iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 8篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

BSI：強化組織韌性的兩大關鍵，打造數位信任以及永續的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安邊界持續改變，所有的組織都必須轉型成為一個具備「韌性」的組織，</p> <p>在經歷疫情的衝擊，BSI東北亞區總經理蒲樹盛指出，2021年的詐騙簡訊超過56億筆，平均每個人三天之內就會接到兩通簡訊；而2022年則發現，全國詐騙案件數量大幅攀升，若以排名前三名的全國詐騙案件來看，排名前三名的詐騙分別是假網拍詐5,626件，投資詐騙4,891件，以及各類解除分期詐騙的ATM與網銀騙匯4,281件，最特別的是投資詐騙，造成全臺民眾財損高達20億6,484萬元，財損金額更是歷史新高。</p> <p>詐騙橫行也意味著「信任」成為稀有財，蒲樹盛表示，數位信任是臺灣社會面對的最大挑戰，而數位信任若能結合ESG，就可以打造組織的韌性，「這不只是企業轉型面臨的壓力，也可以是巨大的商機。」他說。</p> <h2><strong>打造具備數位信任的環境</strong></h2> <p>若以世界經濟論壇（WEF）總結的全球風險報告來看，未來最可能發生的風險除了極端天氣、氣候行動失敗、人為導致的環境破壞、生物多樣性消失外，還包括數位力量集中、數位不平等、網路安全失效以及科技治理失敗；未來影響最大的風險則包括：傳染病位居首位、氣候行動失敗、其他環境風險、大規模殺傷性武器、生計危機、債務危機以及IT基礎架構崩潰。</p> <p>蒲樹盛認為，不管是DDoS（分散式阻斷式攻擊）或是APT攻擊等網路威脅，最終都會牽涉到IT基礎架構的穩定性，倘若面臨關鍵基礎設施服務中斷的風險，甚至可能是戰爭爆發的緣起，例如俄羅斯在冬天入侵烏克蘭的天然氣系統。這時候，大者恆大的數位強權往往具備相對的優勢。</p> <p>政府為了提高組織的韌性，也著手形塑臺灣企業環境的數位信任，蒲樹盛援引金管會推動的《金融資安行動方案》為例，其中包含四大工作項目以及十三個工作小項目，顯見政府已經積極藉由推動產業資安，進一步達到形塑企業的數位信任。</p> <p>首先，在完備資安制度的項目上，最重要的措施包括：形塑金融機構重視資安的組織文化；完備資安規範；強化資安監理職能；以及加强金融資安檢查。蒲樹盛認為，這可以參考ISO 27001等相關的國際標準，作為產業推動資安以及打造數位信任的基礎。</p> <p>其次，深化資安治理的工作項目上，主要是希望做到加强資安管理、強化資安監控，以及加强資安人才培育，這是提升企業領導力；第三，在精實資安韌性的工作項目上，做重要的是要增進營運持續管理量能、加强資安攻防演練、建構資料保全避風港，主要是可以參考美國安全港協議，並做到3份備份、存放在2種不同儲存媒體，至少1個存放在異地，才可以達到零失誤的備份原則。蒲樹盛說，這最主要的參考標準就是營運持訓管理的ISO 22301，這也是美國911事件後，許多企業參考的自願性規範。</p> <p>最後，就是希望可以發揮資安聯防F-ISAC的優勢，不僅做到資安情資分享與合作，也可以建立金融資安事件應變體系，以及建立金融資安事件監控體，他認為，這是整各產業和企業的團隊合作（Team work）成果。</p> <p>蒲樹盛笑說，許多企業都會導入ISO 27001資安認證，甚至可以說，臺灣有許多企業的資安作為就是以ISO 27001為核心，這樣的制度廣度夠，但深度不夠，加上各行業的屬性與強度不一樣，透過所展開的十個面向就是一個兼具廣度和深度的資安生態系，其中也包含各種不同可供參考的國際認證，可以大範圍的滿足各個產業的資安需求。</p> <p>例如，治理、風險與法遵（Governance、Risk and Compliance）就可以參考ISO 27003、27004、27005、27014、27016以及ISO 31000；在網路安全與資訊安全（Cybersecurity and Information security）面向，也可以參考ISO 27003、27032、27103以及BS 31111等標準。</p> <p>其他可以構成資安生態圈的八個面向，也包括：資料保護（Data Protection）、第三方風險管理（Third Party Risk Management）、雲端（Cloud）、網路安全（Network Security）、應用程式安全（Application Security）、弱點管理（Vulnerability Management）、事件管理（Incident Management）和營運持續（Business Continuity），也同樣有相關的國際標準可以參考。</p> <h2><strong>達成淨零碳排目標，打造永續的環境</strong></h2> <p>除了數位信任外，現在隨著氣候變遷以及各種新興的法遵與規範，都要求企業必須在2030年做到淨零排碳的目標，就是希望讓地球環境可以永續發展。</p> <p>蒲樹盛表示，臺灣在永續發展上目前較不足之處大概有四個方向，包括：人均碳排10.96公噸太高；2030年減碳目標達成率差；再生能源使用比例低；再生能源達成目標低，其中，已經有企業利用資訊系統記錄各種用電、排碳的數位化過程，都有利企業進一步掌握距離淨零排碳的目標有多遠。</p> <p>蒲樹盛表示，對所有的企業而言，都必須要有一個永續發展的藍圖，以淨零碳排以及永續發展為目標，透過PDCA的循環，持續穩定的達成永續的目標。</p> <p>而永續的驅動力分成兩方面，一方面是外部壓力，這也同時是風險和機會，另外就是來自企業內部的關鍵策略，只有企業重視永續並且作為企業的核心，企業才能真正做到以永續為目標。</p> <p>至於這個永續發展藍圖是不同功能標準的整合，外部壓力包括：社會責任投資（SRI）、全球經濟市場趨勢的轉變、無法預期的氣候變遷和疫情、來自全球及國家的法令法規要求、非政府組織（NGOs）影響力，以及聯合國永續發展的推行。蒲樹盛便說，像是聯合國17項發展目標就是希望可以達到安居樂業，其他像是2030年控制全球升溫攝氏1.5度的目標等外部壓力，都是不會變的。</p> <p>至於來自企業內部的關鍵策略，則包括：強化董事會職能、企業核心價值、達成永續願景、持續創新永續作為、提高資訊透明度、強化利害關係人溝通、接軌國際規範，以及深化永續治理文化。他指出，像是公司強化董事會職能，就會需要撰寫符合GRI準則、可以揭露組織非財務資訊方面的永續報告書。</p> <p>蒲樹盛坦言，組織韌性在未來十年、二十年如何持續？就必須做到兩件事情，一件是永續，另外一件是數位信任，兩件事情都可以顧好的話，組織就有足夠的數位韌性和未來。</p> </div></div></div>
2023/1/31 19:16作者黃彥棻https://www.ithome.com.tw/news/155316
電支跨機構共用平臺「購物」功能第二季上線，業者共享通路掃碼免換App還能共享交易資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在年前新春記者會中宣布，電子支付跨機構共用平臺的「購物」功能，將於今年第二季上線，到時候，民眾不用再切換電子支付App，用任何一家電支App，也能掃描其他電支業者的QR-Code來付款，等於讓各電支業者的特約店家全部互通，都能支援其他業者的App，經手電支業者雙方也能取得交易紀錄來擴大顧客消費大數據。</p> <p>在2021年中，新版電子支付機構管理條例上路之後，財金公司<a href="https://www.ithome.com.tw/news/146789">負責建置了一套電子支付跨機構共用平臺</a>（後簡稱電支共用平臺），來提供電支機構前端交易資訊流和後端清算的金流整合，在2021年陸續上線了跨機構轉帳、繳稅功能，也可以跨行金融帳戶資訊核驗交易等服務，今年初開始上線繳費功能，例如愛金卡公司率先在1月初開始提供超過7,600項的繳費服務，民眾也可以直接掃描帳單QR Code進行線上繳費。</p> <h3><strong><span style="color:#FF0000;">「購物」功能第二季上線</span></strong></h3> <p>不只如此，金管會在去年12月21日，核准了財金公司在電支共用平臺上經營「購物」功能，預計今年第二季就會正式上線。到時候，只要電支業者支援購物功能後，民眾用任何一家電支業者的App，到其他電支業者的特約商店，就能直接掃瞄共通QR Code來付款，不用再切換到該店家的專屬電商。<br /> 未來，民眾就可能用街口支付App到一卡通41萬個據點付款，用街口App在全聯超市繳費，或是到全家超商用全支付來付款。換句話說，凡是支援購物功能的電子支付業者，等於可以共享彼此的通路據點。</p> <p>過去，店家必須一一與不同電支業者簽約，在櫃檯擺放不同業者的QR Code，而民眾也要切換到專屬支付App才能掃碼。未來，店家只需要與一家電支業者簽約，透過電支共用平臺，可以一次與所有支援購物功能的電支業者互通。同樣道理，電支業者也不需要一一與各商店簽約，串接系統，同樣可以與其他電支平臺共享通路。目前一卡通據點約41萬個，街口支付約30萬個，全支付與全盈支付則各有10萬個據點，若這些業者都支援購物功能，就能將這些據點整合成一個超大型通路。財金公司強調，這是電子支付跨機構互通的最後一哩，也可以與既有金融幾機構跨體系整合。</p> <h3><span style="color:#FF0000;"><strong>小型電支能快速擴大通路，大型電支則取得更多顧客交易數據</strong></span></h3> <p>購物功能上路，不只提高消費者支付的便利性，對電支業者而言，也可以取得更多交易資訊。消費者用A電支App到B電支特約商店付款時，A電支和B電支都會取得這筆交易資訊來作業，等於不只是通路共享，也可以互通消費者的當次交易資訊。這大小電支業者來說，都是雙贏，小型電支業者可以藉此跨大可付款的通路店家數，而對大型電支而言，則可以取得更多支付交易資訊，來完善顧客的消費大數據。</p> <h3><strong><span style="color:#FF0000;">通路規模差異變小，會員經營差異化成新關鍵</span></strong></h3> <p>但是，電支業者共享通路之後，未來勢必更考驗，電支業者的數據分析能力和後續運用數據變現的能力，未來，通路規模和可用場域的差異越來越小，特店數不會成為吸引消費者的賣點，電支業者勢必得強化自家的精準行銷策略，祭出更多會員經營對策，這也會讓電子支付市場進入全新的競爭態勢，電支業者必須更轉為更細緻操作的差異化競爭策略。</p> <p>因為購物功能中，電支業者共享彼此的通路，不只金流還需要資訊流的整合，財金公司在共用平臺上也設計了一套對應的金流資訊流運作機制。</p> <p>例如街口用戶以街口支付App掃描一卡通特店的共通QR Code之後，街口App會先驗證這筆交易是否為本人，確認後在用戶街口電支帳戶扣款。接著，交易訊息例如金額、特店代好、交易帳號等資訊，依照格式打包送到共用平臺，通過平臺驗證QR Code的合法性和有效性後，將交易資訊拋轉給一卡通，由一卡通確認此店家為合作特店後，即時紀錄該店有一筆來自街口的付款，最後將交易結果回報到共用平臺，平臺再通知街口，由街口通知用戶付款成功。</p> <p>然後，在每日結帳時間，財金會通知各業者每日結算金額，若電支業者當日用戶付款金額大於當天的收款金額，財金就會到電支機構的清算帳戶扣款，並將款項撥給收款金額大於用戶付款金額的電支業者，完成當天的清算。</p> <p>甚至，財金公司也設計了針對大型促銷活動的系統爆量因應機制，例如雙11活動，財金公司會依照電支用戶數、特店數和交易訊息數量來預備所需的運算資源，也可由電支業者通知財金公司，提前擴充系統資訊來備戰。</p> <h3><span style="color:#FF0000;"><strong>財金公司下一步是跨境電支，讓國內電支App可以到海外消費</strong></span></h3> <p>在電支共用平臺完成購物功能之後，下一步，財金公司正在發展電支跨境業務，一方面可以讓國內記名式儲值卡，可以到國外搭乘交通工具或到特約商店消費，另一方面也要讓國外記名式儲值卡，可以到臺灣核准機構的特約商店消費。</p> <p>財金公司會扮演「境內帳務清算機構」的角色，協助電支機構與境外機構進行帳務清算、系統介接，以及資訊傳輸，財金公司曾表示，未來國內電支業者App，也能到海外消費，最大好處是免除海外交易手續費，不用像信用卡出國使用得額外付一筆跨境交易手續費。</p> <p>根據金管會統計，目前電子支付跨機構共用平臺，111年轉帳次數高達728萬筆，累計金額達到363.15億元。</p> </div></div></div>
2023/1/31 14:13作者王宏仁https://www.ithome.com.tw/news/155303
OpenAI全球招募千名約聘人員協助訓練AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創業者OpenAI在獲得微軟最新數億美金投資及合作後，在全球召募近千約聘人員，以協助AI系統的程式碼品質提升及模型訓練。</p> <p><a href="https://www.semafor.com/article/01/27/2023/openai-has-hired-an-army-of-contractors-to-make-basic-coding-obsolete" target="_blank">Semafor引述消息人士報導</a>，這家業者近6個月在拉丁美洲、東歐等地找來上千名遠端作業的約聘人員。委外員工的任務60%是為訓練AI模型的資料集，包括大量圖片、影片、錄音檔加標註，40%是程式設計師，任務是教導其產品的AI模型撰寫程式碼，或是除錯。這些約聘人員工作的產品有哪些不得而知，但至少包括將自然語言轉化成程式碼的Codex。</p> <p>OpenAI執行長Sam Altman近日說明公司已有375名正職員工，並說委外對該公司技術的打造很重要。</p> <p>報導引述一名南美的開發人員指出，他在一場5小時的面試中，被要求解決一項程式撰寫的題目，而且要以英文寫下解題的過程，如果發現一隻bug，OpenAI也要求他不只要解決bug，還要說明應如何修正。</p> <p>OpenAI的Codex被合作的GitHub用以提供Copilot，其服務正是協助開發，可為開發人員撰寫程式時提供建議。在能成為稱職的結對開發人員前，Codex需要人類將之導向正途，以免於<a href="https://www.ithome.com.tw/news/104851" target="_blank">2016年微軟的AI聊天機器人Tay</a>才上線一天，就被教成了反女性主義及納粹份子，上線一天就被拉下線。</p> <p>本月稍早<a href="https://time.com/6247678/openai-chatgpt-kenya-workers/" target="_blank">《時代雜誌》</a>報導，OpenAI以時薪2美元僱請了一間肯亞公司員工為ChatGPT的訓練資料過濾種族歧視、暴力及色情內容，目的防止ChatGPT日後會產出不安全的建議。但這些內容過於血腥、變態、殘忍，員工身心受創卻得不到適當的心理健康諮詢。</p> </div></div></div>
2023/1/31 15:02作者林妍溱https://www.ithome.com.tw/news/155308
TikTok執行長將親自至美國國會解釋隱私安全疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臉書、Google等美國各大科技公司執行長，接連到美國國會作證，現在輪到TikTok執行長周受資，在<a href="https://energycommerce.house.gov/posts/tik-tok-ceo-to-testify-at-energy-and-commerce-committee">3月23日將出席美國眾議院能源和商業委員會聽證會</a>，向眾議院議員解釋TikTok的隱私和資料安全作為。</p> <p>中國字節跳動（ByteDance）旗下知名短影音社交軟體TikTok，該軟體的資料隱私安全一直受到關注，雖然TikTok強調該公司業務由TikTok執行長周受資負責，且周受資為新加坡籍，但市場消息指出，TikTok公司實際上仍受母公司字節跳動掌控，不少國家仍擔憂TikTok受中國政府控制，會成為中共搜集和監控各國使用者的工具。在2020年的時候，印度率先封鎖TikTok。</p> <p>TikTok在全球大受歡迎，美國政府擔心民眾個資落入中國政府手中，2020年當時的<a href="https://www.ithome.com.tw/news/138651">美國國務卿Mike Pompeo，就曾表示美國政府考慮封鎖TikTok</a>，而TikTok為消除使用者隱私安全的疑慮，在2022年中旬宣布將<a href="https://www.ithome.com.tw/news/151518">美國流量存放至甲骨文雲端</a>，但美國參議院於12月時仍通過<a href="https://www.ithome.com.tw/news/154929">《No Tiktok on Government Devices Act》法案</a>，禁止在公務裝置安裝Tiktok。</p> <p>美國對於TikTok的疑慮並非空穴來風，<a href="https://www.ithome.com.tw/news/154651">美國聯邦調查局、馬里蘭州政府當時質疑Tiktok與其母公司字節跳動</a>，必須配合中國政府要求，有侵害美國民眾個資的疑慮後，<a href="https://www.ithome.com.tw/news/154879">爆出字節跳動內部員工，存取美國媒體記者個資</a>，包括IP和聯絡記錄，間接證實即便TikTok資料存放在甲骨文雲端，但是中國字節跳動員工仍能夠存取TikTok用戶資料的猜測。</p> <p>TikTok執行長周受資3月出席眾議院能源和商業委員會聽證會，將需要解決外界對該公司的諸多疑慮，委員會在其新聞稿直接提到，TikTok故意允許中共存取美國用戶資料。因此周受資除了向議員說明TikTok的消費者隱私和資料安全實踐，還有該平臺對兒童的影響，聽證會重點也會落在TikTok與中共之間的關係，同時周受資也會需要證明，他對TikTok業務具有實質影響力，才能取信於議員。</p> <p>TikTok發言人則在聲明中表示，他們很高興有機會對澄清TikTok、字節跳動的疑慮，並於眾議院能源和商業委員會對美國國安做出承諾。</p> </div></div></div>
2023/1/31 15:08作者李建興https://www.ithome.com.tw/news/155307
研究人員發現能繞過Facebook 2FA驗證的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank">研究人員發現</a>Meta雙因素驗證（2FA）平臺的漏洞，讓攻擊者關閉目標用戶的臉書或Instagram（IG）帳號已啟用的2FA，而且也無法再使用。</p> <p>這項漏洞是由研究人員Gtm Mänôz發現，位於Meta帳號管理中心（Accounts Center），後者作用在連結用戶Facebook、IG及Meta帳號，以便用於個人檔案資料同步等作業：管理中心介面中的個人資料頁下，用戶輸入以電子郵件或簡訊收到的6位數字，通過2FA驗證，就可將電子郵件信箱/電話號碼加到相連結的IG及FB帳號。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/max/720/1*xAUPLeIpfS3ogx3fZDqYNA.webp" style="width: 450px;" /></p> <p><a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Gtm Mänôz</span></span></a></p> <p>在輸入6位數字驗證碼欲進行2FA時，Meta帳號管理中心會傳送HTTP請求到Meta伺服器的端點完成驗證。基本上，研究人員先以隨機6位數字進行驗證，再利用Burp Suite等工具攔截驗證端點的請求網址（下圖），目的在試圖改造。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/max/4800/1*i_9DsahD7fMbIsH63SJaJQ.webp" style="width: 600px;" /></p> <p><a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Gtm Mänôz</span></span></a></p> <p>研究人員指出，由於Meta驗證端點沒有速限（rate-limit）防護，因此6位數字碼可以無限次修改以暴力破解。若成功完成6位數比對，電郵信箱／電話號碼就會和攻擊者IG（或臉書）帳號連結。</p> <p>一旦電話號碼完全確認與攻擊者IG或FB帳號連結，則受害者自己的IG或FB帳號2FA機制就會被關閉，或從受害者帳號刪除。如果電話號碼只確認是2FA之用（但未與受害者帳號連結），則該電話號碼也會被從其帳號刪除，2FA也會被撤銷。這麼一來，受害者就再也無法使用FB簡訊2FA，且攻擊者能繞過IG/FB的聯絡資料（電子郵件和電話號碼）驗證，不論是新的，或是已註冊過的聯絡資料（且FB也無法再增加已知的信箱）。</p> <p>研究人員去年9月14日通報Meta，Meta在10月中修補這項漏洞，他也因此獲頒2.7萬美元的抓漏獎金。</p> </div></div></div>
2023/1/31 12:56作者林妍溱https://www.ithome.com.tw/news/155299
Lexmark印表機韌體出現高風險程式碼執行漏洞，影響上百款機種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/lexmark-warns-of-rce-bug-affecting-100-printer-models-poc-released/" target="_blank">印表機業者Lexmark本周發布最新版韌體</a>，解決影響上百款機種，可能讓駭客遠端執行程式碼的高風險漏洞。</p> <p>這項編號CVE-2023-23560漏洞發生在印表機韌體的Web服務功能，屬於伺服器端請求偽造（server-side request forgery，SSRF）漏洞，成功的攻擊可能讓駭客從遠端執行任意程式碼。本項漏洞CVSS 3.1風險值高達9.0。</p> <p>針對這項漏洞的攻擊發生在印表機上，行為可能包括存取列印任務、取得印表機網路的存取憑證，再藉機攻擊同一網段的其他連網裝置。</p> <p><a href="https://publications.lexmark.com/publications/security-alerts/CVE-2023-23560.pdf" target="_blank">Lexmark也列出了受影響的機型</a>，包括：CX、XC、MX、MB、C、MS等上百款。廠商表示目前尚未發現有產品漏洞遭到濫用的情形，但是概念驗證攻擊程式碼已經有人公布於網路上。</p> <p>Lexmark已釋出相應的最新版韌體，呼籲用戶儘速安裝。無法立即更新者則可先關閉印表機（TCP port 65002）的Web Services服務，以暫時緩解攻擊風險。路徑為「設定」>「網路／連接埠」＞「TCP/IP」>「TCP/IP連接埠存取」，取消勾選TCP 65002。</p> </div></div></div>
2023/1/31 13:56作者林妍溱https://www.ithome.com.tw/news/155300
運動服飾品牌JD Sports被駭，千萬客戶個資外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.londonstockexchange.com/news-article/JD./cyber-security-incident-regarding-historic-orders/15815662" target="_blank">英國知名運動服飾品牌JD Sports近日通報資料庫系統被駭</a>，旗下眾多品牌近2年約千萬名顧客個資被竊取外流。</p> <p>根據JD Sports向倫敦證交所提交的文件，該公司被不法存取的系統內有涵括2018年11月到2020年10月線上下單的顧客資料。受到影響的集團子品牌包括JD、Size?、Millets、Blacks、Scotts及MilletSport等。</p> <p>外洩的資料包括顧客姓名、帳號地址、遞送地址、電子郵件信箱、電話、訂單編號、訂單細節、及信用卡號最後4碼。總影響人數近千萬。</p> <p>但JD Sports表示，外洩的資料種類很有限，因為該公司不儲存完整的信用卡資料，也相信駭客並未存取帳號密碼。</p> <p>JD Sports已立即採取因應行動，並偕同外部安全業者展開調查，同時也通報相關單位，包括英國資訊委員會辦公室（Information Commissioner’s Office，ICO）。</p> <p>這家業者已開始通知受影響的顧客，提醒他們小心詐騙或釣魚攻擊。JD Sports分店主要在歐洲，也有部分在美國及加拿大。</p> </div></div></div>
2023/1/31 14:13作者林妍溱https://www.ithome.com.tw/news/155302
科學家以數億氨基酸序列訓練AI模型，成功設計出全新人工溶菌酶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Profluent、Salesforce研究院和UCSF的科學家，以類似生成文字人工智慧的方法，使用模型ProGen設計百萬種蛋白質，並且<a href="https://www.nature.com/articles/s41587-022-01618-2">成功找出具有殺菌效果的蛋白質</a>。這個研究實際應用人工智慧設計蛋白質，並經測試和證明其具有特定效果，也就是説，同樣的方法將能夠被用於加速新藥製造。</p> <p>這項研究使用一個由Salesforce研究院所開發的ProGen模型，該模型能夠預測人造蛋白質的氨基酸序列。ProGen的運作方式和生成文字的人工智慧相似，研究人員將來自19,000個家族的2.8億種蛋白質的氨基酸序列輸入到模型中，並添加蛋白質特性控制標籤，經過數周的訓練，ProGen便學會生成新蛋白質的方法。</p> <p>研究人員使用5個溶菌酶家族的56,000個氨基酸序列，以及有關這些蛋白質的上下文資訊微調ProGen後，該模型迅速產生一百萬個氨基酸序列，研究人員根據與天然蛋白質序列相似程度，和潛在氨基酸語法和語義的自然程度，篩選出100個序列並在細胞中實驗進行實驗，其中有66個和蛋白、唾液裡的溶菌酶一樣，能夠殺死細菌。</p> <p>研究人員篩選這66個氨基酸序列，製作出5種活性最強的人工酶，將這些酶添加到大腸桿菌樣本中，並且和溶菌酶HEWL相比較，發現其中兩種人工酶，能夠以和HEWL相當的活性分解細菌細胞壁，而這兩個人工酶序列僅有18％的相似程度，和已知蛋白質序列的相似度各別為90％和70％。</p> <p>天然蛋白質的功能很大程度受組成影響，只要有一個突變就會使蛋白質失去作用，而在另外一輪的篩選中，研究人員找出一個只與天然蛋白質序列有31.4％相似的蛋白質，但是該蛋白質仍然具有活性。</p> <p>要產生特定功能的蛋白質，不只是需要生成對的氨基酸序列，蛋白質更需要折疊成特定的三維結構，才能具有功能性，研究人員以X光來量測蛋白質形狀，發現人造蛋白質即便在氨基序列上，與現有蛋白質差異高達30％，但仍可以呈現與天然蛋白質相符的形狀。研究人員提到，他們現在仍不清楚人工智慧究竟如何在變更氨基酸序列的同時，仍產生正確的形狀。</p> <p>這些人工智慧所生成的蛋白質要被用於藥物，還需要在實驗室中進行長時間的測試，但是研究人員提到，這種蛋白質設計方法比蛋白質設計技術定向演化（Directed Evolution）更強大，能夠加速所有用途的新蛋白質開發。</p> </div></div></div>
2023/1/31 06:24作者李建興https://www.ithome.com.tw/news/155291
思科調查顯示企業持續看重隱私安全投資，但是仍不足以消除消費者疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）發布最新<a href="https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-privacy-benchmark-study-2023.pdf?CCID=cc000160&DTID=odicdc000016&OID=rptsc030828">企業資料隱私安全調查</a>，本次調查共有全球26個國家的4,600名資安專家匿名參與，調查結果顯示，全球企業都相當重視隱私投資，且認為資料隱私已經是一個向上至董事會，下至全公司員工都要清楚的議題，而消費者對企業在人工智慧上的資料使用，傾向持不信任態度。</p> <p>即便2022年全球不景氣，但企業普遍維持或是增加對隱私安全的投資，相較於3年前的120萬美元，2022年平均花費增至270萬美元，而驅動企業投資隱私安全的動力在於獲得的回報。有70％受訪者表示，從隱私安全投資獲得顯著或非常顯著的好處，包括與客戶建立信任、減少銷售延遲，或是降低資料洩漏造成的損失，平均來說，組織獲得收益約為支出的1.8倍，94％的受訪者更表示隱私所帶來的收益超過整體成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201581%20-%20%20-%20www_cisco_com.png" style="width: 580px;" /></p> <p>隱私安全也已經成為企業重要業務，98％的受訪者都需要跟董事會報告與隱私相關的指標，有95％的受訪者認為企業中所有員工，都需要知道保護資料隱私的方法，隱私成為企業文化的一部分，94％的受訪者認為當客戶知道資料未被妥善保護，就不願意購買產品，而且有81％的受訪者認為，組織處理資料的方式，相當於該企業尊重客戶隱私的程度。臺灣企業對隱私保護法的態度相當正面，臺灣受訪者有86％認為隱私保護法具正面影響，僅有3％認為其存在負面影響。</p> <p>不過這些投資，似乎並沒有良好的反應在人工智慧的資料使用上，思科<a href="https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-consumer-privacy-survey-infographic-2022.pdf">2022消費者隱私調查</a>就顯示，受訪者對人工智慧應用的態度更為保守，有60％對當前人工智慧的商業使用存在疑慮，甚至有65％受訪者覺得組織使用人工智慧的方式，破壞他們的信任，僅有43％受訪者認為人工智慧可以改進生活，也只有54％的受訪者，願意共享匿名資料改進人工智慧產品。</p> <p>因此企業究竟該如何在人工智慧資料使用上，贏回用戶的信心，資料隱私安全調查發現企業和消費者視角存在差異，特別是將個人資料用於人工智慧和自動決策方面。企業認為要取得消費者的信任，最重要的是要遵守相關的隱私法律，第二重要的才是清楚解釋資料被使用的方式；但是消費者顯然更注重透明化，有39％消費者認為企業應該清楚公開資料的使用方式，第二注重的則是避免出售他們的資訊，第三才是企業有無遵守隱私相關法令。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201582%20-%20%20-%20www_cisco_com.png" style="width: 580px;" /></p> <p>受訪者一致認為企業在隱私方面的努力還不夠，92％受訪者同意組織都還需要做更多，以消除消費者認為自己的資料被不當使用的疑慮。消費者認為最有效的方法，是向用戶解釋人工智慧應用程式的運作方式，但是目前多數企業現行方法，是優先確保人工智慧程序中有人的參與。</p> <p>在資料保護的信心上，平均90％的受訪者認為全球供應商，有能力比本地的供應商更好地保護資料，而臺灣甚至有高達97％受訪者同意這項說法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201585%20-%20%20-%20www_cisco_com.png" style="width: 580px;" /></p> </div></div></div>
2023/1/31 05:15作者李建興https://www.ithome.com.tw/news/155289
【資安日報】2023年1月30日，研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員近日揭露名為Py#Ration的RAT木馬程式，此惡意軟體由Python打造。雖然此木馬程式針對Windows電腦而來，但研究人員指出，由於Python跨平臺的特性，只要稍加修改，駭客也能用於攻擊其他電腦。</p> <p>物聯網（IoT）裝置採用的晶片出現漏洞，也可能成為駭客鎖定的目標。有研究人員發現，自去年8月針對Realtek Jungle SDK的RCE漏洞CVE-2021-35394攻擊行動大幅增加，超過50款連網設備可能成為目標。</p> <p>繼<a href="https://www.ithome.com.tw/news/155189">今年1月駭客攻擊NortonLifeLock防毒軟體的密碼管理器元件</a>，意圖盜取使用者儲存的密碼，這類密碼管理服務遭到攻擊的現象也越來越常見。最近有駭客針對密碼管理服務Bitwarden用戶下手，濫用Google廣告來挾持帳號。其他密碼管理服務的使用者也要提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.securonix.com/blog/security-advisory-python-based-pyration-attack-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以Python打造的RAT木馬程式鎖定Windows電腦而來</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/rat"><span style="color: rgb(255, 140, 0);">#RAT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/python"><span style="color: rgb(255, 140, 0);">#Python</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/WebSocket"><span style="color:#FF8C00;">#WebSocket</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/PYRATION-1a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PYRATION-1a.png" style="width: 300px; float: right;" /></a>資安業者Securonix揭露RAT木馬程式Py#Ration，此惡意軟體以Python程式語言打造而成，最早可能在2022年8月出現，駭客透過釣魚郵件來散布該木馬程式，將其打包於受到密碼保護的ZIP壓縮檔附件，此壓縮檔內有兩個LNK捷徑檔案，駭客將其偽裝成英國駕照正反面的圖檔，一旦收信人開啟圖片，這些LNK檔案就會從C2伺服器下載BAT批次檔，接著該木馬程式再於系統暫存資料夾建立Cortana資料夾，並且假冒Windows內建的語音助理，持續於受害電腦運作。</p> <p>此木馬程式由pyinstaller與py2exe等應用程式打包成可執行檔，裡面包含了運作時需要的程式庫而導致體積相當龐大（超過32 MB），而能躲過大部分防毒軟體的偵測，惡意軟體檢測引擎VirusTotal僅有其中一款防毒引擎將其標示為有害。研究人員指出，Py#Ration採用Python內建的Socket.IO框架，並透過WebSocket與C2連線，這樣的做法可說是相當罕見。</p> <p><a href="https://unit42.paloaltonetworks.com/realtek-sdk-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Realtek的SDK重大漏洞被用於攻擊行動，D-Link、LG、Zyxel等廠牌設備恐曝險</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2021-35394"><span style="color: rgb(255, 140, 0);">#CVE-2021-35394</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iot"><span style="color: rgb(255, 140, 0);">#IoT</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Realtek"><span style="color: rgb(255, 140, 0);">#Realtek</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Realtek-F4-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Realtek-F4-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Palo Alto Networks指出，他們在2022年8月至10月，看到駭客大肆利用<a href="https://www.ithome.com.tw/news/146236">Realtek Jungle SDK的RCE漏洞CVE-2021-35394</a>（CVSS風險層級為9.8分）發動攻擊，截至12月已有1.34億攻擊行動，且近半數攻擊來自美國，根據研究人員的調查，至少有31款D-Link設備、8款LG設備、6款Zyxel設備、4款華碩設備可能遭到駭客鎖定。</p> <p>研究人員至少看到3種攻擊型態，分別是透過指令碼執行Shell命令，進而從惡意IP下載惡意軟體，以及使用注入命令的方式，將惡意酬載寫入檔案並執行，或是下達重新啟動伺服器的指令。</p> <p>駭客利用此漏洞來散布Mirai、Gafgyt、Mozi等殭屍網路病毒，但其中名為RedGoBot的DDoS殭屍網路病毒引起研究人員的注意，此殭屍網路在9月及11月發動2波攻擊，並透過HTTP、ICMP、TCP、UDP、VSE、OpenVPN等多種通訊協定，來發動DDoS攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/bitwarden-password-vaults-targeted-in-google-ads-phishing-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理服務Bitwarden用戶遭鎖定，駭客濫用Google廣告進行網釣攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Bitwarden"><span style="color: rgb(255, 140, 0);">#Bitwarden</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E5%AF%86%E7%A2%BC%E7%AE%A1%E7%90%86%E6%9C%8D%E5%8B%99"><span style="color: rgb(255, 140, 0);">#密碼管理服務</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/google-ads"><span style="color: rgb(255, 140, 0);">#Google Ads</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/bitwarden-phishing-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bitwarden-phishing-site.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer報導，數名密碼管理服務Bitwarden的用戶約於1月24日，在Google搜尋bitwarden password manager的過程中，看到疑為網釣攻擊的廣告，一旦使用者依照指示輸入相關帳密，存放於Bitwarden的帳密資料就有可能會遭到挾持。</p> <p>但這種鎖定密碼管理服務而來的攻擊行動並非只針對Bitwarden，資安研究團隊MalwareHunterTeam約於26日，發現針對1Password用戶而來的惡意廣告。</p> <p><a href="https://www.goto.com/blog/our-response-to-a-recent-security-incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理解決方案業者LastPass母公司公布調查結果，證實旗下多個解決方案的用戶資料遭竊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/lastpass"><span style="color: rgb(255, 140, 0);">#LastPass</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E5%AF%86%E7%A2%BC%E7%AE%A1%E7%90%86%E6%9C%8D%E5%8B%99"><span style="color: rgb(255, 140, 0);">#密碼管理服務</span></a> <a href="https://www.ithome.com.tw/tags/%E4%BE%9B%E6%87%89%E9%8F%88%E6%94%BB%E6%93%8A"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>2022年11月<a href="https://www.ithome.com.tw/news/154862">密碼管理解決方案業者LastPass傳出資安事故</a>，母公司GoTo亦證實此事，並指出<a href="https://www.ithome.com.tw/news/152730">攻擊者於8月竊走了用戶的密碼庫</a>，在11月二度發動攻擊，現在公布了最新的調查結果。</p> <p>GoTo表示，IT管理工具LogMeIn Central、遠端存取和管理軟體LogMeIn Pro、線上會議工具join.me、網路虛擬化和VPN服務Hamachi，以及遠端存取軟體RemotelyAnywhere等產品的用戶，都有可能受到本次事故的影響──駭客從上述服務採用的第三方雲端服務，竊得加密的備份資料，其中包含加密備份過程中所使用的金鑰，因此，這些服務的用戶資料就有可能遭到攻擊者存取。此外，Rescue與GoToMyPC產品線少部分用戶的多因素驗證（MFA）組態受到影響，但加密資料庫並未外洩。</p> <p><a href="https://www.mandiant.com/resources/blog/chinese-actors-exploit-fortios-flaw"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用Fortinet於12月修補的SSL VPN漏洞部署後門程式</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/cve-2022-42475"><span style="color: rgb(255, 140, 0);">#CVE-2022-42475</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/fortinet"><span style="color: rgb(255, 140, 0);">#Fortinet</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ssl-vpn"><span style="color: rgb(255, 140, 0);">#SSL VPN</span></a></strong></p> <p>Fortinet於<a href="https://www.ithome.com.tw/news/154694">去年12月修補SSL VPN重大漏洞CVE-2022-42475</a>，並<a href="https://www.ithome.com.tw/news/155174">在1月中旬指出有人將其用於攻擊政府單位</a>，現在有資安業者也公布相關的漏洞攻擊行動細節。資安業者Mandiant指出，中國駭客疑似自2022年10月開始利用該漏洞發動攻擊，然後在目標系統上部署後門程式Boldmove。</p> <p>此後門程式為C語言打造而成，並具備Windows與Linux版本，後者的主要功能為收集FortiGate防火牆的系統資訊與特定檔案；但針對Windows版本的後門程式，駭客打造的動機，以及入侵受害電腦的管道為何？研究人員表示仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/155265"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩遊戲英雄聯盟開發商證實資料外洩，遊戲原始碼遭竊</span></strong></a><strong style="font-size: 16px;"><span style="color:#FF8C00;"> </span><a href="https://www.ithome.com.tw/tags/%E9%9B%BB%E7%8E%A9%E7%94%A2%E6%A5%AD"><span style="color:#FF8C00;">#電玩產業</span></a><span style="color:#FF8C00;"> </span><a href="https://www.ithome.com.tw/tags/%E5%8E%9F%E5%A7%8B%E7%A2%BC%E5%A4%96%E6%B4%A9"><span style="color:#FF8C00;">#原始碼外洩</span></a> <span style="color:#FF8C00;"> </span><a href="https://www.ithome.com.tw/tags/Riot"><span style="color:#FF8C00;">#Riot Games</span></a></strong></p> <p>1月23日，電玩遊戲開發商Riot Games表示開發環境遭到入侵，隔日指出旗下的兩款遊戲英雄聯盟（League of Legends，LOL）、聯盟戰棋（Teamfight Tactics），以及防作弊系統的原始碼遭竊。駭客向該公司勒索千萬美元，並要脅若不支付贖金將公開相關原始碼。</p> <p>科技新聞網站Motherboard取得攻擊者寄給Riot Games的勒索信，駭客聲稱手上的資料一旦公開，將對該公司推出的英雄聯盟、特戰英豪（Valorant），以及反作弊系統Packman的運作帶來衝擊，並要求Riot Games在12小時內回應。</p> <p>對此，該公司強調不會支付贖金，並強調用戶的資料不受影響。根據遊戲新聞網站NME的報導，駭客開始兜售手上的原始碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統漏洞可被串連，取得root權限遠端執行任意程式碼</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/vmware"><span style="color: rgb(255, 140, 0);">#VMware</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RCE"><span style="color: rgb(255, 140, 0);">#RCE</span></a></strong></p> <p>VMware於1月24日修補事件記錄分析系統VMware Aria Operations for Logs（原名vRealize Log Insight）的4個漏洞CVE-2022-31706、CVE-2022-31704、CVE-2022-31710、CVE-2022-31711，其中有2個是重大風險等級的漏洞，攻擊者可在未經身分驗證的情況下遠端執行任意程式碼，現在有研究人員找到能串連漏洞的攻擊手法。</p> <p>資安業者Horizon3.ai於26日指出，他們製作了漏洞利用工具，能將前述的其中3個漏洞予以串連，進而成功以root的權限遠端執行任意程式碼，呼籲IT人員應儘速套用修補程式，研究人員隔日公布漏洞細節及入侵指標（IOC），並指出該漏洞極為容易利用，雖然這類系統大多不會曝露在網際網路上，但有可能成為駭客入侵受害組織網路後的攻擊目標。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lexmark-warns-of-rce-bug-affecting-100-printer-models-poc-released/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Lexmark揭露伺服器端請求偽造漏洞，波及逾百種型號的印表機</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2023-23560"><span style="color: rgb(255, 140, 0);">#CVE-2023-23560</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Lexmark"><span style="color: rgb(255, 140, 0);">#Lexmark</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/印表機"><span style="color: rgb(255, 140, 0);">#印表機</span></a> <a href="https://www.ithome.com.tw/tags/SSRF"><span style="color: rgb(255, 140, 0);">#SSRF</span></a></strong></p> <p>印表機製造商Lexmark近日發布韌體更新，目的是修補影響超過100種型號的重大漏洞CVE-2023-23560，此漏洞存在於網頁服務功能，為伺服器端請求偽造（SSRF）漏洞，攻擊者一旦利用，將能在印表機上執行任意程式碼，CVSS風險評分為9.0分。</p> <p>該公司表示，目前尚未發現該漏洞被用於攻擊行動的跡象，但已有研究人員發布概念性驗證程式（PoC），他們呼籲IT人員應儘速套用新版韌體；若是無法安裝，IT人員應停用TCP/IP協定的65002埠來因應。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美、德、荷聯手，摧毀勒索軟體Hive基礎設施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/hive"><span style="color: rgb(255, 140, 0);">#Hive</span></a></strong></h3> <p>美國司法部（DOJ）於1月26日發布公告，表示美國聯邦調查局（FBI）與德國、荷蘭政府聯手，全面控制勒索軟體Hive的伺服器及網站，藉此破壞該勒索軟體的攻擊與勒索受害者的能力。這是繼FBI於2022年7月成功入侵Hive內部網路，並取得解密金鑰後，對於此勒索軟體進行的跨國執法行動。DOJ表示，截至目前為止，FBI已阻止1.3億美元贖金流入駭客的口袋。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/766753f1-f9c7-4dc5-9a5c-fe0f3ff51c06.shtml"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子支付平臺PayPal證實遭到帳號填充攻擊，波及3.5萬用戶</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/exploiting-critical-spoofing-vulnerability-microsoft-cryptoapi"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員針對CryptoAPI程式庫的欺騙漏洞公布細節，並提供概念性驗證攻擊程式</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/plugx-variants-in-usbs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客透過USB儲存裝置挾帶惡意軟體PlugX</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/ransomware-attack-affects-1000-vessels-worldwide-a-20939"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">船隻管理系統ShipManager遭勒索軟體攻擊，恐波及上千艘船運作</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/a/earth-bogle-campaigns-target-middle-east-with-geopolitical-lures.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東與北非遭到駭客組織Earth Bogle鎖定，散布木馬程式NjRAT</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155227">【2023年1月19日】 Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155202">【2023年1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155198">【2023年1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</a></strong></p> </div></div></div>
2023/1/30 16:10作者周峻佑https://www.ithome.com.tw/news/155287
甲骨文推新Java SE Universal訂閱方案，可能使企業Java使用成本上升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oracle.com/us/corporate/pricing/price-lists/java-se-subscription-pricelist-5028356.pdf">甲骨文（Oracle）發布新的Java SE Universal訂閱方案</a>，訂閱數基準以公司總人數計算，每個授權每月訂閱價格從15美元起跳，隨著企業員工人數增加訂閱價格下降，最低至5.25美元。針對Java SE新訂閱方案，不少顧問公司表示企業Java使用成本將會上升不少。</p> <p>Java SE Universal訂閱方案的文件寫道，企業所需要訂閱的授權數量，取決於員工數量，而不僅是使用程式的實際員工數量。而Java SE Universal訂閱方案所定義員工數非常廣泛，包含企業中全職員工、兼職員工與臨時工，還有包括支援內部業務營運的外包商、承包商和顧問。</p> <p><a href="https://miroconsulting.com/blog/oracle-changes-java-pricing-model-to-charge-for-all-company-employees/">Miro顧問公司表示</a>，由於可能使部分企業成本增加，他們不建議採用新的Java SE授權訂閱方法。而<a href="https://houseofbrick.com/blog/oracle-java-pricing/">House of brick顧問公司提到</a>，新訂閱方案可能讓企業使用Java的成本，比舊方案將高出許多。House of brick針對不同Java使用程度的中型企業進行成本試算，以員工數250人，Java桌面用戶數20人，以及Java安裝處理器數量8個來計算，舊方案企業每年僅需要支付3,000美元，但是新方案每年需要支付45,000美元，使用成本增加1,400％。</p> <p>對於原本就大量使用Java的企業，員工數同樣為250人，Java桌面用戶數250人，Java安裝處理器數量48個，則該企業在舊方案每年需支付21,900美元，在新方案為45,000美元，成本增加105％。House of brick提到，新訂閱方案對規模更大的企業造成更大的影響，數字將會更驚人。</p> <p>如同甲骨文舉例，一間擁有2.3萬全職員工、兼職員工與臨時工，還有5,000外包商、承包商和顧問的企業，則每年Java SE Universal訂閱數為2.8萬人，乘以該訂閱數每人每月訂閱價格6.75美元，乘上一年12個月等於2,268,000美元。</p> <p>Java SE Universal訂閱方案從2023年1月23日起，取代舊版Java SE訂閱和舊版Java SE桌面版訂閱，甲骨文在<a href="https://www.oracle.com/java/technologies/java-se-subscription-faq.html">Java SE Universal訂閱方案問答集</a>中提到，原本採用舊版Java SE訂閱產品的用戶，可以繼續獲得原有權益，並根據現有條件和標準續訂。</p> <p>另外，甲骨文說明和舊版訂閱產品相比，新訂閱方案的優勢在於，能夠用於桌面、伺服器和第三方雲端平臺，能夠大幅簡化授權追蹤和管理，而且Java SE Universal訂閱用戶可獲得全Java產品組合的分類支援，包括第三方函式庫和Runtime，這代表甲骨文將會協助用戶解決一般Java SE相關問題，以及和第三方函式庫與Runtime供應商合作解決用戶問題。</p> </div></div></div>
2023/1/30 16:07作者李建興https://www.ithome.com.tw/news/155284
微軟、OpenAI主張AI服務侵權告訴無事實根據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.documentcloud.org/documents/23589439-openai-motion-to-dismiss?responsive=1&title=1" target="_blank">微軟、旗下GitHub和其投資的OpenAI上周向法院聲請</a>對其Copilot侵害版權的控告沒有事實根據，也違反開源碼精神，要求駁回該訴訟。</p> <p>GitHub Copilot為微軟持有的GitHub與OpenAI共同開發的服務，底層技術為OpenAI所打造的OpenAI Codex人工智慧系統，以公開的大量程式碼及自然語言來訓練OpenAI Codex，以讓該系統夠同時理解程式及人類的語言，並根據工程師所撰寫的程式碼，提出程式的整行或整個函式的撰寫建議。</p> <p>GitHub Copilot在2022年6月正式推出，收費為月租費10美元。美國律師事務所Joseph Saveri去年11月代表眾多開發者對微軟、GitHub及OpenAI<a href="https://www.ithome.com.tw/news/154076" target="_blank">提出集體訴訟</a>。該訴訟控告它們2021年6月發表的GitHub Copilot服務違反了《數位千禧年著作權法》（Digital Millennium Copyright Act，DMCA）、《不公平競爭法》（Unfair Competition Act），以及GitHub隱私聲明與服務條款，並向三家公司求償90億美元。</p> <p>根據<a href="https://www.documentcloud.org/documents/23589440-microsoft-and-github-motion-to-dismiss?responsive=1&title=1" target="_blank">微軟與GitHub向加州法院提出的聲請</a>指出，這件訴訟的原告根本欠缺兩個重要元素，一是Copilot造成的傷害，二是其他有事實基礎的論點。</p> <p>他們指出，原告提出Copilot對開發人員的版權侵害，都是理論性假設Copilot建議的程式碼可能和他們發布的相符，但卻沒有舉出實際例證或指名道姓的受害者（只有二個匿名開發人員），例如Copilot如何侵害其程式碼、GitHub做了什麼不恰當的事。相反地，Copilot不但沒有從已公開的開源程式碼汲取任何程式，反而是從公開程式碼學習到的知識產出建議，幫助開發人員撰寫程式碼。</p> <p>三家被告公司指出，Copilot是將開源碼精神發揚光大，而原告舉出禁制令及數十億美元賠償，反而是顛覆開源碼精神及試圖阻撓合作和進步。</p> <p>看好AI的潛力，微軟大舉投資AI新創業者OpenAI。<a href="https://www.ithome.com.tw/news/155192" target="_blank">本月中才宣布</a>將OpenAI的GPT-3、Codex及DALLE-2整合進Azure OpenAI服務陣容，未來也可望提供AI聊天機器人服務ChatGPT，上周又緊接著<a href="https://www.ithome.com.tw/news/155259" target="_blank">宣布投資數十億美元擴大雙方的合作</a>，包括在消費者個人及企業服務大量使用OpenAI的模型。</p> <p>這是生成性AI（generative AI）引發的最新倫理爭議案件。兩周前<a href="https://www.ithome.com.tw/news/155229" target="_blank">圖庫業者Getty Images才控告AI繪圖工具商Stability AI</a>運用人類創作者的圖片訓練其Stable Diffusion服務的AI模型侵害其版權。</p> </div></div></div>
2023/1/30 16:58作者林妍溱https://www.ithome.com.tw/news/155288
微軟警告駭客還在覬覦Exchange Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/protect-your-exchange-servers/ba-p/3726001" target="_blank">微軟警告企業和IT管理員</a>，駭客仍然在尋找並入侵尚未修補漏洞的Exchange伺服器，呼籲用戶儘速更新Exchange伺服器軟體。</p> <p>微軟指出，濫用未修補Exchange伺服器的攻擊者從未遠離。未修補的本地部署Exchange環境有太多方面是攻擊者下手的好目標。一來，郵件信箱有許多重要及敏感資料。二來，每個Exchange伺服器都有公司聯絡人資料，蘊藏大量社交工程攻擊的資訊。第三，Exchange和Active Directory和混合環境整合密切，擁有許多核准權限，也可存取雲端環境。</p> <p>為防範Exchange伺服器的已知漏洞遭到濫用，微軟呼籲企業及Exchange伺服器管理員安裝最新己支援的累積更新，及最新的安全更新。目前<a href="https://www.microsoft.com/download/details.aspx?id=58392" target="_blank">Exchange Server 2013</a>、<a href="https://www.microsoft.com/download/details.aspx?familyID=ad395419-4d2f-4eb0-97fb-a5b88ab814e1" target="_blank">2016最新累積為CU23</a>，<a href="https://www.microsoft.com/download/details.aspx?familyID=a149e06c-62f4-4b62-adf8-7d382223a239" target="_blank">2019最新累積更新為CU12</a>。最新安全更新則為<a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/released-january-2023-exchange-server-security-updates/ba-p/3711808" target="_blank">2023年1月（Patch Tuesday）</a>。由於累積更新和安全更新都是累積性的，用戶只需安裝最新版本即可。</p> <p>不過安裝完更新後，管理員還是有很多地方需要手動執行，微軟建議管理員最好執行<a href="https://microsoft.github.io/CSS-Exchange/Diagnostics/HealthChecker/" target="_blank">Health Checker</a>，這功能可提供連向步驟化指引的文章。此外，微軟提醒管理員，有時微軟透過自動化的Exchange緊急緩解服務（Exchange Emergency Mitigation Service）或手動的Exchange本地部署緩解工具釋出的緊急修補程式，這些只能提供部份防護，因此用戶還是必須安裝安全更新以求完備防護。</p> <p>安全研究人員不斷發現微軟Exchange Server的漏洞，從2021年初的ProxyLogon（<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855" target="_blank">CVE-2021-26855</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857" target="_blank">CVE-2021-26857</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858" target="_blank">CVE-2021-26858</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065" target="_blank">CVE-2021-27065</a>）、同年7月的<a href="https://www.ithome.com.tw/news/147653" target="_blank">ProxyShell</a>（<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34473">CVE-2021-34473</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34523" target="_blank">CVE-2021-34523</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31207" target="_blank">CVE-2021-31207</a>），到去年9月的ProxyNotShell漏洞（<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41082" target="_blank">CVE-2022-41082</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41040" target="_blank">CVE-2022-41040</a>），都成為各路國家駭客及犯罪組織、勒索軟體濫用的目標。<a href="https://www.ithome.com.tw/news/154989" target="_blank">今年初安全研究人員發現</a>，全球仍有6萬多臺Exchange Server伺服器尚未修補。</p> </div></div></div>
2023/1/30 15:50作者林妍溱https://www.ithome.com.tw/news/155285
Zendesk員工被駭致用戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名雲端客服軟體業者Zendesk兩周前通知客戶，數名員工遭到釣魚簡訊攻擊被竊取資料，導致客戶個資外洩。</p> <p>Zendesk提供整合郵件、留言板、即時通訊的雲端客服平臺。該公司似乎未公告安全外洩事件，而是私下以郵件通知客戶。加密貨幣交易暨電子錢包平臺商Coinigy於兩周前（1/13）接獲Zendesk的通知後，<a href="https://insights.coinigy.com/zendesk-security-disclosure/" target="_blank">決定在本月19日向其客戶公開此事</a>。</p> <p>根據Coinigy張貼的Zendesk客戶通知信件，Zendesk 2022年10月25日遭到鎖定該公司員工的進階簡訊釣魚攻擊，「少數」員工的帳號存取憑證遭駭入一段時間，使其紀錄平臺2022年9月25日到10月26日的非結構資料被非授權存取。Zendesk說該公司一發現此事即立刻解決，並聯絡外部鑑識廠商檢視後果。根據截至今年1月12日的調查，Zendesk判斷外洩的資料包含屬於客戶的服務資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0130-zendesk-600-1.jpg" style="width: 567px;" /></p> <p><a href="http://insights.coinigy.com/zendesk-security-disclosure/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Coinigy</span></span></a></p> <p>但Zendesk表示，通知信件是示警作用，目前沒有證據顯示其客戶的Zendesk執行個體遭到存取。Zendesk也沒有說明可能受影響的資料型態。</p> <p>Zendesk表示已經採取的行動包括：封鎖發現的釣魚信件網域、關閉受影響的帳號、並聯絡其他單位關閉該惡意網域、聯絡FBI及調查所有受影響資料。此外Zendesk也建議用戶留意其網域的可疑或非授權活動。</p> <p>這是這家雲端CRM業者近年第二次通知客戶資料外洩。2016年Zendesk也曾遭駭，致其Zendesk線上支援及聊天服務近萬家企業客戶個資，包括電子郵件、姓名、電話等遭存取，<a href="https://www.ithome.com.tw/news/133402" target="_blank">但Zendesk直到2019年才發現並通知客戶</a>。</p> </div></div></div>
2023/1/30 15:12作者林妍溱https://www.ithome.com.tw/news/155283
美國FBI已瓦解Hive勒索軟體犯罪網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年開始肆虐的<a href="https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant">Hive勒索軟體攻擊終於受到全面控制</a>，由美國、德國和荷蘭政府聯手，扣押用於勒索攻擊的伺服器和網站，破壞Hive勒索軟體發動攻擊和勒索受害者的能力。美國司法部表示，調查團隊使用當代的網路監控技術，得以翻轉Hive勒索軟體肆虐的局勢。</p> <p>FBI在2022年7月滲透Hive攻擊網路，得以竊取解密金鑰供全球受害者解密資料，他們提供超過300個解密金鑰，避免高達1.3億美元的贖金支付，並向Hive受害者發送超過1,000組解密金鑰。在美國司法部、德國執法部門及荷蘭國家警察高科技犯罪單位共同合作下，全面控制Hive攻擊者使用的伺服器和網站，瓦解Hive勒索攻擊網路。</p> <p>回顧過去，自2021年Hive勒索軟體出現以來，已有1,500名受害者，駭客組織收取超過1億美元的贖金，對全球組織日常營運造成重大衝擊，Hive之所以惡名昭彰，是因為攻擊者還會對學校和醫療院所發動攻擊，甚至影響醫院在COVID-19大流行期間的運作。</p> <p>Hive勒索軟體的特色之一是使用勒索軟體即服務（RaaS）模式，這個犯罪集團包含開發管理人員和附屬成員，由開發或管理人員設計勒索軟體家族，同時也建立易用操作的介面，之後招募附屬成員對受害者部署勒索軟體，當附屬成員使用Hive勒索軟體攻擊目標，每次成功收到贖金之後，就會獲得一定比例的獎勵。</p> <p>在恐嚇的作法上，Hive惡意攻擊者採用雙重勒索模式，加密被害者系統之前，附屬成員會洩漏並竊取敏感資料，之後以加密方式綁架受害者系統，攻擊者再向對方販售解密金鑰，並承諾不公開他們手上竊取的資料，過程中，他們通常會鎖定受害者系統中最敏感的資料，以增加贖金支付壓力。等到受害者支付贖金，附屬成員與開發者、管理員會以8:2的比例分贓，對於那些不願支付贖金的被害者，攻擊者會將竊得的資料在Hive網站上公開。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/aKzCR1Xj05c" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p> </p> </div></div></div>
2023/1/27 17:07作者李建興https://www.ithome.com.tw/news/155276
NIST發布AI風險管理框架，助組織降低技術應用潛在風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準暨技術研究院（NIST）發布<a href="https://www.nist.gov/news-events/news/2023/01/nist-risk-management-framework-aims-improve-trustworthiness-artificial">第一版人工智慧風險管理框架（Artificial Intelligence Risk Management Framework，AI RMF）</a>，該框架由美國國會指示NIST制定，目的是要提供設計、開發、部署和使用人工智慧系統的指南，降低應用人工智慧技術的風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20RMF%201_0%20Cover.jpg" style="width: 300px;" /></p> <p>NIST提到，和傳統軟體相比，人工智慧存在更多的潛在風險。這是因為人工智慧系統使用的訓練資料，因時間推移而改變，有時會出現意料之外的變化，所以，NIST認為，在本質上，人工智慧系統是一種社會技術（Socio-technical），像是線上聊天機器人或是篩選貸款申請所用的模型，都受到社會動態和人類行為的影響。</p> <p>這套AI RMF框架由NIST與公部門和企業合作制定，能夠適應不斷發展的人工智慧技術，以及受到組織以不同程度和能力的使用，使得整個社會不僅能從人工智慧技術獲益，也能免受潛在風險危害。透過該框架的檢視，組織能以不同角度思考人工智慧的風險，包括促進本身制度文化的變革，更全面地思考、評估和監控人工智慧風險，以及積極和消極層面的影響。透過框架當中提供的靈活且結構化評估，組織只要遵循該人工智慧風險管理流程，就能發揮人工智慧優勢，降低對個人、團體、社群，甚至是社會的負面影響。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AI Risk NIST.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20Risk%20NIST.png" style="width: 600px;" /></a></p> <p>整體而言，AI RMF分為兩部分，首先探討人工智慧的相關風險，以及信賴人工智慧系統（trustworthy AI systems）的特徵，其次則是描述4大具體功能，分別為治理、映射、測量管理，協助組織實踐框架。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AI RMF Core.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20RMF%20Core.png" style="width: 500px;" /></a></p> <p>關於AI RMF內容的定稿，NIST總共耗費18個月之久，他們從240個組織收到400份針對AI RMF草案的正式評論，並利用這些回饋意見補足與改良AI RMF。在此同時，NIST也發布AI RMF Playbook，從中指導組織使用該框架的方法。後續將與人工智慧社群合作並定期更新框架，並成立可靠、負責任人工智慧的資源中心（Trustworthy and Responsible AI Resource Center），協助組織實踐AI RMF 1.0。</p> </div></div></div>
2023/1/27 15:57作者李建興https://www.ithome.com.tw/news/155275
圖庫業者Shutterstock推出自家AI圖像生成工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年圖庫廠商Shutterstock<a href="https://www.shutterstock.com/press/20435">宣布與OpenAI合作</a>，開發人工智慧圖像生成工具，<a href="http://www.shutterstock.com/blog/generative-ai">現在這套產品已經完成，Shutterstock公告正式提供所有用戶利用文字提示建立圖像</a>。用戶現在可以從Shutterstock工具包Creative Flow，開始使用該工具產生圖像。</p> <p>生成式人工智慧是機器學習的分支，經過預訓練的模型，能夠根據使用者的輸入，產生圖像、影片、文字和音訊等內容，而在Shutterstock最新的人工智慧圖像生成工具當中，能夠接受並根據使用者的文字描述，生成4個圖像輸出。</p> <p>在Shutterstock和OpenAI去年宣布的合作消息當中，曾提及將採用DALL-E 2文字生轉圖像模型，這家圖庫廠在服務正式上線之後表示，人工智慧圖像生成工具的特色在於，用戶不用編寫複雜的提示就能獲得良好的結果，最重要的是，Shutterstock使用風格多元、對來源負責的數百萬個視覺圖像作品，並以人工智慧生成圖像的授權收入，補償相關的已知貢獻者，實現他們先前提出的對AI負責的承諾。</p> <p>用戶只要在圖像生成工具中輸入一個單字，就能夠獲得圖像結果，或是用戶也可以仔細向人工智慧描述需求，包括選擇數位、照片或是3D風格，並且指定生成圖像的類型，用戶可以對生成結果選擇喜歡或是不喜歡，以進一步獲得理想的結果。當用戶編輯和最佳化文字後，可以立即看到圖像變化，選購和收藏想要的結果。</p> <p>有了人工智慧圖像生成工具，該公司表示，Shutterstock的創作工具組合更加完整，用戶過去可以搜尋圖庫、創建並發布設計，現在還能使用圖像生成工具產生創意圖像。即便沒有設計基礎的使用者，也可以根據需求創建視覺效果。Shutterstock的訂閱用戶，可以基於當前的服務內容取用整套工具。</p> <p>目前Shutterstock的人工智慧圖像生成工具，可輸出正方形、中等解析度的圖像，業者也承諾接下來該工具加入更多功能，包括智慧編輯功能，能夠輸出多種長寬比，以及更高解析度的圖像，甚至之後還會提供動態圖像生成功能。</p> </div></div></div>
2023/1/26 17:03作者李建興https://www.ithome.com.tw/news/155273
合勤修補多項產品韌體漏洞，包括1項風險值9.8分的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>合勤（Zyxel）<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-buffer-overflow-vulnerabilities-of-cpe-fiber-onts-and-wifi-extenders">本周公布安全公告</a>，通知客戶影響其不同產品線的5項漏洞，呼籲用戶儘速更新韌體。</p> <p>這5項漏洞是由Positive Technologies發現並通報，涵括3項緩衝溢位、指令注入，以及驗證不當漏洞各1項。而在3項緩衝溢位漏洞中，CVE-2022-43389影響NR7101韌體中的Web伺服器函式庫，可讓未經授權的攻擊者以惡意HTTP呼叫執行OS指令或造成阻斷服務（Denial of Service，DoS）攻擊。CVE-2022-43391和CVE-2022-43392則是影響NR7101同一韌體的CGI程式參數，經過驗證的攻擊者可傳送惡意HTTP呼叫，造成DoS攻擊。</p> <p>3項漏洞以CVE-2022-43389風險最高，達9.8分。CVE-2022-43391及CVE-2022-43392則各為6.5分。</p> <p>一項指令注入漏洞是CVE-2022-43390，也是出現在NR7101韌體CGI程式上，獲驗證的攻擊者可傳送惡意HTTP呼叫而在OS上執行指令。驗證不當漏洞則是2022-43393，出在Zyxel GS1920-24v2韌體HTTP呼叫處理函式對特殊或例外條件檢測不當，造成未經授權攻擊者傳送惡意HTTP呼叫，引發記憶體毁損及DoS攻擊。</p> <p>CVE-2022-43390及CVE-2022-43393也都是重大漏洞，風險值各為8.8分及8.2分。</p> <p>合勤<a href="https://www.zyxel.com/global/en/support/security-advisories">指出</a>，CVE-2022-43389及CVE-2022-43392影響其CPE、光纖ONT和WiFi延伸器，而CVE-2022-43393影響的是兆勤科技交換器。合勤已釋出更新版韌體，呼籲用戶儘速更新。</p> </div></div></div>
2023/1/25 19:02作者林妍溱https://www.ithome.com.tw/news/155269
Messenger開始向用戶推送預設端到端加密功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2023/01/expanding-features-for-end-to-end-encryption-on-messenger/">Meta更新Messenger加入一系列端到端加密功能</a>，<a href="https://www.facebook.com/zuck/posts/pfbid02w7TZNUhn5pxSRCJ8bVgJ2Csoo9L83k77GnVrVawpzRhnEaUmj3ThpiNRqZzkSamNl">創辦人Mark Zuckerberg親自宣布Messenger擴大預設端到端加密的測試</a>，同時也在端到端加密對話中，加入包括連結預覽、自定義表情符號和主題等一般聊天室功能。</p> <p>早在2016年，當時Facebook（Meta）就已經開始發展Messenger端到端加密功能，以提供用戶額外的聊天安全和隱私性。但一直到現在，Messenger才宣布逐漸向用戶推送預設端到端加密功能，在接下來數個月中，官方將會在私人聊天室中，向用戶提示預設端到端加密的啟用。</p> <p>Messenger採用隨機的方式升級用戶的會話成端到端加密，官方提到，因為是隨機啟用，所以不會對基礎設施造成負面影響，同時也能在擴大預設端到端加密採用的同時，確保用戶體驗不受影響。</p> <p>除了陸續對更多使用者預設啟用端到端加密之外，端到端加密對話也加入更多一般聊天室的功能，包括自定義聊天表情符號、聊天室主題、群組頭像設定、預覽連結以及活躍狀態等。而在Android上，現在即便是端到端加密對話，用戶在收到新訊息時，也同樣會以氣泡形式出現，方便閱讀和回覆訊息。</p> </div></div></div>
2023/1/24 18:34作者李建興https://www.ithome.com.tw/news/155261
蘋果最新OS更新，Apple ID開始可以用實體金鑰進行雙因素驗證了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple釋出最新裝置的作業系統更新，包括iOS 16.3、iPadOS 16.3與macOS Ventura 13.2，讓iPhone、iPad和Mac用戶能夠添加安全金鑰保護Apple ID。啟用該功能的用戶，登入Apple ID除了需要輸入的密碼之外，還需要實體金鑰作為驗證的第二因素，才能在新裝置或是網路上登入。</p> <p>Apple ID安全金鑰雙因素驗證是一項進階安全功能，對需要避免針對性攻擊的人士提供額外保護。之前Apple所提供的雙因素驗證，需要使用者輸入Apple ID之後，再次輸入已認證裝置上顯示的6位驗證碼，作為第二驗證因素，而現在使用者可以使用實體金鑰代替6位數驗證碼，官方提到，安全金鑰可以強化雙因素身分驗證過程，消除用戶的第二驗證因素被攻擊者攔截或是請求的風險。</p> <p>Apple的<a href="https://support.apple.com/en-us/HT213154">網路文件寫道</a>，用戶至上要有2個FIDO認證的安全金鑰，在相容軟體的Apple裝置上，添加並維護至少2個安全金鑰，而最多可以添加6個，Apple裝置需要升級到iOS 16.3、iPadOS 16.3、macOS Ventura 13.3或更高版本。原則上當前的瀏覽器多數都已經支援FIDO安全金鑰，因此也可以用於登入受安全金鑰保護的Apple ID，當用戶無法登入，則可以嘗試更新或是安裝其他瀏覽器。</p> <p>官方推薦的安全金鑰，包括適用於大多數Mac和iPhone機型的YubiKey 5C NFC和YubiKey 5Ci，以及適用於舊款Mac和大多數iPhone機型的FEITAN ePass K9 NFC USB-A。不過只要選擇經過FIDO認證，並且具有連接器能夠和Apple裝置搭配使用的金鑰，也都能夠使用。</p> <p>Apple ID實體安全金鑰無法用來登入Windows版iCloud，不支援無法更新到支援安全金鑰軟體版本的舊裝置，不支援兒童帳戶和管理式ID，也不支援和家庭成員iPhone配對的Apple Watch。</p> <p>值得注意的是，一旦Apple ID設置使用實體安全金鑰，之後要登入Apple Watch、Apple TV或HomePod，就需要使用裝有支援安全金鑰軟體版本的iPhone或iPad。而且在設置的過程，用戶擁有的所有未活躍裝置都會被登出，要重新登入這些裝置，就需要將這些裝置更新至相容安全金鑰的版本，當用戶的裝置已經無法更新至支援的新版本，那該裝置便無法重新登入。</p> <p>目前Apple已經釋出iOS 16.3、iPadOS 16.3與macOS Ventura 13.2，因此想使用實體安全金鑰保護Apple ID的使用者，已經可以使用iPhone、iPad和Mac添加安全金鑰，雖然Apple在網路文件提到，要在Mac上使用安全金鑰需要macOS Ventura 13.3，但是最新的macOS Ventura 13.2已經出現供用戶添加安全金鑰的選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201569%20-%20About%20Security%20Keys%20for%20Apple%20ID%20-%20Apple%20Support%20-%20support_apple_com.png" style="width: 580px; height: 265px;" /></p> </div></div></div>
2023/1/24 15:03作者李建興https://www.ithome.com.tw/news/155257
解決新功能開發與健全性問題修復困境，Rust決定成立型別系統團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>考量到程式語言Rust未來的發展，要在滿足高安全性的前提下，繼續發展更多的程式語言功能，Rust基金會規畫了2023年到2027年4階段發展計畫，而這一系列的工作，從<a href="https://blog.rust-lang.org/2023/01/20/types-announcement.html">成立型別（Type）系統團隊</a>開始，該團隊為語言和編譯器團隊的子團隊，負責定義和維護Rust的類型檢查器、特徵求解器（Trait Solver）和借用檢查器（Borrow Checker）。</p> <p>Rust官方希望透過建立起型別團隊，加速修復類型系統相關的健全性問題，官方提到，這些問題通常都是編譯器和語言功能的邊緣案例，由專門的測試人員或是白帽駭客發現，雖然一般開發者並不會遭遇到這些問題，但是官方仍想要盡快消除這些邊緣案例。另外，因為編譯器維護者太少，加上語言設計的貢獻者缺乏對語言通盤了解，導致新語言功能發展困難，而透過專注於型別系統的團隊，將有助於緩解這種處境。</p> <p>型別團隊具體工作，開發並維護包括型別檢查器，用以鬆散定義變數分配其型別語義和實作的方式，還有替型別定義特徵的特徵求解器，甚至是用以證明Rust所有權模型始終成立的借用檢查器這些在編譯器rustc中所使用的型別工具。同時型別團隊還要編寫Rust的正式定義、類型檢查器和語意，並且提供不安全程式碼指南。</p> <p>型別團隊的範疇很大，包含2018年就已經存在的Rust特徵工作組，特徵工作組目的是要創建高效能Rust特徵系統，像是特徵解決函式庫Chalk，而由於功能的延伸，因此特徵工作組的工作也擴及類型檢查器和借用檢查器。另一個相關的則是Polonius工作組，主要設計和實作Polonius借用檢查函式庫，目前也被編入Rust型別團隊。</p> <p>官方提到，目前Rust團隊正致力編寫Rust規範，而擁有型別系統的正規化（Formalization）定義將有助於此目標，無論之後是否會整合到更通用的規範中，正規化能夠更好地評估潛在新功能和健全性漏洞。</p> <p>在Rust 1.0發布不久之後，Rust開發團隊便開始朝此目標前進的工作，Chalk特徵求解器便是初期成果，Chalk的核心思想是將Rust特徵系統的語法和概念，轉換成一組邏輯規則，並且可以使用類似Prolog的求解器來求解。當這組邏輯和解決方案，與編譯器本身的特徵求解器達到相同水準，則能夠簡單地替換現有求解器，同時該求解器也可以被用於其他工具。</p> <p>不過由於Chalk僅是型別系統的一部分，而且編譯器與正規化對求解器的需求不同，因此現在Chalk不再是型別團隊的發展重點，即便Chalk仍然是一個有用的實驗性工具，但是在型別團隊新任務規畫中，他們將重點轉移到模組化特徵求解器，以及稱為a-mir-formality的Rust型別系統正規化。</p> <p>型別團隊2023年上半年的工作，目標讓開發中的特徵求解器可以進行測試，而a-mir-formality能夠開始使用Rust測試套件進行測試，而在下半年，Rust預計將會以新的特徵求解器，取代部分現存的特徵求解器，官方希望在2027年解決所有型別健全性問題，並且a-mir-formality可以通過Rust測試套件可達99.9％。</p> </div></div></div>
2023/1/24 17:19作者李建興https://www.ithome.com.tw/news/155258
微軟投入數十億美元再次擴大與OpenAI的合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/01/23/microsoftandopenaiextendpartnership/">微軟延續與OpenAI從2019年以來的合作夥伴關係</a>，投入數十億美元的資金，與OpenAI展開第三階段的合作，透過持續並擴大在人工智慧超級運算、模型開發和雲端服務領域的工作，共同加速人工智慧技術的商業化。</p> <p>目前微軟Azure中有多個超級運算系統，用於執行OpenAI的人工智慧訓練和推理工作負載，而OpenAI將繼續使用Azure的超級運算系統，開發並訓練所有模型。微軟承諾增加對這些系統的投資，加速OpenAI的獨立研究。Azure也將繼續成為OpenAI在研究、API和產品上的獨家雲端供應商。</p> <p>無論是在消費級和企業級產品，微軟會大量採用OpenAI的模型，加入以OpenAI技術為基礎的數位體驗，並繼續擴大GitHub Copilot和微軟Designer應用程式，對OpenAI技術的採用。開發者除了可以從OpenAI的API服務取用模型服務之外，也將可繼續透過微軟Azure OpenAI服務存取GPT、DALL-E和Codex等模型，使用微軟針對OpenAI模型最佳化的基礎設施和企業級功能，建立人工智慧應用程式。</p> </div></div></div>
2023/1/24 17:57作者李建興https://www.ithome.com.tw/news/155259
成人之路上的一大步，Boston Dynamics人形機器人可丟擲並推落物體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名機器人開發公司Boston Dynamics發布最新的<a href="https://youtu.be/-e1_QhJ1EhQ">人形機器人展示影片</a>，藉由善用環境物體達成任務目標，還將一袋工具丟擲到鷹架頂端的工人腳邊。研究人員提到，人形機器人現在能夠以更接近人類的速度，完成現實世界的操作任務。</p> <p>Boston Dynamics所開發的人形機器人動作靈活，不只能夠跳舞，還可以跑酷完成複雜的跨欄、跳躍和後空翻等動作。而在Boston Dynamics最新發布的影片中，人形機器人所執行的任務更貼近現實場景，有能力完成移動、丟擲和推物體等動作。</p> <p>研究人員解釋，跑酷和跳舞等動作雖然是有趣的用例，但是他們正在嘗試研究利用這些基礎，讓機器人執行更有意義的操作。研究人員需要讓人形機器人能夠更快地執行人類擅長的任務，而這過程需要進行一系列控制軟體改進。</p> <p>雖然人形機器人跳舞或是後空翻特技，比運送一袋工具更令人印象深刻，但事實上，運送一袋工具需要機器人對環境有更細緻的了解。研究人員提到，人形機器人跳舞時，完全不需要擁有對環境作出反應的感知能力，而在跑酷的展示中，人形機器人才加入感知並繞過固定的障礙物的能力，舞蹈需要機器人全身運動的精確度和靈活度，而跑酷則讓工程師們了解機器人身體的運動限制。</p> <p>而在Boston Dynamics最新的展示影片中，機器人需要克服額外動作和感知能力的挑戰，不只要偵感知、抓取和移動不同尺寸、材料和重量的物體，並且還需要在移動這些物體時維持平衡。研究人員從跳舞和跑酷獲得人形機器人的限制，並嘗試在這些限制下發展出實用技能。</p> <p>人類可簡單完成的動作，對人形機器人都大不易，像是影片一開始，機器人拿起一塊大木板，原地跳躍並順勢轉向180度，研究人員提到，這個動作代表機器人控制系統需要考慮木板的動量，才能避免翻倒，並將木板放在正確的位置上以利後續使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be--e1_QhJ1EhQ%20(1).jpg" style="width: 580px; height: 326px;" /></p> <p>在影片的後段，人形機器人從高臺推下一個巨大的木箱，研究人員則表示，這也是一個複雜的動作，因為機器人需要產生足夠的力量才能使箱子掉落，同時還要轉移重心避免摔倒。</p> <p>而影片最後人形機器人展示了比過去更高難度的空中翻滾，因為側空翻多了扭轉，比起一般的前空翻多了不對稱性，不只運算更困難，而且還需要更多的自體防碰撞控制，避免在翻滾時四肢撞上身體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be--e1_QhJ1EhQ.jpg" style="width: 580px; height: 326px;" /></p> <p>Boston Dynamics最新的展示，幾乎用上人形機器人每個關節和所有力量，而這正是該人形機器人最大程度接近人類操作能力的極限。</p> </div></div></div>
2023/1/24 18:19作者李建興https://www.ithome.com.tw/news/155256
WhatsApp帶強迫性的用戶條款被愛爾蘭罰550萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭資料保護主管機關<a href="https://www.dataprotection.ie/en/news-media/data-protection-commission-announces-conclusion-inquiry-whatsapp">上周</a>基於Meta旗下WhatsApp對用戶施以強迫性的服務條款，繼2021年後，再判罰550萬歐元。</p> <p>愛爾蘭資料保護委員會（Data Protection Commission, DPC ）是在2018年5月一名德國用戶對WhatsApp提出的控告做出第二次裁決。當時用戶控告WhatsApp更新的服務條款告知用戶若需使用其服務，就必須點擊「同意並接續」按鍵，同意它處理用戶個資，才能繼續使用它的App。如果拒絕就無法使用。用戶控告該條款雖表面上未說明，實則強迫用戶必須同意才能使用WhatsApp的服務，違反了歐盟隱私法GDPR，引發愛爾蘭主管機關介入調查。</p> <p>DPC 調查後認為，WhatsApp的條款並未清楚向用戶告知處理哪些個資，以及做何用途，並在2021年判罰WhatsApp 2.2５億歐元。不過DPC指出，根據歐盟的監察署（Concerned Supervisory Authorities, CSA）的意見，WhatsApp並不應將服務及安全功能的提供建立在合約基礎上，因此再加罰這家通訊平台550萬歐元。</p> <p>WhatsApp官方聲明將再提出上訴，也強調它相信自己的行為完全合法。</p> <p>這是Meta最新收到的官方罰單。上周Meta才因Instagram及臉書強迫性的用戶條款，被同一官方機構判罰3.9億歐元。去年11月WhatsApp也因2018年「資料抓取」手法、<a href="https://www.ithome.com.tw/news/154464">蒐集5億筆用戶個資一案</a>，重罰2.65億歐元。</p> </div></div></div>
2023/1/24 18:28作者林妍溱https://www.ithome.com.tw/news/155260
3.5萬Paypal用戶帳號遭憑證填充攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子支付平台Paypal本周通知用戶，12月初有駭客發動憑證填充（credential stuffing）攻擊存取用戶帳號，受影響人數約為3.5萬。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/766753f1-f9c7-4dc5-9a5c-fe0f3ff51c06.shtml">根據Paypal本周通報</a>美國緬因州檢察長辦公室的文件，他們於12月20日發現到攻擊事件，經過調查，判斷事件發生於12月6日到8日之間。這是一樁憑證填充事件，即攻擊者從別處竊取、購得或取得過去外流的用戶帳號、密碼等個資，再以大量帳號及密碼組合，用於Paypal帳號的暴力破解。受影響用戶總數為34942人。</p> <p>Paypal告知用戶，這樁攻擊導致其個資可能已外洩，包括姓名、住家地址、社會安全碼、個人稅籍資料、電話及生日。該公司說，沒有發現任何用戶個資被誤用，或是被用於非授權交易的情形。Paypal說，在發現攻擊時，已經將用戶個資加上遮罩而不再曝險、將用戶密碼重設、並加上進階安全控制以切斷非法存取管道。</p> <p>該公司並提供受影響用戶24個月的信用盜用監控服務。本次事件並非Paypal系統漏洞，而是用戶重覆在不同服務或網站使用同一組帳號、密碼組合的結果。論及漏洞，<a href="https://www.ithome.com.tw/news/151117">去年5月一名研究人員發現</a>Paypal平臺有個點擊劫持（clickjacking）漏洞，可能讓攻擊者竊取用戶帳戶中的財物。</p> </div></div></div>
2023/1/24 18:38作者林妍溱https://www.ithome.com.tw/news/155262
疑似中國駭客攻擊Fortinet漏洞植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://www.mandiant.com/resources/blog/chinese-actors-exploit-fortios-flaw">發現一個</a> 疑似中國的駭客組織濫用Fortinet SSL VPN的已知漏洞植入後門程式Boldmove。</p> <p>Fortinet去年12月公告SSL VPN存在重大漏洞CVE-2022-42475，是出於FortiOS的sslvpnd模組的記憶體緩衝區溢位漏洞，成功濫用可讓未經驗證的使用者遠端癱瘓SSL VPN設備，或是執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/155174">上周Fortinet說明</a>他們去年底發現到的一些Windows惡意程式的攻擊行動，會刪除紀錄檔以躲避偵測及長期滲透、有的則破壞入侵偵測（IPS）功能。這些樣本來自協調時區+8的機器上組譯，顯示可能落在澳洲、俄羅斯、中國、新加坡等其他國家，針對政府單位及相關組織所發動精準攻擊行動。</p> <p>本周稍早安全廠商Mandiant也公佈了針對CVE-2022-42475的零時差攻擊研究，基本上，是讓Fortinet未講明的資訊更為具體化。Mandiant將發現到的惡意程式稱為Boldmove。Boldmove是一隻以C撰寫的後門程式，針對Windows和Linux各有一種變種，專門設計讀取FortiGate 防火牆的檔案。研究發現，Boldmove的Linux變種有一個寫死的C2 IP位址，也同時被Fortinet列為濫用行動的IP位址，判斷駭客已濫用CVE-2022-49475植入Boldmove。</p> <p>該公司也判讀Windows變種至少在2021年已組譯出來。Mandiant點名Boldmove是中國國家駭客的攻擊行動，因為攻擊符合中國駭客的行徑，包括鎖定以防火牆、IPS/IDS等可由外部存取的裝置。</p> <p>研究人員指出，開發濫用連網安全裝置漏洞的程式需要豐沛的組織資源，因此往往被用在十分重要，包括政府單位及國防部門的目標身上。值得一提的是，這類裝置之所以為中國駭客偏好，是因為可不需受害者互動攻擊者就能存取網路、控制運作時機、減低被偵測的機率。</p> <p>更重要的是，這些裝置只有簡單配置和檢視紀錄檔的工具，並沒有簡單機制讓用戶檢視其中運作了什麼行程，也不允許安裝額外安全產品，像是端點偵測回應（Endpoint Detection and Response, EDR），且只有裝置製造商才能存取核心安全功能。</p> <p>根據證據，Mandiant研判攻擊最早從2022年10月即開始，受害者包括歐洲政府單位和一家非洲代管服務供應商。不過由於研究人員尚未看到Boldmove廣泛使用，因此無法確定其用途為何。</p> </div></div></div>
2023/1/24 18:43作者林妍溱https://www.ithome.com.tw/news/155263
S3檔案閘道器最大檔案共享數增加到50個，本地應用存取檔案更彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新S3檔案閘道器，<a href="https://aws.amazon.com/about-aws/whats-new/2023/01/amazon-s3-file-gateway-maximum-file-shares-gateway-10-50/">擴增每個閘道器的文件共享數量</a>，使用戶可共享的檔案從10個增加到50個。Amazon S3檔案閘道器能夠讓用戶讓本地應用程式，將檔案作為物件儲存到S3服務中，並且透過NFS或是SMB標準檔案存取協定存取。</p> <p>原本單個S3檔案閘道器最多只能支援10個檔案共享，而在這項更新之後，用戶將可以充分使用閘道器資源，使S3檔案閘道器能夠增加更多共享，並且支援更多的終端用戶，降低整體所使用的閘道器和資源。官方提到，S3檔案閘道器支援檔案共享數上調，可降低專用資源節省基礎設施成本，也使管理員管理更少的閘道器。</p> <p>目前這項更新，已經對所有AWS商業區域的新閘道器開放，而當前正在運作中的閘道器，AWS將會在下一次的軟體更新加入此項更改。</p> </div></div></div>
2023/1/23 16:19作者李建興https://www.ithome.com.tw/news/155255
電腦歷史博物館釋出全球第一款GUI個人電腦系統Apple Lisa原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://computerhistory.org/blog/the-lisa-apples-most-influential-failure/">電腦歷史博物館（CHM）在Apple的同意下</a>，開源40年前的Apple Lisa電腦系統的原始碼。Apple Lisa系統是Apple所推出的商業級系統，雖然因為其價格昂貴，再加上軟體和磁碟機等問題，短短兩就被Apple麥金塔（Macintosh）和Apple Lisa 2取代，但是Apple Lisa其創新的使用者介面，對之後的電腦軟體設計帶來不少影響，使圖形使用者介面（GUI）成為當今個人電腦使用者介面的典範。</p> <p>Apple Lisa在1983年1月19日發布，售價高達9,995美元。Apple在Lisa之前產品是Apple II個人電腦，Apple II雖然暢銷但仍是以命令列為基礎的系統，在Apple創辦人之一Steve Jobs參觀全錄帕羅奧多研究中心（Xerox PARC），決定把看到的圖形使用者介面（GUI）設計發揚光大。GUI雖為全錄的創新發明，但是卻因為成本關係未向公眾積極推廣。</p> <p>GUI當初是針對兒童軟體所開發的設計，重點在於以滑鼠游標控制視窗、圖標和選單的形式，Steve Jobs認為所有電腦都應該採用GUI，因此與Apple開發團隊開始Lisa的研發工作。Apple Lisa不同於Apple II個人電腦鎖定家庭市場，而是針對商業市場，使用當時功能強大的Motorola 68000微處理器並且配備硬碟。</p> <p>Steve Jobs和Apple開發團隊為Lisa發展了多個重要元件，包括QuickDraw圖形庫，還有以程式語言Pascal為基礎開發了物件導向變體Clascal，以方便編寫Lisa Toolkit API。不過，當時蘋果公司面臨重組，導致Steve Jobs無法再參與Lisa專案，因此他轉向加入並接手麥金塔專案，試圖發展類似Lisa同樣以滑鼠游標控制，但是價格更低廉的的GUI電腦系統。</p> <p>Apple Lisa與麥金塔兩專案相互競爭與互通下，Lisa在1983年1月19日以9,995美元售價推出，和當時IBM命令列個人電腦僅1,565美元相比，Apple Lisa貴上不少，再加上Lisa複雜的作業系統，雖然支援多工處理，但是Motorola 68000微處理器仍不夠力，因此執行緩慢，而且也因為Lisa電腦隨機綑綁了文書處理軟體，降低了第三方開發者開發程式的意願，而且其所附帶的磁碟機Twiggy並不夠穩定，多種原因最終導致Lisa失敗。</p> <p>Apple麥金塔則1984年推出新產品，取消硬碟、多工處理和諸多高階功能，同時大幅降低記憶體，使整體價格更加親民，Apple麥金塔售價2,495美元，並且向大學生推出優惠方案，使得麥金塔的使用基礎大幅提升。</p> <p>在麥金塔發布之後，也激發多家個人電腦軟體公司開發GUI環境，包括GEM和Windows等，這些系統都受到麥金塔的影響，GUI成為了個人電腦上主要的使用者介面典範，而麥金塔的成功，正史於Lisa整合受到全錄帕羅奧多研究中心啟發的GUI，CHM提到，Lisa是麥金塔成功的墊腳石，也是GUI和個人電腦重要的里程碑。</p> <p>現在為慶祝Apple Lisa的40歲生日，CHM獲得Apple授權，對外釋出Lisa軟體原始碼，包括其系統和應用程式軟體。</p> </div></div></div>
2023/1/23 15:16作者李建興https://www.ithome.com.tw/news/155252
GitHub將於2024年初停止支援Subversion版本控制系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-01-20-sunsetting-subversion-support/">GitHub預計將會在2024年1月8日關閉對Subversion的支援</a>，官方提到，因為Subversion的使用者越來越少，考量Subversion維護成本的支出，希望將所有資源集中於Git。2024年1月8日後GitHub.com將會完全停止Subversion支援，2024年初所發布的GitHub Enterprise Server版本，也會移除對Subversion的支援。</p> <p>簡稱SVN的Subversion同樣是原始碼版本控制系統，GitHub在2010年的時候，添加了對Subversion的支援，官方解釋，當時版本控制軟體版圖有別今日，過去有許多用戶採用集中式版本控制系統，Subversion在那時不只蓬勃發展且和其他系統搭配良好，而Git當時還只是一個較新的概念。GitHub在創建初期，因為不清楚集中式還是分散式版本控制會成為主流，也不知道之後Git將會成為主流，因此透過在Git後端原生支持Subversion，使得用戶容易遷移至Git，並且能以漸進的方式改變工作流程。</p> <p>時過境遷，現在已經有94％的開發者皆使用Git，Subversion的使用者大幅減少，根據GitHub後臺的流量統計，Git後端來自Subversion端點的請求只有不到0.02％，而且約只有5,000個儲存庫每月會出現一個Subversion請求。</p> <p>現在官方認為，Subversion已經不再提供Git搬遷協助，但是Subversion系統的支援，就代表需要繼續支出維護成本。因此隨著GitHub的發展，以及Subversion請求數急遽下降，官方計畫將資源全部集中到Git，從2024年1月8日開始，GitHub會關閉並且移除Subversion，在2023年稍晚時，官方會試著執行數小時以及整天的中斷，加速用戶停用Subversion系統，也會在2024年1月8日之後發布第一個GitHub Enterprise Server版本，刪除對Subversion的支援。</p> </div></div></div>
2023/1/23 15:55作者李建興https://www.ithome.com.tw/news/155254
美機場電腦停機事件原因公佈：FAA約聘人員誤刪檔案釀災
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國1月中發生機場電腦停機導致國內班機大亂至少1天。美國聯邦航空總署（Federal Aviation Agency，FAA）<a href="https://www.faa.gov/newsroom/faa-notam-statement">近日對外說明大當機事故原因</a> ，是約聘人員誤刪檔案的結果。</p> <p>美國1月11日清晨FAA電腦發生問題，影響飛航公告（Notice to Air Missions，NOTAM）系統。為此FAA下令所有國內班機暫停起飛，又稱Ground Stop直到早上9點，以進行安全檢查及系統重啟，至少當天下午都還未完全恢復正常。根據FlightAware追蹤網站統計，將近1萬班次飛機延遲，並有近1,300多班次取消。美國主要航空公司包括美航、聯航、西南航空等都有一半以上班機受影響。</p> <p>當時FAA發言人指出，初步調查顯示，原因出在某個資料檔毁損。在最新的聲明中，FAA說明，經過調查，判斷是約聘人員在修正主要與備份資料庫時無意中刪除了數個檔案。他們仍然強調沒有發現是駭客攻擊的證據，但表示會持續調查。</p> <p>FAA還說已做了必要修復，採取步驟使NOTAM系統更堅固一點。FAA也說學習到教訓確保美國飛航管制系統的持續穩定營運。FAA 1月中的停飛是繼美國12月底暴風雪後，第二次各地航班大亂，也有人比喻這次Ground Stop程度好比2001年911事件。但華盛頓郵報<a href="https://www.washingtonpost.com/transportation/2023/01/11/what-is-notam-airlines-faa/">質疑</a>，何以錯刪幾個檔案就會導致整個系統停機。</p> <p>同一天加拿大的NOTAM<a href="https://www.forbes.com/sites/suzannerowankelleher/2023/01/12/canadas-air-alert-system-conspiracy/?sh=579b45fe7397">也傳出</a>電腦停機，時間大約發生在中午12:30。負責維護的業者NAV Canada約20分鐘後就排除狀況，並說該事件未造成任何航班延遲，雖然一家航空公司聲稱6個班次因此延遲。該公司<a href="https://simpleflying.com/canada-notam-disruption-2023/">對媒體表示</a>，事件出於NOTAM的電腦硬體問題，也不是網路攻擊的結果，且說和FAA事件無關。</p> </div></div></div>
2023/1/23 13:28作者林妍溱https://www.ithome.com.tw/news/155249
Google裁員1.2萬人，影響遍及全集團不同產品、功能、層級及地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在微軟宣佈裁員1萬人隔天，Google也<a href="https://blog.google/inside-google/message-ceo/january-update/">宣佈將裁減1.2萬人</a>，約佔總員工數的6%。</p> <p>Alphabet暨Google執行長Sundar Pichai上周四（1/19）透過官方部落格宣佈此事。和其他公司相同，Pichai說，過去兩年疫情期間，Google歷經驚人成長，因而招募不少人才，現今的經濟「不同以往」，暗示去年春天以降及2023年的景氣暗淡。他表示，為了「全力把握因公司強項、產品和服務及對AI的早期投資帶來的機會，」Google對各產品和功能領域做了嚴格檢討以確保人員和角色能符合公司第一要務要求。這次的裁員反映了檢討的結果，影響遍及Alphabet，不同產品、功能、層級及地區。</p> <p>1.2萬人佔Google 現有18.5萬名員工約6%。CNBC<a href="https://www.cnbc.com/2023/01/20/google-parent-to-lay-off-12000-workers-memo.html">報導</a>，受影響的部門包括招聘及一些公司核心功能，以及部份工程和產品團隊。Google將對受影響的美國員工支付最少60天預告工資、最少16周的資遣金、Google股票選擇權、2022年紅利及有薪假、醫療保險以及就職與移民支援等。海外員工則依當地法令。</p> <p>Google去年第3季已經警告經濟情勢嚴峻，將放緩招募，Pichai<a href="https://www.ithome.com.tw/news/152231">也發信</a>要求員工不要再懈怠。2023年第3季雖然整體營收成長，但營收主力的Youtube廣告下滑，加上重點業務Google Cloud及新創業務（The ）虧損擴大，拖累公司營業利潤衰退。Google並未揭露包括Nest、Google Pixel手錶、筆電在內的硬體業務營收。但同為雲端大廠的微軟、Amazon皆因硬體業務表現不佳而裁撤人力。Amazon也在本月宣佈裁員1.8萬人。Google預定在2月2日公佈2022年第4季及全年財報。</p> </div></div></div>
2023/1/23 13:33作者林妍溱https://www.ithome.com.tw/news/155250
傳ChatGPT威脅 Google 急Call創辦人幫忙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，感受到OpenAI 的AI服務的威脅，Google已要求兩位已退位的創辦人Larry Page及Sergey Brin重新協助監督AI計畫。</p> <p>紐約時報<a href="https://www.nytimes.com/2023/01/20/technology/google-chatgpt-artificial-intelligence.html">報導</a>，Open AI 去年11月展示對話式AI系統ChatGPT，在Google內部投下震撼彈，Google暨Alphabet執行長Sundar Pichai並宣佈「紅色警戒」，要求加速AI服務及技術的開發，以確保Google對話式AI模型 LaMDA的領先地位。Pichai力邀下，Page及Brin去年底回到Google監督AI新服務的推行計畫。</p> <p>Page與Brin<a href="https://www.ithome.com.tw/news/134590">自2019年從行政職退下後</a>，就把一些Google日常業務管理工作交給Pichai後就鮮少過問。他們主要著重在自己開發新事業推動，例如Page的飛天車公司，如果到Google則多半是討論新創業務（Others Business）。</p> <p>但消息人士指出，兩人對AI十分有興趣，上個月也已看過Google AI預計在今年5月Google I/O大會上公佈的AI服務。消息人士透露，軟體巨人已經規劃了將近20項AI相關服務，包括建立和編輯圖片的Generation Studio、供用戶體驗AI技術的AI Test Kitchen App第3版、虛擬購物試穿、Youtube綠幕功能、製作Pixel手機桌布、虛擬3D試鞋功能Maya、以AI做影片簡介，還有提供給軟體開發人員和企業AI工具，像是建立圖片的Google Cloud服務、可在瀏覽器環境下製作AI原型的MarkerSuite、以及2款協助撰寫Android手機應用程式的工具，包括Colab + Android Studio及PaLM-Coder 2等。</p> <p>在景氣不明、成長趨緩的危機下，Google上周<a href="https://www.ithome.com.tw/news/155250">宣佈裁員1.2萬人</a>，Pichai的公開談話也說明，AI將是該公司的策略成長業務。</p> </div></div></div>
2023/1/23 13:46作者林妍溱https://www.ithome.com.tw/news/155251
【資安週報】2023年1月16日到1月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，最受關注的是就是CentOS主機網頁管理介面元件<span class="notion-enable-hover" data-reactroot="" data-token-index="1" style="font-weight: 600;">Control Web Panel</span>（CWP）漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-44877">CVE-2022-44877</a>，去年10月已有更新修補釋出，如今隨著漏洞技術細節與PoC的公開，開始有駭客組織在攻擊行動中針對這項漏洞鎖定利用。</p> <p>此外，網路監控系統Cacti在12月修補的CVE-2022-46169漏洞，也傳出被攻擊者鎖定利用於植入惡意軟體的消息。至於其他關注漏洞消息，包括WordPress三個外掛程式、Git的重大漏洞修補，以及Oracle季度例行性修補。</p> <p>在資安新聞焦點方面，有研究人員在發現微星主機板預設執行任意程式的狀況，由於這將使得安全開機（Secure Boot）變得沒有作用，因而受到廣泛關注，該研究人員其實自去年12月於網路上多人討論此事，並在1月13日公布這項發現。而在攻擊新態勢上，除了有研究人員持續發現自帶驅動程式攻擊（BYOVD）的手法，還有濫用雲端IDE服務GitHub Codespaces的攻擊手法揭露。</p> <p>另外值得留意的是，月初CircleCI發布公告說明正調查資安事件，如今已有最新調查結果公布，該公司指出攻擊者之所以能從遠端盜用身分獲得存取控制權限，原因出在其工程師筆電在半個月前遭植入惡意軟體，攻擊者進而劫持了有效的2FA SSO Session Cookie。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月16日】WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</span></strong></a></h3> <p>又有WordPress外掛程式出現重大漏洞，而有可能被用於攻擊行動的情況！資安業者Tenable一口氣揭露3款外掛程式的SQL注入漏洞，其中有2個漏洞不需身分驗證就能利用，CVSS風險層級達到9.8分，但研究人員指出，第3個漏洞雖然需要通過身分驗證，但駭客只要以讀者的身分註冊，就有機會觸發。</p> <p>針對網路監控系統Cacti特定漏洞而來的攻擊行動，也同樣引起研究人員的高度關注。兩家資安業者與非營利安全組織提出警告，他們發現12月修補的漏洞CVE-2022-46169已被用於攻擊行動，但全球至少有四分之一的Cacti實體執行含有漏洞的版本。</p> <p>防毒軟體提供的密碼管理工具也可能成為帳號填充（Credential Stuffing）攻擊的目標！資安業者Gen Digital向防毒軟體NortonLifeLock用戶發送通知，表示部分用戶的密碼管理器遭到相關攻擊而導致帳號被挾持，儲存的帳密恐遭到外洩。</p> <h3><a href="https://www.ithome.com.tw/news/155198"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</span></strong></a></h3> <p>DevOps業者CircleCI甫於昨日（1月16日）公布資安事故的調查結果，現在有雲端服務業者證實他們也受到這起事故波及，但初步認定僅有部分使用者有可能曝險。</p> <p>被用於管理CentOS伺服器的元件Control Web Panel（CWP），在10月底被修補的漏洞CVE-2022-44877近期出現了攻擊行動，使得研究人員呼籲IT人員應儘速套用新版程式。</p> <p>主機板廠商調整的UEFI配置也有可能造成風險。有研究人員發現微星在一年前更動主機板韌體的預設配置，有可能導致近300款主機板的UEFI安全開機機制失效。</p> <h3><a href="https://www.ithome.com.tw/news/155202"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</span></strong></a></h3> <p>新興的雲端開發工具有可能被駭客拿來散布惡意軟體！近日資安業者趨勢科技揭露濫用雲端IDE服務GitHub Codespaces的攻擊手法，並表示攻擊者還能透過事先設定完成相關組態的容器，建置更多惡意網站。</p> <p>研究人員針對微軟去年第4季修補的Azure伺服器端請求偽造（SSRF）漏洞說明細節，並指出有部分的漏洞不需身分驗證就能夠被利用，甚至攻擊者沒有Azure帳號也進行相關攻擊。</p> <p>Oracle於1月17日發布今年的第1個每季例行修補，當中針對多項產品發布更新，其中，資料庫系統MySQL就修補了近40個漏洞而相當值得留意。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155227"><strong><span style="color: rgb(0, 0, 0);">【1月19日】Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</span></strong></a></strong></p> <p>GitLab最近釋出新版本，目的是修補三個漏洞，值得關注的是，其中<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://github.com/git/git/security/advisories/GHSA-475x-2q3q-hvwq" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id--102576702" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">CVE </span></a><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="2" href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-19329384" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">-2022-41903</span></a>、<a href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89">CVE-2022-23521</a>都是重大層級漏洞，GitLab呼籲用戶盡速更新，對於無法立即更新的用戶，他們也提供了一些可降低風險的建議步驟供用戶暫時應變。</p> <p>勒索軟體的危害持續受企業關注，最近有資安業者表示，對於近來攻擊活動頻繁的BianLian勒索軟體，他們打造出解密工具，讓既有受害者能夠得以恢復檔案。</p> <p>資料庫配置不當的問題又一樁，這次研究人員揭露的是印度人力銀行Rocket有大批客戶資料因存放在可公開存取的資料庫而曝險，再次突顯雲端管理疏失的問題。</p> </div></div></div>
2023/1/22 09:56作者羅正漢https://www.ithome.com.tw/news/155235
推特更改開發者協議正式封鎖第三方客戶端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在許多推特第三方客戶端應用程式無法正常運作數天後，官方在<a href="https://twitter.com/twitterdev/status/1615405842735714304">推特開發帳戶發文</a>「推特正實施一直以來都存在的API規則，因此可能導致部分應用程式無法運作」。同時，推特也更新了其<a href="https://developer.twitter.com/en/developer-terms/agreement">開發者協議</a>，文中正式禁止第三方推特客戶端。目前推特API在非完整第三方客戶端中仍可以使用，官方僅禁止推特應用程式的替代應用程式。</p> <p>在1月12日時，許多第三方推特客戶端出現故障，不少第三方推特客戶端出現有推特API相關的錯誤，疑似推特API發生出現問題，包括Tweetbot、TweetDeck和Twitterrific等應用程式的各平臺版本都受到影響，當時由於未有官方消息傳出，因此無法確定為暫時性的故障，還是官方刻意為之。</p> <p>而現在情況終於明朗，官方正式宣布他們強制實施API規則，因此使第三方客戶端無法運作，在最新的推特開發者協議中寫道「推特禁止開發者使用或是存取授權材料，創建替代或是類似推特應用程式的服務和產品。」</p> <p>馬斯克（Elon Musk）收購後推特後，該平臺推行許多功能更新造成用戶不滿，不過早在2017年底，推特試圖修改API政策，以新API取代原先串流連線功能時，<a href="https://www.ithome.com.tw/news/122300">開發者社群就曾發公開信向推特抗議</a>。由於第三方客戶端無法替推特帶來任何廣告收入，因此推特現在或想限縮第三方客戶端，讓用戶只能使用會顯示推特廣告的官方應用程式存取推特平臺。</p> <p>這與推特最近更新用戶時間軸，增加廣告數量和頻率，以及強制預設部分平臺使用者啟用「為你推薦」頁籤的行動一致，目的皆是要增加平臺廣告曝光的作法。</p> <p>開發者社群認為，第三方客戶端雖然沒有為推特帶來廣告收入，但是仍對推特生態系有一定的貢獻，像是在部分沒有推特原生應用程式的平臺提供應用程式，官方過去也曾吸收第三方客戶端Tweetie開發者，並開放Tweetie作為官方程式供用戶下載，甚至是收購TweetDeck納為官方服務。</p> </div></div></div>
2023/1/21 14:00作者李建興https://www.ithome.com.tw/news/155232
維基百科更新桌面網頁介面，提升可用性整體閱讀體驗更舒適
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在維基百科（Wikipedia）邁入22歲生日後，官方歷經十多年再次推出<a href="https://wikimediafoundation.org/news/2023/01/18/wikipedia-gets-a-fresh-new-look-first-desktop-update-in-a-decade-puts-usability-at-the-forefront/">桌面網頁介面更新，</a>由全球志願者考量可用性改進維基百科介面，使讀者能夠以更輕鬆地方式，取用和探索維基百科。目前該更新已經正式推出，維基百科所提供的318種語言，已有94％語言版本使用者可以看到更新，不過中文使用者還要再等等。</p> <p>新的維基百科介面限制了主題文章的最大行寬，讓閱讀更加舒適集中，官方提到，根據研究限制長文字的行寬，可以帶來更好的閱讀體驗。維基百科桌面更新還帶來了新的搜尋體驗，使用者可以利用圖像和描述，在維基百科中更容易地找到文章，測試證明這項改進能夠提升用戶30％的搜尋。</p> <p>用戶在瀏覽文章時，能夠透過新的目錄設計，掌握正在瀏覽的文章段落，在用戶滾動頁面時，目錄仍會持續留在可見範圍，供用戶快速導航至其他段落。文章左上角新增折疊選單，在用戶瀏覽文章時能夠收起冗長的連結選單，避免讀者因為過多的選項分心。</p> <p>新介面使用戶更容易切換語言，多語言讀者和編輯可以更快找到目標語言，在300多種語言間切換。頁面標題列加入黏性滾動（Sticky Scroll）設計，在用戶登入之後，常用的搜尋、頁面主題和用戶登錄等元素，會在用戶滾動頁面瀏覽內容時，持續呈現在網頁最上方，而這個設計可以讓用戶更專注於瀏覽和編輯，減少滾動疲勞，經測試此設計可減少滾動率15％。</p> <p>新的維基百科介面由30多個來自全球不同的志願者團體，參與概念發想、產品開發、測試和正式推出等階段。維基百科新版介面已向大部分語言版本使用者開放，不過中文包括臺灣正體版本和香港繁體等語言版本，目前仍維持使用舊介面，用戶可以先切換語言至英文版本，搶先體驗新介面。</p> </div></div></div>
2023/1/21 14:02作者李建興https://www.ithome.com.tw/news/155233
Visual Studio 2022新增輔助功能與拼字檢查工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟預計在<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-17-5-preview-3-is-here/#intent">Visual Studio 2022 17.5</a>加入幾項好用功能，使開發者能夠快速編寫更可靠的程式碼，包括拼字建議和輔助功能檢查，同時Visual Studio還加入意圖建議功能，運用機器學習理解程式碼，提供用戶可執行的更改。</p> <p>Visual Studio 2022現在能夠檢查用戶的拼寫，確保輸入的單詞正確，拼寫檢查功能預設在C#、C++或Markdown檔案開啟時自動啟動，並且標記拼寫錯誤的單字提醒用戶更正，當錯字屬於識別符號時，拼寫檢查功能還會協助開發者進行重構，維持程式碼在可編譯的狀態。拼寫檢查功能使用EN-US字典，以及用戶正在使用的Windows顯示語言字典。</p> <p>開發者也可以忽略拼寫問題，只要在Visual Studio出現提示時選擇忽略，Visual Studio便會在本地端電腦的AppData資料夾，創建exclusion.dic檔案，當特定單字被設定為忽略時，也會在所有Visual Studio實例中被忽略。</p> <p>Visual Studio還整合輔助功能檢查器，可以檢測基於XAML桌面應用程式常見的輔助功能問題。微軟提到，輔助功能檢查器使用和輔助功能分析工具相同的Axe-windows引擎，該引擎原是Visual Studio內部團隊，用於測試輔助功能的工具。現在開發者只要點擊輔助功能檢查按鍵，Axe-windows引擎便會掃描正在執行的應用程式，找出存在的輔助功能問題，並在視窗列出規則、描述和解決辦法等說明。</p> <p>在新版本中，Visual Studio還會根據最近的變更，在編輯器中提供行內建議，這項功能是運用機器學習演算法，來理解程式碼的前後文，並根據開發者所做的變更，建議開發者可以執行的行動。另外，在Visual Studio 2022 17.5中，開發者將可以使用Microsoft.Data.SqlClient資料供應程式，從伺服器資源管理器和資料來源配置嚮導中連接SQL Server資料庫。</p> </div></div></div>
2023/1/21 14:04作者李建興https://www.ithome.com.tw/news/155234
TP-Link二款SOHO路由器有2個尚未有修補程式的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kb.cert.org/vuls/id/572615" target="_blank">研究人員發現</a>小型企業用路由器業者TP-Link二款產品存在遠端程式碼執行（remote code execution，RCE）及資訊洩露漏洞，而且目前還沒有修補程式。</p> <p>卡內基美隆大學電腦網路危機處理暨協調中心（CERT Coordination Center，CERT/CC）公告由微軟研究人員James Hull發現的二款漏洞，存在於TP-Link小型企業適用的路由器韌體，產品型號分別是150Mbps的WR710N-V1-151022及雙頻無線路由器Archer C5 V2。其中WR710N-V1-151022問題韌體為2015年10月22日釋出的版本，而Archer C5 V2受影響的韌體，則為2016年2月1日釋出的版本。</p> <p>兩項RCE漏洞分別是CVE-2022-4498及CVE-2022-4499。其中CVE-2022-4498是HTTP基本驗證（Basic Authentication）模式中的緩衝溢位漏洞。當系統使用HTTP基本驗證時，遠端攻擊者可傳送惡意封包，造成httpd精靈的記憶體堆積溢位而毁損，導致httpd程序的阻斷服務（denial of service，DoS），或是讓攻擊者遠端執行任意程式碼。CVE-2022-4498 CVSS 3.1風險值高達9.8。</p> <p>CVE-2022-4499則是發生在httpd精靈的strcmp()函式中的旁路攻擊（side-channel attack）漏洞。攻擊者可藉由量測驗證使用者名稱和密碼憑證過程的反應時間，而猜出使用者名稱、密碼的每個字元，這就可能造成資訊洩漏。CVE-2022-4499 CVSS 3.1風險值為7.5。</p> <p>CERT/CC說，目前尚未發現有可用的解決方案。這顯然需要TP-Link發布韌體更新。不過CERT/CC說，他們在去年11月2日通知廠商後，截至今年1月17日還沒接獲回應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-tplink-vulner-600.png" style="width: 600px;" /></p> </div></div></div>
2023/1/20 14:53作者林妍溱https://www.ithome.com.tw/news/155231
T-Mobile又遭駭！3,700萬客戶個資遭駭客竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001283699/000119312523010949/d641142d8k.htm">在電信公司T-Mobile提交給美國證券交易委員會的8-K表格</a>中，揭露惡意攻擊者已經存取該公司3,700萬客戶，包括姓名、帳單地址、電話號碼、帳號等個人資料，即便目前事件還在調查當中，但T-Mobile認為惡意行動已經被完全阻止。</p> <p>在1月5日時，T-Mobile發現有惡意攻擊者在未經授權的情況下，透過API存取資料，T-Mobile和外部網路安全專家隨即展開調查，在發現當天就追蹤到惡意活動的來源，並採取措施封鎖該活動，官方表示，目前惡意活動已經完全被控制，也沒有證據顯示，攻擊者破壞T-Mobile的系統或是網路。</p> <p>本次洩漏的是一組客戶帳單資料，包含姓名、帳單地址、電子郵件、電話號碼、出生年月日、T-Mobile帳號，以及帳戶線路數量和資費方案等資訊，T-Mobile提到，因為他們系統和政策的限制，因此更敏感的財務資料並未暴露，該API不會洩漏包括信用卡資料、社會安全碼/稅號，或是金融帳戶資訊等。</p> <p>目前調查還在進行中，而調查初步結果顯示，攻擊者從2022年11月25日就開始透過該API檢索資料，已經擷取約3,700萬客戶已付或是預付帳戶資料。T-Mobile正調查其他未經授權的活動，並且已就本次事件通知聯邦機構以及受影響客戶。</p> <p>T-Mobile資安事件層出不窮，近年的重大資料洩漏事件包括2018年T-Mobile被駭，有200萬客戶姓名、電子郵件信箱及加密密碼外洩，當時也是惡意攻擊者透過API竊取用戶個資，2019和2021年也發生多起資料洩漏事件，還有駭客在地下論壇，販售1億筆T-Mobile用戶資料庫，2022年中T-Mobile才就該事件，與7,000萬用戶以3.5億美元達成和解。T-Mobile也在去年時被爆出遭到駭客組織Lapsus$入侵，被竊走多個專案的程式碼。</p> <p>T-Mobile在其8-K表格最後提到，雖然T-Mobile預測需要對該事件付出大量費用，但是他們預計該事件不會對客戶行為產生負面影響，也不會對公司營運產生重大影響。畢竟經過近年多次資安事件，T-Mobile及其客戶可能都對事件處理和反應不陌生。</p> </div></div></div>
2023/1/20 14:58作者李建興https://www.ithome.com.tw/news/155230
Getty Images控告AI繪圖工具商Stability AI侵害版權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-statement" target="_blank">知名圖庫業者Getty Images本周控告</a>AI繪圖工具業者Stability AI以其網站圖片訓練AI模型以用於營利，已對其版權造成侵害。</p> <p>Stable Diffusion是知名深度學習圖像生成模型。它可根據使用者輸入的文字描述產生圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-Stable%20Diffusion%20Playground-600.png" style="width: 500px;" /></p> <p>Getty本周向倫敦法院控告Stability AI侵害圖片著作智財，認為Stability AI在未經授權情況下，複製和處理數百萬張Getty Images擁有或代表、有版權保護的圖片及相關metadata，並且從中獲取商業利益，也侵害了內容創作者的權益。</p> <p>Stable Diffusion和OpenAI的DALL-E 2、Midjourney、DreamUp等其他AI圖像生成模型一樣，必須先以大量圖片訓練，而這些資料集往往來自網路或公開圖庫，這引發圖像創作者或圖庫業者的不滿。</p> <p>Getty Images指出該公司相信AI有激發創意活動的潛力，因而他們也提供圖片授權給科技業者訓練AI系統，確保尊重個人及智財權。但Stability AI卻忽略有可用的授權方案，以及法律對創作者商業利益的保障，而從未向Getty詢問任何授權。</p> <p>基於AI訓練過程的版權爭議，去年Getty和一些小型藝術圖片網站宣佈禁止銷售以AI合成的圖片，以避免侵權疑慮。另一圖庫業者<a href="https://www.ithome.com.tw/news/153831" target="_blank">Shutterstock推出</a>使用者輸入文字條件，由OpenAI模型即時產出圖片的付費服務，但其網站禁止銷售OpenAI以外模型產生的圖片，並宣布貢獻者基金，針對其圖片曾被用於訓練AI模型的人，以及其智財被使用的貢獻者提供補償。。</p> <p>Getty和一些小型藝術圖片網站則是宣布因為站上充斥著以AI合成的圖片，而禁止銷售以AI合成的圖片，以避免侵權疑慮。</p> </div></div></div>
2023/1/20 13:47作者林妍溱https://www.ithome.com.tw/news/155229
【VMware vSAN儲存平臺史上最大規模架構革新】vSAN 8 ESA儲存架構深度解析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11131114-zhuan_ti_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週的儲存月報中，對於VMware在vSAN 8儲存平臺新引進的「Express儲存架構（Express Storage Architecture，ESA）」，我們簡單扼要地介紹了這種新型架構的特點，以及與vSAN原有儲存架構（Original Storage Architecture，OSA）的差異。</p> <p>而在這個專題中，我們將從底層構造與運作原理著手，進一步解析ESA架構，以便更深入認識這項堪稱vSAN問世以來最重大的技術變革。</p> <p>ESA架構的目的，是讓vSAN這個問世已有9年的平臺，跟上IT應用環境的變化，充分應用當前新一代固態儲存硬體的效能，並滿足用戶對於簡化儲存管理，提高儲存資源利用效率，以及對於改善快照等資料服務的效率、減輕資料服務功能帶來的負載等需求。</p> <p>VMware指出，在開始開發vSAN的2010年代初期，當時基於的主流伺服器組態，是4到10核心處理器，搭配硬碟結合SAS/SATA SSD的混合儲存配置，以及1/10Gb的網路規格。</p> <p>而到了10年後的今日，伺服器主流規格已經大不相同，處理器可達到64核心以上，在儲存與網路組態方面，NVMe介面SSD，以及25/100Gb乙太網路，也都越來越普及。</p> <p>而用戶的應用環境與型態也較過去更為複雜，例如，10年前的用戶多是以本地端應用為主，而今日的用戶已普遍使用了公有雲服務，面對的工作負載也多了容器（Container）這種嶄新的型式。</p> <p>這也帶來了更新vSAN底層架構的需求，才能適應與發揮當前新一代硬體的效益，並因應用戶端更為複雜的應用環境，以及更多樣化的應用需求。</p> <p>相較於過去vSAN的原有儲存架構（OSA），新的ESA架構主要改進之處，在於這2個面向：</p> <p><span style="color:#B22222;"><strong>● 儲存硬體改用NVMe全快閃儲存</strong></span></p> <p>vSAN最初是採用SSD結合硬碟的混合儲存架構，vSAN 6.0開始支援全快閃儲存組態，而vSAN 8.0的ESA架構進一步提供了全NVMe快閃儲存組態，</p> <p>ESA架構也搭配新的儲存池（Storage Pool）管理架構，取代過往vSAN採用的磁碟群組（Disk Group）管理架構，以配合當前主流的NVMe儲存硬體，發揮新一代硬體的效能，同時簡化儲存管理架構的複雜性。</p> <p><span style="color:#B22222;"><strong>● 提供改進的I/O處理架構，以及資料服務功能</strong></span></p> <p>透過日誌結構（log-structured）檔案系統，以及日誌結構物件管理器（object manager）等2大新的軟體元件為核心，提供更具效率的新I/O處理架構，以及改進的壓縮、加密與快照等資料服務功能，並提高RAID-5/6 erasure coding架構的效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%961.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong><span style="font-size:20px;">適應技術變遷的基礎架構升級</span><br /> 當前企業用戶的IT應用環境，相較於VMware開始開發vSAN的2010年代初期，已有非常大的變化，不僅伺服器處理器核心數大幅提高，儲存裝置與網路速度也都更快，用戶的工作負載也更複雜，這也促使VMware在vSAN 8中引進全新的ESA儲存架構，以適應用戶應用型態與硬體環境的變遷。</strong><span style="font-size:14px;">圖片來源／VMware</span></span></p> <p><span style="font-size:28px;"><strong>vSAN的固態儲存進化之路</strong></span></p> <p>在ESA架構提供的新功能中，最重要的部分，便是基於全NVMe SSD配置的儲存組態，是相對於vSAN過往儲存硬體架構的根本性改變。</p> <p>在VMware開始開發vSAN的2010年代初期，全快閃儲存架構仍十分昂貴，當時的主流儲存架構，是結合SSD與傳統機械式硬碟的混合架構，</p> <p>因而2014年初問世的vSAN最初版本，便是採用SSD搭配硬碟的混合儲存組態為基準，由SSD作為資料快取層，硬碟作為儲存容量層，並以磁碟群組（disk group）作為磁碟組態的基本單位。每個磁碟群組包含1到7臺用於提供儲存容量的硬碟，搭配1臺快取用SSD。每臺vSAN節點，可包含最多5個儲存群組。</p> <p>快取層的SSD提供了讀取快取與寫入緩衝功能，系統預設以70%的快取用SSD容量作為讀取快取，30%容量作為寫入快取，快取與寫入緩衝的最大容量上限可達600GB，藉此將可大幅減少前端應用程式直接存取磁碟群組硬碟的機率，從而提高整體I/O效能——儘管硬碟是資料儲存的最終目的地，但是在SSD快取層的中介之下，VM與應用程式端絕大多數的讀、寫I/O需求，都是由快取用SSD來回應，應用程式將能得到SSD等級的效能與延遲。</p> <p>後來隨著快閃儲存應用的逐步普及，到了2015年初發布的vSAN 6.0版，除了繼續沿用原有的混合儲存組態外，也增加了支援全快閃組態的能力，允許全部使用SSD來構成vSAN的儲存資源，不僅資料快取使用SSD，資料儲存空間也可使用SSD來構成。</p> <p>不過，vSAN 6.0的全快閃組態仍保留了vSAN原有的磁碟群組管理架構，以及快取層與容量層兩種儲存層級的區分，VMware的建議以速度較快、高耐用的SSD或PCIe SSD卡作為快取層，搭配成本相對較低的大容量SSD作為容量層。另一與先前混合儲存組態不同之處，是vSAN在全快閃組態下，快取層SSD只提供寫入緩衝功能，因而所有讀取I/O，都是直接由容量層的SSD來承擔。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%962.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong><span style="font-size:20px;">vSAN OSA與ESA架構的差異</span><br /> vSAN原有架構（OSA）採用快取層與儲存層的雙層架構，以及磁碟群組管理架構，新的ESA架構改用單一NVMe SSD儲存層，與更簡單的儲存池管理架構，可兼顧效能提升與儲存容量利用效率。</strong>圖片來源／VMware</span></p> <p><span style="font-size:28px;"><strong>ESA架構的單一NVMe快閃儲存層</strong></span></p> <p>而到了2020年代的今日，快閃儲存的應用已更加普及，依照VMware的宣稱，目前的vSAN有70%的比例，都是執行在全快閃SSD陣列上。</p> <p>但另一方面，雖然早在6.0版的vSAN，就已能支援全快閃儲存組態，然而vSAN既有的磁碟群組架構，並無法充分發揮全快閃組態的優勢。</p> <p>如前所述，vSAN 6.0的全快閃組態，仍然沿用了快取層與容量層的雙層架構設計，每個磁碟群組中仍必須配置專門快取用的SSD，作為寫入緩衝使用。</p> <p>問題在於，由於資料快取與資料儲存層同樣都是SSD，除非分別採用效能差距極大的SSD款式，否則，快取SSD提供的寫入緩衝，給整體I/O效能帶來的效益並不大。</p> <p>也就是說，SSD快取與緩衝功能只能在「SSD+硬碟」混合配置之下，發揮最大效益，在「全部搭配SSD」配置下，效果便大打折扣，反而造成vSAN儲存資源配置上的限制，每個儲存群組依然得專門配置1臺SSD作為快取，既消耗了寶貴的SSD容量，卻又得不到顯著效益。</p> <p>於是，vSAN 8新發展的ESA架構，徹底捨棄了以往磁碟群組的資料快取與資料儲存雙層架構，改為透過儲存池（storage pool）提供單一NVMe SSD儲存層，利用這種全面NVMe SSD化的組態，讓所有I/O都享有NVMe SSD的高效能，因而不再需要以往的SSD快取與緩衝，所有儲存裝置都可用於提供儲存容量，如此一來，既可發揮當前新一代硬體的效能優勢，同時也有更高的資源運用效率與彈性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%963.jpg" style="width: 600px;" /></p> <div> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>ESA架構的軟體堆疊</strong></span></span></p> <p><span style="color:#696969;"><strong>vSAN ESA架構在軟體堆疊中引進2項新元件：LFS檔案系統與日誌結構物件管理器，提供了改進的I/O處理架構與資料服務功能，而用戶則仍可以原有的vCenter執行管理。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> <p><span style="font-size:28px;"><strong>新的I/O處理架構</strong></span></p> <p>配合新的NVMe SSD單一儲存層架構，vSAN 8的ESA架構引進了2項新的軟體元件，藉此改進I/O處理程序。</p> <p>第1項新元件，是簡稱為vSAN LFS的日誌結構（log-structured）檔案系統，LFS在資料寫入程序中，引進了效能分支（performance leg），以及容量分支（capacity leg）等2個概念，基本上，我們可以把這2個作業分支，理解為寫入程序的2個階段，分別對應以往vSAN快取/緩衝層與儲存層的角色。</p> <p>其中效能分支提供類似寫入緩衝的作用，LFS首先會接收寫入資料，然後合併資料，並與其meta data打包，一同寫入到用於暫時保存的持久性日誌（durable log），隨後便向上層回覆完成寫入I/O，迅速回應VM端的寫入作業，將寫入延遲降到最低。</p> <p>而持久性日誌則是以RAID-1鏡像複製方式，將寫入資料複製多份、再分散寫入vSAN叢集多臺節點的多臺SSD上，所以個別主機或SSD的失效，不會影響到寫入資料的完整性。而且，鏡像複製不涉及parity運算，也能提供較高的速度。</p> <p>隨著持久性日誌資料的累積，LFS為了騰出持久性日誌的空間，用於新寫入資料，會將較舊資料將轉到容量分支。</p> <p>LFS會將寫入資料的負載本體與meta data拆開，其中資料負載本體儲存在容量分支key value儲存庫，依照用戶設定的不同保護層級（RAID-5、6等），將資料合併為合適的stripe大小，再實際寫入目的地。而meta data先寫入到效能分支的metadata日誌（metadata log），保存一段時間，讓立即可用的metadata盡可能保持在最大數量，當metadata日誌滿載後，再轉為更具空間效率的B-Tree格式儲存。</p> <p>由於LFS容量分支會合併多個小型寫入I/O，只以完整的stripe大區塊將資料寫入SSD，可發揮「減少寫入I/O數量、避免零碎寫入I/O」的功效，從而達到減少寫入放大、降低CPU處理負荷的效益，連帶也能減少SSD的寫入損耗。</p> <p>至於效能分支所使用的鏡像複製份數，以及容量分支採用的srtipe數量，都是視用戶設定的系統保護政策而定，前者與用戶設定的系統失效容許數量（FTT）有關，後者則反映RAID類型。</p> <p>第2項新元件，是為LFS提供儲存作業服務的日誌結構物件管理器（object manager），其下包含了3項主要元件：首先，是提供平行I/O處理作業的I/O平行區塊引擎（parallel block engine）；其次，是用於資料與metadata儲存的鍵值（key value）儲存庫，以及用於管理儲存裝置頻寬的IO layer。</p> <p>由於在ESA架構下，只有NVMe SSD構成的單一儲存層，所以，在物件管理器的控制下，LFS使用一種新的物件格式，在同個物件同時儲存效能分支與容量分支的資料，而底層的每一臺NVMe SSD，也都同時用於LFS效能分支的寫入資料暫存，與LFS分支路程的資料本體儲存，以及metadata儲存用途。</p> <p>LFS與日誌結構物件管理器，主要都是針對vSAN個別節點內部的I/O處理，而針對跨多臺vSAN節點間的I/O處理，ESA架構則利用vSAN Network Traffic功能，提供智慧化的I/O管理機制，以便讓VM使用的網路流量，與vSAN節點間同步作業使用的網路流量，達到最佳的平衡，可讓每臺vSAN節點自動感知I/O調節，避免vSAN節點間的同步作業導致網路流量的飽和。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%964.jpg" style="width: 600px;" /></p> <div> <p><span style="font-size:20px;"><strong><span style="color:#696969;">LFS檔案系統的I/O處理程序</span></strong></span></p> <p><strong><span style="color:#696969;">LFS提供的改進I/O處理程序分為效能分支（Performance Leg）與容量分支（Capacity Leg）等2個階段：</span></strong></p> <p><strong><span style="color:#696969;">LFS首先將寫入I/O合併、打包後寫入效能分支的持久性日誌中暫存，然後便向VM回覆寫入完成。</span></strong></p> <p><strong><span style="color:#696969;">效能分支會將資料以鏡像複製方式，分散寫入多臺節點NVMe SSD中的持久性日誌儲存區。</span></strong></p> <p><strong><span style="color:#696969;">接下來LFS會將持久性日誌中的較舊的資料轉出，先將資料本體與metadata拆開，接著將資料</span></strong></p> <p><strong><span style="color:#696969;">本體交由容量分支將整併為完整的stripe區塊後，依照不同的RAID設定，分散寫入到多臺節點上。</span></strong></p> <p><strong><span style="color:#696969;">metadata則先保存在效能分支的metadata日誌，然後再轉為B-Tree形式存放。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> <p><span style="font-size:28px;"><strong>改進的資料服務功能</strong></span></p> <p>藉由引進LFS檔案系統，ESA架構也將壓縮、加密等資料服務功能，以及checksum檢驗功能，移到軟體堆疊中更高的層級執行，這意味著，在資料寫入底層與分散傳輸到其他vSAN節點之前，就已完成了壓縮、加密與checksun作業，從而可以減少這些作業的CPU與網路負載。</p> <p>在ESA架構下，壓縮功能是預設啟用，在LFS效能分支與容量分支將資料寫入SSD前，便已完成壓縮（壓縮後再寫入）。用戶可為個別VM啟用基於政策的壓縮功能，每4kB資料區塊的壓縮率，較OSA架構提高4倍。</p> <p>而加密是在壓縮之後進行，可藉此減少需要加密的資料量，而且由於加密是在上層執行，跨節點之間流動的資料都是已加密的，不像以往架構下，針對跨節點的加密資料傳輸，需執行額外的解密與再加密程序。</p> <p>除了快照與壓縮方面的改進外，ESA架構還利用新引進的LFS，透過LFS的B-Tree meta data儲存架構，將快照功能改為基於B-Tree、效率更高的尋找表（lookup table）架構，進而可讓快照整併與刪除的速度提高了100倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%965.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><span style="color:#696969;"><strong>兼具效率與可用性的ESA寫入機制</strong></span></span></p> <p><span style="color:#696969;"><strong>ESA的LFS檔案系統在不同寫入作業階段，採取不同的寫入機制。</strong></span></p> <p><span style="color:#696969;"><strong>效能分支會將寫入資料以鏡像複製方式，寫入到持久性日誌、metadate日誌與B-Tree中，鏡像複製不涉及parity運算，可提供較高速度，而資料複製的份數則依用戶設定的FTT而定。而容量分支則會以將資料負載本體以完整的Stripe區塊寫入Key vaule儲存庫，stripe切割方式依用戶設定的RAID層級而定。</strong></span></p> <p><span style="color:#696969;"><strong>上圖為FTT=2與RAID-6設定下的圖解，效能分支將資料複製3份再分散寫入到不同節點，容量分支則將資料拆成6個stripe區塊，然後分散寫入到不同節點。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> <p><span style="font-size:28px;"><strong>改進的RAID架構</strong></span></p> <p>vSAN 8 ESA架構透過引進新的LFS檔案系統與物件格式，不僅改善了I/O處理程序，連帶也改善RAID-5/6 erasure coding模式的效能。VMware宣稱，ESA架構下的RAID-5/6 erasure coding效能，可相當於RAID-1，這意味著用戶不再需要為了確保效能，而選用消耗空間較大的RAID-1，只需使用RAID-5/6 erasure coding，就能兼顧效能與容量節省。</p> <p>除了憑藉LFS檔案系統所帶來的RAID效能改善，ESA架構還進一步提供了新的模式，稱為自適應（Aadaptive）RAID-5 erasure coding，主要的應用目的，是改善使用RAID-5 erasure coding模式的小規模vSAN叢集空間利用率。</p> <p>所謂的「自適應」，指的是這種模式可以視vSAN叢集節點數量，自動調整資料配置結構。當應用在規模3到5臺節點的vSAN叢集時，RAID-5 erasure coding會自動使用2+1的資料配置結構（2個資料區塊+1個parity區塊）；當應用在6臺節點以上的vSAN叢集時，則使用4+1的資料配置結構。</p> <p>在以往的OSA架構下，必須建置4節點以上的vSAN叢集規模，才能使用RAID-5 erasure coding，而較小規模的vSAN叢集，大多使用較占空間的RAID-1鏡像複製模式，此時的資料本體加上複本等資料保護機制，會占用掉相當於原始資料量2倍以上的容量；而現在小規模vSAN叢集，透過改用自適應RAID-5 erasure coding，只需耗用相當於原始資料量1.25倍或1.5倍的容量（4+1或2+1資料配置結構），就能達到與RAID-1相同的保護效果與同等效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%966.jpg" style="width: 600px;" /></p> <div> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>ESA改進的資料服務運作架構</strong></span></span></p> <p><span style="color:#696969;"><strong>在ESA架構下，壓縮、加密與Checksum檢核作業，都是更高的軟體堆疊層中完成，在LFS完成資料寫入作業前，就先行完成了這些資料服務作業，從而可減少CPU負荷與I/O放大，也減少了跨節點網路傳輸作業的頻寬需求。散寫入到不同節點。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> <p><span style="font-size:28px;"><strong>vSAN架構的全面「重構」</strong></span></p> <p>當前vSAN的底層I/O架構與主要的資料服務功能，其實是延續自6.x版的基礎上，6.0版提供了新的VMFS-FS檔案系統與新的磁碟格式，以及vSAN自身的vsanSparse快照，6.2版新增支援Erasure Coding組態，並引進壓縮、重複資料刪除與靜態加密功能等。至於後來的7.0.x版，主要更新重點放在擴展支援能力，以及管理功能的改進，例如增加原生的檔案存取服務，改進對於Kubernetes，至於底層I/O架構與資料服務功能方面的更新，著墨並不多，只有7 update1版新增傳輸加密，以及關閉重複資料刪除、僅啟用壓縮的選項等。</p> <p>這也就是說，vSAN 8.0所引進的ESA架構，是自vSAN 6.x版以來，時隔6年多後，首次進行的底層I/O架構與資料服務功能大翻新。</p> <p>但從另一方面來看，嚴格來說，ESA架構的重點並不是為vSAN提供「全新功能」，而是提供核心的「重構」，換句話說，是透過新的核心，讓相同的功能運行得更有效率。ESA架構提供的功能，其實沒有超過vSAN 6.x版的範疇，關鍵在於ESA是以新的底層架構，來提供相同的功能。</p> <p>舉例來說，早在vSAN 6.0版，就已支援了全快閃儲存組態，並提供vSAN原生的快照功能，接著在6.1版開始支援NVMe SSD，壓縮功能，以及RAID-5與RAID-6 Erasure Coding架構，都是6.2版時便已提供。</p> <p>而ESA架構雖然同樣是支援NVMe SSD，但同時也改用單一NVMe快閃儲存層的新框架，進而達到簡化管理、提高效能的目的。類似的，ESA架構透過基於LFS檔案系統而成的新軟體核心，以更有效率的方式，來提供快照、壓縮、加密，以及RAID-5/6 Erasure Coding等既有功能。</p> <p>反過來說，以往的vSAN OSA架構，即便採用同樣的全NVMe硬體，但受到舊的核心架構制約，效能與便利性也無法與ESA相比擬。</p> <p>但另一方面，由於ESA架構是專門針對NVMe全快閃儲存環境設計，對於硬體的要求較高，用戶得準備全面配置NVMe SSD、且已通過ESA相關認證的vSAN ReadyNodes主機，以及vSAN Advanced版授權。所以VMware也未要求vSAN 8一定要使用ESA架構，而只是作為一個選項，用戶仍然可以選用以前的OSA架構。但若條件足夠，我們認為用戶務必優先採用ESA架構，以發揮新一代硬體的效能。</p> <p><span style="color:#3399ff;"><span style="font-size:36px;"><strong>概觀vSAN快照功能的演進</strong></span></span><br /> <span style="font-size:20px;"><span style="color:#696969;"><strong>vSAN 8的ESA架構提供了更有力的全新快照功能，可以克服vSphere與vSAN原有的快照功能的局限，提供更靈活的資料保護與複本應用</strong></span></span></p> <p><strong>自vSphere平臺的誕生以來，快照這項技術，便被作為一種快速的資料保護與還原手段。但vSphere的快照功能一直存在許多限制，例如，快照運作的凍結時間與效能衝擊、快照整合作業的負擔，以及快照的應用規模有限等。</strong></p> <p><strong>而vSAN 8 ESA架構中的快照功能，是vSphere平臺的第3代快照功能，克服了以往vSphere快照在應用規模、效能方面的問題，成為一項更有力的工具。</strong></p> <p><span style="color:#B22222;"><strong>vSphere與vSAN快照功能的演變</strong></span></p> <p><strong>在VMFS 5以前，vSphere採用的是VMFSsparse快照，主要是基於VMFS檔案系統的redo-log異動日誌來運作，屬於copy-on-write型式的snapshot技術，但有著2TB磁碟容量（VMDK）的上限，而自VMFS 5開始，可以應用在超過2TB的磁碟上。</strong></p> <p><strong>從VMFS 6起，vSphere引進了略為改進的VMFS SEsparse快照，改善空間效率，並降低快照合併，以及連續使用下的效能影響，然而，此時仍不適合大規模、長時間使用。理論上，VMFS快照允許為每個VM建立最多32份快照，但VMware建議，最多只使用2至3份快照，且不要連續啟用快照超過48小時，並避免對延遲敏感性高的VM負載，使用深度的快照鏈（deep snapshot chains）。所謂的深度快照鏈是指，對一個來源端磁碟連續執行多次快照後，所形成一連串彼此相依的多份快照。</strong></p> <p><strong>與vSphere 5.5一同推出的最初版本vSAN，直接沿用了VMFS快照，直到vSAN 6.0，VMware才引進vSAN自身的vsanSparse快照，改用redirect-on-write型式的快照技術，擴展了快照應用規模，可為每個VM提供完整的32份快照，並透過記憶體快取改善了快照讀取效能，但快照導致的凍結時間，以及長時間運行後的快照合併，仍然是個問題。</strong></p> <p><strong>而vSAN快照功能的侷限，也制約了快照應用面向。今日的企業用戶，不僅只希望將快照用於備份與資料保護，還希望能夠對目標磁碟執行更多快照，並將快照保留更長的時間，以便支援自動化的持續作業，例如複本資料管理（Copy Data Management），以及軟體開發的持續整合/持續交付（CI/CD）。</strong></p> <p><span style="color:#B22222;"><strong>ESA架構下的全新快照功能</strong></span></p> <p><strong>到了vSAN 8引進的ESA架構，則藉由ESA引進的LFS檔案系統，改用了全新的快照運作架構。</strong></p> <p><strong>ESA所用的快照，並不像早先版本的快照是基於redo-log異動日誌——由基礎（Base）磁碟加上增量磁碟組成的鏈型（chain）架構，而是利用LFS檔案系統的B-Tree型式meta data存放架構，提供效率更高的尋找表（lookup table）架構，透過metadata記錄的資料指針，可迅速找出對應於不同快照的資料區塊，減少快照導致的凍結時間，連續執行大量快照對系統效能的影響也大為減少，還免除了傳統快照的合併與刪除作業中，所帶來的運算與資料搬移作業。</strong></p> <p><strong>對於傳統的redo-log架構快照處理來說，大量累積的異動資料都是位於快照產生的增量磁碟中，若要刪除快照或將快照整併到基礎磁碟時，便會帶來龐大的資料搬移作業，因而快照的刪除、合併與整合，是傳統快照最消耗資源，但卻也是最常見的作業。</strong></p> <p><strong>而對ESA的快照來說，刪除快照或合併主要都是metadata方面的作業。舉例來說，刪除快照在邏輯上是立即生效的，稍後系統會於背景再實際刪除metadata與資料本體。這樣的特性，對於基於快照的SRM與遠端複製作業，都能帶來顯著的效能改善。而基於VADP API的VM備份軟體，在搭配ESA架構的vSAN叢集的時候，也將自動改用效率更高的ESA快照。</strong></p> <p><strong>理論上，ESA的快照是沒有數量限制的，但受vSphere平臺的限制，每個物件可建立的快照數量，仍與先前版本vSAN同樣是32份。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/vSAN8%20%E4%B8%BB%E5%9C%967.jpg" style="width: 600px;" /></p> <div> <p><span style="font-size:20px;"><span style="color:#696969;"><strong>ESA改進的快照功能</strong></span></span></p> <p><span style="color:#696969;"><strong>ESA架構基於LFS檔案系統提供了新的快照運作方式，可減少快照導致的停滯等待時間與效能衝擊，並大幅提高了快照刪除與整併的效率。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／VMware</span></p> </div> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/vmware">VMware</a></div><div class="field-item odd"><a href="/tags/vsan-8">vSAN 8</a></div><div class="field-item even"><a href="/tags/esa">ESA</a></div></div></div>
2023/1/20 00:00作者張明德https://www.ithome.com.tw/tech/155181
全臺最大規模保險區塊鏈應用，保戶、醫院和保險公司三方共贏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「原本只是3家保險公司各自與醫院交換資訊，但，這只是單向交換，後來，他們提議互相串接，彼此資訊共享，甚至是讓大家都能共享。」金融監督管理委員會保險局局長施瓊華指出。這一步也催生了全臺最大規模的保險區塊鏈應用，不止打通的多家保險公司之間的資料共享，甚至現在開始打通保險公司與醫院之間的資料共享可能性。</p> <p>早在2018年時，高雄榮總發起一項創新專案，找來台灣人壽、中信金控、中華電信等集團，要來打造一項保險理賠區塊鏈應用。他們看上了區塊鏈技術的好處，可以建立多方之間的信任，來加速患者保險理賠作業。由中華電信負責開發區塊鏈平臺，來記錄各項授權和資料的交換軌跡。</p> <p>需要申請理賠的病人，可以直接打開保險公司的App來提出理賠申請，台壽會傳送保戶的授權和個資給高榮，高榮再理賠所需的病歷資料傳給台壽來進行後續的理賠，病人也能在直接到官網或保險公司App上登入區塊鏈平臺，來查看自己的病歷資料，以及理賠進度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B1%86%E5%AD%90%E4%B8%BB%E6%96%87-600-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>金融監督管理委員會保險局局長施瓊華表示，未來電子保單累積夠多，保單內容都數位化後，就能擷取個別內容，來發展更多細緻的應用。保險身分認證如果其他主管機關承認，也可以跨出保險應用。</strong><span style="font-size:14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>醫院和保險公司流程數位化後，光理賠等待就省三分之一時間</strong></span></p> <p>光是打通保險公司和醫院之間的流程，就創造了很大的效益。高榮調查後發現，這個新做法，的確大幅縮短了民眾出院後，到獲得理賠的等待時間，從原本的13天縮短為3.6天，省了三分之二的時間，而且民眾還不用到處奔波申請紙本文件，醫院而言，一年可以省下211小時的病歷申請審查時間，而對壽險公司而言，每年也可節省近3,000小時的複雜理賠個案病歷調閱審查時間。2018年這個只是一家保險公司和一家醫院間的成功經驗，後來促成壽險公會，推動理賠聯盟鏈和理賠醫起通服務。</p> <p>壽險公會在2019年4月開始推動保險科技運用共享平臺POC，包括了區塊鏈底層技術，逐步發展各項金融科技服務。到了2020年6月，壽險公會先完成了一套電子保單認證與存證平臺的系統建置工作，當時先跟國泰人壽、新光人壽、台灣人壽、南山人壽、中國人壽、富邦人壽、三商美邦人壽、元大人壽等共8家壽險公司串通，成了打通壽險公司的重要第一個里程碑。</p> <p>2020年，保險科技運用共享平臺正式開辦「保全／理賠聯業務」正式開辦上線，更推出一站式服務，保戶只需於一家保險公司提出申請，透過系統通報其他同業，達到多家同步申請的效果，不用像過去得一家一家各自申請。不過，保戶仍須到保險公司繳交紙本醫療資料，以及理賠資料轉送同意書。當年12月也推動電子保單認證與存證服務，可以記錄投保與異動的歷程，也可以在日後對保單內容發生爭議時，成為公正的第三方佐證。2021年5月結合北市醫療院所推動保險理賠醫起通服務，整合了20家醫院，保險公司可以直接向醫院索取電子醫療資料，保戶也不用繳交紙本醫療資料，這就大大減少了保戶在保險公司和醫院之間兩頭跑的次數，減少到只需要去一次簽署紙本同意書。</p> <p>到了2022年5月，保險理賠醫起通進入1.5版，保戶終於只需要到保險公司一趟，就可以一次提供兩種同意書，不用再到醫院。另一方面，2022年中也推出保險存摺服務，民眾可以直接在線上看到自己的所有保單資料，更方便管理自己的保險情況。</p> <p>2022年底進一步啟用了保險業身分驗證中心功能，也就進入了理賠聯盟鏈2.0時期，可透過FACE ID或指紋快速登入，介接到線上申請保險理賠、查詢保險理賠聯盟鏈，或是保險理賠醫起通案件的申請轉送進度。保護不再需要向保險公司繳交紙本理賠資料轉送同意書，對於保戶來說，這就做到了理賠全程數位化。</p> <p>不只如此，去年底還發布了保險理賠醫起通，預計最快今年底可以導入醫院，最大變化是，民眾不只不需要再繳交任何紙本同意書，可以用保險存摺作為所有保險公司的身分認證，醫院上傳給保險公司的醫療資料，也不再是需要人工補登錄的PDF檔格式，而是結構化資料，可以直接整合到保險公司的系統，完全免人工，更能嘗試更多不一樣的應用。</p> <p><span style="font-size:28px;"><strong>電子保單結構化後，未來可發展更多數位應用</strong></span></p> <p>臺灣一年理賠給付案件超過1千萬件，給付金額也超過1,500億元。但統計到2023年初，保險存摺總會員才剛破30萬人，其中近半數是付費的白金會員。</p> <p>施瓊華表示，電子保單累積夠多，保單內容也數位化後就能擷取個別內容，發展進一步的數位化應用，例如歸納不同給付項目，未來可以朝這個方向來發展，甚至保險身份認證如果其他主管機關承認，也可以跨出保險產業的應用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王宏仁https://www.ithome.com.tw/news/155211
從跑馬路到上網路，理賠數位化流程大解密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>理賠申請從跑馬路，到上網路，困難之處不在資料交換技術本身，而是交換這些特種資料時，如何設計一套機制，既能簡化繁複申請流程，還能維護隱私、遵守法規、管理資安風險，以及確保資料正確性。</p> <p>去年年底上線，預計最快今年被醫院導入的保險理賠醫起通2.0，就用了環環相扣的授權及存證機制，來確保這些項目都達成。</p> <p><span style="font-size:28px;"><strong>醫起通2.0運作流程解析</strong></span></p> <p>保險理賠醫起通服務2.0版本中，若保戶是壽險公會推出的保險存摺會員，即能用這一個帳號作為身分認證，授權保險公司及醫院線上交換醫療及理賠申請資料，並一站式對多家保險公司提出理賠申請。</p> <p>首先，保戶必須選擇第一家保險公司作為申請入口，先將各式授權及申請資料一併交予這家保險公司，再由此家保險公司轉送到壽險公會資料共享平臺，供醫院及其他保險公司下載。</p> <p>第二步是登入會員來認證保戶身分。過去的醫起通版本中，這個步驟有一些不便。這是因為，要線上申請理賠，光是有保單資料不夠，還要註冊或登入為保險公司的網路會員，才能開始申請理賠。醫起通2.0中，這個問題得到大幅改善，保戶可以用保險存摺的會員身分作為認證，自動註冊並登入為任一家保險公司會員，做法有點類似用Google帳號做SSO登入。</p> <p>保戶登入第一家保險公司會員後，第三步是授權資料轉送給其他欲申請理賠的保險公司，並授權保險公司調度特定日期區間的醫療資料給保險公司。保戶可以根據欲申請理賠的保單類別，來決定需要授權的日期區間。</p> <p>保戶填寫完理賠申請資料及授權後，作為轉送方的保險公司會把這些資料傳送到共享平臺。同時，保戶申請紀錄會分別上金融業聯盟區塊鏈及可供第三方查驗的公有區塊鏈存證。</p> <p>接著，共享平臺會將醫療資料調度的授權轉交給醫院。醫院查驗授權無誤後，再上傳理賠所需醫療資料到共享平臺。現行版本下，醫院上傳的格式通常是PDF檔。升級到醫起通2.0後，則會改成結構化資料，不僅簡化院方上傳程序，之後保險公司系統也能將資料自動帶入到對應欄位。</p> <p>這些醫療加密時會產生雜湊值，醫院上傳資料後，這個雜湊值會上到醫院用的私有區塊鏈存證，以利保險公司收到這些醫療資料時，能驗證資料就是醫院上傳的同一份，未經惡意竄改。</p> <p>保險公司驗證資料無誤後，會從平臺下載所需醫療資料及理賠相關資料。當下載完畢，醫院傳送醫療資料的紀錄，以及保險公司存取這些資料的細節，會上到金融業聯盟鏈存證。</p> <p>保險公司各自取得審核所需資料後，即會開始審核理賠。若理賠金額低於30萬元，則保險公司會在審核通過後逕行賠付金額到保戶銀行帳戶。唯一例外情況是，根據金管會《保險業辦理「保全／理賠聯盟鏈」業務應遵循事項規範》，若保險公司審核後判定理賠金額大於30萬元，則會請保戶再提供紙本的理賠資料轉送同意書到第一家保險公司，確認送達後才能繼續理賠賠付。</p> <p><span style="font-size:28px;"><strong>3條區塊鏈存證，分散資料以顧及隱私</strong></span></p> <p>醫起通服務運用區塊鏈不可竄改特性作為存證機制，以確保交換資料的正確性。一旦有保險糾紛，也能查證鏈上紀錄作為可信任的證據。同時，透過分散不同鏈上記錄的資料種類，來顧及保戶隱私。醫起通應用了3條區塊鏈，分別是醫院用的Quorum私有鏈、保險業用的Hyperledger聯盟鏈，以及紀錄去識別化公開資訊的Polygon公鏈。</p> <p>醫院用私有鏈及保險業用聯盟鏈的資料都不會公開，僅用於資料交換時交互查證、比對用。公鏈上的數據則開放任何人查證，不過資料去識別化，且紀錄細節較少。就算外部人士知道特定保戶理賠案件在公鏈上的對應地址，也無法獲得任何敏感資訊，只有3條區塊鏈的資料合併一起看，才能得到最完整的案件細節。唯有法律糾紛等少數情況，由公正第三方要求壽險公會撈出另外兩條區塊鏈對應的紀錄時，才能調閱這些案件細節。</p> <p><span style="font-size:28px;"><strong>從聯盟鏈1.0到醫起通2.0，身分認證及資料交換效率是優化重點</strong></span></p> <p>相較傳統全紙本的理賠申請作業，全面無紙化的醫起通2.0不僅省去了大量時間，更節省了驚人的用紙量及作業成本。壽險公會保險業資訊科技共享平臺召集人翁仲和說，目前每年光是理賠聯盟鏈，就已經省去約10萬棵樹的用紙量，並減少了5至7億元紙本作業成本。</p> <p>嚴謹的授權流程及資料交換機制，更降低了糾紛案件數。翁仲和指出，保險業務非常容易起糾紛，案件數占金融業所有糾紛的6至7成。不過，目前理賠聯盟鏈和醫起通處理的數十萬理賠案件中，糾紛數接近於0。</p> <p>從理賠聯盟鏈1.0到保險理賠醫起通2.0沿革，可以看到壽險公會利用科技嘗試解決2大傳統理賠流程痛點：身分認證及資料交換效率。</p> <p>最傳統的紙本申請流程，保戶有幾家保險公司的保單要申請理賠，就得到醫院申請幾份紙本醫療資料，再前往每一家保險公司實體服務據點申請。申請紙本資料跟舟車勞頓的時間金錢成本令人困擾，若中間出現缺漏資料等意外，更會讓申請流程成為曠日廢時的惡夢。</p> <p>理賠聯盟鏈1.0，就是為了解決申請大量紙本資料及來回奔波於醫院和眾多保險公司的問題而生。這個時期，保戶只需要將紙本資料跟授權書交到一家保險公司，便可以申請多家保險公司理賠。</p> <p>為了進一步節省申請紙本醫療資料的麻煩，接下來推出的保險理賠醫起通1.0則把醫療資料交換無紙化。保戶只要於醫院臨櫃簽署授權書，就能讓醫院直接上傳所需資料給保險公司。後來的醫起通1.5時期，更能在保險公司完成授權簽署，再由保險公司代交給醫院，因此保戶只要去一趟保險公司，即能完成所有作業。</p> <p>到了理賠聯盟鏈2.0時期，保戶開始能選擇在線上認證身分，不再需要繳交任何紙本文件。預計年底上線的醫起通2.0，還進一步簡化了身分認證及資料交換機制，讓保戶不用註冊或登入個別保險公司會員，而是用保險存摺進行統一身分認證，醫院也多了上傳結構化資料的選項，而非PDF電子檔，省去人工上傳及登打作業。</p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:28px;"><span style="background-color:#3399ff;"> 理賠科技演進歷程 </span></span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 理賠聯盟鏈1.0<span style="font-size:14px;">（2020年7月）</span> </span></strong></span></p> <p><strong>先打通保險公司資料流，可一家申請多家理賠。但是，保戶仍須到保險公司繳交紙本醫療資料及理賠資料轉送同意書，也須到醫院繳交醫療資料調取同意書。保戶需註冊或登入聯盟其中一家保險公司的會員，才能開始在該保險公司網站透過聯盟鏈申請理賠</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 保險理賠醫起通1.0<span style="font-size:14px;">（2021年5月）</span> </span></strong></span></p> <p><strong>保險公司可直接向醫院索取電子醫療資料，保戶不再需要繳交紙本醫療資料</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 保險理賠醫起通1.5<span style="font-size:14px;">（2022年5月上線，醫院現行導入版本）</span> </span></strong></span></p> <p><strong>保戶可統一向保險公司遞交兩種同意書，不再需要去醫院</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 理賠聯盟鏈2.0<span style="font-size:14px;">（2022年12月）</span> </span></strong></span></p> <p><strong>保戶可線上認證身分，不再需要向保險公司遞交紙本理賠資料轉送同意書</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 保險理賠醫起通2.0<span style="font-size:14px;">（2022年12月上線，醫院最快今年年底導入）</span> </span></strong></span></p> <p><strong>保戶不須遞交任何紙本同意書，可用保險存摺作為所有保險公司的身分認證，醫院可上傳結構化資料，省去醫院人工上傳及保險公司人工登打資料的作業</strong></p> <p><strong><span style="color:#696969;"><span style="font-size:14px;">資料來源：壽險公會，iThome整理，2023年1月</span></span></strong></p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 保險理賠醫起通2.0運作流程大解析 </span></strong></span></span></p> <p><strong><span style="color:#3399ff;"><span style="font-size:20px;">保險公司端已經上線理賠聯盟鏈2.0的數位身分認證功能，保戶登入後就無需繳交紙本同意書；醫院端醫起通版本則在1.5，已經可以做到醫療資料交換無紙化。預計年底上線的醫起通2.0中，保戶將能用保險存摺登入來認證身分，醫療資料交換則能用結構化資料自動帶入，進一步節省保戶登入、醫院上傳及保險公司登打資料時間。</span></span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 步驟1 </span></strong></span> <span style="color:#B22222;"><strong>選擇申請入口</strong></span></p> <p><strong>選擇聯盟鏈成員其中一家保險公司的網路理賠服務作為申請入口</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟2 </span></strong></span> <strong><span style="color:#B22222;">認證身分</span></strong></p> <p><strong>現行1.5版時，保戶須自行到保險公司網站註冊或登入成為該公司的會員，作為身分認證機制。未來2.0版時，保戶改用保險存摺入口選擇首家保險公司自動登入，或是直接用保險存摺登入保險公司網站</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟3 </span></strong></span> <strong><span style="color:#B22222;">授權資料轉送及調度</span></strong></p> <p><strong>保戶授權保險轉交給哪些保險公司及調出醫療資料、保戶選擇資料調度區間、欲申請理賠的保單類別</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟4 </span></strong></span> <strong><span style="color:#B22222;">理賠申請資料轉送</span></strong></p> <p><strong>保險公司將理賠相關資料傳至平臺，供保戶指定的保險公司用作理賠審核</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟5 </span></strong></span> <strong><span style="color:#B22222;">申請紀錄上鏈存證</span></strong></p> <p><strong>保戶送出申請後，保戶申請紀錄會分別上金融業聯盟鏈及公開查閱用公鏈存證</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟6 </span></strong></span> <strong><span style="color:#B22222;">醫療資料上傳</span></strong></p> <p><strong>平臺向醫院請求醫療資料，醫院確認授權後上傳醫療資料。現行1.5版本中，以上傳PDF電子檔為主。未來2.0版時則是透過系統自動帶入結構化資料，簡化醫院上傳及保險公司登打作業</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟7 </span></strong></span> <strong><span style="color:#B22222;">醫療資料交換紀錄上鏈存證</span></strong></p> <p><strong>醫療資料的上傳紀錄上醫院用私鏈存證，以利保險公司驗證這些資料未被竄改</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟8 </span></strong></span> <strong><span style="color:#B22222;">保險公司存取醫療資料</span></strong></p> <p><strong>所有保戶授權的保險公司從平臺下載醫療資料及理賠相關資料</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟9 </span></strong></span> <strong><span style="color:#B22222;">醫療資料存取紀錄上鏈存證</span></strong></p> <p><strong>保險業者對醫療資料的存取細節會上金融業聯盟鏈存證</strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟10 </span></strong></span> <strong><span style="color:#B22222;">開始審核理賠</span></strong></p> <p><strong>保險公司各自開始審核理賠申請，若理賠金額小於30萬則能逕自賠付</strong></p> <p><span style="font-size:14px;"><strong><span style="color:#696969;">資料來源：壽險公會，iThome整理，2023年1月</span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者郭又華https://www.ithome.com.tw/news/155212
【醫界專家觀點：壽險公會顧問楊晴雯】醫院加入理賠區塊鏈首重流程梳理，年底將上線結構化資料傳輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在2022年最後一個月，理賠聯盟鏈2.0啟動試辦了，民眾動動手指就能完成理賠申請，不必再奔波於醫院和保險公司間，3天就能完成原本需要1、2周的醫療保險理賠作業。</p> <p>其中扮演關鍵要角的醫院，為何選擇這麼做？</p> <p><span style="font-size:28px;"><strong>優勢：省人力、便民、無紙化</strong></span></p> <p>因為「醫院可以節省櫃檯人力、便民，還能落實無紙化！」壽險公會顧問楊晴雯分析。他是這項計畫的一大推手，本身也擔任醫院IT主管十餘年，他指出，一直以來，醫院都得設置專屬櫃檯，來處理病人診斷證明書和病歷紙本資料影印，好讓民眾交給保險專員、辦理理賠。</p> <p>但醫院介接壽險公會保險區塊鏈聯盟科技運用共享平臺，能讓醫院和保險公司雙方系統直接溝通，民眾用手機App就能申請理賠，不僅不必在醫院、保險公司間奔波，還能省下排隊時間以及手續費。</p> <p>對醫院來說，這段流程自動化，不只落實無紙化，還能節省人工成本。甚至，位居醫院黃金位置的申請櫃檯，未來也許能解放、進行更多加值應用。</p> <p><span style="font-size:28px;"><strong>理賠聯盟鏈擴大至醫院</strong></span></p> <p>這項應用有2個核心元素：理賠聯盟鏈和保險理賠醫起通服務。</p> <p>理賠聯盟鏈是要集眾人之力，來一站式完成保險理賠作業，民眾只需向一家保險公司申請，資料就能互通，不必在不同保險公司間來回奔走。壽險公會先是在2020年推動理賠聯盟鏈1.0，後來將民眾填寫紙本同意書這一流程數位化，在2022年底發展出理賠聯盟鏈2.0。</p> <p>在這個基礎上，壽險公會進一步擴大至醫院，結合既有的保險理賠醫起通1.5版本服務，打通保險公司和醫院隔閡，民眾線上申請，醫院就能將診斷證明等PDF資料送至壽險公會區塊鏈平臺，平臺再傳遞給保險公司。</p> <p>過往，一家保險公司得與不同醫院簽署協議，來處理保戶理賠，等於M家保險公司得與N家醫院協談，「也就是M×N倍功，」楊晴雯比喻。而保險理賠區塊鏈平臺「就像是交換平臺，」保險公司、醫院都加入，就能完成資料傳輸，如此就能「將M×N簡化為M+N，大幅降低複雜度，」他說。</p> <p><span style="font-size:28px;"><strong>醫院首要工作是梳理流程</strong></span></p> <p>為了介接壽險公會平臺，醫院首要工作不是技術和硬體準備，而是流程梳理。楊晴雯點出，保險理賠自動化涉及醫院病歷管理、診斷書開立、會計出納收費等單位作業，是很複雜的議題，因此在專案初始，醫院和壽險公會得先與院內所有相關部門討論。特別是，診斷書手續費收入和人力增減、收費複雜度等領域。</p> <p>再來，醫院也得思考進入電腦作業後的處置，比如醫院對壽險公會將額外產生收費報表，或是醫院會計作業是否需自動傳輸、再人工稽核。</p> <p>楊晴雯補充，對中大型醫院而言，手續費收入、無紙化和便民會是考量重點，技術問題反而不大，但小型醫院相反，手續費收入問題不大，但程式修改等技術問題得委外處理，產生額外支出，就會特別考慮。</p> <p>不只如此，合規也是醫院考量重點。楊晴雯回憶，第一家加入保險理賠區塊鏈平臺的臺北市立聯合醫院，對應用是否符合法規持謹慎態度，當時時任臺北市副市長黃珊珊加入討論，從法律角度提供建議，北市聯醫就在合規基礎上加入保險理賠區塊鏈，也成為後續公立醫院的參考。</p> <p>流程梳理完後，就進入軟硬體配置階段。首先，壽險公會會設置一臺伺服器，來處理系統連接、加密傳輸和數位簽章等作業，醫院則需有專屬設備，並自行開發一個小功能，透過壽險公會API，來將所需資料上傳至壽險公會伺服器。</p> <p>這些資料，包括病人簽署的病歷資料使用同意書、PDF格式診斷證明書和相關病歷資料等。醫院收到民眾請求後，就會從醫療資訊系統（HIS）中撈取所需資料，彙整成PDF檔案傳給壽險公會平臺，壽險公會再發給保險公司。</p> <p>至於手續費部分，壽險公會平臺會計算出各保險公司需給付醫院的資料處理費用。</p> <p><span style="font-size:28px;"><strong>預計今年底上線醫起通2.0，可傳結構化資料</strong></span></p> <p>目前，醫院診斷證明書等資料以PDF格式傳送，民眾也可在線上簽署病歷資料使用同意書，這是保險理賠醫起通1.5版進展。</p> <p>不過，保險公司收到PDF檔案，仍需核對、手動輸入相關資料。楊晴雯指出，壽險公會正規畫，要將診斷證明書等PDF格式的文件改為結構化表單，直接以表格欄位形式，將資料帶入保險公司系統。他們也正與保險公司詳談，要製定公版表格來讓醫院遵從。這就是預計在2023年底上線的保險理賠醫起通2.0版，要將流程更自動化。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王若樸https://www.ithome.com.tw/news/155213
【醫院實例：萬芳醫院】萬芳醫院首波就加入壽險公會理賠區塊鏈，下一步盼整合數據推新服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，臺北市立萬芳醫院加入壽險公會保險理賠醫起通服務，是首波加入的4家醫院之一。醫起通與理賠聯盟鏈密不可分，都是壽險公會推動的區塊鏈應用，聯盟鏈集眾保險業者之力，打通彼此隔閡，提供民眾一家申請、多家同步的服務，醫起通則延伸到醫院，串起保險公司和醫院資訊流，讓民眾不必出門就能完成理賠。</p> <p>萬芳醫院為何要在2021年壽險公會來訪時，一口氣就點頭加入？</p> <p><span style="font-size:28px;"><strong>壽險公會理賠區塊鏈省時省力</strong></span></p> <p>「因為這是多贏！」時任萬芳醫院資訊室主任、現任北醫大副資訊長許權廣指出，鑑於民眾申請理賠，得來回於醫院和保險公司間奔走、漫長等待數天才得到理賠，萬芳醫院自2018、19年開始與幾家保險公司發展保險理賠區塊鏈應用，要民眾上網申請、醫院再藉區塊鏈平臺傳遞資料給保險公司，來加速理賠作業。</p> <p>但當時，每家保險公司要求醫院提供的文件，各有其欄位格式，醫院IT維護起來相當費神。正巧，2021年第一季，壽險公會找上萬芳醫院，醫院高層、許權廣與同仁聽完公會說明的當下，就答應加入。</p> <p>因為，透過壽險公會區塊鏈平臺，不只能加速民眾理賠申請作業、免於奔波，醫院只要遵從一套欄位標準，就能對應到多家保險公司。而且，保險公司還會支付醫院調閱資料手續費，醫院還能減少櫃檯人力、落實無紙化，是邁向智慧醫院的新嘗試。</p> <p>在這些考量下，萬芳醫院決定串接壽險公會區塊鏈平臺，加入保險理賠醫起通行列。</p> <p><span style="font-size:28px;"><strong>數周就完成串接，欄位也與健保上傳資料相仿</strong></span></p> <p>保險理賠醫起通可分為1.0和1.5版，1.0版由病人線上提出理賠申請，醫院透過系統調閱病歷、彙整為PDF檔，上傳至公會區塊鏈平臺，公會再發給保險公司。但民眾仍需至醫院櫃檯簽署醫療授權同意書，1.5版將這個流程數位化，線上簽署即可。同樣地，保險端理賠聯盟鏈也有1.0和2.0兩個版本，第2版將民眾至保險公司端簽署數位服務同意書的流程數位化，壽險公會也在去年12月宣布試辦。</p> <p>萬芳醫院在醫起通1.0時期就串接壽險公會平臺，目前也更新為1.5版。說起採用過程，許權廣直言：「沒太大困難。」因為，萬芳醫院多數資料都已電子化，就算偶有尚未電子化的紙本資料，也能靠院內早年推動無紙化購置的高速掃描設備處理，確保資料以數位形式傳遞。</p> <p>再來，軟硬體準備和程式架接也不費工。醫院先準備1臺4核心、16G一般規格的虛擬機，安裝常見的資料傳輸軟體、設置防火牆，就能進行第一階段測試，來確認壽險公會平臺與醫院平臺的介接是否安全。這個工作1天就能完成。</p> <p>在API和欄位串接部分，醫院只需處理壽險公會提供的3個API，這些API分別用於案件申請通知、醫院查閱案件詳情，以及醫院資料上傳。許權廣指出，壽險公會規範的資料欄位，與現行醫院上傳健保署的資料欄位相仿，因此串接時不必下太多功夫，撰寫串接文件約1、2周就能完成。</p> <p>他也引用壽險公會揭露的數據，光是2020年至2021年的1年半間，第一波啟用保險理賠醫起通的4家醫院，就讓11多萬民保戶節省2次以上的重複申請和診斷書費用。</p> <p><span style="font-size:28px;"><strong>挑戰：影像資料電子化、提高民眾使用普及率</strong></span></p> <p>不過，在採用過程中，也有些困難要思考。許權廣點出，醫院產製文字類電子檔並不難，但要產出影像類資料，特別是從較老舊的醫療儀器產出，就需要複雜的工作流程，來匯出PDF檔影像再上傳。這是醫院得思考的問題。</p> <p>此外，萬芳醫院還面臨一道難題。許權廣觀察發現，服務上線後，儘管醫院有所宣導，仍有民眾不放心，習慣申請紙本病歷資料，再交給保險業務員來申請理賠。</p> <p>這是普及理賠區塊鏈應用的挑戰。他認為，未來除了持續宣導，也要新增管道，比如除了讓民眾從壽險公會的保險存摺App使用醫起通服務，萬芳醫院也打算在自家App中整合該功能，讓民眾更便利使用。</p> <p><span style="font-size:28px;"><strong>下一步：準備2.0版測試、盼累積數據發展新服務</strong></span></p> <p>今年，壽險公會也正籌備保險理賠醫起通2.0版，要將現行醫院上傳的PDF檔案，改為結構化資料，針對病歷資料、診斷證明、收據等設計各自的公版欄位，來讓醫院系統直接帶入。</p> <p>如此不只能更自動化，保險公司也不必人工對照PDF、騰打資料。許權廣透露，今年中，萬芳醫院就會配合公會進行2.0版測試，年底將隨公會公告，正式上線新服務。</p> <p>目前雖有24家醫院加入壽險公會醫起通，但他期盼更多醫院加入，來壯大這個生態系。「也許能舉辦經驗分享會，來吸引其他醫院加入，或是公會先發送問卷，調查醫院使用數據，」許權廣舉例，如透過問卷統計出最常申請理賠的科別或給付區間，就能針對長照2.0等既有政策，來發展符合政府和民眾需求的新式保單或服務。</p> <p>甚至，他認為，這些理賠申請數據也能結合其他健康數據，提供給健保署，作為日後健保預防醫學政策制定的參考。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王若樸https://www.ithome.com.tw/news/155214
【醫院實例：高雄榮總】率先發展保險區塊鏈創新，未來期待統一標準串接更多政府機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月底，壽險公會宣布保險理賠聯盟鏈2.0試辦，搭配保險理賠醫起通服務，打通保險公司和醫院隔閡，民眾在線上就能完成醫療理賠作業，不必來回奔走。高雄榮總是參與這項應用的24家醫院之一，他們看見哪些機會與挑戰？</p> <p><span style="font-size:28px;"><strong>5年前發展理賠區塊鏈應用，催生公會聯盟鏈</strong></span></p> <p>早在2018年，高雄榮總（以下簡稱高榮）就發起一項創新專案，聯手台灣人壽、中信金控、中華電信等集團，來打造保險理賠區塊鏈應用。他們看好區塊鏈這項新技術，可以加速患者保險理賠作業，於是由中華電信開發區塊鏈平臺，來記錄各項授權和資料交換軌跡。實際的運作方式是，病人在台壽App提出理賠申請，台壽傳送病人授權和個資給高榮，高榮再將病歷資料傳給台壽來理賠，病人也能在官網或App上登入區塊鏈平臺，查看病歷資料和理賠進度。</p> <p>高榮調查發現，這個方法可大幅縮短民眾出院到獲得理賠的等待時間，不僅從原本13天縮短為3.6天，還不必到處申請紙本文件，而醫院每年還能省下211小時的病歷申請審查時間，甚至，壽險公司每年還可節省近3,000小時的複雜理賠個案病歷調閱審查時間。</p> <p>這個成功模式，也促成壽險公會推動理賠聯盟鏈和保險理賠醫起通服務。公會先是在2020年成立理賠聯盟鏈1.0來打通各保險公司隔閡，等於民眾在一家保險公司申請，就能互通資料，不必奔走於各保險公司；聯盟鏈2.0則進一步數位化保險同意書簽署流程。</p> <p>同時，公會也發展醫起通服務，來打通醫院與保險公司藩籬，民眾只要申請、授權，醫院就能將所需的病歷資料、診斷證明和收據等文件彙整為PDF檔，發送至壽險公會區塊鏈平臺，平臺再傳給保險公司。壽險公會也在這幾年間，招攬數十家保險公司和醫院加入，要讓民眾享有更便利的醫療理賠申請，高榮就是第二波加入的醫院。</p> <p><span style="font-size:28px;"><strong>農曆年後上線醫起通1.5版，準備工作首重資安</strong></span></p> <p>在這個基礎上，去年8月，高榮與壽險公會簽約，要發展1.5版理賠醫起通服務，「預計今年農曆年後上線！」經手該計畫的高榮資訊室應用發展組組長蘇照桐指出，1.0版將民眾申請的紙本診斷證明文件數位化、以PDF形式傳送，但民眾仍需臨櫃簽署醫療授權同意書，1.5版則進一步將這段流程數位化，民眾以數位簽章就能簽署授權，不必再透過紙本。他們年後就將提供這個服務。</p> <p>在平臺介接部份，蘇照桐表示，醫起通1.5版架構與高榮2019年上線的區塊鏈平臺架構一致，介接不難，但也有些準備工作要考量。首先是資安，醫院得確保病歷這類高機敏性資料，能在區塊鏈平臺安全拋轉，同時也得評估，病毒透過平臺反向侵入醫院的可能性。</p> <p>確認無虞之後，接著就是軟硬體準備，如在院內設置工作站或伺服器，作為醫院資訊拋轉的出入口，或是防火牆設定開通等，這些工作準備就緒之後，就能夠正式上線。</p> <p>屆時，民眾利用官方App就能在區塊鏈平臺申請理賠，保險公司將授權資訊傳送到醫院，醫院再透過電子調閱系統，彙整病歷資料為PDF檔案，上傳至壽險公會的平臺。</p> <p><span style="font-size:28px;"><strong>期待2.0版本上線，資料結構化也更加自動化</strong></span></p> <p>蘇照桐點出，在這項應用中，最重要的是「醫院資訊要能出去，」也就是要產製病歷電子檔。</p> <p>對高榮來說，診斷證明、出院病摘等病歷資料原本就已電子化，但有些文件仍是紙本．比如收據，需要掃描才能上傳。他也點出，對小醫院而言，病歷電子化可能就是首要問題，得先掃描紙本文件為PDF檔案，才能上傳。</p> <p>不過，壽險公會預告，今年底要上線醫起通2.0版，要將現有PDF格式改為結構化資料，也就是針對病歷資料、診斷書和收據，規範出公版欄位格式，醫院系統可直接帶入相對應資料到欄位中。這麼做，醫院就不必手動彙整電子檔，保險公司也不需要人工參照PDF騰打資料。「我們很期待2.0版！」蘇照桐指出，高榮已經準備好了，就等公會釋出公版欄位規範；未來也許還能發展為，醫院一鍵就能彙整病歷資料、打包為XML檔案，自動上傳到壽險公會平臺。</p> <p>對高榮來說，介接壽險公會理賠區塊鏈，不只能減少醫院櫃檯的行政作業流程，還能降低紙張成本。對民眾來說，更能減少等待和來回奔走的時間，猶如高榮2019年調查的成效。</p> <p><span style="font-size:28px;"><strong>期望標準逐漸統一，或可與政府單位介接</strong></span></p> <p>不過，督導該專案資訊流程與資料介接的高榮資訊室主任林秋燕有感而發表示，目前醫院要上傳病歷資料至許多單位，如健保署、衛福部電子病歷交換中心（EEC）、疾管署、國健署和壽險公會等，每個單位要求上傳的檔案格式不盡相同，等於醫院得多一份力維護不同格式的病歷資料。</p> <p>「醫院傳送資料的標準應可逐漸統一，將資料結構標準化。」她認為，也許壽險公會平臺未來也能規畫，讓病歷資料傳送標準與其他單位趨於一致。</p> <p>甚至是，衛福部EEC和健保署擁有全臺最完整的醫療資料，如果壽險公會理賠區塊鏈平臺，能直接與EEC或健保署平臺介接，來調閱病人理賠所需的病歷資料，就會比單一家醫院來得全面，也更符合以病人為中心的理念，讓理賠更快速、暢通。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/155216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/155216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" style="width: 550px;" /></a></p> </div></div></div>
2023/1/20 00:00作者王若樸https://www.ithome.com.tw/news/155215
保險理賠全程數位化大突破
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/v2-11131114-feng_mian_-open-960x420.jpg?itok=KVITj_pX" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是臺灣最大規模的保險區塊鏈應用，不只用區塊鏈作為基礎，打通了保險公司之間的資料共享，現在更進一步打通了與醫院之間的資料共享，理賠申請可以做到全程數位化，光是過去2年，17萬人因此少跑了27萬趟保險公司</p> </div></div></div>
2023/1/20 00:00未署名https://www.ithome.com.tw/article/155216
萬達寵物用電商DNA改造IT，全集團更建立數據驅動文化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時間是2021年5月，臺灣疫情進入三級警戒。高度仰賴實體通路的服務業者業績遭受嚴重打擊，甚至直接歸零。由於對線上通路經營一竅不通，不少業者不是倒閉，就是扛著巨大財務壓力在黑暗中摸索出路。</p> <p>服務業一片慘澹，寵物百貨萬達寵物卻展現出迅速應變的能力脫穎而出。萬達寵物集團由寵物公園、凱朵寵物、貓狗隊長3個線下品牌，及2019年收購的寵物電商毛孩市集組成。疫情來襲2個月內，他們上線了寵速配外送服務，從3個網路平臺，為全臺近百家寵物公園門市接單，再以這些門市為據點，1小時內配送商品到消費者家中。要做到此服務，他們必須先做到全臺店鋪庫存的半即時追蹤、再導入一家第3方接單系統及兩大外送平臺接單系統，分別與自家POS系統串接、還要完成全臺店鋪員工的教育訓練。這一切，都在短短2個月內完成，期間還順便導入了新的CRM系統。</p> <p>萬達具備什麼優勢，能夠如此快速應變突然其來的危機？「最重要的還是集團各部門積極合作。」萬達寵物資訊長蘇晏良謙虛的說。不過，還有另一個重要原因，歸功於萬達寵物實力堅強的IT團隊。</p> <p>蘇晏良在成為萬達寵物CIO之前，曾經是周邊商品電商Fandora和寵物垂直電商毛孩市集共同創辦人及CEO。這兩家電商系統，都是由蘇晏良帶領的IT團隊自力開發完成。毛孩市集加入前，萬達IT部門編制只有4到5個人，IT建設也有些老舊。蘇晏良加入萬達後回歸IT本行，帶著毛孩市集一批經驗老到的工程師接任萬達寵物CIO，這也是能夠快速上線寵速配的硬實力。</p> <p>不過，工程師硬實力並不是萬達IT唯一優勢。在疫情打亂所有人手腳之前，萬達IT架構就已經進行著升級，要打造高度彈性的資訊基礎架構，讓IT部門能快速回應新業務需求，也能大幅降低新增或更換外部系統的難度。</p> <p><span style="font-size:28px;"><strong>打造資料倉儲和BI分析工具，注入數據驅動思維</strong></span></p> <p>多年營運電商經驗，讓蘇晏良慣於用鐵打的數字來做大大小小決策。因此他來到集團首要之務，是導入資料倉儲跟無程式碼商業智慧工具，讓萬達能用數據來輔助決策。他們將所有分散且不同步的數據都收攏到單一雲端資料倉儲中，以便能隨時存取到新鮮度2小時內產生的營運數據，後來更成立了戰略數據部門，用BI工具快速生產報表，來因應各種決策需求。至今，蘇晏良形容，數據驅動的思維已經深入萬達集團上下，從重大會議到日常決策，從集團高層到門市店長，都會使用各式報表來輔助。「我們報表產生頻率不只是一天幾次，而是Always。」他說。</p> <p>蘇晏良回憶，萬達有許多老舊系統，彼此互不相通，進行這段升級時，因為相容性跟格式問題，匯出數據到資料倉儲時花了很多時間。例如ERP跟POS的數據不一致時，需要經過一番比對，才能決定同一筆資料要收錄哪個系統的版本。系統老舊和缺乏單一數據來源帶來的困擾，使萬達IT體認到，下一步必須優化資訊架構。</p> <p><span style="font-size:28px;"><strong>自建POS系統，允許IT高效率支援集團業務</strong></span></p> <p>萬達舊有系統採用地端架構。蘇晏良認為，雖然地端架構本身沒有帶來嚴重問題，但不只軟體過時，連作業系統和伺服器版本都相當老舊。考慮到軟硬體翻新的初期投資成本、後續擴充彈性，加上前一階段導入資料倉儲時，萬達核心資料就已經上了雲端，蘇晏良決定，藉機將ERP、POS及其他核心系統，都改成雲端原生。這也省下了管理地端機房的人力，讓萬達IT能更專注在接下來的系統開發和維護。</p> <p>首先更新的是POS系統。多品牌集團若要選擇使用市售的POS系統，常因為品牌間商品種類、營業型態及行銷模式相異，難以找到一套既有POS系統給所有品牌使用。然而，若使用不同套POS系統，資料收整到集團總部時，又會面臨系統串接、資料格式統一等問題。</p> <p>以萬達為例，萬達旗下不只一個品牌，且業態特殊，除了一般寵物零售，還有販售寵物美容、住宿等服務，且會員檔案格式非常特別，不是以一個會員為單位，而是以一名飼主及飼主的寵物為單位，且數量跟物種都可能不同，例如一名飼主可能養了兩隻貓、一隻鸚鵡。另外，寵物業界的行銷方法與其他零售業也有些不同。蘇晏良舉例，寵物業常常會祭出第二包五折這種優惠，雖然與兩包七五折相似，但就會與市面上POS系統的常見行銷模組不同。</p> <p>萬達IT有著自建Fandora和毛孩市集電商系統的經驗，因此蘇晏良研判，雖然系統架構複雜的ERP還是得使用現成套裝方案，但新POS系統，可以由這些老練的工程師自行打造。萬達IT歷時1年，自力打造一套適用於自家所有品牌的POS系統後，不僅支援所有營業上需求，還能大幅簡化系統串接工作，也無須整合數據。未來萬達需要擴充新業務或長短期行銷模式，都能由內部IT自行解決。蘇晏良說，萬達寵物擅長進行各式主題跟模式的行銷活動，因此有能力彈性增減POS內行銷模組，對他們尤其重要。</p> <p>自建POS系統，使萬達IT能在既有通路，也就是門市跟電商網站，快速跟上業務調整。另一個建設，則更讓萬達IT有能力面對大規模業務型態及通路的擴張：自建數據中臺。這一步，是蘇晏良認為萬達IT改造最關鍵的一環。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1113-CIO-450.png" style="width: 532px;" /></p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>萬達寵物資訊長蘇晏良認為，IT必須掌握最核心的數據及系統自主權，才能有效管理整體資訊架構，不讓任一系統綁架數據或連累其他系統。</strong></span><span style="font-size:14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>自建中臺掌握核心數據及系統，造就快速調整營運方向的餘裕</strong></span></p> <p>先前建立資料倉儲時，由於不同系統的核心數據無法即時同步，且難以搬移，讓蘇晏良體認到掌握核心數據及系統的重要性。他說明，萬達寵物需要很多IT系統，例如ERP、供應鏈管理、POS、電商、外送平臺、行銷工具等。為了確保自己不會被單一系統商綁死，並限制任一系統異常對整體架構的影響，公司一定要自己掌握整體系統架構，「前端業務系統可以用買的，但後端資料跟架構一定要緊握手中。」</p> <p>萬達的做法就是自建數據中臺，作為所有核心數據的同步和分析中心，也是集團內所有系統串接時的中繼平臺，更充當眾多系統的後臺。這樣一來，當萬達需要撤換個別解決方案，不僅數據不會卡在原先系統搬不走，也不會對其他系統造成影響。同理，要新增任何系統，也只需要串接到數據中臺，就等於和整個萬達系統架構相通。「類似星狀拓樸架構，所有系統都只跟中臺串接，而且可以熱插拔。」他形容。</p> <p>不過，萬達建設數據中臺期間，遇到了一個插曲，不只打亂了IT工作排程，更證明了數據中臺的必要性。那就是2021年5月的三級警戒封城，讓萬達線下部門業績一落千丈。為此，他們放下手邊的工作，全力發展寵速配一小時外送服務。</p> <p>雖然萬達已經有毛孩市集這個電商部門，不過寵速配與毛孩市集的營運模式有許多不同之處，讓背後的IT建置難度更高。首先，毛孩市集是從集中倉儲統一出貨，一般會在3至7個工作天內送達，最快也只保證24小時；寵速配則是從全臺近百家寵物公園門市分別出貨，且保證1小時內送達。不只如此，毛孩市集是純電商，只有單一銷售通路，但寵速配有實體門市來客加上3個新的線上接單平臺。因此萬達IT不僅要先串接3家接單平臺系統，還需要高頻率同時追蹤這4種通路對數十家門市庫存造成的增減。</p> <p>突如其來的疫情下，萬達採取了盡快上線服務來挽救業績，後續再逐步優化的策略。由於新的資訊架構尚未完工，因此，這些新系統就得串接到舊資訊架構，待日後中臺完工還要重新串接。</p> <p>另一個問題是，寵速配剛上線時，寵物公園本來只會每天回傳一次店面庫存資料到總部，因此，線上通路顯示的庫存和門市實際庫存可能會有所出入，日間，店員接到外送訂單時，必須親自檢查店面庫存。若有任何一個品項庫存不足，就必須拒絕訂單。這樣的限制，讓萬達只敢上架店內約五分之一品項到線上通路，且平均拒單率有9%左右。經過多次調整後，萬達才做到30至60分鐘內的庫存追蹤，並與其中一家外送平臺同步庫存，因此不只拒單率降到接近於0，也能一口氣上架全部品項。</p> <p>這個插曲仿佛是在提醒萬達，架設高彈性、高自主性資訊架構的重要性。蘇晏良說，後來中臺完工重新串接系統，只花了短短半個月。若當時新資訊架構已經完工，寵速配上線時間可能還能再提早，因而挽救更多業績。</p> <p><span style="font-size:28px;"><strong>擴大IT應用，用第一線業務情境來主導發展方向</strong></span></p> <p>隨著萬達對外營業型態和對內管理模式不斷調整、發展，整個資訊架構便會更加仰賴中臺。蘇晏良坦言，萬達中臺確實非常龐大，直至今日，萬達中臺且仍在擴充，因此持續優化中臺及整體系統架構，確保萬達IT能與時俱進，是不會中斷的重要課題。不過萬達IT早在建設中臺時，就不只是為了串接特定系統而設計，而是從容易擴充、能相容各種資料為出發點，加上萬達IT本來就有維運大型系統的經驗，因此中臺龐大不是壞事，反而是萬達善用IT優勢的象徵。</p> <p>2022年4月，萬達IT完成ERP、POS及中臺等系統升級。蘇晏良稱這以後的時期為擴大期，除了繼續優化系統架構，更要利用高掌握度、高彈性的優勢，開始導入供應鏈管理、自動化行銷及會員經營工具等新系統。</p> <p>蘇晏良說，從建置資料倉儲到資訊架構全面升級的階段，IT部門基本上是自行決定工作執行方向。當資訊架構基礎奠定，從前線CEO回歸後勤CIO的他認為，對市場敏感的業務部門應該要有更多主導權，不只要提出需求，還要主導最終執行方案，IT只負責技術評估跟實際執行。</p> <p>他舉例，寵速配服務就是由業務主導的專案，業務部門看到外送平臺對零售業生態帶來的變革，因此提議利用外送平臺來作為封城時的替代通路。後來，臺灣不少業者也紛紛結合外送平臺，疫情解封的現在，寵速配業績仍穩定成長，佐證了業務部門對此趨勢的洞見。</p> <p>這份對第一線需求的重視，也反映在蘇晏良管理IT部門的方法上。萬達的PM和工程師，有時會被分派去實體門市當一日店員，以體會第一線需求。或者當萬達要導入外部系統時，與其在辦公室內開會評估，IT部門會先到外部系統商的運作現場參觀。「前端需求跟運作模式，會反應在後端資訊架構上。」他強調。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>萬達寵物資訊長蘇晏良</strong></p> <p>學歷：成功大學電腦與通訊科學研究所</p> <p>經歷：曾任粉絲周邊商品電商Fandora及寵物用品電商毛孩市集共同創辦人及CEO，兩個電商系統都是由他所帶領的IT團隊自力開發。帶著毛孩市集加入萬達寵物集團後，在集團內推廣數據治理文化，帶領團隊自建POS系統及數據中臺，並翻新IT架構。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/250-%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%90%AC%E9%81%94%E5%AF%B5%E7%89%A9%E9%9B%86%E5%9C%98.jpg" style="width: 201px;" /></p> <p><strong>萬達寵物</strong></p> <p>成立時間：1999年</p> <p>業務介紹：寵物用食品與用品</p> <p>董事長：陳樂維</p> <p>網址：<a href="http://www.wonderpet.asia">www.wonderpet.asia</a></p> <p>地址：台北市中山區長安東路一段23號四樓之三</p> <p>員工人數：700人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>直屬主管：蘇晏良</p> <p>資訊部門名稱：資通訊處</p> <p>資訊部門人數：12人</p> <p>每年IT預算：6,000萬元</p> <p>資訊部門分工：內部系統開發、外部系統導入、硬體採購與維護</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2013年：導入ERP</p> <p>●2019年：導入資料倉儲與商業智慧工具</p> <p>●2021年：導入雲端ERP</p> <p>●2021年：導CRM，寵速配外送功能上線</p> <p>●2022年：上線雲端POS及數據中臺</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1113-cio-960.jpg" width="960" height="420" alt="" title="萬達寵物資訊長蘇晏良　（攝影／洪政偉）" /></div></div></div>
2023/1/20 00:00作者郭又華https://www.ithome.com.tw/people/155217
開放元宇宙基金會成立，目標推動元宇宙開放標準制定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會旗下新創立<a href="https://www.openmv.org/linux-foundation-establishes-path-to-accelerate-the-journey-to-an-open-metaverse/">開放元宇宙基金會（Open Metaverse Foundation）</a>，專注於發展中立的元宇宙開源軟體和標準，實現具包容性、可移植性和互通性的元宇宙生態系。在開放元宇宙基金會中，社群將會討論並創建建構模組，將元宇宙的概念轉為實際用途，範疇涵蓋數位資產、模擬、交易、AI、網路、安全、隱私和法律。</p> <p>許多基金會都在社群內建構工具，但要讓元宇宙順暢運作，不只需要各社群建構的各種元宇宙元件，還需要有一套能夠依循的標準進行整合。官方舉例Open 3D基金會便是元宇宙其中一個重要的生態系，該基金會建置Open 3D Engine專案，發展出許多開創性的元件和函式庫，像是其所開發的開源Apache 2.0參照引擎，能夠測試和建置可被用於任何3D引擎的可移植互通函式庫。</p> <p>但官方提到，Open 3D Engine僅是元宇宙解決方案的一部分，其他後端服務、標準等同樣皆為元宇宙成功於否的要素，像是交易程序必需有收據作為證明，而模擬技術雖然可用於創建虛擬世界，但是必須存在用戶和物件才能發揮作用，不同的世界需要有一套通訊標準，供用戶在不破壞沈浸式體驗的情況下進出，而建立這些開放標準的工作，則是開放元宇宙基金會的主要任務。</p> <p>開放元宇宙基金會的工作還包括重塑網際網路開放協作技術，以滿足元宇宙更多的需求，開放元宇宙基金會已經建立數個基礎興趣小組，協助基金會針對重要主題提供決策結構，並且提供有用的資源和論壇，用以收集新想法以及招募新貢獻者。開放元宇宙基金會的治理，依照Linux基金會的最佳實踐執行，專案貢獻採用Apache 2.0和MIT開源授權。</p> </div></div></div>
2023/1/19 22:58作者李建興https://www.ithome.com.tw/news/155226
獨立監察委員會敦促Meta改進曖昧不明的裸露刪文政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oversightboard.com/news/1214820616135890-oversight-board-overturns-meta-s-original-decisions-in-the-gender-identity-and-nudity-cases/">Meta監察委員會（Oversight Board）</a>推翻Meta原本對跨性別和非二元性別者，在Instagram上胸部裸露貼文的刪除決定，同時，監察委員會也認為目前平臺對於女性裸露胸部的規則不夠清楚，對用戶和審查人員帶來許多不確定性難以實踐。</p> <p>Meta在2020年的時候成立全球內容監察委員會，負責審查臉書和Instagram平臺的服務和內容，該委員會獨立於Meta，就言論自由、安全和隱私等領域提供專業意見，審查有爭議的內容並作出決策建議。</p> <p>這次監察委員會所審查的案例，有關於一對伴侶在同一個Instagram帳號所發布的兩則貼文，這對伴侶的自我認同分別是跨性別與非二元性別，Meta的自動化系統在偵測到該Instagram帳號，所發表有關於性別確認手術（Gender-Affirming Surgery）貼文的胸部裸露照片後，經過Meta多次人為審查，最後認為該貼文除了裸露照片還加上募款連結，違反社群的性邀約（Sexual Solicitation）政策予以刪除。</p> <p>該Instagram帳號用戶向Meta提出上訴，而後又向監察委員會提出上訴，委員會在受理該案件後，認為Meta錯誤刪除這些貼文，監察委員會提到，刪除這些貼文並不符合Meta社群的標準、價值觀和人權責任，且凸顯出Meta政策中的根本問題，Meta對審查人員就性邀約政策刪除內容的指導，遠寬於該政策原本的指引。</p> <p>監察委員會指出，平臺上關於女性乳頭裸露的規則模糊不清，尤其是當這些規則套用在跨性別和非二元性別者時，更是令人困惑。裸露政策存在許多例外情況，像是在性別確認手術和醫療健康的脈絡下是被允許的，但是審查人員需要評估疤痕的範圍和性質，來確認是否適用例外情況，監察委員會認為該政策的不明確性，在實踐時窒礙難行。</p> <p>由於這些執行與政策指引的不一致，讓使用者和審查人員無所適從，因此監察委員會除了推翻Meta最初刪除貼文的決定之外，也建議Meta應該定義明確、客觀且尊重人權的成人裸露和性活動社群規則，以便符合國際人權標準，同時應該在性邀約社群標準中提供更多執行細節，並修改審查人員的指導，減少執行錯誤。</p> </div></div></div>
2023/1/19 23:02作者李建興https://www.ithome.com.tw/news/155228
【資安日報】2023年1月19日，Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitLab最近釋出新版本，目的是修補三個漏洞，值得關注的是，其中<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://github.com/git/git/security/advisories/GHSA-475x-2q3q-hvwq" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id--102576702" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">CVE </span></a><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="2" href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-19329384" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">-2022-41903</span></a>、<a href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89">CVE-2022-23521</a>都是重大層級漏洞，GitLab呼籲用戶盡速更新，對於無法立即更新的用戶，他們也提供了一些可降低風險的建議步驟供用戶暫時應變。</p> <p>勒索軟體的危害持續受企業關注，最近有資安業者表示，對於近來攻擊活動頻繁的BianLian勒索軟體，他們打造出解密工具，讓既有受害者能夠得以恢復檔案。</p> <p>資料庫配置不當的問題又一樁，這次研究人員揭露的是印度人力銀行Rocket有大批客戶資料因存放在可公開存取的資料庫而曝險，再次突顯雲端管理疏失的問題。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <h3><a href="https://www.ithome.com.tw/news/155174" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet說明VPN漏洞被濫用攻擊政府單位</span></strong></a></h3> <p>去年底有駭客組織針對Fortinet產品CVE-2022-42475漏洞的攻擊，Fortinet近日揭露更多攻擊細節，除了指出攻擊者這波精準攻擊行動是針對政府機關及相關單位而來，指出這次發現的是過去為FortiOS客製化的Linux二進位檔Bakso後門程式的Windows變種。這隻惡意程式操弄FortiOS的紀錄流程，最後刪除紀錄檔以躲避偵測及長期滲透。其他下載程式則破壞了Fortinet的入侵偵測（IPS）功能，使其無法監測流量中的違法活動。</p> <h3><a href="https://cybernews.com/security/hr-platform-data-leak/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度人力銀行Rocket資料庫配置不當，曝露近千萬求職者與員工的資料</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Inida%20Rocket%20Leak%20Banking_info.jpg" style="width: 300px; float: right;" /></p> <p>科技新聞網站Cybernews的研究人員2022年12月12日發現一個可公開存取的資料庫，裡面總共有260 GB個資，而且是印度人力銀行Rocket所擁有的數據。研究人員發現約43.5萬份薪資單、300份稅務表單、3,800份保險付款文件，以及2.1萬個薪資試算表，這些資料屬於採用Rocket服務的多家公司。此外，他們還看到約900萬名求職者的個資，包括未經過雜湊函數轉換處理（hashed）的電子郵件、電話號碼、姓名、居住地址，以及履歷，甚至是拍成圖檔的個人文件，像是駕照、選民身分證件、銀行存摺等。對此，Rocket向Cybernews透露，出現上述現象的原因，主要是他們新部署的大數據圖解系統Kibana配置不當造成。</p> <h3><a href="https://www.ithome.com.tw/news/155144" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Exchange Server 2013支援期還剩不到90天</span></strong></a></h3> <p><a href="https://s4.itho.me/sites/default/files/images/Exchange Server 2013 EOS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Exchange%20Server%202013%20EOS.png" style="width: 300px; float: right;" /></a></p> <p>隨著2023年的到來，近期微軟開始提醒用戶，Exchange Server 2013 SP1的延伸支援將於今年4月11日終止，屆時其產品生命週期正式結束，也不會再有安全更新，呼籲還沒轉換的用戶需盡速採取行動。</p> <h3><a href="https://www.ithome.com.tw/news/155191" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Avast宣布已打造出「變臉」勒索軟體解密工具</span></strong></a></h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/decryptor-bianlian-006.jpg" style="width: 300px; float: right;" /></p> <p>針對2022年8月新現身的BianLian（變臉）勒索軟體，最近有資安業者帶來好消息，Avast在1月16日宣布釋出其解密工具，幫助遭受此勒索軟體攻擊的受害者電腦，可以在不付贖金的情況下，恢復遭惡意加密的文件。根據Avast說明，這隻勒索軟體不會從頭開始加密文件，也不會加密到最後，而是固定偏移量的部分加密。</p> <h3><a href="https://www.ithome.com.tw/news/155179" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究發現大型語言模型促進輿論操縱，假消息將更多更具說服力</span></strong></a></h3> <p><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://cdn.openai.com/papers/forecasting-misuse.pdf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" target="_blank"><span class="link-annotation-unknown-block-id-372538344" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI-enabled%20Influence.png" style="width: 300px; float: right;" />喬治城大學、OpenAI、Stanford Internet Observatory（SIO）合作</span></a> ，展開對大型語言模型（LLM）對輿論風向操縱的研究，最新論文中指出，大型語言模型被濫用於輿論風向操縱，將導致數量更多，形式更多樣的輿論風向操縱應用，且目前還無有效的解決辦法。</p> <h3> </h3> <h3><strong>【漏洞與修補】</strong></h3> <h3><a href="https://github.blog/2023-01-17-git-security-vulnerabilities-announced-2/" style="font-size: 13px;"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Git修補重大RCE漏洞</span></strong></a></h3> <p>資安業者X41 D-Sec揭露Git的3個漏洞<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://github.com/git/git/security/advisories/GHSA-475x-2q3q-hvwq" rel="noopener noreferrer" style="cursor: pointer; color: inherit; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id--102576702" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">CVE </span></a><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="2" href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89" rel="noopener noreferrer" style="cursor: pointer; color: inherit; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-19329384" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,0.4);opacity:0.7">-2022-41903</span></a>、<a href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89">CVE-2022-23521</a>，以及<a href="https://github.com/git-for-windows/git/security/advisories/GHSA-v4px-mx59-w99c">CVE-2022-41953</a>，前兩個都是重大層級的漏洞，與記憶體的越界寫入有關，而使得攻擊者有機會執行任意程式碼。至於CVE-2022-41953存在於Windows版的GUI程式，導致該軟體在剛完成遷出程序的worktree指令中進行拼字檢查，而可能執行到不應信任的程式碼。</p> <p>若要確保使用Git時不會受到這些漏洞的影響，GitHub表示，最有效的方法是將Git升級到2.39.1版。如果無法馬上更新，GitHub提出三個步驟，建議用戶改變一些作法，以便降低風險，同時，站方也會主動進行一些工作協助使用者對抗漏洞濫用攻擊，像是掃描GitHub.com全部的儲存庫、執行GitHub.com漏洞緩解作業，定期更新GitHub Desktop、 GitHub Codespaces、GitHub Actions，以及GitHub Enterprise Server，針對這些系統或服務使用的Git進行升級。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://thehackernews.com/2023/01/critical-security-vulnerabilities.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">TP-Link、Netcomm路由器存在重大漏洞，恐被用於RCE攻擊</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/a/batloader-malware-abuses-legitimate-tools-uses-obfuscated-javasc.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Batloader利用混淆的JavaScript指令碼發動攻擊</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hack-pentagon-30-bug-bounty-program-focus-facility-control-systems"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國防部啟動五角大廈漏洞懸賞計畫3.0，聚焦設施管理系統</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cybersecurity-experts-cast-doubt-hackers-ics-ransomware-claims"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織GhostSec聲稱對於工控系統進行勒索軟體攻擊，理由是抗議俄羅斯發動戰爭</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/01/cisa-warns-for-flaws-affecting.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國針對Sewio、InHand Networks、西門子等廠牌的工控系統重大漏洞提出警告</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155202">【2023年1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155198">【2023年1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</a></strong></strong></strong></p> <p><strong><strong><strong><a href="https://www.ithome.com.tw/news/155184">【2023年1月16日】 WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</a></strong></strong></strong></p> <p> </p> </div></div></div>
2023/1/19 20:14作者周峻佑https://www.ithome.com.tw/news/155227
Amazon關閉慈善計畫AmazonSmile
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-closing-amazonsmile-to-focus-its-philanthropic-giving-to-programs-with-greater-impact">Amazon宣布將關閉慈善計畫AmazonSmile</a>，該項計畫在2013年的時候推出，在客戶達成特定購物條件時，Amazon會代客戶向慈善機構捐贈0.5％的購物金額，資助房屋建造和資訊教育等領域。</p> <p>該計畫執行將近10年，募集約4.5億美元的善款，現在Amazon稱該計畫沒有達成當初設立的目標，由於全世界有超過100萬個合格組織，最終各慈善機構所分配到的資源太少，因此Amazon決定在2023年2月20日關閉AmazonSmile。</p> <p>對於參與AmazonSmile計畫的慈善機構，Amazon將會提供一筆一次性的捐款，相當於該組織2022年在AmazonSmile所獲取的3個月款項，同時也能繼續累積額外的款項，直到該計畫在2月正式關閉。即便AmazonSmile關閉，慈善機構仍可以創建願望清單，尋求Amazon客戶的捐贈支援。</p> <p>目前Amazon已經開始新一輪的裁員行動，外界猜測AmazonSmile的關閉，可能與Amazon的大規模裁員有關。Amazon的裁員計畫在2022年11月由執行長Andy Jassy親自宣布，當時就預告裁員行動會延續至2023年。在1月初的時候，Andy Jassy提到<a href="https://www.aboutamazon.com/news/company-news/a-note-from-ceo-andy-jassy-about-role-eliminations">Amazon計畫共裁員1.8萬人</a>，而新一輪裁員已經開始，現在仍不清楚這輪共有多少人受到影響。</p> </div></div></div>
2023/1/19 16:05作者李建興https://www.ithome.com.tw/news/155225
AI21 Labs推出可提供引用、統計資料建議的寫作機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧系統開發公司AI21 Labs在其文字編輯器Wordtune，添加人工智慧寫作機器人<a href="https://www.wordtune.com/spices">Wordtune Spices</a>，能夠協助作者快速創建內容，加速專業文件、論文和文學作品等編寫過程。AI21 Labs在推出Wordtune Spices的同時，還針對Spices的關鍵方法發表論文<a href="https://uploads-ssl.webflow.com/60fd4503684b466578c0d307/63c6c20dec4479564db21819_NEW_In_Context_Retrieval_Augmented_Language_Models.pdf">《In-Context Retrieval-Augmented Language Models》</a>，說明Wordtune Spices的建議具有真實性與可追溯性。</p> <p>Wordtune Spices運用人工智慧技術理解文字內容和意義，協助使用者寫下更加清晰且具有說服力的文字。Spices提供12種諸如解釋、強調、定義或是加入笑話等提示選項，用戶可以選擇並獲得一系列補充語句，進而加強文章論點並呈現更多細節。</p> <p>官方提到，Wordtune Spices和其他生成文字平臺不同，並非要取代作者的工作，而是充當共同作者，提供額外完整句子建議，改進並強化文字內容。Spices具體以三個方向提供文字建議，第一是能夠提供解釋和辯駁，強化用戶文字的主要資訊和論點，第二則給出類比和統計資料建議，使文章資訊更豐富，第三是Spices還能夠提供笑話或是名言引用建議，運用更具創造性的表達方式，讓文章更活潑。</p> <p>學生、部落格作者和書本作家都能夠使用Wordtune Spices，同時Wordtune Spices也能支援專業寫作，協助法律、醫療保健等專家編寫特定於產業的文件。Spices的重要功能之一，是能夠提供來源歸因，用戶透過點擊連結就能夠查看建議來源，該功能解決當前大型語言模型無法提供來源的問題。</p> <p>AI21 Labs提出了一種稱為In-Context RALM的方法，能夠在現有的語言模型，加入現成的外部知識來源，In-Context RALM將檢索到的文件插入到語言模型輸入中。官方解釋，語言建模雖然明顯擴展機器生成文字的用例和領域，但是語言模型生成文字的致命弱點是無法提供歸因，導致資訊不準確或是錯誤。Spices所開發的《In-Context Retrieval-Augmented Language Models》框架，使現成語言模型能夠連接外部來源知識，進而對生成的文字建議提供來源歸因。</p> </div></div></div>
2023/1/19 15:13作者李建興https://www.ithome.com.tw/news/155224
點餐取餐免排隊，肯德基數位智能未來店前後端科技升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>肯德基「KFC數位智能未來店」南京旗艦館開幕，主打多元點餐及取餐功能，以分散排隊點餐、取餐人流。不只前端服務升級，後端管理也從行銷分析、進貨建議、人力安排到外送配單，都用科技優化。</p> <p>走進店面，迎面而來不是一般肯德基店面常見的點餐櫃檯，而是四臺自助點餐機跟旁邊牆壁上的線上點餐QR code，以及占滿一整面牆的智能快取櫃，作為出餐點。<img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_2023118_230119_0.jpg" style="width: 600px;" /></p> <p>顧客可以用點餐機，以及遍布門市牆壁和桌上的QR code連到點餐系統下單，並提供手機號碼。當餐點準備完畢，不用由店員叫號，而是放到智取櫃後，由系統寄送櫃位跟密碼到消費者手機中。消費者可以在座位或任何其他地方等待，等接收到簡訊，再到智取櫃輸入密碼取餐。如此一來，顧客就不需要擠在櫃檯等待點餐跟取餐。對坐落商業區的門市來說，尤其能大幅減少排隊人潮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(56).jpg" style="height: 400px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/4(30).jpg" style="height: 400px;" /></p> <p>數位點餐取餐的模式，不僅相當於開放多條點餐取餐動線，且由於數位點餐大多使用非現金支付，既減少了尖峰時段現金收銀的時間壓力，減少實體現金處理量更降低盤點結帳時的人為疏失風險。有了數位點餐出餐方案，門市櫃臺空間得以壓縮到平常尺寸的一半以下。此時，櫃台人員的工作成為輔助使用新系統及服務少數偏好線下點餐的顧客。</p> <p>從智取櫃密碼和店員在實體櫃臺叫號取餐的內容來看，肯德基未來店取餐時主要以手機末4碼來識別顧客。消費者在未來店消費時必須提供自己手機號碼，意味著肯德基能更容易要求消費者加入會員。事實上，肯德基網頁點餐系統本來就有用取餐手機順便加入會員的選項，而未來店的消費模式，讓實體門市也能用同樣方法降低消費者加入會員門檻。</p> <p>不僅前端服務數位化，未來店的後端管理流程也用科技優化。從業績分析開始，肯德基採用AI智能銷售預測系統，綜合分析歷史售量及當下行銷活動等數據，來預測業績。此系統會串聯至即時生產管理系統，提供店鋪進貨建議和即時調節備料，以優化庫存管理及減少物料耗損。此外，人力安排方面，肯德基導入自動化人力排班系統，推導店內人力安排，增加排班調度彈性與管理效率。店面訂單管理系統也串聯到統整鄰近區域肯德基外送車隊的外送共享中心，以提升外送追蹤透明度跟外送效率。</p> <p>自2021年底，肯德基即在新北市板橋區試營運外送共享中心，整合區域內門市外送訂單，分配給專職外送車隊。目前外送共享中心已擴大至臺北與新北、新竹以及臺中，預計2023年底擴大營運到6都。</p> </div></div></div>
2023/1/19 13:32作者郭又華https://www.ithome.com.tw/news/155221
零售IT雙周報第12期：肯德基數位智能未來店開幕，數位化前端服務及後端管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#點餐數位化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#取餐動線改造</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#銷售預測</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#即時生產管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動排班</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送配單</span></span></strong></p> <p><strong>點餐取餐免排隊，肯德基KFC數位智能未來店前後端科技升級</strong></p> <p>肯德基「KFC數位智能未來店」南京旗艦館開幕，主打多元點餐及取餐功能，以分散排隊點餐、取餐人流。不只前端服務升級，後端管理也從行銷分析、進貨建議、人力安排到外送配單，都用科技優化。</p> <p>此店面中，顧客可以用自助點餐機或點餐網頁來下單，當餐點準備完畢，不用由店員叫號，而是放到智取櫃後，由系統寄送櫃位跟密碼到消費者手機中。消費者可以在座位或任何其他地方等待，等接收到簡訊，再到智取櫃輸入密碼取餐。如此一來，就能分散排隊點餐跟取餐的人潮。</p> <p>未來店的後端管理流程也用科技優化。從業績分析開始，肯德基採用AI智能銷售預測系統，綜合分析歷史銷售量及當下行銷活動等數據，來預測業績，並串聯至即時生產管理系統，提供店鋪進貨及備料建議，以減少物料耗損。此外，人力安排方面，肯德基導入自動化人力排班系統，推導店內人力安排，增加排班調度彈性與管理效率。店面訂單管理系統也串聯到統整鄰近區域肯德基外送車隊的外送共享中心，以提升外送追蹤透明度跟外送效率。（<a href="https://www.ithome.com.tw/news/155221">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店模組</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子商務</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂單履行</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#法規遵循</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#全通路經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂單履行</span></span></strong></p> <p><strong>Shopify開始販售模組化的開店平臺基礎系統架構</strong></p> <p>開店平臺巨頭Shopify<a href="https://news.shopify.com/shopify-enters-its-next-era-of-growth-redefining-enterprise-retail-introducing-commerce-components-by-shopify">開始販售自家開店平臺的系統模組</a>，開放網路店面建設、購物車及結帳、核心商業模組、數據及法遵、訂單履行及物流、全通路經營等不同功能的系統模組，給零售業者嵌入自家系統中。</p> <p>相對於完全轉換到Shopify系統，零售業者可以保有大部分既有系統架構，並只導入所需模組，是較彈性的一個選項。同時，業者也可以加入Shopify服務生態系。例如，若使用Shopify結帳模組，就等於加入了全球超過1億使用者的Shop Pay支付工具生態系。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店面配送服務</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#外送解決方案</span></span></strong></p> <p><strong>Walmart開始販售自家外送管理系統及解決方案</strong></p> <p><a href="https://corporate.walmart.com/newsroom/2023/01/12/walmart-commerce-technologies-and-salesforce-team-up-to-unlock-local-fulfillment-and-delivery-solutions-for-retailers">美國零售龍頭Walmart上架自家使用的外送管理系統及外送解決方案到Salesforce App市集AppExchange。</a>使用Salesforece Commerce Cloud的零售業者能利用這兩個產品，開發以自家門市為據點配送商品到消費者宅中的服務。</p> <p>這兩項服務分別為外送管理系統Walmart Commerce Technologies Store Assist，以及外送服務解決方案Walmart GoLocal。前者用於揀貨人力分配、訂單排程及外送訂單追蹤，且支援串接到零售業者其他既有系統；後者則是由Walmert車隊來履行外送訂單。這兩項都是白標產品，零售業者可以客製化內部管理及外部下單程式介面，車隊也能提供一定程度的客製化服務。</p> <p>Walmart自己使用同樣技術來履行全美近5,000家門市的外送訂單，因此這兩項產品從系統負荷能力到履行方案種類都能支援到相當大的營運規模，也可以選擇不同外送選項，例如數小時內送達、同日外送、預約外送及大尺寸外送等。由於Walmart本身服務範圍就很廣泛，因此GoLocal的外送服務範圍包括了許多較難送達的市郊及鄉村地區。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商生態系延伸</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員系統嵌入</span></span></strong></p> <p><strong>Amazon開放全美電商嵌入Amazon Prime電商會員系統</strong></p> <p>美國零售巨頭紛紛透過出售自家科技來拓展生態圈的同時，<a href="https://www.businesswire.com/news/home/20230110005233/en">電商巨頭Amazon則是利用自家會員制度Amazon Prime</a>，來延伸生態系。Amazon推出Buy with Prime服務，開放外部電商嵌入Prime會員系統，讓消費者購物時能使用Amazon Prime的免運優惠、結帳系統及點數累積。</p> <p>由於Amazon Prime被美國消費者廣泛採用，且運費在幅員遼闊的美國通常相當高，於外部電商結帳還能用Prime會員獲得免運優惠，對消費者來說吸引力不小。根據測試期統計，嵌入此服務的商家平均訂單轉換率增加了25%。Amazon同時也推出Reviews from Amazon，讓商家也能在自家電商頁面同步顯示消費者於Amazon站上對自家的評價。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong></p> <p><strong>Instagram將移除首頁的商城欄位，更加強調社群電商的「社群」部分以留下平臺使用者</strong></p> <p>Meta於自家社群媒體平臺上推出一系列電商功能後，現在他們又開始慢慢減少電商功能在些平臺的能見度。近日，<a href="https://www.facebook.com/help/instagram/541982071188223">Meta宣布將移除Instagram首頁的商城欄位</a>，不過仍保留社群媒體平臺其他購物功能，包括在貼文、限時動態、短影音Reels等地方標註商品的探索功能，以及在聊天室中直接結帳的金流功能。</p> <p>這不是第一次Meta取消自家社群媒體平臺上的電商功能。去年8月，Meta也撤銷了Facebook直播購物功能，聲稱要轉向積極經營Reels。社群媒體行銷跟電商功能逐漸成長的現今，Meta開始走向低調，調低這些功能能見度，更加強調社群媒體平臺的社群功能，以嘗試挽留逐漸流失的使用者。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#上妝輔助</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#殘疾人士服務</span></span></strong></p> <p><strong>L'Oréal將推出兩款化妝輔助工具，降低化妝品試用及居家化妝門檻</strong></p> <p><a href="https://www.prnewswire.com/news-releases/loreal-unveils-two-new-ces-2023-innovation-award-winning-beauty-technologies-301711720.html">知名化妝品品牌L'Oréal推出了一款自動上眉妝的工具及電動上妝輔助工具</a>，讓化妝品試用及居家化妝門檻大幅降低。</p> <p>上眉妝工具結合3D掃描、AR眉妝模擬及一個實體智慧上妝工具，來簡化複雜的上眉妝流程。試用者用上妝工具掃描自己眉型後，會在App上看到各式推薦眉妝造型。預覽完不同造型後，再用此上妝工具掃過眉毛，就完成上妝。此工具是運用3D列印非永久紋身技術，來取代複雜的人工上妝流程。</p> <p>電動上妝輔助工具則是一個協助殘疾人士自行上妝的手把，使用者能透過操作手把上按鈕來移動口紅及其他化妝工具，替自己上妝。此手把還能記憶個人化操作設定，例如手把與自己臉的相對位置，來降低後續使用難度。</p> <p>這兩項工具都預計於今年正式推出，用於店內試妝及消費者居家化妝。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#汽車消費</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#加油站消費</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#汽車金流</span></span></strong></p> <p><strong>Amazon Alexa車內助理將能用於尋找電動車充電站，還能自動付款</strong></p> <p>Amazon車上聲控助理Alexa，<a href="https://www.evgo.com/press-release/evgo-and-amazon-partner-to-enable-ev-drivers-to-locate-and-pay-for-charging-with-alexa/">將能尋找大型電動車充電商EVgo全美15萬個充電站，還能註冊EVgo會員及自動結帳</a>。車主並能回報充電站是否有狀況，以利維護人員跟其他車主更即時了解故障或現場其他障礙等資訊。</p> <p>由於這些充電站通常安裝在便利商店旁，此服務對這些零售商來說能直接受益。不僅如此，從車內助理直接串接金流的技術，未來也可能用於加油站、便利商店和得來速等零售場景，讓車上購物成為更便利的消費管道。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong><span style="background-color:#0099ff;">：</span></span></p> <p>1. Momo決議投入金額63億元用於建置中區自動化物流中心，並再斥資12.7億元採購倉儲設備。</p> <p>2. <a href="https://www.businesswire.com/news/home/20230105005216/en/Volumental-Launches-Beta-Version-of-Self-Service-Scanning-Software">自助鞋類虛擬試穿科技商Volumental將推出一般零售商可以嵌入店面用的解決方案，讓小零售業者也有機會使用這類科技</a></p> <p>資料來源：iThome整理，2022年1月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/1/19 13:51作者郭又華https://www.ithome.com.tw/news/155222
蘋果智慧喇叭HomePod以新版復出，搭載S7晶片、支援Matter標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周無預警公布<a href="https://www.ithome.com.tw/news/155203" target="_blank">搭載M2 Pro、M2 Max晶片的新版14、16吋MacBook Pro</a>後，蘋果昨（18）日又公布<a href="https://www.apple.com/newsroom/2023/01/apple-introduces-the-new-homepod-with-breakthrough-sound-and-intelligence/" target="_blank">大型智慧喇叭HomePod第二代</a>，接續兩年前停售的產品線。</p> <p>第一代HomePod雖然音色佳，但售價349美元令人卻步，加上只能播放Apple Music等蘋果自有音樂，2017年推出後，雖經過降價，但銷售仍不敵Amazon Echo、Google Nest及Sonos，以及更平價產品競爭，<a href="https://www.ithome.com.tw/news/143230" target="_blank">而於2021年停售</a>，此後蘋果主打售價99美元的Home Pod mini。</p> <p>蘋果資深行銷副總裁Greg Joswiak解釋，HomePod mini的熱賣讓蘋果感覺到，消費者對較大HomePod特有的洪亮音響效果興趣愈來愈大。</p> <p>在聲學設備上，HomePod 2搭載長衝程低音喇叭，展現渾厚低音，低音等化器麥克風會動態調整低頻。其底部5個波束成形的高音喇叭陣列可形成清亮高音，並可提供環場音效。5個高音喇叭和5個麥克風，都比第一代的7個來得少。但蘋果是以音訊運算技術彌補；新版HomePod內建S7晶片，結合軟體與全新的系統感測器，可即時執行調音模型，提供絕佳音質。S7晶片乃是用於Apple Watch Series 7的晶片。</p> <p>一如蘋果第一代設備，HomePod 2也內建Siri、可控制Homekit相容連網設備，並能和iPhone、Mac電腦接力在不同房間播放。不過新版HomePod增加了Matter標準支援，可整合相容的第三方設備。此外也較前代增加了溫、濕度計以及煙霧感測器。</p> <p>HomePod 2除了原有的白色外，還增加午夜色，售價299美元。HomePod今日起接受線上及在Apple Store App預購，美國市場預定2月3日出貨。在臺灣，<a href="https://www.apple.com/tw/homepod-2nd-generation/" target="_blank">HomePod 2售價</a>9,300元臺幣，出貨日期未定。</p> </div></div></div>
2023/1/19 14:19作者林妍溱https://www.ithome.com.tw/news/155223
客戶縮減投資，微軟將裁員1萬人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在媒體報導後，<a href="https://blogs.microsoft.com/blog/2023/01/18/subject-focusing-on-our-short-and-long-term-opportunity/" target="_blank">微軟昨（18）日證實</a>，因應經濟情勢不明，將在3月底前裁減1萬人以控制成本，但強調會在重點部門持續招募。</p> <p>微軟執行長Satya Nadella指出，景氣前景不明，客戶數位化投資轉為保守，且遍及各種產業與各區域，為了調整公司體質、控制成本，公司將在3月底，即微軟會計年度2023年第3季之前裁減10,000人，約占公司總員工數22萬餘人的5%。</p> <p>本周稍早英國<a href="https://news.sky.com/story/microsoft-to-axe-thousands-of-jobs-in-latest-cull-by-tech-giant-12788916" target="_blank">《Sky News》</a>首先報導此事。<a href="https://www.bloomberg.com/news/articles/2023-01-17/microsoft-to-cut-jobs-in-engineering-divisions-this-week?sref=10lNAhZ9" target="_blank">《彭博》</a>引述的消息人士指出，有多個工程部門受到影響，而且幅度比<a href="https://www.ithome.com.tw/news/153697" target="_blank">去年11月宣布</a>的數百人要「大得多」。</p> <p><a href="https://www.theverge.com/2023/1/17/23559412/microsoft-layoffs-job-cuts-2023" target="_blank">The Verge報導</a>，受影響的部門包括Edge、HoloLens、行銷部門以及微軟2020年收購的遊戲開發商Bethesda，及自行成立的遊戲工作室343 Industries。此外，已經有約800人於昨日接到通知。</p> <p>Nadella指出，受影響的微軟員工將可拿到優於市場的補償，包括60天預告工資、5個月遣散金、股票權益、轉職協助等。但他同時表示，裁員同時公司也會在策略成長業務持續增加招募。Nadella特別點明，下一代運算將與人工智慧（AI）密不可分，微軟也將把最先進的模型整合進新的運算平臺。</p> <p>微軟<a href="https://www.ithome.com.tw/news/152137" target="_blank">2022年6月30日</a>及<a href="https://www.ithome.com.tw/news/153844" target="_blank">9月30日</a>截止的會計季度財報，已顯示景氣反轉帶來的成長腳步減緩，但Azure及智慧雲端軟體包括Office在內的營收，則呈現持續成長態勢。</p> <p>在此之前<a href="https://www.ithome.com.tw/news/155173" target="_blank">西雅圖媒體報導</a>，微軟自去年開始整修位於雷得蒙（Redmond）市的總部，並宣布將停租位於Belleue市的辦公室，以便將員工整併辦公。</p> <p>微軟將在下周公布截至12月31日的會計年度2023年第2季財報。Nadella指出，這波裁員、硬體業務調整，以及辦公室整併的相關支出約為12億美元。</p> <p>微軟也是繼Meta、Amazon之後，再次裁員破萬人的科技大廠。Meta、Amazon、微軟、以及Salesforce等雲端公司，都受益於COVID-19疫情間企業與消費者宅經濟或遠距作業投資，然去年春天起全球景氣反轉下跌，迫使快速增員的雲端公司被迫精簡。<a href="https://www.ithome.com.tw/news/154112" target="_blank">Meta</a>和Amazon各裁1.1萬及1.8萬人，<a href="https://www.ithome.com.tw/news/155056" target="_blank">Salesforce</a>則宣布裁減7,000人。</p> </div></div></div>
2023/1/19 11:35作者林妍溱https://www.ithome.com.tw/news/155219
日產汽車委外軟體業者測試資料保存不當，1.8萬北美客戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/974df16b-fe59-4065-b707-b0cec26ba38d.shtml" target="_blank">日本汽車大廠日產（Nissan）上個月通知18,000名客戶</a>，由於第三方軟體業者在測試時資訊處理不當，致使日產客戶資料遭駭客竊取。</p> <p>根據日產12月19日寄發給客戶的通知函，受影響的第三方廠商Bass Berry Sims負責提供日產軟體開發委外服務，日產在其軟體測試時，提供了某些資料給這家廠商。</p> <p>日產在今年6月21日接獲通報，這家廠商不慎洩露了日產提供的資訊。日產在9月底判斷，這事件導致公司資料遭到未授權存取或取得，包括某些客戶個資。原因出在第三方廠商測試的程式碼中包含這些客戶資料，而廠商又不慎且短暫儲存在公開雲端資料庫中。</p> <p>日產表示在得知事件時已立即確認第三方廠商已阻斷未授權存取，並展開調查，同時採取防護措施。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/974df16b-fe59-4065-b707-b0cec26ba38d.shtml" target="_blank">根據日產向緬因州提交的文件</a>，本事件總共影響客戶17,998名，包含785位緬因州民。該事件屬於「不慎資料外洩」及「內部人士失誤」。</p> <p>可能外洩的客戶個資包括姓名、生日、日產客戶帳號編號，不過不包含社會安全號碼或信用卡資料。日產強調尚沒有客戶資訊被濫用的證據。</p> <p>去年10月日本汽車大廠<a href="https://www.ithome.com.tw/news/153565" target="_blank">豐田汽車</a>也發生承包商在把部分程式碼上傳至GitHub的公開儲存庫時，於程式碼夾帶了存取金鑰，導致攻擊者存取該資料庫造成3萬車主資料外洩。4月<a href="https://www.ithome.com.tw/news/145020" target="_blank">福斯汽車</a>也也說因外包商疏忽，致330萬北美車主個資曝光。</p> </div></div></div>
2023/1/19 11:49作者林妍溱https://www.ithome.com.tw/news/155220
AI趨勢周報第206期：Salesforce新演算法可逆推擴散生成模型，編輯圖像更貼切
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0113～0119)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 擴散模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉圖像 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Salesforce新演算法可逆推擴散生成模型，改字也能準確貼近原始圖</strong></span></p> <p>Salesforce最近設計一款新演算法EDICT，可逆推任何文字轉圖像的擴散模型，就算原始文字提示有所修改，新生成的圖像依然貼近原圖，比如使用者將文字提示「站在衝浪板上、穿著救生衣的狗」中的狗改為貓，新生成的圖片能保留原圖樣貌，只將狗轉換為貓。</p> <p>團隊表示，EDICT之所以能這麼做，是因為追蹤了一對中間表徵，而非只是一個。這種可逆性，讓模型產出非常貼近原圖的編輯圖像。Salesforce也把這套演算法用於熱門的Stable Diffusion模型，發現演算法能高保真重建出原始圖像。而且，團隊以MS-COCO這類複雜的圖像資料集測試發現，EDICT的圖像重建表現，比降噪擴散隱性模型要好。</p> <p>團隊表示，EDICT不需要訓型訓練或微調，也不需要額外的訓練資料，而且能與任何預訓練降噪擴散模型整合。EDICT程式碼已在GitHub上<a href="http://github.com/salesforce/EDICT">公布</a>。<a href="https://blog.salesforceairesearch.com/edict-accurate-text-guided-image-editing-with-diffusion-models/">（詳全文）</a></p> <p><img alt="" src="https://blog.salesforceairesearch.com/content/images/size/w1000/2022/12/dog-breed-edict.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉影片 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 稀疏因果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Tune-A-Video </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新加坡國立大學打造文字轉影片模型Tune-A-Video省資源</strong></span></p> <p>新加坡國立大學以單樣本學習，打造一款文字轉影片AI模型Tune-A-Video，來降低訓練所需的運算成本。團隊指出，近來，文字轉影片這類生成式AI的主流研究方法，仰賴大規模成對的「文字-影片」資料集來微調。然而，這種方法耗費大量運算資源，也不直覺，於是團隊提出Tune-A-Video，來以單一組「文字-影像」訓練開放領域的影片生成器。</p> <p>團隊以經過海量資料訓練的文字轉圖像預訓練擴散模型為基礎，來開發文字轉影片模型。他們也發現，文字轉圖像模型能針對動詞，產出相對應的圖像，而且，用這些模型來同時生成多張圖像，其生成內容的一致性非常高。</p> <p>因此，為進一步讓模型學習連續性動作，團隊提出一種稀疏因果注意力機制，能透過單樣本微調預訓練擴散模型，來根據文字提示產生影片。團隊表示，Tune-A-Video可用來產生吻合時序的影片，可用於背景或主題變換、屬性編輯、風格轉換等。<a href="https://tuneavideo.github.io/">（詳全文）</a></p> <p><img alt="" src="https://tuneavideo.github.io/static/images/overview.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DoNotPay </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 服務條款 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美新創用ChatGPT讀服務條款，不只能白話解釋還會揪出不合理之處</strong></span></p> <p>生成式AI又有新應用！致力以AI維護消費者權益的美國新創DoNotPay執行長Joshua Browder最近展示一款外掛，該外掛基於ChatGPT，使用者在DoNotPay平臺服務DoNotSign上上傳服務條款PDF或輸入網址，系統就會自動閱讀內容、產出白話解釋，若有不合常規的條款，系統還會自動標註，來告知使用者。除了服務條款，該系統還能處理隱私條款、租賃合約等法律相關文件。Joshua Browder指出，該功能將是首款供大眾使用的GPT系列產品，因此可能受到OpenAI的API限制。目前，該功能正在審核中，還未正式上線。</p> <p>這不是第一個DoNotPay發表的AI應用。日前，Joshua Browder展示一款基於GPT-3.5的語音代理系統，能利用使用者聲音，來與客服自動對話，另一款則是基於GPT-3 API的聊天機器人，能與客服文字對話，解決訂閱、續約、付費問題。<a href="https://twitter.com/jbrowder1/status/1615543292057497603">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/i/status/1615543292057497603" /><img alt="" src="https://s4.itho.me/sites/default/files/images/tune%20a%20video.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟Azure OpenAI服務正式上線，企業可用GPT-3、Codex和DALL-E 2了</strong></span></p> <p>微軟日前宣布Azure OpenAI服務正式上架，更多企業用戶可申請使用OpenAI的AI模型了，如GPT-3、Codex和DALL-E 2。微軟還預告，Azure OpenAI服務還會納入ChatGPT模型。</p> <p>Azure OpenAI服務由微軟在2021年推出，可讓企業在安全、合規的條件下，從Azure雲平臺取用OpenAI預訓練模型。這些模型包括具1,750億個參數的自然語言預訓練模型GPT-3、GPT-3的升級版GPT-3.5，以及可將自然語言轉為程式碼的模型Codex，還有文字轉圖像模型DALL-E 2。使用者可透過Azure OpenAI來開發各種應用程式，如從客服日誌快速總結客訴、快速編寫程式，或快速生成部落格文章等。Azure OpenAI服務提供的模型已由數十億頁公開文件訓練，企業只需提供自家少量業務資料，就能進一步微調模型。為確保AI合理使用，微軟也要求開發者先申請存取權限，事先描述預期用例和應用程式。微軟的監控程式也會持續過濾Azure OpenAI服務可能產生的辱罵、仇恨和冒犯性內容，當官方確認用戶用例違反政策，便會限制使用。<a href="https://azure.microsoft.com/en-us/blog/general-availability-of-azure-openai-service-expands-access-to-large-advanced-ai-models-with-added-enterprise-benefits/">（詳全文）</a></p> <p><img alt="" src="https://azurecomcdn.azureedge.net/mediahandler/acomblog/media/Default/blog/a6218d54-3c27-4c17-bc25-33ce1d1a268e.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 空中巴士 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕技術 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客機 </span></strong></span></p> <p><span style="font-size:22px;"><strong>參考蜻蜓視覺能力，空中巴士開發客機自駕技術</strong></span></p> <p>空中巴士（Airbus）以蜻蜓為靈感，開發自動飛行技術，Airbus UpNext DragonFly展示飛機已進入最後3個月的測試階段，來測試飛行路徑選擇能力、自動降落技術和駕駛員輔助技術。空中巴士計畫將DragonFly技術用於緊急操作上，當機組人員無法控制飛機時，DragonFly會將飛機重新導航至最近的機場，並安全著陸。</p> <p>這款DragonFly模仿蜻蜓超廣視野和辨識地標能力，來讓飛機辨識地景特徵和周圍環境，並安全操縱飛機。DragonFly系統也參考蜻蜓敏銳的視覺能力，整合感測器、電腦視覺演算法和導航運算功能，可在低能見度和惡劣天氣情況下降落，這項新的降落技術，甚至可以根據飛行員的飛行技巧自訂，減輕飛行員在緊急情況的額外程序。<a href="https://www.airbus.com/en/newsroom/stories/2023-01-could-the-humble-dragonfly-help-pilots-during-flight">（詳全文）</a></p> <p><img alt="" src="https://www.airbus.com/sites/g/files/jlcbta136/files/styles/airbus_1440x1440/public/2023-01/image_9_0.webp?itok=MnEsy_nJ" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音合成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Eleven Labs </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音特徵 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI新進展！Eleven Labs揭露最新語音合成成果</strong></span></p> <p>專注語音合成AI的研究實驗室Eleven Labs日前發布最新語音生成模型，使用者能根據性別、年齡、口音、音高，甚至是說話風格等特徵，來生成全新的人造聲音，而且系統每次合成的聲音都不一樣，即使用戶以相同參數生成聲音，也會得到一個不曾存在的聲音。</p> <p>近來，生成式AI大放異彩，在文字、圖像甚至是影片領域遍地開花，但語音生成並非如此。因此，Eleven Labs參考語音合成和語音複製的語音特徵編碼方法，在訓練專屬模型時，對說話者嵌入分布進行採樣，來合成無限多種的新聲音。他們也在這過程加入一定程度的限制，讓聲音擁有特定的語音特徵。Eleven Labs打算把這個模型發展為「Design Voice」功能，預計在2月於自家平臺上線。團隊表示，該模型可用於新聞媒體和商業廣告的語音，甚至能用於遊戲開發。<a href="https://blog.elevenlabs.io/enter-the-new-year-with-a-bang/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 零售業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 防盜竊 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia推新AI工具，防零售業商品被盜竊</strong></span></p> <p>Nvidia推出3款零售業專用AI工作流程Retail AI Workflows，可用來打造商品防竊盜應用。進一步來說，這些工作流程以Nvidia自家微服務平臺Metropolis為基礎，Nvidia先以常遭竊的商品圖片和軟體來訓練這些工作流程，開發者再以無程式碼或低程式碼模組來快速開發應用程式。</p> <p>第一款工作流程是零售業防損AI工作流程，其中的AI預訓練模型，能辨識上百種最常受盜竊損害的產品，如肉類、酒品和洗衣粉，模型也能識別產品不同的尺寸、容量和形狀。此外，使用者還能用Nvidia Omniverse平臺合成資料，來客製化模型，以業者自家的數十萬種商品來訓練。</p> <p>另一種是多攝影機追蹤AI工作流程，具多物件、跨多攝影機功能，讓開發者更容易打造跨全店多攝影機的系統，來追蹤商品物件。最後一個流程是零售商店分析工作流程，能以電腦視覺技術，在客製化的儀表板上呈現商店分析洞察，如商店客流量趨勢、使用購物籃的顧客人數、走道占用率等資訊。<a href="https://blogs.nvidia.com/blog/2023/01/12/retail-ai-workflows/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 假消息 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型語音模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輿論操縱 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI：大型語言模型加重輿論操縱</strong></span></p> <p>OpenAI聯手史丹佛大學和喬治城大學，展開大型語言模型（LLM）對輿論風向操縱的研究，他們發現，大型語言模型會導致更多惡意傳播行為，且形式更多元，行為成本也更低。</p> <p>近年，生成式AI有顯著進展，但也容易遭惡意人士濫用。於是，3大機構聯手，以ABC模型來探討輿論操縱影響，其中A代表行為人，也就是輿論操縱行為背後的實體，B代表輿論操縱行為，C則指操縱內容。研究發現，在A方面，未來將因為生成模型普及而降低宣傳成本，出現更多樣的宣傳群體；而B則會出現自動生成內容規模擴大，同時也更有效率，如即時生成個人化內容，且生成內容更可信也更有說服力。團隊表示，語言模型對輿論風向操縱有重大影響，但目前沒有終極解決方案，有能力開發大型AI的科技龍頭和社群媒體，應共同應對輿論操縱。<a href="https://fsi.stanford.edu/publication/generative-language-models-and-automated-influence-operations-emerging-threats-and">（詳全文）</a></p> <p>圖片來源／Salesforce、新加坡國立大學、DoNotPay、微軟、空中巴士</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 新AI工具<a href="https://gptzero.substack.com/p/new-year-new-features-new-model?r=8okkt&utm_campaign=post&utm_medium=web">GPTZeroX</a>可偵測文章是否出自ChatGPT</strong></p> <p><strong>2. 線上會議認真神器！Nvidia Broadcast以AI模擬用戶眼睛緊盯鏡頭</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>
2023/1/19 11:05作者王若樸https://www.ithome.com.tw/news/155218
安全內蘊
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於氣候變遷的緣故，臺灣2022年冬天的低溫來得很晚，12月中之後開始出現冷氣團，2023年春節前夕這幾天又有明顯降溫，穿著防寒大衣、裹著圍巾的行人變多了，平時以捷運與步行出入的我，不想厚重裝扮，寧可在襯衫裡面多穿一件保暖內衣，外出再穿上外套。</p> <p>回想過去在低溫持續較久的冬季與春季，除了穿襪子維持腳底溫暖，也會額外穿一件衛生褲，讓下半身不會感到寒冷。這樣的冬日穿著習慣其實是很小的時候養成，國小一年級時，舉家從高雄搬遷到中部海線鄉鎮，那時，父母為了不讓我們著涼，而讓我們內穿衛生衣褲禦寒，外覆毛衣、太空衣夾克，而到學校上課期間，為了配合制服統一穿著規定，很多人都會把制服裡面多穿保暖衣褲，有些同學看到不小心露出的衛生褲一角，還會嘲笑我為何如此怕冷。雖然並未因怕丟臉而不穿保暖衣褲，但自己還是不自覺地受到影響，認為多穿衣服禦寒是示弱。</p> <p>隨著年紀漸長，面對寒冷我早已有了因應之道，而且，隨著科技與經濟的進步，不論是外搭或貼身衣褲，都有更好的選擇。例如，現在的大衣、外套可以因為採用新進的材質，能兼顧不重、透氣、防濕，而在更早之前，羽絨衣也因輕便、保暖而受到歡迎。</p> <p>天氣寒冷無可迴避，層出不窮、無孔不入的資安威脅也是如此，這是令所有人擔憂而須持續警戒的議題，而各種提升安全性的策略、方法、行動，也受到眾人熱烈討論。</p> <p>例如，這幾年快速竄起的零信任（Zero Trust）、過去很多資安專家常提及的縱深防禦（Defense in depth），有個概念其實也值得大家思考，那就是內蘊型安全（Intrinsic Security），以IT廠商而言，過去伺服器虛擬化平臺廠商VMware論及資安防護對策時，常以此為主軸，2020年7月發布以此為名的白皮書，探討統整與加速企業端點安全防護，與VMware密切合作的Dell Technologies，這幾年也加入鼓吹這概念的行列。</p> <p>對於這個概念的理解，我想到《孫子兵法》九變篇提到的「無恃其不來，恃吾有以待之；無恃其不攻，恃吾有所不可攻也。」，事實上，積極提升自身防禦，並不代表我們好戰、窮兵黷武，然而，有些人在面對威脅時，卻天真地認為不需軍備，而將必要防衛力量視為勞民傷財之舉。</p> <p>誠如美國最近宣布將對臺售出「火山陸上機動布雷系統（Volcano anti-tank munition-laying systems）」引發關注，然而，無論是支持或反對，強化民防與國防的發展、推動相關改革，終將是未來臺灣確保安全的關鍵。</p> <p>關於臺灣的防守，去年10月美國智庫蘭德公司總裁兼執行長Jason Matheny撰文，建議臺灣應建立「豪豬防禦（porcupine defense）」，透過取得適當的武器，以相對較低的成本來獲得生存的機會。這樣的觀點不僅適用於國家安全，對於資安防護而言，也是很實用的策略，畢竟資源有限，無法全部投入這些措施上，面對不對稱的攻守態勢，我們必須找到並實現能讓敵人無法輕易進犯的方法，而非一味懼戰。</p> <p>有了足夠的內蘊安全，若我們也能堅守機密，大敵來襲，可能遭遇哪些狀況？或許就像金庸小說《神鵰俠侶》的黯然銷魂掌「無中生有」，敵人一近身，就瞬間發動全身齊攻，使其手忙腳亂、難以招架；好萊塢電影《環太平洋》裡面，兩位主角操縱的機器人吉普賽危機，屢屢使出蘊藏體內、敵人料想不到的武器，像是機體的冷凍液、藏在手中的伸縮劍，以及胸部的能源火焰，而讓事先從人類腦中取得一定情報的怪獸措手不及。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%A7%E8%98%8A%E5%AE%89%E5%85%A8">內蘊安全</a></div><div class="field-item odd"><a href="/tags/intrinsic-security">Intrinsic Security</a></div></div></div>
2023/1/19 00:00作者李宗翰https://www.ithome.com.tw/voice/155210
Shopify開發團隊公開以Rust重寫Ruby YJIT的權衡與改進細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby 3.1初次加入程序內JIT編譯器YJIT，經過一年的時間，YJIT成為Ruby 3.2中的正式功能，Shopify R&RI（Ruby & Rails Infrastructure）團隊則是該功能的主要推手，開發團隊現在詳細說明<a href="https://shopify.engineering/ruby-yjit-is-production-ready">YJIT的開發細節以及實質帶來的改進</a>。</p> <p>由於Shopify的所有重要基礎設施，包括商店以及網站的底層，都仰賴Ruby和Ruby on Rails，Shopify的大型伺服器叢集散布全球，每分鐘能夠處理超過7,500萬次請求，在2020年的時候，Shopify決定要開發一個相對簡單的JIT編譯器YJIT，目標是以YJIT提高店面渲染器（Storefront Renderer，SFR）的效率。</p> <p>這原本只是Shopify在2020年啟動的內部專案，但是受到CRuby核心貢獻者的邀請，YJIT進入Ruby並且在3.1版本中作為實驗性功能發布。YJIT編譯器到了Ruby 3.2成為正式版本，比起Ruby 3.1的實驗性版本，不只更強健也更易於維護，記憶體效率與執行效能的提升，使得YJIT 3.2更適合用於生產環境中。</p> <p>Shopify在開發YJIT 3.2時，決定要將YJIT從C99移植到Rust上，開發團隊提到這項決定的主要考量有兩個，第一個是Rust提供了C所沒有的安全性，開發團隊認為，這對於具有許多約束的低階系統程式開發來說非常重要。</p> <p>第二個原因則是Rust的程式碼更容易維護。使用C編寫YJIT程式碼時，開發團隊參考C巨集實作動態陣列，他們認為這樣的方法既不安全也不夠聰明，而Rust擁有豐富的標準函式庫和好用的抽象，因此他們只花3個月就將YJIT移植到Rust，還使整體程式碼庫更容易維護。</p> <p>Ruby 3.2中的YJIT記憶體使用更有效率，開發團隊解釋，JIT編譯器的缺點之一，便是需要使用比直譯器更多的記憶體，因為JIT編譯器需要生成可執行機器碼，但是直譯器不需要，而且JIT編譯器還需要分配記憶體給後設資料，因此也增加許多記憶體開銷。</p> <p>YJIT 3.1編譯器大量的記憶體開銷，使得Shopify在生產部署上面臨挑戰，因此開發團隊進行多項改進大幅降低記憶體用量，除了最佳化後設資料占用的記憶體，並且對不再使用的機器碼實作垃圾回收，因此在Ruby 3.2中，YJIT記憶體開銷已降到Ruby 3.1的三分之一，YJIT只會懶散地替機器碼分配記憶體分頁，而不會預先分配並且初始化一大塊記憶體，這項改進讓YJIT更適合用於生產中。</p> <p>YJIT 3.2改進還包括執行速度，不只使用更少的記憶體，而且在Railsbench基準測試上，執行速度比Ruby 3.2的直譯器快38％，與Ruby 3.1.3的直譯器相比更是快了57％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/yjit-improved_performance.jpg" style="width: 580px;" /></p> <p>YJIT 3.2因為有一個新的後端，可以對多種CPU產生機器碼，因此新增支援了ARM64 CPU。之前在Ruby 3.1中的YJIT只支援Mac和Linux上的x86-64，但因為Shopify開發人員開始採用Apple M1/M2筆電，導致他們自己只能使用Rosetta模擬執行YJIT，這驅使他們開始提供ARM64 CPU的支援，使得YJIT可以在Apple M1/M2、AWS Graviton以及樹莓派上執行，而且比起英特爾的x86-64 CPU，YJIT在Mac M1硬體上獲得大幅加速。</p> <p>因為YJIT 3.1記憶體開銷未經最佳化，因此只標記為實驗性，Shopify也未將其部署到全球，但透過部分SFR節點部署收集統計資料，觀察到基準測試中無法發現的效能問題，而到了Ruby 3.2，YJIT已經獲得足夠改進，現在Shopify已經著手將YJIT 3.2部署到全球SFR基礎設施，獲得5％到10％的實際加速。</p> <p>開發團隊提到，目前YJIT最大的缺點，仍然是記憶體占用，開發團隊還會繼續減少記憶體占用，同時他們也將改進Ruby的執行速度，開發團隊解釋，Ruby中有許多方法呼叫，迴圈迭代和大部分的基本操作都是方法呼叫，典型的Ruby程式碼存在許多小方法呼叫，因此他們試圖會從方法呼叫加速下手，改進Ruby程式執行速度。</p> </div></div></div>
2023/1/18 23:03作者李建興https://www.ithome.com.tw/news/155201