惠訊息傳遞給目標客群。一卡通目前已開始與合作商家作小規模測試，蒐集合作商家的意見，最快在2023年第二季、最晚於第三季開放給更多特約機構商家使用。</p> <p>街口支付也預告在2023年第二季將推出會員分級制度，依照消費數據作更細緻分群，例如交易頻次愈多、金額愈高，會員等級愈高，享有更多的補貼。從數據分析更深的瞭解用戶，以差異化補貼取代大量補貼，加強會員經營。</p> <p>街口也從用戶消費大數據分析，例如某些用戶購買汽車相關用品，判斷其可能是開車族群，與保險業者合作，向這些用戶推銷汽車險，以此增加營收。</p> <p>街口還與銀行業者合作，針對商家推出貸款服務，街口先將商家的去識化交易資料提供給銀行建模，向可能有需要的商家推薦貸款服務，商家申請貸款時，在其同意下，再將真實的街口交易資料提供給銀行，取代財力證明。街口並與銀行合作，簡化申請貸款流程，以提高貸款轉換率。</p> <p>在開放更多業務，以及新業者加入下，未來國內電支市場將蓬勃發展，而電支產業形成規模化經營後，消費大數據分析應用，不只對電支業者強化會員經營，對外提供的精準行銷，去識別化後的數據洞察服務，成為企業商戶的轉型發展。</p> <p>資策會MIC資深分析師胡自立認為，未來電子支付產業3個趨勢：服務面向更多元化、支付金融化、商家數位轉型。支付服務多元化，讓支付涵蓋愈來愈多的支付場景，對消費者帶來更大的吸引力，為電支業者獲客的手段。</p> <p>而支付金融化，透過與金融業者合作，支付扣合保險、借貸等服務。為支付產業未來發展的核心趨勢，可為電支業者帶來獲利。支付金融化可引導消費者至金融服務，甚至，透過數據去識別化後共享，掌握消費行為關聯性，發現可能的商機。第3個趨勢則是加速商家的數位轉型，例如加強會員經營、行銷及後端管理等。</p> </div></div></div>
2023/1/6 14:45作者蘇文彬https://www.ithome.com.tw/news/155038
【2023年CIO必看10大趨勢：趨勢8】虛擬健保卡翻轉醫療模式，更成第三方身分驗證新選擇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，政府開始力推虛擬健保卡，今年持續加強力道，成為醫療院所必須面對的機會與挑戰。一些醫院開發專屬程式，來支援特定領域使用，也有院所開始調整系統、整合自家App，來嘗試更多虛擬健保卡應用。甚至，虛擬健保卡還走出醫療生態，成為零售電商的身分驗證文件，未來也將整合手機錢包，激發更多身分驗證應用。</p> <p><span style="font-size:28px;"><strong>虛擬健保卡政策勢在必行</strong></span></p> <p>虛擬健保卡是要讓民眾用手機，就能看診。具體方式是，民眾出示健保快易通App的虛擬健保卡QR Code，由醫院掃描或民眾授權，來讓醫師讀取健保雲端系統中的病人就醫資料、進行看診。這是健保署和行政院在2018年發想的政策。</p> <p>2019年，虛擬健保卡開始試辦，2022年，健保署正式在遠距醫療、視訊診療和居家醫療3大場域力推虛擬健保卡，成為醫療院所優先採用領域。</p> <p>今年，虛擬健保卡還會配合新版通訊診察治療辦法，來擴大適用情境。健保署也預告，今年，虛擬健保卡系統將串接更多衛福部內系統，並上線實體卡常用的重要功能（如用藥提示），一步步補足虛擬卡的加值應用。這意味著，虛擬健保卡政策勢在必行，是醫療院所必須面對的課題。</p> <p><span style="font-size:28px;"><strong>3大領域先下手，先行者推全院門診與新情境</strong></span></p> <p>起步較早的院所，已先針對政府力推的3大場景開發程式，支援相關應用。比如，臺北榮總開發一套軟體，搭配健保署的輕量藍牙App和授權程式，來供居家照護團隊使用。居家照護團隊只需幾步驟啟動軟體和相關設定，不必攜帶讀卡相關設備、靠行動裝置就能取得患者健保卡卡號，進行看診照護。又或是北醫附醫將虛擬健保卡應用整合至自家iTPass App，來供離島、山地偏鄉民眾進行遠距醫療時使用。</p> <p>另一個例子是，林口長庚醫院調整核心系統，將虛擬卡授權請求嵌入HIS門診醫囑系統，系統出現掛號病人時，醫師可點選啟動虛擬健保卡，系統就會自動發送請求，民眾同意後，醫師就能啟動看診。這個做法，在現場門診和視訊門診都適用，打下全院推動基礎。</p> <p>甚至，臺灣也有少數醫院已經推動虛擬健保卡全院門診適用，奇美醫院、高醫附醫就是2家代表。他們將虛擬健保卡整合門診報到，讓民眾掃描看板QR Code來取代實體卡插卡，看診時，就透過虛擬卡QR Code來讀取資料。看診後，民眾也能用行動支付付款，未來電子處方箋上路，民眾還能直接在手機App收到電子處方箋，憑箋領藥。</p> <p>高醫附醫還進一步提出新應用情境，比如資料授權，救護人員可在救護車上，先掃描病人虛擬健保卡QR Code來調閱相關資料，讓救護醫院先行準備，或是病人轉診後送時，由轉送醫院先來調閱資料、先行準備。另一種則是以虛擬健保卡作為身分認證機制，讓民眾在社區據點或醫療院所測量生理量測值時，可將量測值上傳至健康福祉整合照護系統。</p> <p>這些先行者經驗和新應用情境，不僅點出醫院IT調整HIS，來支援虛擬健保卡的方法，也能促進院所開發更多虛擬健保卡加值應用，比如領藥身分辨識、自動帶入檢驗資料、開發虛擬卡批價功能等，這些都是醫院IT接下來要進行的重要工作。</p> <p>除了醫療院所，在廠商端，也有健康照護業者加入對虛擬健保卡的支援。比如，吉樂健康資訊打造的WaCare遠距健康平臺，去年開始整合虛擬健保卡功能，讓患者在該平臺進行視訊診療時，能分享自己的虛擬卡QR Code，供遠端醫師讀取、調閱資料。</p> <p><span style="font-size:28px;"><strong>下一步：身分驗證應用</strong></span></p> <p>不只在醫療圈扮演要角，虛擬健保卡還走出醫療生態，成為其他領域的身分驗證證明。比如，電商蝦皮就將虛擬健保卡視為購買人領貨的身分證件，民眾出示附個人照的虛擬卡QR Code，即可領貨。</p> <p>而且，虛擬卡的身分驗證應用，還有可能更多元。因為，健保署日前透露，接下來計畫將虛擬健保卡納入手機錢包。這麼做，虛擬健保卡就像其他錢包票卡一樣，可進行非接觸式的NFC感應，且在低電量、沒網路的環境也能啟用，甚至透過穿戴式裝置，也能使用虛擬卡。透過手機錢包，虛擬健保卡能運用的驗證情境更多元，而且不限於醫療場域。</p> </div></div></div>
2023/1/6 14:50作者王若樸https://www.ithome.com.tw/news/155039