iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【VMware vSAN儲存平臺史上最大規模架構革新】vSAN 8 ESA儲存架構深度解析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11131114-zhuan_ti_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週的儲存月報中，對於VMware在vSAN 8儲存平臺新引進的「Express儲存架構（Express Storage Architecture，ESA）」，我們簡單扼要地介紹了這種新型架構的特點，以及與vSAN原有儲存架構（Original Storage Architecture，OSA）的差異。</p> <p>而在這個專題中，我們將從底層構造與運作原理著手，進一步解析ESA架構，以便更深入認識這項堪稱vSAN問世以來最重大的技術變革。</p> <p>ESA架構的目的，是讓vSAN這個問世已有9年的平臺，跟上IT應用環境的變化，充分應用當前新一代固態儲存硬體的效能，並滿足用戶對於簡化儲存管理，提高儲存資源利用效率，以及對於改善快照等資料服務的效率、減輕資料服務功能帶來的負載等需求。</p> <p>VMware指出，在開始開發vSAN的2010年代初期，當時基於的主流伺服器組態，是4到10核心處理器，搭配硬碟結合SAS/SATA SSD的混合儲存配置，以及1/10Gb的網路規格。</p> <p>而到了10年後的今日，伺服器主流規格已經大不相同，處理器可達到64核心以上，在儲存與網路組態方面，NVMe介面SSD，以及25/100Gb乙太網路，也都越來越普及。</p> <p>而用戶的應用環境與型態也較過去更為複雜，例如，10年前的用戶多是以本地端應用為主，而今日的用戶已普遍使用了公有雲服務，面對的工作負載也多了容器（Container）這種嶄新的型式。</p> <p>這也帶來了更新vSAN底層架構的需求，才能適應與發揮當前新一代硬體的效益，並因應用戶端更為複雜的應用環境，以及更多樣化的應用需求。</p> <p>相較於過去vSAN的原有儲存架構（OSA），新的ESA架構主要改進之處，在於這2個面向：</p> <p><span style="color:#B22222;"><strong>● 儲存硬體改用NVMe全快閃儲存</strong></span></p> <p>vSAN最初是採用SSD結合硬碟的混合儲存架構，vSAN 6.0開始支援全快閃儲存組態，而vSAN 8.0的ESA架構進一步提供了全NVMe快閃儲存組態，</p> <p>ESA架構也搭配新的儲存池（Storage Pool）管理架構，取代過往vSAN採用的磁碟群組（Disk Group）管理架構，以配合當前主流的NVMe儲存硬體，發揮新一代硬體的效能，同時簡化儲存管理架構的複雜性。</p> <p><span style="color:#B22222;"><strong>● 提供改進的I/O處理架構，以及資料服務功能</strong></span></p> <p>透過日誌結構（log-structured）檔案系統，以及日誌結構物件管理器（object manager）等2大新的軟體元件為核心，提供更具效率的新I/O處理架構，以及改進的壓縮、加密與快照等資料服務功能，並提高RAID-5/6 erasure coding架構的效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%961.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong><span style="font-size:20px;">適應技術變遷的基礎架構升級</span><br /> 當前企業用戶的IT應用環境，相較於VMware開始開發vSAN的2010年代初期，已有非常大的變化，不僅伺服器處理器核心數大幅提高，儲存裝置與網路速度也都更快，用戶的工作負載也更複雜，這也促使VMware在vSAN 8中引進全新的ESA儲存架構，以適應用戶應用型態與硬體環境的變遷。</strong><span style="font-size:14px;">圖片來源／VMware</span></span></p> <p><span style="font-size:28px;"><strong>vSAN的固態儲存進化之路</strong></span></p> <p>在ESA架構提供的新功能中，最重要的部分，便是基於全NVMe SSD配置的儲存組態，是相對於vSAN過往儲存硬體架構的根本性改變。</p> <p>在VMware開始開發vSAN的2010年代初期，全快閃儲存架構仍十分昂貴，當時的主流儲存架構，是結合SSD與傳統機械式硬碟的混合架構，</p> <p>因而2014年初問世的vSAN最初版本，便是採用SSD搭配硬碟的混合儲存組態為基準，由SSD作為資料快取層，硬碟作為儲存容量層，並以磁碟群組（disk group）作為磁碟組態的基本單位。每個磁碟群組包含1到7臺用於提供儲存容量的硬碟，搭配1臺快取用SSD。每臺vSAN節點，可包含最多5個儲存群組。</p> <p>快取層的SSD提供了讀取快取與寫入緩衝功能，系統預設以70%的快取用SSD容量作為讀取快取，30%容量作為寫入快取，快取與寫入緩衝的最大容量上限可達600GB，藉此將可大幅減少前端應用程式直接存取磁碟群組硬碟的機率，從而提高整體I/O效能——儘管硬碟是資料儲存的最終目的地，但是在SSD快取層的中介之下，VM與應用程式端絕大多數的讀、寫I/O需求，都是由快取用SSD來回應，應用程式將能得到SSD等級的效能與延遲。</p> <p>後來隨著快閃儲存應用的逐步普及，到了2015年初發布的vSAN 6.0版，除了繼續沿用原有的混合儲存組態外，也增加了支援全快閃組態的能力，允許全部使用SSD來構成vSAN的儲存資源，不僅資料快取使用SSD，資料儲存空間也可使用SSD來構成。</p> <p>不過，vSAN 6.0的全快閃組態仍保留了vSAN原有的磁碟群組管理架構，以及快取層與容量層兩種儲存層級的區分，VMware的建議以速度較快、高耐用的SSD或PCIe SSD卡作為快取層，搭配成本相對較低的大容量SSD作為容量層。另一與先前混合儲存組態不同之處，是vSAN在全快閃組態下，快取層SSD只提供寫入緩衝功能，因而所有讀取I/O，都是直接由容量層的SSD來承擔。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%962.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong><span style="font-size:20px;">vSAN OSA與ESA架構的差異</span><br /> vSAN原有架構（OSA）採用快取層與儲存層的雙層架構，以及磁碟群組管理架構，新的ESA架構改用單一NVMe SSD儲存層，與更簡單的儲存池管理架構，可兼顧效能提升與儲存容量利用效率。</strong>圖片來源／VMware</span></p> <p><span style="font-size:28px;"><strong>ESA架構的單一NVMe快閃儲存層</strong></span></p> <p>而到了2020年代的今日，快閃儲存的應用已更加普及，依照VMware的宣稱，目前的vSAN有70%的比例，都是執行在全快閃SSD陣列上。</p> <p>但另一方面，雖然早在6.0版的vSAN，就已能支援全快閃儲存組態，然而vSAN既有的磁碟群組架構，並無法充分發揮全快閃組態的優勢。</p> <p>如前所述，vSAN 6.0的全快閃組態，仍然沿用了快取層與容量層的雙層架構設計，每個磁碟群組中仍必須配置專門快取用的SSD，作為寫入緩衝使用。</p> <p>問題在於，由於資料快取與資料儲存層同樣都是SSD，除非分別採用效能差距極大的SSD款式，否則，快取SSD提供的寫入緩衝，給整體I/O效能帶來的效益並不大。</p> <p>也就是說，SSD快取與緩衝功能只能在「SSD+硬碟」混合配置之下，發揮最大效益，在「全部搭配SSD」配置下，效果便大打折扣，反而造成vSAN儲存資源配置上的限制，每個儲存群組依然得專門配置1臺SSD作為快取，既消耗了寶貴的SSD容量，卻又得不到顯著效益。</p> <p>於是，vSAN 8新發展的ESA架構，徹底捨棄了以往磁碟群組的資料快取與資料儲存雙層架構，改為透過儲存池（storage pool）提供單一NVMe SSD儲存層，利用這種全面NVMe SSD化的組態，讓所有I/O都享有NVMe SSD的高效能，因而不再需要以往的SSD快取與緩衝，所有儲存裝置都可用於提供儲存容量，如此一來，既可發揮當前新一代硬體的效能優勢，同時也有更高的資源運用效率與彈性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%963.jpg" style="width: 600px;" /></p> <div> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>ESA架構的軟體堆疊</strong></span></span></p> <p><span style="color:#696969;"><strong>vSAN ESA架構在軟體堆疊中引進2項新元件：LFS檔案系統與日誌結構物件管理器，提供了改進的I/O處理架構與資料服務功能，而用戶則仍可以原有的vCenter執行管理。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> <p><span style="font-size:28px;"><strong>新的I/O處理架構</strong></span></p> <p>配合新的NVMe SSD單一儲存層架構，vSAN 8的ESA架構引進了2項新的軟體元件，藉此改進I/O處理程序。</p> <p>第1項新元件，是簡稱為vSAN LFS的日誌結構（log-structured）檔案系統，LFS在資料寫入程序中，引進了效能分支（performance leg），以及容量分支（capacity leg）等2個概念，基本上，我們可以把這2個作業分支，理解為寫入程序的2個階段，分別對應以往vSAN快取/緩衝層與儲存層的角色。</p> <p>其中效能分支提供類似寫入緩衝的作用，LFS首先會接收寫入資料，然後合併資料，並與其meta data打包，一同寫入到用於暫時保存的持久性日誌（durable log），隨後便向上層回覆完成寫入I/O，迅速回應VM端的寫入作業，將寫入延遲降到最低。</p> <p>而持久性日誌則是以RAID-1鏡像複製方式，將寫入資料複製多份、再分散寫入vSAN叢集多臺節點的多臺SSD上，所以個別主機或SSD的失效，不會影響到寫入資料的完整性。而且，鏡像複製不涉及parity運算，也能提供較高的速度。</p> <p>隨著持久性日誌資料的累積，LFS為了騰出持久性日誌的空間，用於新寫入資料，會將較舊資料將轉到容量分支。</p> <p>LFS會將寫入資料的負載本體與meta data拆開，其中資料負載本體儲存在容量分支key value儲存庫，依照用戶設定的不同保護層級（RAID-5、6等），將資料合併為合適的stripe大小，再實際寫入目的地。而meta data先寫入到效能分支的metadata日誌（metadata log），保存一段時間，讓立即可用的metadata盡可能保持在最大數量，當metadata日誌滿載後，再轉為更具空間效率的B-Tree格式儲存。</p> <p>由於LFS容量分支會合併多個小型寫入I/O，只以完整的stripe大區塊將資料寫入SSD，可發揮「減少寫入I/O數量、避免零碎寫入I/O」的功效，從而達到減少寫入放大、降低CPU處理負荷的效益，連帶也能減少SSD的寫入損耗。</p> <p>至於效能分支所使用的鏡像複製份數，以及容量分支採用的srtipe數量，都是視用戶設定的系統保護政策而定，前者與用戶設定的系統失效容許數量（FTT）有關，後者則反映RAID類型。</p> <p>第2項新元件，是為LFS提供儲存作業服務的日誌結構物件管理器（object manager），其下包含了3項主要元件：首先，是提供平行I/O處理作業的I/O平行區塊引擎（parallel block engine）；其次，是用於資料與metadata儲存的鍵值（key value）儲存庫，以及用於管理儲存裝置頻寬的IO layer。</p> <p>由於在ESA架構下，只有NVMe SSD構成的單一儲存層，所以，在物件管理器的控制下，LFS使用一種新的物件格式，在同個物件同時儲存效能分支與容量分支的資料，而底層的每一臺NVMe SSD，也都同時用於LFS效能分支的寫入資料暫存，與LFS分支路程的資料本體儲存，以及metadata儲存用途。</p> <p>LFS與日誌結構物件管理器，主要都是針對vSAN個別節點內部的I/O處理，而針對跨多臺vSAN節點間的I/O處理，ESA架構則利用vSAN Network Traffic功能，提供智慧化的I/O管理機制，以便讓VM使用的網路流量，與vSAN節點間同步作業使用的網路流量，達到最佳的平衡，可讓每臺vSAN節點自動感知I/O調節，避免vSAN節點間的同步作業導致網路流量的飽和。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%964.jpg" style="width: 600px;" /></p> <div> <p><span style="font-size:20px;"><strong><span style="color:#696969;">LFS檔案系統的I/O處理程序</span></strong></span></p> <p><strong><span style="color:#696969;">LFS提供的改進I/O處理程序分為效能分支（Performance Leg）與容量分支（Capacity Leg）等2個階段：</span></strong></p> <p><strong><span style="color:#696969;">LFS首先將寫入I/O合併、打包後寫入效能分支的持久性日誌中暫存，然後便向VM回覆寫入完成。</span></strong></p> <p><strong><span style="color:#696969;">效能分支會將資料以鏡像複製方式，分散寫入多臺節點NVMe SSD中的持久性日誌儲存區。</span></strong></p> <p><strong><span style="color:#696969;">接下來LFS會將持久性日誌中的較舊的資料轉出，先將資料本體與metadata拆開，接著將資料</span></strong></p> <p><strong><span style="color:#696969;">本體交由容量分支將整併為完整的stripe區塊後，依照不同的RAID設定，分散寫入到多臺節點上。</span></strong></p> <p><strong><span style="color:#696969;">metadata則先保存在效能分支的metadata日誌，然後再轉為B-Tree形式存放。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> <p><span style="font-size:28px;"><strong>改進的資料服務功能</strong></span></p> <p>藉由引進LFS檔案系統，ESA架構也將壓縮、加密等資料服務功能，以及checksum檢驗功能，移到軟體堆疊中更高的層級執行，這意味著，在資料寫入底層與分散傳輸到其他vSAN節點之前，就已完成了壓縮、加密與checksun作業，從而可以減少這些作業的CPU與網路負載。</p> <p>在ESA架構下，壓縮功能是預設啟用，在LFS效能分支與容量分支將資料寫入SSD前，便已完成壓縮（壓縮後再寫入）。用戶可為個別VM啟用基於政策的壓縮功能，每4kB資料區塊的壓縮率，較OSA架構提高4倍。</p> <p>而加密是在壓縮之後進行，可藉此減少需要加密的資料量，而且由於加密是在上層執行，跨節點之間流動的資料都是已加密的，不像以往架構下，針對跨節點的加密資料傳輸，需執行額外的解密與再加密程序。</p> <p>除了快照與壓縮方面的改進外，ESA架構還利用新引進的LFS，透過LFS的B-Tree meta data儲存架構，將快照功能改為基於B-Tree、效率更高的尋找表（lookup table）架構，進而可讓快照整併與刪除的速度提高了100倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%965.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><span style="color:#696969;"><strong>兼具效率與可用性的ESA寫入機制</strong></span></span></p> <p><span style="color:#696969;"><strong>ESA的LFS檔案系統在不同寫入作業階段，採取不同的寫入機制。</strong></span></p> <p><span style="color:#696969;"><strong>效能分支會將寫入資料以鏡像複製方式，寫入到持久性日誌、metadate日誌與B-Tree中，鏡像複製不涉及parity運算，可提供較高速度，而資料複製的份數則依用戶設定的FTT而定。而容量分支則會以將資料負載本體以完整的Stripe區塊寫入Key vaule儲存庫，stripe切割方式依用戶設定的RAID層級而定。</strong></span></p> <p><span style="color:#696969;"><strong>上圖為FTT=2與RAID-6設定下的圖解，效能分支將資料複製3份再分散寫入到不同節點，容量分支則將資料拆成6個stripe區塊，然後分散寫入到不同節點。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> <p><span style="font-size:28px;"><strong>改進的RAID架構</strong></span></p> <p>vSAN 8 ESA架構透過引進新的LFS檔案系統與物件格式，不僅改善了I/O處理程序，連帶也改善RAID-5/6 erasure coding模式的效能。VMware宣稱，ESA架構下的RAID-5/6 erasure coding效能，可相當於RAID-1，這意味著用戶不再需要為了確保效能，而選用消耗空間較大的RAID-1，只需使用RAID-5/6 erasure coding，就能兼顧效能與容量節省。</p> <p>除了憑藉LFS檔案系統所帶來的RAID效能改善，ESA架構還進一步提供了新的模式，稱為自適應（Aadaptive）RAID-5 erasure coding，主要的應用目的，是改善使用RAID-5 erasure coding模式的小規模vSAN叢集空間利用率。</p> <p>所謂的「自適應」，指的是這種模式可以視vSAN叢集節點數量，自動調整資料配置結構。當應用在規模3到5臺節點的vSAN叢集時，RAID-5 erasure coding會自動使用2+1的資料配置結構（2個資料區塊+1個parity區塊）；當應用在6臺節點以上的vSAN叢集時，則使用4+1的資料配置結構。</p> <p>在以往的OSA架構下，必須建置4節點以上的vSAN叢集規模，才能使用RAID-5 erasure coding，而較小規模的vSAN叢集，大多使用較占空間的RAID-1鏡像複製模式，此時的資料本體加上複本等資料保護機制，會占用掉相當於原始資料量2倍以上的容量；而現在小規模vSAN叢集，透過改用自適應RAID-5 erasure coding，只需耗用相當於原始資料量1.25倍或1.5倍的容量（4+1或2+1資料配置結構），就能達到與RAID-1相同的保護效果與同等效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%966.jpg" style="width: 600px;" /></p> <div> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>ESA改進的資料服務運作架構</strong></span></span></p> <p><span style="color:#696969;"><strong>在ESA架構下，壓縮、加密與Checksum檢核作業，都是更高的軟體堆疊層中完成，在LFS完成資料寫入作業前，就先行完成了這些資料服務作業，從而可減少CPU負荷與I/O放大，也減少了跨節點網路傳輸作業的頻寬需求。散寫入到不同節點。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> <p><span style="font-size:28px;"><strong>vSAN架構的全面「重構」</strong></span></p> <p>當前vSAN的底層I/O架構與主要的資料服務功能，其實是延續自6.x版的基礎上，6.0版提供了新的VMFS-FS檔案系統與新的磁碟格式，以及vSAN自身的vsanSparse快照，6.2版新增支援Erasure Coding組態，並引進壓縮、重複資料刪除與靜態加密功能等。至於後來的7.0.x版，主要更新重點放在擴展支援能力，以及管理功能的改進，例如增加原生的檔案存取服務，改進對於Kubernetes，至於底層I/O架構與資料服務功能方面的更新，著墨並不多，只有7 update1版新增傳輸加密，以及關閉重複資料刪除、僅啟用壓縮的選項等。</p> <p>這也就是說，vSAN 8.0所引進的ESA架構，是自vSAN 6.x版以來，時隔6年多後，首次進行的底層I/O架構與資料服務功能大翻新。</p> <p>但從另一方面來看，嚴格來說，ESA架構的重點並不是為vSAN提供「全新功能」，而是提供核心的「重構」，換句話說，是透過新的核心，讓相同的功能運行得更有效率。ESA架構提供的功能，其實沒有超過vSAN 6.x版的範疇，關鍵在於ESA是以新的底層架構，來提供相同的功能。</p> <p>舉例來說，早在vSAN 6.0版，就已支援了全快閃儲存組態，並提供vSAN原生的快照功能，接著在6.1版開始支援NVMe SSD，壓縮功能，以及RAID-5與RAID-6 Erasure Coding架構，都是6.2版時便已提供。</p> <p>而ESA架構雖然同樣是支援NVMe SSD，但同時也改用單一NVMe快閃儲存層的新框架，進而達到簡化管理、提高效能的目的。類似的，ESA架構透過基於LFS檔案系統而成的新軟體核心，以更有效率的方式，來提供快照、壓縮、加密，以及RAID-5/6 Erasure Coding等既有功能。</p> <p>反過來說，以往的vSAN OSA架構，即便採用同樣的全NVMe硬體，但受到舊的核心架構制約，效能與便利性也無法與ESA相比擬。</p> <p>但另一方面，由於ESA架構是專門針對NVMe全快閃儲存環境設計，對於硬體的要求較高，用戶得準備全面配置NVMe SSD、且已通過ESA相關認證的vSAN ReadyNodes主機，以及vSAN Advanced版授權。所以VMware也未要求vSAN 8一定要使用ESA架構，而只是作為一個選項，用戶仍然可以選用以前的OSA架構。但若條件足夠，我們認為用戶務必優先採用ESA架構，以發揮新一代硬體的效能。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>概觀vSAN快照功能的演進</strong></span></span><br /> <span style="font-size:20px;"><span style="color:#696969;"><strong>vSAN 8的ESA架構提供了更有力的全新快照功能，可以克服vSphere與vSAN原有的快照功能的局限，提供更靈活的資料保護與複本應用</strong></span></span></p> <p><strong>自vSphere平臺的誕生以來，快照這項技術，便被作為一種快速的資料保護與還原手段。但vSphere的快照功能一直存在許多限制，例如，快照運作的凍結時間與效能衝擊、快照整合作業的負擔，以及快照的應用規模有限等。</strong></p> <p><strong>而vSAN 8 ESA架構中的快照功能，是vSphere平臺的第3代快照功能，克服了以往vSphere快照在應用規模、效能方面的問題，成為一項更有力的工具。</strong></p> <p><span style="color:#B22222;"><strong>vSphere與vSAN快照功能的演變</strong></span></p> <p><strong>在VMFS 5以前，vSphere採用的是VMFSsparse快照，主要是基於VMFS檔案系統的redo-log異動日誌來運作，屬於copy-on-write型式的snapshot技術，但有著2TB磁碟容量（VMDK）的上限，而自VMFS 5開始，可以應用在超過2TB的磁碟上。</strong></p> <p><strong>從VMFS 6起，vSphere引進了略為改進的VMFS SEsparse快照，改善空間效率，並降低快照合併，以及連續使用下的效能影響，然而，此時仍不適合大規模、長時間使用。理論上，VMFS快照允許為每個VM建立最多32份快照，但VMware建議，最多只使用2至3份快照，且不要連續啟用快照超過48小時，並避免對延遲敏感性高的VM負載，使用深度的快照鏈（deep snapshot chains）。所謂的深度快照鏈是指，對一個來源端磁碟連續執行多次快照後，所形成一連串彼此相依的多份快照。</strong></p> <p><strong>與vSphere 5.5一同推出的最初版本vSAN，直接沿用了VMFS快照，直到vSAN 6.0，VMware才引進vSAN自身的vsanSparse快照，改用redirect-on-write型式的快照技術，擴展了快照應用規模，可為每個VM提供完整的32份快照，並透過記憶體快取改善了快照讀取效能，但快照導致的凍結時間，以及長時間運行後的快照合併，仍然是個問題。</strong></p> <p><strong>而vSAN快照功能的侷限，也制約了快照應用面向。今日的企業用戶，不僅只希望將快照用於備份與資料保護，還希望能夠對目標磁碟執行更多快照，並將快照保留更長的時間，以便支援自動化的持續作業，例如複本資料管理（Copy Data Management），以及軟體開發的持續整合/持續交付（CI/CD）。</strong></p> <p><span style="color:#B22222;"><strong>ESA架構下的全新快照功能</strong></span></p> <p><strong>到了vSAN 8引進的ESA架構，則藉由ESA引進的LFS檔案系統，改用了全新的快照運作架構。</strong></p> <p><strong>ESA所用的快照，並不像早先版本的快照是基於redo-log異動日誌——由基礎（Base）磁碟加上增量磁碟組成的鏈型（chain）架構，而是利用LFS檔案系統的B-Tree型式meta data存放架構，提供效率更高的尋找表（lookup table）架構，透過metadata記錄的資料指針，可迅速找出對應於不同快照的資料區塊，減少快照導致的凍結時間，連續執行大量快照對系統效能的影響也大為減少，還免除了傳統快照的合併與刪除作業中，所帶來的運算與資料搬移作業。</strong></p> <p><strong>對於傳統的redo-log架構快照處理來說，大量累積的異動資料都是位於快照產生的增量磁碟中，若要刪除快照或將快照整併到基礎磁碟時，便會帶來龐大的資料搬移作業，因而快照的刪除、合併與整合，是傳統快照最消耗資源，但卻也是最常見的作業。</strong></p> <p><strong>而對ESA的快照來說，刪除快照或合併主要都是metadata方面的作業。舉例來說，刪除快照在邏輯上是立即生效的，稍後系統會於背景再實際刪除metadata與資料本體。這樣的特性，對於基於快照的SRM與遠端複製作業，都能帶來顯著的效能改善。而基於VADP API的VM備份軟體，在搭配ESA架構的vSAN叢集的時候，也將自動改用效率更高的ESA快照。</strong></p> <p><strong>理論上，ESA的快照是沒有數量限制的，但受vSphere平臺的限制，每個物件可建立的快照數量，仍與先前版本vSAN同樣是32份。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%967.jpg" style="width: 600px;" /></p> <div> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>ESA改進的快照功能</strong></span></span></p> <p><span style="color:#696969;"><strong>ESA架構基於LFS檔案系統提供了新的快照運作方式，可減少快照導致的停滯等待時間與效能衝擊，並大幅提高了快照刪除與整併的效率。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/vmware">VMware</a></div><div class="field-item odd"><a href="/tags/vsan-8">vSAN 8</a></div><div class="field-item even"><a href="/tags/esa">ESA</a></div></div></div>
2023/1/20 00:00作者張明德https://www.ithome.com.tw/tech/155181
全臺最大規模保險區塊鏈應用，保戶、醫院和保險公司三方共贏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「原本只是3家保險公司各自與醫院交換資訊，但，這只是單向交換，後來，他們提議互相串接，彼此資訊共享，甚至是讓大家都能共享。」金融監督管理委員會保險局局長施瓊華指出。這一步也催生了全臺最大規模的保險區塊鏈應用，不止打通的多家保險公司之間的資料共享，甚至現在開始打通保險公司與醫院之間的資料共享可能性。</p> <p>早在2018年時，高雄榮總發起一項創新專案，找來台灣人壽、中信金控、中華電信等集團，要來打造一項保險理賠區塊鏈應用。他們看上了區塊鏈技術的好處，可以建立多方之間的信任，來加速患者保險理賠作業。由中華電信負責開發區塊鏈平臺，來記錄各項授權和資料的交換軌跡。</p> <p>需要申請理賠的病人，可以直接打開保險公司的App來提出理賠申請，台壽會傳送保戶的授權和個資給高榮，高榮再理賠所需的病歷資料傳給台壽來進行後續的理賠，病人也能在直接到官網或保險公司App上登入區塊鏈平臺，來查看自己的病歷資料，以及理賠進度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B1%86%E5%AD%90%E4%B8%BB%E6%96%87-600-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>金融監督管理委員會保險局局長施瓊華表示，未來電子保單累積夠多，保單內容都數位化後，就能擷取個別內容，來發展更多細緻的應用。保險身分認證如果其他主管機關承認，也可以跨出保險應用。</strong><span style="font-size:14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>醫院和保險公司流程數位化後，光理賠等待就省三分之一時間</strong></span></p> <p>光是打通保險公司和醫院之間的流程，就創造了很大的效益。高榮調查後發現，這個新做法，的確大幅縮短了民眾出院後，到獲得理賠的等待時間，從原本的13天縮短為3.6天，省了三分之二的時間，而且民眾還不用到處奔波申請紙本文件，醫院而言，一年可以省下211小時的病歷申請審查時間，而對壽險公司而言，每年也可節省近3,000小時的複雜理賠個案病歷調閱審查時間。2018年這個只是一家保險公司和一家醫院間的成功經驗，後來促成壽險公會，推動理賠聯盟鏈和理賠醫起通服務。</p> <p>壽險公會在2019年4月開始推動保險科技運用共享平臺POC，包括了區塊鏈底層技術，逐步發展各項金融科技服務。到了2020年6月，壽險公會先完成了一套電子保單認證與存證平臺的系統建置工作，當時先跟國泰人壽、新光人壽、台灣人壽、南山人壽、中國人壽、富邦人壽、三商美邦人壽、元大人壽等共8家壽險公司串通，成了打通壽險公司的重要第一個里程碑。</p> <p>2020年，保險科技運用共享平臺正式開辦「保全／理賠聯業務」正式開辦上線，更推出一站式服務，保戶只需於一家保險公司提出申請，透過系統通報其他同業，達到多家同步申請的效果，不用像過去得一家一家各自申請。不過，保戶仍須到保險公司繳交紙本醫療資料，以及理賠資料轉送同意書。當年12月也推動電子保單認證與存證服務，可以記錄投保與異動的歷程，也可以在日後對保單內容發生爭議時，成為公正的第三方佐證。2021年5月結合北市醫療院所推動保險理賠醫起通服務，整合了20家醫院，保險公司可以直接向醫院索取電子醫療資料，保戶也不用繳交紙本醫療資料，這就大大減少了保戶在保險公司和醫院之間兩頭跑的次數，減少到只需要去一次簽署紙本同意書。</p> <p>到了2022年5月，保險理賠醫起通進入1.5版，保戶終於只需要到保險公司一趟，就可以一次提供兩種同意書，不用再到醫院。另一方面，2022年中也推出保險存摺服務，民眾可以直接在線上看到自己的所有保單資料，更方便管理自己的保險情況。</p> <p>2022年底進一步啟用了保險業身分驗證中心功能，也就進入了理賠聯盟鏈2.0時期，可透過FACE ID或指紋快速登入，介接到線上申請保險理賠、查詢保險理賠聯盟鏈，或是保險理賠醫起通案件的申請轉送進度。保護不再需要向保險公司繳交紙本理賠資料轉送同意書，對於保戶來說，這就做到了理賠全程數位化。</p> <p>不只如此，去年底還發布了保險理賠醫起通，預計最快今年底可以導入醫院，最大變化是，民眾不只不需要再繳交任何紙本同意書，可以用保險存摺作為所有保險公司的身分認證，醫院上傳給保險公司的醫療資料，也不再是需要人工補登錄的PDF檔格式，而是結構化資料，可以直接整合到保險公司的系統，完全免人工，更能嘗試更多不一樣的應用。</p> <p><span style="font-size:28px;"><strong>電子保單結構化後，未來可發展更多數位應用</strong></span></p> <p>臺灣一年理賠給付案件超過1千萬件，給付金額也超過1,500億元。但統計到2023年初，保險存摺總會員才剛破30萬人，其中近半數是付費的白金會員。</p> <p>施瓊華表示，電子保單累積夠多，保單內容也數位化後就能擷取個別內容，發展進一步的數位化應用，例如歸納不同給付項目，未來可以朝這個方向來發展，甚至保險身份認證如果其他主管機關承認，也可以跨出保險產業的應用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王宏仁https://www.ithome.com.tw/news/155211
從跑馬路到上網路，理賠數位化流程大解密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>理賠申請從跑馬路，到上網路，困難之處不在資料交換技術本身，而是交換這些特種資料時，如何設計一套機制，既能簡化繁複申請流程，還能維護隱私、遵守法規、管理資安風險，以及確保資料正確性。</p> <p>去年年底上線，預計最快今年被醫院導入的保險理賠醫起通2.0，就用了環環相扣的授權及存證機制，來確保這些項目都達成。</p> <p><span style="font-size:28px;"><strong>醫起通2.0運作流程解析</strong></span></p> <p>保險理賠醫起通服務2.0版本中，若保戶是壽險公會推出的保險存摺會員，即能用這一個帳號作為身分認證，授權保險公司及醫院線上交換醫療及理賠申請資料，並一站式對多家保險公司提出理賠申請。</p> <p>首先，保戶必須選擇第一家保險公司作為申請入口，先將各式授權及申請資料一併交予這家保險公司，再由此家保險公司轉送到壽險公會資料共享平臺，供醫院及其他保險公司下載。</p> <p>第二步是登入會員來認證保戶身分。過去的醫起通版本中，這個步驟有一些不便。這是因為，要線上申請理賠，光是有保單資料不夠，還要註冊或登入為保險公司的網路會員，才能開始申請理賠。醫起通2.0中，這個問題得到大幅改善，保戶可以用保險存摺的會員身分作為認證，自動註冊並登入為任一家保險公司會員，做法有點類似用Google帳號做SSO登入。</p> <p>保戶登入第一家保險公司會員後，第三步是授權資料轉送給其他欲申請理賠的保險公司，並授權保險公司調度特定日期區間的醫療資料給保險公司。保戶可以根據欲申請理賠的保單類別，來決定需要授權的日期區間。</p> <p>保戶填寫完理賠申請資料及授權後，作為轉送方的保險公司會把這些資料傳送到共享平臺。同時，保戶申請紀錄會分別上金融業聯盟區塊鏈及可供第三方查驗的公有區塊鏈存證。</p> <p>接著，共享平臺會將醫療資料調度的授權轉交給醫院。醫院查驗授權無誤後，再上傳理賠所需醫療資料到共享平臺。現行版本下，醫院上傳的格式通常是PDF檔。升級到醫起通2.0後，則會改成結構化資料，不僅簡化院方上傳程序，之後保險公司系統也能將資料自動帶入到對應欄位。</p> <p>這些醫療加密時會產生雜湊值，醫院上傳資料後，這個雜湊值會上到醫院用的私有區塊鏈存證，以利保險公司收到這些醫療資料時，能驗證資料就是醫院上傳的同一份，未經惡意竄改。</p> <p>保險公司驗證資料無誤後，會從平臺下載所需醫療資料及理賠相關資料。當下載完畢，醫院傳送醫療資料的紀錄，以及保險公司存取這些資料的細節，會上到金融業聯盟鏈存證。</p> <p>保險公司各自取得審核所需資料後，即會開始審核理賠。若理賠金額低於30萬元，則保險公司會在審核通過後逕行賠付金額到保戶銀行帳戶。唯一例外情況是，根據金管會《保險業辦理「保全／理賠聯盟鏈」業務應遵循事項規範》，若保險公司審核後判定理賠金額大於30萬元，則會請保戶再提供紙本的理賠資料轉送同意書到第一家保險公司，確認送達後才能繼續理賠賠付。</p> <p><span style="font-size:28px;"><strong>3條區塊鏈存證，分散資料以顧及隱私</strong></span></p> <p>醫起通服務運用區塊鏈不可竄改特性作為存證機制，以確保交換資料的正確性。一旦有保險糾紛，也能查證鏈上紀錄作為可信任的證據。同時，透過分散不同鏈上記錄的資料種類，來顧及保戶隱私。醫起通應用了3條區塊鏈，分別是醫院用的Quorum私有鏈、保險業用的Hyperledger聯盟鏈，以及紀錄去識別化公開資訊的Polygon公鏈。</p> <p>醫院用私有鏈及保險業用聯盟鏈的資料都不會公開，僅用於資料交換時交互查證、比對用。公鏈上的數據則開放任何人查證，不過資料去識別化，且紀錄細節較少。就算外部人士知道特定保戶理賠案件在公鏈上的對應地址，也無法獲得任何敏感資訊，只有3條區塊鏈的資料合併一起看，才能得到最完整的案件細節。唯有法律糾紛等少數情況，由公正第三方要求壽險公會撈出另外兩條區塊鏈對應的紀錄時，才能調閱這些案件細節。</p> <p><span style="font-size:28px;"><strong>從聯盟鏈1.0到醫起通2.0，身分認證及資料交換效率是優化重點</strong></span></p> <p>相較傳統全紙本的理賠申請作業，全面無紙化的醫起通2.0不僅省去了大量時間，更節省了驚人的用紙量及作業成本。壽險公會保險業資訊科技共享平臺召集人翁仲和說，目前每年光是理賠聯盟鏈，就已經省去約10萬棵樹的用紙量，並減少了5至7億元紙本作業成本。</p> <p>嚴謹的授權流程及資料交換機制，更降低了糾紛案件數。翁仲和指出，保險業務非常容易起糾紛，案件數占金融業所有糾紛的6至7成。不過，目前理賠聯盟鏈和醫起通處理的數十萬理賠案件中，糾紛數接近於0。</p> <p>從理賠聯盟鏈1.0到保險理賠醫起通2.0沿革，可以看到壽險公會利用科技嘗試解決2大傳統理賠流程痛點：身分認證及資料交換效率。</p> <p>最傳統的紙本申請流程，保戶有幾家保險公司的保單要申請理賠，就得到醫院申請幾份紙本醫療資料，再前往每一家保險公司實體服務據點申請。申請紙本資料跟舟車勞頓的時間金錢成本令人困擾，若中間出現缺漏資料等意外，更會讓申請流程成為曠日廢時的惡夢。</p> <p>理賠聯盟鏈1.0，就是為了解決申請大量紙本資料及來回奔波於醫院和眾多保險公司的問題而生。這個時期，保戶只需要將紙本資料跟授權書交到一家保險公司，便可以申請多家保險公司理賠。</p> <p>為了進一步節省申請紙本醫療資料的麻煩，接下來推出的保險理賠醫起通1.0則把醫療資料交換無紙化。保戶只要於醫院臨櫃簽署授權書，就能讓醫院直接上傳所需資料給保險公司。後來的醫起通1.5時期，更能在保險公司完成授權簽署，再由保險公司代交給醫院，因此保戶只要去一趟保險公司，即能完成所有作業。</p> <p>到了理賠聯盟鏈2.0時期，保戶開始能選擇在線上認證身分，不再需要繳交任何紙本文件。預計年底上線的醫起通2.0，還進一步簡化了身分認證及資料交換機制，讓保戶不用註冊或登入個別保險公司會員，而是用保險存摺進行統一身分認證，醫院也多了上傳結構化資料的選項，而非PDF電子檔，省去人工上傳及登打作業。</p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:28px;"><span style="background-color:#3399ff;"> 理賠科技演進歷程 </span></span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 理賠聯盟鏈1.0<span style="font-size:14px;">（2020年7月）</span> </span></strong></span></p> <p><strong>先打通保險公司資料流，可一家申請多家理賠。但是，保戶仍須到保險公司繳交紙本醫療資料及理賠資料轉送同意書，也須到醫院繳交醫療資料調取同意書。保戶需註冊或登入聯盟其中一家保險公司的會員，才能開始在該保險公司網站透過聯盟鏈申請理賠</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 保險理賠醫起通1.0<span style="font-size:14px;">（2021年5月）</span> </span></strong></span></p> <p><strong>保險公司可直接向醫院索取電子醫療資料，保戶不再需要繳交紙本醫療資料</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 保險理賠醫起通1.5<span style="font-size:14px;">（2022年5月上線，醫院現行導入版本）</span> </span></strong></span></p> <p><strong>保戶可統一向保險公司遞交兩種同意書，不再需要去醫院</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 理賠聯盟鏈2.0<span style="font-size:14px;">（2022年12月）</span> </span></strong></span></p> <p><strong>保戶可線上認證身分，不再需要向保險公司遞交紙本理賠資料轉送同意書</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 保險理賠醫起通2.0<span style="font-size:14px;">（2022年12月上線，醫院最快今年年底導入）</span> </span></strong></span></p> <p><strong>保戶不須遞交任何紙本同意書，可用保險存摺作為所有保險公司的身分認證，醫院可上傳結構化資料，省去醫院人工上傳及保險公司人工登打資料的作業</strong></p> <p><strong><span style="color:#696969;"><span style="font-size:14px;">資料來源：壽險公會，iThome整理，2023年1月</span></span></strong></p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 保險理賠醫起通2.0運作流程大解析 </span></strong></span></span></p> <p><strong><span style="color:#3399ff;"><span style="font-size:20px;">保險公司端已經上線理賠聯盟鏈2.0的數位身分認證功能，保戶登入後就無需繳交紙本同意書；醫院端醫起通版本則在1.5，已經可以做到醫療資料交換無紙化。預計年底上線的醫起通2.0中，保戶將能用保險存摺登入來認證身分，醫療資料交換則能用結構化資料自動帶入，進一步節省保戶登入、醫院上傳及保險公司登打資料時間。</span></span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 步驟1 </span></strong></span> <span style="color:#B22222;"><strong>選擇申請入口</strong></span></p> <p><strong>選擇聯盟鏈成員其中一家保險公司的網路理賠服務作為申請入口</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟2 </span></strong></span> <strong><span style="color:#B22222;">認證身分</span></strong></p> <p><strong>現行1.5版時，保戶須自行到保險公司網站註冊或登入成為該公司的會員，作為身分認證機制。未來2.0版時，保戶改用保險存摺入口選擇首家保險公司自動登入，或是直接用保險存摺登入保險公司網站</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟3 </span></strong></span> <strong><span style="color:#B22222;">授權資料轉送及調度</span></strong></p> <p><strong>保戶授權保險轉交給哪些保險公司及調出醫療資料、保戶選擇資料調度區間、欲申請理賠的保單類別</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟4 </span></strong></span> <strong><span style="color:#B22222;">理賠申請資料轉送</span></strong></p> <p><strong>保險公司將理賠相關資料傳至平臺，供保戶指定的保險公司用作理賠審核</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟5 </span></strong></span> <strong><span style="color:#B22222;">申請紀錄上鏈存證</span></strong></p> <p><strong>保戶送出申請後，保戶申請紀錄會分別上金融業聯盟鏈及公開查閱用公鏈存證</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟6 </span></strong></span> <strong><span style="color:#B22222;">醫療資料上傳</span></strong></p> <p><strong>平臺向醫院請求醫療資料，醫院確認授權後上傳醫療資料。現行1.5版本中，以上傳PDF電子檔為主。未來2.0版時則是透過系統自動帶入結構化資料，簡化醫院上傳及保險公司登打作業</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟7 </span></strong></span> <strong><span style="color:#B22222;">醫療資料交換紀錄上鏈存證</span></strong></p> <p><strong>醫療資料的上傳紀錄上醫院用私鏈存證，以利保險公司驗證這些資料未被竄改</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟8 </span></strong></span> <strong><span style="color:#B22222;">保險公司存取醫療資料</span></strong></p> <p><strong>所有保戶授權的保險公司從平臺下載醫療資料及理賠相關資料</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟9 </span></strong></span> <strong><span style="color:#B22222;">醫療資料存取紀錄上鏈存證</span></strong></p> <p><strong>保險業者對醫療資料的存取細節會上金融業聯盟鏈存證</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟10 </span></strong></span> <strong><span style="color:#B22222;">開始審核理賠</span></strong></p> <p><strong>保險公司各自開始審核理賠申請，若理賠金額小於30萬則能逕自賠付</strong></p> <p><span style="font-size:14px;"><strong><span style="color:#696969;">資料來源：壽險公會，iThome整理，2023年1月</span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者郭又華https://www.ithome.com.tw/news/155212
【醫界專家觀點：壽險公會顧問楊晴雯】醫院加入理賠區塊鏈首重流程梳理，年底將上線結構化資料傳輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在2022年最後一個月，理賠聯盟鏈2.0啟動試辦了，民眾動動手指就能完成理賠申請，不必再奔波於醫院和保險公司間，3天就能完成原本需要1、2周的醫療保險理賠作業。</p> <p>其中扮演關鍵要角的醫院，為何選擇這麼做？</p> <p><span style="font-size:28px;"><strong>優勢：省人力、便民、無紙化</strong></span></p> <p>因為「醫院可以節省櫃檯人力、便民，還能落實無紙化！」壽險公會顧問楊晴雯分析。他是這項計畫的一大推手，本身也擔任醫院IT主管十餘年，他指出，一直以來，醫院都得設置專屬櫃檯，來處理病人診斷證明書和病歷紙本資料影印，好讓民眾交給保險專員、辦理理賠。</p> <p>但醫院介接壽險公會保險區塊鏈聯盟科技運用共享平臺，能讓醫院和保險公司雙方系統直接溝通，民眾用手機App就能申請理賠，不僅不必在醫院、保險公司間奔波，還能省下排隊時間以及手續費。</p> <p>對醫院來說，這段流程自動化，不只落實無紙化，還能節省人工成本。甚至，位居醫院黃金位置的申請櫃檯，未來也許能解放、進行更多加值應用。</p> <p><span style="font-size:28px;"><strong>理賠聯盟鏈擴大至醫院</strong></span></p> <p>這項應用有2個核心元素：理賠聯盟鏈和保險理賠醫起通服務。</p> <p>理賠聯盟鏈是要集眾人之力，來一站式完成保險理賠作業，民眾只需向一家保險公司申請，資料就能互通，不必在不同保險公司間來回奔走。壽險公會先是在2020年推動理賠聯盟鏈1.0，後來將民眾填寫紙本同意書這一流程數位化，在2022年底發展出理賠聯盟鏈2.0。</p> <p>在這個基礎上，壽險公會進一步擴大至醫院，結合既有的保險理賠醫起通1.5版本服務，打通保險公司和醫院隔閡，民眾線上申請，醫院就能將診斷證明等PDF資料送至壽險公會區塊鏈平臺，平臺再傳遞給保險公司。</p> <p>過往，一家保險公司得與不同醫院簽署協議，來處理保戶理賠，等於M家保險公司得與N家醫院協談，「也就是M×N倍功，」楊晴雯比喻。而保險理賠區塊鏈平臺「就像是交換平臺，」保險公司、醫院都加入，就能完成資料傳輸，如此就能「將M×N簡化為M+N，大幅降低複雜度，」他說。</p> <p><span style="font-size:28px;"><strong>醫院首要工作是梳理流程</strong></span></p> <p>為了介接壽險公會平臺，醫院首要工作不是技術和硬體準備，而是流程梳理。楊晴雯點出，保險理賠自動化涉及醫院病歷管理、診斷書開立、會計出納收費等單位作業，是很複雜的議題，因此在專案初始，醫院和壽險公會得先與院內所有相關部門討論。特別是，診斷書手續費收入和人力增減、收費複雜度等領域。</p> <p>再來，醫院也得思考進入電腦作業後的處置，比如醫院對壽險公會將額外產生收費報表，或是醫院會計作業是否需自動傳輸、再人工稽核。</p> <p>楊晴雯補充，對中大型醫院而言，手續費收入、無紙化和便民會是考量重點，技術問題反而不大，但小型醫院相反，手續費收入問題不大，但程式修改等技術問題得委外處理，產生額外支出，就會特別考慮。</p> <p>不只如此，合規也是醫院考量重點。楊晴雯回憶，第一家加入保險理賠區塊鏈平臺的臺北市立聯合醫院，對應用是否符合法規持謹慎態度，當時時任臺北市副市長黃珊珊加入討論，從法律角度提供建議，北市聯醫就在合規基礎上加入保險理賠區塊鏈，也成為後續公立醫院的參考。</p> <p>流程梳理完後，就進入軟硬體配置階段。首先，壽險公會會設置一臺伺服器，來處理系統連接、加密傳輸和數位簽章等作業，醫院則需有專屬設備，並自行開發一個小功能，透過壽險公會API，來將所需資料上傳至壽險公會伺服器。</p> <p>這些資料，包括病人簽署的病歷資料使用同意書、PDF格式診斷證明書和相關病歷資料等。醫院收到民眾請求後，就會從醫療資訊系統（HIS）中撈取所需資料，彙整成PDF檔案傳給壽險公會平臺，壽險公會再發給保險公司。</p> <p>至於手續費部分，壽險公會平臺會計算出各保險公司需給付醫院的資料處理費用。</p> <p><span style="font-size:28px;"><strong>預計今年底上線醫起通2.0，可傳結構化資料</strong></span></p> <p>目前，醫院診斷證明書等資料以PDF格式傳送，民眾也可在線上簽署病歷資料使用同意書，這是保險理賠醫起通1.5版進展。</p> <p>不過，保險公司收到PDF檔案，仍需核對、手動輸入相關資料。楊晴雯指出，壽險公會正規畫，要將診斷證明書等PDF格式的文件改為結構化表單，直接以表格欄位形式，將資料帶入保險公司系統。他們也正與保險公司詳談，要製定公版表格來讓醫院遵從。這就是預計在2023年底上線的保險理賠醫起通2.0版，要將流程更自動化。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王若樸https://www.ithome.com.tw/news/155213
【醫院實例：萬芳醫院】萬芳醫院首波就加入壽險公會理賠區塊鏈，下一步盼整合數據推新服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，臺北市立萬芳醫院加入壽險公會保險理賠醫起通服務，是首波加入的4家醫院之一。醫起通與理賠聯盟鏈密不可分，都是壽險公會推動的區塊鏈應用，聯盟鏈集眾保險業者之力，打通彼此隔閡，提供民眾一家申請、多家同步的服務，醫起通則延伸到醫院，串起保險公司和醫院資訊流，讓民眾不必出門就能完成理賠。</p> <p>萬芳醫院為何要在2021年壽險公會來訪時，一口氣就點頭加入？</p> <p><span style="font-size:28px;"><strong>壽險公會理賠區塊鏈省時省力</strong></span></p> <p>「因為這是多贏！」時任萬芳醫院資訊室主任、現任北醫大副資訊長許權廣指出，鑑於民眾申請理賠，得來回於醫院和保險公司間奔走、漫長等待數天才得到理賠，萬芳醫院自2018、19年開始與幾家保險公司發展保險理賠區塊鏈應用，要民眾上網申請、醫院再藉區塊鏈平臺傳遞資料給保險公司，來加速理賠作業。</p> <p>但當時，每家保險公司要求醫院提供的文件，各有其欄位格式，醫院IT維護起來相當費神。正巧，2021年第一季，壽險公會找上萬芳醫院，醫院高層、許權廣與同仁聽完公會說明的當下，就答應加入。</p> <p>因為，透過壽險公會區塊鏈平臺，不只能加速民眾理賠申請作業、免於奔波，醫院只要遵從一套欄位標準，就能對應到多家保險公司。而且，保險公司還會支付醫院調閱資料手續費，醫院還能減少櫃檯人力、落實無紙化，是邁向智慧醫院的新嘗試。</p> <p>在這些考量下，萬芳醫院決定串接壽險公會區塊鏈平臺，加入保險理賠醫起通行列。</p> <p><span style="font-size:28px;"><strong>數周就完成串接，欄位也與健保上傳資料相仿</strong></span></p> <p>保險理賠醫起通可分為1.0和1.5版，1.0版由病人線上提出理賠申請，醫院透過系統調閱病歷、彙整為PDF檔，上傳至公會區塊鏈平臺，公會再發給保險公司。但民眾仍需至醫院櫃檯簽署醫療授權同意書，1.5版將這個流程數位化，線上簽署即可。同樣地，保險端理賠聯盟鏈也有1.0和2.0兩個版本，第2版將民眾至保險公司端簽署數位服務同意書的流程數位化，壽險公會也在去年12月宣布試辦。</p> <p>萬芳醫院在醫起通1.0時期就串接壽險公會平臺，目前也更新為1.5版。說起採用過程，許權廣直言：「沒太大困難。」因為，萬芳醫院多數資料都已電子化，就算偶有尚未電子化的紙本資料，也能靠院內早年推動無紙化購置的高速掃描設備處理，確保資料以數位形式傳遞。</p> <p>再來，軟硬體準備和程式架接也不費工。醫院先準備1臺4核心、16G一般規格的虛擬機，安裝常見的資料傳輸軟體、設置防火牆，就能進行第一階段測試，來確認壽險公會平臺與醫院平臺的介接是否安全。這個工作1天就能完成。</p> <p>在API和欄位串接部分，醫院只需處理壽險公會提供的3個API，這些API分別用於案件申請通知、醫院查閱案件詳情，以及醫院資料上傳。許權廣指出，壽險公會規範的資料欄位，與現行醫院上傳健保署的資料欄位相仿，因此串接時不必下太多功夫，撰寫串接文件約1、2周就能完成。</p> <p>他也引用壽險公會揭露的數據，光是2020年至2021年的1年半間，第一波啟用保險理賠醫起通的4家醫院，就讓11多萬民保戶節省2次以上的重複申請和診斷書費用。</p> <p><span style="font-size:28px;"><strong>挑戰：影像資料電子化、提高民眾使用普及率</strong></span></p> <p>不過，在採用過程中，也有些困難要思考。許權廣點出，醫院產製文字類電子檔並不難，但要產出影像類資料，特別是從較老舊的醫療儀器產出，就需要複雜的工作流程，來匯出PDF檔影像再上傳。這是醫院得思考的問題。</p> <p>此外，萬芳醫院還面臨一道難題。許權廣觀察發現，服務上線後，儘管醫院有所宣導，仍有民眾不放心，習慣申請紙本病歷資料，再交給保險業務員來申請理賠。</p> <p>這是普及理賠區塊鏈應用的挑戰。他認為，未來除了持續宣導，也要新增管道，比如除了讓民眾從壽險公會的保險存摺App使用醫起通服務，萬芳醫院也打算在自家App中整合該功能，讓民眾更便利使用。</p> <p><span style="font-size:28px;"><strong>下一步：準備2.0版測試、盼累積數據發展新服務</strong></span></p> <p>今年，壽險公會也正籌備保險理賠醫起通2.0版，要將現行醫院上傳的PDF檔案，改為結構化資料，針對病歷資料、診斷證明、收據等設計各自的公版欄位，來讓醫院系統直接帶入。</p> <p>如此不只能更自動化，保險公司也不必人工對照PDF、騰打資料。許權廣透露，今年中，萬芳醫院就會配合公會進行2.0版測試，年底將隨公會公告，正式上線新服務。</p> <p>目前雖有24家醫院加入壽險公會醫起通，但他期盼更多醫院加入，來壯大這個生態系。「也許能舉辦經驗分享會，來吸引其他醫院加入，或是公會先發送問卷，調查醫院使用數據，」許權廣舉例，如透過問卷統計出最常申請理賠的科別或給付區間，就能針對長照2.0等既有政策，來發展符合政府和民眾需求的新式保單或服務。</p> <p>甚至，他認為，這些理賠申請數據也能結合其他健康數據，提供給健保署，作為日後健保預防醫學政策制定的參考。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王若樸https://www.ithome.com.tw/news/155214
【醫院實例：高雄榮總】率先發展保險區塊鏈創新，未來期待統一標準串接更多政府機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月底，壽險公會宣布保險理賠聯盟鏈2.0試辦，搭配保險理賠醫起通服務，打通保險公司和醫院隔閡，民眾在線上就能完成醫療理賠作業，不必來回奔走。高雄榮總是參與這項應用的24家醫院之一，他們看見哪些機會與挑戰？</p> <p><span style="font-size:28px;"><strong>5年前發展理賠區塊鏈應用，催生公會聯盟鏈</strong></span></p> <p>早在2018年，高雄榮總（以下簡稱高榮）就發起一項創新專案，聯手台灣人壽、中信金控、中華電信等集團，來打造保險理賠區塊鏈應用。他們看好區塊鏈這項新技術，可以加速患者保險理賠作業，於是由中華電信開發區塊鏈平臺，來記錄各項授權和資料交換軌跡。實際的運作方式是，病人在台壽App提出理賠申請，台壽傳送病人授權和個資給高榮，高榮再將病歷資料傳給台壽來理賠，病人也能在官網或App上登入區塊鏈平臺，查看病歷資料和理賠進度。</p> <p>高榮調查發現，這個方法可大幅縮短民眾出院到獲得理賠的等待時間，不僅從原本13天縮短為3.6天，還不必到處申請紙本文件，而醫院每年還能省下211小時的病歷申請審查時間，甚至，壽險公司每年還可節省近3,000小時的複雜理賠個案病歷調閱審查時間。</p> <p>這個成功模式，也促成壽險公會推動理賠聯盟鏈和保險理賠醫起通服務。公會先是在2020年成立理賠聯盟鏈1.0來打通各保險公司隔閡，等於民眾在一家保險公司申請，就能互通資料，不必奔走於各保險公司；聯盟鏈2.0則進一步數位化保險同意書簽署流程。</p> <p>同時，公會也發展醫起通服務，來打通醫院與保險公司藩籬，民眾只要申請、授權，醫院就能將所需的病歷資料、診斷證明和收據等文件彙整為PDF檔，發送至壽險公會區塊鏈平臺，平臺再傳給保險公司。壽險公會也在這幾年間，招攬數十家保險公司和醫院加入，要讓民眾享有更便利的醫療理賠申請，高榮就是第二波加入的醫院。</p> <p><span style="font-size:28px;"><strong>農曆年後上線醫起通1.5版，準備工作首重資安</strong></span></p> <p>在這個基礎上，去年8月，高榮與壽險公會簽約，要發展1.5版理賠醫起通服務，「預計今年農曆年後上線！」經手該計畫的高榮資訊室應用發展組組長蘇照桐指出，1.0版將民眾申請的紙本診斷證明文件數位化、以PDF形式傳送，但民眾仍需臨櫃簽署醫療授權同意書，1.5版則進一步將這段流程數位化，民眾以數位簽章就能簽署授權，不必再透過紙本。他們年後就將提供這個服務。</p> <p>在平臺介接部份，蘇照桐表示，醫起通1.5版架構與高榮2019年上線的區塊鏈平臺架構一致，介接不難，但也有些準備工作要考量。首先是資安，醫院得確保病歷這類高機敏性資料，能在區塊鏈平臺安全拋轉，同時也得評估，病毒透過平臺反向侵入醫院的可能性。</p> <p>確認無虞之後，接著就是軟硬體準備，如在院內設置工作站或伺服器，作為醫院資訊拋轉的出入口，或是防火牆設定開通等，這些工作準備就緒之後，就能夠正式上線。</p> <p>屆時，民眾利用官方App就能在區塊鏈平臺申請理賠，保險公司將授權資訊傳送到醫院，醫院再透過電子調閱系統，彙整病歷資料為PDF檔案，上傳至壽險公會的平臺。</p> <p><span style="font-size:28px;"><strong>期待2.0版本上線，資料結構化也更加自動化</strong></span></p> <p>蘇照桐點出，在這項應用中，最重要的是「醫院資訊要能出去，」也就是要產製病歷電子檔。</p> <p>對高榮來說，診斷證明、出院病摘等病歷資料原本就已電子化，但有些文件仍是紙本．比如收據，需要掃描才能上傳。他也點出，對小醫院而言，病歷電子化可能就是首要問題，得先掃描紙本文件為PDF檔案，才能上傳。</p> <p>不過，壽險公會預告，今年底要上線醫起通2.0版，要將現有PDF格式改為結構化資料，也就是針對病歷資料、診斷書和收據，規範出公版欄位格式，醫院系統可直接帶入相對應資料到欄位中。這麼做，醫院就不必手動彙整電子檔，保險公司也不需要人工參照PDF騰打資料。「我們很期待2.0版！」蘇照桐指出，高榮已經準備好了，就等公會釋出公版欄位規範；未來也許還能發展為，醫院一鍵就能彙整病歷資料、打包為XML檔案，自動上傳到壽險公會平臺。</p> <p>對高榮來說，介接壽險公會理賠區塊鏈，不只能減少醫院櫃檯的行政作業流程，還能降低紙張成本。對民眾來說，更能減少等待和來回奔走的時間，猶如高榮2019年調查的成效。</p> <p><span style="font-size:28px;"><strong>期望標準逐漸統一，或可與政府單位介接</strong></span></p> <p>不過，督導該專案資訊流程與資料介接的高榮資訊室主任林秋燕有感而發表示，目前醫院要上傳病歷資料至許多單位，如健保署、衛福部電子病歷交換中心（EEC）、疾管署、國健署和壽險公會等，每個單位要求上傳的檔案格式不盡相同，等於醫院得多一份力維護不同格式的病歷資料。</p> <p>「醫院傳送資料的標準應可逐漸統一，將資料結構標準化。」她認為，也許壽險公會平臺未來也能規畫，讓病歷資料傳送標準與其他單位趨於一致。</p> <p>甚至是，衛福部EEC和健保署擁有全臺最完整的醫療資料，如果壽險公會理賠區塊鏈平臺，能直接與EEC或健保署平臺介接，來調閱病人理賠所需的病歷資料，就會比單一家醫院來得全面，也更符合以病人為中心的理念，讓理賠更快速、暢通。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王若樸https://www.ithome.com.tw/news/155215
保險理賠全程數位化大突破
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是臺灣最大規模的保險區塊鏈應用，不只用區塊鏈作為基礎，打通了保險公司之間的資料共享，現在更進一步打通了與醫院之間的資料共享，理賠申請可以做到全程數位化，光是過去2年，17萬人因此少跑了27萬趟保險公司</p> </div></div></div>
2023/1/20 00:00未署名https://www.ithome.com.tw/article/155216
萬達寵物用電商DNA改造IT，全集團更建立數據驅動文化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時間是2021年5月，臺灣疫情進入三級警戒。高度仰賴實體通路的服務業者業績遭受嚴重打擊，甚至直接歸零。由於對線上通路經營一竅不通，不少業者不是倒閉，就是扛著巨大財務壓力在黑暗中摸索出路。</p> <p>服務業一片慘澹，寵物百貨萬達寵物卻展現出迅速應變的能力脫穎而出。萬達寵物集團由寵物公園、凱朵寵物、貓狗隊長3個線下品牌，及2019年收購的寵物電商毛孩市集組成。疫情來襲2個月內，他們上線了寵速配外送服務，從3個網路平臺，為全臺近百家寵物公園門市接單，再以這些門市為據點，1小時內配送商品到消費者家中。要做到此服務，他們必須先做到全臺店鋪庫存的半即時追蹤、再導入一家第3方接單系統及兩大外送平臺接單系統，分別與自家POS系統串接、還要完成全臺店鋪員工的教育訓練。這一切，都在短短2個月內完成，期間還順便導入了新的CRM系統。</p> <p>萬達具備什麼優勢，能夠如此快速應變突然其來的危機？「最重要的還是集團各部門積極合作。」萬達寵物資訊長蘇晏良謙虛的說。不過，還有另一個重要原因，歸功於萬達寵物實力堅強的IT團隊。</p> <p>蘇晏良在成為萬達寵物CIO之前，曾經是周邊商品電商Fandora和寵物垂直電商毛孩市集共同創辦人及CEO。這兩家電商系統，都是由蘇晏良帶領的IT團隊自力開發完成。毛孩市集加入前，萬達IT部門編制只有4到5個人，IT建設也有些老舊。蘇晏良加入萬達後回歸IT本行，帶著毛孩市集一批經驗老到的工程師接任萬達寵物CIO，這也是能夠快速上線寵速配的硬實力。</p> <p>不過，工程師硬實力並不是萬達IT唯一優勢。在疫情打亂所有人手腳之前，萬達IT架構就已經進行著升級，要打造高度彈性的資訊基礎架構，讓IT部門能快速回應新業務需求，也能大幅降低新增或更換外部系統的難度。</p> <p><span style="font-size:28px;"><strong>打造資料倉儲和BI分析工具，注入數據驅動思維</strong></span></p> <p>多年營運電商經驗，讓蘇晏良慣於用鐵打的數字來做大大小小決策。因此他來到集團首要之務，是導入資料倉儲跟無程式碼商業智慧工具，讓萬達能用數據來輔助決策。他們將所有分散且不同步的數據都收攏到單一雲端資料倉儲中，以便能隨時存取到新鮮度2小時內產生的營運數據，後來更成立了戰略數據部門，用BI工具快速生產報表，來因應各種決策需求。至今，蘇晏良形容，數據驅動的思維已經深入萬達集團上下，從重大會議到日常決策，從集團高層到門市店長，都會使用各式報表來輔助。「我們報表產生頻率不只是一天幾次，而是Always。」他說。</p> <p>蘇晏良回憶，萬達有許多老舊系統，彼此互不相通，進行這段升級時，因為相容性跟格式問題，匯出數據到資料倉儲時花了很多時間。例如ERP跟POS的數據不一致時，需要經過一番比對，才能決定同一筆資料要收錄哪個系統的版本。系統老舊和缺乏單一數據來源帶來的困擾，使萬達IT體認到，下一步必須優化資訊架構。</p> <p><span style="font-size:28px;"><strong>自建POS系統，允許IT高效率支援集團業務</strong></span></p> <p>萬達舊有系統採用地端架構。蘇晏良認為，雖然地端架構本身沒有帶來嚴重問題，但不只軟體過時，連作業系統和伺服器版本都相當老舊。考慮到軟硬體翻新的初期投資成本、後續擴充彈性，加上前一階段導入資料倉儲時，萬達核心資料就已經上了雲端，蘇晏良決定，藉機將ERP、POS及其他核心系統，都改成雲端原生。這也省下了管理地端機房的人力，讓萬達IT能更專注在接下來的系統開發和維護。</p> <p>首先更新的是POS系統。多品牌集團若要選擇使用市售的POS系統，常因為品牌間商品種類、營業型態及行銷模式相異，難以找到一套既有POS系統給所有品牌使用。然而，若使用不同套POS系統，資料收整到集團總部時，又會面臨系統串接、資料格式統一等問題。</p> <p>以萬達為例，萬達旗下不只一個品牌，且業態特殊，除了一般寵物零售，還有販售寵物美容、住宿等服務，且會員檔案格式非常特別，不是以一個會員為單位，而是以一名飼主及飼主的寵物為單位，且數量跟物種都可能不同，例如一名飼主可能養了兩隻貓、一隻鸚鵡。另外，寵物業界的行銷方法與其他零售業也有些不同。蘇晏良舉例，寵物業常常會祭出第二包五折這種優惠，雖然與兩包七五折相似，但就會與市面上POS系統的常見行銷模組不同。</p> <p>萬達IT有著自建Fandora和毛孩市集電商系統的經驗，因此蘇晏良研判，雖然系統架構複雜的ERP還是得使用現成套裝方案，但新POS系統，可以由這些老練的工程師自行打造。萬達IT歷時1年，自力打造一套適用於自家所有品牌的POS系統後，不僅支援所有營業上需求，還能大幅簡化系統串接工作，也無須整合數據。未來萬達需要擴充新業務或長短期行銷模式，都能由內部IT自行解決。蘇晏良說，萬達寵物擅長進行各式主題跟模式的行銷活動，因此有能力彈性增減POS內行銷模組，對他們尤其重要。</p> <p>自建POS系統，使萬達IT能在既有通路，也就是門市跟電商網站，快速跟上業務調整。另一個建設，則更讓萬達IT有能力面對大規模業務型態及通路的擴張：自建數據中臺。這一步，是蘇晏良認為萬達IT改造最關鍵的一環。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1113-CIO-450.png" style="width: 532px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>萬達寵物資訊長蘇晏良認為，IT必須掌握最核心的數據及系統自主權，才能有效管理整體資訊架構，不讓任一系統綁架數據或連累其他系統。</strong></span><span style="font-size:14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>自建中臺掌握核心數據及系統，造就快速調整營運方向的餘裕</strong></span></p> <p>先前建立資料倉儲時，由於不同系統的核心數據無法即時同步，且難以搬移，讓蘇晏良體認到掌握核心數據及系統的重要性。他說明，萬達寵物需要很多IT系統，例如ERP、供應鏈管理、POS、電商、外送平臺、行銷工具等。為了確保自己不會被單一系統商綁死，並限制任一系統異常對整體架構的影響，公司一定要自己掌握整體系統架構，「前端業務系統可以用買的，但後端資料跟架構一定要緊握手中。」</p> <p>萬達的做法就是自建數據中臺，作為所有核心數據的同步和分析中心，也是集團內所有系統串接時的中繼平臺，更充當眾多系統的後臺。這樣一來，當萬達需要撤換個別解決方案，不僅數據不會卡在原先系統搬不走，也不會對其他系統造成影響。同理，要新增任何系統，也只需要串接到數據中臺，就等於和整個萬達系統架構相通。「類似星狀拓樸架構，所有系統都只跟中臺串接，而且可以熱插拔。」他形容。</p> <p>不過，萬達建設數據中臺期間，遇到了一個插曲，不只打亂了IT工作排程，更證明了數據中臺的必要性。那就是2021年5月的三級警戒封城，讓萬達線下部門業績一落千丈。為此，他們放下手邊的工作，全力發展寵速配一小時外送服務。</p> <p>雖然萬達已經有毛孩市集這個電商部門，不過寵速配與毛孩市集的營運模式有許多不同之處，讓背後的IT建置難度更高。首先，毛孩市集是從集中倉儲統一出貨，一般會在3至7個工作天內送達，最快也只保證24小時；寵速配則是從全臺近百家寵物公園門市分別出貨，且保證1小時內送達。不只如此，毛孩市集是純電商，只有單一銷售通路，但寵速配有實體門市來客加上3個新的線上接單平臺。因此萬達IT不僅要先串接3家接單平臺系統，還需要高頻率同時追蹤這4種通路對數十家門市庫存造成的增減。</p> <p>突如其來的疫情下，萬達採取了盡快上線服務來挽救業績，後續再逐步優化的策略。由於新的資訊架構尚未完工，因此，這些新系統就得串接到舊資訊架構，待日後中臺完工還要重新串接。</p> <p>另一個問題是，寵速配剛上線時，寵物公園本來只會每天回傳一次店面庫存資料到總部，因此，線上通路顯示的庫存和門市實際庫存可能會有所出入，日間，店員接到外送訂單時，必須親自檢查店面庫存。若有任何一個品項庫存不足，就必須拒絕訂單。這樣的限制，讓萬達只敢上架店內約五分之一品項到線上通路，且平均拒單率有9%左右。經過多次調整後，萬達才做到30至60分鐘內的庫存追蹤，並與其中一家外送平臺同步庫存，因此不只拒單率降到接近於0，也能一口氣上架全部品項。</p> <p>這個插曲仿佛是在提醒萬達，架設高彈性、高自主性資訊架構的重要性。蘇晏良說，後來中臺完工重新串接系統，只花了短短半個月。若當時新資訊架構已經完工，寵速配上線時間可能還能再提早，因而挽救更多業績。</p> <p><span style="font-size:28px;"><strong>擴大IT應用，用第一線業務情境來主導發展方向</strong></span></p> <p>隨著萬達對外營業型態和對內管理模式不斷調整、發展，整個資訊架構便會更加仰賴中臺。蘇晏良坦言，萬達中臺確實非常龐大，直至今日，萬達中臺且仍在擴充，因此持續優化中臺及整體系統架構，確保萬達IT能與時俱進，是不會中斷的重要課題。不過萬達IT早在建設中臺時，就不只是為了串接特定系統而設計，而是從容易擴充、能相容各種資料為出發點，加上萬達IT本來就有維運大型系統的經驗，因此中臺龐大不是壞事，反而是萬達善用IT優勢的象徵。</p> <p>2022年4月，萬達IT完成ERP、POS及中臺等系統升級。蘇晏良稱這以後的時期為擴大期，除了繼續優化系統架構，更要利用高掌握度、高彈性的優勢，開始導入供應鏈管理、自動化行銷及會員經營工具等新系統。</p> <p>蘇晏良說，從建置資料倉儲到資訊架構全面升級的階段，IT部門基本上是自行決定工作執行方向。當資訊架構基礎奠定，從前線CEO回歸後勤CIO的他認為，對市場敏感的業務部門應該要有更多主導權，不只要提出需求，還要主導最終執行方案，IT只負責技術評估跟實際執行。</p> <p>他舉例，寵速配服務就是由業務主導的專案，業務部門看到外送平臺對零售業生態帶來的變革，因此提議利用外送平臺來作為封城時的替代通路。後來，臺灣不少業者也紛紛結合外送平臺，疫情解封的現在，寵速配業績仍穩定成長，佐證了業務部門對此趨勢的洞見。</p> <p>這份對第一線需求的重視，也反映在蘇晏良管理IT部門的方法上。萬達的PM和工程師，有時會被分派去實體門市當一日店員，以體會第一線需求。或者當萬達要導入外部系統時，與其在辦公室內開會評估，IT部門會先到外部系統商的運作現場參觀。「前端需求跟運作模式，會反應在後端資訊架構上。」他強調。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>萬達寵物資訊長蘇晏良</strong></p> <p>學歷：成功大學電腦與通訊科學研究所</p> <p>經歷：曾任粉絲周邊商品電商Fandora及寵物用品電商毛孩市集共同創辦人及CEO，兩個電商系統都是由他所帶領的IT團隊自力開發。帶著毛孩市集加入萬達寵物集團後，在集團內推廣數據治理文化，帶領團隊自建POS系統及數據中臺，並翻新IT架構。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%90%AC%E9%81%94%E5%AF%B5%E7%89%A9%E9%9B%86%E5%9C%98.jpg" style="width: 201px;" /></p> <p><strong>萬達寵物</strong></p> <p>成立時間：1999年</p> <p>業務介紹：寵物用食品與用品</p> <p>董事長：陳樂維</p> <p>網址：<a href="http://www.wonderpet.asia">www.wonderpet.asia</a></p> <p>地址：台北市中山區長安東路一段23號四樓之三</p> <p>員工人數：700人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>直屬主管：蘇晏良</p> <p>資訊部門名稱：資通訊處</p> <p>資訊部門人數：12人</p> <p>每年IT預算：6,000萬元</p> <p>資訊部門分工：內部系統開發、外部系統導入、硬體採購與維護</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2013年：導入ERP</p> <p>●2019年：導入資料倉儲與商業智慧工具</p> <p>●2021年：導入雲端ERP</p> <p>●2021年：導CRM，寵速配外送功能上線</p> <p>●2022年：上線雲端POS及數據中臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1113-cio-960.jpg" width="960" height="420" alt="" title="萬達寵物資訊長蘇晏良　（攝影／洪政偉）" /></div></div></div>
2023/1/20 00:00作者郭又華https://www.ithome.com.tw/people/155217
開放元宇宙基金會成立，目標推動元宇宙開放標準制定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會旗下新創立<a href="https://www.openmv.org/linux-foundation-establishes-path-to-accelerate-the-journey-to-an-open-metaverse/">開放元宇宙基金會（Open Metaverse Foundation）</a>，專注於發展中立的元宇宙開源軟體和標準，實現具包容性、可移植性和互通性的元宇宙生態系。在開放元宇宙基金會中，社群將會討論並創建建構模組，將元宇宙的概念轉為實際用途，範疇涵蓋數位資產、模擬、交易、AI、網路、安全、隱私和法律。</p> <p>許多基金會都在社群內建構工具，但要讓元宇宙順暢運作，不只需要各社群建構的各種元宇宙元件，還需要有一套能夠依循的標準進行整合。官方舉例Open 3D基金會便是元宇宙其中一個重要的生態系，該基金會建置Open 3D Engine專案，發展出許多開創性的元件和函式庫，像是其所開發的開源Apache 2.0參照引擎，能夠測試和建置可被用於任何3D引擎的可移植互通函式庫。</p> <p>但官方提到，Open 3D Engine僅是元宇宙解決方案的一部分，其他後端服務、標準等同樣皆為元宇宙成功於否的要素，像是交易程序必需有收據作為證明，而模擬技術雖然可用於創建虛擬世界，但是必須存在用戶和物件才能發揮作用，不同的世界需要有一套通訊標準，供用戶在不破壞沈浸式體驗的情況下進出，而建立這些開放標準的工作，則是開放元宇宙基金會的主要任務。</p> <p>開放元宇宙基金會的工作還包括重塑網際網路開放協作技術，以滿足元宇宙更多的需求，開放元宇宙基金會已經建立數個基礎興趣小組，協助基金會針對重要主題提供決策結構，並且提供有用的資源和論壇，用以收集新想法以及招募新貢獻者。開放元宇宙基金會的治理，依照Linux基金會的最佳實踐執行，專案貢獻採用Apache 2.0和MIT開源授權。</p> </div></div></div>
2023/1/19 22:58作者李建興https://www.ithome.com.tw/news/155226
獨立監察委員會敦促Meta改進曖昧不明的裸露刪文政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oversightboard.com/news/1214820616135890-oversight-board-overturns-meta-s-original-decisions-in-the-gender-identity-and-nudity-cases/">Meta監察委員會（Oversight Board）</a>推翻Meta原本對跨性別和非二元性別者，在Instagram上胸部裸露貼文的刪除決定，同時，監察委員會也認為目前平臺對於女性裸露胸部的規則不夠清楚，對用戶和審查人員帶來許多不確定性難以實踐。</p> <p>Meta在2020年的時候成立全球內容監察委員會，負責審查臉書和Instagram平臺的服務和內容，該委員會獨立於Meta，就言論自由、安全和隱私等領域提供專業意見，審查有爭議的內容並作出決策建議。</p> <p>這次監察委員會所審查的案例，有關於一對伴侶在同一個Instagram帳號所發布的兩則貼文，這對伴侶的自我認同分別是跨性別與非二元性別，Meta的自動化系統在偵測到該Instagram帳號，所發表有關於性別確認手術（Gender-Affirming Surgery）貼文的胸部裸露照片後，經過Meta多次人為審查，最後認為該貼文除了裸露照片還加上募款連結，違反社群的性邀約（Sexual Solicitation）政策予以刪除。</p> <p>該Instagram帳號用戶向Meta提出上訴，而後又向監察委員會提出上訴，委員會在受理該案件後，認為Meta錯誤刪除這些貼文，監察委員會提到，刪除這些貼文並不符合Meta社群的標準、價值觀和人權責任，且凸顯出Meta政策中的根本問題，Meta對審查人員就性邀約政策刪除內容的指導，遠寬於該政策原本的指引。</p> <p>監察委員會指出，平臺上關於女性乳頭裸露的規則模糊不清，尤其是當這些規則套用在跨性別和非二元性別者時，更是令人困惑。裸露政策存在許多例外情況，像是在性別確認手術和醫療健康的脈絡下是被允許的，但是審查人員需要評估疤痕的範圍和性質，來確認是否適用例外情況，監察委員會認為該政策的不明確性，在實踐時窒礙難行。</p> <p>由於這些執行與政策指引的不一致，讓使用者和審查人員無所適從，因此監察委員會除了推翻Meta最初刪除貼文的決定之外，也建議Meta應該定義明確、客觀且尊重人權的成人裸露和性活動社群規則，以便符合國際人權標準，同時應該在性邀約社群標準中提供更多執行細節，並修改審查人員的指導，減少執行錯誤。</p> </div></div></div>
2023/1/19 23:02作者李建興https://www.ithome.com.tw/news/155228
【資安日報】2023年1月19日，Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab最近釋出新版本，目的是修補三個漏洞，值得關注的是，其中<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://github.com/git/git/security/advisories/GHSA-475x-2q3q-hvwq" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id--102576702" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">CVE </span></a><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="2" href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-19329384" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">-2022-41903</span></a>、<a href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89">CVE-2022-23521</a>都是重大層級漏洞，GitLab呼籲用戶盡速更新，對於無法立即更新的用戶，他們也提供了一些可降低風險的建議步驟供用戶暫時應變。</p> <p>勒索軟體的危害持續受企業關注，最近有資安業者表示，對於近來攻擊活動頻繁的BianLian勒索軟體，他們打造出解密工具，讓既有受害者能夠得以恢復檔案。</p> <p>資料庫配置不當的問題又一樁，這次研究人員揭露的是印度人力銀行Rocket有大批客戶資料因存放在可公開存取的資料庫而曝險，再次突顯雲端管理疏失的問題。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/155174" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet說明VPN漏洞被濫用攻擊政府單位</span></strong></a></h3> <p>去年底有駭客組織針對Fortinet產品CVE-2022-42475漏洞的攻擊，Fortinet近日揭露更多攻擊細節，除了指出攻擊者這波精準攻擊行動是針對政府機關及相關單位而來，指出這次發現的是過去為FortiOS客製化的Linux二進位檔Bakso後門程式的Windows變種。這隻惡意程式操弄FortiOS的紀錄流程，最後刪除紀錄檔以躲避偵測及長期滲透。其他下載程式則破壞了Fortinet的入侵偵測（IPS）功能，使其無法監測流量中的違法活動。</p> <h3><a href="https://cybernews.com/security/hr-platform-data-leak/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度人力銀行Rocket資料庫配置不當，曝露近千萬求職者與員工的資料</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Inida%20Rocket%20Leak%20Banking_info.jpg" style="width: 300px; float: right;" /></p> <p>科技新聞網站Cybernews的研究人員2022年12月12日發現一個可公開存取的資料庫，裡面總共有260 GB個資，而且是印度人力銀行Rocket所擁有的數據。研究人員發現約43.5萬份薪資單、300份稅務表單、3,800份保險付款文件，以及2.1萬個薪資試算表，這些資料屬於採用Rocket服務的多家公司。此外，他們還看到約900萬名求職者的個資，包括未經過雜湊函數轉換處理（hashed）的電子郵件、電話號碼、姓名、居住地址，以及履歷，甚至是拍成圖檔的個人文件，像是駕照、選民身分證件、銀行存摺等。對此，Rocket向Cybernews透露，出現上述現象的原因，主要是他們新部署的大數據圖解系統Kibana配置不當造成。</p> <h3><a href="https://www.ithome.com.tw/news/155144" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Exchange Server 2013支援期還剩不到90天</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Exchange Server 2013 EOS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Exchange%20Server%202013%20EOS.png" style="width: 300px; float: right;" /></a></p> <p>隨著2023年的到來，近期微軟開始提醒用戶，Exchange Server 2013 SP1的延伸支援將於今年4月11日終止，屆時其產品生命週期正式結束，也不會再有安全更新，呼籲還沒轉換的用戶需盡速採取行動。</p> <h3><a href="https://www.ithome.com.tw/news/155191" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Avast宣布已打造出「變臉」勒索軟體解密工具</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/decryptor-bianlian-006.jpg" style="width: 300px; float: right;" /></p> <p>針對2022年8月新現身的BianLian（變臉）勒索軟體，最近有資安業者帶來好消息，Avast在1月16日宣布釋出其解密工具，幫助遭受此勒索軟體攻擊的受害者電腦，可以在不付贖金的情況下，恢復遭惡意加密的文件。根據Avast說明，這隻勒索軟體不會從頭開始加密文件，也不會加密到最後，而是固定偏移量的部分加密。</p> <h3><a href="https://www.ithome.com.tw/news/155179" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究發現大型語言模型促進輿論操縱，假消息將更多更具說服力</span></strong></a></h3> <p><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://cdn.openai.com/papers/forecasting-misuse.pdf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-372538344" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI-enabled%20Influence.png" style="width: 300px; float: right;" />喬治城大學、OpenAI、Stanford Internet Observatory（SIO）合作</span></a> ，展開對大型語言模型（LLM）對輿論風向操縱的研究，最新論文中指出，大型語言模型被濫用於輿論風向操縱，將導致數量更多，形式更多樣的輿論風向操縱應用，且目前還無有效的解決辦法。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://github.blog/2023-01-17-git-security-vulnerabilities-announced-2/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Git修補重大RCE漏洞</span></strong></a></h3> <p>資安業者X41 D-Sec揭露Git的3個漏洞<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://github.com/git/git/security/advisories/GHSA-475x-2q3q-hvwq" rel="noopener noreferrer" style="cursor: pointer; color: inherit; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id--102576702" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">CVE </span></a><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="2" href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89" rel="noopener noreferrer" style="cursor: pointer; color: inherit; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-19329384" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">-2022-41903</span></a>、<a href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89">CVE-2022-23521</a>，以及<a href="https://github.com/git-for-windows/git/security/advisories/GHSA-v4px-mx59-w99c">CVE-2022-41953</a>，前兩個都是重大層級的漏洞，與記憶體的越界寫入有關，而使得攻擊者有機會執行任意程式碼。至於CVE-2022-41953存在於Windows版的GUI程式，導致該軟體在剛完成遷出程序的worktree指令中進行拼字檢查，而可能執行到不應信任的程式碼。</p> <p>若要確保使用Git時不會受到這些漏洞的影響，GitHub表示，最有效的方法是將Git升級到2.39.1版。如果無法馬上更新，GitHub提出三個步驟，建議用戶改變一些作法，以便降低風險，同時，站方也會主動進行一些工作協助使用者對抗漏洞濫用攻擊，像是掃描GitHub.com全部的儲存庫、執行GitHub.com漏洞緩解作業，定期更新GitHub Desktop、 GitHub Codespaces、GitHub Actions，以及GitHub Enterprise Server，針對這些系統或服務使用的Git進行升級。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/01/critical-security-vulnerabilities.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">TP-Link、Netcomm路由器存在重大漏洞，恐被用於RCE攻擊</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/a/batloader-malware-abuses-legitimate-tools-uses-obfuscated-javasc.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Batloader利用混淆的JavaScript指令碼發動攻擊</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hack-pentagon-30-bug-bounty-program-focus-facility-control-systems"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國防部啟動五角大廈漏洞懸賞計畫3.0，聚焦設施管理系統</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cybersecurity-experts-cast-doubt-hackers-ics-ransomware-claims"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織GhostSec聲稱對於工控系統進行勒索軟體攻擊，理由是抗議俄羅斯發動戰爭</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/01/cisa-warns-for-flaws-affecting.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對Sewio、InHand Networks、西門子等廠牌的工控系統重大漏洞提出警告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155202">【2023年1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155198">【2023年1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155184">【2023年1月16日】 WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</a></strong></strong></strong></p> <p> </p> </div></div></div>
2023/1/19 20:14作者周峻佑https://www.ithome.com.tw/news/155227
Amazon關閉慈善計畫AmazonSmile
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-closing-amazonsmile-to-focus-its-philanthropic-giving-to-programs-with-greater-impact">Amazon宣布將關閉慈善計畫AmazonSmile</a>，該項計畫在2013年的時候推出，在客戶達成特定購物條件時，Amazon會代客戶向慈善機構捐贈0.5％的購物金額，資助房屋建造和資訊教育等領域。</p> <p>該計畫執行將近10年，募集約4.5億美元的善款，現在Amazon稱該計畫沒有達成當初設立的目標，由於全世界有超過100萬個合格組織，最終各慈善機構所分配到的資源太少，因此Amazon決定在2023年2月20日關閉AmazonSmile。</p> <p>對於參與AmazonSmile計畫的慈善機構，Amazon將會提供一筆一次性的捐款，相當於該組織2022年在AmazonSmile所獲取的3個月款項，同時也能繼續累積額外的款項，直到該計畫在2月正式關閉。即便AmazonSmile關閉，慈善機構仍可以創建願望清單，尋求Amazon客戶的捐贈支援。</p> <p>目前Amazon已經開始新一輪的裁員行動，外界猜測AmazonSmile的關閉，可能與Amazon的大規模裁員有關。Amazon的裁員計畫在2022年11月由執行長Andy Jassy親自宣布，當時就預告裁員行動會延續至2023年。在1月初的時候，Andy Jassy提到<a href="https://www.aboutamazon.com/news/company-news/a-note-from-ceo-andy-jassy-about-role-eliminations">Amazon計畫共裁員1.8萬人</a>，而新一輪裁員已經開始，現在仍不清楚這輪共有多少人受到影響。</p> </div></div></div>
2023/1/19 16:05作者李建興https://www.ithome.com.tw/news/155225
AI21 Labs推出可提供引用、統計資料建議的寫作機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧系統開發公司AI21 Labs在其文字編輯器Wordtune，添加人工智慧寫作機器人<a href="https://www.wordtune.com/spices">Wordtune Spices</a>，能夠協助作者快速創建內容，加速專業文件、論文和文學作品等編寫過程。AI21 Labs在推出Wordtune Spices的同時，還針對Spices的關鍵方法發表論文<a href="https://uploads-ssl.webflow.com/60fd4503684b466578c0d307/63c6c20dec4479564db21819_NEW_In_Context_Retrieval_Augmented_Language_Models.pdf">《In-Context Retrieval-Augmented Language Models》</a>，說明Wordtune Spices的建議具有真實性與可追溯性。</p> <p>Wordtune Spices運用人工智慧技術理解文字內容和意義，協助使用者寫下更加清晰且具有說服力的文字。Spices提供12種諸如解釋、強調、定義或是加入笑話等提示選項，用戶可以選擇並獲得一系列補充語句，進而加強文章論點並呈現更多細節。</p> <p>官方提到，Wordtune Spices和其他生成文字平臺不同，並非要取代作者的工作，而是充當共同作者，提供額外完整句子建議，改進並強化文字內容。Spices具體以三個方向提供文字建議，第一是能夠提供解釋和辯駁，強化用戶文字的主要資訊和論點，第二則給出類比和統計資料建議，使文章資訊更豐富，第三是Spices還能夠提供笑話或是名言引用建議，運用更具創造性的表達方式，讓文章更活潑。</p> <p>學生、部落格作者和書本作家都能夠使用Wordtune Spices，同時Wordtune Spices也能支援專業寫作，協助法律、醫療保健等專家編寫特定於產業的文件。Spices的重要功能之一，是能夠提供來源歸因，用戶透過點擊連結就能夠查看建議來源，該功能解決當前大型語言模型無法提供來源的問題。</p> <p>AI21 Labs提出了一種稱為In-Context RALM的方法，能夠在現有的語言模型，加入現成的外部知識來源，In-Context RALM將檢索到的文件插入到語言模型輸入中。官方解釋，語言建模雖然明顯擴展機器生成文字的用例和領域，但是語言模型生成文字的致命弱點是無法提供歸因，導致資訊不準確或是錯誤。Spices所開發的《In-Context Retrieval-Augmented Language Models》框架，使現成語言模型能夠連接外部來源知識，進而對生成的文字建議提供來源歸因。</p> </div></div></div>
2023/1/19 15:13作者李建興https://www.ithome.com.tw/news/155224
點餐取餐免排隊，肯德基數位智能未來店前後端科技升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>肯德基「KFC數位智能未來店」南京旗艦館開幕，主打多元點餐及取餐功能，以分散排隊點餐、取餐人流。不只前端服務升級，後端管理也從行銷分析、進貨建議、人力安排到外送配單，都用科技優化。</p> <p>走進店面，迎面而來不是一般肯德基店面常見的點餐櫃檯，而是四臺自助點餐機跟旁邊牆壁上的線上點餐QR code，以及占滿一整面牆的智能快取櫃，作為出餐點。<img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_2023118_230119_0.jpg" style="width: 600px;" /></p> <p>顧客可以用點餐機，以及遍布門市牆壁和桌上的QR code連到點餐系統下單，並提供手機號碼。當餐點準備完畢，不用由店員叫號，而是放到智取櫃後，由系統寄送櫃位跟密碼到消費者手機中。消費者可以在座位或任何其他地方等待，等接收到簡訊，再到智取櫃輸入密碼取餐。如此一來，顧客就不需要擠在櫃檯等待點餐跟取餐。對坐落商業區的門市來說，尤其能大幅減少排隊人潮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(56).jpg" style="height: 400px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/4(30).jpg" style="height: 400px;" /></p> <p>數位點餐取餐的模式，不僅相當於開放多條點餐取餐動線，且由於數位點餐大多使用非現金支付，既減少了尖峰時段現金收銀的時間壓力，減少實體現金處理量更降低盤點結帳時的人為疏失風險。有了數位點餐出餐方案，門市櫃臺空間得以壓縮到平常尺寸的一半以下。此時，櫃台人員的工作成為輔助使用新系統及服務少數偏好線下點餐的顧客。</p> <p>從智取櫃密碼和店員在實體櫃臺叫號取餐的內容來看，肯德基未來店取餐時主要以手機末4碼來識別顧客。消費者在未來店消費時必須提供自己手機號碼，意味著肯德基能更容易要求消費者加入會員。事實上，肯德基網頁點餐系統本來就有用取餐手機順便加入會員的選項，而未來店的消費模式，讓實體門市也能用同樣方法降低消費者加入會員門檻。</p> <p>不僅前端服務數位化，未來店的後端管理流程也用科技優化。從業績分析開始，肯德基採用AI智能銷售預測系統，綜合分析歷史售量及當下行銷活動等數據，來預測業績。此系統會串聯至即時生產管理系統，提供店鋪進貨建議和即時調節備料，以優化庫存管理及減少物料耗損。此外，人力安排方面，肯德基導入自動化人力排班系統，推導店內人力安排，增加排班調度彈性與管理效率。店面訂單管理系統也串聯到統整鄰近區域肯德基外送車隊的外送共享中心，以提升外送追蹤透明度跟外送效率。</p> <p>自2021年底，肯德基即在新北市板橋區試營運外送共享中心，整合區域內門市外送訂單，分配給專職外送車隊。目前外送共享中心已擴大至臺北與新北、新竹以及臺中，預計2023年底擴大營運到6都。</p> </div></div></div>
2023/1/19 13:32作者郭又華https://www.ithome.com.tw/news/155221
零售IT雙周報第12期：肯德基數位智能未來店開幕，數位化前端服務及後端管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#點餐數位化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#取餐動線改造</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#銷售預測</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#即時生產管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動排班</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送配單</span></span></strong></p> <p><strong>點餐取餐免排隊，肯德基KFC數位智能未來店前後端科技升級</strong></p> <p>肯德基「KFC數位智能未來店」南京旗艦館開幕，主打多元點餐及取餐功能，以分散排隊點餐、取餐人流。不只前端服務升級，後端管理也從行銷分析、進貨建議、人力安排到外送配單，都用科技優化。</p> <p>此店面中，顧客可以用自助點餐機或點餐網頁來下單，當餐點準備完畢，不用由店員叫號，而是放到智取櫃後，由系統寄送櫃位跟密碼到消費者手機中。消費者可以在座位或任何其他地方等待，等接收到簡訊，再到智取櫃輸入密碼取餐。如此一來，就能分散排隊點餐跟取餐的人潮。</p> <p>未來店的後端管理流程也用科技優化。從業績分析開始，肯德基採用AI智能銷售預測系統，綜合分析歷史銷售量及當下行銷活動等數據，來預測業績，並串聯至即時生產管理系統，提供店鋪進貨及備料建議，以減少物料耗損。此外，人力安排方面，肯德基導入自動化人力排班系統，推導店內人力安排，增加排班調度彈性與管理效率。店面訂單管理系統也串聯到統整鄰近區域肯德基外送車隊的外送共享中心，以提升外送追蹤透明度跟外送效率。（<a href="https://www.ithome.com.tw/news/155221">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店模組</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子商務</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂單履行</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#法規遵循</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#全通路經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂單履行</span></span></strong></p> <p><strong>Shopify開始販售模組化的開店平臺基礎系統架構</strong></p> <p>開店平臺巨頭Shopify<a href="https://news.shopify.com/shopify-enters-its-next-era-of-growth-redefining-enterprise-retail-introducing-commerce-components-by-shopify">開始販售自家開店平臺的系統模組</a>，開放網路店面建設、購物車及結帳、核心商業模組、數據及法遵、訂單履行及物流、全通路經營等不同功能的系統模組，給零售業者嵌入自家系統中。</p> <p>相對於完全轉換到Shopify系統，零售業者可以保有大部分既有系統架構，並只導入所需模組，是較彈性的一個選項。同時，業者也可以加入Shopify服務生態系。例如，若使用Shopify結帳模組，就等於加入了全球超過1億使用者的Shop Pay支付工具生態系。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店面配送服務</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送解決方案</span></span></strong></p> <p><strong>Walmart開始販售自家外送管理系統及解決方案</strong></p> <p><a href="https://corporate.walmart.com/newsroom/2023/01/12/walmart-commerce-technologies-and-salesforce-team-up-to-unlock-local-fulfillment-and-delivery-solutions-for-retailers">美國零售龍頭Walmart上架自家使用的外送管理系統及外送解決方案到Salesforce App市集AppExchange。</a>使用Salesforece Commerce Cloud的零售業者能利用這兩個產品，開發以自家門市為據點配送商品到消費者宅中的服務。</p> <p>這兩項服務分別為外送管理系統Walmart Commerce Technologies Store Assist，以及外送服務解決方案Walmart GoLocal。前者用於揀貨人力分配、訂單排程及外送訂單追蹤，且支援串接到零售業者其他既有系統；後者則是由Walmert車隊來履行外送訂單。這兩項都是白標產品，零售業者可以客製化內部管理及外部下單程式介面，車隊也能提供一定程度的客製化服務。</p> <p>Walmart自己使用同樣技術來履行全美近5,000家門市的外送訂單，因此這兩項產品從系統負荷能力到履行方案種類都能支援到相當大的營運規模，也可以選擇不同外送選項，例如數小時內送達、同日外送、預約外送及大尺寸外送等。由於Walmart本身服務範圍就很廣泛，因此GoLocal的外送服務範圍包括了許多較難送達的市郊及鄉村地區。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商生態系延伸</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員系統嵌入</span></span></strong></p> <p><strong>Amazon開放全美電商嵌入Amazon Prime電商會員系統</strong></p> <p>美國零售巨頭紛紛透過出售自家科技來拓展生態圈的同時，<a href="https://www.businesswire.com/news/home/20230110005233/en">電商巨頭Amazon則是利用自家會員制度Amazon Prime</a>，來延伸生態系。Amazon推出Buy with Prime服務，開放外部電商嵌入Prime會員系統，讓消費者購物時能使用Amazon Prime的免運優惠、結帳系統及點數累積。</p> <p>由於Amazon Prime被美國消費者廣泛採用，且運費在幅員遼闊的美國通常相當高，於外部電商結帳還能用Prime會員獲得免運優惠，對消費者來說吸引力不小。根據測試期統計，嵌入此服務的商家平均訂單轉換率增加了25%。Amazon同時也推出Reviews from Amazon，讓商家也能在自家電商頁面同步顯示消費者於Amazon站上對自家的評價。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong></p> <p><strong>Instagram將移除首頁的商城欄位，更加強調社群電商的「社群」部分以留下平臺使用者</strong></p> <p>Meta於自家社群媒體平臺上推出一系列電商功能後，現在他們又開始慢慢減少電商功能在些平臺的能見度。近日，<a href="https://www.facebook.com/help/instagram/541982071188223">Meta宣布將移除Instagram首頁的商城欄位</a>，不過仍保留社群媒體平臺其他購物功能，包括在貼文、限時動態、短影音Reels等地方標註商品的探索功能，以及在聊天室中直接結帳的金流功能。</p> <p>這不是第一次Meta取消自家社群媒體平臺上的電商功能。去年8月，Meta也撤銷了Facebook直播購物功能，聲稱要轉向積極經營Reels。社群媒體行銷跟電商功能逐漸成長的現今，Meta開始走向低調，調低這些功能能見度，更加強調社群媒體平臺的社群功能，以嘗試挽留逐漸流失的使用者。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#上妝輔助</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#殘疾人士服務</span></span></strong></p> <p><strong>L'Oréal將推出兩款化妝輔助工具，降低化妝品試用及居家化妝門檻</strong></p> <p><a href="https://www.prnewswire.com/news-releases/loreal-unveils-two-new-ces-2023-innovation-award-winning-beauty-technologies-301711720.html">知名化妝品品牌L'Oréal推出了一款自動上眉妝的工具及電動上妝輔助工具</a>，讓化妝品試用及居家化妝門檻大幅降低。</p> <p>上眉妝工具結合3D掃描、AR眉妝模擬及一個實體智慧上妝工具，來簡化複雜的上眉妝流程。試用者用上妝工具掃描自己眉型後，會在App上看到各式推薦眉妝造型。預覽完不同造型後，再用此上妝工具掃過眉毛，就完成上妝。此工具是運用3D列印非永久紋身技術，來取代複雜的人工上妝流程。</p> <p>電動上妝輔助工具則是一個協助殘疾人士自行上妝的手把，使用者能透過操作手把上按鈕來移動口紅及其他化妝工具，替自己上妝。此手把還能記憶個人化操作設定，例如手把與自己臉的相對位置，來降低後續使用難度。</p> <p>這兩項工具都預計於今年正式推出，用於店內試妝及消費者居家化妝。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#汽車消費</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#加油站消費</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#汽車金流</span></span></strong></p> <p><strong>Amazon Alexa車內助理將能用於尋找電動車充電站，還能自動付款</strong></p> <p>Amazon車上聲控助理Alexa，<a href="https://www.evgo.com/press-release/evgo-and-amazon-partner-to-enable-ev-drivers-to-locate-and-pay-for-charging-with-alexa/">將能尋找大型電動車充電商EVgo全美15萬個充電站，還能註冊EVgo會員及自動結帳</a>。車主並能回報充電站是否有狀況，以利維護人員跟其他車主更即時了解故障或現場其他障礙等資訊。</p> <p>由於這些充電站通常安裝在便利商店旁，此服務對這些零售商來說能直接受益。不僅如此，從車內助理直接串接金流的技術，未來也可能用於加油站、便利商店和得來速等零售場景，讓車上購物成為更便利的消費管道。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong><span style="background-color:#0099ff;">：</span></span></p> <p>1. Momo決議投入金額63億元用於建置中區自動化物流中心，並再斥資12.7億元採購倉儲設備。</p> <p>2. <a href="https://www.businesswire.com/news/home/20230105005216/en/Volumental-Launches-Beta-Version-of-Self-Service-Scanning-Software">自助鞋類虛擬試穿科技商Volumental將推出一般零售商可以嵌入店面用的解決方案，讓小零售業者也有機會使用這類科技</a></p> <p>資料來源：iThome整理，2022年1月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/1/19 13:51作者郭又華https://www.ithome.com.tw/news/155222
蘋果智慧喇叭HomePod以新版復出，搭載S7晶片、支援Matter標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周無預警公布<a href="https://www.ithome.com.tw/news/155203" target="_blank">搭載M2 Pro、M2 Max晶片的新版14、16吋MacBook Pro</a>後，蘋果昨（18）日又公布<a href="https://www.apple.com/newsroom/2023/01/apple-introduces-the-new-homepod-with-breakthrough-sound-and-intelligence/" target="_blank">大型智慧喇叭HomePod第二代</a>，接續兩年前停售的產品線。</p> <p>第一代HomePod雖然音色佳，但售價349美元令人卻步，加上只能播放Apple Music等蘋果自有音樂，2017年推出後，雖經過降價，但銷售仍不敵Amazon Echo、Google Nest及Sonos，以及更平價產品競爭，<a href="https://www.ithome.com.tw/news/143230" target="_blank">而於2021年停售</a>，此後蘋果主打售價99美元的Home Pod mini。</p> <p>蘋果資深行銷副總裁Greg Joswiak解釋，HomePod mini的熱賣讓蘋果感覺到，消費者對較大HomePod特有的洪亮音響效果興趣愈來愈大。</p> <p>在聲學設備上，HomePod 2搭載長衝程低音喇叭，展現渾厚低音，低音等化器麥克風會動態調整低頻。其底部5個波束成形的高音喇叭陣列可形成清亮高音，並可提供環場音效。5個高音喇叭和5個麥克風，都比第一代的7個來得少。但蘋果是以音訊運算技術彌補；新版HomePod內建S7晶片，結合軟體與全新的系統感測器，可即時執行調音模型，提供絕佳音質。S7晶片乃是用於Apple Watch Series 7的晶片。</p> <p>一如蘋果第一代設備，HomePod 2也內建Siri、可控制Homekit相容連網設備，並能和iPhone、Mac電腦接力在不同房間播放。不過新版HomePod增加了Matter標準支援，可整合相容的第三方設備。此外也較前代增加了溫、濕度計以及煙霧感測器。</p> <p>HomePod 2除了原有的白色外，還增加午夜色，售價299美元。HomePod今日起接受線上及在Apple Store App預購，美國市場預定2月3日出貨。在臺灣，<a href="https://www.apple.com/tw/homepod-2nd-generation/" target="_blank">HomePod 2售價</a>9,300元臺幣，出貨日期未定。</p> </div></div></div>
2023/1/19 14:19作者林妍溱https://www.ithome.com.tw/news/155223
客戶縮減投資，微軟將裁員1萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在媒體報導後，<a href="https://blogs.microsoft.com/blog/2023/01/18/subject-focusing-on-our-short-and-long-term-opportunity/" target="_blank">微軟昨（18）日證實</a>，因應經濟情勢不明，將在3月底前裁減1萬人以控制成本，但強調會在重點部門持續招募。</p> <p>微軟執行長Satya Nadella指出，景氣前景不明，客戶數位化投資轉為保守，且遍及各種產業與各區域，為了調整公司體質、控制成本，公司將在3月底，即微軟會計年度2023年第3季之前裁減10,000人，約占公司總員工數22萬餘人的5%。</p> <p>本周稍早英國<a href="https://news.sky.com/story/microsoft-to-axe-thousands-of-jobs-in-latest-cull-by-tech-giant-12788916" target="_blank">《Sky News》</a>首先報導此事。<a href="https://www.bloomberg.com/news/articles/2023-01-17/microsoft-to-cut-jobs-in-engineering-divisions-this-week?sref=10lNAhZ9" target="_blank">《彭博》</a>引述的消息人士指出，有多個工程部門受到影響，而且幅度比<a href="https://www.ithome.com.tw/news/153697" target="_blank">去年11月宣布</a>的數百人要「大得多」。</p> <p><a href="https://www.theverge.com/2023/1/17/23559412/microsoft-layoffs-job-cuts-2023" target="_blank">The Verge報導</a>，受影響的部門包括Edge、HoloLens、行銷部門以及微軟2020年收購的遊戲開發商Bethesda，及自行成立的遊戲工作室343 Industries。此外，已經有約800人於昨日接到通知。</p> <p>Nadella指出，受影響的微軟員工將可拿到優於市場的補償，包括60天預告工資、5個月遣散金、股票權益、轉職協助等。但他同時表示，裁員同時公司也會在策略成長業務持續增加招募。Nadella特別點明，下一代運算將與人工智慧（AI）密不可分，微軟也將把最先進的模型整合進新的運算平臺。</p> <p>微軟<a href="https://www.ithome.com.tw/news/152137" target="_blank">2022年6月30日</a>及<a href="https://www.ithome.com.tw/news/153844" target="_blank">9月30日</a>截止的會計季度財報，已顯示景氣反轉帶來的成長腳步減緩，但Azure及智慧雲端軟體包括Office在內的營收，則呈現持續成長態勢。</p> <p>在此之前<a href="https://www.ithome.com.tw/news/155173" target="_blank">西雅圖媒體報導</a>，微軟自去年開始整修位於雷得蒙（Redmond）市的總部，並宣布將停租位於Belleue市的辦公室，以便將員工整併辦公。</p> <p>微軟將在下周公布截至12月31日的會計年度2023年第2季財報。Nadella指出，這波裁員、硬體業務調整，以及辦公室整併的相關支出約為12億美元。</p> <p>微軟也是繼Meta、Amazon之後，再次裁員破萬人的科技大廠。Meta、Amazon、微軟、以及Salesforce等雲端公司，都受益於COVID-19疫情間企業與消費者宅經濟或遠距作業投資，然去年春天起全球景氣反轉下跌，迫使快速增員的雲端公司被迫精簡。<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta</a>和Amazon各裁1.1萬及1.8萬人，<a href="https://www.ithome.com.tw/news/155056" target="_blank">Salesforce</a>則宣布裁減7,000人。</p> </div></div></div>
2023/1/19 11:35作者林妍溱https://www.ithome.com.tw/news/155219
日產汽車委外軟體業者測試資料保存不當，1.8萬北美客戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/974df16b-fe59-4065-b707-b0cec26ba38d.shtml" target="_blank">日本汽車大廠日產（Nissan）上個月通知18,000名客戶</a>，由於第三方軟體業者在測試時資訊處理不當，致使日產客戶資料遭駭客竊取。</p> <p>根據日產12月19日寄發給客戶的通知函，受影響的第三方廠商Bass Berry Sims負責提供日產軟體開發委外服務，日產在其軟體測試時，提供了某些資料給這家廠商。</p> <p>日產在今年6月21日接獲通報，這家廠商不慎洩露了日產提供的資訊。日產在9月底判斷，這事件導致公司資料遭到未授權存取或取得，包括某些客戶個資。原因出在第三方廠商測試的程式碼中包含這些客戶資料，而廠商又不慎且短暫儲存在公開雲端資料庫中。</p> <p>日產表示在得知事件時已立即確認第三方廠商已阻斷未授權存取，並展開調查，同時採取防護措施。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/974df16b-fe59-4065-b707-b0cec26ba38d.shtml" target="_blank">根據日產向緬因州提交的文件</a>，本事件總共影響客戶17,998名，包含785位緬因州民。該事件屬於「不慎資料外洩」及「內部人士失誤」。</p> <p>可能外洩的客戶個資包括姓名、生日、日產客戶帳號編號，不過不包含社會安全號碼或信用卡資料。日產強調尚沒有客戶資訊被濫用的證據。</p> <p>去年10月日本汽車大廠<a href="https://www.ithome.com.tw/news/153565" target="_blank">豐田汽車</a>也發生承包商在把部分程式碼上傳至GitHub的公開儲存庫時，於程式碼夾帶了存取金鑰，導致攻擊者存取該資料庫造成3萬車主資料外洩。4月<a href="https://www.ithome.com.tw/news/145020" target="_blank">福斯汽車</a>也也說因外包商疏忽，致330萬北美車主個資曝光。</p> </div></div></div>
2023/1/19 11:49作者林妍溱https://www.ithome.com.tw/news/155220
AI趨勢周報第206期：Salesforce新演算法可逆推擴散生成模型，編輯圖像更貼切
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0113～0119)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴散模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉圖像 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Salesforce新演算法可逆推擴散生成模型，改字也能準確貼近原始圖</strong></span></p> <p>Salesforce最近設計一款新演算法EDICT，可逆推任何文字轉圖像的擴散模型，就算原始文字提示有所修改，新生成的圖像依然貼近原圖，比如使用者將文字提示「站在衝浪板上、穿著救生衣的狗」中的狗改為貓，新生成的圖片能保留原圖樣貌，只將狗轉換為貓。</p> <p>團隊表示，EDICT之所以能這麼做，是因為追蹤了一對中間表徵，而非只是一個。這種可逆性，讓模型產出非常貼近原圖的編輯圖像。Salesforce也把這套演算法用於熱門的Stable Diffusion模型，發現演算法能高保真重建出原始圖像。而且，團隊以MS-COCO這類複雜的圖像資料集測試發現，EDICT的圖像重建表現，比降噪擴散隱性模型要好。</p> <p>團隊表示，EDICT不需要訓型訓練或微調，也不需要額外的訓練資料，而且能與任何預訓練降噪擴散模型整合。EDICT程式碼已在GitHub上<a href="http://github.com/salesforce/EDICT">公布</a>。<a href="https://blog.salesforceairesearch.com/edict-accurate-text-guided-image-editing-with-diffusion-models/">（詳全文）</a></p> <p><img alt="" src="https://blog.salesforceairesearch.com/content/images/size/w1000/2022/12/dog-breed-edict.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉影片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 稀疏因果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Tune-A-Video </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新加坡國立大學打造文字轉影片模型Tune-A-Video省資源</strong></span></p> <p>新加坡國立大學以單樣本學習，打造一款文字轉影片AI模型Tune-A-Video，來降低訓練所需的運算成本。團隊指出，近來，文字轉影片這類生成式AI的主流研究方法，仰賴大規模成對的「文字-影片」資料集來微調。然而，這種方法耗費大量運算資源，也不直覺，於是團隊提出Tune-A-Video，來以單一組「文字-影像」訓練開放領域的影片生成器。</p> <p>團隊以經過海量資料訓練的文字轉圖像預訓練擴散模型為基礎，來開發文字轉影片模型。他們也發現，文字轉圖像模型能針對動詞，產出相對應的圖像，而且，用這些模型來同時生成多張圖像，其生成內容的一致性非常高。</p> <p>因此，為進一步讓模型學習連續性動作，團隊提出一種稀疏因果注意力機制，能透過單樣本微調預訓練擴散模型，來根據文字提示產生影片。團隊表示，Tune-A-Video可用來產生吻合時序的影片，可用於背景或主題變換、屬性編輯、風格轉換等。<a href="https://tuneavideo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://tuneavideo.github.io/static/images/overview.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DoNotPay </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務條款 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美新創用ChatGPT讀服務條款，不只能白話解釋還會揪出不合理之處</strong></span></p> <p>生成式AI又有新應用！致力以AI維護消費者權益的美國新創DoNotPay執行長Joshua Browder最近展示一款外掛，該外掛基於ChatGPT，使用者在DoNotPay平臺服務DoNotSign上上傳服務條款PDF或輸入網址，系統就會自動閱讀內容、產出白話解釋，若有不合常規的條款，系統還會自動標註，來告知使用者。除了服務條款，該系統還能處理隱私條款、租賃合約等法律相關文件。Joshua Browder指出，該功能將是首款供大眾使用的GPT系列產品，因此可能受到OpenAI的API限制。目前，該功能正在審核中，還未正式上線。</p> <p>這不是第一個DoNotPay發表的AI應用。日前，Joshua Browder展示一款基於GPT-3.5的語音代理系統，能利用使用者聲音，來與客服自動對話，另一款則是基於GPT-3 API的聊天機器人，能與客服文字對話，解決訂閱、續約、付費問題。<a href="https://twitter.com/jbrowder1/status/1615543292057497603">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/i/status/1615543292057497603" /><img alt="" src="https://s4.itho.me/sites/default/files/images/tune%20a%20video.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟Azure OpenAI服務正式上線，企業可用GPT-3、Codex和DALL-E 2了</strong></span></p> <p>微軟日前宣布Azure OpenAI服務正式上架，更多企業用戶可申請使用OpenAI的AI模型了，如GPT-3、Codex和DALL-E 2。微軟還預告，Azure OpenAI服務還會納入ChatGPT模型。</p> <p>Azure OpenAI服務由微軟在2021年推出，可讓企業在安全、合規的條件下，從Azure雲平臺取用OpenAI預訓練模型。這些模型包括具1,750億個參數的自然語言預訓練模型GPT-3、GPT-3的升級版GPT-3.5，以及可將自然語言轉為程式碼的模型Codex，還有文字轉圖像模型DALL-E 2。使用者可透過Azure OpenAI來開發各種應用程式，如從客服日誌快速總結客訴、快速編寫程式，或快速生成部落格文章等。Azure OpenAI服務提供的模型已由數十億頁公開文件訓練，企業只需提供自家少量業務資料，就能進一步微調模型。為確保AI合理使用，微軟也要求開發者先申請存取權限，事先描述預期用例和應用程式。微軟的監控程式也會持續過濾Azure OpenAI服務可能產生的辱罵、仇恨和冒犯性內容，當官方確認用戶用例違反政策，便會限制使用。<a href="https://azure.microsoft.com/en-us/blog/general-availability-of-azure-openai-service-expands-access-to-large-advanced-ai-models-with-added-enterprise-benefits/">（詳全文）</a></p> <p><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/a6218d54-3c27-4c17-bc25-33ce1d1a268e.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 空中巴士 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客機 </span></strong></span></p> <p><span style="font-size:22px;"><strong>參考蜻蜓視覺能力，空中巴士開發客機自駕技術</strong></span></p> <p>空中巴士（Airbus）以蜻蜓為靈感，開發自動飛行技術，Airbus UpNext DragonFly展示飛機已進入最後3個月的測試階段，來測試飛行路徑選擇能力、自動降落技術和駕駛員輔助技術。空中巴士計畫將DragonFly技術用於緊急操作上，當機組人員無法控制飛機時，DragonFly會將飛機重新導航至最近的機場，並安全著陸。</p> <p>這款DragonFly模仿蜻蜓超廣視野和辨識地標能力，來讓飛機辨識地景特徵和周圍環境，並安全操縱飛機。DragonFly系統也參考蜻蜓敏銳的視覺能力，整合感測器、電腦視覺演算法和導航運算功能，可在低能見度和惡劣天氣情況下降落，這項新的降落技術，甚至可以根據飛行員的飛行技巧自訂，減輕飛行員在緊急情況的額外程序。<a href="https://www.airbus.com/en/newsroom/stories/2023-01-could-the-humble-dragonfly-help-pilots-during-flight">（詳全文）</a></p> <p><img alt="" src="https://www.airbus.com/sites/g/files/jlcbta136/files/styles/airbus_1440x1440/public/2023-01/image_9_0.webp?itok=MnEsy_nJ" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音合成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Eleven Labs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音特徵 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI新進展！Eleven Labs揭露最新語音合成成果</strong></span></p> <p>專注語音合成AI的研究實驗室Eleven Labs日前發布最新語音生成模型，使用者能根據性別、年齡、口音、音高，甚至是說話風格等特徵，來生成全新的人造聲音，而且系統每次合成的聲音都不一樣，即使用戶以相同參數生成聲音，也會得到一個不曾存在的聲音。</p> <p>近來，生成式AI大放異彩，在文字、圖像甚至是影片領域遍地開花，但語音生成並非如此。因此，Eleven Labs參考語音合成和語音複製的語音特徵編碼方法，在訓練專屬模型時，對說話者嵌入分布進行採樣，來合成無限多種的新聲音。他們也在這過程加入一定程度的限制，讓聲音擁有特定的語音特徵。Eleven Labs打算把這個模型發展為「Design Voice」功能，預計在2月於自家平臺上線。團隊表示，該模型可用於新聞媒體和商業廣告的語音，甚至能用於遊戲開發。<a href="https://blog.elevenlabs.io/enter-the-new-year-with-a-bang/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 零售業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 防盜竊 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推新AI工具，防零售業商品被盜竊</strong></span></p> <p>Nvidia推出3款零售業專用AI工作流程Retail AI Workflows，可用來打造商品防竊盜應用。進一步來說，這些工作流程以Nvidia自家微服務平臺Metropolis為基礎，Nvidia先以常遭竊的商品圖片和軟體來訓練這些工作流程，開發者再以無程式碼或低程式碼模組來快速開發應用程式。</p> <p>第一款工作流程是零售業防損AI工作流程，其中的AI預訓練模型，能辨識上百種最常受盜竊損害的產品，如肉類、酒品和洗衣粉，模型也能識別產品不同的尺寸、容量和形狀。此外，使用者還能用Nvidia Omniverse平臺合成資料，來客製化模型，以業者自家的數十萬種商品來訓練。</p> <p>另一種是多攝影機追蹤AI工作流程，具多物件、跨多攝影機功能，讓開發者更容易打造跨全店多攝影機的系統，來追蹤商品物件。最後一個流程是零售商店分析工作流程，能以電腦視覺技術，在客製化的儀表板上呈現商店分析洞察，如商店客流量趨勢、使用購物籃的顧客人數、走道占用率等資訊。<a href="https://blogs.nvidia.com/blog/2023/01/12/retail-ai-workflows/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 假消息 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型語音模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輿論操縱 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI：大型語言模型加重輿論操縱</strong></span></p> <p>OpenAI聯手史丹佛大學和喬治城大學，展開大型語言模型（LLM）對輿論風向操縱的研究，他們發現，大型語言模型會導致更多惡意傳播行為，且形式更多元，行為成本也更低。</p> <p>近年，生成式AI有顯著進展，但也容易遭惡意人士濫用。於是，3大機構聯手，以ABC模型來探討輿論操縱影響，其中A代表行為人，也就是輿論操縱行為背後的實體，B代表輿論操縱行為，C則指操縱內容。研究發現，在A方面，未來將因為生成模型普及而降低宣傳成本，出現更多樣的宣傳群體；而B則會出現自動生成內容規模擴大，同時也更有效率，如即時生成個人化內容，且生成內容更可信也更有說服力。團隊表示，語言模型對輿論風向操縱有重大影響，但目前沒有終極解決方案，有能力開發大型AI的科技龍頭和社群媒體，應共同應對輿論操縱。<a href="https://fsi.stanford.edu/publication/generative-language-models-and-automated-influence-operations-emerging-threats-and">（詳全文）</a></p> <p>圖片來源／Salesforce、新加坡國立大學、DoNotPay、微軟、空中巴士</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 新AI工具<a href="https://gptzero.substack.com/p/new-year-new-features-new-model?r=8okkt&utm_campaign=post&utm_medium=web">GPTZeroX</a>可偵測文章是否出自ChatGPT</strong></p> <p><strong>2. 線上會議認真神器！Nvidia Broadcast以AI模擬用戶眼睛緊盯鏡頭</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>
2023/1/19 11:05作者王若樸https://www.ithome.com.tw/news/155218
安全內蘊
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於氣候變遷的緣故，臺灣2022年冬天的低溫來得很晚，12月中之後開始出現冷氣團，2023年春節前夕這幾天又有明顯降溫，穿著防寒大衣、裹著圍巾的行人變多了，平時以捷運與步行出入的我，不想厚重裝扮，寧可在襯衫裡面多穿一件保暖內衣，外出再穿上外套。</p> <p>回想過去在低溫持續較久的冬季與春季，除了穿襪子維持腳底溫暖，也會額外穿一件衛生褲，讓下半身不會感到寒冷。這樣的冬日穿著習慣其實是很小的時候養成，國小一年級時，舉家從高雄搬遷到中部海線鄉鎮，那時，父母為了不讓我們著涼，而讓我們內穿衛生衣褲禦寒，外覆毛衣、太空衣夾克，而到學校上課期間，為了配合制服統一穿著規定，很多人都會把制服裡面多穿保暖衣褲，有些同學看到不小心露出的衛生褲一角，還會嘲笑我為何如此怕冷。雖然並未因怕丟臉而不穿保暖衣褲，但自己還是不自覺地受到影響，認為多穿衣服禦寒是示弱。</p> <p>隨著年紀漸長，面對寒冷我早已有了因應之道，而且，隨著科技與經濟的進步，不論是外搭或貼身衣褲，都有更好的選擇。例如，現在的大衣、外套可以因為採用新進的材質，能兼顧不重、透氣、防濕，而在更早之前，羽絨衣也因輕便、保暖而受到歡迎。</p> <p>天氣寒冷無可迴避，層出不窮、無孔不入的資安威脅也是如此，這是令所有人擔憂而須持續警戒的議題，而各種提升安全性的策略、方法、行動，也受到眾人熱烈討論。</p> <p>例如，這幾年快速竄起的零信任（Zero Trust）、過去很多資安專家常提及的縱深防禦（Defense in depth），有個概念其實也值得大家思考，那就是內蘊型安全（Intrinsic Security），以IT廠商而言，過去伺服器虛擬化平臺廠商VMware論及資安防護對策時，常以此為主軸，2020年7月發布以此為名的白皮書，探討統整與加速企業端點安全防護，與VMware密切合作的Dell Technologies，這幾年也加入鼓吹這概念的行列。</p> <p>對於這個概念的理解，我想到《孫子兵法》九變篇提到的「無恃其不來，恃吾有以待之；無恃其不攻，恃吾有所不可攻也。」，事實上，積極提升自身防禦，並不代表我們好戰、窮兵黷武，然而，有些人在面對威脅時，卻天真地認為不需軍備，而將必要防衛力量視為勞民傷財之舉。</p> <p>誠如美國最近宣布將對臺售出「火山陸上機動布雷系統（Volcano anti-tank munition-laying systems）」引發關注，然而，無論是支持或反對，強化民防與國防的發展、推動相關改革，終將是未來臺灣確保安全的關鍵。</p> <p>關於臺灣的防守，去年10月美國智庫蘭德公司總裁兼執行長Jason Matheny撰文，建議臺灣應建立「豪豬防禦（porcupine defense）」，透過取得適當的武器，以相對較低的成本來獲得生存的機會。這樣的觀點不僅適用於國家安全，對於資安防護而言，也是很實用的策略，畢竟資源有限，無法全部投入這些措施上，面對不對稱的攻守態勢，我們必須找到並實現能讓敵人無法輕易進犯的方法，而非一味懼戰。</p> <p>有了足夠的內蘊安全，若我們也能堅守機密，大敵來襲，可能遭遇哪些狀況？或許就像金庸小說《神鵰俠侶》的黯然銷魂掌「無中生有」，敵人一近身，就瞬間發動全身齊攻，使其手忙腳亂、難以招架；好萊塢電影《環太平洋》裡面，兩位主角操縱的機器人吉普賽危機，屢屢使出蘊藏體內、敵人料想不到的武器，像是機體的冷凍液、藏在手中的伸縮劍，以及胸部的能源火焰，而讓事先從人類腦中取得一定情報的怪獸措手不及。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%A7%E8%98%8A%E5%AE%89%E5%85%A8">內蘊安全</a></div><div class="field-item odd"><a href="/tags/intrinsic-security">Intrinsic Security</a></div></div></div>
2023/1/19 00:00作者李宗翰https://www.ithome.com.tw/voice/155210
Shopify開發團隊公開以Rust重寫Ruby YJIT的權衡與改進細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby 3.1初次加入程序內JIT編譯器YJIT，經過一年的時間，YJIT成為Ruby 3.2中的正式功能，Shopify R&RI（Ruby & Rails Infrastructure）團隊則是該功能的主要推手，開發團隊現在詳細說明<a href="https://shopify.engineering/ruby-yjit-is-production-ready">YJIT的開發細節以及實質帶來的改進</a>。</p> <p>由於Shopify的所有重要基礎設施，包括商店以及網站的底層，都仰賴Ruby和Ruby on Rails，Shopify的大型伺服器叢集散布全球，每分鐘能夠處理超過7,500萬次請求，在2020年的時候，Shopify決定要開發一個相對簡單的JIT編譯器YJIT，目標是以YJIT提高店面渲染器（Storefront Renderer，SFR）的效率。</p> <p>這原本只是Shopify在2020年啟動的內部專案，但是受到CRuby核心貢獻者的邀請，YJIT進入Ruby並且在3.1版本中作為實驗性功能發布。YJIT編譯器到了Ruby 3.2成為正式版本，比起Ruby 3.1的實驗性版本，不只更強健也更易於維護，記憶體效率與執行效能的提升，使得YJIT 3.2更適合用於生產環境中。</p> <p>Shopify在開發YJIT 3.2時，決定要將YJIT從C99移植到Rust上，開發團隊提到這項決定的主要考量有兩個，第一個是Rust提供了C所沒有的安全性，開發團隊認為，這對於具有許多約束的低階系統程式開發來說非常重要。</p> <p>第二個原因則是Rust的程式碼更容易維護。使用C編寫YJIT程式碼時，開發團隊參考C巨集實作動態陣列，他們認為這樣的方法既不安全也不夠聰明，而Rust擁有豐富的標準函式庫和好用的抽象，因此他們只花3個月就將YJIT移植到Rust，還使整體程式碼庫更容易維護。</p> <p>Ruby 3.2中的YJIT記憶體使用更有效率，開發團隊解釋，JIT編譯器的缺點之一，便是需要使用比直譯器更多的記憶體，因為JIT編譯器需要生成可執行機器碼，但是直譯器不需要，而且JIT編譯器還需要分配記憶體給後設資料，因此也增加許多記憶體開銷。</p> <p>YJIT 3.1編譯器大量的記憶體開銷，使得Shopify在生產部署上面臨挑戰，因此開發團隊進行多項改進大幅降低記憶體用量，除了最佳化後設資料占用的記憶體，並且對不再使用的機器碼實作垃圾回收，因此在Ruby 3.2中，YJIT記憶體開銷已降到Ruby 3.1的三分之一，YJIT只會懶散地替機器碼分配記憶體分頁，而不會預先分配並且初始化一大塊記憶體，這項改進讓YJIT更適合用於生產中。</p> <p>YJIT 3.2改進還包括執行速度，不只使用更少的記憶體，而且在Railsbench基準測試上，執行速度比Ruby 3.2的直譯器快38％，與Ruby 3.1.3的直譯器相比更是快了57％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/yjit-improved_performance.jpg" style="width: 580px;" /></p> <p>YJIT 3.2因為有一個新的後端，可以對多種CPU產生機器碼，因此新增支援了ARM64 CPU。之前在Ruby 3.1中的YJIT只支援Mac和Linux上的x86-64，但因為Shopify開發人員開始採用Apple M1/M2筆電，導致他們自己只能使用Rosetta模擬執行YJIT，這驅使他們開始提供ARM64 CPU的支援，使得YJIT可以在Apple M1/M2、AWS Graviton以及樹莓派上執行，而且比起英特爾的x86-64 CPU，YJIT在Mac M1硬體上獲得大幅加速。</p> <p>因為YJIT 3.1記憶體開銷未經最佳化，因此只標記為實驗性，Shopify也未將其部署到全球，但透過部分SFR節點部署收集統計資料，觀察到基準測試中無法發現的效能問題，而到了Ruby 3.2，YJIT已經獲得足夠改進，現在Shopify已經著手將YJIT 3.2部署到全球SFR基礎設施，獲得5％到10％的實際加速。</p> <p>開發團隊提到，目前YJIT最大的缺點，仍然是記憶體占用，開發團隊還會繼續減少記憶體占用，同時他們也將改進Ruby的執行速度，開發團隊解釋，Ruby中有許多方法呼叫，迴圈迭代和大部分的基本操作都是方法呼叫，典型的Ruby程式碼存在許多小方法呼叫，因此他們試圖會從方法呼叫加速下手，改進Ruby程式執行速度。</p> </div></div></div>
2023/1/18 23:03作者李建興https://www.ithome.com.tw/news/155201
Visual Studio 2022添加多合一搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/new-better-search-in-visual-studio/">微軟在Visual Studio 2022添加多合一搜尋功能</a>，將程式碼搜尋和功能搜尋整合至同一個UI中，使得開發者無論是要查詢特定程式碼檔案、類別、方法，或是功能與選項，都能夠採取相同的操作，藉此簡化開發者的搜尋體驗。</p> <p>多合一搜尋功能能以原本的程式碼搜尋快捷鍵Ctrl+T，或是功能搜尋快捷鍵Ctrl+Q啟動，因此開發者不需要學習新的搜尋操作。檔案、類型和成員的搜尋結果，會在由Ctrl+T啟動的程式碼搜尋中，以優先順位排列，快速將開發者導航至該符號位置，使用f:、t:或是m:前綴，則可以縮小搜尋結果的範圍。</p> <p>搜尋結果列表旁邊呈現檔案預覽，開發者不需要開啟該檔案，就能夠瀏覽程式碼獲得前後文脈絡，甚至可以立刻在搜尋視窗中調整程式碼。該預覽面板支援所有檔案類型、C#類別和成員，還有C++類別與成員。</p> <p>要使用新的多合一搜尋功能，開發者需要在工具設定中的預覽功能，啟用新的Visual Studio搜尋體驗選項，如此便能夠在標題欄中，看到新的搜尋按鍵。</p> </div></div></div>
2023/1/18 23:14作者李建興https://www.ithome.com.tw/news/155205
DeepL新AI寫作助理Write不只能改文法，還提供語氣和措辭建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名文字翻譯服務公司DeepL發布新的<a href="https://www.deepl.com/en/blog/introducing-deepl-write">人工智慧寫作助理DeepL Write</a>，DeepL Write是一種人工智慧寫作工具，能夠改進使用者的德文和英文寫作，官方提到，DeepL Write不只解決寫作的文法缺失，同時還能根據語氣、措辭，甚至是寫作風格提供建議。</p> <p>DeepL Write鎖定記者、作家、學者以及跨國公司的多語言團隊，供專業人士能夠編寫文字簡潔且語意清楚的電子郵件、活動提案和報告，DeepL Write提供句子、選詞和改寫建議，提升使用者的文字表達。開發DeepL Write的原因，官方提到，DeepL翻譯服務使用者常需要在兩種語言間琢磨，以改進目標語言的文字寫作，因此DeepL乾脆創建一個微調書面溝通交流的專屬工具。</p> <p>DeepL Write的轉換器可以忠實呈現用戶文字的原意，官方解釋，和翻譯器類似，Write使用複雜的神經網路技術掌握原文的上下文和細微差異，提供精確的改寫和選詞建議。用戶現在可以使用瀏覽器存取DeepL.com/write網站，即可開始使用DeepL WriteAI寫作助理，DeepL Write為免費服務，目前仍在測試階段。</p> </div></div></div>
2023/1/18 20:10作者李建興https://www.ithome.com.tw/news/155200
微星近300主機板預設執行任意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" target="_blank">一名研究人員宣稱</a>，微星有高達近300款主機板的預設設定中，可在未執行安全驗證下允許執行任意程式。</p> <p class="rtecenter"><a href="http://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" target="_blank"><img alt="" src="/sites/default/files/images/0118-MSI's%20(in)Secure%20Boot.png" style="width: 550px;" /></a></p> <p>開源研究人員Dawid Potocki去年12月在電腦設立安全開機（Secure Boot）時，發現他的一款微星主機板（MSI PRO Z790-A WIFI）韌體可以執行任何OS映像檔，而未經過任何驗證。進一步檢驗，顯示是微星變更了安全開機的預設值。</p> <p>Windows安全開機是一項PC安全標準，主要是要機器韌體檢查任何欲在PC執行的軟體有無合法簽章，以確保只有安全、受信賴的程式，包括驅動程式、開機程式、及作業系統或其他應用才能開啟執行。</p> <p>研究人員發現微星主機板上的安全開機設定選單中的「映像檔執行政策」，對可移除媒體、固定媒體、Option ROM預設值均為「永遠執行」，意謂著預設情況下，韌體不會對程式進行任何驗證。他說這項政策只是為了滿足Windows 11對PC 硬體的要求，但預設不驗證，Windows就不知道安全開機功能不起作用。</p> <p class="rtecenter"><a href="https://dawidpotocki.com/img/blog/msi-insecure-boot/firmware1.webp" target="_blank"><img alt="" src="/sites/default/files/images/0118-MSI's%20(in)Secure%20Boot-2.png" style="width: 600px;" /></a></p> <p><a href="http://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Dawid Potocki</span></span></a></p> <p>使用者必須自己手動將政策改為「拒絕執行」。此外，若選擇「允許執行」和「查詢使用者」選項則會破壞UEFI規格。</p> <p>研究人員之後透過其研究網絡，<a href="https://github.com/Foxboron/sbctl/issues/181" target="_blank">檢視並研判近300款主機板及韌體版本</a>，都受到這問題影響，當中涵括AMD及Intel產品用的主機板。他並指出，受影響的似乎都是2021年9月以後的韌體。</p> <p>研究人員說曾試圖聯繫微星，但多方嘗試皆未收到回應。目前他正在尋求為這項問題指派漏洞編號。</p> </div></div></div>
2023/1/18 19:13作者林妍溱https://www.ithome.com.tw/news/155206
Discord收購新興社群平臺Gas
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discord.com/blog/welcoming-gas-to-discord" target="_blank">Discord宣布</a>收購在青少年間流行的新興社群應用程式Gas。</p> <p>Gas是一款近日在美國青少年之間受歡迎的投票型匿名社交應用程式，可讓使用者從正面回應中獲得自信心。臉書或其他社交平臺上充滿仇恨、霸凌，容易對使用者特別是青少年造成心理創傷，而Gas則以學校為單位加入，並加入同校生為好友，Gas透過匿名投票，例如由使用者投票選出「誰笑容最迷人」、「誰是最棒的DJ」，而獲選的人則可獲得使用者讚許訊息。這App可營造出一種更溫暖、鼓舞人的虛擬社交空間。</p> <p>Gas是由Nikita Bier創立，Bier也曾打造類似Gas的TBH，TBH在2017年賣給臉書後被關閉。<a href="https://twitter.com/nikitabier/status/1585889240142839809" target="_blank">Bier去年4月也曾向馬斯克（Elon Musk）</a>毛遂自薦擔任推特（Twitter）的產品長。</p> <p>Gas團隊只有4個人，他們的App在2022年8月上線後很受美國高中生歡迎，<a href="https://www.businessinsider.com/gas-app-founder-elon-musk-hire-twitter-2022-10" target="_blank">2022年10月中Gas每日用戶數</a>達到100萬，成為美國當月下載量最多的App，而同年10月底該平臺已發布了超過5億次投票。</p> <p>Gas也開發出一個獲利商業模式。被點名投票的人可獲得虛擬幣，他可以用來購買加入其他投票。Gas還銷售6.99美元的「上帝視角」（God Mode）服務，可讓使用者一周獲知2個名字，投票獲得的虛擬幣也多一倍。<a href="https://www.businessofapps.com/data/gas-statistics/" target="_blank">據媒體分析</a>，該網站3個月已創造出300萬美元銷售額。</p> <p>Discord並未說明收購Gas的計畫，僅表示所有Gas團隊將加入該公司，目前Gas仍將獨立運作，也將協助拓展核心及新用戶數。不過<a href="https://techcrunch.com/2023/01/17/discord-acquires-gas-a-compliments-based-social-media-app-for-teens/" target="_blank">Techcrunch推測</a>，Discord可能會將Gas的社群投票功能整合到它的單一訊息App中。</p> </div></div></div>
2023/1/18 19:44作者林妍溱https://www.ithome.com.tw/news/155207
歐盟傳正式反對微軟、動視暴雪合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與遊戲出版商動視暴雪（Activision Blizzard）合併案再添阻力。<a href="https://www.reuters.com/technology/microsoft-faces-eu-antitrust-warning-over-activision-deal-sources-2023-01-16/" target="_blank">路透社本周引述消息人士報導</a>，歐盟可能對雙方發出反對文件。</p> <p>歐盟已經準備好一份《異議聲明書》（statement of objections），表達對本收購案的疑慮，預計未來幾周內可能就會寄給微軟。</p> <p>歐盟的立場可能和美國競爭主管機關聯邦交易委員會（Federal Trade Commission，FTC）相同。<a href="https://www.ithome.com.tw/news/154634" target="_blank">FTC去年12月對微軟提出反托拉斯控訴</a>，理由是根據動視暴雪的市場重要性，以及微軟過往不良紀錄，他們相信，本樁收購案可能造成市場壟斷、削弱自由競爭，影響遊戲機、多人遊戲內容訂閱服務及雲端遊戲訂閱服務等市場。</p> <p>微軟去年1月宣布以690億美元收購出版《魔獸世界》（World of Warcraft）、《星海爭霸》（StarCraft）、《暗黑破壞神》（Diablo）與《決勝時刻》（Call of Duty）等熱門遊戲的動視暴雪，不但是該公司最大收購，也是遊戲產業最大宗收購案，同時將讓微軟成為全球第三大遊戲出版商。</p> <p>由於擔心微軟可能限制遊戲機、多人遊戲及雲端遊戲訂閱服務競爭者取得動視暴雪這些熱門遊戲的授權，Sony首先表達疑慮。而在FTC提出控告後，<a href="https://www.ithome.com.tw/news/155146" target="_blank">報導指出</a>，今年稍早，Google及Nvidia也透過提供資料，以強化FTC的反對論證。</p> <p>雖然還未正式收到文件，不過微軟對路透社表示，將持續與歐盟合作解決任何市場疑慮，並強調其目標是讓更多人可接觸到更多電競遊戲，而本收購案則是實現該目的的重要手段。</p> <p>歐盟對這消息不願置評。歐盟預計在4月11日的最後期限前對本案做出決議。英國和美國政府也持反對立場。但巴西、沙烏地阿拉拍、塞爾維亞等國主管機關已經核准了這樁收購。</p> </div></div></div>
2023/1/18 20:07作者林妍溱https://www.ithome.com.tw/news/155208
【資安日報】2023年1月18日，研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的雲端開發工具有可能被駭客拿來散布惡意軟體！近日資安業者趨勢科技揭露濫用雲端IDE服務GitHub Codespaces的攻擊手法，並表示攻擊者還能透過事先設定完成相關組態的容器，建置更多惡意網站。</p> <p>研究人員針對微軟去年第4季修補的Azure伺服器端請求偽造（SSRF）漏洞說明細節，並指出有部分的漏洞不需身分驗證就能夠被利用，甚至攻擊者沒有Azure帳號也進行相關攻擊。</p> <p>Oracle於1月17日發布今年的第1個每季例行修補，當中針對多項產品發布更新，其中，資料庫系統MySQL就修補了近40個漏洞而相當值得留意。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.trendmicro.com/en_us/research/23/a/abusing-github-codespaces-for-malware-delivery.html" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露濫用雲端IDE服務GitHub Codespaces，散布惡意軟體的手法</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/figure4-abusing-github-codespaces-for-malware-delivery.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure4-abusing-github-codespaces-for-malware-delivery.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技提出警告，2022年11月正式上線的雲端IDE服務GitHub Codespaces，駭客很有可能用來散布惡意軟體。研究人員展示如何透過這項服務架設網頁伺服器，藉此利用微軟提供的流量來規避偵測──攻擊者可透過Python架設網頁伺服器，然後將惡意軟體或惡意指令碼上傳到Codespaces，並在該服務的VM裡，打開Web伺服器的連接埠，並設為公開。</p> <p>如此一來，駭客產生的URL就能存取上述於Codespaces代管的檔案，而被用於攻擊行動。研究人員指出，駭客還可以濫用該IDE服務的開發容器（Dev Container），藉由這種事先設定好的容器，來提升散布惡意軟體的效率。</p> <h3><a href="http://www.documentcloud.org/documents/23573442-a_nmac_ah877_v02-002?responsive=1&title=1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日產汽車北美分公司資料外洩，起因是外部供應商資料庫配置不當</span></strong></a></h3> <p>1月16日日產汽車北美分公司向美國緬因州總檢查長辦公室通報，他們在2022年6月21日收到軟體開發商資料外洩的通報，此公司從日產取得客戶資料並用於開發軟體，但因為資料庫配置不當而無意間曝露相關資料。日產獲報後展開調查，並於9月26日察覺疑似未經授權人士存取上述資料庫。</p> <p>這些曝露的資料包含了車主姓名、出生日期，以及日產金融帳號（NMAC），但不包括社會安全碼（SSN）與信用卡資料。日產估計有17,998人受到影響，不過，目前尚未發現相關個資遭到濫用的跡象。</p> <h3><a href="https://vulncheck.com/blog/sophos-cve-2022-3236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">數千臺Sophos防火牆曝險，原因是系統版本過舊而無法升級、修補漏洞</span></strong></a></h3> <p>資安業者VulnCheck針對Sophos防火牆用戶提出警告，12月修補的程式碼注入漏洞CVE-2022-3236（CVSS評分為9.8分），粗估至少有4千臺防火牆因為版本太舊，無法接收相關更新而曝險。Sophos在9月下旬針對這項漏洞發布資安通告，並指出當時已被用於攻擊行動，後續亦提供修補程式。</p> <p>但研究人員指出，他們從物聯網搜尋引擎Shodan找到8.8萬臺Sophos防火牆，結果發現，幾乎所有的設備（99%）尚未修補上述漏洞，不過，約有93%防火牆執行的軟體版本可接收更新程式，換言之，約有6%的設備，也就是4,400臺因無法接收自動更新而可能持續曝險。</p> <h3><a href="https://www.bitdefender.com/blog/labs/eyespy-iranian-spyware-delivered-in-vpn-installers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗間諜軟體EyeSpy假借VPN軟體散布</span></strong></a></h3> <p>防毒業者Bitdefender揭露名為EyeSpy的攻擊行動，駭客咱2022年5月開始，利用監控應用程式SecondEye的元件，並藉由木馬化的安裝程式散布名為EyeSpy的間諜軟體，目標是伊朗網路服務業者Speed VPN的使用者，此攻擊行動於8月至9月達到高峰，受害者大部分位於伊朗，但德國與美國也有人受害。</p> <p>一旦使用者依照指示安裝駭客提供的VPN用戶端程式，同時也會在電腦部署EyeSpy與一系列惡意工具。此間諜軟體能側錄鍵盤輸入的內容，以及竊取機密資料，來危害受害者的隱私。</p> <h3><a href="https://www.deepinstinct.com/blog/malicious-jars-and-polyglot-files-who-do-you-think-you-jar"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">木馬程式StrRAT與Ratty濫用多屬性檔案發動攻擊</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/fig5-low-detection-rate-for-cab-jar-polyglot.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig5-low-detection-rate-for-cab-jar-polyglot.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct揭露近期木馬程式StrRAT與Ratty的攻擊行動，駭客為了規避防毒軟體的偵測，採用了多屬性（Polyglot）檔案來進行干擾──他們製作了同時具備MSI安裝檔（或CAB檔案）與JAR壓縮檔屬性的惡意軟體，由於MSI與CAB是在檔案前端加入相關標記，而JAR則是在檔案結尾標記格式資料，使得駭客製作的檔案既是MSI安裝程式（或CAB壓縮檔），也能被視為Java程式執行。這些惡意軟體會從Discord下載StrRAT和Ratty酬載到受害電腦。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.securitynewspaper.com/2023/01/17/four-server-side-request-forgery-ssrf-vulnerabilities-impacting-different-azure-services/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員公布Azure服務出現的4個伺服器端請求偽造漏洞細節</span></strong></a></h3> <p>資安業者Orca針對微軟近期修補的Azure服務的伺服器端請求偽造（SSRF）漏洞公布細節，這些漏洞分別出現於物聯網管理平臺Azure Digital Twins、無伺服器解決方案Azure Functions、API管理平臺Azure API Management，以及機器學習專案生命週期管理服務Azure Machine Learning，微軟獲報後於2022年10月至12月修補。</p> <p>研究人員指出，Azure Functions和Azure Digital Twins的漏洞無需身分驗證就能被利用，使得攻擊者可在沒有Azure帳號的情況下，藉由伺服器的名義發出請求來利用漏洞。</p> <h3><a href="https://www.oracle.com/security-alerts/cpujan2023.html?source=:em:gbc:ie:cpo:::RC_WWMK210714P00017:SEV400271504&elq_mid=236902&sh=15222217222121092202163608262403&cmid=WWMK210714P00017C0001" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第一季例行修補</span></strong></a></h3> <p>1月17日，Oracle推出2023年第一次的每季例行修補，總共修補了327個漏洞，當中涵蓋資料庫軟體MySQL、Oracle Java SE、虛擬化平臺Oracle VM VirtualBox等產品。</p> <p>其中，MySQL的部分共有37個漏洞，其中，CVE-2022-31692、CVE-2022-32221、CVE-2022-37434的最為危險，CVSS評分達到9.8分；而對於Java SE的部分，該公司總共修補4個漏洞，其中風險層級最高的是CVE-2022-43548，CVSS評分達到8.1分；而對於VirtualBox，他們共修補了6個漏洞，風險評分最高者是CVE-2023-21886，CVSS風險層級是8.1分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.sailpoint.com/press-releases/sailpoint-acquires-seczetta/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SailPoint買下身分驗證生命週期及風險管理業者SecZetta</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/ransomware-attack-affects-1000-vessels-worldwide-a-20939"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">船隻管理系統ShipManager遭勒索軟體攻擊，恐波及上千艘船運作</span></span></strong></a></p> <p><a href="https://therecord.media/hackers-use-fear-of-mobilization-to-target-russians-with-phishing-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯人遭到鎖定，駭客假借提供動員名單進行網釣攻擊</span></span></strong></a></p> <p><a href="https://heimdalsecurity.com/blog/danish-danskespil-dk-smishing/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">丹麥手機用戶遭到釣魚簡訊鎖定，駭客聲稱訂閱服務到期行騙</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/01/12/rhadamanthys-new-stealer-spreading-through-google-ads/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密程式Rhadamanthys透過Google廣告散布</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155198">【2023年1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155184">【2023年1月16日】 WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155154">【2023年1月13日】 SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</a></strong></strong></strong></p> </div></div></div>
2023/1/18 16:42作者周峻佑https://www.ithome.com.tw/news/155202
台灣大哥大併台灣之星，遠傳合併亞太電信，NCC附帶條件准了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣大哥大申請合併台灣之星、遠傳電信申請合併亞太電信，兩宗電信合併案在歷時約1年時間後，NCC今天（1/18）以附加附款方式通過兩項合併案，針對外界爭議合併後，台灣大哥大、遠傳電信擁有的頻寬超過標準，NCC要求限期解決頻寬超標問題。</p> <p>台灣大哥大是在2021年12月底，宣布將合併台灣之星，為國內電信市場投下震憾彈，稍後遠傳電信也在2022年2月發表合併亞太電信的消息，台灣大哥大、遠傳電信在去年2月、3月先後向NCC申請合併案。由於合併案牽涉市場競爭、用戶權益，以及合併後取得無線頻譜資源超標問題，引發各界不同意見，合併案遲遲沒有結論，NCC也舉辦聽證會，蒐集各界意見，也和數位發展部、公平會就電信合併案進行討論。</p> <p>本周NCC委員會決議通過兩宗合併案，NCC副主委暨發言人翁柏宗表示，基於資源合理分配、有助於產業發展、維護用戶權益、維繫市場競爭及國家安全考量，以附加20項附款、6項行政指導事項通過台灣大哥大合併案，遠傳申請合併亞太電信一案也以19項附款、6項行政指導事項通過。</p> <p>翁柏宗進一步指出，電信業者合併應發揮綜效，NCC提出對合併業者的幾項期望，包括提升服務人口涵蓋率，且因可用的頻寬資源增加，必需提升服務品質。此外，合併之後，既有消滅業者的用戶概括承受，保障用戶權益，也必需提供多元資費，關懷弱勢用戶，引入其他業者服務，促進市場競爭。NCC未來每一年7月都會檢視業者是否做到。</p> <p>至於爭議已久的無線頻寬超標一事，依公布資料，台灣大哥大合併台灣之星後，在1GHz以下頻段超額10MHz；遠傳合併亞太電信後，在3GHz以下頻段超過13MHz頻寬，在6GHz以下超過3MHz頻寬，在24GHz以上則超過160MHz頻寬。</p> <p>NCC指出，依照與數位發展部討論，認定合併後，台灣大哥大、遠傳電信兩家業者都有超額頻寬，要求業者在2024年6月30日前經數位部核准，完成超額頻寬處理，處理方式包括業者自主繳回超額頻寬資源，或是轉讓非子公司、關係企業、營業夥伴的其他電信業者，或是與非子公司、關係企業、營業夥伴的其他電信業者交換。如沒有在限期內處理完，將依法處50萬元以上、500萬元以下罰鍰，並通知停子使用頻率。</p> <p>今天NCC通過合併案後，接下來需經過公平會審議結合案，後續完成證交所、證期局，關於股分合併，以及經濟部法人登記變更。而在通訊傳播業務方面，NCC通過合併案後，合併業者需向NCC申請網路、營運計畫變更，因合併後超額頻寬必需處理，後續還要向數位發展部核發新的頻率使用證明，再經NCC核發審驗合格證明等等。</p> <p><span style="color:#B22222;"><strong>業者合併後，未來5G人口涵蓋率需達98%以上</strong></span></p> <p>NCC要求合併業者服務涵蓋率提升，在2027年後，4G涵蓋率需達人口的99%以上，5G涵蓋率則需達到98%以上，偏遠地區涵蓋率則要達到95%以上。由於合併後，電信業者取得更多頻譜資源，業者在網路規畫上更具彈性，業者未來5年投入4G、5G基礎建設，預計資本支出投入600多億元。</p> <p>至於用戶合併方面，台灣大哥大、遠傳電信均概括承受台灣之星、亞太電信既有用戶，合計約476萬用戶，應提供無差別的電信服務，台灣之星、亞太電用戶權益不受影響。</p> <p>此外，因合併後，市場上從5家行動電信業者剩下3家行動業者，為避免影響市場的競爭，NCC要求業者對於MVNO業者與行動電信業者合作提供服務，應訂出明確的受理程序、協商，提供多樣化的批發服務及計價方式，提供其他業者與自身用戶相同的行動語音、數據漫遊、號碼可攜及平等接取服務。NCC也要求行動電信業者對MVNO不得有限制的行為，包括不可有不合理或無正當的流量管理差別待遇、不得限制或干預其他業者的費率規畫、行銷及服務組合，或是限制MVNO和其他電信業者簽訂批發服務契約等等。</p> <p> </p> <p> </p> </div></div></div>
2023/1/18 17:55作者蘇文彬https://www.ithome.com.tw/news/155204
【資安月報】2022年12月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在12月資安新聞中，有3大面向的議題可以進一步探討與關注，包括微軟Exchange漏洞利用的最新消息，惡意網站偽冒品牌業者，並利用搜尋引擎廣告來散布的威脅態勢，以及本月資安防護新聞有數個熱門焦點。</p> <p>首先，在這個月有一項漏洞利用攻擊受關注，起因是雲端服務業者Rackspace代管的Exchange伺服器<a href="https://www.ithome.com.tw/news/154560#rackspace">在12月初</a>，因遭勒索軟體攻擊而中斷運作，一個月後，該公司公布委託資安業者CrowdStrike調查的結果。<a href="https://status.apps.rackspace.com/index/viewincidents?group=2&group=2">Rackspace指出</a>，這場攻擊由Play勒索軟體的駭客組織發動，是使用一個未知的漏洞入侵他們代管的Exchange伺服器，並指出該漏洞與微軟11月修補的CVE-2022-41080漏洞有關，因此並非直接透過CVE-2022-41080漏洞來入侵。</p> <p>特別的是，在12月20日，CrowdStrike曾經揭露相關漏洞利用相關消息，當中提供了更多資訊。<a href="https://www.ithome.com.tw/news/154819#OWASSRF">該公司研究人員表示</a>發現新的漏洞利用方法，是串連利用了CVE-2022-41080與CVE-2022-41082的漏洞，將可繞過ProxyNotShell（由CVE-2022-41082及CVE-2022-41040組成）的緩解措施，但若已安裝修補微軟11月的Exchange更新修補，此攻擊手法將變得無效。而這項發現，是他們在調查Play勒索軟體事件時所得出的結論，因此，該業者當時也趕緊建議用戶盡速安裝更新修補。</p> <p>至於CVE-2022-41080漏洞，美國網路安全暨基礎設施安全局（CISA）<a href="http://www.ithome.com.tw/news/155171">後續</a>也將這個漏洞列入已知被利用漏洞（KEV）列表，也印證駭客針對該漏洞鎖定利用的情形出現。</p> <p>另一項關注的攻擊態勢，是美國<a href="https://www.ithome.com.tw/news/154861#FBI">FBI發出警告</a>──有網路犯罪者持續利用搜尋引擎廣告、假冒品牌業者的方式，來散布惡意網站。因此他們提醒企業與民眾注意，並對企業提出三項建議，可利用網域名稱保護服務，向用戶宣導認識詐騙網站與識別正確URL的重要性，以及告知用戶如何找到合法下載管道，同時呼籲民眾個人也要懂得自保，廣告連結同樣要檢查網址是否有異。</p> <p>事實上，這樣的狀況在2022年11月的資安月報也提到，因為臺灣持續有相關案例。而在美國FBI發出警告之後幾天，還有一些資安業者揭露這類型攻擊的研究與調查。</p> <p>例如，趨勢科技<a href="https://www.ithome.com.tw/news/154895#IcedID">揭露殭屍網路病毒IcedID的攻擊行動</a>，就是會透過Google的點擊付費廣告管道，假冒知名品牌業者名義，引誘使用者到惡意網站下載安裝程式；另一家資安業者Guardio也揭露不同攻擊行動，<a href="https://www.ithome.com.tw/news/154930#Vermux">指出駭客組織Vermux</a>的手法更隱密，在濫用Google廣告、冒名提供應用程式的過程中，在連至真正惡意網站前，使用一個位於俄羅斯的masquerAds網域來進行重新導向，也就是先以無害的masquerAds網站，來通過Google的審核機制。</p> <p>另外，12月還有多項安全防護面的重要發展，成為熱門資安新聞焦點。</p> <p>例如，以開發人員與資安人員而言，有兩項消息受到廣泛關注，一是<a href="https://www.ithome.com.tw/news/154709">Google新推OSV-Scanner</a>，可幫助專案相依項目與已知漏洞列表做到自動化比對，另一是<a href="https://www.ithome.com.tw/news/154779">GitHub推出Secret scanning的功能</a>，可幫助開發人員檢查不慎將帳密、金鑰或憑證嵌入在程式碼，造成秘密外洩的問題。</p> <p>以半導體產業而言，SEMI國際半導體產業協會宣布<a href="https://www.ithome.com.tw/news/154611">推出「半導體資安風險評級服務」</a>，期盼帶動資安行動力不足的半導體業，都能更有效地提升資安量能，而且，非SEMI會員也可訂閱這項服務。</p> <p>以物聯網相關上游產業而言，聚焦IoT平臺與元件的SESIP標準，首次有<a href="http://www.ithome.com.tw/news/154900">國際組織在臺推動</a>，而資策會也與該標準推動者Global Platform簽署MOU，希望在臺灣建立認可實驗室後，本土物聯網產品廠商可以就地檢測，更期盼我國的IoT晶片安全與測試標準也能鏈結國際。</p> <p>另外，我國金管會新<a href="https://www.ithome.com.tw/news/154920#金融資安行動方案2.0">發布金融資安行動方案2.0</a>，將新增12項措施（共40項），並綜整為9個推動重點，成為國內金融業未來所關注的重點，而隨著美國國防部網路安全成熟度模型認證（CMMC）2.0版草案的推出，<a href="https://www.ithome.com.tw/article/154533">臺灣產業對此議題的重視程度</a>備受探討，尤其是電機電子與國防業者在爭取商機上，應當更要密切關注與行動。</p> <p>此外，本月還有<a href="https://www.ithome.com.tw/news/154609">亞洲國際密碼學會議在臺舉行</a>的消息，PQC轉換議題再度浮上檯面，而在國際間，美國政府不僅開始付諸行動，白宮12月簽署<a href="https://www.ithome.com.tw/news/154861#H.R.7535">量子運算網路安全準備法案（H.R. 7535）</a>，更進一步促成後量子密碼學過渡計畫的實踐。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/154644"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月5日到12月9日</span></a></strong></h2> <p>在這一周資安新聞中，有多項漏洞消息受關注，包括三菱電機PLC多項漏洞等待業者修補中的消息，還有American Megatrends的一系列BMC韌體漏洞被揭露，多家主機板業者受影響。</p> <p>其他關注的漏洞修補消息，包括FreeBSD修補ping元件的記憶體緩衝區溢位漏洞CVE-2022-23093，Linux作業系統修補存在於snap-confine模組的高風險漏洞CVE-2022-3328，以及Intel修補資料中心管理主控臺（DCM）的漏洞。</p> <p>在威脅新態勢方面，有兩大焦點值得關注。國際間出現鎖定電信業者、業務流程外包公司，竊取SIM挾持攻擊所需權限的攻擊行動；有駭客手法是在釣魚郵件中，挾帶微軟筆記軟體OneNote的檔案（.ONE）來散布惡意軟體Formbook。在國際威脅焦點方面，近期揭露的重大事件有下列幾起，像是：美國軍火供應商遭到俄羅斯駭客TAG-53攻擊的情況，以及近期中國駭客Mustang Panda（又名APT41）假借歐盟名義發送釣魚郵件，在全球植入惡意軟體PlugX的情況。</p> <p>本周還有幾則新聞顯現出值得關注的趨勢，包括Google公布Android 13有更多新程式碼是用Rust開發，且Rust程式碼中目前發現的記憶體漏洞為零；12月5日「SEMI半導體資安風險評級服務」服務方案推出，非會員亦可訂閱，讓供應鏈資安強化有更容易進行的方式；Global Platform近期在臺推動一項物聯網安全SESIP標準，由於能高度與其他資安標準對應而受到看重。</p> <p>至於國內資安事件的消息，<a href="https://www.mohw.gov.tw/cp-16-72729-1.html">衛福部在7日回應</a>了桃園醫院資安事件的媒體報導，針對2019年的3起事件說明當時處理情形。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154774"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月12日到12月16日</span></a></strong></h2> <p>在這一周資安新聞中，有多項漏洞修補消息受關注，包括微軟本周釋出12月Patch Tuesday，當中修補一項的零時差漏洞CVE-2022-44698，以及Citrix在13日公告修補ADC與網路閘道器產品的零時差漏洞CVE-2022-27518，都已有攻擊行動鎖定，必續盡快修補。</p> <p>同時，Fortinet於11月修補SSL VPN漏洞CVE-2022-42475，後續該公司也發布資安通告說明已有攻擊行動鎖定利用的情形。還有要注意的是，iPhone的WebKit零時差漏洞CVE-2022-42856被鎖定，其中iOS 15.1手機用戶須特別注意。另外，本周新聞尚未提到的Veeam Backup & Replication的CVE-2022-26500與CVE-2022-26501漏洞修補，我們認為同樣須要留意。</p> <p>關於新漏洞揭露上，亦有兩大焦點，其影響層面不小。研究人員發現多款WAF產品因無法識別JSON格式、恐被發動SQL注入攻擊，多家廠牌都受影響，已有5家廠商釋出修補，其他產品用戶也應設法了解；還有數款防毒軟體與EDR系統也被研究人員發現零時差漏洞，受關注的是，這些漏洞可能被用於打造資料破壞軟體（Wiper），多家廠商也紛紛釋出修補。</p> <p>關於攻擊新趨勢方面，資安業者發現惡意軟體QBot有新的散布手法，攻擊者會在惡意郵件中的HTML附件中挾帶包含惡意JavaScript的SVG圖片；另外針對開源套件庫的方面，資安業者發現有網路攻擊者在NuGet、NPM、PyPI套件庫，透過自動化方式，打造並上傳了超過14萬個惡意套件。此外，還有一個值得留意的威脅態勢，是近來有勒索軟體攻擊濫用微軟簽章的驅動程式的情形，微軟獲報後發現數名開發人員計畫帳號被濫用。</p> <p>而在國內方面，關於2022年臺灣APT攻擊現況，資安業者TeamT5揭露這方面資訊，他們觀察到全年有109起APT攻擊行動，以阿米巴Amoeba與畫皮Hupai這兩個駭客組織為大宗，政府與軍方是主要遭受攻擊目標。</p> <p>至於安全防護面向上，本周Google新推的OSV-Scanner，是開發人員與資安人員重視的焦點，該機制可讓專案相依項目與已知漏洞列表，提供自動化比對的幫助。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154877"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月19日到12月23日</span></a></strong></h2> <p>在這一周資安新聞中，就是微軟最近將9月修補的漏洞CVE-2022-37958，調整為RCE漏洞，由於該漏洞涉及SPENGO NEGOEX防護，SMB與RDP等都受影響，因此受到廣泛關注。其他重大的漏洞消息，包括Samba在15日修補多項高風險漏洞，以及思科在12月中旬更新多則資安通告，當中指出多年前修補的漏洞在今年3月被用於攻擊行動。</p> <p>勒索軟體Play針對ProxyNotShell漏洞繞過的攻擊手法，持續成為焦點，資安業者發現有新手法OWASSRF攻擊Exchange伺服器。在攻擊新趨勢方面，以殭屍網路病毒而言，本周有MCCrash與Zerobot的攻擊動向受關注；在新興技術研究方面，有研究人員提出規避EDR監控的新硬體斷點技術，以及展示熱門自然語言對話語言模型ChatGPT與Codex可能被攻擊者應用的情境。</p> <p>在這一週資安消息當中，有幾則都是受到比較多討論的，像是：烏克蘭軍事情報系統Delta遭到竊密軟體攻擊、FBI威脅情資交換平臺InfraGard遭駭；還有雲端身分安全業者Okta說明原始碼遭竊，以及密碼安全服務業者LastPass客戶資料庫備份遭複製的事件。</p> <p>另外，國際間又有BEC詐騙案的警告，但這次並非變更匯款帳號騙取金錢，而是騙取貨品。這類案情雖不多見，但早年其實發生過，例如，五年前國內刑事警察局國際刑警科對於<a href="https://www.ithome.com.tw/news/116960"><span style="color: rgb(0, 0, 128);">BEC詐騙</span></a>就看到這樣的狀況，並指出手法萬變不離其宗，最終目的都是騙取金錢或貨品。</p> <p>至於安全防護的焦點上，GitHub將推出一項Secret scanning功能最受關注，可協助因應因開發人員不慎將帳密、金鑰或憑證嵌入程式碼的問題。</p> <h2><strong><a href="https://www.ithome.com.tw/news/154961"><span style="color: rgb(178, 34, 34);">【資安週報】2022年12月26日到12月30日</span></a></strong></h2> <p>在12月最後一周的漏洞消息中，主要焦點包括：Linux核心CVE-2022-47939漏洞（CVSS評分10）被揭露，Apache ShardingSphere-Proxy的CVE-2022-45347漏洞修補，Kubernetes政策管理引擎Kyverno的CVE-2022-47633漏洞修補，以及月前Citrix ADC與Gateway漏洞修補後的企業更新狀況。</p> <p>特別要注意的是，TIBCO Software在2018與2019年針對JasperReports伺服器修補的兩個已知漏洞（CVE-2018-5430與CVE-2018-18809），最近<a href="https://www.cisa.gov/uscert/ncas/current-activity/2022/12/29/cisa-adds-two-known-exploited-vulnerabilities-catalog">有攻擊者正針積極鎖定利用</a>，本周新聞中尚未提到，值得先行留意。</p> <p>至於威脅趨勢上，有兩起值得留意，首先是美國電信業者Comcast Xfinity用戶帳號遭入侵的事件，駭客疑繞過雙因素驗證挾持帳號；其次是駭客在Google廣告散布竊密軟體是利用masquerAds規避審核。另外，針對WordPress外掛程式的攻擊行動又有新的事件。</p> <p>還有一些國際資安新聞受到不小的關注，例如：美國參議院通過公務裝置全面禁用抖音的法案，南韓警方揭露當地外交智庫學者有近千人遭網釣攻擊，以及俄羅斯駭客企圖入侵北約國家煉油廠；在國內，金融資安行動方案2.0出爐消息最受注目。</p> <h2> </h2> </div></div></div>
2023/1/18 15:30作者羅正漢https://www.ithome.com.tw/news/155178
蘋果公布搭載M2 Pro和M2 Max晶片的MacBook Pro，效能比前代快40%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月蘋果公布了採用M2晶片的13吋MacBook Pro，一如業界臆測，蘋果昨（17）日公布搭載了最新M2 Pro及M2 Max SoC晶片的14與16吋的MacBook Pro與Mac mini，號稱效能比前代晶片快40%，影像處理效果更優異。另外Mac mini首次搭載M2晶片也宣布降價100美元。</p> <p><a href="https://www.apple.com/tw/newsroom/2023/01/apple-unveils-macbook-pro-featuring-m2-pro-and-m2-max/" target="_blank">新版14及16吋MacBook Pro</a>主打M2 Apple Silicon效能。蘋果指出，M2 Pro擴大基本版M2晶片，最高提供12核心CPU及19核心GPU，以及最高32 GB統一記憶體。M2 Max則再將GPU推向38核心，最高96 GB統一記憶體。兩者還另外加入16核神經引擎（Neural Engine）及蘋果自有媒體引擎等。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-M2-chips-hero-230117.jpg.landing-big_2x.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p><a href="https://www.apple.com/newsroom/2023/01/apple-unveils-m2-pro-and-m2-max-next-generation-chips-for-next-level-workflows/" target="_blank">蘋果宣稱</a>，M2 Pro以第二代5奈米製程打造，由400億電晶體組成，比M1 Pro多了近20%，比基本版M2多了1倍。它提供了10核或12核CPU，具備最多8個效能核心及4個省電核心。和10核心CPU M1 Pro比較，多執行緒CPU效能最多提升20%。</p> <p>蘋果聲稱，MacBook Pro執行Adobe Photoshop應用，在M2 Pro版可比M1 Pro快40%，若比起Intel Core i9甚至快80%。以M2 Pro版MacBook Pro執行Xcode組譯作業，速度比使用Intel CPU版本同型機種提升2.5倍。另外，M2 Pro 19 GPU核心則比M1 Pro多了3倍，加上更大的L2快取，使繪圖速度提升最高30%，增加了MacBook Pro執行高畫質遊戲的能力。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-M2-chips-image-processing-in-Photoshop-230117_big.jpg.large_2x.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/mac/standard/Apple-M2-chips-code-compiling-in-Xcode-230117_big.jpg.large_2x.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>M2 Max則包含670億電晶體，是基本版M2的3倍。400GB/s的統一記憶體頻寬加上96GB的統一記憶體，使其可快速開啟多個檔案，便於跨多個如金融、工程等專業應用執行，而繪圖速度也較M1 Max快30%，使新版MacBook Pro更利於需要繪圖效能的作業負載，包括視覺效果或影像處理、訓練機器學習等。蘋果並強調，M2 Max每瓦電效能使其成為全球最強大、也最省電的筆電晶片。</p> <p>蘋果另外指出，M2 Pro及M2 Max都內建了降噪功能及16核神經引擎（Neural Engine），可強化相機影像畫質，並提供影像編碼及ProRes引擎，可支援多道4K、8K的ProRes影片串流播放。兩者也都加入安全（Secure Enclave）可支援安全啟動及資料加密。</p> <p>新版本14及16吋筆電其他規格則和前一代大致相同，都是執行macOS Ventura，顯示器、機身及傳輸埠設計也都沒變。</p> <p><a href="https://www.apple.com/tw/newsroom/2023/01/apple-introduces-new-mac-mini-with-m2-and-m2-pro-more-powerful-capable-and-versatile-than-ever/" target="_blank">蘋果另外也展示了首次搭載M2 Pro的Mac mini</a>。這使得Mac mini也成為全數不再使用Intel處理器的產品線。現在僅剩Mac Pro尚未完全轉換到自家Apple Silicon晶片。</p> <p class="rtecenter"><img alt="" src="https://www.apple.com/newsroom/images/product/imac/lifestyle/Apple-Mac-mini-ProRes-Video-230117_big.jpg.large.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／蘋果</span></p> <p>MacBook Pro提供太空灰及銀白兩種選擇。美國市場即日起開放消費者預購，預計1月24日出貨。價格方面，MacBook Pro 14及16吋機種起售價分別為1,999及2,499美元，Mac mini則起跳價則降100美元，來到599美元。<a href="https://www.apple.com/tw/shop/buy-mac/macbook-pro/16-%E5%90%8B" target="_blank">臺灣</a>售價分別為64,900元及79,900元，以及18,900元臺幣。臺灣開賣時間未定。</p> </div></div></div>
2023/1/18 16:42作者林妍溱https://www.ithome.com.tw/news/155203
Cloud周報第164期：福斯新一代汽車架構開始擁抱雲原生技術，將把容器帶進汽車來推動應用創新和提高用戶體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（01/12～01/18）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 軟體化汽車 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 福斯 </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>福斯汽車不只打造雲端汽車平臺，更要擁抱雲端原生技術將容器帶進車上</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(7).png" style="width: 600px; height: 322px;" /></p> <p>福斯集團旗下汽車軟體公司Cariad在今年CES電子消費大展上，<a href="https://youtu.be/r0FNS6b4l9k?t=344">揭露</a>他們將擁抱雲原生技術，要把火紅的容器帶進車上，來推動汽車應用創新和提高用戶體驗。</p> <p>福斯汽車與雲端平臺負責人Amen Hamdan表示，目前已經提供一個嵌入式應用的runtime讓開發者可以將應用用容器打包後送到車上的實例做更新，而且可以將功能拆分，針對小功能進行更新。開發者也能透過這個應用runtime和API來取得車子功能相關數據進行應用開發，「今年把這項技術導入車上後，會推向更多車款。」他表示。</p> <p>福斯新一代汽車架構，強調軟體為中心的汽車設計架構，他們幾年前更與微軟合作打造一個福斯汽車雲（Volkswagen Automotive Cloud），透過這個汽車雲可提供各種車聯網應用服務。福斯美國汽車雲主要負責人Ross Garrett表示，汽車雲更大目的，是要讓原本在網站、行動和雲端開發者能把他們在其他平臺開發的應用帶進汽車上，因此提供許多開發工具，也開放API，藉此將開發時程從以前數個月或年，縮短到周。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware主權雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中華電信 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>中華電信與VMware合作在臺推出主權雲服務，因應資料不出境和資料主權要求</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(13).png" style="width: 600px; height: 316px;" /></p> <p>中華電信近日宣布自家hicloud開始可以提供VMware主權雲（Sovereign Cloud）服務，不只可供本地政府機關或金融等高度監管機構採用，對於其他跨國企業如果要在臺提供服務，而且又是採用VMware雲端解決方案，以後就能夠採用主權雲的架構，確保在合規性的議題能夠符合臺灣法規法令的要求。</p> <p>中華電信資訊技術分公司雲端系統處科長梁大中表示，除了國外企業以外，目前政府雲端資料中心也設在臺北HGR（Hicloud Government Region）機房，與主權雲都在同個地點，因此未來政府部門想要使用VMware服務方案或國外公雲而轉換到主權雲上也將更容易。</p> <p>中華電信這套主權雲除了具有完整資料管轄、資料備分及備援等功能外，在資料安全與合規上，除了中華電信既有雲端安全防護之外，還提供加乘防護，因為是架構在VMware軟體定義的資料中心（SDDC）環境上，可以取得包括vSphere 到vSAN等最新更新，來加強對敏感性數據的保護及加密措施。另外也可透過中華電信多雲交換平臺CMCX使用跨雲服務。未來中華電信與VMware將組成專案團隊提供技術支援與維護服務。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 企業雲端支出 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span> </strong></p> <p><strong><span style="font-size: 22px;"><strong>IDC公布2022年Q3企業雲端基礎設施支出增長近3成，達239億美元</strong></span></strong></p> <p>市調機構IDC近日公布企業雲端基礎設施市場最新數據，顯示在2022年第三季雲端運算和儲存基礎設施的支出，達到239億美元，與去年同期相比，增加24.7%，相較之下，非雲支出只有168億美元，企業雲端支出持續高於非雲支出。</p> <p>IDC將企業雲端市場分為企業與消費者共用的共享雲，以及專為企業使用的專用雲。當中，該季在共享雲基礎設施的支出達到168億美元，相比去年增長24.4%， IDC預期，到了2023年該支出將超越非雲基礎設施支出；其次，專用雲基礎設施本季也有25.3%增長，來到71億美元，其中近半數都是部署在本地資料中心。</p> <p>IDC將企業雲端市場分為企業與消費者共用的共享雲，以及專為企業使用的專用雲。當中，該季在共享雲基礎設施的支出達到168億美元，相比去年增長24.4%， IDC預期，到了2023年該支出將超越非雲基礎設施支出；其次，專用雲基礎設施本季也有25.3%增長，來到71億美元，其中近半數都是部署在本地資料中心。</p> <p>IDC預估，2022年企業雲端基礎設施的整體支出將達881億美元，比起去年只有8.6%增長幅度，今年將有顯著成長，達19.6%。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零售 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Salesforce商務雲開始提供沃爾瑪零售技術與解決方案</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(6).png" style="width: 600px; height: 331px;" /></p> <p>近日，美國零售巨頭沃爾瑪（Walmart）宣布與雲端CRM業者Salesforce展開合作，把旗下兩大零售技術Store Assist與GoLocal帶進Salesforce商務雲，讓零售業者可以容易通過雲端使用到沃爾瑪技術，進行訂單管理以及取貨送貨服務。</p> <p>Store Assist是Walmart商務技術團隊開發的履行即服務（FaaS），可用來管理所有門市取貨訂單，Walmart曾用於管理4,700家分店8.3億筆訂單，GoLocal則是一種送貨即服務技術，過去協助Walmart用來建立送貨網路來因應上千多家分店高達16萬多件商品交付。2021年時Walmart將這項技術變成產品銷售，現在也能通過Salesforce AppExchange雲端市集提供。</p> <p>沃爾瑪全球技術部技術戰略和商業資深副總Anshu Bhardwaj表示，借助Salesforce雲端，將讓零售業者可以更容易擴展其業務並提供個人化、便捷的顧客體驗。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 併購案 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟併購DPU製造商Fungible，將運用資料處理器底層技術重新強化Azure雲端基礎架構</strong></span></strong></p> <p>微軟最近買下DPU製造商Fungible，將運用資料處理器（Data Processing Unit ,DPU）技術重新強化雲端基礎架構，以提升Azure服務。不過，微軟並未揭露此次交易金額。</p> <p>2016年成立的Fungible，提供資料中心專用的DPU資料處理器產品，可以用於加速資料中心內的資料工作負載，並推出開源和商用兩種版本。</p> <p>微軟表示，完成收購後，Fungible團隊將加入微軟資料中心基礎設施工程團隊，將專注於DPU解決方案、網路創新和改善硬體系統，來實現更具可靠與安全性的資料中心基礎設施。此次併購，也是微軟近期第2家以資料中心為主的收購案，上一次是去年12月收購英國光纖業者Lumenisity，來強化微軟在Azure雲端平臺的網路基礎架構。</p> <p><strong> </strong></p> <p><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧家庭 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端互通性 </span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></strong></strong></p> <p><strong><span style="font-size: 22px;"><strong>以三星為首的家庭連接聯盟釋出智慧家庭雲端互通標準</strong></span></strong></p> <p>以三星、Electrolux集團、海爾等廠商為首在去年成立的家庭連接聯盟（Home Connectivity Alliance,HCA），近日正式釋出HCA Interface Specification 1.0標準，這也是該聯盟成立1年來推出第一個版本。該標準使消費者未來只需有一個HCA應用程式，就能控制不同品牌的電器、HVAC空調系統和電視。</p> <p>根據官方說明，該標準旨在建立一個雲到雲（Cloud-to-Cloud）的互通標準，可供不同HCA成員的家電、空調系統與電視通過該介面取得其他跨品牌電器在Cloud上的數據存取或控制權限。HCA聯盟表示，該標準的釋出，不只能提高跨品牌智慧家電的相容性，強化智慧家居體驗，通過建立互通性也能加速創新，如提高家庭能源效率或節省成本等。</p> <p> </p> <p><strong><strong>圖片來源／福斯、沃爾瑪、中華電</strong></strong></p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong><strong><strong><strong>1.微軟採用英特爾第4代Xeon Scalable處理器，以TDX技術強化Azure機密運算服務</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>2.企業級Kafka串流服務供應商Confluent併購串流處理新創Immerok，加速雲端原生串流服務的開發</strong></strong></strong></strong></p> <p><strong><strong><strong><strong>3.科技業寒冬！亞馬遜CEO發表公開信將大規模裁員1.8萬人</strong></strong></strong></strong></p> <p><strong><strong><strong><strong><strong><strong><strong>4.微軟安全物聯網平臺Azure Sphere終於能支援使用Rust語言來開發應用程式</strong></strong></strong></strong></strong></strong></strong></p> <p><strong><strong><strong><strong>資料來源：iThome整理，2023年1月</strong></strong></strong></strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/1/18 10:51作者余至浩https://www.ithome.com.tw/news/155199
HPE併購Pachyderm在自家AI解決方案整合可重現機器學習技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2023/01/hewlett-packard-enterprise-acquires-pachyderm-to-expand-ai-at-scale-capabilities-with-reproducible-ai.html">HPE宣布併購機器學習工作管線新創Pachyderm</a>，期望透過整合雙方解決方案，在大規模人工智慧應用程式，應用自動化可重現（Reproducible）機器學習工作管線，進而提高用戶的機器學習應用，從概念性驗證階段進入生產的速度。</p> <p>Pachyderm是一家使用開源軟體，自動化可重現機器學習工作管線的新創公司。重現機器學習管線，代表著用戶藉由使用相同的資料集，在每次執行中獲得相同的結果，進而提高預測的透明度、可信度和準確性，同時也能最佳化時間和資源運用。</p> <p>隨著人工智慧專案越來越大，需要的資料集越來越多，可重現人工智慧解決方案帶來基礎設施成本最佳化，同時也確保資料安全可靠。Pachyderm可重現人工智慧軟體，能夠強化HPE現有大規模人工智慧產品，滿足影像、文字等生成人工智慧大型模型的運作需求。HPE解釋，可重現機器學習工作管線，對於大規模人工智慧專案至關重要，這代表了人工智慧預測準確性增加，並且更快取得結果的重要功能。</p> <p>HPE將在自家的機器學習開發解決方案中，整合Pachyderm可重現人工智慧功能，在整個開發和訓練環境中提供資料驅動工作管線，以自動最佳化、準備、追蹤和管理可重複機器學習程序。HPE用戶得以更快地開發和部署大規模人工智慧應用程式，擁有的優點包括掌握資料處理歷程，供用戶了解資料的來源，以及資料在機器學習生命周期和分析過程的移動，可以簡單追溯錯誤的根本原因。</p> <p>用戶也能執行資料版本控制，根據追蹤不同版本的資料，了解任意資料創建和更改的時間點，Pachyderm的高效能增量資料處理，能夠只處理增量資料即可更新人工智慧應用，加速並且自動化資料更新。</p> <p>當前Pachyderm軟體已經上市，可以與HPE現有人工智慧軟體解決方案整合，HPE接下來還計畫將Pachyderm整合到機器學習開發系統，提供開箱即用的模型建置和訓練解決方案。</p> </div></div></div>
2023/1/17 18:02作者李建興https://www.ithome.com.tw/news/155197
CircleCI用戶金鑰和權杖被竊，導致第三方系統遭入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155036">CircleCI在1月4日的時候，向用戶發出安全警報</a>，提到他們正在調查一起安全事件，當時他們認為並沒有任何系統遭到入侵，但現在<a href="https://circleci.com/blog/jan-4-2023-incident-report/">CircleCI安全事件調查報告出爐</a>，不只發現用戶的加密金鑰被偷，攻擊者有能力存取GitHub儲存庫和第三方系統，並且已有用戶回報系統已遭駭客入侵。</p> <p>在12月29日時，用戶通報可疑的GitHub OAuth活動，CircleCI因此發現用戶的GitHub OAuth權杖已被洩漏，因此啟動所有GitHub OAuth權杖輪替流程，而後經過CircleCI內部調查，確認攻擊者的入侵範圍和路徑，追溯發現有一名CircleCI工程師筆電被植入惡意軟體，駭客藉此竊取有效且支援2FA的SSO會話。</p> <p>該電腦在12月16日遭到感染，防毒軟體未能偵測到該惡意軟體，惡意軟體在竊取會話Cookie之後，便能夠從遠端冒充該名CircleCI工程師，進而存取產品系統。因為該名工程師的日常職務，有權生成存取產品的權杖，因此攻擊者便能夠從資料庫和儲存系統上存取和洩漏資料，包括用戶的環境變數、權杖和金鑰。</p> <p>官方提到，雖然所有資料都為靜態加密，但是因為攻擊者從正在執行的程序中擷取加密金鑰，因此能夠存取加密資料。</p> <p>攻擊者在12月22日竊取用戶資料，其中包括第三方系統的環境變數、金鑰和權杖，CircleCI提醒，在這段時間曾將機密資訊存在CircleCI平臺的用戶，需要假設這些資訊已遭竊取，並採取建議的緩解措施，同時還需要調查系統中，12月16日至1月4日的可疑活動，1月5日之後才進到CircleCI平臺的資料則是安全的。</p> <p>因為這個事件涉及第三方系統的金鑰和權杖洩漏，因此CircleCI無法得知用戶系統是否遭到入侵，但是已知有5個用戶通報，發現第三方系統遭到攻擊者存取。CircleCI已經完成Atlassian、AWS和GitHub OAuth權杖輪替，官方表示，現在用戶已經可以安全地在CircleCI上進行建置。</p> <p>CircleCI承諾將進一步強化安全，行動包括替所有用戶啟動OAuth權杖自動定期輪替，並且從OAuth轉換使用GitHub應用程式，使得CircleCI能夠實行更精細的權限。CircleCI也將會對所有工具配置進行分析，擴大警示和減少會話信任，添加額外的身分驗證因素等。</p> </div></div></div>
2023/1/18 07:17作者李建興https://www.ithome.com.tw/news/155196
【資安日報】2023年1月17日，雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps業者CircleCI甫於昨日（1月16日）公布資安事故的調查結果，現在有雲端服務業者證實他們也受到這起事故波及，但初步認定僅有部分使用者有可能曝險。</p> <p>被用於管理CentOS伺服器的元件Control Web Panel（CWP），在10月底被修補的漏洞CVE-2022-44877近期出現了攻擊行動，使得研究人員呼籲IT人員應儘速套用新版程式。</p> <p>主機板廠商調整的UEFI配置也有可能造成風險。有研究人員發現微星在一年前更動主機板韌體的預設配置，有可能導致近300款主機板的UEFI安全開機機制失效。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="http://docs.datadoghq.com/agent/faq/circleci-incident-impact-on-datadog-agent/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端資安業者Datadog金鑰因CircleCI遭駭而曝光</span></strong></a></h3> <p>1月16日雲端資安業者Datadog發布資安通告，表示他們在1月4日接獲DevOps業者CircleCI的通知，有可能受到正在調查的資安事件波及。Datadog經過調查後，確認其中一個RPM GPG私鑰及密碼儲存在CircleCI，但沒有證據顯示遭到攻擊者濫用的跡象。為求謹慎，Datadog公布受影響的私錀細節，並發布新的RPM套件版本Linux代理程式。</p> <p>該公司表示，即使攻擊者取得了上述金鑰並製作惡意的RPM套件，還是難以攻擊他們的使用者。此外，該公司亦強調，在Windows、macOS、Debian、Ubuntu等作業系統執行代理程式的用戶，或是採用容器版的代理程式，不受此次資安事故影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-control-web-panel-flaw-to-open-reverse-shells/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CentOS主機網頁管理介面元件CWP已於10月修補的漏洞，已出現攻擊行動</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/CWPinstances_CloudSek.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CWPinstances_CloudSek.jpg" style="width: 300px; float: right;" /></a>資安業者Gais Cyber Security指出，他們向CentOS主機網頁管理介面元件Control Web Panel（CWP）通報的漏洞CVE-2022-44877，自1月3日發布概念性驗證（PoC）攻擊影片，3天後就有駭客存取尚未修補的系統，並掃描網路上含有相同弱點的伺服器。這項漏洞研究人員於2022年7月通報，CWP於10月下旬發布0.9.8.1147版修補。</p> <p>另一家資安業者CloudSEK對於上述PoC進行分析，並透過物聯網搜尋引擎Shodan，找到逾43萬個可透過網際網路存取的CWP系統。Shadowserver基金會則發現已有相關攻擊行動，駭客利用漏洞來啟動反向Shell，或是在CWP主機上植入Python的pty模組。而對於攻擊行動出現的地區，資安業者GreyNoise發現美國、泰國、荷蘭等地的攻擊行動。</p> <h3><a href="https://arstechnica.com/information-technology/2023/01/hundreds-of-sugarcrm-servers-infected-with-critical-in-the-wild-exploit/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">客戶關係管理平臺SugarCRM重大漏洞已被用於攻擊行動</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/SurgerCRM-image2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SurgerCRM-image2-1.png" style="width: 300px; float: right;" /></a>資安業者Censys提出警告，他們自12月30日發現有人流傳針對客戶關係管理平臺SugarCRM發動攻擊的手法，當中利用零時差漏洞CVE-2023-22952，破壞伺服器主機並植入以PHP製作的Web Shell，SugarCRM於1月5日證實此事，並於11日發布12.0.2版和11.0.5版修補漏洞。</p> <p>Censys表示，截至1月11日，他們在網際網路上發現3,066個SugarCRM系統，其中有354個遭到破壞，又以美國有90臺受害伺服器最多。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/canadas-largest-alcohol-retailers-site-hacked-to-steal-credit-cards/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加拿大酒品零售商LCBO網站遭駭，駭客側錄信用卡資料</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/FmSt5DZWABI3Zuz.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FmSt5DZWABI3Zuz.jpg" style="width: 300px; float: right;" /></a>加拿大酒品零售商LCBO於1月11日發布資安通告，表示未經授權的人士在他們的網站上，植入了惡意程式碼，藉此在結帳的過程竊取客戶的資料，他們初步判定1月5日至10日購物的客戶資料可能已經外洩，這些資料包括客戶姓名、電子郵件信箱、送貨地址、信用卡資料，以及LCBO網站帳密。不過，使用行動裝置App或Vintages Shop Online網站購物的客戶不受影響。</p> <p>資安新聞網站Bleeping Computer發現，駭客在LCBO網站植入的側錄程式碼（Web Skimmer），偽裝成網站分析工具Google Analytics來規避偵測。LCBO已將網站與行動應用程式下線，並著手進行調查。</p> <h3><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客論壇疑出現臺灣軍情機構資料，10 GB要價15萬美元</span></strong></h3> <p><a href="https://s4.itho.me/sites/default/files/images/D9ozUAfAhh_20230117-1436-55981.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/D9ozUAfAhh_20230117-1436-55981.png" style="width: 300px; float: right;" /></a>根據<a href="https://www.setn.com/News.aspx?NewsID=1240362">三立新聞</a>、<a href="https://news.ltn.com.tw/news/politics/breakingnews/4186250">自由時報</a>等媒體報導，有人在駭客論壇BreachForums上，聲稱握有臺灣軍情單位的機密資料，目前針對一份10 GB檔案開價15萬美元，並表示手上還有更多資料求售。對此，法務部調查局表示正在處理，不便透露細節。</p> <p>三立新聞引述前情報人員的說法，這些資料疑似與線民有關，包含化名、駐地、任務等基本資料，亦有家庭背景、工作條件、人格特質、政治考核，很可能是確認線民是否適任擔任相關工作的報告，但只要是涉及線民的資料，一旦曝光，後果會很嚴重。</p> <p>自由時報引述資深軍事迷馬蘭的看法，指出這些資料有可能是中國間諜在臺工作的資料，也有可能還有其他人員或機構遭到滲透。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://dawidpotocki.com/en/2023/01/13/msi-insecure-boot/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微星疑似在韌體更新的過程中調整UEFI安全開機設定而曝險，影響近300款主機板</span></strong></a></h3> <p>資安研究員Dawid Potocki指出，微星有超過290款主機板會受到預設的UEFI安全開機設定影響，有可能使得這些電腦執行不安全的作業系統而曝險，且無論是支援Intel或AMD處理器的微星主機板都可能曝險。</p> <p>研究人員發現，微星在2022年1月18日發布的韌體7C02v3C，更動了主機板預設的安全開機配置，將Image Execution Policy的設定調整為總是執行（Always Execute），在這種情況下，將允許透過任意ROM映像檔、外接式裝置，以及電腦內部裝置開機。他呼籲使用者應調整相關配置為拒絕執行，才能發揮UEFI安全開機的作用。</p> <h3><a href="https://www.imperva.com/blog/google-chrome-symstealer-vulnerability/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器漏洞SymStealer恐導致機敏資料曝險</span></strong></a></h3> <p>資安業者Imperva針對Google修補的瀏覽器漏洞SymStealer（CVE-2022-3656）揭露相關細節，這項漏洞與符號連結（Symlink）機制有關，曾於2022年10月的Chrome 107、11月的Chrome 108二度修補。</p> <p>一旦攻擊者利用這項漏洞，就有可能濫用符號連結功能來繞過檔案系統的限制，來對於未經授權的檔案操作。研究人員指出，攻擊者可引誘使用者下載ZIP檔案，內有指向電腦重要檔案或資料夾的符號連結，進而竊取加密貨幣錢包的帳密或是金鑰。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155191"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者Avast提供「變臉」勒索軟體解密金鑰</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/supply-chain-attack-using-identical-pypi-packages-colorslib-httpslib-libhttps"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意PyPI套件攻擊行動Lolipop散布竊密軟體</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/vice-society-ransomware-leaks-university-of-duisburg-essen-s-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國大學遭到勒索軟體Vice Society洩露資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/researchers-to-release-poc-exploit-for-critical-zoho-rce-bug-patch-now/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員發布Zoho重大漏洞的概念性攻擊程式</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155184">【2023年1月16日】 WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155154">【2023年1月13日】 SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155133">【2023年1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</a></strong></strong></strong></p> </div></div></div>
2023/1/17 18:23作者周峻佑https://www.ithome.com.tw/news/155198
微軟正式推出Azure OpenAI服務，提供GPT-3、Codex和DALL-E 2模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布<a href="https://azure.microsoft.com/zh-tw/blog/general-availability-of-azure-openai-service-expands-access-to-large-advanced-ai-models-with-added-enterprise-benefits/">Azure OpenAI服務全面上市</a>，更多的企業用戶可以申請使用由OpenAI所開發的人工智慧模型，除了GPT-3之外，Azure OpenAI服務還提供包括GPT-3.5、Codex和DALL-E 2模型，官方也承諾，用戶也將可以透過Azure OpenAI服務取用ChatGPT。</p> <p>微軟在2021年Ignite大會首次公開Azure OpenAI服務，這是一個讓企業可以在安全且符合法規的情況下，透過Azure取用OpenAI預訓練模型的服務，在存取模型的同時，用戶還可以獲得Azure雲端基礎設施的優點，以及資料隱私、負責任人工智慧等額外功能，供用戶更簡單地利用大規模人工智慧模型，改善終端用戶體驗並且提升企業內部營運效率。</p> <p>GPT-3是強大的語言模型，擁有1,750億個參數，因為接受完整的預訓練，因此用戶只要輸入少量的文字範例，即可獲得高品質的結果。Azure OpenAI服務提供用戶存取各種預訓練模型，還包括GPT-3的升級版GPT-3.5，以及可將自然語言轉為程式碼的人工智慧系統Codex，還有文字轉圖像模型DALL-E 2，接下來微軟將開放的ChatGPT，則是由GPT-3.5作為基礎微調的對話語言模型。</p> <p>Azure OpenAI服務能夠支援各種應用程式開發，常見的使用案例包括從客服日誌快速總結客訴，或是協助開發人員快速編寫程式碼，使開發人員不再需要停下來搜尋範例，抑或是快速生成部落格文章等。</p> <p>由於Azure OpenAI服務的模型已經以數十億頁的公開文件訓練，企業可以透過小樣本學習，提供自家業務資料，像是期望的輸出、回應或是程式碼類型範例，進一步訓練模型，以進一步微調模型輸出。微軟提到，因為大型語言模型是利用大量網際網路資料訓練，這些資料可能包含粗俗和具刻板印象，甚至是個人資料的內容，微軟會提供額外保護措施，並避免該技術被用於有害目的，或是產生意料之外的輸出。</p> <p>微軟持續與OpenAI、用戶合作，仔細評估用例和解決潛在威脅，微軟針對Azure OpenAI服務實作自家的輸出護欄，以確保人工智慧服務能夠符合微軟負責任人工智慧原則。因此開發人員在使用Azure OpenAI服務之前，都需要申請存取權限，事先描述他們預期用例和應用程式。微軟的監控程式，會不停過濾Azure OpenAI服務可能產生的辱罵、仇恨和冒犯性內容，當官方確認用戶用例違反政策，便會採取行動避免語言模型服務遭到濫用。</p> </div></div></div>
2023/1/17 17:16作者李建興https://www.ithome.com.tw/news/155192
Avast釋出「變臉」勒索軟體金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://decoded.avast.io/threatresearch/decrypted-bianlian-ransomware/" target="_blank">資安業者Avast本周釋出</a>近來頻繁活動的勒索軟體BianLian（變臉）的解密金鑰，開放一般用戶下載。</p> <p>BianLian是在2022年7、8月首次現身，已對包含媒體與娛樂、金融業（BFSI）、製造業、醫療保健等多種產業組織發動攻擊，而且以加密檔案之高速度引發關注。</p> <p>這隻勒索軟體以Go語言開發而成並組譯成64-bit Windows執行檔，目前發現到它可能以含有ProxyShell漏洞的Exchange伺服器，或是SonicWall的VPN裝置為管道存取系統。此外，<a href="https://www.ithome.com.tw/news/152704" target="_blank">研究人員相信</a>，駭客可能藉由此程式語言的跨平臺特性，製作其他版本的勒索軟體。</p> <p>BianLIan以AES-256演算法加密檔案。它在執行後，會搜尋所有可用的磁碟，並搜尋所有檔案，任何副檔名落在二進位程式中寫入的1013種副檔名中的檔案，都會被加密。它一項有趣特色是，它加密不會從一個檔案起始，也不會加密到最後，而是根據二進位程式中offset屬性的固定長度來決定。加密的檔案會被加入.bian.ian的副檔名，再顯示勒索訊息，加密完成後，BianLian會自我刪除以隱藏蹤跡。</p> <p>Avast提醒，它提供的解密金鑰只能回復BianLian的已知變種加密的檔案。但由於它會自行消失，因此這點很困難。目前Avast發現BianLian的常見名稱為anabolic.exe、TEMP\mativ.exe或TEMP\Areg.exe，以及用戶資料檔下的C:\Users\%username%\Pictures\windows.exe。</p> <p>BianLian的執行檔約為2MB。Avast建議用戶找找不含執行檔的資料夾（如文件、相片）中的EXE檔，或是防毒軟體的病毒庫。</p> <p><a href="https://files.avast.com/files/decryptor/avast_decryptor_bianlian.exe" target="_blank">使用者可在這個網站</a>下載執行解密金鑰，依據其精靈指示完成解密。</p> </div></div></div>
2023/1/17 13:17作者林妍溱https://www.ithome.com.tw/news/155191
蘋果證實iPhone 14 Pro螢幕問題將釋出更新修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周稍早證實，iPhone 14 Pro機種開機時出現條紋是軟體問題，承諾之後將釋出更新版iOS修補。</p> <p><a href="https://www.reddit.com/r/iphone/comments/zlswzc/iphone_14_pro_max_horizontal_lines_across_screen/" target="_blank">上個月一名用戶在Reddit上抱怨</a>，他的iPhone 14 Pro Max在喚醒時，會出現黃或綠的閃爍水平線條，<a href="https://www.macrumors.com/2022/12/22/iphone-14-pro-horizontal-lines-flashing/" target="_blank">且有人iPhone出現多道條紋</a>。當時不少用戶擔心是手機硬體的問題。過了幾周，<a href="https://www.macrumors.com/2023/01/13/apple-confirms-iphone-14-pro-display-issue/" target="_blank">MacRumors本周</a>引述蘋果一則內部備忘錄報導，指蘋果經過調查，證實是軟體問題，且只會在開機及手機被喚醒時出現這些條紋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-iphone%20pro%2014-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／<a href="https://forums.macrumors.com/threads/iphone-14-pro-max-horizontal-lines-across-screen-when-phone-wakes-up.2373974/" target="_blank">MacRumors論壇用戶 Infernoqt</a>、<a href="https://www.reddit.com/r/iphone/comments/zlswzc/iphone_14_pro_max_horizontal_lines_across_screen/" target="_blank">Reddit論壇用戶 u/1LastOutlaw</a></span></span></p> <p>蘋果並表示之後會釋出更新解決這問題。蘋果備忘錄並未說明時程，但<a href="https://www.androidauthority.com/apple-iphone-14-pro-display-bug-3266872/" target="_blank">媒體相信</a>大約1到2周內就會釋出。雖然蘋果目前正在測試iOS 16.3，但MacRumors推測應該會以更小的更新版，可能是以iOS 16.2.1解決。</p> <p>去年9月iPhone 14剛剛推出時，<a href="https://www.androidauthority.com/apple-iphone-14-pro-camera-noise-shaking-3210143/" target="_blank">甚至出現</a>iPhone 14 Pro、Pro Max在使用特定第三方應用程式，包括Snapchat、Instagram和TikTok時，主相機發生不自主震動，甚至還發出聲音。後來證實是軟體瑕疵，蘋果也是在幾天後釋出更新版iOS解決之。</p> </div></div></div>
2023/1/17 12:39作者林妍溱https://www.ithome.com.tw/news/155190
NortonLifeLock密碼管理器用戶帳號遭憑證攻擊外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名NortonLifeLock的Gen Digital本周通知多名密碼管理器產品用戶，上個月帳號遭駭導致個人資料外洩。</p> <p><a href="http://ago.vermont.gov/blog/2023/01/09/nortonlifelock-gen-digital-data-breach-notice-to-consumers/" target="_blank">Gen Digital在向佛蒙特州政府的通報中</a>也公布用戶通知函內容。信中說明，該公司系統並未被駭，他們研判是未獲驗證的外部攻擊者透過憑證填充（credential stuffing）手法而得以存取用戶帳號。該公司也警告用戶的帳號、密碼可能已被其他人所知。</p> <p>憑證填充是攻擊者利用大批從駭客網站取得或購得的用戶電子郵件、帳號及密碼組合，以網頁機器人對知名服務的用戶帳號，發動暴力破解攻擊。被成功登入的帳號可能被駭客竊取資料，或者變更密碼導致帳號接管。</p> <p>Gen Digital指出，2022年12月1日該公司偵測到異常大量的登入失敗情形，而當月完成的內部調查顯示，已有為數不詳的成功存取事件。</p> <p>Gen Digital告知客戶，攻擊者可能已取得服務儲存庫內的資訊，視資訊內容而定，這起事件可能導致其他線上帳號被駭、資料資產遺失或其他機密資訊曝險等後果，尤其如果用戶在其他線上帳號也使用和Norton類似的密碼，或是密碼管理員的主金鑰。</p> <p>該公司已主動重設這些受害用戶密碼，並已導入其他安全措施、提供信用資料盜用監控服務，此外也建議用戶啟用雙因素驗證強化安全。</p> </div></div></div>
2023/1/17 11:48作者林妍溱https://www.ithome.com.tw/news/155189
線上會議認真神器！Nvidia Broadcast以AI模擬維持用戶眼睛緊盯攝影機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia更新直播與線上會議軟體<a href="https://www.nvidia.com/en-us/geforce/news/jan-2023-nvidia-broadcast-update/">Broadcast</a>，添加眼神接觸（Eye Contact）和光暈特效。用戶在啟用眼神接觸功能後，Broadcast將會模擬用戶眼睛視線，保持視線持續看向攝影機，經模擬後的用戶眼睛，會保留眼睛自然的顏色，也會真實地眨眼，當用戶的視線角度與攝影機差距太大時，Broadcast會自動斷開眼神接觸功能，並且自然過渡到實際眼睛狀態。</p> <p>即便是使用者看向攝影機旁邊的文稿，或是附近的人物，Broadcast也會持續模擬出眼神與攝影機接觸的樣子，官方提到，眼神接觸功能非常適合內容創作者，在需要閱讀筆記或是腳本的影片拍攝，也能在視訊會議中持續注視交談者的眼睛，提高參與者互動程度。</p> <p>目前眼神接觸功能還在測試階段，由於存在數百種眼睛顏色和光線的組合，因此Nvidia仍持續改進功能，確保眼神接觸功能在任何情況下都能表現自然。</p> <p>除了眼神接觸功能之外，Broadcast的新功能還包含光暈特效（Vignette Effect），系統會自動強化光影，並且結合背景模糊特效，用戶可以使用網路攝影機，獲得經過人工智慧強化的模糊背景，進而提高整體視覺效果。</p> <p>官方也更新了虛擬背景特效，具有更好的分割能力和穩定性，人工智慧可以做出更好的決策，在部分網路錯誤的情況下，用戶不會再看到背景中部份物件突然出現。用戶已經可以在OBS、Streamlabs和Elgato Camera Hub應用程式中，使用新的虛擬背景功能。</p> </div></div></div>
2023/1/16 22:12作者李建興https://www.ithome.com.tw/news/155180
JVM語言Kotlin 1.8.0新增目錄遞迴複製、刪除功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.jetbrains.com/kotlin/2023/01/kotlin-1-8-0-released/">JVM程式語言Kotlin釋出最新1.8.0版本</a>，這個新版本加入實驗性目錄遞迴複製、刪除功能，也強化了時間戳記功能，還進一步提升呼叫typeOf()時的效能。</p> <p>Kotlin 1.8.0新加入函式copyToRecursively()和deleteRecursively()，前者讓開發者可以遞迴複製目錄以及之中的內容到目的地，後者則是遞迴刪除目錄和內容，官方提到，這項功能將在備份作業中非常實用。</p> <p>目錄複製函式供開發者定義複製檔案異常的例外處理，當複製作業的目的地已經存在欲複製的檔案，此時便會出現異常，開發者可以設定在例外發生時進行強制複寫。如果在刪除檔案時遭遇例外，則該檔案便會被跳過直到刪除工作完成，並在之後丟出例外資訊。</p> <p>Kotlin 1.8.0標準函式庫添加可比較的時間戳記TimeMarks，讓時間計算更方便。過去當開發者想要計算TimeMarks與現在的時間差，一次只能在一個TimeMarks上呼叫elapsedNow()，由於兩個elapsedNow()無法同時呼叫，也使得時間比較變得困難。</p> <p>而在Kotlin 1.8.0中已經可以方便比較TimeMarks，開發者能夠創建新的TimeMarks實例，並且減去其他TimeMarks，官方表示，這項功能將能夠用於動畫開發，簡單計算和比較不同影格多個時間標記之間的差。</p> <p>在Kotlin 1.7.0添加的Optionals擴充函式現在已經穩定，開發者可更簡單地處理在Java中，使用Optional類別處理的工作，執行像是在JVM上展開或是轉換Optional物件等任務。官方也將Kotlin內部快取機制更改為Java的ClassValue，過去系統僅會快取KClass，現在還多快取了KType和KDeclarationContainer，而這將會明顯提升呼叫typeOf()時的效能。</p> </div></div></div>
2023/1/16 22:17作者李建興https://www.ithome.com.tw/news/155183
Eleven Labs新語音模型供用戶設計全新合成聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.elevenlabs.io/enter-the-new-year-with-a-bang/">Eleven Labs更新自家語音生成模型</a>，使用戶能夠根據性別、年齡、口音、音高，甚至是說話風格等特徵，創建出全新的人造聲音，系統每次合成的聲音都不一樣，即便用戶以相同參數創建聲音，也會得到一個過去不曾存在的聲音。</p> <p>Eleven Labs的聲音產生器（Voice Generator），供用戶在有聲讀物、遊戲等應用添加人聲語音，但官方提到，因為他們當前的演講者庫太小，導致使用者常難以產生符合應用需求的聲音，因此Eleven Labs發展新的解決方案，提供用戶以全新方式設計合成聲音。</p> <p>官方解釋，他們新方法的靈感，來自於語音合成和語音複製，都會使用到的語音特徵編碼方法，當在訓練用戶專屬模型時，對說話者嵌入分布進行採樣，就能創建出無限多種的新聲音，而在這過程加入一定程度的限制，就能賦予聲音擁有特定的語音特徵。</p> <p>Eleven Labs新語音模型，現在已經可以產生具各種聲音特徵的逼真語音，這將能擴大人工語音的應用範圍，包括在新聞媒體和商業廣告的音訊，將品牌與特定聲音相關聯，甚至是用於開發遊戲，於開發初期就能靈活地執行各種語音試驗。</p> </div></div></div>
2023/1/16 22:19作者李建興https://www.ithome.com.tw/news/155185
【資安日報】2023年1月16日，WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有WordPress外掛程式出現重大漏洞，而有可能被用於攻擊行動的情況！資安業者Tenable一口氣揭露3款外掛程式的SQL注入漏洞，其中有2個漏洞不需身分驗證就能利用，CVSS風險層級達到9.8分，但研究人員指出，第3個漏洞雖然需要通過身分驗證，但駭客只要以讀者的身分註冊，就有機會觸發。</p> <p>針對網路監控系統Cacti特定漏洞而來的攻擊行動，也同樣引起研究人員的高度關注。兩家資安業者與非營利安全組織提出警告，他們發現12月修補的漏洞CVE-2022-46169已被用於攻擊行動，但全球至少有四分之一的Cacti實體執行含有漏洞的版本。</p> <p>防毒軟體提供的密碼管理工具也可能成為帳號填充（Credential Stuffing）攻擊的目標！資安業者Gen Digital向防毒軟體NortonLifeLock用戶發送通知，表示部分用戶的密碼管理器遭到相關攻擊而導致帳號被挾持，儲存的帳密恐遭到外洩。</p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-cacti-critical-bug-to-install-malware-open-reverse-shells/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路監控系統Cacti漏洞遭到鎖定，駭客用來植入惡意軟體</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Cacti-image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cacti-image4.png" style="width: 300px; float: right;" /></a>資安業者SonarSource、Censys，以及非營利安全組織Shadowserver Foundation自1月初陸續提出警告，網路監控系統Cacti於12月修補的命令注入漏洞CVE-2022-46169（CVSS風險等級為9.8分），約於1月3日出現嘗試利用漏洞的攻擊行動。</p> <p>SonarSource於1月3日公布前述漏洞的細節，以及概念性驗證（PoC）攻擊展示影片，Shadowserver Foundation同日表示，已有駭客用於部署殭屍網路病毒，以及反向Shell來掃描特定的網路連接埠。事隔一週，Censys於1月10日表示，根據他們的偵測，可透過網際網路存取的Cacti主機有6,427臺，其中至少有1,637臺曝險。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/android-tv-box-on-amazon-came-pre-installed-with-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">白牌安卓電視盒被植入惡意程式CopyCat</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，資安研究員Daniel Milisic揭露Truewell T95安卓電視盒的韌體內含惡意程式CopyCat，他在搭載AllWinner T616處理器、執行Android 10作業系統的電視盒上，發現當中竟然含有測試金鑰，以及能經由有線網路及Wi-Fi存取的命令列工具Android Debug Bridge（ADB），而使得他人有機會連線到電視盒進行遠端控制。</p> <p>該名研究人員觀察到電視盒企圖與多個惡意IP位址連線，經過進一步分析之後，他得知設備含有CopyCat的變種，於是，將此惡意程式上傳到VirusTotal進行偵測，結果當中的61個防毒引擎僅有13個識別為有害。</p> <p>後續，這位研究員也提供指令碼讓用戶防堵電視盒前述的異常連線行為，但不確定CopyCat是否也存在其他T95電視盒。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/nortonlifelock-warns-that-hackers-breached-password-manager-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NortonLifeLock防毒軟體的密碼管理器元件遭駭客鎖定，進行帳號填充攻擊</span></strong></a></h3> <p>根據資安新聞網站Bleeping Computer的報導，資安業者Gen Digital近日向防毒軟體NortonLifeLock的用戶發送通知，表示駭客針對這些用戶電腦上的密碼管理器元件Norton Password Manager進行帳號填充（Credential Stuffing）攻擊，有使用者的帳號因此遭到滲透。</p> <p>根據Gen Digital向美國佛蒙特州總檢察長辦公室通報的資料，有人約於12月1日利用自暗網取得的帳密資料，企圖存取NortonLifeLock用戶的帳號，該公司於12日偵測到異常大量的嘗試登入行為並著手調查，22日初步調查結果顯示，這波攻擊有數量不明的帳號遭到入侵。NortonLifeLock表示已重置受影響帳號的密碼。Gen Digital向資安新聞網站Bleeping Computer透露，約有92.5萬個帳號受到影響。</p> <h3><a href="https://www.bleepingcomputer.com/news/security/circlecis-hack-caused-by-malware-stealing-engineers-2fa-backed-session/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對遭駭事故，CircleCI公布調查結果</span></strong></a></h3> <p>DevOps平臺CircleCI於1月4日發布資安通報，表示他們著手調查安全事故，並要求用戶輪替Toekn與密鑰，最近該公司透露新的調查結果。CircleCI於12月29日接獲用戶通報，有可疑的GitHub OAuth存取行動，該公司資安團隊與GitHub已著手調查，並確認此用戶的Token遭未經授權的第三方洩露。</p> <p>直到1月4日，CircleCI的內部調查已確認攻擊者入侵的手段與範圍，起因是在12月16日該公司工程師的筆電遭到入侵，駭客透過惡意軟體來竊得單一簽入（SSO）連線階段的Cookie，並通過雙因素驗證（2FA），然後於19日進行偵察，到了22日出現資料外洩的情況。該公司表示，雖然他們已對靜態資料進行加密，但駭客竊得了加密的金鑰，而能夠解密偷到的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://www.tenable.com/security/research/tra-2023-2" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站的會員管理、數位檔案銷售、市調問卷外掛程式存在重大漏洞</span></strong></a></h3> <p>資安業者Tenable揭露WordPress外掛程式的重大漏洞CVE-2023-23488、CVE-2023-23489，以及CVE-2023-23490，分別出現在會員管理工具Paid Memberships Pro、數位檔案銷售Easy Digital Downloads，以及市調問卷系統Survey Maker等外掛程式，CVSS風險評分為8.8分至9.8分，其共通點都是SQL注入漏洞。研究人員公布概念性驗證（PoC）的攻擊程式碼，而這些外掛程式的開發商皆已發布新版修補上述漏洞。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155167"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">60位臺灣名人華航會員資料疑流入駭客論壇，華航表示與資料庫不盡相符</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-control-web-panel-flaw-to-open-reverse-shells/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CentOS主機網頁管理介面元件CWP漏洞已被用於攻擊行動</span></span></strong></a></p> <p><a href="https://www.deepinstinct.com/blog/malicious-jars-and-polyglot-files-who-do-you-think-you-jar"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">木馬程式StrRAT與Ratty濫用多語言檔案及JAR檔案發動攻擊</span></span></strong></a></p> <p><a href="https://www.imperva.com/blog/google-chrome-symstealer-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Chrome瀏覽器漏洞恐導致機敏資料曝險</span></span></strong></a></p> <p><a href="https://arstechnica.com/information-technology/2023/01/hundreds-of-sugarcrm-servers-infected-with-critical-in-the-wild-exploit/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">客戶關係管理平臺SugarCRM重大漏洞已被用於攻擊行動</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155154">【2023年1月13日】 SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155133">【2023年1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155109">【2023年1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</a></strong></strong></strong></p> </div></div></div>
2023/1/16 18:07作者周峻佑https://www.ithome.com.tw/news/155184
醫指付與一卡通MONEY合作，擴大電子支付場域至醫療費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大洸醫院管理顧問公司與一卡通合作，醫指付平臺開始支援一卡通MONEY，民眾就醫後可透過電子支付繳付醫療費用，擴大電子支付應用的場域。</p> <p>醫指付為國內知名的醫療行動支付平臺，2017年上線後，目前合作的醫療機構約有130多家，包括醫院與診所，並有30多家發卡銀行合作，醫指付旗下有近百萬註冊會員，每月約有16萬筆、近7億元醫療費用支付交易。</p> <p>醫指付與一卡通MONEY的結合，使用一卡通MONEY支付醫療費用有2個方式。其中之一是醫指付App用戶在支付醫療費用時，進入繳費專區輸入就醫病人資料（不限就醫病人本人），新增使用一卡通MONEY支付，透過電子支付繳付醫療費用。</p> <p>另一個方式是，民眾可以在Line Pay的一卡通MONEY生活繳費專區中，看到醫療照護費用選項，進入後再選擇醫療單位名稱，並輸入就醫病人資料（身分證字號、出生年月日），就能使用一卡通MONEY支付醫療費用。值得注意的是，因電子支付帳戶儲值金額上限為5萬元，因此繳交醫療費用的金額需在5萬元以下，超過的金額則需使用其他方式支付。</p> <p>大洸醫院管理顧問公司總經理吳明彥表示，在衛福部指導下，2017年3月推出醫指付，目的即為醫院節省手續費，並提供民眾方便的付款方式，醫指付投入許多心力介接醫院HIS系統，民眾透過醫指付平臺能夠遠端進行付款，即使人不在醫院現場，也能為遠端的親人支付醫療費用。醫指付原先支援信用卡付款，現在民眾不需要下載醫指付App，直接透過Line Pay的一卡通MONEY生活繳費專區就能支付醫療費用，讓民眾按使用習慣就能支付醫療費用。</p> <p>醫指付原本支援信用卡綁定付款，支付工具部分，支援包括臺灣地區發行的VISA、MasterCard、JCB信用卡或簽帳金融卡，背後的交易手續費牽涉到財金、銀行及醫指付三方。現在，醫指付與一卡通MONEY電子支付合作，背後手續費簡化為一卡通與醫指付。</p> <p>過去醫療產業在支付上，接受民眾支援信用卡付款，背後交易手續費的拆帳方式為經過醫療產業協商達成共識，其他支付工具要打入醫療院所支付場域並不容易，一卡通克服困難，與大洸醫院管理顧問公司合作，一卡通MONEY支援醫指付，透過醫指付平臺，一舉支援多家醫療院所單位支付場景。</p> <p>一卡通票證總經理鄭鎧尹表示，受到這幾年疫情影響，使用者對電子支付的使用習慣愈來愈普及，一卡通MONEY儲值金額連續14個月破100億，目前為175億元，市佔率達68%，轉帳金額每月也突破79億元，市佔也超過68%。一卡通MONEY在市場上具有非常大的規模性，與醫指付合作，讓使用者在生活繳費上有更完整的拼圖。</p> <p>鄭鎧尹也強調，一卡通MONEY現有約540萬用戶，支付場景涵蓋交通、生活消費、生活繳費、社群轉帳四大領域，並且已具規模，一卡通結合跨領域數據，提供政府或合作夥伴數位轉型、數據優化的相關服務。</p> </div></div></div>
2023/1/16 17:59作者蘇文彬https://www.ithome.com.tw/news/155182
研究發現大型語言模型促進輿論操縱，假消息將更多更具說服力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cdn.openai.com/papers/forecasting-misuse.pdf">喬治城大學、OpenAI、Stanford Internet Observatory（SIO）合作</a>，展開對大型語言模型（LLM）對輿論風向操縱的研究，研究人員提到，大型語言模型的發展，將導致更多的惡意傳播行為，而且形式更加多元，惡意宣傳行為的成本也將降低。</p> <p>大型語言模型的各項優點被濫用，可被有效用於操縱公眾輿論，但目前缺乏有效的解決方案阻止大型語言模型被濫用，需要各組織從模型建構、模型存取和模型傳播等環節採取粽合措施，才能緩解大型語言模型所產生的負面影響。</p> <p>近年人工智慧技術有了顯著的進展，特別是能夠自動創建內容的生成模型（Generative Model），這包括可以生成文字內容的語言模型，在初期研究就證明，人工智慧模型遭到惡意人士濫用，會對社會產生危害。</p> <p>研究提到，過去10年政治影響力操縱增加，像是在網路和社交媒體上，以隱蔽或是欺騙的方式影響目標受眾，就美國而言，已經有數百個美國內外的輿論操縱活動被揭露，試圖影響總統大選等政治事件。三大機構的研究人員合作，針對大型語言模型未來被用於操縱輿論的方法，以及如何解決這些威脅兩大問題展開研究。</p> <p>這個研究使用了研究虛假訊息活動的知名ABC模型，A代表行為人（Actor）、B則代表行為（Behavior），而C是內容（Content）。行為人也就是指輿論操縱行為背後的實體，像是一個看起來是Black Lives Matter的倡議人士，背後可能是由國家資助，目的是以假帳號散布虛假訊息的組織。行為則是指行為人用以達成目的的方法，像是以自動化或是內容農場，傳播假資料操縱輿論風向。內容是行為人試圖洗白或是放大的實質資訊。</p> <p>ABC是平臺和研究人員在調查輿論操縱需要評估的三個維度，研究人員提到，在整個輿論操縱過程，三個維度可能有其中一個維度完全真實，像是完全真實的內容，可能透過付費或是自主參與，被不合理的放大，又或是政治人物等真實行為人，以自動化技術來操縱輿論。</p> <p>研究人員提到，生成模型能夠改進輿論操縱內容、降低成本並且增加活動規模，並且採用新的欺騙形式達成目的。該研究總結語言模型在輿論操作上，所能產生的變化，在行為人方面，預期未來將因為生成模型而導致宣傳成本降低，使得更多也更多樣化的宣傳群體出現，外包行為人也會變得重要，自動生成內容會對該產業帶來新的競爭優勢。</p> <p>生成模型在輿論操作上，對行為產生的改變，包括自動製作內容增加活動規模，同時行為也變得更加有效率，因為使用語言模型，跨平臺測試等昂貴策略可能會更便宜，研究人員預期將會有新策略出現，像是能夠即時生成個人化的內容。而且因為語言模型技術的發展，所生成的內容將更可信也更有說服力，有別於複製貼上的文字，生成的內容將使操縱行為更不容易被發現。</p> <p>研究人員明確的指出，語言模型對輿論風向操縱產生重大影響，而且目前沒有終極解決方案，人工智慧技術供應商和社交媒體，需要共同應對輿論操縱所帶來的威脅，而要有效解決這個問題，不能只著眼假消息的供應，同時也應該關注假消息的需求面，他們認為，還需要有更多的研究，探討解決方案的可行性。</p> </div></div></div>
2023/1/16 16:45作者李建興https://www.ithome.com.tw/news/155179
Meta控告網頁資料抓取服務商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2023/01/leading-the-fight-against-scraping-for-hire/" target="_blank">Meta上周向加州法院控告</a>以色列一家抓取服務（scraping-for-hire）商Voyager Software，設立假帳號及資料抓取工具，暗中不法抓取了旗下網站臉書、Instagram及其他服務的用戶資料。</p> <p>Meta平臺執法總監Jessica Romero指出，Voyager Software並非駭入Facebook系統，而是開發及使用專屬軟體，針對Facebook、IG、及Twitter、YouTube、LinkedIn、Telegram等網站發動資料抓取。這家公司的軟體會使用假帳號抓取登入帳號後可存取的資料，包括用戶個人資料、貼文、友人清單、相片和留言等。它在不同國家使用不同電腦和網路系統以隱藏其活動，規避Meta檢查假帳號。</p> <p>Meta已將Voyager Software臉書帳號停權，並控告這公司設立假帳號及非經授權自動抓取用戶資料的行為，違反其服務條款，要求法院永久禁止Voyager再行使抓取資料服務。</p> <p><a href="https://www.ithome.com.tw/news/143702" target="_blank">Meta自2021年發生</a>5.3億筆用戶個資被人以網頁抓取手法蒐集外洩，<a href="https://www.ithome.com.tw/news/143850" target="_blank">遭到愛爾蘭政府調查後</a>，即積極防堵這類活動。<a href="https://about.fb.com/news/2022/07/actions-against-scraping-for-hire/" target="_blank">去年該公司也控告</a>中國企業的美國子公司Octopus，<a href="https://www.ithome.com.tw/news/146042" target="_blank">並強制關閉紐約大學</a>一項蒐集臉書資料的學術研究的粉絲專頁及平臺帳號。</p> </div></div></div>
2023/1/16 13:39作者林妍溱https://www.ithome.com.tw/news/155177
【資安週報】2023年1月9日到1月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近有兩個微軟的漏洞需要特別留意，一個是微軟在1月10日發布每月安全性更新中所修補的CVE-2023-21674零時差漏洞，已經發現遭駭客鎖定利用，另一個是微軟在11月修補的CVE-2022-41080重大漏洞，之前已有資安業者CrowdStrike與雲端代管公司Rackspace業者揭露該漏洞利用相關消息，美國政府如今也將該漏洞列入已知被利用漏洞（KEV）列表。此外，上個月中Fortinet已宣布發現針對CVE-2022-42475的攻擊，近日再公布後續，進一步公開更多攻擊細節。</p> <p>在其他漏洞消息方面，除了NPM套件JsonWebToken的高風險漏洞CVE-2022-23529修補受關注，還一項消息可留意的是逾百款西門子PLC設備的漏洞揭露，其SoC晶片未在早期啟動階段建立RoT，細節將於2023年5月公布。</p> <p>在資安威脅趨勢方面，焦點包括：資安研究人員惡意軟體Kinsing入侵Kubernetes的情況變多；新發現針對Mac電腦的勒索軟體攻擊過程中採寄生攻擊（LOLBin）的及反沙箱偵測：發現惡意PyPI套件利用安裝Cloudflare Tunnel用戶端程式方式，來建立連線管道以繞過防火牆；再度有藉由VoIP電話系統漏洞部署後門情形，特別是駭客布局5個月後才發動勒索軟體加密；出現誤植域名攻擊（typosqat）並建立上千個假冒網站散布竊密程式Vidar的情形。</p> <p>在資安事件方面，與航空公司有關不少，國際間有法國航空、荷蘭航空通知旅客航空里程計畫Flying Blue帳號、個資遭竊事故，在國內則有華航在上週六下午（1月7日）傳遭勒索攻擊，後續又傳出<a href="https://www.ithome.com.tw/news/155167">華航會員資料被公開於地下論壇的消息</a>。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155080"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月9日】程式碼編輯器VS Code外掛程式市集恐遭駭客濫用、惡意PyPI套件透過Cloudflare隧道服務繞過防火牆</span></strong></a></h3> <p>繼NPM、PyPI套件庫出現惡意套件攻擊，又有新的開發工具套件庫可能會成為駭客散布惡意程式的管道！有資安業者發現微軟程式碼編輯器Visual Studio Code的外掛程式市集開始出現有問題的外掛。研究人員發現，駭客想要上架冒牌外掛程式相當容易，甚至能輕易拿到藍勾勾驗證。</p> <p>散布惡意PyPI的攻擊行動頻傳，最近手法也出現新的變化，但這次並非針對上架於PyPI的層面，而是植入受害電腦的惡意程式。有資安業者發現新一波的PyPI惡意套件攻擊，駭客將其用於部署後門程式，而該後門與駭客通訊的管道，竟是透過合法的資安服務。</p> <p>針對Mac電腦的勒索軟體威脅加劇，駭客導入了近期在Windows勒索軟體上出現的手法，像是利用作業系統內建的工具找出要加密的檔案，以及偵測系統環境來防堵研究人員透過沙箱進行分析的情況。</p> <h3><a href="https://www.ithome.com.tw/news/155104"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月10日】研究人員揭露Text-to-SQL機器學習模型弱點、NPM套件JsonWebToken漏洞恐導致2.2萬專案曝險</span></strong></a></h3> <p>為了讓使用者能透過自然語言（NLP）來查詢SQL資料庫，許多資料庫採用了Text-to-SQL的機器學習模型，但研究人員發現，駭客可以設計一些問題輸入，讓這種機器學習模型產生惡意程式碼並執行，進而竊取資料或是阻斷資料庫的運作。</p> <p>半年前公開揭露的NPM套件JsonWebToken高風險漏洞CVE-2022-23529，研究人員本週公開更多細節，他們表示，該漏洞影響的範圍相當廣泛，超過2.2萬個專案會受到波及，呼籲使用者應儘速修補。</p> <p>美國政府打算製作AI為基礎的資安分析沙箱系統CAP-M，並打算將其分析成果與公部門、企業、學術機構共享。新聞網站The Register指出，此沙箱應為美國總統拜登國防政策的其中一環。</p> <h3><a href="https://www.ithome.com.tw/news/155109"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月11日】微軟1月份例行修補緩解近百個漏洞、Trojan Puzzle攻擊手法可訓練AI助理產生惡意程式碼</span></strong></a></h3> <p>微軟昨日（1月10日）發布今年的第一次每月例行修補（Patch Tuesday），總共修補了接近100個漏洞，值得留意的是，當中的CVE-2023-21674是零時差漏洞，並被美國政府證實已出現攻擊行動，要求公部門限期修補。</p> <p>針對機器學習（ML）模型與人工智慧（AI）的攻擊手法，最近研究人員公布多項發現，例如：<a href="https://www.ithome.com.tw/news/154819#ChatGPT">濫用ChatGPT自動產生釣魚信</a>、<a href="https://www.ithome.com.tw/news/155104#text-to-sql">利用Text-to-SQL機器學習模型弱點攻擊SQL資料庫</a>等，現在又有研究人員揭露新型態的AI中毒（AI poisoning）攻擊手法Trojan Puzzle，但特別的是，檢測相關程式碼的靜態分析工具難以察覺這類手法。</p> <p>又有資安業者發現勒索軟體駭客Lorenz藉由VoIP電話系統入侵受害組織的情況！但不同的是，這次駭客成功入侵並植入的Web Shell隨即休眠，直到5個月後才再度運作。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155133"><strong><span style="color: rgb(0, 0, 0);">【1月12日】惡意軟體Gootkit假冒VLC影音播放器攻擊醫療機構、駭客組織Dark Pink鎖定亞太地區政府與軍事單位</span></strong></a></strong></p> <p>又是駭客企圖操縱Google搜尋引擎最佳化排行（SEO），假借提供知名軟體的攻擊行動！研究人員揭露Gootkit的攻擊行動，並指出駭客針對澳洲的醫療機構而來，並以提供影音播放器VLC Media Player的名義來散布惡意軟體。</p> <p>專門針對亞太地區政府機關與軍事單位的駭客組織Dark Pink崛起，在最近半年，他們至少成功發起7起攻擊行動，應該有更多組織受害。</p> <p>駭客進行自帶驅動程式攻擊（BYOVD）的狀況越來越多，最近駭客組織Scattered Spider也跟進這種手法，雖然他們濫用的漏洞已在2016年完成修補，但仍能以此方式進行攻擊。</p> <p><strong style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/news/155154"><strong><span style="color: rgb(0, 0, 0);">【1月13日】SAP修補旗下產品多項重大漏洞、逾百款西門子PLC設備韌體存在漏洞而可能曝險</span></strong></a></strong></strong></p> <p>SAP在本週發布了一月份的例行安全修補，總共發布12則資安通告，其中修補了4個CVSS評分達到9分以上的重大風險等級。但資安業者Onapsis認為，其中最值得關注的是CVE-2023-0014，原因是大部分該公司的用戶都可能曝露相關風險。</p> <p>又有設備的系統啟動器（bootloader）與韌體出現漏洞，以及可被利用的情況，而且這次是發生在工控系統上！有資安業者揭露西門子的可程式化邏輯控制器（PLC）設備漏洞CVE-2022-38773，並指出有上百款機種存在該漏洞。研究人員指出，這個漏洞很可能破壞PLC設備的韌體且難以復原。</p> <p>透過複製、貼上的動作，輸入與整理加密貨幣轉帳資訊的情況看，看起來很尋常，但這可能成為攻擊者鎖定的目標。加密貨幣錢包MetaMask對此提出警告，因為他們發現有人針對這種習慣進行網址中毒（address poisoning）攻擊，而導致使用者可能不慎將加密貨幣轉帳給駭客。</p> </div></div></div>
2023/1/16 10:39作者羅正漢https://www.ithome.com.tw/news/155171
裁員、遠距工作，Meta、微軟縮減西雅圖辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>景氣暗淡及遠距工作模式逐漸風行，促使科技巨頭Meta及微軟近日縮減在西雅圖的辦公室資產。</p> <p><a href="https://www.seattletimes.com/business/facebook-microsoft-pulling-out-of-more-seattle-area-offices/" target="_blank">《西雅圖時報》報導</a>，Meta和微軟上周分別證實將縮減西雅圖及西雅圖近郊城市柏衛（Bellevue）的辦公室縮減計畫。其中Meta位於西雅圖市中心6層樓及11層樓的辦公大樓分租出去，也可能會再擴及西雅圖其他大樓。微軟則證實，柏衛市中心的26層辦公大樓到2024年6月租約到期後不再續約。</p> <p>Meta表示，此舉是因應公司員工遠距、分散作業正常化，但也承認，現有景氣前景氣候不明，公司也希望財務方面更為謹慎。</p> <p>報導指出，<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta去年11月裁員1.1萬人</a>，有700多名位於西雅圖。不過作為Meta加州門洛公園（Menlo Park）以外第二大的研發中心，Meta在該市仍有近8,000名員工。</p> <p>至於微軟，該公司表示不再續租是為了提供員工更好的協同及生活空間而做的不動產資產評估結果。微軟目前正在翻修華盛頓州雷得蒙（Redmond）市公司總部園區，預計2023年底完工。同時間微軟也在10月宣布會裁員數百人。</p> <p>隨著一些龍頭公司過去幾年推動員工混合作業模式，也激發撤離昂貴城市的動機，去年微軟已經停止續約柏衛市其他不動產資產，Amazon部分柏衛市的公司園區也停止擴建。報導指出，西雅圖及柏衛市商辦大樓空屋率達25%及12%。</p> </div></div></div>
2023/1/16 11:11作者林妍溱https://www.ithome.com.tw/news/155173
Fortinet說明VPN漏洞被濫用攻擊政府單位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-fg-ir-22-398-fortios-heap-based-buffer-overflow-in-sslvpnd" target="_blank">Fortinet上周說明它的SSL VPN產品漏洞</a>，曾在去年間被駭客用來攻擊政府機關及相關單位。</p> <p><a href="https://www.ithome.com.tw/news/154694" target="_blank">Fortinet去年12月12日發布資安公告</a>，SSL VPN存在重大漏洞CVE-2022-42475，是出於FortiOS的sslvpnd模組的記憶體緩衝區溢位漏洞，成功的濫用可讓未經驗證的使用者遠端癱瘓SSL VPN設備，或是執行任意程式碼，CVSS風險評分為9.3。Fortinet當時說已出現攻擊行動，上周則是公布更多細節。</p> <p>Fortinet發現到針對政府及政府相關組織所發動的精準攻擊行動。這次發現的是過去為FortiOS客製化的Linux二進位檔Bakso後門程式的Windows變種。這隻惡意程式操弄FortiOS的紀錄流程，最後刪除紀錄檔以躲避偵測及長期滲透。其他下載程式則破壞了Fortinet的入侵偵測（IPS）功能，使其無法監測流量中的違法活動。</p> <p>該公司分析指出，駭客對FortiOS及底層硬體具有深度了解，這隻客製化程式的使用展現攻擊者的進階能力，包括對FortiOS多個部分逆向工程。</p> <p>這些Windows樣本是在協調時區+8的機器上組譯，顯示可能落在澳洲、俄羅斯、中國、新加坡等其他國家。而組譯成的程式所使用自行簽發的憑證，也是在協調時間凌晨3點到8點製作。但由於駭客攻擊多半是在受害者的上班時間活動，將攻擊流程與一般流量混合以達到混淆的目的，因此Fortinet目前無法確切辨識出駭客身分。</p> <p>Fortinet在發出公告前，已經釋出新版本修補該漏洞。該公司建議用戶應儘速更新到最新版本。</p> </div></div></div>
2023/1/16 11:29作者林妍溱https://www.ithome.com.tw/news/155174
美國陸軍再花4千萬美元改良HoloLens軍用裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟為美國陸軍打造以HoloLens為基礎的軍用頭戴裝置被抱怨問題太多，令美國陸軍又要再花4,000萬美元改進裝置。</p> <p>2021年微軟獲得美國陸軍219億美元合約，要以微軟HoloLens、Azure雲服務為核心打造一款軍用頭戴裝置，稱為整合視覺擴增系統（Integrated Visual Augmentation System，IVAS），具備高解析度夜視、熱感測及穿戴式感測器數據，可支援戰場上情境感知、目標識別及軍事決策之用。它也整合擴增實境（AR）與機器學習技術，以提供軍隊訓練環境。這紙219億美元的合約下，微軟將在10年內提供美軍12萬個AR頭戴裝置。</p> <p><a href="https://www.army.mil/article/263089/integrated_visual_augmentation_system_1_2_development_task_order_awarded" target="_blank">去年底美國陸軍宣布</a>，已由微軟獲得新合約，開發IVAS 1.2版。新合約將以迭代過程改進IVAS系統，將根據測試結果提供修正結果。</p> <p>這是繼去年美國陸軍不太滿意第一代IVAS後的修正。<a href="https://www.ithome.com.tw/news/153699" target="_blank">去年12月《彭博》報導</a>，不少美國陸軍初步測試後不太滿意，他們抱怨的問題包括鏡面反光會曝露美國士兵行蹤，以及引發頭暈、噁心、眼睛酸等不適症狀。</p> <p><a href="https://www.theregister.com/2023/01/12/congress_hololens_microsoft/" target="_blank">《The Register》報導</a>，在美國國會去年底通過2023年的1.7兆美元預算中，有4,000萬將用於開發IVAS 1.2版。不過這僅是原本提供4億美元的1/10；美國議員刪除了3.6億美元預算。此外，美國陸軍還獲得另一筆1,650萬美元的專案費用，用於採購IVAS 1.2版。</p> <p>報導指出，2021年的220億美元合約中，美國陸軍目前只動用了2%，約4.4億美元。</p> <p>美國陸軍在第一代IVAS已進行過30多次測試，由1,000多名美國士兵測試近10萬小時。IVAS 1.0重點在基準作戰能力，1.1版則著重輔助目標辨識的低光源感測器。1.2版將加入新form factor以改善人機整合，包括之前測試發現的生理影響、以分散式配重解決舒適性及UI問題的抬頭顯示器，也將改良軟體穩定及耗電問題。IVAS 1.2版預定2023年9月開始陸續測試。</p> <p>美國陸軍未說新款IVAS預計出貨總量，只表示IVAS 1.2正式用系統的出貨訂單，將會在審查及測試後才會下單。</p> </div></div></div>
2023/1/16 11:49作者林妍溱https://www.ithome.com.tw/news/155175
Shopify開發團隊解釋棄Ruby，改用Node重寫CLI工具的原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一直是程式語言Ruby愛用者，同時也是Ruby專案重要貢獻者的電子商務開發和託管平臺Shopify，<a href="https://shopify.engineering/overhauling-shopify-cli-for-a-better-developer-experience">在去年將原本以Ruby編寫的Shopify CLI工具，使用Node重新改寫</a>，Shopify開發團隊現在公開了他們這項決定背後的原因和權衡。</p> <p>Shopify CLI是Shopify平臺開發人員的重要工具，能夠用於建構主題、應用程式和Hydrogen店面，使開發人員能以最佳實踐創建新專案與平臺整合，或是發布生產構件供店家使用。Shopify CLI開發團隊發現，開發Shopify應用程式的開發人員，在使用CLI上一直存在部分體驗問題，因此重新檢視CLI開發語言選擇，希望做出一些改變。</p> <p>Shopify CLI在2018年末的時候開始發展，Shopify開發團隊提到，考慮當時的語言資源和知識，他們仍認為Ruby是一個明智的選擇。但是要使用Ruby開發的CLI，用戶電腦上需要安裝Ruby，開發團隊則透過提供安裝檔案來解決這個問題，在2020年，Shopify開發團隊將ThemeKit整合到CLI中，在單一CLI中提供所有的開發功能集。</p> <p>但因為Shopify CLI後來新增UI擴充套件支援，讓開發人員可以在平臺使用自己的UI擴充套件，這使得CLI開始依賴Node工具轉換和打包擴充程式碼。另一方面，Hydrogen開發團隊也考慮使用Node建置新工具，而不是將Hydrogen工作流程整合到Shopify Ruby CLI上，因為過去用戶常因沒有完成特定額外的步驟，導致CLI執行遭遇問題，因此Hydrogen團隊希望用戶可以不再需要在系統安裝Ruby Runtime，只要使用NPM安裝指令就解決專案相依項目的需求。</p> <p>考量Shopify越來越仰賴JavaScript和Node Runtime的資源、工具和知識，因此Shopify開發團隊重新檢視開發語言的選擇，希望新語言採用能盡量減少Runtime的安裝需求，使開發人員體驗獲得提升，而且內部團隊也可以簡單貢獻，最後他們決定以TypeScript重寫CLI，並且在Node Runtime上運作。</p> <p>Shopify內部正在使用的語言除了最熟悉的Ruby之外，其次是Node、Go和Rust，Go和Rust以技術層面來說也是理想的選擇，Shopify開發團隊提到，Go和Rust程式能夠簡單編譯成二進位檔案，因此用戶不需要安裝Runtime，但Shopify之所以最後選擇Node，是因為內部團隊更熟悉Node，他們不希望語言成為內部團隊貢獻CLI的障礙。</p> <p>另外，使用Node來建置CLI，還有一個有別於Ruby的特性，Node具有靈活的模組系統和可擴充性，Node模組系統中同一遞移套件的多個版本不會互相衝突。</p> <p>Shopify CLI也在從Ruby更換到Node的過程，引入函式程式設計的概念，開發團隊解釋，Ruby CLI中的命令業務邏輯，屬於有狀態且具有非常多假設，使得程式碼更難理解、貢獻和測試，在Node CLI中他們採用更具函式性的邏輯，開發團隊沒有教條式的遵守函式程式設計規範，但他們目標讓邏輯成為傳遞狀態的函式組合，把JavaScript物件和函式當作組合單元，透過操縱傳遞的實例創建物件副本。</p> <p>Shopify開發團隊提到，Node CLI明顯改善了開發人員體驗，雖然Hydrogen和應用程式開發人員現在只需要Node Runtime，但是主題開發人員仍需要Ruby和Node Runtime，Shopify開發團隊目前已經著手移除對Ruby的依賴，這項工作將在今年稍晚時完成。</p> </div></div></div>
2023/1/16 10:54作者李建興https://www.ithome.com.tw/news/155169
裁員、遠距工作，Meta、微軟縮減西雅圖辦公室
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>景氣暗淡及遠距工作模式逐漸風行，促使科技巨頭Meta及微軟近日縮減在西雅圖的辦公室資產。</p> <p><a href="https://www.seattletimes.com/business/facebook-microsoft-pulling-out-of-more-seattle-area-offices/" target="_blank">《西雅圖時報》報導</a>，Meta和微軟上周分別證實將縮減西雅圖及西雅圖近郊城市柏衛（Bellevue）的辦公室縮減計畫。其中Meta位於西雅圖市中心6層樓及11層樓的辦公大樓分租出去，也可能會再擴及西雅圖其他大樓。微軟則證實，柏衛市中心的26層辦公大樓到2024年6月租約到期後不再續約。</p> <p>Meta表示，此舉是因應公司員工遠距、分散作業正常化，但也承認，現有景氣前景氣候不明，公司也希望財務方面更為謹慎。</p> <p>報導指出，<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta去年11月裁員1.1萬人</a>，有700多名位於西雅圖。不過作為Meta加州門洛公園（Menlo Park）以外第二大的研發中心，Meta在該市仍有近8,000名員工。</p> <p>至於微軟，該公司表示不再續租是為了提供員工更好的協同及生活空間而做的不動產資產評估結果。微軟目前正在翻修華盛頓州雷得蒙（Redmond）市公司總部園區，預計2023年底完工。同時間微軟也在10月宣布會裁員數百人。</p> <p>隨著一些龍頭公司過去幾年推動員工混合作業模式，也激發撤離昂貴城市的動機，去年微軟已經停止續約柏衛市其他不動產資產，Amazon部分柏衛市的公司園區也停止擴建。報導指出，西雅圖及柏衛市商辦大樓空屋率達25%及12%。</p> </div></div></div>
2023/1/16 11:04作者林妍溱https://www.ithome.com.tw/news/155172
【2023資安趨勢1：零信任、身分安全、可信任供應鏈】零信任網路安全步入廣泛實踐的道路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球都在關注的網路安全零信任轉型，在多年討論後，現在不只企業組織相當重視，過去一年，我們更是看到多國政府也大力提倡，成為大勢所趨。</p> <p>這幾年來，各界幾乎都在推廣零信任網路安全策略，主要原因是，在APT攻擊猖獗、BYOD與遠端存取需求高漲之下，傳統網路安全策略聚焦邊界防護的作法頻頻遭到不同形式的突破，為了大幅降低企業發生資料外洩災情，以及減少橫向移動攻擊的影響，因此，新的網路安全策略聚焦零信任架構（Zero Trust Architecture，ZTA），允許存取之前，都要評估安全性，也就是經由強制且基於證據的判斷，才予以信任、放行，而且每次存取都要評估，以取得信任。</p> <p>而從所要達到的結果來看，長期發展與推動零信任的Google，曾提出相當清楚的論點：「讓正確的身分可以存取由正確程式碼授權的正確機器，並在正確時間與情境下，存取到正確的資料。」</p> <p>這樣的資安防護態勢轉變，在2022年已經越來越明朗，而到了2023年，即將邁入ZTA實踐階段，特別是身分識別的部分，推動最為顯著。</p> <p><span style="font-size:28px;"><strong>臺灣與各國政府都在推動零信任，NIST 1800-35實踐指引今年發布</strong></span></p> <p>對於臺灣而言，政府明確指出在2023年要推動零信任網路架構，首先導入的部分，是資通安全責任等級的A級公務機關。在2022年7月，<a href="https://www.ithome.com.tw/news/152538">行政院國家資通安全會報技術服務中心表示</a>，會先遴選機關試行導入，並預計在三年內，分階段逐年導入零信任網路的3大核心機制：身分鑑別、設備鑑別，以及信任推斷。因此，2023年的重點，就是在身分鑑別一項上。</p> <p>而在上個月數位發展部部長唐鳳揭露施政方針時，她也表明推動零信任架構為主要目標之一。</p> <p>除了A級公務機關，2022年12月底，金融監督管理委員會發布「<a href="https://www.ithome.com.tw/news/154907">金融資安行動方案2.0</a>」，提出未來三年推動計畫，其中一項重點，也是鼓勵金融機構依循政府政策，導入零信任。</p> <p>這樣的潮流，同樣受到各國看重。例如，美國政府在2021年宣布朝零信任邁進，到了2022年已有多項進展。</p> <p>首先，2022年1月，直屬美國總統管轄的行政管理和預算局，通過<a href="https://ithome.com.tw/news/147725">「聯邦零信任戰略」（Federal Zero Trust Strategy）草案</a>，發布<a href="https://www.ithome.com.tw/news/149103">M-22-09備忘錄</a>，指示所有聯邦機構網路安全策略都需轉移到零信任架構，並擬訂2024財年底（2024年9月30日）達到既定資安標準與目標，完成初步遷移，該戰略主要聚焦五大面向，包括：身分識別、裝置管理、網路、應用程式與資料。</p> <p>在2022年11月，美國國防部也<a href="https://www.ithome.com.tw/news/154403">公布</a>該單位的零信任政策與藍圖，並計畫於2027年完成零信任的部署。</p> <p>其他國家也採取行動，如<a href="https://www.csa.gov.sg/News/Publications/singapore-cybersecurity-strategy-2021">新加坡前年10月發布「網路安全戰略2021」</a>，指出零信任網路安全策略是未來五年發展重點，鼓勵該國關鍵基礎設施業者對重要系統採用零信任架構；<a href="https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/5efa5c3b/20220630_resources_standard_guidelines_guidelines_04.pdf">日本數位廳去年6月30日</a>針對政府資訊系統，發布零信任架構適用方針；中國資訊通信研究院去年下半啟動零信任產業圖譜計畫，預計今年發布；歐盟在2020年已經建立歐盟網路安全戰略，提出標準框架協助成員國轉型。</p> <p>另一關注焦點在於，除了美國國家標準與技術研究院NIST在2020年8月，公布SP 800-207零信任架構的標準文件，當時，NIST旗下NCCoE也預告，將發布零信任架構的SP 1800系列實踐指引。</p> <p>時隔兩年，最近<a href="https://csrc.nist.gov/publications/detail/sp/1800-35/draft">NIST 1800-35第二次草案版本</a>於12月21日公布，預料2023年將正式推出，而當中所提供的最佳實務與資源，將會是企業組織在設計、推動與落實零信任概念的重要參考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%892023%E8%B3%87%E5%AE%89%E8%B6%A8%E5%8B%A2%E9%9B%B6%E4%BF%A1%E4%BB%BB.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>臺灣A級公務機關導入零信任，2023聚焦身分鑑別<br /> 全球關注的網路安全零信任轉型，臺灣政府正在著手推動，2022年8月已遴選導入試行的機關，後續將優先推動A級公務機關逐步導入，在政府零信任網路所規畫的3大核心機制中，2023年將以身分鑑別為優先推動的機制，並且提供導入流程上的建議。</strong><span style="font-size:14px;">圖片來源／行政院國家資通安全會報技術服務中心</span></span></p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892020%E8%B3%87%E5%AE%89%E8%B6%A8%E5%8B%A2%E9%9B%B6%E4%BF%A1%E4%BB%BB_.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>2023年預計將有正式的ZTA實踐指引發布<br /> 對於零信任架構的設計與推動，除了參考<a href="https://www.ithome.com.tw/tech/152241">SP 800-207《Zero Trust Architecture》</a>標準文件，企業若要採取實踐，在2023年有一最佳實務與資源值得關注，是由NIST旗下NCCoE所推出的<a href="https://csrc.nist.gov/publications/detail/sp/1800-35/draft">NIST SP 1800-35《Implementing a Zero Trust Architecture》</a>，其內容共有5份，去年底公布第二次草案版本，預計今年將會正式發布，當中更詳細描述ZTA核心架構及導入的參考指引。</strong><span style="font-size: 14px;">圖片來源／NCCoE</span></span></p> <p><span style="font-size:28px;"><strong>多家科技大廠積極推動，零信任解決方案選擇日益增多</strong></span></p> <p>不只是多國政府積極行動，更早推動零信任網路安全相關方案的科技與資安業者，也持續促成企業邁向零信任架構。</p> <p>舉例來說，從2018年就興起一股浪潮，國際間對於網路安全策略經歷了轉變，而許多科技與資安業者倡議與發展零信任模型，以及零信任架構（ZTA），又或是零信任網路架構（ZTNA），到了2023年，已有更多科技大廠已經導入或提供相關解決方案。</p> <p>以Google而言，2014年提出零信任設計與部署方法後，經過多年實踐，2020年更是<a href="https://www.ithome.com.tw/news/137132">推出BeyondCorp遠端存取服務</a>，隔年再推出<a href="https://www.ithome.com.tw/news/142467">BeyondCorp Enterprise方案</a>。</p> <p>微軟在2021年4月，分享了以<a href="https://news.microsoft.com/zh-tw/features/microsoft-zero-trust-model/">零信任模型保護內部網路安全的經驗</a>，隔年6月也說明他們如何<a href="https://news.microsoft.com/zh-tw/features/zero-trust-security-model/">實作</a>，將零信任模型融入自家產品架構，包括在Microsoft 365與Azure雲端服務<a href="https://learn.microsoft.com/zh-tw/microsoft-365/security/microsoft-365-zero-trust?view=o365-worldwide">實踐</a>零信任，也提出將零信任概念用在IoT解決方案的<a href="https://www.microsoft.com/en-us/security/blog/2021/05/05/how-to-apply-a-zero-trust-approach-to-your-iot-solutions/">作法</a>。</p> <p>主推零信任安全架構的IT大廠還有很多，例如，雲端服務廠商Akamai，很早就提供基於雲端安全服務的零信任架構，2019年推出企業應用程式存取Enterprise Application Access（EAA）解決方案，2021年發布Akamai MFA，還併購Guardicore，整併微分割技術；另一家雲端服務廠商Cloudflare，在2020年推出零信任企業安全網路服務Cloudare One，是基於零信任安全存取服務邊緣（SASE）兩大概念而發展，到了2022年，他們發表Zero Trust SIM與Zero Trust for Mobile Operators的服務，年底又宣布將對非營利組織免費提供Cloudare One套件防護。</p> <p>以次世代防火牆（NGFW）聞名的網路資安設備業者Palo Alto Networks，2021年宣布公司產品已朝向零信任網路安全發展，到了2022年，他們更是喊出要升級至ZTNA 2.0的口號。</p> <p>當然，市面上還有很多廠商也都積極推動零信任，如AWS、Cisco、F5、Forescout、IBM、Mandiant、Okta、SailPoint、Tenable、VMware、Zscaler。</p> <p>不僅如此，由於零信任架構當中結合多種既有技術及方法，因此不論是身分識別方面的SSO與MFA，增強的身分識別存取服務IAM；設備方面的端點管理方案、EDR方案；網路方面，在微分割與最小權限應用上，可設置次世代防火牆，以及網路存取控制（NAC）等。</p> <p>還有應用程式存取管控，以及情境感知認證與異常偵測，包含威脅情資、日誌管理與自動化監控的搭配，此外還有DNS請求與HTTP流量的加密，資料的加密與安全控管方案，資料外洩防護DLP等諸多面向。因此，我們也會看到各方資安領域業者，有許多都在呼應零信任，或是打出零信任旗幟。</p> <p>而在國內方面，有些本土資安業者同樣致力於相關發展。</p> <p>以近期而言，從上述政府零信任網路的推動來看，隨著政府為了因應機關採購與部署，並期盼促進國內資安產業商業產品發展，因此，已先針對身分鑑別功能的本土商用產品，符合功能符合性驗證要求，截至去年底，已有五家業者產品通過申請，包括：全景軟體，與歐生全合作的安碁，以及臺灣網路認證、來毅數位，以及偉康科技。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1112-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-1-V2.png" style="width: 539px;" /></p> <p><span style="font-size:28px;"><strong>身分安全是零信任重要一環，可抵抗網釣MFA導入為關鍵</strong></span></p> <p>在網路安全零信任轉型的議題之下，身分識別更是零信任基礎中的重要環節之一。例如，臺灣在政府零信任網路導入上，今年優先從身分鑑別著手。</p> <p>而美國政府在推動零信任的戰略上，聚焦五大面向，分別是：身分識別、裝置管理、網路、應用程式與資料，特別的是，對於身分安全方面，他們最近也提出了相關應對措施。</p> <p>該國的網路安全暨基礎設施安全局（CISA）在三個月前，<a href="https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf">發布「抗網釣多因素驗證」（Phishing-Resistant MFA）導入的指引</a>。在此文件中，CISA強烈建議所有組織實施這項措施，作為應用零信任原則的一部分，同時，他們也具體說明，攻擊者會使用多種方式來獲取MFA，包括：</p> <p><span style="color:#B22222;"><strong>網路釣魚</strong></span></p> <p>讓使用者被引導至釣魚網站後，輸入帳號、密碼以及OTP驗證碼。</p> <p><span style="color:#B22222;"><strong>登入通知推送轟炸（Push Bombing）</strong></span></p> <p>讓使用者持續收到登入通知，直到不小心按下「允許」的按鈕。</p> <p><span style="color:#B22222;"><strong>利用電信業SS7協定漏洞</strong></span></p> <p>從遠端攔截發送到手機的OTP驗證碼。</p> <p><span style="color:#B22222;"><strong>SIM卡劫持（SIM Swap）</strong></span></p> <p>假冒用戶向電信客服謊稱SIM卡遺失，以取得新發SIM卡或將手機號碼轉移至不法份子持有的空白SIM卡，獲取手機號碼控制權後，即可接收OTP驗證碼。</p> <p>事實上，採用多因素驗證（MFA）是資安界早已不斷強調的，到了2017年，簡訊OTP這種MFA不夠安全的議題，更是受到廣泛討論，出現呼籲全面採用強式身分驗證的聲浪。</p> <p>而2022年的一些發生在國際的資安攻擊事件，也印證了此一威脅態勢的進化──隨著越來越多企業採用MFA，攻擊者除了竊取帳號密碼，如今也聚焦如何突破MFA的防護。</p> <p>例如，去年11月Dropbox公布遭駭事件，起因是10月初該公司員工遭網釣，開發人員誤信了假冒CircleCI名義的網釣郵件，駭客不僅騙取了員工的GitHub帳號、密碼，也拿到OTP硬體金鑰產生的一次性密碼；去年8月，思科公布5月察覺遭入侵事件的起因，是該公司員工帳密被竊取後，駭客藉由語音網釣，以及發送大量的MFA登入請求通知，該員工在頻繁通知下按了允許。</p> <p>因此，在上述CISA的導入建議中，最佳首選就是採用抗網釣MFA，在CISA的指引列出兩種，分別是FIDO/WebAuthn驗證，以及基於PKI的方式。</p> <p>對於無法立即實施抗網釣MFA的中小型企業來說，CISA建議採用三種MFA，包括App推送OTP驗證碼、App推送數字配對通知，以及基於Token的OTP。</p> <p>若是採用App推送無數字配對通知的方式，屬於比上述三種方式安全強度弱一級的MFA選項。</p> <p>至於透過簡訊或語音形式的MFA，則應視為最後的MFA選項。但相對而言，對於還沒有這方面作為的企業組織來說，將可當作臨時的解決方案，幫助企業組織過渡到實施更強式的MFA。</p> <p>另外，除了這份CISA的指引內容，在前述美國聯邦零信任戰略的M-22-09備忘錄當中，對於5大面向的識別（Identity）部分，同樣也指出，機構工作人員須使用企業級的識別方案來存取應用程式，並使用可抵抗網釣的MFA，以防護使用者受到複雜的網路攻擊。</p> <p>當中還提到一些實作上的重點，像是：MFA必須執行在應用層，而不是網路層；除了機構工作人員需要使用抗網釣的多因素驗證，委外合約商及合作夥伴也不能例外；當授權用戶存取資源時，機構必須考慮驗證至少一個裝置層級的訊號，以及關於用戶的身分資訊。</p> <p>無論如何，MFA的重要性有越來越多人認同，在零信任網路架構下，如何妥善搭配進階的強式MFA更是關鍵之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1112-%E5%B0%81%E9%9D%A2-%E6%AD%A3%E6%BC%A2-%E9%9B%B6%E4%BF%A1%E4%BB%BB-600-2-V2.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>導入抗網釣MFA成為2023年身分安全重要焦點<br /> 在2022年10月，<a href="https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf">美國CISA發布「抗網釣多因素驗證」（Phishing-Resistant MFA）導入指引</a>，當中強烈建議所有組織實施採用，將這些強化身分認證的措施作為應用零信任原則的一部分，而最佳方法是採FIDO/WebAuthn驗證，以及基於PKI的方式，可抵抗網釣攻擊的威脅。</strong><span style="font-size: 14px;">資料來源：美國CISA，iThome整理，2023年1月</span></span></p> <p><span style="font-size:28px;"><strong>零信任概念延伸至產業領域，供應鏈安全議題也日益受到熱烈關注</strong></span></p> <p>關於零信任的推行，除了網路安全策略朝ZTA、ZTNA發展，技術應用的方式與範圍也在持續拓展。</p> <p>包括白名單、郵件無害化、CDR檔案威脅清除技術，以及涵蓋遠端桌面、VDI、RBI的上網隔離（Web Isolation）等技術的崛起與發展，都與零信任概念可以相互呼應，特別的是，近年更出現從單項技術領域擴及產業領域的態勢。</p> <p>例如，近年開始有人提出智慧工廠的零信任，硬體層級的零信任，以及供應鏈的零信任，將此概念用於不同領域。</p> <p>其中，零信任供應鏈架構的發展，逐漸成為關注焦點，隨著美國政府祭出晶片法案，以及美國防部推行網路安全成熟度模型認證<a href="https://www.ithome.com.tw/news/154530">（CMMC）</a>，在這些體系之下，所強化的供應鏈信任度，以及防滲透能力，也將讓國際各種產業之間的安全架構與相互合作，形成不同面貌。</p> <p>儘管將ZTA從網路安全類比、應用到其他領域，尚未發展成熟，也不完全適用所有層面，但值得留意的是，關於上述「供應鏈安全」的議題，如今也是與零信任網路安全並駕齊驅的重要議題，而且兩者都圍繞在信任議題之上。</p> <p>關於供應鏈安全，雖然不像ZTA所談到的持續驗證才予以信任，但要建構零信任網路安全的環境，同時須仰賴各種資安防護產品、資訊系統，而這些設備的軟硬體安全，將是無法迴避的問題。</p> <p>因此，談到軟硬體供應鏈安全，如今也都持續聚焦在信任方面的議題，使得透明度成為重點，像是確認每個第三方元件均來自可信任的來源等，以及建構可信賴供應鏈等，畢竟，有了「信任」會是整體環節能順利運作的重要關鍵。</p> <p>近期這方面也有值得一提的新進展。例如，長期致力於確保開源軟體安全的Google，在2022年10月推出<a href="https://www.ithome.com.tw/news/153589">Software Delivery Shield</a>，這是針對軟體供應鏈而來，當中不僅是從軟體交付生命週期的每個階段增強安全，為了幫助整個供應鏈能在信任鏈進行建立、維護與驗證，因此，它們提供基於信任的策略引擎。而從這個機制來看，可說是運用類似零信任架構的概念。</p> <p>而在硬體供應鏈方面，以伺服器安全元件驗證為例，像是數年前HPE、Dell等業者，都透過矽晶片信任根（Root of Trust）技術的搭配，防範元件與韌體不被惡意程式碼竄改，而在2019年，Google也釋出開源的OpenTitan專案。</p> <p>值得注意的是，HPE、Dell、Intel、AMD、博通、高通等廠商合作，在開放IT管理標準組織DMTF之下，開發「<a href="https://www.dmtf.org/sites/default/files/standards/documents/DSP0274_0.99a.pdf">安全協定與資料模型（Security Protocol and Data Model，SPDM</a>）」，此舉有助於打破各供應商RoT技術不相容的局面。</p> <p>至於零信任架構能否套用到硬體供應鏈，美國國防工業協會（NDIA）2021年10月曾發表一份<a href="https://www.ndia.org/-/media/sites/ndia/divisions/electronics/images---resources/zerotrustwhitepaper_20oct-revc.ashx">白皮書</a>，探討這方面的挑戰與議題。顯然，將零信任架構應用到更多的領域，也是未來可能發展的態勢。</p> </div></div></div>
2023/1/16 00:00作者羅正漢https://www.ithome.com.tw/news/155119
克服容器和虛擬機並行的挑戰，服務網格下一步全面支援VM
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去幾年，許多企業數位轉型過程中，紛紛推動IT現代化，而雲原生（Cloud Native）技術就是IT現代化其中一個很重要的關鍵技術，也讓企業看到它的可能性，包括彈性架構和擴充性，以及全球營運和服務能力。可是，企業許多傳統應用，不見得馬上能夠轉變成雲原生架構，要把老舊應用翻轉過來，仍然是非常大的挑戰。企業走向雲原生終究會遇到容器和VM並行管理的挑戰。但是除了把老舊應用重構，重新打造翻新成雲原生架構之外，現在還有另一種並存做法的出路，就是讓雲原生技術可以管理到傳統應用。這也是另類現代化的做法。</p> <p>VMware技術長Kit Colbert就指出：「我們考慮要做也希望有機會實現的事，讓服務網格（Service Mesh）能真的支援VM」。</p> <p>服務網格是雲原生用來管理龐大微服務的一種技術，過去的服務網格一開始設計的機制，都是為了管理容器化微服務，因為容器輕薄短小可以產生量非常大的微服務，因此需要有一套服務網格來管理，如果服務網格可以對VM化微服務有更好的支援，就更容易用一套管理機制來管理這些不容易容器化的老舊應用。企業就可以用一套應用程式管理流程和框架來管理新舊應用。</p> <p>但是VM和容器是不一樣的運作技術，要把容器管理機制全盤延伸到VM上，是一大挑戰。</p> <p>「如果能辦到會是很酷的事」Kit Colbert興奮地說，「因為這展現了我們不僅有能力支援現代化應用，更能夠讓很多既有老舊應用得以現代化。」</p> <p>考慮到VMware目前已經完成vSphere與Kubernetes容器管理平臺整合，可以開始使用Kubernetes管理在vSphere中的VM，Kit Colbert認為，讓服務網格能真的延伸支援vSphere中的Pod VM或基於Kubernetes的VM，應該不難。</p> <p>2021年接任VMware技術長的Kit Colbert ，可以說是VMware過去vSphere虛擬化產品研發重要幕後功臣之一，更是一手打造出vSphere的vMotion功能，實現工作負載跨資料中心轉移的關鍵推手，在VMware轉向雲端布局後，這些經驗，也成了他打造跨雲原生應用平臺很重要的基礎。</p> <p><span style="font-size:28px;"><strong>企業面臨雲端混亂，多雲混合雲帶來規模化和環境多樣性的考驗</strong></span></p> <p>近幾年，許多企業為加快轉型而紛紛開始上雲，將各自應用搬上公雲，當越來越多應用上雲，上雲模式也從單雲，邁向多雲混合雲架構，逐漸成為企業上雲部署模式新主流。Kit Colbert觀察到，許多企業雖然朝向多雲混合雲架構來發展，但目前真正做到多雲混合雲的企業卻不多。</p> <p>他進一步解釋，雲端有許多好處，但對企業而言，從一朵雲進到多朵雲會遇到規模化和環境多樣性管理的挑戰。一家企業可能有多個團隊使用不同家公雲服務，就容易會導致雲端混亂（Cloud Chaos）。因為各家雲所使用的工具大多不同，彼此間不相容，缺乏一致性，企業一開始雖然短期內可以提升速度，但沒多久就會因為複雜度增加變得笨重而減慢速度。尤其是在不同雲之間移動應用會很麻煩，需要許多重複性作業，也會產生很多不一致，到最後就會變成許多技術債。</p> <p>Kit Colbert表示，這是許多企業現在的處境，試圖走出雲端混亂，進入多雲混合雲階段，但這件事並不容易，需要有一套技術可以為不同公雲、公雲和私雲，或其他所有可能使用的這些雲之間提供一致性，才有辦法撥亂反正。</p> <p><span style="font-size:28px;"><strong>多雲混合雲下新舊應用並存，導致企業更容易身陷雲端混亂</strong></span></p> <p>很多原因讓企業面臨雲端混亂的考驗，多雲混合雲下新舊應用並存也是另一個導致企業更容易陷入雲端混亂的原因。因為在雲端移動過程中，企業會有以VM為主的老舊應用，也有新的雲端原生應用，就必須要有一套方式，可以支援這兩種新舊應用的調度，才能在不同雲裡面調度和管理。這也是VMware的目標，希望能同時管理VM和容器。</p> <p>Kit Colbert指出，VMware未來多雲混合雲產品布局將聚焦三大重點，分別是內建多雲原生功能，還要聚焦現代化多雲應用和應用現代化，以及跨領域建立互通性，提供整合性單一產品。</p> <p>服務網格就是VMware將雲原生技術帶進VM環境實現應用程式現代化很重要的技術，Kit Colbert就表示，企業許多傳統或老舊應用程式，如果能運用到服務網格相關技術，不只能管理VM，還可加入更多功能，如資安等。</p> <p>服務網格是高度AP導向，企業可以基於這個架構來建立微服務應用相關政策，可以在Pod中裝更多容器，或提供自動更新等等。在服務網格中還使用邊車（sidecar）架構，把proxy掛載到每個Pod上，藉此獲取對這些Pod的流量有相同管控機制，「這也是服務網格強大之處，讓企業可以用它做更多事」Kit Colbert表示。</p> <p>舉例來說，VMware不久前在Tanzu Service Mesh產品中加入更多安全功能，就是運用服務網格中的邊車架構的成果，像是整合了量子安全加密算法提高微服務安全性，或是利用AI偵測不同Pod流量之間異常網路行為，並自動修復，也能因應即時性需求加入TLS 1.3加密功能等。「這正是VMware壓寶服務網格的緣故。」他說。</p> <p>他表示，服務網格不僅僅是提供特定叢集或一組叢集使用，他們在Tanzu Service Mesh服務中也建立全域命名空間（Global Namespace）機制，不只是能讓服務網格中許多AP彼此相連，也可以跨雲。</p> <p>但他也提到，現階段還有改善的地方，如果是在多雲混合雲環境中使用，需要盡可能簡單易用，還有改善效率、提高頻寬、低延遲等等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CTO-2P-%E8%87%B3%E6%B5%A9-VMware-450-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-VMware.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／VMware）</span></span><br /> <span style="color:#3399ff;"><span style="font-size:20px;"><strong>我們考慮要做也希望有機會實現的事，讓服務網格能真的支援VM。── VMware技術長 Kit Colbert</strong></span></span></p> <p><span style="font-size:28px;"><strong>結合更加自動化的DevOps和SRE，成了支援多雲開發和維運的關鍵做法</strong></span></p> <p>在多雲混合雲中，企業除了需要有雲端原生技術來管理龐大微服務之外，在開發和維運上也得有更自動化做法，來支援不同多雲開發和維運管理的需求。Kit Colbert認為，這也讓整合CI/CD的DevOps開發維運做法和流程，變得越來越重要。</p> <p>Kit Colbert指出：「DevOps可以說是一種模式或處理流程，但從事DevOps的人，以我來看就是SRE（Site Reliability Engineering，服務可靠性工程師），目標是盡可能自動化來減輕對維運的負擔。」</p> <p>一旦企業進到多雲混合雲，考慮到必須在更多樣環境中來執行應用程式，自動化這件事就變得很重要。Kit Colbert表示，因此就需要有SRE的協助，來把維運管理流程簡化，改用更自動化方式來執行，如此一來，維運人員就不用進到每一朵雲，直接能對它進行管理，而且不用了解每朵雲的全貌，也能管。他也提到，面對規模化和異質環境的挑戰，發展自動化提高問題解決能力，也很重要。</p> <p>SRE過去被不少大型科技或網路公司用在維運大規模服務可靠性上，Kit Colbert表示，「面對大規模多雲服務維運的考驗，SRE是唯一解套的方式」，企業越能將跨雲工具標準化，掌握抽象層形式，就能讓SRE團隊更容易因應這類維運管理挑戰，並廣泛運用它。</p> <p>在雲端安全方面，近幾年，DevSecOps快速興起，希望讓雲端應用程式既能快速迭代因應市場變化，也能確保其安全性。Kit Colbert認為，DevSecOps實踐能發揮更大作用，讓開發團隊從過去僅專注於應用或功能開發的思維，到現在建立起必須重視資安的思維，把資安當作自己的工作來落實，而不是別人的事，「開發團隊必須要像重視程式品質、應用可用性一樣重視資安。」他指出。</p> <p>Kit Colbert也提到，企業應用不論是放在雲端或地端都會有資安風險，根本問題在於，跟地端應用型態相比，雲端應用移動和變化的速度更快，導致應用開發和部署上線速度，資安測試無法跟上步調，若是開發團隊一開始規劃就沒有把資安考慮進來，等到應用開發結束準備上線前才進行安全審查，在事前沒有足夠時間詳細規畫和經過完整審查的情況下，就把應用部署到正式環境，就容易潛藏資安問題。</p> <p>面對多雲混合雲帶來各種維運和管理挑戰，有些企業採用自動化DevOps來解決維運問題，也有企業從導DevSecOps做法下手強化雲端安全，也有考慮到雲原生和微服務架構採取服務網格架構來解，還有企業面對雲端規模越大時引進SRE維運做法。</p> <p>上述這些都是加速企業邁向多雲混合雲提供維運和管理很重要的現代化技術、工具或做法，但是開始上雲就要全部導入嗎？有沒有優先順序？</p> <p>對此，Kit Colbert認為，沒有誰先誰後的問題，而是以企業優先關注事項來決定技術採用順序。他建議，企業可以回過頭思考架構，從整體架構來考慮，找出適合自己的跨雲技術，在保有自由彈性選擇下，幫助公司繼續前進。</p> <p><span style="font-size:28px;"><strong>從三面向考慮雲端成本管理</strong></span></p> <p>除了日常維運，企業越來越多應用上雲後，雲端成本跟著增加，甚至因為要跨不同的雲，導致雲端成本控管越來越複雜，成為這一兩年許多企業都開始重視的議題。</p> <p>從雲端成本管理角度來看，Kit Colbert表示，有3個面向需要考慮，透明、FinOps、治理。他進一步說明，透明化，指的不光只是讓財務長和財務團隊掌握雲端成本，對開發團隊也要能夠做到透明性，能夠立即看到使用雲端服務花多少費用，並思考哪些環節還有優化的可能，來幫助團隊節省成本。</p> <p>其次是建立FinOps（Cloud Financial Operations）團隊，他表示，這個雲端維運財務團隊，必須與開發團隊一起合作，透過反覆觀察，了解他們在每個階段的雲端使用情況，來擬定減量策略。</p> <p>透過這樣的方式，FinOps團隊可以幫助應用程式團隊有更好的方式，做到雲端使用和成本的平衡，像是搭配Reserved Instances預付購買方式，或是透過優化一般性服務使用減少用量，都是可以採行的做法，幫助企業持續優化雲端成本。</p> <p>最後是治理，對使用者增加限制來進行雲端成本管控，例如開發團隊使用一旦超出預算，就會限制其雲端服務的使用等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>VMware技術長Kit Colbert</strong></p> <p>學歷：美國布朗大學資訊工程學士</p> <p>經歷：在VMware累積超過20年技術研發經驗，曾擔任過雲端技術長、雲原生應用程式事業部總經理、終端使用者運算事業部技術長等多項職務，不只是vRealize維運平臺首席架構設計師，更是打造vSphere產品重要功能的關鍵人物。2021年開始擔任技術長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware%E5%85%AC%E5%8F%B8%E5%AE%98%E7%B6%B2(1).png" style="width: 250px;" /></p> <p><strong>VMware</strong></p> <p>●總部：美國加州Palo Alto</p> <p>●成立時間：1998年</p> <p>●主要業務：以提供虛擬化軟體、桌面虛擬化與多雲混合雲產品為主</p> <p>●網址：<a href="http://www.vmware.com">www.vmware.com</a></p> <p>●創辦人：Diane Greene與Mendel Rosenblum為首等數人</p> <p>●執行長：Rangarajan Raghuram</p> <p>●員工數：約37,500人（2022年）</p> <p>●年營收：128.5億美元（2022財年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>●1998年：VMware成立</p> <p>●1999年：首款桌面虛擬化產品VMware Workstation 1.0問世</p> <p>●2002年：第一款企業伺服器虛擬化管理軟體VMware ESX Server 1.5正式推出</p> <p>●2003年：正式發布vCenter 1.0產品，可統一管理VM環境</p> <p>●2004年：以6.35億美元被儲存軟體商EMC收購</p> <p>●2007年：於紐約證交所上市</p> <p>●2009年：新一代虛擬化平臺vSphere亮相，走向雲端運算架構</p> <p>●2011年：推出視覺化的儀表板管理工具vCenter Operations</p> <p>●2012年：以12.6億美元收購虛擬網路新創公司Nicira</p> <p>●2013年：NSX與vSAN兩大網路虛擬化和儲存平臺推出</p> <p>●2015年：連同母公司EMC被Dell以670億美元所收購</p> <p>●2016年：推出VMware Cloud on AWS，可在AWS環境上執行以VMware為基礎的私有雲服務</p> <p>●2019年：併購Pivotal，轉型為雲端原生服務供應商</p> <p>●2021年：正式完成與Dell Technologies集團拆分</p> <p>●2022年：再以610億美元出售給美國晶片製造商博通</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cto-2p-zhi_hao_-vmware-960-tu_pian_lai_yuan_-vmware.jpg" width="960" height="420" alt="" title="VMware技術長Kit Colbert　（圖片來源／VMware）" /></div></div></div>
2023/1/16 00:00作者余至浩https://www.ithome.com.tw/people/155121
【2023資安趨勢3：軟體供應鏈安全】防堵惡意開發軟體套件與程式碼外洩成當務之急
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2020年發生震驚全世界的<a href="https://www.ithome.com.tw/article/141943" target="_blank">Solarwinds軟體供應鏈攻擊</a>，衝擊美國多個公務機關，以及FireEye、微軟、英特爾、思科、Deloitte等民間公司，陸續又爆發多起這類網路攻擊，使得大家無法漠視危機存在。</p> <p>到了2022年，與此有關的資安事故，各界因應與強化安全行動也越來越多。</p> <p>像是，惡意軟體套件上傳到熱門軟體儲存庫層出不窮，攻擊者通常會利用相依性混淆，以及類似而錯誤的名稱（typosquatting），使得開發者下載使用到藏有惡意程式的套件，目的可能是為了挖取加密貨幣或是植入惡意程式。</p> <p>2022年有些政府機關與企業也傳出應用程式開發系統程式碼外洩，駭客得以闖入程式碼儲存庫竊取或竄改，原因是負責人員不當操作或設定關係，導致這些敏感、有高權限的身分暴露在外，後續攻擊者獲取此類機密之後，就能侵入軟體開發流程，影響完整性與安全性。</p> <p><span style="font-size:28px;"><strong>美國、歐盟、臺灣都開始行動，積極強化軟體供應鏈安全</strong></span></p> <p>在全面抵禦軟體供應鏈攻擊的能力提升上，美國總統拜登前年5月頒布改善國家網路安全行政命令EO 14028，強化軟體供應鏈安全名列十大重點，為實現承諾，2022年該國政府陸續推動事宜。</p> <p>例如，2月美國國家標準暨技術研究院（NIST）發布<a href="https://www.ithome.com.tw/news/153723" target="_blank">軟體開發安全框架（SSDF）</a>，而在軟體保護系列實務項目，關於每個軟體發行的保存與保護，軟體物料清單（SBOM）正是一種作法；在生產具有完善安全性軟體系列的實務項目，關於重複用既有安全性軟體而非複製功能的實作範例，SBOM可作為獲取軟體來源資訊的方式。</p> <p>8月底，美國網路安全暨基礎設施安全局（CISA）、國家安全局（NSA）、國家情報總監辦公室（ODNI）<a href="https://media.defense.gov/2022/Sep/01/2003068942/-1/-1/0/ESF_SECURING_THE_SOFTWARE_SUPPLY_CHAIN_DEVELOPERS.PDF" target="_blank">公布防護軟體供應鏈開發者指南</a>，主要是由持久安全性框架（ESF）軟體供應鏈工作小組所發行。</p> <p>9月中，美國行政管理和預算局發布編號為M-22-18備忘錄，要求聯邦機構只能使用有特定資格的廠商提供的軟體，這些廠商必須證明自身遵循NIST訂定的政府安全軟體開發實務；同時，聯邦機構也需要從業者取得軟體物料清單，以便了解遵循安全軟體開發實務的程度。</p> <p>值得注意的是，2022年5月，美國、澳洲、印度、日本發布聯合聲明，當中提到網路安全的合作，他們承諾將會改善國家關鍵基礎設施的防禦，採用的方式，包括：共享威脅資訊、識別與評估潛在的數位產品與服務供應鏈威脅，政府採購遵循軟體安全標準，以及運用四國的集體購買力，改善廣泛的軟體開發生態系統，讓所有使用者都能獲益。</p> <p>另一個全球重要的經濟及政治合作體：歐盟，在2022年9月提出的網路韌性法案（Cyber Resilience Act），這是確保產品硬體與軟體更安全的法令要求，目的是補足歐洲網路安全規範，強化整個供應鏈的安全，在四大設定目標中，有一項與此有關，那就是：針對具有數位元件產品的安全內容，強化透明度。</p> <p>而在臺灣，政府部門也開始重視軟體供應鏈安全。例如，<a href="https://www.ithome.com.tw/news/154907" target="_blank">金管會在2022年底公布的金融資安行動方案2.0</a>，提到督導金融同業工會修訂資安相關規範時，供應鏈風險管理規範就是其中一項，而在增修訂的自律規範或參考指引的部分，也涵蓋到供應鏈風險管理的議題，執行期限為民國113年，目的是強化金融供應鏈體系及第三方服務提供者的風險評估與管理，納入核心資通系統的軟硬體供應商與維運商，以及第三方服務提供者、跨機構合作夥伴的風險評估、邊際防護及委外稽核等。</p> <p><span style="font-size:28px;"><strong>NPM、PyPI等熱門平臺被盯上，頻頻爆出惡意軟體套件事故</strong></span></p> <p>在2022年佔據最多資安新聞的軟體供應鏈相關報導，主要是被植入惡意程式的軟體開發應用套件，簡稱為惡意軟體套件（malicious package），根據資安廠商ReversingLabs的統計，從1月到10月為止，以JavaScript框架與程式庫Node.js預設採用的套件管理系統NPM為例，惡意套件總共上架了6,977個，當中有超過86％是在6月、7月、8月期間增添，</p> <p>回顧2020年，惡意NPM套件僅75個，2022年成長將近100倍；Python第三方軟體套件儲存庫PyPI，在2021年上架的惡意套件多達3,685個，是2020年數量的180倍，到2022年減至1,493個，下降幅度高達6成，多數（85％）在1月發現，屬於概念驗證的軟體相依性混淆攻擊。</p> <p>而在惡意套件儲存庫的分布上，NPM以66.7％居冠，數量超過1.2萬個；其次是PyPI占27.7％，數量超過5千個；剩下的5.6％是RubyGems，有1千個以上。</p> <p>如果以更長時間比較，NPM與PyPI這兩大套件儲存庫，因軟體供應鏈關係，而出現資安弱點數量大幅成長的態勢。以2018年做為基準，2021年NPM與PyPI因承受軟體供應鏈攻擊的關係，漏洞數量分別增加至3.17倍（從164個提升至521個），以及5.14倍（從95個提升至489個），兩者合併計算，漏洞數量也增加至3.89倍。</p> <p>除了不同攻擊者進行這類惡意活動，也有資安業者發現單一攻擊者橫跨多個軟體儲存庫平臺，發布大量惡意套件。例如，在2022年12月，Checkmarx與Illustria這兩家公司聯手公布調查結果，在NuGet、 NPM、PyPi這三個平臺，他們發現超過14.4萬個網路釣魚相關套件，都來自同一個攻擊者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2-IG-attacks-surge1%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FReversingLabs.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>NPM與PyPI成為駭客上傳惡意套件目標<br /> 近年來，隨著Node.js與Python走紅，使得NPM與PyPI等兩大軟體套件平臺受到熱烈歡迎，也吸引駭客而上傳大量惡意軟體套件，以2022年10月為準，有將近7千個惡意套件送上NPM，相較於2020年僅有75個套件，短短兩年卻有90倍的龐大差距；而在PyPI的部分，在2022年10月出現近1,500個惡意套件上傳至此。</strong><span style="font-size:14px;">圖片來源／ReversingLabs</span></span></p> <p><span style="font-size:28px;"><strong>程式碼外洩危及軟體供應鏈安全的事件頻傳</strong></span></p> <p>針對應用系統的攻擊，不論是發動DDoS攻擊這類正面衝突，或伺機尋找未修補的資安漏洞趁虛而入，已不足為奇，近年來，駭客也往軟體供應鏈上游進攻，鎖定程式原始碼的存放環境進行侵害，由於當中有時也牽涉重要系統的帳密與登入憑證（例如有些開發人員將這些資訊寫死在程式碼，或放在半公開區域），問題不只是程式碼被竊取、竄改，也嚴重危及IT重要服務安全。</p> <p>以2022年而言，就發生多起重大的軟體供應鏈安全事故。以IT廠商而言，身分管理服務業者Okta，分別在3月、9月、12月面臨攻擊，而導致其用戶可能遭波及；程式碼共享與協作平臺GitHub，4月發生攻擊者竊取兩家第三方業者的OAuth憑證，而闖入數十個組織的儲存庫、下載存放在裡面的資料。</p> <p>而以公部門與企業而言，也有不少案例。像是美國退伍軍人事務部9月發生程式碼外洩，原因據傳是承包商將該單位GitHub帳號的程式碼複製，再將其發布在設為開放模式的GitHub帳號而暴露，事後有6個陌生IP位址複製了這些程式碼，其中1個來自對美抱持敵意的國家。</p> <p>10月日本豐田汽車公告自家網站外洩近30萬名車主資料，原因是程式碼不當上傳至GitHub公開儲存庫，而程式碼又不慎夾帶可存取資料庫伺服器的金鑰。</p> <p>隨著此類事件不斷上演，為了避免再度發生，企業與組織除了推動安全軟體開發流程，對於開發環境與程式碼儲存庫的保全也必須格外重視。</p> </div></div></div>
2023/1/16 00:00作者李宗翰https://www.ithome.com.tw/news/155123
【2023資安趨勢4：CMMC】臺灣推CMMC偏重認證，明顯缺少產業升級思維
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣深受地緣政治的影響，面對中國有形的文攻武嚇和無形網路戰爭的威脅，加上美中貿易大戰之後造成的國際政治情勢益發緊張的影響，已是全球牽一髮而動全身的政治焦點所在。</p> <p>對此，為了確保臺灣的安全性，臺灣積極要求美國加速對臺軍售的進度，甚至傳出臺美聯合生產武器的呼聲，但箇中關鍵點是；美國對於臺灣國防產業界，或是電機電子產業中，有些與中國有聯繫或密切商業往來的企業，是否能確保美國轉移的機密，以及相關的敏感技術不外流，仍有很大疑慮。</p> <p>面對「信任」的議題，不論資訊安全、供應鏈安全甚至是國家安全，都非常重要，如何做到信任，有許多法規面、制度面和程序面的作法必須落實。</p> <p>美國為了為避免重要軍事武器機敏資料外洩，提升並確保美國國防供應鏈業者資訊安全防護能力，美國國防部也在2020年1月31日發布「第1版網路安全成熟度模型認證（CMMC 1.0）」，這也是針對國防供應鏈業者第一線承包商，以及第二、三線分包商制定的網路安全標準，並於2021年11月推出的CMMC 2.0版草案，預計今年3月至5月會推出CMMC 2.0正式版，並於2026年財年（9月30日）後全面實施，自此之後，國防供應鏈的承包商及分包商若無法取得CMMC認證，就不能拿到美國國防部的訂單。</p> <p>對企業來說，國防訂單是相對穩定、高利潤，而臺灣產業若想進軍美國國防供應鏈，可參考日本和韓國引進CMMC的經驗，花時間改善臺灣國防工業和電機、電子製造業的產業體質，進行企業流程和技術改善，隨著軍規、商用市場的規模越來越大，也有越來越多商用技術做到軍規強度，相關產業是否能夠在2026年9月底前，順利取得美國CMMC認證，直接成為美國30萬家國防產業基地（DIB）的一員，而非局限在成立CMMC臺灣在地驗證機構等小規模的商機，這才是推動CMMC對臺灣產業帶來的真正價值。</p> <p><span style="font-size:28px;"><strong>臺灣政府也推CMMC資安專案，偏重成立驗證機構</strong></span></p> <p>面對這波對於國防產業供應鏈業者取得CMMC認證的要求，臺灣政府在2023年推出兩個與國防有關的資安專案，第一個是「軍民通用資安技術研發補助計畫」，針對供應鏈安全、低軌衛星安全、紅隊攻防平臺，預計補助10個專案，預算金額高達1.35億元。</p> <p>另一個資安專案是「產業供應鏈資安成熟度合規導入計畫」，主要是針對國防供應鏈CMMC合規，發展CMMC供應鏈管理合規工具導入，以及打造第三方獨立評估機構（C3PAO）驗證機構：即CMMC臺灣在地驗證實驗室，預算金額初估約有五千多萬元。</p> <p>CMMC對臺灣帶來的商機可以分成兩部分。首先，若是根據臺灣國防產業發展協會（TW-DIDA）援引日本引進CMMC經驗，推估其帶動的整體國防產業供應鏈業者升級所進行的產值推估，臺灣國防產業供應鏈的產值可能高達新臺幣1,800億元，這樣的產值遠遠超過中科院的委外產值，或是單純國防產業的產值規模，商機勃勃。</p> <p>另外的商機，則包含相關的認驗證，以及課程推動，CMMC認證管理機關從原本的CMMC-AB改為Cyber-AB，可打造類似臺灣驗證公司能參與的生態系，也可以成立獨立評鑑機關（C3PAO），提供年度自評和第三方評估（驗證），以及政府主導評估（查驗）等所帶來的商機。</p> <p>但因為目前已經不針對CMMC 1.0版發證，CMMC 2.0版正式版條文規範，將於今年3月～5月才會對外公布，按照官網說明，相關公告進度還可能稍微延後的情況下，目前市場上所有針對CMMC 2.0版的認證需求以及「產業供應鏈資安成熟度合規導入計畫」，除了第一級（初階）的自評外，其他認證準備內容，都可能會隨著CMMC 2.0正式版公告延後而有所滯後。</p> <p>因為CMMC 1.0版規定，只有美國人才能成立C3PAO做CMMC驗證，所以必須等到CMMC 2.0版正式版條文推出後，才會知道美國國防部是否同意，開放讓非美國人成立獨立評鑑機關（C3PAO），否則，臺灣想要推動CMMC，就必須參考日本或是韓國推動CMMC的經驗，從政府角度出面和美國政府談CMMC可能的合作和導入方式。</p> <p>政府在思考相關的產業發展時，並未思考如何從傳統的國防工業業者，可以做到進一步擴大：將更大規模的電機、電子製造業者，同樣納入國防產業供應鏈業者中，希望藉由推動並取得CMMC認證後，做到各自的產業升級，達到整體國防產業供應鏈產值的提升。</p> <p>甚為可惜的部分是，政府關注的焦點僅在如何成立CMMC相關的在地驗證機構，以及取得認證的相關教育訓練等小打小鬧的「商機」，未能思考如何透過協助臺灣相關的國防產業供應鏈業者，藉由推動並取得CMMC認證的機會，進一步做大整體國防產業供應鏈的產業大餅。</p> <p><span style="font-size:28px;"><strong>美國國防供應鏈業者以分包商受駭者多</strong></span></p> <p>即便美國國防部號稱是世界上最安全的單位之一，但在2018年發生美國海軍承包商遭駭客入侵，致使美國潛艦所使用的超音速反艦飛彈相關研發細節外洩；同年10月，駭客也透過入侵外包商系統，借道進入美國國防部內部網路，導致3萬名員工的資料遭到外洩。</p> <p>這些受到駭客攻擊的對象，有許多都是執行國防部專案合約的第二、三線中小型分包商，當然也有少數的第一線、大型的主要承包商遭駭；這些二、三級分包商會面對各個國家對網路安全有不同的規範，這些規模相對較小的分包商，也常常會因為不願意或無法支付高額的資安投資，而成為駭客鎖定攻擊的目標，並造成許多機敏資料外洩。</p> <p>由於國防採購的第一線承包商，主要是負責相關的武器研發、設計、開發與部署等重要機密，而承包商之下的第二、三線分包商，往往因為生產製造的不同需求，經常是分散在全球各地。</p> <p>美國國防部服務供應商CyberSheath為此，也委託美林研究機構（Merrill Research）對美國國防供應鏈業者DIB進行調查，並以此發表《國防工業基地（DIB）網路安全成熟度狀況統計報告》。</p> <p>根據這份受訪達300家業者的調查結果，多達88％的美國國防供應鏈業者（DIB）因為網路攻擊遭到損失，可將損失分成三類：62％供應商承受金錢損失，58％供應商遭到營運損失，另外有51％供應商面臨商譽損失。</p> <p>其中，若再區分第一級承包商和第二、三級分包商的損失，62％的承包商、53％的分包商都遭到金錢損失；58％的承包商和58％的分包商面臨營運損失；55％的承包商和50％的分包商的信譽受到毀損。</p> <p>整體而言，遭到網路攻擊、駭客入侵的對象以第二、三線分包商業者較多，因為缺乏完善的資安防護能力，也成為駭客攻擊主要標的。這也讓美國國防部意識到，若要確保國防機敏資料的安全性，不能只重視主要承包商的安全作為，更必須關注許多個分包商的資安作為，才能做到真正的機敏資料不外洩。</p> <p><span style="font-size:28px;"><strong>2023年3月公布CMMC 2.0正式版，2026年9月全面實施</strong></span></p> <p>國防商機龐大，但也同時面臨「價值」選擇，只有選擇美國價值的國家，才能成為美國國防產業供應鏈一員。</p> <p>為了確保國防產業技術和機敏資料安全，美國在2019年提出「網路安全成熟度模型認證」（Cybersecurity Maturity Model Certification，CMMC），這是第一個針對國防產業供應鏈業者所制定的網路安全標準，其目的是讓國防承包商和分包商符合相關的認證級別後，才能進入美國國防供應鏈並承包其業務。</p> <p>預計今年（2023年）3至5月將推出CMMC 2.0正式版；預計2026年財年（9月30日）後，CMMC成為美國國防部採購案的強制性要求，未來美國國防部第一線承包商和第二、三線分包商，都必須取得CMMC認證，並依據專業的機密性質，取得CMMC第一級至第三級不同等級的認證。</p> <p>CMMC是以國防採購合約和核心，對於相關國防採購合約驗證等級的認定，都必須由美國國防部國防採購合約管理局（DCMA）釋出；主要保護標的包括：聯邦合約資訊（FCI）和受控未分類資訊（CUI），而FCI是由政府合約提供或產生的資訊，包括為政府開發或交付產品的產品或服務的內容，屬於政府不公開的資訊，但不包含政府向公眾提供的資訊。</p> <p>至於受控未分類資訊（CUI），是指政府或承包商代表政府提供或擁有的資訊，雖然不一定需要保密，但若公開將可能帶來潛在風險的情況下，因為具有機敏性，所以有保密的需求，就需要做到限制公開或控制相關的資訊傳播。對於CUI的範圍認定，除了由國防供應鏈廠商界定自己產出資訊，其餘多由採購合約甲方（國防採購合約管理局）界定。</p> <p>在國家資訊安全防護的需求之下，根據國防聯邦採購補充條例（DFARS）針對「受控非機密資訊」（CUI）需要受到更高層級的保護，像是NIST SP 800-171就是聚焦於CUI的安全標準；若需要符合第三級驗證，還必須符合NIST SP 800-172。</p> <p>推出CMMC，是為了解決國防採購合約過程中，供應商可能面對各種資安威脅所造成的損失，並不是以資安為核心的認證機制，而是基於美國國防採購合約管理（DFARS）開始的認證機制，像是武器採購的上游是洛克希德馬丁公司，但中、下游供應鏈業者也必須同步納管，絕對不能有中、港、澳的業者參與。也就是說，臺灣國防工業甚至是電機電子製造業者，若想要成為美國國防產業供應鏈的一員，絕對不能在中國、香港和澳門設廠。</p> </div></div></div>
2023/1/16 00:00作者黃彥棻https://www.ithome.com.tw/news/155124
【2023資安趨勢2：無密碼網路身分識別】無密碼身分驗證朝向普及應用階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於密碼使用與管理衍生安全問題，改用無密碼登入的做法日益受到肯定，特別是FIDO標準推出多年後，現在有了多方面的進展，在2023年有三大焦點值得重視，分別是PassKey在全球的興起，臺灣政府與金融業對FIDO的應用正變得越來越廣泛，IoT設備身分識別FDO標準也有新進展。</p> <p><span style="font-size:28px;"><strong>FIDO標準的重大擴展促成無密碼應用普及，今年PassKey成長可期</strong></span></p> <p>這幾年來，FIDO的應用有兩次重大進展，一次是FIDO（Fast Identity Online）聯盟在2018年推出FIDO2標準，其核心的WebAuthn規格被W3C聯盟接納成為正式的Web標準，而在Web應用有統一的標準遵循之下，使得推動多年的密碼登入應用，終於有了進一步普及的可能性。當時，微軟也就已經開始宣告──密碼時代即將終結。</p> <p>另一次就是現在，目前正迎來第二次轉捩點，將解決實務上用戶體驗不佳的問題，可望促使無密碼驗證變得越來越普及。為何這麼說？讓我們來看看2022年有了那些新突破。</p> <p>首先，在2022年3月，FIDO聯盟新發布多裝置FIDO驗證（Multi-Device FIDO Credentials）白皮書，對WebAuthn標準提出突破性的修改，有大幅進化，使得無密碼大規模應用有了更多可行性。</p> <p>更關鍵的發展是，到了5月，包括蘋果、Google與微軟等重要IT廠商，都做出具體承諾，預告對於該標準的擴展，將會在未來一年陸續支援，在此同時，通行密鑰（passkey）一詞也浮現，並成為多裝置FIDO驗證的簡稱，能夠以更方便的方式，在多個設備使用FIDO網路身分識別，並在2022下半年持續成為無密碼登入的焦點。而在上述三家業者中，蘋果對於FIDO標準的支援雖然較遲，但該公司在Passkey的推動早於其他廠商。</p> <p>根據FIDO聯盟的說明，新的多裝置FIDO驗證，讓使用者登入App或網站時，可透過手機或另一裝置來當作認證器，讓用戶在他們的許多設備都能存取FIDO登入憑證，以及能夠將儲存Passkey的手機當作實體金鑰，登入鄰近裝置上的網站，不論這些裝置是使用何種瀏覽器或作業系統。</p> <p>換言之，Passkey打破了先前FIDO2 / WebAuthn使用局限，不像過去必須在每個裝置註冊一組金鑰，而且能夠提供更好的跨裝置服務支援。</p> <p>接下來，在2023年，企業網站端的支援態勢將成焦點。我們認為，隨著蘋果與Google在系統與瀏覽器端，對於Passkey的支援陸續到位，應該會有更多業者開始跟進。</p> <p>值得注意的是，大家別以為網站服務支援PassKey還需要很久時間！事實上，有些企業展現積極的態度，已做好擁抱Passkey的準備。</p> <p>根據密碼管理服務業者1Password的統計，在2022年底，支援PassKey無密碼登入的網站服務，已有資訊科技業者微軟、Nvidia、DocuSign，金融服務業者PayPal、Robinhood，電商購物平臺Best Buy、ebay，旅遊服務業者Kayak，以及身分安全供應商如Authgear、Corbado等。至於1Password本身，他們也宣布將會在2023年初提供支援。</p> <p>還有很多已經支援WebAuthn API的網站與服務，支援PassKey應該也是可以預見的趨勢，無論如何，在這些知名網站服務帶動之下，今年可望有更多業者投入支援，提供更簡便登入網站與統一的用戶體驗。</p> <p><span style="font-size:28px;"><strong>臺灣在公部門的應用正持續擴大，金融FIDO正要起步</strong></span></p> <p>另一方面，FIDO標準之前已經受到多國政府看重，除了早期的英國、美國，還有澳洲、加拿大、捷克、法國、香港、馬來西亞、挪威、韓國、瑞典、泰國，臺灣也是積極推動的國家，因為早在2020年，內政部資訊中心就已打造出TW FidO臺灣行動身分識別。</p> <p>而且，「FIDO台灣分會」也在2021年5月成立，進一步促進了國內的FIDO推動。接著，到了2022年5月，政府推動自然人憑證行動化，結合上述TW FidO，因此，內政部將原有的「Taiwan FidO臺灣行動身分識別」App，更名、升級為「行動自然人憑證」App。</p> <p>從這樣的發展態勢來看，原本是讓便民服務與公務系統，用於FIDO身分識別技術登入，如今也整合自然人憑證的簽章功能，而能運用在公文簽核；以系統支援數量而言，2022新推的行動自然人憑證，目前有83個機關、127個系統支援，而發展長達18年的自然人憑證，已有700個系統支援。</p> <p>換言之，隨著政府系統擴大支援行動自然人憑證，這也讓原先的TW FidO應用可以更廣泛。事實上，內政部已經有所計畫，預計2023年底後，支援行動自然人憑證的系統會擴大至400個，還不僅是如此，甚至內政部也要開放政府以外的產業使用，包括金融、電信業。</p> <p>在民間業者方面，先前臺灣已有金融業者積極導入FIDO，像是中國信託、國泰銀行等，腳步相當快。</p> <p>而為了促進國內數位金融服務發展，2021年金管會開始推動身分識別標準化機制（簡稱金融FIDO），隨著後續決定採用晶片金融卡，作為消費者開通金融FIDO的憑藉，到了2022年底終於有了成果。</p> <p>簡單而言，這項應用的最大特色，除了提供基於FIDO標準的安全性，更重要是讓跨機構身分認證得以實現，同時也免除金融客戶在不同金融機構要重複身分驗證作業的現況。</p> <p>在2022年10月底，已有金融業者率先公布相關消息，例如，台新銀行首先宣布成為「ATM設備代理行」角色，提供金融FIDO ATM註冊服務。關於這項服務，台新銀行表示，目前上線時程未定，將配合主管機關及財金公司的規畫。</p> <p>不過，他們也簡述了金融FIDO的註冊流程，民眾可持晶片金融卡至台新ATM，輸入密碼進行身分驗證，之後進行相關操作，進而列印出金融FIDO註冊驗證用的QRCode小單子。</p> <p>之後只要在QR Code有效期限72小時內，在支援金融FIDO的金融機構App上，即可藉由掃描上述QRcode，後續App將引導民眾使用生物特徵的方式註冊金融FIDO。</p> <p>同時，還有合作金庫也在臺北金融科技展展示合庫「金融FIDO」服務的應用，及整合中國信託ATM「設備代理行」的消息。</p> <p>儘管距離正式上線還要一段時間，但在2021年5月底，即有121家金融機構共組金融行動身分識別聯盟，因此可預期的是，在多元身分認證方式的推動之下，在2023年會有更多金融機構App與服務項目能支援應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E9%87%91%E8%9E%8DFIDO%20ATM%E8%A8%BB%E5%86%8A%EF%BC%BF%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8F%B0%E6%96%B0%E9%8A%80%E8%A1%8C-600.jpg" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>金融FIDO應用將於2023年實現<br /> 國內推動已久的金融FIDO，在2022年底開始有了進展，台新銀行首先宣布將提供金融FIDO ATM註冊服務，雖然目前服務還未上線，但未來將讓民眾可至台新ATM，以晶片金融卡作為開通金融FIDO的憑藉，並列印出金融FIDO註冊認證用的QRcode。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／台新銀行）</span></span></p> <p><span style="font-size:28px;"><strong>FIDO下一步的應用焦點：IoT裝置也要安全連入雲端或平臺</strong></span></p> <p>另一關鍵趨勢在於，FIDO標準近年仍持續擴展，特別是IoT領域的應用，在2021年，名為FIDO Device Onboard（FDO）的標準規範發布，當中定義簡易與安全的身分識別，讓IoT裝置在連至雲端或企業內部網路的後端管理平臺，都能以此協定驗證裝置身分。在2022年4月，FDO標準已發布1.1版。</p> <p>雖然，相較於2014年就推出的FIDO標準，FDO標準顯然才剛剛起步，但這方面也已經取得很好的進展。例如，2022年4月紅帽釋出Fedora Linux 37時，強調支援FDO是一大特色，5月又宣布RHEL 8.6與9.0版將支援FDO標準。</p> <p>在2022年11月底，FIDO聯盟在年度舉辦的Authenticate Virtual Summit大會，這次也完全專注於保障物聯網安全的議題，就是希望讓更多產業關注物聯網設備認證的強化。</p> <p>不僅如此，美國國家標準暨技術研究院（NIST）2022年12月5日，也才剛剛發布一份SP 1800-36草案文件，是關於IoT網路層接入與生命週期管理，當中也涵蓋對於IoT裝置連入與驗證的面向。</p> <p>綜觀上述所有無密碼方面的推動，這也意味著2023年將有更多企業投入或採用，相對來說，民眾也能看到更多無密碼登入的應用。</p> </div></div></div>
2023/1/16 00:00作者羅正漢https://www.ithome.com.tw/news/155130
【2023資安趨勢5：CISO】有獲利的公司，年底前都要設立資安長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對2023年，資安長（CISO）需要關注的趨勢有哪些呢？我們可以從法規遵循、管理業務，以及技術等三個層次來看，以法遵的要求而言，依照金管會的規定，只要是公司有獲利，在2023年底前，都必須依法設立資安長，以及設置至少一名資安專責人員。</p> <p><span style="font-size:28px;"><strong>只要公司有賺錢，都要設立資安長和資安專責人員</strong></span></p> <p>在2021年底，金管會在公告修正「公開發行公司建立內部控制制度處理準則」（簡稱處理準則）時，將臺灣近千家上市公司和近八百家上櫃公司，區分成三個等級，其中，符合第一級規定的企業有113家，包括：資本額100億元以上；前一年底屬於臺灣50指數成分公司；藉由電子方式媒介商品所有權移轉或提供服務（如電子銷售平臺、人力銀行等）收入占最近年度營業收入達80％以上，或占最近二年度營業收入達50％以上者。符合上述三項規定的公司都是臺灣最賺錢的企業，依據法令要求，應該都已經在2022年底前，設立資安長和成立至少兩名資安專責人員的資安專責單位。</p> <p>至於其餘1千6百多家的上市櫃公司，除去第一級113家上市櫃公司，只要最近三年度的稅前純益沒有連續虧損，且最近年度財務報告每股淨值未低於面額者，都是符合第二級規定的公司，都必須在今年（2023年）底前，依法設立資安長和至少一名資安專責人員；若是最近三年稅前純益有連續虧損、或近年每股淨值低於面額的第三級公司，金管會則是鼓勵企業設置至少一名資安專責人員。</p> <p>從處理準則的規定來看，只要公司還有獲利、還有賺錢的能力，這上千家公司都必須在2023年底前，依法設立資安長，以及至少一名資安專責人員；但如果是營運虧損的公司，金管會則是採取鼓勵措施，希望公司至少能夠設立一名資安專責人員。</p> <p><span style="font-size:28px;"><strong>資安事件造成上市櫃公司重大損失者，依法要發布重訊</strong></span></p> <p>主管機關要求公司設立資安長，主要是因為資安事件已經和公司營運脫離不了關係，這也可以從證交所於2021年4月27日修訂「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」來看。</p> <p>在該法第4條上市公司重大訊息中，原本第26項只規定：發生災難、集體抗議、罷工、環境污染或其他重大情事，都必須發布重大訊息。以往證交所雖然將資安事件歸類為其他重大情事，但往往因定義不明確，反而容易讓企業鑽漏洞，不論資安事件嚴重與否，都被認為屬於企業的機密而不願公開揭露。但是，藉由修訂第4條第26項後，不僅將資通安全事件明訂在法條中，而且該修法效力則是公布後即刻生效。</p> <p>自此之後，上市櫃公司一旦發生資安事件，符合「造成公司損害或重大影響者；經有關機關命令停工、停業、歇業、廢止或撤銷污染相關許可證者；單一事件罰緩金額累計達新臺幣壹百萬元以上者」都必須發布重大訊息。</p> <p>只不過，2021年修法後，根據安碁資訊統計，2021年因為發生資安事件而發布重訊的企業有14家，而2022年則有8家。因資安事件而發布重大訊息的企業看似減少，但這並不意味資安事件變少，往往是許多企業對於「造成公司損害或重大影響者」的定義各有不同所造成的現象，例如，駭客如果對企業官網發動DDoS攻擊，這種DDoS攻擊是否會對公司造成損害或重大影響，往往會因為這家受駭企業的產業形式不同，對於損害範圍而有不同定義，像是對電商官網發動DDoS攻擊造成的損失，一定會比攻擊只是呈現資訊的公司官網損失大，但能否就能肯定，DDoS攻擊對公司官網不會帶來營運衝擊呢？這中間的分寸拿捏，往往就是企業是否願意發布重訊的關鍵。</p> <p>所以，2023年上市櫃公司如果因為發生資安事件必須要發布重大訊息時，如何評估該起資安事件對企業造成的影響程度有多深，範圍有多大，這是多數企業的資安長，必須做到心中有底的法遵要求。</p> <p><span style="font-size:28px;"><strong>資安長要懂得和業務連結，要讓公司活下去</strong></span></p> <p>身為鴻海研究院執行長，同時也是鴻海公司資安長李維斌表示，2023年對資安長最重要的事情就是「活下去」，因為國際情勢複雜、地緣政治因素，加上各種通貨膨脹等經濟議題，都是企業在2023年公司獲利必須面臨的重大挑戰。</p> <p>一旦發生重大資安事件，就會對公司營運帶來損失，但資安長如果不懂公司的業務，就無法判斷資安事件對公司營運影響的範圍有多大。所以，李維斌口中的「讓公司活下去」，其實背後所隱含的意義就是：公司的資安長，對於公司業務也必須有掌握的深度和力度。</p> <p>安永風險顧問公司總經理萬幼筠，更以簡單一句話概括資安長在企業內部應扮演的角色，「資安長要做的事情就是企業經營。」所以，除了符合法遵要求，作為稱職的資安長，必須能夠定義資安角色與職掌功能，也要了解企業面臨的風險並連結績效指標，最後更要知道如何配合業務發展策略，投入相對應的資源。</p> <p>也就是說，身為企業高階主管的資安長，已經不能和以往定義的資安部門主管一樣，只偏重資安技術和縱深防護而已，因此，當資安長是由公司更高階的主管擔任時，思考的角度也從傳統的技術思維，必須進一步轉變成公司營運的思維才行。</p> <p>萬幼筠也提醒，供應鏈安全應該是融合在所有資通訊產品中，尤其近期歐盟通過許多法規，臺灣有許多全球重要的代工大廠，除了品牌客戶對代工廠的各種資安要求外，各國對資通安全產品法規的要求，也應該成為供應鏈安全的內容之一。</p> <p>例如，德國在2017年針對電動車和自駕車等供應商，通過汽車安全訊息評估交換平臺TISAX的規定，未來要進軍歐盟汽車供應鏈的製造商，都必須符合TISAX規定，如果相關汽車供應鏈業者的資安長，能更早掌握相關規定，就可以有餘裕促使公司合規、提供公司的競爭力，進而提高公司的營收。</p> <p><span style="font-size:28px;"><strong>掌握資安技術和韌性，讓公司活得好也活得久</strong></span></p> <p>資安長不只要懂得讓公司活下去，也要懂得讓公司活得好，也活得久。第一金控資安長劉培文便坦言，疫後企業對數位變革及韌性的需求更加強勁，各項數位資訊技術，例如API、容器化、雲端、DevSecOps、SDN等，都必須要在第一天，也就是所有產品開發、服務提供和業務發展的一剛開始，就必須納入資安與韌性的設計，以往「先求有再求好」想法已經不符合時代的脈動需求，</p> <p>另外，劉培文提醒，資安防護及作業本身也需要做到數位轉型與作業流程精進，他也說，以目前金管會及證交所制定對金融機構及上市櫃公司的各種資安管控要求後，未來要找到符合資格的資安專才，將會越來越困難。</p> <p><a href="https://www.ithome.com.tw/news/154907" target="_blank">金管會在2022年12月公布了「金融資安行動方案2.0版」</a>，其中提到的重點包括：數位身分驗證等級國際標準（可參考ISO 29115）架構、零信任網路部署以及MITRE Engage等新的概念與技術，金融業則要提前佈局準備；另外供應鏈的安全也是未來需要注意的。</p> <p>由於金融業是臺灣高度監管的產業，有許多的資安政策規範，都是金融業先行後，再廣泛適用於其他產業，因此，「金融資安行動方案2.0版」中所揭露的技術重點，也可以作為其他產業資安長的參考。</p> <p>萬幼筠表示，資安長掌握技術並做到公司有韌性、營運不中斷外，也要擺脫以往資安長只做稽核檢視的舊觀念。他進一步指出，現代的資安長要打造一個立體呈現網路安全的資安建築藍圖，不僅要納入公司合作的上中下游廠商，也必須搭配公司組織架構、管理制度和相關技術才夠完整。</p> </div></div></div>
2023/1/16 00:00作者黃彥棻https://www.ithome.com.tw/news/155142
2023資安大趨勢
<div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>COVID-19與烏克蘭戰爭徹底改變網路安全地景，再加上臺灣面臨中國軍事威脅，今年該如何做好資安？首先是持續推動零信任與身分安全，以及無密碼驗證；關於防護體系建構，資安長與公部門政策均是關鍵；因應數位轉型腳步加快，軟體供應鏈防護與網路安全成熟度模型認證也成IT產業發展重點。</p> </div></div></div>
2023/1/16 00:00未署名https://www.ithome.com.tw/article/155143
GovTech月報第14期：加拿大啟動國家量子戰略，將以3.6億元推動相關研究、人才、商業化發展；美國成立太空局，積極…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(2022年1207~2023年0113)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">英國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">寬頻網路</span></font> </strong></p> <p><font color="#000000" face="Arial"><span style="font-size: 22px; white-space: pre-wrap;"><b>加拿大啟動國家量子戰略，將以3.6億美元培養量子研究及人才</b></span></font></p> <p>看好量子運算未來帶動新藥研究、氣候、能源等領域的發展，加拿大政府近期發表國家級量子戰略，將以3.6億美元，投入加拿大的量子技術、商業化公司及人才。這項戰略涵蓋三方面，量子運算硬體及軟體技術、量子通訊、感測器。其中量子運算硬體及軟體方面，目的在使加拿大成為硬體及軟體相關技術的領先國家；量子通訊則要發展加拿大自己的國家安全量子通訊網路及後量子密碼學技術；感測器方面，推動加拿大開發及儘早採用量子感測技術。</p> <p>3.6億美元中，約1.41億美元用於基礎科學研究及應用，以實現新的解決方案及創新，4,500萬美元用於培育本地人才及吸引國外的專業人才，約1.69億美元投入商業化發展，促成相關研究走向商業化發展。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">低軌衛星</span></font> </strong></p> <p><span style="font-size:22px;"><strong>低軌衛星通訊服務夯，美國FCC成立太空局</strong></span></p> <p>隨著低軌衛星快速發展，各國開始重視太空通訊產業發展，美國FCC委員會決定，將成立太空局管理相關業務，從原本的國際局切分出太空局、太空事務辦公室。</p> <p>FCC表示，因應衛星通訊產業勃蓬發展，例如SpaceX、Amazon及OneWeb等業者申請執照，超出FCC原有的管理框架，因應審查程序需要，FCC擴大原有的衛星部門，並推動新的頻譜政策，加速衛星服務的經營。成立太空局可因應資源及作業需要，同時協同各部門的合作。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">彰化縣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位餐券</span></font> </strong></p> <p><span style="font-size:22px;"><strong>彰化縣政府與電子支付業者聯手針對弱勢學生推數位餐券</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11_20230111113025807_tmp.jpg" style="width: 600px; height: 400px;" /></p> <p>為照顧低收入戶、中低收入戶、家庭變故、導師家訪認定等經濟上弱勢的學生，彰化縣政府與一卡通合作推出數位化的幸福餐券，將過去提供紙本餐券兌換餐點，改為數位化的餐券，與彰化縣發行的一卡通數位學生證內，讓學生持數位學生證至統一超商、全家、萊爾富、OK，以及台灣楓康超市領取餐點。</p> <p>過去，使用紙本餐券，需要列印發行、紙本餐券保存不易、兌換餐點數量人工統計等問題，彰化縣政府與一卡通合作推出數位化餐券，將餐券整合至數位學生證，即不需額外的卡片，而透過後檯設定，能夠隨時因應學生的領餐需求，在商店端設定可兌換的商品品項、每天領餐餐數資訊，追蹤管理領餐情形。</p> <p>彰化縣政府指出，數位化餐券除了提高兌換餐點的便利性，節省紙本及印製費用，減少學校核發流程及人力，也能簡化合作商店端紙本憑單整理、核銷請款程序及時間，縣府通過數據分析，也能掌握學生換餐情形、時間等等，作為縣府政策參考的依據。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物流</span></font> </strong></p> <p><span style="font-size:22px;"><strong>中華郵政與民間業者聯手，在桃園復興區測試無人機投遞郵務</strong></span></p> <p>臺灣經常因為颱風、地震等天災，導致道路或橋梁中斷，影響正常郵務運送，交通部近期舉辦國內無人機應用成果展示，其中一項為民航局與中華郵政合作，在道路、橋梁中斷的假設之下，利用無人機維持郵務運送，以桃園復興區為驗證場域，吸引21家業者參與驗證，最後4家業者完成驗證。</p> <p>這項驗證以桃園復興郵局（介壽國中舊址）到華陵里（達觀山風景區停車場）作為驗證場域，來回飛行距離約44公里，飛行時間約60分鐘，共有4家無人機業者完成驗證，包括田屋科技、經緯航太、泰世科技、樂飛。</p> <p>國內陸續測試無人機在物流的應用，其中在郵務方面，在政府支持下，期望透過無人機，降低在偏鄉山區的郵務投遞成本。中華郵政先前也在新竹尖石鄉測試無人機物流投遞，在超過25公里的山區固定路線，利用無人機，為偏鄉山區投遞郵件、口罩、快篩試劑。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">印度</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">臉部辨識</span></font> </strong></p> <p><span style="font-size: 22px;"><b>南韓首爾試辦自駕巴士上路，開放民眾免費試乘</b></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/free-bus.jpg" style="width: 750px; height: 491px;" /></p> <p>南韓首爾市政府近期與業者合作試辦的自駕巴士上路，在首爾市清溪川地區，開放民眾免費試乘自駕巴士，目前已有3輛自駕巴士上路，行駛在3.4公里的距離，並接受民眾以手機App免費乘坐巴士。</p> <p>這些自駕巴士採用鏡頭與雷射感測，和傳統的巴士外觀不同，自駕巴士採圓潤的外觀設計，儘管標榜自動駕駛，但考慮到在市區行駛途中可能的突發狀況，每輛自駕巴士都有隨車的人類安全駕駛陪同。</p> <p>自駕巴士也採用大面積的觀景窗設計，方便乘客在行駛途中瀏覽清溪川的景色，3輛自駕巴士將20分鐘的間隔在兩個巴士站行駛。首爾市政府期望透過這項試辦推廣自動駕駛的公共運輸服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">物聯網</span></font> </strong></p> <p><span style="font-size:22px;"><strong>高雄市利用IoT打造水利監測平臺，監測水情降低淹水風險</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/202212290.jpg" style="width: 600px; height: 450px;" /></p> <p>因氣候變遷導致極端氣候，短時間內強降雨容易造成淹水災情，高雄市為降低水患，市府水利局在去年推動一項水利監測計畫，在愛河支線寶珠溝排水，建置高密度的感測元件，涵蓋雨水下水道、區域排水系統、路面等，結合感測資料及氣象資料，利用監測平台蒐集的大數據資料，結合淹水模式分析，作為市府防汛決策參考，以降低淹水風險，提升對災害的應變能力。</p> <p>水利監測計畫在雨水下水道、區域排水系統、路面建置的感測器，均透過NB-IoT回傳感測數據，在道路方面，也利用路口監視器，透過4G傳輸影像，利用影像辨識判別道路淹水情形，統一送至智慧防汛密網監測平臺，從數據蒐集、大數據分析、淹水原因判斷到發布警戒。</p> <p>目前高雄市政府投入9千萬元經費，布建更多雨水下水道的感測器，提高對雨水下水道的監測密度，以將更多的下水道水位數據匯整至監測平臺。</p> <p> </p> <p>圖片來源／彰化縣政府、高雄市政府、首爾市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.美國防部與AWS、微軟、甲骨文等雲端業者合作，以雲端強化韌性、資源共用</strong></p> <p><strong>2.伊朗用臉部辨識，偵測女性是否違反伊斯蘭服裝規定</strong></p> <p>資料來源：iThome整理，2022年12月</p> </div></div></div>
2023/1/15 14:53作者蘇文彬https://www.ithome.com.tw/news/155147
Cloudflare與微軟合作擴大零信任整合，提升應用程式身分驗證自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/expanding-our-collaboration-with-microsoft-proactive-and-automated-zero-trust-security/">Cloudflare與微軟擴展合作夥伴關係，提高零信任解決方案的可用性</a>，藉由進一步整合Azure AD和Cloudflare Zero Trust，提供4項新功能藉此提高零信任功能的自動化程度。Cloudflare與微軟在零信任上的合作，使得共同用戶可以在不影響效能的情況下，在混合工作環境獲得無縫應用程式存取體驗。</p> <p>新的整合功能包括支援對每個應用程式的條件性存取，Azure AD用戶現在可以在Cloudflare Zero Trust中使用現有的條件存取政策。Azure AD讓用戶能夠使用Conditional Access，對應用程式和用戶實行政策，控制應用程式的存取，Cloudflare Access現在支援針對每個應用程式的Azure AD條件存取政策，使安全團隊在Azure AD中定義的安全條件，也能在Cloudflare Access中執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2(50).png" style="width: 580px;" /></p> <p>另外，共同用戶現在可以啟用跨網域身分管理系統（SCIM）用戶和群組配置功能，在Cloudflare Zero Trust開始可以自動同步Azure AD群組，管理員在Azure AD對政策群組的任何變更，都會立刻在Cloudflare Access可用，當用戶在Azure AD遭取消配置時，Cloudflare Access和Gateway上的存取權限都會即時被撤銷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3(47).png" style="width: 580px;" /></p> <p>第3項整合功能則可讓Cloudflare迅速隔離高風險使用者，藉由整合Azure AD群組和Cloudflare瀏覽器隔離功能，當終端使用者在Azure AD上被歸類為高風險時，Cloudflare便會利用此訊號，自動隔離這些使用者的流量，因此高風險使用者便會以更為安全且隔離的瀏覽器存取資源。只要用戶從高風險被轉移到低風險，就不再受到適用高風險用戶的隔離政策約束。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/4(34).png" style="width: 580px;" /></p> <p>第4項零信任整合則是針對政府雲端用戶，能夠運用Azure AD集中式身分和存取管理，在Cloudflare實現更好的安全性。用戶經Azure AD身分驗證後，就能夠連接到Cloudflare全球網路來獲得額外的安全保護，流量將不會經過網際網路。</p> <p>之前Cloudflare與微軟的零信任合作，已經解決了兩個重要問題，分別是對本地端舊應用程式的存取，使得企業能夠使用SSO身分驗證，集中管理對本地應用程式的存取，另一個問題則是針對在Azure上運作的應用程式，用戶可以藉由Azure AD與Cloudflare Zero Trust整合，使用Azure AD憑證進行身分驗證，並利用Cloudflare應用程式連接器，存取在Azure上運作的應用程式。而現在雙方進一步整合零信任解決方案，更加提升身分驗證的方便性。</p> </div></div></div>
2023/1/13 23:17作者李建興https://www.ithome.com.tw/news/155155