iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 04:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第206期：Salesforce新演算法可逆推擴散生成模型，編輯圖像更貼切
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0113～0119)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴散模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉圖像 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Salesforce新演算法可逆推擴散生成模型，改字也能準確貼近原始圖</strong></span></p> <p>Salesforce最近設計一款新演算法EDICT，可逆推任何文字轉圖像的擴散模型，就算原始文字提示有所修改，新生成的圖像依然貼近原圖，比如使用者將文字提示「站在衝浪板上、穿著救生衣的狗」中的狗改為貓，新生成的圖片能保留原圖樣貌，只將狗轉換為貓。</p> <p>團隊表示，EDICT之所以能這麼做，是因為追蹤了一對中間表徵，而非只是一個。這種可逆性，讓模型產出非常貼近原圖的編輯圖像。Salesforce也把這套演算法用於熱門的Stable Diffusion模型，發現演算法能高保真重建出原始圖像。而且，團隊以MS-COCO這類複雜的圖像資料集測試發現，EDICT的圖像重建表現，比降噪擴散隱性模型要好。</p> <p>團隊表示，EDICT不需要訓型訓練或微調，也不需要額外的訓練資料，而且能與任何預訓練降噪擴散模型整合。EDICT程式碼已在GitHub上<a href="http://github.com/salesforce/EDICT">公布</a>。<a href="https://blog.salesforceairesearch.com/edict-accurate-text-guided-image-editing-with-diffusion-models/">（詳全文）</a></p> <p><img alt="" src="https://blog.salesforceairesearch.com/content/images/size/w1000/2022/12/dog-breed-edict.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉影片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 稀疏因果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Tune-A-Video </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新加坡國立大學打造文字轉影片模型Tune-A-Video省資源</strong></span></p> <p>新加坡國立大學以單樣本學習，打造一款文字轉影片AI模型Tune-A-Video，來降低訓練所需的運算成本。團隊指出，近來，文字轉影片這類生成式AI的主流研究方法，仰賴大規模成對的「文字-影片」資料集來微調。然而，這種方法耗費大量運算資源，也不直覺，於是團隊提出Tune-A-Video，來以單一組「文字-影像」訓練開放領域的影片生成器。</p> <p>團隊以經過海量資料訓練的文字轉圖像預訓練擴散模型為基礎，來開發文字轉影片模型。他們也發現，文字轉圖像模型能針對動詞，產出相對應的圖像，而且，用這些模型來同時生成多張圖像，其生成內容的一致性非常高。</p> <p>因此，為進一步讓模型學習連續性動作，團隊提出一種稀疏因果注意力機制，能透過單樣本微調預訓練擴散模型，來根據文字提示產生影片。團隊表示，Tune-A-Video可用來產生吻合時序的影片，可用於背景或主題變換、屬性編輯、風格轉換等。<a href="https://tuneavideo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://tuneavideo.github.io/static/images/overview.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DoNotPay </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務條款 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美新創用ChatGPT讀服務條款，不只能白話解釋還會揪出不合理之處</strong></span></p> <p>生成式AI又有新應用！致力以AI維護消費者權益的美國新創DoNotPay執行長Joshua Browder最近展示一款外掛，該外掛基於ChatGPT，使用者在DoNotPay平臺服務DoNotSign上上傳服務條款PDF或輸入網址，系統就會自動閱讀內容、產出白話解釋，若有不合常規的條款，系統還會自動標註，來告知使用者。除了服務條款，該系統還能處理隱私條款、租賃合約等法律相關文件。Joshua Browder指出，該功能將是首款供大眾使用的GPT系列產品，因此可能受到OpenAI的API限制。目前，該功能正在審核中，還未正式上線。</p> <p>這不是第一個DoNotPay發表的AI應用。日前，Joshua Browder展示一款基於GPT-3.5的語音代理系統，能利用使用者聲音，來與客服自動對話，另一款則是基於GPT-3 API的聊天機器人，能與客服文字對話，解決訂閱、續約、付費問題。<a href="https://twitter.com/jbrowder1/status/1615543292057497603">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/i/status/1615543292057497603" /><img alt="" src="https://s4.itho.me/sites/default/files/images/tune%20a%20video.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟Azure OpenAI服務正式上線，企業可用GPT-3、Codex和DALL-E 2了</strong></span></p> <p>微軟日前宣布Azure OpenAI服務正式上架，更多企業用戶可申請使用OpenAI的AI模型了，如GPT-3、Codex和DALL-E 2。微軟還預告，Azure OpenAI服務還會納入ChatGPT模型。</p> <p>Azure OpenAI服務由微軟在2021年推出，可讓企業在安全、合規的條件下，從Azure雲平臺取用OpenAI預訓練模型。這些模型包括具1,750億個參數的自然語言預訓練模型GPT-3、GPT-3的升級版GPT-3.5，以及可將自然語言轉為程式碼的模型Codex，還有文字轉圖像模型DALL-E 2。使用者可透過Azure OpenAI來開發各種應用程式，如從客服日誌快速總結客訴、快速編寫程式，或快速生成部落格文章等。Azure OpenAI服務提供的模型已由數十億頁公開文件訓練，企業只需提供自家少量業務資料，就能進一步微調模型。為確保AI合理使用，微軟也要求開發者先申請存取權限，事先描述預期用例和應用程式。微軟的監控程式也會持續過濾Azure OpenAI服務可能產生的辱罵、仇恨和冒犯性內容，當官方確認用戶用例違反政策，便會限制使用。<a href="https://azure.microsoft.com/en-us/blog/general-availability-of-azure-openai-service-expands-access-to-large-advanced-ai-models-with-added-enterprise-benefits/">（詳全文）</a></p> <p><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/a6218d54-3c27-4c17-bc25-33ce1d1a268e.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 空中巴士 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客機 </span></strong></span></p> <p><span style="font-size:22px;"><strong>參考蜻蜓視覺能力，空中巴士開發客機自駕技術</strong></span></p> <p>空中巴士（Airbus）以蜻蜓為靈感，開發自動飛行技術，Airbus UpNext DragonFly展示飛機已進入最後3個月的測試階段，來測試飛行路徑選擇能力、自動降落技術和駕駛員輔助技術。空中巴士計畫將DragonFly技術用於緊急操作上，當機組人員無法控制飛機時，DragonFly會將飛機重新導航至最近的機場，並安全著陸。</p> <p>這款DragonFly模仿蜻蜓超廣視野和辨識地標能力，來讓飛機辨識地景特徵和周圍環境，並安全操縱飛機。DragonFly系統也參考蜻蜓敏銳的視覺能力，整合感測器、電腦視覺演算法和導航運算功能，可在低能見度和惡劣天氣情況下降落，這項新的降落技術，甚至可以根據飛行員的飛行技巧自訂，減輕飛行員在緊急情況的額外程序。<a href="https://www.airbus.com/en/newsroom/stories/2023-01-could-the-humble-dragonfly-help-pilots-during-flight">（詳全文）</a></p> <p><img alt="" src="https://www.airbus.com/sites/g/files/jlcbta136/files/styles/airbus_1440x1440/public/2023-01/image_9_0.webp?itok=MnEsy_nJ" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音合成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Eleven Labs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音特徵 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI新進展！Eleven Labs揭露最新語音合成成果</strong></span></p> <p>專注語音合成AI的研究實驗室Eleven Labs日前發布最新語音生成模型，使用者能根據性別、年齡、口音、音高，甚至是說話風格等特徵，來生成全新的人造聲音，而且系統每次合成的聲音都不一樣，即使用戶以相同參數生成聲音，也會得到一個不曾存在的聲音。</p> <p>近來，生成式AI大放異彩，在文字、圖像甚至是影片領域遍地開花，但語音生成並非如此。因此，Eleven Labs參考語音合成和語音複製的語音特徵編碼方法，在訓練專屬模型時，對說話者嵌入分布進行採樣，來合成無限多種的新聲音。他們也在這過程加入一定程度的限制，讓聲音擁有特定的語音特徵。Eleven Labs打算把這個模型發展為「Design Voice」功能，預計在2月於自家平臺上線。團隊表示，該模型可用於新聞媒體和商業廣告的語音，甚至能用於遊戲開發。<a href="https://blog.elevenlabs.io/enter-the-new-year-with-a-bang/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 零售業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 防盜竊 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推新AI工具，防零售業商品被盜竊</strong></span></p> <p>Nvidia推出3款零售業專用AI工作流程Retail AI Workflows，可用來打造商品防竊盜應用。進一步來說，這些工作流程以Nvidia自家微服務平臺Metropolis為基礎，Nvidia先以常遭竊的商品圖片和軟體來訓練這些工作流程，開發者再以無程式碼或低程式碼模組來快速開發應用程式。</p> <p>第一款工作流程是零售業防損AI工作流程，其中的AI預訓練模型，能辨識上百種最常受盜竊損害的產品，如肉類、酒品和洗衣粉，模型也能識別產品不同的尺寸、容量和形狀。此外，使用者還能用Nvidia Omniverse平臺合成資料，來客製化模型，以業者自家的數十萬種商品來訓練。</p> <p>另一種是多攝影機追蹤AI工作流程，具多物件、跨多攝影機功能，讓開發者更容易打造跨全店多攝影機的系統，來追蹤商品物件。最後一個流程是零售商店分析工作流程，能以電腦視覺技術，在客製化的儀表板上呈現商店分析洞察，如商店客流量趨勢、使用購物籃的顧客人數、走道占用率等資訊。<a href="https://blogs.nvidia.com/blog/2023/01/12/retail-ai-workflows/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 假消息 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型語音模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輿論操縱 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI：大型語言模型加重輿論操縱</strong></span></p> <p>OpenAI聯手史丹佛大學和喬治城大學，展開大型語言模型（LLM）對輿論風向操縱的研究，他們發現，大型語言模型會導致更多惡意傳播行為，且形式更多元，行為成本也更低。</p> <p>近年，生成式AI有顯著進展，但也容易遭惡意人士濫用。於是，3大機構聯手，以ABC模型來探討輿論操縱影響，其中A代表行為人，也就是輿論操縱行為背後的實體，B代表輿論操縱行為，C則指操縱內容。研究發現，在A方面，未來將因為生成模型普及而降低宣傳成本，出現更多樣的宣傳群體；而B則會出現自動生成內容規模擴大，同時也更有效率，如即時生成個人化內容，且生成內容更可信也更有說服力。團隊表示，語言模型對輿論風向操縱有重大影響，但目前沒有終極解決方案，有能力開發大型AI的科技龍頭和社群媒體，應共同應對輿論操縱。<a href="https://fsi.stanford.edu/publication/generative-language-models-and-automated-influence-operations-emerging-threats-and">（詳全文）</a></p> <p>圖片來源／Salesforce、新加坡國立大學、DoNotPay、微軟、空中巴士</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 新AI工具<a href="https://gptzero.substack.com/p/new-year-new-features-new-model?r=8okkt&utm_campaign=post&utm_medium=web">GPTZeroX</a>可偵測文章是否出自ChatGPT</strong></p> <p><strong>2. 線上會議認真神器！Nvidia Broadcast以AI模擬用戶眼睛緊盯鏡頭</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>
2023/1/19 11:05作者王若樸https://www.ithome.com.tw/news/155218
安全內蘊
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於氣候變遷的緣故，臺灣2022年冬天的低溫來得很晚，12月中之後開始出現冷氣團，2023年春節前夕這幾天又有明顯降溫，穿著防寒大衣、裹著圍巾的行人變多了，平時以捷運與步行出入的我，不想厚重裝扮，寧可在襯衫裡面多穿一件保暖內衣，外出再穿上外套。</p> <p>回想過去在低溫持續較久的冬季與春季，除了穿襪子維持腳底溫暖，也會額外穿一件衛生褲，讓下半身不會感到寒冷。這樣的冬日穿著習慣其實是很小的時候養成，國小一年級時，舉家從高雄搬遷到中部海線鄉鎮，那時，父母為了不讓我們著涼，而讓我們內穿衛生衣褲禦寒，外覆毛衣、太空衣夾克，而到學校上課期間，為了配合制服統一穿著規定，很多人都會把制服裡面多穿保暖衣褲，有些同學看到不小心露出的衛生褲一角，還會嘲笑我為何如此怕冷。雖然並未因怕丟臉而不穿保暖衣褲，但自己還是不自覺地受到影響，認為多穿衣服禦寒是示弱。</p> <p>隨著年紀漸長，面對寒冷我早已有了因應之道，而且，隨著科技與經濟的進步，不論是外搭或貼身衣褲，都有更好的選擇。例如，現在的大衣、外套可以因為採用新進的材質，能兼顧不重、透氣、防濕，而在更早之前，羽絨衣也因輕便、保暖而受到歡迎。</p> <p>天氣寒冷無可迴避，層出不窮、無孔不入的資安威脅也是如此，這是令所有人擔憂而須持續警戒的議題，而各種提升安全性的策略、方法、行動，也受到眾人熱烈討論。</p> <p>例如，這幾年快速竄起的零信任（Zero Trust）、過去很多資安專家常提及的縱深防禦（Defense in depth），有個概念其實也值得大家思考，那就是內蘊型安全（Intrinsic Security），以IT廠商而言，過去伺服器虛擬化平臺廠商VMware論及資安防護對策時，常以此為主軸，2020年7月發布以此為名的白皮書，探討統整與加速企業端點安全防護，與VMware密切合作的Dell Technologies，這幾年也加入鼓吹這概念的行列。</p> <p>對於這個概念的理解，我想到《孫子兵法》九變篇提到的「無恃其不來，恃吾有以待之；無恃其不攻，恃吾有所不可攻也。」，事實上，積極提升自身防禦，並不代表我們好戰、窮兵黷武，然而，有些人在面對威脅時，卻天真地認為不需軍備，而將必要防衛力量視為勞民傷財之舉。</p> <p>誠如美國最近宣布將對臺售出「火山陸上機動布雷系統（Volcano anti-tank munition-laying systems）」引發關注，然而，無論是支持或反對，強化民防與國防的發展、推動相關改革，終將是未來臺灣確保安全的關鍵。</p> <p>關於臺灣的防守，去年10月美國智庫蘭德公司總裁兼執行長Jason Matheny撰文，建議臺灣應建立「豪豬防禦（porcupine defense）」，透過取得適當的武器，以相對較低的成本來獲得生存的機會。這樣的觀點不僅適用於國家安全，對於資安防護而言，也是很實用的策略，畢竟資源有限，無法全部投入這些措施上，面對不對稱的攻守態勢，我們必須找到並實現能讓敵人無法輕易進犯的方法，而非一味懼戰。</p> <p>有了足夠的內蘊安全，若我們也能堅守機密，大敵來襲，可能遭遇哪些狀況？或許就像金庸小說《神鵰俠侶》的黯然銷魂掌「無中生有」，敵人一近身，就瞬間發動全身齊攻，使其手忙腳亂、難以招架；好萊塢電影《環太平洋》裡面，兩位主角操縱的機器人吉普賽危機，屢屢使出蘊藏體內、敵人料想不到的武器，像是機體的冷凍液、藏在手中的伸縮劍，以及胸部的能源火焰，而讓事先從人類腦中取得一定情報的怪獸措手不及。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%A7%E8%98%8A%E5%AE%89%E5%85%A8">內蘊安全</a></div><div class="field-item odd"><a href="/tags/intrinsic-security">Intrinsic Security</a></div></div></div>
2023/1/19 00:00作者李宗翰https://www.ithome.com.tw/voice/155210
Shopify開發團隊公開以Rust重寫Ruby YJIT的權衡與改進細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby 3.1初次加入程序內JIT編譯器YJIT，經過一年的時間，YJIT成為Ruby 3.2中的正式功能，Shopify R&RI（Ruby & Rails Infrastructure）團隊則是該功能的主要推手，開發團隊現在詳細說明<a href="https://shopify.engineering/ruby-yjit-is-production-ready">YJIT的開發細節以及實質帶來的改進</a>。</p> <p>由於Shopify的所有重要基礎設施，包括商店以及網站的底層，都仰賴Ruby和Ruby on Rails，Shopify的大型伺服器叢集散布全球，每分鐘能夠處理超過7,500萬次請求，在2020年的時候，Shopify決定要開發一個相對簡單的JIT編譯器YJIT，目標是以YJIT提高店面渲染器（Storefront Renderer，SFR）的效率。</p> <p>這原本只是Shopify在2020年啟動的內部專案，但是受到CRuby核心貢獻者的邀請，YJIT進入Ruby並且在3.1版本中作為實驗性功能發布。YJIT編譯器到了Ruby 3.2成為正式版本，比起Ruby 3.1的實驗性版本，不只更強健也更易於維護，記憶體效率與執行效能的提升，使得YJIT 3.2更適合用於生產環境中。</p> <p>Shopify在開發YJIT 3.2時，決定要將YJIT從C99移植到Rust上，開發團隊提到這項決定的主要考量有兩個，第一個是Rust提供了C所沒有的安全性，開發團隊認為，這對於具有許多約束的低階系統程式開發來說非常重要。</p> <p>第二個原因則是Rust的程式碼更容易維護。使用C編寫YJIT程式碼時，開發團隊參考C巨集實作動態陣列，他們認為這樣的方法既不安全也不夠聰明，而Rust擁有豐富的標準函式庫和好用的抽象，因此他們只花3個月就將YJIT移植到Rust，還使整體程式碼庫更容易維護。</p> <p>Ruby 3.2中的YJIT記憶體使用更有效率，開發團隊解釋，JIT編譯器的缺點之一，便是需要使用比直譯器更多的記憶體，因為JIT編譯器需要生成可執行機器碼，但是直譯器不需要，而且JIT編譯器還需要分配記憶體給後設資料，因此也增加許多記憶體開銷。</p> <p>YJIT 3.1編譯器大量的記憶體開銷，使得Shopify在生產部署上面臨挑戰，因此開發團隊進行多項改進大幅降低記憶體用量，除了最佳化後設資料占用的記憶體，並且對不再使用的機器碼實作垃圾回收，因此在Ruby 3.2中，YJIT記憶體開銷已降到Ruby 3.1的三分之一，YJIT只會懶散地替機器碼分配記憶體分頁，而不會預先分配並且初始化一大塊記憶體，這項改進讓YJIT更適合用於生產中。</p> <p>YJIT 3.2改進還包括執行速度，不只使用更少的記憶體，而且在Railsbench基準測試上，執行速度比Ruby 3.2的直譯器快38％，與Ruby 3.1.3的直譯器相比更是快了57％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/yjit-improved_performance.jpg" style="width: 580px;" /></p> <p>YJIT 3.2因為有一個新的後端，可以對多種CPU產生機器碼，因此新增支援了ARM64 CPU。之前在Ruby 3.1中的YJIT只支援Mac和Linux上的x86-64，但因為Shopify開發人員開始採用Apple M1/M2筆電，導致他們自己只能使用Rosetta模擬執行YJIT，這驅使他們開始提供ARM64 CPU的支援，使得YJIT可以在Apple M1/M2、AWS Graviton以及樹莓派上執行，而且比起英特爾的x86-64 CPU，YJIT在Mac M1硬體上獲得大幅加速。</p> <p>因為YJIT 3.1記憶體開銷未經最佳化，因此只標記為實驗性，Shopify也未將其部署到全球，但透過部分SFR節點部署收集統計資料，觀察到基準測試中無法發現的效能問題，而到了Ruby 3.2，YJIT已經獲得足夠改進，現在Shopify已經著手將YJIT 3.2部署到全球SFR基礎設施，獲得5％到10％的實際加速。</p> <p>開發團隊提到，目前YJIT最大的缺點，仍然是記憶體占用，開發團隊還會繼續減少記憶體占用，同時他們也將改進Ruby的執行速度，開發團隊解釋，Ruby中有許多方法呼叫，迴圈迭代和大部分的基本操作都是方法呼叫，典型的Ruby程式碼存在許多小方法呼叫，因此他們試圖會從方法呼叫加速下手，改進Ruby程式執行速度。</p> </div></div></div>
2023/1/18 23:03作者李建興https://www.ithome.com.tw/news/155201
Visual Studio 2022添加多合一搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/new-better-search-in-visual-studio/">微軟在Visual Studio 2022添加多合一搜尋功能</a>，將程式碼搜尋和功能搜尋整合至同一個UI中，使得開發者無論是要查詢特定程式碼檔案、類別、方法，或是功能與選項，都能夠採取相同的操作，藉此簡化開發者的搜尋體驗。</p> <p>多合一搜尋功能能以原本的程式碼搜尋快捷鍵Ctrl+T，或是功能搜尋快捷鍵Ctrl+Q啟動，因此開發者不需要學習新的搜尋操作。檔案、類型和成員的搜尋結果，會在由Ctrl+T啟動的程式碼搜尋中，以優先順位排列，快速將開發者導航至該符號位置，使用f:、t:或是m:前綴，則可以縮小搜尋結果的範圍。</p> <p>搜尋結果列表旁邊呈現檔案預覽，開發者不需要開啟該檔案，就能夠瀏覽程式碼獲得前後文脈絡，甚至可以立刻在搜尋視窗中調整程式碼。該預覽面板支援所有檔案類型、C#類別和成員，還有C++類別與成員。</p> <p>要使用新的多合一搜尋功能，開發者需要在工具設定中的預覽功能，啟用新的Visual Studio搜尋體驗選項，如此便能夠在標題欄中，看到新的搜尋按鍵。</p> </div></div></div>
2023/1/18 23:14作者李建興https://www.ithome.com.tw/news/155205
DeepL新AI寫作助理Write不只能改文法，還提供語氣和措辭建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名文字翻譯服務公司DeepL發布新的<a href="https://www.deepl.com/en/blog/introducing-deepl-write">人工智慧寫作助理DeepL Write</a>，DeepL Write是一種人工智慧寫作工具，能夠改進使用者的德文和英文寫作，官方提到，DeepL Write不只解決寫作的文法缺失，同時還能根據語氣、措辭，甚至是寫作風格提供建議。</p> <p>DeepL Write鎖定記者、作家、學者以及跨國公司的多語言團隊，供專業人士能夠編寫文字簡潔且語意清楚的電子郵件、活動提案和報告，DeepL Write提供句子、選詞和改寫建議，提升使用者的文字表達。開發DeepL Write的原因，官方提到，DeepL翻譯服務使用者常需要在兩種語言間琢磨，以改進目標語言的文字寫作，因此DeepL乾脆創建一個微調書面溝通交流的專屬工具。</p> <p>DeepL Write的轉換器可以忠實呈現用戶文字的原意，官方解釋，和翻譯器類似，Write使用複雜的神經網路技術掌握原文的上下文和細微差異，提供精確的改寫和選詞建議。用戶現在可以使用瀏覽器存取DeepL.com/write網站，即可開始使用DeepL WriteAI寫作助理，DeepL Write為免費服務，目前仍在測試階段。</p> </div></div></div>
2023/1/18 20:10作者李建興https://www.ithome.com.tw/news/155200
微星近300主機板預設執行任意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" target="_blank">一名研究人員宣稱</a>，微星有高達近300款主機板的預設設定中，可在未執行安全驗證下允許執行任意程式。</p> <p class="rtecenter"><a href="http://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" target="_blank"><img alt="" src="/sites/default/files/images/0118-MSI's%20(in)Secure%20Boot.png" style="width: 550px;" /></a></p> <p>開源研究人員Dawid Potocki去年12月在電腦設立安全開機（Secure Boot）時，發現他的一款微星主機板（MSI PRO Z790-A WIFI）韌體可以執行任何OS映像檔，而未經過任何驗證。進一步檢驗，顯示是微星變更了安全開機的預設值。</p> <p>Windows安全開機是一項PC安全標準，主要是要機器韌體檢查任何欲在PC執行的軟體有無合法簽章，以確保只有安全、受信賴的程式，包括驅動程式、開機程式、及作業系統或其他應用才能開啟執行。</p> <p>研究人員發現微星主機板上的安全開機設定選單中的「映像檔執行政策」，對可移除媒體、固定媒體、Option ROM預設值均為「永遠執行」，意謂著預設情況下，韌體不會對程式進行任何驗證。他說這項政策只是為了滿足Windows 11對PC 硬體的要求，但預設不驗證，Windows就不知道安全開機功能不起作用。</p> <p class="rtecenter"><a href="https://dawidpotocki.com/img/blog/msi-insecure-boot/firmware1.webp" target="_blank"><img alt="" src="/sites/default/files/images/0118-MSI's%20(in)Secure%20Boot-2.png" style="width: 600px;" /></a></p> <p><a href="http://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Dawid Potocki</span></span></a></p> <p>使用者必須自己手動將政策改為「拒絕執行」。此外，若選擇「允許執行」和「查詢使用者」選項則會破壞UEFI規格。</p> <p>研究人員之後透過其研究網絡，<a href="https://github.com/Foxboron/sbctl/issues/181" target="_blank">檢視並研判近300款主機板及韌體版本</a>，都受到這問題影響，當中涵括AMD及Intel產品用的主機板。他並指出，受影響的似乎都是2021年9月以後的韌體。</p> <p>研究人員說曾試圖聯繫微星，但多方嘗試皆未收到回應。目前他正在尋求為這項問題指派漏洞編號。</p> </div></div></div>
2023/1/18 19:13作者林妍溱https://www.ithome.com.tw/news/155206
Discord收購新興社群平臺Gas
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discord.com/blog/welcoming-gas-to-discord" target="_blank">Discord宣布</a>收購在青少年間流行的新興社群應用程式Gas。</p> <p>Gas是一款近日在美國青少年之間受歡迎的投票型匿名社交應用程式，可讓使用者從正面回應中獲得自信心。臉書或其他社交平臺上充滿仇恨、霸凌，容易對使用者特別是青少年造成心理創傷，而Gas則以學校為單位加入，並加入同校生為好友，Gas透過匿名投票，例如由使用者投票選出「誰笑容最迷人」、「誰是最棒的DJ」，而獲選的人則可獲得使用者讚許訊息。這App可營造出一種更溫暖、鼓舞人的虛擬社交空間。</p> <p>Gas是由Nikita Bier創立，Bier也曾打造類似Gas的TBH，TBH在2017年賣給臉書後被關閉。<a href="https://twitter.com/nikitabier/status/1585889240142839809" target="_blank">Bier去年4月也曾向馬斯克（Elon Musk）</a>毛遂自薦擔任推特（Twitter）的產品長。</p> <p>Gas團隊只有4個人，他們的App在2022年8月上線後很受美國高中生歡迎，<a href="https://www.businessinsider.com/gas-app-founder-elon-musk-hire-twitter-2022-10" target="_blank">2022年10月中Gas每日用戶數</a>達到100萬，成為美國當月下載量最多的App，而同年10月底該平臺已發布了超過5億次投票。</p> <p>Gas也開發出一個獲利商業模式。被點名投票的人可獲得虛擬幣，他可以用來購買加入其他投票。Gas還銷售6.99美元的「上帝視角」（God Mode）服務，可讓使用者一周獲知2個名字，投票獲得的虛擬幣也多一倍。<a href="https://www.businessofapps.com/data/gas-statistics/" target="_blank">據媒體分析</a>，該網站3個月已創造出300萬美元銷售額。</p> <p>Discord並未說明收購Gas的計畫，僅表示所有Gas團隊將加入該公司，目前Gas仍將獨立運作，也將協助拓展核心及新用戶數。不過<a href="https://techcrunch.com/2023/01/17/discord-acquires-gas-a-compliments-based-social-media-app-for-teens/" target="_blank">Techcrunch推測</a>，Discord可能會將Gas的社群投票功能整合到它的單一訊息App中。</p> </div></div></div>
2023/1/18 19:44作者林妍溱https://www.ithome.com.tw/news/155207
歐盟傳正式反對微軟、動視暴雪合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與遊戲出版商動視暴雪（Activision Blizzard）合併案再添阻力。<a href="https://www.reuters.com/technology/microsoft-faces-eu-antitrust-warning-over-activision-deal-sources-2023-01-16/" target="_blank">路透社本周引述消息人士報導</a>，歐盟可能對雙方發出反對文件。</p> <p>歐盟已經準備好一份《異議聲明書》（statement of objections），表達對本收購案的疑慮，預計未來幾周內可能就會寄給微軟。</p> <p>歐盟的立場可能和美國競爭主管機關聯邦交易委員會（Federal Trade Commission，FTC）相同。<a href="https://www.ithome.com.tw/news/154634" target="_blank">FTC去年12月對微軟提出反托拉斯控訴</a>，理由是根據動視暴雪的市場重要性，以及微軟過往不良紀錄，他們相信，本樁收購案可能造成市場壟斷、削弱自由競爭，影響遊戲機、多人遊戲內容訂閱服務及雲端遊戲訂閱服務等市場。</p> <p>微軟去年1月宣布以690億美元收購出版《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）與《決勝時刻》（Call of Duty）等熱門遊戲的動視暴雪，不但是該公司最大收購，也是遊戲產業最大宗收購案，同時將讓微軟成為全球第三大遊戲出版商。</p> <p>由於擔心微軟可能限制遊戲機、多人遊戲及雲端遊戲訂閱服務競爭者取得動視暴雪這些熱門遊戲的授權，Sony首先表達疑慮。而在FTC提出控告後，<a href="https://www.ithome.com.tw/news/155146" target="_blank">報導指出</a>，今年稍早，Google及Nvidia也透過提供資料，以強化FTC的反對論證。</p> <p>雖然還未正式收到文件，不過微軟對路透社表示，將持續與歐盟合作解決任何市場疑慮，並強調其目標是讓更多人可接觸到更多電競遊戲，而本收購案則是實現該目的的重要手段。</p> <p>歐盟對這消息不願置評。歐盟預計在4月11日的最後期限前對本案做出決議。英國和美國政府也持反對立場。但巴西、沙烏地阿拉拍、塞爾維亞等國主管機關已經核准了這樁收購。</p> </div></div></div>
2023/1/18 20:07作者林妍溱https://www.ithome.com.tw/news/155208
【資安日報】2023年1月18日，研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的雲端開發工具有可能被駭客拿來散布惡意軟體！近日資安業者趨勢科技揭露濫用雲端IDE服務GitHub Codespaces的攻擊手法，並表示攻擊者還能透過事先設定完成相關組態的容器，建置更多惡意網站。</p> <p>研究人員針對微軟去年第4季修補的Azure伺服器端請求偽造（SSRF）漏洞說明細節，並指出有部分的漏洞不需身分驗證就能夠被利用，甚至攻擊者沒有Azure帳號也進行相關攻擊。</p> <p>Oracle於1月17日發布今年的第1個每季例行修補，當中針對多項產品發布更新，其中，資料庫系統MySQL就修補了近40個漏洞而相當值得留意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.trendmicro.com/en_us/research/23/a/abusing-github-codespaces-for-malware-delivery.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用雲端IDE服務GitHub Codespaces，散布惡意軟體的手法</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure4-abusing-github-codespaces-for-malware-delivery.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure4-abusing-github-codespaces-for-malware-delivery.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技提出警告，2022年11月正式上線的雲端IDE服務GitHub Codespaces，駭客很有可能用來散布惡意軟體。研究人員展示如何透過這項服務架設網頁伺服器，藉此利用微軟提供的流量來規避偵測──攻擊者可透過Python架設網頁伺服器，然後將惡意軟體或惡意指令碼上傳到Codespaces，並在該服務的VM裡，打開Web伺服器的連接埠，並設為公開。</p> <p>如此一來，駭客產生的URL就能存取上述於Codespaces代管的檔案，而被用於攻擊行動。研究人員指出，駭客還可以濫用該IDE服務的開發容器（Dev Container），藉由這種事先設定好的容器，來提升散布惡意軟體的效率。</p> <h3><a href="http://www.documentcloud.org/documents/23573442-a_nmac_ah877_v02-002?responsive=1&title=1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日產汽車北美分公司資料外洩，起因是外部供應商資料庫配置不當</span></strong></a></h3> <p>1月16日日產汽車北美分公司向美國緬因州總檢查長辦公室通報，他們在2022年6月21日收到軟體開發商資料外洩的通報，此公司從日產取得客戶資料並用於開發軟體，但因為資料庫配置不當而無意間曝露相關資料。日產獲報後展開調查，並於9月26日察覺疑似未經授權人士存取上述資料庫。</p> <p>這些曝露的資料包含了車主姓名、出生日期，以及日產金融帳號（NMAC），但不包括社會安全碼（SSN）與信用卡資料。日產估計有17,998人受到影響，不過，目前尚未發現相關個資遭到濫用的跡象。</p> <h3><a href="https://vulncheck.com/blog/sophos-cve-2022-3236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數千臺Sophos防火牆曝險，原因是系統版本過舊而無法升級、修補漏洞</span></strong></a></h3> <p>資安業者VulnCheck針對Sophos防火牆用戶提出警告，12月修補的程式碼注入漏洞CVE-2022-3236（CVSS評分為9.8分），粗估至少有4千臺防火牆因為版本太舊，無法接收相關更新而曝險。Sophos在9月下旬針對這項漏洞發布資安通告，並指出當時已被用於攻擊行動，後續亦提供修補程式。</p> <p>但研究人員指出，他們從物聯網搜尋引擎Shodan找到8.8萬臺Sophos防火牆，結果發現，幾乎所有的設備（99%）尚未修補上述漏洞，不過，約有93%防火牆執行的軟體版本可接收更新程式，換言之，約有6%的設備，也就是4,400臺因無法接收自動更新而可能持續曝險。</p> <h3><a href="https://www.bitdefender.com/blog/labs/eyespy-iranian-spyware-delivered-in-vpn-installers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗間諜軟體EyeSpy假借VPN軟體散布</span></strong></a></h3> <p>防毒業者Bitdefender揭露名為EyeSpy的攻擊行動，駭客咱2022年5月開始，利用監控應用程式SecondEye的元件，並藉由木馬化的安裝程式散布名為EyeSpy的間諜軟體，目標是伊朗網路服務業者Speed VPN的使用者，此攻擊行動於8月至9月達到高峰，受害者大部分位於伊朗，但德國與美國也有人受害。</p> <p>一旦使用者依照指示安裝駭客提供的VPN用戶端程式，同時也會在電腦部署EyeSpy與一系列惡意工具。此間諜軟體能側錄鍵盤輸入的內容，以及竊取機密資料，來危害受害者的隱私。</p> <h3><a href="https://www.deepinstinct.com/blog/malicious-jars-and-polyglot-files-who-do-you-think-you-jar"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式StrRAT與Ratty濫用多屬性檔案發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig5-low-detection-rate-for-cab-jar-polyglot.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig5-low-detection-rate-for-cab-jar-polyglot.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct揭露近期木馬程式StrRAT與Ratty的攻擊行動，駭客為了規避防毒軟體的偵測，採用了多屬性（Polyglot）檔案來進行干擾──他們製作了同時具備MSI安裝檔（或CAB檔案）與JAR壓縮檔屬性的惡意軟體，由於MSI與CAB是在檔案前端加入相關標記，而JAR則是在檔案結尾標記格式資料，使得駭客製作的檔案既是MSI安裝程式（或CAB壓縮檔），也能被視為Java程式執行。這些惡意軟體會從Discord下載StrRAT和Ratty酬載到受害電腦。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securitynewspaper.com/2023/01/17/four-server-side-request-forgery-ssrf-vulnerabilities-impacting-different-azure-services/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布Azure服務出現的4個伺服器端請求偽造漏洞細節</span></strong></a></h3> <p>資安業者Orca針對微軟近期修補的Azure服務的伺服器端請求偽造（SSRF）漏洞公布細節，這些漏洞分別出現於物聯網管理平臺Azure Digital Twins、無伺服器解決方案Azure Functions、API管理平臺Azure API Management，以及機器學習專案生命週期管理服務Azure Machine Learning，微軟獲報後於2022年10月至12月修補。</p> <p>研究人員指出，Azure Functions和Azure Digital Twins的漏洞無需身分驗證就能被利用，使得攻擊者可在沒有Azure帳號的情況下，藉由伺服器的名義發出請求來利用漏洞。</p> <h3><a href="https://www.oracle.com/security-alerts/cpujan2023.html?source=:em:gbc:ie:cpo:::RC_WWMK210714P00017:SEV400271504&elq_mid=236902&sh=15222217222121092202163608262403&cmid=WWMK210714P00017C0001" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第一季例行修補</span></strong></a></h3> <p>1月17日，Oracle推出2023年第一次的每季例行修補，總共修補了327個漏洞，當中涵蓋資料庫軟體MySQL、Oracle Java SE、虛擬化平臺Oracle VM VirtualBox等產品。</p> <p>其中，MySQL的部分共有37個漏洞，其中，CVE-2022-31692、CVE-2022-32221、CVE-2022-37434的最為危險，CVSS評分達到9.8分；而對於Java SE的部分，該公司總共修補4個漏洞，其中風險層級最高的是CVE-2022-43548，CVSS評分達到8.1分；而對於VirtualBox，他們共修補了6個漏洞，風險評分最高者是CVE-2023-21886，CVSS風險層級是8.1分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.sailpoint.com/press-releases/sailpoint-acquires-seczetta/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SailPoint買下身分驗證生命週期及風險管理業者SecZetta</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/ransomware-attack-affects-1000-vessels-worldwide-a-20939"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">船隻管理系統ShipManager遭勒索軟體攻擊，恐波及上千艘船運作</span></span></strong></a></p> <p><a href="https://therecord.media/hackers-use-fear-of-mobilization-to-target-russians-with-phishing-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯人遭到鎖定，駭客假借提供動員名單進行網釣攻擊</span></span></strong></a></p> <p><a href="https://heimdalsecurity.com/blog/danish-danskespil-dk-smishing/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">丹麥手機用戶遭到釣魚簡訊鎖定，駭客聲稱訂閱服務到期行騙</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/01/12/rhadamanthys-new-stealer-spreading-through-google-ads/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密程式Rhadamanthys透過Google廣告散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155198">【2023年1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155184">【2023年1月16日】 WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155154">【2023年1月13日】 SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</a></strong></strong></strong></p> </div></div></div>
2023/1/18 16:42作者周峻佑https://www.ithome.com.tw/news/155202
台灣大哥大併台灣之星，遠傳合併亞太電信，NCC附帶條件准了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大哥大申請合併台灣之星、遠傳電信申請合併亞太電信，兩宗電信合併案在歷時約1年時間後，NCC今天（1/18）以附加附款方式通過兩項合併案，針對外界爭議合併後，台灣大哥大、遠傳電信擁有的頻寬超過標準，NCC要求限期解決頻寬超標問題。</p> <p>台灣大哥大是在2021年12月底，宣布將合併台灣之星，為國內電信市場投下震憾彈，稍後遠傳電信也在2022年2月發表合併亞太電信的消息，台灣大哥大、遠傳電信在去年2月、3月先後向NCC申請合併案。由於合併案牽涉市場競爭、用戶權益，以及合併後取得無線頻譜資源超標問題，引發各界不同意見，合併案遲遲沒有結論，NCC也舉辦聽證會，蒐集各界意見，也和數位發展部、公平會就電信合併案進行討論。</p> <p>本周NCC委員會決議通過兩宗合併案，NCC副主委暨發言人翁柏宗表示，基於資源合理分配、有助於產業發展、維護用戶權益、維繫市場競爭及國家安全考量，以附加20項附款、6項行政指導事項通過台灣大哥大合併案，遠傳申請合併亞太電信一案也以19項附款、6項行政指導事項通過。</p> <p>翁柏宗進一步指出，電信業者合併應發揮綜效，NCC提出對合併業者的幾項期望，包括提升服務人口涵蓋率，且因可用的頻寬資源增加，必需提升服務品質。此外，合併之後，既有消滅業者的用戶概括承受，保障用戶權益，也必需提供多元資費，關懷弱勢用戶，引入其他業者服務，促進市場競爭。NCC未來每一年7月都會檢視業者是否做到。</p> <p>至於爭議已久的無線頻寬超標一事，依公布資料，台灣大哥大合併台灣之星後，在1GHz以下頻段超額10MHz；遠傳合併亞太電信後，在3GHz以下頻段超過13MHz頻寬，在6GHz以下超過3MHz頻寬，在24GHz以上則超過160MHz頻寬。</p> <p>NCC指出，依照與數位發展部討論，認定合併後，台灣大哥大、遠傳電信兩家業者都有超額頻寬，要求業者在2024年6月30日前經數位部核准，完成超額頻寬處理，處理方式包括業者自主繳回超額頻寬資源，或是轉讓非子公司、關係企業、營業夥伴的其他電信業者，或是與非子公司、關係企業、營業夥伴的其他電信業者交換。如沒有在限期內處理完，將依法處50萬元以上、500萬元以下罰鍰，並通知停子使用頻率。</p> <p>今天NCC通過合併案後，接下來需經過公平會審議結合案，後續完成證交所、證期局，關於股分合併，以及經濟部法人登記變更。而在通訊傳播業務方面，NCC通過合併案後，合併業者需向NCC申請網路、營運計畫變更，因合併後超額頻寬必需處理，後續還要向數位發展部核發新的頻率使用證明，再經NCC核發審驗合格證明等等。</p> <p><span style="color:#B22222;"><strong>業者合併後，未來5G人口涵蓋率需達98%以上</strong></span></p> <p>NCC要求合併業者服務涵蓋率提升，在2027年後，4G涵蓋率需達人口的99%以上，5G涵蓋率則需達到98%以上，偏遠地區涵蓋率則要達到95%以上。由於合併後，電信業者取得更多頻譜資源，業者在網路規畫上更具彈性，業者未來5年投入4G、5G基礎建設，預計資本支出投入600多億元。</p> <p>至於用戶合併方面，台灣大哥大、遠傳電信均概括承受台灣之星、亞太電信既有用戶，合計約476萬用戶，應提供無差別的電信服務，台灣之星、亞太電用戶權益不受影響。</p> <p>此外，因合併後，市場上從5家行動電信業者剩下3家行動業者，為避免影響市場的競爭，NCC要求業者對於MVNO業者與行動電信業者合作提供服務，應訂出明確的受理程序、協商，提供多樣化的批發服務及計價方式，提供其他業者與自身用戶相同的行動語音、數據漫遊、號碼可攜及平等接取服務。NCC也要求行動電信業者對MVNO不得有限制的行為，包括不可有不合理或無正當的流量管理差別待遇、不得限制或干預其他業者的費率規畫、行銷及服務組合，或是限制MVNO和其他電信業者簽訂批發服務契約等等。</p> <p> </p> <p> </p> </div></div></div>
2023/1/18 17:55作者蘇文彬https://www.ithome.com.tw/news/155204
【資安月報】2022年12月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月資安新聞中，有3大面向的議題可以進一步探討與關注，包括微軟Exchange漏洞利用的最新消息，惡意網站偽冒品牌業者，並利用搜尋引擎廣告來散布的威脅態勢，以及本月資安防護新聞有數個熱門焦點。</p> <p>首先，在這個月有一項漏洞利用攻擊受關注，起因是雲端服務業者Rackspace代管的Exchange伺服器<a href="https://www.ithome.com.tw/news/154560#rackspace">在12月初</a>，因遭勒索軟體攻擊而中斷運作，一個月後，該公司公布委託資安業者CrowdStrike調查的結果。<a href="https://status.apps.rackspace.com/index/viewincidents?group=2&group=2">Rackspace指出</a>，這場攻擊由Play勒索軟體的駭客組織發動，是使用一個未知的漏洞入侵他們代管的Exchange伺服器，並指出該漏洞與微軟11月修補的CVE-2022-41080漏洞有關，因此並非直接透過CVE-2022-41080漏洞來入侵。</p> <p>特別的是，在12月20日，CrowdStrike曾經揭露相關漏洞利用相關消息，當中提供了更多資訊。<a href="https://www.ithome.com.tw/news/154819#OWASSRF">該公司研究人員表示</a>發現新的漏洞利用方法，是串連利用了CVE-2022-41080與CVE-2022-41082的漏洞，將可繞過ProxyNotShell（由CVE-2022-41082及CVE-2022-41040組成）的緩解措施，但若已安裝修補微軟11月的Exchange更新修補，此攻擊手法將變得無效。而這項發現，是他們在調查Play勒索軟體事件時所得出的結論，因此，該業者當時也趕緊建議用戶盡速安裝更新修補。</p> <p>至於CVE-2022-41080漏洞，美國網路安全暨基礎設施安全局（CISA）<a href="http://www.ithome.com.tw/news/155171">後續</a>也將這個漏洞列入已知被利用漏洞（KEV）列表，也印證駭客針對該漏洞鎖定利用的情形出現。</p> <p>另一項關注的攻擊態勢，是美國<a href="https://www.ithome.com.tw/news/154861#FBI">FBI發出警告</a>──有網路犯罪者持續利用搜尋引擎廣告、假冒品牌業者的方式，來散布惡意網站。因此他們提醒企業與民眾注意，並對企業提出三項建議，可利用網域名稱保護服務，向用戶宣導認識詐騙網站與識別正確URL的重要性，以及告知用戶如何找到合法下載管道，同時呼籲民眾個人也要懂得自保，廣告連結同樣要檢查網址是否有異。</p> <p>事實上，這樣的狀況在2022年11月的資安月報也提到，因為臺灣持續有相關案例。而在美國FBI發出警告之後幾天，還有一些資安業者揭露這類型攻擊的研究與調查。</p> <p>例如，趨勢科技<a href="https://www.ithome.com.tw/news/154895#IcedID">揭露殭屍網路病毒IcedID的攻擊行動</a>，就是會透過Google的點擊付費廣告管道，假冒知名品牌業者名義，引誘使用者到惡意網站下載安裝程式；另一家資安業者Guardio也揭露不同攻擊行動，<a href="https://www.ithome.com.tw/news/154930#Vermux">指出駭客組織Vermux</a>的手法更隱密，在濫用Google廣告、冒名提供應用程式的過程中，在連至真正惡意網站前，使用一個位於俄羅斯的masquerAds網域來進行重新導向，也就是先以無害的masquerAds網站，來通過Google的審核機制。</p> <p>另外，12月還有多項安全防護面的重要發展，成為熱門資安新聞焦點。</p> <p>例如，以開發人員與資安人員而言，有兩項消息受到廣泛關注，一是<a href="https://www.ithome.com.tw/news/154709">Google新推OSV-Scanner</a>，可幫助專案相依項目與已知漏洞列表做到自動化比對，另一是<a href="https://www.ithome.com.tw/news/154779">GitHub推出Secret scanning的功能</a>，可幫助開發人員檢查不慎將帳密、金鑰或憑證嵌入在程式碼，造成秘密外洩的問題。</p> <p>以半導體產業而言，SEMI國際半導體產業協會宣布<a href="https://www.ithome.com.tw/news/154611">推出「半導體資安風險評級服務」</a>，期盼帶動資安行動力不足的半導體業，都能更有效地提升資安量能，而且，非SEMI會員也可訂閱這項服務。</p> <p>以物聯網相關上游產業而言，聚焦IoT平臺與元件的SESIP標準，首次有<a href="http://www.ithome.com.tw/news/154900">國際組織在臺推動</a>，而資策會也與該標準推動者Global Platform簽署MOU，希望在臺灣建立認可實驗室後，本土物聯網產品廠商可以就地檢測，更期盼我國的IoT晶片安全與測試標準也能鏈結國際。</p> <p>另外，我國金管會新<a href="https://www.ithome.com.tw/news/154920#金融資安行動方案2.0">發布金融資安行動方案2.0</a>，將新增12項措施（共40項），並綜整為9個推動重點，成為國內金融業未來所關注的重點，而隨著美國國防部網路安全成熟度模型認證（CMMC）2.0版草案的推出，<a href="https://www.ithome.com.tw/article/154533">臺灣產業對此議題的重視程度</a>備受探討，尤其是電機電子與國防業者在爭取商機上，應當更要密切關注與行動。</p> <p>此外，本月還有<a href="https://www.ithome.com.tw/news/154609">亞洲國際密碼學會議在臺舉行</a>的消息，PQC轉換議題再度浮上檯面，而在國際間，美國政府不僅開始付諸行動，白宮12月簽署<a href="https://www.ithome.com.tw/news/154861#H.R.7535">量子運算網路安全準備法案（H.R. 7535）</a>，更進一步促成後量子密碼學過渡計畫的實踐。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/154644"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月5日到12月9日</span></a></strong></h2> <p>在這一周資安新聞中，有多項漏洞消息受關注，包括三菱電機PLC多項漏洞等待業者修補中的消息，還有American Megatrends的一系列BMC韌體漏洞被揭露，多家主機板業者受影響。</p> <p>其他關注的漏洞修補消息，包括FreeBSD修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，Linux作業系統修補存在於snap-confine模組的高風險漏洞CVE-2022-3328，以及Intel修補資料中心管理主控臺（DCM）的漏洞。</p> <p>在威脅新態勢方面，有兩大焦點值得關注。國際間出現鎖定電信業者、業務流程外包公司，竊取SIM挾持攻擊所需權限的攻擊行動；有駭客手法是在釣魚郵件中，挾帶微軟筆記軟體OneNote的檔案（.ONE）來散布惡意軟體Formbook。在國際威脅焦點方面，近期揭露的重大事件有下列幾起，像是：美國軍火供應商遭到俄羅斯駭客TAG-53攻擊的情況，以及近期中國駭客Mustang Panda（又名APT41）假借歐盟名義發送釣魚郵件，在全球植入惡意軟體PlugX的情況。</p> <p>本周還有幾則新聞顯現出值得關注的趨勢，包括Google公布Android 13有更多新程式碼是用Rust開發，且Rust程式碼中目前發現的記憶體漏洞為零；12月5日「SEMI半導體資安風險評級服務」服務方案推出，非會員亦可訂閱，讓供應鏈資安強化有更容易進行的方式；Global Platform近期在臺推動一項物聯網安全SESIP標準，由於能高度與其他資安標準對應而受到看重。</p> <p>至於國內資安事件的消息，<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部在7日回應</a>了桃園醫院資安事件的媒體報導，針對2019年的3起事件說明當時處理情形。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154774"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月12日到12月16日</span></a></strong></h2> <p>在這一周資安新聞中，有多項漏洞修補消息受關注，包括微軟本周釋出12月Patch Tuesday，當中修補一項的零時差漏洞CVE-2022-44698，以及Citrix在13日公告修補ADC與網路閘道器產品的零時差漏洞CVE-2022-27518，都已有攻擊行動鎖定，必續盡快修補。</p> <p>同時，Fortinet於11月修補SSL VPN漏洞CVE-2022-42475，後續該公司也發布資安通告說明已有攻擊行動鎖定利用的情形。還有要注意的是，iPhone的WebKit零時差漏洞CVE-2022-42856被鎖定，其中iOS 15.1手機用戶須特別注意。另外，本周新聞尚未提到的Veeam Backup & Replication的CVE-2022-26500與CVE-2022-26501漏洞修補，我們認為同樣須要留意。</p> <p>關於新漏洞揭露上，亦有兩大焦點，其影響層面不小。研究人員發現多款WAF產品因無法識別JSON格式、恐被發動SQL注入攻擊，多家廠牌都受影響，已有5家廠商釋出修補，其他產品用戶也應設法了解；還有數款防毒軟體與EDR系統也被研究人員發現零時差漏洞，受關注的是，這些漏洞可能被用於打造資料破壞軟體（Wiper），多家廠商也紛紛釋出修補。</p> <p>關於攻擊新趨勢方面，資安業者發現惡意軟體QBot有新的散布手法，攻擊者會在惡意郵件中的HTML附件中挾帶包含惡意JavaScript的SVG圖片；另外針對開源套件庫的方面，資安業者發現有網路攻擊者在NuGet、NPM、PyPI套件庫，透過自動化方式，打造並上傳了超過14萬個惡意套件。此外，還有一個值得留意的威脅態勢，是近來有勒索軟體攻擊濫用微軟簽章的驅動程式的情形，微軟獲報後發現數名開發人員計畫帳號被濫用。</p> <p>而在國內方面，關於2022年臺灣APT攻擊現況，資安業者TeamT5揭露這方面資訊，他們觀察到全年有109起APT攻擊行動，以阿米巴Amoeba與畫皮Hupai這兩個駭客組織為大宗，政府與軍方是主要遭受攻擊目標。</p> <p>至於安全防護面向上，本周Google新推的OSV-Scanner，是開發人員與資安人員重視的焦點，該機制可讓專案相依項目與已知漏洞列表，提供自動化比對的幫助。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154877"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月19日到12月23日</span></a></strong></h2> <p>在這一周資安新聞中，就是微軟最近將9月修補的漏洞CVE-2022-37958，調整為RCE漏洞，由於該漏洞涉及SPENGO NEGOEX防護，SMB與RDP等都受影響，因此受到廣泛關注。其他重大的漏洞消息，包括Samba在15日修補多項高風險漏洞，以及思科在12月中旬更新多則資安通告，當中指出多年前修補的漏洞在今年3月被用於攻擊行動。</p> <p>勒索軟體Play針對ProxyNotShell漏洞繞過的攻擊手法，持續成為焦點，資安業者發現有新手法OWASSRF攻擊Exchange伺服器。在攻擊新趨勢方面，以殭屍網路病毒而言，本周有MCCrash與Zerobot的攻擊動向受關注；在新興技術研究方面，有研究人員提出規避EDR監控的新硬體斷點技術，以及展示熱門自然語言對話語言模型ChatGPT與Codex可能被攻擊者應用的情境。</p> <p>在這一週資安消息當中，有幾則都是受到比較多討論的，像是：烏克蘭軍事情報系統Delta遭到竊密軟體攻擊、FBI威脅情資交換平臺InfraGard遭駭；還有雲端身分安全業者Okta說明原始碼遭竊，以及密碼安全服務業者LastPass客戶資料庫備份遭複製的事件。</p> <p>另外，國際間又有BEC詐騙案的警告，但這次並非變更匯款帳號騙取金錢，而是騙取貨品。這類案情雖不多見，但早年其實發生過，例如，五年前國內刑事警察局國際刑警科對於<a href="https://www.ithome.com.tw/news/116960"><span style="color: rgb(0, 0, 128);">BEC詐騙</span></a>就看到這樣的狀況，並指出手法萬變不離其宗，最終目的都是騙取金錢或貨品。</p> <p>至於安全防護的焦點上，GitHub將推出一項Secret scanning功能最受關注，可協助因應因開發人員不慎將帳密、金鑰或憑證嵌入程式碼的問題。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154961"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月26日到12月30日</span></a></strong></h2> <p>在12月最後一周的漏洞消息中，主要焦點包括：Linux核心CVE-2022-47939漏洞（CVSS評分10）被揭露，Apache ShardingSphere-Proxy的CVE-2022-45347漏洞修補，Kubernetes政策管理引擎Kyverno的CVE-2022-47633漏洞修補，以及月前Citrix ADC與Gateway漏洞修補後的企業更新狀況。</p> <p>特別要注意的是，TIBCO Software在2018與2019年針對JasperReports伺服器修補的兩個已知漏洞（CVE-2018-5430與CVE-2018-18809），最近<a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/29/cisa-adds-two-known-exploited-vulnerabilities-catalog">有攻擊者正針積極鎖定利用</a>，本周新聞中尚未提到，值得先行留意。</p> <p>至於威脅趨勢上，有兩起值得留意，首先是美國電信業者Comcast Xfinity用戶帳號遭入侵的事件，駭客疑繞過雙因素驗證挾持帳號；其次是駭客在Google廣告散布竊密軟體是利用masquerAds規避審核。另外，針對WordPress外掛程式的攻擊行動又有新的事件。</p> <p>還有一些國際資安新聞受到不小的關注，例如：美國參議院通過公務裝置全面禁用抖音的法案，南韓警方揭露當地外交智庫學者有近千人遭網釣攻擊，以及俄羅斯駭客企圖入侵北約國家煉油廠；在國內，金融資安行動方案2.0出爐消息最受注目。</p> <h2> </h2> </div></div></div>
2023/1/18 15:30作者羅正漢https://www.ithome.com.tw/news/155178
蘋果公布搭載M2 Pro和M2 Max晶片的MacBook Pro，效能比前代快40%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月蘋果公布了採用M2晶片的13吋MacBook Pro，一如業界臆測，蘋果昨（17）日公布搭載了最新M2 Pro及M2 Max SoC晶片的14與16吋的MacBook Pro與Mac mini，號稱效能比前代晶片快40%，影像處理效果更優異。另外Mac mini首次搭載M2晶片也宣布降價100美元。</p> <p><a href="https://www.apple.com/tw/newsroom/2023/01/apple-unveils-macbook-pro-featuring-m2-pro-and-m2-max/" target="_blank">新版14及16吋MacBook Pro</a>主打M2 Apple Silicon效能。蘋果指出，M2 Pro擴大基本版M2晶片，最高提供12核心CPU及19核心GPU，以及最高32 GB統一記憶體。M2 Max則再將GPU推向38核心，最高96 GB統一記憶體。兩者還另外加入16核神經引擎（Neural Engine）及蘋果自有媒體引擎等。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-M2-chips-hero-230117.jpg.landing-big_2x.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p><a href="https://www.apple.com/newsroom/2023/01/apple-unveils-m2-pro-and-m2-max-next-generation-chips-for-next-level-workflows/" target="_blank">蘋果宣稱</a>，M2 Pro以第二代5奈米製程打造，由400億電晶體組成，比M1 Pro多了近20%，比基本版M2多了1倍。它提供了10核或12核CPU，具備最多8個效能核心及4個省電核心。和10核心CPU M1 Pro比較，多執行緒CPU效能最多提升20%。</p> <p>蘋果聲稱，MacBook Pro執行Adobe Photoshop應用，在M2 Pro版可比M1 Pro快40%，若比起Intel Core i9甚至快80%。以M2 Pro版MacBook Pro執行Xcode組譯作業，速度比使用Intel CPU版本同型機種提升2.5倍。另外，M2 Pro 19 GPU核心則比M1 Pro多了3倍，加上更大的L2快取，使繪圖速度提升最高30%，增加了MacBook Pro執行高畫質遊戲的能力。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-M2-chips-image-processing-in-Photoshop-230117_big.jpg.large_2x.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-M2-chips-code-compiling-in-Xcode-230117_big.jpg.large_2x.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>M2 Max則包含670億電晶體，是基本版M2的3倍。400GB/s的統一記憶體頻寬加上96GB的統一記憶體，使其可快速開啟多個檔案，便於跨多個如金融、工程等專業應用執行，而繪圖速度也較M1 Max快30%，使新版MacBook Pro更利於需要繪圖效能的作業負載，包括視覺效果或影像處理、訓練機器學習等。蘋果並強調，M2 Max每瓦電效能使其成為全球最強大、也最省電的筆電晶片。</p> <p>蘋果另外指出，M2 Pro及M2 Max都內建了降噪功能及16核神經引擎（Neural Engine），可強化相機影像畫質，並提供影像編碼及ProRes引擎，可支援多道4K、8K的ProRes影片串流播放。兩者也都加入安全（Secure Enclave）可支援安全啟動及資料加密。</p> <p>新版本14及16吋筆電其他規格則和前一代大致相同，都是執行macOS Ventura，顯示器、機身及傳輸埠設計也都沒變。</p> <p><a href="https://www.apple.com/tw/newsroom/2023/01/apple-introduces-new-mac-mini-with-m2-and-m2-pro-more-powerful-capable-and-versatile-than-ever/" target="_blank">蘋果另外也展示了首次搭載M2 Pro的Mac mini</a>。這使得Mac mini也成為全數不再使用Intel處理器的產品線。現在僅剩Mac Pro尚未完全轉換到自家Apple Silicon晶片。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/imac/lifestyle/Apple-Mac-mini-ProRes-Video-230117_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>MacBook Pro提供太空灰及銀白兩種選擇。美國市場即日起開放消費者預購，預計1月24日出貨。價格方面，MacBook Pro 14及16吋機種起售價分別為1,999及2,499美元，Mac mini則起跳價則降100美元，來到599美元。<a href="https://www.apple.com/tw/shop/buy-mac/macbook-pro/16-%E5%90%8B" target="_blank">臺灣</a>售價分別為64,900元及79,900元，以及18,900元臺幣。臺灣開賣時間未定。</p> </div></div></div>
2023/1/18 16:42作者林妍溱https://www.ithome.com.tw/news/155203
Cloud周報第164期：福斯新一代汽車架構開始擁抱雲原生技術，將把容器帶進汽車來推動應用創新和提高用戶體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（01/12～01/18）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 軟體化汽車 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 福斯 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>福斯汽車不只打造雲端汽車平臺，更要擁抱雲端原生技術將容器帶進車上</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(7).png" style="width: 600px; height: 322px;" /></p> <p>福斯集團旗下汽車軟體公司Cariad在今年CES電子消費大展上，<a href="https://youtu.be/r0FNS6b4l9k?t=344">揭露</a>他們將擁抱雲原生技術，要把火紅的容器帶進車上，來推動汽車應用創新和提高用戶體驗。</p> <p>福斯汽車與雲端平臺負責人Amen Hamdan表示，目前已經提供一個嵌入式應用的runtime讓開發者可以將應用用容器打包後送到車上的實例做更新，而且可以將功能拆分，針對小功能進行更新。開發者也能透過這個應用runtime和API來取得車子功能相關數據進行應用開發，「今年把這項技術導入車上後，會推向更多車款。」他表示。</p> <p>福斯新一代汽車架構，強調軟體為中心的汽車設計架構，他們幾年前更與微軟合作打造一個福斯汽車雲（Volkswagen Automotive Cloud），透過這個汽車雲可提供各種車聯網應用服務。福斯美國汽車雲主要負責人Ross Garrett表示，汽車雲更大目的，是要讓原本在網站、行動和雲端開發者能把他們在其他平臺開發的應用帶進汽車上，因此提供許多開發工具，也開放API，藉此將開發時程從以前數個月或年，縮短到周。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware主權雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中華電信 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>中華電信與VMware合作在臺推出主權雲服務，因應資料不出境和資料主權要求</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(13).png" style="width: 600px; height: 316px;" /></p> <p>中華電信近日宣布自家hicloud開始可以提供VMware主權雲（Sovereign Cloud）服務，不只可供本地政府機關或金融等高度監管機構採用，對於其他跨國企業如果要在臺提供服務，而且又是採用VMware雲端解決方案，以後就能夠採用主權雲的架構，確保在合規性的議題能夠符合臺灣法規法令的要求。</p> <p>中華電信資訊技術分公司雲端系統處科長梁大中表示，除了國外企業以外，目前政府雲端資料中心也設在臺北HGR（Hicloud Government Region）機房，與主權雲都在同個地點，因此未來政府部門想要使用VMware服務方案或國外公雲而轉換到主權雲上也將更容易。</p> <p>中華電信這套主權雲除了具有完整資料管轄、資料備分及備援等功能外，在資料安全與合規上，除了中華電信既有雲端安全防護之外，還提供加乘防護，因為是架構在VMware軟體定義的資料中心（SDDC）環境上，可以取得包括vSphere 到vSAN等最新更新，來加強對敏感性數據的保護及加密措施。另外也可透過中華電信多雲交換平臺CMCX使用跨雲服務。未來中華電信與VMware將組成專案團隊提供技術支援與維護服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業雲端支出 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>IDC公布2022年Q3企業雲端基礎設施支出增長近3成，達239億美元</strong></span></strong></p> <p>市調機構IDC近日公布企業雲端基礎設施市場最新數據，顯示在2022年第三季雲端運算和儲存基礎設施的支出，達到239億美元，與去年同期相比，增加24.7%，相較之下，非雲支出只有168億美元，企業雲端支出持續高於非雲支出。</p> <p>IDC將企業雲端市場分為企業與消費者共用的共享雲，以及專為企業使用的專用雲。當中，該季在共享雲基礎設施的支出達到168億美元，相比去年增長24.4%， IDC預期，到了2023年該支出將超越非雲基礎設施支出；其次，專用雲基礎設施本季也有25.3%增長，來到71億美元，其中近半數都是部署在本地資料中心。</p> <p>IDC將企業雲端市場分為企業與消費者共用的共享雲，以及專為企業使用的專用雲。當中，該季在共享雲基礎設施的支出達到168億美元，相比去年增長24.4%， IDC預期，到了2023年該支出將超越非雲基礎設施支出；其次，專用雲基礎設施本季也有25.3%增長，來到71億美元，其中近半數都是部署在本地資料中心。</p> <p>IDC預估，2022年企業雲端基礎設施的整體支出將達881億美元，比起去年只有8.6%增長幅度，今年將有顯著成長，達19.6%。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零售 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Salesforce商務雲開始提供沃爾瑪零售技術與解決方案</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(6).png" style="width: 600px; height: 331px;" /></p> <p>近日，美國零售巨頭沃爾瑪（Walmart）宣布與雲端CRM業者Salesforce展開合作，把旗下兩大零售技術Store Assist與GoLocal帶進Salesforce商務雲，讓零售業者可以容易通過雲端使用到沃爾瑪技術，進行訂單管理以及取貨送貨服務。</p> <p>Store Assist是Walmart商務技術團隊開發的履行即服務（FaaS），可用來管理所有門市取貨訂單，Walmart曾用於管理4,700家分店8.3億筆訂單，GoLocal則是一種送貨即服務技術，過去協助Walmart用來建立送貨網路來因應上千多家分店高達16萬多件商品交付。2021年時Walmart將這項技術變成產品銷售，現在也能通過Salesforce AppExchange雲端市集提供。</p> <p>沃爾瑪全球技術部技術戰略和商業資深副總Anshu Bhardwaj表示，借助Salesforce雲端，將讓零售業者可以更容易擴展其業務並提供個人化、便捷的顧客體驗。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 併購案 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟併購DPU製造商Fungible，將運用資料處理器底層技術重新強化Azure雲端基礎架構</strong></span></strong></p> <p>微軟最近買下DPU製造商Fungible，將運用資料處理器（Data Processing Unit ,DPU）技術重新強化雲端基礎架構，以提升Azure服務。不過，微軟並未揭露此次交易金額。</p> <p>2016年成立的Fungible，提供資料中心專用的DPU資料處理器產品，可以用於加速資料中心內的資料工作負載，並推出開源和商用兩種版本。</p> <p>微軟表示，完成收購後，Fungible團隊將加入微軟資料中心基礎設施工程團隊，將專注於DPU解決方案、網路創新和改善硬體系統，來實現更具可靠與安全性的資料中心基礎設施。此次併購，也是微軟近期第2家以資料中心為主的收購案，上一次是去年12月收購英國光纖業者Lumenisity，來強化微軟在Azure雲端平臺的網路基礎架構。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧家庭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端互通性 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>以三星為首的家庭連接聯盟釋出智慧家庭雲端互通標準</strong></span></strong></p> <p>以三星、Electrolux集團、海爾等廠商為首在去年成立的家庭連接聯盟（Home Connectivity Alliance,HCA），近日正式釋出HCA Interface Specification 1.0標準，這也是該聯盟成立1年來推出第一個版本。該標準使消費者未來只需有一個HCA應用程式，就能控制不同品牌的電器、HVAC空調系統和電視。</p> <p>根據官方說明，該標準旨在建立一個雲到雲（Cloud-to-Cloud）的互通標準，可供不同HCA成員的家電、空調系統與電視通過該介面取得其他跨品牌電器在Cloud上的數據存取或控制權限。HCA聯盟表示，該標準的釋出，不只能提高跨品牌智慧家電的相容性，強化智慧家居體驗，通過建立互通性也能加速創新，如提高家庭能源效率或節省成本等。</p> <p> </p> <p><strong><strong>圖片來源／福斯、沃爾瑪、中華電</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.微軟採用英特爾第4代Xeon Scalable處理器，以TDX技術強化Azure機密運算服務</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.企業級Kafka串流服務供應商Confluent併購串流處理新創Immerok，加速雲端原生串流服務的開發</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.科技業寒冬！亞馬遜CEO發表公開信將大規模裁員1.8萬人</strong></strong></strong></strong></p> <p><strong><strong><strong><strong><strong><strong><strong>4.微軟安全物聯網平臺Azure Sphere終於能支援使用Rust語言來開發應用程式</strong></strong></strong></strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2023年1月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/1/18 10:51作者余至浩https://www.ithome.com.tw/news/155199
HPE併購Pachyderm在自家AI解決方案整合可重現機器學習技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2023/01/hewlett-packard-enterprise-acquires-pachyderm-to-expand-ai-at-scale-capabilities-with-reproducible-ai.html">HPE宣布併購機器學習工作管線新創Pachyderm</a>，期望透過整合雙方解決方案，在大規模人工智慧應用程式，應用自動化可重現（Reproducible）機器學習工作管線，進而提高用戶的機器學習應用，從概念性驗證階段進入生產的速度。</p> <p>Pachyderm是一家使用開源軟體，自動化可重現機器學習工作管線的新創公司。重現機器學習管線，代表著用戶藉由使用相同的資料集，在每次執行中獲得相同的結果，進而提高預測的透明度、可信度和準確性，同時也能最佳化時間和資源運用。</p> <p>隨著人工智慧專案越來越大，需要的資料集越來越多，可重現人工智慧解決方案帶來基礎設施成本最佳化，同時也確保資料安全可靠。Pachyderm可重現人工智慧軟體，能夠強化HPE現有大規模人工智慧產品，滿足影像、文字等生成人工智慧大型模型的運作需求。HPE解釋，可重現機器學習工作管線，對於大規模人工智慧專案至關重要，這代表了人工智慧預測準確性增加，並且更快取得結果的重要功能。</p> <p>HPE將在自家的機器學習開發解決方案中，整合Pachyderm可重現人工智慧功能，在整個開發和訓練環境中提供資料驅動工作管線，以自動最佳化、準備、追蹤和管理可重複機器學習程序。HPE用戶得以更快地開發和部署大規模人工智慧應用程式，擁有的優點包括掌握資料處理歷程，供用戶了解資料的來源，以及資料在機器學習生命周期和分析過程的移動，可以簡單追溯錯誤的根本原因。</p> <p>用戶也能執行資料版本控制，根據追蹤不同版本的資料，了解任意資料創建和更改的時間點，Pachyderm的高效能增量資料處理，能夠只處理增量資料即可更新人工智慧應用，加速並且自動化資料更新。</p> <p>當前Pachyderm軟體已經上市，可以與HPE現有人工智慧軟體解決方案整合，HPE接下來還計畫將Pachyderm整合到機器學習開發系統，提供開箱即用的模型建置和訓練解決方案。</p> </div></div></div>
2023/1/17 18:02作者李建興https://www.ithome.com.tw/news/155197
CircleCI用戶金鑰和權杖被竊，導致第三方系統遭入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155036">CircleCI在1月4日的時候，向用戶發出安全警報</a>，提到他們正在調查一起安全事件，當時他們認為並沒有任何系統遭到入侵，但現在<a href="https://circleci.com/blog/jan-4-2023-incident-report/">CircleCI安全事件調查報告出爐</a>，不只發現用戶的加密金鑰被偷，攻擊者有能力存取GitHub儲存庫和第三方系統，並且已有用戶回報系統已遭駭客入侵。</p> <p>在12月29日時，用戶通報可疑的GitHub OAuth活動，CircleCI因此發現用戶的GitHub OAuth權杖已被洩漏，因此啟動所有GitHub OAuth權杖輪替流程，而後經過CircleCI內部調查，確認攻擊者的入侵範圍和路徑，追溯發現有一名CircleCI工程師筆電被植入惡意軟體，駭客藉此竊取有效且支援2FA的SSO會話。</p> <p>該電腦在12月16日遭到感染，防毒軟體未能偵測到該惡意軟體，惡意軟體在竊取會話Cookie之後，便能夠從遠端冒充該名CircleCI工程師，進而存取產品系統。因為該名工程師的日常職務，有權生成存取產品的權杖，因此攻擊者便能夠從資料庫和儲存系統上存取和洩漏資料，包括用戶的環境變數、權杖和金鑰。</p> <p>官方提到，雖然所有資料都為靜態加密，但是因為攻擊者從正在執行的程序中擷取加密金鑰，因此能夠存取加密資料。</p> <p>攻擊者在12月22日竊取用戶資料，其中包括第三方系統的環境變數、金鑰和權杖，CircleCI提醒，在這段時間曾將機密資訊存在CircleCI平臺的用戶，需要假設這些資訊已遭竊取，並採取建議的緩解措施，同時還需要調查系統中，12月16日至1月4日的可疑活動，1月5日之後才進到CircleCI平臺的資料則是安全的。</p> <p>因為這個事件涉及第三方系統的金鑰和權杖洩漏，因此CircleCI無法得知用戶系統是否遭到入侵，但是已知有5個用戶通報，發現第三方系統遭到攻擊者存取。CircleCI已經完成Atlassian、AWS和GitHub OAuth權杖輪替，官方表示，現在用戶已經可以安全地在CircleCI上進行建置。</p> <p>CircleCI承諾將進一步強化安全，行動包括替所有用戶啟動OAuth權杖自動定期輪替，並且從OAuth轉換使用GitHub應用程式，使得CircleCI能夠實行更精細的權限。CircleCI也將會對所有工具配置進行分析，擴大警示和減少會話信任，添加額外的身分驗證因素等。</p> </div></div></div>
2023/1/18 07:17作者李建興https://www.ithome.com.tw/news/155196
【資安日報】2023年1月17日，雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps業者CircleCI甫於昨日（1月16日）公布資安事故的調查結果，現在有雲端服務業者證實他們也受到這起事故波及，但初步認定僅有部分使用者有可能曝險。</p> <p>被用於管理CentOS伺服器的元件Control Web Panel（CWP），在10月底被修補的漏洞CVE-2022-44877近期出現了攻擊行動，使得研究人員呼籲IT人員應儘速套用新版程式。</p> <p>主機板廠商調整的UEFI配置也有可能造成風險。有研究人員發現微星在一年前更動主機板韌體的預設配置，有可能導致近300款主機板的UEFI安全開機機制失效。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="http://docs.datadoghq.com/agent/faq/circleci-incident-impact-on-datadog-agent/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端資安業者Datadog金鑰因CircleCI遭駭而曝光</span></strong></a></h3> <p>1月16日雲端資安業者Datadog發布資安通告，表示他們在1月4日接獲DevOps業者CircleCI的通知，有可能受到正在調查的資安事件波及。Datadog經過調查後，確認其中一個RPM GPG私鑰及密碼儲存在CircleCI，但沒有證據顯示遭到攻擊者濫用的跡象。為求謹慎，Datadog公布受影響的私錀細節，並發布新的RPM套件版本Linux代理程式。</p> <p>該公司表示，即使攻擊者取得了上述金鑰並製作惡意的RPM套件，還是難以攻擊他們的使用者。此外，該公司亦強調，在Windows、macOS、Debian、Ubuntu等作業系統執行代理程式的用戶，或是採用容器版的代理程式，不受此次資安事故影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-control-web-panel-flaw-to-open-reverse-shells/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CentOS主機網頁管理介面元件CWP已於10月修補的漏洞，已出現攻擊行動</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CWPinstances_CloudSek.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CWPinstances_CloudSek.jpg" style="width: 300px; float: right;" /></a>資安業者Gais Cyber Security指出，他們向CentOS主機網頁管理介面元件Control Web Panel（CWP）通報的漏洞CVE-2022-44877，自1月3日發布概念性驗證（PoC）攻擊影片，3天後就有駭客存取尚未修補的系統，並掃描網路上含有相同弱點的伺服器。這項漏洞研究人員於2022年7月通報，CWP於10月下旬發布0.9.8.1147版修補。</p> <p>另一家資安業者CloudSEK對於上述PoC進行分析，並透過物聯網搜尋引擎Shodan，找到逾43萬個可透過網際網路存取的CWP系統。Shadowserver基金會則發現已有相關攻擊行動，駭客利用漏洞來啟動反向Shell，或是在CWP主機上植入Python的pty模組。而對於攻擊行動出現的地區，資安業者GreyNoise發現美國、泰國、荷蘭等地的攻擊行動。</p> <h3><a href="https://arstechnica.com/information-technology/2023/01/hundreds-of-sugarcrm-servers-infected-with-critical-in-the-wild-exploit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">客戶關係管理平臺SugarCRM重大漏洞已被用於攻擊行動</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SurgerCRM-image2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SurgerCRM-image2-1.png" style="width: 300px; float: right;" /></a>資安業者Censys提出警告，他們自12月30日發現有人流傳針對客戶關係管理平臺SugarCRM發動攻擊的手法，當中利用零時差漏洞CVE-2023-22952，破壞伺服器主機並植入以PHP製作的Web Shell，SugarCRM於1月5日證實此事，並於11日發布12.0.2版和11.0.5版修補漏洞。</p> <p>Censys表示，截至1月11日，他們在網際網路上發現3,066個SugarCRM系統，其中有354個遭到破壞，又以美國有90臺受害伺服器最多。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/canadas-largest-alcohol-retailers-site-hacked-to-steal-credit-cards/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大酒品零售商LCBO網站遭駭，駭客側錄信用卡資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FmSt5DZWABI3Zuz.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FmSt5DZWABI3Zuz.jpg" style="width: 300px; float: right;" /></a>加拿大酒品零售商LCBO於1月11日發布資安通告，表示未經授權的人士在他們的網站上，植入了惡意程式碼，藉此在結帳的過程竊取客戶的資料，他們初步判定1月5日至10日購物的客戶資料可能已經外洩，這些資料包括客戶姓名、電子郵件信箱、送貨地址、信用卡資料，以及LCBO網站帳密。不過，使用行動裝置App或Vintages Shop Online網站購物的客戶不受影響。</p> <p>資安新聞網站Bleeping Computer發現，駭客在LCBO網站植入的側錄程式碼（Web Skimmer），偽裝成網站分析工具Google Analytics來規避偵測。LCBO已將網站與行動應用程式下線，並著手進行調查。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客論壇疑出現臺灣軍情機構資料，10 GB要價15萬美元</span></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/D9ozUAfAhh_20230117-1436-55981.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D9ozUAfAhh_20230117-1436-55981.png" style="width: 300px; float: right;" /></a>根據<a href="https://www.setn.com/News.aspx?NewsID=1240362">三立新聞</a>、<a href="https://news.ltn.com.tw/news/politics/breakingnews/4186250">自由時報</a>等媒體報導，有人在駭客論壇BreachForums上，聲稱握有臺灣軍情單位的機密資料，目前針對一份10 GB檔案開價15萬美元，並表示手上還有更多資料求售。對此，法務部調查局表示正在處理，不便透露細節。</p> <p>三立新聞引述前情報人員的說法，這些資料疑似與線民有關，包含化名、駐地、任務等基本資料，亦有家庭背景、工作條件、人格特質、政治考核，很可能是確認線民是否適任擔任相關工作的報告，但只要是涉及線民的資料，一旦曝光，後果會很嚴重。</p> <p>自由時報引述資深軍事迷馬蘭的看法，指出這些資料有可能是中國間諜在臺工作的資料，也有可能還有其他人員或機構遭到滲透。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微星疑似在韌體更新的過程中調整UEFI安全開機設定而曝險，影響近300款主機板</span></strong></a></h3> <p>資安研究員Dawid Potocki指出，微星有超過290款主機板會受到預設的UEFI安全開機設定影響，有可能使得這些電腦執行不安全的作業系統而曝險，且無論是支援Intel或AMD處理器的微星主機板都可能曝險。</p> <p>研究人員發現，微星在2022年1月18日發布的韌體7C02v3C，更動了主機板預設的安全開機配置，將Image Execution Policy的設定調整為總是執行（Always Execute），在這種情況下，將允許透過任意ROM映像檔、外接式裝置，以及電腦內部裝置開機。他呼籲使用者應調整相關配置為拒絕執行，才能發揮UEFI安全開機的作用。</p> <h3><a href="https://www.imperva.com/blog/google-chrome-symstealer-vulnerability/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器漏洞SymStealer恐導致機敏資料曝險</span></strong></a></h3> <p>資安業者Imperva針對Google修補的瀏覽器漏洞SymStealer（CVE-2022-3656）揭露相關細節，這項漏洞與符號連結（Symlink）機制有關，曾於2022年10月的Chrome 107、11月的Chrome 108二度修補。</p> <p>一旦攻擊者利用這項漏洞，就有可能濫用符號連結功能來繞過檔案系統的限制，來對於未經授權的檔案操作。研究人員指出，攻擊者可引誘使用者下載ZIP檔案，內有指向電腦重要檔案或資料夾的符號連結，進而竊取加密貨幣錢包的帳密或是金鑰。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155191"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者Avast提供「變臉」勒索軟體解密金鑰</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/supply-chain-attack-using-identical-pypi-packages-colorslib-httpslib-libhttps"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件攻擊行動Lolipop散布竊密軟體</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-leaks-university-of-duisburg-essen-s-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國大學遭到勒索軟體Vice Society洩露資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/researchers-to-release-poc-exploit-for-critical-zoho-rce-bug-patch-now/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發布Zoho重大漏洞的概念性攻擊程式</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155184">【2023年1月16日】 WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155154">【2023年1月13日】 SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155133">【2023年1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</a></strong></strong></strong></p> </div></div></div>
2023/1/17 18:23作者周峻佑https://www.ithome.com.tw/news/155198
微軟正式推出Azure OpenAI服務，提供GPT-3、Codex和DALL-E 2模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布<a href="https://azure.microsoft.com/zh-tw/blog/general-availability-of-azure-openai-service-expands-access-to-large-advanced-ai-models-with-added-enterprise-benefits/">Azure OpenAI服務全面上市</a>，更多的企業用戶可以申請使用由OpenAI所開發的人工智慧模型，除了GPT-3之外，Azure OpenAI服務還提供包括GPT-3.5、Codex和DALL-E 2模型，官方也承諾，用戶也將可以透過Azure OpenAI服務取用ChatGPT。</p> <p>微軟在2021年Ignite大會首次公開Azure OpenAI服務，這是一個讓企業可以在安全且符合法規的情況下，透過Azure取用OpenAI預訓練模型的服務，在存取模型的同時，用戶還可以獲得Azure雲端基礎設施的優點，以及資料隱私、負責任人工智慧等額外功能，供用戶更簡單地利用大規模人工智慧模型，改善終端用戶體驗並且提升企業內部營運效率。</p> <p>GPT-3是強大的語言模型，擁有1,750億個參數，因為接受完整的預訓練，因此用戶只要輸入少量的文字範例，即可獲得高品質的結果。Azure OpenAI服務提供用戶存取各種預訓練模型，還包括GPT-3的升級版GPT-3.5，以及可將自然語言轉為程式碼的人工智慧系統Codex，還有文字轉圖像模型DALL-E 2，接下來微軟將開放的ChatGPT，則是由GPT-3.5作為基礎微調的對話語言模型。</p> <p>Azure OpenAI服務能夠支援各種應用程式開發，常見的使用案例包括從客服日誌快速總結客訴，或是協助開發人員快速編寫程式碼，使開發人員不再需要停下來搜尋範例，抑或是快速生成部落格文章等。</p> <p>由於Azure OpenAI服務的模型已經以數十億頁的公開文件訓練，企業可以透過小樣本學習，提供自家業務資料，像是期望的輸出、回應或是程式碼類型範例，進一步訓練模型，以進一步微調模型輸出。微軟提到，因為大型語言模型是利用大量網際網路資料訓練，這些資料可能包含粗俗和具刻板印象，甚至是個人資料的內容，微軟會提供額外保護措施，並避免該技術被用於有害目的，或是產生意料之外的輸出。</p> <p>微軟持續與OpenAI、用戶合作，仔細評估用例和解決潛在威脅，微軟針對Azure OpenAI服務實作自家的輸出護欄，以確保人工智慧服務能夠符合微軟負責任人工智慧原則。因此開發人員在使用Azure OpenAI服務之前，都需要申請存取權限，事先描述他們預期用例和應用程式。微軟的監控程式，會不停過濾Azure OpenAI服務可能產生的辱罵、仇恨和冒犯性內容，當官方確認用戶用例違反政策，便會採取行動避免語言模型服務遭到濫用。</p> </div></div></div>
2023/1/17 17:16作者李建興https://www.ithome.com.tw/news/155192
Avast釋出「變臉」勒索軟體金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://decoded.avast.io/threatresearch/decrypted-bianlian-ransomware/" target="_blank">資安業者Avast本周釋出</a>近來頻繁活動的勒索軟體BianLian（變臉）的解密金鑰，開放一般用戶下載。</p> <p>BianLian是在2022年7、8月首次現身，已對包含媒體與娛樂、金融業（BFSI）、製造業、醫療保健等多種產業組織發動攻擊，而且以加密檔案之高速度引發關注。</p> <p>這隻勒索軟體以Go語言開發而成並組譯成64-bit Windows執行檔，目前發現到它可能以含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN裝置為管道存取系統。此外，<a href="https://www.ithome.com.tw/news/152704" target="_blank">研究人員相信</a>，駭客可能藉由此程式語言的跨平臺特性，製作其他版本的勒索軟體。</p> <p>BianLIan以AES-256演算法加密檔案。它在執行後，會搜尋所有可用的磁碟，並搜尋所有檔案，任何副檔名落在二進位程式中寫入的1013種副檔名中的檔案，都會被加密。它一項有趣特色是，它加密不會從一個檔案起始，也不會加密到最後，而是根據二進位程式中offset屬性的固定長度來決定。加密的檔案會被加入.bian.ian的副檔名，再顯示勒索訊息，加密完成後，BianLian會自我刪除以隱藏蹤跡。</p> <p>Avast提醒，它提供的解密金鑰只能回復BianLian的已知變種加密的檔案。但由於它會自行消失，因此這點很困難。目前Avast發現BianLian的常見名稱為anabolic.exe、TEMP\mativ.exe或TEMP\Areg.exe，以及用戶資料檔下的C:\Users\%username%\Pictures\windows.exe。</p> <p>BianLian的執行檔約為2MB。Avast建議用戶找找不含執行檔的資料夾（如文件、相片）中的EXE檔，或是防毒軟體的病毒庫。</p> <p><a href="https://files.avast.com/files/decryptor/avast_decryptor_bianlian.exe" target="_blank">使用者可在這個網站</a>下載執行解密金鑰，依據其精靈指示完成解密。</p> </div></div></div>
2023/1/17 13:17作者林妍溱https://www.ithome.com.tw/news/155191
蘋果證實iPhone 14 Pro螢幕問題將釋出更新修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周稍早證實，iPhone 14 Pro機種開機時出現條紋是軟體問題，承諾之後將釋出更新版iOS修補。</p> <p><a href="https://www.reddit.com/r/iphone/comments/zlswzc/iphone_14_pro_max_horizontal_lines_across_screen/" target="_blank">上個月一名用戶在Reddit上抱怨</a>，他的iPhone 14 Pro Max在喚醒時，會出現黃或綠的閃爍水平線條，<a href="https://www.macrumors.com/2022/12/22/iphone-14-pro-horizontal-lines-flashing/" target="_blank">且有人iPhone出現多道條紋</a>。當時不少用戶擔心是手機硬體的問題。過了幾周，<a href="https://www.macrumors.com/2023/01/13/apple-confirms-iphone-14-pro-display-issue/" target="_blank">MacRumors本周</a>引述蘋果一則內部備忘錄報導，指蘋果經過調查，證實是軟體問題，且只會在開機及手機被喚醒時出現這些條紋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-iphone%20pro%2014-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／<a href="https://forums.macrumors.com/threads/iphone-14-pro-max-horizontal-lines-across-screen-when-phone-wakes-up.2373974/" target="_blank">MacRumors論壇用戶 Infernoqt</a>、<a href="https://www.reddit.com/r/iphone/comments/zlswzc/iphone_14_pro_max_horizontal_lines_across_screen/" target="_blank">Reddit論壇用戶 u/1LastOutlaw</a></span></span></p> <p>蘋果並表示之後會釋出更新解決這問題。蘋果備忘錄並未說明時程，但<a href="https://www.androidauthority.com/apple-iphone-14-pro-display-bug-3266872/" target="_blank">媒體相信</a>大約1到2周內就會釋出。雖然蘋果目前正在測試iOS 16.3，但MacRumors推測應該會以更小的更新版，可能是以iOS 16.2.1解決。</p> <p>去年9月iPhone 14剛剛推出時，<a href="https://www.androidauthority.com/apple-iphone-14-pro-camera-noise-shaking-3210143/" target="_blank">甚至出現</a>iPhone 14 Pro、Pro Max在使用特定第三方應用程式，包括Snapchat、Instagram和TikTok時，主相機發生不自主震動，甚至還發出聲音。後來證實是軟體瑕疵，蘋果也是在幾天後釋出更新版iOS解決之。</p> </div></div></div>
2023/1/17 12:39作者林妍溱https://www.ithome.com.tw/news/155190
NortonLifeLock密碼管理器用戶帳號遭憑證攻擊外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名NortonLifeLock的Gen Digital本周通知多名密碼管理器產品用戶，上個月帳號遭駭導致個人資料外洩。</p> <p><a href="http://ago.vermont.gov/blog/2023/01/09/nortonlifelock-gen-digital-data-breach-notice-to-consumers/" target="_blank">Gen Digital在向佛蒙特州政府的通報中</a>也公布用戶通知函內容。信中說明，該公司系統並未被駭，他們研判是未獲驗證的外部攻擊者透過憑證填充（credential stuffing）手法而得以存取用戶帳號。該公司也警告用戶的帳號、密碼可能已被其他人所知。</p> <p>憑證填充是攻擊者利用大批從駭客網站取得或購得的用戶電子郵件、帳號及密碼組合，以網頁機器人對知名服務的用戶帳號，發動暴力破解攻擊。被成功登入的帳號可能被駭客竊取資料，或者變更密碼導致帳號接管。</p> <p>Gen Digital指出，2022年12月1日該公司偵測到異常大量的登入失敗情形，而當月完成的內部調查顯示，已有為數不詳的成功存取事件。</p> <p>Gen Digital告知客戶，攻擊者可能已取得服務儲存庫內的資訊，視資訊內容而定，這起事件可能導致其他線上帳號被駭、資料資產遺失或其他機密資訊曝險等後果，尤其如果用戶在其他線上帳號也使用和Norton類似的密碼，或是密碼管理員的主金鑰。</p> <p>該公司已主動重設這些受害用戶密碼，並已導入其他安全措施、提供信用資料盜用監控服務，此外也建議用戶啟用雙因素驗證強化安全。</p> </div></div></div>
2023/1/17 11:48作者林妍溱https://www.ithome.com.tw/news/155189
線上會議認真神器！Nvidia Broadcast以AI模擬維持用戶眼睛緊盯攝影機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia更新直播與線上會議軟體<a href="https://www.nvidia.com/en-us/geforce/news/jan-2023-nvidia-broadcast-update/">Broadcast</a>，添加眼神接觸（Eye Contact）和光暈特效。用戶在啟用眼神接觸功能後，Broadcast將會模擬用戶眼睛視線，保持視線持續看向攝影機，經模擬後的用戶眼睛，會保留眼睛自然的顏色，也會真實地眨眼，當用戶的視線角度與攝影機差距太大時，Broadcast會自動斷開眼神接觸功能，並且自然過渡到實際眼睛狀態。</p> <p>即便是使用者看向攝影機旁邊的文稿，或是附近的人物，Broadcast也會持續模擬出眼神與攝影機接觸的樣子，官方提到，眼神接觸功能非常適合內容創作者，在需要閱讀筆記或是腳本的影片拍攝，也能在視訊會議中持續注視交談者的眼睛，提高參與者互動程度。</p> <p>目前眼神接觸功能還在測試階段，由於存在數百種眼睛顏色和光線的組合，因此Nvidia仍持續改進功能，確保眼神接觸功能在任何情況下都能表現自然。</p> <p>除了眼神接觸功能之外，Broadcast的新功能還包含光暈特效（Vignette Effect），系統會自動強化光影，並且結合背景模糊特效，用戶可以使用網路攝影機，獲得經過人工智慧強化的模糊背景，進而提高整體視覺效果。</p> <p>官方也更新了虛擬背景特效，具有更好的分割能力和穩定性，人工智慧可以做出更好的決策，在部分網路錯誤的情況下，用戶不會再看到背景中部份物件突然出現。用戶已經可以在OBS、Streamlabs和Elgato Camera Hub應用程式中，使用新的虛擬背景功能。</p> </div></div></div>
2023/1/16 22:12作者李建興https://www.ithome.com.tw/news/155180
JVM語言Kotlin 1.8.0新增目錄遞迴複製、刪除功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.jetbrains.com/kotlin/2023/01/kotlin-1-8-0-released/">JVM程式語言Kotlin釋出最新1.8.0版本</a>，這個新版本加入實驗性目錄遞迴複製、刪除功能，也強化了時間戳記功能，還進一步提升呼叫typeOf()時的效能。</p> <p>Kotlin 1.8.0新加入函式copyToRecursively()和deleteRecursively()，前者讓開發者可以遞迴複製目錄以及之中的內容到目的地，後者則是遞迴刪除目錄和內容，官方提到，這項功能將在備份作業中非常實用。</p> <p>目錄複製函式供開發者定義複製檔案異常的例外處理，當複製作業的目的地已經存在欲複製的檔案，此時便會出現異常，開發者可以設定在例外發生時進行強制複寫。如果在刪除檔案時遭遇例外，則該檔案便會被跳過直到刪除工作完成，並在之後丟出例外資訊。</p> <p>Kotlin 1.8.0標準函式庫添加可比較的時間戳記TimeMarks，讓時間計算更方便。過去當開發者想要計算TimeMarks與現在的時間差，一次只能在一個TimeMarks上呼叫elapsedNow()，由於兩個elapsedNow()無法同時呼叫，也使得時間比較變得困難。</p> <p>而在Kotlin 1.8.0中已經可以方便比較TimeMarks，開發者能夠創建新的TimeMarks實例，並且減去其他TimeMarks，官方表示，這項功能將能夠用於動畫開發，簡單計算和比較不同影格多個時間標記之間的差。</p> <p>在Kotlin 1.7.0添加的Optionals擴充函式現在已經穩定，開發者可更簡單地處理在Java中，使用Optional類別處理的工作，執行像是在JVM上展開或是轉換Optional物件等任務。官方也將Kotlin內部快取機制更改為Java的ClassValue，過去系統僅會快取KClass，現在還多快取了KType和KDeclarationContainer，而這將會明顯提升呼叫typeOf()時的效能。</p> </div></div></div>
2023/1/16 22:17作者李建興https://www.ithome.com.tw/news/155183
Eleven Labs新語音模型供用戶設計全新合成聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.elevenlabs.io/enter-the-new-year-with-a-bang/">Eleven Labs更新自家語音生成模型</a>，使用戶能夠根據性別、年齡、口音、音高，甚至是說話風格等特徵，創建出全新的人造聲音，系統每次合成的聲音都不一樣，即便用戶以相同參數創建聲音，也會得到一個過去不曾存在的聲音。</p> <p>Eleven Labs的聲音產生器（Voice Generator），供用戶在有聲讀物、遊戲等應用添加人聲語音，但官方提到，因為他們當前的演講者庫太小，導致使用者常難以產生符合應用需求的聲音，因此Eleven Labs發展新的解決方案，提供用戶以全新方式設計合成聲音。</p> <p>官方解釋，他們新方法的靈感，來自於語音合成和語音複製，都會使用到的語音特徵編碼方法，當在訓練用戶專屬模型時，對說話者嵌入分布進行採樣，就能創建出無限多種的新聲音，而在這過程加入一定程度的限制，就能賦予聲音擁有特定的語音特徵。</p> <p>Eleven Labs新語音模型，現在已經可以產生具各種聲音特徵的逼真語音，這將能擴大人工語音的應用範圍，包括在新聞媒體和商業廣告的音訊，將品牌與特定聲音相關聯，甚至是用於開發遊戲，於開發初期就能靈活地執行各種語音試驗。</p> </div></div></div>
2023/1/16 22:19作者李建興https://www.ithome.com.tw/news/155185
【資安日報】2023年1月16日，WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有WordPress外掛程式出現重大漏洞，而有可能被用於攻擊行動的情況！資安業者Tenable一口氣揭露3款外掛程式的SQL注入漏洞，其中有2個漏洞不需身分驗證就能利用，CVSS風險層級達到9.8分，但研究人員指出，第3個漏洞雖然需要通過身分驗證，但駭客只要以讀者的身分註冊，就有機會觸發。</p> <p>針對網路監控系統Cacti特定漏洞而來的攻擊行動，也同樣引起研究人員的高度關注。兩家資安業者與非營利安全組織提出警告，他們發現12月修補的漏洞CVE-2022-46169已被用於攻擊行動，但全球至少有四分之一的Cacti實體執行含有漏洞的版本。</p> <p>防毒軟體提供的密碼管理工具也可能成為帳號填充（Credential Stuffing）攻擊的目標！資安業者Gen Digital向防毒軟體NortonLifeLock用戶發送通知，表示部分用戶的密碼管理器遭到相關攻擊而導致帳號被挾持，儲存的帳密恐遭到外洩。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-cacti-critical-bug-to-install-malware-open-reverse-shells/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路監控系統Cacti漏洞遭到鎖定，駭客用來植入惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cacti-image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cacti-image4.png" style="width: 300px; float: right;" /></a>資安業者SonarSource、Censys，以及非營利安全組織Shadowserver Foundation自1月初陸續提出警告，網路監控系統Cacti於12月修補的命令注入漏洞CVE-2022-46169（CVSS風險等級為9.8分），約於1月3日出現嘗試利用漏洞的攻擊行動。</p> <p>SonarSource於1月3日公布前述漏洞的細節，以及概念性驗證（PoC）攻擊展示影片，Shadowserver Foundation同日表示，已有駭客用於部署殭屍網路病毒，以及反向Shell來掃描特定的網路連接埠。事隔一週，Censys於1月10日表示，根據他們的偵測，可透過網際網路存取的Cacti主機有6,427臺，其中至少有1,637臺曝險。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/android-tv-box-on-amazon-came-pre-installed-with-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">白牌安卓電視盒被植入惡意程式CopyCat</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，資安研究員Daniel Milisic揭露Truewell T95安卓電視盒的韌體內含惡意程式CopyCat，他在搭載AllWinner T616處理器、執行Android 10作業系統的電視盒上，發現當中竟然含有測試金鑰，以及能經由有線網路及Wi-Fi存取的命令列工具Android Debug Bridge（ADB），而使得他人有機會連線到電視盒進行遠端控制。</p> <p>該名研究人員觀察到電視盒企圖與多個惡意IP位址連線，經過進一步分析之後，他得知設備含有CopyCat的變種，於是，將此惡意程式上傳到VirusTotal進行偵測，結果當中的61個防毒引擎僅有13個識別為有害。</p> <p>後續，這位研究員也提供指令碼讓用戶防堵電視盒前述的異常連線行為，但不確定CopyCat是否也存在其他T95電視盒。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/nortonlifelock-warns-that-hackers-breached-password-manager-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NortonLifeLock防毒軟體的密碼管理器元件遭駭客鎖定，進行帳號填充攻擊</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，資安業者Gen Digital近日向防毒軟體NortonLifeLock的用戶發送通知，表示駭客針對這些用戶電腦上的密碼管理器元件Norton Password Manager進行帳號填充（Credential Stuffing）攻擊，有使用者的帳號因此遭到滲透。</p> <p>根據Gen Digital向美國佛蒙特州總檢察長辦公室通報的資料，有人約於12月1日利用自暗網取得的帳密資料，企圖存取NortonLifeLock用戶的帳號，該公司於12日偵測到異常大量的嘗試登入行為並著手調查，22日初步調查結果顯示，這波攻擊有數量不明的帳號遭到入侵。NortonLifeLock表示已重置受影響帳號的密碼。Gen Digital向資安新聞網站Bleeping Computer透露，約有92.5萬個帳號受到影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/circlecis-hack-caused-by-malware-stealing-engineers-2fa-backed-session/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對遭駭事故，CircleCI公布調查結果</span></strong></a></h3> <p>DevOps平臺CircleCI於1月4日發布資安通報，表示他們著手調查安全事故，並要求用戶輪替Toekn與密鑰，最近該公司透露新的調查結果。CircleCI於12月29日接獲用戶通報，有可疑的GitHub OAuth存取行動，該公司資安團隊與GitHub已著手調查，並確認此用戶的Token遭未經授權的第三方洩露。</p> <p>直到1月4日，CircleCI的內部調查已確認攻擊者入侵的手段與範圍，起因是在12月16日該公司工程師的筆電遭到入侵，駭客透過惡意軟體來竊得單一簽入（SSO）連線階段的Cookie，並通過雙因素驗證（2FA），然後於19日進行偵察，到了22日出現資料外洩的情況。該公司表示，雖然他們已對靜態資料進行加密，但駭客竊得了加密的金鑰，而能夠解密偷到的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.tenable.com/security/research/tra-2023-2" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站的會員管理、數位檔案銷售、市調問卷外掛程式存在重大漏洞</span></strong></a></h3> <p>資安業者Tenable揭露WordPress外掛程式的重大漏洞CVE-2023-23488、CVE-2023-23489，以及CVE-2023-23490，分別出現在會員管理工具Paid Memberships Pro、數位檔案銷售Easy Digital Downloads，以及市調問卷系統Survey Maker等外掛程式，CVSS風險評分為8.8分至9.8分，其共通點都是SQL注入漏洞。研究人員公布概念性驗證（PoC）的攻擊程式碼，而這些外掛程式的開發商皆已發布新版修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155167"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">60位臺灣名人華航會員資料疑流入駭客論壇，華航表示與資料庫不盡相符</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-control-web-panel-flaw-to-open-reverse-shells/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CentOS主機網頁管理介面元件CWP漏洞已被用於攻擊行動</span></span></strong></a></p> <p><a href="https://www.deepinstinct.com/blog/malicious-jars-and-polyglot-files-who-do-you-think-you-jar"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式StrRAT與Ratty濫用多語言檔案及JAR檔案發動攻擊</span></span></strong></a></p> <p><a href="https://www.imperva.com/blog/google-chrome-symstealer-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器漏洞恐導致機敏資料曝險</span></span></strong></a></p> <p><a href="https://arstechnica.com/information-technology/2023/01/hundreds-of-sugarcrm-servers-infected-with-critical-in-the-wild-exploit/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">客戶關係管理平臺SugarCRM重大漏洞已被用於攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155154">【2023年1月13日】 SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155133">【2023年1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155109">【2023年1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</a></strong></strong></strong></p> </div></div></div>
2023/1/16 18:07作者周峻佑https://www.ithome.com.tw/news/155184
醫指付與一卡通MONEY合作，擴大電子支付場域至醫療費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大洸醫院管理顧問公司與一卡通合作，醫指付平臺開始支援一卡通MONEY，民眾就醫後可透過電子支付繳付醫療費用，擴大電子支付應用的場域。</p> <p>醫指付為國內知名的醫療行動支付平臺，2017年上線後，目前合作的醫療機構約有130多家，包括醫院與診所，並有30多家發卡銀行合作，醫指付旗下有近百萬註冊會員，每月約有16萬筆、近7億元醫療費用支付交易。</p> <p>醫指付與一卡通MONEY的結合，使用一卡通MONEY支付醫療費用有2個方式。其中之一是醫指付App用戶在支付醫療費用時，進入繳費專區輸入就醫病人資料（不限就醫病人本人），新增使用一卡通MONEY支付，透過電子支付繳付醫療費用。</p> <p>另一個方式是，民眾可以在Line Pay的一卡通MONEY生活繳費專區中，看到醫療照護費用選項，進入後再選擇醫療單位名稱，並輸入就醫病人資料（身分證字號、出生年月日），就能使用一卡通MONEY支付醫療費用。值得注意的是，因電子支付帳戶儲值金額上限為5萬元，因此繳交醫療費用的金額需在5萬元以下，超過的金額則需使用其他方式支付。</p> <p>大洸醫院管理顧問公司總經理吳明彥表示，在衛福部指導下，2017年3月推出醫指付，目的即為醫院節省手續費，並提供民眾方便的付款方式，醫指付投入許多心力介接醫院HIS系統，民眾透過醫指付平臺能夠遠端進行付款，即使人不在醫院現場，也能為遠端的親人支付醫療費用。醫指付原先支援信用卡付款，現在民眾不需要下載醫指付App，直接透過Line Pay的一卡通MONEY生活繳費專區就能支付醫療費用，讓民眾按使用習慣就能支付醫療費用。</p> <p>醫指付原本支援信用卡綁定付款，支付工具部分，支援包括臺灣地區發行的VISA、MasterCard、JCB信用卡或簽帳金融卡，背後的交易手續費牽涉到財金、銀行及醫指付三方。現在，醫指付與一卡通MONEY電子支付合作，背後手續費簡化為一卡通與醫指付。</p> <p>過去醫療產業在支付上，接受民眾支援信用卡付款，背後交易手續費的拆帳方式為經過醫療產業協商達成共識，其他支付工具要打入醫療院所支付場域並不容易，一卡通克服困難，與大洸醫院管理顧問公司合作，一卡通MONEY支援醫指付，透過醫指付平臺，一舉支援多家醫療院所單位支付場景。</p> <p>一卡通票證總經理鄭鎧尹表示，受到這幾年疫情影響，使用者對電子支付的使用習慣愈來愈普及，一卡通MONEY儲值金額連續14個月破100億，目前為175億元，市佔率達68%，轉帳金額每月也突破79億元，市佔也超過68%。一卡通MONEY在市場上具有非常大的規模性，與醫指付合作，讓使用者在生活繳費上有更完整的拼圖。</p> <p>鄭鎧尹也強調，一卡通MONEY現有約540萬用戶，支付場景涵蓋交通、生活消費、生活繳費、社群轉帳四大領域，並且已具規模，一卡通結合跨領域數據，提供政府或合作夥伴數位轉型、數據優化的相關服務。</p> </div></div></div>
2023/1/16 17:59作者蘇文彬https://www.ithome.com.tw/news/155182
研究發現大型語言模型促進輿論操縱，假消息將更多更具說服力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cdn.openai.com/papers/forecasting-misuse.pdf">喬治城大學、OpenAI、Stanford Internet Observatory（SIO）合作</a>，展開對大型語言模型（LLM）對輿論風向操縱的研究，研究人員提到，大型語言模型的發展，將導致更多的惡意傳播行為，而且形式更加多元，惡意宣傳行為的成本也將降低。</p> <p>大型語言模型的各項優點被濫用，可被有效用於操縱公眾輿論，但目前缺乏有效的解決方案阻止大型語言模型被濫用，需要各組織從模型建構、模型存取和模型傳播等環節採取粽合措施，才能緩解大型語言模型所產生的負面影響。</p> <p>近年人工智慧技術有了顯著的進展，特別是能夠自動創建內容的生成模型（Generative Model），這包括可以生成文字內容的語言模型，在初期研究就證明，人工智慧模型遭到惡意人士濫用，會對社會產生危害。</p> <p>研究提到，過去10年政治影響力操縱增加，像是在網路和社交媒體上，以隱蔽或是欺騙的方式影響目標受眾，就美國而言，已經有數百個美國內外的輿論操縱活動被揭露，試圖影響總統大選等政治事件。三大機構的研究人員合作，針對大型語言模型未來被用於操縱輿論的方法，以及如何解決這些威脅兩大問題展開研究。</p> <p>這個研究使用了研究虛假訊息活動的知名ABC模型，A代表行為人（Actor）、B則代表行為（Behavior），而C是內容（Content）。行為人也就是指輿論操縱行為背後的實體，像是一個看起來是Black Lives Matter的倡議人士，背後可能是由國家資助，目的是以假帳號散布虛假訊息的組織。行為則是指行為人用以達成目的的方法，像是以自動化或是內容農場，傳播假資料操縱輿論風向。內容是行為人試圖洗白或是放大的實質資訊。</p> <p>ABC是平臺和研究人員在調查輿論操縱需要評估的三個維度，研究人員提到，在整個輿論操縱過程，三個維度可能有其中一個維度完全真實，像是完全真實的內容，可能透過付費或是自主參與，被不合理的放大，又或是政治人物等真實行為人，以自動化技術來操縱輿論。</p> <p>研究人員提到，生成模型能夠改進輿論操縱內容、降低成本並且增加活動規模，並且採用新的欺騙形式達成目的。該研究總結語言模型在輿論操作上，所能產生的變化，在行為人方面，預期未來將因為生成模型而導致宣傳成本降低，使得更多也更多樣化的宣傳群體出現，外包行為人也會變得重要，自動生成內容會對該產業帶來新的競爭優勢。</p> <p>生成模型在輿論操作上，對行為產生的改變，包括自動製作內容增加活動規模，同時行為也變得更加有效率，因為使用語言模型，跨平臺測試等昂貴策略可能會更便宜，研究人員預期將會有新策略出現，像是能夠即時生成個人化的內容。而且因為語言模型技術的發展，所生成的內容將更可信也更有說服力，有別於複製貼上的文字，生成的內容將使操縱行為更不容易被發現。</p> <p>研究人員明確的指出，語言模型對輿論風向操縱產生重大影響，而且目前沒有終極解決方案，人工智慧技術供應商和社交媒體，需要共同應對輿論操縱所帶來的威脅，而要有效解決這個問題，不能只著眼假消息的供應，同時也應該關注假消息的需求面，他們認為，還需要有更多的研究，探討解決方案的可行性。</p> </div></div></div>
2023/1/16 16:45作者李建興https://www.ithome.com.tw/news/155179
Meta控告網頁資料抓取服務商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2023/01/leading-the-fight-against-scraping-for-hire/" target="_blank">Meta上周向加州法院控告</a>以色列一家抓取服務（scraping-for-hire）商Voyager Software，設立假帳號及資料抓取工具，暗中不法抓取了旗下網站臉書、Instagram及其他服務的用戶資料。</p> <p>Meta平臺執法總監Jessica Romero指出，Voyager Software並非駭入Facebook系統，而是開發及使用專屬軟體，針對Facebook、IG、及Twitter、YouTube、LinkedIn、Telegram等網站發動資料抓取。這家公司的軟體會使用假帳號抓取登入帳號後可存取的資料，包括用戶個人資料、貼文、友人清單、相片和留言等。它在不同國家使用不同電腦和網路系統以隱藏其活動，規避Meta檢查假帳號。</p> <p>Meta已將Voyager Software臉書帳號停權，並控告這公司設立假帳號及非經授權自動抓取用戶資料的行為，違反其服務條款，要求法院永久禁止Voyager再行使抓取資料服務。</p> <p><a href="https://www.ithome.com.tw/news/143702" target="_blank">Meta自2021年發生</a>5.3億筆用戶個資被人以網頁抓取手法蒐集外洩，<a href="https://www.ithome.com.tw/news/143850" target="_blank">遭到愛爾蘭政府調查後</a>，即積極防堵這類活動。<a href="https://about.fb.com/news/2022/07/actions-against-scraping-for-hire/" target="_blank">去年該公司也控告</a>中國企業的美國子公司Octopus，<a href="https://www.ithome.com.tw/news/146042" target="_blank">並強制關閉紐約大學</a>一項蒐集臉書資料的學術研究的粉絲專頁及平臺帳號。</p> </div></div></div>
2023/1/16 13:39作者林妍溱https://www.ithome.com.tw/news/155177
【資安週報】2023年1月9日到1月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近有兩個微軟的漏洞需要特別留意，一個是微軟在1月10日發布每月安全性更新中所修補的CVE-2023-21674零時差漏洞，已經發現遭駭客鎖定利用，另一個是微軟在11月修補的CVE-2022-41080重大漏洞，之前已有資安業者CrowdStrike與雲端代管公司Rackspace業者揭露該漏洞利用相關消息，美國政府如今也將該漏洞列入已知被利用漏洞（KEV）列表。此外，上個月中Fortinet已宣布發現針對CVE-2022-42475的攻擊，近日再公布後續，進一步公開更多攻擊細節。</p> <p>在其他漏洞消息方面，除了NPM套件JsonWebToken的高風險漏洞CVE-2022-23529修補受關注，還一項消息可留意的是逾百款西門子PLC設備的漏洞揭露，其SoC晶片未在早期啟動階段建立RoT，細節將於2023年5月公布。</p> <p>在資安威脅趨勢方面，焦點包括：資安研究人員惡意軟體Kinsing入侵Kubernetes的情況變多；新發現針對Mac電腦的勒索軟體攻擊過程中採寄生攻擊（LOLBin）的及反沙箱偵測：發現惡意PyPI套件利用安裝Cloudflare Tunnel用戶端程式方式，來建立連線管道以繞過防火牆；再度有藉由VoIP電話系統漏洞部署後門情形，特別是駭客布局5個月後才發動勒索軟體加密；出現誤植域名攻擊（typosqat）並建立上千個假冒網站散布竊密程式Vidar的情形。</p> <p>在資安事件方面，與航空公司有關不少，國際間有法國航空、荷蘭航空通知旅客航空里程計畫Flying Blue帳號、個資遭竊事故，在國內則有華航在上週六下午（1月7日）傳遭勒索攻擊，後續又傳出<a href="https://www.ithome.com.tw/news/155167">華航會員資料被公開於地下論壇的消息</a>。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155080"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月9日】程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</span></strong></a></h3> <p>繼NPM、PyPI套件庫出現惡意套件攻擊，又有新的開發工具套件庫可能會成為駭客散布惡意程式的管道！有資安業者發現微軟程式碼編輯器Visual Studio Code的外掛程式市集開始出現有問題的外掛。研究人員發現，駭客想要上架冒牌外掛程式相當容易，甚至能輕易拿到藍勾勾驗證。</p> <p>散布惡意PyPI的攻擊行動頻傳，最近手法也出現新的變化，但這次並非針對上架於PyPI的層面，而是植入受害電腦的惡意程式。有資安業者發現新一波的PyPI惡意套件攻擊，駭客將其用於部署後門程式，而該後門與駭客通訊的管道，竟是透過合法的資安服務。</p> <p>針對Mac電腦的勒索軟體威脅加劇，駭客導入了近期在Windows勒索軟體上出現的手法，像是利用作業系統內建的工具找出要加密的檔案，以及偵測系統環境來防堵研究人員透過沙箱進行分析的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155104"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</span></strong></a></h3> <p>為了讓使用者能透過自然語言（NLP）來查詢SQL資料庫，許多資料庫採用了Text-to-SQL的機器學習模型，但研究人員發現，駭客可以設計一些問題輸入，讓這種機器學習模型產生惡意程式碼並執行，進而竊取資料或是阻斷資料庫的運作。</p> <p>半年前公開揭露的NPM套件JsonWebToken高風險漏洞CVE-2022-23529，研究人員本週公開更多細節，他們表示，該漏洞影響的範圍相當廣泛，超過2.2萬個專案會受到波及，呼籲使用者應儘速修補。</p> <p>美國政府打算製作AI為基礎的資安分析沙箱系統CAP-M，並打算將其分析成果與公部門、企業、學術機構共享。新聞網站The Register指出，此沙箱應為美國總統拜登國防政策的其中一環。</p> <h3><a href="https://www.ithome.com.tw/news/155109"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</span></strong></a></h3> <p>微軟昨日（1月10日）發布今年的第一次每月例行修補（Patch Tuesday），總共修補了接近100個漏洞，值得留意的是，當中的CVE-2023-21674是零時差漏洞，並被美國政府證實已出現攻擊行動，要求公部門限期修補。</p> <p>針對機器學習（ML）模型與人工智慧（AI）的攻擊手法，最近研究人員公布多項發現，例如：<a href="https://www.ithome.com.tw/news/154819#ChatGPT">濫用ChatGPT自動產生釣魚信</a>、<a href="https://www.ithome.com.tw/news/155104#text-to-sql">利用Text-to-SQL機器學習模型弱點攻擊SQL資料庫</a>等，現在又有研究人員揭露新型態的AI中毒（AI poisoning）攻擊手法Trojan Puzzle，但特別的是，檢測相關程式碼的靜態分析工具難以察覺這類手法。</p> <p>又有資安業者發現勒索軟體駭客Lorenz藉由VoIP電話系統入侵受害組織的情況！但不同的是，這次駭客成功入侵並植入的Web Shell隨即休眠，直到5個月後才再度運作。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155133"><strong><span style="color: rgb(0, 0, 0);">【1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</span></strong></a></strong></p> <p>又是駭客企圖操縱Google搜尋引擎最佳化排行（SEO），假借提供知名軟體的攻擊行動！研究人員揭露Gootkit的攻擊行動，並指出駭客針對澳洲的醫療機構而來，並以提供影音播放器VLC Media Player的名義來散布惡意軟體。</p> <p>專門針對亞太地區政府機關與軍事單位的駭客組織Dark Pink崛起，在最近半年，他們至少成功發起7起攻擊行動，應該有更多組織受害。</p> <p>駭客進行自帶驅動程式攻擊（BYOVD）的狀況越來越多，最近駭客組織Scattered Spider也跟進這種手法，雖然他們濫用的漏洞已在2016年完成修補，但仍能以此方式進行攻擊。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/155154"><strong><span style="color: rgb(0, 0, 0);">【1月13日】SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</span></strong></a></strong></strong></p> <p>SAP在本週發布了一月份的例行安全修補，總共發布12則資安通告，其中修補了4個CVSS評分達到9分以上的重大風險等級。但資安業者Onapsis認為，其中最值得關注的是CVE-2023-0014，原因是大部分該公司的用戶都可能曝露相關風險。</p> <p>又有設備的系統啟動器（bootloader）與韌體出現漏洞，以及可被利用的情況，而且這次是發生在工控系統上！有資安業者揭露西門子的可程式化邏輯控制器（PLC）設備漏洞CVE-2022-38773，並指出有上百款機種存在該漏洞。研究人員指出，這個漏洞很可能破壞PLC設備的韌體且難以復原。</p> <p>透過複製、貼上的動作，輸入與整理加密貨幣轉帳資訊的情況看，看起來很尋常，但這可能成為攻擊者鎖定的目標。加密貨幣錢包MetaMask對此提出警告，因為他們發現有人針對這種習慣進行網址中毒（address poisoning）攻擊，而導致使用者可能不慎將加密貨幣轉帳給駭客。</p> </div></div></div>
2023/1/16 10:39作者羅正漢https://www.ithome.com.tw/news/155171
裁員、遠距工作，Meta、微軟縮減西雅圖辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>景氣暗淡及遠距工作模式逐漸風行，促使科技巨頭Meta及微軟近日縮減在西雅圖的辦公室資產。</p> <p><a href="https://www.seattletimes.com/business/facebook-microsoft-pulling-out-of-more-seattle-area-offices/" target="_blank">《西雅圖時報》報導</a>，Meta和微軟上周分別證實將縮減西雅圖及西雅圖近郊城市柏衛（Bellevue）的辦公室縮減計畫。其中Meta位於西雅圖市中心6層樓及11層樓的辦公大樓分租出去，也可能會再擴及西雅圖其他大樓。微軟則證實，柏衛市中心的26層辦公大樓到2024年6月租約到期後不再續約。</p> <p>Meta表示，此舉是因應公司員工遠距、分散作業正常化，但也承認，現有景氣前景氣候不明，公司也希望財務方面更為謹慎。</p> <p>報導指出，<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta去年11月裁員1.1萬人</a>，有700多名位於西雅圖。不過作為Meta加州門洛公園（Menlo Park）以外第二大的研發中心，Meta在該市仍有近8,000名員工。</p> <p>至於微軟，該公司表示不再續租是為了提供員工更好的協同及生活空間而做的不動產資產評估結果。微軟目前正在翻修華盛頓州雷得蒙（Redmond）市公司總部園區，預計2023年底完工。同時間微軟也在10月宣布會裁員數百人。</p> <p>隨著一些龍頭公司過去幾年推動員工混合作業模式，也激發撤離昂貴城市的動機，去年微軟已經停止續約柏衛市其他不動產資產，Amazon部分柏衛市的公司園區也停止擴建。報導指出，西雅圖及柏衛市商辦大樓空屋率達25%及12%。</p> </div></div></div>
2023/1/16 11:11作者林妍溱https://www.ithome.com.tw/news/155173
Fortinet說明VPN漏洞被濫用攻擊政府單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-fg-ir-22-398-fortios-heap-based-buffer-overflow-in-sslvpnd" target="_blank">Fortinet上周說明它的SSL VPN產品漏洞</a>，曾在去年間被駭客用來攻擊政府機關及相關單位。</p> <p><a href="https://www.ithome.com.tw/news/154694" target="_blank">Fortinet去年12月12日發布資安公告</a>，SSL VPN存在重大漏洞CVE-2022-42475，是出於FortiOS的sslvpnd模組的記憶體緩衝區溢位漏洞，成功的濫用可讓未經驗證的使用者遠端癱瘓SSL VPN設備，或是執行任意程式碼，CVSS風險評分為9.3。Fortinet當時說已出現攻擊行動，上周則是公布更多細節。</p> <p>Fortinet發現到針對政府及政府相關組織所發動的精準攻擊行動。這次發現的是過去為FortiOS客製化的Linux二進位檔Bakso後門程式的Windows變種。這隻惡意程式操弄FortiOS的紀錄流程，最後刪除紀錄檔以躲避偵測及長期滲透。其他下載程式則破壞了Fortinet的入侵偵測（IPS）功能，使其無法監測流量中的違法活動。</p> <p>該公司分析指出，駭客對FortiOS及底層硬體具有深度了解，這隻客製化程式的使用展現攻擊者的進階能力，包括對FortiOS多個部分逆向工程。</p> <p>這些Windows樣本是在協調時區+8的機器上組譯，顯示可能落在澳洲、俄羅斯、中國、新加坡等其他國家。而組譯成的程式所使用自行簽發的憑證，也是在協調時間凌晨3點到8點製作。但由於駭客攻擊多半是在受害者的上班時間活動，將攻擊流程與一般流量混合以達到混淆的目的，因此Fortinet目前無法確切辨識出駭客身分。</p> <p>Fortinet在發出公告前，已經釋出新版本修補該漏洞。該公司建議用戶應儘速更新到最新版本。</p> </div></div></div>
2023/1/16 11:29作者林妍溱https://www.ithome.com.tw/news/155174
美國陸軍再花4千萬美元改良HoloLens軍用裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟為美國陸軍打造以HoloLens為基礎的軍用頭戴裝置被抱怨問題太多，令美國陸軍又要再花4,000萬美元改進裝置。</p> <p>2021年微軟獲得美國陸軍219億美元合約，要以微軟HoloLens、Azure雲服務為核心打造一款軍用頭戴裝置，稱為整合視覺擴增系統（Integrated Visual Augmentation System，IVAS），具備高解析度夜視、熱感測及穿戴式感測器數據，可支援戰場上情境感知、目標識別及軍事決策之用。它也整合擴增實境（AR）與機器學習技術，以提供軍隊訓練環境。這紙219億美元的合約下，微軟將在10年內提供美軍12萬個AR頭戴裝置。</p> <p><a href="https://www.army.mil/article/263089/integrated_visual_augmentation_system_1_2_development_task_order_awarded" target="_blank">去年底美國陸軍宣布</a>，已由微軟獲得新合約，開發IVAS 1.2版。新合約將以迭代過程改進IVAS系統，將根據測試結果提供修正結果。</p> <p>這是繼去年美國陸軍不太滿意第一代IVAS後的修正。<a href="https://www.ithome.com.tw/news/153699" target="_blank">去年12月《彭博》報導</a>，不少美國陸軍初步測試後不太滿意，他們抱怨的問題包括鏡面反光會曝露美國士兵行蹤，以及引發頭暈、噁心、眼睛酸等不適症狀。</p> <p><a href="https://www.theregister.com/2023/01/12/congress_hololens_microsoft/" target="_blank">《The Register》報導</a>，在美國國會去年底通過2023年的1.7兆美元預算中，有4,000萬將用於開發IVAS 1.2版。不過這僅是原本提供4億美元的1/10；美國議員刪除了3.6億美元預算。此外，美國陸軍還獲得另一筆1,650萬美元的專案費用，用於採購IVAS 1.2版。</p> <p>報導指出，2021年的220億美元合約中，美國陸軍目前只動用了2%，約4.4億美元。</p> <p>美國陸軍在第一代IVAS已進行過30多次測試，由1,000多名美國士兵測試近10萬小時。IVAS 1.0重點在基準作戰能力，1.1版則著重輔助目標辨識的低光源感測器。1.2版將加入新form factor以改善人機整合，包括之前測試發現的生理影響、以分散式配重解決舒適性及UI問題的抬頭顯示器，也將改良軟體穩定及耗電問題。IVAS 1.2版預定2023年9月開始陸續測試。</p> <p>美國陸軍未說新款IVAS預計出貨總量，只表示IVAS 1.2正式用系統的出貨訂單，將會在審查及測試後才會下單。</p> </div></div></div>
2023/1/16 11:49作者林妍溱https://www.ithome.com.tw/news/155175
Shopify開發團隊解釋棄Ruby，改用Node重寫CLI工具的原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一直是程式語言Ruby愛用者，同時也是Ruby專案重要貢獻者的電子商務開發和託管平臺Shopify，<a href="https://shopify.engineering/overhauling-shopify-cli-for-a-better-developer-experience">在去年將原本以Ruby編寫的Shopify CLI工具，使用Node重新改寫</a>，Shopify開發團隊現在公開了他們這項決定背後的原因和權衡。</p> <p>Shopify CLI是Shopify平臺開發人員的重要工具，能夠用於建構主題、應用程式和Hydrogen店面，使開發人員能以最佳實踐創建新專案與平臺整合，或是發布生產構件供店家使用。Shopify CLI開發團隊發現，開發Shopify應用程式的開發人員，在使用CLI上一直存在部分體驗問題，因此重新檢視CLI開發語言選擇，希望做出一些改變。</p> <p>Shopify CLI在2018年末的時候開始發展，Shopify開發團隊提到，考慮當時的語言資源和知識，他們仍認為Ruby是一個明智的選擇。但是要使用Ruby開發的CLI，用戶電腦上需要安裝Ruby，開發團隊則透過提供安裝檔案來解決這個問題，在2020年，Shopify開發團隊將ThemeKit整合到CLI中，在單一CLI中提供所有的開發功能集。</p> <p>但因為Shopify CLI後來新增UI擴充套件支援，讓開發人員可以在平臺使用自己的UI擴充套件，這使得CLI開始依賴Node工具轉換和打包擴充程式碼。另一方面，Hydrogen開發團隊也考慮使用Node建置新工具，而不是將Hydrogen工作流程整合到Shopify Ruby CLI上，因為過去用戶常因沒有完成特定額外的步驟，導致CLI執行遭遇問題，因此Hydrogen團隊希望用戶可以不再需要在系統安裝Ruby Runtime，只要使用NPM安裝指令就解決專案相依項目的需求。</p> <p>考量Shopify越來越仰賴JavaScript和Node Runtime的資源、工具和知識，因此Shopify開發團隊重新檢視開發語言的選擇，希望新語言採用能盡量減少Runtime的安裝需求，使開發人員體驗獲得提升，而且內部團隊也可以簡單貢獻，最後他們決定以TypeScript重寫CLI，並且在Node Runtime上運作。</p> <p>Shopify內部正在使用的語言除了最熟悉的Ruby之外，其次是Node、Go和Rust，Go和Rust以技術層面來說也是理想的選擇，Shopify開發團隊提到，Go和Rust程式能夠簡單編譯成二進位檔案，因此用戶不需要安裝Runtime，但Shopify之所以最後選擇Node，是因為內部團隊更熟悉Node，他們不希望語言成為內部團隊貢獻CLI的障礙。</p> <p>另外，使用Node來建置CLI，還有一個有別於Ruby的特性，Node具有靈活的模組系統和可擴充性，Node模組系統中同一遞移套件的多個版本不會互相衝突。</p> <p>Shopify CLI也在從Ruby更換到Node的過程，引入函式程式設計的概念，開發團隊解釋，Ruby CLI中的命令業務邏輯，屬於有狀態且具有非常多假設，使得程式碼更難理解、貢獻和測試，在Node CLI中他們採用更具函式性的邏輯，開發團隊沒有教條式的遵守函式程式設計規範，但他們目標讓邏輯成為傳遞狀態的函式組合，把JavaScript物件和函式當作組合單元，透過操縱傳遞的實例創建物件副本。</p> <p>Shopify開發團隊提到，Node CLI明顯改善了開發人員體驗，雖然Hydrogen和應用程式開發人員現在只需要Node Runtime，但是主題開發人員仍需要Ruby和Node Runtime，Shopify開發團隊目前已經著手移除對Ruby的依賴，這項工作將在今年稍晚時完成。</p> </div></div></div>
2023/1/16 10:54作者李建興https://www.ithome.com.tw/news/155169
裁員、遠距工作，Meta、微軟縮減西雅圖辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>景氣暗淡及遠距工作模式逐漸風行，促使科技巨頭Meta及微軟近日縮減在西雅圖的辦公室資產。</p> <p><a href="https://www.seattletimes.com/business/facebook-microsoft-pulling-out-of-more-seattle-area-offices/" target="_blank">《西雅圖時報》報導</a>，Meta和微軟上周分別證實將縮減西雅圖及西雅圖近郊城市柏衛（Bellevue）的辦公室縮減計畫。其中Meta位於西雅圖市中心6層樓及11層樓的辦公大樓分租出去，也可能會再擴及西雅圖其他大樓。微軟則證實，柏衛市中心的26層辦公大樓到2024年6月租約到期後不再續約。</p> <p>Meta表示，此舉是因應公司員工遠距、分散作業正常化，但也承認，現有景氣前景氣候不明，公司也希望財務方面更為謹慎。</p> <p>報導指出，<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta去年11月裁員1.1萬人</a>，有700多名位於西雅圖。不過作為Meta加州門洛公園（Menlo Park）以外第二大的研發中心，Meta在該市仍有近8,000名員工。</p> <p>至於微軟，該公司表示不再續租是為了提供員工更好的協同及生活空間而做的不動產資產評估結果。微軟目前正在翻修華盛頓州雷得蒙（Redmond）市公司總部園區，預計2023年底完工。同時間微軟也在10月宣布會裁員數百人。</p> <p>隨著一些龍頭公司過去幾年推動員工混合作業模式，也激發撤離昂貴城市的動機，去年微軟已經停止續約柏衛市其他不動產資產，Amazon部分柏衛市的公司園區也停止擴建。報導指出，西雅圖及柏衛市商辦大樓空屋率達25%及12%。</p> </div></div></div>
2023/1/16 11:04作者林妍溱https://www.ithome.com.tw/news/155172
【2023資安趨勢1：零信任、身分安全、可信任供應鏈】零信任網路安全步入廣泛實踐的道路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球都在關注的網路安全零信任轉型，在多年討論後，現在不只企業組織相當重視，過去一年，我們更是看到多國政府也大力提倡，成為大勢所趨。</p> <p>這幾年來，各界幾乎都在推廣零信任網路安全策略，主要原因是，在APT攻擊猖獗、BYOD與遠端存取需求高漲之下，傳統網路安全策略聚焦邊界防護的作法頻頻遭到不同形式的突破，為了大幅降低企業發生資料外洩災情，以及減少橫向移動攻擊的影響，因此，新的網路安全策略聚焦零信任架構（Zero Trust Architecture，ZTA），允許存取之前，都要評估安全性，也就是經由強制且基於證據的判斷，才予以信任、放行，而且每次存取都要評估，以取得信任。</p> <p>而從所要達到的結果來看，長期發展與推動零信任的Google，曾提出相當清楚的論點：「讓正確的身分可以存取由正確程式碼授權的正確機器，並在正確時間與情境下，存取到正確的資料。」</p> <p>這樣的資安防護態勢轉變，在2022年已經越來越明朗，而到了2023年，即將邁入ZTA實踐階段，特別是身分識別的部分，推動最為顯著。</p> <p><span style="font-size:28px;"><strong>臺灣與各國政府都在推動零信任，NIST 1800-35實踐指引今年發布</strong></span></p> <p>對於臺灣而言，政府明確指出在2023年要推動零信任網路架構，首先導入的部分，是資通安全責任等級的A級公務機關。在2022年7月，<a href="https://www.ithome.com.tw/news/152538">行政院國家資通安全會報技術服務中心表示</a>，會先遴選機關試行導入，並預計在三年內，分階段逐年導入零信任網路的3大核心機制：身分鑑別、設備鑑別，以及信任推斷。因此，2023年的重點，就是在身分鑑別一項上。</p> <p>而在上個月數位發展部部長唐鳳揭露施政方針時，她也表明推動零信任架構為主要目標之一。</p> <p>除了A級公務機關，2022年12月底，金融監督管理委員會發布「<a href="https://www.ithome.com.tw/news/154907">金融資安行動方案2.0</a>」，提出未來三年推動計畫，其中一項重點，也是鼓勵金融機構依循政府政策，導入零信任。</p> <p>這樣的潮流，同樣受到各國看重。例如，美國政府在2021年宣布朝零信任邁進，到了2022年已有多項進展。</p> <p>首先，2022年1月，直屬美國總統管轄的行政管理和預算局，通過<a href="https://ithome.com.tw/news/147725">「聯邦零信任戰略」（Federal Zero Trust Strategy）草案</a>，發布<a href="https://www.ithome.com.tw/news/149103">M-22-09備忘錄</a>，指示所有聯邦機構網路安全策略都需轉移到零信任架構，並擬訂2024財年底（2024年9月30日）達到既定資安標準與目標，完成初步遷移，該戰略主要聚焦五大面向，包括：身分識別、裝置管理、網路、應用程式與資料。</p> <p>在2022年11月，美國國防部也<a href="https://www.ithome.com.tw/news/154403">公布</a>該單位的零信任政策與藍圖，並計畫於2027年完成零信任的部署。</p> <p>其他國家也採取行動，如<a href="https://www.csa.gov.sg/News/Publications/singapore-cybersecurity-strategy-2021">新加坡前年10月發布「網路安全戰略2021」</a>，指出零信任網路安全策略是未來五年發展重點，鼓勵該國關鍵基礎設施業者對重要系統採用零信任架構；<a href="https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5efa5c3b/20220630_resources_standard_guidelines_guidelines_04.pdf">日本數位廳去年6月30日</a>針對政府資訊系統，發布零信任架構適用方針；中國資訊通信研究院去年下半啟動零信任產業圖譜計畫，預計今年發布；歐盟在2020年已經建立歐盟網路安全戰略，提出標準框架協助成員國轉型。</p> <p>另一關注焦點在於，除了美國國家標準與技術研究院NIST在2020年8月，公布SP 800-207零信任架構的標準文件，當時，NIST旗下NCCoE也預告，將發布零信任架構的SP 1800系列實踐指引。</p> <p>時隔兩年，最近<a href="https://csrc.nist.gov/publications/detail/sp/1800-35/draft">NIST 1800-35第二次草案版本</a>於12月21日公布，預料2023年將正式推出，而當中所提供的最佳實務與資源，將會是企業組織在設計、推動與落實零信任概念的重要參考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892023%E8%B3%87%E5%AE%89%E8%B6%A8%E5%8B%A2%E9%9B%B6%E4%BF%A1%E4%BB%BB.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>臺灣A級公務機關導入零信任，2023聚焦身分鑑別<br /> 全球關注的網路安全零信任轉型，臺灣政府正在著手推動，2022年8月已遴選導入試行的機關，後續將優先推動A級公務機關逐步導入，在政府零信任網路所規畫的3大核心機制中，2023年將以身分鑑別為優先推動的機制，並且提供導入流程上的建議。</strong><span style="font-size:14px;">圖片來源／行政院國家資通安全會報技術服務中心</span></span></p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892020%E8%B3%87%E5%AE%89%E8%B6%A8%E5%8B%A2%E9%9B%B6%E4%BF%A1%E4%BB%BB_.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>2023年預計將有正式的ZTA實踐指引發布<br /> 對於零信任架構的設計與推動，除了參考<a href="https://www.ithome.com.tw/tech/152241">SP 800-207《Zero Trust Architecture》</a>標準文件，企業若要採取實踐，在2023年有一最佳實務與資源值得關注，是由NIST旗下NCCoE所推出的<a href="https://csrc.nist.gov/publications/detail/sp/1800-35/draft">NIST SP 1800-35《Implementing a Zero Trust Architecture》</a>，其內容共有5份，去年底公布第二次草案版本，預計今年將會正式發布，當中更詳細描述ZTA核心架構及導入的參考指引。</strong><span style="font-size: 14px;">圖片來源／NCCoE</span></span></p> <p><span style="font-size:28px;"><strong>多家科技大廠積極推動，零信任解決方案選擇日益增多</strong></span></p> <p>不只是多國政府積極行動，更早推動零信任網路安全相關方案的科技與資安業者，也持續促成企業邁向零信任架構。</p> <p>舉例來說，從2018年就興起一股浪潮，國際間對於網路安全策略經歷了轉變，而許多科技與資安業者倡議與發展零信任模型，以及零信任架構（ZTA），又或是零信任網路架構（ZTNA），到了2023年，已有更多科技大廠已經導入或提供相關解決方案。</p> <p>以Google而言，2014年提出零信任設計與部署方法後，經過多年實踐，2020年更是<a href="https://www.ithome.com.tw/news/137132">推出BeyondCorp遠端存取服務</a>，隔年再推出<a href="https://www.ithome.com.tw/news/142467">BeyondCorp Enterprise方案</a>。</p> <p>微軟在2021年4月，分享了以<a href="https://news.microsoft.com/zh-tw/features/microsoft-zero-trust-model/">零信任模型保護內部網路安全的經驗</a>，隔年6月也說明他們如何<a href="https://news.microsoft.com/zh-tw/features/zero-trust-security-model/">實作</a>，將零信任模型融入自家產品架構，包括在Microsoft 365與Azure雲端服務<a href="https://learn.microsoft.com/zh-tw/microsoft-365/security/microsoft-365-zero-trust?view=o365-worldwide">實踐</a>零信任，也提出將零信任概念用在IoT解決方案的<a href="https://www.microsoft.com/en-us/security/blog/2021/05/05/how-to-apply-a-zero-trust-approach-to-your-iot-solutions/">作法</a>。</p> <p>主推零信任安全架構的IT大廠還有很多，例如，雲端服務廠商Akamai，很早就提供基於雲端安全服務的零信任架構，2019年推出企業應用程式存取Enterprise Application Access（EAA）解決方案，2021年發布Akamai MFA，還併購Guardicore，整併微分割技術；另一家雲端服務廠商Cloudflare，在2020年推出零信任企業安全網路服務Cloudare One，是基於零信任安全存取服務邊緣（SASE）兩大概念而發展，到了2022年，他們發表Zero Trust SIM與Zero Trust for Mobile Operators的服務，年底又宣布將對非營利組織免費提供Cloudare One套件防護。</p> <p>以次世代防火牆（NGFW）聞名的網路資安設備業者Palo Alto Networks，2021年宣布公司產品已朝向零信任網路安全發展，到了2022年，他們更是喊出要升級至ZTNA 2.0的口號。</p> <p>當然，市面上還有很多廠商也都積極推動零信任，如AWS、Cisco、F5、Forescout、IBM、Mandiant、Okta、SailPoint、Tenable、VMware、Zscaler。</p> <p>不僅如此，由於零信任架構當中結合多種既有技術及方法，因此不論是身分識別方面的SSO與MFA，增強的身分識別存取服務IAM；設備方面的端點管理方案、EDR方案；網路方面，在微分割與最小權限應用上，可設置次世代防火牆，以及網路存取控制（NAC）等。</p> <p>還有應用程式存取管控，以及情境感知認證與異常偵測，包含威脅情資、日誌管理與自動化監控的搭配，此外還有DNS請求與HTTP流量的加密，資料的加密與安全控管方案，資料外洩防護DLP等諸多面向。因此，我們也會看到各方資安領域業者，有許多都在呼應零信任，或是打出零信任旗幟。</p> <p>而在國內方面，有些本土資安業者同樣致力於相關發展。</p> <p>以近期而言，從上述政府零信任網路的推動來看，隨著政府為了因應機關採購與部署，並期盼促進國內資安產業商業產品發展，因此，已先針對身分鑑別功能的本土商用產品，符合功能符合性驗證要求，截至去年底，已有五家業者產品通過申請，包括：全景軟體，與歐生全合作的安碁，以及臺灣網路認證、來毅數位，以及偉康科技。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1112-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-1-V2.png" style="width: 539px;" /></p> <p><span style="font-size:28px;"><strong>身分安全是零信任重要一環，可抵抗網釣MFA導入為關鍵</strong></span></p> <p>在網路安全零信任轉型的議題之下，身分識別更是零信任基礎中的重要環節之一。例如，臺灣在政府零信任網路導入上，今年優先從身分鑑別著手。</p> <p>而美國政府在推動零信任的戰略上，聚焦五大面向，分別是：身分識別、裝置管理、網路、應用程式與資料，特別的是，對於身分安全方面，他們最近也提出了相關應對措施。</p> <p>該國的網路安全暨基礎設施安全局（CISA）在三個月前，<a href="https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf">發布「抗網釣多因素驗證」（Phishing-Resistant MFA）導入的指引</a>。在此文件中，CISA強烈建議所有組織實施這項措施，作為應用零信任原則的一部分，同時，他們也具體說明，攻擊者會使用多種方式來獲取MFA，包括：</p> <p><span style="color:#B22222;"><strong>網路釣魚</strong></span></p> <p>讓使用者被引導至釣魚網站後，輸入帳號、密碼以及OTP驗證碼。</p> <p><span style="color:#B22222;"><strong>登入通知推送轟炸（Push Bombing）</strong></span></p> <p>讓使用者持續收到登入通知，直到不小心按下「允許」的按鈕。</p> <p><span style="color:#B22222;"><strong>利用電信業SS7協定漏洞</strong></span></p> <p>從遠端攔截發送到手機的OTP驗證碼。</p> <p><span style="color:#B22222;"><strong>SIM卡劫持（SIM Swap）</strong></span></p> <p>假冒用戶向電信客服謊稱SIM卡遺失，以取得新發SIM卡或將手機號碼轉移至不法份子持有的空白SIM卡，獲取手機號碼控制權後，即可接收OTP驗證碼。</p> <p>事實上，採用多因素驗證（MFA）是資安界早已不斷強調的，到了2017年，簡訊OTP這種MFA不夠安全的議題，更是受到廣泛討論，出現呼籲全面採用強式身分驗證的聲浪。</p> <p>而2022年的一些發生在國際的資安攻擊事件，也印證了此一威脅態勢的進化──隨著越來越多企業採用MFA，攻擊者除了竊取帳號密碼，如今也聚焦如何突破MFA的防護。</p> <p>例如，去年11月Dropbox公布遭駭事件，起因是10月初該公司員工遭網釣，開發人員誤信了假冒CircleCI名義的網釣郵件，駭客不僅騙取了員工的GitHub帳號、密碼，也拿到OTP硬體金鑰產生的一次性密碼；去年8月，思科公布5月察覺遭入侵事件的起因，是該公司員工帳密被竊取後，駭客藉由語音網釣，以及發送大量的MFA登入請求通知，該員工在頻繁通知下按了允許。</p> <p>因此，在上述CISA的導入建議中，最佳首選就是採用抗網釣MFA，在CISA的指引列出兩種，分別是FIDO/WebAuthn驗證，以及基於PKI的方式。</p> <p>對於無法立即實施抗網釣MFA的中小型企業來說，CISA建議採用三種MFA，包括App推送OTP驗證碼、App推送數字配對通知，以及基於Token的OTP。</p> <p>若是採用App推送無數字配對通知的方式，屬於比上述三種方式安全強度弱一級的MFA選項。</p> <p>至於透過簡訊或語音形式的MFA，則應視為最後的MFA選項。但相對而言，對於還沒有這方面作為的企業組織來說，將可當作臨時的解決方案，幫助企業組織過渡到實施更強式的MFA。</p> <p>另外，除了這份CISA的指引內容，在前述美國聯邦零信任戰略的M-22-09備忘錄當中，對於5大面向的識別（Identity）部分，同樣也指出，機構工作人員須使用企業級的識別方案來存取應用程式，並使用可抵抗網釣的MFA，以防護使用者受到複雜的網路攻擊。</p> <p>當中還提到一些實作上的重點，像是：MFA必須執行在應用層，而不是網路層；除了機構工作人員需要使用抗網釣的多因素驗證，委外合約商及合作夥伴也不能例外；當授權用戶存取資源時，機構必須考慮驗證至少一個裝置層級的訊號，以及關於用戶的身分資訊。</p> <p>無論如何，MFA的重要性有越來越多人認同，在零信任網路架構下，如何妥善搭配進階的強式MFA更是關鍵之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1112-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-2-V2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>導入抗網釣MFA成為2023年身分安全重要焦點<br /> 在2022年10月，<a href="https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf">美國CISA發布「抗網釣多因素驗證」（Phishing-Resistant MFA）導入指引</a>，當中強烈建議所有組織實施採用，將這些強化身分認證的措施作為應用零信任原則的一部分，而最佳方法是採FIDO/WebAuthn驗證，以及基於PKI的方式，可抵抗網釣攻擊的威脅。</strong><span style="font-size: 14px;">資料來源：美國CISA，iThome整理，2023年1月</span></span></p> <p><span style="font-size:28px;"><strong>零信任概念延伸至產業領域，供應鏈安全議題也日益受到熱烈關注</strong></span></p> <p>關於零信任的推行，除了網路安全策略朝ZTA、ZTNA發展，技術應用的方式與範圍也在持續拓展。</p> <p>包括白名單、郵件無害化、CDR檔案威脅清除技術，以及涵蓋遠端桌面、VDI、RBI的上網隔離（Web Isolation）等技術的崛起與發展，都與零信任概念可以相互呼應，特別的是，近年更出現從單項技術領域擴及產業領域的態勢。</p> <p>例如，近年開始有人提出智慧工廠的零信任，硬體層級的零信任，以及供應鏈的零信任，將此概念用於不同領域。</p> <p>其中，零信任供應鏈架構的發展，逐漸成為關注焦點，隨著美國政府祭出晶片法案，以及美國防部推行網路安全成熟度模型認證<a href="https://www.ithome.com.tw/news/154530">（CMMC）</a>，在這些體系之下，所強化的供應鏈信任度，以及防滲透能力，也將讓國際各種產業之間的安全架構與相互合作，形成不同面貌。</p> <p>儘管將ZTA從網路安全類比、應用到其他領域，尚未發展成熟，也不完全適用所有層面，但值得留意的是，關於上述「供應鏈安全」的議題，如今也是與零信任網路安全並駕齊驅的重要議題，而且兩者都圍繞在信任議題之上。</p> <p>關於供應鏈安全，雖然不像ZTA所談到的持續驗證才予以信任，但要建構零信任網路安全的環境，同時須仰賴各種資安防護產品、資訊系統，而這些設備的軟硬體安全，將是無法迴避的問題。</p> <p>因此，談到軟硬體供應鏈安全，如今也都持續聚焦在信任方面的議題，使得透明度成為重點，像是確認每個第三方元件均來自可信任的來源等，以及建構可信賴供應鏈等，畢竟，有了「信任」會是整體環節能順利運作的重要關鍵。</p> <p>近期這方面也有值得一提的新進展。例如，長期致力於確保開源軟體安全的Google，在2022年10月推出<a href="https://www.ithome.com.tw/news/153589">Software Delivery Shield</a>，這是針對軟體供應鏈而來，當中不僅是從軟體交付生命週期的每個階段增強安全，為了幫助整個供應鏈能在信任鏈進行建立、維護與驗證，因此，它們提供基於信任的策略引擎。而從這個機制來看，可說是運用類似零信任架構的概念。</p> <p>而在硬體供應鏈方面，以伺服器安全元件驗證為例，像是數年前HPE、Dell等業者，都透過矽晶片信任根（Root of Trust）技術的搭配，防範元件與韌體不被惡意程式碼竄改，而在2019年，Google也釋出開源的OpenTitan專案。</p> <p>值得注意的是，HPE、Dell、Intel、AMD、博通、高通等廠商合作，在開放IT管理標準組織DMTF之下，開發「<a href="https://www.dmtf.org/sites/default/files/standards/documents/DSP0274_0.99a.pdf">安全協定與資料模型（Security Protocol and Data Model，SPDM</a>）」，此舉有助於打破各供應商RoT技術不相容的局面。</p> <p>至於零信任架構能否套用到硬體供應鏈，美國國防工業協會（NDIA）2021年10月曾發表一份<a href="https://www.ndia.org/-/media/sites/ndia/divisions/electronics/images---resources/zerotrustwhitepaper_20oct-revc.ashx">白皮書</a>，探討這方面的挑戰與議題。顯然，將零信任架構應用到更多的領域，也是未來可能發展的態勢。</p> </div></div></div>
2023/1/16 00:00作者羅正漢https://www.ithome.com.tw/news/155119
克服容器和虛擬機並行的挑戰，服務網格下一步全面支援VM
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去幾年，許多企業數位轉型過程中，紛紛推動IT現代化，而雲原生（Cloud Native）技術就是IT現代化其中一個很重要的關鍵技術，也讓企業看到它的可能性，包括彈性架構和擴充性，以及全球營運和服務能力。可是，企業許多傳統應用，不見得馬上能夠轉變成雲原生架構，要把老舊應用翻轉過來，仍然是非常大的挑戰。企業走向雲原生終究會遇到容器和VM並行管理的挑戰。但是除了把老舊應用重構，重新打造翻新成雲原生架構之外，現在還有另一種並存做法的出路，就是讓雲原生技術可以管理到傳統應用。這也是另類現代化的做法。</p> <p>VMware技術長Kit Colbert就指出：「我們考慮要做也希望有機會實現的事，讓服務網格（Service Mesh）能真的支援VM」。</p> <p>服務網格是雲原生用來管理龐大微服務的一種技術，過去的服務網格一開始設計的機制，都是為了管理容器化微服務，因為容器輕薄短小可以產生量非常大的微服務，因此需要有一套服務網格來管理，如果服務網格可以對VM化微服務有更好的支援，就更容易用一套管理機制來管理這些不容易容器化的老舊應用。企業就可以用一套應用程式管理流程和框架來管理新舊應用。</p> <p>但是VM和容器是不一樣的運作技術，要把容器管理機制全盤延伸到VM上，是一大挑戰。</p> <p>「如果能辦到會是很酷的事」Kit Colbert興奮地說，「因為這展現了我們不僅有能力支援現代化應用，更能夠讓很多既有老舊應用得以現代化。」</p> <p>考慮到VMware目前已經完成vSphere與Kubernetes容器管理平臺整合，可以開始使用Kubernetes管理在vSphere中的VM，Kit Colbert認為，讓服務網格能真的延伸支援vSphere中的Pod VM或基於Kubernetes的VM，應該不難。</p> <p>2021年接任VMware技術長的Kit Colbert ，可以說是VMware過去vSphere虛擬化產品研發重要幕後功臣之一，更是一手打造出vSphere的vMotion功能，實現工作負載跨資料中心轉移的關鍵推手，在VMware轉向雲端布局後，這些經驗，也成了他打造跨雲原生應用平臺很重要的基礎。</p> <p><span style="font-size:28px;"><strong>企業面臨雲端混亂，多雲混合雲帶來規模化和環境多樣性的考驗</strong></span></p> <p>近幾年，許多企業為加快轉型而紛紛開始上雲，將各自應用搬上公雲，當越來越多應用上雲，上雲模式也從單雲，邁向多雲混合雲架構，逐漸成為企業上雲部署模式新主流。Kit Colbert觀察到，許多企業雖然朝向多雲混合雲架構來發展，但目前真正做到多雲混合雲的企業卻不多。</p> <p>他進一步解釋，雲端有許多好處，但對企業而言，從一朵雲進到多朵雲會遇到規模化和環境多樣性管理的挑戰。一家企業可能有多個團隊使用不同家公雲服務，就容易會導致雲端混亂（Cloud Chaos）。因為各家雲所使用的工具大多不同，彼此間不相容，缺乏一致性，企業一開始雖然短期內可以提升速度，但沒多久就會因為複雜度增加變得笨重而減慢速度。尤其是在不同雲之間移動應用會很麻煩，需要許多重複性作業，也會產生很多不一致，到最後就會變成許多技術債。</p> <p>Kit Colbert表示，這是許多企業現在的處境，試圖走出雲端混亂，進入多雲混合雲階段，但這件事並不容易，需要有一套技術可以為不同公雲、公雲和私雲，或其他所有可能使用的這些雲之間提供一致性，才有辦法撥亂反正。</p> <p><span style="font-size:28px;"><strong>多雲混合雲下新舊應用並存，導致企業更容易身陷雲端混亂</strong></span></p> <p>很多原因讓企業面臨雲端混亂的考驗，多雲混合雲下新舊應用並存也是另一個導致企業更容易陷入雲端混亂的原因。因為在雲端移動過程中，企業會有以VM為主的老舊應用，也有新的雲端原生應用，就必須要有一套方式，可以支援這兩種新舊應用的調度，才能在不同雲裡面調度和管理。這也是VMware的目標，希望能同時管理VM和容器。</p> <p>Kit Colbert指出，VMware未來多雲混合雲產品布局將聚焦三大重點，分別是內建多雲原生功能，還要聚焦現代化多雲應用和應用現代化，以及跨領域建立互通性，提供整合性單一產品。</p> <p>服務網格就是VMware將雲原生技術帶進VM環境實現應用程式現代化很重要的技術，Kit Colbert就表示，企業許多傳統或老舊應用程式，如果能運用到服務網格相關技術，不只能管理VM，還可加入更多功能，如資安等。</p> <p>服務網格是高度AP導向，企業可以基於這個架構來建立微服務應用相關政策，可以在Pod中裝更多容器，或提供自動更新等等。在服務網格中還使用邊車（sidecar）架構，把proxy掛載到每個Pod上，藉此獲取對這些Pod的流量有相同管控機制，「這也是服務網格強大之處，讓企業可以用它做更多事」Kit Colbert表示。</p> <p>舉例來說，VMware不久前在Tanzu Service Mesh產品中加入更多安全功能，就是運用服務網格中的邊車架構的成果，像是整合了量子安全加密算法提高微服務安全性，或是利用AI偵測不同Pod流量之間異常網路行為，並自動修復，也能因應即時性需求加入TLS 1.3加密功能等。「這正是VMware壓寶服務網格的緣故。」他說。</p> <p>他表示，服務網格不僅僅是提供特定叢集或一組叢集使用，他們在Tanzu Service Mesh服務中也建立全域命名空間（Global Namespace）機制，不只是能讓服務網格中許多AP彼此相連，也可以跨雲。</p> <p>但他也提到，現階段還有改善的地方，如果是在多雲混合雲環境中使用，需要盡可能簡單易用，還有改善效率、提高頻寬、低延遲等等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CTO-2P-%E8%87%B3%E6%B5%A9-VMware-450-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-VMware.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／VMware）</span></span><br /> <span style="color:#3399ff;"><span style="font-size:20px;"><strong>我們考慮要做也希望有機會實現的事，讓服務網格能真的支援VM。── VMware技術長 Kit Colbert</strong></span></span></p> <p><span style="font-size:28px;"><strong>結合更加自動化的DevOps和SRE，成了支援多雲開發和維運的關鍵做法</strong></span></p> <p>在多雲混合雲中，企業除了需要有雲端原生技術來管理龐大微服務之外，在開發和維運上也得有更自動化做法，來支援不同多雲開發和維運管理的需求。Kit Colbert認為，這也讓整合CI/CD的DevOps開發維運做法和流程，變得越來越重要。</p> <p>Kit Colbert指出：「DevOps可以說是一種模式或處理流程，但從事DevOps的人，以我來看就是SRE（Site Reliability Engineering，服務可靠性工程師），目標是盡可能自動化來減輕對維運的負擔。」</p> <p>一旦企業進到多雲混合雲，考慮到必須在更多樣環境中來執行應用程式，自動化這件事就變得很重要。Kit Colbert表示，因此就需要有SRE的協助，來把維運管理流程簡化，改用更自動化方式來執行，如此一來，維運人員就不用進到每一朵雲，直接能對它進行管理，而且不用了解每朵雲的全貌，也能管。他也提到，面對規模化和異質環境的挑戰，發展自動化提高問題解決能力，也很重要。</p> <p>SRE過去被不少大型科技或網路公司用在維運大規模服務可靠性上，Kit Colbert表示，「面對大規模多雲服務維運的考驗，SRE是唯一解套的方式」，企業越能將跨雲工具標準化，掌握抽象層形式，就能讓SRE團隊更容易因應這類維運管理挑戰，並廣泛運用它。</p> <p>在雲端安全方面，近幾年，DevSecOps快速興起，希望讓雲端應用程式既能快速迭代因應市場變化，也能確保其安全性。Kit Colbert認為，DevSecOps實踐能發揮更大作用，讓開發團隊從過去僅專注於應用或功能開發的思維，到現在建立起必須重視資安的思維，把資安當作自己的工作來落實，而不是別人的事，「開發團隊必須要像重視程式品質、應用可用性一樣重視資安。」他指出。</p> <p>Kit Colbert也提到，企業應用不論是放在雲端或地端都會有資安風險，根本問題在於，跟地端應用型態相比，雲端應用移動和變化的速度更快，導致應用開發和部署上線速度，資安測試無法跟上步調，若是開發團隊一開始規劃就沒有把資安考慮進來，等到應用開發結束準備上線前才進行安全審查，在事前沒有足夠時間詳細規畫和經過完整審查的情況下，就把應用部署到正式環境，就容易潛藏資安問題。</p> <p>面對多雲混合雲帶來各種維運和管理挑戰，有些企業採用自動化DevOps來解決維運問題，也有企業從導DevSecOps做法下手強化雲端安全，也有考慮到雲原生和微服務架構採取服務網格架構來解，還有企業面對雲端規模越大時引進SRE維運做法。</p> <p>上述這些都是加速企業邁向多雲混合雲提供維運和管理很重要的現代化技術、工具或做法，但是開始上雲就要全部導入嗎？有沒有優先順序？</p> <p>對此，Kit Colbert認為，沒有誰先誰後的問題，而是以企業優先關注事項來決定技術採用順序。他建議，企業可以回過頭思考架構，從整體架構來考慮，找出適合自己的跨雲技術，在保有自由彈性選擇下，幫助公司繼續前進。</p> <p><span style="font-size:28px;"><strong>從三面向考慮雲端成本管理</strong></span></p> <p>除了日常維運，企業越來越多應用上雲後，雲端成本跟著增加，甚至因為要跨不同的雲，導致雲端成本控管越來越複雜，成為這一兩年許多企業都開始重視的議題。</p> <p>從雲端成本管理角度來看，Kit Colbert表示，有3個面向需要考慮，透明、FinOps、治理。他進一步說明，透明化，指的不光只是讓財務長和財務團隊掌握雲端成本，對開發團隊也要能夠做到透明性，能夠立即看到使用雲端服務花多少費用，並思考哪些環節還有優化的可能，來幫助團隊節省成本。</p> <p>其次是建立FinOps（Cloud Financial Operations）團隊，他表示，這個雲端維運財務團隊，必須與開發團隊一起合作，透過反覆觀察，了解他們在每個階段的雲端使用情況，來擬定減量策略。</p> <p>透過這樣的方式，FinOps團隊可以幫助應用程式團隊有更好的方式，做到雲端使用和成本的平衡，像是搭配Reserved Instances預付購買方式，或是透過優化一般性服務使用減少用量，都是可以採行的做法，幫助企業持續優化雲端成本。</p> <p>最後是治理，對使用者增加限制來進行雲端成本管控，例如開發團隊使用一旦超出預算，就會限制其雲端服務的使用等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>VMware技術長Kit Colbert</strong></p> <p>學歷：美國布朗大學資訊工程學士</p> <p>經歷：在VMware累積超過20年技術研發經驗，曾擔任過雲端技術長、雲原生應用程式事業部總經理、終端使用者運算事業部技術長等多項職務，不只是vRealize維運平臺首席架構設計師，更是打造vSphere產品重要功能的關鍵人物。2021年開始擔任技術長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware%E5%85%AC%E5%8F%B8%E5%AE%98%E7%B6%B2(1).png" style="width: 250px;" /></p> <p><strong>VMware</strong></p> <p>●總部：美國加州Palo Alto</p> <p>●成立時間：1998年</p> <p>●主要業務：以提供虛擬化軟體、桌面虛擬化與多雲混合雲產品為主</p> <p>●網址：<a href="http://www.vmware.com">www.vmware.com</a></p> <p>●創辦人：Diane Greene與Mendel Rosenblum為首等數人</p> <p>●執行長：Rangarajan Raghuram</p> <p>●員工數：約37,500人（2022年）</p> <p>●年營收：128.5億美元（2022財年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●1998年：VMware成立</p> <p>●1999年：首款桌面虛擬化產品VMware Workstation 1.0問世</p> <p>●2002年：第一款企業伺服器虛擬化管理軟體VMware ESX Server 1.5正式推出</p> <p>●2003年：正式發布vCenter 1.0產品，可統一管理VM環境</p> <p>●2004年：以6.35億美元被儲存軟體商EMC收購</p> <p>●2007年：於紐約證交所上市</p> <p>●2009年：新一代虛擬化平臺vSphere亮相，走向雲端運算架構</p> <p>●2011年：推出視覺化的儀表板管理工具vCenter Operations</p> <p>●2012年：以12.6億美元收購虛擬網路新創公司Nicira</p> <p>●2013年：NSX與vSAN兩大網路虛擬化和儲存平臺推出</p> <p>●2015年：連同母公司EMC被Dell以670億美元所收購</p> <p>●2016年：推出VMware Cloud on AWS，可在AWS環境上執行以VMware為基礎的私有雲服務</p> <p>●2019年：併購Pivotal，轉型為雲端原生服務供應商</p> <p>●2021年：正式完成與Dell Technologies集團拆分</p> <p>●2022年：再以610億美元出售給美國晶片製造商博通</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cto-2p-zhi_hao_-vmware-960-tu_pian_lai_yuan_-vmware.jpg" width="960" height="420" alt="" title="VMware技術長Kit Colbert　（圖片來源／VMware）" /></div></div></div>
2023/1/16 00:00作者余至浩https://www.ithome.com.tw/people/155121
【2023資安趨勢3：軟體供應鏈安全】防堵惡意開發軟體套件與程式碼外洩成當務之急
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2020年發生震驚全世界的<a href="https://www.ithome.com.tw/article/141943" target="_blank">Solarwinds軟體供應鏈攻擊</a>，衝擊美國多個公務機關，以及FireEye、微軟、英特爾、思科、Deloitte等民間公司，陸續又爆發多起這類網路攻擊，使得大家無法漠視危機存在。</p> <p>到了2022年，與此有關的資安事故，各界因應與強化安全行動也越來越多。</p> <p>像是，惡意軟體套件上傳到熱門軟體儲存庫層出不窮，攻擊者通常會利用相依性混淆，以及類似而錯誤的名稱（typosquatting），使得開發者下載使用到藏有惡意程式的套件，目的可能是為了挖取加密貨幣或是植入惡意程式。</p> <p>2022年有些政府機關與企業也傳出應用程式開發系統程式碼外洩，駭客得以闖入程式碼儲存庫竊取或竄改，原因是負責人員不當操作或設定關係，導致這些敏感、有高權限的身分暴露在外，後續攻擊者獲取此類機密之後，就能侵入軟體開發流程，影響完整性與安全性。</p> <p><span style="font-size:28px;"><strong>美國、歐盟、臺灣都開始行動，積極強化軟體供應鏈安全</strong></span></p> <p>在全面抵禦軟體供應鏈攻擊的能力提升上，美國總統拜登前年5月頒布改善國家網路安全行政命令EO 14028，強化軟體供應鏈安全名列十大重點，為實現承諾，2022年該國政府陸續推動事宜。</p> <p>例如，2月美國國家標準暨技術研究院（NIST）發布<a href="https://www.ithome.com.tw/news/153723" target="_blank">軟體開發安全框架（SSDF）</a>，而在軟體保護系列實務項目，關於每個軟體發行的保存與保護，軟體物料清單（SBOM）正是一種作法；在生產具有完善安全性軟體系列的實務項目，關於重複用既有安全性軟體而非複製功能的實作範例，SBOM可作為獲取軟體來源資訊的方式。</p> <p>8月底，美國網路安全暨基礎設施安全局（CISA）、國家安全局（NSA）、國家情報總監辦公室（ODNI）<a href="https://media.defense.gov/2022/Sep/01/2003068942/-1/-1/0/ESF_SECURING_THE_SOFTWARE_SUPPLY_CHAIN_DEVELOPERS.PDF" target="_blank">公布防護軟體供應鏈開發者指南</a>，主要是由持久安全性框架（ESF）軟體供應鏈工作小組所發行。</p> <p>9月中，美國行政管理和預算局發布編號為M-22-18備忘錄，要求聯邦機構只能使用有特定資格的廠商提供的軟體，這些廠商必須證明自身遵循NIST訂定的政府安全軟體開發實務；同時，聯邦機構也需要從業者取得軟體物料清單，以便了解遵循安全軟體開發實務的程度。</p> <p>值得注意的是，2022年5月，美國、澳洲、印度、日本發布聯合聲明，當中提到網路安全的合作，他們承諾將會改善國家關鍵基礎設施的防禦，採用的方式，包括：共享威脅資訊、識別與評估潛在的數位產品與服務供應鏈威脅，政府採購遵循軟體安全標準，以及運用四國的集體購買力，改善廣泛的軟體開發生態系統，讓所有使用者都能獲益。</p> <p>另一個全球重要的經濟及政治合作體：歐盟，在2022年9月提出的網路韌性法案（Cyber Resilience Act），這是確保產品硬體與軟體更安全的法令要求，目的是補足歐洲網路安全規範，強化整個供應鏈的安全，在四大設定目標中，有一項與此有關，那就是：針對具有數位元件產品的安全內容，強化透明度。</p> <p>而在臺灣，政府部門也開始重視軟體供應鏈安全。例如，<a href="https://www.ithome.com.tw/news/154907" target="_blank">金管會在2022年底公布的金融資安行動方案2.0</a>，提到督導金融同業工會修訂資安相關規範時，供應鏈風險管理規範就是其中一項，而在增修訂的自律規範或參考指引的部分，也涵蓋到供應鏈風險管理的議題，執行期限為民國113年，目的是強化金融供應鏈體系及第三方服務提供者的風險評估與管理，納入核心資通系統的軟硬體供應商與維運商，以及第三方服務提供者、跨機構合作夥伴的風險評估、邊際防護及委外稽核等。</p> <p><span style="font-size:28px;"><strong>NPM、PyPI等熱門平臺被盯上，頻頻爆出惡意軟體套件事故</strong></span></p> <p>在2022年佔據最多資安新聞的軟體供應鏈相關報導，主要是被植入惡意程式的軟體開發應用套件，簡稱為惡意軟體套件（malicious package），根據資安廠商ReversingLabs的統計，從1月到10月為止，以JavaScript框架與程式庫Node.js預設採用的套件管理系統NPM為例，惡意套件總共上架了6,977個，當中有超過86％是在6月、7月、8月期間增添，</p> <p>回顧2020年，惡意NPM套件僅75個，2022年成長將近100倍；Python第三方軟體套件儲存庫PyPI，在2021年上架的惡意套件多達3,685個，是2020年數量的180倍，到2022年減至1,493個，下降幅度高達6成，多數（85％）在1月發現，屬於概念驗證的軟體相依性混淆攻擊。</p> <p>而在惡意套件儲存庫的分布上，NPM以66.7％居冠，數量超過1.2萬個；其次是PyPI占27.7％，數量超過5千個；剩下的5.6％是RubyGems，有1千個以上。</p> <p>如果以更長時間比較，NPM與PyPI這兩大套件儲存庫，因軟體供應鏈關係，而出現資安弱點數量大幅成長的態勢。以2018年做為基準，2021年NPM與PyPI因承受軟體供應鏈攻擊的關係，漏洞數量分別增加至3.17倍（從164個提升至521個），以及5.14倍（從95個提升至489個），兩者合併計算，漏洞數量也增加至3.89倍。</p> <p>除了不同攻擊者進行這類惡意活動，也有資安業者發現單一攻擊者橫跨多個軟體儲存庫平臺，發布大量惡意套件。例如，在2022年12月，Checkmarx與Illustria這兩家公司聯手公布調查結果，在NuGet、 NPM、PyPi這三個平臺，他們發現超過14.4萬個網路釣魚相關套件，都來自同一個攻擊者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-IG-attacks-surge1%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FReversingLabs.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>NPM與PyPI成為駭客上傳惡意套件目標<br /> 近年來，隨著Node.js與Python走紅，使得NPM與PyPI等兩大軟體套件平臺受到熱烈歡迎，也吸引駭客而上傳大量惡意軟體套件，以2022年10月為準，有將近7千個惡意套件送上NPM，相較於2020年僅有75個套件，短短兩年卻有90倍的龐大差距；而在PyPI的部分，在2022年10月出現近1,500個惡意套件上傳至此。</strong><span style="font-size:14px;">圖片來源／ReversingLabs</span></span></p> <p><span style="font-size:28px;"><strong>程式碼外洩危及軟體供應鏈安全的事件頻傳</strong></span></p> <p>針對應用系統的攻擊，不論是發動DDoS攻擊這類正面衝突，或伺機尋找未修補的資安漏洞趁虛而入，已不足為奇，近年來，駭客也往軟體供應鏈上游進攻，鎖定程式原始碼的存放環境進行侵害，由於當中有時也牽涉重要系統的帳密與登入憑證（例如有些開發人員將這些資訊寫死在程式碼，或放在半公開區域），問題不只是程式碼被竊取、竄改，也嚴重危及IT重要服務安全。</p> <p>以2022年而言，就發生多起重大的軟體供應鏈安全事故。以IT廠商而言，身分管理服務業者Okta，分別在3月、9月、12月面臨攻擊，而導致其用戶可能遭波及；程式碼共享與協作平臺GitHub，4月發生攻擊者竊取兩家第三方業者的OAuth憑證，而闖入數十個組織的儲存庫、下載存放在裡面的資料。</p> <p>而以公部門與企業而言，也有不少案例。像是美國退伍軍人事務部9月發生程式碼外洩，原因據傳是承包商將該單位GitHub帳號的程式碼複製，再將其發布在設為開放模式的GitHub帳號而暴露，事後有6個陌生IP位址複製了這些程式碼，其中1個來自對美抱持敵意的國家。</p> <p>10月日本豐田汽車公告自家網站外洩近30萬名車主資料，原因是程式碼不當上傳至GitHub公開儲存庫，而程式碼又不慎夾帶可存取資料庫伺服器的金鑰。</p> <p>隨著此類事件不斷上演，為了避免再度發生，企業與組織除了推動安全軟體開發流程，對於開發環境與程式碼儲存庫的保全也必須格外重視。</p> </div></div></div>
2023/1/16 00:00作者李宗翰https://www.ithome.com.tw/news/155123
【2023資安趨勢4：CMMC】臺灣推CMMC偏重認證，明顯缺少產業升級思維
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣深受地緣政治的影響，面對中國有形的文攻武嚇和無形網路戰爭的威脅，加上美中貿易大戰之後造成的國際政治情勢益發緊張的影響，已是全球牽一髮而動全身的政治焦點所在。</p> <p>對此，為了確保臺灣的安全性，臺灣積極要求美國加速對臺軍售的進度，甚至傳出臺美聯合生產武器的呼聲，但箇中關鍵點是；美國對於臺灣國防產業界，或是電機電子產業中，有些與中國有聯繫或密切商業往來的企業，是否能確保美國轉移的機密，以及相關的敏感技術不外流，仍有很大疑慮。</p> <p>面對「信任」的議題，不論資訊安全、供應鏈安全甚至是國家安全，都非常重要，如何做到信任，有許多法規面、制度面和程序面的作法必須落實。</p> <p>美國為了為避免重要軍事武器機敏資料外洩，提升並確保美國國防供應鏈業者資訊安全防護能力，美國國防部也在2020年1月31日發布「第1版網路安全成熟度模型認證（CMMC 1.0）」，這也是針對國防供應鏈業者第一線承包商，以及第二、三線分包商制定的網路安全標準，並於2021年11月推出的CMMC 2.0版草案，預計今年3月至5月會推出CMMC 2.0正式版，並於2026年財年（9月30日）後全面實施，自此之後，國防供應鏈的承包商及分包商若無法取得CMMC認證，就不能拿到美國國防部的訂單。</p> <p>對企業來說，國防訂單是相對穩定、高利潤，而臺灣產業若想進軍美國國防供應鏈，可參考日本和韓國引進CMMC的經驗，花時間改善臺灣國防工業和電機、電子製造業的產業體質，進行企業流程和技術改善，隨著軍規、商用市場的規模越來越大，也有越來越多商用技術做到軍規強度，相關產業是否能夠在2026年9月底前，順利取得美國CMMC認證，直接成為美國30萬家國防產業基地（DIB）的一員，而非局限在成立CMMC臺灣在地驗證機構等小規模的商機，這才是推動CMMC對臺灣產業帶來的真正價值。</p> <p><span style="font-size:28px;"><strong>臺灣政府也推CMMC資安專案，偏重成立驗證機構</strong></span></p> <p>面對這波對於國防產業供應鏈業者取得CMMC認證的要求，臺灣政府在2023年推出兩個與國防有關的資安專案，第一個是「軍民通用資安技術研發補助計畫」，針對供應鏈安全、低軌衛星安全、紅隊攻防平臺，預計補助10個專案，預算金額高達1.35億元。</p> <p>另一個資安專案是「產業供應鏈資安成熟度合規導入計畫」，主要是針對國防供應鏈CMMC合規，發展CMMC供應鏈管理合規工具導入，以及打造第三方獨立評估機構（C3PAO）驗證機構：即CMMC臺灣在地驗證實驗室，預算金額初估約有五千多萬元。</p> <p>CMMC對臺灣帶來的商機可以分成兩部分。首先，若是根據臺灣國防產業發展協會（TW-DIDA）援引日本引進CMMC經驗，推估其帶動的整體國防產業供應鏈業者升級所進行的產值推估，臺灣國防產業供應鏈的產值可能高達新臺幣1,800億元，這樣的產值遠遠超過中科院的委外產值，或是單純國防產業的產值規模，商機勃勃。</p> <p>另外的商機，則包含相關的認驗證，以及課程推動，CMMC認證管理機關從原本的CMMC-AB改為Cyber-AB，可打造類似臺灣驗證公司能參與的生態系，也可以成立獨立評鑑機關（C3PAO），提供年度自評和第三方評估（驗證），以及政府主導評估（查驗）等所帶來的商機。</p> <p>但因為目前已經不針對CMMC 1.0版發證，CMMC 2.0版正式版條文規範，將於今年3月～5月才會對外公布，按照官網說明，相關公告進度還可能稍微延後的情況下，目前市場上所有針對CMMC 2.0版的認證需求以及「產業供應鏈資安成熟度合規導入計畫」，除了第一級（初階）的自評外，其他認證準備內容，都可能會隨著CMMC 2.0正式版公告延後而有所滯後。</p> <p>因為CMMC 1.0版規定，只有美國人才能成立C3PAO做CMMC驗證，所以必須等到CMMC 2.0版正式版條文推出後，才會知道美國國防部是否同意，開放讓非美國人成立獨立評鑑機關（C3PAO），否則，臺灣想要推動CMMC，就必須參考日本或是韓國推動CMMC的經驗，從政府角度出面和美國政府談CMMC可能的合作和導入方式。</p> <p>政府在思考相關的產業發展時，並未思考如何從傳統的國防工業業者，可以做到進一步擴大：將更大規模的電機、電子製造業者，同樣納入國防產業供應鏈業者中，希望藉由推動並取得CMMC認證後，做到各自的產業升級，達到整體國防產業供應鏈產值的提升。</p> <p>甚為可惜的部分是，政府關注的焦點僅在如何成立CMMC相關的在地驗證機構，以及取得認證的相關教育訓練等小打小鬧的「商機」，未能思考如何透過協助臺灣相關的國防產業供應鏈業者，藉由推動並取得CMMC認證的機會，進一步做大整體國防產業供應鏈的產業大餅。</p> <p><span style="font-size:28px;"><strong>美國國防供應鏈業者以分包商受駭者多</strong></span></p> <p>即便美國國防部號稱是世界上最安全的單位之一，但在2018年發生美國海軍承包商遭駭客入侵，致使美國潛艦所使用的超音速反艦飛彈相關研發細節外洩；同年10月，駭客也透過入侵外包商系統，借道進入美國國防部內部網路，導致3萬名員工的資料遭到外洩。</p> <p>這些受到駭客攻擊的對象，有許多都是執行國防部專案合約的第二、三線中小型分包商，當然也有少數的第一線、大型的主要承包商遭駭；這些二、三級分包商會面對各個國家對網路安全有不同的規範，這些規模相對較小的分包商，也常常會因為不願意或無法支付高額的資安投資，而成為駭客鎖定攻擊的目標，並造成許多機敏資料外洩。</p> <p>由於國防採購的第一線承包商，主要是負責相關的武器研發、設計、開發與部署等重要機密，而承包商之下的第二、三線分包商，往往因為生產製造的不同需求，經常是分散在全球各地。</p> <p>美國國防部服務供應商CyberSheath為此，也委託美林研究機構（Merrill Research）對美國國防供應鏈業者DIB進行調查，並以此發表《國防工業基地（DIB）網路安全成熟度狀況統計報告》。</p> <p>根據這份受訪達300家業者的調查結果，多達88％的美國國防供應鏈業者（DIB）因為網路攻擊遭到損失，可將損失分成三類：62％供應商承受金錢損失，58％供應商遭到營運損失，另外有51％供應商面臨商譽損失。</p> <p>其中，若再區分第一級承包商和第二、三級分包商的損失，62％的承包商、53％的分包商都遭到金錢損失；58％的承包商和58％的分包商面臨營運損失；55％的承包商和50％的分包商的信譽受到毀損。</p> <p>整體而言，遭到網路攻擊、駭客入侵的對象以第二、三線分包商業者較多，因為缺乏完善的資安防護能力，也成為駭客攻擊主要標的。這也讓美國國防部意識到，若要確保國防機敏資料的安全性，不能只重視主要承包商的安全作為，更必須關注許多個分包商的資安作為，才能做到真正的機敏資料不外洩。</p> <p><span style="font-size:28px;"><strong>2023年3月公布CMMC 2.0正式版，2026年9月全面實施</strong></span></p> <p>國防商機龐大，但也同時面臨「價值」選擇，只有選擇美國價值的國家，才能成為美國國防產業供應鏈一員。</p> <p>為了確保國防產業技術和機敏資料安全，美國在2019年提出「網路安全成熟度模型認證」（Cybersecurity Maturity Model Certification，CMMC），這是第一個針對國防產業供應鏈業者所制定的網路安全標準，其目的是讓國防承包商和分包商符合相關的認證級別後，才能進入美國國防供應鏈並承包其業務。</p> <p>預計今年（2023年）3至5月將推出CMMC 2.0正式版；預計2026年財年（9月30日）後，CMMC成為美國國防部採購案的強制性要求，未來美國國防部第一線承包商和第二、三線分包商，都必須取得CMMC認證，並依據專業的機密性質，取得CMMC第一級至第三級不同等級的認證。</p> <p>CMMC是以國防採購合約和核心，對於相關國防採購合約驗證等級的認定，都必須由美國國防部國防採購合約管理局（DCMA）釋出；主要保護標的包括：聯邦合約資訊（FCI）和受控未分類資訊（CUI），而FCI是由政府合約提供或產生的資訊，包括為政府開發或交付產品的產品或服務的內容，屬於政府不公開的資訊，但不包含政府向公眾提供的資訊。</p> <p>至於受控未分類資訊（CUI），是指政府或承包商代表政府提供或擁有的資訊，雖然不一定需要保密，但若公開將可能帶來潛在風險的情況下，因為具有機敏性，所以有保密的需求，就需要做到限制公開或控制相關的資訊傳播。對於CUI的範圍認定，除了由國防供應鏈廠商界定自己產出資訊，其餘多由採購合約甲方（國防採購合約管理局）界定。</p> <p>在國家資訊安全防護的需求之下，根據國防聯邦採購補充條例（DFARS）針對「受控非機密資訊」（CUI）需要受到更高層級的保護，像是NIST SP 800-171就是聚焦於CUI的安全標準；若需要符合第三級驗證，還必須符合NIST SP 800-172。</p> <p>推出CMMC，是為了解決國防採購合約過程中，供應商可能面對各種資安威脅所造成的損失，並不是以資安為核心的認證機制，而是基於美國國防採購合約管理（DFARS）開始的認證機制，像是武器採購的上游是洛克希德馬丁公司，但中、下游供應鏈業者也必須同步納管，絕對不能有中、港、澳的業者參與。也就是說，臺灣國防工業甚至是電機電子製造業者，若想要成為美國國防產業供應鏈的一員，絕對不能在中國、香港和澳門設廠。</p> </div></div></div>
2023/1/16 00:00作者黃彥棻https://www.ithome.com.tw/news/155124
【2023資安趨勢2：無密碼網路身分識別】無密碼身分驗證朝向普及應用階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於密碼使用與管理衍生安全問題，改用無密碼登入的做法日益受到肯定，特別是FIDO標準推出多年後，現在有了多方面的進展，在2023年有三大焦點值得重視，分別是PassKey在全球的興起，臺灣政府與金融業對FIDO的應用正變得越來越廣泛，IoT設備身分識別FDO標準也有新進展。</p> <p><span style="font-size:28px;"><strong>FIDO標準的重大擴展促成無密碼應用普及，今年PassKey成長可期</strong></span></p> <p>這幾年來，FIDO的應用有兩次重大進展，一次是FIDO（Fast Identity Online）聯盟在2018年推出FIDO2標準，其核心的WebAuthn規格被W3C聯盟接納成為正式的Web標準，而在Web應用有統一的標準遵循之下，使得推動多年的密碼登入應用，終於有了進一步普及的可能性。當時，微軟也就已經開始宣告──密碼時代即將終結。</p> <p>另一次就是現在，目前正迎來第二次轉捩點，將解決實務上用戶體驗不佳的問題，可望促使無密碼驗證變得越來越普及。為何這麼說？讓我們來看看2022年有了那些新突破。</p> <p>首先，在2022年3月，FIDO聯盟新發布多裝置FIDO驗證（Multi-Device FIDO Credentials）白皮書，對WebAuthn標準提出突破性的修改，有大幅進化，使得無密碼大規模應用有了更多可行性。</p> <p>更關鍵的發展是，到了5月，包括蘋果、Google與微軟等重要IT廠商，都做出具體承諾，預告對於該標準的擴展，將會在未來一年陸續支援，在此同時，通行密鑰（passkey）一詞也浮現，並成為多裝置FIDO驗證的簡稱，能夠以更方便的方式，在多個設備使用FIDO網路身分識別，並在2022下半年持續成為無密碼登入的焦點。而在上述三家業者中，蘋果對於FIDO標準的支援雖然較遲，但該公司在Passkey的推動早於其他廠商。</p> <p>根據FIDO聯盟的說明，新的多裝置FIDO驗證，讓使用者登入App或網站時，可透過手機或另一裝置來當作認證器，讓用戶在他們的許多設備都能存取FIDO登入憑證，以及能夠將儲存Passkey的手機當作實體金鑰，登入鄰近裝置上的網站，不論這些裝置是使用何種瀏覽器或作業系統。</p> <p>換言之，Passkey打破了先前FIDO2 / WebAuthn使用局限，不像過去必須在每個裝置註冊一組金鑰，而且能夠提供更好的跨裝置服務支援。</p> <p>接下來，在2023年，企業網站端的支援態勢將成焦點。我們認為，隨著蘋果與Google在系統與瀏覽器端，對於Passkey的支援陸續到位，應該會有更多業者開始跟進。</p> <p>值得注意的是，大家別以為網站服務支援PassKey還需要很久時間！事實上，有些企業展現積極的態度，已做好擁抱Passkey的準備。</p> <p>根據密碼管理服務業者1Password的統計，在2022年底，支援PassKey無密碼登入的網站服務，已有資訊科技業者微軟、Nvidia、DocuSign，金融服務業者PayPal、Robinhood，電商購物平臺Best Buy、ebay，旅遊服務業者Kayak，以及身分安全供應商如Authgear、Corbado等。至於1Password本身，他們也宣布將會在2023年初提供支援。</p> <p>還有很多已經支援WebAuthn API的網站與服務，支援PassKey應該也是可以預見的趨勢，無論如何，在這些知名網站服務帶動之下，今年可望有更多業者投入支援，提供更簡便登入網站與統一的用戶體驗。</p> <p><span style="font-size:28px;"><strong>臺灣在公部門的應用正持續擴大，金融FIDO正要起步</strong></span></p> <p>另一方面，FIDO標準之前已經受到多國政府看重，除了早期的英國、美國，還有澳洲、加拿大、捷克、法國、香港、馬來西亞、挪威、韓國、瑞典、泰國，臺灣也是積極推動的國家，因為早在2020年，內政部資訊中心就已打造出TW FidO臺灣行動身分識別。</p> <p>而且，「FIDO台灣分會」也在2021年5月成立，進一步促進了國內的FIDO推動。接著，到了2022年5月，政府推動自然人憑證行動化，結合上述TW FidO，因此，內政部將原有的「Taiwan FidO臺灣行動身分識別」App，更名、升級為「行動自然人憑證」App。</p> <p>從這樣的發展態勢來看，原本是讓便民服務與公務系統，用於FIDO身分識別技術登入，如今也整合自然人憑證的簽章功能，而能運用在公文簽核；以系統支援數量而言，2022新推的行動自然人憑證，目前有83個機關、127個系統支援，而發展長達18年的自然人憑證，已有700個系統支援。</p> <p>換言之，隨著政府系統擴大支援行動自然人憑證，這也讓原先的TW FidO應用可以更廣泛。事實上，內政部已經有所計畫，預計2023年底後，支援行動自然人憑證的系統會擴大至400個，還不僅是如此，甚至內政部也要開放政府以外的產業使用，包括金融、電信業。</p> <p>在民間業者方面，先前臺灣已有金融業者積極導入FIDO，像是中國信託、國泰銀行等，腳步相當快。</p> <p>而為了促進國內數位金融服務發展，2021年金管會開始推動身分識別標準化機制（簡稱金融FIDO），隨著後續決定採用晶片金融卡，作為消費者開通金融FIDO的憑藉，到了2022年底終於有了成果。</p> <p>簡單而言，這項應用的最大特色，除了提供基於FIDO標準的安全性，更重要是讓跨機構身分認證得以實現，同時也免除金融客戶在不同金融機構要重複身分驗證作業的現況。</p> <p>在2022年10月底，已有金融業者率先公布相關消息，例如，台新銀行首先宣布成為「ATM設備代理行」角色，提供金融FIDO ATM註冊服務。關於這項服務，台新銀行表示，目前上線時程未定，將配合主管機關及財金公司的規畫。</p> <p>不過，他們也簡述了金融FIDO的註冊流程，民眾可持晶片金融卡至台新ATM，輸入密碼進行身分驗證，之後進行相關操作，進而列印出金融FIDO註冊驗證用的QRCode小單子。</p> <p>之後只要在QR Code有效期限72小時內，在支援金融FIDO的金融機構App上，即可藉由掃描上述QRcode，後續App將引導民眾使用生物特徵的方式註冊金融FIDO。</p> <p>同時，還有合作金庫也在臺北金融科技展展示合庫「金融FIDO」服務的應用，及整合中國信託ATM「設備代理行」的消息。</p> <p>儘管距離正式上線還要一段時間，但在2021年5月底，即有121家金融機構共組金融行動身分識別聯盟，因此可預期的是，在多元身分認證方式的推動之下，在2023年會有更多金融機構App與服務項目能支援應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%87%91%E8%9E%8DFIDO%20ATM%E8%A8%BB%E5%86%8A%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8F%B0%E6%96%B0%E9%8A%80%E8%A1%8C-600.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>金融FIDO應用將於2023年實現<br /> 國內推動已久的金融FIDO，在2022年底開始有了進展，台新銀行首先宣布將提供金融FIDO ATM註冊服務，雖然目前服務還未上線，但未來將讓民眾可至台新ATM，以晶片金融卡作為開通金融FIDO的憑藉，並列印出金融FIDO註冊認證用的QRcode。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／台新銀行）</span></span></p> <p><span style="font-size:28px;"><strong>FIDO下一步的應用焦點：IoT裝置也要安全連入雲端或平臺</strong></span></p> <p>另一關鍵趨勢在於，FIDO標準近年仍持續擴展，特別是IoT領域的應用，在2021年，名為FIDO Device Onboard（FDO）的標準規範發布，當中定義簡易與安全的身分識別，讓IoT裝置在連至雲端或企業內部網路的後端管理平臺，都能以此協定驗證裝置身分。在2022年4月，FDO標準已發布1.1版。</p> <p>雖然，相較於2014年就推出的FIDO標準，FDO標準顯然才剛剛起步，但這方面也已經取得很好的進展。例如，2022年4月紅帽釋出Fedora Linux 37時，強調支援FDO是一大特色，5月又宣布RHEL 8.6與9.0版將支援FDO標準。</p> <p>在2022年11月底，FIDO聯盟在年度舉辦的Authenticate Virtual Summit大會，這次也完全專注於保障物聯網安全的議題，就是希望讓更多產業關注物聯網設備認證的強化。</p> <p>不僅如此，美國國家標準暨技術研究院（NIST）2022年12月5日，也才剛剛發布一份SP 1800-36草案文件，是關於IoT網路層接入與生命週期管理，當中也涵蓋對於IoT裝置連入與驗證的面向。</p> <p>綜觀上述所有無密碼方面的推動，這也意味著2023年將有更多企業投入或採用，相對來說，民眾也能看到更多無密碼登入的應用。</p> </div></div></div>
2023/1/16 00:00作者羅正漢https://www.ithome.com.tw/news/155130
【2023資安趨勢5：CISO】有獲利的公司，年底前都要設立資安長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對2023年，資安長（CISO）需要關注的趨勢有哪些呢？我們可以從法規遵循、管理業務，以及技術等三個層次來看，以法遵的要求而言，依照金管會的規定，只要是公司有獲利，在2023年底前，都必須依法設立資安長，以及設置至少一名資安專責人員。</p> <p><span style="font-size:28px;"><strong>只要公司有賺錢，都要設立資安長和資安專責人員</strong></span></p> <p>在2021年底，金管會在公告修正「公開發行公司建立內部控制制度處理準則」（簡稱處理準則）時，將臺灣近千家上市公司和近八百家上櫃公司，區分成三個等級，其中，符合第一級規定的企業有113家，包括：資本額100億元以上；前一年底屬於臺灣50指數成分公司；藉由電子方式媒介商品所有權移轉或提供服務（如電子銷售平臺、人力銀行等）收入占最近年度營業收入達80％以上，或占最近二年度營業收入達50％以上者。符合上述三項規定的公司都是臺灣最賺錢的企業，依據法令要求，應該都已經在2022年底前，設立資安長和成立至少兩名資安專責人員的資安專責單位。</p> <p>至於其餘1千6百多家的上市櫃公司，除去第一級113家上市櫃公司，只要最近三年度的稅前純益沒有連續虧損，且最近年度財務報告每股淨值未低於面額者，都是符合第二級規定的公司，都必須在今年（2023年）底前，依法設立資安長和至少一名資安專責人員；若是最近三年稅前純益有連續虧損、或近年每股淨值低於面額的第三級公司，金管會則是鼓勵企業設置至少一名資安專責人員。</p> <p>從處理準則的規定來看，只要公司還有獲利、還有賺錢的能力，這上千家公司都必須在2023年底前，依法設立資安長，以及至少一名資安專責人員；但如果是營運虧損的公司，金管會則是採取鼓勵措施，希望公司至少能夠設立一名資安專責人員。</p> <p><span style="font-size:28px;"><strong>資安事件造成上市櫃公司重大損失者，依法要發布重訊</strong></span></p> <p>主管機關要求公司設立資安長，主要是因為資安事件已經和公司營運脫離不了關係，這也可以從證交所於2021年4月27日修訂「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」來看。</p> <p>在該法第4條上市公司重大訊息中，原本第26項只規定：發生災難、集體抗議、罷工、環境污染或其他重大情事，都必須發布重大訊息。以往證交所雖然將資安事件歸類為其他重大情事，但往往因定義不明確，反而容易讓企業鑽漏洞，不論資安事件嚴重與否，都被認為屬於企業的機密而不願公開揭露。但是，藉由修訂第4條第26項後，不僅將資通安全事件明訂在法條中，而且該修法效力則是公布後即刻生效。</p> <p>自此之後，上市櫃公司一旦發生資安事件，符合「造成公司損害或重大影響者；經有關機關命令停工、停業、歇業、廢止或撤銷污染相關許可證者；單一事件罰緩金額累計達新臺幣壹百萬元以上者」都必須發布重大訊息。</p> <p>只不過，2021年修法後，根據安碁資訊統計，2021年因為發生資安事件而發布重訊的企業有14家，而2022年則有8家。因資安事件而發布重大訊息的企業看似減少，但這並不意味資安事件變少，往往是許多企業對於「造成公司損害或重大影響者」的定義各有不同所造成的現象，例如，駭客如果對企業官網發動DDoS攻擊，這種DDoS攻擊是否會對公司造成損害或重大影響，往往會因為這家受駭企業的產業形式不同，對於損害範圍而有不同定義，像是對電商官網發動DDoS攻擊造成的損失，一定會比攻擊只是呈現資訊的公司官網損失大，但能否就能肯定，DDoS攻擊對公司官網不會帶來營運衝擊呢？這中間的分寸拿捏，往往就是企業是否願意發布重訊的關鍵。</p> <p>所以，2023年上市櫃公司如果因為發生資安事件必須要發布重大訊息時，如何評估該起資安事件對企業造成的影響程度有多深，範圍有多大，這是多數企業的資安長，必須做到心中有底的法遵要求。</p> <p><span style="font-size:28px;"><strong>資安長要懂得和業務連結，要讓公司活下去</strong></span></p> <p>身為鴻海研究院執行長，同時也是鴻海公司資安長李維斌表示，2023年對資安長最重要的事情就是「活下去」，因為國際情勢複雜、地緣政治因素，加上各種通貨膨脹等經濟議題，都是企業在2023年公司獲利必須面臨的重大挑戰。</p> <p>一旦發生重大資安事件，就會對公司營運帶來損失，但資安長如果不懂公司的業務，就無法判斷資安事件對公司營運影響的範圍有多大。所以，李維斌口中的「讓公司活下去」，其實背後所隱含的意義就是：公司的資安長，對於公司業務也必須有掌握的深度和力度。</p> <p>安永風險顧問公司總經理萬幼筠，更以簡單一句話概括資安長在企業內部應扮演的角色，「資安長要做的事情就是企業經營。」所以，除了符合法遵要求，作為稱職的資安長，必須能夠定義資安角色與職掌功能，也要了解企業面臨的風險並連結績效指標，最後更要知道如何配合業務發展策略，投入相對應的資源。</p> <p>也就是說，身為企業高階主管的資安長，已經不能和以往定義的資安部門主管一樣，只偏重資安技術和縱深防護而已，因此，當資安長是由公司更高階的主管擔任時，思考的角度也從傳統的技術思維，必須進一步轉變成公司營運的思維才行。</p> <p>萬幼筠也提醒，供應鏈安全應該是融合在所有資通訊產品中，尤其近期歐盟通過許多法規，臺灣有許多全球重要的代工大廠，除了品牌客戶對代工廠的各種資安要求外，各國對資通安全產品法規的要求，也應該成為供應鏈安全的內容之一。</p> <p>例如，德國在2017年針對電動車和自駕車等供應商，通過汽車安全訊息評估交換平臺TISAX的規定，未來要進軍歐盟汽車供應鏈的製造商，都必須符合TISAX規定，如果相關汽車供應鏈業者的資安長，能更早掌握相關規定，就可以有餘裕促使公司合規、提供公司的競爭力，進而提高公司的營收。</p> <p><span style="font-size:28px;"><strong>掌握資安技術和韌性，讓公司活得好也活得久</strong></span></p> <p>資安長不只要懂得讓公司活下去，也要懂得讓公司活得好，也活得久。第一金控資安長劉培文便坦言，疫後企業對數位變革及韌性的需求更加強勁，各項數位資訊技術，例如API、容器化、雲端、DevSecOps、SDN等，都必須要在第一天，也就是所有產品開發、服務提供和業務發展的一剛開始，就必須納入資安與韌性的設計，以往「先求有再求好」想法已經不符合時代的脈動需求，</p> <p>另外，劉培文提醒，資安防護及作業本身也需要做到數位轉型與作業流程精進，他也說，以目前金管會及證交所制定對金融機構及上市櫃公司的各種資安管控要求後，未來要找到符合資格的資安專才，將會越來越困難。</p> <p><a href="https://www.ithome.com.tw/news/154907" target="_blank">金管會在2022年12月公布了「金融資安行動方案2.0版」</a>，其中提到的重點包括：數位身分驗證等級國際標準（可參考ISO 29115）架構、零信任網路部署以及MITRE Engage等新的概念與技術，金融業則要提前佈局準備；另外供應鏈的安全也是未來需要注意的。</p> <p>由於金融業是臺灣高度監管的產業，有許多的資安政策規範，都是金融業先行後，再廣泛適用於其他產業，因此，「金融資安行動方案2.0版」中所揭露的技術重點，也可以作為其他產業資安長的參考。</p> <p>萬幼筠表示，資安長掌握技術並做到公司有韌性、營運不中斷外，也要擺脫以往資安長只做稽核檢視的舊觀念。他進一步指出，現代的資安長要打造一個立體呈現網路安全的資安建築藍圖，不僅要納入公司合作的上中下游廠商，也必須搭配公司組織架構、管理制度和相關技術才夠完整。</p> </div></div></div>
2023/1/16 00:00作者黃彥棻https://www.ithome.com.tw/news/155142
2023資安大趨勢
<div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>COVID-19與烏克蘭戰爭徹底改變網路安全地景，再加上臺灣面臨中國軍事威脅，今年該如何做好資安？首先是持續推動零信任與身分安全，以及無密碼驗證；關於防護體系建構，資安長與公部門政策均是關鍵；因應數位轉型腳步加快，軟體供應鏈防護與網路安全成熟度模型認證也成IT產業發展重點。</p> </div></div></div>
2023/1/16 00:00未署名https://www.ithome.com.tw/article/155143
GovTech月報第14期：加拿大啟動國家量子戰略，將以3.6億元推動相關研究、人才、商業化發展；美國成立太空局，積極…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(2022年1207~2023年0113)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">寬頻網路</span></font> </strong></p> <p><font color="#000000" face="Arial"><span style="font-size: 22px; white-space: pre-wrap;"><b>加拿大啟動國家量子戰略，將以3.6億美元培養量子研究及人才</b></span></font></p> <p>看好量子運算未來帶動新藥研究、氣候、能源等領域的發展，加拿大政府近期發表國家級量子戰略，將以3.6億美元，投入加拿大的量子技術、商業化公司及人才。這項戰略涵蓋三方面，量子運算硬體及軟體技術、量子通訊、感測器。其中量子運算硬體及軟體方面，目的在使加拿大成為硬體及軟體相關技術的領先國家；量子通訊則要發展加拿大自己的國家安全量子通訊網路及後量子密碼學技術；感測器方面，推動加拿大開發及儘早採用量子感測技術。</p> <p>3.6億美元中，約1.41億美元用於基礎科學研究及應用，以實現新的解決方案及創新，4,500萬美元用於培育本地人才及吸引國外的專業人才，約1.69億美元投入商業化發展，促成相關研究走向商業化發展。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">低軌衛星</span></font> </strong></p> <p><span style="font-size:22px;"><strong>低軌衛星通訊服務夯，美國FCC成立太空局</strong></span></p> <p>隨著低軌衛星快速發展，各國開始重視太空通訊產業發展，美國FCC委員會決定，將成立太空局管理相關業務，從原本的國際局切分出太空局、太空事務辦公室。</p> <p>FCC表示，因應衛星通訊產業勃蓬發展，例如SpaceX、Amazon及OneWeb等業者申請執照，超出FCC原有的管理框架，因應審查程序需要，FCC擴大原有的衛星部門，並推動新的頻譜政策，加速衛星服務的經營。成立太空局可因應資源及作業需要，同時協同各部門的合作。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">彰化縣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位餐券</span></font> </strong></p> <p><span style="font-size:22px;"><strong>彰化縣政府與電子支付業者聯手針對弱勢學生推數位餐券</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11_20230111113025807_tmp.jpg" style="width: 600px; height: 400px;" /></p> <p>為照顧低收入戶、中低收入戶、家庭變故、導師家訪認定等經濟上弱勢的學生，彰化縣政府與一卡通合作推出數位化的幸福餐券，將過去提供紙本餐券兌換餐點，改為數位化的餐券，與彰化縣發行的一卡通數位學生證內，讓學生持數位學生證至統一超商、全家、萊爾富、OK，以及台灣楓康超市領取餐點。</p> <p>過去，使用紙本餐券，需要列印發行、紙本餐券保存不易、兌換餐點數量人工統計等問題，彰化縣政府與一卡通合作推出數位化餐券，將餐券整合至數位學生證，即不需額外的卡片，而透過後檯設定，能夠隨時因應學生的領餐需求，在商店端設定可兌換的商品品項、每天領餐餐數資訊，追蹤管理領餐情形。</p> <p>彰化縣政府指出，數位化餐券除了提高兌換餐點的便利性，節省紙本及印製費用，減少學校核發流程及人力，也能簡化合作商店端紙本憑單整理、核銷請款程序及時間，縣府通過數據分析，也能掌握學生換餐情形、時間等等，作為縣府政策參考的依據。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物流</span></font> </strong></p> <p><span style="font-size:22px;"><strong>中華郵政與民間業者聯手，在桃園復興區測試無人機投遞郵務</strong></span></p> <p>臺灣經常因為颱風、地震等天災，導致道路或橋梁中斷，影響正常郵務運送，交通部近期舉辦國內無人機應用成果展示，其中一項為民航局與中華郵政合作，在道路、橋梁中斷的假設之下，利用無人機維持郵務運送，以桃園復興區為驗證場域，吸引21家業者參與驗證，最後4家業者完成驗證。</p> <p>這項驗證以桃園復興郵局（介壽國中舊址）到華陵里（達觀山風景區停車場）作為驗證場域，來回飛行距離約44公里，飛行時間約60分鐘，共有4家無人機業者完成驗證，包括田屋科技、經緯航太、泰世科技、樂飛。</p> <p>國內陸續測試無人機在物流的應用，其中在郵務方面，在政府支持下，期望透過無人機，降低在偏鄉山區的郵務投遞成本。中華郵政先前也在新竹尖石鄉測試無人機物流投遞，在超過25公里的山區固定路線，利用無人機，為偏鄉山區投遞郵件、口罩、快篩試劑。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">印度</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font> </strong></p> <p><span style="font-size: 22px;"><b>南韓首爾試辦自駕巴士上路，開放民眾免費試乘</b></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/free-bus.jpg" style="width: 750px; height: 491px;" /></p> <p>南韓首爾市政府近期與業者合作試辦的自駕巴士上路，在首爾市清溪川地區，開放民眾免費試乘自駕巴士，目前已有3輛自駕巴士上路，行駛在3.4公里的距離，並接受民眾以手機App免費乘坐巴士。</p> <p>這些自駕巴士採用鏡頭與雷射感測，和傳統的巴士外觀不同，自駕巴士採圓潤的外觀設計，儘管標榜自動駕駛，但考慮到在市區行駛途中可能的突發狀況，每輛自駕巴士都有隨車的人類安全駕駛陪同。</p> <p>自駕巴士也採用大面積的觀景窗設計，方便乘客在行駛途中瀏覽清溪川的景色，3輛自駕巴士將20分鐘的間隔在兩個巴士站行駛。首爾市政府期望透過這項試辦推廣自動駕駛的公共運輸服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物聯網</span></font> </strong></p> <p><span style="font-size:22px;"><strong>高雄市利用IoT打造水利監測平臺，監測水情降低淹水風險</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/202212290.jpg" style="width: 600px; height: 450px;" /></p> <p>因氣候變遷導致極端氣候，短時間內強降雨容易造成淹水災情，高雄市為降低水患，市府水利局在去年推動一項水利監測計畫，在愛河支線寶珠溝排水，建置高密度的感測元件，涵蓋雨水下水道、區域排水系統、路面等，結合感測資料及氣象資料，利用監測平台蒐集的大數據資料，結合淹水模式分析，作為市府防汛決策參考，以降低淹水風險，提升對災害的應變能力。</p> <p>水利監測計畫在雨水下水道、區域排水系統、路面建置的感測器，均透過NB-IoT回傳感測數據，在道路方面，也利用路口監視器，透過4G傳輸影像，利用影像辨識判別道路淹水情形，統一送至智慧防汛密網監測平臺，從數據蒐集、大數據分析、淹水原因判斷到發布警戒。</p> <p>目前高雄市政府投入9千萬元經費，布建更多雨水下水道的感測器，提高對雨水下水道的監測密度，以將更多的下水道水位數據匯整至監測平臺。</p> <p> </p> <p>圖片來源／彰化縣政府、高雄市政府、首爾市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.美國防部與AWS、微軟、甲骨文等雲端業者合作，以雲端強化韌性、資源共用</strong></p> <p><strong>2.伊朗用臉部辨識，偵測女性是否違反伊斯蘭服裝規定</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2023/1/15 14:53作者蘇文彬https://www.ithome.com.tw/news/155147
Cloudflare與微軟合作擴大零信任整合，提升應用程式身分驗證自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/expanding-our-collaboration-with-microsoft-proactive-and-automated-zero-trust-security/">Cloudflare與微軟擴展合作夥伴關係，提高零信任解決方案的可用性</a>，藉由進一步整合Azure AD和Cloudflare Zero Trust，提供4項新功能藉此提高零信任功能的自動化程度。Cloudflare與微軟在零信任上的合作，使得共同用戶可以在不影響效能的情況下，在混合工作環境獲得無縫應用程式存取體驗。</p> <p>新的整合功能包括支援對每個應用程式的條件性存取，Azure AD用戶現在可以在Cloudflare Zero Trust中使用現有的條件存取政策。Azure AD讓用戶能夠使用Conditional Access，對應用程式和用戶實行政策，控制應用程式的存取，Cloudflare Access現在支援針對每個應用程式的Azure AD條件存取政策，使安全團隊在Azure AD中定義的安全條件，也能在Cloudflare Access中執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2(50).png" style="width: 580px;" /></p> <p>另外，共同用戶現在可以啟用跨網域身分管理系統（SCIM）用戶和群組配置功能，在Cloudflare Zero Trust開始可以自動同步Azure AD群組，管理員在Azure AD對政策群組的任何變更，都會立刻在Cloudflare Access可用，當用戶在Azure AD遭取消配置時，Cloudflare Access和Gateway上的存取權限都會即時被撤銷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3(47).png" style="width: 580px;" /></p> <p>第3項整合功能則可讓Cloudflare迅速隔離高風險使用者，藉由整合Azure AD群組和Cloudflare瀏覽器隔離功能，當終端使用者在Azure AD上被歸類為高風險時，Cloudflare便會利用此訊號，自動隔離這些使用者的流量，因此高風險使用者便會以更為安全且隔離的瀏覽器存取資源。只要用戶從高風險被轉移到低風險，就不再受到適用高風險用戶的隔離政策約束。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4(34).png" style="width: 580px;" /></p> <p>第4項零信任整合則是針對政府雲端用戶，能夠運用Azure AD集中式身分和存取管理，在Cloudflare實現更好的安全性。用戶經Azure AD身分驗證後，就能夠連接到Cloudflare全球網路來獲得額外的安全保護，流量將不會經過網際網路。</p> <p>之前Cloudflare與微軟的零信任合作，已經解決了兩個重要問題，分別是對本地端舊應用程式的存取，使得企業能夠使用SSO身分驗證，集中管理對本地應用程式的存取，另一個問題則是針對在Azure上運作的應用程式，用戶可以藉由Azure AD與Cloudflare Zero Trust整合，使用Azure AD憑證進行身分驗證，並利用Cloudflare應用程式連接器，存取在Azure上運作的應用程式。而現在雙方進一步整合零信任解決方案，更加提升身分驗證的方便性。</p> </div></div></div>
2023/1/13 23:17作者李建興https://www.ithome.com.tw/news/155155
電子錢包MetaMask警告用戶網址下毒新興詐騙手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/MetaMaskSupport/status/1613255316870729728" target="_blank">知名電子錢包MetaMask App開發商本周提醒用戶</a>一種名為網址下毒（address poisoning）的新興詐騙手法，呼籲小心被清空錢包帳戶。</p> <p class="rtecenter"><a href="http://twitter.com/MetaMaskSupport/status/1613255316870729728" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0113-MetaMask-scam-Address%20Poisoning.png" style="width: 500px;" /></a></p> <p><a href="https://metamask.zendesk.com/hc/en-us/articles/11967455819035-Address-poisoning-scams" target="_blank">MetaMask說明</a>，網址下毒是利用電子錢包網址以16進制位元組成、複雜難記的特點，以及一般人使用copy and paste直接取用交易記錄的習慣達成的攻擊手法。當使用者從自己的電子錢包傳送一筆交易給友人，攻擊者可以監看特定幣別（如穩定幣）交易，再利用網路上隨手而得的vanity網址產生器，產製一個近似用戶（或用戶友人）的電子錢包網址。這個通常是頭、尾數個字元和用戶錢包網址相同。</p> <p>之後攻擊者從這個新成立的帳號傳送極少錢，或0元交易到使用者電子錢包，這個帳號的網址也會留存在用戶交易記錄中。由於MetaMask在交易記錄使用短網址，用戶只看得到頭、尾幾個字元。從短網址上看，和真實錢包網址一模一樣，此時已經被下毒。</p> <p>下次用戶交易時，極可能copy and paste從交易記錄複製到攻擊者持有的電子錢包，而將資產（加密貨幣）轉給攻擊者，因為一般人可能只會注意頭尾幾個字元。基於區塊鏈上的交易不可逆，轉出去的這筆錢也拿不回來。</p> <p>MetaMask建議，用戶應小心檢查交易的電子錢包，最好檢查每個字元，或使用硬體電子錢包，因為此類電子錢包會要求使用者檢查並確認網址。另一個方法是將常用的電子錢包網址加入聯絡人資料，以減少複製到惡意錢包的風險。最後，MetaMask建議先進行一次小額交易測試，確認安全後再進行大筆交易。當然，缺點是用戶必須支付2次gas fee手續費。</p> <p><a href="https://twitter.com/patriota_eth/status/1613532408984358914" target="_blank">一名用戶則建議</a>在電子錢包網址中使用ENS網域（.eth），它具有人類可辨識性（如bob.eth, Alice.eth），因此用戶無需檢查所有位元，使詐騙電子錢包無所遁形。</p> </div></div></div>
2023/1/13 22:32作者林妍溱https://www.ithome.com.tw/news/155168
空中巴士運用蜻蜓仿生科技開發客機自動駕駛技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>空中巴士（Airbus）以蜻蜓作為技術靈感，開發自動飛行技術，官方提到，<a href="https://www.airbus.com/en/newsroom/stories/2023-01-could-the-humble-dragonfly-help-pilots-during-flight">Airbus UpNext DragonFly展示飛行器</a>已經進入最後三個月的測試階段，他們會測試DragonFly的飛行路徑選擇能力、自動降落技術以及駕駛員輔助技術。空中巴士預計要把DragonFly技術用於緊急操作上，當機組人員無法控制飛機時，DragonFly將負起重責大任，將飛機重新導航至到最近的機場並且安全著陸。</p> <p>Airbus UpNext是一項未來客機計畫，開發工程師透過展示飛行器評估、改進並驗證突破性飛行技術，開發能夠規模化應用的技術，目前Airbus UpNext在法國、德國和西班牙都有據點。</p> <p>過去空中巴士就曾參考自然界生物構造，以提升飛行器的性能，像是翼尖設計參考鯊魚鰭形狀，可有效減少阻力，而fello’fly飛行展示器則模仿雪雁的飛行隊形提高的飛行能力，現在空中巴士參考蜻蜓的飛行特徵，要進一步提升飛行器的安全性。</p> <p>官方提到，展示飛行器DragonFly模仿蜻蜓的超廣視野，以及蜻蜓辨識地標，以確定自己領地邊界的能力。空中巴士將這些特徵加入到飛行器設計中，使得飛行器能夠辨識地景中的特徵，使系統能夠辨識周圍環境，並且安全地操縱飛機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-01-13%20%E4%B8%8B%E5%8D%883_04_46.png" style="width: 580px; height: 480px;" /></p> <p>DragonFly為一個安全飛行和降落的解決方案，當機組人員無法控制飛機，機載系統能夠偵測問題，並且接管飛機自動降落到最合適的機場。DragonFly系統在飛行過程整合所擷取的資料和大量飛行資訊，以作出最佳決策，像是選擇最適合的飛行路徑。DragonFly系統會參考天氣、飛行區和地形等外部條件，並且持續與交通管制和航空公司營運中心連線，確保安全航行。</p> <p>官方提到，DragonFly系統搭載先進的感測器和軟體管理飛行和降落操作，能夠在全世界任何的機場安全自動降落。參考自蜻蜓敏銳的視覺能力，DragonFly飛行器搭載了感測器、電腦視覺演算法和導航運算功能，有能力在低能見度和惡劣天氣情況下降落，這項新的降落技術，甚至可以根據飛行員的飛行技巧自訂，減輕飛行員在緊急情況的額外程序。</p> <p>DragonFly同時也展示了飛行員輔助技術，能夠協助基礎人員執行滑行引導和指令，執行包括導航、監控等工作，使得機組人員可以將注意力放在更重要的任務上。接下來空中巴士將進行DragonFly最後的測試，供空中巴士確認該技術，並整合至未來的計畫中。</p> </div></div></div>
2023/1/13 22:41作者李建興https://www.ithome.com.tw/news/155151
Evozyne和Nvidia合作開發蛋白質生成性AI模型，大幅加速藥物開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門研究蛋白質的生技公司<a href="https://www.evozyne.com/news/evozyne-creates-ai-model-with-nvidia/">Evozyne和Nvidia合作</a>，開發生成性人工智慧模型來設計高品質蛋白質，不只加快藥物設計，同時還能將其用於環境永續目的。Nvidia在J.P. Morgan健康保健會議上發表了這項新技術，講述研究人員使用預訓練模型，創造醫療用途蛋白質的方法。</p> <p>Evozyne使用Nvidia預訓練人工智慧模型ProtT為基礎，開發出新的深度學習模型，ProtT為Nvidia BioNeMo藥物研發雲端服務中的Transformer模型，Evozyne將ProtT當作模型的核心，結合變分自動編碼器（Variational Autoencoder），創建出稱為ProT-VAE的蛋白質開發模型。研究人員提到，他們使用BioNeMo低成本地執行模型，能夠在幾秒鐘內產生數百萬個氨基酸序列。</p> <p>ProT-VAE讀取數百萬種蛋白質氨基酸序列，使用和神經網路理解文字相同的技術，了解組裝這些蛋白質的方法，學習蛋白質功能的規則，並使用這些規則來設計具進階功能的新蛋白質。Evozyne聯合創辦人提到，這個方法能夠創建比目前自然界所發現，功能更好的蛋白質，並且針對難以治癒的疾病壓縮藥物研發時間。</p> <p>傳統的蛋白質工程使用定向演化（Directed Evolution）的方法，模仿自然界選擇的過程，將蛋白質或是核酸導向使用者定義的目標，這過程既複雜又耗時，需要對基因進行數輪迭代誘變，分離出需要的成員，並且替下一輪迭代生成模板，這項工作會在生物體內或是體外進行，而通常一次只能改變數個氨基酸序列</p> <p>而ProT-VAE運用機器學習方法，產生可用於新療法、能源、材料等合成功能性蛋白質，在這項研究的初期，Evozyne鎖定PAH基因殘缺所造成的疾病，由於PAH基因能夠指示身體製造苯丙氨酸羥化酶（Phenylalanine Hydroxylase），當該基因有缺陷時便會導致遺傳性疾病苯丙酮尿症。</p> <p>研究人員運用ProT-VAE合成出苯丙氨酸羥化酶變體，在實驗室測試證明，其中幾種苯丙氨酸羥化酶變體的效能，比天然產生的酶效率還高達到2.5倍，這些蛋白質有望成為潛在基因療法，替代患者身體缺失的消化酶。</p> </div></div></div>
2023/1/13 23:10作者李建興https://www.ithome.com.tw/news/155152
國外論壇販售華航會員資料，外洩名單包含賴清德、張忠謀和林志玲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>個資外洩又一遭。在國外論壇中，駭客正在「揭露」華航會員資料，駭客同樣以擠牙膏的方式，先後於今年1月4日和1月11日，陸續釋出10筆和50筆，總計60筆包括臺灣知名的政界、商界、明星和名嘴等知名人士的資料，外洩資料除了華航的會員編號外，還有中英文姓名、出生年月日、電子郵件和手機等個資欄位。</p> <h2><strong>駭客揭露華航會員資料，鼓勵個資遭外洩成員向華航提出集體訴訟</strong></h2> <p>不過，這次駭客揭露華航會員資料有一個很有趣的現象，以往都會伴隨販售金額，但這兩次揭露的資料中，都沒有提供販售金額，反而在兩次發文中都提到，因為華航遲遲不肯承認外洩個資，所以接下來會持續公布華航入侵路徑、華航所有系統清單，以及300萬名會員的資料庫內容。駭客也知道臺灣有<a href="https://www.consumers.org.tw"><span style="color:#FF0000;">消基會</span></a>，可以協助外洩個資的會員提出團體訴訟。駭客發文提到，因為華航必須符合歐盟最嚴格個資法GDPR規範，一旦成功提出訴訟，每個人還可以獲得16.6美元（新臺幣498元）至666美元（新臺幣19,980元）的賠償。</p> <p>匿名的資安專家表示，從這種駭客的異常行為來看，目前並不排除這可能是駭客原本要勒索華航、但華航不願意支付贖金後，所以駭客就藉由揭露部分會員資料的資料，藉此威脅華航同意支付贖金。但就目前的資訊仍曖昧不明，多止於猜測而已。</p> <h2><strong>華航外洩會員名單從政界、商界、名嘴到明星都有</strong></h2> <p>此次外洩名單都是臺灣的知名人物，除了少數名單沒有手機的資料外，資料都非常完整，像是副總統賴清德、台積電創辦人張忠謀和大家熟悉的志玲姐姐的資訊都在揭露名單中。</p> <p>外洩的政治人物名單包括中央政府官員：副總統賴清德、交通部長王國材、內政部政務次長陳宗彥、衛福部疾管局副署長莊人祥及羅一鈞，外交部長吳昭燮、駐美代表蕭美琴等人。</p> <p>地方政府外洩名單則有，已經卸任的臺北市長柯文哲、臺北市副市長黃珊珊、桃園縣長鄭文燦；現任高雄市長陳其邁、桃園縣長張善政、新竹市長高虹安、屏東縣長周春米等人。</p> <p>另外外洩名單還包括現任立法委員：萬美玲、高嘉瑜、賴士葆、柯建銘、葉毓蘭、費鴻泰、陳瑩、許淑華、邱議瑩、何志偉、范雲、陳明文、江啟臣等人。</p> <p>商界人士幾乎都是重量級人士，包含：中華電信董事長謝繼茂、台積電創辦人張忠謀、台積電現任董事長劉德音、鴻海創辦人郭台銘、鴻海現任董事長劉揚偉、富邦金控董事長蔡明忠、聯發科董事長蔡明介、台達電董事長海英俊、台塑總裁王文淵、統一集團董事長羅智先。</p> <p>另外名單則有名嘴包括：周玉寇、陳文茜、謝震武、趙少康、于耘捷（即于美人本名）、郭正亮、吳子嘉、王浩宇、黃敬平、童文薰等人。</p> <p>明星部分則包括：林志玲、徐熙娣（小S）、徐若瑄、楊謹華、隋棠、胡盈禎（小禎）和防疫女神賈永婕等人。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E8%88%AA%E5%A4%96%E6%B4%A9-2_%E7%A2%BC(1).png" style="width: 518px; height: 1200px;" /></p> <blockquote><p>國外論壇第二波外洩的華航會員名單中，包括中央和地方政府人士，臺灣知名大企業家，以及家喻戶曉的明星和名嘴等人，都在外洩清單中。駭客沒有待價而沽，反而知道臺灣有消基會可以協助個資外洩的華航會員，提出集體訴訟向華航求償，賠償金額約新臺幣500元～2萬元之間。</p> </blockquote> <p> </p> <p> </p> </div></div></div>
2023/1/13 20:26作者黃彥棻https://www.ithome.com.tw/news/155167
英特爾推出時脈速度達6 GHz的桌面電腦處理器i9-13900KS，售價699美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在發表最新工作站與伺服器用<a href="https://www.ithome.com.tw/news/155108">第4代Xeon Scalable處理器</a>之後，也發表了其最新的桌面電腦處理器<a href="https://www.intel.com/content/www/us/en/newsroom/news/13th-gen-intel-core-i9-13900ks-now-available.html">第13代Core i9-13900KS</a>，開箱即可達6 GHz最大睿頻時脈速度，官方提到，i9-13900KS是目前市面上最快的桌面電腦處理器。</p> <p>英特爾使用其Thermal Velocity Boost技術，使得i9-13900KS能夠無需超頻，即可達到6 GHz的最大睿頻時脈速度，i9-13900KS同樣也配備Adaptive Boost技術，在電流、工具和溫度有餘裕的時候，CPU可以增加全核心睿頻頻率，在溫度100°C之下加速運作。i9-13900KS擁有24個核心以及36 MB智慧快取，記憶體速度最高可支援DDR5 5600 MT/s和DDR4 3200 MT/s。</p> <p>第13代英特爾Core i9-13900KS在1月12日上市，建議售價為699美元。</p> </div></div></div>
2023/1/13 22:00作者李建興https://www.ithome.com.tw/news/155148
安碁揭露臺灣公務機關資安現況：上傳漏洞和SQL Injection是大宗資安事件主因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="contentsContainer"> <div id="contents"><qowt-section id="E145" named-flow="FLOW-2" qowt-eid="E145"> <p id="E193" is="qowt-word-para" qowt-eid="E193" qowt-entry="undefined" qowt-lvl="undefined">安碁資訊是臺灣重要的SOC（資安維運中心）和資安服務業者，而其客戶當中有65％是政府部門，35％是民間企業；不過，該公司協助客戶處理的資安事件，有高達9成的比例是協助政府部門處理資安事件，只有1成是民間企業。也因此，他們協助客戶處理資安事件與相關資安鑑識經驗，可說是臺灣政府部門資安事件的縮影。</p> <p></p></qowt-section></div> </div> <p>安碁資訊數位鑑識組資深經理蔡東霖日前參加一場研討會，從資安鑑識的角度，說明他們實際處理資安事件的案件類型。他表示，2022年政府部門最常見的資安事件的發生原因，通常是因為上傳漏洞和SQL Injection（SQL注入）攻擊造成，第二至四名依序為勒索軟體、詐騙信件、網路設備漏洞。</p> <p>但他也說，駭客往往會利用網路設備漏洞進行跳板攻擊或做到內部橫向移動，即使相關資安事件數量不及漏洞上傳或SQL Injection，卻對政府或企業內部的危害甚大。</p> <p>至於其他常見發生資安事件的原因，他指出，詐騙信件多是偽造政府單位信件，誘使收件者點開；網路設備漏洞則以駭客利用Fortinet和F5的網路設備漏洞為主；至於癱瘓網站服務的DDoS（分散式阻斷式）攻擊，則是特定時間點才會出現的攻擊形式，例如2022年8月美國眾議院議長裴洛西美國眾議院議長裴洛西訪臺時，就曾出現多起DDoS攻擊；偶爾會出現的資料外洩，則週期性的常見於網路賣場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-01-2022%E5%B9%B4%E5%AE%89%E7%A2%81%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E8%99%95%E7%90%86%E9%A1%9E%E5%9E%8B(2).jpg" style="width: 600px; height: 336px;" /></p> <blockquote><p>安碁資訊是臺灣重要的資安維運中心（SOC）和資安服務業者，在2022年協助客戶處理的資安事件中，有高達九成市政府機關，其中最大宗資安事件原因是上傳漏洞和SQL Injection。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>駭客利用網路設備漏洞進行跳板攻擊及內部橫向移動</strong></h2> <p>蔡東霖表示，從該公司協助處理的資安事件中，來源IP位址是一種可判斷攻擊是臺灣境內或是來自境外的攻擊，根據統計，2022年資安事件實際入侵的來源IP位址，過半的攻擊來源IP位址來自臺灣境內IP位址（54.4％），通常都是設備IP位址、因沒有更新而淪為攻擊者幫凶；來自國外IP位址（45.6％）大約四成五，近來他們也發現，這類活動的連線內容也帶有簡體字等識別字眼，攻擊國家則來自香港、美國等地。</p> <p>若進一步分析來自臺灣或境外來源IP位址的特色，蔡東霖表示，有80％來自臺灣，是防火牆設備或是電子郵件設備，通常是駭客利用漏洞，建立VPN連入公部門網路後，再進行跳板攻擊；若是來自境外的攻擊來源IP位址，則有90％來自VPS（虛擬專用伺服器）或是雲端IP位址。</p> <p>蔡東霖表示，這類型的攻擊通常因為設備有漏洞卻未進行修補或更新，而成為駭客可用來發動攻擊的原因。</p> <p>對許多政府部門或企業而言，有時由於未能完整盤點並掌握內部的設備，導致負責人員並不清楚有內部擁有哪些廠牌的設備時，也會造成即便廠商釋出修補程式，相關的資訊或資安部門卻不知道該去下載、套用，而出現無法即時更新的狀況；另外，也可能是設備廠商發現或被通報有漏洞後，駭客已經先利用漏洞發動攻擊，致使來不及完成漏洞修補；還有一種常見的就是設備管理介面，由於可以被外部的IP位址存取，也成為駭客可以用來攻擊的手法之一。</p> <p>蔡東霖說，這些攻擊來源IP位址，不管是來自臺灣或是境外，超過八成都與設</p> <p>備存在漏洞、來不及修補更新漏洞，而被駭客利用有關，但面對這樣的情況，更糟糕的是，他也看到有許多政府或企業內不對設備漏洞修補的態度，採取「佛系」資安：不更新、不下線、不採取緩解措施，一切都只等廠商來幫忙修補漏洞。</p> <p>他也以駭客於2022年5月，利用F5的BIG-IP設備存在CVE-2022-1388這個未經授權的RCE重大弱點為例，如果政府或企業未進行漏洞修補，而且相關設備逕行暴露在網路上，加上網路設備的網頁管理介面沒有限縮可存取的來源IP位址或通訊協定時，就可能會導致駭客得以利用F5設備作為入侵跳板，並取得內部特權帳號後進行內部橫向移動。</p> <p>他進一步解釋，相關的特權帳號，通常也發現是其他臺主機所使用的相同帳號、密碼，或是使用弱密碼的狀況；另外，安碁也發現，有些單位內部網段的主機之間可存取的通訊協定，並未透過ACL（存取控制清單）或本機防火牆做存取的限縮，致使駭客一旦進到內網後，就可以橫行無阻。</p> <p>至於臺灣的中小企業，因為缺乏足夠的IT和資安維護能力，所以駭客也會利用像是防火牆等網路設備漏洞進行跳板攻擊，再藉此攻擊其他單位。所以他認為，所有政府或企業都要注意，盤點內部有哪些設備，同時，也必須注意設備的安全性更新公告。</p> <p>至於駭客若是利用郵件系統的漏洞，也能輕易針對交易郵件加上數位簽章，偽冒成交易對象的郵件伺服器寄出，這麼一來，就容易演變成商業郵件詐騙（BEC）的攻擊。他也以微軟最常見的Exchange郵件伺服器為例，在2022年10月公布CVE-2022-41040 和CVE-2022-41082這兩個漏洞後，11月就看到很多駭客開始利用相關漏洞發動攻擊。</p> <p>蔡東霖表示，他在協助公務機關進行資安事件鑑識處理時也發現，因為某些單位長官覺得電子郵件伺服器的漏洞修補，必須獲得單位主管同意後才能進行修補，所以在漏洞未修補的空窗期，駭客就趁機修改網站設定檔，新增IIS Module，每一次重新啟動網站伺服器後，就會自動啟動後門程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-05-%E5%85%A5%E4%BE%B5%E4%BE%86%E6%BA%90IP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%AE%89%E7%A2%81%E8%B3%87%E8%A8%8A(1).jpg" style="width: 600px; height: 316px;" /></p> <blockquote><p>根據安碁資訊的統計，2022年針對臺灣發動跳板攻擊的來源IP，過半來源IP位址來自臺灣境內（54.4％），通常都是設備IP沒有更新淪為攻擊者幫凶；來自國外IP位址（45.6％）大約四成五，這類活動的連線內容也帶有簡體字等識別字眼，攻擊國家則來自香港、美國等地。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>上傳漏洞和SQL注入並非新伎倆，仍是資安事件最常見原因</strong></h2> <p>蔡東霖表示，從他協助政府資安事件鑑識處理的經驗來看，許多資安事件發生的原因，並非駭客或惡意軟體用了全新、陌生的手法而使得單位猝不及防，而是透過上傳漏洞和SQL注入來進行攻擊，這些其實都是很老舊的攻擊手法。</p> <p>上傳漏洞因為沒有對上傳檔案作嚴謹的過濾，導致使用者可以把不同檔案格式，例如ASP、JSP、PHP等可以被伺服器端執行的檔案格式，上傳到網站的目錄內，並藉此取得執行伺服器端命令的權限。</p> <p>蔡東霖指出，這些上傳的檔案或是木馬程式，經常是因為網站未過濾未經允許上傳的檔案不能上傳網站；或者是廠商未檢查原始碼，導致網站存在上傳範例原始碼；網站帳號密碼外洩，遭到駭客利用；更有些時候，則是因為網站存在上傳工具頁面，導致攻擊者可以不需要登入系統，就可以從此處存取檔案。</p> <p>為了避免面臨檔案上傳攻擊，蔡東霖建議，資安或資訊部門應該限制網站伺服器上傳目錄為不可執行，外界也不可讀取這些路徑；另外，需設定可上傳檔案格式的白名單，再判斷檔案格式的合法性；合法使用者日常所需上傳的檔案名稱和路徑，可以更改名稱或以亂數取代，圖檔則改變圖片格式。</p> <p>另外一個常見的資安事件發生原因，則是SQL Injection（SQL注入攻擊或稱資料隱碼攻擊），蔡東霖表示，這樣的資安事件發生原因，主要是使用者輸入的參</p> <p>數，未進行過濾或程式處理，大部分的網站未經過弱點掃描即上線，不過他說：「發生SQL Injection攻擊的事件雖然多，但多是不重要的系統，引起的關注較少。」</p> <p>至於攻擊者的特徵，蔡東霖表示，駭客通常知道上傳的頁面位置與用法，即便未使用某些功能的系統，攻擊者也明確知道；其他像是攻擊者雖然沒有破解帳號密碼破，卻知道網站存取的密碼；攻擊者知道特定管理者（通常是廠商）帳號的密碼；以及攻擊來源IP位址的80%，主要是來自網路設備或是VPS（虛擬專用伺服器）IP位址。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-02-%E9%98%B2%E6%AD%A2%E6%AA%94%E6%A1%88%E4%B8%8A%E5%82%B3%E6%94%BB%E6%93%8A(1).jpg" style="width: 600px; height: 313px;" /></p> <blockquote><p>為了避免檔案上傳攻擊，安碁資訊數位鑑識組資深經理蔡東霖建議，資安或資訊部門應該限制網站伺服器上傳目錄為不可執行，外界也不可讀取這些路徑。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>勒索軟體多從搜尋引擎假下載點或偽冒微軟更新</strong></h2> <p>蔡東霖表示，在公關資訊觀測站中可以發現，2022年臺灣上市櫃公司通報發生資安事件至少有8起，比起2021年的14起似乎變少，但不表示勒索軟體的威脅減少。</p> <p>他指出，該公司協助政府機關和企業應變處理勒索軟體可以分成兩大類，一種是針對使用者電腦，另外一種則是透過搜尋引擎找到假的雲端下載點、下載假的後門或勒索軟體，其中，2022年常見的勒索軟體是Magniber，主要是利用Edge 和Chrome瀏覽器傳播，偽裝成Windows 10 Update更新來散布勒索軟體。</p> <p>蔡東霖表示，他們在2022年1月就發現有駭客利用搜尋引擎，讓使用者從假的雲端網址下載惡意程式。對方通常是透過搜尋引擎，找到各種影音或漫畫瀏覽或下載網站、假的知識論壇網站，或是假冒的資料下載節點等，使用者若不慎連入這些網址，後續會從網頁背景下載惡意程式在本機端個人電腦，藉由手動執行下載後的惡意程式後，勒索軟體就將該臺電腦或是NAS儲存系統加密，若是與被加密的電腦或是NAS處在同一內網，也會同步被加密。</p> <p>針對這種勒索軟體加密電腦或儲存系統的威脅，蔡東霖認為，政府和企業應該針對共用的NAS等儲存系統，針對權限設定適當的讀、寫、刪等帳號權限，避免出現「一人加密、全公司資料遭殃」的窘境。</p> <p>另外，他也建議，偽了避免檔案遭加密後無法使用，要落實平時的資料備份外，也應該參考「3-2-1備份原則」，做到至少製作三份備份；將備份分別存放在兩種不同儲存媒體；至少一份做異地備份。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-03-%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A%E6%B5%81%E7%A8%8B(1).jpg" style="width: 600px; height: 316px;" /></p> <blockquote><p>安碁資訊協助政府部門處理的勒索軟體攻擊，主要是使用者電腦端遭到勒索軟體加密，攻擊流程則與瀏覽影音漫畫網站，背景下載惡意程式有關係。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>DDoS攻擊常見特殊時間點，防資料外洩可導入資料庫稽核</strong></h2> <p>蔡東霖表示，該公司協助處理的DDoS攻擊事件，通常是發生在特殊時刻，例如2022年8月美國眾議院議長裴洛西訪臺時，就有部分政府機關遭到駭客發動的DDoS攻擊，利用流量攻擊DNS服務，造成DNS流量塞爆或因為繁忙而無法提供服務。</p> <p>他指出，攻擊來源的IP位址，幾乎都有被OSINT（Open-source Intelligence，公開來源情資）列入惡意DDoS，或是FreeProxy的記錄，其中，包括IPv4或IPv6的攻擊IP位址都有，來源分散在世界各地。</p> <p>不過，DDoS攻擊的防護方式，主要是地端（單位本身設置）的DDoS防護設備，或者是ISP端的流量清洗，不然就是採用CDN（內容交付網路）服務，減少網路頻寬損耗、減少Web伺服器的負載，可以透過在多個中介伺服器之間的負載，協助處理DDoS攻擊流量高峰，以降低對原始伺服器的影響。</p> <p>至於資料外洩的部份，蔡東霖指出，從刑事局公布的高風險賣場可以發現，許多電商網站仍是2022年個資外洩的主要來源，但若是以外洩數量來看，有些國外論壇直接販售上千萬筆個資資料，則是外洩資料的大宗。</p> <p>目前來看，造成外洩資料的原因有很多種，但蔡東霖建議政府或企業都應該導入資料庫稽核系統（Database Activity Monitoring，DAM），監控特定資料庫是否有異常存取行為，例如找出某段時間資料庫的行為，抓出特定資料表後，看看回傳比數是否有異常，例如回傳一萬筆以上的資料就是不合理的行為，而這樣的異常可以從資料庫稽核看出。</p> <p>再者，他也認為，關注一些異常行為，就能進一步追根究柢，找出可能造成資料外洩的原因，例如，我們可以注意網站的Response Size是否有不正常的大小，當存取某個URL網址時，Response Size大於50MB就應該視為異常行為；也可以注意網站圖片的尺寸是否異常，網站圖片通常不會超過50MB，超過也可以視為異常；另外，也可以透過加密的方式保護政府或企業的機敏資料。</p> <p>造成資料外洩的可能原因則與社交工程和釣魚郵件有關。蔡東霖指出，2022年臺灣有些政府機關，收到假冒技服中心、其他資安公司名義發出的資安通報信件，安碁資訊也是被偽冒的受駭者之一。</p> <p>經過調查分析，蔡東霖也歸納出駭客攻擊流程的示意圖，首先，受駭單位部分使用者的電子郵件，已經在網路上被公開洩漏；再者，駭客寄送偽冒的資安通報釣魚由見到受駭者的電子信箱；第三，使用者如果點選釣魚郵件中的超連結，就會連結到外部偽冒的微軟Outlook Web Access（OWA）網頁頁面，或者是公務機關經常使用的Mail2000郵件登入頁面；最後，受駭者如果依照偽冒頁面的指示，輸入帳號、密碼並進行變更後，駭客就可以成功竊取使用者電子信箱的帳號密碼，作為後續攻擊之用。</p> <p>他也分析這些針對公務機關寄送的釣魚信件內文，可以發現有一些異常，例如，單號格式不正確或者使用非臺灣常見的慣用語等，都可以用來判斷釣魚郵件的真假。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-04-%E5%81%BD%E5%86%92%E5%AE%89%E7%A2%81%E9%80%9A%E5%A0%B1%E4%BF%A1%E4%BB%B6%E6%94%BB%E6%93%8A%E6%B5%81%E7%A8%8B(1).jpg" style="width: 600px; height: 322px;" /></p> <blockquote><p>安碁資訊也遭到駭客冒名，針對政府機關發送假造的資安通報，目的是要使用者點選連結後，會導引到外部偽冒的微軟Outlook Web Access（OWA）網頁頁面輸入帳號、密碼並進行變更後，駭客就可以成功竊取使用者電子信箱的帳號密碼，作為後續攻擊之用。</p> <p>資料來源：安碁資訊，2023年1月</p> </blockquote> <h2><strong>駭客攻擊手法多可躲過防毒軟體偵測</strong></h2> <p>如果綜合駭客針對伺服器端的攻擊手法，常見的手法包括：利用上傳漏洞、弱密碼和系統漏洞進行突破；或者是上傳一句話木馬；上傳防毒軟體無法偵測到的盜取密碼工具；架設加密通道；或是者橫向掃描、攻擊其他目標。</p> <p>蔡東霖認為，安碁資訊綜整2022年協助政府機關和企業處理的資安事件發現，有許多的攻擊手法，都可以躲過防毒軟體的偵測。</p> <p>他以常見利用系統弱點或應用系統上傳功能或漏洞發動攻擊為例，最常見的像是，未使用上傳功能的系統，但攻擊者卻可以明確知道具體的上傳位置；其次是上傳功能需要特定型態參數與格是，攻擊者可以完全掌握成功上傳；第三，原始碼本身就存在後門；第四，廠商可以透過VPN或直接連線遠端進行系統維護；第五，提供服務的廠商本身就有資安問題等，都有機會利用系統的漏洞或上傳功能進行攻擊。</p> <p>此外，他也從相關資安事件的處理過程，發現資安業者竟成為系統開發商偵錯與善後的角色，例如，系統發現問題補強後，往往需要再花其他時間人力去查是否還有其他漏洞；或者是系統本身的設計不安全，導致資安事件層出不窮；以及有些常見的漏洞沒有修補，像是phpMyAdmin、上傳程式等。</p> <p>還有像是資安設備未觸發或是只觸發不明顯的資安事件；資安人員需比對大量記錄才能還原受駭過程；沒有落實基本的資安管理；更有一些使用弱密碼、沒有保存Log檔、沒有安裝防毒軟體、不更新修補系統漏洞、使用共用密碼或是管理介面暴露在網路上，這些都是2022年該公司協助處理政府部門和企業資安事件時，常見的資安事件發生原因。 </p> </div></div></div>
2023/1/13 14:22作者黃彥棻https://www.ithome.com.tw/news/155149
【資安日報】2023年1月13日，SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP在本週發布了一月份的例行安全修補，總共發布12則資安通告，其中修補了4個CVSS評分達到9分以上的重大風險等級。但資安業者Onapsis認為，其中最值得關注的是CVE-2023-0014，原因是大部分該公司的用戶都可能曝露相關風險。</p> <p>又有設備的系統啟動器（bootloader）與韌體出現漏洞，以及可被利用的情況，而且這次是發生在工控系統上！有資安業者揭露西門子的可程式化邏輯控制器（PLC）設備漏洞CVE-2022-38773，並指出有上百款機種存在該漏洞。研究人員指出，這個漏洞很可能破壞PLC設備的韌體且難以復原。</p> <p>透過複製、貼上的動作，輸入與整理加密貨幣轉帳資訊的情況看，看起來很尋常，但這可能成為攻擊者鎖定的目標。加密貨幣錢包MetaMask對此提出警告，因為他們發現有人針對這種習慣進行網址中毒（address poisoning）攻擊，而導致使用者可能不慎將加密貨幣轉帳給駭客。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/fortinet-govt-networks-targeted-with-now-patched-ssl-vpn-zero-day/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet針對SSL VPN用戶提出警告，駭客利用12月修補的漏洞攻擊政府機關</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FG-IR-22-398_20230113-1656-37601.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FG-IR-22-398_20230113-1656-37601.png" style="width: 300px; float: right;" /></a>Fortinet於1月11日發布資安通告，呼籲用戶注意11月底修補的SSL VPN漏洞CVE-2022-42475，因為已出現針對政府機關與大型組織的攻擊行動，駭客打造專門鎖定FortiOS的Linux惡意軟體，並將其偽裝成Fortinet的IPS引擎元件libips.bak，並植入惡意的IPS引擎，駭客亦植入具備操縱FortiOS的事件記錄（Log）功能的惡意程式，從而在記憶體內將事件記錄資料解壓縮，並找尋特定字串刪除，然後再組合出新的檔案。</p> <p>研究人員指出，從利用漏洞的手段來看，駭客的技術相當專精，很可能具備對FortiOS作業系統進行逆向工程的能力。</p> <h3><a href="https://metamask.zendesk.com/hc/en-us/articles/11967455819035-Address-poisoning-scams"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣錢包MetaMask用戶面臨網址中毒攻擊</span></strong></a></h3> <p>加密貨幣錢包MetaMask於1月12日發出警告，他們得知有人鎖定用戶下手進行網址中毒（address poisoning）攻擊，對方利用電子錢包網址複雜難記的狀況，導致很多人使用「複製貼上」取用交易記錄，而打算從中竄改轉帳目標網址，將加密貨幣劫持到自己的錢包。</p> <p>當使用者從自己的電子錢包傳送一筆交易，攻擊者可以監看指定幣別交易，再利用網路上隨手而得的vanity網址產生器，產生近似用戶或收款帳戶的電子錢包網址。之後攻擊者再從新的錢包傳送少量加密貨幣至受害者的網址，讓受害者日後交易時，就有可能因為複製貼上而將加密貨幣轉給攻擊者。該公司呼籲使用者在執行交易時，應比對收款電子錢包的網址是否正確。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/twitter-claims-leaked-data-of-200m-users-not-stolen-from-its-systems/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對2億外流用戶資料，推特表示並非因2022年1月修補的漏洞流出</span></strong></a></h3> <p>近期傳出<a href="https://www.ithome.com.tw/news/155006">有人在駭客論壇提供2億用戶資料</a>，用戶只需支付相當於2美元的論壇代幣就能取得，推特針對此事進行調查並提出說明。該公司指出，這些資料源自<a href="https://www.ithome.com.tw/news/154902">2022年11月外洩的4億筆資料</a>，將重複項目刪除而成，且不含機密資訊，他們研判是駭客並非透過該公司於2022年1月修補的漏洞竊取。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://onapsis.com/blog/sap-security-patch-day-january-2023" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP修補旗下產品多項重大漏洞</span></strong></a></h3> <p>1月10日商用軟體大廠SAP發布本月份的例行修補，總共公布12個漏洞與提供緩解措施，風險層級最高的漏洞是CVE-2023-0016、CVE-2023-0022，CVSS風險評分都達到9.9分，前者是財務報表系統Business Planning and Consolidation（BPC）的SQL注入漏洞，攻擊者可能藉由指定的查詢指令，讀取、竄改、刪除資料庫的任何資料；後者則是商業智慧軟體BusinessObjects的程式碼注入漏洞，攻擊者可透過網路濫用漏洞，進而影響應用程式的完整性、可用性，以及機密性。</p> <p>資安業者Onapsis指出，這次SAP修補的重大漏洞裡，影響範圍最廣的應該是CVE-2023-0014（CVSS評分為9.0分），原因是該漏洞存在於NetWeaver AS for ABAP，以及ABAP平臺本身，對該公司大部分用戶造成影響。</p> <h3><a href="https://redballoonsecurity.com/siemens-discovery/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾百款西門子PLC設備存在漏洞，恐導致韌體遭到挾持</span></strong></a></h3> <p>資安業者Red Balloon Security揭露西門子可程式化邏輯控制器（PLC）設備的一系列漏洞CVE-2022-38773，存在SIMATIC、SIPLUS S7-1500產品線，攻擊者有機會藉此繞過受保護的啟動機制，從而持續執行任意的程式碼或是資料竄改，其漏洞的利用必須實際接觸設備，CVSS風險評分為4.6分。研究人員估計超過100款PLC機種會受到影響。</p> <p>資安業者指出，由於上述弱點能在設備啟動過程載入惡意韌體，而使得攻擊者能持續控制存在弱點的設備，且相關攻擊行為難以發現。對此，西門子表示不會發布更新程式，但呼籲用戶應加強管制能夠存取PLC設備的使用者。</p> <h3><a href="https://chromereleases.googleblog.com/2023/01/stable-channel-update-for-desktop.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 109，修補17項漏洞</span></strong></a></h3> <p>1月10日Google發布電腦版Chrome 109，總共修補了17個漏洞，其中CVE-2023-0128、CVE-2023-0129為高風險漏洞，前者為總覽模式（Overview Mode）的記憶體釋放後濫用（UAF）漏洞，後者則是涉及網路服務的記憶體緩衝區溢位漏洞，Google向研究人員分別發出4千美元及2千美元獎金。但這次獎勵最高的漏洞是CVE-2023-0138，此為低風險漏洞，存在於名為libphonenumber的元件，為記憶體緩衝區溢位漏洞，Google發出8千美元。</p> <h3><a href="https://blog.talosintelligence.com/vulnerability-spotlight-asus-router-access-information-disclosure-denial-of-service-vulnerabilities-discovered/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">華碩Wi-Fi路由器出現漏洞，恐導致資訊洩露與阻斷服務攻擊</span></strong></a></h3> <p>思科旗下的資安研究團隊Talos揭露華碩Wi-Fi路由器RT-AX82U的3個漏洞CVE-2022-35401、CVE-2022-38105、CVE-2022-38393，分別是身分驗證繞過、資訊洩露、阻斷服務（DoS）漏洞，CVSS風險層級為7.5分至9.0分，攻擊者可藉由發送特殊的網路請求或是封包來利用漏洞。執行3.0.0.4.386_49674-ge182230版韌體的RT-AX82U存在上述漏洞，研究人員呼籲用戶儘速更新韌體。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.infosecurity-magazine.com/news/guardian-confirms-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">衛報證實勒索軟體攻擊事件駭客竊取員工資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-claims-attack-on-australian-firefighting-service/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">澳洲消防救援隊資料外洩，疑勒索軟體Vice Society所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-mail-cyberattack-linked-to-lockbit-ransomware-operation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國郵務業者Royal Mail遭遇網路攻擊疑勒索軟體LockBit所為</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-cuba-ransomware-hacking-exchange-servers-via-owassrf-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Cuba利用OWASSRF漏洞入侵Exchange</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155133">【2023年1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155109">【2023年1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155104">【2023年1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</a></strong></strong></strong></p> </div></div></div>
2023/1/13 16:47作者周峻佑https://www.ithome.com.tw/news/155154
5G趨勢月報第38期：數位部擬在今年第一季完成2家業者低軌衛星頻率申請審查；5G讓淡水專科醫生可為尖石鄉民眾遙控超音波…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>2022年11/30~2023年1/06精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位發展部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>已有2家業者提出國內低軌衛星頻率申請，數位部：第一季完成審查</strong></span></p> <p>政府去年底開放低軌衛星頻率申請已截止，目前已有2家業者提出申請，分別為隴華電子及愛爾康資料處理，數位發展部透露已成衛星固定通信用無線電頻率審查會，1月將對2家業者，就其申請資格、網路設置、營運計畫等，和NCC共同審查，確保符合消費者權益保護、資通及國家安全，最快於今年第一季完成審查。</p> <p>根據申請的文件，提出申請的2家業者中，隴華電子計畫與Hughes合作，採用歐洲的衛星通訊服務商Eutelsat，提供衛星服務陸地固定地點及船舶；另一業者愛爾康則和歐洲衛星業者SES合作，使用O3b衛星，提供衛星通信服務給陸地固定地點、船舶及航空器。</p> <p>數位部指出，衛星通訊具有涵蓋範圍廣的優勢，可加強海上、離島、山區等地訊號涵蓋，也能作為公眾電信網路的備援，確保通訊網路在各種緊急狀況發生時，仍可通過同步、非同步軌道衛星，強化我國通傳網路的韌性。另外，也能作為降低普及通訊服務成本，提升民眾使用通傳服務的機會，同時提供航空器、船舶寬頻網路服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>工研院</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>工研院秀5G遠距診療新成果，突破距離限制，淡水醫生可為尖石鄉民眾作遠距腹部超音波遙控掃描</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_7142.jpg" style="width: 600px; height: 399px;" /></p> <p>偏鄉居民遠距診療再進一步! 工研院近期與資策會、宏達電等廠商共同展示5G遠距腹部超音波診療成果，結合5G網路的高速傳輸、低延遲、廣連結特性，由淡水馬階醫院醫生為新竹尖石鄉的居民進行遠距腹部超音波遙控掃描檢查。</p> <p>這項成果採用資策會、宏達電的核網及小型5G基地臺，仁寶電腦、、泰雅科技、神寶醫資、達明機械人、馬階醫院，由工研院負責系統整合、核網建置，並且根據專科醫師的需求，打造遠距腹部超音波遙控及視訊會診系統。</p> <p>為了讓遠端診療接近傳統的現場診療，淡水馬階醫院的胃腸肝臟科醫生透過3D力回饋遙桿，遠距操作在新竹尖石鄉的診療室的超音波掃描系統，從遠端遙控病人端的機械手臂動作，機械手臂上配備無線超音波探頭，包括壓力及距離感測器，以控制在安全距離下進行超音波掃描。病人端方面則以高畫質攝影機，除了讓遠端的醫生觀察病人的狀況之外，還讓醫生可觀看機械手臂移動情形、病人反應，超音波診察結果，透過視訊攝影機作醫病雙向溝通。</p> <p>根據馬階醫院參與測試的醫生表示，測試過程中不因尖石鄉高山地形影響網路品質，沒有發生斷網或延遲的問題，影像傳輸品質。透過遠距診療的推廣，跨越空間的阻隔，未來希望能號召更多有意願的醫師加入偏鄉醫療。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>巡防</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信推5G智慧巡防系統，助警方巡邏透過AI快速辨識可疑車輛、傳輸即時影像</strong></span></p> <p>中華電信積極推廣5G應用，其中一項行動即時影像服務，為結合5G與AI推出5G巡防系統，在毫秒反應時間內，快速比對黑名單或失竊贓車名單，協助警政單位加強治安維護及犯罪偵防工作。</p> <p>傳統上，員警在路邊巡邏是利用警用行動載具的M-Police，輸入車牌號碼逐一比對，這項行動即時影像服務，利用5G的高速傳輸，利用巡邏車鏡頭，經過AI辨識比對車號，目前辨識率已達95%，當辨識到可疑車輛，經由與鏡頭連線的手機發出警示音，員警按下螢幕圍捕鍵後，就能對逃逸的車輛追緝，巡邏車的即時影像、行進軌跡也會自動送至後方的勤務指揮中心，方便追蹤及調度警力。</p> <p>目前桃園市警局已經導入AI巡防系統至導入各派出所、各警分局偵查隊、保安、刑事警察大隊等，作行動車牌辨識、即時影像傳輸、巡邏軌跡、緊急通報等，結合後方的勤務指揮中心調度警力分配。中華電信表示，該服務可採訂閱制，彈性調整採購量，目前也向各縣市推廣。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信展示5G新生兒照護系統，靠5G與穿戴裝置確保新生兒健康</strong></span></p> <p>近期在一項醫療展覽活動中，中華電信與陽明交大共同展示5G智慧醫療應用，新生兒遠端智慧監測系統，結合通過TFDA認證的新生兒專用穿戴裝置，包括血氧計、體溫計，利用5G網路將數據上傳至雲端，照護人員透過App、監測平臺，可隨時監測新生兒的心率、血氧、體溫等生命徵象變化，當系統偵測到異常數據時也會發送警示，由AI判斷異常可能發生的原因，協助醫療人員、新生兒父母及時處理。</p> <p>這套照護系統可以針對高危險的新生兒加強照護，即使出院後，父母也能透過互動視訊與院方諮詢，提高對新生兒的照護。目前該系統已於去年6月在北榮新生兒病房上線。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>市場</b></span></font></p> <p><span style="font-size:22px;"><strong>國內5G用戶數達654萬，平均每4人便有1名5G用戶</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wen_bin_-5gsh.jpg" style="width: 600px; height: 263px;" /></p> <p>國內5G開臺已有2年多的時間，根據NCC最新公布數據，截至2022年11月為止，國內5家業者合計共有約654萬用戶，5G人口滲透率約28%，平均每4人中便有1名5G用戶。各家業者5G用戶數方面，以中華電信最多，將近有240萬5G用戶，其次是遠傳的173.3萬，台灣大哥大為146.8萬。三大電信業者之外，亞太電信擁有27.8萬5G用戶，台灣之星為67.4萬。</p> <p>從個別的電信業者來看，3大電信旗下行動用戶的5G用戶佔比皆超高20%，以遠傳表現較佳，佔比約為24%，中華電信將近22%，台灣大哥大則是約20%；相較之下，用戶規模較小的亞太電信與台灣之星，亞太電信約13%，至於台灣之星的5G用戶佔比為25%。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高通</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>高通發表Snapdragon衛星方案，下一代旗艦Android手機將支援衛星通訊</strong></span></p> <p>高通（Qualcomm）將為下一代旗艦級Android手機提供衛星通訊功能，高通在美國CES上發表Snapdragon Satellite方案，將和銥衛星（Iridium）合作，提供手機雙向衛星傳訊功能，未來將支援全球行動傳訊功能，來實現全球連網。</p> <p>高通指出，Snapdragon Satellite方案支援5 NTN非地面網路，搭載Snapdragon 5G數據機射頻系統，並可透過銥衛星具氣候韌性（Weather resilient）的L頻段，進行上下鏈傳輸，提供全球覆蓋的通訊服務，包括在緊急狀態下使用雙向傳訊、SMS簡訊傳送，或其他傳遞訊息應用程式。為偏遠地區或海上提供緊急通訊或娛樂。該方案不只是手機，也可用於筆電、平板電腦、汽車或是物聯網。</p> <p>高通預告將從Snapdragon 8 Gen 2行動平臺的裝置開始，支援衛星緊急通訊功能的智慧型手機，將在2023年下半年在特定區域推出。目前銥衛星約有66個衛星及9個在軌備用衛星，涵蓋全球。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>南韓</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>頻譜</b></span></font></p> <p><span style="font-size:22px;"><strong>投資不夠，南韓撤回KT與LG U+的28GHz頻率使用執照</strong></span></p> <p>因業者對28GHz未建置足夠的基地臺，南韓政府決定撤回KT與LG U+兩家電信商的28GHz頻段使用執照。根據媒體報導，南韓政府提供另一家電信業者SK緩刑期，需在2023年5月底之前建置28GHz頻段約1.5萬座基地臺，否則也會失去使用該頻段的權利。</p> <p>南韓是在2018年釋出3.5GHz與28GHz，供電信業者建置5G服務，並要求業者建置達到一定數量的基地臺，其中3.5GHz需建置2.25萬個基地臺，而較高頻的28GHz頻段需建置1.5萬座基地臺。儘管SK、KT、LG U+在3.5GHz頻段方面都達到建設基地臺的數量要求，但在28GHz頻段方面卻未達標。</p> <p>南韓是全球較早推出5G商用服務的地區之一，三家電信業者在2019年即推出5G服務。</p> <p> </p> <p>圖片來源／工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.三星建議6G頻譜應納入1GHz到300GHz頻段</strong></p> <p><strong>2.遠傳與高雄市警局聯手，以5G SA網路切片支援智慧巡邏車，可辨識行駛車輛車牌、回傳現場影像</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2023/1/13 15:32作者蘇文彬https://www.ithome.com.tw/news/155150
傳Google、Nvidia加入Sony陣營，反對微軟收購動視暴雪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與遊戲出版商動視暴雪（Activision Blizzard）的687億美元收購案再添反對力量。<a href="https://www.bloomberg.com/news/articles/2023-01-12/google-nvidia-express-concerns-to-ftc-about-microsoft-s-activision-deal" target="_blank">彭博報導Google及Nvidia將加入Sony</a>，阻止這樁收購案的發生。</p> <p>去年初微軟宣布收購發行《魔獸世界》、《暗黑破壞神》（Diablo）、《決勝時刻》（Call of Duty）等熱門遊戲的發行商動視暴雪，引發微軟競爭者的托拉斯疑慮。Sony首先發難指出，一旦收購完成，將導致消費者棄Play Station轉投微軟Xbox。去年繼英國競爭市場管理局啟動調查，<a href="https://www.ithome.com.tw/news/154634" target="_blank">美國聯邦交易委員會（FTC）也在12月對微軟提告</a>，希望阻撓收購。</p> <p>彭博引述消息人士報導，在FTC官司一案中，Google及Nvidia分別提供資訊強化FTC的反對證詞。消息人士指出，Nvidia目前仍不願直接出面反對收購案，僅透過協助FTC重申娛樂內容同等及開放取用的重要性。</p> <p>Google推出了Stadia線上及串流遊戲平臺，其Play Store也有大量遊戲應用程式，雖然Stadia即將在本月18日關門大吉。而Nvidia也經營了串流服務GeForce Now，都可能因微軟不授權《決勝時刻》等遊戲受到重傷。</p> <p>FTC控告微軟的理由正在於，微軟可能限制動視暴雪熱門遊戲在其他訂閱服務平臺、遊戲機上執行。微軟聲稱這件事不會發生，保證會持續授權Sony PS、任天堂及Steam等平臺。<a href="https://www.theverge.com/2022/12/5/23494886/microsoft-sony-10-year-call-of-duty-deal" target="_blank">微軟並於去年12月提供Sony《決勝時刻》10年授權</a>。</p> <p>目前雖然英國和美國還亟力阻止，但包括巴西、沙烏地阿拉拍、塞爾維亞等國主管機關已經核准了這樁收購。</p> </div></div></div>
2023/1/13 12:57作者林妍溱https://www.ithome.com.tw/news/155146
OpenAI測試ChatGPT付費版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discord.com/channels/974519864045756446/977259063052234752/1062169050827984956" target="_blank">以ChatGPT引發對話式AI風潮的OpenAI本周暗示</a>ChatGPT將推出收費版ChatGPT專業版，並準備開放企業試用。</p> <p>OpenAI指出，他們開始思考如何利用ChatGPT獲利以確保支持長期發展，暗示即將對ChatGPT收費。OpenAI預計收費版將稱為ChatGPT Professional，<a href="https://docs.google.com/forms/d/e/1FAIpQLScwuQEWBkxsNftEkvUgFx2Ov7pKcrOx8IUlZ241lvet7ziXCQ/viewform" target="_blank">為此該公司也推出一個前導測試的排隊名單網頁</a>，當中說明專業版的功能，包括永遠可用（沒有停止服務時間）、ChatGPT快速回應（沒有流量管制限制），以及不限次數問答（每日數量是現在的至少2倍）。</p> <p>想要試用的用戶必須登記電子郵件、所在國家、個人或企業、主要用途以及對訂價的期望等問題，獲得遴選才能參與測試。OpenAI也提醒，這個測試也是實驗性質，此時也不開放付費版，未來也可能有變化。</p> <p>和Google旗下的DeepMind類似，OpenAI雖然以其AI技術搏取不少新聞版面，但仍然苦於無法有效獲利。不過目前有不少公司對投資OpenAI表達高度興趣，包括微軟。繼2019年的10億美元投資外，<a href="https://www.semafor.com/article/01/09/2023/microsoft-eyes-10-billion-bet-on-chatgpt" target="_blank">上周有報導指出</a>，微軟計畫再投資100億美元。</p> </div></div></div>
2023/1/13 11:22作者林妍溱https://www.ithome.com.tw/news/155145
Exchange Server 2013支援期還剩不到90天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-server-2013-end-of-support-coming-soon/ba-p/3714799" target="_blank">微軟本周提醒企業用戶</a>，Exchange Server 2013版即將在不到90天內來到生命周期終點（End of Lifecycle，EoL），而失去所有技術支援。</p> <p>Exchange Server 2013是在2013年1月9日正式釋出，但最新到期的是Exchange Server 2013 Service Pack（SP）1，為2014年2月25日釋出。<a href="https://learn.microsoft.com/en-us/lifecycle/products/exchange-server-2013" target="_blank">根據微軟的產品5年主流支援及5年延伸支援政策</a>，這個版本的主流支援已在2018年4月10日到期，並將在2023年4月11日終止延伸支援。原始Exchange Server 2013則已在2015年4月終止支援。</p> <p>微軟說明，4月11日之後，雖然Exchange Server 2013仍然能持續運作，但企業將無法獲得功能及安全更新，可能發生技術支援問題、功能問題影響伺服器穩定性及可使用性，安全問題則讓伺服器面臨安全漏洞攻擊。此外時區也無法更新。</p> <p>微軟建議用戶應儘速升級到獲支援的版本，如Exchange Server 2019或Exchange Server Online。</p> </div></div></div>
2023/1/13 10:48作者林妍溱https://www.ithome.com.tw/news/155144
關於那些軟體開發的隱喻
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-code_that_fits-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你認為開發軟體類似於建造房子，你會犯的第一個錯誤就是把它當成一個工程專案（project）。一個專案有開始和結束，一旦你到達終點，工作就完成了。</p> <p>只有不成功的軟體才會完結。成功的軟體是持久續存的。如果你有幸開發出成功的軟體，當完成一個發行版本後，你會繼續開發下一個版本，這可以持續好幾年。一些成功的軟體會持續存在幾十年。</p> <p>一旦你建好了房子，人們就可以搬進去。你需要維護它，但其成本只是建造它的一小部分。誠然，像這樣的軟體是存在的，特別是在企業領域。只要你建好了一個內部業務線（line-of-business）的應用程式，它就完成了，而使用者也就被束縛其中了；當專案完成，這樣的軟體就進入了維護模式。</p> <p>但大多數軟體並不是這樣的。與其他軟體競爭的軟體是永遠都不會完成的。如果你陷入建造房子的隱喻中，可能會把它想成是一系列的專案；你可能計畫在九個月內發行產品的下一個版本，但卻驚恐地發現你的競爭對手每三個月就發佈一次改良版。</p> <p>所以你努力地使該「專案」的時程縮短；當你終於能夠每三個月交付一次時，你的競爭對手卻達到了每月一次的發行週期。你可以看到這個的結局，對吧？</p> <p>它的結局是Continuous Delivery（持續交付）。就是這樣，或者你最終倒閉了。根據研究，Accelerate一書令人信服地論證道，區分高績效和低績效團隊的關鍵是不加思索，毫不猶豫就發佈的能力。</p> <p>若能做到這點，軟體開發專案的概念就不再有意義了。</p> <p><span style="font-size:28px;"><strong>軟體作為一種工藝</strong></span></p> <p>把軟體開發看作是一門工藝（craft），當成本質上的技術工作（skilled work），這似乎很有說服力。　</p> <p>身為一名專業的軟體開發人員，你所需要的技能往往是情境式的。學習這個特定的源碼庫之結構為何。學習如何使用那個特定的框架。忍受在生產環境中花費三天的時間來排除一個錯誤的折磨。類似這樣的事情。</p> <p>做得越多，你就越熟練。如果待在同一家公司，在同一個源碼庫中工作多年，你可能會成為一個專業的權威，但如果你決定去別的地方工作，這對你有幫助嗎？</p> <p>透過從一個源碼庫移到下一個源碼庫，可以學習得更快。嘗試一些後端開發（back-end development），做一些前端開發（front-end development）；也許嘗試一些遊戲程式設計（game programming），或一些機器學習（machine learning）。這將使你接觸到廣泛的問題，而這些問題將作為經驗積累起來。</p> <p>這與歐洲古老的journeyman years（學徒期滿的職工年）傳統驚人地相似。像木匠或屋頂工人這樣的工匠會在歐洲各地旅行，在一個地方工作一段時間後再去下一個地方。這種方式使他們接觸到解決問題的替代做法，使他們的手藝變得更好。把軟體開發人員想成這樣是很有說服力的。The Pragmatic Programmer一書的副標題正是From Journeyman to Master。</p> <p>從某種意義上說，我的「軟體工藝」那幾年是一個徹底的幻滅期。當時我認為技能只不過是積累的經驗而已。在我看來，軟體開發是沒有方法論（methodology）的，一切都取決於環境。做事情的方法沒有對或錯。</p> <p>這種觀點的問題是，它似乎並不具有規模擴充性。為了「創造」新的程式設計師，你必須把他們當作學徒，直到他們學到足夠的知識，成為了學徒期滿的職工（journeymen）。從那時起，掌握技能還需要幾年的時間。</p> <p>將程式設計視為一種藝術或工藝的另一個問題是，它也不符合現實。2010年左右，我開始意識到，我在程式設計時遵循的是啟發式方法（heuristics），即經驗法則（rules of thumb）和一些指導方針（guidelines），這些都是可以教授的。</p> <p>起初，我並沒有太注意到這點。然而，多年來，我經常發現自己處在指導其他開發者的位置上。當我那樣做的時候，我經常會制定以特殊方式編寫程式碼的理由。</p> <p>我開始意識到，我的虛無主義可能是錯誤的。也許，指導方針可能是將程式設計變成一門工程學科的關鍵。</p> <p><span style="font-size:28px;"><strong>早期的軟體工程概念</strong></span></p> <p>軟體工程（software engineering）的概念可以追溯到60年代末。它與當代的軟體危機（software crisis）有關，即人們逐漸意識到程式設計是很困難的。</p> <p>那時的程式設計師實際上對他們所做的事情有很好的把握。我們行業中的許多傑出人物都活躍在那些日子裡：Edsger Dijkstra、Tony Hoare、Donald Knuth、Alan Kay。如果你問當時的人們是否認為程式設計會在2020年代成為一門工程學科，他們可能會說是。</p> <p>你可能已經注意到，我把軟體工程的概念當作一個理想的目標來討論，而不是日常軟體開發的一個事實。世界上有可能存在一些實際的軟體工程，但根據我的經驗，大多數軟體開發是以不同的風格進行的。</p> <p>並不是只有我覺得軟體工程仍然是一個未來的目標。Adam Barr說得很好：</p> <p>「如果你和我一樣，夢想有一天，軟體工程能以一種深思熟慮、有條不紊的方式進行研究，而提供給程式設計師的指導也能建立在實驗結果的基礎之上，而非根據搖擺不定的個人經驗。」</p> <p><span style="font-size:28px;"><strong>隨著軟體工程往前邁進</strong></span></p> <p>工程師是做什麼的？工程師負責設計和監督事物的建造，從橋樑、隧道、摩天大樓和發電廠等大型結構，到微處理器等微小物體。</p> <p>程式設計師不會那樣做。軟體開發主要是一種設計活動。當我們在編輯器中輸入程式碼時，就相當於工程師在畫圖紙，而非對應到工人在建構東西。</p> <p>「真正」的工程師遵循通常會導致成功結果的方法論。這也是我們程式設計師想要做的，但我們必須小心翼翼地只複製那些在我們的環境下有意義的活動。當你設計一個實體物品，真正的建造是很昂貴的。我們不能建造一座橋，測試一段時間後才決定它不好，然後把它拆掉重新開始。因為現實世界的建造過程是昂貴的，工程師們從事計算和模擬。計算一座橋的強度比建造它需要更少的時間和材料。</p> <p>有一個完整的工程學科與物流（logistics）有關。人們從事細緻的規劃，因為那是建造實物最安全且最不昂貴的方式。</p> <p>那是工程中我們不需要複製的部分。</p> <p>但還有很多其他的工程方法論可以啟發我們。工程師也做創造性、人性化的工作，但那往往是在一個框架內結構化進行的。特定的活動之後應該有其他的活動。他們對彼此的工作進行審查和簽字。他們遵循檢查表（checklists）。你也可以那樣做。</p> <p>那就是這本書的內容。它是我發現有用的啟發式方法之導覽。恐怕這更接近於Adam Barr所說的搖擺不定的個人經驗（the shifting sands of individual experience），而不是一套有科學根據的定律。</p> <p><span style="font-size:28px;"><strong>結論</strong></span></p> <p>今日，我們擁有比五十年前先進得多的程式語言，可以存取Internet（包括以Stack Overﬂow形式出現的業界標準線上說明）、物件導向和函式型程式設計（functional programming），自動化的測試框架、Git、整合式開發環境，等等。</p> <p>另一方面，我們仍在軟體危機中掙扎，儘管已經持續了半個世紀的東西是否可以被稱為危機是值得商榷的。</p> <p>儘管做出了認真的努力，軟體開發行業仍然不像是一門工程學科。工程和程式設計之間存在著一些根本性的差異。除非我們理解這一點，否則我們無法取得進展。</p> <p>好消息是，你可以做到許多工程師做的事情。有一種思維方式，以及一系列你可以遵循的流程。</p> <p>正如科幻作家William Gibson所說：「未來已然到臨，只是分佈得不是很均勻」正如Accelerate一書所描繪的那樣，一些組織今天就使用了先進的技術，而其他組織則落在後面。未來確實是不均勻分佈的。好消息是，那些先進的理念可以自由取得。是否要開始使用它們，由你決定。<strong><span style="color:#696969;">（本文摘錄整理自《Code That Fits in Your Head》，碁峰資訊提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Code%20That%20Fits_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A-400.png" style="width: 400px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Code That Fits in Your Head：軟體工程的啟發式方法</strong></p> <p>Mark Seemann／著；黃銘偉／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Code%20That%20Fits_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span> <strong>Mark Seemann</strong></p> <p>Mark Seemann是一位平庸的經濟學家，他找到了程式設計師作為第二天職，並在90年代末開始從事Web和企業的軟體開發工作。他原本想成為一名搖滾明星(rock star)，但既沒有天賦也沒有長相，於是他成為了一名Certified Rockstar Developer。他寫過一本關於Dependency Injection的獲獎書籍，在國際會議發表過上百次演講，並為Pluralsight和Clean Coders製作過影片課程。<a href="https://www.amazon.com/stores/author/B004XYGMVK" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></a></p> </div></div></div>
2023/1/13 00:00未署名https://www.ithome.com.tw/article/155073
每個人其實都有能力實現零信任
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於<a href="https://www.ithome.com.tw/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB" target="_blank"><span style="color:#3366ff;">零信任</span></a>的概念，大家有著什麼樣的想像？這種預設都不信任的概念或是態度，其實很早就隱隱存在我們日常周遭，尤其是在威脅變得更加猖獗的情況之下，自然逐漸浮現。</p> <p>舉一個簡單的例子，當我們知道釣魚郵件、社交工程手法猖獗，因此，一遇到陌生或可疑郵件，就不會去點擊連結、不開啟附檔，這已經是一種不信任的態度。</p> <p>若要信任所要開啟的網址連結或檔案的安全，多數人都會抱持謹慎態度，存有懷疑並且想要驗證。像是透過已知的管道去查詢寄件者是否有異，或是思考為何對方要寄給自己，郵件內容是否為釣魚或詐騙，同時，還會去注意郵件夾帶的網址連結是否指向正常網頁，以及附加的檔案是否暗藏惡意程式。</p> <p>當然，在知道更多威脅手法後，考量的部分會更細，像是檢查郵件夾帶的連結，是否顯示文字與URL網址不同的情況，仔細確認網址內容，還會觀察可能偽造成與真實網址相近的釣魚連結，以及注意檔案格式，例如，可能為了避過郵件安全防護偵測，而將惡意程式藏在加上密碼的壓縮檔。</p> <p>此外，大家可能還會透過線上惡意檢查服務VirusTotal來檢測檔案與網址，做為參考，但也不全然相信安全無虞，所以，仍會做好系統與應用程式安全更新，以及執行端點安全防護機制，這些都是不可或缺的基本安全防範措施。</p> <p>甚至因為釣魚連結、惡意檔案不斷運用各式伎倆，以規避資安防護的偵測，再加上零時差漏洞可能存在系統軟體，導致被植入竊密程式或各種惡意程式的狀況。</p> <p>因此，若是全部假設皆不信任，當我們開啟可疑連結、檔案時，最好能夠選用系統環境乾淨、隔離的測試環境或VM執行，避免自己現在使用的電腦遇害，而在面對網釣威脅上，現在不只呼籲採用MFA，還要是無密碼、不受網釣攻擊影響的MFA，並且此時還是會注意能繞過MFA的Session劫持手法。</p> <p>從這樣的概念來看，大家應該能夠瞭解，以零信任的概念與態度而言，其實一直存在我們日常周遭，只是在安全與方便的權衡。</p> <p>而在企業網路安全前提之下所談的「零信任」，包含零信任模型、零信任架構（ZTA）、零信任網路安全（ZTNA），意涵更廣，不僅是基於沒有被默許的信任而成，但最終還是要設法達到信任，因此就要建構細緻的存取控制，遵循最小權限原則，透過蒐集多方即時資訊以供判斷，使每次快速持續驗證都要基於動態風險評估後才放行（判斷及驗證速度也要夠快夠方便才具實用性），透過整個架構與機制來提升安全強度。</p> <p>其目的是要扭轉過往「外網危險、內網安全」的制式防護型態，而是要假設網路入侵事件已經發生，因此，我們要將內外安全防護一致作為最主要的考量，最終達到降低資料外洩、橫向移動攻擊機率的目的。</p> <p>那麼，前述提到的郵件安全情境當中，是否也能套用零信任架構，進而達到郵件安全零信任呢？或是應用到其他領域呢？</p> <p>前幾年，我們看到電子郵件安全防護，都更聚焦在重寫網址連結與沙箱機制，這些能提供進一步預防與安全性驗證。</p> <p>日本政府推動郵件無害化，也是很值得參考的作法。簡單來說，就是讓郵件的內文只顯示純文字，移除郵件中的JavaScript、HTML與超連結等。在此之後，CDR檔案威脅清除技術，以及上網隔離（Web Isolation）技術的興起，也能提供更多防護力。前者可將檔案中可能有害的內容元件抽離去除，並維持檔案的可用性，後者可讓用戶以遠端瀏覽器隔離執行的方式免除惡意威脅，再加上提倡多年的電子郵件認證方式DMARC等。在這些種種方案的搭配之下，也讓郵件安全零信任架構有了更多的探討。</p> <p>整體而言，我們可以發現，雖然都是基於不信任的概念去推動資安，但在不同場景、不同目標之下，提出的因應防範方式也會有變化。在網路安全零信任架構上，就是因為不給予任何的信任，因此要每個環節都會進行驗證，而從現在郵件安全零信任架構的探討上，則是因為不給予任何的信任，又顧及開啟需求及偵測誤判可能，因此利用盡可能去除任何威脅的方式來做到保障。</p> <p>因此，儘管要將現在網路安全所提的零信任架構，類比到其他領域，不一定完全可以適用，也還在持續探討與發展，但如何從都不信任的設想下去建立「信任」，大家的發展方向都是一致的。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E4%BF%A1%E4%BB%BB">零信任</a></div><div class="field-item odd"><a href="/tags/zta">ZTA</a></div></div></div>
2023/1/13 00:00作者羅正漢https://www.ithome.com.tw/voice/155122
2022 JavaScript大調查顯示Tauri和Vite工具新秀崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://2022.stateofjs.com/en-US/libraries/">一年一度的JavaScript大調查結果出爐</a>，這次的受訪者將近4萬人，接近去年的2倍，而這些新增的受訪者對部分調查結果產生意料之外的影響，今年的結果可能與過去幾年的趨勢不同，官方認為，更多的受訪者也就帶來對JavaScript開發者更深的了解，因此對這項變化抱持正面態度。</p> <p>JavaScript大調查隨時間變化的四大象限圖，呈現了2016年至2020年各個函式庫受歡迎的程度，點越高代表越多人使用，越右邊則代表越多人想學，或是曾經使用且會想繼續使用，綠色表示受歡迎程度上升，紫色則相反。</p> <p class="rtecenter"><a href="https://assets.devographics.com/captures/js2022/en-US/tools_arrows.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201553%20-%20The%20State%20of%20JS%202022_%20Libraries%20-%202022_stateofjs_com.png" style="width: 580px; height: 411px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/libraries/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／The State of JS 2022</span></span></a></p> <p>Webpack、React和程式碼測試工具Jest都落在右上的第一象限，毫無疑問都是當前熱門工具。React持續位居最受廣泛使用的前端框架寶座，使用率較去年成長達到81.8％，遠高於第二名Angular的48.8%，和第三名Vue.js的使用率46.2％，今年Vue.js與Angular排名交換，但是兩者的使用率都較去年還低。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-Front-end%20frameworks.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-front-end-frameworks.png" style="width: 600px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/libraries/front-end-frameworks/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／The State of JS 2022</span></span></a></p> <p>Webpack則是建置工具使用率第一名達84.8%，第二名則是Gulp的50.2%，第三名則是48.8％的Vite，但有趣的是，建置工具前幾名包括Webpack、Gulp和tsc CLI從去年到今年的使用率都呈現下降趨勢，只有Vite往上升，且在滿意度和感興趣程度排名位居第一，Vite的滿意度甚至是所有函式庫之冠，顯示出開發者對Vite的喜愛以及可期待的發展潛力。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-%E5%BB%BA%E7%BD%AE%E5%B7%A5%E5%85%B7%E4%BD%BF%E7%94%A8%E7%8E%87-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-%E5%BB%BA%E7%BD%AE%E5%B7%A5%E5%85%B7%E4%BD%BF%E7%94%A8%E7%8E%87.png" style="width: 600px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/libraries/build-tools/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／The State of JS 2022</span></span></a></p> <p>Tauri是值得關注的行動裝置和桌面應用程式跨平臺開發工具，雖然目前使用率並不如React Native和Electron高，但是開發人員對Tauri的滿意度和感興趣程度，遠高於其他同類工具。Tauri以Rust為基礎建置而成，讓開發者可以使用各種前端框架開發應用程式，其所打包出來的應用程式能夠小於600 KB，多項優點使其成為後續行情看漲的跨平臺函式庫。</p> <p>JavaScript Runtime還是由Node.js稱霸，使用率與去年大致相同為71％，而宣稱是Node.js更好的替代工具Deno，則從5.6％上升到8.5％。開發者最愛用的JavaScript無伺服器服務，由AWS Lambda使用率達20.4％奪冠，將近是第2名和第3名的2倍之多。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-JavaScript%20Runtimes(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0112-JavaScript%E5%A4%A7%E8%AA%BF%E6%9F%A5-JavaScript%20Runtimes(1).png" style="width: 600px;" /></a></p> <p><a href="https://2022.stateofjs.com/en-US/other-tools/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／The State of JS 2022</span></span></a></p> <p>在JavaScript和TypeScript的選擇上，TypeScript受開發者高度偏愛，有20.7％的受訪者僅使用TypeScript開發程式，但是僅使用JavaScript開發程式的比例只有8.2％，雖然TypeScript可以被編譯成JavaScript，但是對許多開發者來說TypeScript仍是優先選項。</p> </div></div></div>
2023/1/12 22:55作者李建興https://www.ithome.com.tw/news/155134
駭客利用8年前的Intel驅動程式漏洞，在Windows電腦安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.crowdstrike.com/blog/scattered-spider-attempts-to-avoid-detection-with-bring-your-own-vulnerable-driver-tactic/" target="_blank">安全廠商Crowdstrike發現</a>一個駭客組織利用8年前的Intel驅動程式漏洞繞過防毒軟體檢查安裝惡意程式，攻擊Windows電腦用戶。</p> <p>研究人員發現名為Scattered Spider（或Roasted 0ktapus或UNC3944）的駭客組織近半年來，持續透過Intel Ethernet診斷驅動程式（iqvw64.sys）中編號CVE-2015-2291的漏洞，在用戶Windows電腦部署惡意的核心驅動程式。</p> <p>研究人員解釋，這波攻擊是使用近年盛行的BYOVD（Bring Your Own Vulnerable Device）手法。這類手法是因應Windows防堵惡意程式執行的措施而生。自Windows Vista開始，微軟就封鎖未獲簽章的驅動程式執行，並在Windows 10進一步預設封鎖具已知漏洞的驅動程式。這讓駭客衍生出有漏洞或惡意驅動程式獲得合法簽章，藉以在Windows機器上執行。</p> <p>Scattered Spider這波活動自去年6月起，攻擊電信及企業流程委外（BPO）等產業，目的在存取電信網路。研究人員觀察到的案例中，駭客使用竊取自知名業者如Nvidia、Global Software，以及自行簽發的測試用憑證通過Windows檢查，企圖繞過受害者機器中的安全軟體，包括微軟Defender for Endpoint、Palo Alto Networks Cortex XDR、SentinelOne等。</p> <p>CVE-2015-2291漏洞存在1.3.1.0版本以前的IQVW32.sys，以及1.3.1.0版以前的IQVW64.sys，可使本地用戶0x80862013、0x8086200B、0x8086200F及0x80862007 IOCTL call發動阻斷服務攻擊，或以核心權限執行任意程式碼。<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00051.html" target="_blank">英特爾在2016年5月即已修補</a>。</p> <p>安全廠商呼籲企業應確認是否安裝Intel顯示器驅動程式，並儘速更新到最新版本。</p> </div></div></div>
2023/1/12 21:42作者林妍溱https://www.ithome.com.tw/news/155132
推特調查確認未發生新的資料洩漏事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期媒體報導<a href="https://www.ithome.com.tw/news/155006" target="_blank">有2億推特使用者資料洩漏</a>，且在駭客論壇只賣2美元的事件，<a href="https://privacy.twitter.com/en/blog/2023/update-about-an-alleged-incident-regarding-twitter-user-data-being-sold-online">推特調查</a>後發現該資料集與2022年12月<a href="https://www.ithome.com.tw/news/154902" target="_blank">媒體報導的4億筆資料外洩</a>是同一批，但該資料集未包含任何機密資料，推測僅是匯集線上公開資料來源而成。</p> <p>這一系列的資料洩漏事件，溯及推特在2022年1月所收到的推特系統漏洞報告，該漏洞讓有心人士透過輸入電子郵件或是電話號碼，就可以得知該電子郵件或是電話號碼所關聯的推特帳戶，這個漏洞是推特在2021年6月更新程式碼引起的，推特在調查之後立刻修復了該漏洞。但是有心人士在推特修復該漏洞之前，就已經收集與電子郵件、電話號碼相關聯的帳戶資料，<a href="https://www.ithome.com.tw/news/152367" target="_blank">2022年7月媒體報導了相關事件</a>，而推特在8月時通知受影響的用戶和相關部門。</p> <p>從2022年11月開始，每個月都有媒體報導推特使用者資料洩漏的新聞，推特調查了這一系列的報導指出，11月媒體報導所提到的540萬筆帳戶洩漏資料，與8月所暴露的帳戶是同一批，而12月媒體報導有人宣稱握有4億筆推特帳戶的電子郵件和電話號碼，該資料集與之前的漏洞事件無關，資料集的資料不包含密碼以及導致密碼洩漏的資訊。</p> <p>最近2023年1月媒體又報導，有2億推特使用者電子郵件帳戶被擺上駭客論壇販售，還只賣2美元，經官方調查，發現該資料集與12月的4億筆資料集是同一個，只是刪除了重複項目，同時不認為這些在網路上販售的資料集，是透過推特系統的漏洞取得，判斷應是自不同的線上公開資料來源匯集而成。</p> </div></div></div>
2023/1/12 21:51作者李建興https://www.ithome.com.tw/news/155131
【資安日報】2023年1月12日，惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是駭客企圖操縱Google搜尋引擎最佳化排行（SEO），假借提供知名軟體的攻擊行動！研究人員揭露Gootkit的攻擊行動，並指出駭客針對澳洲的醫療機構而來，並以提供影音播放器VLC Media Player的名義來散布惡意軟體。</p> <p>專門針對亞太地區政府機關與軍事單位的駭客組織Dark Pink崛起，在最近半年，他們至少成功發起7起攻擊行動，應該有更多組織受害。</p> <p>駭客進行自帶驅動程式攻擊（BYOVD）的狀況越來越多，最近駭客組織Scattered Spider也跟進這種手法，雖然他們濫用的漏洞已在2016年完成修補，但仍能以此方式進行攻擊。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="http://www.trendmicro.com/en_us/research/23/a/gootkit-loader-actively-targets-the-australian-healthcare-indust.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Gootkit假借影音播放器VLC散布，針對澳洲醫療機構散布Cobalt Strike</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Gootkit_01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gootkit_01.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露惡意軟體載入工具Gootkit（亦稱Gootloader）近期的攻擊行動，根據他們的追蹤，約自2022年10月開始，這個駭客組織針對澳洲的醫療機構而來，並企圖操縱Google搜尋引擎的結果（SEO poisoning）來達成目的──研究人員看到Gootkit惡意程式鎖定的攻擊目標，包含醫院、健康、醫療、企業合約等關鍵字，並搭配澳洲的城市名稱。</p> <p>另一方面，駭客假借提供VLC Media Player影音播放軟體的名義，來引誘使用者下載Gootkit，一旦依照指示執行當中的JavaScript指令碼，就會觸發PowerShell指令碼來下載Cobalt Strike及其他惡意程式，除此之外，攻擊者也進行受害電腦的網路監控，不過，研究人員並未取得駭客最終投放的惡意軟體檔案。</p> <h3><a href="https://www.group-ib.com/media-center/press-releases/dark-pink-apt/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Dark Pink鎖定亞太地區政府與軍事單位</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/blog2-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog2-2.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露駭客組織Dark Pink（亦稱Saaiwc Group）的攻擊行動，在2022年6月至12月共發動至少7次攻擊，針對越南、菲律賓、馬來西亞等亞太地區的政府機關與軍事單位下手。</p> <p>駭客運用自行打造的工具Ctealer或Cucky來竊取機密，或利用USB儲存裝置散布惡意軟體TelePowerBot、KamiKakaBot，然後藉由DLL側載手法於受害電腦觸發惡意酬載，目標是從受害電腦的偷取機密資料、瀏覽器的機敏資訊，以及Zalo、Viber、Telegram等即時通訊軟體的對話內容，甚至是從麥克風側錄裝置周遭聲音。</p> <h3><a href="https://www.crowdstrike.com/blog/scattered-spider-attempts-to-avoid-detection-with-bring-your-own-vulnerable-driver-tactic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">濫用有漏洞的英特爾網路卡驅動程式，駭客組織Scattered Spider發動BYOVD攻擊，企圖繞過電腦安全防護機制</span></strong></a></h3> <p>資安業者CrowdStrike<a href="https://www.ithome.com.tw/news/154575#scattered-spider">於12月揭露駭客組織Scattered Spider（亦稱Roasted 0ktapus、UNC3944）的攻擊行動</a>，駭客自2022年6月開始，攻擊電信業者、業務流程外包公司（BPO），現在研究人員公布進一步的調查結果。</p> <p>該公司表示，自他們揭露攻擊行動數星期後，偵測到駭客攜帶含有漏洞CVE-2015-2291的Intel Ethernet診斷驅動程式，在受害電腦部署，發動自帶驅動程式攻擊（BYOVD），企圖繞過多款資安防護產品的端點代理程式，這些資安系統包含了Microsoft Defender for Endpoint、Palo Alto Networks Cortex XDR，以及SentinelOne。</p> <h3><a href="https://www.facebook.com/hackercat1215/posts/pfbid0318wer26KWGrB2t1MXxBEp1Tg3wRzp5PQEtSYyVMUvCguYyKv8P1HUsTF6VWGNHgLl"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">華航證實遭到網路勒索，駭客論壇已出現資料外洩資訊</span></strong></a></h3> <p>根據華視、自由時報、經濟日報等多家媒體報導，中華航空於1月7日證實收到網路勒索信件，他們第一時間啟動防禦應變措施，強調航班營運並未受到影響，亦無會員個資外洩事件發生。</p> <p>1月12日，資安研究員HackerCat發現，有人於駭客論壇聲稱取得華航逾300萬筆的會員資料，並表示該公司於4日就得知資料外洩情事，該人公布10個名人與政治人物的聯絡資訊，並揚言接下來會公布更多資料，涵蓋所有會員的資料、入侵該公司的管道，以及網路環境裡所有系統的清單。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securityweek.com/adobe-plugs-security-holes-acrobat-reader-software" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe修補PDF製作與檢視軟體的漏洞</span></strong></a></h3> <p>Adobe於1月10日發布本月份的例行修補，總共修補了29個漏洞，其中逾半數存在於PDF應用程式Acrobat及Adobe Reader，一旦遭到利用，攻擊者就有可能執行任意程式碼、提升權限、洩露記憶體內的資料，或是導致應用程式面臨阻斷服務（DoS）的情況。上述漏洞存在於DC版及2020版的Acrobat及Adobe Reader，CVSS風險評分為5.5分至7.8分。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-auth-bypass-bug-with-public-exploit-in-eol-routers/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">已終止支援的思科路由器出現身分驗證繞過漏洞</span></strong></a></h3> <p>思科針對旗下的小型企業路由器RV016、RV042、RV042G、RV082提出警告，這些路由器存在重大層級的身分繞過漏洞CVE-2023-20025，該漏洞起因於接收到的HTTP封包，出現使用者輸入驗證不當所致，未經身分驗證的攻擊者能遠端發送偽造的HTTP請求，進而繞過路由器的網頁管理介面的身分驗證流程，一旦成功利用這個漏洞，將能存取root權限，若是攻擊者串連CVE-2023-20026，將能執行任意命令。</p> <p>CVE-2023-20025的CVSS風險層級達9.0分，所幸目前思科尚未發現此漏洞遭到利用的證據。值得留意的是，由於RV016與RV082已終止支援（EOL），再加上思科表明不會發布修補程式，管理人員應停用相關功能降低相關風險。</p> <h3><a href="https://breakingthe3ma.app/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密通訊軟體Threema通訊協定出現漏洞，可被用於恢復用戶私鑰</span></strong></a></h3> <p>蘇黎世聯邦理工學院的研究人員揭露商用加密通訊軟體Threema的漏洞，並指出一旦遭到利用，攻擊者就有可能破壞有關身分驗證的保護機制，甚至是復原使用者的私鑰。這些漏洞出現在該系統專屬的通訊協定上，導致攻擊者一旦成功利用就有可能假冒使用者、重新排列對話內容順序、複製帳號資料，以及藉由備份資料取得使用者的私鑰。研究人員於2022年10月3日通報，Threema於11月29日發布相關修補程式。</p> <p>而針對研究人員揭露的漏洞細節，Threema表示上述漏洞並未實際出現攻擊行動，他們也改用名為Ibex的新通訊協定而不會曝露相關風險。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.theregister.com/2023/01/11/japan_aflac_zurich_data_breaches/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本保險業者Aflac癌症險保戶資料外洩，疑美國合作夥伴引起</span></span></strong></a></p> <p><a href="https://therecord.media/british-company-that-helps-make-semiconductors-hit-by-cyber-incident/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國半導體業者Morgan Advanced Materials遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/royal-mail-halts-international-services-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國郵務業者Royal Mail遭到網路攻擊，暫停部分國際業務</span></span></strong></a></p> <p><a href="https://informationsecuritybuzz.com/denmark-central-bank-hit-by-ddos-attack-other-private-bank/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">丹麥中央銀行遭到DDoS攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155109">【2023年1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155104">【2023年1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155080">【2023年1月9日】程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</a></strong></strong></strong></p> </div></div></div>
2023/1/12 17:38作者周峻佑https://www.ithome.com.tw/news/155133
Group-IB揭露由Dark Pink駭客組織發起，鎖定亞太軍事與政府單位的APT攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.group-ib.com/dark-pink-apt">資安公司Group-IB發現一系列由新興駭客組織Dark Pink所發起的APT攻擊</a>，Dark Pink攻擊活動最早可追溯到2021年中旬，在2022年中之後更為活躍，目前研究人員已經確認Dark Pink所發動的7次攻擊行動，包括針對菲律賓、馬來西亞軍方單位，以及柬埔寨、印尼、波西尼亞和赫塞哥維納政府單位，還有一個越南宗教團體。</p> <p>Dark Pink之所以特別受到關注，是因為他們主要鎖定軍方和政府部門發動攻擊，Dark Pink採用了過去已知APT攻擊少見的策略、技術和程序，他們使用自己開發的TelePowerBot、KamiKakaBot惡意軟體，以及Cucky、Ctealer資訊竊取程式（這些名稱皆為Group-IB命名），竊取政府和軍方網路上的機密文件，研究人員特別提到，Dark Pink還能夠感染連接到受感染電腦的USB裝置，並且存取受感染電腦上的通訊軟體。</p> <p>第一次被確認的Dark Pink入侵行動發生在2022年6月，但是部分線索顯示Dark Pink在2021年就開始行動，攻擊者在感染裝置後，可以向受感染的電腦發送命令，從GitHub下載由攻擊者上傳的惡意檔案，令人驚訝的是，攻擊者在整個APT行動，都僅使用同一個GitHub帳戶上傳惡意檔案，這代表他們能夠長時間隱藏行蹤不被發現。</p> <p>Group-IB研究人員分析Dark Pink的攻擊手法，整個攻擊從魚叉式網路釣魚郵件開始，攻擊者冒充求職者申請公關等特定實習生職位，研究人員提到，這代表攻擊者會掃描職缺網站，並且針對組織製作專屬的釣魚郵件。釣魚郵件包含短網址連接到免費的檔案共享網站，受害者便有機會下載其中的惡意ISO檔案，ISO檔案內含經簽章的可執行檔案、非惡意的誘餌檔案，以及惡意的DLL檔案。</p> <p class="rtecenter"><a href="https://thumb.tildacdn.com/tild3266-6438-4266-b563-616366383138/-/resize/760x/-/format/webp/dark_pink2.png" target="_blank"><img alt="" src="https://thumb.tildacdn.com/tild3266-6438-4266-b563-616366383138/-/resize/760x/-/format/webp/dark_pink2.png" style="width: 316px;" /></a></p> <p class="rtecenter"><img alt="" src="https://thumb.tildacdn.com/tild6364-6561-4661-b931-333330663634/-/resize/760x/-/format/webp/darkpink3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Group-IB</span></span></p> <p>受害者下載到的檔案內容和類型都不盡相同，目前發現存在三條獨立的攻擊鏈，第一條攻擊鏈是當受害者掛載ISO檔案後，DLL檔案會透過側載入的方式開始攻擊程序，第二條攻擊鏈則是在初始存取後，自動下載GitHub上包含巨集程式碼的模板文件，第三條攻擊鏈也是最近2022年12月才發現的，Dark Pink會透過XML檔案來啟動惡意程式，該XML檔案是一個包含.NET程式碼的MSBuild專案，能夠啟動Dark Pink自己開發的惡意程式。</p> <p>從Dark Pink的攻擊工具和多條攻擊鏈，凸顯了Dark Pink攻擊的複雜性。TelePowerBot和KamiKakaBot（下圖）這兩個由Dark Pink開發的攻擊程式，分別以PowerShell和.NET 編寫，能夠透過Telegram機器人從攻擊者控制的Telegram頻道讀取和執行命令，研究人員指出，攻擊者和受害者裝置間的通訊完全仰賴Telegram API，並且使用包括繞過使用者帳戶控制等迴避技術，避免被發現。</p> <p class="rtecenter"><a href="https://thumb.tildacdn.com/tild3065-6437-4361-b962-343261363065/-/format/webp/darkpink12.png" target="_blank"><img alt="" src="https://thumb.tildacdn.com/tild3065-6437-4361-b962-343261363065/-/format/webp/darkpink12.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Group-IB</span></p> <p>Cucky（下圖）和Ctealer則是兩個資訊竊取程式，在受害者電腦上啟動時，資訊竊取程式就能夠從數十種網路瀏覽器中竊取帳密、歷史紀錄和Cookie等資訊。攻擊者也編寫腳本，將惡意軟體傳輸到連接電腦的USB裝置上，或是透過網路共享傳播惡意軟體。Dark Pink會以自定義程式ZMsg，從受害者裝置上的Zalo Messenger竊取資料，同時也有證據顯示，Dark Pink也能夠竊取Viber和Telegram資料。</p> <p class="rtecenter"><a href="https://thumb.tildacdn.com/tild6236-3262-4462-b932-303135316635/-/format/webp/darkpink11.png" target="_blank"><img alt="" src="https://thumb.tildacdn.com/tild6236-3262-4462-b932-303135316635/-/format/webp/darkpink11.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Group-IB</span></p> <p>Dark Pink唯一使用的現成攻擊工具是PowerSploit模組Get-MicrophoneAudio，經過自訂可從GitHub下載到受害者電腦中，有能力繞過防毒軟體並且紀錄音訊輸入，接著透過Telegram機器人洩漏這些錄音。</p> <p>研究人員提到，在亞太地區的APT攻擊，主要動機通常不是經濟利益而是間諜活動。Group-IB已經完整公開Dark Pink攻擊的詳細資訊，並主動通知所有潛在和已確認的攻擊目標，Group-IB在撰寫部落格文章的同時，Dark Pink依然活躍。</p> </div></div></div>
2023/1/12 16:35作者李建興https://www.ithome.com.tw/news/155128