iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟推出內建語言模型GPT-3.5的Teams Premium，訂閱價每月10美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟即時通訊協作平臺Teams，添加一系列包括人工智慧、安全性和自定義會議等進階功能，推出每月10美元的<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/02/01/microsoft-teams-premium-cut-costs-and-add-ai-powered-productivity/">Teams Premium訂閱服務</a>，用戶除了可以用到由OpenAI GPT-3.5語言模型加持的智慧會議功能之外，企業也將可以自定義會議體驗，並且獲得更多的安全控制功能，確保會議的私密性。</p> <p>Teams Premium的一大亮點，就是整合OpenAI的GPT-3.5語言模型，提供會議要點總結或是翻譯等人工智慧功能。Teams Premium的智慧回顧功能（下圖），將能夠自動生成會議記綠、推薦任務和個人化會議重點，節省用戶查看會議記錄的時間，人工智慧能夠劃分會議紀錄成多個部分，使用戶更簡單地選取想要關注的內容。該功能可在PowerPoint Live會議錄製中使用，智慧回顧會根據會議文字轉錄自動生成會議章節。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/TP-GA-1.jpg" style="width: 580px; height: 326px;" /></p> <p>智慧回顧也會針對每個使用者，添加個人化時間軸標記（下圖），當用戶加入或是離開會議時，Teams會在錄音中添加只有用戶自己可以看到的標記，如此用戶便能夠簡單地點選錯過的內容收聽，同時個人化時間軸標記也會標出用戶名字被提及和螢幕共享時刻。微軟提到，個人化標記功能還將會加入說話者標記，在時間軸標記出正在說話的人，確保用戶不會錯過重要內容。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/TP-GA-3.jpg" style="width: 580px; height: 326px;" /></p> <p>現在Teams Premium還提供即時字幕翻譯功能，用戶不只可以即時查看說話者的字幕，Teams還能把字幕翻譯成40種口說語言，所有與會者都能夠以自己的語言閱讀字幕。接下來數個月，微軟會持續強化Teams Premium的人工智慧功能，包括在會議後生成會議重點，並且由GPT-3.5自動創建筆記，同時運用人工智慧生成任務和建議工作項目。</p> <p>Teams Premium使企業IT管理員，可以針對客戶電話會議或腦力激盪會議等不同會議類型，創建自定義會議模板（下圖），減少用戶創建和配置會議的時間，微軟提到，運用模板也可以確保會議符合公司最佳實踐和政策。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Teams-Premium-GA-3.jpg" style="width: 580px; height: 247px;" /></p> <p>另外，Teams Premium還提供包括會議浮水印（下圖）和錄影音限制等進階會議保護功能，對於高度敏感的會議，用戶也能夠啟用端到端加密功能，另外，當會議中討論到商業敏感資訊時，Microsoft 365 E5用戶可以啟用Microsoft Purview資訊敏感標籤，根據會議敏感度自動應用適合的會議選項，企業法遵管理員可以從Microsoft Purview配置Teams相關的選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/TP-GA-8.jpg" style="width: 580px; height: 246px;" /></p> <p>微軟也在Teams Premium中強化網路研討會的功能，使得會議舉辦人可以更方便地控制會議進行，對於需要聯絡客戶的用戶，也能夠利用Teams Premium中的虛擬預約功能，管理端到端的客戶體驗。</p> </div></div></div>
2023/2/3 11:38作者李建興https://www.ithome.com.tw/news/155351
聯卡中心揭就醫支付洞察，去年刷卡簽帳533萬筆創5年新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯合信用卡處理中心（簡稱聯卡中心）日前分析民眾在醫院、診所使用信用卡的<a href="https://www.nccc.com.tw/wps/wcm/connect/zh/home/openinformation/CaseAnalysisIntroduce/CNT_05_998_20221221140335">消費樣態</a>，發現2022年民眾就醫使用信用卡簽帳的筆數，是近5年新高，全年度金額預估可達500億元，醫院信用卡小於500元的小額支付也逐年成長。但他們也比對健保署資料，發現使用信用卡支付的民眾，才占總就醫人次的4%，顯示行動支付於醫療還有很大的成長空間。</p> <p>進一步來說，疫情爆發前的2019年，民眾在醫院和診所使用信用卡簽帳的筆數和金額，分別是507萬筆、490億元，在疫情嚴峻的2020年與2021年，簽帳筆數分別為近500萬筆和515萬筆，但金額下滑，2021年為432億元。疫情趨緩後，去年（至2022年10月底），民眾就醫的信用卡簽帳金額高達533萬筆，創近5年新高，聯卡中心還預估，全年度還能增長至652萬筆、達500億元。（如下圖）</p> <p><img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/1/%E5%9C%96%E4%B8%80.png?MOD=AJPERES" /></p> <p>在占比上也有新發現，醫院刷卡筆數雖然占8成以上，但消費金額卻逐年下降。有趣的是，聯卡中心觀察到，醫院小額支付筆數逐年提高，小於500元的筆數占比從2018年的32.2%上升至去年的45%。也就是說，民眾在醫院，用信用卡支付掛號費等小額費用的比例增加了。（如下圖）</p> <p><img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/5/%E5%9C%96%E4%BA%94.png?MOD=AJPERES" /></p> <p>從消費族群來看，聯卡中心發現，診所信用卡消費主力是30至49歲的民眾，簽帳筆數和金額就占了所有年齡層的6成。有別於診所，醫院信用卡消費主力年齡層較高，為40歲以上民眾，筆數和金額占了7、8成。特別的是，醫院也有不少60歲以上的民眾，使用信用卡簽帳筆數和金額，占比超過2成，顯示年長者也習慣用信用卡支付。就消費力來看，診所50至59歲、醫院60歲以上的族群，是所有年齡層中，單筆金額最高的。（如下圖）</p> <p><img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/7/%E5%9C%96%E4%B8%83.png?MOD=AJPERES" /></p> <p>不過，聯卡中心也搭配健保署公開資料計算，發現在醫院門診和住院使用信用卡支付的民眾，只占總就醫人次4%，近5年也沒有明顯增長（如下圖）。聯卡中心還進一步在主要平臺進行輿情分析，發現民眾討論重點多半是：支援信用卡和行動支付的醫院太少、行動支付App有時無法支付醫療費用，以及以信用卡支付大額醫療費用有無回饋，這幾點也是醫界和相關機構待克服的挑戰。</p> <p><img alt="" src="https://www.nccc.com.tw/wps/wcm/connect/14363e42-6d94-48f6-b603-9165c68670d2/9/%E5%9C%96%E4%B9%9D.png?MOD=AJPERES" /></p> <p>總的來說，疫情加速金融支付在醫院和診所的滲透，有成長潛力，但聯卡中心認為，行動支付要在醫院、診所落地深根，還有賴於整合各醫院IT系統、集中式導入。如此，也才能更好地數位化串聯臨櫃掛號、看診、領藥和繳費等流程，甚至有助於遠距看診和電子處方箋的整合應用。</p> <p> </p> </div></div></div>
2023/2/3 11:52作者王若樸https://www.ithome.com.tw/news/155356
北韓駭客組織Lazarus鎖定研究機構盜取情資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司WithSecure發現了由北韓情報局相關駭客組織Lazarus，所發起的APT攻擊行動<a href="https://labs.withsecure.com/publications/no-pineapple-dprk-targeting-of-medical-research-and-technology-sector">No Pineapple</a>，該攻擊行動針對公私部門的研究機構，包括醫學與能源研究以及其供應鏈，研究人員認為，駭客攻擊的目標是獲得相關情報。</p> <p>根據WithSecure釋出的攻擊報告指出，整個攻擊行動從2022年8月開始，一直到2022年11月，而Lazarus駭客是利用Zimbra郵件伺服器的漏洞CVE-2022-27925和CVE-2022-37042，開始整個入侵行動，最終盜走了約100 GB的資料，攻擊者在被中斷之前，並沒有執行任何破壞行動。</p> <p>由於WithSecure一開始偵測特定的C2 IP位址，因此原本假設此為BianLian勒索軟體攻擊，但是透過分析駭客攻擊的策略、技術和活動，研究人員才將攻擊者與Lazarus連結起來，在收集更多證據後，確認該攻擊為大規模情報收集行動的一部分，而非是單純的勒索軟體攻擊。</p> <p>研究人員可以將攻擊者關聯到Lazarus，要感謝攻擊者的操作失敗，在研究人員調查第一個被入侵伺服器時，發現其中一個連接來自北韓的IP位址，而這個IP位址在前幾天與後幾天都有出現，研究人員認為這是攻擊者在日常工作開始時的操作故障，會在短暫延遲之後才回到預設的線路，而攻擊者所使用的IP位址為北韓政府所擁有。</p> <p>另外，透過分析攻擊者的工作模式，研究人員發現攻擊者應該位於UTC+9時區，工作時間為周一到周六，從早上9點到晚上10點，而這是北韓常見的工作模式。研究人員確認了Lazarus的具體攻擊目標，包括醫療保健研究組織，以及能源、國防和醫療保健領域的製造商，還有研究型大學的化工系。</p> <p>但這次攻擊與過去Lazarus的活動相比，仍有幾項不同之處，像是研究人員就發現，他們所使用的基礎設施，僅仰賴沒有域名的IP位址，還使用新版本的惡意軟體GREASE，該惡意軟體讓攻擊者能夠繞過防火牆，以遠端桌面協定權限創建管理員帳號。</p> <p>而之所以這次的Lazarus攻擊行動被稱為No Pineapple，是因為駭客所使用的後門程式，當事件資料超過分段位元組大小時，錯誤訊息後面會附加< No Pineapple! >字串。</p> </div></div></div>
2023/2/3 12:00作者李建興https://www.ithome.com.tw/news/155355
AI如何顛覆股市生態
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-an_chi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">行路出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多人期望海姆能終結波迪克家族的遺憾。儘管老波迪克忙於世界各地實驗室的工作而長年缺席，從未協助小波迪克做過研究，卻依然以極高的標準要求兒子。要獲得他的青睞，唯一的辦法是擁有傑出的學術成就，而且從小學時就開始。海姆天資聰穎，理解艱深的概念毫不費力，還能提出優秀的原創想法。就各方面看來，他都是當學者的料，年輕的天才。</p> <p>但是海姆當了逃兵。他十多歲時開始抗拒父親要他繼承衣缽的壓力。他把頭髮染黑，到鞭擊金屬樂團當鼓手，跟粗人混在一起，經常好幾個星期不回家。1988年，海姆十七歲時，他的父親做了預測。家庭聚會時，他公開感嘆兒子缺乏紀律。</p> <p>他斷言：「海姆絕對不可能獲得諾貝爾獎！」</p> <p>海姆也不需要提醒父親，他永遠不可能獲得諾貝爾獎。這個預言儘管讓他傷心，卻也撥動了更深處的心弦。為了達成他（而不是他父親）的期望，他必須能預測未來。</p> <p><span style="font-size:28px;"><strong>我們要怎麼預測未來？</strong></span></p> <p>1980年代末和1990年代初，除了IBM等大型企業和國防工業之外，其他單位都沒有這麼龐大的運算能力。當時的超級電腦效能大概跟現在的iPad相仿。現在是資料寶庫的網際網路當時剛剛萌芽，也沒有谷歌、維基百科和推特。以電腦預測未來簡直就是天方夜譚。</p> <p>1995年以數學和認知科學（把心智視為資訊處理機制來研究的學科）雙學位畢業後，波迪克在伊利諾州橡樹園的Magnify公司找到工作。這家高科技公司的老闆是大型資料庫探勘先驅羅伯．葛羅斯曼（Robert Grossman）。波迪克很快就在公司裡展現實力。他和葛羅斯曼與幾位研究人員，一起撰寫了一篇關於藉助大型資料庫預測信用卡詐騙事件的研討會論文。這套系統運用機器學習技術（以演算法分析大量資料的人工智慧技術），偵測詐欺交易的固定模式。</p> <p>有一種警訊是在加油站刷卡一美元加油，接著到銀樓大買一萬美元（這表示竊賊先測試信用卡，再盜刷大筆金額）。</p> <p>Visa卡公司審視這套系統，發現它可協助他們自己的方法，很快地用它來阻止一萬美元的珠寶交易。本質上，這套系統是在預測盜刷事件，進而加以阻止，一小時內可掃描三十萬筆交易。它就像個電腦水晶球，以數學和半導體預測未來。</p> <p>波迪克開始在閒暇時研讀新趨勢：以人工智慧方法探討股票市場。當時類神經網路已經成為華爾街的熱門話題，至少從波迪克當時讀的這幾本書看來是如此。企業界據說已經開始研究模糊邏輯和遺傳演算法、機器學習，以及專家系統等人工智慧的各個分支。波迪克對這幾方面都很擅長，因此相信能運用自己的專長來預測股票動向，從中獲利。</p> <p>1997年夏天，波迪克造訪芝加哥的銀行與避險基金（代表有錢投資人進行大筆交易的民間投資公司）人力仲介伊利亞．塔爾曼（Ilya Talman），說他想用AI預測市場動向。</p> <p>塔爾曼看著波迪克，好像看到神經病一樣。他說：「如果有個人才二十六歲，以前完全沒有相關經驗，你覺得這個人怎麼樣？誰會雇用你？沒有人，根本沒有人。」</p> <p>此外他解釋，當時沒有合法公司使用類神經網路或模糊邏輯來預測市場動向。波迪克當時看的書全都充滿誇大的宣傳。塔爾曼說：「你得去找個正常工作，慢慢往上爬。」波迪克嘲笑地說：「我才不會去做一般的狗屎程式設計工作。」幾天之後，他匆匆翻閱《芝加哥論壇報》的人事廣告，在一堆房地產仲介和建築工徵求廣告中看到一則廣告：「徵求資料探勘類神經網路市場預測人員」，沒有公司名稱，只有電話號碼。</p> <p>波迪克帶著這個廣告去找塔爾曼，說：「你說沒有我能做的工作。看，他們就在《芝加哥論壇報》上登廣告找市場預測人員！」</p> <p>經過漫長的面談程序，波迪克於1997年9月取得霍爾的工作。</p> <p>霍爾交易是全世界最複雜精細的金融公司之一，專精股票和股票選擇權。該公司於1985年成立，創辦人是數學家、交易員和廿一點高手布雷爾．霍爾（Blair Hull）。公司裡有許多物理學家和電腦科學家，其中有許多曾在伊利諾州的高能物理研究機構「費米實驗室」工作。波迪克的父親非常熟悉這所位於芝加哥城外的實驗室，它在夸克發現過程中扮演重要角色，艾瑞．波迪克多年以來也曾來去這裡許多次。小波迪克雖然沒有走上獲得諾貝爾獎的道路，但父親仍然很高興他能跟費米實驗室的老同事一起工作。</p> <p>波迪克進入霍爾之後的第一件工作，是用機器學習技術創造演算法，預測股票選擇權市場動向，而機器學習技術正是他在Magnify使用的AI技術。</p> <p>當時華爾街剛開始展開急遽的交易方式變革，未來的演算法戰爭也剛發生幾次交火。</p> <p>那時，大多數公司用來交易的演算法，都是沒有思考能力的機器人程式，就像只會依據程式設計師設計的基本規則行動的單細胞生物。它們會掃描市場，尋找徵兆，就像遠古時代的動物只會吃掉眼前的所有東西。微軟的平均股價在這半小時內上漲了1％？好，買微軟，咔嚓！</p> <p>但實際交手證明，對於能像真人交易員一樣學習、預測，並且隨時適應多變市場狀況的AI演算法而言，股票市場太笨拙了，原因大多是人類在系統中不斷干擾。</p> <p>1997年霍爾雇用波迪克時，美國股市大致分成兩部分，其一是紐約證券交易所（NYSE），交易員透過註冊經紀商和專業經紀人，在著名的交易大廳交易IBM和奇異這類大型藍籌股。另一部分是納斯達克股票市場，大約有五百家造市商在此代表客戶買賣股票，交易目標通常是英特爾、思科和蘋果等著名高科技公司。NYSE交易在華爾街十一號的大行情板廳進行，交易員透過誇張的手勢和高喊委託單來交換資訊。納斯達克的造市商則大多透過電話交易；納斯達克股票委託單有時會以電子方式輸入，但完全不透過人員進行的交易非常少。</p> <p>人類雖然已經發展出複雜的生態系，但與電腦間互動依然不理想。專業經紀人和造市商的行為無法預測，對買單和賣單的回應可能時時不同。委託單必須精確，死板的電腦系統才能順利運作，但人有可能犯錯，從而擾亂了電腦。</p> <p>這時必須有所改變。我們需要新的交易池，讓演算法正面對決。我們需要電腦交易池，讓演算法在對它們而言最自然的環境中演化成長，發展出自己的生態系。電腦交易程式在其他電腦裡面運作時（而不是在狂熱的NYSE交易廳或納斯達克造市商的交易台），就像魚在水中一樣無比暢快。在波迪克首選的選擇權市場中狀況更糟。所以波迪克到職三個月就立刻轉換跑道，到公司其他部門發揮，目標大多集中在歐洲選擇權市場，因為這塊市場電子化程度較高。沒多久他就成為霍爾首屈一指的電子交易策略專家。</p> <p>1999年，高盛以五億美元收購霍爾。這次收購代表高盛內部出現極大的轉變：這家典型的老式上流華爾街公司也開始發展電子交易。這次轉變促成高盛於2000年代崛起，成為全世界最雄心勃勃也最老練的交易大亨之一。</p> <p>這次收購對波迪克衝擊頗大。一家華爾街大型銀行突然占據他的人生。他一向覺得自己是自有一套想法的局外人，是個碰巧擁有世界級科學家頭腦的獨行俠。霍爾是波迪克這類特異博士和天才少年的溫室，更強化他這種局外人的自我意象。反觀高盛，則象徵體制和欠缺個性的華爾街金權。</p> <p>他決定主動出擊，從內部發現高盛的面貌。他覺得自己像個滲透到敵方內部密室的間諜。他要看看它是什麼樣子，為自己確定它是好是壞，或者兩者都不是。<strong>（本文摘錄整理自《暗池》，行路出版提供）</strong></p> <p class="rtecenter"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E6%9A%97%E6%B1%A0-500.png" style="width: 500px;" /></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>暗池：人工智慧如何顛覆股市生態</strong></p> <p>史考特‧派特森（Scott Patterson）／著；甘錫安／譯</p> <p>行路出版</p> <p>定價：499元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%9A%97%E6%B1%A0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></p> <p><strong>史考特‧派特森（Scott Patterson）</strong></p> <p>《華爾街日報》記者，在美國首都報導政府法規相關新聞，尤以報導深入的高科技新聞而聞名，熟諳高頻交易、演算法交易、暗池等主題，另著有The Quants: How a New Breed of Math Whizzes Conquered Wall Street and Nearly Destroyed it。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> </div></div></div>
2023/2/3 00:00未署名https://www.ithome.com.tw/article/155279
戴爾如何從傳統走向敏捷
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-da_zao_min_jie_qi_ye_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">經濟新潮社</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在關於敏捷的迷思當中，傳得最兇、但也最傷的，當屬所謂「敏捷企業不需要訂計畫」這個說法。</p> <p>我們知道這樣的困惑從何而來。敏捷軟體開發宣言當中確實提到，敏捷的實務工作者，很重視「因應變遷比照著計畫走更重要」。但這並不是「完全不用訂計畫」的意思，而是「要發展適應性的（adaptive）計畫」。傳統那種官僚式的組織，會訂定鉅細靡遺的計畫，並期待主管們會一五一十照著執行出來，殊不知這只是在為了追求精確，而浪費時間與資源。敏捷實務工作者會比較把計畫看成是可測試的假說，是會隨著時間調整的。懂得調整計畫的人，會先預估計畫的潛在效益與成本，這樣大家才能決定事情的優先順位，與相對應的預算。這些計畫就只是假說而已。他們也會設想一些問題，以判定假說究竟成立與否。接著他們會透過頻繁的評核與實證數據，決定到底是要調整計畫，或是調整用於實現計畫目標的活動。在迭代式的意見回饋循環中，就是由計畫擬定、預算規劃與評核，共同創造出敏捷版本的「規劃─實施─檢討─行動」（PDSA）循環，任何一個敏捷團隊都是如此。</p> <p><span style="font-size:28px;"><strong>敏捷企業的計畫擬定</strong></span></p> <p>2014年，當時在外界眼中還是一家電腦公司的戴爾（Dell），正如火如荼地進行著為期多年的轉型計畫。前一年的12月，執行長麥可．戴爾（Michael Dell）與一家名為銀湖夥伴（Silver Lake Partners）的投資公司，實現了讓戴爾公司的股票下市。少了公布財報的壓力後，戴爾得以把創新的範疇拉得更開，可以接受用短期獲利的更大波動，換取更好的長期效益。但當時戴爾還是採用頗為傳統的以年為單位的計畫週期，這部分得先有實質的改變，新策略才能推得下去。</p> <p>所以麥可．戴爾決定建置一個用於策略性的計畫擬定、預算規劃與評核的新模式──也就是已經在2016年改名為戴爾科技（Dell Technologies）的該公司，現在所稱的「戴爾管理模式」（Dell Management Model, DMM）。如果要直接截取這個模式的精髓的話，應該會像是這樣：先由麥可．戴爾為公司發展出一個未來想要實現的明確價值，再由公司的領導者們，把此一目標拿來和公司在目前的發展路線下，對於自身價值的推估值相比較，再據以找出公司需要什麼樣的高階行動，才能把二者之間的落差彌補起來。此一流程會產出一份多年份的營收與獲利展望，以及一份任務待辦清單。接著，這些領導者會發展逐年的詳細營運計畫。雖然這流程是每年執行一次，但在這一年之中，該領導者團隊會定期檢視這些任務的優先順位與資源分配是否得宜，以確保戴爾能夠配合多變的顧客需求、競爭者的出招，以及公司自己過去的行動結果所顯示的相關資訊，迅速予以因應。</p> <p>在這個模式裡，列出來的任務，都是依循生命週期在走的。一開始，它們都是等待處理的議題，或是等待運用的機會，能夠有助於補上價值目標與預估價值現況之間的落差。潛在影響最大，以及在組織內部涉及範圍較廣的議題與機會，就由公司的領導團隊來處理。這些任務會構成一份叫做「戴爾議程」（Dell Agenda）的待辦清單。涉及範圍較窄與影響較少的議題，就由適切的事業單位或部門負責。在每項任務都確認與分類到其中一個群組當中後，就會為每一項任務指派一位負責人，分配初始資源給負責的團隊，並在待辦清單中安排執行順序。每個任務團隊，都是照著一系列的步驟在走：收集事實資訊，發展各種解決方案，選擇其中一項解決方案，提出承諾的成果，取得執行任務的許可，執行任務逐步累積進度，定期報告成果，最後才是不再以任務的形式推動，改為整合到戴爾的日常營運當中，成為其中的一環。公司的領導者們，要和任務團隊接觸交流，以提供指導，或是在任務的生命週期中的一些時點批准一些事，基本上每個月要處理來自戴爾議程中的兩三項任務。這模式的彈性很大，在一年當中，任何時候，只要發現什麼新議題或新機會，領導者就要評估其概略價值，如果夠重要的話，就會把它加到戴爾議程裡，安排任務負責人、配置資源，並且列入已建立的排程當中。</p> <p>此一模式的一大優點在於聚焦。公司的領導團隊，會經常回頭檢視戴爾議程，並做必要的修改，以確保優先順位最高的議題與機會，一定會在議程之內。也由於這樣的回頭檢視，任何時刻下，議程中仍在進行中的任務，基本上都少於十二項。由於避免了組織多工下導致的效率低落，戴爾每年做到的事，遠比過去採用聚焦性較低的做事方法時，要來得多。戴爾的企業策略副總裁丹尼斯．霍夫曼（Dennis Hoffman）告訴我們：「戴爾管理模式可確保戴爾永遠把資源集中在創造出最大效益的任務上，以實現我們的策略目標與財務目標。在我們開始運用DMM之前，身為一個高階領導團隊，有時候我們會疏於校準，未能保持聚焦於公司最重要的議題上；一些跨組織疆界的議題，也比較難有進展。戴爾議程的建立，已經幫助我們發揮領導團隊應有的功能，聚焦於最重要的事情上，但是又可以在新議題出現時，保留調整的彈性。這樣我們就能通力合作，實現我們的目標了。」</p> <p>戴爾也在其他方面運用敏捷手法。該公司已經致力於改善顧客服務與成本效益很多年。例如，供應鏈部門的領導者，之前希望改善規劃供需的能力，於是在2018年9月，戴爾的供應鏈長凱文．布朗（Kevin Brown）成立了兩個敏捷團隊，由來自多個部門、全心投入的成員所組成。其中一個團隊，負責和公司的最大客戶一起開發與導入合作性的規劃流程，以提升雙方針對即將到來的訂單與確保準時交貨等事宜積極溝通。該團隊修改了現有流程，建立了一些新工具，還建置了先進的分析模式。但他們並沒有讓這些新程序全部同時生效，而是以每兩週一次的衝刺期，實施一系列的小變動，接著再收集來自顧客們與內部利害關係人的意見回饋，據以細部微調其解決方案。到了2019年6月，這些團隊已提交多項受到顧客稱許、內部銷售單位也接受的解決方案。</p> <p>正如戴爾的例子所示，敏捷企業有四件事在執行上和傳統公司不同：</p> <p><span style="color:#B22222;"><strong>●它們會廣泛收集顧客意見。</strong></span>計畫擬定的過程，會大量參考顧客意見，不管是透過直接的顧客研究，或是鼓勵最靠近顧客的團隊提出建議或改善意見。</p> <p><span style="color:#B22222;"><strong>●它們會指引該做什麼，但怎麼去做就留給敏捷團隊去想。</strong></span>以戴爾供應鏈的例子來說，部門領導者與敏捷團隊擁有很大的裁量權，可以決定自己要如何貢獻於公司改善成本效益與準時交貨的目標。</p> <p><span style="color:#B22222;"><strong>●它們會聚焦於部分任務上並安排執行順序，以避免過於多工。</strong></span>敏捷企業會逐年甚至逐季安排主要任務的執行順序，而不是試圖在所有任務上都同時做出一些成績。正如我們提到的，戴爾對於公司的任務訂有很高的價值門檻，因此同時在進行的，基本上只會有不到十二項任務。</p> <p><span style="color:#B22222;"><strong>●它們會頻繁地重新審視計畫，並做必要調整。</strong></span>企業的成功有賴於比對策略的試行結果與預期結果之間的落差，並據以更新策略。所以戴爾才會選擇在一個年度當中，跑完建立策略、精煉策略、評估策略任務的初步成果、重新排定策略任務優先順位，或是撤銷低效益任務這樣的流程。經常回頭檢視與更新計畫，讓敏捷企業得以避免浪費力氣在內容鉅細靡遺、但需要在執行前多次修正的長期計畫上。<strong>（本文摘錄自《打造敏捷企業》第5章，經濟新潮社提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/500-%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%B6%93%E6%BF%9F%E6%96%B0%E6%BD%AE%E7%A4%BE.png" style="width: 500px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>打造敏捷企業（Doing Agile Right）</strong></p> <p>戴瑞．里格比（Darrell Rigby）、莎拉．艾柯（Sarah Elk）、史帝夫．貝瑞茲（Steve Berez）／著；江裕真／譯</p> <p>經濟新潮社出版</p> <p>定價：520元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%851_%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Bain%20%26%20Company.png" style="width: 150px;" /></p> <p><strong>戴瑞．里格比（Darrell Rigby）</strong></p> <p>貝恩策略顧問公司（Bain & Company）波士頓辦公室的合夥人，他在那裡帶領全球創新暨敏捷實務部門。他經常擔任講者，談論創新，敏捷與零售等主題，也常撰寫相關文章。他的研究曾發表於《哈佛商業評論》、《華爾街日報》、《彭博商業週刊》，以及英國《金融時報》等刊物。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Bain & Company</span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%852_%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Bain%20%26%20Company.png" style="width: 150px;" /></p> <p><strong>莎拉．艾柯（Sarah Elk）</strong></p> <p>貝恩策略顧問公司芝加哥辦公室的合夥人，帶領該公司的全球營運模式實務部門。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Bain & Company</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%9C%E8%80%853_%E6%89%93%E9%80%A0%E6%95%8F%E6%8D%B7%E4%BC%81%E6%A5%AD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Bain%20%26%20Company.png" style="width: 150px;" /></p> <p><strong>史帝夫．貝瑞茲（Steve Berez）</strong></p> <p>貝恩策略顧問公司波士頓辦公室的合夥人，也是該公司企業科技實務部門的創辦人。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Bain & Company</span></p> </div></div></div>
2023/2/3 00:00未署名https://www.ithome.com.tw/article/155280
【資安日報】2023年2月2日，竊密軟體Vector Stealer被用於挾持遠端桌面連線、駭客透過微軟認證的藍勾勾帳…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用竊密軟體（Info Stealer）收集目標電腦各式帳密資料，或是洗劫使用者的加密貨幣錢包的情況不時傳出，但這類惡意程式鎖定了新的攻擊目標，駭客將其用來收集遠端桌面連線的組態資料（RDP檔案），而有機會在不需知道帳密資料的情況下存取受害電腦。</p> <p>在社群網站、開發工具有許多系統提供了藍勾勾的機制，來表明這是通過驗證的名人或是開發者，但這樣的機制也被濫用於OAuth網路釣魚攻擊。資安業者Proofpoint揭露發生在12月初的網釣攻擊行動，但與過往不同的是，駭客發出請求授權的惡意雲端應用程式，其開發者竟有此種標章，而可能讓使用者降低警覺。</p> <p>資安業者Eclypsium於12月公布了3個AMI MegaRAC的BMC軟體漏洞，但他們最近又再公布2個發現的漏洞，而延遲近2個月才公布的原因，是要讓AMI能有較為充分的時間完成修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cyble.com/2023/02/01/vector-stealer-a-gateway-for-rdp-hijacking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客利用竊密軟體Vector Stealer挾持遠端桌面連線的相關組態檔案</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Vector-Stealer"><span style="color: rgb(255, 140, 0);">#Vector Stealer</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RDP"><span style="color: rgb(255, 140, 0);">#RDP</span></a> <a href="https://www.ithome.com.tw/tags/Info-Stealer"><span style="color: rgb(255, 140, 0);">#Info Stealer</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2-VectorStealer-Subscription.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2-VectorStealer-Subscription.png" style="width: 300px; float: right;" /></a>資安業者Cyble揭露名為Vector Stealer的竊密程式，攻擊者主要藉由此惡意軟體盜取受害電腦的RDP檔案，進而挾持遠端桌面連線。副檔名為RDP的這種檔案，包含建立遠端桌面連線所需的詳細組態，攻擊者可在不需知道帳密的情況下，根據這當中內容來遠端存取受害電腦，或是進行橫向移動，甚至進行其他攻擊。</p> <p>研究人員指出，此竊密軟體約自2022年下半出現在駭客論壇，駭客以63美元的價格出售，並要求買家以比特幣付款，買家可透過網頁管理介面的選單打造竊密程式，然後指定該軟體透過SMTP協定，或是Discord、Telegram的API回傳偷到的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-disables-verified-partner-accounts-used-for-oauth-phishing/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用微軟認證的藍勾勾帳號，發動OAuth同意網路釣魚攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OAuth"><span style="color: rgb(255, 140, 0);">#OAuth</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Consent-Phishing"><span style="color: rgb(255, 140, 0);">#Consent Phishing</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/同意網路釣魚"><span style="color: rgb(255, 140, 0);">#同意網路釣魚</span></a> <a href="https://www.ithome.com.tw/tags/藍勾勾"><span style="color: rgb(255, 140, 0);">#藍勾勾</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screen Shot 2023-01-10 at 7_13_17 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-01-10%20at%207_13_17%20PM.png" style="width: 200px; float: right;" /></a>資安業者Proofpoint發現<a href="https://www.proofpoint.com/us/blog/cloud-security/dangerous-consequences-threat-actors-abusing-microsofts-verified-publisher">鎖定英國組織的同意網路釣魚（Consent Phishing）攻擊行動</a>，駭客自2022年12月6日開始，濫用OAuth應用程式授權，引誘使用者授予惡意雲端應用程式權限，而能讓攻擊者有機會存取用戶資料，或是入侵電子郵件信箱、存取行事曆等。</p> <p>與過往濫用OAuth授權的攻擊行動不同的是，駭客為了取信攻擊目標，他們這次使用的3款惡意應用程式，皆通過微軟的發布者驗證（Verified Publisher）流程，而在授權網頁上出現藍勾勾符號。研究人員於12月20日向微軟通報，並指出攻擊行動持續到27日。</p> <p>對此，<a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/">微軟表示</a>，他們在12月15日察覺有人假冒合法公司申請Microsoft Cloud Partner Program（MCPP）計畫，然後製作惡意OAuth應用程式並用於同意網路釣魚攻擊行動，該公司已封鎖被用於攻擊的應用程式，並通知受影響的使用者。</p> <p><a href="https://resecurity.com/blog/article/nevada-ransomware-waiting-for-the-next-dark-web-jackpot"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Nevada同時鎖定Windows與VMware虛擬化平臺而來，祭出高額贖金拆帳利誘打手加入</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/8d7ff4c908fa39e5481a4bc65f099e88.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/8d7ff4c908fa39e5481a4bc65f099e88.png" style="width: 300px; float: right;" /></a>資安業者Resecurity發現名為Nevada勒索軟體，駭客自2022年12月在暗網論壇RAMP上宣傳，徵求使用俄文與中文的駭客從事攻擊行動，並提出得手後贖金打手可抽成85%作為報酬。此勒索軟體同時具備Windows與VMware ESXi（Linux）版本，兩者的共通點在於，在攻擊的過程中都採用Salsa20演算法加密檔案。</p> <p>研究人員指出，Windows版勒索軟體不只能加密指定的檔案，還能找出網路的共用資料夾，或是電腦裡隱藏的磁碟機進行加密，比較特別的是，該勒索軟體不只無法在蘇聯地區執行，亦會在匈牙利、越南、馬來西亞、泰國、土耳其、伊朗等國家停止運作。</p> <p>至於ESXi版本的部分，則僅針對小於512 KB的檔案才會執行完全加密，且疑似有軟體臭蟲的緣故，該勒索軟體執行加密檔案的過程中，大小介於512 KB至1.25 MB的檔案，會被略過不處理。</p> <p><a href="https://blog.aquasec.com/headcrab-attacks-servers-worldwide-with-novel-state-of-art-redis-malware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體HeadCrab鎖定Redis而來，利用1,200臺伺服器挖礦</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Redis"><span style="color: rgb(255, 140, 0);">#Redis</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/挖礦攻擊"><span style="color: rgb(255, 140, 0);">#挖礦攻擊</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/HeadCrab-Picture5_OK.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HeadCrab-Picture5_OK.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露針對記憶體資料庫Redis伺服器而來的惡意軟體HeadCrab，此攻擊行動約從2021年9月上旬開始，迄今至少控制1,200臺伺服器，並將其用於挖取門羅幣（Monero）。</p> <p>研究人員指出，此惡意軟體能繞過傳統的防毒軟體解決方案，或是無代理程式（agentless）的偵測系統，而能夠危害大量Redis伺服器。他們將其上傳至惡意軟體分析系統VirusTotal，結果沒有防毒引擎將其識別為有害。</p> <p>而對於入侵這些伺服器的手段，駭客看上這種資料庫的開發者設定用戶通常會在內部網路環境建置，預設並未啟用身分驗證的情況，尋找曝露於網際網路的Redis下手，一旦攻擊者找到無須身分驗證就能存取的伺服器，就會下達SLAVEOF的命令，然後植入此惡意軟體。根據研究人員找到的駭客錢包內容來判斷，估計每臺伺服器一年可挖到4,500美元的加密貨幣，相較於一般能挖到200美元高出許多。</p> <p><a href="https://www.radware.com/security/ddos-threats-attacks/passion-russian-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">歐美醫療院所面臨DDoS攻擊，原因是有人租賃Passion殭屍網路向這些單位行凶</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Killnet"><span style="color: rgb(255, 140, 0);">#Killnet</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/DDoS-as-a-Service"><span style="color: rgb(255, 140, 0);">#DDoS-as-a-Service</span></a> <a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a></strong></p> <p>資安業者Radware揭露名為Passion的DDoS租賃服務平臺（DDoS-as-a-Service），此為隸屬於俄羅斯駭客組織Killnet與Anonymous Russia旗下的Passion Group架設的殭屍網路，並於1月27日開始被用於攻擊行動，目標是美國、葡萄牙、西班牙、德國、波蘭、芬蘭、挪威、荷蘭，以及英國的醫療機構，這些駭客提供此攻擊服務的目的，就是對於這些向烏克蘭提供軍援的國家進行報復。</p> <p>值得留意的是，此DDoS攻擊平臺採用了Dstat.cc流量量測服務，而具備網路第4層至第7層的攻擊能力，並聲稱能對抗Cloudflare或是Google Shield等業者的緩解措施。</p> <p><a href="https://www.bleepingcomputer.com/news/security/google-fi-data-breach-let-hackers-carry-out-sim-swap-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google電信服務傳出資料外洩，導致駭客能進行SIM卡挾持攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Google-Fi"><span style="color: rgb(255, 140, 0);">#Google Fi</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SIM-Swapping"><span style="color: rgb(255, 140, 0);">#SIM Swapping</span></a> <a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/google-fi-notice.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/google-fi-notice.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，Google旗下的美國電信網路服務Google Fi向客戶發出通知，有一家他們合作的基礎電信網路服務供應商發生資料外洩事故，有可能導致Google Fi用戶的個資外洩。</p> <p>這些資料包含了電話號碼、SIM號碼、帳號狀態，以及電信服務的資費方案等，但不含姓名、電子郵件信箱、支付卡資料、社會安全碼等其他敏感資料。至於出事的電信網路服務供應商的身分，該新聞網站指出很有可能是T-Mobile，但Google未證實此項猜測。</p> <p>此起事故傳出後，已有Google Fi用戶表示遭到SIM卡挾持，導致電子郵件信箱、金融帳號，以及Authy雙因素驗證程式，都被駭客掌控。</p> <p><a href="https://therecord.media/telecom-giant-charter-communications-says-third-party-vendor-had-security-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信業者Charter Communications傳出資料外洩，疑似外部供應商遭駭所致</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>根據資安新聞網站The Record的報導，有人在1月26日在駭客論壇上，宣稱握有55萬美國電信業者Charter Communications用戶的姓名、帳號、地址等資料。</p> <p>該電信業者證實此事並著手調查，初步的結果顯示，他們的其中一家第三方供應商存在安全漏洞所致，但外洩的資料不包含客戶的財務資料或是專屬網路資訊。</p> <p><a href="https://securityaffairs.com/141409/data-breach/blackcat-ransomware-solar-industries-india.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度炸藥商Solar Industries India遭駭，勒索軟體BlackCat聲稱竊得2 TB機密</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/BlackCat"><span style="color: rgb(255, 140, 0);">#BlackCat</span></a><span style="color: rgb(255, 140, 0);"> </span><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/solar-group-image-25.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/solar-group-image-25.png" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffairs的報導，勒索軟體BlackCat近日將印度炸藥製造商Solar Industries India列為受害組織，並聲稱竊得2 TB的機密資料，內容涉及該公司旗下所有的炸藥、引爆系統細節，包含完整的規格、設計圖、審核資料等。</p> <p>除了上述的產品文件，駭客亦宣稱握有合作夥伴的資料，以及政府合作的文件、軍備供應鏈的資料、該公司錄下製作產品過程的監視器記錄等。為了證明確有此事，駭客公布了竊得的文件與監視器畫面截圖，並要求該公司於24小時內與他們聯繫。</p> <p><a href="https://securityaffairs.com/141640/hacktivism/it-army-of-ukraine-hacked-gazprom.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭IT軍隊聲稱破壞了俄羅斯天然氣公司Gazprom的基礎設施</span></strong></a><strong style="font-size: 16px;"> <a href="https://www.ithome.com.tw/tags/烏克蘭戰爭"><span style="color: rgb(255, 140, 0);">#烏克蘭戰爭</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a></strong></p> <p>根據資安新聞網站SecurityAffairs的報導，烏克蘭IT軍隊於Telegram頻道上宣稱，近日成功入侵俄羅斯天然氣公司Gazprom的基礎設施並進行破壞，且竊得1.5 GB資料，這些資料包含了逾6千份機密檔案，內容與俄羅斯當地的油井自動化探勘與開採有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://thehackernews.com/2023/02/additional-supply-chain-vulnerabilities.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員再度揭露AMI MegaRAC的BMC軟體漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/BMC"><span style="color: rgb(255, 140, 0);">#BMC</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/BMC&C"><span style="color: rgb(255, 140, 0);">#BMC&C</span></a> <a href="https://www.ithome.com.tw/tags/AMI"><span style="color: rgb(255, 140, 0);">#AMI</span></a></strong></p> <p>資安業者Eclypsium在12月公布了3個American Megatrends（AMI）基板管理控制器（BMC）解決方案MegaRAC漏洞，至少影響AMD、Dell EMC、技嘉、雲達等15個廠牌的伺服器，研究人員再於1月30日布公布2個當時發現的漏洞CVE-2022-26872、CVE-2022-40258，其CVSS風險層級分別為8.3分與5.3分。</p> <p>CVE-2022-26872一旦遭到利用，攻擊者可阻止IT人員重設MegaRAC系統的密碼；CVE-2022-40258則與名為Redfish的API有關，原因是採用強度不足的密碼雜湊。</p> <p>研究人員表示，這兩個新漏洞延後快2個月才公布的原因，就是為了讓AMI能有較為充足的時間修補。Eclypsium將前後發布的5個漏洞，統稱為BMC&C。</p> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-advisory-open5gs-gtp-library/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信網路程式庫Open5GS GTP出現可被用於阻斷服務攻擊的漏洞</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Open5GS"><span style="color: rgb(255, 140, 0);">#Open5GS</span></a></strong></p> <p>資安業者Synopsys揭露的電信網路程式庫Open5GS GTP漏洞CVE-2023-23846，CVSS風險層級為7.5分，一旦攻擊者將其用來發動攻擊，就有可能影響4G LTE或5G行動網路的關鍵網路功能，進而導致服務中斷（DoS），甚至有可能因為過度消耗系統資源，而波及伺服器其他服務，影響Open5GS GTP 2.4.12版與2.5.6版。</p> <p>此漏洞起因與該程式碼在解析GPRS隧道通訊協定GPTv1-U訊息的延伸標頭時，其長度的驗證不當，導致只要有通訊協定的酬載延伸標頭設置為零，就有可能產生無限迴圈的情況，受影響的處理程序隨即就會無法回應。研究人員指出，這些有問題的程式碼被多種功能共用，影響有可能相當廣泛。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-goes-green-uses-new-conti-based-encryptor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體LockBit改用Conti的加密模組發動攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/arnold-clark-customer-data-stolen-in-attack-claimed-by-play-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">歐洲大型汽車經銷商Arnold Clark傳出遭勒索軟體Play攻擊</span></span></strong></a></p> <p><a href="https://blog.eclecticiq.com/the-godfather-banking-trojan-expands-application-targeting-to-affect-more-europe-based-victims"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓金融木馬Godfather在更多歐洲國家橫行</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/02/01/qakbots-evolution-continues-with-new-strategies/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot濫用OneNote筆記檔案散布</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/01/19/gigabud-rat-new-android-rat-masquerading-as-government-agencies/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓木馬Gigabud RAT假冒政府機關發動攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155326">【2023年2月1日】中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未修補重大漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a></strong></p> </div></div></div>
2023/2/2 17:00作者周峻佑https://www.ithome.com.tw/news/155349
甲骨文與紅帽合作在OCI正式支援RHEL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）與紅帽（Red Hat）合作，讓<a href="https://blogs.oracle.com/cloud-infrastructure/post/red-hat-enterprise-linux-supported-oci">RHEL（Red Hat Enterprise Linux）也能夠在甲骨文的雲端基礎設施（OCI）上運作</a>，這項合作將讓甲骨文和紅帽服務的共同客戶，能夠運用統一平臺，更好地建立混合雲環境，消除工作負載搬遷障礙。</p> <p>甲骨文現在成為紅帽認證雲端和服務供應商計畫（CSSP）的一員，用戶能夠在OCI當前的虛擬機器版本中，執行最新版本的RHEL 7、8和9，甲骨文提到，加入CSSP證明了OCI與RHEL具有高相容性。</p> <p>在OCI虛擬機器中，用戶可以選擇使用1到80個GPU，並且對每個CPU配置1 GB到1024 GB的記憶體，目前使用AMD、英特爾和Arm處理器的最新OCI虛擬機器，都已經支援RHEL。甲骨文也正在認證OCI Compute伺服器和更多虛擬機器機型，供用戶執行RHEL。</p> <p>雖然原本用戶就可以在OCI上，使用自帶映像檔（BYOI）功能，安裝自己的Linux作業系統，但是透過甲骨文與紅帽的最新合作，將讓用戶能夠更方便地安裝使用RHEL。用戶將會以自帶訂閱（BYOS）方式匯入RHEL映像檔，因此用戶需要先註冊並且訂閱RHEL，OCI則是按標準費率或合約費率對執行RHEL的基礎設施收費。</p> <p><a href="https://www.businesswire.com/news/home/20230131005412/en/Red-Hat-and-Oracle-Expand-Collaboration-to-Bring-Red-Hat-Enterprise-Linux-to-Oracle-Cloud-Infrastructure">紅帽提到</a>，在OCI上支援RHEL作業系統，能夠推動用戶數位轉型，並且驅使企業將重要應用程式搬遷上雲。由於RHEL廣受企業採用，用於執行眾多工作負載，而甲骨文在OCI中支援RHEL，便在自家雲端基礎設施提供統一平臺，使用戶能夠標準化雲端操作，建立起從自家資料中心延伸至OCI雲端的橋樑。</p> <p>也就是說，用戶除了可以在經認證的OCI虛擬機器機型上執行RHEL之外，還能夠有信心地將原本在RHEL上運作的工作負載，移動至執行RHEL的OCI虛擬機器上。紅帽表示，RHEL在紅帽混合雲技術扮演重要角色，藉由這次與甲骨文的合作，用戶將能夠在現有IT投資上，靈活規畫IT布局。</p> </div></div></div>
2023/2/2 16:42作者李建興https://www.ithome.com.tw/news/155348
OpenAI正式推出付費版ChatGPT，訂閱價格每月20美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI針對熱門的對話語言模型ChatGPT，正式推出<a href="https://openai.com/blog/chatgpt-plus/">訂閱服務ChatGPT Plus</a>，該服務訂閱用戶具有優先存取ChatGPT服務的權利，在流量尖峰時段也能穩定取用ChatGPT服務，並且更快獲得回應，同時也能優先使用新功能和更新。</p> <p>目前ChatGPT Plus僅向美國用戶開放，在接下來數周內，官方會從<a href="https://docs.google.com/forms/d/e/1FAIpQLScee6ST3o-kZDjlw1ROfUNyjuRBwGdcoewxjCULNejbP5hdzQ/viewform">候補名單</a>中邀請申請者加入，並且逐漸擴大至更多地區。OpenAI推出付費訂閱服務後，仍然會繼續免費開放ChatGPT，官方提到，他們恨快就會推出ChatGPT API，並且正考慮提供低成本計畫、商業計畫以及資料套裝等選項。</p> <p>OpenAI在2022年12月釋出ChatGPT，官方提到，他們以研究的目的推出ChatGPT預覽，這段時間收集許多回饋，了解了ChatGPT系統的優劣勢，並且利用這些用戶回饋改進系統，ChatGPT已經過數次重大更新，能夠被更好地用於編輯內容、程式開發和學習新知識中。</p> <p>儘管ChatGPT有許多限制，<a href="https://twitter.com/sama/status/1601731295792414720">OpenAI執行長Sam Altman也認為ChatGPT不適合用於查詢事實</a>，但是ChatGPT強大的語言能力，仍可以被應用在許多場景，<a href="https://www.ithome.com.tw/news/155259">微軟更投入數十億美元，擴大和OpenAI的合作</a>，要增加AI模型在應用程式使用規模，在1月的時候，也傳出<a href="https://www.ithome.com.tw/news/155008">微軟將會以ChatGPT強化Bing搜尋功能的消息</a>。</p> </div></div></div>
2023/2/2 15:40作者李建興https://www.ithome.com.tw/news/155347
AI趨勢周報第207期：德研究院亮相48kHz高解析度音樂合成AI，單一消費級GPU就能跑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0127～0202)</span></p> <p>本周生成式AI仍占據鎂光燈焦點，德國馬克斯普朗克研究院（Max Planck Institutes）發表文字轉音樂模型Moûsai，可生成數分鐘且48kHz高解析度的音樂，而Google也推出一款音樂生成模型MusicLM，不只能文字轉音樂，輸入一張圖和標題甚至是一段旋律，也能產出音樂。而文字轉圖像的生成式AI遍地開花，如微軟加碼與OpenAI合作、Shutterstock正式推出AI圖像生成工具，但也有不少版權或抄襲問題出現，如Getty Images告Stability AI侵權，坊間也有專門揪出ChatGPT產出的工具GPTZeroX上線。另一方面，AI權威吳恩達聯手專家推出機器學習入門數學課，用互動式視覺化設計讓新手快速理解演算法原理。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Max Planck </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字轉音樂 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 48kHz </span></strong></span></p> <p><span style="font-size: 22px;"><strong>德普朗克研究院亮相48kHz高解析度音樂生成模型，單一消費級GPU就能跑</strong></span></p> <p>德國Max Planck研究院最近發布一項研究成果Moûsai，該模型能根據文字輸入，來合成48kHz高解析度的音樂。而且，有別於一般文字轉音樂模型、幾乎只能生成數秒音樂，Moûsai產出的音樂長達數分鐘，也能合成人聲歌曲，只是咬字未必準確。團隊想出一種有效率的合成方法，來即時生成不同風格的音樂，他們的Moûsai由2個擴散模型組成，首先是擴散級度自動編碼器（DMAE），用來壓縮音樂波形，將其縮小為64分之一，並保有近乎相同的品質。再來是潛在文字轉音檔擴散模型，團隊用擴散模型產生一個新的潛在空間，同時也調適從Transformer語言模型得到的文字嵌入。</p> <p>特別的是，團隊對這2個模型採用相同的1D U-Net架構，只有配置不同。如此一來，Moûsai可在單一個消費級GPU上執行，不耗費大量運算資源。Moûsai由2,500小時的音樂訓練而成，團隊表示，未來將增加訓練音樂時數至5萬至10萬小時，讓模型生成更多樣、更符合文字描述的音樂。同時，他們也提供<a href="https://anonymous0.notion.site/anonymous0/Mo-sai-Text-to-Audio-with-Long-Context-Latent-Diffusion-b43dbc71caf94b5898f9e8de714ab5dc">樣本音樂</a>和開源<a href="https://github.com/archinetai/audio-diffusion-pytorch">程式碼</a>，來加速相關研究。<a href="https://paperswithcode.com/paper/mousai-text-to-music-generation-with-long">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-02-02%20at%2011_38_01%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 音樂生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高保真 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新模型能根據圖文產出高保真音樂</strong></span></p> <p>近來生成AI在文字轉圖像領域大放異彩，不過，Google日前開發一款生成式模型MusicLM，用28萬小時的音樂訓練而成，可將文字轉換為音樂，使用者輸入文字提示就能得出數秒至5分鐘的24kHz曲子，甚至輸入一張圖和文字標題，或一段旋律，也能生成音樂。</p> <p>這不是第一款文字轉音樂AI，先前，OpenAI就發表過Jukebox模型，Google自己也曾推出AudioML，但這次的MusicLM表現更好，能產出的音樂複雜度與保真度也比其他模型高，比如模型能根據「在平靜的小提琴旋律中加入重複的破音吉他段落作為背景」這句描述，產出相應的音樂，還能生成特定樂器的演奏曲，或將不同風格的音樂片段組合成數分鐘的樂曲，甚至也能合成人聲合唱，就像是音樂界的ChatGPT。不過，人聲合唱部分並非完美，偶爾出現胡言亂語。</p> <p>在架構上，MusicLM用3個模型來抽取音檔表徵，以便後續進行條件式自迴歸音樂生成。首先，團隊利用SoundStream模型的自監督音檔表徵，作為聲學Token，來用於高保真音樂合成。接著，他們用w2v-BERT模型作為中間層，來確保生成音樂的長期一致性，而MuLan模型則用來提取目標音檔表徵。為讓這些模型產生的離散音檔與AudioLM模型整合，來實現文字-音樂生成，團隊提出階層式序列到序列建模任務，每個階段都由一個獨立的Transformer解碼器模型來自迴歸建模。經測試，MusicLM表現比其他基準模型如Mubert、Riffusion要好，團隊也釋出含有5,500組音樂-文字的資料集，來加速未來研究。<a href="https://google-research.github.io/seanet/musiclm/examples/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吳恩達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI權威吳恩達聯手專家推出ML新手數學課</strong></span></p> <p>最近，AI教育專家Luis Serrano和吳恩達、Magdalena Bouza、Elena Sanina等人聯手推出機器學習入門數學課，聚焦AI中重要的數學概念，這門課已在教育學習平臺Coursera上線，使用者可免費註冊。</p> <p>吳恩達表示，理解線性代數、機率、微積分、統計等概念，有助於學員更好理解演算法如何運作。這一系列的數學課，搭配互動式視覺化設計，能幫助學員理解數學概念，「學數學不是要背公式，而是強化直覺，」他強調。學員修完課程後，能以向量、矩陣來呈現數據，也能將特徵值和特徵向量概念用於機器學習問題，優化不同類型的函數。<a href="https://www.deeplearning.ai/courses/mathematics-for-machine-learning-and-data-science-specialization/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/rt0uNjjBya4?controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPTZerXX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>抓弊神器正式上線，GPTZeroX專揪AI生成文章連ChatGPT都能分辨</strong></span></p> <p>就讀普林斯頓大學的2位開發者Edward Tian和Sreejan Kumar近日正式推出GPTZeroX工具，可用來分辨文章是否為ChatGPT這類大型語言模型產出。進一步來說，使用者將文章段落複製貼上或上傳至GPTZeroX應用程式，就能得出分析結果，系統會將可能是AI模型產出的段落，用黃底標註出來。GPTZeroX還支援批量處理，一次可辨識多個上傳檔案，包括PDF、.txt、Word格式都可以。</p> <p>這套模型以兩人去年推出的GPTZero模型為基礎，利用使用者給予的回饋來重新訓練模型，改善模型對特殊用例的辨識力。Edward Tian表示，新模型採用AWS Lambda無伺服器運算服務，有GPU加速，因此執行速度比以前更快。他們也寫了一個Python API，來供需要大量辨識的企業使用。不過，國外使用者測試反應，GPTZeroX雖能辨識ChatGPT產出的文章，但有時容易出現故障。<a href="https://gptzero.substack.com/p/gptzerox">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202023-02-02%20at%2011_45_14%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 超級運算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟再加碼數十億美元！擴大OpenAI合作要加速AI商業化</strong></span></p> <p>微軟日前與OpenAI展開第三階段合作，投入數十億美元，持續擴AI超級運算、模型開發和雲端服務，要加速AI技術商業化。目前，微軟Azure雲平臺有多個超級運算系統，用來執行OpenAI開發的模型訓練和推理工作負載，OpenAI也將繼續用Azure超級運算系統，來開發、訓練所有模型。微軟增加這些系統的投資，來加速OpenAI的獨立研究，Azure也將繼續成為OpenAI在研究、API和產品上的獨家雲端供應商。</p> <p>微軟將持續在自家產品大量採用OpenAI模型，也會擴大GitHub Copilot和微軟Designer應用程式對OpenAI技術的採用。開發者除了可從OpenAI的API服務取用模型外，也將能繼續從微軟Azure OpenAI服務存取GPT、DALL-E和Codex等模型。<a href="https://blogs.microsoft.com/blog/2023/01/23/microsoftandopenaiextendpartnership/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NIST </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 風險管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 負責任AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>NIST發布AI風險管理框架，企業擁抱新技術可參考</strong></span></p> <p>為降低企業、組織擁抱AI的潛在風險，美國國家標準暨技術研究院（NIST）最近發布第一版AI風險管理框架（AI RMF），是一套針對AI系統的設計、開發、部署和使用的指南，來降低應用AI技術的風險。</p> <p>該框架是美國國會指示NIST設計，NIST指出，AI RMF框架是由NIST與公部門和企業合作制定，可分為兩部分，首先是AI相關風險與可信賴AI系統的特徵，再來是描述4大具體功能，分別為治理、映射、測量管理，協助組織實踐框架。同時，NIST也發布AI RMF Playbook，從中指導企業、組織使用該框架，他們揭露，接下來將與AI社群合作並定期更新框架，還要成立可靠、負責任AI資源中心，協助組織實踐AI RMF 1.0。<a href="https://www.nist.gov/news-events/news/2023/01/nist-risk-management-framework-aims-improve-trustworthiness-artificial">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Shutterstock </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖像生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>大型圖庫業者Shutterstock正式推出AI圖像生成工具了</strong></span></p> <p>擁有百萬名投稿人的圖庫業者Shutterstock宣布，自家AI圖像生成工具正式上線，使用者可用Shutterstock工具包Creative Flow，來給出文字提示、產生4個圖像。甚至，這個提示可以是一個單字，使用者也能指定生成的圖像類型。業者預告，接下來將新添智慧編輯功能，來產出更多種長寬比、更高解析度，提供動態圖像生成功能。</p> <p>Shutterstock表示，自家AI圖像生成工具的特色是，用戶不必編寫複雜的提示就能獲得良好的結果，特別是，Shutterstock用風格多元、對來源負責的數百萬個視覺圖像作品，並以AI生成圖像的授權收入，補償相關的已知貢獻者，實現Shutterstock對AI負責的承諾。這是繼Adobe之後，另一家制定AI圖像生成授權規範的業者。<a href="https://www.shutterstock.com/blog/generative-ai">（詳全文）</a></p> <p><img alt="" src="https://www.shutterstock.com/blog/wp-content/uploads/sites/5/2023/01/ai_generated_painting_of_computer_with_red_curtain_2253894763.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Getty Images </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 侵權 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI難題，Getty Images告Stability AI侵權</strong></span></p> <p>2022年以來，生成式AI風生水起，各大科技龍頭和新創紛紛打造文字轉圖像AI，不少藝術業者也自行開發或採用這類工具，但也引起侵權問題。Stable Diffusion是知名深度學習圖像生成模型，由AI繪圖工具業者Stability AI開發，可根據使用者輸入的文字產出圖像。</p> <p>該模型與DALL-E 2、Midjourney、DreamUp等生成式AI模型一樣，須以大量圖片訓練，這些資料集大都來自網路或公開圖庫，引起圖像創作者或圖庫業者不滿。知名圖庫業者Getty Images日前就控告Stability AI未經同意，就以其網站數百萬張圖片訓練AI模型，還用於營利，對其版權造成侵害。<a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-statement">（詳全文）</a></p> <p>圖片來源／Max Planck Institutes、DeepLearning.AI、GPTZero、Shutterstock</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Shutterstock聯手LG AI研究院，要發展文字轉圖像生成式AI</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/2/2 11:58作者王若樸https://www.ithome.com.tw/news/155339
OpenAI發布可辨識AI生成文字的分類器，試圖緩解ChatGPT濫用亂象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在發布對話語言模型ChatGPT之後，有鑒於其強大的語言能力可能在各領域遭到濫用，因此OpenAI釋出反制工具<a href="https://openai.com/blog/new-ai-classifier-for-indicating-ai-written-text/">AI生成文字分類器</a>，該工具能夠用於區分由人類編寫或是人工智慧生成的文字，用於輔助解決自動化誤導性活動和學術欺騙等問題。</p> <p>OpenAI日前推出功能強大的對話語言模型ChatGPT，能以對話的方式解決使用者的各種問題，包括對程式碼進行除錯，與使用者討論天文、數學和文學等各個領域的議題，ChatGPT也足夠聰明被證實可通過大學商學院和法學院課程考試，但不少學生卻利用ChatGPT編寫報告或是論文，造成教學者的困擾。</p> <p>為了緩解這樣的亂象，OpenAI訓練能夠分類人類編寫的文字，以及來自各供應商人工智慧技術生成的文字，官方提到，雖然不可能完全可靠地檢測出所有人工智慧生成的文字，但能對宣稱由人編寫實則由人工智慧生成的文字，提供一定參考價值的判斷。</p> <p>這個分類器是一種語言模型，OpenAI使用同一主題的人工文本和人工智慧文本資料集微調InstructGPT，只要使用者輸入最少1,000個字元，約為150到250英文單字，分類器就會判斷該文本是由人類編寫還是人工智慧產生。不過為求謹慎，OpenAI調整信度閾值以保持較低的誤判率，因此即便分類器很有信心，也只會將文字標記為可能由人工智慧生成。</p> <p>OpenAI所釋出的分類器並不完全可靠，在英文文本的評估中，分類器僅能正確地將26％的人工智慧編寫的文本正確分類，同時將9％由人類編寫的文字，誤判為人工智慧生成，不過，分類器的可靠性，會因輸入的文本長度增加而提高，與過去的分類器相比，這個新的分類器在判斷人工智慧文本上還是可靠許多。</p> <p>官方提醒，目前分類器還有許多限制，不能當作主要判斷的工具，僅可作為其他判斷方法的補充。該分類器在少於1,000個字元的短文本非常不可靠，甚至更長的文本都會被分類器錯誤標記，分類器甚至有時候會將人類編寫的文字，有自信地錯誤標記為人工智慧生成。</p> <p>目前分類器僅能用於成人編寫的英文文本，可能會在兒童書寫的文字和非英文文本上出錯，同時，該分類器也無法用於辨識高度可預測的文字，像是無法用於預測前1,000個質數是由人類編寫還是人工智慧生成，因為正確答案都是相同的。</p> <p>其實只要稍微編輯人工智慧生成的文本，就能夠簡單地迴避分類器，官方提到，雖然他們的分類器能夠更新並且再訓練，但目前不清楚這種方式，以長期來說是否存在優勢，而且也因為以神經網路為基礎的分類器，在對訓練集以外的資料表現很差，因此當使用者所輸入的文字跟訓練資料集的文字有很大的差異，則分類器便會以高度信心做出錯誤判斷。</p> </div></div></div>
2023/2/2 01:02作者李建興https://www.ithome.com.tw/news/155328
【資安日報】2023年2月1日，中國駭客組織Dragonbridge對臺散布統戰訊息、臺灣近2千臺威聯通NAS設備尚未…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Dragonbridge散布特定訊息來企圖左右政治局勢的情況，日前已有資安業者揭露相關攻擊行動，但過往大多針對美國而來。近期Google揭露該組織濫用旗下服務來張貼訊息的情況，並特別提及這些駭客在去年裴洛西訪臺期間，不斷發布對臺恫嚇的資訊。</p> <p>一月底威聯通修補了NAS重大漏洞CVE-2022-27596，事隔數日有資安業者提出警告，全球至少有近3萬臺設備尚未更新韌體而曝險，但值得我們注意的是，臺灣曝險的設備數量全球第3，僅次於義大利和美國。</p> <p>今年農曆新年期間傳出永豐銀行信用卡遭到盜刷的情況，此事近日得到金管會證實，有34名持卡人受害、被盜刷110萬元。永豐銀行認為，很有可能是他們在刷卡過程寄送的OTP驗證碼郵件遭到攔截所致。</p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.google/threat-analysis-group/over-50000-instances-of-dragonbridge-activity-disrupted-in-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Dragonbridge一年散布逾5萬則垃圾資訊，內容涉及裴洛西訪臺</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Dragonbridge"><span style="color: rgb(255, 140, 0);">#Dragonbridge</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/裴洛西訪臺"><span style="color: rgb(255, 140, 0);">#裴洛西訪臺</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/NewsEvent_4_max-1200x1200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NewsEvent_4_max-1200x1200.jpg" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）揭露對於中國駭客組織Dragonbridge（亦稱Spamouflage Dragon）的分析，他們發現此組織濫用該公司的服務，包含YouTube、Blogger、AdSense，張貼大量垃圾訊息，在過去一年就超過5萬則。Google在2022年封鎖此組織53,177個YouTube頻道，其中有58%沒有人訂閱、42%影片沒有人觀看。</p> <p>研究人員表示，這些駭客上傳的內容大部分毫無意義，但他們也發現有少部分與中國鄰近國家有關的政治訊息，包括稱讚中國防疫有成、批評美國的種族歧視、通貨膨脹等。</p> <p>特別的是，這次TAG特別提及7月裴洛西訪臺前後，這些駭客不只詆毀這名美國眾議院議長，更在後來中國軍演期間要蔡英文及政治盟友投降。研究人員表示，有別於前述的垃圾內容粗製濫造，針對臺灣情勢的政治訊息製作精良，具備一致的標題與關鍵字標籤，且在不同的管道散布。</p> <p><a href="https://censys.io/cve-2022-27596/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通NAS因近期漏洞而曝險的臺灣設備數量近2千臺</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/nas"><span style="color: rgb(255, 140, 0);">#NAS</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/qnap"><span style="color: rgb(255, 140, 0);">#QNAP</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SQL-Injection"><span style="color: rgb(255, 140, 0);">#SQL Injection</span></a></strong></p> <p>臺灣NAS廠商威聯通（QNAP）於1月30日發布資安通告，他們修補了SQL注入漏洞CVE-2022-27596（CVSS風險層級為9.8分），呼籲用戶儘速更新韌體，但事隔數日，仍有不少該廠牌NAS可能曝露於相關風險。</p> <p>根據資安業者Censys的觀察，至少有近3萬臺NAS尚未修補，研究人員總共找到67,415臺設備，當中有30,520臺能識別其執行的作業系統版本，結果只有約550臺已完成修補，換言之，至少有29,968臺NAS曝險。值得留意的是，臺灣存在此漏洞的NAS數量有1,942臺，高居全球第3，僅次於義大利（3,200臺）和美國（3,149臺）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2022-27596-image1-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2022-27596-image1-5.png" style="width: 580px;" /></a></p> <p><a href="https://www.sentinelone.com/labs/dragonspark-attacks-evade-detection-with-sparkrat-and-golang-source-code-interpretation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織DragonSpark透過Go語言打造的惡意軟體規避偵測</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SparkRAT"><span style="color: rgb(255, 140, 0);">#SparkRAT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/DragonSpark"><span style="color: rgb(255, 140, 0);">#DragonSpark</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Golang"><span style="color: rgb(255, 140, 0);">#Golang</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Yaegi"><span style="color: rgb(255, 140, 0);">#Yaegi</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>資安業者SentinelOne揭露鎖定東亞組織的攻擊行動DragonSpark，很可能是使用中文的駭客所發動，攻擊者利用鮮為人知的開源木馬程式SparkRAT，並搭配另一個同為Go語言開發惡意軟體進行攻擊。</p> <p>駭客鎖定網際網路上可公開存取的網頁伺服器或MySQL資料庫入侵受害組織，並植入名為中國菜刀的Web Shell，然後進行橫向移動、提升權限，以及部署惡意軟體的活動。比較特別的是，駭客為了回避偵測，他們濫用Go語言的原始碼轉譯器Yaegi來執行惡意程式，企圖阻礙靜態分析系統的偵測結果。值得留意的是，駭客使用了多個遭駭的臺灣、香港、新加坡、中國伺服器，來做為散布惡意軟體的基礎設施。</p> <p><a href="https://www.mandiant.com/resources/blog/tracking-evolution-gootloader-operations"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Gootloader採用更隱密的混淆手法規避偵測</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Gootloader"><span style="color: rgb(255, 140, 0);">#Gootloader</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Golang"><span style="color: rgb(255, 140, 0);">#Golang</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig2-gootloader-powershell-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2-gootloader-powershell-attack-chain.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露近期惡意軟體Gootloader（亦稱Gootkit）的攻擊手法，他們在2022年11月發現駭客組織UNC2565開始採取更為刁鑽的手法，一旦使用者依照指示下載釣魚網站上的ZIP壓縮檔，並執行其中的JavaScript指令碼，電腦就會被植入另一個偽裝成事件記錄檔（LOG）的JavaScript指令碼，並透過工作排程執行並收集系統資訊，然後利用PowerShell命令下載惡意程式載入工具Fonelaunch，進而部署Gootloader。</p> <p>而為了讓Gootloader難以被發現其攻擊意圖，駭客採用了更為複雜的混淆手法，研究人員在該惡意程式的程式碼發現額外的字串變數，做為第二階段解除混淆手法之用。此外，他們也發現駭客木馬化jQuery、Chroma.js、Underscore.js等JavaScript程式庫。研究人員在其中一個Gootloader檔案裡，發現駭客將實際的惡意程式埋藏在一萬行程式碼之後。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/a/new-mimic-ransomware-abuses-everything-apis-for-its-encryption-p.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Mimic在加密檔案的過程濫用搜尋工具Everything元件</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/LOLBin"><span style="color: rgb(255, 140, 0);">#LOLBin</span></a> <a href="https://www.ithome.com.tw/tags/寄生攻擊"><span style="color: rgb(255, 140, 0);">#寄生攻擊</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/mimic-ransomware-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/mimic-ransomware-1.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技於2022年6月發現名為Mimic的勒索軟體，主要目標是使用俄文與英語的用戶。駭客疑似利用勒索軟體Conti的產生器為基礎進行開發，但Mimic與其他勒索軟體不同之處，在於駭客進行了寄生攻擊（LOLBin），濫用了搜尋應用程式Everything的API元件來盤點受害電腦的檔案，此外，該勒索軟體也具備停用防毒軟體Microsoft Defender與繞過使用者帳號控制（UAC）的能力。</p> <p>研究人員指出，駭客利用Everything元件的目的，很可能就是看上此應用程式占用資源極低且執行檔案搜尋效率極佳的特性，藉此縮短加密受害電腦檔案的時間。</p> <p><a href="https://securelist.com/prilex-modification-now-targeting-contactless-credit-card-transactions/108569/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">信用卡刷卡要小心！有惡意軟體在插卡與NFC刷卡之間動手腳，意圖竊取卡片資料</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/POS"><span style="color: rgb(255, 140, 0);">#POS</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Prilex"><span style="color: rgb(255, 140, 0);">#Prilex</span></a> <a href="https://www.ithome.com.tw/tags/NFC"><span style="color: rgb(255, 140, 0);">#NFC</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Prilex_blocks_NFC_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Prilex_blocks_NFC_03.png" style="width: 200px; float: right;" /></a>資安業者卡巴斯基揭露近期POS設備惡意軟體Prilex的攻擊行動，他們發現了3個新版Prilex，其特點是阻止消費者透過NFC的方式進行非接觸式刷卡，一旦消費者在感染此惡意軟體的POS機臺使用這種方式付錢，刷卡機就會出現錯誤訊息，指示必須將卡片插入刷卡機才能進行相關作業。</p> <p>研究人員指出，駭客這麼做的目的，在於NFC交易的過程中，刷卡機會產生專屬的ID資料，而無法被駭客後續用於盜刷。</p> <p><a href="https://www.bleepingcomputer.com/news/security/porsche-halts-nft-launch-phishing-sites-fill-the-void/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">保時捷暫停發布NFT被盯上，駭客架設釣魚網站行騙</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/NFT"><span style="color: rgb(255, 140, 0);">#NFT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Porsche"><span style="color: rgb(255, 140, 0);">#Porsche</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/porsche-nft-site-real-fake.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/porsche-nft-site-real-fake.png" style="width: 300px; float: right;" /></a>跑車製造商保時捷於1月23日發布他們的首款非同質化代幣（NFT），卻因鑄造速度緩慢等因素引發投資客的不滿，遂於隔日宣布停售並導致已售出的NFT價格大漲，而這也成為駭客用來對NFT投資客下手的誘餌。</p> <p>根據資安新聞網站Bleeping Computer的報導，有人打造了冒牌保時捷NFT網站，並透過擁有1.1萬用戶追蹤的推特帳號進行宣傳，意圖對想要買到911跑車NFT的投資客進行網釣攻擊，一旦投資人將加密貨幣錢包與釣魚網站連接，錢包裡的資產就有可能被對方耗盡。</p> <p><a href="https://www.londonstockexchange.com/news-article/JD./cyber-security-incident-regarding-historic-orders/15815662"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">運動服飾業者JD Sports被駭，千萬客戶個資外流</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>英國知名運動服飾品牌JD Sports近日向倫敦證交所通報，資料庫系統被駭，旗下JD、Size?、Millets、Blacks、Scotts及MilletSport等眾多品牌、約千萬名顧客的個資遭到外流。該公司表示，他們遭到不法存取的資料內容，涵括2018年11月到2020年10月網路下單的顧客資料。</p> <p><a href="https://www.welivesecurity.com/2023/01/31/eset-apt-activity-report-t3-2022/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客竄改微軟的公用程式，製作資料破壞軟體NikoWiper攻擊烏克蘭能源基礎設施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Wiper"><span style="color: rgb(255, 140, 0);">#Wiper</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Sandworm"><span style="color: rgb(255, 140, 0);">#Sandworm</span></a> <a href="https://www.ithome.com.tw/tags/SDelete"><span style="color: rgb(255, 140, 0);">#SDelete</span></a></strong></p> <p>資安業者ESET近日發布2022年第3季的APT攻擊情勢報告，當中提及俄羅斯駭客組織Sandworm於去年10月，在該國軍隊發射導彈攻擊的期間，使用名為NikoWiper資料破壞軟體（Wiper）來對烏克蘭能源基礎設施下手。</p> <p>研究人員指出，此資料破壞軟體是以微軟免費工具包SystemInternals家族成員SDelete為基礎打造而成，而這些駭客也曾在攻擊烏克蘭媒體Ukrinform的過程中，運用此公用程式破壞資料，引起研究人員的注意。</p> <p><a href="https://www.cna.com.tw/news/afe/202301310285.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">永豐銀行信用卡傳出過年期間遭到盜刷，34名持卡人被刷110萬元</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/3D驗證"><span style="color: rgb(255, 140, 0);">#3D驗證</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OTP"><span style="color: rgb(255, 140, 0);">#OTP</span></a></strong></p> <p>農曆新年期間傳出永豐銀行的信用卡遭到盜刷，這樣的情況如今也得到金管會證實。根據<a href="https://www.cna.com.tw/news/afe/202301310285.aspx">中央社</a>、<a href="https://ec.ltn.com.tw/article/breakingnews/4197347">自由時報</a>、<a href="https://udn.com/news/story/7239/6939938?list_ch2_index">聯合報</a>等多家媒體的報導，金管會銀行局副局長童政彰於1月31日的例行記者會對此事發表看法，他們已向永豐銀行進行了解，有34名永豐銀行用戶的信用卡，在1月23日至29日被盜刷76筆，總金額約新臺幣110萬元，這些交易是在約30家網路商店消費，但不確定是否為同一集團所為。</p> <p>對此，永豐銀行初步調查發現，該公司已導入3D驗證機制，在刷卡時會同時傳送OTP驗證碼至持卡人手機及電子郵件信箱，疑似寄送的驗證碼郵件遭到不法人士擷取而導致本次事件。</p> <p>針對此次事件的後續處理，永豐銀行表示，將主動協調以爭議帳款處理，用戶無需繳納遭盜刷的款項，該公司亦在偵測到疑似盜刷的當下進行確認，並協助持卡人停卡或是換卡，同時在聯合信用卡中心系統將盜刷的IP位址列入黑名單。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟封鎖被用於OAuth網釣攻擊的合作夥伴帳號</span></span></strong></a></p> <p><a href="https://securelist.com/darknet-it-headhunting/108526/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客在暗網張貼徵才廣告，祭出2萬美元月薪尋求打手</span></span></strong></a></p> <p><a href="https://www.esentire.com/web-native-pages/unmasking-venom-spider"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員找出惡意軟體Golden Chickens背後的駭客</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cyberattacks-target-websites-of-german-airports-admin/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國機場網站傳出成為俄羅斯駭客Killnet的攻擊目標</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/yandex-denies-hack-blames-source-code-leak-on-former-employee/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯科技業者Yandex原始碼流入駭客論壇，疑前員工所為</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155314">【2023年1月31日】資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐讓攻擊者能明文輸出資料庫</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155227">【2023年1月19日】 Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</a></strong></p> </div></div></div>
2023/2/1 16:24作者周峻佑https://www.ithome.com.tw/news/155326
5G趨勢月報第39期：Vodafone在英國小規模測試5G SA網路；NCC有條件通過電信合併案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>1/07~1/31精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Vodafone</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>SA</b></span></font></p> <p><strong><span style="font-size:22px;">Vodafone在英國開始小規模測試5G SA網路</span></strong></p> <p>Vodafone宣布在英國與特定的客戶合作，開始小規模測試5G SA獨立組網，Vodafone強調相較於現行的5G非獨立組網架構在4G的基礎上，5G SA獨立組網可發揮更完整的5G網路優勢，包括更快的傳輸速度、更低的延遲，更好的穩定性及安全性。</p> <p>目前Vodafone已在英國邀請部分客戶參與這項測試，測試的地區包括倫敦、利物浦、伯明翰、曼徹斯特、布里斯托爾、巴斯、格拉斯哥等地，且受邀參加測試者須使用限定的裝置，包括三星Galaxy S21、S22手機，或是OPPO Find X3/X5 Pro手機。</p> <p>Vodafone指出，未來5G SA普及，將不只為消費者個人用戶帶來更好的行動網路服務，也將為英國整體社會的數位化發展帶來效益，例如以5G SA能夠支援沒有網路塞車問題的智慧化運輸系統、或是建立數位化的醫療保健系統等等。由於布建5G SA網路需投入高額資金，該公司期望可獲得政府支持。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣大哥大</b></span></font></p> <p><span style="font-size:22px;"><strong>兩大電信合併案，NCC有條件通過</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ncc-2-1.jpg" style="width: 600px; height: 413px;" /></p> <p>國內延宕已久的電信合併案，台灣大哥大合併台灣之星、遠傳電信合併亞太電信，從宣布合併至今約1年，NCC近期終於以附帶條件方式通過兩項合併案，因認定業者合併後取得超額頻寬，要求需在2024年6月底之前處理超額頻寬問題。在NCC同意之後，未來尚需通過公平會審議，並向NCC修改網路及營運計畫，向經濟部變更公司登記資訊等程序。</p> <p>此次通過合併案，NCC要求業者合併後，需保障既有用戶權益，同時發揮合併綜效，包括提升4G、5G服務的人口涵蓋率，其中5G涵蓋率需達到98%，偏遠地區涵蓋率達到95%以上，並且不得以不公平競爭方式限制MVNO業者與行動電信業者合作提供服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>挪威</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>挪威開放3.8GHz到4.2GHz專網頻譜執照申請</strong></span></p> <p>為促進產業發展，挪威政府開始3.8GHz到4.2GHz間，共400MHz頻寬資源使用執照，以供產業用戶提出申請，依據自身的需要建置5G專網。</p> <p>去年挪威通訊主管機關NKom已先開放該頻段測試，目前NKom正開放頻段使用執照申請程序，有興趣者可向NKom提出申請，最多使用80MHz頻寬建置5G專網，執照期限為10年。頻率使用的年費，依據使用的頻寬多寡、基地臺功率，年費介於最低20美元到387美元之間。</p> <p>NKom規定專網建置為地區性，與公共網路相區隔的獨立網路（Standalone Non public network, SA-NPN），禁止共享無線設備及頻率的公共網路與私有網路混合建置架構。此外，挪威政府也禁止漫遊使用3.8GHz到4.2GHz頻段的裝置，並要求企業使用專網，須紀錄所有在專網登入的裝置資訊。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>臺中榮總</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <p><span style="font-size:22px;"><strong>臺中榮總以5G專網完成遠距偏鄉義診</strong></span></p> <p>臺中榮總近期與中華電信聯手，醫療團隊赴南投信義鄉羅娜部落為當地民眾義診，如遇到較複雜的病症，透過5G專網存取民眾在臺中榮總的病歷資料，包含醫學影像，並將現場超音波影像回傳至醫院，與遠端的醫院會診團隊共同為民眾看診。</p> <p>臺中榮總與中華電信已合作，在總院、嘉義、埔里分院、彰化榮家建置跨區5G專網，為了達到高速、低延遲的資料傳輸，結合5G專網基地臺，並在總院端建置MEC邊緣運算裝置，利用5G網路將醫學影像等資料匯集於總院的MEC。中華電信指出，目前已完成多次的達文西、心導管、脊椎等手術遠距協作。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>法國</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>6G</b></span></font></p> <p><span style="font-size:22px;"><strong>法國擬以7.5億歐元投入5G與6G研究</strong></span></p> <p>法國政府近期宣布將以7.5億歐元，投資5G Advanced網路、6G等下世代網路研究，將聚焦在連結虛擬化、接取網路的開放介面、邊緣運算、資安、AI及機器學習等方面。</p> <p>這項投資為法國總統馬克宏提出法國2030年戰略的一部分，法國擬投入300億歐元加速法國在能源、交通、文化、衛生各項發展。法國政府鼓勵相關開發，包括接取網路、核心網路、邊緣雲、5G終端，涵蓋電信設備的硬體、軟體及服務及創新應用。該國期望透過此一戰略，讓法國在未來全球網路科技創新佔有一席之地，同時讓法國取得一定的技術主權。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>英國</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>BT</b></span></font></p> <p><span style="font-size:22px;"><strong>英國電信BT測試以高空飛行載具改善鄉村地區手機通訊涵蓋</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/spl.jpg" style="width: 600px; height: 320px;" /></p> <p>英國電信（BT）近期與Stratospheric Platforms合作測試HAPS（High-Altitude Platform Station）方案，目的為透過高空飛行載具，利用研發的新天線技術，為鄉村偏遠地區提高4G或5G行動通訊涵蓋。在測試的初期，先在BT的高樓建築頂樓設置新的天線，以模擬高空發射行動訊號，測試與BT的5G網路安全架構互動，及與Open RAN測試平臺連接。</p> <p>該測試獲得英國政府的補助，英國電信指出，HAPS可在災難發生時，為地面通訊網路提供備用通訊網路，為不同產業或農業提供高空監控，改善營運效率。</p> <p>用於HAPS的新天線技術，是以相控陣列天線傳輸500個獨立可控波束，在140公里或1,5000平方公里範圍內（相當於450個地面天線桿的覆蓋範圍），提供高達140Mbps的網速。該天線搭配氫動力飛行載具，從高空為大面積區域提供4G或5G訊號涵蓋，降低為偏遠地區建置地面通訊基礎建設的昂貴成本。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>日本</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>KDDI</b></span></font></p> <p><span style="font-size:22px;"><strong>日本KDDI已在大阪建置5G Open RAN系統</strong></span></p> <p>日本電信商KDDI近期宣布與三星、富士通聯手,結合三星的CU與DU,以及富士通的MMU,在大阪市的5G網路中建置符合O-RAN標準的商用化Open vN站點。</p> <p>在此之前,KDDI在去年2月已成功測試開通5G Open vN站點,並更新O-RAN標準軟體,其中的無線控制器以完全虛擬化的RAN軟體,在通用型伺服器上執行,在無線裝置也採用較高效能率、寬頻的放大技術,體積小、重量較輕、功耗也比較小。此外,KDDI也透過自動管理系統,讓基地臺運作時能夠自行配置資源,適用於不同供應商的伺服器及虛擬化平臺,有助於快速部署基地臺。</p> <p>KDDI認為採用開放的無線系統,增加設備的採購選項,並可建立高成本效益的基礎建設。未來基於大阪市的營運經驗,KDDI準備在2024年擴大部署,加速Open N系統建置。另外,也將持續投入Open vN研發,並推廣在日本部署全國性的5G SA獨立組網。</p> <p> </p> <p>圖片來源／NCC、Vodafone、Stratospheric Platforms</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.工研院與和碩在美國CES展示可攜式5G專網設備</strong></p> <p><strong>2.日本NTT DOCOMO完成透射超表面試驗，室內無線電波可透過窗戶擴大到建築底部，可望改善5G或6G訊號涵蓋</strong></p> <p>資料來源：iThome整理，2023年1月</p> </div></div></div>
2023/2/1 17:42作者蘇文彬https://www.ithome.com.tw/news/155330
美CISA公布網路釣魚演練結果，每10間就有8間企業有員工被網釣成功，教育員工回報網釣與實施抗網釣MFA成新重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚威脅已是企業組織常年關注的資安議題，除了每天從不間斷的各種事故發生之外，目前情況究竟有多嚴重？我們該如何防範？</p> <p>去年12月8日，美國網路安全暨基礎設施安全局（CISA）公布的<a href="https://www.cisa.gov/phishing-infographic">網路釣魚資訊圖表（Phishing-infographic）</a>提供了一些答案。這當中提到網路釣魚是一種社交工程的手法，普遍冒充值得信賴的同事與組織，企圖引誘受害者上當，而且可利用的管道很多，包含電子郵件、通訊軟體或SMS簡訊，以及電話。特別的是，特別的是，該份報告提供防禦指引，也呈現組織員工面臨網釣模擬攻擊反應。</p> <h3><strong>網釣攻擊突破防護與成功的機率，可能比你想要更高</strong></h3> <p>根據這份報告的內容顯示，每10個接受CISA模擬網釣測試的人中，就有1人點擊連結，或是下載附件，而且，每10間企業組織就有8間至少1人淪為模擬網釣測試的受害者。此外，CISA也指出，有70%的惡意程式或惡意連結未被網路邊界防護服務阻擋，有15%的惡意程式未被端點防護產品阻擋，有84%的員工在收到惡意郵件的前10分鐘內，就逕自回覆敏感資訊或是點擊連結與附件，並且只有13%的目標鎖定員工回報自己遭遇網路釣魚事件。</p> <p>從上述公布的比例來看，雖然CISA並未公布相關細節與防護概況，但企業在執行相關教育訓練時，可以讓員工更瞭解兩件事：邊界防護與端點防護雖然能幫助過濾大部分的威脅，但仍有小部分不被阻擋，尤其是邊界防護竟只阻擋了3成，這或許已經打破了一般的既定印象。</p> <p>因此使用者本身這道防線，其防護意識也相當重要；再者，員工回報網釣事件的比例相當低，需要多建立這方面的觀念。</p> <h3><strong>教育員工要有防護意識不被誘騙，也要知道發現事件應該通報</strong></h3> <p>除了揭露網釣模擬測試統計數據，CISA還特別提供了面對網釣的完整建議與行動，當中歸納為4大面向，並綜合整理出多項安全建議措施。</p> <p>首先，以阻擋誘餌（Block the Bait）而言，有3項措施，包括：普遍熟知的基本網路邊界安全防護強化，驗證電子郵件合法性採用SPF、DKIM與DMARC，以及將封鎖清單或網路威脅情報等資訊匯入防火牆規則，以阻擋已知惡意網域、URL與IP位址，</p> <p>第二，以不被誘騙（Don’t take the bait）而言，有兩大重點，一是增進員工對於釣魚郵件的識別能力，另一是要讓員工知道在所有通訊平臺都應保持警惕。值得留意的是，後者的預防措施過往較少針對員工宣導，但攻擊者鎖定企業員工已不只是透過郵件進行攻擊，利用不同管道的網路釣魚越來越多。</p> <p>第三，以回報網釣事件（Report the hook）而言，這部分特別重要，畢竟前述調查提到收到網釣信的員工只有13%回報。對此，CISA建議採取的行動，包括：教育員工接收到網釣郵件時的處置方式，不論他們是否上當，其中有兩個要點，首先是將該郵件回報給公司的安全團隊，並且不要將惡意郵件轉寄給公司內其他人，另一方面，組織應變人員要能確認事件與防範入侵範圍擴大。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Phishing-infographic__4%E5%A4%A7%E9%98%B2%E8%AD%B7%E9%9D%A2.jpg" style="width: 600px;" /><br /> （圖片來源：美國網路安全暨基礎設施安全局CISA－Phishing-infographic）</p> <p>最後，以保護整體範圍（Protect the waters）而言，面向相當廣，包括：遵循最小權限，審查並減少可存取關鍵資料與設備的帳號數量，對密碼共享與重複使用做出限制，防止權限提升、取消用戶不必要的高權限，以及報名免費CISA服務進行網釣演練的評估。同時，還有幾項通用的防護機制，例如，做好安全更新、增加端點與EDR防護，以及實施軟體限制政策。</p> <p>特別的是，在此當中還提到一項關鍵措施，那就是導入可抗網路釣魚的多因素身分驗證（Phishing-Resistant MFA）。</p> <p>什麼是抗網釣MFA？<a href="https://www.ithome.com.tw/news/155119#MFA">CISA在2022年10月底發布的導入指引曾介紹這類型的做法</a>，當中對於各種MFA在因應網釣威脅也有清楚說明。這份文件的主要目的，是讓企業組織能了解不同MFA的強弱，並且向更強健的MFA邁進，最佳結果就是導入抗網釣MFA（如FIDO/WebAuthn驗證、基於PKI的方式）。</p> <p>值得一提的是，在此資訊圖表上，所列出的一些實踐措施大多附上可參考的資源，主要對應到CISA另一份簡稱為CPG（Cross-Sector Cybersecurity　Performance Goals）的資安指引，這份文件可視為比NIST網路安全框架（CSF）更容易上手的指南，主要適用於規模較小與資源較少的組織，並鼓勵這些中小企業組織都能實施最低安全基準。例如，在教育員工收到網釣郵件時的處置上，對應的是CPG 4.3，也就是治理與教育訓練中的基本網路安全訓練，範圍是全體員工與合約商；而組織應變人員收到員工通報網釣郵件的處置，對應的是CPG 7.1、7.2，也就是回應與復原的資安事件應變（IR）的報告與計畫。</p> <p>整體而言，CISA透過簡易呈現的資訊圖表內容，不僅利於美國國內推廣資安，也能作為其他國家企業組織在防範網路釣魚攻擊的參考，然而，要產生這樣的內容其實並不困難，臺灣本身應該也能建立出如此具系統性的資安宣導內容，期盼有關單位不只是提出創新作法，要打好全民資安意識的基本功，我們還有很大的努力空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Phishing-infographic__CISA%E6%BC%94%E7%B7%B401.jpg" style="width: 600px;" /><br /> （圖片來源：美國CISA－Phishing-infographic）</p> <p>●每10間企業組織就有8間有至少一人，在CISA模擬網釣測試中成為受害者<br /> ●每10個接受CISA模擬網釣測試的人，就有1人點擊惡意連結或下載惡意附件</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Phishing-infographic__CISA%E6%BC%94%E7%B7%B402.jpg" style="width: 600px;" /><br /> （圖片來源：美國CISA－Phishing-infographic）</p> <p>●有70%的惡意程式或惡意連結未被網路邊界防護服務阻擋<br /> ●有15%的惡意程式未被端點防護產品阻擋<br /> ●有84%的員工在收到惡意郵件的前10分鐘內，回覆了敏感資訊或是點擊連結與附件<br /> ●僅有13%的網釣目標員工回報了網路釣魚事件，這限制了企業組織回應事件或提醒他人注意威脅</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892023%E8%B3%87%E5%AE%89%E8%B6%A8%E5%8B%A2%E9%9B%B6%E4%BF%A1%E4%BB%BB_%E6%8A%97%E7%B6%B2%E9%87%A3MFA(1).jpg" style="width: 600px;" /></p> <p>美國CISA在2022年10月底曾發布「抗網釣多因素驗證」（<a href="https://www.ithome.com.tw/news/155119#MFA">Phishing-Resistant MFA</a>）導入指引，當中說明了不同MFA的安全強度，鼓勵組織朝向導入抗網釣MFA邁進，也就是採用FIDO/WebAuthn驗證，以及基於PKI的方式，至於還無法導入的中小企業，則建議先採用安全強度較次的三種MFA，包括App推送OTP驗證碼、App推送數字配對通知，以及基於Token的OTP。至於簡訊或語音形式的MFA，則應視為織過渡到實施更強式的MFA的臨時方案。</p> </div></div></div>
2023/2/1 16:44作者羅正漢https://www.ithome.com.tw/news/155324
微軟已驗證發布者狀態遭濫用，誘使被害者授權惡意雲端應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Proofpoint研究人員發現一個新的<a href="https://www.proofpoint.com/us/blog/cloud-security/dangerous-consequences-threat-actors-abusing-microsofts-verified-publisher">同意網路釣魚（Consent Phishing）攻擊行動</a>，惡意攻擊者濫用微軟已驗證發布者（Verified Publisher）狀態，誘使受害者授予惡意雲端應用程式權限，使攻擊者能夠存取用戶資料，並取得電子郵件信箱、日曆和會議邀請委派權限。</p> <p>在這個新的同意網路釣魚攻擊活動中，由於攻擊者使用微軟已驗證發布者狀態，因此當惡意第三方OAuth應用程式，請求透過使用者帳戶存取資料時，增加了用戶被誘騙同意的可能性，研究人員發現惡意程式所取得的委派權限（Delegated Permissions）影響極廣，能夠瀏覽使用者的電子郵件、調整信箱配置，以及存取和帳戶相關連的檔案和資料。</p> <p>微軟已驗證發布者是指，一個應用程式發布者經由MCPP驗證身份，並將該MCPP帳戶和應用程式註冊相關聯，所獲得的狀態。當應用程式發布者經過驗證時，在應用程式Azure AD同意提示和網頁中，變會出現藍色的已驗證徽章。<a href="https://msrc-blog.microsoft.com/2023/01/31/threat-actor-consent-phishing-campaign-abusing-the-verified-publisher-process/">微軟提到</a>，攻擊者透過冒充合法公司註冊MCPP帳戶。攻擊者將詐欺取得的合作夥伴帳戶，添加到他們在Azure AD所創建的OAuth應用程式註冊中，誘使用戶授予惡意應用程式權限。</p> <p>該網路釣魚攻擊主要影響英國和愛爾蘭的部分用戶，Proofpoint研究人員總共發現了三個不同的惡意程式發布者，以及他們所創建的三個惡意應用程式，這些惡意應用程式鎖定相同的組織，並且與相同的惡意基礎設施關聯，已有多個用戶上鉤授權惡意應用程式。</p> <p>在獲得受害者同意後，惡意雲端應用程式預設取得委派權限，使攻擊者可以存取和操縱受感染用戶關聯的電子郵件信箱、日曆和會議邀請，而且因為受害者同意的權限中，還包括離線存取，因此在同意權限後不需使用者的互動，便能夠存取受感染帳戶的資料，受害者的組織品牌也可能遭到濫用。</p> <p>微軟在收到Proofpoint通報後，已經下架惡意應用程式，停用攻擊者擁有的帳戶，並且主動通知受影響用戶，同時也增加MCPP審查流程的安全措施，避免之後發生類似的詐欺活動。Proofpoint研究人員則建議，使用者不應該僅根據經驗證發布者狀態就信任OAuth應用程式，應該仔細評估授予第三方應用程式存取權限的風險。</p> </div></div></div>
2023/2/1 15:50作者李建興https://www.ithome.com.tw/news/155325
NetApp全球裁員8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大廠裁員風持續，繼Meta、Amazon、Google、微軟之後，<a href="https://investors.netapp.com/node/22121/html" target="_blank">儲存業者NetApp本周通報美國證管會</a>，受大環境景氣不佳及客戶支出縮減影響，該公司將裁減公司人力近8%因應挑戰。</p> <p>該公司指出，這波裁員是因應宏觀經濟局勢挑戰及客戶縮減投資，而採取最佳化投資的計畫性行動之一環。根據NetApp執行長對員工公開信說明，過去幾個月許多公司都面臨嚴苛的宏觀經濟環境挑戰，NetApp也無法例外。為了確保公司的敏捷性，實現長、短期目標，必須精簡公司規模、調整成本結構，並提高員工績效衡量標準。</p> <p>裁員行動將從本周展開，主要影響東歐、中東與非洲，以及亞太區，預計在公司第4季，即2023年4月底前完成。在裁員前，NetApp約有1.1萬名員工，估計這波裁減將削<span style="background-color:#ffffff;">減800多個職位</span>。</p> <p>根據<a href="https://www.netapp.com/pdf.html?item=/media/71071-financial-q4-fy22.pdf" target="_blank">NetApp財報</a>，2022年第4季該公司營收16.8億美元，成長8%，全年營收達63.2億美元，較前一年的57.4億美元成長約10%。</p> </div></div></div>
2023/2/1 14:36作者林妍溱https://www.ithome.com.tw/news/155322
微軟終止直接銷售Windows 10產品授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於昨日（1/31）正式停止在官網銷售Windows 10產品金鑰，而是直接導引用戶購買Windows 11授權。</p> <p>一周前，<a href="https://www.theverge.com/2023/1/23/23567281/microsoft-windows-10-download-license-sales-ending" target="_blank">The Verge</a>、<a href="https://www.cnet.com/tech/services-and-software/todays-the-last-day-to-buy-windows-10-from-microsoft/" target="_blank">CNET</a>等多家媒體的報導貼出<a href="https://pureinfotech.com/windows-10-license-sale-end-january-31-2023/" target="_blank">啟示</a>，說明2023年1月31日是在微軟網站購買Windows 10 Pro、Workstation及Home版本授權的最後一天。但微軟說，Windows 10的支援會持續到2025年10月14日，提供安全更新，以確保PC不受病毒、間諜軟體和其他惡意程式的侵害。</p> <p>不過<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-stops-selling-windows-10-licenses-a-day-early/" target="_blank">Bleeping Computer</a>報導，微軟似乎在1月30日就已經截止銷售Windows 10。目前微軟官網已經直接導向了Windows 11授權購買網頁。這意謂著，個人用戶若想單純安裝正版Windows 10，已經無法直接向微軟購買。</p> <p>微軟是在2021年6月宣佈Windows 10的技術支援期間。現在微軟官網FAQ頁仍然保留2025年10月14日的技術支援期限。</p> <p>根據市調機構<a href="https://gs.statcounter.com/windows-version-market-share/desktop/worldwide/" target="_blank">Global Stats</a>的數據，截自2023年1月，Windows 10仍以68.8%居最大宗，Windows 11則來到18.1%。</p> </div></div></div>
2023/2/1 11:57作者林妍溱https://www.ithome.com.tw/news/155320
GitHub 2款App程式碼簽章憑證遭駭客竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-01-30-action-needed-for-github-desktop-and-atom-users/" target="_blank">原始碼代管平臺GitHub本周公告平臺上的程式碼儲存庫遭駭</a>，致使2款桌面App的程式碼簽章憑證被複製，GitHub已撤銷外洩的憑證，呼籲用戶升級到安全版本。</p> <p>根據GitHub的說明，去年12月7日GitHub偵測到數個用於GitHub Desktop和Atom App的規畫和開發程式碼儲存庫，以及GitHub旗下舊單位的儲存庫在前一天遭不明人士存取。他們的調查顯示，這些儲存庫被駭客利用機器帳號相關的個人存取令牌（Personal Access Token，PAT）複製且外流。該平臺一發現就立即撤銷存取這些儲存庫的令牌。</p> <p>GitHub說外洩的Desktop和Atom App憑證有密碼保護，而且他們在安全公告發布當下（1/30）還沒發現這些憑證有被惡意存取、或已經被解密的證據。除此之外，他們判斷這次存取未對GitHub.com服務造成風險，這些專案也沒有被攻擊者變更。此外，上述儲存庫也不包含客戶資料。</p> <p>GitHub說明，用於Desktop和Atom App的外洩簽章憑證中，有3項在被駭時是有效的，包括2項Windows平臺的Digicert憑證，以及1項Apple Developer ID憑證，涉及特定Atom App版，以及特定Mac版本的Desktop App。</p> <p>詳細而言，Digicert憑證各在2023年1月4日及2月1日到期，而Apple Developer ID憑證效期到2027年。但為求安全，GitHub會在2023年2月2日撤銷這些憑證。</p> <p>由於撤銷簽章憑證後會使得這些App無法使用，<a href="https://docs.github.com/en/desktop/installing-and-configuring-github-desktop/installing-and-authenticating-to-github-desktop/updating-github-desktop" target="_blank">GitHub呼籲特定Mac版Desktop App用戶升級到今年1月4日釋出的最新版本</a>，包括3.0.1-3.0.8、3.1.0-3.1.2。Windows版Desktop App則未受影響。</p> <p>特定版本，包括1.63.0、1.63.1的Atom App則會在2月2日停止運作，<a href="https://github.com/atom/atom/releases/tag/v1.60.0" target="_blank">用戶必須升級到前一個版本1.60版</a>。</p> </div></div></div>
2023/2/1 12:10作者林妍溱https://www.ithome.com.tw/news/155321
VS Code C++擴充套件新功能可自動創建定義和宣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在VS Code C++擴充套件1.13.6版本，添加<a href="https://devblogs.microsoft.com/cppblog/vs-code-c-extension-january-update-create-definitions-and-declarations/">自動創建函式定義和宣告功能</a>，因此開發者現在可以在標頭檔（Header file），替只有定義的函式創建宣告，或是只有宣告的函式創建定義，這些自動產生的定義和宣告，將包含所有函式參數，因此不需要開發者多次複製貼上等繁瑣操作。</p> <p>開發者只需要點擊類別函式定義或是宣告，並且再次點擊左側的程式碼操作燈泡圖示，在出現的選單選擇創建宣告，或是創建定義，擴充套件就會自動完成接下來的動作。當然開發者也能夠以滑鼠右鍵點擊，從右鍵選單中選擇，或是選擇函式，在命令列面板輸入命令，同樣也可以完成創建定義和宣告。</p> <p>C++擴充套件所產生的定義和宣告，會根據程式碼中建立的模式創建，當開發者之前在同一個檔案添加了定義和宣告，則擴充套件也會將新的定義和宣告添加到同一個檔案中，並且自動維護函式順序。</p> <p>當開發者在不同的原始碼檔案（Source file）中編寫宣告和定義，則擴充套件也會遵循開發者先前的作法，在具有相符名稱的標頭檔案和原始碼檔案的情況下，即使標頭檔案未包含在原始碼檔案中，擴充套件還是會自動辨識相對應的檔案，並且在添加定義和宣告之後，自動將標頭檔包含到原始碼檔案中。</p> <p>如果在創建定義和宣告之前，沒有先前操作可供參考，擴充套件就會創建一個和當前檔案名稱相符的標頭檔和原始碼檔案。該功能也會在命名空間中發揮作用，行為與函式和類別相同，但是在模板稍有不同，在標頭檔案宣告函式模板，則該函式模板的定義會出現在同一個標頭檔案中。</p> </div></div></div>
2023/2/1 07:09作者李建興https://www.ithome.com.tw/news/155309
AWS發布參考架構和實作簡化企業工作管線部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對企業<a href="https://aws.amazon.com/tw/blogs/aws/new_deployment_pipelines_reference_architecture_and_-reference_implementations/">部署工作管線，推出新的參照架構和實作（Deployment Pipeline Reference Architecture）</a>，使企業將工作負載部署到雲端的時候，可以更快速簡單。AWS參考自Amazon和數百用戶的專案建置，透過學習這些專案的最佳實踐和經驗，創建出新的部署工作管線參照架構和實作。</p> <p>工作管線是執行持續整合、交付和部署的重要基礎架構構成，使企業能夠自動建置、測試應用程式或是基礎設施，並將其部署到AWS環境中。工作管線的組成，包括程式碼編寫、建置、測試和部署階段，各階段則是由一系列軟體交付生命周期中的自動化任務所組成，不同的使用案例需要不同類型的部署工作管線。</p> <p>而AWS這個新的部署工作管線參照架構，描述現代化系統中不同類型的工作管線階段和操作，同時也描述了團隊透過部署工作管線，提高軟體系統速度、穩定性和安全性的方法，目前的範疇僅為應用程式，之後還會涵蓋映像檔、帳戶機隊管理和動態配置等部署工作管線。官方提到，企業運用現代化部署工作管線，將可達到自動化、一致性、小批次、靈活調度、快速回應、始終可部署和測量等目標。</p> <p>新的參考架構和實作並非僅是典型的Hello World範例，而是詳細記錄在多重環境、多AWS帳戶、多區域、手動批准、自動測試、自動程式碼分析等複雜部署工作管線的創建和實作步驟。該參照架構能夠供用戶學習組合AWS服務協同運作的方法，並且紀錄了基礎架構的限制和可選元件。</p> <p>AWS除了提供架構文件和圖表，在每一種工作管線類型都至少有一個參照實作，而且其中一個藉由AWS雲端開發工具包（AWS CDK）應用程式，在用戶帳戶中部署參照架構，使得用戶能夠方便並且根據特定需求自定義參照架構。</p> <p>用戶和第三方供應商在部署工作管線參照架構，可以使用自家的服務和工具創建實作，AWS參照實作包含官方和第三方工具，當沒有AWS服務和工具可用時，參照實作便會列出第三方工具。用戶現在已經可以免費取用部署工作管線參照架構和實作，但是當用戶決定部署參照實作，則AWS將會就其在用戶帳戶上創建的資源收費。</p> </div></div></div>
2023/2/1 07:13作者李建興https://www.ithome.com.tw/news/155311
Internet Archive運用模擬技術MAME建立多款計算機模擬器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路多媒體數位圖書館Internet Archive使用MAME模擬技術，在網站中發布<a href="https://blog.archive.org/2023/01/29/a-calculated-move-calculators-now-emulated-at-internet-archive/">14種計算機模擬器</a>，包括Hewlett Packard與德州儀器系列，使用者可以選擇想要使用的計算機類型，並且以滑鼠游標點擊計算機上的數字和功能鍵，計算機的螢幕便會出現相對應的結果，官方提到，計算機上有個能夠呈現計算機外表的可點擊圖形物件，供用戶進行數字和繪圖操作。</p> <p>Internet Archive的模擬器館藏，不少使用一個稱作MAME的多用途模擬框架，這個框架的用途，是要避免重要的老舊程式因過時而無法運作，MAME最初因為是用來模擬街機遊戲機臺，因此全名為Multiple Arcade Machine Emulator，但因為後來與姐妹專案Multi Emulator Super System合併，MAME現在成為各種計算機、電視遊樂器和街機遊戲機臺的重要模擬器。</p> <p>Internet Archive無論是Internet Arcade、Console Living Room和Handheld History館藏，都要用到MAME，而之所以Internet Archive現在也能提供計算機模擬器，讓使用者點擊計算機介面，官方提到，計算機模擬器使用MAME中有一個稱為Artwork的功能，解決模擬手持裝置和塑膠玩具的輸出顯示問題。</p> <p>許多裝置和玩具上都有一組LED燈或是LCD螢幕顯示數字，而這是電路板呈現輸出結果的地方，裝置的其他部分都是金屬或是塑膠材質覆蓋的靜態區塊，官方提到，在計算機上，如果可以讓使用者直接點擊計算機的按鍵，並且得到相對應的結果，比起直接使用鍵盤輸入的體驗要更好。而MAME Artwork系統能夠渲染需要額外繪製裝置螢幕或是燈光的部分，在原始的項目照片上，呈現額外的互動內容。</p> <p>Internet Archive運用MAME模擬技術建立的計算機模擬器，可以讓有興趣的使用者，體驗多種工程計算機，包括Hewlett Packard HP 48G系列計算機，以及當時售價高達80美元的可程式化圖形計算機HP 38G，也能用到德州儀器1990年所發布的全世界第一款圖形計算機TI81、可程式化形計算機TI-86，還有1996年所開發具有QWERTY鍵盤的TI-92。</p> </div></div></div>
2023/2/1 07:15作者李建興https://www.ithome.com.tw/news/155315
【資安日報】2023年1月31日，資料破壞軟體SwiftSlicer被用於破壞AD網域、密碼管理器KeePass漏洞恐…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭開打至今，俄羅斯駭客利用資料破壞軟體（Wiper）發動攻擊的情況不時傳出，而最近又有相關事故傳出。有別於過往的資料破壞軟體，新的惡意程式也摧毀Windows系統的重要檔案，甚至能夠破壞整個AD網域。</p> <p>開源密碼管理軟體KeePass的漏洞CVE-2023-24055也相當引人注意，一旦駭客成功利用，將能取得明文的帳密資料，且已有概念性驗證攻擊程式流傳。不過，開發團隊認為這並非漏洞，後續發展有待觀察。</p> <p>有研究人員發現臺灣共享汽機車服務iRent的客戶資料庫在網路上曝露長達9個月，但離譜的是，科技媒體TechCrunch詢問和泰汽車始終沒有得到回應，直到聯繫數位發展部，才得到TWCERT/CC已介入處理的說法。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-use-new-swiftslicer-wiper-to-destroy-windows-domains/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料破壞軟體SwiftSlicer被用於破壞AD網域</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/wiper"><span style="color: rgb(255, 140, 0);">#Wiper</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SwiftSlicer"><span style="color: rgb(255, 140, 0);">#SwiftSlicer</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Sandworm"><span style="color: rgb(255, 140, 0);">#Sandworm</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/FnezTA7XwAAQpUu.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FnezTA7XwAAQpUu.png" style="width: 300px; float: right;" /></a>資安業者ESET於1月25日的攻擊行動裡，發現俄羅斯駭客Sandworm利用名為SwiftSlicer的新資料破壞軟體（Wiper），鎖定烏克蘭組織下手。</p> <p>駭客利用AD群組原則來啟動此惡意軟體，其目的是刪除目標電腦的磁碟區陰影複製的備份資料，並覆寫Windows系統的重要檔案，特別是驅動程式與AD資料庫，進而關閉整個網域。該資料破壞軟體會使用隨機資料產生4,096位元的檔案來覆寫磁碟內容，並在完成破壞工作後重開機。</p> <p><a href="https://cert.gov.ua/article/3718487"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭新聞媒體Ukrinform遭到5種資料破壞軟體攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong><span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/wiper"><span style="color: rgb(255, 140, 0);">#Wiper</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Ukrinform"><span style="color: rgb(255, 140, 0);">#Ukrinform</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Sandworm"><span style="color: rgb(255, 140, 0);">#Sandworm</span></a></strong></p> <p>日前烏克蘭新聞媒體Ukrinform傳出遭到網路攻擊，現在烏克蘭電腦緊急應變小組（CERT-UA）揭露相關調查結果。研究人員總共在這個受害組織的網路環境裡，發現5種用來破壞資料的資料破壞軟體（Wiper），包含針對Windows電腦的CaddyWiper、ZeroWipe、SDelete，以及針對Linux電腦與FreeBSD電腦的AwfulShred、BidSwipe。</p> <p>研究人員指出，駭客先是在12月7日入侵，然後等待一個多月才發動攻擊──先是利用群組原則物件（GPO）啟動CaddyWiper，再搭配其他資料破壞軟體進行攻擊。研究人員指出，駭客僅摧毀數個資料儲存系統的檔案，而並未影響Ukrinform的運作。至於攻擊者的身分，CERT-UA認為是俄羅斯駭客Sandworm。</p> <p><a href="https://github.blog/2023-01-30-action-needed-for-github-desktop-and-atom-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub註銷遭竊的程式碼簽章</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/GitHub"><span style="color: rgb(255, 140, 0);">#GitHub</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>程式碼儲存庫業者GitHub於1月30日指出，自12月6日，有人濫用遭竊的個人存取令牌（Personal Access Token，PAT），利用疑似透過機器操作的帳號，複製GitHub的Atom、Desktop儲存庫，以及其他棄用的儲存庫，該公司於隔日察覺此事，隨即註銷相關簽章，並著手調查。</p> <p>GitHub表示，他們將於2月2日註銷3個簽章，而有可能導致部分桌面應用程式與Atom版軟體用戶受到影響。對此，他們呼籲用戶應於2月2日前，換用其他未受影響的版本。而針對此起事故，GitHub表示其他產品並未受到影響，相關的程式碼儲存庫也沒有出現竄改的情況。</p> <p><a href="https://www.bleepingcomputer.com/news/security/us-no-fly-list-shared-on-a-hacking-forum-government-investigating/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國禁飛名單流入駭客論壇，當局著手調查</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/no-fly-list-hacking-forum.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/no-fly-list-hacking-forum.jpg" style="width: 300px; float: right;" /></a>根據資安新聞Bleeping Computer的報導，有人在駭客論壇上傳一份名單，聲稱是美國運輸安全管理局（TSA）的禁飛名單，內有156萬筆記錄、包含逾25萬名人士的資料。這名人士表示資料來自配置不當的AWS伺服器，該伺服器為美國俄亥俄州航空公司CommuteAir所有。</p> <p>瑞士駭客Maia Arson Crimew於1月19日，向新聞媒體Daily Dot透露此資料庫，除了禁飛人士的資料，亦包含近千名CommuteAir員工個資。對此，CommuteAir證實確有此事，並指出該資料為2019年版的禁飛名單；TSA已著手調查此事，並於1月27日向當地機場及航空公司發布安全指令。知情人士透露，TSA的資訊系統並未受到這次資安事故波及。</p> <p><a href="https://www.ithome.com.tw/news/155283"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zendesk用戶個資外洩，起因是員工遭駭</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a> </strong></p> <p>雲端客服軟體業者Zendesk兩週前通知客戶，數名員工遭到釣魚簡訊攻擊而被竊取資料，後續導致客戶個資外洩。此事在加密貨幣交易平臺Coinigy獲報後，於1月19日公開此事而曝光。</p> <p>此起事故發生的原因，在於Zendesk員工2022年10月25日遭到網釣簡訊攻擊，「少數」員工的帳號存取憑證遭駭，導致其事件記錄平臺自2022年9月25日到10月26日的非結構化資料遭未授權存取。該公司強調，沒有證據顯示客戶的Zendesk執行個體遭到異常存取。</p> <p><a href="https://techcrunch.com/2023/01/30/hotai-motor-exposed-irent-customer-data"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">和泰旗下共享汽機車服務iRent傳出資料外洩事故，曝險達9個月</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iRent"><span style="color: rgb(255, 140, 0);">#iRent</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料庫配置不當"><span style="color: rgb(255, 140, 0);">#資料庫配置不當</span></a> <a href="https://www.ithome.com.tw/tags/數位發展部"><span style="color: rgb(255, 140, 0);">#數位發展部</span></a></strong></p> <p>根據科技媒體TechCrunch的報導，臺灣共享汽機車服務iRent的客戶資料庫，沒有受到加密保護，造成資料曝露在網路上長達9個月。他們引述資安研究人員Anurag Sen的發現，指出當中包含了至少10萬名iRent用戶的姓名、手機號碼、電子郵件、住址、照片，以及部分信用卡資訊，不確定這段期間是否有人存取該資料庫。</p> <p>為此TechCrunch曾詢問iRent所屬的和泰汽車，但未能獲得回應，直到1月28日聯繫到數位發展部，得知最新進展。</p> <p>數位發展部部長唐鳳在回信中表示，TWCERT/CC已針對暴露的資料庫著手因應，在獲報1小時內，該資料庫已無法從外部存取。經過一段時間之後，和泰向TechCrunch表示，已阻擋外部連線存取系統所在的IP位址，他們也將通知受影響的用戶。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/keepass-disputes-vulnerability-allowing-stealthy-password-theft/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理器KeePass出現漏洞，攻擊者能以明文匯出用戶帳密資料</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/keepass"><span style="color: rgb(255, 140, 0);">#KeePass</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2023-24055"><span style="color: rgb(255, 140, 0);">#CVE-2023-24055</span></a></strong></p> <p>開源密碼管理軟體KeePass近日被發現漏洞CVE-2023-24055，在攻擊者取得目標系統寫入權限的情況下，有機會竄改KeePass的XML組態配置檔案並注入惡意程式碼，進而匯出整個資料庫，而且能得到明文的使用者名稱與密碼。這個匯出的時機點，在於使用者執行KeePass並輸入主控密碼之後，上述的惡意程式碼就會觸發，並將資料庫的內容存放到指定檔案，攻擊者就能以此存取使用者的各種帳號。</p> <p>由於上述的資料庫匯出過程在背景執行，前述的攻擊過程使用者難以察覺。自該漏洞取得CVE編號後，網路上已出現概念性驗證（PoC）攻擊程式。對此，KeePass開發團隊認為這不是漏洞，因為，攻擊者一旦取得寫入權限，就有可能透過其他方式來取得KeePass資料庫的內容。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2023/01/27/isc-releases-security-advisories-multiple-versions-bind-9"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DNS系統BIND 9存在漏洞，恐導致阻斷服務攻擊</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/dns"><span style="color: rgb(255, 140, 0);">#DNS</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/bind"><span style="color: rgb(255, 140, 0);">#BIND</span></a></strong></p> <p>網際網路系統協會（ISC）近日發布DNS伺服器軟體Berkeley Internet Name Domain（BIND）更新版本9.16.37、9.18.11、9.19.9、9.16.37-S1，總共修補了4個漏洞CVE-2022-3094、CVE-2022-3488、CVE-2022-3736、CVE-2022-3924，這些漏洞CVSS風險層級皆為7.5分，都存在於named的服務，一旦遭到利用，DNS伺服器就有可能面臨服務阻斷的情況（DoS）。</p> <p>美國網路安全暨基礎設施安全局（CISA）提出警告，這些漏洞可讓攻擊者遠端利用，進而發動DoS攻擊，或是導致DNS伺服器故障。</p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-critical-bug-letting-hackers-inject-malicious-code/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通修補NAS作業系統SQL注入漏洞</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/nas"><span style="color: rgb(255, 140, 0);">#NAS</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/qnap"><span style="color: rgb(255, 140, 0);">#QNAP</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SQL-Injection"><span style="color: rgb(255, 140, 0);">#SQL Injection</span></a></strong></p> <p>臺灣NAS廠商威聯通（QNAP）<a href="https://www.qnap.com/en/security-advisory/qsa-23-01">於1月30日發布資安通告</a>，近日他們修補了重大漏洞CVE-2022-27596，此漏洞存在於執行QTS 5.0.1或QuTS hero h5.0.1的NAS設備，一旦遭到利用，攻擊者可遠端注入惡意程式碼，CVSS風險層級達到9.8分，該公司發布QTS 5.0.1.2234 build 20221201、QuTS hero h5.0.1.2248 build 20221215修補。雖然威聯通沒有公布更多細節，但<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-27596">美國國家漏洞資料庫（NVD）指出</a>，此為SQL注入漏洞。</p> <p><a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露能繞過臉書雙因素驗證的漏洞</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Facebook"><span style="color: rgb(255, 140, 0);">#Facebook</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Instagram"><span style="color: rgb(255, 140, 0);">#Instagram</span></a> <a href="https://www.ithome.com.tw/tags/MFA"><span style="color: rgb(255, 140, 0);">#MFA</span></a></strong></p> <p>研究人員Gtm Mänôz指出，Meta的雙因素驗證（2FA）系統存在漏洞，一旦攻擊者加以利用，就有可能關閉目標用戶臉書或Instagram（IG）帳號的雙因素驗證功能，而且再也無法啟用。</p> <p>研究人員表示，這項漏洞起因在使用者輸入驗證碼的過程中，Meta並未採取速限（rate-limit）防護機制，攻擊者可透過暴力破解的方式輸入正確的6位數驗證碼，一旦成功完成比對，使用者的電子郵件信箱或是電話號碼就會與攻擊者的臉書或IG帳號連結，從而導致受害者的臉書或IG雙因素驗證機制隨之關閉。研究人員9月通報後，Meta於10月修補上述漏洞，並頒發2.7萬美元獎金。</p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-buffer-overflow-vulnerabilities-of-cpe-fiber-onts-and-wifi-extenders"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Zyxel修補5G路由器、光纖網路終端設備的重大漏洞</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2022-43389"><span style="color: rgb(255, 140, 0);">#CVE-2022-43389</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/zyxel"><span style="color: rgb(255, 140, 0);">#Zyxel</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/5g"><span style="color: rgb(255, 140, 0);">#5G</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/fiber-ont"><span style="color: rgb(255, 140, 0);">#Fiber ONT</span></a></strong></p> <p>兆勤科技（Zyxel）於1月11日發布資安通告，他們修補旗下產品的5項漏洞，其中3個為記憶體緩衝區溢位漏洞，另外兩個分別為指令注入、身分驗證不當漏洞。這些漏洞最為嚴重的是CVE-2022-43389，影響5G、4G路由器，以及光纖網路終端設備（Fiber ONT）。</p> <p>該漏洞存在於這些設備的網頁伺服器程式庫，一旦攻擊者利用這項漏洞，就可以在未經授權的情況下進行惡意HTTP呼叫，進而執行作業系統指令，或是發動阻斷服務（DoS）攻擊，CVSS風險評分為9.8分。該公司已發布新版韌體予以修補，並呼籲用戶儘速升級。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.nist.gov/news-events/news/2023/01/nist-risk-management-framework-aims-improve-trustworthiness-artificial"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NIST正式發布AI風險管理框架</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/nist"><span style="color: rgb(255, 140, 0);">#NIST</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ai"><span style="color: rgb(255, 140, 0);">#AI</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ai-rmf"><span style="color: rgb(255, 140, 0);">#AI RMF</span></a></strong></h3> <p>美國國家標準暨技術研究院（NIST）近日發布人工智慧風險管理框架（Artificial Intelligence Risk Management Framework，AI RMF），目的是要提供設計、開發、部署和使用人工智慧系統的指南，降低應用人工智慧技術的風險。這套框架是NIST與公部門及企業合作，耗時18個月制訂而成，並由兩個部分組成──首先探討人工智慧的相關風險，以及信賴人工智慧系統（trustworthy AI systems）的特徵，其次則是治理、映射、測量管理，以及協助組織實踐框架。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155285"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟警告駭客仍在頻繁攻擊Exchange，用戶應儘速套用修補程式</span></span></strong></a></p> <p><a href="https://www.securityweek.com/apple-patches-webkit-code-execution-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS/iPadOS 16.3、macOS Ventura 13.2，修補WebKit可被用於執行任意程式碼的漏洞</span></span></strong></a></p> <p><a href="https://patchstack.com/articles/multiple-critical-vulnerabilities-fixed-in-learnpress-plugin-version/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress線上課程外掛程式LearnPress存在重大漏洞，7.5萬個網站曝險</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155272"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客TA444利用行銷策略進行網釣攻擊，5年竊得逾10億加密貨幣</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155287">【2023年1月30日】研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155227">【2023年1月19日】 Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155202">【2023年1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</a></strong></p> </div></div></div>
2023/1/31 18:09作者周峻佑https://www.ithome.com.tw/news/155314
BSI：強化組織韌性的兩大關鍵，打造數位信任以及永續的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著資安邊界持續改變，所有的組織都必須轉型成為一個具備「韌性」的組織，</p> <p>在經歷疫情的衝擊，BSI東北亞區總經理蒲樹盛指出，2021年的詐騙簡訊超過56億筆，平均每個人三天之內就會接到兩通簡訊；而2022年則發現，全國詐騙案件數量大幅攀升，若以排名前三名的全國詐騙案件來看，排名前三名的詐騙分別是假網拍詐5,626件，投資詐騙4,891件，以及各類解除分期詐騙的ATM與網銀騙匯4,281件，最特別的是投資詐騙，造成全臺民眾財損高達20億6,484萬元，財損金額更是歷史新高。</p> <p>詐騙橫行也意味著「信任」成為稀有財，蒲樹盛表示，數位信任是臺灣社會面對的最大挑戰，而數位信任若能結合ESG，就可以打造組織的韌性，「這不只是企業轉型面臨的壓力，也可以是巨大的商機。」他說。</p> <h2><strong>打造具備數位信任的環境</strong></h2> <p>若以世界經濟論壇（WEF）總結的全球風險報告來看，未來最可能發生的風險除了極端天氣、氣候行動失敗、人為導致的環境破壞、生物多樣性消失外，還包括數位力量集中、數位不平等、網路安全失效以及科技治理失敗；未來影響最大的風險則包括：傳染病位居首位、氣候行動失敗、其他環境風險、大規模殺傷性武器、生計危機、債務危機以及IT基礎架構崩潰。</p> <p>蒲樹盛認為，不管是DDoS（分散式阻斷式攻擊）或是APT攻擊等網路威脅，最終都會牽涉到IT基礎架構的穩定性，倘若面臨關鍵基礎設施服務中斷的風險，甚至可能是戰爭爆發的緣起，例如俄羅斯在冬天入侵烏克蘭的天然氣系統。這時候，大者恆大的數位強權往往具備相對的優勢。</p> <p>政府為了提高組織的韌性，也著手形塑臺灣企業環境的數位信任，蒲樹盛援引金管會推動的《金融資安行動方案》為例，其中包含四大工作項目以及十三個工作小項目，顯見政府已經積極藉由推動產業資安，進一步達到形塑企業的數位信任。</p> <p>首先，在完備資安制度的項目上，最重要的措施包括：形塑金融機構重視資安的組織文化；完備資安規範；強化資安監理職能；以及加强金融資安檢查。蒲樹盛認為，這可以參考ISO 27001等相關的國際標準，作為產業推動資安以及打造數位信任的基礎。</p> <p>其次，深化資安治理的工作項目上，主要是希望做到加强資安管理、強化資安監控，以及加强資安人才培育，這是提升企業領導力；第三，在精實資安韌性的工作項目上，做重要的是要增進營運持續管理量能、加强資安攻防演練、建構資料保全避風港，主要是可以參考美國安全港協議，並做到3份備份、存放在2種不同儲存媒體，至少1個存放在異地，才可以達到零失誤的備份原則。蒲樹盛說，這最主要的參考標準就是營運持訓管理的ISO 22301，這也是美國911事件後，許多企業參考的自願性規範。</p> <p>最後，就是希望可以發揮資安聯防F-ISAC的優勢，不僅做到資安情資分享與合作，也可以建立金融資安事件應變體系，以及建立金融資安事件監控體，他認為，這是整各產業和企業的團隊合作（Team work）成果。</p> <p>蒲樹盛笑說，許多企業都會導入ISO 27001資安認證，甚至可以說，臺灣有許多企業的資安作為就是以ISO 27001為核心，這樣的制度廣度夠，但深度不夠，加上各行業的屬性與強度不一樣，透過所展開的十個面向就是一個兼具廣度和深度的資安生態系，其中也包含各種不同可供參考的國際認證，可以大範圍的滿足各個產業的資安需求。</p> <p>例如，治理、風險與法遵（Governance、Risk and Compliance）就可以參考ISO 27003、27004、27005、27014、27016以及ISO 31000；在網路安全與資訊安全（Cybersecurity and Information security）面向，也可以參考ISO 27003、27032、27103以及BS 31111等標準。</p> <p>其他可以構成資安生態圈的八個面向，也包括：資料保護（Data Protection）、第三方風險管理（Third Party Risk Management）、雲端（Cloud）、網路安全（Network Security）、應用程式安全（Application Security）、弱點管理（Vulnerability Management）、事件管理（Incident Management）和營運持續（Business Continuity），也同樣有相關的國際標準可以參考。</p> <h2><strong>達成淨零碳排目標，打造永續的環境</strong></h2> <p>除了數位信任外，現在隨著氣候變遷以及各種新興的法遵與規範，都要求企業必須在2030年做到淨零排碳的目標，就是希望讓地球環境可以永續發展。</p> <p>蒲樹盛表示，臺灣在永續發展上目前較不足之處大概有四個方向，包括：人均碳排10.96公噸太高；2030年減碳目標達成率差；再生能源使用比例低；再生能源達成目標低，其中，已經有企業利用資訊系統記錄各種用電、排碳的數位化過程，都有利企業進一步掌握距離淨零排碳的目標有多遠。</p> <p>蒲樹盛表示，對所有的企業而言，都必須要有一個永續發展的藍圖，以淨零碳排以及永續發展為目標，透過PDCA的循環，持續穩定的達成永續的目標。</p> <p>而永續的驅動力分成兩方面，一方面是外部壓力，這也同時是風險和機會，另外就是來自企業內部的關鍵策略，只有企業重視永續並且作為企業的核心，企業才能真正做到以永續為目標。</p> <p>至於這個永續發展藍圖是不同功能標準的整合，外部壓力包括：社會責任投資（SRI）、全球經濟市場趨勢的轉變、無法預期的氣候變遷和疫情、來自全球及國家的法令法規要求、非政府組織（NGOs）影響力，以及聯合國永續發展的推行。蒲樹盛便說，像是聯合國17項發展目標就是希望可以達到安居樂業，其他像是2030年控制全球升溫攝氏1.5度的目標等外部壓力，都是不會變的。</p> <p>至於來自企業內部的關鍵策略，則包括：強化董事會職能、企業核心價值、達成永續願景、持續創新永續作為、提高資訊透明度、強化利害關係人溝通、接軌國際規範，以及深化永續治理文化。他指出，像是公司強化董事會職能，就會需要撰寫符合GRI準則、可以揭露組織非財務資訊方面的永續報告書。</p> <p>蒲樹盛坦言，組織韌性在未來十年、二十年如何持續？就必須做到兩件事情，一件是永續，另外一件是數位信任，兩件事情都可以顧好的話，組織就有足夠的數位韌性和未來。</p> </div></div></div>
2023/1/31 19:16作者黃彥棻https://www.ithome.com.tw/news/155316
電支跨機構共用平臺「購物」功能第二季上線，業者共享通路掃碼免換App還能共享交易資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在年前新春記者會中宣布，電子支付跨機構共用平臺的「購物」功能，將於今年第二季上線，到時候，民眾不用再切換電子支付App，用任何一家電支App，也能掃描其他電支業者的QR-Code來付款，等於讓各電支業者的特約店家全部互通，都能支援其他業者的App，經手電支業者雙方也能取得交易紀錄來擴大顧客消費大數據。</p> <p>在2021年中，新版電子支付機構管理條例上路之後，財金公司<a href="https://www.ithome.com.tw/news/146789">負責建置了一套電子支付跨機構共用平臺</a>（後簡稱電支共用平臺），來提供電支機構前端交易資訊流和後端清算的金流整合，在2021年陸續上線了跨機構轉帳、繳稅功能，也可以跨行金融帳戶資訊核驗交易等服務，今年初開始上線繳費功能，例如愛金卡公司率先在1月初開始提供超過7,600項的繳費服務，民眾也可以直接掃描帳單QR Code進行線上繳費。</p> <h3><strong><span style="color:#FF0000;">「購物」功能第二季上線</span></strong></h3> <p>不只如此，金管會在去年12月21日，核准了財金公司在電支共用平臺上經營「購物」功能，預計今年第二季就會正式上線。到時候，只要電支業者支援購物功能後，民眾用任何一家電支業者的App，到其他電支業者的特約商店，就能直接掃瞄共通QR Code來付款，不用再切換到該店家的專屬電商。<br /> 未來，民眾就可能用街口支付App到一卡通41萬個據點付款，用街口App在全聯超市繳費，或是到全家超商用全支付來付款。換句話說，凡是支援購物功能的電子支付業者，等於可以共享彼此的通路據點。</p> <p>過去，店家必須一一與不同電支業者簽約，在櫃檯擺放不同業者的QR Code，而民眾也要切換到專屬支付App才能掃碼。未來，店家只需要與一家電支業者簽約，透過電支共用平臺，可以一次與所有支援購物功能的電支業者互通。同樣道理，電支業者也不需要一一與各商店簽約，串接系統，同樣可以與其他電支平臺共享通路。目前一卡通據點約41萬個，街口支付約30萬個，全支付與全盈支付則各有10萬個據點，若這些業者都支援購物功能，就能將這些據點整合成一個超大型通路。財金公司強調，這是電子支付跨機構互通的最後一哩，也可以與既有金融幾機構跨體系整合。</p> <h3><span style="color:#FF0000;"><strong>小型電支能快速擴大通路，大型電支則取得更多顧客交易數據</strong></span></h3> <p>購物功能上路，不只提高消費者支付的便利性，對電支業者而言，也可以取得更多交易資訊。消費者用A電支App到B電支特約商店付款時，A電支和B電支都會取得這筆交易資訊來作業，等於不只是通路共享，也可以互通消費者的當次交易資訊。這大小電支業者來說，都是雙贏，小型電支業者可以藉此跨大可付款的通路店家數，而對大型電支而言，則可以取得更多支付交易資訊，來完善顧客的消費大數據。</p> <h3><strong><span style="color:#FF0000;">通路規模差異變小，會員經營差異化成新關鍵</span></strong></h3> <p>但是，電支業者共享通路之後，未來勢必更考驗，電支業者的數據分析能力和後續運用數據變現的能力，未來，通路規模和可用場域的差異越來越小，特店數不會成為吸引消費者的賣點，電支業者勢必得強化自家的精準行銷策略，祭出更多會員經營對策，這也會讓電子支付市場進入全新的競爭態勢，電支業者必須更轉為更細緻操作的差異化競爭策略。</p> <p>因為購物功能中，電支業者共享彼此的通路，不只金流還需要資訊流的整合，財金公司在共用平臺上也設計了一套對應的金流資訊流運作機制。</p> <p>例如街口用戶以街口支付App掃描一卡通特店的共通QR Code之後，街口App會先驗證這筆交易是否為本人，確認後在用戶街口電支帳戶扣款。接著，交易訊息例如金額、特店代好、交易帳號等資訊，依照格式打包送到共用平臺，通過平臺驗證QR Code的合法性和有效性後，將交易資訊拋轉給一卡通，由一卡通確認此店家為合作特店後，即時紀錄該店有一筆來自街口的付款，最後將交易結果回報到共用平臺，平臺再通知街口，由街口通知用戶付款成功。</p> <p>然後，在每日結帳時間，財金會通知各業者每日結算金額，若電支業者當日用戶付款金額大於當天的收款金額，財金就會到電支機構的清算帳戶扣款，並將款項撥給收款金額大於用戶付款金額的電支業者，完成當天的清算。</p> <p>甚至，財金公司也設計了針對大型促銷活動的系統爆量因應機制，例如雙11活動，財金公司會依照電支用戶數、特店數和交易訊息數量來預備所需的運算資源，也可由電支業者通知財金公司，提前擴充系統資訊來備戰。</p> <h3><span style="color:#FF0000;"><strong>財金公司下一步是跨境電支，讓國內電支App可以到海外消費</strong></span></h3> <p>在電支共用平臺完成購物功能之後，下一步，財金公司正在發展電支跨境業務，一方面可以讓國內記名式儲值卡，可以到國外搭乘交通工具或到特約商店消費，另一方面也要讓國外記名式儲值卡，可以到臺灣核准機構的特約商店消費。</p> <p>財金公司會扮演「境內帳務清算機構」的角色，協助電支機構與境外機構進行帳務清算、系統介接，以及資訊傳輸，財金公司曾表示，未來國內電支業者App，也能到海外消費，最大好處是免除海外交易手續費，不用像信用卡出國使用得額外付一筆跨境交易手續費。</p> <p>根據金管會統計，目前電子支付跨機構共用平臺，111年轉帳次數高達728萬筆，累計金額達到363.15億元。</p> </div></div></div>
2023/1/31 14:13作者王宏仁https://www.ithome.com.tw/news/155303
OpenAI全球招募千名約聘人員協助訓練AI系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創業者OpenAI在獲得微軟最新數億美金投資及合作後，在全球召募近千約聘人員，以協助AI系統的程式碼品質提升及模型訓練。</p> <p><a href="https://www.semafor.com/article/01/27/2023/openai-has-hired-an-army-of-contractors-to-make-basic-coding-obsolete" target="_blank">Semafor引述消息人士報導</a>，這家業者近6個月在拉丁美洲、東歐等地找來上千名遠端作業的約聘人員。委外員工的任務60%是為訓練AI模型的資料集，包括大量圖片、影片、錄音檔加標註，40%是程式設計師，任務是教導其產品的AI模型撰寫程式碼，或是除錯。這些約聘人員工作的產品有哪些不得而知，但至少包括將自然語言轉化成程式碼的Codex。</p> <p>OpenAI執行長Sam Altman近日說明公司已有375名正職員工，並說委外對該公司技術的打造很重要。</p> <p>報導引述一名南美的開發人員指出，他在一場5小時的面試中，被要求解決一項程式撰寫的題目，而且要以英文寫下解題的過程，如果發現一隻bug，OpenAI也要求他不只要解決bug，還要說明應如何修正。</p> <p>OpenAI的Codex被合作的GitHub用以提供Copilot，其服務正是協助開發，可為開發人員撰寫程式時提供建議。在能成為稱職的結對開發人員前，Codex需要人類將之導向正途，以免於<a href="https://www.ithome.com.tw/news/104851" target="_blank">2016年微軟的AI聊天機器人Tay</a>才上線一天，就被教成了反女性主義及納粹份子，上線一天就被拉下線。</p> <p>本月稍早<a href="https://time.com/6247678/openai-chatgpt-kenya-workers/" target="_blank">《時代雜誌》</a>報導，OpenAI以時薪2美元僱請了一間肯亞公司員工為ChatGPT的訓練資料過濾種族歧視、暴力及色情內容，目的防止ChatGPT日後會產出不安全的建議。但這些內容過於血腥、變態、殘忍，員工身心受創卻得不到適當的心理健康諮詢。</p> </div></div></div>
2023/1/31 15:02作者林妍溱https://www.ithome.com.tw/news/155308
TikTok執行長將親自至美國國會解釋隱私安全疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臉書、Google等美國各大科技公司執行長，接連到美國國會作證，現在輪到TikTok執行長周受資，在<a href="https://energycommerce.house.gov/posts/tik-tok-ceo-to-testify-at-energy-and-commerce-committee">3月23日將出席美國眾議院能源和商業委員會聽證會</a>，向眾議院議員解釋TikTok的隱私和資料安全作為。</p> <p>中國字節跳動（ByteDance）旗下知名短影音社交軟體TikTok，該軟體的資料隱私安全一直受到關注，雖然TikTok強調該公司業務由TikTok執行長周受資負責，且周受資為新加坡籍，但市場消息指出，TikTok公司實際上仍受母公司字節跳動掌控，不少國家仍擔憂TikTok受中國政府控制，會成為中共搜集和監控各國使用者的工具。在2020年的時候，印度率先封鎖TikTok。</p> <p>TikTok在全球大受歡迎，美國政府擔心民眾個資落入中國政府手中，2020年當時的<a href="https://www.ithome.com.tw/news/138651">美國國務卿Mike Pompeo，就曾表示美國政府考慮封鎖TikTok</a>，而TikTok為消除使用者隱私安全的疑慮，在2022年中旬宣布將<a href="https://www.ithome.com.tw/news/151518">美國流量存放至甲骨文雲端</a>，但美國參議院於12月時仍通過<a href="https://www.ithome.com.tw/news/154929">《No Tiktok on Government Devices Act》法案</a>，禁止在公務裝置安裝Tiktok。</p> <p>美國對於TikTok的疑慮並非空穴來風，<a href="https://www.ithome.com.tw/news/154651">美國聯邦調查局、馬里蘭州政府當時質疑Tiktok與其母公司字節跳動</a>，必須配合中國政府要求，有侵害美國民眾個資的疑慮後，<a href="https://www.ithome.com.tw/news/154879">爆出字節跳動內部員工，存取美國媒體記者個資</a>，包括IP和聯絡記錄，間接證實即便TikTok資料存放在甲骨文雲端，但是中國字節跳動員工仍能夠存取TikTok用戶資料的猜測。</p> <p>TikTok執行長周受資3月出席眾議院能源和商業委員會聽證會，將需要解決外界對該公司的諸多疑慮，委員會在其新聞稿直接提到，TikTok故意允許中共存取美國用戶資料。因此周受資除了向議員說明TikTok的消費者隱私和資料安全實踐，還有該平臺對兒童的影響，聽證會重點也會落在TikTok與中共之間的關係，同時周受資也會需要證明，他對TikTok業務具有實質影響力，才能取信於議員。</p> <p>TikTok發言人則在聲明中表示，他們很高興有機會對澄清TikTok、字節跳動的疑慮，並於眾議院能源和商業委員會對美國國安做出承諾。</p> </div></div></div>
2023/1/31 15:08作者李建興https://www.ithome.com.tw/news/155307
研究人員發現能繞過Facebook 2FA驗證的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank">研究人員發現</a>Meta雙因素驗證（2FA）平臺的漏洞，讓攻擊者關閉目標用戶的臉書或Instagram（IG）帳號已啟用的2FA，而且也無法再使用。</p> <p>這項漏洞是由研究人員Gtm Mänôz發現，位於Meta帳號管理中心（Accounts Center），後者作用在連結用戶Facebook、IG及Meta帳號，以便用於個人檔案資料同步等作業：管理中心介面中的個人資料頁下，用戶輸入以電子郵件或簡訊收到的6位數字，通過2FA驗證，就可將電子郵件信箱/電話號碼加到相連結的IG及FB帳號。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/max/720/1*xAUPLeIpfS3ogx3fZDqYNA.webp" style="width: 450px;" /></p> <p><a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Gtm Mänôz</span></span></a></p> <p>在輸入6位數字驗證碼欲進行2FA時，Meta帳號管理中心會傳送HTTP請求到Meta伺服器的端點完成驗證。基本上，研究人員先以隨機6位數字進行驗證，再利用Burp Suite等工具攔截驗證端點的請求網址（下圖），目的在試圖改造。</p> <p class="rtecenter"><img alt="" src="https://miro.medium.com/max/4800/1*i_9DsahD7fMbIsH63SJaJQ.webp" style="width: 600px;" /></p> <p><a href="https://medium.com/pentesternepal/two-factor-authentication-bypass-on-facebook-3f4ac3ea139c" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Gtm Mänôz</span></span></a></p> <p>研究人員指出，由於Meta驗證端點沒有速限（rate-limit）防護，因此6位數字碼可以無限次修改以暴力破解。若成功完成6位數比對，電郵信箱／電話號碼就會和攻擊者IG（或臉書）帳號連結。</p> <p>一旦電話號碼完全確認與攻擊者IG或FB帳號連結，則受害者自己的IG或FB帳號2FA機制就會被關閉，或從受害者帳號刪除。如果電話號碼只確認是2FA之用（但未與受害者帳號連結），則該電話號碼也會被從其帳號刪除，2FA也會被撤銷。這麼一來，受害者就再也無法使用FB簡訊2FA，且攻擊者能繞過IG/FB的聯絡資料（電子郵件和電話號碼）驗證，不論是新的，或是已註冊過的聯絡資料（且FB也無法再增加已知的信箱）。</p> <p>研究人員去年9月14日通報Meta，Meta在10月中修補這項漏洞，他也因此獲頒2.7萬美元的抓漏獎金。</p> </div></div></div>
2023/1/31 12:56作者林妍溱https://www.ithome.com.tw/news/155299
Lexmark印表機韌體出現高風險程式碼執行漏洞，影響上百款機種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/lexmark-warns-of-rce-bug-affecting-100-printer-models-poc-released/" target="_blank">印表機業者Lexmark本周發布最新版韌體</a>，解決影響上百款機種，可能讓駭客遠端執行程式碼的高風險漏洞。</p> <p>這項編號CVE-2023-23560漏洞發生在印表機韌體的Web服務功能，屬於伺服器端請求偽造（server-side request forgery，SSRF）漏洞，成功的攻擊可能讓駭客從遠端執行任意程式碼。本項漏洞CVSS 3.1風險值高達9.0。</p> <p>針對這項漏洞的攻擊發生在印表機上，行為可能包括存取列印任務、取得印表機網路的存取憑證，再藉機攻擊同一網段的其他連網裝置。</p> <p><a href="https://publications.lexmark.com/publications/security-alerts/CVE-2023-23560.pdf" target="_blank">Lexmark也列出了受影響的機型</a>，包括：CX、XC、MX、MB、C、MS等上百款。廠商表示目前尚未發現有產品漏洞遭到濫用的情形，但是概念驗證攻擊程式碼已經有人公布於網路上。</p> <p>Lexmark已釋出相應的最新版韌體，呼籲用戶儘速安裝。無法立即更新者則可先關閉印表機（TCP port 65002）的Web Services服務，以暫時緩解攻擊風險。路徑為「設定」>「網路／連接埠」＞「TCP/IP」>「TCP/IP連接埠存取」，取消勾選TCP 65002。</p> </div></div></div>
2023/1/31 13:56作者林妍溱https://www.ithome.com.tw/news/155300
運動服飾品牌JD Sports被駭，千萬客戶個資外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.londonstockexchange.com/news-article/JD./cyber-security-incident-regarding-historic-orders/15815662" target="_blank">英國知名運動服飾品牌JD Sports近日通報資料庫系統被駭</a>，旗下眾多品牌近2年約千萬名顧客個資被竊取外流。</p> <p>根據JD Sports向倫敦證交所提交的文件，該公司被不法存取的系統內有涵括2018年11月到2020年10月線上下單的顧客資料。受到影響的集團子品牌包括JD、Size?、Millets、Blacks、Scotts及MilletSport等。</p> <p>外洩的資料包括顧客姓名、帳號地址、遞送地址、電子郵件信箱、電話、訂單編號、訂單細節、及信用卡號最後4碼。總影響人數近千萬。</p> <p>但JD Sports表示，外洩的資料種類很有限，因為該公司不儲存完整的信用卡資料，也相信駭客並未存取帳號密碼。</p> <p>JD Sports已立即採取因應行動，並偕同外部安全業者展開調查，同時也通報相關單位，包括英國資訊委員會辦公室（Information Commissioner’s Office，ICO）。</p> <p>這家業者已開始通知受影響的顧客，提醒他們小心詐騙或釣魚攻擊。JD Sports分店主要在歐洲，也有部分在美國及加拿大。</p> </div></div></div>
2023/1/31 14:13作者林妍溱https://www.ithome.com.tw/news/155302
科學家以數億氨基酸序列訓練AI模型，成功設計出全新人工溶菌酶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Profluent、Salesforce研究院和UCSF的科學家，以類似生成文字人工智慧的方法，使用模型ProGen設計百萬種蛋白質，並且<a href="https://www.nature.com/articles/s41587-022-01618-2">成功找出具有殺菌效果的蛋白質</a>。這個研究實際應用人工智慧設計蛋白質，並經測試和證明其具有特定效果，也就是説，同樣的方法將能夠被用於加速新藥製造。</p> <p>這項研究使用一個由Salesforce研究院所開發的ProGen模型，該模型能夠預測人造蛋白質的氨基酸序列。ProGen的運作方式和生成文字的人工智慧相似，研究人員將來自19,000個家族的2.8億種蛋白質的氨基酸序列輸入到模型中，並添加蛋白質特性控制標籤，經過數周的訓練，ProGen便學會生成新蛋白質的方法。</p> <p>研究人員使用5個溶菌酶家族的56,000個氨基酸序列，以及有關這些蛋白質的上下文資訊微調ProGen後，該模型迅速產生一百萬個氨基酸序列，研究人員根據與天然蛋白質序列相似程度，和潛在氨基酸語法和語義的自然程度，篩選出100個序列並在細胞中實驗進行實驗，其中有66個和蛋白、唾液裡的溶菌酶一樣，能夠殺死細菌。</p> <p>研究人員篩選這66個氨基酸序列，製作出5種活性最強的人工酶，將這些酶添加到大腸桿菌樣本中，並且和溶菌酶HEWL相比較，發現其中兩種人工酶，能夠以和HEWL相當的活性分解細菌細胞壁，而這兩個人工酶序列僅有18％的相似程度，和已知蛋白質序列的相似度各別為90％和70％。</p> <p>天然蛋白質的功能很大程度受組成影響，只要有一個突變就會使蛋白質失去作用，而在另外一輪的篩選中，研究人員找出一個只與天然蛋白質序列有31.4％相似的蛋白質，但是該蛋白質仍然具有活性。</p> <p>要產生特定功能的蛋白質，不只是需要生成對的氨基酸序列，蛋白質更需要折疊成特定的三維結構，才能具有功能性，研究人員以X光來量測蛋白質形狀，發現人造蛋白質即便在氨基序列上，與現有蛋白質差異高達30％，但仍可以呈現與天然蛋白質相符的形狀。研究人員提到，他們現在仍不清楚人工智慧究竟如何在變更氨基酸序列的同時，仍產生正確的形狀。</p> <p>這些人工智慧所生成的蛋白質要被用於藥物，還需要在實驗室中進行長時間的測試，但是研究人員提到，這種蛋白質設計方法比蛋白質設計技術定向演化（Directed Evolution）更強大，能夠加速所有用途的新蛋白質開發。</p> </div></div></div>
2023/1/31 06:24作者李建興https://www.ithome.com.tw/news/155291
思科調查顯示企業持續看重隱私安全投資，但是仍不足以消除消費者疑慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）發布最新<a href="https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-privacy-benchmark-study-2023.pdf?CCID=cc000160&DTID=odicdc000016&OID=rptsc030828">企業資料隱私安全調查</a>，本次調查共有全球26個國家的4,600名資安專家匿名參與，調查結果顯示，全球企業都相當重視隱私投資，且認為資料隱私已經是一個向上至董事會，下至全公司員工都要清楚的議題，而消費者對企業在人工智慧上的資料使用，傾向持不信任態度。</p> <p>即便2022年全球不景氣，但企業普遍維持或是增加對隱私安全的投資，相較於3年前的120萬美元，2022年平均花費增至270萬美元，而驅動企業投資隱私安全的動力在於獲得的回報。有70％受訪者表示，從隱私安全投資獲得顯著或非常顯著的好處，包括與客戶建立信任、減少銷售延遲，或是降低資料洩漏造成的損失，平均來說，組織獲得收益約為支出的1.8倍，94％的受訪者更表示隱私所帶來的收益超過整體成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201581%20-%20%20-%20www_cisco_com.png" style="width: 580px;" /></p> <p>隱私安全也已經成為企業重要業務，98％的受訪者都需要跟董事會報告與隱私相關的指標，有95％的受訪者認為企業中所有員工，都需要知道保護資料隱私的方法，隱私成為企業文化的一部分，94％的受訪者認為當客戶知道資料未被妥善保護，就不願意購買產品，而且有81％的受訪者認為，組織處理資料的方式，相當於該企業尊重客戶隱私的程度。臺灣企業對隱私保護法的態度相當正面，臺灣受訪者有86％認為隱私保護法具正面影響，僅有3％認為其存在負面影響。</p> <p>不過這些投資，似乎並沒有良好的反應在人工智慧的資料使用上，思科<a href="https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-consumer-privacy-survey-infographic-2022.pdf">2022消費者隱私調查</a>就顯示，受訪者對人工智慧應用的態度更為保守，有60％對當前人工智慧的商業使用存在疑慮，甚至有65％受訪者覺得組織使用人工智慧的方式，破壞他們的信任，僅有43％受訪者認為人工智慧可以改進生活，也只有54％的受訪者，願意共享匿名資料改進人工智慧產品。</p> <p>因此企業究竟該如何在人工智慧資料使用上，贏回用戶的信心，資料隱私安全調查發現企業和消費者視角存在差異，特別是將個人資料用於人工智慧和自動決策方面。企業認為要取得消費者的信任，最重要的是要遵守相關的隱私法律，第二重要的才是清楚解釋資料被使用的方式；但是消費者顯然更注重透明化，有39％消費者認為企業應該清楚公開資料的使用方式，第二注重的則是避免出售他們的資訊，第三才是企業有無遵守隱私相關法令。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201582%20-%20%20-%20www_cisco_com.png" style="width: 580px;" /></p> <p>受訪者一致認為企業在隱私方面的努力還不夠，92％受訪者同意組織都還需要做更多，以消除消費者認為自己的資料被不當使用的疑慮。消費者認為最有效的方法，是向用戶解釋人工智慧應用程式的運作方式，但是目前多數企業現行方法，是優先確保人工智慧程序中有人的參與。</p> <p>在資料保護的信心上，平均90％的受訪者認為全球供應商，有能力比本地的供應商更好地保護資料，而臺灣甚至有高達97％受訪者同意這項說法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201585%20-%20%20-%20www_cisco_com.png" style="width: 580px;" /></p> </div></div></div>
2023/1/31 05:15作者李建興https://www.ithome.com.tw/news/155289
【資安日報】2023年1月30日，研究人員揭露以Python打造的RAT木馬程式、密碼管理服務Bitwarden用戶遭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員近日揭露名為Py#Ration的RAT木馬程式，此惡意軟體由Python打造。雖然此木馬程式針對Windows電腦而來，但研究人員指出，由於Python跨平臺的特性，只要稍加修改，駭客也能用於攻擊其他電腦。</p> <p>物聯網（IoT）裝置採用的晶片出現漏洞，也可能成為駭客鎖定的目標。有研究人員發現，自去年8月針對Realtek Jungle SDK的RCE漏洞CVE-2021-35394攻擊行動大幅增加，超過50款連網設備可能成為目標。</p> <p>繼<a href="https://www.ithome.com.tw/news/155189">今年1月駭客攻擊NortonLifeLock防毒軟體的密碼管理器元件</a>，意圖盜取使用者儲存的密碼，這類密碼管理服務遭到攻擊的現象也越來越常見。最近有駭客針對密碼管理服務Bitwarden用戶下手，濫用Google廣告來挾持帳號。其他密碼管理服務的使用者也要提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.securonix.com/blog/security-advisory-python-based-pyration-attack-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以Python打造的RAT木馬程式鎖定Windows電腦而來</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/rat"><span style="color: rgb(255, 140, 0);">#RAT</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/python"><span style="color: rgb(255, 140, 0);">#Python</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/WebSocket"><span style="color:#FF8C00;">#WebSocket</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/PYRATION-1a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PYRATION-1a.png" style="width: 300px; float: right;" /></a>資安業者Securonix揭露RAT木馬程式Py#Ration，此惡意軟體以Python程式語言打造而成，最早可能在2022年8月出現，駭客透過釣魚郵件來散布該木馬程式，將其打包於受到密碼保護的ZIP壓縮檔附件，此壓縮檔內有兩個LNK捷徑檔案，駭客將其偽裝成英國駕照正反面的圖檔，一旦收信人開啟圖片，這些LNK檔案就會從C2伺服器下載BAT批次檔，接著該木馬程式再於系統暫存資料夾建立Cortana資料夾，並且假冒Windows內建的語音助理，持續於受害電腦運作。</p> <p>此木馬程式由pyinstaller與py2exe等應用程式打包成可執行檔，裡面包含了運作時需要的程式庫而導致體積相當龐大（超過32 MB），而能躲過大部分防毒軟體的偵測，惡意軟體檢測引擎VirusTotal僅有其中一款防毒引擎將其標示為有害。研究人員指出，Py#Ration採用Python內建的Socket.IO框架，並透過WebSocket與C2連線，這樣的做法可說是相當罕見。</p> <p><a href="https://unit42.paloaltonetworks.com/realtek-sdk-vulnerability/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Realtek的SDK重大漏洞被用於攻擊行動，D-Link、LG、Zyxel等廠牌設備恐曝險</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2021-35394"><span style="color: rgb(255, 140, 0);">#CVE-2021-35394</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/iot"><span style="color: rgb(255, 140, 0);">#IoT</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Realtek"><span style="color: rgb(255, 140, 0);">#Realtek</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Realtek-F4-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Realtek-F4-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Palo Alto Networks指出，他們在2022年8月至10月，看到駭客大肆利用<a href="https://www.ithome.com.tw/news/146236">Realtek Jungle SDK的RCE漏洞CVE-2021-35394</a>（CVSS風險層級為9.8分）發動攻擊，截至12月已有1.34億攻擊行動，且近半數攻擊來自美國，根據研究人員的調查，至少有31款D-Link設備、8款LG設備、6款Zyxel設備、4款華碩設備可能遭到駭客鎖定。</p> <p>研究人員至少看到3種攻擊型態，分別是透過指令碼執行Shell命令，進而從惡意IP下載惡意軟體，以及使用注入命令的方式，將惡意酬載寫入檔案並執行，或是下達重新啟動伺服器的指令。</p> <p>駭客利用此漏洞來散布Mirai、Gafgyt、Mozi等殭屍網路病毒，但其中名為RedGoBot的DDoS殭屍網路病毒引起研究人員的注意，此殭屍網路在9月及11月發動2波攻擊，並透過HTTP、ICMP、TCP、UDP、VSE、OpenVPN等多種通訊協定，來發動DDoS攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/bitwarden-password-vaults-targeted-in-google-ads-phishing-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理服務Bitwarden用戶遭鎖定，駭客濫用Google廣告進行網釣攻擊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Bitwarden"><span style="color: rgb(255, 140, 0);">#Bitwarden</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E5%AF%86%E7%A2%BC%E7%AE%A1%E7%90%86%E6%9C%8D%E5%8B%99"><span style="color: rgb(255, 140, 0);">#密碼管理服務</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/google-ads"><span style="color: rgb(255, 140, 0);">#Google Ads</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/bitwarden-phishing-site.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bitwarden-phishing-site.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Bleeping Computer報導，數名密碼管理服務Bitwarden的用戶約於1月24日，在Google搜尋bitwarden password manager的過程中，看到疑為網釣攻擊的廣告，一旦使用者依照指示輸入相關帳密，存放於Bitwarden的帳密資料就有可能會遭到挾持。</p> <p>但這種鎖定密碼管理服務而來的攻擊行動並非只針對Bitwarden，資安研究團隊MalwareHunterTeam約於26日，發現針對1Password用戶而來的惡意廣告。</p> <p><a href="https://www.goto.com/blog/our-response-to-a-recent-security-incident"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理解決方案業者LastPass母公司公布調查結果，證實旗下多個解決方案的用戶資料遭竊</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/lastpass"><span style="color: rgb(255, 140, 0);">#LastPass</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E5%AF%86%E7%A2%BC%E7%AE%A1%E7%90%86%E6%9C%8D%E5%8B%99"><span style="color: rgb(255, 140, 0);">#密碼管理服務</span></a> <a href="https://www.ithome.com.tw/tags/%E4%BE%9B%E6%87%89%E9%8F%88%E6%94%BB%E6%93%8A"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>2022年11月<a href="https://www.ithome.com.tw/news/154862">密碼管理解決方案業者LastPass傳出資安事故</a>，母公司GoTo亦證實此事，並指出<a href="https://www.ithome.com.tw/news/152730">攻擊者於8月竊走了用戶的密碼庫</a>，在11月二度發動攻擊，現在公布了最新的調查結果。</p> <p>GoTo表示，IT管理工具LogMeIn Central、遠端存取和管理軟體LogMeIn Pro、線上會議工具join.me、網路虛擬化和VPN服務Hamachi，以及遠端存取軟體RemotelyAnywhere等產品的用戶，都有可能受到本次事故的影響──駭客從上述服務採用的第三方雲端服務，竊得加密的備份資料，其中包含加密備份過程中所使用的金鑰，因此，這些服務的用戶資料就有可能遭到攻擊者存取。此外，Rescue與GoToMyPC產品線少部分用戶的多因素驗證（MFA）組態受到影響，但加密資料庫並未外洩。</p> <p><a href="https://www.mandiant.com/resources/blog/chinese-actors-exploit-fortios-flaw"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客利用Fortinet於12月修補的SSL VPN漏洞部署後門程式</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/cve-2022-42475"><span style="color: rgb(255, 140, 0);">#CVE-2022-42475</span></a> <span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/fortinet"><span style="color: rgb(255, 140, 0);">#Fortinet</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ssl-vpn"><span style="color: rgb(255, 140, 0);">#SSL VPN</span></a></strong></p> <p>Fortinet於<a href="https://www.ithome.com.tw/news/154694">去年12月修補SSL VPN重大漏洞CVE-2022-42475</a>，並<a href="https://www.ithome.com.tw/news/155174">在1月中旬指出有人將其用於攻擊政府單位</a>，現在有資安業者也公布相關的漏洞攻擊行動細節。資安業者Mandiant指出，中國駭客疑似自2022年10月開始利用該漏洞發動攻擊，然後在目標系統上部署後門程式Boldmove。</p> <p>此後門程式為C語言打造而成，並具備Windows與Linux版本，後者的主要功能為收集FortiGate防火牆的系統資訊與特定檔案；但針對Windows版本的後門程式，駭客打造的動機，以及入侵受害電腦的管道為何？研究人員表示仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/155265"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩遊戲英雄聯盟開發商證實資料外洩，遊戲原始碼遭竊</span></strong></a><strong style="font-size: 16px;"><span style="color:#FF8C00;"> </span><a href="https://www.ithome.com.tw/tags/%E9%9B%BB%E7%8E%A9%E7%94%A2%E6%A5%AD"><span style="color:#FF8C00;">#電玩產業</span></a><span style="color:#FF8C00;"> </span><a href="https://www.ithome.com.tw/tags/%E5%8E%9F%E5%A7%8B%E7%A2%BC%E5%A4%96%E6%B4%A9"><span style="color:#FF8C00;">#原始碼外洩</span></a> <span style="color:#FF8C00;"> </span><a href="https://www.ithome.com.tw/tags/Riot"><span style="color:#FF8C00;">#Riot Games</span></a></strong></p> <p>1月23日，電玩遊戲開發商Riot Games表示開發環境遭到入侵，隔日指出旗下的兩款遊戲英雄聯盟（League of Legends，LOL）、聯盟戰棋（Teamfight Tactics），以及防作弊系統的原始碼遭竊。駭客向該公司勒索千萬美元，並要脅若不支付贖金將公開相關原始碼。</p> <p>科技新聞網站Motherboard取得攻擊者寄給Riot Games的勒索信，駭客聲稱手上的資料一旦公開，將對該公司推出的英雄聯盟、特戰英豪（Valorant），以及反作弊系統Packman的運作帶來衝擊，並要求Riot Games在12小時內回應。</p> <p>對此，該公司強調不會支付贖金，並強調用戶的資料不受影響。根據遊戲新聞網站NME的報導，駭客開始兜售手上的原始碼。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.horizon3.ai/vmware-vrealize-cve-2022-31706-iocs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware事件記錄分析系統漏洞可被串連，取得root權限遠端執行任意程式碼</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/vmware"><span style="color: rgb(255, 140, 0);">#VMware</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/RCE"><span style="color: rgb(255, 140, 0);">#RCE</span></a></strong></p> <p>VMware於1月24日修補事件記錄分析系統VMware Aria Operations for Logs（原名vRealize Log Insight）的4個漏洞CVE-2022-31706、CVE-2022-31704、CVE-2022-31710、CVE-2022-31711，其中有2個是重大風險等級的漏洞，攻擊者可在未經身分驗證的情況下遠端執行任意程式碼，現在有研究人員找到能串連漏洞的攻擊手法。</p> <p>資安業者Horizon3.ai於26日指出，他們製作了漏洞利用工具，能將前述的其中3個漏洞予以串連，進而成功以root的權限遠端執行任意程式碼，呼籲IT人員應儘速套用修補程式，研究人員隔日公布漏洞細節及入侵指標（IOC），並指出該漏洞極為容易利用，雖然這類系統大多不會曝露在網際網路上，但有可能成為駭客入侵受害組織網路後的攻擊目標。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lexmark-warns-of-rce-bug-affecting-100-printer-models-poc-released/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Lexmark揭露伺服器端請求偽造漏洞，波及逾百種型號的印表機</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CVE-2023-23560"><span style="color: rgb(255, 140, 0);">#CVE-2023-23560</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Lexmark"><span style="color: rgb(255, 140, 0);">#Lexmark</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/印表機"><span style="color: rgb(255, 140, 0);">#印表機</span></a> <a href="https://www.ithome.com.tw/tags/SSRF"><span style="color: rgb(255, 140, 0);">#SSRF</span></a></strong></p> <p>印表機製造商Lexmark近日發布韌體更新，目的是修補影響超過100種型號的重大漏洞CVE-2023-23560，此漏洞存在於網頁服務功能，為伺服器端請求偽造（SSRF）漏洞，攻擊者一旦利用，將能在印表機上執行任意程式碼，CVSS風險評分為9.0分。</p> <p>該公司表示，目前尚未發現該漏洞被用於攻擊行動的跡象，但已有研究人員發布概念性驗證程式（PoC），他們呼籲IT人員應儘速套用新版韌體；若是無法安裝，IT人員應停用TCP/IP協定的65002埠來因應。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <h3><a href="https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美、德、荷聯手，摧毀勒索軟體Hive基礎設施</span></strong></a><strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/hive"><span style="color: rgb(255, 140, 0);">#Hive</span></a></strong></h3> <p>美國司法部（DOJ）於1月26日發布公告，表示美國聯邦調查局（FBI）與德國、荷蘭政府聯手，全面控制勒索軟體Hive的伺服器及網站，藉此破壞該勒索軟體的攻擊與勒索受害者的能力。這是繼FBI於2022年7月成功入侵Hive內部網路，並取得解密金鑰後，對於此勒索軟體進行的跨國執法行動。DOJ表示，截至目前為止，FBI已阻止1.3億美元贖金流入駭客的口袋。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/766753f1-f9c7-4dc5-9a5c-fe0f3ff51c06.shtml"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子支付平臺PayPal證實遭到帳號填充攻擊，波及3.5萬用戶</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/exploiting-critical-spoofing-vulnerability-microsoft-cryptoapi"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員針對CryptoAPI程式庫的欺騙漏洞公布細節，並提供概念性驗證攻擊程式</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/plugx-variants-in-usbs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客透過USB儲存裝置挾帶惡意軟體PlugX</span></span></strong></a></p> <p><a href="https://www.bankinfosecurity.com/ransomware-attack-affects-1000-vessels-worldwide-a-20939"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">船隻管理系統ShipManager遭勒索軟體攻擊，恐波及上千艘船運作</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/a/earth-bogle-campaigns-target-middle-east-with-geopolitical-lures.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中東與北非遭到駭客組織Earth Bogle鎖定，散布木馬程式NjRAT</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155227">【2023年1月19日】 Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155202">【2023年1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155198">【2023年1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</a></strong></p> </div></div></div>
2023/1/30 16:10作者周峻佑https://www.ithome.com.tw/news/155287
甲骨文推新Java SE Universal訂閱方案，可能使企業Java使用成本上升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oracle.com/us/corporate/pricing/price-lists/java-se-subscription-pricelist-5028356.pdf">甲骨文（Oracle）發布新的Java SE Universal訂閱方案</a>，訂閱數基準以公司總人數計算，每個授權每月訂閱價格從15美元起跳，隨著企業員工人數增加訂閱價格下降，最低至5.25美元。針對Java SE新訂閱方案，不少顧問公司表示企業Java使用成本將會上升不少。</p> <p>Java SE Universal訂閱方案的文件寫道，企業所需要訂閱的授權數量，取決於員工數量，而不僅是使用程式的實際員工數量。而Java SE Universal訂閱方案所定義員工數非常廣泛，包含企業中全職員工、兼職員工與臨時工，還有包括支援內部業務營運的外包商、承包商和顧問。</p> <p><a href="https://miroconsulting.com/blog/oracle-changes-java-pricing-model-to-charge-for-all-company-employees/">Miro顧問公司表示</a>，由於可能使部分企業成本增加，他們不建議採用新的Java SE授權訂閱方法。而<a href="https://houseofbrick.com/blog/oracle-java-pricing/">House of brick顧問公司提到</a>，新訂閱方案可能讓企業使用Java的成本，比舊方案將高出許多。House of brick針對不同Java使用程度的中型企業進行成本試算，以員工數250人，Java桌面用戶數20人，以及Java安裝處理器數量8個來計算，舊方案企業每年僅需要支付3,000美元，但是新方案每年需要支付45,000美元，使用成本增加1,400％。</p> <p>對於原本就大量使用Java的企業，員工數同樣為250人，Java桌面用戶數250人，Java安裝處理器數量48個，則該企業在舊方案每年需支付21,900美元，在新方案為45,000美元，成本增加105％。House of brick提到，新訂閱方案對規模更大的企業造成更大的影響，數字將會更驚人。</p> <p>如同甲骨文舉例，一間擁有2.3萬全職員工、兼職員工與臨時工，還有5,000外包商、承包商和顧問的企業，則每年Java SE Universal訂閱數為2.8萬人，乘以該訂閱數每人每月訂閱價格6.75美元，乘上一年12個月等於2,268,000美元。</p> <p>Java SE Universal訂閱方案從2023年1月23日起，取代舊版Java SE訂閱和舊版Java SE桌面版訂閱，甲骨文在<a href="https://www.oracle.com/java/technologies/java-se-subscription-faq.html">Java SE Universal訂閱方案問答集</a>中提到，原本採用舊版Java SE訂閱產品的用戶，可以繼續獲得原有權益，並根據現有條件和標準續訂。</p> <p>另外，甲骨文說明和舊版訂閱產品相比，新訂閱方案的優勢在於，能夠用於桌面、伺服器和第三方雲端平臺，能夠大幅簡化授權追蹤和管理，而且Java SE Universal訂閱用戶可獲得全Java產品組合的分類支援，包括第三方函式庫和Runtime，這代表甲骨文將會協助用戶解決一般Java SE相關問題，以及和第三方函式庫與Runtime供應商合作解決用戶問題。</p> </div></div></div>
2023/1/30 16:07作者李建興https://www.ithome.com.tw/news/155284
微軟、OpenAI主張AI服務侵權告訴無事實根據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.documentcloud.org/documents/23589439-openai-motion-to-dismiss?responsive=1&title=1" target="_blank">微軟、旗下GitHub和其投資的OpenAI上周向法院聲請</a>對其Copilot侵害版權的控告沒有事實根據，也違反開源碼精神，要求駁回該訴訟。</p> <p>GitHub Copilot為微軟持有的GitHub與OpenAI共同開發的服務，底層技術為OpenAI所打造的OpenAI Codex人工智慧系統，以公開的大量程式碼及自然語言來訓練OpenAI Codex，以讓該系統夠同時理解程式及人類的語言，並根據工程師所撰寫的程式碼，提出程式的整行或整個函式的撰寫建議。</p> <p>GitHub Copilot在2022年6月正式推出，收費為月租費10美元。美國律師事務所Joseph Saveri去年11月代表眾多開發者對微軟、GitHub及OpenAI<a href="https://www.ithome.com.tw/news/154076" target="_blank">提出集體訴訟</a>。該訴訟控告它們2021年6月發表的GitHub Copilot服務違反了《數位千禧年著作權法》（Digital Millennium Copyright Act，DMCA）、《不公平競爭法》（Unfair Competition Act），以及GitHub隱私聲明與服務條款，並向三家公司求償90億美元。</p> <p>根據<a href="https://www.documentcloud.org/documents/23589440-microsoft-and-github-motion-to-dismiss?responsive=1&title=1" target="_blank">微軟與GitHub向加州法院提出的聲請</a>指出，這件訴訟的原告根本欠缺兩個重要元素，一是Copilot造成的傷害，二是其他有事實基礎的論點。</p> <p>他們指出，原告提出Copilot對開發人員的版權侵害，都是理論性假設Copilot建議的程式碼可能和他們發布的相符，但卻沒有舉出實際例證或指名道姓的受害者（只有二個匿名開發人員），例如Copilot如何侵害其程式碼、GitHub做了什麼不恰當的事。相反地，Copilot不但沒有從已公開的開源程式碼汲取任何程式，反而是從公開程式碼學習到的知識產出建議，幫助開發人員撰寫程式碼。</p> <p>三家被告公司指出，Copilot是將開源碼精神發揚光大，而原告舉出禁制令及數十億美元賠償，反而是顛覆開源碼精神及試圖阻撓合作和進步。</p> <p>看好AI的潛力，微軟大舉投資AI新創業者OpenAI。<a href="https://www.ithome.com.tw/news/155192" target="_blank">本月中才宣布</a>將OpenAI的GPT-3、Codex及DALLE-2整合進Azure OpenAI服務陣容，未來也可望提供AI聊天機器人服務ChatGPT，上周又緊接著<a href="https://www.ithome.com.tw/news/155259" target="_blank">宣布投資數十億美元擴大雙方的合作</a>，包括在消費者個人及企業服務大量使用OpenAI的模型。</p> <p>這是生成性AI（generative AI）引發的最新倫理爭議案件。兩周前<a href="https://www.ithome.com.tw/news/155229" target="_blank">圖庫業者Getty Images才控告AI繪圖工具商Stability AI</a>運用人類創作者的圖片訓練其Stable Diffusion服務的AI模型侵害其版權。</p> </div></div></div>
2023/1/30 16:58作者林妍溱https://www.ithome.com.tw/news/155288
微軟警告駭客還在覬覦Exchange Server
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/protect-your-exchange-servers/ba-p/3726001" target="_blank">微軟警告企業和IT管理員</a>，駭客仍然在尋找並入侵尚未修補漏洞的Exchange伺服器，呼籲用戶儘速更新Exchange伺服器軟體。</p> <p>微軟指出，濫用未修補Exchange伺服器的攻擊者從未遠離。未修補的本地部署Exchange環境有太多方面是攻擊者下手的好目標。一來，郵件信箱有許多重要及敏感資料。二來，每個Exchange伺服器都有公司聯絡人資料，蘊藏大量社交工程攻擊的資訊。第三，Exchange和Active Directory和混合環境整合密切，擁有許多核准權限，也可存取雲端環境。</p> <p>為防範Exchange伺服器的已知漏洞遭到濫用，微軟呼籲企業及Exchange伺服器管理員安裝最新己支援的累積更新，及最新的安全更新。目前<a href="https://www.microsoft.com/download/details.aspx?id=58392" target="_blank">Exchange Server 2013</a>、<a href="https://www.microsoft.com/download/details.aspx?familyID=ad395419-4d2f-4eb0-97fb-a5b88ab814e1" target="_blank">2016最新累積為CU23</a>，<a href="https://www.microsoft.com/download/details.aspx?familyID=a149e06c-62f4-4b62-adf8-7d382223a239" target="_blank">2019最新累積更新為CU12</a>。最新安全更新則為<a href="https://techcommunity.microsoft.com/t5/exchange-team-blog/released-january-2023-exchange-server-security-updates/ba-p/3711808" target="_blank">2023年1月（Patch Tuesday）</a>。由於累積更新和安全更新都是累積性的，用戶只需安裝最新版本即可。</p> <p>不過安裝完更新後，管理員還是有很多地方需要手動執行，微軟建議管理員最好執行<a href="https://microsoft.github.io/CSS-Exchange/Diagnostics/HealthChecker/" target="_blank">Health Checker</a>，這功能可提供連向步驟化指引的文章。此外，微軟提醒管理員，有時微軟透過自動化的Exchange緊急緩解服務（Exchange Emergency Mitigation Service）或手動的Exchange本地部署緩解工具釋出的緊急修補程式，這些只能提供部份防護，因此用戶還是必須安裝安全更新以求完備防護。</p> <p>安全研究人員不斷發現微軟Exchange Server的漏洞，從2021年初的ProxyLogon（<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855" target="_blank">CVE-2021-26855</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857" target="_blank">CVE-2021-26857</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858" target="_blank">CVE-2021-26858</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065" target="_blank">CVE-2021-27065</a>）、同年7月的<a href="https://www.ithome.com.tw/news/147653" target="_blank">ProxyShell</a>（<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34473">CVE-2021-34473</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34523" target="_blank">CVE-2021-34523</a>、<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31207" target="_blank">CVE-2021-31207</a>），到去年9月的ProxyNotShell漏洞（<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41082" target="_blank">CVE-2022-41082</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-41040" target="_blank">CVE-2022-41040</a>），都成為各路國家駭客及犯罪組織、勒索軟體濫用的目標。<a href="https://www.ithome.com.tw/news/154989" target="_blank">今年初安全研究人員發現</a>，全球仍有6萬多臺Exchange Server伺服器尚未修補。</p> </div></div></div>
2023/1/30 15:50作者林妍溱https://www.ithome.com.tw/news/155285
Zendesk員工被駭致用戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名雲端客服軟體業者Zendesk兩周前通知客戶，數名員工遭到釣魚簡訊攻擊被竊取資料，導致客戶個資外洩。</p> <p>Zendesk提供整合郵件、留言板、即時通訊的雲端客服平臺。該公司似乎未公告安全外洩事件，而是私下以郵件通知客戶。加密貨幣交易暨電子錢包平臺商Coinigy於兩周前（1/13）接獲Zendesk的通知後，<a href="https://insights.coinigy.com/zendesk-security-disclosure/" target="_blank">決定在本月19日向其客戶公開此事</a>。</p> <p>根據Coinigy張貼的Zendesk客戶通知信件，Zendesk 2022年10月25日遭到鎖定該公司員工的進階簡訊釣魚攻擊，「少數」員工的帳號存取憑證遭駭入一段時間，使其紀錄平臺2022年9月25日到10月26日的非結構資料被非授權存取。Zendesk說該公司一發現此事即立刻解決，並聯絡外部鑑識廠商檢視後果。根據截至今年1月12日的調查，Zendesk判斷外洩的資料包含屬於客戶的服務資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0130-zendesk-600-1.jpg" style="width: 567px;" /></p> <p><a href="http://insights.coinigy.com/zendesk-security-disclosure/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Coinigy</span></span></a></p> <p>但Zendesk表示，通知信件是示警作用，目前沒有證據顯示其客戶的Zendesk執行個體遭到存取。Zendesk也沒有說明可能受影響的資料型態。</p> <p>Zendesk表示已經採取的行動包括：封鎖發現的釣魚信件網域、關閉受影響的帳號、並聯絡其他單位關閉該惡意網域、聯絡FBI及調查所有受影響資料。此外Zendesk也建議用戶留意其網域的可疑或非授權活動。</p> <p>這是這家雲端CRM業者近年第二次通知客戶資料外洩。2016年Zendesk也曾遭駭，致其Zendesk線上支援及聊天服務近萬家企業客戶個資，包括電子郵件、姓名、電話等遭存取，<a href="https://www.ithome.com.tw/news/133402" target="_blank">但Zendesk直到2019年才發現並通知客戶</a>。</p> </div></div></div>
2023/1/30 15:12作者林妍溱https://www.ithome.com.tw/news/155283
美國FBI已瓦解Hive勒索軟體犯罪網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年開始肆虐的<a href="https://www.justice.gov/opa/pr/us-department-justice-disrupts-hive-ransomware-variant">Hive勒索軟體攻擊終於受到全面控制</a>，由美國、德國和荷蘭政府聯手，扣押用於勒索攻擊的伺服器和網站，破壞Hive勒索軟體發動攻擊和勒索受害者的能力。美國司法部表示，調查團隊使用當代的網路監控技術，得以翻轉Hive勒索軟體肆虐的局勢。</p> <p>FBI在2022年7月滲透Hive攻擊網路，得以竊取解密金鑰供全球受害者解密資料，他們提供超過300個解密金鑰，避免高達1.3億美元的贖金支付，並向Hive受害者發送超過1,000組解密金鑰。在美國司法部、德國執法部門及荷蘭國家警察高科技犯罪單位共同合作下，全面控制Hive攻擊者使用的伺服器和網站，瓦解Hive勒索攻擊網路。</p> <p>回顧過去，自2021年Hive勒索軟體出現以來，已有1,500名受害者，駭客組織收取超過1億美元的贖金，對全球組織日常營運造成重大衝擊，Hive之所以惡名昭彰，是因為攻擊者還會對學校和醫療院所發動攻擊，甚至影響醫院在COVID-19大流行期間的運作。</p> <p>Hive勒索軟體的特色之一是使用勒索軟體即服務（RaaS）模式，這個犯罪集團包含開發管理人員和附屬成員，由開發或管理人員設計勒索軟體家族，同時也建立易用操作的介面，之後招募附屬成員對受害者部署勒索軟體，當附屬成員使用Hive勒索軟體攻擊目標，每次成功收到贖金之後，就會獲得一定比例的獎勵。</p> <p>在恐嚇的作法上，Hive惡意攻擊者採用雙重勒索模式，加密被害者系統之前，附屬成員會洩漏並竊取敏感資料，之後以加密方式綁架受害者系統，攻擊者再向對方販售解密金鑰，並承諾不公開他們手上竊取的資料，過程中，他們通常會鎖定受害者系統中最敏感的資料，以增加贖金支付壓力。等到受害者支付贖金，附屬成員與開發者、管理員會以8:2的比例分贓，對於那些不願支付贖金的被害者，攻擊者會將竊得的資料在Hive網站上公開。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/aKzCR1Xj05c" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p> </p> </div></div></div>
2023/1/27 17:07作者李建興https://www.ithome.com.tw/news/155276
NIST發布AI風險管理框架，助組織降低技術應用潛在風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準暨技術研究院（NIST）發布<a href="https://www.nist.gov/news-events/news/2023/01/nist-risk-management-framework-aims-improve-trustworthiness-artificial">第一版人工智慧風險管理框架（Artificial Intelligence Risk Management Framework，AI RMF）</a>，該框架由美國國會指示NIST制定，目的是要提供設計、開發、部署和使用人工智慧系統的指南，降低應用人工智慧技術的風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20RMF%201_0%20Cover.jpg" style="width: 300px;" /></p> <p>NIST提到，和傳統軟體相比，人工智慧存在更多的潛在風險。這是因為人工智慧系統使用的訓練資料，因時間推移而改變，有時會出現意料之外的變化，所以，NIST認為，在本質上，人工智慧系統是一種社會技術（Socio-technical），像是線上聊天機器人或是篩選貸款申請所用的模型，都受到社會動態和人類行為的影響。</p> <p>這套AI RMF框架由NIST與公部門和企業合作制定，能夠適應不斷發展的人工智慧技術，以及受到組織以不同程度和能力的使用，使得整個社會不僅能從人工智慧技術獲益，也能免受潛在風險危害。透過該框架的檢視，組織能以不同角度思考人工智慧的風險，包括促進本身制度文化的變革，更全面地思考、評估和監控人工智慧風險，以及積極和消極層面的影響。透過框架當中提供的靈活且結構化評估，組織只要遵循該人工智慧風險管理流程，就能發揮人工智慧優勢，降低對個人、團體、社群，甚至是社會的負面影響。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AI Risk NIST.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20Risk%20NIST.png" style="width: 600px;" /></a></p> <p>整體而言，AI RMF分為兩部分，首先探討人工智慧的相關風險，以及信賴人工智慧系統（trustworthy AI systems）的特徵，其次則是描述4大具體功能，分別為治理、映射、測量管理，協助組織實踐框架。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AI RMF Core.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%20RMF%20Core.png" style="width: 500px;" /></a></p> <p>關於AI RMF內容的定稿，NIST總共耗費18個月之久，他們從240個組織收到400份針對AI RMF草案的正式評論，並利用這些回饋意見補足與改良AI RMF。在此同時，NIST也發布AI RMF Playbook，從中指導組織使用該框架的方法。後續將與人工智慧社群合作並定期更新框架，並成立可靠、負責任人工智慧的資源中心（Trustworthy and Responsible AI Resource Center），協助組織實踐AI RMF 1.0。</p> </div></div></div>
2023/1/27 15:57作者李建興https://www.ithome.com.tw/news/155275
圖庫業者Shutterstock推出自家AI圖像生成工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年圖庫廠商Shutterstock<a href="https://www.shutterstock.com/press/20435">宣布與OpenAI合作</a>，開發人工智慧圖像生成工具，<a href="http://www.shutterstock.com/blog/generative-ai">現在這套產品已經完成，Shutterstock公告正式提供所有用戶利用文字提示建立圖像</a>。用戶現在可以從Shutterstock工具包Creative Flow，開始使用該工具產生圖像。</p> <p>生成式人工智慧是機器學習的分支，經過預訓練的模型，能夠根據使用者的輸入，產生圖像、影片、文字和音訊等內容，而在Shutterstock最新的人工智慧圖像生成工具當中，能夠接受並根據使用者的文字描述，生成4個圖像輸出。</p> <p>在Shutterstock和OpenAI去年宣布的合作消息當中，曾提及將採用DALL-E 2文字生轉圖像模型，這家圖庫廠在服務正式上線之後表示，人工智慧圖像生成工具的特色在於，用戶不用編寫複雜的提示就能獲得良好的結果，最重要的是，Shutterstock使用風格多元、對來源負責的數百萬個視覺圖像作品，並以人工智慧生成圖像的授權收入，補償相關的已知貢獻者，實現他們先前提出的對AI負責的承諾。</p> <p>用戶只要在圖像生成工具中輸入一個單字，就能夠獲得圖像結果，或是用戶也可以仔細向人工智慧描述需求，包括選擇數位、照片或是3D風格，並且指定生成圖像的類型，用戶可以對生成結果選擇喜歡或是不喜歡，以進一步獲得理想的結果。當用戶編輯和最佳化文字後，可以立即看到圖像變化，選購和收藏想要的結果。</p> <p>有了人工智慧圖像生成工具，該公司表示，Shutterstock的創作工具組合更加完整，用戶過去可以搜尋圖庫、創建並發布設計，現在還能使用圖像生成工具產生創意圖像。即便沒有設計基礎的使用者，也可以根據需求創建視覺效果。Shutterstock的訂閱用戶，可以基於當前的服務內容取用整套工具。</p> <p>目前Shutterstock的人工智慧圖像生成工具，可輸出正方形、中等解析度的圖像，業者也承諾接下來該工具加入更多功能，包括智慧編輯功能，能夠輸出多種長寬比，以及更高解析度的圖像，甚至之後還會提供動態圖像生成功能。</p> </div></div></div>
2023/1/26 17:03作者李建興https://www.ithome.com.tw/news/155273
合勤修補多項產品韌體漏洞，包括1項風險值9.8分的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>合勤（Zyxel）<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-buffer-overflow-vulnerabilities-of-cpe-fiber-onts-and-wifi-extenders">本周公布安全公告</a>，通知客戶影響其不同產品線的5項漏洞，呼籲用戶儘速更新韌體。</p> <p>這5項漏洞是由Positive Technologies發現並通報，涵括3項緩衝溢位、指令注入，以及驗證不當漏洞各1項。而在3項緩衝溢位漏洞中，CVE-2022-43389影響NR7101韌體中的Web伺服器函式庫，可讓未經授權的攻擊者以惡意HTTP呼叫執行OS指令或造成阻斷服務（Denial of Service，DoS）攻擊。CVE-2022-43391和CVE-2022-43392則是影響NR7101同一韌體的CGI程式參數，經過驗證的攻擊者可傳送惡意HTTP呼叫，造成DoS攻擊。</p> <p>3項漏洞以CVE-2022-43389風險最高，達9.8分。CVE-2022-43391及CVE-2022-43392則各為6.5分。</p> <p>一項指令注入漏洞是CVE-2022-43390，也是出現在NR7101韌體CGI程式上，獲驗證的攻擊者可傳送惡意HTTP呼叫而在OS上執行指令。驗證不當漏洞則是2022-43393，出在Zyxel GS1920-24v2韌體HTTP呼叫處理函式對特殊或例外條件檢測不當，造成未經授權攻擊者傳送惡意HTTP呼叫，引發記憶體毁損及DoS攻擊。</p> <p>CVE-2022-43390及CVE-2022-43393也都是重大漏洞，風險值各為8.8分及8.2分。</p> <p>合勤<a href="https://www.zyxel.com/global/en/support/security-advisories">指出</a>，CVE-2022-43389及CVE-2022-43392影響其CPE、光纖ONT和WiFi延伸器，而CVE-2022-43393影響的是兆勤科技交換器。合勤已釋出更新版韌體，呼籲用戶儘速更新。</p> </div></div></div>
2023/1/25 19:02作者林妍溱https://www.ithome.com.tw/news/155269
Messenger開始向用戶推送預設端到端加密功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2023/01/expanding-features-for-end-to-end-encryption-on-messenger/">Meta更新Messenger加入一系列端到端加密功能</a>，<a href="https://www.facebook.com/zuck/posts/pfbid02w7TZNUhn5pxSRCJ8bVgJ2Csoo9L83k77GnVrVawpzRhnEaUmj3ThpiNRqZzkSamNl">創辦人Mark Zuckerberg親自宣布Messenger擴大預設端到端加密的測試</a>，同時也在端到端加密對話中，加入包括連結預覽、自定義表情符號和主題等一般聊天室功能。</p> <p>早在2016年，當時Facebook（Meta）就已經開始發展Messenger端到端加密功能，以提供用戶額外的聊天安全和隱私性。但一直到現在，Messenger才宣布逐漸向用戶推送預設端到端加密功能，在接下來數個月中，官方將會在私人聊天室中，向用戶提示預設端到端加密的啟用。</p> <p>Messenger採用隨機的方式升級用戶的會話成端到端加密，官方提到，因為是隨機啟用，所以不會對基礎設施造成負面影響，同時也能在擴大預設端到端加密採用的同時，確保用戶體驗不受影響。</p> <p>除了陸續對更多使用者預設啟用端到端加密之外，端到端加密對話也加入更多一般聊天室的功能，包括自定義聊天表情符號、聊天室主題、群組頭像設定、預覽連結以及活躍狀態等。而在Android上，現在即便是端到端加密對話，用戶在收到新訊息時，也同樣會以氣泡形式出現，方便閱讀和回覆訊息。</p> </div></div></div>
2023/1/24 18:34作者李建興https://www.ithome.com.tw/news/155261
蘋果最新OS更新，Apple ID開始可以用實體金鑰進行雙因素驗證了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple釋出最新裝置的作業系統更新，包括iOS 16.3、iPadOS 16.3與macOS Ventura 13.2，讓iPhone、iPad和Mac用戶能夠添加安全金鑰保護Apple ID。啟用該功能的用戶，登入Apple ID除了需要輸入的密碼之外，還需要實體金鑰作為驗證的第二因素，才能在新裝置或是網路上登入。</p> <p>Apple ID安全金鑰雙因素驗證是一項進階安全功能，對需要避免針對性攻擊的人士提供額外保護。之前Apple所提供的雙因素驗證，需要使用者輸入Apple ID之後，再次輸入已認證裝置上顯示的6位驗證碼，作為第二驗證因素，而現在使用者可以使用實體金鑰代替6位數驗證碼，官方提到，安全金鑰可以強化雙因素身分驗證過程，消除用戶的第二驗證因素被攻擊者攔截或是請求的風險。</p> <p>Apple的<a href="https://support.apple.com/en-us/HT213154">網路文件寫道</a>，用戶至上要有2個FIDO認證的安全金鑰，在相容軟體的Apple裝置上，添加並維護至少2個安全金鑰，而最多可以添加6個，Apple裝置需要升級到iOS 16.3、iPadOS 16.3、macOS Ventura 13.3或更高版本。原則上當前的瀏覽器多數都已經支援FIDO安全金鑰，因此也可以用於登入受安全金鑰保護的Apple ID，當用戶無法登入，則可以嘗試更新或是安裝其他瀏覽器。</p> <p>官方推薦的安全金鑰，包括適用於大多數Mac和iPhone機型的YubiKey 5C NFC和YubiKey 5Ci，以及適用於舊款Mac和大多數iPhone機型的FEITAN ePass K9 NFC USB-A。不過只要選擇經過FIDO認證，並且具有連接器能夠和Apple裝置搭配使用的金鑰，也都能夠使用。</p> <p>Apple ID實體安全金鑰無法用來登入Windows版iCloud，不支援無法更新到支援安全金鑰軟體版本的舊裝置，不支援兒童帳戶和管理式ID，也不支援和家庭成員iPhone配對的Apple Watch。</p> <p>值得注意的是，一旦Apple ID設置使用實體安全金鑰，之後要登入Apple Watch、Apple TV或HomePod，就需要使用裝有支援安全金鑰軟體版本的iPhone或iPad。而且在設置的過程，用戶擁有的所有未活躍裝置都會被登出，要重新登入這些裝置，就需要將這些裝置更新至相容安全金鑰的版本，當用戶的裝置已經無法更新至支援的新版本，那該裝置便無法重新登入。</p> <p>目前Apple已經釋出iOS 16.3、iPadOS 16.3與macOS Ventura 13.2，因此想使用實體安全金鑰保護Apple ID的使用者，已經可以使用iPhone、iPad和Mac添加安全金鑰，雖然Apple在網路文件提到，要在Mac上使用安全金鑰需要macOS Ventura 13.3，但是最新的macOS Ventura 13.2已經出現供用戶添加安全金鑰的選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201569%20-%20About%20Security%20Keys%20for%20Apple%20ID%20-%20Apple%20Support%20-%20support_apple_com.png" style="width: 580px; height: 265px;" /></p> </div></div></div>
2023/1/24 15:03作者李建興https://www.ithome.com.tw/news/155257
解決新功能開發與健全性問題修復困境，Rust決定成立型別系統團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>考量到程式語言Rust未來的發展，要在滿足高安全性的前提下，繼續發展更多的程式語言功能，Rust基金會規畫了2023年到2027年4階段發展計畫，而這一系列的工作，從<a href="https://blog.rust-lang.org/2023/01/20/types-announcement.html">成立型別（Type）系統團隊</a>開始，該團隊為語言和編譯器團隊的子團隊，負責定義和維護Rust的類型檢查器、特徵求解器（Trait Solver）和借用檢查器（Borrow Checker）。</p> <p>Rust官方希望透過建立起型別團隊，加速修復類型系統相關的健全性問題，官方提到，這些問題通常都是編譯器和語言功能的邊緣案例，由專門的測試人員或是白帽駭客發現，雖然一般開發者並不會遭遇到這些問題，但是官方仍想要盡快消除這些邊緣案例。另外，因為編譯器維護者太少，加上語言設計的貢獻者缺乏對語言通盤了解，導致新語言功能發展困難，而透過專注於型別系統的團隊，將有助於緩解這種處境。</p> <p>型別團隊具體工作，開發並維護包括型別檢查器，用以鬆散定義變數分配其型別語義和實作的方式，還有替型別定義特徵的特徵求解器，甚至是用以證明Rust所有權模型始終成立的借用檢查器這些在編譯器rustc中所使用的型別工具。同時型別團隊還要編寫Rust的正式定義、類型檢查器和語意，並且提供不安全程式碼指南。</p> <p>型別團隊的範疇很大，包含2018年就已經存在的Rust特徵工作組，特徵工作組目的是要創建高效能Rust特徵系統，像是特徵解決函式庫Chalk，而由於功能的延伸，因此特徵工作組的工作也擴及類型檢查器和借用檢查器。另一個相關的則是Polonius工作組，主要設計和實作Polonius借用檢查函式庫，目前也被編入Rust型別團隊。</p> <p>官方提到，目前Rust團隊正致力編寫Rust規範，而擁有型別系統的正規化（Formalization）定義將有助於此目標，無論之後是否會整合到更通用的規範中，正規化能夠更好地評估潛在新功能和健全性漏洞。</p> <p>在Rust 1.0發布不久之後，Rust開發團隊便開始朝此目標前進的工作，Chalk特徵求解器便是初期成果，Chalk的核心思想是將Rust特徵系統的語法和概念，轉換成一組邏輯規則，並且可以使用類似Prolog的求解器來求解。當這組邏輯和解決方案，與編譯器本身的特徵求解器達到相同水準，則能夠簡單地替換現有求解器，同時該求解器也可以被用於其他工具。</p> <p>不過由於Chalk僅是型別系統的一部分，而且編譯器與正規化對求解器的需求不同，因此現在Chalk不再是型別團隊的發展重點，即便Chalk仍然是一個有用的實驗性工具，但是在型別團隊新任務規畫中，他們將重點轉移到模組化特徵求解器，以及稱為a-mir-formality的Rust型別系統正規化。</p> <p>型別團隊2023年上半年的工作，目標讓開發中的特徵求解器可以進行測試，而a-mir-formality能夠開始使用Rust測試套件進行測試，而在下半年，Rust預計將會以新的特徵求解器，取代部分現存的特徵求解器，官方希望在2027年解決所有型別健全性問題，並且a-mir-formality可以通過Rust測試套件可達99.9％。</p> </div></div></div>
2023/1/24 17:19作者李建興https://www.ithome.com.tw/news/155258
微軟投入數十億美元再次擴大與OpenAI的合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/01/23/microsoftandopenaiextendpartnership/">微軟延續與OpenAI從2019年以來的合作夥伴關係</a>，投入數十億美元的資金，與OpenAI展開第三階段的合作，透過持續並擴大在人工智慧超級運算、模型開發和雲端服務領域的工作，共同加速人工智慧技術的商業化。</p> <p>目前微軟Azure中有多個超級運算系統，用於執行OpenAI的人工智慧訓練和推理工作負載，而OpenAI將繼續使用Azure的超級運算系統，開發並訓練所有模型。微軟承諾增加對這些系統的投資，加速OpenAI的獨立研究。Azure也將繼續成為OpenAI在研究、API和產品上的獨家雲端供應商。</p> <p>無論是在消費級和企業級產品，微軟會大量採用OpenAI的模型，加入以OpenAI技術為基礎的數位體驗，並繼續擴大GitHub Copilot和微軟Designer應用程式，對OpenAI技術的採用。開發者除了可以從OpenAI的API服務取用模型服務之外，也將可繼續透過微軟Azure OpenAI服務存取GPT、DALL-E和Codex等模型，使用微軟針對OpenAI模型最佳化的基礎設施和企業級功能，建立人工智慧應用程式。</p> </div></div></div>
2023/1/24 17:57作者李建興https://www.ithome.com.tw/news/155259
成人之路上的一大步，Boston Dynamics人形機器人可丟擲並推落物體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名機器人開發公司Boston Dynamics發布最新的<a href="https://youtu.be/-e1_QhJ1EhQ">人形機器人展示影片</a>，藉由善用環境物體達成任務目標，還將一袋工具丟擲到鷹架頂端的工人腳邊。研究人員提到，人形機器人現在能夠以更接近人類的速度，完成現實世界的操作任務。</p> <p>Boston Dynamics所開發的人形機器人動作靈活，不只能夠跳舞，還可以跑酷完成複雜的跨欄、跳躍和後空翻等動作。而在Boston Dynamics最新發布的影片中，人形機器人所執行的任務更貼近現實場景，有能力完成移動、丟擲和推物體等動作。</p> <p>研究人員解釋，跑酷和跳舞等動作雖然是有趣的用例，但是他們正在嘗試研究利用這些基礎，讓機器人執行更有意義的操作。研究人員需要讓人形機器人能夠更快地執行人類擅長的任務，而這過程需要進行一系列控制軟體改進。</p> <p>雖然人形機器人跳舞或是後空翻特技，比運送一袋工具更令人印象深刻，但事實上，運送一袋工具需要機器人對環境有更細緻的了解。研究人員提到，人形機器人跳舞時，完全不需要擁有對環境作出反應的感知能力，而在跑酷的展示中，人形機器人才加入感知並繞過固定的障礙物的能力，舞蹈需要機器人全身運動的精確度和靈活度，而跑酷則讓工程師們了解機器人身體的運動限制。</p> <p>而在Boston Dynamics最新的展示影片中，機器人需要克服額外動作和感知能力的挑戰，不只要偵感知、抓取和移動不同尺寸、材料和重量的物體，並且還需要在移動這些物體時維持平衡。研究人員從跳舞和跑酷獲得人形機器人的限制，並嘗試在這些限制下發展出實用技能。</p> <p>人類可簡單完成的動作，對人形機器人都大不易，像是影片一開始，機器人拿起一塊大木板，原地跳躍並順勢轉向180度，研究人員提到，這個動作代表機器人控制系統需要考慮木板的動量，才能避免翻倒，並將木板放在正確的位置上以利後續使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be--e1_QhJ1EhQ%20(1).jpg" style="width: 580px; height: 326px;" /></p> <p>在影片的後段，人形機器人從高臺推下一個巨大的木箱，研究人員則表示，這也是一個複雜的動作，因為機器人需要產生足夠的力量才能使箱子掉落，同時還要轉移重心避免摔倒。</p> <p>而影片最後人形機器人展示了比過去更高難度的空中翻滾，因為側空翻多了扭轉，比起一般的前空翻多了不對稱性，不只運算更困難，而且還需要更多的自體防碰撞控制，避免在翻滾時四肢撞上身體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be--e1_QhJ1EhQ.jpg" style="width: 580px; height: 326px;" /></p> <p>Boston Dynamics最新的展示，幾乎用上人形機器人每個關節和所有力量，而這正是該人形機器人最大程度接近人類操作能力的極限。</p> </div></div></div>
2023/1/24 18:19作者李建興https://www.ithome.com.tw/news/155256
WhatsApp帶強迫性的用戶條款被愛爾蘭罰550萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭資料保護主管機關<a href="https://www.dataprotection.ie/en/news-media/data-protection-commission-announces-conclusion-inquiry-whatsapp">上周</a>基於Meta旗下WhatsApp對用戶施以強迫性的服務條款，繼2021年後，再判罰550萬歐元。</p> <p>愛爾蘭資料保護委員會（Data Protection Commission, DPC ）是在2018年5月一名德國用戶對WhatsApp提出的控告做出第二次裁決。當時用戶控告WhatsApp更新的服務條款告知用戶若需使用其服務，就必須點擊「同意並接續」按鍵，同意它處理用戶個資，才能繼續使用它的App。如果拒絕就無法使用。用戶控告該條款雖表面上未說明，實則強迫用戶必須同意才能使用WhatsApp的服務，違反了歐盟隱私法GDPR，引發愛爾蘭主管機關介入調查。</p> <p>DPC 調查後認為，WhatsApp的條款並未清楚向用戶告知處理哪些個資，以及做何用途，並在2021年判罰WhatsApp 2.2５億歐元。不過DPC指出，根據歐盟的監察署（Concerned Supervisory Authorities, CSA）的意見，WhatsApp並不應將服務及安全功能的提供建立在合約基礎上，因此再加罰這家通訊平台550萬歐元。</p> <p>WhatsApp官方聲明將再提出上訴，也強調它相信自己的行為完全合法。</p> <p>這是Meta最新收到的官方罰單。上周Meta才因Instagram及臉書強迫性的用戶條款，被同一官方機構判罰3.9億歐元。去年11月WhatsApp也因2018年「資料抓取」手法、<a href="https://www.ithome.com.tw/news/154464">蒐集5億筆用戶個資一案</a>，重罰2.65億歐元。</p> </div></div></div>
2023/1/24 18:28作者林妍溱https://www.ithome.com.tw/news/155260
3.5萬Paypal用戶帳號遭憑證填充攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子支付平台Paypal本周通知用戶，12月初有駭客發動憑證填充（credential stuffing）攻擊存取用戶帳號，受影響人數約為3.5萬。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/766753f1-f9c7-4dc5-9a5c-fe0f3ff51c06.shtml">根據Paypal本周通報</a>美國緬因州檢察長辦公室的文件，他們於12月20日發現到攻擊事件，經過調查，判斷事件發生於12月6日到8日之間。這是一樁憑證填充事件，即攻擊者從別處竊取、購得或取得過去外流的用戶帳號、密碼等個資，再以大量帳號及密碼組合，用於Paypal帳號的暴力破解。受影響用戶總數為34942人。</p> <p>Paypal告知用戶，這樁攻擊導致其個資可能已外洩，包括姓名、住家地址、社會安全碼、個人稅籍資料、電話及生日。該公司說，沒有發現任何用戶個資被誤用，或是被用於非授權交易的情形。Paypal說，在發現攻擊時，已經將用戶個資加上遮罩而不再曝險、將用戶密碼重設、並加上進階安全控制以切斷非法存取管道。</p> <p>該公司並提供受影響用戶24個月的信用盜用監控服務。本次事件並非Paypal系統漏洞，而是用戶重覆在不同服務或網站使用同一組帳號、密碼組合的結果。論及漏洞，<a href="https://www.ithome.com.tw/news/151117">去年5月一名研究人員發現</a>Paypal平臺有個點擊劫持（clickjacking）漏洞，可能讓攻擊者竊取用戶帳戶中的財物。</p> </div></div></div>
2023/1/24 18:38作者林妍溱https://www.ithome.com.tw/news/155262
疑似中國駭客攻擊Fortinet漏洞植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://www.mandiant.com/resources/blog/chinese-actors-exploit-fortios-flaw">發現一個</a> 疑似中國的駭客組織濫用Fortinet SSL VPN的已知漏洞植入後門程式Boldmove。</p> <p>Fortinet去年12月公告SSL VPN存在重大漏洞CVE-2022-42475，是出於FortiOS的sslvpnd模組的記憶體緩衝區溢位漏洞，成功濫用可讓未經驗證的使用者遠端癱瘓SSL VPN設備，或是執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/155174">上周Fortinet說明</a>他們去年底發現到的一些Windows惡意程式的攻擊行動，會刪除紀錄檔以躲避偵測及長期滲透、有的則破壞入侵偵測（IPS）功能。這些樣本來自協調時區+8的機器上組譯，顯示可能落在澳洲、俄羅斯、中國、新加坡等其他國家，針對政府單位及相關組織所發動精準攻擊行動。</p> <p>本周稍早安全廠商Mandiant也公佈了針對CVE-2022-42475的零時差攻擊研究，基本上，是讓Fortinet未講明的資訊更為具體化。Mandiant將發現到的惡意程式稱為Boldmove。Boldmove是一隻以C撰寫的後門程式，針對Windows和Linux各有一種變種，專門設計讀取FortiGate 防火牆的檔案。研究發現，Boldmove的Linux變種有一個寫死的C2 IP位址，也同時被Fortinet列為濫用行動的IP位址，判斷駭客已濫用CVE-2022-49475植入Boldmove。</p> <p>該公司也判讀Windows變種至少在2021年已組譯出來。Mandiant點名Boldmove是中國國家駭客的攻擊行動，因為攻擊符合中國駭客的行徑，包括鎖定以防火牆、IPS/IDS等可由外部存取的裝置。</p> <p>研究人員指出，開發濫用連網安全裝置漏洞的程式需要豐沛的組織資源，因此往往被用在十分重要，包括政府單位及國防部門的目標身上。值得一提的是，這類裝置之所以為中國駭客偏好，是因為可不需受害者互動攻擊者就能存取網路、控制運作時機、減低被偵測的機率。</p> <p>更重要的是，這些裝置只有簡單配置和檢視紀錄檔的工具，並沒有簡單機制讓用戶檢視其中運作了什麼行程，也不允許安裝額外安全產品，像是端點偵測回應（Endpoint Detection and Response, EDR），且只有裝置製造商才能存取核心安全功能。</p> <p>根據證據，Mandiant研判攻擊最早從2022年10月即開始，受害者包括歐洲政府單位和一家非洲代管服務供應商。不過由於研究人員尚未看到Boldmove廣泛使用，因此無法確定其用途為何。</p> </div></div></div>
2023/1/24 18:43作者林妍溱https://www.ithome.com.tw/news/155263
S3檔案閘道器最大檔案共享數增加到50個，本地應用存取檔案更彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新S3檔案閘道器，<a href="https://aws.amazon.com/about-aws/whats-new/2023/01/amazon-s3-file-gateway-maximum-file-shares-gateway-10-50/">擴增每個閘道器的文件共享數量</a>，使用戶可共享的檔案從10個增加到50個。Amazon S3檔案閘道器能夠讓用戶讓本地應用程式，將檔案作為物件儲存到S3服務中，並且透過NFS或是SMB標準檔案存取協定存取。</p> <p>原本單個S3檔案閘道器最多只能支援10個檔案共享，而在這項更新之後，用戶將可以充分使用閘道器資源，使S3檔案閘道器能夠增加更多共享，並且支援更多的終端用戶，降低整體所使用的閘道器和資源。官方提到，S3檔案閘道器支援檔案共享數上調，可降低專用資源節省基礎設施成本，也使管理員管理更少的閘道器。</p> <p>目前這項更新，已經對所有AWS商業區域的新閘道器開放，而當前正在運作中的閘道器，AWS將會在下一次的軟體更新加入此項更改。</p> </div></div></div>
2023/1/23 16:19作者李建興https://www.ithome.com.tw/news/155255
電腦歷史博物館釋出全球第一款GUI個人電腦系統Apple Lisa原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://computerhistory.org/blog/the-lisa-apples-most-influential-failure/">電腦歷史博物館（CHM）在Apple的同意下</a>，開源40年前的Apple Lisa電腦系統的原始碼。Apple Lisa系統是Apple所推出的商業級系統，雖然因為其價格昂貴，再加上軟體和磁碟機等問題，短短兩就被Apple麥金塔（Macintosh）和Apple Lisa 2取代，但是Apple Lisa其創新的使用者介面，對之後的電腦軟體設計帶來不少影響，使圖形使用者介面（GUI）成為當今個人電腦使用者介面的典範。</p> <p>Apple Lisa在1983年1月19日發布，售價高達9,995美元。Apple在Lisa之前產品是Apple II個人電腦，Apple II雖然暢銷但仍是以命令列為基礎的系統，在Apple創辦人之一Steve Jobs參觀全錄帕羅奧多研究中心（Xerox PARC），決定把看到的圖形使用者介面（GUI）設計發揚光大。GUI雖為全錄的創新發明，但是卻因為成本關係未向公眾積極推廣。</p> <p>GUI當初是針對兒童軟體所開發的設計，重點在於以滑鼠游標控制視窗、圖標和選單的形式，Steve Jobs認為所有電腦都應該採用GUI，因此與Apple開發團隊開始Lisa的研發工作。Apple Lisa不同於Apple II個人電腦鎖定家庭市場，而是針對商業市場，使用當時功能強大的Motorola 68000微處理器並且配備硬碟。</p> <p>Steve Jobs和Apple開發團隊為Lisa發展了多個重要元件，包括QuickDraw圖形庫，還有以程式語言Pascal為基礎開發了物件導向變體Clascal，以方便編寫Lisa Toolkit API。不過，當時蘋果公司面臨重組，導致Steve Jobs無法再參與Lisa專案，因此他轉向加入並接手麥金塔專案，試圖發展類似Lisa同樣以滑鼠游標控制，但是價格更低廉的的GUI電腦系統。</p> <p>Apple Lisa與麥金塔兩專案相互競爭與互通下，Lisa在1983年1月19日以9,995美元售價推出，和當時IBM命令列個人電腦僅1,565美元相比，Apple Lisa貴上不少，再加上Lisa複雜的作業系統，雖然支援多工處理，但是Motorola 68000微處理器仍不夠力，因此執行緩慢，而且也因為Lisa電腦隨機綑綁了文書處理軟體，降低了第三方開發者開發程式的意願，而且其所附帶的磁碟機Twiggy並不夠穩定，多種原因最終導致Lisa失敗。</p> <p>Apple麥金塔則1984年推出新產品，取消硬碟、多工處理和諸多高階功能，同時大幅降低記憶體，使整體價格更加親民，Apple麥金塔售價2,495美元，並且向大學生推出優惠方案，使得麥金塔的使用基礎大幅提升。</p> <p>在麥金塔發布之後，也激發多家個人電腦軟體公司開發GUI環境，包括GEM和Windows等，這些系統都受到麥金塔的影響，GUI成為了個人電腦上主要的使用者介面典範，而麥金塔的成功，正史於Lisa整合受到全錄帕羅奧多研究中心啟發的GUI，CHM提到，Lisa是麥金塔成功的墊腳石，也是GUI和個人電腦重要的里程碑。</p> <p>現在為慶祝Apple Lisa的40歲生日，CHM獲得Apple授權，對外釋出Lisa軟體原始碼，包括其系統和應用程式軟體。</p> </div></div></div>
2023/1/23 15:16作者李建興https://www.ithome.com.tw/news/155252
GitHub將於2024年初停止支援Subversion版本控制系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-01-20-sunsetting-subversion-support/">GitHub預計將會在2024年1月8日關閉對Subversion的支援</a>，官方提到，因為Subversion的使用者越來越少，考量Subversion維護成本的支出，希望將所有資源集中於Git。2024年1月8日後GitHub.com將會完全停止Subversion支援，2024年初所發布的GitHub Enterprise Server版本，也會移除對Subversion的支援。</p> <p>簡稱SVN的Subversion同樣是原始碼版本控制系統，GitHub在2010年的時候，添加了對Subversion的支援，官方解釋，當時版本控制軟體版圖有別今日，過去有許多用戶採用集中式版本控制系統，Subversion在那時不只蓬勃發展且和其他系統搭配良好，而Git當時還只是一個較新的概念。GitHub在創建初期，因為不清楚集中式還是分散式版本控制會成為主流，也不知道之後Git將會成為主流，因此透過在Git後端原生支持Subversion，使得用戶容易遷移至Git，並且能以漸進的方式改變工作流程。</p> <p>時過境遷，現在已經有94％的開發者皆使用Git，Subversion的使用者大幅減少，根據GitHub後臺的流量統計，Git後端來自Subversion端點的請求只有不到0.02％，而且約只有5,000個儲存庫每月會出現一個Subversion請求。</p> <p>現在官方認為，Subversion已經不再提供Git搬遷協助，但是Subversion系統的支援，就代表需要繼續支出維護成本。因此隨著GitHub的發展，以及Subversion請求數急遽下降，官方計畫將資源全部集中到Git，從2024年1月8日開始，GitHub會關閉並且移除Subversion，在2023年稍晚時，官方會試著執行數小時以及整天的中斷，加速用戶停用Subversion系統，也會在2024年1月8日之後發布第一個GitHub Enterprise Server版本，刪除對Subversion的支援。</p> </div></div></div>
2023/1/23 15:55作者李建興https://www.ithome.com.tw/news/155254
美機場電腦停機事件原因公佈：FAA約聘人員誤刪檔案釀災
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國1月中發生機場電腦停機導致國內班機大亂至少1天。美國聯邦航空總署（Federal Aviation Agency，FAA）<a href="https://www.faa.gov/newsroom/faa-notam-statement">近日對外說明大當機事故原因</a> ，是約聘人員誤刪檔案的結果。</p> <p>美國1月11日清晨FAA電腦發生問題，影響飛航公告（Notice to Air Missions，NOTAM）系統。為此FAA下令所有國內班機暫停起飛，又稱Ground Stop直到早上9點，以進行安全檢查及系統重啟，至少當天下午都還未完全恢復正常。根據FlightAware追蹤網站統計，將近1萬班次飛機延遲，並有近1,300多班次取消。美國主要航空公司包括美航、聯航、西南航空等都有一半以上班機受影響。</p> <p>當時FAA發言人指出，初步調查顯示，原因出在某個資料檔毁損。在最新的聲明中，FAA說明，經過調查，判斷是約聘人員在修正主要與備份資料庫時無意中刪除了數個檔案。他們仍然強調沒有發現是駭客攻擊的證據，但表示會持續調查。</p> <p>FAA還說已做了必要修復，採取步驟使NOTAM系統更堅固一點。FAA也說學習到教訓確保美國飛航管制系統的持續穩定營運。FAA 1月中的停飛是繼美國12月底暴風雪後，第二次各地航班大亂，也有人比喻這次Ground Stop程度好比2001年911事件。但華盛頓郵報<a href="https://www.washingtonpost.com/transportation/2023/01/11/what-is-notam-airlines-faa/">質疑</a>，何以錯刪幾個檔案就會導致整個系統停機。</p> <p>同一天加拿大的NOTAM<a href="https://www.forbes.com/sites/suzannerowankelleher/2023/01/12/canadas-air-alert-system-conspiracy/?sh=579b45fe7397">也傳出</a>電腦停機，時間大約發生在中午12:30。負責維護的業者NAV Canada約20分鐘後就排除狀況，並說該事件未造成任何航班延遲，雖然一家航空公司聲稱6個班次因此延遲。該公司<a href="https://simpleflying.com/canada-notam-disruption-2023/">對媒體表示</a>，事件出於NOTAM的電腦硬體問題，也不是網路攻擊的結果，且說和FAA事件無關。</p> </div></div></div>
2023/1/23 13:28作者林妍溱https://www.ithome.com.tw/news/155249
Google裁員1.2萬人，影響遍及全集團不同產品、功能、層級及地區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在微軟宣佈裁員1萬人隔天，Google也<a href="https://blog.google/inside-google/message-ceo/january-update/">宣佈將裁減1.2萬人</a>，約佔總員工數的6%。</p> <p>Alphabet暨Google執行長Sundar Pichai上周四（1/19）透過官方部落格宣佈此事。和其他公司相同，Pichai說，過去兩年疫情期間，Google歷經驚人成長，因而招募不少人才，現今的經濟「不同以往」，暗示去年春天以降及2023年的景氣暗淡。他表示，為了「全力把握因公司強項、產品和服務及對AI的早期投資帶來的機會，」Google對各產品和功能領域做了嚴格檢討以確保人員和角色能符合公司第一要務要求。這次的裁員反映了檢討的結果，影響遍及Alphabet，不同產品、功能、層級及地區。</p> <p>1.2萬人佔Google 現有18.5萬名員工約6%。CNBC<a href="https://www.cnbc.com/2023/01/20/google-parent-to-lay-off-12000-workers-memo.html">報導</a>，受影響的部門包括招聘及一些公司核心功能，以及部份工程和產品團隊。Google將對受影響的美國員工支付最少60天預告工資、最少16周的資遣金、Google股票選擇權、2022年紅利及有薪假、醫療保險以及就職與移民支援等。海外員工則依當地法令。</p> <p>Google去年第3季已經警告經濟情勢嚴峻，將放緩招募，Pichai<a href="https://www.ithome.com.tw/news/152231">也發信</a>要求員工不要再懈怠。2023年第3季雖然整體營收成長，但營收主力的Youtube廣告下滑，加上重點業務Google Cloud及新創業務（The ）虧損擴大，拖累公司營業利潤衰退。Google並未揭露包括Nest、Google Pixel手錶、筆電在內的硬體業務營收。但同為雲端大廠的微軟、Amazon皆因硬體業務表現不佳而裁撤人力。Amazon也在本月宣佈裁員1.8萬人。Google預定在2月2日公佈2022年第4季及全年財報。</p> </div></div></div>
2023/1/23 13:33作者林妍溱https://www.ithome.com.tw/news/155250
傳ChatGPT威脅 Google 急Call創辦人幫忙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，感受到OpenAI 的AI服務的威脅，Google已要求兩位已退位的創辦人Larry Page及Sergey Brin重新協助監督AI計畫。</p> <p>紐約時報<a href="https://www.nytimes.com/2023/01/20/technology/google-chatgpt-artificial-intelligence.html">報導</a>，Open AI 去年11月展示對話式AI系統ChatGPT，在Google內部投下震撼彈，Google暨Alphabet執行長Sundar Pichai並宣佈「紅色警戒」，要求加速AI服務及技術的開發，以確保Google對話式AI模型 LaMDA的領先地位。Pichai力邀下，Page及Brin去年底回到Google監督AI新服務的推行計畫。</p> <p>Page與Brin<a href="https://www.ithome.com.tw/news/134590">自2019年從行政職退下後</a>，就把一些Google日常業務管理工作交給Pichai後就鮮少過問。他們主要著重在自己開發新事業推動，例如Page的飛天車公司，如果到Google則多半是討論新創業務（Others Business）。</p> <p>但消息人士指出，兩人對AI十分有興趣，上個月也已看過Google AI預計在今年5月Google I/O大會上公佈的AI服務。消息人士透露，軟體巨人已經規劃了將近20項AI相關服務，包括建立和編輯圖片的Generation Studio、供用戶體驗AI技術的AI Test Kitchen App第3版、虛擬購物試穿、Youtube綠幕功能、製作Pixel手機桌布、虛擬3D試鞋功能Maya、以AI做影片簡介，還有提供給軟體開發人員和企業AI工具，像是建立圖片的Google Cloud服務、可在瀏覽器環境下製作AI原型的MarkerSuite、以及2款協助撰寫Android手機應用程式的工具，包括Colab + Android Studio及PaLM-Coder 2等。</p> <p>在景氣不明、成長趨緩的危機下，Google上周<a href="https://www.ithome.com.tw/news/155250">宣佈裁員1.2萬人</a>，Pichai的公開談話也說明，AI將是該公司的策略成長業務。</p> </div></div></div>
2023/1/23 13:46作者林妍溱https://www.ithome.com.tw/news/155251
【資安週報】2023年1月16日到1月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，最受關注的是就是CentOS主機網頁管理介面元件<span class="notion-enable-hover" data-reactroot="" data-token-index="1" style="font-weight: 600;">Control Web Panel</span>（CWP）漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-44877">CVE-2022-44877</a>，去年10月已有更新修補釋出，如今隨著漏洞技術細節與PoC的公開，開始有駭客組織在攻擊行動中針對這項漏洞鎖定利用。</p> <p>此外，網路監控系統Cacti在12月修補的CVE-2022-46169漏洞，也傳出被攻擊者鎖定利用於植入惡意軟體的消息。至於其他關注漏洞消息，包括WordPress三個外掛程式、Git的重大漏洞修補，以及Oracle季度例行性修補。</p> <p>在資安新聞焦點方面，有研究人員在發現微星主機板預設執行任意程式的狀況，由於這將使得安全開機（Secure Boot）變得沒有作用，因而受到廣泛關注，該研究人員其實自去年12月於網路上多人討論此事，並在1月13日公布這項發現。而在攻擊新態勢上，除了有研究人員持續發現自帶驅動程式攻擊（BYOVD）的手法，還有濫用雲端IDE服務GitHub Codespaces的攻擊手法揭露。</p> <p>另外值得留意的是，月初CircleCI發布公告說明正調查資安事件，如今已有最新調查結果公布，該公司指出攻擊者之所以能從遠端盜用身分獲得存取控制權限，原因出在其工程師筆電在半個月前遭植入惡意軟體，攻擊者進而劫持了有效的2FA SSO Session Cookie。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月16日】WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體</span></strong></a></h3> <p>又有WordPress外掛程式出現重大漏洞，而有可能被用於攻擊行動的情況！資安業者Tenable一口氣揭露3款外掛程式的SQL注入漏洞，其中有2個漏洞不需身分驗證就能利用，CVSS風險層級達到9.8分，但研究人員指出，第3個漏洞雖然需要通過身分驗證，但駭客只要以讀者的身分註冊，就有機會觸發。</p> <p>針對網路監控系統Cacti特定漏洞而來的攻擊行動，也同樣引起研究人員的高度關注。兩家資安業者與非營利安全組織提出警告，他們發現12月修補的漏洞CVE-2022-46169已被用於攻擊行動，但全球至少有四分之一的Cacti實體執行含有漏洞的版本。</p> <p>防毒軟體提供的密碼管理工具也可能成為帳號填充（Credential Stuffing）攻擊的目標！資安業者Gen Digital向防毒軟體NortonLifeLock用戶發送通知，表示部分用戶的密碼管理器遭到相關攻擊而導致帳號被挾持，儲存的帳密恐遭到外洩。</p> <h3><a href="https://www.ithome.com.tw/news/155198"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動</span></strong></a></h3> <p>DevOps業者CircleCI甫於昨日（1月16日）公布資安事故的調查結果，現在有雲端服務業者證實他們也受到這起事故波及，但初步認定僅有部分使用者有可能曝險。</p> <p>被用於管理CentOS伺服器的元件Control Web Panel（CWP），在10月底被修補的漏洞CVE-2022-44877近期出現了攻擊行動，使得研究人員呼籲IT人員應儘速套用新版程式。</p> <p>主機板廠商調整的UEFI配置也有可能造成風險。有研究人員發現微星在一年前更動主機板韌體的預設配置，有可能導致近300款主機板的UEFI安全開機機制失效。</p> <h3><a href="https://www.ithome.com.tw/news/155202"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞</span></strong></a></h3> <p>新興的雲端開發工具有可能被駭客拿來散布惡意軟體！近日資安業者趨勢科技揭露濫用雲端IDE服務GitHub Codespaces的攻擊手法，並表示攻擊者還能透過事先設定完成相關組態的容器，建置更多惡意網站。</p> <p>研究人員針對微軟去年第4季修補的Azure伺服器端請求偽造（SSRF）漏洞說明細節，並指出有部分的漏洞不需身分驗證就能夠被利用，甚至攻擊者沒有Azure帳號也進行相關攻擊。</p> <p>Oracle於1月17日發布今年的第1個每季例行修補，當中針對多項產品發布更新，其中，資料庫系統MySQL就修補了近40個漏洞而相當值得留意。</p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/news/155227"><strong><span style="color: rgb(0, 0, 0);">【1月19日】Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資</span></strong></a></strong></p> <p>GitLab最近釋出新版本，目的是修補三個漏洞，值得關注的是，其中<a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="1" href="https://github.com/git/git/security/advisories/GHSA-475x-2q3q-hvwq" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id--102576702" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">CVE </span></a><a class="notion-link-token notion-enable-hover" data-reactroot="" data-token-index="2" href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" target="_blank"><span class="link-annotation-unknown-block-id-19329384" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">-2022-41903</span></a>、<a href="https://github.com/git/git/security/advisories/GHSA-c738-c5qq-xg89">CVE-2022-23521</a>都是重大層級漏洞，GitLab呼籲用戶盡速更新，對於無法立即更新的用戶，他們也提供了一些可降低風險的建議步驟供用戶暫時應變。</p> <p>勒索軟體的危害持續受企業關注，最近有資安業者表示，對於近來攻擊活動頻繁的BianLian勒索軟體，他們打造出解密工具，讓既有受害者能夠得以恢復檔案。</p> <p>資料庫配置不當的問題又一樁，這次研究人員揭露的是印度人力銀行Rocket有大批客戶資料因存放在可公開存取的資料庫而曝險，再次突顯雲端管理疏失的問題。</p> </div></div></div>
2023/1/22 09:56作者羅正漢https://www.ithome.com.tw/news/155235
推特更改開發者協議正式封鎖第三方客戶端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在許多推特第三方客戶端應用程式無法正常運作數天後，官方在<a href="https://twitter.com/twitterdev/status/1615405842735714304">推特開發帳戶發文</a>「推特正實施一直以來都存在的API規則，因此可能導致部分應用程式無法運作」。同時，推特也更新了其<a href="https://developer.twitter.com/en/developer-terms/agreement">開發者協議</a>，文中正式禁止第三方推特客戶端。目前推特API在非完整第三方客戶端中仍可以使用，官方僅禁止推特應用程式的替代應用程式。</p> <p>在1月12日時，許多第三方推特客戶端出現故障，不少第三方推特客戶端出現有推特API相關的錯誤，疑似推特API發生出現問題，包括Tweetbot、TweetDeck和Twitterrific等應用程式的各平臺版本都受到影響，當時由於未有官方消息傳出，因此無法確定為暫時性的故障，還是官方刻意為之。</p> <p>而現在情況終於明朗，官方正式宣布他們強制實施API規則，因此使第三方客戶端無法運作，在最新的推特開發者協議中寫道「推特禁止開發者使用或是存取授權材料，創建替代或是類似推特應用程式的服務和產品。」</p> <p>馬斯克（Elon Musk）收購後推特後，該平臺推行許多功能更新造成用戶不滿，不過早在2017年底，推特試圖修改API政策，以新API取代原先串流連線功能時，<a href="https://www.ithome.com.tw/news/122300">開發者社群就曾發公開信向推特抗議</a>。由於第三方客戶端無法替推特帶來任何廣告收入，因此推特現在或想限縮第三方客戶端，讓用戶只能使用會顯示推特廣告的官方應用程式存取推特平臺。</p> <p>這與推特最近更新用戶時間軸，增加廣告數量和頻率，以及強制預設部分平臺使用者啟用「為你推薦」頁籤的行動一致，目的皆是要增加平臺廣告曝光的作法。</p> <p>開發者社群認為，第三方客戶端雖然沒有為推特帶來廣告收入，但是仍對推特生態系有一定的貢獻，像是在部分沒有推特原生應用程式的平臺提供應用程式，官方過去也曾吸收第三方客戶端Tweetie開發者，並開放Tweetie作為官方程式供用戶下載，甚至是收購TweetDeck納為官方服務。</p> </div></div></div>
2023/1/21 14:00作者李建興https://www.ithome.com.tw/news/155232
維基百科更新桌面網頁介面，提升可用性整體閱讀體驗更舒適
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在維基百科（Wikipedia）邁入22歲生日後，官方歷經十多年再次推出<a href="https://wikimediafoundation.org/news/2023/01/18/wikipedia-gets-a-fresh-new-look-first-desktop-update-in-a-decade-puts-usability-at-the-forefront/">桌面網頁介面更新，</a>由全球志願者考量可用性改進維基百科介面，使讀者能夠以更輕鬆地方式，取用和探索維基百科。目前該更新已經正式推出，維基百科所提供的318種語言，已有94％語言版本使用者可以看到更新，不過中文使用者還要再等等。</p> <p>新的維基百科介面限制了主題文章的最大行寬，讓閱讀更加舒適集中，官方提到，根據研究限制長文字的行寬，可以帶來更好的閱讀體驗。維基百科桌面更新還帶來了新的搜尋體驗，使用者可以利用圖像和描述，在維基百科中更容易地找到文章，測試證明這項改進能夠提升用戶30％的搜尋。</p> <p>用戶在瀏覽文章時，能夠透過新的目錄設計，掌握正在瀏覽的文章段落，在用戶滾動頁面時，目錄仍會持續留在可見範圍，供用戶快速導航至其他段落。文章左上角新增折疊選單，在用戶瀏覽文章時能夠收起冗長的連結選單，避免讀者因為過多的選項分心。</p> <p>新介面使用戶更容易切換語言，多語言讀者和編輯可以更快找到目標語言，在300多種語言間切換。頁面標題列加入黏性滾動（Sticky Scroll）設計，在用戶登入之後，常用的搜尋、頁面主題和用戶登錄等元素，會在用戶滾動頁面瀏覽內容時，持續呈現在網頁最上方，而這個設計可以讓用戶更專注於瀏覽和編輯，減少滾動疲勞，經測試此設計可減少滾動率15％。</p> <p>新的維基百科介面由30多個來自全球不同的志願者團體，參與概念發想、產品開發、測試和正式推出等階段。維基百科新版介面已向大部分語言版本使用者開放，不過中文包括臺灣正體版本和香港繁體等語言版本，目前仍維持使用舊介面，用戶可以先切換語言至英文版本，搶先體驗新介面。</p> </div></div></div>
2023/1/21 14:02作者李建興https://www.ithome.com.tw/news/155233
Visual Studio 2022新增輔助功能與拼字檢查工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟預計在<a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-17-5-preview-3-is-here/#intent">Visual Studio 2022 17.5</a>加入幾項好用功能，使開發者能夠快速編寫更可靠的程式碼，包括拼字建議和輔助功能檢查，同時Visual Studio還加入意圖建議功能，運用機器學習理解程式碼，提供用戶可執行的更改。</p> <p>Visual Studio 2022現在能夠檢查用戶的拼寫，確保輸入的單詞正確，拼寫檢查功能預設在C#、C++或Markdown檔案開啟時自動啟動，並且標記拼寫錯誤的單字提醒用戶更正，當錯字屬於識別符號時，拼寫檢查功能還會協助開發者進行重構，維持程式碼在可編譯的狀態。拼寫檢查功能使用EN-US字典，以及用戶正在使用的Windows顯示語言字典。</p> <p>開發者也可以忽略拼寫問題，只要在Visual Studio出現提示時選擇忽略，Visual Studio便會在本地端電腦的AppData資料夾，創建exclusion.dic檔案，當特定單字被設定為忽略時，也會在所有Visual Studio實例中被忽略。</p> <p>Visual Studio還整合輔助功能檢查器，可以檢測基於XAML桌面應用程式常見的輔助功能問題。微軟提到，輔助功能檢查器使用和輔助功能分析工具相同的Axe-windows引擎，該引擎原是Visual Studio內部團隊，用於測試輔助功能的工具。現在開發者只要點擊輔助功能檢查按鍵，Axe-windows引擎便會掃描正在執行的應用程式，找出存在的輔助功能問題，並在視窗列出規則、描述和解決辦法等說明。</p> <p>在新版本中，Visual Studio還會根據最近的變更，在編輯器中提供行內建議，這項功能是運用機器學習演算法，來理解程式碼的前後文，並根據開發者所做的變更，建議開發者可以執行的行動。另外，在Visual Studio 2022 17.5中，開發者將可以使用Microsoft.Data.SqlClient資料供應程式，從伺服器資源管理器和資料來源配置嚮導中連接SQL Server資料庫。</p> </div></div></div>
2023/1/21 14:04作者李建興https://www.ithome.com.tw/news/155234
TP-Link二款SOHO路由器有2個尚未有修補程式的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kb.cert.org/vuls/id/572615" target="_blank">研究人員發現</a>小型企業用路由器業者TP-Link二款產品存在遠端程式碼執行（remote code execution，RCE）及資訊洩露漏洞，而且目前還沒有修補程式。</p> <p>卡內基美隆大學電腦網路危機處理暨協調中心（CERT Coordination Center，CERT/CC）公告由微軟研究人員James Hull發現的二款漏洞，存在於TP-Link小型企業適用的路由器韌體，產品型號分別是150Mbps的WR710N-V1-151022及雙頻無線路由器Archer C5 V2。其中WR710N-V1-151022問題韌體為2015年10月22日釋出的版本，而Archer C5 V2受影響的韌體，則為2016年2月1日釋出的版本。</p> <p>兩項RCE漏洞分別是CVE-2022-4498及CVE-2022-4499。其中CVE-2022-4498是HTTP基本驗證（Basic Authentication）模式中的緩衝溢位漏洞。當系統使用HTTP基本驗證時，遠端攻擊者可傳送惡意封包，造成httpd精靈的記憶體堆積溢位而毁損，導致httpd程序的阻斷服務（denial of service，DoS），或是讓攻擊者遠端執行任意程式碼。CVE-2022-4498 CVSS 3.1風險值高達9.8。</p> <p>CVE-2022-4499則是發生在httpd精靈的strcmp()函式中的旁路攻擊（side-channel attack）漏洞。攻擊者可藉由量測驗證使用者名稱和密碼憑證過程的反應時間，而猜出使用者名稱、密碼的每個字元，這就可能造成資訊洩漏。CVE-2022-4499 CVSS 3.1風險值為7.5。</p> <p>CERT/CC說，目前尚未發現有可用的解決方案。這顯然需要TP-Link發布韌體更新。不過CERT/CC說，他們在去年11月2日通知廠商後，截至今年1月17日還沒接獲回應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-tplink-vulner-600.png" style="width: 600px;" /></p> </div></div></div>
2023/1/20 14:53作者林妍溱https://www.ithome.com.tw/news/155231
T-Mobile又遭駭！3,700萬客戶個資遭駭客竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001283699/000119312523010949/d641142d8k.htm">在電信公司T-Mobile提交給美國證券交易委員會的8-K表格</a>中，揭露惡意攻擊者已經存取該公司3,700萬客戶，包括姓名、帳單地址、電話號碼、帳號等個人資料，即便目前事件還在調查當中，但T-Mobile認為惡意行動已經被完全阻止。</p> <p>在1月5日時，T-Mobile發現有惡意攻擊者在未經授權的情況下，透過API存取資料，T-Mobile和外部網路安全專家隨即展開調查，在發現當天就追蹤到惡意活動的來源，並採取措施封鎖該活動，官方表示，目前惡意活動已經完全被控制，也沒有證據顯示，攻擊者破壞T-Mobile的系統或是網路。</p> <p>本次洩漏的是一組客戶帳單資料，包含姓名、帳單地址、電子郵件、電話號碼、出生年月日、T-Mobile帳號，以及帳戶線路數量和資費方案等資訊，T-Mobile提到，因為他們系統和政策的限制，因此更敏感的財務資料並未暴露，該API不會洩漏包括信用卡資料、社會安全碼/稅號，或是金融帳戶資訊等。</p> <p>目前調查還在進行中，而調查初步結果顯示，攻擊者從2022年11月25日就開始透過該API檢索資料，已經擷取約3,700萬客戶已付或是預付帳戶資料。T-Mobile正調查其他未經授權的活動，並且已就本次事件通知聯邦機構以及受影響客戶。</p> <p>T-Mobile資安事件層出不窮，近年的重大資料洩漏事件包括2018年T-Mobile被駭，有200萬客戶姓名、電子郵件信箱及加密密碼外洩，當時也是惡意攻擊者透過API竊取用戶個資，2019和2021年也發生多起資料洩漏事件，還有駭客在地下論壇，販售1億筆T-Mobile用戶資料庫，2022年中T-Mobile才就該事件，與7,000萬用戶以3.5億美元達成和解。T-Mobile也在去年時被爆出遭到駭客組織Lapsus$入侵，被竊走多個專案的程式碼。</p> <p>T-Mobile在其8-K表格最後提到，雖然T-Mobile預測需要對該事件付出大量費用，但是他們預計該事件不會對客戶行為產生負面影響，也不會對公司營運產生重大影響。畢竟經過近年多次資安事件，T-Mobile及其客戶可能都對事件處理和反應不陌生。</p> </div></div></div>
2023/1/20 14:58作者李建興https://www.ithome.com.tw/news/155230
Getty Images控告AI繪圖工具商Stability AI侵害版權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.gettyimages.com/en/getty-images/getty-images-statement" target="_blank">知名圖庫業者Getty Images本周控告</a>AI繪圖工具業者Stability AI以其網站圖片訓練AI模型以用於營利，已對其版權造成侵害。</p> <p>Stable Diffusion是知名深度學習圖像生成模型。它可根據使用者輸入的文字描述產生圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0120-Stable%20Diffusion%20Playground-600.png" style="width: 500px;" /></p> <p>Getty本周向倫敦法院控告Stability AI侵害圖片著作智財，認為Stability AI在未經授權情況下，複製和處理數百萬張Getty Images擁有或代表、有版權保護的圖片及相關metadata，並且從中獲取商業利益，也侵害了內容創作者的權益。</p> <p>Stable Diffusion和OpenAI的DALL-E 2、Midjourney、DreamUp等其他AI圖像生成模型一樣，必須先以大量圖片訓練，而這些資料集往往來自網路或公開圖庫，這引發圖像創作者或圖庫業者的不滿。</p> <p>Getty Images指出該公司相信AI有激發創意活動的潛力，因而他們也提供圖片授權給科技業者訓練AI系統，確保尊重個人及智財權。但Stability AI卻忽略有可用的授權方案，以及法律對創作者商業利益的保障，而從未向Getty詢問任何授權。</p> <p>基於AI訓練過程的版權爭議，去年Getty和一些小型藝術圖片網站宣佈禁止銷售以AI合成的圖片，以避免侵權疑慮。另一圖庫業者<a href="https://www.ithome.com.tw/news/153831" target="_blank">Shutterstock推出</a>使用者輸入文字條件，由OpenAI模型即時產出圖片的付費服務，但其網站禁止銷售OpenAI以外模型產生的圖片，並宣布貢獻者基金，針對其圖片曾被用於訓練AI模型的人，以及其智財被使用的貢獻者提供補償。。</p> <p>Getty和一些小型藝術圖片網站則是宣布因為站上充斥著以AI合成的圖片，而禁止銷售以AI合成的圖片，以避免侵權疑慮。</p> </div></div></div>
2023/1/20 13:47作者林妍溱https://www.ithome.com.tw/news/155229