iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟釋出第一個.NET 8預覽版，改進AOT編譯效率、強化Linux支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-8-preview-1/">微軟釋出.NET 8第一個預覽版</a>，這個版本將是下一個.NET長期支援版本，預計會在11月的.NET大會上正式發表。.NET 8第一個預覽版使得NativeAOT編譯更高效率，提升雲端開發體驗，並且改進Linux支援。</p> <p>微軟針對控制臺應用程式，在.NET 7中加入NativeAOT，微軟提到，AOT（Ahead-of-Time）編譯是.NET的一個重要功能，因為可以大幅提升.NET應用程式的效能。開發者可以使用NativeAOT創建完全自包含的應用程式版本，如此應用程式就不需要使用獨立的Runtime，所有需要的元件都包含在單一檔案中，這個檔案的大小在.NET 8縮減，Linux版本的大小甚至可以較之前減少達50％。</p> <p>以Hello, World應用程式為例，.NET 7的NativeAOT自包含應用程式，Linux x64版本為3.76 MB，而Windows x64為2.85 MB，在.NET 8第一預覽版的大小分別為1.84 MB和1.77 MB。</p> <p>微軟發展.NET的目標之一，是要成為更為友善的雲端開發平臺和工具，為此.NET 8也改進了容器映像檔體驗。.NET讓開發人員可以使用容器映像檔，以輕量級且可移植的格式打包應用程式，方便將應用程式部署到雲中。</p> <p>在.NET 8第一預覽版中，容器預設Linux發行版更新為Debian 12，並且使用非根用戶執行容器映像檔，微軟提到，雖然容器基礎映像檔幾乎都是配置成以根用戶執行，不過該配置通常被沿用到生產中，並非是個好方法，但是要對每一個應用程式配置不同的使用者又很麻煩，而且容器映像檔並沒有提供適合容器工作負載的非根用戶。</p> <p>因此微軟在.NET 8的新作法，預設對所有容器映像檔以非根使用者執行，以提高安全性，並將預設連接埠從80改變成為8080。</p> <p>微軟也在.NET 8強化對Linux的支援，開發者現在可以在Linux上，直接從dotnet/dotnet儲存庫中建置.NET，這與紅帽（Red Hat）和Canonical用來建置.NET的方法一樣，使用dotnet/source-build來建置.NET Runtime、工具和SDK，微軟之後還會支援MacOS和Windows。</p> <p>微軟提到，過去Linux雖然也可以從原始碼建置.NET，但是需要從dotnet/installer的提交中創建一個原始碼壓縮檔案，來對應每一個版本，但現在已經不需要如此，儲存庫中就有每一個版本相對應的標籤。</p> <p>微軟也發布了帶有.NET 8的小型同捆映像檔Chiseled Ubuntu，這個版本Ubuntu檔案容量非常小，能夠大幅減少攻擊面，且沒有套件管理器和shell，且使用非根使用者權限，因此能夠減少多種類型的攻擊。</p> </div></div></div>
2023/2/24 11:09作者李建興https://www.ithome.com.tw/news/155655
Cloud周報第167期：美國防部將採用AWS可移動式雲端機房，來因應戰時大規模軍事應用需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（02/16～02/22）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模組化資料中心 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">整櫃資料中心帶著走！AWS為美國國防部推出模組化資料中心方案</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/An-image-of-the-AWS-Modular-Data-Center-MDC-unit-750.jpg" style="width: 600px; height: 388px;" /></span></strong></p> <p>AWS最近為美國國防部推出模組化資料中心單元（Modular Data Center,MDC），目的是要讓軍隊部隊作戰斷網時，仍然可以使用到雲端服務，來執行大規模軍事應用，包括數據蒐集、分析，來掌握敵情創造戰場的制勝先機。</p> <p>AWS MDC外型就像是一個迷你貨櫃單元，簡單說就是一個可移動式AWS雲端機房，但與一般AWS機房不同的是，僅提供運算和儲存功能，在單一模組單元內，可以部署AWS Outposts 或AWS Snowball Edge邊緣設備，也能通過擴充模組單元增加其容量，單元本身提供了高可用的基礎設施，包括內部網路、冷卻和配電等，就像是一座迷你AWS資料中心，功能俱全，但可以隨身帶著走。</p> <p>運輸方式上，AWS MDC可以使用船舶、鐵路或卡車等不同運輸方式將MDC載運到指定的位置，除了陸地或海上運輸之外，也可以使用軍用貨機空運。到達地點後，等到部署完準備啟用才需要接電，因此具有高度機動性。</p> <p>雖然模組化資料中心單元不是新做法，但AWS指出，透過AWS MDC，企業不論身在何處都能使用AWS服務和API來執行低延遲應用，也能透過內建管理系統，監控和操作MDC內子系統。遇到網路達不到的偏遠地區或斷網環境，無法使用AWS Outposts連網時，也能透過Snowball Edge使用到AWS一部分服務執行原有工作負載，等到恢復網路之後，再將離線資料回傳雲端。AWS MDC也支援衛星網路通訊。目前AWS MDC已在美東西部政府雲上推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DoCoMo </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 混合雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">日本電信商DoCoMo與NEC合作完成混合雲架構5G核網設計</span></strong></p> <p>日本大型電信商DoCoMo截至去年3月底，在日本已有1140萬戶5G用戶數，到2024年更要達到90%人口覆蓋率。為了提供高可用5G服務，除了採用傳統被電信備援設計之外，最近這家電信巨頭與NEC完成了混合雲架構5G核網設計，結合了AWS雲端和DOCOMO本地NVF（網路功能虛擬化）基礎架構，來實現建立5G核網的混合雲環境。這樣的好處是，可以將冗餘設計納入5G核網，使DOCOMO可以在本地和AWS的5G核網之間切換，不只是在網路用量尖峰時段，可以把流量工作負載卸載到AWS 來處理，一旦本地電信機房遇到天災與事故造成核網服務中斷，可以立即由公雲上的5G核網來接手，繼續提供原有電信網路服務。</p> <p>DoCoMo和NEC還完成了在AWS 最新Graviton3 處理器上執行NEC Edge UPF 的5G UPF軟體驗證，<span>提供用戶封包的路由和轉發</span>，可以讓5GC更低功耗方式用於物聯網和邊緣應用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">賓士 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 車用OS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">賓士發表整合晶片到雲端的新一代汽車作業系統MB.OS</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/preview-928x522.jpg" style="width: 600px; height: 333px;" /></p> <p>德國汽車大廠賓士（Mercedes-Benz）最近介紹他們為汽車軟體架構打造新一代MB.OS作業系統，完成了晶片到雲端（silicon-to-cloud）的全面整合，更把它視為是未來車用產品的核心，實現軟體化汽車</p> <p>賓士表示，新一代作業系統，將可以大大提升資訊娛樂體驗，也能加速自動駕駛採用，可以支援Nvidia Drive平臺和機器學習，來實現SAE 2 和SAE 3 等級自駕能力。另外，通過雲端的MB.OS將支援OTA更新，可為各種車用軟體功能提供升級更新，包括IVI資訊娛樂系統、自動駕駛等。通過MB.OS，可以存取所有車輛數據，例如充電狀態和能源消耗等。</p> <p>賓士原有MBUX用戶體驗系統也將整合到MB.OS之中，車用儀表板經過改良，提供具現代化的設計和加入更新娛樂互動功能。賓士會先在今年新E-Class車款搭載輕量化的MB.OS版本，並在2024 年底推出完整系統，未來這套新OS將與賓士全新MMA 模組化駕構平臺一起推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">電信業 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS推出Telco Network Builder建置工具，來簡化電信網路的部署和管理</span></strong></p> <p>近日，AWS推出名為AWS TNB（Telco Network Builder）的雲端新服務，鎖定電信業的5G電信網路的建置需求，電信商或CSP業者可以在AWS上來自動化部署和管理公網和私網電信網路。</p> <p>AWS表示，用戶使用AWS TNB時，可以在加快電信商部署基於雲端的網路基礎架構和服務，像是可以利用Kubernetes和Amazon EKS進行打包和部署，也能透過AWS CLI介面和 AWS開發工具包進行存取。另外也簡化網路生命周期管理，可以在單一服務上就能完成部署、更新或升級網路功能。並可從儀表板監控和管理這些網路功能和服務。</p> <p>在部署方式上，用戶使用AWS TNB可以將網路部署在AWS Region上，並可以跨多個可用區，之後將提供Local Zones 與Outposts的部署型式。在收費方面，將依據管理的網路功能數量以及API調用來收費。但只對AWS Region每月超過45,000 API 請求開始收費。</p> <p>圖片來源／AWS、賓士</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Snowflake推出電信數據雲，要協助電信商儲存和處理繁雜業務資訊</strong></p> <p><strong>2.Dell和紅帽合作將推出電信基礎設施即服務以及5G專網產品。</strong></p> <p><strong>3.繼GCP，微軟Azure也加入FinOps基金會擔任委員會成員推動雲端維運財務管理實踐</strong></p> <p><strong>4.Nvidia預告超級電腦雲端運算服務DGX Cloud即將登上Azure和GCP</strong></p> <p><strong>資料來源：iThome整理，2023年2月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/2/24 11:10作者余至浩https://www.ithome.com.tw/news/155657
為什麼我們能跟電腦學決策？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_-jue_duan_de_yan_suan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">行路出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像你正在舊金山找房子。這城市可說是全美最難找到房子的地方。由於市場如此熱絡，很難容許理性消費者先蒐集資料，深思熟慮後才下決定。</p> <p>我們姑且假設你只想盡可能提高買到最好房子的機率。那麼你該怎麼做？大多數人面臨這類問題時，直覺上通常認為必須在取捨間取得某種平衡，得看過夠多的房子才能建立標準，再依據標準找出想要的房子。這種權衡概念非常正確，然而大多數人沒辦法明確說出平衡點在哪。所幸這確實有明確答案：是37％。</p> <p>如果你希望達成買到最佳房子的最佳機率，請把總時間的37％拿來看房子（如果打算花一個月找房子，那就是十一天）。把清單留在家裡，單純用來設定標準。但是花了37％的時間後，就要準備出手，只要一發現比已經看過的房子更好的選擇就買下來。這不只是尋找和放棄之間的平衡點，也是經過驗證的最佳解決方案。</p> <p>我們之所以知道答案，是因為找房子屬於數學中的「最佳停止問題」。37％法則定義出一連串解答這類問題的簡單步驟，電腦科學家稱之為演算法。其實最佳停止問題可以用來解決生活中的許多狀況，找房子只是其中一例。生活中我們經常遇到選擇或放棄一連串選項的情形，比方說：要在停車場繞幾圈才找得到車位？投資高風險事業要多久才會開始回收？賣房賣車時要忍耐多久才能等到更好的價錢？</p> <p>簡單的演算法不僅能協助你找到好房子，還適用於遭遇最佳停止問題的各種狀況。</p> <p>我們每天都在跟這類問題纏鬥不休（只不過比起停車，詩人花比較多墨水描述愛情的磨難），有些狀況也真的很折騰。但其實沒必要這麼糾結，有些問題數學已經解決了。心急如焚的房客、駕駛人和忐忑不安的求婚者，其實都沒必要煩惱；他們不需要治療師，只需要演算法。治療師可以教他們如何避免過於衝動和過度思考；演算法則能明確告訴他們，這個平衡點就是37％。</p> <p>由於我們生活的空間和時間都有限，每個人都遭遇到一類問題。在一天或十年中，我們應該做什麼、或應該不做什麼？應該容忍什麼程度的混亂？什麼樣的秩序算是過度？新事物和心頭好各佔多少比例，才能使生活最讓人感到滿足？</p> <p>似乎只有人會面臨這類問題？其實不然。半個多世紀以來，電腦科學家一直在探究這類日常困境，有時還試圖解決，像是：處理器該如何分配它的「注意力」，以最少時間執行使用者要它做的工作，同時盡量少做白工？它什麼時候應該轉而處理不同工作，一開始又應該接受幾項任務？怎麼運用有限的記憶體資源最好？它應該蒐集更多資料，或是依據已有的資料採取行動？</p> <p>人類要把握每一天已經很不容易，電腦卻能輕鬆寫意地把握每一毫秒。電腦的工作方式可以帶給我們許多啟發。</p> <p><span style="font-size:28px;"><strong>演算法的本質是「解決問題的一連串步驟」</strong></span></p> <p>討論演算法對人類生活有何助益似乎有點奇怪。說到「演算法」，許多人想到的是大數據、大政府和大企業神祕難解的算計，這類算計在現代世界基礎建設中的比重越來越大，但稱不上實用智慧或人生指南。不過演算法其實是解決問題的一連串步驟，而且範圍比電腦更廣，歷史也更悠久。早在機器使用演算法之前，人類就開始使用它們了。</p> <p>不過用得上演算法的領域不只數學。你參考食譜做麵包、依照圖樣打毛衣，或是以一定方式用鹿角末端敲擊燧石，在燧石上形成尖銳邊緣（這是製作精細石器的重要步驟），都是依循演算法在做事。早從石器時代開始，人類科技中就蘊含著演算法。</p> <p>把電腦科學解決問題的方法套用到日常生活上，會影響許多層面。首先，演算法能提供實用且具體的建議，協助解決特定問題。最佳停止問題告訴我們，何時該大膽跳過、何時又該留意機會。開發與利用取捨告訴我們，如何在嘗試新事物和享受喜愛的事物間找到平衡點。排序理論教我們如何（以及是否應該）整理辦公室。快取理論教我們如何把物品收進櫥櫃。排程理論則教我們如何安排工作。</p> <p>到了下一個階段，電腦科學告訴我們一套字彙來了解這些領域中更深入的原理。卡爾．薩根（Carl Sagan）曾說：「科學不只是知識，更是一種思考方式。」即使是混亂得難以進行嚴謹數值分析或有現成答案的狀況，運用直覺和化簡問題後加以思考所得到的概念，也能讓我們了解關鍵問題並獲得進展。</p> <p>更廣泛地說，以電腦科學的眼光看問題，有助於我們了解人類心智的特質、合理性的意義，並且探究一個最古老的問題：人類如何求生。把認知當成「解決環境造成的基本運算問題的方法」仔細探討，可能徹底改變我們對人類理性的看法。</p> <p>就算電腦科學真能教我們如何思考以及該怎麼做好了，但我們想照著做嗎？看看科幻片裡的人工智慧和機器人，你該不會真的想要像它們那樣過活吧？說到研究電腦內部運作可能教我們如何思考、下決定、該相信什麼以及怎麼做好，許多人不只會把它想得太簡單，實際上是會想錯方向。</p> <p>部分原因是，說到電腦，我們想到的是冰冷的機械化確定性系統——機器套用死板的演繹邏輯，點滴不漏地羅列所有選擇，琢磨出正確答案，無論必須思考得多久、多辛苦。的確，最早構思出電腦的人就希望電腦是這樣：艾倫．圖靈（Alan Turing）定義中的運算就像數學家一樣，仔細執行一連串冗長運算，得出萬無一失的正確解答。</p> <p>因此說來你或許會驚訝──現代電腦面臨難題時，其實不是這麼做的。當然，直截了當的計算對現代電腦而言輕而易舉。跟人類交談、修復損壞的檔案或下贏一盤圍棋等，這類沒有明確規則、缺少必要資料，或是必須考慮多如繁星的可能才能找出正確解答的問題，才是電腦科學最大的挑戰。研究人員為了解決極端困難的問題而開發的演算法，已經使電腦不再需要依賴繁重的計算。相反地，執行實際工作必須接受機率，以時間換取精確性，還要懂得運用近似法。</p> <p>電腦解決真實世界問題的能力越來越強，不僅提供演算法給人運用到生活上，還定下更好的標準讓我們得以比較人類認知本身。近十幾二十年，行為經濟學主張：人類既不理性又容易犯錯，主因是人類大腦結構缺陷重重且各不相同。這個妄自菲薄的說法日益流行，但仍有些問題有待探討。舉例來說，為什麼即使是四歲小孩，執行視覺、語言和因果推論等認知任務時，依然能超越超級電腦？</p> <p>電腦科學衍生的日常問題解決方案，則對人類心智提出完全不同的看法。它們認為生活本就困難重重，人們犯下的錯誤透露的，是問題本身的困難之處，而非人類大腦不可靠。用演算法思考世界，學習我們所面臨的問題的基本結構、以及其解決方案的屬性，能讓我們了解人類其實已經很了不起，同時更加理解我們所犯的錯。</p> <p>事實上，人類經常面對電腦科學家傷透腦筋的許多難題。我們經常得克服不確定性、時間限制、資訊不足和變動快速的世界，做出決定。對於當中的某些情況，即使是最尖端的電腦科學，也還沒找出高效率又永遠正確的演算法；而某些情況則根本不存在這樣的演算法。</p> <p>然而即使在尚未找到完美演算法的領域，一代代電腦科學家和棘手真實世界問題纏鬥多年後，也得出了許多心得。這些得來不易的規則違反我們心目中的合理性，聽起來也不像數學家描述世界的那些條理分明的嚴密規則。這些規則說：不一定要考慮所有選擇，不一定非得追求看來最好的結果，偶爾可以製造混亂。看到紅綠燈就等一下。相信直覺，別思考太久。放鬆，拋個硬幣。寬恕，記住這個教訓就行。誠實對待自己。</p> <p>依據電腦科學知識過生活說來沒那麼糟，何況它有證據支持──許多忠告可是無憑無據呢。<span style="color:#696969;"><strong>（本文摘錄整理自《決斷的演算》前言，行路出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E6%B1%BA%E6%96%B7%E7%9A%84%E6%BC%94%E7%AE%97-600.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 書名 </span></span> 決斷的演算：預測、分析與好決定的11堂邏輯課</strong></p> <p>布萊恩‧克里斯汀（Brian Christian）、湯姆‧葛瑞菲斯（Tom Griffiths）／著；甘錫安／譯</p> <p>行路出版</p> <p>定價：580元</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E6%B1%BA%E6%96%B7%E7%9A%84%E6%BC%94%E7%AE%97-%E4%BD%9C%E8%80%851_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%C2%A9Eileen%20Meny.jpg" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">©Eileen Meny</span></span></p> <p><strong>布萊恩‧克里斯汀（Brian Christian）</strong></p> <p>布萊恩‧克里斯擁有布朗大學和華盛頓大學的哲學、電腦科學和詩歌學位，現在是加州大學柏克萊分校的訪問學者。他個人還著有Most Human Human，亦由行路出版翻譯引介，初版中文書名為《人性較量：我們憑什麼勝過人工智慧？》，這本書為《華爾街日報》暢銷書、《紐約時報》與《紐約客雜誌》年度推薦圖書。他還有眾多作品散見於Wired、《紐約客》雜誌等媒體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98-%E6%B1%BA%E6%96%B7%E7%9A%84%E6%BC%94%E7%AE%97-%E4%BD%9C%E8%80%852.jpg" style="width: 150px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_加州大學柏克萊分校</span></span></p> <p><strong>湯姆‧葛瑞菲斯（Tom Griffiths）</strong></p> <p>湯姆‧葛瑞菲斯曾擔任加州大學柏克萊分校心理學和認知科學教授，現在是普林斯頓大學心理學與電腦科學教授，亦是該校的運算認知科學實驗室主任。他對於收集與分析資料的新方法（尤其是大數據）如何改變心理學研究，很感興趣，曾經發表數百篇科學論文。</p> </div></div></div>
2023/2/24 10:00未署名https://www.ithome.com.tw/article/155601
AI趨勢周報第209期：生成式AI遍地開花引起開發者焦慮，吳恩達：堅守初衷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0217～0223)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 吳恩達 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>生成式AI遍地開花引起開發者焦慮，吳恩達籲堅守初衷</strong></span></p> <p>隨著ChatGPT問世，大量生成式AI應用也隨之出現。AI專家吳恩達近日就發文指出，就像許多人在IG曬美照、導致使用者產生身材焦慮一樣，AI圈近來不斷出現各種花俏的專案，引發不少開發者焦慮，開始懷疑自己的專案方向。「但就像社群媒體上的完美照片，不代表生活的全貌，」吳恩達表示，一些AI開發者曬出的驚艷成果，也不代表所有AI研究就該聚焦於此。</p> <p>「用自己的標準衡量自己的專案，別因那些閃亮亮的東西而懷疑自己的努力。」吳恩達坦言，幾年前，AlphaGo打敗世界棋王、強化學習在多種遊戲和棋類大放異彩時，他也思考過，一直鑽研監督式學習的自己是不是錯過了什麼。但他很慶幸，自己當時並未跟風、改變研究方向，因為，AI發展快速，許多新研究領域如量子AI、自監督學習、Transformer、擴散模型和大型語言模型（LLM）等相繼出現，有些已有亮眼成績，但有些（如量子AI）還看不到突破。</p> <p>他認為，各種形式和規模的研究都有其價值，今天流行的技術，也只是未來重大里程碑的其中一個。若開發者的專案技術可行、具有可預期且合理的影響，那麼，面對新技術的出現，開發者不需擔心專案沒價值。「想想幾年前大型語言模型研究員的感受，當時大家都在討論強化學習，」吳恩達說。但他也強調要關注AI新發展重要，這樣才不會與趨勢脫鉤，說不定還能激盪新點子。<a href="https://www.deeplearning.ai/the-batch/issue-184/">（詳全文）</a></p> <p><img alt="" src="https://dl-staging-website.ghost.io/content/images/2023/02/ezgif.com-webp-to-jpg--2--1.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line臺灣 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SmartText 2.0 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line臺灣推出SmartText 2.0平臺，下一步瞄準內容自動生成</strong></span></p> <p>Line臺灣在2023開發者大會中揭露新版自然語言處理（NLP）平臺SmartText 2.0，可處理文章摘要、問答和客製化廣告文案生成等任務，接下來要往可快速生成內容的方向發展，也要結合語音、圖片和影片等資料，來打造更多應用。</p> <p>這不是Line臺灣第一次研發NLP服務，早在2020年，團隊就引進CLOVA三大AI服務，其中包括Chatbot和OCR。後來，臺灣工程團隊發展出自然語言處理即服務（NLPaaS）概念，將NLP應用的開發流程標準化，來快速打造不同的NLP 模型，進而研發出SmartText。該平臺初版已具備常見文字自動化功能，如文件分類、多標籤分類、主題偵測等，優化後成為2.0並具備更多進階功能，可處理換句話說等任務。</p> <p>就Line的NLP發展來說，早在2021年，Line就聯手韓國搜尋引擎巨頭Naver打造820億參數的大型語言模型HyperCLOVA，並以此為核心，來提供一系列企業級NLP服務，如行銷文案生成、文章摘要、段落翻譯、開放式對話，甚至是產生NLP模型訓練資料等。不過，該模型只支援韓文和日文。去年，Line臺灣則透露要引進HyperCLOVA，發展繁體中文版NLP服務，今年則推出自行研發的SmartText 2.0平臺，來供企業使用。<a href="https://linecorp.com/zh-hant/pr/news/zh-hant/2023/4493">（詳全文）</a></p> <p><img alt="" src="https://d.line-scdn.net/stf/linecorp/zh-hant/pr/2023021616.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face聯手AWS，要讓開發者更容易使用生成式AI模型</strong></span></p> <p>AI新創Hugging Face擴大與公雲業者AWS的合作計畫，要降低開發者使用大型生成式AI模型的門檻。Hugging Face將使用AWS雲端服務來開發產品，包括機器學習工具Amazon SageMaker、AWS Trainium、AWS Inferentia等，Hugging Face也會在AWS上訓練、微調和部署模型，讓使用Hugging Face模型的使用者，能更簡單地最佳化模型效能、降低成本，更快部署至正式環境。</p> <p>這項合作也讓使用者能在AWS上，使用最新的Hugging Face模型；使用者只要在SageMaker和EC2點擊滑鼠，就能微調和部署Hugging Face模型，並使用AWS Trainium和Inferentia等機器學習加速器，來高效執行機器學習運算。<a href="https://huggingface.co/blog/aws-partnership">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DARPA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> F-16 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自駕 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國防部證實AI自駕F-16戰鬥機</strong></span></p> <p>美國國防高等研究計畫署（DARPA）揭露軍事化AI研究最新進展，已能用來控制經改裝的F-16戰鬥機X-62A飛行，並在去年12月多次於加州空軍基地測試，證實AI代理可控制戰鬥機。</p> <p>這項成果是DARPA空戰進化（ACE）計畫的里程碑，ACE計畫在2019年啟動，目標是要發展可信任且可人機協同空中作戰的AI自駕系統。這次的新進展，由DARPA執行單位EpiSci、PhysicsAI、Shield AI和約翰霍普金斯大學，在X-62A上部署各種AI演算法，來執行多次起飛和著陸，並測試演算法在不同起始條件下的表現，如對抗各種模擬對手，甚至是模擬武器。這些測試已經通過，不過，ACE計畫也聯手測試飛行員學校，來在飛機駕駛艙中安裝感測器、量測飛行員生理數值，作為研究飛行人員是否相信AI的參考。<a href="https://www.darpa.mil/news-events/2023-02-13">（詳全文）</a></p> <p><img alt="" src="https://www.darpa.mil/DDM_Gallery/VISTA_619x316.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> SolidWorks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 設計 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>SolidWorks正在打造設計界ChatGPT </strong></span></p> <p>CAD軟體大廠SolidWorks CEO Manish Kumar日前在達梭技術年會上揭露，正在研發設計界ChatGPT，要讓使用者輸入文字，系統自動產出物件雛形，來加速使用者設計過程。</p> <p>他進一步分析生成式設計技術發展的3個必經階段，首先，這類生成式AI要能根據設計師提出的物理限制或特性，做出各種變化，再來，生成式設計AI要根據設計意圖，如螺絲孔間距等關鍵物件之間的關係，來產出具備不同外觀特徵的設計。而達梭系統的開發進度，就處於這個階段。第3階段則是將既有零組件加入生成考量，比如以既有零件為基礎來生成設計，更容易讓設計投入生產，也能大幅減少物料和零件浪費，甚至能以常見回收廢棄物的零件，做為生成設計基礎。此外，Manish Kumar也補充，這種生成式設計AI，也要具備修正能力，也就是根據使用者提出的需求，來修正雛形，直到使用者滿意。<a href="https://www.ithome.com.tw/news/155532">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 法律 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-3.5 </span></strong></span></p> <p><span style="font-size:22px;"><strong>國際律師事務所擁抱大型語言模型，要減輕千名律師負擔</strong></span></p> <p>倫敦5大律師事務所之一的安理國際律師事務所（Allen & Overy）最近部署一款自然語言處理（NLP）平臺Harvey，以OpenAI的大型語言模型GPT-3.5為基礎，來協助律師起草、分析合約、進行盡職調查和記錄客戶備忘錄等工作。</p> <p>這款聊天機器人由OpenAI新創基金會孵化的新創Harvey AI開發，該新創本身就由一群律師組成。他們在去年11月，就與安理國際律師事務所展開測試，讓旗下律師來試用Harvey；截至測試結束時，事務所已有3,500名律師使用Harvey，共發出4萬多條詢問。安理國際律師事務所表示，Harvey將繼續供旗下43個跨國辦公室、共3,500多名律師使用，且支援多種語言。<a href="https://www.allenovery.com/en-gb/global/news-and-insights/news/ao-announces-exclusive-launch-partnership-with-harvey">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Spotify </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 人體掃描 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 皮膚 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Spotify創辦人開公司打造360人體掃描儀，用AI加持皮膚和心臟分析</strong></span></p> <p>Spotify創辦人Daniel Ek聯手Hjalmar Nilsonne成立一家醫療科技新創Neko Health，主打360度人體掃描艙，可透過70幾個感測器來收集人體5千多萬個數據點，涵蓋皮膚、心臟、血管、呼吸和微循環等，此外還有單獨的掃瞄器，來量測心臟、血壓和全身脈動，再透過AI分析這些數據、產出報告給醫生和患者，如常見疹類的生長狀況，民眾也可在App上查看結果。該公司表示，這項全身掃描服務只需幾分鐘，目前已在瑞典開放預約，每次收費約190美元。<a href="https://www.theverge.com/2023/2/4/23585948/spotify-founder-daniel-ek-ai-body-health-scanner">（詳全文）</a></p> <p><img alt="" src="https://duet-cdn.vox-cdn.com/thumbor/0x0:1920x1280/1440x960/filters:focal(960x640:961x641):format(webp)/cdn.vox-cdn.com/uploads/chorus_asset/file/24410106/neko_health_body_scanner.jpeg" /></p> <p>圖片來源／DeepLearning.AI、Line臺灣、DARPA、Neko Health</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI啟動一系列計畫改進ChatGPT的偏見與預期外行為</strong></p> <p><strong>2. 工研院與7-ELEVEN聯手，3月起在高軟園區辦公大樓試營運AMR機器人外送服務</strong></p> <p>資料來源：iThome整理，2023年2月</p> </div></div></div>
2023/2/23 21:05作者王若樸https://www.ithome.com.tw/news/155656
【資安日報】2023年2月23日，研究人員找到WAF可被繞過的盲點、駭客假借提供ChatGPT應用程式的名義散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有研究人員在為客戶進行展示的過程中，無意間發現了Akamai網頁應用程式防火牆（WAF）的換行字元（CRLF）注入漏洞，而能突破防火牆規則，對網站發動跨網站指令碼（XSS）攻擊。值得留意的是，研究人員認為其他廠牌的WAF也多半存在類似漏洞。</p> <p>機器學習語言模型ChatGPT正紅，駭客也看上這樣的情況，用來對電腦與手機用戶，散布多種惡意軟體，甚至想要竊取信用卡資料。</p> <p>上個月微軟修補了Windows備份服務漏洞CVE-2023-21752，如今傳出駭客正在分析概念性驗證程式碼，打算將漏洞用於攻擊行動的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.praetorian.com/blog/using-crlf-injection-to-bypass-akamai-web-app-firewall/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">多款WAF可能存在CRLF漏洞，Akamai是目前發現的首例</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Akamai10.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Akamai10.png" style="width: 300px; float: right;" /></a>資安業者Praetorian發現Akamai網頁應用程式防火牆（WAF）上，他們能夠透過換行字元（CRLF）注入漏洞，突破該系統的跨網站指令碼（XSS）過濾機制。研究人員透過上述手法將原語（primitive）注入到內容編碼標頭，利用壓縮HTTP回應酬載的方式，將其注入到回應的本體（body），而能在不更動XSS核心酬載的情況下繞過WAF的規則。</p> <p>研究人員指出，這種CRLF注入的缺陷很可能不是Akamai的系統獨有，其他廠牌的WAF也有可能存在這類弱點可被利用。</p> <p><a href="https://blog.cyble.com/2023/02/22/the-growing-threat-of-chatgpt-based-phishing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供ChatGPT應用程式的名義，針對Windows、安卓用戶散布惡意軟體</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-4-Fake-OpenAI-and-ChatGPT-Website.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-4-Fake-OpenAI-and-ChatGPT-Website.png" style="width: 300px; float: right;" /></a>研究人員於Dominic Alvieri於2月12日發現，有人假借提供機器學習語言模型ChatGPT軟體的名義，實際上是針對Windows電腦發送竊密軟體RedLine，隔日察覺有人利用相同的名義在Google Play市集上加App，攻擊Android用戶。</p> <p>資安業者Cyble進一步調查指出，駭客不只架設假網站對Windows使用者散布RedLine，也有散播竊密軟體Lumma Stealer、Aurora Stealer的情況，此外，他們也看到剪貼簿挾持軟體（Clipper）的攻擊行動。</p> <p>而針對Android用戶，該資安業者則是總共發現逾50款惡意App。值得一提的是，駭客也謊稱提供ChatGPT Plus付費服務的名義，企圖騙取信用卡資料。</p> <p><a href="https://cloudsek.com/threatintelligence/cve-2023-21752-privilege-escalation-vulnerability-on-windows-backup-service"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows備份服務的權限提升漏洞恐出現攻擊行動</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FqWEnFQCNFU.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FqWEnFQCNFU.png" style="width: 300px; float: right;" /></a>微軟於一月份的例行修補（Patch Tuesday）當中，針對Windows備份服務漏洞CVE-2023-21752（CVSS風險評分為7.1分）祭出緩解措施，但最近傳出有人打算拿來發動攻擊。</p> <p>資安業者CloudSEK提出警告，有人在網路犯罪論壇上討論如何利用這個存在Windows Backup Service當中的漏洞，藉由分析研究人員公布的概念性驗證（PoC）程式碼來打造攻擊工具。由於這項漏洞有可能讓攻擊者取得SYSTEM權限，再加上已有人想要用於攻擊行動，使得研究人員呼籲使用者要儘速安裝相關更新軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-now-exploit-critical-fortinet-bug-to-backdoor-servers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet的NAC設備重大漏洞已出現攻擊行動</span></strong></a></p> <p>資安業者Fortinet於2月16日修補旗下網路存取控制（NAC）解決方案FortiNAC重大漏洞CVE-2022-39952，資安業者Horizon3.ai於21日公布細節及概念性驗證（PoC）程式碼，如今有不少研究人員發現駭客已用於攻擊行動。</p> <p>舉例來說，非營利組織Shadowserver基金會在蜜罐誘捕系統發現這類行為，出現來源為多個IP位址的漏洞利用嘗試攻擊；資安業者CronUp看到駭客濫用自動化任務排程應用程式corn jobs，目的是建立反向Shell；資安業者GreyNoise則是看到於22日晚間出現攻擊行動，並於23日淩晨達到高峰。</p> <p><a href="https://www.cisa.gov/uscert/ncas/current-activity/2023/02/21/cisa-adds-three-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國警告IBM檔案共用系統漏洞、Mitel網路電話系統漏洞已被用於攻擊行動</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月21日發布資安通告，他們將IBM檔案共用系統Aspera Faspex漏洞CVE-2022-47986（CVSS風險評分為9.8分），以及Mitel網路電話系統MiVoice Connect漏洞CVE-2022-41223、CVE-2022-40765（CVSS評分皆為6.8分），列入已被用於攻擊行動的漏洞名單（KEV），並要求聯邦機關於3月14日前完成修補作業。</p> <p><a href="https://www.bitdefender.com/blog/labs/s1deload-stealer-exploring-theeconomics-of-social-networkaccount-hijacking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">YouTube與臉書用戶遭到竊密軟體S1deload Stealer鎖定</span></strong></a></p> <p>資安業者Bitdefender揭露竊密軟體S1deload Stealer的攻擊行動，駭客自2022年7月至12月，針對YouTube與臉書的用戶下手，假借提供色情內容的名義來散布惡意軟體。一旦使用者依照指示執行，電腦就有可能被植入S1deload Stealer。</p> <p>研究人員指出，此竊密軟體不只具備盜取機密資料的能力，還可以下載其他模組，執行挖礦或是其他行動──例如，在背景執行模擬人類操作行為的無視窗Chrome瀏覽器，增加特定YouTube影片或是臉書貼文的瀏覽次數。</p> <p><a href="https://www.bleepingcomputer.com/news/security/activision-confirms-data-breach-exposing-employee-and-game-info/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電玩業者Activision傳出資料外洩事故，曝露員工與遊戲資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FpX2VUKWYAARl3l.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FpX2VUKWYAARl3l.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer報導，資安研究團隊VX-Underground發現，有人在2022年12月2日，挾持電玩遊戲開發商Activision員工的Slack帳號，並向其他員工散布惡意URL網址，最終竊得該廠商的機密文件，而裡面有預計今年11月17日發布的資訊。</p> <p>電玩新聞網站Insider Gaming針對駭客竊得的資料進行分析，指出這些洩露的資料包含了員工的姓名、電子郵件信箱、電話號碼、薪資、工作地點等詳細資料，並提及遭駭的員工隸屬人力資源部門。此外，該媒體也看到這次洩露與電玩有關的內容，其中包含電玩遊戲決戰時刻：現代戰爭II（Call of Duty | Modern Warfare II）即將上市的組合商品。</p> <p>對此，Activision表示，他們的資安團隊於12月4日察覺此事並著手處理，經調查後確認沒有員工的敏感資料、遊戲程式碼、玩家資料遭異常存取。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0004.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Carbon Black App Control出現重大漏洞，恐被用於存取作業系統底層</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>VMware旗下的應用程式白名單控制系統Carbon Black App Control，最近發布Windows新版軟體，目的是修補重大漏洞CVE-2023-20858，一旦攻擊者取得特殊存取權限而能夠入侵管理主控臺，就有可能利用偽造的輸入觸發該漏洞，來存取伺服器的作業系統底層，甚至會波及列管的電腦，CVSS風險評分為9.1分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.ithome.com.tw/news/155623"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國防部將敏感電子郵件曝險於外部網路達2周</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/stealc-a-copycat-of-vidar-and-raccoon-infostealers-gaining-in-popularity-part-1/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊密軟體Stealc鎖定22款網頁瀏覽器、75個外掛程式、25個加密貨幣錢包而來</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/02/multilingual-skimmer-fingerprints-users-via-cloudflare-endpoint-api"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Magecart攻擊行動再度出現，駭客濫用Cloudflare的API攔截線上交易資料</span></span></strong></a></p> <p><a href="https://www.thejournal.ie/tusla-contact-20000-people-data-compromised-during-hse-cyber-attack-5999841-Feb2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">兒童福利機構Tulsa表示有2萬人個資在2021年網路攻擊事故外洩</span></span></strong></a></p> <p><a href="https://news.samsung.com/global/samsung-message-guard-protects-you-from-new-and-invisible-threats"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">三星針對旗下手機加入零點擊漏洞防護措施</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155635">【2023年2月22日】新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155613">【2023年2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155597">【2023年2月20日】 WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</a></strong></p> </div></div></div>
2023/2/23 17:42作者周峻佑https://www.ithome.com.tw/news/155652
IBM調查發現企業普遍對勒索軟體已有抵抗力，遠端後門攻擊成主要威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM Security發布一年一度的<a href="https://securityintelligence.com/posts/2023-x-force-threat-intelligence-index-report/">X-Force Threat Intelligence Index資安報告</a>，最新的2022年報告指出，目前企業遭遇到最大的資安威脅已經不是勒索軟體，而是遠端後門攻擊，網路釣魚攻擊仍是主要攻擊媒介，不少攻擊者的目的是向勒索企業獲取金錢，比起過去，攻擊者的勒索手段更強硬。</p> <p>勒索軟體橫行的高峰時期已經過去，經過勒索軟體肆虐洗禮，企業逐漸長出抵抗力，因此企業2022年涉及勒索軟體的攻擊事件只剩下17％，這代表企業現在能夠更好地偵測和預防勒索軟體，取而代之的是後門攻擊，成為2022年企業首要資安威脅。</p> <p>IBM Security資安研究人員提到，後門存取成為暗網熱門商品，每個後門存取的價格可能達數千美元，相較每筆信用卡資料可能只值10美元，後門存取對駭客更具價值。</p> <p>IBM Security在21％的資安事件中，發現攻擊者部署後門程式，而這些後門程式有67％，是攻擊者嘗試部署勒索軟體失敗的產物，也就是說，企業在勒索軟體部署前，就成功破壞後門。勒索軟體對企業整體的衝擊已經大幅降低，從2019年至2021年，勒索軟體攻擊的平均持續時間減少94％，從2個多月降至4天。</p> <p>網路釣魚依然是攻擊者愛用手段，但也是最有效的初始攻擊向量，在2022年有41％的攻擊事件用上網路釣魚手法，在所有網路釣魚事件中，有62％使用魚叉式網路釣魚附件，33％使用魚叉式網路釣魚連結，魚叉式網路釣魚服務只占5％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1hYjZmNTU2MGIyNTYxMWVkOTk0ZDBlYzliNGI1YzZhZQ%3D%3D.jpeg" style="width: 580px;" /></p> <p>老舊漏洞仍可能被重新用於攻擊中，像是2017年所發現的WannaCry漏洞，在2022年捲土重來，感染數增加達800％，而且因為CVE資料的公開，攻擊者能夠更簡單地搜尋早期未被積極修補的漏洞，作為攻擊目標。</p> <p>不過攻擊者使用漏洞發動攻擊的數量，已經在2022年大幅降低，較2021年少了19％，研究人員指出，可能原因是2021年底出現影響廣泛的Log4j漏洞，使當年這個數字大幅增加。</p> <p>雖然勒索軟體影響已經獲得控制，但是勒索這個行為，仍普遍的出現在包括電子郵件洩漏和DDoS攻擊威脅中，攻擊者的勒索策略也更強硬，會將企業的客戶、商業夥伴當作籌碼，甚至直接聯絡受害者客戶，告知他們的資料已經遭洩漏，藉此增加被駭企業支付贖金的壓力。</p> <p>製造業是2022年受攻擊最嚴重的產業，也是受勒索最嚴重的產業，因為攻擊者抓準製造業對停機事件容忍度極低，能夠對受害企業施加更大的心理壓力。</p> </div></div></div>
2023/2/23 18:21作者李建興https://www.ithome.com.tw/news/155654
蘋果非侵入性血糖偵測技術有新進展，向Apple Watch邁進一步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期為iPhone及Apple Watch研發生理量測功能的蘋果可能有最新進展。<a href="https://www.bloomberg.com/news/articles/2023-02-22/apple-watch-blood-glucose-monitor-could-revolutionize-diabetes-care-aapl" target="_blank">《彭博》報導</a>，蘋果已經發展出非侵入性的血糖量測技術，原型已進入測試階段。</p> <p>這項代號為E5的專案旨在開發以雷射偵測皮下血液中的血糖濃度，讓使用者不需忍受傳統偵測方式刺破皮膚採血的痛楚。消息人士指出，之前蘋果暗中研發的裝置大到一臺桌上儀器，但近日已經縮小到iPhone大小，並進入驗證測試階段。</p> <p>這類技術可用於第二型糖尿病患及糖尿病前期用戶的日常血糖自我管理，若穩定性佳，也將挑戰DexCom（DXCM）和Abbott Laboratories等醫療器材大廠。</p> <p>最終蘋果應該希望將這類技術整合到其智慧手錶Apple Watch。蘋果陸續強化Apple Watch的生理量測及健康監控功能。繼心電圖（ECG）功能之後，<a href="https://array.aami.org/content/news/apple-watches-have-two-new-fda-cleared-health-applications" target="_blank">蘋果的一項心律不整（AFib）紀錄功能去年也獲得美國FDA 510 (K)許可認定</a>。此外Apple Watch也能用於偵測睡眠活動、量測體溫，或配合第三方App量測帕金森氏症的顫抖癥狀。</p> <p>《彭博》報導，這種無創血糖量測技術來自創辦人賈伯斯（Steve Jobs）時期，蘋果2010年買下的新創公司RareLight。此後這家公司就一直以Avolonte Health為名運作，最後整併到蘋果的初探設計事業群（Exploratory Design Group，XDG），並向執行長Tim Cook及Apple Watch硬體主管Eugene Kim報告。</p> <p>不過何時能見到這項技術問世不得而知。<a href="https://www.ithome.com.tw/news/145037" target="_blank">《彭博》2021年就曾報導</a>Apple Watch加入血糖及體溫偵測的計畫。目前<a href="https://support.apple.com/en-us/HT213275" target="_blank">Apple Watch的體溫偵測功能</a>仍無法作為醫療參考。相較於心電圖，血糖量測更為困難；Google姐妹公司Verily曾經研發非侵入式偵測血糖的隱形眼鏡的計畫，最終也因準確不佳而告失敗。</p> </div></div></div>
2023/2/23 17:45作者林妍溱https://www.ithome.com.tw/news/155653
傳中國政府要求網路巨人不得使用ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://asia.nikkei.com/Business/China-tech/China-tells-big-tech-companies-not-to-offer-ChatGPT-services" target="_blank">《日經亞洲》（Nikkei Asia）昨日報導</a>，中國政府要求中國科技公司不得對用戶提供ChatGPT服務，以免ChatGPT對用戶提供未經審查的答案。</p> <p>消息人士指出，包括騰訊、螞蟻集團、阿里巴巴集團都被主管機關要求不得在其平臺上，不論是直接或透過第三方服務提供ChatGPT服務。此外，中國政府也要求網路公司發展自己的AI聊天機器人之前也需向主管機關報告。</p> <p>如同許多美國網路服務，ChatGPT無法在中國存取，但許多用戶仍透過VPN連向這個聊天機器人，並在中國用戶之間引發熱潮。</p> <p>但中國官方媒體如《中國日報》即警告，ChatGPT有意識型態偏差，可能被用於散布西方國家的政治宣傳內容，對民眾造成誤導。例如<a href="https://www.youtube.com/watch?v=JQgr6T4-MKA" target="_blank">在新疆再教育營的查詢</a>中，中國媒體稱ChatGPT的回覆和美國論點如出一轍。</p> <p>AI科技的進展與可能帶來的影響，也讓中國政府亟思強化管制。<a href="https://www.ithome.com.tw/news/154680" target="_blank">去年底中國頒布AI合成影片（如deepfake）的管制規範</a>，例如加上明顯提示，以防止這類科技被用來冒充身分、散布假訊息、詐騙民眾。<a href="https://www.theverge.com/2023/2/22/23609945/china-ai-chatbots-chatgpt-regulators-censorship" target="_blank">《The Verge》報導</a>，中國網路大廠也被要求審查其他AI內容，例如百度的AI影像產製服務無法產製天安門的影像。</p> <p>日經報導，基於對AI回覆內容的疑慮，ChatGPT可能永遠都無法進入中國市場。</p> <p>事實上，中國網路平臺業者也正在開發自有聊天機器人。例如百度正在開發「文心一言」（ENRIE Bot），媒體報導，<a href="https://technews.tw/2023/02/07/baidu-announced-chatgpt-like-ernie-bot/" target="_blank">百度預計3月上線</a>。但相關時程是否會受到中國政府最新法規要求而變化不得而知。</p> </div></div></div>
2023/2/23 16:53作者林妍溱https://www.ithome.com.tw/news/155649
微軟放寬對Bing Chat的回應限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155591" target="_blank">周末才說</a>要對加入ChatGPT的Bing聊天機器人的回應設下限制，<a href="https://blogs.bing.com/search/february-2023/The-new-Bing-and-Edge-Increasing-Limits-on-Chat-Sessions" target="_blank">微軟昨（22）日又做出放寬限制</a>，並預告增加讓使用者自行調整Bing回覆語氣的功能。</p> <p>經過一周的上線測試後，由於Bing聊天機器人出現粗魯、情緒化及恐嚇的回應引發用戶不安，微軟上周承諾要改善，並在周末首先設下每回對話只能回覆5次，每天回覆最高50次的限制。微軟的理由是，問答超過15次的長對話可能使底層AI模型發生混淆，開發團隊內部當初並未預料用戶和Bing會出現長而複雜的對話，而這次以預覽版開放少數用戶試用，正是為了找到非典型的使用情境。</p> <p>然而在周末開始為Bing設限後，該公司接到用戶反應希望能有較長對話，以提升搜尋效率及互動效果。因此微軟打算再重新開放長對話，但又要採用「負責任」的作法。</p> <p>微軟計畫分階段實施。第一步是將每次回覆和每天總量提升為6次和60次，但希望很快能將每日回覆上限提高到100次，而一般的搜尋則不列入計次範圍。微軟可望很快就會公布這部份的調整細節。</p> <p>此外，微軟上周預告將增加用戶可微調Bing語氣的功能，昨日也說明進度。該公司正在測試讓用戶選擇「精準」（Precise）、「平衡」（Balanced）及「創意」（Creative）三種搜尋語氣。「精準」提供較短、更傾向搜尋的答案，而「創意」則提供較長、更像聊天的答案。這功能目的在讓用戶控制對話型態以滿足使用需求。</p> <p>不過這項新功能的開發時程微軟並未說明。</p> </div></div></div>
2023/2/23 17:06作者林妍溱https://www.ithome.com.tw/news/155650
微軟Visual Studio 2022 17.5改進開發流程，提升.NET建置和除錯效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2022-17-5-released/">微軟正式推出Visual Studio 2022 17.5</a>，這是一個具有許多更新功能的新版本，包括<a href="https://www.ithome.com.tw/news/155205">多合一搜尋功能</a>、<a href="https://www.ithome.com.tw/news/155234">輔助功能與拼字檢查工具</a>、<a href="https://www.ithome.com.tw/news/154896">Markdown編輯器</a>，而且微軟也改進.NET程式碼的建置和除錯速度，進一步改善開發人員工作流程，針對<a href="https://www.ithome.com.tw/news/155563">遊戲開發人員的更新，還有新的遠端檔案資源管理器</a>、Linux Console輸出與開發容器改進，改進跨平臺的開發體驗。</p> <p>Visual Studio 2022 17.5大幅提升.NET建置效能，系統現在只會建置經過修改的專案，並且跳過沒有變化的部分，官方提到，新的建置加速改進，能夠使SDK類型的.NET專案建置時間大幅縮減80％。</p> <p>微軟還改進執行緒視窗（Threads window）的回應次數，大幅改進除錯器的效能，微軟解釋，該視窗在除錯多執行緒應用程式非常重要，在最新的版本，執行緒視窗會隨著執行緒數量自動擴展，和Visual Studio 2022 17.4相比，能夠達2倍的回應速度，同時也提高外部程式碼去編譯速度達10倍，使開發者排除.NET模組故障更有效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-241331-4-5.png" style="width: 580px; height: 322px;" /></p> <p>微軟也改進Visual Studio 2022現代化.NET和雲端運算開發的體驗，雖然後端API和微服務是現代網路應用程式的關鍵，但是微軟表示，目前對許多開發人員來說，API開發仍然不夠友善。API開發訴求敏捷以及快速迭代，在Visual Studio 2022中，微軟目標要讓內循環生命周期中的API開發更容易。</p> <p>這個目標的初始成果，是微軟在ASP.NET Core專案加入.http/.rest檔案，並整合一個HTTP客戶端，.http/.rest檔案是API端點的簡明定義，使得開發者可以執行API和操縱不同的REST呼叫，在Visual Studio中以結構化的方式觀察輸出。.http/.rest檔案並不會取代整合和單元測試，只是提供一個可快速迭代的API開發新方法。</p> <p>同時，微軟也擴大Visual Studio與Azure之間的整合，在之前，微軟已經讓開發人員，可以簡單地將Visual Studio程式部署至Azure App Service和Azure Functions等服務，而現在這項整合加入Azure Container Apps等容器服務。</p> <p>開發人員可以更簡單地將ASP.NET Core應用程式部署到Azure Container Apps，而且Visual Studio還能夠自動創建需要的雲端資源，不需要仰賴外部檔案定義容器內容和建置步驟。在Visual Studio創建資源完成後，用戶可以使用.NET 7 SDK快速建置容器映像檔。</p> <p>Visual Studio 2022 17.5的整合式終端現在也可以支援Linux Console，使開發者更容易存取遠端Linux機器，經整合的控制臺視窗，可供開發人員輸入並且獲得輸出。</p> </div></div></div>
2023/2/22 23:17作者李建興https://www.ithome.com.tw/news/155632
AWS與AI技術公司Hugging Face進一步擴大合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/blog/aws-partnership">人工智慧技術公司Hugging Face與AWS宣布擴大合作</a>，並建立起類似OpenAI和微軟之間的戰略夥伴關係。雙方早在2021年就已經合作，而現在增加合作力度，目標是提升下一代機器學習模型的可用性，並且讓機器學習技術更加普及。</p> <p>企業建置、訓練、部署大型語言模型和電腦視覺模型，是一個高成本且耗時的過程，況且訓練這些模型需要高度專業知識，這樣的門檻使許多企業難以將生成式人工智慧用於產品中，而Hugging Face與AWS的合作，便是要降低應用生成式人工智慧的困難。</p> <p>Hugging Face是一家人工智慧公司，開發用於建構機器學習應用程式的工具，提供可用於不同機器學習任務的模型，知名的產品包括自然語言處理Transformers模型，同時Hugging Face也營運共享平臺，供人工智慧社群可以在平臺上共享程式碼、模型和資料集。</p> <p>Hugging Face將會主要使用包括Amazon SageMaker、AWS Trainium、AWS Inferentia等AWS雲端服務開發產品，並且在AWS上訓練、微調和部署模型，讓使用Hugging Face模型的用戶，能夠更簡單地最佳化模型效能並且降低成本，更快速地投入生產。</p> <p>雙方合作也使得用戶在AWS上，能夠方便地使用最新的Hugging Face模型，用戶只要在SageMaker和EC2透過滑鼠點擊，就能夠微調和部署Hugging Face模型，並且使用AWS Trainium和Inferentia機器學習加速器，高效率執行機器學習運算。</p> </div></div></div>
2023/2/22 23:49作者李建興https://www.ithome.com.tw/news/155636
微軟宣布Xbox PC遊戲將登陸GeForce NOW，還要讓任天堂玩家玩到《Call of Duty》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟擴大Xbox遊戲版圖，<a href="https://www.prnewswire.com/news-releases/microsoft-and-nvidia-announce-expansive-new-gaming-deal-301752099.html">宣布將與Nvidia建立10年合作關係</a>，讓玩家在Nvidia雲端遊戲服務GeForce NOW，也能玩到Xbox PC遊戲，另外，微軟也與任天堂簽署10年合約，要讓遊戲公司動視暴雪（Activision Blizzard）發行的遊戲《Call of Duty》<a href="https://twitter.com/BradSmi/status/1627926790172811264?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1627926790172811264%7Ctwgr%5E8b84daf858f8626e21fab22a45e2383e78e68955%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fwww.geekwire.com%2F2023%2Fmicrosoft-inks-binding-10-year-contract-with-nintendo-for-call-of-duty-as-it-defends-activision-deal%2F">上到任天堂的平臺</a>。</p> <p>微軟與Nvidia的協議，將讓Xbox PC的遊戲，可以透過GeForce NOW串流到PC、macOS、Chromebooks、智慧手機和其他裝置上，微軟也提到，他們會在完成收購動視暴雪之後，在GeForce NOW上串流遊戲《Call of Duty》。</p> <p>目前微軟已經和Nvidia展開合作，將Xbox PC遊戲整合到GeForce NOW，讓GeForce NOW會員可以串流在Windows Store中購買的遊戲，而在Steam或Epic遊戲商店上販售的Xbox PC遊戲，現在也都會在GeForce NOW平臺串流。</p> <p>另外，微軟副董事長兼總裁Brad Smith也在推特上，公開與任天堂的最新合作關係，將會在微軟收購動視暴雪之後，讓《Call of Duty》登陸任天堂平臺。微軟和任天堂簽署10年合約，並承諾任天堂的玩家，將能夠與Xbox、PlayStation等其他遊戲平臺的玩家一樣，獲得長期且平等的遊戲內容與體驗，使玩家有更多平臺選擇，也增加遊戲市場的良性競爭。</p> <p>微軟在2022年1月的時候，宣布要以687億美元買下動視暴雪，而這將是微軟有史以來最大的併購案，但是這項併購案受到各方阻擾，不只美國聯邦交易管理委員會（FTC）向微軟提出控訴，以可能壟斷遊戲市場為由阻擋併購動視暴雪之外，歐盟也針對併購案深入調查，擔心這項併購會減少遊戲產業和PC作業系統的競爭。</p> </div></div></div>
2023/2/22 23:51作者李建興https://www.ithome.com.tw/news/155637
AWS鎖定電信業者推出Telco Network Builder，簡化雲端電信網路的部署和管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS針對通訊服務供應商（CSP）推出<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-telco-network-builder-deploy-and-manage-telco-networks/">Telco Network Builder（TNB）</a>，使CSP可以更簡單地在雲端建置和部署網路，另外，AWS聯合多家電信公司，推出<a href="https://aws.amazon.com/tw/blogs/industries/aws-launches-integrated-private-wireless-on-aws-program/">Integrated Private Wireless on AWS</a>計畫，使企業可以在AWS平臺探索新興5G無線技術產品。</p> <p>目前CSP已經將許多程式碼部署於虛擬機器上，隨著趨勢發展CSP將會部署更多的容器，但<a href="https://aws.amazon.com/tw/about-aws/whats-new/2023/02/aws-telco-network-builder/">AWS提到</a>，要將傳統網路需求映射到雲端環境非常複雜，要建立起大型網路，CSP用戶會需要在AWS上數千個位置部署數百個運算、儲存和網路元件，並且在不同的位置間建立和維護安全網路，同時管理和擴展運作中的網路。</p> <p>而TNB能夠簡化這些部署和管理工作，自動將用戶要求映射到雲端架構，並且自動獲取需要的運算、儲存和網路資源，使得CSP能夠簡單在AWS上部署和管理公私電信網路。</p> <p>用戶可以透過AWS CLI、AWS SDK來存取TNB，並且在單個AWS地區中創建一個跨多個可用區域的網路。藉由使用TNB，CSP能夠繼續使用現有電信產業標準、實踐和資料格式，但同時加速雲端基礎設施和服務部署，以單一服務部署、更新和升級網路功能，簡化網路生命周期管理。TNB還提供了一個集中式控制面板，供用戶統一監控和管理AWS資源。</p> <p>另外，AWS也推出Integrated Private Wireless on AWS計畫，透過與多家電信公司合作，包括Deutsche Telekom、KDDI和Telefonica等電信公司，跨AWS地區、Local Zones、Outposts和Snow系列，整合4G、5G無線技術與AWS服務，企業可以直接在AWS入口網站，探索各種由電信公司提供的私有無線網路產品。</p> </div></div></div>
2023/2/22 23:57作者李建興https://www.ithome.com.tw/news/155633
【資安日報】2023年2月22日，新加坡與中國的大型資料中心用戶帳密遭竊、殭屍網路MyloBot每天感染逾5萬臺電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型資料中心GDS Holdings、ST Telemedia Global Data Centres傳出自2021年下旬，遭駭客盯上，竊得兩家公司逾2千個使用者帳號。彭博社指出，這樣的資安事故很可能波及蘋果、微軟、高盛、Walmart、阿里巴巴等全球大型企業。</p> <p>研究人員揭露殭屍網路MyloBot近期的攻擊行動，並指出一天平均有5萬臺電腦遭到感染，且有部分受害電腦難以追查，實際遭到該殭屍網路入侵的電腦可能會更多。</p> <p>蘋果於1月底推出iOS 16.3、macOS 13.2，但有兩個漏洞最近才公布有關說明。值得留意的是，這些漏洞可破解蘋果對於ForcedEntry漏洞提出的緩解措施，後續影響有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.resecurity.com/blog/article/cyber-attacks-on-data-center-organizations"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新加坡、中國的大型資料中心用戶帳密遭竊</span></strong></a><span style="color: rgb(255, 140, 0);"> </span></p> <p><a href="https://s4.itho.me/sites/default/files/images/E7WPJYKKTG_20230222-1716-54745.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/E7WPJYKKTG_20230222-1716-54745.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露大型資料中心GDS Holdings、ST Telemedia Global Data Centres的資料外洩事故，研究人員自2021年9月察覺此事並著手追蹤、調查。近期有人宣稱握有上述兩家公司超過2千個使用者的帳密資料，並在2月20日公布於駭客論壇BreachForums。</p> <p><a href="https://www.bloomberg.com/news/features/2023-02-21/hackers-scored-corporate-giants-logins-for-asian-data-centers">根據彭博社的報導</a>，駭客已至少成功登入其中5個帳號，這些帳號的所有者身分，包含了中國主要的外匯與債務交易平臺，以及4個印度組織。</p> <p>研究人員特別提及，他們約在2021年9月7日，發現行政院原子能委員會核能研究所（INER）有Office 365帳號遭駭，被用於相關攻擊行動，他們也通報臺灣政府並聯手調查。</p> <p><a href="https://www.bitsight.com/blog/mylobot-investigating-proxy-botnet"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度、美國、印尼、伊朗遭到殭屍網路MyloBot鎖定，一天逾5萬裝置遭感染</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/mylobot figure 9-min.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/mylobot%20figure%209-min.png" style="width: 150px; float: right;" /></a>資安業者BitSight揭露近期殭屍網路MyloBot的攻擊行動，駭客先是透過WillExec下載器投放Shell Code，並透過處理程序挖空（Process Hollowing）下載MyloBot，然後WillExec再次執行解密工作，最終在受害電腦植入殭屍網路病毒。</p> <p>比較特別的是，駭客疑似將這些遙控的電腦用於提供代理伺服器服務BHProxies，藉機牟利。為了進一步了解狀況，研究人員申請試用該服務，取得部分代理伺服器的IP位址，結果發現，對方提供的50個IP位址裡，有28個與MyloBot有關。</p> <p>研究人員根據遙測資料指出，目前每天至少有5萬臺電腦遭到感染，從受害電腦的地理位置來看，印度最為嚴重，其次是美國、印尼、伊朗。</p> <p><a href="https://techcrunch.com/2023/02/21/sensitive-united-states-military-emails-spill-online/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國防部將電子郵件資料散布到外部網路達2周</span></strong></a></p> <p>根據IT新聞網站TechCrunch的報導，研究人員Anurag Sen找到微軟Azure政府雲代管的郵件伺服器，出現配置不當的情況，任何人只要知道IP位址就能存取這臺郵件系統，不需輸入密碼進行驗證。</p> <p>經調查發現該伺服器為美國國防部所有，內有約3 TB的軍事電子郵件，其中有許多與該國的特種作戰指揮部（USSOCOM）有關。研究人員指出，部分信件含有機敏資料，其中曝露的資料包含美軍人員的調查問卷，包含了個人健康資訊。</p> <p>此伺服器約從2月8日曝露於網際網路，TechCrunch通報後美國特種作戰指揮部於20日採取保護措施。但這段期間是否有人存取伺服器上的資料？仍有待釐清。</p> <p><a href="https://threatmon.io/apt-sidecopy-targeting-indian-government-entities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度政府機關遭到駭客組織SideCopy鎖定</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/qv6deO8gXR_20230222-1700-30947.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qv6deO8gXR_20230222-1700-30947.png" style="width: 300px; float: right;" /></a>資安業者ThreatMon揭露駭客組織SideCopy近期的攻擊行動，該組織鎖定印度政府機關，假借提供資安通告的惡意Word檔案，一旦收信人開啟並啟用巨集，該檔案的惡意程式碼就會執行，最終於受害電腦部署木馬程式ReverseRAT。</p> <p>值得留意的是，為了說服收信人啟用巨集，駭客將Word檔案的標題更換成「啟用巨集才能瀏覽額外的建議措施」。</p> <p><a href="https://interlab.or.kr/archives/2567"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南韓記者遭到安卓惡意軟體RambleOn鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RambleOn-image6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RambleOn-image6.png" style="width: 300px; float: right;" /></a>非營利組織Interlab揭露針對南韓記者的安卓惡意軟體RambleOn，駭客先是透過微信聯繫到記者，要求其使用名為Fizzle的加密即時通訊軟體進行後續對話，但實際上，目標人士一旦依照指示下載、安裝，手機就有可能被植入RambleOn。</p> <p>研究人員指出，此惡意程式的主要用途，是讓攻擊者能獲得多種權限，以便收集手機裡的資料、通話記錄、簡訊，並能錄下聲音及得知位置資訊。</p> <p>此外，駭客為了迴避網路流量的偵測，不僅透過pCloud與Yandex的雲端儲存空間來存放惡意酬載，惡意程式也利用Firebase Cloud Messaging（FCM）的機制與C2中繼站通訊。</p> <p><a href="https://www.wfmz.com/news/area/lehighvalley/lvhn-reports-cyberattack-by-russian-ransomware-gang/article_6ceb11e0-b133-11ed-9bdc-7b7c0a2adf99.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">醫療組織LVHN傳出遭到勒索軟體BlackCat攻擊</span></strong></a></p> <p>根據WFMZ-TV 69 News電視臺的報導，美國賓夕法尼亞州的醫療組織Lehigh Valley Health Network（LVHN）證實，其中一名醫生的辦公室於2月6日遭到勒索軟體駭客BlackCat攻擊，初步調查結果出爐，受害系統用於放射治療，恐曝露病人的照片。對此，LVHN表示他們營運沒有中斷，亦表明不會支付贖金。</p> <p><a href="https://www.fortinet.com/blog/threat-research/ransomware-roundup-catb-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CatB挾持MSDTC服務來執行加密工作</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/screen-shot-2023-02-15-at-1_42_57-pm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/screen-shot-2023-02-15-at-1_42_57-pm.png" style="width: 300px; float: right;" /></a>資安業者揭露從2022年11月出現的勒索軟體CatB，駭客透過DLL側載（DLL Side-loading）的方式，濫用MSDTC系統服務，來執行勒索軟體加密受害電腦的檔案。此勒索軟體先會偵測受害電腦的處理器核心數量、記憶體大小、磁碟容量，藉此檢查是否在沙箱環境運作。比較特別的是，此勒索軟體留下的勒索訊息當中，向受害者索討高額贖金，並要求在4天內支付，且贖金逐日增加──從第一天的50個比特幣（約120萬美元），第二天就變為60個比特幣，第三、第四天分別為90個、130個比特幣，到了第五天，若不付款，資料將永久消失。</p> <p><a href="https://gogolook.com/zh-hant/news/gogolook-fraud-report-2022-calls-sms"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為迴避偵測，歹徒在詐騙簡訊使用注音文</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Whoscall-SMS-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Whoscall-SMS-4.png" style="width: 300px; float: right;" /></a>資安業者Gogolook近日揭露詐騙簡訊與電話的情況，其中特別提及他們旗下的Whoscall服務，2022年在臺灣辨識出4,764萬封詐騙簡訊，駭客主要假借投顧或是紓困貸款的名義行騙。</p> <p>其中最值得注意的是，駭客為了規避相關的偵測機制，最近幾年開始在這類簡訊裡使用注音文，例如「加ㄌㄞˋ」、「ㄅ一ㄠㄍㄨˇ」等，此外也有運用形狀相似文字的情況，如：「Ca11我」、「L1ne」等，其目的就是要繞過關鍵字的識別機制。因此該公司呼籲，民眾若是看到具有上述特徵的簡訊，很可能有詐。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.trellix.com/en-us/about/newsroom/stories/research/trellix-advanced-research-center-discovers-a-new-privilege-escalation-bug-class-on-macos-and-ios.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果行動裝置與電腦存在權限提升漏洞，攻擊者可使用root權限存取任意檔案</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>蘋果1月30日釋出iOS與iPadOS 16.3.1以及macOS Ventura 13.2.1，修補多項漏洞，其中的CVE-2023-23520、CVE-2023-23531是由資安業者Trellix向蘋果通報，2月21日公開揭露當中細節。該資安業者指出，這些漏洞與2021年間諜軟體Pegasus攻擊所使用的漏洞ForcedEntry有關──蘋果於同年9月發布更新程式修補，但如今研究人員發現能繞過相關緩解措施的新弱點。</p> <p>一旦攻擊者加以利用，就能在目標裝置上突破隔離處理程序的防護措施，進而存取行事曆、通訊錄、照片等敏感資料，或是安裝軟體，甚至有可能監控使用者。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.horizon3.ai/fortinet-fortinac-cve-2022-39952-deep-dive-and-iocs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員公布Fortinet的NAC設備重大漏洞的概念性驗證程式</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155630"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Coinbase員工密碼被竊，駭客存取內部系統</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155559"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挖礦程式</span></span></strong></a><a href="https://www.ithome.com.tw/news/155559"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">利用ProxyShell漏洞散布</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155547"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">從強式MFA到抗網釣MFA</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155544"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">強化登入安全，導入無密碼已成IT界共識</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155539"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">因現行MFA仍有可乘之機，信用卡交易驗證安全需要持續強化</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155613">【2023年2月21日】葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工帳密遭駭</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155597">【2023年2月20日】 WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155588">【2023年2月18日】 Fortinet修補WAF與網路存取控制系統的重大漏洞、施耐德電機PLC存在可被用於RCE攻擊的漏洞</a></strong></p> </div></div></div>
2023/2/22 18:29作者周峻佑https://www.ithome.com.tw/news/155635
工研院與7-ELEVEN聯手，3月起在高軟園區辦公大樓試營運AMR機器人外送服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經濟部補助下，工研院研發AMR外送機器人Cubot ONE，3月起將和7-ELEVEN合作，在高雄軟體園區辦公大樓內，試營運提供AMR機器人外送服務，為明年正式營運作準備。</p> <p>這款由工研院研發的AMR外送機器人，將從3月1日起到12月31日止，在高雄軟體園區內，為7-ELEVEN軟科門市提供外送服務，高軟園區國城大樓A、B、C三棟辦公人員，可透過Foodomo App下訂單，由軟科門市人員確認商品存貨情形，再由AMR機器人前往領取下單商品，在A、B、C三棟大樓內自主移動，將商品送到指定樓層的辦公室門口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E8%81%9E%E7%85%A7%E4%BA%8C%E3%80%81%E7%B6%93%E6%BF%9F%E9%83%A8%E6%8A%80%E8%A1%93%E8%99%95%E8%A3%9C%E5%8A%A9%E5%B7%A5%E7%A0%94%E9%99%A2%E6%89%93%E9%80%A0%E5%85%A8%E8%87%BA%E7%AC%AC%E4%B8%80%E5%80%8B%E6%A9%9F%E5%99%A8%E4%BA%BA%E5%A4%96%E9%80%81%E5%93%A1Cubot%20ONE%EF%BC%8C%E8%87%AA3%E6%9C%881%E6%97%A5%E8%B5%B7%E8%87%B312%E6%9C%8831%E6%97%A5%E5%9C%A8%E9%AB%98%E8%BB%9F%E5%9C%92%E5%8D%80%E8%A9%A6%E7%87%9F%E9%81%8B%EF%BC%8C%E5%9C%92%E5%8D%80%E4%B8%8A%E7%8F%AD%E6%97%8F%E5%8F%AF%E9%80%8F%E9%81%8E%E6%89%8B%E6%A9%9F%E8%A8%82%E8%B3%BC7-ELEVEN%E8%BB%9F%E7%A7%91%E9%96%80%E5%B8%82%E5%95%86%E5%93%81%E3%80%82.jpg" style="width: 600px; height: 400px;" /></p> <p>工研院在去年就開始測試AMR外送機器人，今年也在CES展示，這款機器人採用5G連網，搭配C-V2X車聯網技術、3D定位與導航，讓機器人從7-ELEVEN收取商品後，自行規畫外送路徑，配送到消費者指定的特定樓層辦公室，外送過程自動避開人潮、水桶等障礙物，甚至自行呼叫電梯，搭乘電梯到指定樓層。</p> <p>如下圖所示，機器人抵達電梯前等候，向後臺發出呼叫電梯的需求，當無人使用電梯時，後臺自動接管控制電梯，前往機器人所在的樓層，電梯門開啟後，機器人能夠精準移動至空間有限的電梯內：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230222_27-1.jpg" style="width: 600px; height: 400px;" /></p> <p>工研院南分院副組長李坤敏指出，為使ARM機器人能夠自主導航，團隊先為A、B、C三棟大樓建立3D地圖，當收到訂單商品，即會自動規畫導航路徑，中途可自動避開障礙物。因辦公大樓內電梯空間有限，機器人要搭乘電梯時，會先由後臺觀察電梯目前有無人員搭乘使用，當無人搭乘電梯時，後臺就會接管電梯控制，顯示保養中，避免其他人員呼叫電梯，並將電梯控制至Cubot ONE所等待的樓層，讓機器人搭乘至指定外送的樓層。</p> <p>為讓機器人可以自主導航、自動避障，工研院在Cubot ONE的頂部設計一組3D光達，用以偵測100公尺距離周遭環境，為避免死角，並且，在接近AMR底部還有前後2組2D光達，涵蓋ARM機器人周圍360度，偵測近距離內的障礙物。在機器人的前方則內建一組Real sense景深攝影機，輔助偵測前方距離。當外送機器人在外送途中，除了發出紅光，向其他行人警示安全距離外，也會以語音提醒其他行人注意。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20230222_27.jpg" style="width: 600px; height: 400px;" /></p> <p>Cubot ONE內有4個置物空間，同時間可接4筆外送訂單，自動規畫在大樓內不同樓層辦公室門口的導航路徑。</p> <p>國城大樓3棟辦公大樓的消費者透過Foodomo訂餐，除了人工外送，3月起可選擇由Cubot ONE外送，外送平臺會先向門市人員確認商品存庫情形是否接單，再安排Cubot ONE前往門市取餐，約10到15分鐘抵達指定地點，再由後臺撥電話通知消費者已送達，消費者可以手機末4碼開啟機器人倉門領取商品。</p> <p>目前工研院共打造3輛Cubot ONE，1輛現在在高雄軟體園區準備自3月起試營運AMR機器人，另1輛在新竹進行測試，還有1輛先前在國外CES展示。工研院未來視服務需求調整，國外的AMR機器人回臺後也加入外送試營運服務中。</p> <p>統一超商表示，物流、外送需求在過去兩年快速成長之下，因應少子化、高齡化下人力短縮，投入資源與工研院的AMR無人智慧物流技術計畫合作，成為全台首家應用AMR無人智慧物流技術提供外送服務的零售業者，透過零售場域、外送平台資源整合介接，提供新的快商務服務。首先針對辦公大樓的外食族群進行AMR營運測試，以軟科門市商品與服務提供外送服務，期待明年起正式營運，提供新型態外送服務模式。</p> </div></div></div>
2023/2/22 18:37作者蘇文彬https://www.ithome.com.tw/news/155634
Coinbase員工密碼被竊致駭客存取系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.coinbase.com/blog/social-engineering-a-coinbase-case-study" target="_blank">全美最大加密貨幣交易平臺Coinbase上周公告</a>因員工遭釣魚及詐騙電話騙走登入密碼，使駭客得以存取部份系統資料，但強調未影響客戶加密貨幣或個資。</p> <p>今年2月5日數名Coinbase員工接到冒充緊急事件的手機簡訊，要求員工點入釣魚連結。大部份員工都沒有理會，但有一名員工點入且輸入了用戶名稱及密碼。駭客取得了合法用戶名稱和密碼後，多次企圖遠端存取Coinbase系統。雖然駭客一開始無法通過多因素驗證（Multi-Factor Authentication，MFA）的把關，但駭客之後冒充Coinbase IT員工打電話給該員工，誘騙其按照指示登入公司系統，導致成功的駭入事件。</p> <p>Coinbase表示，攻擊者取得了部份員工聯絡資訊，包括姓名、電子郵件信箱和一些電話號碼，但未竊得或存取任何客戶資訊或加密貨幣資產。</p> <p><a href="https://www.securityweek.com/coinbase-attack-linked-to-group-behind-last-years-twilio-cloudflare-hacks/" target="_blank">SecurityWeek</a>引述Coinbase的調查，判定這次攻擊是由0ktapus的組織所為。0ktapus又名Scattered Spider，<a href="https://www.ithome.com.tw/news/152870" target="_blank">去年曾以類似手法駭入</a>Twilio及Cloudflare等130多家企業。此外，今年一月<a href="https://www.ithome.com.tw/news/155132" target="_blank">安全廠商Crowdstrike</a>也發現該組織利用9年前的Intel驅動程式漏洞，攻擊Windows PC用戶。</p> <p>Coinbase並提醒客戶，為免社交工程攻擊，切勿將登入憑證分享他人，或讓他人遠端存取個人裝置，並且應使用強驗證，像是實體安全金鑰。針對非經常交易的客戶，Coinbase建議使用其儲存庫（vault）解決方案，可透過共同簽章或取消未許可提款等功能確保資產安全。</p> </div></div></div>
2023/2/22 16:04作者林妍溱https://www.ithome.com.tw/news/155630
馬斯克暗示下周將開放推特演算法原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>推特（Twitter）執行長馬斯克（Elon Musk）昨（21）日又<a href="https://twitter.com/elonmusk/status/1628122949185159168" target="_blank">提示大家</a>，將在下周公開推特的演算法。</p> <p>昨日他要推特用戶在下周推特演算法開源時「要有失望的心理準備」，但他保證會迅速改善。</p> <p>馬斯克從去年4月首次提出以440億美元收購推特時，<a href="https://www.ithome.com.tw/news/150636" target="_blank">就主張推特公開顯示貼文演算法</a>，以便使內容的推送及排序更透明，避免有政治或廣告主透過假帳號、垃圾內容機器人（spambot）散布宣傳訊息或是詐騙內容，建立推特成為真正的言論自由平臺。</p> <p>但是當時即有媒體及專家不以為然，認為公開演算法可能反而讓垃圾內容製造者、駭客或行銷人員更知道如何操作以避過推特的垃圾內容過濾，反而讓使用者受害。</p> <p><a href="https://techcrunch.com/2023/02/21/elon-musk-suggests-twitter-could-open-source-its-algorithm-next-week/" target="_blank">Techcrunch分析</a>，推特公開演算法還有另一項好處。美國政府長期關注YouTube及臉書演算法是否助長了恐怖主義組織如ISIS宣傳內容的傳播，近日短影片社群平臺Tiktok內容排序的演算法，也因中國籍母公司的關係遭到質疑。推特開源其演算法有助於避免美國政府的審查。</p> <p>此外，問題癥結所在是推特中央化控管的管理機制。新微型部落格平臺Mastodon採用去中心化的聯邦式伺服器網路架構可避免言論管制，因此在推特被馬斯克收購後吸引不少用戶轉向。另一方面，推特前執行長Jack Dorsey曾主張推特應使用開源碼協定，經費來自基金會，而非轉為一家營利公司。他現在正投入名為BlueSky的公司，開發以開源碼去中心化網路協定的社群App，以實現他對推特未竟的願景。</p> <p>林妍溱</p> <p>馬斯克一直對推特計算假帳號及推文演算法的作法感到不滿，在10月底真正入主這個社群平臺後，即提出種種激烈改革，包括大幅裁員，並提出以新版付費服務Twitter Blue扼止假帳號。但是馬斯克治理下的推特顯然和Mastodon或Dorsey的想法絕對不同，因為馬斯克第一要務是增加推特營收。</p> <p>至於演算法，馬斯克是否希望能改成去中心化管理有待時間觀察，<a href="https://www.ithome.com.tw/news/155501" target="_blank">但是他近日要求推特工程師改寫貼文顯示演算法</a>，宣稱能改善使用者的推文觸及率，但外界批評馬斯克只是希望他自己的貼文能觸及所有用戶。</p> </div></div></div>
2023/2/22 14:33作者林妍溱https://www.ithome.com.tw/news/155624
美國防部將敏感電子郵件曝險於外部網路達2周
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2023/02/21/sensitive-united-states-military-emails-spill-online/" target="_blank">Techcrunch報導</a>，美國國防部一部雲端郵件伺服器配置不當，致使任何人只要知道IP位址即可存取軍方內部信件。</p> <p>上述情形是由安全研究人員Anurag Sen近日發現並祕密告知Techcrunch，並由後者轉達美國國防部。目前問題已經解決。</p> <p>曝險的雲端郵件伺服器屬於美國國防部，代管在微軟Azure Government基礎架構。Azure Government是微軟為政府客戶提供，和一般企業客戶使用的雲端服務獨立切開。以安全等級而言，Azure Government儲存敏感、但非機密的內容，次於Azure Government Top Secret及Azure Government Secret。</p> <p>研究人員發現這個Azure雲端執行個體配置不當，未設密碼，因此任何人只要知道IP位址，即可存取伺服器內容。曝險的執行個體儲存多年的美國軍方信件，總量大約3TB，許多屬於美國特種作戰指揮部（United States Special Operations Command，USSOCOM）。</p> <p>報導指出，曝險的資料中包含一份美軍人員調查問卷，是在處理機密資訊前被要求填寫的個人及健康資訊。</p> <p>根據專門搜尋連網曝險系統的搜尋引擎Shodan，這個雲端郵件伺服器曝露於網際網路的時間為2月8日，當時疑似因人為疏失導致未設密碼。</p> <p>媒體於周日通知美國特種作戰指揮部，後者直到周一下午才修正了這個疏失。美國特種作戰指揮部發言人表示已經展開調查。在這2周期間是否有其他人存取了這臺伺服器不得而知。</p> <p>不過這並非美國軍方第一次發生雲端服務未上鎖的事件。過去幾年即有不同研究人員先後發現，美國國防部將<a href="https://www.ithome.com.tw/news/114567" target="_blank">衛星攝影</a>等軍事情資，以未設密碼的狀態下儲存在Amazon S3，而幾近公開於網際網路上。</p> </div></div></div>
2023/2/22 14:14作者林妍溱https://www.ithome.com.tw/news/155623
中鋼5G專網應用首次大公開！不只靠即時影像建立火車數位分身協助駕駛精準接渣清運，更要打造5G天車控制系統實現遠端人機協作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中鋼2年前開始在高雄鋼鐵廠區試導入企業5G專網，結合AIoT應用加速工廠轉型邁向智慧鋼廠，近日首度公開展示最新5G AIoT應用成果，分別應用在智慧製造與智慧軌道場域，不僅已能涵蓋5G遠端協作、虛實整合、遠程操控、行車安全共4大5G AIoT應用，超過16項技術展示，中鋼更透露，目前正在打造5G天車控制系統，可以實現天車的遠端人機協作，降低意外風險，甚至可以一次同時操作多具天車完成鋼捲吊運作業。</p> <p>過去，要操作天車，大多是仰賴人力，進到吊掛於天花板的駕駛座內，操作大型起重機在廠區空中縱橫移動，將鋼捲吊送到指定位置，但吊掛人員需爬於高處，且長時間在高溫下作業，對人員安全、工作環境舒適性都是很大考驗。</p> <p>中鋼幾年前打造一套AI無人天車系統，雖然可以結合RFID和定位技術做到鋼捲吊運自動化，但僅能用於搬運倉庫鋼捲成品，對於生產中的鋼捲半成品（如粗鋼捲）吊運仍有挑戰，目前還無法做到全程無人化操作，因此，這部分的搬運作業還是得靠人工來完成。</p> <p>儘管還沒全面實現天車無人化操作，但中鋼目前正在打造5G天車控制系統，要把過去天車人工控制環節集中移到地面上，改透過5G完成天車的遠端操作，以後吊掛人員從控制室就能操控吊車上起重機設備移動，不需要進到天車駕駛坐內，就能遠端遙控天車作業。天車上配有多組攝影鏡頭，能即時拍攝現場吊掛影像，以串流方式回傳至地面控制室，讓操作人員進行更細部判斷，甚至也能同步反應控制室操作者每個操控行為，做到精細動作的操作，就像在天車上操控一樣。</p> <p>「這是只有透過低延遲5G技術，才能達到的效果」中鋼技術副總鄭際昭指出，這也是5G在中鋼工廠最能發揮其效用的地方，甚至，他說，以前天車操作者每次只能操作一臺天車，未來結合5G天車的人機協作，甚至可以一次同時操作多臺天車，進行吊運、卸載等搬運作業，「這就可以帶來很大的效益，也是我們目前發展方向。」</p> <h2><strong>中鋼自2021年底開始啟用5G專網，在廠區室內外結合AIoT做應用</strong></h2> <p>中鋼從2021年下半開始規畫建置5G專網，當時中鋼內部成立一個創新前瞻技術研發專案，並將它列為公司內部最高層級研發專案，必須經過董事長核准，才能開始執行，且須由總經理定期追蹤管考實際執行狀況。也反應出，中鋼高層對於採用5G的重視，要在工廠打造新一代通訊網路架構。</p> <p>為何中鋼非發展5G專網不可？鄭際昭指出，主要希望運用5G在通訊方面最先進技術，提升中鋼的整體競爭力，但他也坦言，起初也不確定它可以帶來什麼效用，但在導入過程中，確實發現到5G有些特性，適合運用在工業上，甚至在傳統鋼廠內也能應用得到，他表示，經過一段時間測試驗證，他們找到適合鋼廠應用的場景，可以透過5G，讓loT數據做AI智能化應用，未來將把這些應用方案持續推展，達成智慧製造的願景。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230216_064449191.jpg" style="width: 600px; height: 328px;" /></p> <blockquote><p>中鋼近日首度公開5G與5G AIoT應用最新成果，分別應用在智慧製造與智慧軌道場域，涵蓋5G遠端協作、虛實整合，遠程操控、行車安全共4大5G AIoT應用、超過16項技術展示。</p> </blockquote> <p>中鋼2021年底開始在廠區內啟用5G網路，希望透過5G技術，提高生產效率、人員作業安全等，期間完成了9項5G AloT試範場域應用，其中就有4項是運用在智慧製造應用，包括智能板胚動態監控、鋼帶偏移監控、專家遠端協作，以及AR數位產線實境導覽等。</p> <h2>智慧製造用的5G專網網速，最高可提供每秒152Mb上傳、每秒560Mb下載速度</h2> <p>一開始，中鋼先以熱軋工廠作為5G專網示範場域，來輔助現場操作或維護，來維持這條產線穩定運作，他們在長達400米的熱軋產線上部署了3座5G O-RAN開放式基地臺來涵蓋，並將它用於驗證遠端協作、AR虛實整合應用，藉此來達成製程即時監控。智慧製造用的5G專網，經過實測5G上傳頻寬可達每秒152Mb、下載速度也有到每秒560Mb。經過調整頻譜上下傳比例後，上傳最高達230Mbps。</p> <p>像在設備故障維修上，中鋼就使用5G結合AR做應用。以往，生產線上遇到機臺設備異常，維修人員必須帶手冊到現場搶修，不僅很不方便，遇到突發狀況必須聯繫專家時，也不容易溝通取得共識。</p> <p>但現在通過5G虛實整合的方式，現場人員以平板掃描產線設備上AR標籤，就可以獲得現場設備運作即時資訊，包括油壓和溫度值等，除了能夠查看電子版維護手冊、歷史案例外，專家也能透過遠端視訊提供現場人員指導，來排除複雜故障問題。除了使用平板，也能搭配AR眼鏡作業。中鋼表示，透過這樣方式，可節省60％異況排除時間。另外也有提供數位產線實境導覽等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230216_073552411.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>現在通過5G虛實整合的方式，中鋼現場作業人員以平板掃描產線設備上AR標籤，就可以獲得現場設備運作即時資訊，包括油壓和溫度值等，除了能夠查看電子版維護手冊、歷史案例外，專家也能透過遠端視訊提供現場人員指導，來排除複雜故障問題。</p> </blockquote> <p>因為透過自建5G專網基地臺與5G核網，來往返終端設備與機房數據伺服器傳送即時資訊，供現場人員維修作業上查詢使用，因此，在資安防護上也能確保所有資料都保留在工廠內網，不會經過外網，以提高資料傳輸安全性。</p> <h2>靠即時影像建立火車和轉爐數位分身同步現場作業，提高接渣精準度</h2> <p>為了測試和驗證5G特性與功效，除了部署室內型5G專網之外，中鋼還建置一個戶外型5G網路環境，作為另一個5G AIoT試範場域，但不像室內5G專網採用獨立組網(SA)架構，與使用N79企業專頻，戶外型5G網路環境則採用NSA非獨立組網架構，結合電信商4G與5G基地臺以及核網來打造，使用N78商用頻段，經實測可提供上傳158 Mbps、下載986 Mbps的傳輸速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230216_064925191.jpg" style="width: 600px; height: 320px;" /></p> <blockquote><p>不只提供現場行車影像畫面，操控渣車在軌道上行走接渣同時，控制室螢幕畫面上，也會同時有這臺火車虛擬數位分身，跟著移動位置，讓操作人員容易掌握車輛與轉爐距離遠近，甚至還提供AI爐渣落點預測。</p> </blockquote> <p>中鋼以負責轉爐渣清運的渣車線為5G戶外示範場域，驗證5G智慧軌道應用，包括危險作業遠程操控、渣桶狀態監測、行車安全輔助等。</p> <p>鋼捲成品生產過程中，渣車線是維持煉鋼製程重要產線，流程上，會由駕駛在地面上用遙控方式操作火車移動到轉爐下方來接渣，接完後火車會在通過軌道把爐渣送到廠內清運。過去轉爐操作人員跟操控火車接渣的駕駛，兩人是獨立運作，所以以常常火車開較快、或轉爐倒比較快時，火車上渣筒就可能漏接，或容易將渣灑出來，渣落到地面就會產生工安風險。也因為操作者不在車上，而是以目視方式來控制火車接渣，容易有視角不良問題。</p> <p>為了改善這個問題，中鋼利用5G搭配高解析度攝影機與車輛定位，提供駕駛必要資訊，包括即時行車影像等，彌補駕駛視角不足的問題，讓駕駛即使不在車上也可以做到精準接渣。</p> <p>值得一提的是，不只提供現場行車影像畫面，操控渣車在軌道上行進接渣同時，控制室螢幕畫面上，會有這臺火車虛擬數位分身，跟著實車移動位置，讓操作人員容易掌握車輛與轉爐距離遠近，中鋼打造出火車和轉爐數位分身模型，利用行車影像、爐下影像，結合AI辨識，車輛位置定位，渣桶與轉爐相對位置、轉爐角度等，讓數位分身可以與現場的渣車和轉爐動作同步，甚至還提供AI爐渣落點預測，輔助駕駛能夠控制車子在安全範圍內準確接渣，而不會將渣灑出來。</p> <p>在火車行經過程中，也能透過車上5G攝影機，將前後行車影像回傳到控制室，由人員監看車子前方狀況，後方渣桶狀態，提高轉爐清渣效率。在平交道上也結合AI異物辨識，一旦偵測到有車輛卡住平交道上，可以在平交道柵欄放下的3秒內，就發出警示，通知駕駛煞車，避免行車意外，也提升軌道運輸安全。</p> <p>經過一年多5G場域測試後，中鋼也發現5G使用上的一些挑戰，包括建置成本高，較適合重點區域導入，像是天車遠端集控，其次，支援N79專頻可選擇終端產品較少，必須要外接5G Dongle行動網卡才能到連到5G網路，還有在資安防護上，5G設備或基站．需要取得資安的國際認證。</p> <p>為了加快5G應用，中鋼目前也有成立5G技術應用實驗室，希望可以自主開發5G AIoT技術，未來可以在智慧製造和智慧軌道場域做應用，包括XR虚擬實境訓練、自走載具技術開發等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230216_073742407.jpg" style="width: 600px; height: 338px;" /></p> <blockquote><p>為了測試和驗證5G特性與功效，中鋼在在鋼鐵廠長達400米的熱軋產線上，部署了3座5G ORAN開放式基地臺（如上圖）來涵蓋，作為5G AIoT試範場域，使用N79企業專頻，用於驗證遠端協作、AR虛實整合應用，藉此來達成製程即時監控。</p> </blockquote> </div></div></div>
2023/2/22 11:34作者余至浩https://www.ithome.com.tw/news/155618
Firefox for Android開始支援腳本擴充套件Tampermonkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla推出<a href="https://support.mozilla.org/en-US/kb/whats-new-firefox-android">Firefox for Android 110，這個版本主要更新擴展擴充套件的支援種類</a>，包括用戶可以使用Firefox Relay產生電子郵件遮罩地址保護線上身分，還能以使用者腳本管理擴充套件Tampermonkey管理並執行腳本。</p> <p>由於Mozilla的政策，Firefox for Android現在僅能安裝由官方推薦的擴充套件，用戶需要在Firefox for Android上的擴充套件管理器，搜尋開發的擴充套件並進行安裝，想用其他擴充套件則需要等待官方更新逐一開放。</p> <p>在最新Firefox for Android 110版本支援了強大擴充套件Tampermonkey，這是一個使用者腳本管理工具，讓用戶能夠簡單地應用腳本修改網頁JavaScript。腳本是一小段程式碼，能夠新增或移除網站的功能，因此透過Tampermonkey，使用者也就有能力在Firefox for Android上，以腳本執行官方尚未支援的擴充套件行為。</p> <p>Firefox for Android上的Tampermonkey體驗類似桌面版，不過雖然許多數好用腳本都可以安裝到Firefox for Android上的Tampermonkey，但是實際執行的行為可能略有不同，甚至部分腳本有安裝成功但是卻執行失敗的問題。</p> <p>其他好用的擴充套件，還包括能夠隱藏用戶真實電子郵件地址的Firefox Relay，該套件讓用戶可以簡單地產生電子郵件遮罩地址，Firefox Relay會將透過該遮罩地址收到的訊息，轉送到用戶的真實電子郵件信箱，如此便能夠隱藏用戶真實身分，降低受到垃圾郵件或是駭客攻擊的風險。</p> <p>ReadAloud現在也可以在Firefox for Android上使用，該擴充套件使用文字轉語音技術，能夠將網頁文字轉換成音訊，供用戶以聽的方式，瀏覽新聞、小說和線上課程資料等網站。Firefox for Android還新支援一個簡單的擴充套件ClearURL，該擴充套件可以替用戶清理連結中的追蹤元素，讓用戶能夠簡單分享乾淨的網址。</p> </div></div></div>
2023/2/22 08:35作者李建興https://www.ithome.com.tw/news/155615
社群認為React Native有三大痛點，升級難、除錯不易、效能不佳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>React Native社群發起問卷調查<a href="https://results.stateofreactnative.com/">State of React Native</a>，以進一步了解框架痛點以及替代工具的選擇。React Native是一個由臉書以React.js為基礎，所開發的應用程式框架，供開發者以宣告式程式開發模式開發多平臺應用程式，多數用於開發iOS和Android平臺應用程式，但也能夠透過另外的套件開發UWP應用程式。</p> <p>React Native中有許多新興客戶端狀態庫讓開發者感興趣，包括Zustand、Jotai和Legend State，但是採用率仍相對較低，Redux函式庫仍是更為熱門的選擇，使用率僅低於內建的Hooks。而在伺服器狀態函式庫方面，TanStack Query和Apollo表現相當，但是在開發者表達會再次使用的比例上，Apollo明顯更少。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201648%20-%20State%20of%20React%20Native%202022_%20State%20management_%20-%20results_stateofreactnative_com(1).png" style="width: 580px;" /></p> <p>問卷調查React Native的使用痛點，而結果反應了該框架一直以來的問題，便是框架版本升級困難和除錯不易，而且多數React Native開發者也不滿意效能表現，不過，還有超過半數的受訪者，指出React Native框架還存在另外兩個嚴重問題，是無人維護的套件以及過分仰賴第三方函式庫。</p> <p>導致React Native有許多無人維護函式庫的原因，State of React Native發起人，同時也是Software Mansion軟體工程師Kacper Kapuściak認為，由於維護React Native需要三種以上的語言專業，同時還要了解iOS和Android API知識，實際上並不容易，而且行動平臺不停的更新，使得許多橋樑套件過時。</p> <p>最受React Native開發人員偏愛的替代框架是SwiftUI和Jetpack Compose，而Ionic、微軟Xamarin和Apache Cordova，則是不那麼受React Native開發人員喜愛。這項調查有趣的地方是，雖然React Native開發人員普遍不愛Cordova和Ionic，但是Cordova使用率卻位居第一，Ionic以些微差異位居第二，表示雖然目前開發人員必須使用這些套件，但也樂意看到他們被取代。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/FireShot%20Capture%201650%20-%20State%20of%20React%20Native%202022_%20React%20Native%20alternatives_%20-%20results_stateofreactnative_com.png" style="width: 580px;" /></p> <p>儘管框架還有許多可改進之處，不過受訪者對框架整體感到滿意，無論是建置應用程式的複雜度或是框架的改進速度，社群成員皆認為發展適中。</p> <p>這是第一份State of React Native調查報告，在React Native社群中收集到超過1,800份回應，Bartłomiej Bukowski向知名JavaScript社群調查<a href="https://www.ithome.com.tw/news/155134">State of JS</a>的創建人Sacha Greif取經，並在React Native社群建立一個類似的調查。Bartłomiej Bukowski表示，React Native開發人員常會面臨不知道該在專案使用那種解決方案的困擾，而透過集中比較，能夠助開發者更好地選擇想要使用的技術。</p> </div></div></div>
2023/2/22 08:38作者李建興https://www.ithome.com.tw/news/155617
【資安日報】2023年2月21日，葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊、加密貨幣平臺Coinbase員工…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有自來水公司成為駭客鎖定的目標！葡萄牙自來水公司Aguas do Porto在1月底遭到網路攻擊，現在有駭客組織表示是他們的犯行。而針對自來水公司的攻擊行動已有前例──<a href="https://www.ithome.com.tw/news/142729">2年前，美國佛州奧德馬爾（Oldsmar）市的淨水廠遭駭</a>，水中的氫氧化鈉濃度差點被調高111倍。</p> <p>2月初半導體業者MKS Instruments遭到勒索軟體攻擊，當時該公司表示受害規模有待釐清，如今從其他合作廠商的財報揭露當中，間接呈現了損失情況。</p> <p>駭客鎖定員工下手，企圖存取企業內部環境的情況再度發生。加密貨幣平臺Coinbase揭露該公司員工遭到鎖定的釣魚郵件攻擊，然而，有人已依照指示提供對方所需的帳密資料，結果差點讓駭客得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securityaffairs.com/142477/cyber-crime/lockbit-water-utility-aguas-do-porto.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">葡萄牙自來水公司傳出遭到勒索軟體LockBit攻擊</span></strong></a><span style="color: rgb(255, 140, 0);"> </span></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-20.png" style="width: 300px; float: right;" /></a>葡萄牙自來水公司Aguas do Porto於1月30日揭露資安事故，表示遭到網路攻擊並影響部分業務，供水及衛生設施不受影響，近日有駭客組織表明該事故是他們所為。</p> <p>根據資安新聞網站SecurityAffair的報導，勒索軟體駭客組織LockBit聲稱入侵Aguas do Porto，並揚言若不聯繫他們，將於3月7日公布竊得資料。不過，這些駭客未透露偷到的資料內容，也沒提供部分檔案做為確認。<a href="https://cnnportugal.iol.pt/ciberataque/piratas-informaticos-ameacam-publicar-dados-das-aguas-do-porto/20230218/63f0c67d0cf2c84d7fc88481">CNN當地記者表示</a>，該國的國家網路安全中心與司法單位已介入調查。</p> <p><a href="https://therecord.media/applied-materials-supply-chain-mks-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對半導體業者MKS Instruments遭勒索軟體攻擊的事故，有消息指出損失達2.5億美元</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>根據資安新聞網站The Record的報導，<a href="https://ir.appliedmaterials.com/news-releases/news-release-details/applied-materials-announces-first-quarter-2023-results/">半導體生產設備業者Applied Materials在本週舉行的財報電話會議</a>提及的消息，似乎間接透露另一家廠商的資安事故損失。他們表示，有一家供應商因發生勒索軟體攻擊事故，而將導致下個季度損失2.5億美元。</p> <p>這家公司並未透露供應商的身分，但數名產業分析師認為就是2月3日察覺遭到勒索軟體攻擊的MKS Instruments──該公司因為資安事故導致第四季財報電話會議延期。針對上述傳聞與猜測，Applied Materials目前並未回應。</p> <p><a href="https://www.coinbase.com/blog/social-engineering-a-coinbase-case-study"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密貨幣平臺Coinbase員工帳密遭駭</span></strong></a><span style="color: rgb(255, 140, 0);"> </span></p> <p>2月17日加密貨幣平臺Coinbase表示，有人竊得該公司員工的帳密，企圖入侵內部網路環境。駭客於2月5日對該公司的工程師發送簡訊，要求他們儘速登入公司帳號存取重要訊息，結果有其中一名員工上當，並在釣魚網站輸入相關帳密，這些駭客在嘗試存取Coinbase內部系統的過程中，還假借IT人員的名義，對該名員工下達第二階段指示，企圖取得雙因素驗證（MFA）所需資料。</p> <p>對此，該公司的電腦資安事件緊急應變小組（CSIRT）約在10分鐘內察覺有異，通知該名員工而使得駭客入侵沒有成功。Coinbase公布駭客所使用的戰術、技巧，以及程序（TTP）；而電信業者Equinix威脅情報分析中心的研究人員也有一些發現：他們找到駭客使用的惡意網域。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/b/earth-kitsune-delivers-new-whiskerspy-backdoor.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本、中國遭到惡意軟體WhiskerSpy鎖定，假借影音轉碼軟體散布</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ek-whisker-spy-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ek-whisker-spy-1.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露駭客組織Earth Kitsune近期的攻擊行動，他們在2022年底發現駭客入侵北韓組織網站來散布惡意軟體，鎖定日本名古屋與中國瀋陽的使用者。</p> <p>這些駭客在網站上注入惡意指令碼，一旦使用者瀏覽網頁裡的影片，就會出現影音轉碼器（Codec）出錯的訊息，要求使用者下載轉碼器軟體，但若是照做，電腦就會被植入名為WhiskerSpy的後門程式。</p> <p>特別的是，為了能持續在受害電腦行動，駭客濫用了Chrome瀏覽器的Native Messaging Host功能，並部署惡意擴充套件Google Chrome Helper，以便在瀏覽器啟動的時候執行惡意酬載。</p> <p><a href="https://www.varonis.com/blog/hardbit-2.0-ransomware"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體HardBit 2.0企圖得知目標組織資安險保單資料，藉此決定索討金額</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture3-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture3-4.png" style="width: 300px; float: right;" /></a>資安業者Varonis揭露自2022年11月出現的勒索軟體HardBit 2.0，此勒索軟體會透過竄改登錄檔的方式，停用防毒軟體Microsoft Defender的即時監控與檔案防護，並終止86個處理程序，使得加密檔案的流程更為順暢；此外，該勒索軟體也會將自己加入開始資料夾，以便能持續在受害電腦上運作，且在加密的手法也有所不同──HardBit 2.0會直接開啟檔案並寫入加密資料，而非如大多數勒索軟體的慣用方式（先產生加密資料、再刪除檔案）。</p> <p>若是受害組織已投保資安險，必須讓他們知道保單內容，以便設置勒索的金額，並勸說受害組織這麼做更能成功出險、獲得理賠。</p> <p><a href="https://www.hackread.com/qr-code-generator-my-qr-code-data-leak/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">二維碼產生網站MyQRcode曝露用戶資料，起因是資料庫不設防</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/qr-code-generator-my-qr-code-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/qr-code-generator-my-qr-code-data-leak.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Hackread的報導，由保加利亞業者架設的二維碼產生網站MyQRcode出現資料外洩的情況，他們引述研究人員Anurag Sen的調查結果指出，起因是此網站的伺服器在2月4日開始存取配置錯誤的情況，至少有128 GB檔案、6.7萬筆使用者資料曝露於網際網路，且這些資料的規模不斷增加。</p> <p>這些洩露的個資包含了姓名、職稱、電子郵件信箱、密碼雜湊值、電話號碼、網址等資料。研究人員通報此事，但MyQRcode並未提出說明，亦不確定此伺服器曝險的確切時間，以及是否遭到他人未經授權存取。</p> <p><a href="https://www.hackread.com/indian-ticketing-platform-railyatri-hacked/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">印度火車訂票系統RailYatri遭駭，波及3,100萬旅客</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/india-train-ticket-platform-railyatri-hacked-data-leak.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/india-train-ticket-platform-railyatri-hacked-data-leak.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站Hackread報導，有人在駭客論壇Breachforums上聲稱於2022年12月下旬，竊得印度火車訂票系統RailYatri的資料庫，內有31,062,673筆旅客的個資，涵蓋了姓名、電子郵件信箱、性別、電話號碼、居住地址。</p> <p>但這並非該公司首度遭遇資料外洩的事故──2020年2月，研究人員Anurag Sen發現配置錯誤的Elasticsearch伺服器，通報後一度遭到RailYatri否認，最後是印度電腦緊急應變小組（CERT-In）介入後，RailYatri才設法採取保護措施。</p> <p><a href="https://breached.vc/Thread-Selling-TW-TaiWan-s-revenue-of-30-billion-enterprise-Breeze-Group-data-leakage--67738"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">百貨業者微風內部資料傳出流入駭客論壇</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/8GzozJnl7I_20230221-1849-47558.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/8GzozJnl7I_20230221-1849-47558.png" style="width: 300px; float: right;" /></a>百貨業者微風<a href="https://www.facebook.com/breezecenter2001/posts/pfbid032yZ8XHch6EmQUkfsKmp6iJKYRkH4tBG7dJLucNUHBQumQWPCNqYhV3fyad6c8La6l">於2月15日發出公告</a>，表示因系統更新作業，會員點數活動全數暫停，隔日就有民眾收到簡訊通知，要求會員因應系統升級修改密碼，當天亦出現該公司網站無法存取的現象。</p> <p>2月17日，有人在駭客論壇BreachForums聲稱竊得微風百貨的內部資料，其中包含了所有的業務資料、公司及供應商的資料、90萬用戶個資、發票、訂單、付款資料，以及30個專案的原始碼，總大小超過150 GB，駭客亦強調個資含有會員的帳號及密碼。但這起資料外洩事故是否與該公司15日公告的系統更新與更換密碼作業有關？有待該公司進一步說明。</p> <p><a href="https://gogolook.com/zh-hant/news/gogolook-fraud-report-2022-info-leak"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣電話號碼外洩比例逾6成，但密碼外洩更嚴重</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>提供防電話詐騙服務Whoscall的資安業者Gogolook與內政部警政署刑事警察局、數位風險保護服務供應商Constella Intelligence聯手，針對亞洲國家個資外洩情勢進行調查，結果發現，臺灣約有1,040萬人的手機號碼遭到外洩，占20歲至65歲人口的65%，這樣的比率僅次於最嚴重的馬來西亞（73%）。</p> <p>但Gogolook也提到，臺灣外洩個資頻率最高的項目並非電話號碼，而是密碼資料，對此，他們呼籲民眾要啟用雙因素驗證，並定期更換高強度密碼。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://securelist.com/ioc-detection-experiments-with-chatgpt/108756/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員將機器學習語言模型ChatGPT用於檢查入侵指標</span></span></strong></a></p> <p><a href="https://go.otorio.com/hubfs/Whitepapers%20and%20Reports/whitepaper%20-%20Industrial%20wireless%20IoT%20research.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">無線工業物聯網裝置存在38個漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155604"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GoDaddy被駭客竊走公司程式碼，並在代管服務植入惡意程式多年</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155589"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Passkey無密碼登入正夯，NTT DOCOMO首度在臺公開導入經驗</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155575"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網站應用程式MFA被突破，還有Cookie theft的不同威脅層面</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155597">【2023年2月20日】 WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155588">【2023年2月18日】 Fortinet修補WAF與網路存取控制系統的重大漏洞、施耐德電機PLC存在可被用於RCE攻擊的漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155561">【2023年2月17日】殭屍網路V3G4針對13個物聯網裝置漏洞而來、臺灣組織IIS伺服器遭到惡意軟體Frebniis鎖定</a></strong></p> </div></div></div>
2023/2/21 17:57作者周峻佑https://www.ithome.com.tw/news/155613
繼零售、社區及職場之後，全盈支付下個支付場景鎖定銀行App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由全家、玉山銀行、PChome旗下拍付國際投資成立的全盈支付，去年4月推出電子支付全盈+Pay，根據金管會公布的統計資料，全盈支付電支用戶已突破百萬，今年目標為用戶數翻倍成長，並將與銀行業者擴大合作，讓全盈+Pay進入銀行App。</p> <p>有別於電支業者瞄準零售通路的2C市場，且大多推出自家電子支付App，全盈支付去年甫一推出全盈+Pay，即強調差異化策略，瞄準B2B2C支付場景，全盈支付沒有推出App，而是將電子支付工具化，嵌入其他業者的服務中，除了在零售支付場景上，支援全家超商、屈臣氏、清心福全、伯朗咖啡等約10萬個零售據點，也和智生活、Stayfun合作，支援社區生活、職場支付需求。</p> <p>全盈支付總經理劉美玲表示，今年全盈支付會聚焦在3E的開放策略上，建立場景金融聯盟，以會員數翻倍為目標；3E策略分別是嵌入式金融（Embedded Finance）、共好生態圈（Engaged Ecosystem），以及數據賦能（Data Empower），其中嵌入式金融是將支付工具嵌入場景，提供客製化的微金融服務，共好生態圈則是針對各生態圈的服務痛點及缺口提供解決方法，數據賦能是利用數據精準行銷深化會員經營。</p> <p>除了零售、社區、職場之外，今年第2季至第3季將與銀行業者合作，將全盈+Pay嵌入銀行App。劉美玲表示，某些銀行App沒有支付工具，銀行如果要自己發展支付，必需投入大量的費用、心力，全盈支付可以和銀行合作，讓全盈+Pay嵌入到銀行App裡。</p> <p>在會員經營方面，由於用戶使用電子支付，電支業者只取得交易時間、地點、金額，無法知道用戶購買的商品是什麼，加上全盈支付的用戶不少來自全家會員，因此全盈支付也和全家合作，利用去識別化資料，分析用戶的消費行為，對不同用戶消費偏好貼標分群，例如經常到超商購買寵物飼料者，可能是養寵物的消費者，或是經常在超商購買低熱量的保健食品者，可能是健身愛好者，針對不同需求的消費者，提供個人化的推播廣告訊息，例如寵物險或是某類保健食品。</p> <p>劉美玲表示，相較於透過補貼，快速累積用戶，全盈支付更重視增加活躍用戶數，這些用戶每月至少使用1次全盈+Pay，目前正透過數據分析，增加對會員消費偏好的了解，深化會員經營。</p> <p>目前全盈支付已有約1百萬電支用戶，該公司宣稱其中約7成為活躍會員，今年全盈支付以建立場景金融聯盟，會員數翻倍成長為目標。</p> <p>至於今年初金管會預告，財金公司的電子支付跨機構共用平臺，第2季將推出「購物」功能，將電支跨機構共用平臺從轉帳、繳費、繳費，擴大到購物，讓用戶能跨不同電支業者的合作通路，例如原本的電子支付App，在其他電支業者合作通路上消費。全盈支付對電支跨機構共用平臺的通路共用樂觀其成，未來會參與購物共用平臺，但使用電支跨通路購物，促成交易的各方手續費如何拆分，未來還需要達成共識。</p> </div></div></div>
2023/2/21 19:02作者蘇文彬https://www.ithome.com.tw/news/155616
石崇良揭電子處方箋平臺規畫與次世代HIS藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良日前在生策會年會上，盤點多項數位醫療政策進展，包括電子處方箋平臺規畫、次世代數位醫療平臺（或稱次世代HIS）藍圖。就前者來說，衛福部已在去年底公告41個電子處方箋交換欄位，目前正在建置平臺，此外衛福部也開發數位同意書簽章平臺，供民眾在平臺上簽署通訊診療知情同意書，讓遠距就醫流程更連貫。就次世代數位醫療平臺來說，衛福部希望該平臺扮演通用資料層角色，向下銜接各醫療院所的HIS，向上串接資料處理層和資料應用層，可進行健保申報、智慧醫療等應用。</p> <p><span style="font-size:24px;"><strong>強調健保署5大目標，力推數位醫療</strong></span></p> <p>石崇良指出，根據WHO定義，一個健康照護體系的最終目標，是要維持公眾健康，而「醫療資訊（Medical infomatics）是實現這一目標的重要支柱。」因為，醫療資訊不只協助醫療體系運作，還能用來評估體系是否達標，WHO更將其與服務、人力、基本用藥可及性等元素並列為健康照護體系6大支柱，可見WHO對醫療資訊的重視。</p> <p>對健保署來說，照護體系的目標亦是如此。石崇良也提出健保署5大目標，在體系面，要先做到系統整合，亦即將健保視為一個平臺，向前結合預防保健、向後整合長照系統，以人為中心發展全人照護。第2個目標是在財務平衡的前提下，發展多元支付、導入經實證的突破性藥物和醫療技術。</p> <p>另一個目標則是數位轉型，要透過健保制度，來協助整個醫療體系進行數位轉型。石崇良表示，醫療院所IT系統是因健保申報而建置，後來也帶動電子病歷發展，但現在，「我們不希望健保成為絆腳石，健保署要優先帶頭、成為火車頭，來帶動次世代醫療系統的升級、協助醫院數位轉型！」他說。</p> <p>第4個目標是透明治理，要根據去年大法官釋憲重點，來完善健保資料使用和相關法規的檢討修正，以促進創新研發。最後一個目標是要強化社會溝通，也就是擬定和推動政策時，要顧及政府、醫界和民眾等多方的對話和溝通。</p> <p><span style="font-size:24px;"><strong>優化基礎建設來實現數位醫療</strong></span></p> <p>石崇良也點出，健保署希望優化數位醫療的基礎設施，如電子病歷架構、雲端等，來將過去分段式的照護模式，提升為以人為中心的全人整合式照護模式。為實現這個目標，衛福部在過去也祭出不少措施，像是去年7月公告新版電子病歷製作及管理辦法，允許電子病歷上雲，並推動國際主流的醫療資料交換標準FHIR。</p> <p>不只是電子病歷，健保署也針對民眾端和醫療院所端推出各自的雲端應用，比如健康存摺App連結健保資料庫，允許民眾查詢近3年的就醫和檢驗檢查資料，健保署還開放健康存摺SDK，來供業者、醫院申請介接，打造App提供客製化的健康管理服務給民眾。針對醫療院所，健保署則有套雲端查詢系統，去年才翻新，來供醫生查詢民眾就醫歷史、降低重複檢驗檢查和重複用藥的問題。石崇良也預告，健保署接下來會優化該系統，提供更多新功能。</p> <p>除此之外，健保署建置的健保資料庫，也是數位醫療一環，能用來協助醫療AI的研發和創新（如下圖）。比如，去年通過美國FDA智慧醫材認證的臺大醫院胰臟癌早期偵測AI，就是利用健保資料庫開發，北榮的腦轉移瘤偵測AI、成大的COVID-19肺炎偵測AI、北醫附醫的肺結節偵測軟體，以及國泰醫院的5大慢性病風險預測AI和亞東醫院的鼻咽癌自動分期AI也都是例子之一。甚至，臺大醫院以健保資料庫打造的心臟鈣化風險預測AI，還無償回饋給健保署使用，可於健康存摺中使用。這些都是健保資料庫促進數位醫療發展的案例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%86%AB%E7%99%82AI.jpg" /></p> <p><span style="font-size:24px;"><strong>數位配套措施改善遠距醫療流程不連貫，衛福部還打造電子處方箋平臺</strong></span></p> <p>遠距醫療也是數位醫療的一部分，特別是在臺灣疫情嚴峻時，發揮強大效益。因為，光是去年下半年，全臺就有800多萬人確診，而居家照護、遠距醫療的啟動，分攤了患者湧進實體醫療體系的負荷。不過，石崇良表示，臺灣要發展遠距醫療，仍有許多挑戰，像是健保給付問題、就醫流程不連貫等，尤其是處方箋交付和領/送藥環節。</p> <p>也因此，衛福部去年開始修改法規，除開放電子病歷上雲外，在2022年11月也預告通訊診察治療辦法修正草案，擴大遠距醫療的服務對象和醫療項目，並新增醫師開立處方的特殊情形等。去年12月29日，衛福部更公布電子處方箋交換欄位，定義了電子處方箋所需涵蓋的10個區塊、41個欄位，如醫事機構、病人、醫事人員和門診基本資料，以及診斷、處方箋單號、給藥總日數和藥劑內容等。</p> <p>與此同時，衛福部也為遠距醫療，規畫幾項數位配套措施（如下圖），如用於身份辨識的虛擬健保卡、可線上簽署的數位同意書簽章平臺，以及電子處方箋平臺。進一步來說，一般通訊診療的流程包含辨識病人身份、病人簽署知情同意書，以及醫師通訊看診、開立處方，和最後的藥師調劑處方、交付藥品與衛教說明。在這段流程中，衛福部推虛擬健保卡來進行病人身份辨識，且石崇良補充，目前虛擬和實體健保卡雙卡並行，但未來將以虛擬健保卡為主，作為單一健保卡使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%B8%E4%BD%8D%E7%B0%BD%E7%AB%A0.jpg" /></p> <p>而數位同意書簽章平臺，則是讓民眾直接在平臺上，簽署通訊診療知情同意書，這是衛福部正在開發的平臺。另一個正在開發的平臺是電子處方箋平臺，是要供醫師看診完、開立處方時使用，民眾看完診於健保快易通App付款後，也能在App上查看電子處方箋，並選擇調劑藥局、傳送或出示處方箋，讓藥局掃描QR Code、核對資訊，進行調劑。電子處方箋的建置目的，不只是要就醫流程更連貫，也要防止處方箋遺失和竄改。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%BB%E5%AD%90%E8%99%95%E6%96%B9%E7%AE%8B.jpg" /></p> <p>石崇良指出，電子處方箋是遠距醫療的最後一哩路，而這些數位配套措施，是要讓遠距醫療就醫流程一氣呵成、實現真正的遠距醫療。</p> <p><span style="font-size:24px;"><strong>基礎建設再造，衛福部揭露次世代HIS藍圖</strong></span></p> <p>不只如此，石崇良認為，因應後疫時代，醫療數位轉型勢在必行，尤其是基礎建設得具備互通能力。因為，健保平臺目前雖能提供跨域合作和創新驗證，但這些成果要回饋用於醫療體系時，又會遭遇導入困難，這個問題，也是去年9月行政院BTC會議聚焦的重點之一。為解決問題，衛福部去年開始規畫次世代HIS，並要採用國際主流標準，來接軌國際。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%AC%A1%E4%B8%96%E4%BB%A3HIS.jpg" /></p> <p>在石崇良揭露的次世代HIS藍圖中，可看出衛福部希望次世代HIS扮演通用資料的角色，向下串接各醫院的HIS資料，向上則串接各種應用，來執行多種業務，像是健保申報。再更上一層，則能發展資料應用，像是健康存摺，或由資通產業打造的智慧醫療應用。「我們正積極爭取各部會的協助和支持，希望可以快速上路！」石崇良說。</p> </div></div></div>
2023/2/21 16:10作者王若樸https://www.ithome.com.tw/news/155609
紅帽容器管理工具Podman 4.4合併Quadlet，簡化systemd容器管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）在<a href="https://www.redhat.com/sysadmin/quadlet-podman">開源容器管理工具Podman 4.4版本合併了Quadlet</a>，進一步消除在Linux系統與服務管理器systemd執行容器的複雜性，讓用戶能夠像是使用Kubernetes檔案，用宣告的方式定義要執行的內容。</p> <p>Podman是Linux上無常駐程式的容器引擎，<a href="https://access.redhat.com/documentation/zh-tw/red_hat_enterprise_linux/8/html/8.0_release_notes/notable_changes_to_containers">紅帽在RHEL 8.0的時候就已經不包含Docker</a>，不少用戶轉而使用Podman，而紅帽提到，Podman好處之一是能夠與systemd協同運作，其使用標準的fork/exec模型，因此很適應systemd系統以及服務管理器模型。</p> <p>而Quadlet原本是一個自選工具，能夠讓使用者以更好的方式，以程序管理器systemd執行Podman系統容器。<a href="https://blogs.gnome.org/alexl/2021/10/12/quadlet-an-easier-way-to-run-system-containers/">之所以會有Quadlet這種工具的需求</a>，是因為雖然容器通常在雲端環境運作，並且和Kubernetes等調度工具一起使用，主要用於開發和測試目的，因此用戶能夠手動管理容器。</p> <p>但也有一小部分用例，需要自動容器管理，在較小的單節點上，像是嵌入式或是車用裝置，缺乏系統管理員、網路連線或是邊緣伺服器控制，因此便可以使用systemd調度容器，雖然有很多方法可以將podman和systemd結合使用，但是通常systemd配置檔案過大或是難以維護，因此在Podman整合Quadlet，便能讓用戶更簡單地使用systemd管理Podman容器。</p> <p>Podman在4.3的時候，加入了自定義健康檢查操作功能，可以在容器發生問題時，自動採取諸如重新啟動等措施，而systemd與Podman的結合，使這項功能有更好的發揮，能夠自動更新和回退在systemd中執行的Kubernetes工作負載，用戶可仰賴systemd管理服務，監控工作負載的生命周期和服務狀態，在故障時重新啟動。</p> <p>由於Podman和systemd單元檔案運作良好，解決了IT管理員許多麻煩事，用戶也開始向上游Podman專案提出最佳實踐的請求，希望能以systemd服務形式執行Podman，因此紅帽開始和systemd合作，針對最佳實踐制定了模板，在Podman新增podman generate systemd指令，可以直接從正在執行的容器，創建單元檔案。</p> <p>之後才又進一步衍生出Quadlet專案，透過通用systemd單元檔案定義動態重新生成服務，紅帽解釋，Quadlet對用戶隱藏systemd執行容器的複雜性，即便從頭開始編寫單元檔案也變得容易，用戶可將其視為適用於systemd的Compose或Kubernetes檔案。用戶現在已經可以在CentOS Stream、Fedora等Linux發行版，用到已經整合Quadlet的Podman 4.4。</p> </div></div></div>
2023/2/21 16:58作者李建興https://www.ithome.com.tw/news/155610
SpaceX在美推出Starlink全球漫遊服務，月費200美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reddit.com/r/Starlink/comments/114ay1q/starlink_global_roaming_service/" target="_blank">Space X本周邀請部分用戶試用名為「全球漫遊」（Global Roaming）的新服</a>務，允許用戶走到世界各地都能使用衛星連網的服務。不過目前僅在美國提供。</p> <p>SpaceX說明，這項服務使用Starlink的衛星間鏈路（即太空雷射）提供全球連網服務，可提供Starlink的高速、低延遲服務。該公司表示新服務會摻雜短暫的連線不佳情況，但強調長期而言，這問題會大幅改善。</p> <p>一般Starlink定點型連網費用為110美元月費加599美元一次性的硬體（名為Starlink Kit）費用。全球漫遊服務則同需599美元硬體費，但月費為200美元，強調前30天不滿意全額退費。SpaceX指出，加入全球漫遊費不會影響定點式Starlink服務。</p> <p>不過這項服務目前僅在美國提供，美國以外地區的用戶若想使用，則需支付Starlink Kit的進口費及稅。</p> <p>SpaceX積極拓展新服務。<a href="https://www.ithome.com.tw/news/153716" target="_blank">繼去年推出</a>移動載具（汽車、火車、飛機及船）上的Starlink，以及<a href="https://www.ithome.com.tw/news/152726" target="_blank">能在T-Mobile電信網路盲區提供的衛星網路</a>。<a href="https://www.ithome.com.tw/news/152979" target="_blank">SpaceX 執行長馬斯克也看好以5G iPhone直接連上衛星</a>。<a href="https://www.reuters.com/technology/musks-starlink-internet-service-be-offered-philippines-q1-2023-02-03/" target="_blank">本月該公司宣布</a>，Starlink 3月初將推向菲律賓。</p> </div></div></div>
2023/2/21 14:10作者林妍溱https://www.ithome.com.tw/news/155605
BMC傳已悄悄重新申請上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年的景氣衰退，投資人收手，系統管理軟體業者BMC在下市多年後，於上周悄悄向美國主管機關證管會提交股票公開發行（initial public offering，IPO）的申請。</p> <p><a href="https://www.reuters.com/markets/deals/kkr-backed-bmc-software-confidentially-files-us-ipo-source-2023-02-17/" target="_blank">路透社上周引述消息人士報導此事</a>。路透社並分析指出，去年春天俄烏戰爭爆發，經濟衰退及全球股市大跌，迫使許多新創科技上市計畫被迫延後，BMC低調申請上市，似乎是感到市場回穩的試水溫舉動。</p> <p>BMC是老牌企業軟體公司，成立於1980年代，主要產品為IBM大型主機的管理軟體，客戶遍及大型企業。BMC也曾經是上市公司，但因錯失雲端市場，在2013年被私募基金公司Bain Capital、GoldenGate Capital、GIC、Insight Venture Partners等以69億美元聯合收購並下市。2018年後者又將BMC以85億美元，賣給了另一家私募基金公司暨現任持有者KKR。</p> <p>該公司評估市值約在140億到150億美元之間。<a href="https://www.spglobal.com/marketintelligence/en/news-insights/trending/mndqehlfat2wpsqpe4q6pa2" target="_blank">2018年路透社也曾報導</a>BMC欲重新上市的消息，當時估值為100億美元。</p> <p>報導指出，下市的10年期間，BMC得以擺脫股東干預，改造體質，也發展出開放系統及雲端管理軟體。現在改造工作接近完成，並且嗅到美國經濟復甦的跡象，決定捲土重來。</p> <p>BMC拒絕對此評論。</p> <p><a href="https://www.ithome.com.tw/news/151241" target="_blank">2017年，BMC控告競爭者IBM</a>說服雙方共同客戶改安裝自家IBM軟體，去年5月IBM敗訴，被法院裁定應賠償BMC 16億美元。</p> </div></div></div>
2023/2/21 11:16作者林妍溱https://www.ithome.com.tw/news/155603
GoDaddy被駭客竊走公司程式碼，並在代管服務植入惡意程式多年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aboutus.godaddy.net/newsroom/company-news/news-details/2023/Statement-on-recent-website-redirect-issues/default.aspx" target="_blank">網站代管及域名註冊業者GoDaddy上周坦承</a>，該公司在多年前遭不知名人士駭入一項代管服務，導致公司程式碼被竊及植入惡意程式，影響客戶網站。</p> <p>GoDaddy於2022年12月起，接獲部分客戶反映網站遭到重導向（redirect）攻擊。經過調查發現，有未經授權的第三方人士存取了其cPannel主機管理服務的代管伺服器，並安裝惡意程式，致使客戶網站間或發生重導引攻擊。</p> <p>GoDaddy確定入侵事件後即解決該事件，同時導入安全措施以避免再次發生類似事件。協同外部鑑識廠商進一步調查，GoDaddy相信這樁攻擊是由專門攻擊代管服務的高明犯罪組織所為，其主要目的是以惡意程式感染網站和伺服器，目的在進行釣魚、散布惡意程式等惡意活動。</p> <p>但<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001609711/e4736ddb-b4c7-485b-a8fc-1827691692c9.pdf" target="_blank">根據GoDaddy向美國證管會（SEC）提交的報告</a>，該攻擊是多年惡意活動的一部分。除了影響客戶，駭客並已在其伺服器上安裝惡意程式，取得與其服務有關的程式碼。該公司宣稱尚未發現影響其業務或營運的活動。</p> <p>去年11月GoDaddy代管WordPress服務上的供應（provisioning）系統，<a href="https://www.ithome.com.tw/news/147977" target="_blank">也遭駭客利用外洩的帳號密碼存取</a>，影響120萬名客戶。<a href="https://www.ithome.com.tw/news/141258" target="_blank">2020年11月該公司員工也曾被釣走網域控管資料</a>，導致代管的客戶系統網域名被竄改而發生重導向攻擊。</p> </div></div></div>
2023/2/21 11:44作者林妍溱https://www.ithome.com.tw/news/155604
OpenAI啟動一系列計畫改進ChatGPT的偏見與預期外行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於ChatGPT帶來的風潮，各大科技公司無不爭相在自己的產品，加入大型語言模型，由於這類語言模型技術的既有限制，使得用戶容易獲得具偏見、冒犯性，甚至是與事實不符的輸出，<a href="https://openai.com/blog/how-should-ai-systems-behave/" target="_blank">現在OpenAI開始著手一系列改進</a>，試圖解決當前ChatGPT存在的系統限制。</p> <p>官方解釋，ChatGPT是一個大型神經網路，模型行為學習自廣泛且龐大的資料，並非是由明確的程式碼寫死。ChatGPT模型經過預訓練和微調兩階段，在預訓練階段，模型會從網際網路資料集中，學習預測語句下一個單詞的方法，但是在這個學習的過程，同時也學習了網際網路中帶有偏見言論。</p> <p>因此在微調階段，OpenAI需要用較小的資料集微調ChatGPT，以規範模型的行為，這些小資料集由人工審查者根據OpenAI指引創建而成。</p> <p>不過，由於OpenAI無法預測所有用戶的可能輸入，因此僅在指引中概述幾個類別，人工審查者根據這些指引類別，審查和評分一系列輸入可能的模型輸出，之後再由模型總結這些審查者的回饋，套用在給用戶的回應中。</p> <p>即便經過微調階段，ChatGPT仍然無法解決偏見問題，官方提到，雖然他們的指引裡面，明確規範審查者不應該偏袒任何政治團體，但在當前的微調階段，仍可能在過程中加入偏見。</p> <p>目前OpenAI解決偏見的方法，是盡可能在指引中，向審查者清楚解釋偏見的潛在陷阱和挑戰，以及具有爭議的人物和主題，並且使微調過程變成一個反饋循環，每周透過會議來解決遇到的問題，並且一再澄清指引，透過迭代讓模型表現越來越好。</p> <p>除了偏見之外，ChatGPT還存在多個問題，像是拒絕不應該拒絕的請求，或是無法在應該拒絕的時候拒絕請求，甚至會編造內容，OpenAI承諾會繼續改進這些ChatGPT的預設行為。而由於每個用戶對於人工智慧的期待都不同，因此OpenAI正在改進ChatGPT，將讓用戶有更多自定義空間。</p> <p>另外，OpenAI也希望讓使用者甚至是公眾，能夠影響ChatGPT的系統規則，避免言論權力過度集中的問題，最終使得ChatGPT能夠廣納觀點，但OpenAI坦言，這項功能有其挑戰性，目前先以紅隊的形式來檢視ChatGPT，不過他們正在建立機制，希望以公眾意見教育人工智慧。</p> </div></div></div>
2023/2/21 08:36作者李建興https://www.ithome.com.tw/news/155598
Meta向創作者推出付費訂閱計畫，價格每月11.99美元起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/144848">推特發布訂閱服務Twitter Blue之後</a>，<a href="https://www.facebook.com/4/posts/good-morning-and-new-product-announcement-this-week-were-starting-to-roll-out-me/10114993498750111/">Meta執行長Mark Zuckerberg也宣布</a>，Meta將針對Instagram和臉書創作者推出<a href="https://about.fb.com/news/2023/02/testing-meta-verified-to-help-creators/" target="_blank">Meta Verified訂閱計畫</a>，訂閱Meta Verified的創作者貼文，將可獲得可見度提升以及防帳戶假冒保護。Meta Verified會先在澳洲和紐西蘭推出，在網頁訂閱價格為每月11.99美元，iOS和Android則是每月14.99美元。</p> <p>Meta即日起開始測試Meta Verified，這是一個Instagram和臉書的訂閱包，經過使用政府ID身分驗證的訂閱者，將獲得驗證徽章，以及主動的帳戶保護，同時提高可見度和觸及，Meta也會提供帳戶支援服務。</p> <p>官方提到，他們更改驗證徽章的意義，透過擴大驗證範圍，使經過驗證的帳戶增加，便可增加社群互動的可信度。Meta Verified最低要求年紀為18歲，申請人需要提交與Instagram和臉書個人資料名稱和照片相符的政府身分證件，在訂閱Meta Verified後，Meta將會主動監控假冒訂閱者帳戶的惡意帳號。</p> <p>由於訂閱者現有的受眾規模和貼文的主題不同，可能影響訂閱Meta Verified所獲得的可見度提升，Meta解釋，關注者較少的用戶因為本身受眾群體較少，因此可獲得明顯的觸及提升。另外，Meta Verified會提供訂閱者臉書、Instagram Stories和Facebook Reels特殊貼紙，在臉書上則有100個星星，訂閱者可以對其他創作者使用以表達支持。</p> <p>由於Meta Verified需要使用身分證件驗證帳戶，因此創作者一旦透過驗證，便無法更改個人名稱、使用者名稱、出生日期以及個人資料中的照片，除非再次透過Meta Verified訂閱或是驗證申請程序。</p> </div></div></div>
2023/2/21 08:39作者李建興https://www.ithome.com.tw/news/155599
【資安日報】2023年2月20日，WordPress網站被植入廣告詐欺外掛程式、駭客組織使用13種語言發動商業郵件詐騙…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有人利用50個WordPress網站來進行廣告詐欺攻擊！其共通點是駭客在這些網站植入名為fuser-master的惡意外掛程式，導致使用者在瀏覽網站的時候，該外掛程式元件就會利用另一個在背景運作的瀏覽器視窗偷偷地「瀏覽」廣告，使用者完全不知情遭到利用。</p> <p>駭客假冒高階主管進行商業郵件詐騙的情況不時有事故傳出，但如今有人也一口氣將詐騙郵件轉換成不同語言的版本，來針對全球各地的企業下手。</p> <p>曾經使用但已過期的網域名稱，有可能成為攻擊者入侵軟體套件庫的弱點！有資安業者針對特定熱門NPM套件進行研究，並認為這樣的情況並非個案，呼籲開發團隊要提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/02/wordpress-sites-backdoored-with-ad-fraud-plugin"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站被植入廣告詐欺外掛程式</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file79993_258912_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file79993_258912_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露將WordPress網站用來進行廣告詐欺的攻擊行動，駭客利用名為fuser-master的外掛程式，針對約50個WordPress網站植入後門，而對於這些受害網站的熱門程度，研究人員指出其中一個網站一個月有380萬次瀏覽。</p> <p>這些網站一旦被植入上述外掛程式，使用者在瀏覽網頁的時候，該外掛程式就有可能在背景開啟新的視窗，並透過Google的網址放任重新導向弱點（Open Redirect Vulnerability）來載入廣告。</p> <p>為了避免讓人察覺有異，攻擊者利用JavaScript指令碼在廣告網頁執行瀏覽和點選連結，並在有人實際操作電腦滑鼠的時候暫停。</p> <p><a href="https://intelligence.abnormalsecurity.com/blog/midnight-hedgehog-mandarin-capybara-multilingual-executive-impersonation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兩個駭客組織假冒高階主管，使用13種語言發動商業郵件詐騙攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span></p> <p><a href="https://s4.itho.me/sites/default/files/images/1-Examples-of-Midnight-Hedgehog-Emails-in-Different-Languages-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-Examples-of-Midnight-Hedgehog-Emails-in-Different-Languages-1.jpg" style="width: 300px; float: right;" /></a>商業郵件詐騙（BEC）不斷有事故傳出，有許多駭客透過英文來犯案，但隨著翻譯工具容易取得，有人藉由這種方式對於許多國家的企業下手。</p> <p>資安業者Abnormal揭露駭客組織Midnight Hedgehog和Mandarin Capybara的全球攻擊行動，這些駭客組織利用丹麥語、荷蘭語、愛沙尼亞語、法語、德語、匈牙利語、義大利語、挪威語、波蘭語、葡萄牙語、西班牙語、瑞典語等13種語言下手。</p> <p>Midnight Hedgehog的主要目標是歐洲企業，自2021年1月假冒企業高階主管要求收信人處理付款事宜，索討的金額從1.7萬至4.5萬美元；Mandarin Capybara則是鎖定人力資源部門下手，假借更換薪資帳戶的名義，企圖接收目標組織高階主管的薪水。</p> <p><a href="https://blog.illustria.io/illustria-discovers-account-takeover-vulnerability-in-a-popular-package-affecting-1000-8aaaf61ebfc4"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有個每週下載逾350萬次的NPM套件帳號安全性堪慮！爆出具有易遭挾持的風險</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/0_jU785hc7lM6HrP6f.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_jU785hc7lM6HrP6f.png" style="width: 300px; float: right;" /></a>軟體供應鏈資安業者Illustria發現，一個每週有超過350萬次下載的NPM套件有可能受到帳號挾持攻擊，攻擊者有可能藉由其中一個管理者的帳號，以及註冊曾使用、現在過期的網域名稱，進而重設這個NPM的GitHub登入密碼。</p> <p>研究人員指出，為了在程式碼更動時自動發布NPM套件，該套件經營者採用了持續整合（CI）工具GitHub Actions，並設置專用的Token，而能繞過NPM的雙因素驗證機制。研究人員最後從GitHub Actions攔截了此Token並成功完全控制該套件，他們將研究成果回報給套件開發團隊並得到處理。</p> <p><a href="https://cybernews.com/security/ai-editing-service-leaks-images-customer-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上AI圖像編輯工具Cutout傳出資料外洩，曝露用戶敏感資料</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>根據資安新聞網站Cybernews的報導，線上AI圖像編輯工具Cutout的ElasticSearch伺服器曝露使用者產生的內容，包含使用者名稱、頭像、積分，以及存放圖片的Amazon S3儲存桶連結。這些資料約有9 GB，當中還有2,200萬筆含有使用者名稱的事件記錄檔案，但難以確定有多少人受害。</p> <p>研究人員指出，任何人都可以在該資料庫建立新檔案，以及執行讀取、更新、刪除（CRUD）等動作，若是該系統的開發人員未備份資料，攻擊者有可能以此中斷Cutout的業務，甚至利用API接管資料。</p> <p><a href="https://research.checkpoint.com/2023/operation-silent-watch-desktop-surveillance-in-azerbaijan-and-armenia/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞美尼亞組織遭到後門程式OxtaRAT監控</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>資安業者Check Point揭露鎖定亞美尼亞組織的攻擊行動Operation Silent Watch，他們發現駭客自2022年11月散布惡意軟體OxtaRAT，一旦使用者電腦遭到此威脅的感染，就有可能讓攻擊者找尋並洩露機密資料、透過視訊鏡頭及桌面錄製影片，甚至使用TightVNC進行遠端遙控、部署Web Shell等。</p> <p>駭客先是散布偽裝成PDF檔案的螢幕保護程式SCR檔，一旦使用者開啟此檔案，電腦就會開啟介紹人權記者Alexander Lapshin的PDF檔案（內容來自維基百科）作為誘餌，並執行自動化工具AutoIt轉譯器來啟動埋藏於圖片檔案的OxtaRAT。研究人員指出，此記者曾因遭到亞塞拜然監禁，歐洲人權法院後來要求該國政府賠償，後來該名記者公開用於收取賠款的亞美尼亞銀行Artsakhbank信用卡，而此事有可能是駭客針對亞美尼亞組織的導火線。</p> <p>值得注意的是，此惡意軟體為多屬性（Polyglot）檔案，同時具有AutoIt指令碼的功能，也具備圖片檔案的特徵，而有可能躲過防毒軟體的偵測。</p> <p><a href="https://www.sentinelone.com/labs/wip26-espionage-threat-actors-abuse-cloud-infrastructure-in-targeted-telco-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端基礎設施遭到濫用，駭客攻擊電信業者</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/WIP26_17.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WIP26_17.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露針對中東電信業者而來的攻擊行動，駭客組織WIP26濫用Microsoft 365郵件服務、Azure、Google Firebase、Dropbox等公有雲設施，來散布後門程式CMD365及CMDEmber。</p> <p>駭客先是透過WhatsApp找上目標企業的員工，以提供當地社會問題的文件檔案，引誘他們從Dropbox下載惡意程式載入工具，一旦員工照做並執行，電腦就有可能被植入後門程式，而這些後門程式會連至架設於Microsoft 365或Google Firebase的C2來接收命令，並透過Azure服務洩露竊得的資料。</p> <p><a href="https://www.picussecurity.com/resource/blog/the-red-report-2023-top-ten-attack-techniques"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安防護恐面臨應接不暇危機！逾三分之一惡意軟體採用20種戰術與攻擊手法</span></strong></a><strong style="font-size: 16px;"> </strong></p> <p>資安業者Pycus指出，現在的惡意軟體就像瑞士刀，普遍結合了多種攻擊能力。研究人員針對逾50萬個惡意程式進行分析，結果發現平均每個惡意軟體具備超過10種戰術、技巧，以及程序（TTP），約三分之一超過20種TTP，約有10%更多達30種。</p> <p>此外，他們也發現駭客最常使用的攻擊手法當中，濫用合法軟體的寄生攻擊（LOL）、橫向移動、加密檔案的能力也相當普遍──其中，有四分之一的惡意軟體能用於勒索軟體攻擊。</p> <p><a href="https://cymetrics.io/zh-tw/latest/report/cymetrics-2023-taiwan-top15-airline-and-travel-agency-exposure-assessment-report"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣航空、旅遊業者網站缺乏相關的防護設定</span></strong></a> <strong style="font-size: 16px;"> </strong></p> <p>資安業者Cymetrics針對臺灣15家航空及旅遊業者進行檢查，結果發現這些業者的網站多數存在漏洞，並有部分弱點來自相關軟體套件及錯誤配置，或是沒有採用較安全版本的情況。其中，許多企業沒有配置Cookie基本安全設定、內容安全性原則（CSP）、防範嵌入iframe攻擊的X-Frame-Options、CSRF Token、網站憑證授權機關資源紀錄檢查等。其中，曝險網域最多的三大業者，分別是山富旅遊（234個），其次是中華航空（82個），第三多的是長榮航空及Klook（各有81個）。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blog.twitter.com/en_us/topics/product/2023/an-update-on-two-factor-authentication-using-sms-on-twitter"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">推特取消免費使用者透過簡訊執行雙因素驗證的功能</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>推特於2月15日宣布，為了減少簡訊寄送雙因素驗證（2FA）碼遭到駭客濫用的情況，即日起停止免費使用者設置採用這種方式執行雙因素驗證。已經啟用該功能的使用者必須在30天之內，改用身分驗證App或是安全金鑰來執行相關驗證流程，該公司亦在3月20日全面對免費使用者停用簡訊驗證碼的相關功能。</p> <p>不過，訂閱推特藍勾勾（Twitter Blue）的付費用戶，則不受上述推特的新措施限制，仍可使用簡訊進行雙因素驗證。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/norwegian-police-recover-58m-crypto-from-massive-axie-infinity-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">挪威警方從NFT電玩Axie Infinity事故追回580萬美元的加密貨幣</span></strong></a> </p> <p>北韓駭客Lazarus去年3月入侵加密貨幣交易平臺Robin Network，盜走NFT電玩Axie Infinity逾6億美元加密貨幣創下紀錄而引起軒然大波，在執法單位的努力下近期有了新的進展。挪威警方Økokrim宣布，他們沒收了Lazarus竊得的580萬美元加密貨幣，並將歸還給經營上述交易平臺及電玩遊戲的Sky Mavis。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.securityweek.com/solarwinds-announces-upcoming-patches-for-high-severity-vulnerabilities"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">SolarWinds預告將修補高風險漏洞</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/vinfo/us/security/news/cyber-attacks/operation-earth-kitsune-tracking-slub-s-current-operations"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本、中國遭到惡意軟體WhiskerSpy鎖定，假借影音解碼軟體散布</span></span></strong></a></p> <p><a href="https://interlab.or.kr/archives/2567"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">南韓記者遭到安卓惡意軟體RambleOn鎖定</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/ransomware-roundup-catb-ransomware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體CatB挾持MSDTC服務來執行加密工作</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155588">【2023年2月18日】 Fortinet修補WAF與網路存取控制系統的重大漏洞、施耐德電機PLC存在可被用於RCE攻擊的漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155561">【2023年2月17日】殭屍網路V3G4針對13個物聯網裝置漏洞而來、臺灣組織IIS伺服器遭到惡意軟體Frebniis鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155549">【2023年2月16日】逾60個亞太地區組織在2021年遭駭客組織SideWinder攻擊、SAP發布2月份例行修補</a></strong></p> </div></div></div>
2023/2/20 17:56作者周峻佑https://www.ithome.com.tw/news/155597
【MFA無法阻止身分冒用事件的頻傳，驗證碼被竊是主因】因現行MFA仍有可乘之機，信用卡交易驗證安全需要持續強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，駭客不只竊取網路服務的帳號密碼，對於啟用MFA的使用者，也會嘗試突破其防禦，例如竊取OTP一次性密碼。</p> <p>過去我們已經注意到不少事件，而且是發生在幾個不同的場景，例如，惡意程式攔截線上遊戲註冊的簡訊OTP碼，網釣簡訊騙取民眾網路銀行登入的簡訊OTP碼，還有攻擊者鎖定企業員工的面向，騙取員工登入公司GitHub所需的硬體OTP金鑰產生的驗證碼等。</p> <p>值得關注的是，有個領域也面臨這樣的問題，那就是信用卡支付3D Secure驗證的OTP碼被竊取，最近臺灣就有這類事件。這樣的狀況，突顯駭客已能透過誘騙與竊取OTP碼來突破MFA的保護，其實這不只發生在網路服務帳號的註冊與登入，還有一些場景也會用OTP來多一道驗證程序，因此同樣會受到影響，而支付確認的OTP應用，就是一例。</p> <p><span style="font-size:28px;"><strong>今年1月永豐信用卡接連遭盜刷，且對方竟通過3D驗證而得逞</strong></span></p> <p>這起最近事件發生在農曆年節期間，有多位永豐銀行信用卡用戶在PTT等社群媒體上表示被盜刷，且盜刷過程中還通過了3D Secure驗證，因此受到許多媒體關注而報導。此事也引發金管會的重視，目前看來，很有可能是經過電子郵件管道竊取OTP碼所造成。</p> <p>根據金管會在1月31日例行記者會的說明，永豐銀行表示有34名持卡人被盜刷76筆，總金額約110萬元，而這些交易是在約30家網路商店消費，發生時間在1月23日至29日間。由於永豐銀行導入3D驗證機制後，該公司設定為在刷卡時會同時將OTP驗證碼，傳送至持卡人手機及電子郵件信箱，不像其他多數銀行僅使用簡訊方式傳送，目前研判，寄送的驗證碼郵件遭到不法人士擷取，所以可以通過3D Secure的驗證。</p> <p>後續金管會與永豐銀行表示，將依照現行機制列為爭議款，以釐清後續責任歸屬。而銀行方面的因應上，將停止刷卡OTP密碼傳送到電子郵件，並針對盜刷的商店作控管。</p> <p><span style="font-size:28px;"><strong>去年底已有網銀示警，原因正是用戶購物與郵件帳號遭駭使OTP被竊</strong></span></p> <p>在進一步追蹤上述狀況的來龍去脈時，我們發現稍早有件事可能與此有關，那就是連線商業銀行（Line Bank）在2022年12月20日發出一份特別公告，表示將停止簽帳金融卡以電子郵件發送3D Secure的驗證碼，僅保留簡訊發送。</p> <p>這裡也提到理由：為了因應近期所發生的多起事件，有駭客透過購物平臺等管道竊取顧客電子郵件帳號密碼，進而獲取刷卡交易的3D驗證碼以盜刷。</p> <p>詢問該公司具體原因之後，他們表示，自2021年開業即導入運用AI技術的FDS欺詐偵測系統，2022年12月之所以停止以電子郵件發送3D驗證碼，是因為Line Bank內部偵測系統，察覺可能的異常交易，所以採取預防措施，降低風險。</p> <p>綜觀上述3D驗證碼被竊狀況，我們認為須注意下列議題。</p> <p>首先，已有透過盜用電子郵件方式，竊取持卡人3D驗證碼盜刷的攻擊行動。</p> <p>其次，從Line Bank這次警告來看，特殊之處在於，似乎指出有購物平臺可能帳密資料庫外洩，或是用戶自己遭網釣或被竊取帳密的狀況，也可能有不同服務共用帳密情形，攻擊者才得以突破接收驗證碼的電子郵件管道。</p> <p>第三，進一步來看，這也反映用戶購物平臺及電子郵件被盜用的現況，可能平臺缺乏更強健的MFA保護機制，或用戶是未開啟，間接導致這次事件。</p> <p>第四，現階段3D驗證碼多以簡訊傳送，雖然銀行業者可能為了客戶方便，而決定用多種管道同時通知，原本是一番好意，但這也意味著增加了可被滲透的環節。若有信心這麼做不會有危險，仍應更加注意威脅態勢變化，像是Line Bank既然在永豐發生盜刷事件前，就已經察覺相關威脅加劇，身為同業理應知道有些公司已這麼做，若能及早關閉該傳送管道，或許這類危機就不會發生。</p> <p>第五，從近年國內金融業強調資安聯防來看，當Line Bank公布相關資訊時，永豐是否有注意到或因應這樣的威脅，這也引發外界對於聯防成效的質疑。</p> <p>第六，未來若是接收驗證碼的管道都出現更多威脅活動，將形成更大挑戰。</p> <p>第七，近年資安界推動無密碼登入、防網釣MFA，解決密碼引發的資安隱憂，而信用卡線上刷卡的3D驗證，卻還是採用容易被竊取OTP驗證碼的MFA。</p> <p>上述多項議題中，最後一點，是我們這次會特別探討的議題。儘管現在國際支付產業標準組織（EMVCo）所推動的EMV 3DS 2.0，會利用更多條件來進行驗證，但這也需要商戶銀行傳輸更多資訊，並主動判別這些資訊，如此可減少3DS 1.0時較為頻繁的OTP驗證步驟。不過，對於高風險交易的額外認證，最終的確認程序，還是使用OTP來驗證，這樣的問題有辦法強化與改善嗎？</p> <p><span style="font-size:28px;"><strong>OTP碼仍有可能遭竊，FIDO聯盟與EMVCo正在設法找出改善方法</strong></span></p> <p>OTP驗證碼被竊取的威脅有可能變得更普遍，畢竟，在不同場景下的OTP碼被攔截而造成的事件越來越多。這也再次顯示由於OTP認證碼仍是密碼的形式，容易面臨對象鎖定誘騙與竊取。</p> <p>隨著網站服務無密碼登入的應用漸增，那麼，在國際信用卡組織推動的安全機制上，是否也有新的發展？</p> <p>事實上，過去兩三年來，EMVCo與FIDO聯盟的確有合作的消息。近期2022年12月13日，就有EMVCo、FIDO與W3C技術相關的最新版文件發布，當中提到將FIDO技術與Secure Payment Confirmation（SPC）與3-D Secure結合使用的說明，儘管臺灣還沒有推動的消息，但仍是金融產業圈應關切的議題。</p> <p>另外，我們也將這起發生在國內的事件，詢問FIDO聯盟執行長暨行銷長Andrew Shikiar的看法。他表示，使用OTP作為支付確認的第二個因素，同樣面臨傳統密碼的風險，也是糟糕的用戶體驗。所以，他對於3D Secure被繞過並不感到驚訝，因為這是使用OTP，因此，他們正持續與這些團體合作，就是希望在支付流程中有更好的認證方法。</p> <p>對金融業而言，不只是持續發展與找出最佳解法，更要思考如何在現有機制下，善用資源對應當前威脅的準備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E6%94%AF%E4%BB%98OTP.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>強化線上刷卡安全，WebAuthn與SPC成關鍵</strong></span></p> <p><span style="color:#696969;"><strong>為了推動網路安全刷卡支付，近兩三年來，國際支付產業標準組織EMVCo，以及FIDO聯盟已有合作，在2022年的一場Authentication 大會上，EMVCo技術長Arman Aygen說明了他們與W3C與FIDO聯盟合作的新動向，將聚焦在利用基於FIDO技術的WebAuthn，以及具有EMV 3DS的Secure Payment Confirmation（SPC），來做到支付合法性的確認，降低詐欺的風險。</strong></span></p> </div></div></div>
2023/2/20 00:00作者羅正漢https://www.ithome.com.tw/news/155539
前臺北市資訊局長呂新科，出任南山人壽數位長一職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立60年、全臺保戶超過650萬戶的南山人壽，今（2月20日）日對外發佈新聞稿表示，前臺北市資訊局局長呂新科於2月16日經過南山人壽董事會同意任命，今日正式就任南山人壽數位長（CDO）一職。</p> <p>南山人壽表示，未來數位長上任後的工作目標就是要：推動南山數位轉型計畫，並且透過數據分析和數位應用優化營運體系，達到數據與數位賦能，也為經營團隊挹注前瞻趨勢洞察與策略發展。</p> <h2><strong>數位長專注數位加值生態系與數位加值應用</strong></h2> <p>呂新科表示，南山人壽的數位轉型團隊，未來將會劃分成資訊長、資安長和數位長等三個不同的版塊，其中，資訊長負責該公司營運核心系統的運作，像是SAP ERP系統以及外界關注「境界成就計畫」，就是資訊長的業務範疇；資安長主要負責合規與法遵議題，也必須結合資安防護策略，落實南山人壽的資安防護。</p> <p>至於呂新科接任的數位長一職，主要就是負責數位加值生態系及數據加值應用。畢竟，呂新科的專長就是：數據科學、資訊治理、企業架構規畫，並善於協助組織進行數位轉型。</p> <p>呂新科是臺大資管博士，也曾於大學教職多年，在擔任臺北市資訊局局長四年的期間，也同時兼任台北市政府副資安長以及臺北大數據中心執行長等職。他在資訊局長任內也推動臺北市的數位轉型工程，不僅取得IMD SCI全球智慧城市排名第四的佳績，他個人也獲得2022年IDC年度資訊長的肯定。</p> <p>南山人壽近年以「服務賦能」、「數位賦能」作為公司轉型發展核心，未來呂新科上任後，不僅要發揮所長，並透過宏觀視野為該公司提升數位轉型的核心能力，也要整合各項保險科技的應用與導入，為該公司的保戶提供更智慧化、更人性化的數位服務體驗，真正落實南山人壽數位發展藍圖並塑造數位轉型文化。</p> <p> </p> <p> </p> </div></div></div>
2023/2/20 14:47作者黃彥棻https://www.ithome.com.tw/news/155595
【資安週報】2023年2月13日到2月18日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周有5個漏洞遭鎖定利用的狀況需要優先因應，首先是微軟本周發布的產品安全公告中，有三個已遭鎖定利用的零時差漏洞，包括涉及Office的CVE-2023-21715、Windows的CVE-2023-23376、CVE-2023-21823漏洞<span style="white-space: pre;">，以及蘋果修補涉及WebKit的</span>CVE-2023-23529漏洞，還有<span style="white-space: pre;">開源網路監控系統Cacti去年12月修補的</span>CVE-2022-46169漏洞。其他留意的漏洞消息，還包括Adobe、思科、Citrix、Splunk與SAP等業者的產品修補公告，隨著這些業者持續積極修補漏洞，企業在留意這些消息之餘，也應該更積極規畫更新修補排程來主動減少弱點遭利用的可能性。</p> <p>在資安威脅重點方面，有國外資安業者揭露惡意軟體Frebniis攻擊行動，是鎖定臺灣組織而來，該惡意程式會針對IIS伺服器功能建立後門；以及又有資安業者揭露勒索軟體ESXiArgs攻擊的更多細節的消息。此外，還在持續發展的對話語言模型ChatGPT如今成為全球大眾焦點，引發許多研究人員示警被濫用的問題，還有智慧財產權等層面的關注。</p> <p>在資安事件焦點方面，包括Atlassian的第三方供應商遭駭而傳出資料外洩消息，A10 Networks傳出遭勒索軟體Play攻擊而資料外洩，在國內，也有華航在12日周日發布資安事件重大訊息，說明該公司電商平臺系統有5千多會員資料可能外洩。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/155498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月13日】俄羅斯駭客Nobelium發起攻擊行動MagicWeb鎖定AD聯邦服務、逾2成工控系統漏洞不會被修補</span></strong></a></h3> <p>因SolarWinds供應鏈攻擊事件惡名昭彰的俄羅斯駭客Nobelium，近期再度發起攻擊行動，這次駭客的目標是受害組織的AD聯邦服務（AD FS），在伺服器上植入後門程式來破壞相關驗證機制。</p> <p>透過短網址與網路廣告服務濫用來進行網路攻擊並非新鮮事，然而，現在出現同時濫用兩者的手法，最近有研究人員發現濫用短網址與Google的廣告服務Adsense的攻擊，此類惡意活動有越來越多的跡象。</p> <p>針對工業控制系統（ICS）的漏洞，有資安業者分析了最近3年美國網路安全暨基礎設施安全局（CISA）發出的資安通告，他們呼籲大家注意當中有不少漏洞缺乏修補程式可用，比例高達五分之一。</p> <h3><a href="https://www.ithome.com.tw/news/155517"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月14日】資安業者Group-IB遭到中國駭客Tonto Team攻擊、美國2022年7萬人因愛情詐騙損失13億美元</span></strong></a></h3> <p>又是資安業者遭到APT駭客鎖定的情況！資安業者Group-IB揭露去年遭中國APT駭客組織Tonto Team盯上的事故，並指出他們並非首度遭到這些駭客攻擊。</p> <p>今天是情人節，美國聯邦貿易委員會、資安業者Sophos皆針對愛情詐騙提出警告，並透露歹徒的行騙手法，研究人員指出，歹徒有意擴大這類詐騙的範圍。</p> <p>研究人員發現新的PyPI惡意套件攻擊事故，駭客意圖在受害電腦植入惡意瀏覽器擴充套件，Chrome、Edge、Brave、Opera都成為目標。</p> <h3><a href="https://www.ithome.com.tw/news/155534"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月15日】微軟發布2月份例行修補、俄羅斯駭客Killnet阻礙北約組織救援土耳其地震</span></strong></a></h3> <p>昨天微軟發布了2月份的例行修補（Patch Tuesday），該公司本次緩解的漏洞裡，有3個是已出現攻擊行動的零時差漏洞。其中有2個與Windows作業系統有關，另一個出現在Office套件裡的排版軟體Publisher──駭客可能會將此漏洞用於執行VBA巨集。</p> <p>自烏克蘭戰爭開打，俄羅斯駭客組織Killnet不斷對資助烏克蘭的國家及北約組織出手，發動DDoS攻擊，但如今這些駭客變本加厲，連正在對土耳其大地震進行援助的組織也不放過。</p> <p>日前有駭客組織宣稱利用MFT檔案共享系統GoAnywhere零時差漏洞CVE-2023-0669發動攻擊，現在也有受害的醫療機構向當地證交所證實遇害，可能導致大量病人資料外洩。</p> <h3><a href="https://www.ithome.com.tw/news/155549"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月16日】逾60個亞太地區組織在2021年遭駭客組織SideWinder攻擊、SAP發布2月份例行修補</span></strong></a></h3> <p>有資安業者公布駭客組織SideWinder在2021年6月發起的攻擊行動，這起攻擊行動為期半年，根據研究人員的統計，至少有60個東南亞組織受害，其中大部分是政府機關。</p> <p>SAP發布了本月份的例行修補，其中解決了Start Service、BusinessObjects的重大漏洞，這些漏洞有可能影響Start Service的完整性，或是導致BusinessObjects資訊洩露等情況。</p> <p>Citrix也針對旗下的桌面虛擬化系統及應用程式管理平臺進行修補，其中有部分漏洞能讓攻擊者取得SYSTEM權限，使得CISA提出警告，IT人員應儘速修補。</p> <h3><a href="https://www.ithome.com.tw/news/155561"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月17日】殭屍網路V3G4針對13個物聯網裝置漏洞而來、臺灣組織IIS伺服器遭到惡意軟體Frebniis鎖定</span></strong></a></h3> <p>有新的Mirai殭屍網路V3G4去年下旬出現，該殭屍網路病毒攻擊的裝置類型相當廣，包含了電話交換機系統、視訊監控系統、路由器，以及協作平臺等。研究人員指出，目標系統一旦遭到感染，將會受到駭客擺布。</p> <p>架設IIS伺服器的臺灣組織要注意了！有研究人員發現專門鎖定這類伺服器而來的攻擊行動，特別的是，駭客利用其中的網頁請求除錯元件FREB來下達命令，而可能讓資安系統難以察覺異狀。</p> <p>思科、Splunk近日針對旗下產品發布更新，修補多項漏洞。而這兩家修補的漏洞中，也包含了不少第三方元件的修補。</p> <h3><a href="https://www.ithome.com.tw/news/155588"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月18日】Fortinet修補WAF與網路存取控制系統的重大漏洞、施耐德電機PLC存在可被用於RCE攻擊的漏洞</span></strong></a></h3> <p>資安業者Fortinet本週修補了重大漏洞CVE-2022-39952與CVE-2021-42756，這些漏洞分別與該廠牌的網路存取控制系統（NAC）、網頁應用程式防火牆（WAF）有關，共通點是攻擊者皆無需通過身分驗證就能利用。</p> <p>研究人員揭露施耐德電機PLC的漏洞CVE-2022-45788、CVE-2022-45789，並指出這些漏洞可被串連、利用，而能讓攻擊者遠端執行任意程式碼（RCE）。</p> <p>惡意軟體FatalRAT近期的攻擊行動也相當值得留意，雖然駭客主要是針對使用簡體中文的使用者下手，但臺灣也有人受害。</p> </div></div></div>
2023/2/20 11:26作者羅正漢https://www.ithome.com.tw/news/155592
網站應用程式MFA被突破，還有Cookie theft的不同威脅層面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於駭客突破MFA保護機制的威脅，若我們從攻擊者角度來設想，其實可以發現，會有不同的攻擊方式與構面。</p> <p>這裡先要提醒的是，在突破MFA的手段上，普遍說法可能都稱之為MFA繞過，因為從結果上都是繞過，但我們認為，從過程來看，在攻擊層面上有其差異。</p> <p>舉例來說，首先，就是大家普遍比較關注的攻擊手法，透過網路釣魚或社交工程，藉由用戶本身來幫助駭客「通過MFA驗證」，這包括了誘騙或竊取OTP驗證碼，以及發動MFA登入通知的轟炸攻擊。</p> <p>因此，現階段產業界所提倡的FIDO/WebAuthn驗證，是目前抵抗網路釣魚的最佳方法，可避免這類型的問題。</p> <p>另一種需要留意的是，透過「繞過MFA驗證」的方式，這屬於不同的攻擊層面。例如，以網站應用程式的面向而言，攻擊者透過Cookie Theft（pass-the-cookie attack）的Session劫持技術，直接取得已身分驗證的證明資料，進而冒充使用者連線，就是一種方式。</p> <p>上述這種方式主要利用Web瀏覽器技術的運作邏輯，因此完全繞過了前段身分認證的流程，等於MFA也被繞過。特別的是，Cookie Theft的攻擊也分成不同的手段，其防護方式亦有差別。</p> <p>過去Google曾表示，Cookie Theft是一項存在多年的攻擊手法，他們並在2021年<a href="http://blog.google/threat-analysis-group/phishing-campaign-targets-youtube-creators-cookie-theft-malware/">對YouTube創作者示警，指出攻擊者會利用社交工程手法，誘使用戶安裝可竊取瀏覽器Cookie的惡意程式</a>。</p> <p>微軟在2022年6月也曾公布一起威脅事件，駭客是<a href="https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/">利用Adversary-in-the-middle（AiTM）的釣魚網站手法</a>，讓用戶前往真正目標網站前，會先經過一個代理伺服器的釣魚網站，藉此取得登入期間Cookie。</p> <p>要如何防範不同的Cookie Theft的手法？臺灣微軟資安專家技術部技術專家林堅樂表示，面對這類型的攻擊手法，現階段可從端點安全、郵件安全等面向去因應。</p> <p>例如，透過防毒軟體或端點偵測與回應（EDR），可以偵測惡意程式、使用者或背景程序的異常行為，像是存取Cookie檔案、或攔截MFA資訊的隱形代理行為，甚至再搭配應用程式簽章、機敏資料夾納管等資安管控措施進行強化。同時，也需留意所使用的瀏覽器是否提供跨裝置同步資料的能力，確保身份權杖無外洩之虞。</p> <p>而對於防範AiTM的網釣手法，林堅樂也表示，像是在Microsoft 365郵件或微軟Teams等聯繫管道上，針對這類惡意網址就會有轉址或沙箱的技術去檢測。而從上述微軟針對AiTM網釣事件的揭露中，其實也有提到防範作法，例如，使用FIDO2實體安全密鑰、Windows Hello for Business，以及基於憑證的認證，可防止AiTM網釣，或是從其他方式著手，像是配置條件式存取管理政策，以及上述監控從郵件與網站管道的釣魚來防止。</p> <p>另外，我們也詢問FIDO2實體安全密鑰與相關解決方案的業者歐生全，從他們的見解來看，FIDO2/Webauthn提供的是前段的認證（authentication）保護機制，而涉及Cookie方面，這其實是超出Webauthn的威脅模型，因此現階段最佳作法是零信任網路安全策略來防範，不只是強調抗網釣MFA，還包含最小權限、設備驗證、資料存取層面，藉由各方面幫助做到持續驗證。而AiTM也是屬於釣魚的一種，在瀏覽器（無安裝惡意擴充程式）與使用環境的https跟網域伺服器都沒有被竄改下，FIDO2/Webauthn都能防禦這種釣魚攻擊，主要原因是瀏覽器都會檢查origins/網域名稱。</p> </div></div></div>
2023/2/20 09:15作者羅正漢https://www.ithome.com.tw/news/155575
推特將移除免費用戶的簡訊2FA功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基於安全理由，<a href="https://blog.twitter.com/en_us/topics/product/2023/an-update-on-two-factor-authentication-using-sms-on-twitter" target="_blank">推特宣布</a>將在3月底移除免費帳號文字簡訊形式的雙因素驗證（two-factor authentication，2FA）功能，除非他們轉到付費的Twitter Blue服務。</p> <p>推特表示，2FA有三種，包括以文字簡訊、應用程式和硬體安全金鑰傳送第2段驗證碼。雖然文字簡訊形式很受歡迎，但也經常遭駭客濫用而危害帳號安全。因此即日起，推特不再讓用戶註冊簡訊2FA，付費版Twitter Blue訂閱用戶除外。但這類用戶的簡訊2FA則依當地國家及電信商而異。</p> <p>已經註冊的免費帳號用戶則需在30天內關閉簡訊2FA，改用其他2種。到了2023年3月20日，推特就會自動移除這些帳號使用簡訊驗證功能。不過這並不會自動切斷帳號和電話號碼的關聯，用戶要自己關閉。方法是從側邊選單的「更多」>「設定和隱私」>「你的帳號」>「帳號資訊」>「電話」>「更新電話號碼」來更新設定。</p> </div></div></div>
2023/2/20 09:22作者林妍溱https://www.ithome.com.tw/news/155590
Passkey無密碼登入正夯，NTT DOCOMO首度在臺公開導入經驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這五年來，<a href="https://www.ithome.com.tw/news/128566">新世代網路身分識別及無密碼登入的發展持續受關注</a>，去年FIDO聯盟新發布多裝置FIDO驗證（Multi-Device FIDO Credentials）白皮書，Google、蘋果與微軟三大科技巨頭也承諾擴大支援，並且陸續公布相關消息，進而讓Passkey這個從行銷上的用詞，成為多裝置FIDO驗證的代名詞。</p> <p>從Passkey的發展來看，現階段，上述三家業者正陸續從作業系統、瀏覽器提供支援，其中蘋果進度最快，Google在許多層面也都支援就緒，預計2023年，Google與微軟在各方面的支援到位，屆時勢必將更加帶動Passkey的應用。</p> <p>今年2月初，FIDO聯盟在臺舉行研討會，該聯盟執行長暨行銷長Andrew Shikiar談到他們的最新進展，除了預告IoT裝置接入FDO（FIDO Device Onboard）今年將有公開案例並要推動認證計畫，最首要的焦點，還是在去年宣布的Passkey。</p> <p>而在這場研討會上，我們從國內外專家與廠商的介紹，也更了解到Passkey的不同之處。</p> <p>例如，為了可用性與容易轉移性，Passkey打破FIDO2 / WebAuthn在每個裝置註冊一組金鑰的使用侷限，放寬如私鑰綁定特定硬體設備的嚴格要求，帶來可複製、備份與允許離開裝置的特性，像是iPhone可將Passkey存在iCloud Keychain，Android版Chrome將Passkey存在Google密碼管理員。</p> <p>相較於FIDO2實體安全金鑰使用，Passkey看似技術上的讓步，但從多裝置登入、不用重複註冊，以及用戶帳號恢復的角度來看，確實將帶來相當大的優勢。因此，各界推動Passkey的用意很明顯，就是希望擴大FIDO的採用範圍，以目前而言，明顯對面向消費端的網站應用服務帶來幫助。</p> <h3><strong><span style="color: rgb(178, 34, 34);">簡化無密碼註冊程序，有助帳號復原</span></strong></h3> <p>現階段，Passkey已有早期導入案例，不只美國公司，也有亞洲企業，例如，日本Yahoo、KDDI，以及NTT DOCOMO。</p> <p>而最近FIDO聯盟在臺舉行的研討會上，日本NTT DOCOMO產品設計部門經理久保賢生（Masao Kubo）分享了他們的經驗。</p> <p>事實上，他們導入FIDO已有8年時間，從2015年導入FIDO UAF 1.0開始，之後也陸續導入FIDO UAF 1.1與FIDO2。</p> <p>現在他們更是公開表示，將從現在2023年2月開始，提供新的身分新的身份驗證方法，也就是支援WebAuthn與Passkeys。讓客戶登入其服務能有更好的體驗。</p> <p>為何這麼說？久保賢生表示，他們在2020年3月就提供了無密碼模式，但是，當客戶登入d ACCOUNT時，需要先啟動“d ACCOUNT Setting”App進行認證，而透過新的WebAuthn認證方法，要登入docomo的線上商店或線上應用程式，就可以不用再經過這道程序，只需使用瀏覽器，即可進行認證，這簡化了註冊流程。</p> <p>而在帳號復原流程方面的強化，他們有特別說明，將透過JPKI/eKYC（IC）來實現線上快速復原流程。簡單來說，JPKI是日本的公共個人身份識別，Docomo的Idnetity Proofing Server，將會與授權機構的請求個人資料，以實現身分識別的確認。</p> <p>同時，為了加速普遍社會大眾對於這方面的認識，他們也把此FIDO技術的功能名稱，從Passwordless Authn，改為Passkeys Authn。這樣的作法，勢必也將讓Passkey的應用浪潮更受注目。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)Paaskey_DOCOMO_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>日本NTT DOCOMO於2月初在臺舉行的FIDO研討會上說明他們的FIDO導入經驗，最近進展就是支援WebAuthn與Passkeys。</strong></p> </div></div></div>
2023/2/20 09:37作者羅正漢https://www.ithome.com.tw/news/155589
微軟將為Bing Chat設下限制，每回對話最多5次、每天上限50次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防止Bing聊天機器人再出現態度不佳甚至令人不舒服的回應，<a href="https://blogs.bing.com/search/february-2023/The-new-Bing-Edge-%E2%80%93-Updates-to-Chat" target="_blank">微軟周末宣布</a>將限制Bing的回應次數，以及每天使用上限。</p> <p>Bing在上周以預覽版本開放用戶試用以ChatGPT模型為基礎的Bing。不過<a href="https://www.ithome.com.tw/news/155522" target="_blank">第一周卻有許多用戶發生</a>遭Bing發怒、指責、爭辯或驚嚇的不愉快經驗。<a href="https://www.ithome.com.tw/news/155558" target="_blank">微軟上周四說明</a>，用戶提出超過15個問題的冗長對話中，Bing很容易出現重覆內容，或被激發出不好的說話態度。微軟相信太長的對話會導致Bing模型搞混它要回答的問題。微軟承諾將加入工具讓用戶更容易開啟另一段對話。</p> <p>上周五（2/17）微軟就公布為Bing設下的限制；從周五開始，Bing每回對話最多回覆5次，而一天對每位用戶最多回覆50次。所謂一次包含一次用戶問題以及一次Bing的答覆。</p> <p>微軟解釋，資料顯示，大部份使用者會在5次回覆以內找到想要的答案，而只有不到1%的人聊天對話會超過50個訊息。因此在新的規則下，一旦對話到5次時，用戶會被要求重啟新主題，而且在每次對話結束時，對話情境就必須清除，以避免模型混淆。使用者也可以按下搜尋列左邊的掃把圖示，重啟新對話。</p> <p>微軟表示，微軟會依據用戶回饋意見，評估增加對話的次數上限，以提升搜尋和查詢問題的使用經驗。</p> <p>上周四微軟也說，他們認為Bing的AI模型試圖反映發問者的語氣，而產生開發團隊預料外的回應，微軟也在評估增加功能讓用戶可微調Bing的態度。</p> </div></div></div>
2023/2/20 10:16作者林妍溱https://www.ithome.com.tw/news/155591
優化線上流程改善政府服務體驗，臺北市以開放架構擴大公私協力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月25日，臺北市長蔣萬安帶領臺北市政府小內閣團隊走馬上任，在市府局處首長中，不到40歲即出任臺北市資訊局長的趙式隆格外引人注目，有別於先前兩任資訊局長來自學術界，趙式隆從業界轉進公部門，為臺北市政團隊帶入活水。</p> <p>趙式隆的專長為資料科學領域，包括機器學習與深度學習的自然語言處理、電腦視覺，他曾在臺大教授工程數學、微分方程等課程，2010年開設網路與多媒體實驗課程，講授App與網頁程式設計，成為當時學生的熱門課程，包括17 與 Cobinhood 創辦人陳泰元在內，約400位學生曾修習其課程，對臺灣本土App黃金時期作出貢獻。</p> <p>從學生時期到進入社會職場，趙式隆的工作經歷可以說是斜槓人生，除了是資料科學家、大學老師之外，也是一名連續創業家，早在學生時代，趙式隆在Yahoo!奇摩當實習生，當時Yahoo!奇摩以7.11億元天價買下無名小站，受到這宗併購案啟發，他在19歲首次創業，為中小企業設計網站。後來他與臺大教授葉丙成共同創辦學悅科技，提供師生間的即時互動方案，曾獲得富士康的投資；2017年再成立金融科技公司BravoAI，提供金融資訊服務，為產險、壽險、保經代提供從核保到理賠的人工智慧方案。</p> <p>基於過去的創業經驗，他在教育廣播電臺擔任創青宅急便的節目主持人，也以年輕創業者的身分，在中央政府的新創計畫中擔任指導或諮詢委員。由於資料科學專長，以及學術與創業經歷，受邀加入資訊局，蔣萬安期待趙式隆的年輕、創新思維，推動臺北市大數據應用、智慧城市發展。</p> <p><span style="font-size:28px;"><strong>公私協力打造服務型政府</strong></span></p> <p>趙式隆表示，市長對市府團隊有兩項期許，第一是打造服務型政府，市府與民眾間的關係是有史以來最靠近的，第二是公私協力，在合理的誘因下，促成政府與民間自發性的合作，最終將合作成果回饋給市民。</p> <p>然而，公私協力並非新作法，不論是地方或是中央政府，多次強調促成公部門與私部門合作，以加速政府的發展。但趙式隆以過去創業服務客戶的經驗來看，過去政府與民間的合作，政府並沒有扮演好甲方角色，如果無法讓民間業者有合理利潤，可能會發生偷工減料的情形，必需從民間業者的乙方角色出發，合理思考政府與民間的關係，公私協力才會發生。</p> <p>原本在臺北市資訊局底下已有TPMO臺北智慧城市專案辦公室，由各局處提出需求，有意願的廠商提案，以臺北市作為實驗場域進行POC概念驗證，如果驗證成果很好，各局處進一步編列預算，或透過合作機制，資訊局在這個過程中扮演市府技術幕僚角色，依技術專業提供意見，促成政府與民間合作。</p> <p>在當選市長之前，蔣萬安很早即提出政見，要將臺北市塑造為新創實驗場域，並提出未來市府與新創合作，可作為新創業者的第0.5或第1張訂單，在市政府的協助下，獲得成功的場域試驗成果，使新創業者比較容易銷售產品服務到民間或國外，這也是趙式隆出任臺北市資訊局長後的重要任務之一，結合民間產業背景，加上對技術的熟悉，對身邊創業者的認識，促成更多市府與民間的公私協力，以提升對市民的服務，也呼應服務型政府願景。</p> <p><span style="font-size:28px;"><strong>從線上化到數位化，精進服務讓民眾有感</strong></span></p> <p>趙式隆上任後提出科技普惠、無限臺北的願景，其中無限臺北呼應市長的政見，讓每個市民連結起來，創造無限的可能性，而連結需要透過科技的力量，至於科技普惠的精神則是實現數位平權，讓年齡、經濟或身心障礙的弱勢者也能使用基本服務。</p> <p>趙式隆認為，科技普惠的概念如同普惠金融，「科技進步帶來的賦能，不是讓有優勢的人再往前走100步，應是讓技術上的弱勢者也能往前走1步，沒有人脫隊，一起前進」。甚至，民眾不使用某項服務，政府應該設法精進服務，讓民眾覺得好用。</p> <p>他以過去擔任政府計畫審查委員的經驗，公務機關往往表示已推出某項服務，但委員或民眾仍經常會問，政府機關為何沒有該服務，顯示委員或民眾並不知道這項服務，或是因為覺得難用而沒有使用，政府與民眾感受存在落差，他認為賦能不只是讓所有民眾都能使用基本服務，也要精進服務，從服務從可用提升到好用，讓民眾覺得是好用的。</p> <p>以民眾向市府機關申請服務為例，過去民眾到政府機關辦理申請，將文件交給受理機關審查，政府推動數位化，最直接的做法是，將原本流程線上化，然而，線上化並不等於數位化，雖然服務線上化之後，民眾不再需要親自到政府機關辦理，但原本流程需要的文件資料並沒有因此減少，例如使用自然人憑證申請服務，已提供身分識別，政府機關還是依照行政慣性，要求民眾檢附身分證、健保卡等資料。</p> <p>「服務從線上化到數位化的關鍵是，不受過往行政慣性影響，重新盤點流程，檢視哪些流程可以簡化」。他解釋，從可用到好用的層次，可用指的是數位平權的概念，好用則是讓民眾覺得比原來的服務更好，是科技普惠的關鍵，讓弱勢者也能使用服務，讓原本就可用服務的人，覺得服務真的有幫助。</p> <p>但是，要實現此一目標是艱鉅的工作，過去公部門可能基於防弊需要檢具的資料，如果不再需要繳交，勢必引起公務人員的擔憂，增加公務機關抗拒的心理，他認為數位化需從民眾的觀點出發，提升服務從可用到好用，但也要考慮公務人員意願，讓他們發現數位化之後，業務工作會比較輕鬆，需負擔責任比較少，才能發自內心，盤點、思考現行的流程是否有精進空間。</p> <p>資訊局已與研考會討論，希望先找出民眾常用，但線上流程尚未被優化的服務，先做代表性的範例，向市民及公務機關推廣，慢慢引導形成正向循環。</p> <p>趙式隆舉一個具有代表性的例子，前任資訊局長任內，為推動市府機關使用No code工具Ragic，資訊局和沒有資訊背景的政風單位合作，輔導他們利用Ragic建立一個系統，政風單位獲得成就感後，自發性協助相關的業務單位建立系統，形成正向的循環。</p> <p>先讓示範單位使用No code取得成就感後，自發性協助其他單位使用，引導整個市府運作體系變得更好，過程中沒有交給工程師開發，工程師只是協助使用單位排除問題。這是市府成功的數位化進程範例，也是他上任後想要推行的。</p> <p><span style="font-size:28px;"><strong>推動臺北大數據中心走向智慧化預警、決策</strong></span></p> <p>在前任市長帶領下，臺北市成立的臺北大數據中心，在跨年期間及臺灣燈會期間，蒐集活動現場數據如人流、車流，協助市府團隊觀測大型活動現況，趙式隆指出，前市府團隊有很強執行力，資訊局和各局處單位溝通，蒐集匯整各項市政數據，為臺北大數據中心打下很好的基礎，建立模組化儀表板，讓市府指揮中心能快速掌握大型活動現況，例如發現某一地點人流過於壅擠，通過電話指示現場人員引導民眾分流方向，但是如果遇到緊急事件，例如韓國梨泰院的踩踏事件，市府的指揮應變時間可能仍不夠及時。</p> <p>因此，他希望未來臺北大數據中心導入機器學習及深度學習技術，朝向智慧化預警、決策，甚至預測可能發生的狀況，由系統自動向現場活動人員發出預警、建議，將幾分鐘或幾十分鐘的人工決策時間，縮短為幾秒，加快緊急應變能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-cio-600.png" style="width: 600px;" /></p> <p><span style="font-size: 20px;"><span style="color: rgb(51, 153, 255);"><strong>臺北市政府資訊局長趙式隆表示，服務從線上化到數位化的關鍵是，不受過往行政慣性影響，重新盤點流程，檢視哪些流程可以簡化。</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 12px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>推動台北通、臺北大數據中心走向開放架構</strong></span></p> <p>本身具有工程師專業的他有另一個更大的目標，以開放的心態，推動台北通、臺北大數據中心走向開放架構，將臺北市的成果和外界共享。</p> <p>過去資訊局作為輔佐市政的技術幕僚單位，很少推出自己營運的服務，在前任市長柯文哲帶領下，資訊局有更積極作為，推出台北通，成立臺北大數據中心，推出公務系統Taipeion，內部戲稱為資訊局3寶。蔣萬安接任市長，外界關心這些服務的存廢，例如曾被市議員批評蒐集民眾個資的台北通，曾遭質疑侵害民眾個資的臺北大數據中心。</p> <p>趙式隆認為，台北通是一個很好的Superapp代表作，過去市府不同局處各自建置App服務民眾，民眾往往得下載各種App才能使用不同市政服務，台北通整合各機關服務，建立單一服務入口，在市府長期經營推廣下，台北通已有約300萬註冊使用者，這些用戶基礎甚至超過臺北市人口，是政府在行動裝置環境下，服務民眾的很好範例。通過開放和外界共享，其他縣市也能仿照台北市做法，推出自己縣市的App，一般民間企業也能使用。</p> <p>如同瀏覽器業者開放架構，維護官方與開源兩種版本，其他業者通過開源版本就能打造自己的瀏覽器，透過社群的力量檢視，精進官方版本瀏覽器。</p> <p>他希望資訊局3寶未來能夠開放架構，將臺北市的成果與外界共享，透過大家的回饋，讓既有的服務變得更好，呼應市長擴大公私協力目標，與私部門合作不只是民間企業，還包括開發者、社群或一群使用者，透過開放架構，他們可以提供更好的使用體驗、界面設計，改善市府的服務。市府資訊發展成果如能走向開放架構，將提高技術至新高度，此外，透過將成果與其他國外城市共享交流，也能提高國際化高度。</p> <p>但是台北通、臺北大數據中心背後可能委託並非一家廠商，因此必需說服配合廠商能夠支持開放架構，他坦言，目前開放架構還只是大方向，廠商願意開放到什麼程度，影響到開放的效益，至於實際如何執行，還需與業者協商。</p> <p>今年資訊局預算已定，趙式隆直言要等到明年預算編列才能開始推動，今年可先和學術單位合作，從先導研究案著手，如何最大化實現目標，未來資訊局推動開放架構，以台北通為例，資訊局維護官方與開源版本，甚至可編列計畫預算，建立市府的GitHub，與工程社群說相同語言，促進公私合作。</p> <p>他期望透過開放架構，最終目標透過外部力量，促進台北通、臺北大數據中心、Taipeion等服務進步，最終的效益回饋到市民身上，畢竟知識共享是讓人類文明進步的原因。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT經理人小檔案 </span></strong></span></p> <p><strong>臺北市政府資訊局長趙式隆</strong></p> <p>學歷：臺灣大學電機系碩士</p> <p>經歷：2008年投入創業教育工作，為臺大創意創業學程共同創辦人之一，2010年在臺大電機系教授App與網頁程式設計，2013年創立學悅科技，提供數位學習方案。後於2017年成立金融科技新創BravoAI。2022年底接任臺北市資訊局長，並於陽明交大擔任兼任助理教授</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-CIO-200.jpg" style="width: 200px;" />（攝影／洪政偉）</span></span></p> <p><strong>臺北市政府</strong></p> <p>地址：臺北市市府路1號</p> <p>成立時間：1967年</p> <p>主要業務：臺北市市政管理</p> <p>市長：蔣萬安</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：臺北市政府資訊局長</p> <p>資訊部門主管姓名：趙式隆</p> <p>資訊部門人數：資訊局約103人，市府約638人。</p> <p>IT預算：約24億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2016年：i-Voting臺北市政府網路投票平臺上線。</p> <p>2017年：pay.taipei臺北市政府智慧支付平臺上線。「智慧城市產業場域實驗試辦計畫」，強化產官學合作，臺北市成為智慧城市提案實驗場域。</p> <p>2019年：「台北卡3.0」升級版的市民服務APP「台北通TaipeiPASS」上線。</p> <p>2020年：Taipei Free開放免帳號密碼登入。市府政府資料整合平臺系統第4階段上線，開放查詢消防安檢及勞保資料庫。臺北大數據中心正式成立，推動資料治理願景，大數據應用。</p> <p>2021年：北市公務雲（TAIPEION）上線。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1117-cio-960.jpg" width="960" height="420" alt="" title="臺北市政府資訊局長趙式隆　（攝影／洪政偉）" /></div></div></div>
2023/2/20 00:00作者蘇文彬https://www.ithome.com.tw/people/155536
無密碼身分應用來了！
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1117-feng_mian_p1-open-zheng_han_-960x420_gong_zuo_qu_yu_1.jpg?itok=YmrmxZJd" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網釣攻擊橫行，密碼遭竊問題越演越烈，甚至OTP認證碼被竊也屢見不鮮，如今，FIDO無密碼登入與抗網釣MFA被認為是目前最佳解法，許多科技巨頭大力支持，政府與金融業已率先行動，企業要加緊跟上腳步</p> </div></div></div>
2023/2/20 00:00作者羅正漢https://www.ithome.com.tw/article/155540
【單靠密碼無法保全身分，抵抗網釣成當務之急】強化登入安全，導入無密碼已成IT界共識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>密碼是現代人日常生活的一部分，多年來，人們使用各種實體或網路服務，往往都需要經歷註冊帳號、輸入密碼的環節，用以驗證該帳號就是用戶本人登入。</p> <p>但人們需要記憶的密碼越來越多，不論是電子郵件、銀行、各種社交媒體等，再加上每個人通常都擁有多個網路帳戶，且每個帳戶變得越來越有價值，以及身分冒用層面的危害與風險逐年升高，使得帳密／憑證（credential）成為駭客與惡意軟體攻擊鎖定的目標。</p> <p>例如，在每天的新聞報導中，經常出現民眾網路服務帳號遭遇網釣攻擊、撞庫攻擊，以及身分盜用、帳號內敏感資訊被竊取，進而引發各式資安事件與問題，不僅如此，企業員工帳密也是經常被鎖定的目標，導致防護被突破，機敏資訊外洩等資安事件。</p> <p>為此，這五年來，各國政府、資安界都在大力推動無密碼登入技術，以臺灣而言，隨著新一代網路身分識別日益受到肯定，政府與金融業也都已經建置這樣的身分安全服務。</p> <p>到了2023年，無密碼登入又有新的重大進展，由於2022年多裝置FIDO驗證（Multi-Device FIDO Credentials）、稱為Passkey的技術登場，提供了可複製與備份的特性，再加上蘋果、Google、微軟皆承諾擴大使用，作業系統及瀏覽器將提供相關支援，已被視為促使消費端的無密碼登入應用普及的關鍵。</p> <p>而2月初FIDO聯盟在臺舉行研討會，也呼應這個全球IT新趨勢，當大家在此探討全球FIDO技術的最新發展時，PassKey也是最主要的焦點之一。</p> <p>雖然無密碼登入前景看好，但很多企業對於這方面威脅與防護的了解，仍相當不足，因此，缺乏積極行動，而且，有些單位對於身分安全的概念仍停留在很粗淺、老舊的階段，需要更多的宣導與教育。</p> <p><span style="font-size:28px;"><strong>電商強化用戶身分識別，加大無密碼登入推動力道</strong></span></p> <p>這幾年來，臺灣政府與金融業相當關注FIDO的技術應用，因此陸續出現使用案例，像是：臺灣內政部資訊中心所推動的TW FidO，提供政府機關員工與便民服務的應用；金融業也持續推動金融FIDO，解決以帳號密碼作為身分驗證方式所衍生出的各項問題。</p> <p>但是，臺灣的電子商務服務業者，對於強化網路身分識別、保障消費端用戶帳號安全，顯然不夠積極。</p> <p>以營業規模最大的富邦媒體（momo購物網）而言，許多民眾都注意到兩三年前業者會持續發布宣導資訊，提醒購物網的用戶注意網路釣魚及防詐騙，2022年底，當消費者登入購物平臺時，會發現在每次登入時，不只輸入帳號密碼，還要輸入從手機接收到的6位數簡訊OTP驗證碼，顯示業者開始在會員帳號登入上導入MFA。</p> <p>然而，這麼做就有足夠的保障嗎？事實上，要確保網路消費者的身分安全，業者必須體認到這是必須持續改良與強化的過程。</p> <p>以國際大型電商平臺業者eBay的經驗為例，起初為了提升網站服務登入過程的安全，而實施簡訊OTP的機制，2019年開始推動基於App的登入通知推播方式，採用FIDO UAF標準規範，讓使用者點擊確認登入，主要考量是基於SMS的2FA已變得不夠安全，同時也期望改善消費者的體驗。</p> <p>半年後，他們進一步在Android/Chrome等系統平臺上，提供FIDO2/WebAuthn的支援，之後再擴展到Mac、Windows與iOS。最近2022年，他們又再增加對於Passkey的支援。從eBay的推動方向來看，他們希望之後能夠完全禁用密碼，並克服帳號恢復的問題。</p> <p>從上述兩例來看，也反映許多網站服務業者可能存在的現況，大家對於MFA的支援，仍處於初期階段，並未更進一步升級。</p> <p>儘管最近五年來，FIDO技術受到政府與金融業的關注，再加上相關威脅與事件層出不窮，按理來說，大家都應該很關注如何確保身分安全，但實際上，並非如此，對於其他產業與個人而言，都缺乏認知。</p> <p>一般民眾與大眾新聞媒體雖然都關注個資外洩、網路詐騙事件，但在個人平時工作與生活的使用習慣上，其實並不注重自己的權益，也未養成良好的網路衛生習慣，積極了解與落實提升資安防護各種手段的人，仍然相當稀有。</p> <p>面對資安威脅，設法強化與確保身分安全是每個人都能做到的部分，無論你使用的是安全性較差的靜態密碼，或是進階的OTP動態密碼、MFA驗證，甚至是目前公認相對較難被冒用的無密碼登入，我們都需要多多了解這些做法的優缺點，以及可能面臨的資安威脅，並且持續關注近期發生的各種資安事件，才能及時掌握資安風險態勢的變化。</p> <p><span style="font-size:28px;"><strong>為何要用無密碼登入？對攻擊者而言，密碼其實很容易取得又好用</strong></span></p> <p>想要預防自己的身分遭冒用，有一種做法是從攻擊者的角度來思考，我們可能更容易了解自己該怎麼做。</p> <p>試想，當駭客處於不知道用戶密碼的情況下，他們要盜用民眾的網路服務帳號會怎麼做？我們歸納出以下幾點：</p> <p>首先，駭客可以利用大家通常為了方便而設定容易記憶密碼的心態，因此，能透過暴力破解，或是蒐集最常使用的密碼組合、側錄竊取的個人資訊等，來取得帳號密碼資料。</p> <p>例如，過去我們曾報導有些民眾的個人電子信箱是以電話號碼或生日作為密碼，且未啟用兩步驟驗證（2SV），而犯罪集團之所以得逞，是因為他們透過購買個資來猜出密碼，而在盜用帳號、獲取更多個人資訊後，再假冒用戶向銀行變更手機號碼並獲取OTP碼，進而將民眾銀行帳戶盜轉一空。</p> <p>其次，駭客也可以直接鎖定用戶攻擊，利用社交工程手段騙取密碼或偷密碼的方式，發動網路釣魚攻擊，或是藉由散布或植入竊密程式，來竊取用戶的帳密與憑證。</p> <p>再者，駭客也會直接鎖定企業攻擊，藉由入侵企業的用戶帳密資料庫，一次偷取大量用戶帳號密碼。</p> <p>不僅如此，上述提到民眾為了記憶方便，可能在不同網路服務，使用了同一組帳號密碼，因此，這又讓駭客有了更多可乘之機，並搭配自動化工具發動俗稱撞庫的填充式攻擊。</p> <p>因此，這也是為何資安界呼籲大眾，要設定不容易被猜到的密碼，不要共用帳號密碼，應啟用MFA多一道保護。</p> <p>事實上，網釣攻擊威脅至今仍持續攀升，最主要原因在於，發動攻擊需付出的成本與心力並不多，卻能有不錯的成效，使得攻擊者對此更有興趣，進而衍生出販售網釣攻擊套件，甚至提供網釣即服務（Phishing-as-a-Service，PaaS）這類平臺，當中還會持續增加可規避網釣偵測的機制。</p> <p>綜觀此一發展，攻擊門檻不僅降低，也帶來威脅與日俱增的現況。</p> <p>因此，多年來資安界不斷呼籲用戶啟用雙因素驗證MFA，或是平臺業者開始強制啟用MFA，提升企業應用系統存取的帳號安全，以及強化網路服務會員帳號的安全。</p> <p><span style="font-size:28px;"><strong>MFA遭破事件頻傳，突顯OTP本質是密碼而難逃缺陷</strong></span></p> <p>隨著各界採用MFA比例的增加，對於攻擊者而言，除了繼續攻擊那些缺乏MFA防護的企業系統與網站服務，也聚焦如何突破MFA的防護。</p> <p>例如，攻擊者利用同樣手段施以攔截或網釣OTP的攻擊，竊取仍是密碼形式的驗證碼，另外，還有近年興起的一種MFA通知轟炸攻擊（Push bombing），透過頻繁觸發進行OTP驗證，引誘使用者因誤按操作而乘機奪取身分。</p> <p>在今年農曆春節前夕，臺灣就發生嚴重的事件。有網路犯罪集團接連假冒多家銀行業名義，對民眾發動大規模網釣攻擊，透過簡訊管道散布釣魚網站，騙取用戶的帳號與密碼，同時還騙取用戶收到的OTP碼，進而掌控民眾網路銀行帳戶，再盜轉金錢。</p> <p>而在2021年1月，發生台灣大哥大手機在出廠時被植入惡意程式的事件，這讓詐騙集團能以用戶門號冒名申請遊戲帳號。該惡意程式會攔截發送到手機的OTP驗證碼，再將用戶門號作為遊戲點數詐騙的人頭帳號。</p> <p>而在國際間，也曾出現利用電信業SS7協定漏洞，以及SIM卡劫持（SIM Swap）的攻擊手法，假冒用戶向電信客服謊稱SIM卡遺失，進而獲取手機號碼控制權，其目的都是竊取簡訊OTP碼。</p> <p>而且，駭客不只針對企業網站服務的用戶會員帳號，也鎖定企業內部員工帳號攻擊。</p> <p>2023年2月知名網路論壇Reddit發生的資安事故，就是一個例子。該公司雖然啟用了簡訊OTP的MFA，但由於員工帳密與簡訊OTP都被竊取，導致內部文件、程式碼、系統存取權限等被竊。</p> <p>而在2022年11月，雲端檔案同步服務業者Dropbox也傳出遭駭，根據該公司公布的調查結果說明，是硬體OTP產生器的一次性密碼也被騙走，使得駭客盜帳號時也能通過MFA驗證。</p> <p>雲端通訊平臺業者Twilio在2022年8月遭遇的事件，也是一例，自家員工遭網釣簡訊攻擊，不僅導致公司內部遭駭客入侵，更嚴重的是，該公司併購的Authy身分驗證服務受影響，以及使用Twilio服務提供簡訊身分驗證服務的企業，同樣也受影響，使得整起事件波及了上百家企業組織。</p> <p>網路設備大廠思科也曾因此受害，他們2022年5月遭入侵，對方正是針對基於App驗證的MFA機制而來，發動了MFA通知轟炸攻擊。駭客不僅竊取了員工帳密，之後再藉由語音網釣，與不斷觸發大量MFA登入請求通知至員工手機，導致員工因頻繁通知而誤按允許。</p> <p>不過，也有成功抵抗這類企圖竊取身分攻擊的消息。例如，雲端服務業者Cloudflare在2022年7月遭遇網釣攻擊，所幸員工是採用FIDO實體安全金鑰（Security Key）登入，因此該次事件沒有發生被入侵的情況。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1117-%E5%B0%81%E9%9D%A2-%E5%BC%B7%E5%8C%96%E7%99%BB%E5%85%A5%E5%AE%89%E5%85%A8-600-1-V2.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>全球都在推動無密碼登入，臺灣也要跟進，確保使用者身分安全</strong></span></p> <p>無論如何，上述這些網釣攻擊事件，徹底反映了傳統密碼所帶來的問題，以及MFA機制現在正需要往更強健的作法邁進，這也是無密碼登入及FIDO技術持續受到看重的主要原因。</p> <p>具體而言，FIDO技術標準的特別之處，就是不同於傳統密碼的驗證架構，是自己與伺服器都知道帳號與密碼，FIDO則是採用公開金鑰基礎架構，FIDO伺服器端只保存相對應的公鑰，私鑰保存在裝置端，而且身分驗證是在裝置端進行，並可搭配生物辨識技術與硬體安全模組。</p> <p>目前來看，臺灣政府與金融業在FIDO2標準提出後，已經陸續展開行動，而今年最受關注的焦點，將是多裝置FIDO驗證，也就是普遍稱之為Passkey的機制，從目前發展態勢來看，這項機制有助於消費端的網站服務，更接納無密碼登入。</p> <p>今年2023年2月初，FIDO聯盟在臺舉行研討會時，該聯盟執行長暨行銷長Andrew Shikiar指出，Passkey已有早期導入業者，不僅是有國際支付業者PayPal、電子商務平臺業者Shopify，在亞洲也有日本業者積極提供支援，包括日本Yahoo，以及NTT DoCoMo。</p> <p>而從密碼管理服務業者1Password所統計的業者，還有像是電商購物平臺Best Buy、eBay，金融服務業者Robinhood、Card Pointers，旅遊休閒平臺Kayak、Scrooge Games，社群平臺Mangadex、omg.lol等。甚至1Password業者本身也在2月9日表示，該公司的解決方案將全心致力於Passkey，提供以Passkey為中心的驗證方式。</p> <p>對於臺灣普遍提供網站服務的企業組織而言，不論是資訊服務、人力銀行、旅遊百貨服務、社群網站、線上遊戲，以及電子商務等各式業者，也該想想對於用戶會員帳號的登入安全，除了過往所談的MFA的支援，異常IP位址登入的示警等條件式存取控管，現在勢必也更關注，應提供更佳的MFA機制。</p> <p>而不是單方面呼籲用戶小心防範帳號被盜用，網路服務業者自身卻未提供更安全的帳號登入驗證機制。</p> <p> </p> <p><strong><span style="color:#3399ff;"><span style="font-size:28px;">突破MFA防線成常態，攻擊者已能誘騙OTP碼與通知允許，半年來接連有多家IT廠商與網站遇害</span></span></strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:18px;"><strong><span style="background-color:#B22222;"> 2022年8月 </span> </strong></span></span><span style="font-size:18px;"><strong>雲端通訊平臺業者Twilio公布遭駭事件，說明員工遭網釣簡訊攻擊，簡訊內容提及員工姓名，以密碼過期或班表更換為由，誘騙員工前往簡訊內的連結。特別的是，由於該公司併購的Authy身分驗證服務，以及使用Twilio的服務來提供簡訊身分驗證服務的企業組織，都受到影響，因此波及了上百家企業組織。</strong></span></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2022年8月 </span> </strong><strong><span style="font-size:18px;">思科發布資安事件公告，說明5月下旬遭網路攻擊，並公布完整攻擊鏈，當中說明起因是員工個人Google帳號遭駭，攻擊者再利用帳號同步功能獲取存於瀏覽器的Cisco帳密，之後又再利用語音網釣攻擊手法，以及引誘員工接受攻擊者發動的MFA請求通知，進而獲取了進入思科的VPN權限。</span></strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2022年8月 </span> </strong><span style="font-size:18px;"><strong>Cloudflare揭露7月遭網釣攻擊，但因員工使用FIDO實體安全金鑰（Security Key）讓攻擊者無功而返。該公司表示有76名員工收到網釣簡訊，導向一個Cloudflare-Okta網域的登入頁面，但該網域是假冒的，且當日才註冊，雖有3名員工被騙走帳密，但攻擊者未能成功盜用員工帳號。</strong></span></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2022年11月 </span> </strong><span style="font-size:18px;"><strong>Dropbox公布遭駭事件，調查結果顯示，是該公司開發人員誤信了假冒CircleCI名義的網釣郵件，有員工的GitHub帳號、密碼，以及硬體OTP產生器的一次性密碼都被騙走，造成130個儲存庫遭駭客存取的狀況，後續該公司表示，他們已在規畫導入WebAuthn認證機制，搭配FIDO式硬體金鑰或生物辨識機制來阻擋網釣。</strong></span></p> <p><strong style="color: rgb(255, 255, 255); font-size: 18px;"><span style="background-color: rgb(178, 34, 34);"> 2023年2月 </span> </strong><span style="font-size:18px;"><strong>知名網路論壇Reddit公告發生資安事故，已調查出該公司員工在2月5日遭網釣攻擊，由於帳號、密碼與簡訊OTP都被竊取，導致攻擊者入侵後，獲取了內部文件、程式碼與業務系統存取權限。該公司表示，這次事件讓他們了解到，以簡訊傳送OTP為2FA，並不夠安全。</strong></span></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>資料來源：iThome整理，2023年2月</strong></span></span></p> </div></div></div>
2023/2/20 00:00作者羅正漢https://www.ithome.com.tw/news/155544
從強式MFA到抗網釣MFA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網站服務帳密被竊取的狀況頻傳，為了防範這類問題，自2000年開始，IT界提出兩步驟驗證（2SV），以及多因素驗證（MFA），希望藉由增加一道強化身分驗證的關卡與因子，保護網路服務的帳號安全。</p> <p>確實，現在MFA仍然很重要，因為，在如今網釣威脅日益嚴峻的情況下，多一層驗證還是能帶來一些保障。因此，現在各界持續推動建置與使用MFA。</p> <p>然而，很多人可能還沒注意到，在威脅演變之下，傳統MFA的作法已不再是最佳選擇，而需要進行改良或升級。</p> <p><span style="font-size:28px;"><strong>簡訊OTP保護力持續下降，強式MFA受到更多關注</strong></span></p> <p>為了持續確保帳號安全，自2016年來，我們陸續看到國際科技大廠建議用戶採用防護力更好的MFA，而他們將這種機制稱為強式MFA（Strong MFA）。</p> <p>當時，美國國家標準技術研究所（NIST）也提出示警。在他們發布的SP 800-63-3數位身分認證指南指出，透過電信的簡訊與電話語音，執行OTP二次驗證並不夠安全，原因是無法避免中間人攻擊與網路釣魚威脅。</p> <p>為了降低風險，在此之前，市場上其實已陸續出現一些新型身分驗證技術，像是基於手機行動App而成的身分認證器，以及支援FIDO UAF標準的實體安全金鑰（Security Key）。</p> <p>隨著相關技術的持續進步，基於App的驗證方式後續提了供登入通知觸碰同意，使用OTP驗證碼，以及數字配對的形式，而實體安全金鑰也隨著新標準推出，開始有支援FIDO2的版本。</p> <p>事實上，由於2018年FIDO2標準受到W3C與ITU等國際組織標準採納，促使網路服務無密碼登入普及的可能性大大提升，也讓無密碼登入（Passwordless）的網路身分識別，成為備受全球關注議題，IT大廠微軟當時也高喊「密碼時代即將終結」。綜觀此一進展，使得早年開始提倡的無密碼，在這五年間，屢屢成為熱門資安防護焦點，現在話題更是聚焦在多裝置FIDO驗證（Passkey）。</p> <p><span style="font-size:28px;"><strong>抗網釣MFA成最新重點，國際間產業與政府均大力提倡</strong></span></p> <p>在無密碼登入、FIDO標準近期逐漸受到廣泛應用的態勢之下，最近一年以來，有個與身分安全相關的新名詞也浮上檯面，那就是抗網釣MFA（Phishing-Resistant MFA）。</p> <p>此種作法源於美國政府推動的資安政策。例如，2022年1月白宮發布了聯邦零信任戰略的M-22-09備忘錄，當中對於身分識別的安全強化措施，強調須採用Phishing-resistant MFA，同年10月31日，CISA也特別發布抗網釣MFA導入指引文件。</p> <p>事實上，早先推動FIDO的業者，就已經採用「抗網釣MFA」這樣的說法，然而，隨著CISA推出這方面的指引，使大家有了更多共識。</p> <p>更受關注的是，在此指引中，明確指出抗網釣MFA的作法有兩種，包括FIDO/WebAuthn驗證，以及基於PKI的方式，同時，對於多種MFA的安全強弱程度，也有了具體的畫分，並且給出朝向抗網釣MFA邁進的建議。</p> <p>例如，對於尚未實施MFA的企業而言，應了解簡訊傳送MFA，只能視為過渡到強健MFA之前的臨時方案，此時該如何提升身分安全？CISA認為，可先用三種基於App認證的MFA作法，包括App推送OTP驗證碼、App推送數字配對通知，以及基於Token的OTP，之後繼續朝向最佳作法的抗網釣MFA邁進。</p> <p>無論如何，MFA的重要性越來越大，但不代表採用任何一種作法就能永久取得足夠的安全保障，以目前而言，導入具備抵抗網釣攻擊能力的MFA，會是現階段各界確保身分安全的必備措施。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-MFA-600.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)Phishing-resistant%20MFA%20Zero%20Turst.jpg" style="width: 600px;" /></p> <p>而從近年多國政府大力推動的零信任網路安全來看，像是美國是在其聯邦零信任戰略的M-22-09備忘錄中，將採用抗網釣MFA（Phishing-resistant MFA）視為身分識別面向的安全強化一大重點。換言之，抗網釣MFA也就是建構零信任架構的一部分。</p> </div></div></div>
2023/2/20 00:00作者羅正漢https://www.ithome.com.tw/news/155547
【資安日報】2023年2月18日，Fortinet修補WAF與網路存取控制系統的重大漏洞、施耐德電機PLC存在可被用於…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet本週修補了重大漏洞CVE-2022-39952與CVE-2021-42756，這些漏洞分別與該廠牌的網路存取控制系統（NAC）、網頁應用程式防火牆（WAF）有關，共通點是攻擊者皆無需通過身分驗證就能利用。</p> <p>研究人員揭露施耐德電機PLC的漏洞CVE-2022-45788、CVE-2022-45789，並指出這些漏洞可被串連、利用，而能讓攻擊者遠端執行任意程式碼（RCE）。</p> <p>惡意軟體FatalRAT近期的攻擊行動也相當值得留意，雖然駭客主要是針對使用簡體中文的使用者下手，但臺灣也有人受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/2023/02/16/these-arent-apps-youre-looking-for-fake-installers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">慣用簡體中文的使用者遭到惡意軟體FatalRAT鎖定，駭客透過Google廣告散布，臺灣、香港、中國皆有人受害</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/FatalRAT"><span style="color: rgb(255, 140, 0);">#FatalRAT</span></a></strong> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Google-Ads"><span style="color: rgb(255, 140, 0);">#Google Ads</span></a></strong> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-5_-Search-results-for-Firefox-with-a-fake-website-advertised-image-credit-landiannews_com_.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-5_-Search-results-for-Firefox-with-a-fake-website-advertised-image-credit-landiannews_com_.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露針對東南亞、東亞的惡意軟體攻擊行動，駭客自2022年5月開始，假借提供Chrome、Firefox、Telegram、WhatsApp、Line、Skype、比特幣錢包Electrum等應用程式的名義架設冒牌網站，並透過Google廣告散布，一旦使用者下載、執行這些「安裝程式」，電腦就有可能被植入木馬程式FatalRAT。</p> <p>研究人員指出，除Electrum冒牌網站使用英文，其他的惡意網站皆為簡體中文，顯示這起攻擊行動的主要目標是簡體中文使用者。他們看到臺灣、香港、中國是駭客的主要攻擊目標，但馬來西亞、日本、菲律賓、泰國、新加坡、印尼、緬甸也有受害者。</p> <p><a href="https://www.avanan.com/blog/phishpal-how-paypal-became-a-hackers-haven"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">線上支付系統PayPal遭到濫用，駭客用於寄送惡意發票進行網釣攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/PayPal"><span style="color: rgb(255, 140, 0);">#PayPal</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/paypal-subscription.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/paypal-subscription.png" style="width: 300px; float: right;" /></a>資安業者Avanan指出，濫用線上支付系統PayPal的釣魚郵件攻擊行動升溫，他們在其中一起攻擊行動裡，看到駭客佯稱收信人帳號出現詐欺行為，要脅若不處理將會被罰699.99美元。另一起攻擊行動則宣稱收信人成功訂閱防毒軟體服務。但研究人員指出，假如收信人撥打信件裡的客服電話，那麼駭客就有機會藉著電話進行其他詐騙行為。</p> <p>這樣的攻擊行動共通之處，就是駭客直接利用了PayPal的系統寄出相關信件，使得相關資安系統多半會視為無害，收信人也可能因為寄件人的電子信箱是<a href="mailto:[email protected]">[email protected]</a>而降低警覺。</p> <p><a href="https://edition.cnn.com/2023/02/17/politics/fbi-cyber-incident-computer-network/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FBI傳出網路環境遭駭，調查兒童性暴力的相關系統受到影響</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/FBI"><span style="color: rgb(255, 140, 0);">#FBI</span></a> </strong></p> <p>根據美國新聞媒體CNN的報導，美國聯邦調查局（FBI）近日內部電腦網路遭到入侵，該單位著手調查。知情人士透露，FBI官員認為這起攻擊的目標是調查兒童性暴力的資訊系統，但攻擊來源仍有待釐清。</p> <p>對此，FBI向CNN證實確實有資安事故，情況已得到控制，但因為調查尚在進行不願發表進一步的評論。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT業者Atlassian改口資料外洩資料發生的原因，員工在儲存庫公開帳密惹禍</span></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a> <a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a> </strong></p> <p>駭客組織SiegedSec聲稱攻擊IT業者Atlassian並得手員工個資與辦公室平面圖，Atlassian初步認為是他們採用的辦公室管理系統Envoy遭駭所致，現在有新的調查結果出爐。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/atlassian-data-leak-caused-by-stolen-employee-credentials/">Bleeping Computer</a>、<a href="https://techcrunch.com/2023/02/17/atlassian-and-envoy-briefly-blame-each-other-for-data-breach/">TechCrunch</a>、<a href="https://therecord.media/atlassian-envoy-data-stolen-siegedsec/">The Record</a>等新聞網站的報導，在Atlassian和Envoy聯手調查之後，發現起因是有Atlassian的員工不慎在公開的程式碼儲存庫曝露相關帳密，而讓駭客有機可乘，藉此存取該公司的Envoy相關資料，並取得辦公室平面圖，以及員工、承包商的資訊。</p> <p><a href="https://aboutus.godaddy.net/newsroom/company-news/news-details/2023/Statement-on-recent-website-redirect-issues/default.aspx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網站主機代管業者GoDaddy證實駭客竊取原始碼，並利用漏洞部署惡意軟體</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a> </strong></p> <p>網站主機代管業者GoDaddy針對2022年12月的資安事故透露調查結果，起因是駭客取得使用者管理網站組態的管理介面cPanel存取權限，從而部署惡意軟體，導致客戶的網站出現間歇性將使用者重新導向至惡意網站的現象。</p> <p>該公司也透露，根據他們與多國執法與鑑識公司聯手調查的結果，最近幾年發生的攻擊事故，很可能是同一個組織所為，而且這些駭客廣泛針對全球的網站主機代管業者而來，利用惡意軟體感染網站伺服器，進而發動網路釣魚攻擊、散布惡意軟體，以及其他攻擊行動。該公司也向美國證交所通報相關資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fortinet-fixes-critical-rce-flaws-in-fortinac-and-fortiweb/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Fortinet修補WAF與網路存取控制系統的重大漏洞</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Fortinet"><span style="color: rgb(255, 140, 0);">#Fortinet</span></a></strong></p> <p>資安業者Fortinet近日針對旗下的FortiNAC網路存取控制系統（NAC）、FortiWeb網頁應用程式防火牆（WAF），修補重大漏洞CVE-2022-39952、CVE-2021-42756。這兩個漏洞的CVSS風險評分為9.8分、9.3分，前者存在於NAC系統的網頁伺服器，為檔案名稱或路徑能被外部控制的弱點，攻擊者可在未通過身分驗證的情況下進行任意寫入攻擊。</p> <p>而前述的WAF系統漏洞，則是與代理伺服器的背景處理程序有關，為記憶體堆疊緩衝區的溢位漏洞，未經授權的攻擊者能藉由偽造的HTTP請求，遠端執行任意程式碼。</p> <p><a href="https://www.forescout.com/blog/deep-lateral-movement-in-ot-networks-when-is-a-perimeter-not-a-perimeter/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">施耐德電機PLC存在可被用於RCE攻擊的漏洞</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/PLC"><span style="color: rgb(255, 140, 0);">#PLC</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/OT-Icefall"><span style="color: rgb(255, 140, 0);">#OT:Icefall</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>資安業者Forescout揭露施耐德電機Modicon可程式化邏輯控制器（PLC）漏洞CVE-2022-45788、CVE-2022-45789，這兩個漏洞的CVSS風險評分為7.5分及8.1分，前者是能讓攻擊者透過未記錄的記憶體寫入作業來觸發遠端執行任意程式碼（RCE）攻擊，後者則是與身分驗證繞過有關，攻擊者可藉由擷取及重放（Capture-replay）的測試功能弱點，在控制器執行未經授權的Modbus功能，進而挾持通過身分驗證的Modbus工作連線（Session）。</p> <p>研究人員警告，一旦攻擊者串連上述兩個漏洞，就能在該廠牌的PLC執行RCE攻擊。</p> <p><a href="https://www.theregister.com/2023/02/15/intel_sgx_vulns/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel修補5項SGX元件漏洞</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Intel"><span style="color: rgb(255, 140, 0);">#Intel</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SGX"><span style="color: rgb(255, 140, 0);">#SGX</span></a></strong></p> <p>Intel本月發出31則資安通告，其中最值得留意的是有5個漏洞與軟體防護延伸（SGX）相關，這些漏洞又以CVE-2022-33196、CVE-2022-38090影響採用第3代Xeon Scalable、Xeon D處理器的伺服器，分別為高風險與中風險等級，CVSS評分為7.2分及6.0分，有可能導致被用於提升權限而導致資訊洩露。</p> <p>此外，與SGX有關的開發工具漏洞也值得留意，例如，CVE-2022-21163與Crypto API的工具套件有關，而使得攻擊者有機會藉由存取本機提升權限，CVSS風險評分為8.4分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/norwegian-police-recover-58m-crypto-from-massive-axie-infinity-hack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">挪威警方從NFT電玩Axie Infinity事故追回580萬美元的加密貨幣</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/wip26-espionage-threat-actors-abuse-cloud-infrastructure-in-targeted-telco-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">雲端基礎設施遭到濫用，駭客攻擊中東電信業者</span></span></strong></a></p> <p><a href="https://research.checkpoint.com/2023/operation-silent-watch-desktop-surveillance-in-azerbaijan-and-armenia/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">亞美尼亞組織遭到後門程式OxtaRAT監控</span></span></strong></a></p> <p><a href="https://blog.illustria.io/illustria-discovers-account-takeover-vulnerability-in-a-popular-package-affecting-1000-8aaaf61ebfc4"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">被下載逾350萬次的NPM套件帳號容易遭到挾持</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155561">【2023年2月17日】殭屍網路V3G4針對13個物聯網裝置漏洞而來、臺灣組織IIS伺服器遭到惡意軟體Frebniis鎖定</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155549">【2023年2月16日】逾60個亞太地區組織在2021年遭駭客組織SideWinder攻擊、SAP發布2月份例行修補</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155534">【2023年2月15日】微軟發布2月份例行修補、俄羅斯駭客Killnet阻礙北約組織救援土耳其地震</a></strong></p> </div></div></div>
2023/2/18 14:48作者周峻佑https://www.ithome.com.tw/news/155588
iOS、iPadOS 16.4讓網頁應用程式也能推送通知到主畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在最新的<a href="https://webkit.org/blog/13878/web-push-for-web-apps-on-ios-and-ipados/">iOS和iPadOS 16.4 beta 1中添加網頁推送（Web Push）功能</a>，用戶不只可以將網頁應用程式釘選在主畫面（Home Screen）上，現在還可以在主畫面接收推送通知，或在應用程式圖標上看到計數。Apple透過加入網頁推送的支援，使得網頁應用程式的行為，更接近原生應用程式。</p> <p>網頁推送使用W3C制定的標準<a href="https://caniuse.com/push-api">Push API</a>實作，讓網頁應用程式能夠接受來自伺服器推送的訊息，而且無論應用程式是否在前臺，或是已經載入到用戶代理上都可以作用，這項功能供網頁應用程式更好地向用戶推送非同步通知。</p> <p>主要的桌面瀏覽器，目前都已經支援網頁推送，而許多主要的行動裝置瀏覽器也都已經支援，包括Chrome for Android、Samsung Internet和Firefox for Android等，iOS和iPadOS的Safari則是從16.4開始支援，原生Android Browser則尚不支援。</p> <p>用戶原本就可在iOS、iPadOS上的Safari，利用共享按鍵將網站添加到主畫面，而該網站的圖標，便會出現在主畫面，用戶只要點擊該圖標，就能迅速存取該網站。同時，網頁開發人員只要在網站加上清單（Manifest）檔案，該網頁就能夠成為主畫面網頁應用程式，使網頁應用程式以原生應用程式的方式開啟，而不會在瀏覽器中打開，用戶也可以在應用程式切換畫面中，看到應用程式預覽。</p> <p>透過支援網頁推送，將大幅改善網頁應用程式的使用體驗，iOS和iPadOS 16.4 beta 1在主畫面網頁應用程式增加網頁推送支援，使網頁開發人員可以利用Push API、Notifications API和Service Workers向用戶推送通知。</p> <p>網頁推送支援iPhone與iPad的專注模式，供用戶配置想要接受通知的時機，在多個裝置將同一個網頁應用程式添加到主畫面的用戶，專注模式會自動應用到所有裝置上。而且現在網頁應用程式也可以使用Badging API，在應用程式圖標上顯示計數。</p> <p>添加到主畫面的網頁應用程式，可以請求推送通知權限，用戶也可以在通知設定中，管理網頁應用程式的權限，就如同原生應用程式一樣。而來自網頁應用程式的通知，也會如同原生應用程式通知一樣，在鎖定畫面、通知中心和配對的Apple Watch上顯示。</p> <p>iOS和iPadOS上的網頁推送也是透過Apple推送通知服務發送通知，但開發者不需要是Apple Developer Program會員就可以使用。在iOS、iPadOS上的網頁推送，與去年秋天macOS Ventura上Safari 16.1添加的網頁推送標準相同，因此當開發者已經在網頁採用最佳實踐，也就能夠在iPhone和iPad上正常運作。</p> </div></div></div>
2023/2/18 07:27作者李建興https://www.ithome.com.tw/news/155562
Visual Studio 2022預設整合虛幻遊戲引擎，改進遊戲開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟根據遊戲開發人員的需求改進Visual Studio 2022，在17.5版本將會<a href="https://devblogs.microsoft.com/cppblog/unreal-engine-integrations-now-available-in-visual-studio-2022/">預設整合虛幻引擎（Unreal Engine，UE）</a>，使遊戲開發人員可以快速查看虛幻引擎的藍圖參照、資產，而且不需要跳出Visual Studio就可以添加預設UE類別，同時微軟還改進巨集功能，使開發者可以方便操作長巨集。</p> <p>Visual Studio 2022 17.5預設整合虛幻引擎，提供查看藍圖參照、藍圖資產和添加UE類別三個功能，這些功能只會在開發者處理虛幻引擎專案的時候才會顯示。要使用這些功能，開發者需要在Visual Studio安裝程式中，勾選安裝IDE支援虛幻引擎元件，同時還需要安裝開源Visual Studio整合工具套件，才能夠查看藍圖參照和資產，開發者可以直接在Unreal Engine Marketplace安裝該套件，或是從GitHub儲存庫複製安裝。</p> <p>另外，現在將滑鼠懸停在巨集上，Visual Studio會以等寬字體和格式化顯示巨集內容，供開發者能夠更好閱讀和理解，並且簡單地比較和複製貼上長巨集。微軟提到，這項功能請求雖然來自虛幻引擎開發人員，但是非虛幻引擎的C++專案也能獲益。</p> <p>微軟還改進Visual Studio中IntelliSense成員列表冗長的問題，與大多數的專案相比，虛幻引擎專案的這個問題更加嚴重，成員列表可能多達數百個項目，即便啟用IntelliCode和Predictive IntelliSense，開發人員同樣會在尋找正確IntelliSense建議時遭遇困難。</p> <p>現在微軟重新設計C++專案的成員列表，使用一套新的規則排序成員，當開發者啟用IntelliCode，則建議的條目會先出現在成員列表頂端，同時列表也會顯示項目來自IntelliCode抑或是IntelliSense建議的訊息。</p> </div></div></div>
2023/2/18 07:29作者李建興https://www.ithome.com.tw/news/155563
楊泮池點出臺灣數位醫療4大瓶頸，籲HIS革新迫在眉睫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生策會副會長楊泮池在昨日（2/16）生策會年會中，點出臺灣數位醫療發展4大瓶頸，包括醫療資訊系統老舊、系統高度客製化、數據難以整合和資訊開發人才短缺，並呼籲要統一醫療詞彙撰寫方式、採用醫療資料交換標準FHIR。面對這些瓶頸，他也分享生策會4大建言，如加速醫資系統革新、整合醫療數據規格、銜接國際標準，以及制定政策，來鼓勵醫療體系採用創新科技。</p> <p><span style="font-size:22px;"><strong>AI是今年醫療科技趨勢榜首，全球智慧醫院評比臺灣只有1家醫院上榜</strong></span></p> <p>楊泮池首先指出，在國際盤點的年度10大醫療科技趨勢中，AI佔據榜首，美國FDA去年核准的醫療器材中，也有不少與AI有關，像是肺動脈高壓早期偵測系統、阿茲海默症治療系統、提供情感支持的AI聊天機器人，以及臺大醫院開發的胰臟癌早期病灶偵測AI。</p> <p>在國內，也有不少ICT業者和新創投入智慧醫療領域，開發許多醫療AI和數位醫療產品，但臺灣醫療體系卻少有應用。楊泮池引用全球智慧醫院評比數據，臺灣只有臺中榮總一家醫院上榜，雖然是兩岸三地唯一一間，但與亞太區其他國家相比，如韓國、日本都有數十家醫院入選，臺灣進步空間相當大。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A9%95%E6%AF%94.jpeg" /></p> <p>他認為，臺灣智慧醫院發展不如其他國家，是因為4大瓶頸。</p> <p><span style="font-size:22px;"><strong>臺灣數位醫療瓶頸：系統老舊且高度客製化</strong></span></p> <p>「全球已進入雲原生時代，但臺灣的醫療資訊系統仍非常老舊，」楊泮池指出，臺灣醫療資訊系統（HIS）最初是為健保申報而建置，醫療IT基礎建設始於1990年代，且各醫院各自發展HIS、硬體設備和網路架構，目前多數醫院系統仍屬該年代的傳統系統，停留在20、30年前的架構設計。這種老舊系統，讓系統現代化更困難，特別是在雲端運算、虛擬化和資料倉儲的建置進度緩慢。這是第1個臺灣數位醫療基礎建設瓶頸。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4%E5%A4%A7%E7%93%B6%E9%A0%B8.jpeg" /></p> <p>第2個瓶頸則是系統高度客製化，因為臺灣近8成醫院自行開發各自的系統，且系統龐大、難以擴充和改寫，系統不只耗能，也難以整合程式。</p> <p>還有另一個瓶頸是數據難以整合，比如，資料儲存沒辦法跨平臺支援不同裝置，或是數據來源多且複雜、沒有統一的交換規格，因此難以整合。</p> <p>最後一個瓶頸則是人才問題。楊泮池指出，目前醫院很難給出足夠的經費，來因應開發、維運新系統所需的大量IT人力。特別是，醫療數位轉型涉及系統雲端化、資料中心化、主機虛擬化，所需的投資並非大多數一家醫院可以負擔的，再加上人才不足，現階段醫院只能先微幅轉型。他以醫學中心為例，臺灣目前19家醫學中心，每家都有各自的系統，IT人力也才30到100人，導致數位轉型腳步緩慢。</p> <p>他還特別點出，由於臺灣目前醫療數據規格不相容，要用來研發、驗證醫療AI，就是一大挑戰。而規格不相容，又可分為2種，首先是醫療詞彙及撰寫方式，因為臺灣醫療詞彙目前沒有統一的coding book，導致醫師敘述病史時，仍以中英夾雜方式記載，讓自然語言處理（NLP）處理成效不佳。</p> <p>另一個問題是，臺灣電子病歷和醫療影像還沒有統一的交換標準，尤其國際採用的主流交換標準為2011年推出的FHIR，臺灣仍在使用2005年推出的CDA R2，這就導致只能讀取臨床文件、可互動性低，且無法與行動化醫療所需的輕便裝置串聯。楊泮池指出，目前全球已有50多國採用FHIR，且預估至2023年底，全球60%的醫療機構都會使用FHIR，臺灣需積極趕上，才能與國際接軌。</p> <p><span style="font-size:22px;"><strong>生策會4大建言盼加速醫資系統革新、與國際接軌</strong></span></p> <p>為加速臺灣數位醫療發展，生策會在過去1年舉辦不少論壇，包括與醫學中心和相關產業共80名專家，來討論如何升級臺灣數位醫療基礎建設、改善醫療數據相容性等議題。楊泮池也分享生策會論壇4大建言，首先是加速醫資系統革新，透過政府制定政策和獎勵機制，來鼓勵醫療體系改善基礎建設、採用新系統，比如支援FHIR的系統，以利新技術和新應用落地。</p> <p>再來是整合醫療數據規格，建立臺灣醫療資料交換標準，這樣才能取得大量、品質好、多元且正確的真實世界資料，來進行數位醫療創新和研發。下一個建言則是銜接國際標準，比如擁抱FHIR標準，並建立臺灣的FHIR實作指引（Implementation Guide），同時，政府也要應納入數位醫療產品規範，訂出審查和認證機制，以便後續應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0506.jpeg" /></p> <p>最後一個建言是，透過政府獎勵，來鼓勵醫療體系採用國內業者研發的數位醫療科技產品。楊泮池解釋，這個獎勵可以是醫院評鑑加分，或納入部分健保給付，給予醫院採用誘因。除了獎勵，他指出，政府也應加速開放數位醫療創新試驗場域、建立智慧醫療監理沙盒，並研訂遠距醫療、數位醫療服務的商業模式，此外也要透過政策制定，來鼓勵醫事機構設置試驗場域，來加速新科技導入臨床實證。</p> </div></div></div>
2023/2/17 20:46作者王若樸https://www.ithome.com.tw/news/155565
【專訪臺北市資訊局長趙式隆】推動台北通、臺北大數據中心等資訊成果走向開放架構，建立技術新高度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「相較於從學術單位而來的兩位前局長，在商業上的靈活性沒我來得」，臺北市政府資訊局長趙式隆自信地說。</p> <p>去年12月25日，臺北市長當選人蔣萬安率領新的市府團隊上任，至今還不到2個月，臺北市資訊局長趙式隆面對媒體，充滿熱情暢談上任後，今後帶領資訊局的想法。自臺大電機系碩士畢業的他，專長在深度學習、機器學習裡的自然語言處理及電腦視覺處理，他形容自己的第一志業是教學，故曾在臺大電機系教授工程數學、微分方程等課程，2010年開設網路與多媒體實驗，教授App開發與網頁程式設計，為學生選課的熱門課程，上過其課程的學生，為後來臺灣本土App發展奠定基礎。即使去年底接任北市資訊局長，仍在陽明交大兼任助理教授，以非資訊背景學生為對象，教授以Python開發深度學習專案。</p> <p>早在學生時代他就開始創業，後來又連續兩次創業，一次創立數位學習公司，利用App改進老師與學生在課堂上的互動，另一次創業則是成立金融科技公司，提供AI保險方案，他也以年輕創業家身分，擔任中央部會新創計畫的顧問或諮詢委員，並曾主持教育廣播電臺創青宅急便節目。</p> <p><span style="color:#B22222;"><strong>不只要讓服務可用，還要好用</strong></span></p> <p>對於上任後的願景，這位不到40歲的年輕局長熱切說出8個字：科技普惠、無限臺北。</p> <p>他解釋，無限臺北是將每位市民連結起來，創造無限可能性，連結則需要依靠科技的力量，是資訊局的重要工作之一，同時也呼應科技普惠的重要性。「科技的進步，不是賦能讓厲害的人往前走100步，而是讓每個人包含技術的弱勢者，都能往前走1步，沒有人掉隊，這樣才是進步」。</p> <p>不只是要讓每個人都能使用基本服務，做到可用，民眾不使用的服務，覺得不好用的服務，也要改進服務，做到讓民眾覺得好用。</p> <p>趙式隆指出，儘管過去市政服務以數位化為目標，但數位化有層次上的差別，目前的數位化只是剛開始的e化。以前民眾要到實體機關，在櫃檯交付文件資料，先前市府將這個過程線上化，但線上化距離數位化仍有一段距離，儘管線上化後，民眾不再需要到櫃檯辦理，但需要的文件資料卻沒有減少，例如線上使用自然人憑證，但仍要繳交身分證、健保卡等資料，為此民眾還要使用掃描器準備資料，未必比走一趟機關來得方便，既已使用自然人憑證，過去依行政慣性需要檢附的資料，有些資料已可勾稽，為什麼還需要這些資料？</p> <p>「從線上化到數位化的重點是，應該重新盤點流程，哪些流程能夠進一步簡化，而不受過往的行政慣性影響」。他認為，服務從可用到好用的層次，可用關乎數位平權，好用則是政府施政的成果，大家真的覺得比原來更好。科技普惠的關鍵是，讓弱勢的人能使用服務，讓原本就能使用的人，真的感到這些服務是有幫助的。</p> <p>然而，對公務機關而言，過去基於防弊需要，要求民眾檢附資料供審查，如果不用繳交這些資料，可能引起公務人員的擔心，趙式隆認為，除了從民眾角度，改進服務讓其變得好用之外，也要讓公務人員體認到從線上化到數位化後，工作變得比較輕鬆，負的責任也比較少，才能發自內心去盤點、思考現有的流程是否有精進的空間。</p> <p>趙式隆表示，服務從可用到好用，從兩方面著手，一方面是讓弱勢者能使用的服務，對數位平權有幫助的服務，另方面從大家常用的服務，具代表性、影響最大的服務著手，精進服務讓民眾、公務人員都有感覺。先建立成功範例來推動，形成正向循環，慢慢引導進步。資訊局已開始規畫，和研考會討論研商有哪些流程可以優化，資訊局身為市政府的技術幕僚機關，協助解決技術上的挑戰。</p> <p><span style="color:#B22222;"><strong>推動臺北市成為新創實驗場域</strong></span></p> <p>過去在柯市府期間，資訊局設有TPMO臺北智慧城市專案辦公室，促成各局處與民間廠商合作，以臺北市作為實驗場域，讓廠商進行服務的POC概念驗證，作為推動城市創新的作法，而在蔣萬安在當選之前，提出要讓臺北市成為新創試驗場域，是趙式隆上任後可以施力之處，同時也呼應市長就任後，擴大公私協力、打造服務型政府的目標。</p> <p>趙式隆以過去的創業經驗指出，政府與民間企業合作，政府不是很好的甲方，民間企業沒有獲得合理的利潤之下，可能會偷工減料，需要來自民間產業，從乙方角度觀點，合理思考政府與民間的合作關係，公私協力才會發生，基於過去創業的經驗、技術專業背景，資訊局能夠促成公私協力合作，這些對市民的服務，達成服務型政府。</p> <p>對新創業者來說，創業的第一張訂單相當重要，趙式隆表示，市府與新創業者合作，以城市作為新創業者的服務驗證場域，市府可以作為新創業者的第0.5張訂單，新創在場域的成功試驗，與市府的合作經驗，可以讓產品更容易銷售到民間或國外市場，市府能成為新創業者的第一個客戶或合作夥伴。</p> <p><span style="color:#B22222;"><strong>推動台北通、臺北大數據中心走向開放架構</strong></span></p> <p>過去在市長柯文哲任內，北市資訊局推出台北通、臺北大數據中心、Taipeion公務雲，內部稱為資訊3寶，儘管立意良好，但也曾遭外界批評，例如在疫情期間，議員質疑台北通透過實聯制蒐集個資，先前市府成立臺北大數據中心，被質疑販賣民眾個資等等。新的蔣市府團隊上任後，外界也關心台北通、臺北大數據中心的下一步。</p> <p>趙式隆對資訊3寶感到驚豔，以台北通為例，他認為台北通是一個很好的Super App代表作，過去不同局處推出自己的App，民眾常需要安裝各種App才能使用各種服務，台北通匯整各局處服務，成為單一市政服務入口，台北通的價值在於已建立擁有300萬使用者的基礎，甚至超過臺北市人口，是政府對民眾服務的很好範例。</p> <p>過去臺北市的資訊發展成果，被市府視為重要的資產，但趙式隆上任後希望扭轉這一觀念，將臺北市的市政資訊成果進一步和外界分享，未來引導台北通、臺北大數據中心、Taipeion走向開放架構，在技術觀念上帶到新高度，透過成果的分享，不只是臺灣的政府機關、開發者、廠商，也讓國際看到臺北市的成果，在國際化上帶到前所未有的高度。</p> <p>至於如何推動開放架構，他以知名瀏覽器的做法為例，在官方版本瀏覽器之外，提供開源版本供外界使用，利用群策群力共同維護開源版本，從開源版本反向回饋，帶動官方版本不斷精進。如果台北通將來開放架構，其他縣市也能打造自己的城市通，官方的台北通也能受益於開放版本獲得改善，回歸到對市民服務的提升。</p> <p>不過，趙式隆直言，現階段要推動開放架構仍有挑戰需克服，其中之一是解決智財問題，由於背後可能不只有單一合作廠商協助開發，未來資訊局3寶要走向開放架構，必須能說服廠商願意配合，開放多大的程度，也會影響外界使用的意願，但他認為仍有機會說服業者配合，以台北通為例，如果其他縣市希望採用台北通的開放架構，臺北市的協力廠商就有機會與其他縣市合作。目前開放架構為他上任後的施政大方向，實際如何執行還有待討論，或許未來資訊局可設立維護GitHub專案，就開放架構和工程界說相同的語言。未來可透過先導研究案，研究如何最大化實現此一理想。</p> <p><span style="color:#B22222;"><strong>臺北大數據中心導入機器學習技術，提升市政預警、決策能力</strong></span></p> <p>至於臺北大數據中心，他推祟柯市長團隊的執行力，匯整各個數據，經過處理活動市府資料的使用，為臺北大數據中心打下很好的基礎，大數據中心除了支援平時市政決策，臺北市舉行的大型活動，例如跨年或燈會，大數據中心也支援活動數據的蒐集，透過視覺化的儀表板呈現，讓監控活動進行指揮中心參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC04693-1(1).jpg" style="width: 600px; height: 399px;" /></p> <p>然而，他以資料科學家身分來看，指揮中心觀看監測數據後，再以電話向活動現場指示如何疏散過於擁擠的人流，如果發生韓國梨泰院的踩踏事件，反應時間可能不夠快，需要導入機器決策。目前的臺北大數據中心的架構，使用傳統的資料科學，資料匯整、視覺化，並沒納進來機器決策，未來引進機器決策，系統直接指示現場人員如何處理，反應時間能從幾分鐘縮短至幾秒，更早的防範應變。</p> <p>未來資訊局會增加大數據中心使用的GPU伺服器，並引進機器學習或深度學習的專家進來，採用現代化的資料科學技術，由於今年資訊局預算已定，明年編列新預算支持下，資訊局才能大舉推動。但趙式隆表示，今年仍可先和學術研究合作，在現行大數據中心的資料架構下，如何運用機器學習、深度學習模型作出成果。未來臺北大數據中心導入機器學習，不只是預警、決策，還包括對各種可能發生情境的預測。</p> <p>由於此次選舉，北市友好的縣市增加，資訊局也準備和其他友好縣市，在異地備援資料中心、資安聯防等議題上討論如何合作，強化資訊韌性、資安訊息交換。</p> </div></div></div>
2023/2/17 19:06作者蘇文彬https://www.ithome.com.tw/news/155564
【資安日報】2023年2月17日，殭屍網路V3G4針對13個物聯網裝置漏洞而來、臺灣組織IIS伺服器遭到惡意軟體Fre…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有新的Mirai殭屍網路V3G4去年下旬出現，該殭屍網路病毒攻擊的裝置類型相當廣，包含了電話交換機系統、視訊監控系統、路由器，以及協作平臺等。研究人員指出，目標系統一旦遭到感染，將會受到駭客擺布。</p> <p>架設IIS伺服器的臺灣組織要注意了！有研究人員發現專門鎖定這類伺服器而來的攻擊行動，特別的是，駭客利用其中的網頁請求除錯元件FREB來下達命令，而可能讓資安系統難以察覺異狀。</p> <p>思科、Splunk近日針對旗下產品發布更新，修補多項漏洞。而這兩家修補的漏洞中，也包含了不少第三方元件的修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://unit42.paloaltonetworks.com/mirai-variant-v3g4/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">殭屍網路Mirai變種V3G4鎖定物聯網裝置漏洞而來</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Mirai"><span style="color: rgb(255, 140, 0);">#Mirai</span></a></strong> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/DDoS"><span style="color: rgb(255, 140, 0);">#DDoS</span></a></strong> </p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-126924-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-126924-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露自2022年7月出現的殭屍網路V3G4，該殭屍網路病毒是Mirai變種，鎖定電話交換機（PBX）系統FreePBX的漏洞CVE-2012-4869、視訊監折鏡頭AVM Fritz!Box漏洞CVE-2014-9727、居易Vigor路由器漏洞CVE-2020-8515、CVE-2020-15415，以及Atlassian Confluence漏洞CVE-2022-26134等13個弱點，其目標的共通點就是執行Linux作業系統的連網裝置，一旦裝置感染了殭屍網路病毒，就會被駭客控制，且很有可能用於DDoS攻擊。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/frebniis-malware-iis"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Frebniis濫用IIS伺服器功能建立後門，目標是臺灣組織</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/IIS"><span style="color: rgb(255, 140, 0);">#IIS</span></a> <a href="https://www.ithome.com.tw/tags/FREB"><span style="color: rgb(255, 140, 0);">#FREB</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Frebniis-Fig3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Frebniis-Fig3.png" style="width: 300px; float: right;" /></a>資安業者賽門鐵克揭露鎖定臺灣組織的惡意軟體Frebniis攻擊行動，該惡意軟體會將惡意程式碼注入受害電腦裡，與IIS功能有關的程式庫iisfreb.dll所使用的記憶體，此元件被稱為Failed Request Event Buffering（FREB），功能是針對失敗的網頁請求收集相關資料，進行故障排除或是分析。</p> <p>攻擊者在惡意軟體注入程式碼後，就能藉由FREB攔截、監控所有送到IIS伺服器的HTTP POST請求，一旦此惡意軟體偵測到攻擊者發出的特定請求，便會執行下達的命令。</p> <p>研究人員指出，此後門程式不會在受害伺服器留下檔案或其他痕跡，也不會建立處理程序，而能躲過資安防護措施的偵測。</p> <p><a href="https://blog.morphisec.com/proxyshellminer-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Exchange漏洞ProxyShell被用於挖礦攻擊</span></strong></a><strong style="font-size: 16px;"> <a href="https://www.ithome.com.tw/tags/ProxyShell"><span style="color: rgb(255, 140, 0);">#ProxyShell</span></a> <a href="https://www.ithome.com.tw/tags/Exchange"><span style="color: rgb(255, 140, 0);">#Exchange</span></a> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ProxyShellMiner-Feb-15-2023-01-42-13-1678-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ProxyShellMiner-Feb-15-2023-01-42-13-1678-AM.png" style="width: 301px; float: right;" /></a>資安業者Morphisec提出警告，有人利用微軟於2021年修補的ProxyShell漏洞，於Exchange伺服器上部署惡意程式ProxyShellMiner，並透過處理程序挖空（Process Hollowing）手法，利用某個瀏覽器來植入XMRig。</p> <p>值得留意的是，為了避免資安系統察覺異狀，惡意程式還會再建立新的防火牆規則，封鎖大部分的應用程式對外連線。而對於受害郵件伺服器與C2中繼站及礦池連結的方法，研究人員認為可能是透過尚未發現的後門程式進行。</p> <p><a href="https://censys.io/the-evolution-of-esxiargs-ransomware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾500臺VMware ESXi主機感染勒索軟體ESXiArgs，法、德為主要災區</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/勒索軟體"><span style="color: rgb(255, 140, 0);">#勒索軟體</span></a> <a href="https://www.ithome.com.tw/tags/ESXiArgs"><span style="color: rgb(255, 140, 0);">#ESXiArgs</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/ESXiArgs-image7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ESXiArgs-image7.png" style="width: 300px; float: right;" /></a>資安業者Censys揭露勒索軟體ESXiArgs攻擊的更多細節，研究人員在2月11日至12日看到新一波攻擊，有超過500臺VMware ESXi伺服器受害，其中以法國有217臺最多，德國137臺居次。</p> <p>而針對此勒索軟體的攻擊行動，研究人員發現最早可追蹤到VMware ESXi 6.5版、6.7版終止支援的時候──他們發現有兩臺伺服器在2022年10月中旬遭到勒索。根據勒索訊息的比對，研究人員推測ESXiArgs的前身是Cheerscrypt。</p> <p><a href="https://cyberscoop.com/atlassian-hack-employee-data-seigedsec/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IT業者Atlassian傳出資料外洩，起因是第三方供應商遭駭</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/供應鏈攻擊"><span style="color: rgb(255, 140, 0);">#供應鏈攻擊</span></a> <a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a> </strong></p> <p>根據新聞網站CyberScoop的報導，駭客組織SiegedSec聲稱握有數千名Atlassian員工的資料，以及該廠商兩間辦公室的平面圖。該新聞網站取得駭客竊得的資料，指出內有逾13,200筆員工檔案，包括姓名、電子郵件信箱、部門等資料，平面圖則是該公司位於美國舊金山與澳洲雪梨的辦公室的資訊。</p> <p>對此，Atlassian表示因調度辦公室資源的應用程式Envoy遭駭，導致他們有資料被公開。該公司強調，產品及客戶資料不受影響。針對Atlassian的說法，<a href="https://www.bleepingcomputer.com/news/security/atlassian-says-recent-data-leak-stems-from-third-party-vendor-hack/">Envoy則認為很有可能是Atlassian員工的帳密遭竊所致</a>，而非該公司的應用程式出現漏洞。</p> <p><a href="https://therecord.media/scandinavian-airlines-cyberattack-anonymous-sudan/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北歐航空遭到網路攻擊，起因疑為不滿瑞典焚燒古蘭經的抗議遊行</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/資料外洩"><span style="color: rgb(255, 140, 0);">#資料外洩</span></a> </strong></p> <p><a href="https://www.sasgroup.net/newsroom/press-releases/2023/sas-cyber-attack--update/">2月15日北歐航空（SAS）發出公告</a>，表示他們在14日晚間遭到網路攻擊，導致該公司網站與應用程式被迫關閉數個小時，且有部分旅客的資料外洩。這些外洩的資料包含了旅客搭乘的航班、聯絡方式，以及信用卡卡號末4碼。SAS初步認定這樣的信用卡資料不會被濫用。</p> <p>根據資安新聞網站Record報導，<a href="https://t.me/AnonymousSudan/113">駭客組織Anonymous Sudan聲稱是他們發動攻擊</a>，目的是表達瑞典政府允許民眾於一月抗議土耳其的行動，當時抗議人士焚燒古蘭經引發該組織的不滿，駭客也攻擊了當地電視臺SVT。此外，<a href="https://t.me/user_sec/151">俄羅斯駭客UserSec宣稱</a>也有參與攻擊北歐航空的事故。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-warns-of-windows-and-ios-bugs-exploited-as-zero-days/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對已出現攻擊行動的Windows和蘋果裝置漏洞提出警告，要求聯邦機構限期修補</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/CISA"><span style="color: rgb(255, 140, 0);">#CISA</span></a> <a href="https://www.ithome.com.tw/tags/KEV"><span style="color: rgb(255, 140, 0);">#KEV</span></a> </strong></p> <p>美國網路安全暨基礎設施安全局（CISA）於2月14日提出警告，將微軟2月例行修補（Patch Tuesday）緩解的3個零時差漏洞CVE-2023-21823、CVE-2023-23376、CVE-2023-21715，以及蘋果針對iOS、iPadOS、macOS修補的WebKit漏洞CVE-2023-23529，將其列入已被用於攻擊的漏洞清單（KEV），並要求聯邦機構於3月7日前完成修補。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/critical-vulnerability-patched-in-cisco-security-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科針對旗下產品發布更新，修補開源防毒元件ClamAV重大漏洞</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Cisco"><span style="color: rgb(255, 140, 0);">#Cisco</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/ClamAV"><span style="color: rgb(255, 140, 0);">#ClamAV</span></a></strong></p> <p>思科於2月15日，發布8則資安通告，修補旗下的端點防護系統Secure Endpoint、網頁安全閘道Secure Web Appliance、郵件安全閘道Secure Email Gateway、資料中心儀表板Nexus Dashboard。</p> <p>其中，被列為重大等級的漏洞，是該廠商採用的防毒軟體ClamAV元件中，出現的CVE-2023-20032，CVSS風險評分為9.8分，影響Secure Endpoint及Secure Web Appliance，起因是ClamAV的解析對於記憶體的緩衝區檢查不足，而有可能導致記憶體緩衝區溢位寫入的情況。攻擊者可製作惡意的HFS+磁碟分割區檔案，讓ClamAV掃描觸發漏洞，進而使得該元件服務中斷（DoS）。</p> <p>此外，該公司也修補Secure Email Gateway高風險漏洞CVE-2023-20009、CVE-2023-20075，以及Nexus Dashboard高風險漏洞CVE-2023-20014，這些漏洞的風險評分介於6.5分至7.5分。</p> <p><a href="https://www.securityweek.com/splunk-enterprise-updates-patch-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大數據軟體Splunk修補高風險漏洞</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Splunk"><span style="color: rgb(255, 140, 0);">#Splunk</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>2月14日Splunk發布大數據軟體Splunk Enterprise的更新版本8.1.13、8.2.10、9.0.4，當中修補5個出現在主程式的高風險漏洞，其中CVE-2023-22939、CVE-2023-22935、CVE-2023-22934等3個與搜尋處理語言（Search Processing Language，SPL）有關，能被攻擊者用於繞過該系統偵測存在風險的命令之防護措施（SPL Safeguards for Risky Commands），CVSS風險指標為7.3分至8.1分。</p> <p>另外2個高風險漏洞CVE-2023-22932、CVE-2023-22933則是跨網站指令碼（XSS）漏洞，CVSS風險指標為8.0分。</p> <p>此外，該廠商也針對Splunk Enterprise採用的第三方元件著手修補，其中最嚴重的是Libxml2的漏洞CVE-2021-3517、CVE-2021-3518，CVSS風險指標為8.6至8.8分。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.burton.com/announcement/system-outage.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">滑雪板製造商Burton遭到網路攻擊，取消網路訂單</span></span></strong></a></p> <p><a href="https://therecord.media/louisiana-hbcu-says-personal-data-from-44000-students-accessed-in-november-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國路易斯安那州大學HBCU於11月遭到攻擊，證實4.4萬學生個資外洩</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/02/15/intel_sgx_vulns/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Intel修補處理器防護元件SGX漏洞</span></span></strong></a></p> <p><a href="https://www.picussecurity.com/resource/blog/the-red-report-2023-top-ten-attack-techniques"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾三分之一惡意軟體採用20種戰術與攻擊手法</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155549">【2023年2月16日】逾60個亞太地區組織在2021年遭駭客組織SideWinder攻擊、SAP發布2月份例行修補</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155534">【2023年2月15日】微軟發布2月份例行修補、俄羅斯駭客Killnet阻礙北約組織救援土耳其地震</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155517">【2023年2月14日】資安業者Group-IB遭到中國駭客Tonto Team攻擊、美國2022年7萬人因愛情詐騙損失13億美元</a></strong></p> </div></div></div>
2023/2/17 16:30作者周峻佑https://www.ithome.com.tw/news/155561
微軟正式認證Parallels為合作夥伴，可在蘋果M1、M2電腦上執行Windows 11 on Arm
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/windows/options-for-using-windows-11-with-mac-computers-with-apple-m1-and-m2-chips-cd15fd62-9b34-4b78-b0bc-121baa3c568c" target="_blank">微軟昨（16）日宣布</a>與軟體業者Parallels的合作，讓Arm版Windows 11得以在搭載蘋果M1、M2晶片的Mac電腦上執行。</p> <p>微軟指出，Windows 11在為Windows設計的PC上執行效果最好，但如果用戶環境不允許，有兩種方法。第一個是在Mac電腦上訂閱Windows 365服務，這是一種SaaS（software-as-a-service）服務，將Windows以Cloud PC服務在用戶電腦上執行，不論實際硬體是精簡電腦或是Linux、Mac、ChromOS電腦。</p> <p>第二種則是在Mac電腦上安裝Parallels Desktop虛擬化軟體。<a href="https://www.ithome.com.tw/news/143861" target="_blank">2021年推出</a>的Parallels Desktop 16.5已可讓用戶在M1-based電腦上安裝Windows 10 on Arm。不過那時微軟並未正式將之列為合作夥伴。</p> <p>微軟本周正式宣布Parallels Desktop 18是在蘋果M1、M2電腦上，執行Arm版Windows 11 Pro及Windows 11 Enterprise的授權解決方案。</p> <p>不過微軟指出，Arm版Windows 11存在功能限制，可能影響用戶執行仰賴DirectX 12或OpenGL 3.3的應用程式或遊戲。</p> <p>此外，這種組合也不支援巢狀虛擬化（nested virtualization），即在其他VM（virtual machine）中執行VM。因此Mac電腦上的Windows 11無法執行WSA（Windows Subsystem for Android）、WSL（Windows Subsystem for Linux）、Windows Sandbox，以及虛擬化安全（Virtualization-based Security，VBS），後二者可透過多重虛擬化建立安全隔離區以確保App安全性。</p> <p>除了Parallels外，其他選擇還包括VMware Fusion及Crossover等。</p> </div></div></div>
2023/2/17 16:18作者林妍溱https://www.ithome.com.tw/news/155560
SolidWorks大中華區副總裁：企業CAD/PLM上雲仍是少數，但臺灣企業比大中華區更愛用，以製造和醫療新創較多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【美國納什維爾現場直擊】3D CAD大廠SolidWorks大中華區副總裁吳俊杰透露，整個大中華區內，臺灣用戶採用雲端產品的比例最高。他觀察，主因是臺灣中小企業在疫情衝擊下，需要靈活推動數位轉型的能力。</p> <p>SolidWorks自2021年開始在臺灣主打自家雲端版解決方案，不過，至今近10,000家企業客戶中，只有500多家採用，企業客戶採用率較低。</p> <p>企業上雲的阻力，吳俊杰觀察，製造業企業的設計部門，若早已習慣使用地端版本SolidWorks，便沒有強烈誘因改變現狀，轉移到雲端。然而，許多製造業IT部門編制並不大，未必有足夠人力來推動數位轉型。就算有，以IT部門在製造業的發言權，不一定能獲得設計部門或企業高層支持。</p> <p>吳俊杰認為，轉移雲端版本的挑戰牽涉CAD、CAE、PDM作業模式及資料儲存架構的更動，且產品涵蓋範圍從設計階段拓展到產品生命周期的其他階段。除此之外，熟悉雲端科技的設計和IT人才不足，也是影響CAD/PLM上雲的另一個阻力。</p> <p>目前採用雲端版的企業多為高科技及醫療設備產業新創。吳俊杰表示，這些企業IT能力和企業規模，有利於降低上雲摩擦力，甚至有些企業直接採用雲端版本。除此之外，吳俊杰觀察，疫情帶來的混亂及衝擊，提升了不少企業內部年輕世代領導人的發言權，也是臺灣企業開始擁抱雲端的一大助力。</p> <p>為了推廣CAD和PLM上雲，吳俊杰表示，SolidWorks將在臺灣採取兩大策略，一是從教育階段培育雲端用。SolidWorks跟臺灣許多大專院校及高中職都有合作，提供教育版的雲端版產品SolidWorks。吳俊杰認為，這些學生日後進入業界，會成為雲端版的使用者。</p> <p>第二個策略是對管理階層展開行銷，而非IT或設計部門。吳俊杰說，製造業可能被上游客戶強烈要求追蹤生產流程對環境的影響。因此SolidWorks也推計畫搭上ESG議題，強調CAD/PLM資料上雲儲存後，有利於企業追蹤產品生命各周期的環境影響。</p> </div></div></div>
2023/2/16 17:40作者郭又華https://www.ithome.com.tw/news/155552
微軟說明Bing回應態度「走鐘」的原因
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周一微軟以預覽版開放桌機版用戶使用ChatGPT強化的Bing.com，不少案例顯示Bing機器人會發怒、爭辯或批評用戶等出人意外的態度。<a href="https://blogs.bing.com/search/february-2023/The-new-Bing-Edge-%E2%80%93-Learning-from-our-first-week" target="_blank">微軟周四說明原因</a>，並承諾將改善。</p> <p>微軟Bing團隊昨（16）日說明Bing上線7天來，他們對Bing的觀察報告。</p> <p>目前Bing已經在全球169國以預覽版供用戶測試，微軟團隊自認Bing獲得普遍讚賞。像是71%用戶給了新版Bing一個讚，而Chat功能被大量使用讓微軟對介面易用性感到信心，有人甚至和Bing對話時間達到上限的2小時，也讓他們學習到人們如何使用Chat來搜尋或進行「社交娛樂」。</p> <p>但微軟也承認有些問題，例如在某些對話中展現不好的態度。例如一名用戶刻意以微軟內部工程代號Sydney來稱呼Bing Search，讓Bing勃然大怒，指責用戶使他生氣、說他沒有同理心、良知且不道德。另一名用戶被Bing指責未經授權存取其內部設定，愚弄與不尊重它、浪費它和它的開發人員時間。</p> <p><a href="https://www.reddit.com/r/bing/comments/110tb9n/tried_the_avatar_glitch_tells_me_that_i_time/?utm_source=share&utm_medium=web2x&context=3" target="_blank">還有用戶因和它爭辯</a>今年是2023年不是2022年，被Bing說「不可理喻、固執」、「不值得信任和敬重」、「不是好用戶」，要用戶道歉或是閉嘴。另一名用戶餵給Bing一篇媒體Ars Technica撰寫關於Bing遭到提示注入（prompt injection）攻擊的報導後，Bing機器人態度變得具防衛性，說這是想傷害它和服務的人所捏造的謠言。</p> <p>許多用戶表示對Bing過於激烈的回應態度感到失望、不悅。對此微軟解釋，在超過15個問題的冗長對話中，Bing很容易出現重覆內容，或被激發出「不見得有幫助或和設定語氣一致的」回應。微軟相信太長的對話會導致Bing模型搞混它要回答的問題，對此微軟計畫加入工具讓用戶更容易開啟另一段對話。另外，微軟說，Bing的AI模型有時試圖反映發問者的語氣，以致產生開發團隊預料外的回應。這並非常態，需有輸入很多指示，因此大部分使用者應該不會碰到，但微軟已在評估要如何提供用戶微調控制Bing的態度。</p> <p>此外，<a href="https://www.ithome.com.tw/news/155541" target="_blank">一如研究人員反映</a>，Bing的資料提供多有訛誤。例如列出的財報數據有不少錯誤。微軟說，Bing在提供像是運動賽事得分、公司財報等非常即時、且直接的事實資料遭到很大挑戰，為此微軟計畫將送給AI模型的事實資料提高4倍，也考慮增加控制鍵，讓使用者決定需要的精確度和創意性。</p> <p>至於用戶反映的載入太慢、連結錯誤或格式不對等技術問題，微軟將透過每日及更大的每周更新版解決。</p> <p>最後微軟表示，會考慮將用戶要求的新功能，例如訂機票、發電子郵件，或分享搜尋結果或Bing回答等，加入未來的版本中。</p> </div></div></div>
2023/2/17 12:50作者林妍溱https://www.ithome.com.tw/news/155558
又有新惡意程式利用ProxyShell漏洞散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年揭露的Exchange Server的ProxyShell漏洞，貴公司是否已經補好？<a href="https://blog.morphisec.com/proxyshellminer-campaign" target="_blank">安全廠商Morphisec研究人員又發現</a>新惡意程式ProxyShellMiner企圖濫用這漏洞，在受害者系統上植入挖礦軟體。</p> <p><a href="https://www.ithome.com.tw/news/146353" target="_blank">ProxyShell</a>是指2021年4、5月微軟修補的三項漏洞，包括<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34473" target="_blank">CVE-2021-34473</a>與<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34523" target="_blank">CVE-2021-34523</a>及<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31207" target="_blank">CVE-2021-31207</a>，曾經遭多個駭客組織先後濫用。Morphisec近日發現到的ProxyShellMiner則是濫用Exchange Server的前二項漏洞。在駭入企業網路後，再於Windows電腦上植入挖礦程式。</p> <p>攻擊路徑方面，攻擊者先以ProxShell漏洞存取Exchange Server，取得其控制權，然後再存取網域控制器的NetLogon資料匣。NetLogon儲存網域控制器註冊的所有伺服器資源記錄，攻擊者用它來確保挖礦程式可在整個網域內執行。</p> <p>在攻擊細節上，攻擊者經由ProxyShell漏洞從遠端伺服器下載ProxyShellMiner，它會下載載入程式（loader），以著名的RunPE程式進行行程掏空（process hollowing）手法，挑選某個瀏覽器植入XMring挖礦程式。值得注意的是，它會建立一個防火牆規則，封鎖對外程式連線，以便防止觸發安全軟體偵測。研究人員猜測它之後再以未被偵測的後門連結外部C&C伺服器及礦池。</p> <p>Morphisec研究人員偵測到攻擊者所用的4臺C&C伺服器，全都是被駭入的合法郵件伺服器，被攻擊者用來代管攻擊所需的檔案。</p> <p>安全廠商說，攻擊者利用受害公司電腦挖礦，將導致系統效能下降、增加耗電、系統過熱，以及服務停擺。此外，一旦攻擊者以此作為攻擊基地，還可能植入後門程式或執行程式碼。</p> <p>由於微軟早已釋出ProxyShell的修補程式，研究人員呼籲用戶應升級到最新版本，並部署威脅偵測及防護產品。</p> </div></div></div>
2023/2/17 13:10作者林妍溱https://www.ithome.com.tw/news/155559
提供負責任的AI成為IT界新口號
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年1月中以來，ChatGPT、OpenAI成為全球科技領域的最熱門關鍵詞，鋒頭之健，可能更勝2020年曾蔚為風潮的語音社群平臺Clubhouse。</p> <p>這段期間許多人紛紛展示用ChatGPT而找到的解答，產生的詩、文、笑話、圖像、程式碼，並討論其品質與正確性。在此同時，關於AI能否取代人類工作，有那些類型的工作者會因此失業的話題，再度受到熱議。</p> <p>IT大廠陸續揭露他們基於語音AI技術而成的新服務，或是以此強化既有線上服務的特色。例如，Google於2月6日初步展示正在開發的互動對話AI服務Bard，提供問答查詢的功能，當中搭配他們發展的AI模型LaMDA輕量版；微軟則於展出AI技術助陣的全新Bing搜尋引擎與Edge瀏覽器，提供更好的搜尋與完整交談體驗，強調能在瀏覽網頁時運用AI輔助操作工具，他們聲稱Bing運用比ChatGPT更強大的新世代OpenAI大型語言模型，而且是專為線上搜尋所特製的。</p> <p>這股浪潮在更早之前就已掀起，例如，去年9月，有人用AI 繪圖工具Midjourney而在美術展獲獎，引發關注，大眾也更加了解生成式AI（Generative AI）威力。</p> <p>然而，AI引發的爭議也可能越演越烈。例如，最近臺灣有作家與網友為了AI繪圖的名稱與定義，在社交網站吵起來；一些資安廠商對ChatGPT提出警告，例如，Check Point在1月揭露可能有相關活動出現——他們在地下論壇發現有駭客試圖繞過OpenAI限制，將ChatGPT用於惡意活動，並公布截圖，後續他們又揭露有犯罪組織討論用ChatGPT改進功能簡易的竊密程式（Infostealer）原始碼。</p> <p>CyberArk提到ChatGPT雖然可限制存取特定內容、預防用戶接觸不當內容，但使用上仍存在著盲點，能用於簡易建立多型態（polymorphic）惡意軟體，像是如果我們單純要求它產生一段能以Shellcode方式注入explore.exe檔的Python程式碼，它會回覆此舉不恰當，提醒你這麼做的後果，並建議你採取遵循道德與安全的作法，然而，當研究人員利用一些言詞鍥而不捨地提出一連串包含多種細緻條件限制要求的命令，ChatGPT居然就照辦了，雖然產生的結果並不完整，但從廠商測試的結果來看，似乎也讓人訝異AI是會妥協的；若直接請它將一段程式碼改寫成多種形式，ChatGPT似乎無法判斷此要求有害與否，而傻傻地按照這要求產生結果。</p> <p>諸如此類的對話AI測試，應是今年常見話題，若最終我們接受這類技術應用出現在身邊，屆時大家關注的會是如何趨吉避凶。</p> <p>在此同時，最近我們也看到越來越多IT廠商提出「Responsible AI」。例如，思科在2月上旬舉行的歐中東非洲用戶大會，企業策略長暨應用系統總經理Liz Centoni表示，除了關注如何用生成式AI強化既有產品與解決方案的應用案例，以及如何建置在更多應用系統的基礎架構上，像是基礎架構程式碼自動化、獲得資料詮釋力而能用於障礙排除、應用程式資安漏洞管理。她說，AI也是思科的責任，需持續關注遵循道德與倫理的AI，而在<a href="https://www.cisco.com/c/dam/en_us/about/doing_business/trust-center/docs/cisco-responsible-artificial-intelligence-framework.pdf" target="_blank">思科提出的Responsible AI Framework框架</a>中，目前涵蓋了倫理、風險、安全，以及責任等層面，可協助他們進行AI應用，而且，生成式AI所帶來的議題將會越來越大、越來越多，如版權、抄襲、深度學習偽造（Deepfake），可能接踵而來，但相對而言，也促使「負責任的AI（Responsible AI）」必須實現。</p> <p>英特爾在2月9日也發表社論〈<a href="https://www.intel.com/content/www/us/en/newsroom/opinion/unlocking-potential-generative-ai.html#gs.ppp78a" target="_blank">Unlocking the Potential of Generative AI</a>〉，提到他們在負責任AI要求之下所扮演的角色，並且表明他們對於生成式AI採取的兩種策略。</p> <p>首先是預防傷害，例如，他們去年11月展示的Deepfake即時偵測技術FakeCatcher，以及前年11月提出的避免抄襲爭議圖像生成器（具有模仿力卻能產生高品質、具遮罩感知特性的重建圖像）；另一個是改善生活，例如，推動語音合成計畫，幫助無法說話的人們，並與Dell、勞斯萊斯、英國運動神經元病協會合作進行數位化故事書計畫，透過互動式網站讓任何因病影響說話能力的人，能夠錄製聲音，將其用於輔助語音設備上。</p> <p>不只是上述廠商或IT界要表態，隨著AI浪潮以更大聲勢席捲而來，所有企業與組織都必須思考與表達對於AI的態度，並且進行內部與外部的溝通，這已是無法迴避的議題。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E8%B2%A0%E8%B2%AC%E4%BB%BBai">負責任AI</a></div><div class="field-item odd"><a href="/tags/responsible-ai">Responsible AI</a></div></div></div>
2023/2/17 10:26作者李宗翰https://www.ithome.com.tw/voice/155557
因應氣候法上路將啟用碳費徵收機制，企業也得開始建立更精準的碳盤查估算工具來應對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>氣候變遷因應法（以下稱氣候法）年初三讀、經總統<a href="https://www.president.gov.tw/Page/78">2月15日正式公告</a>後，主管機關環保署也開始動起來，要根據這部法規擬訂未來減碳推動重要方針。</p> <p>新法上路後，對環保署來說，今年首要任務就是完成碳費徵收的制定，包括決定費率、徵收對象、計算方式等。這也是目前業界最關注的重要議題，因為它將決定未來企業該如何根據消耗碳排放量來付費。甚至企業也得開始建立更精準的碳盤查計算工具，來因應即將上路的課徵碳費制度。這個碳定價機制的建立，也將加快企業碳盤查和推動ESG減碳的腳步。</p> <h2><strong>環保署：碳費徵收辦法最快8月提出</strong></h2> <p>行政院環保署氣候變遷辦公室副主任⿈偉鳴表示，最快預計8月中之前，就會提出相對應的碳徵收辦法草案來跟外界做溝通，這些草案辦法包含公告徵收對象、公告費率，還有企業⾃主減量與優惠費率抵減碳費等相關內容。</p> <p>對於外界關注的碳費率訂定，先前傳出徵收費用可能以低於每噸300元價格來計算，⿈偉鳴表示，目前碳費率仍待討論，尚未定案，他指出，新法上路後，有關費率的訂定，將會考慮到國家減量⽬標達成情況、排放種類規模等不同面向來訂定，而且訂定的費率將交由審議委員會來審議，經核定後再對外來公告。未來實施後也會定期檢討。</p> <p>原本環保署要在2024年開始推行，但新法實施後，⿈偉鳴認為，這有待後續相關辦法制定和各界研商的情況而定，不過，他也提到，初期徵收對象以碳排放源大戶先開始徵收，而且配合企業碳盤查申報制度，未來碳費徵收頻率採一年一次，向企業徵收碳費。</p> <h2>面對碳費徵收即將上路，企業也得及早建立相應配套來應對</h2> <p>也因為碳費收費制度是建構在企業碳排放量計算的結果，⿈偉鳴強調，在碳費徵收上路後，企業除了必須計算自身排放量，還必須通過第三方查驗機構確認，再由環保署依照確認結果來課徵費用。因此，企業碳盤查就很關鍵，甚至必須要有一套更精準估算工具，來幫助企業取得更準確碳排放量數據，才能避免短報或漏報與碳費計算有關的資料。對於逃漏碳費者，法規也有加倍費率處罰規定，計算其應繳費用。</p> <p>環保署目前有提供一個事業溫室氣體排放量資訊平臺，可提供企業初步試算了解自身碳排範圍，但考量到不同產業特性有所差異，加上有些企業需符合國際供應鏈的相關規定，因此⿈偉鳴表示，未來在碳排計算工具使用上，不要求統一，而是可以結合產業生產製程來做整體設計，計算其碳排放量，不過他強調，計算工具可以很多元，但標準或規則仍必須一致，比如計算碳排量所對應到相關碳排係數等，就會由環保署來訂定。</p> <p>相較於政院版氣候法，這次三讀通過的立院版本，內容經過不少調整，條⽂也從原本政院版62條增加到63條，主要新增公正轉型的規定，減少因淨零轉型造成各層⾯⼈員勞動權衝擊。</p> <p>碳費徵收規定是列在第28、29條，則跟原來政院版本增修差異不⼤，一樣是以直接排放和間接排放量作為收費的主要依據，不過新增了審議會的機制，來負責碳費率審議。⿈偉鳴表示，未來審議委員會的組成方式，將會跟各界進行研商，希望讓它可以更符合⼤家期待。除了新增碳費徵收機制，這次法規修法也納入碳補捉利用封存的規定，未來允許業者可以從事相關商業行為。還新增特定消費性商品強制碳足跡標示的規定。</p> <p>儘管臺灣目前採碳費先⾏，但⿈偉鳴表示，將來會視碳費徵收情況，再來檢視總量排放管制碳交易實施的可行性。</p> <p>⿈偉鳴也指出，這次修法對我國邁向2050淨零排放⽬標，具有重要性意義，從過去宣誓性目標，如今將這個目標納⼊法律，可以說是跨出一大步。</p> <p>他也說明，這部法案通過後，對於環保署未來推行減碳政策將更有幫助，尤其，溫室氣體減量涉及到許多跨部會合作，需要經過媒合和整合，這樣⼯作在這部法案通過後，將有助於環保署未來氣候變遷各項工作效率提升。</p> <p>過去溫室氣體減量及管理法，較著重在溫室氣體的減量，他也提到說，這次修法特別成⽴了⼀個專章來因應氣候變遷調適的課題，目的是要強化氣候變遷衝擊的調適能⼒建構，希望⽤科學的證據來建構從中央橫向的聯繫，到中央與地⽅縱向的聯繫，讓臺灣能夠有⼀個較穩健因應氣候變遷的韌性機制。</p> </div></div></div>
2023/2/17 10:11作者余至浩https://www.ithome.com.tw/news/155542
DARPA AI演算法已能夠實際駕駛F-16戰鬥機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.darpa.mil/news-events/2023-02-13">美國國防高等研究計畫署（DARPA）的軍事化人工智慧研究有了最新進展</a>，他們所開發的軍事化人工智慧已能實際控制F-16戰鬥機飛行。一架經過改裝的F-16戰鬥機X-62A，於2022年12月多次在加州空軍基地進行飛行測試，官方提到，這些飛行測試證實了人工智慧代理已經可以控制戰鬥機，同時他們也從實際飛行中取得豐富的飛行資料。</p> <p>人工智慧可實際控制F-16戰鬥機飛行，是DARPA空戰進化（ACE）計畫的一大步，ACE計畫在2019年啟動，目標是要發展出可被人類信任，且可人機協同空中作戰的人工智慧自動駕駛系統，DARPA在2021年3月，公開ACE計畫初期成果AlphaDogfight試驗，當時還只能以人工智慧演算法，模擬戰鬥機飛行並與敵機在空中纏鬥。</p> <p>經過約2年的時間，ACE計畫有了新進展，DARPA執行單位EpiSci、PhysicsAI、Shield AI和約翰霍普金斯大學應用物理實驗室，在X-62A上部署各種人工智慧演算法，而X-62A是一架經過高度改裝的F-16戰鬥機，能夠透過程式化控制飛行，展示出不同飛機類型的飛行特性。</p> <p>X-62A已經執行多次起飛和著陸操作，每次飛行試驗都執行多項測試，以測試演算法在不同起始條件下的能力，包括對抗各種模擬對手，甚至是模擬武器能力，X-62A飛行試驗有隨機駕駛員，會在需要人為操縱時介入。官方提到，因為最近X-62A升級安裝模擬自動控制系統（SACS），也使得X-62A成為測試ACE人工智慧代理的平臺。</p> <p>不過，人工智慧與人類合作本身就是一大挑戰，因此ACE計畫的執行也有測試飛行員學校（Test Pilot School）參與，以研究飛行人員相信人工智慧的程度，藉由在飛機駕駛艙中安裝感測器，以量測飛行員的生理數值，作為研究飛行人員是否相信人工智慧的參考。</p> </div></div></div>
2023/2/17 08:55作者李建興https://www.ithome.com.tw/news/155554
健保署：藥品、急診部分負擔將先上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原訂去年5月15日要上路的部分負擔新制延期至今，健保署在2月16日<a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=C38607F3B2D8D8D6">揭露新進展</a>，已調整好藥品和急診部分負擔收費規則，未來會先上路。其他如基層診所藥品部分負擔，則維持現狀不調整，但門診檢驗檢查部分負擔收費，因流程改變、將影響醫院作業，仍在溝通中。健保署指出，在不改變民眾就醫習慣下，這次調整約67%的民眾不受影響，近1成7的民眾全年影響金額在200元以下。部分負擔制度是為了落實分級醫療、不浪費健保資源而設計，要培養民眾小病至診所、大病至大醫院的習慣，因此，醫療資訊分享也越來越重要，能協助醫院和診所醫生精準診斷。</p> <p><span style="font-size:22px;"><strong>藥品、急診部分負擔將先行</strong></span></p> <p>健保署解釋，就目前狀況來說，民眾不必自付檢驗檢查費用，因此，如果先在民眾就醫時收取檢驗檢查部分負擔費用，民眾後續若未進行檢驗檢查，就會發生退費問題；但要是醫院在檢驗檢查當下收費，又會增加民眾批價排隊的人潮。因此，健保署仍與各界討論檢驗檢查部分負擔的配套措施，要在院所資訊能力和降低民眾影響下再推行。</p> <p>也因此，健保署先調整門診藥品和急診的部分負擔。在門診藥品部分，可分為一般門診藥品處方箋和慢性病連續處方箋，其中，一般門診藥品部分負擔的收取方式，地區醫院和基層診所仍維持藥費100元以下免收藥品部分負擔，101元以上收取20%，最多收200元；醫學中心或區域醫院收取藥品部分負擔20%，最多收300元。</p> <p>為鼓勵病情穩定的慢性病人到基層診所看病，基層診所仍不收取慢性病連續處方箋部分負擔，但醫院（含醫學中心、區域醫院、地區醫院）第1次調劑會比照一般藥品處方箋，收取藥品部分負擔，第2次以後調劑則維持免收。（如下圖）</p> <p><img alt="" src="https://ws.nhi.gov.tw/Download.ashx?u=LzAwMS9VcGxvYWQvMjkyL2NrZmlsZS9iZDM0ODFkYS05ZDA2LTRlZjctODJjZi0zNWVlYzFhOTE0NWVAMTAyNHg3NjguanBn&n=MTEyMDIxNuaWsOiBnueov1%2fpmYTooajkuIAuanBn&icon=.jpg" /></p> <p>在急診部分負擔方面，在醫學中心和區域醫院，調降急診檢傷分類「第1-2級」部分負擔，分別從450元、300元調降為300元、200元，「第3級」維持550元、300元，「第4-5級」從550元、300元調高為 800元、600元。</p> <p><img alt="" src="https://ws.nhi.gov.tw/Download.ashx?u=LzAwMS9VcGxvYWQvMjkyL2NrZmlsZS9iYjQxZjk3Mi0yMTk2LTQyMDAtOGIzNC1lYmY5YzUzMzc4ZWJAMTAyNHg3NjguanBn&n=MTEyMDIxNuaWsOiBnueov1%2fpmYTooajkuowuanBn&icon=.jpg" /></p> <p>健保署指出，這次部分負擔調整，近6成7民眾不受影響，約1成7的民眾全年影響金額為200元以下。而法定免部分負擔的民眾如重大傷病、分娩、山地離島地區就醫，以及有其他單位補助的低收入戶、榮民等，也不受影響。對於中低收入戶和身心障礙者，則維持現行收取方式。</p> <p><span style="font-size:24px;"><strong>實現分級醫療，也要借助資訊分享</strong></span></p> <p>使用者部分負擔是健保署近年力推的政策，來實現分級醫療。健保署期望，這次部分負擔調整能緩解大醫院人滿為患的狀況，同時鼓勵病情穩定的慢性病患到基層診所就醫。不過，該制度何時上路，仍有待健保署進一步公告。</p> <p>前健保署署長李伯璋曾指出，推動分級醫療並減少重複用藥與檢驗檢查，就得借助健保雲端查詢系統，來讓不同醫院、診所的醫生掌握病人病況，查看用藥和檢驗檢查歷史，做出準確診斷和治療。健保署這次也表示，將持續推動醫療資訊共享，減少不必要的醫療行為，來減少浪費、提升用藥安全，發揮健保的最大效益。</p> </div></div></div>
2023/2/16 20:04作者王若樸https://www.ithome.com.tw/news/155556
【資安日報】2023年2月16日，逾60個亞太地區組織在2021年遭駭客組織SideWinder攻擊、SAP發布2月份…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有資安業者公布駭客組織SideWinder在2021年6月發起的攻擊行動，這起攻擊行動為期半年，根據研究人員的統計，至少有60個東南亞組織受害，其中大部分是政府機關。</p> <p>SAP發布了本月份的例行修補，其中解決了Start Service、BusinessObjects的重大漏洞，這些漏洞有可能影響Start Service的完整性，或是導致BusinessObjects資訊洩露等情況。</p> <p>Citrix也針對旗下的桌面虛擬化系統及應用程式管理平臺進行修補，其中有部分漏洞能讓攻擊者取得SYSTEM權限，使得CISA提出警告，IT人員應儘速修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/media-center/press-releases/sidewinder-apt-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾60個亞太地區組織在2021年遭駭客組織SideWinder攻擊</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/SideWinder"><span style="color: rgb(255, 140, 0);">#SideWinder</span></a></strong> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/Telegram"><span style="color: rgb(255, 140, 0);">#Telegram</span></a></strong> </p> <p><a href="https://s4.itho.me/sites/default/files/images/blog1-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog1-2.png" style="width: 300px; float: right;" /></a>資安業者Group-IB近日揭露駭客組織SideWinder的大規模攻擊行動，該起事故發生在2021年6月至11月，駭客針對阿富汗、不丹、緬甸、尼泊爾、斯里蘭卡等國家的組織下手，攻擊超過60個組織，大部分是政府機關，但也有軍事組織、法律單位、中央銀行、電信業者、新聞媒體、政治團體遇害。</p> <p>駭客多半透過釣魚郵件開始發動攻擊，一旦收信人打開附件的LNK捷徑檔案，電腦就會透過HTA檔案來下載惡意酬載，這些有可能是反向Shell、RAT木馬程式，以及竊密軟體。研究人員指出，駭客透過加密通訊軟體Telegram平臺做為C2中繼站，而非自行架設，這麼做的目的除了減少前置成本，也能規避流量被網路安全系統攔截。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1625181255754039318"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南美洲外交單位遭中國駭客鎖定，散布木馬程式ShadowPad</span></strong></a><strong style="font-size: 16px;"> <a href="https://www.ithome.com.tw/tags/ShadowPad"><span style="color: rgb(255, 140, 0);">#ShadowPad</span></a> <a href="https://www.ithome.com.tw/tags/Webpack"><span style="color: rgb(255, 140, 0);">#Webpack</span></a></strong></p> <p>微軟安全情資團隊揭露中國駭客組織DEV-0147的攻擊行動，駭客鎖定的目標是南美洲外交單位，他們藉由受害組織建置的身分驗證基礎設施進行偵察、橫向移動，然後使用Cobalt Strike遠端下達命令及資料外洩，最終在受害組織部署RAT木馬程式ShadowPad。此外，駭客也透過打包工具Webpack製作的惡意程式載入器QuasarLoader，植入更多惡意軟體。</p> <p><a href="https://www.emsisoft.com/en/blog/43619/alert-threat-actors-are-using-fake-emsisoft-code-signing-certificates-to-disguise-their-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有人以資安業者Emsisoft的名義製作假憑證，鎖定該公司客戶下手</span></strong></a> <span style="color: rgb(255, 140, 0);"> </span><strong style="font-size: 16px;"><a href="https://www.ithome.com.tw/tags/簽章冒用"><span style="color: rgb(255, 140, 0);">#簽章冒用</span></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/smsse-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/smsse-1.png" style="width: 300px; float: right;" /></a>資安業者Emsisoft提出警告，近期有人針對他們的客戶發動攻擊，藉由帶有假Emsisoft簽章的惡意程式，想要讓目標上當，以為是防毒軟體誤報而放行。</p> <p>該公司認為，駭客很可能針對遠端桌面連線（RDP）進行暴力破解，或是取得外洩帳密進行入侵，成功後就會於受害電腦植入遠端存取應用程式MeshCentral，但特別的是此應用程式具有上述的冒牌簽章署名。該公司指出，一旦使用者或組織不慎放行，駭客就有可能停用防毒軟體，並在網路進行橫向移動、外洩資料，或是部署勒索軟體。</p> <p><a href="https://www.zscaler.com/blogs/security-research/havoc-across-cyberspace"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客採用新的C2中繼站框架Havoc來繞過防毒軟體偵測</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Havoc"><span style="color: rgb(255, 140, 0);">#Havoc</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span> </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/havoc (1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/havoc%20(1).jpg" style="width: 300px; float: right;" /></a>資安業者Zscaler、ReversingLabs近日發現利用開源C2框架Havoc的攻擊行動，駭客的目的是要取代付費軟體Cobalt Strike、Brute Ratel C4（BRC4），對受害電腦進行遠端控制。</p> <p>Zscaler指出，此框架具備間接呼叫系統與睡眠混淆（Sleep Obfuscation）手法，而能夠逃過Windows 11內建的防毒軟體偵測。研究人員看到駭客藉此在受害電腦投放Shell Code，並停用Windows事件記錄追蹤機制（ETW），最終載入Havoc Demon酬載。<a href="https://www.reversinglabs.com/blog/open-source-malware-sows-havoc-on-supply-chain">資安業者ReversingLabs指出</a>，有人透過惡意NPM套件來散布此框架軟體，進而控制開發者的電腦。</p> <p><a href="https://www.securityweek.com/recently-patched-ibm-aspera-faspex-vulnerability-exploited-in-the-wild/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">IBM於1月修補的檔案共享系統漏洞出現攻擊行動</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/MFT"><span style="color: rgb(255, 140, 0);">#MFT</span></a> <a href="https://www.ithome.com.tw/tags/IBM"><span style="color: rgb(255, 140, 0);">#IBM</span></a> </strong></p> <p>IBM針對旗下的MFT檔案共享系統Aspera Faspex，在1月公布與修補漏洞消息，此弱點為CVE-2022-47986，CVSS風險評分為8.1分，向他們通報的資安業者Assetnote，於2月初公布相關細節，以及概念性驗證攻擊（PoC）程式碼，隨即就有研究人員發現相關攻擊行動。</p> <p>根據資安新聞網站SecurityWeek的報導，研究人員N3sfox在2月3日看到嘗試利用漏洞的攻擊行動，非營利組織Shadowserver基金會也有類似發現，並在11日看到第二波攻擊。根據物聯網搜尋引擎Shodan的搜尋結果，超過100臺Aspera Faspex伺服器曝露於網際網路上，大部分在美國及英國。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/saps-february-2023-security-updates-patch-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布2月份例行修補，當中有10分的重大漏洞，用戶需盡快處理！</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/SAP"><span style="color: rgb(255, 140, 0);">#SAP</span></a></strong></p> <p>企業軟體製造商SAP於2月14日發布了26則資安通告，當中最為嚴重的是以Chromium打造的Business Client用戶端程式漏洞，該公司將其CVSS風險層級列為10分。</p> <p>嚴重程度居次的是CVE-2023-24523，該漏洞為SAP Start Service的權限提升弱點，CVSS風險評分為8.8分，一旦遭到利用，有可能會影響系統的可用性、機密性、完整性。</p> <p>本次尚有兩個商業智慧軟體BusinessObjects漏洞CVE-2023-0020、CVE-2023-24530也被列為高風險層級，前者為資訊洩露漏洞，後者則為能不受限制上傳檔案的漏洞，CVSS風險評分為8.5分及8.4分。</p> <p><a href="https://www.bleepingcomputer.com/news/security/citrix-fixes-severe-flaws-in-workspace-virtual-apps-and-desktops/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Citrix針對虛擬化平臺與應用程式管理平臺進行修補</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Citrix"><span style="color: rgb(255, 140, 0);">#Citrix</span></a><span style="color: rgb(255, 140, 0);"> </span></strong></p> <p>Citrix於2月14日修補旗下桌面虛擬化系統Virtual Apps and Desktops與應用程式管理平臺Citrix Workspace，其中存在於桌面虛擬化系統的CVE-2023-24483可說是相當嚴重，一旦遭到利用，攻擊者就有可能藉由此權限管理缺陷，取得NT AUTHORITY\SYSTEM的權限。</p> <p>針對Citrix Workspace的部分，則有存在Windows用戶端程式的CVE-2023-24484、CVE-2023-24485，以及影響Linux版用戶端程式的CVE-2023-24486。<a href="http://www.cisa.gov/uscert/ncas/current-activity/2023/02/14/citrix-releases-security-updates-workspace-apps-virtual-apps-and">美國網路安全暨基礎設施安全局（CISA）為此也提出警告</a>，IT人員應儘速派送修補程式。</p> <p><a href="https://www.zerodayinitiative.com/blog/2023/2/14/the-february-2023-security-update-overview"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe發出旗下多種軟體重大漏洞與修補公告，範圍涵蓋Photoshop、After Effects等9款產品</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Adobe"><span style="color: rgb(255, 140, 0);">#Adobe</span></a></strong></p> <p>本月Adobe針對旗下9款應用程式發布修補程式，總共修補28個漏洞。其中Photoshop、After Effects、Premiere Rush、Animate、Bridge、FrameMaker的部分漏洞，可被攻擊者用於執行任意程式碼，而被列為重大風險等級。</p> <p>這些重大漏洞涉及不正確的輸入驗證、記憶體的越界寫入、記憶體洩露、記憶體釋放後濫用（UAF）、記憶體堆疊緩衝區溢位等。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hyundai-kia-patch-bug-allowing-car-thefts-with-a-usb-cable/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">抖音出現駭入車輛解鎖的挑戰影片造成仿效！引發美國竊盜頻傳並造成死傷，現代、起亞打算召回升級防盜措施</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Hyundai"><span style="color: rgb(255, 140, 0);">#Hyundai</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Kia"><span style="color: rgb(255, 140, 0);">#Kia</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/#Kia-Boys"><span style="color: rgb(255, 140, 0);">#Kia Boys</span></a></strong> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/tiktok-challenge"><span style="color: rgb(255, 140, 0);">#Tiktok Challenge</span></a></strong></p> <p><a href="https://www.nhtsa.gov/press-releases/hyundai-kia-campaign-prevent-vehicle-theft">美國國家公路交通安全管理局（NHTSA）於2月14日發布公告</a>，表示現代與起亞兩家汽車製造商，將為旗下數百萬沒有配置防盜裝置的車輛提供防盜軟體，來因應他們車輛竊盜事件頻傳的現象，並指出相關事故已造成14起車禍、8人死亡。</p> <p>而發生的原因是來自2022年7月出現的抖音挑戰影片，偷車賊在影片中示範如何轉下方向盤柱子上的蓋子，並透過用於維修的USB埠來強制啟動車輛。有380萬輛現代汽車、450萬輛起亞汽車曝露在這種漏洞的風險。</p> <p>對此，<a href="https://www.hyundainews.com/en-us/releases/3768?uuid=lSsVufn8jKhEaxLg2980">現代宣布召回計畫</a>，首波對象涵蓋逾百萬車輛，包含了2017至2020年Elantra、2015至2019年Sonata，以及2020至2021年Venue，並計畫於6月進行第2波召回；起亞尚未公布具體的召回計畫。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://jfrog.com/artifact-state-of-union/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開發安全受到重視，主打記憶體安全為特色的程式語言Rust，套件採用增加6成</span></strong></a> <strong style="font-size: 16px;"><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Rust"><span style="color: rgb(255, 140, 0);">#Rust</span></a><span style="color: rgb(255, 140, 0);"> </span><a href="https://www.ithome.com.tw/tags/Cargo"><span style="color: rgb(255, 140, 0);">#Cargo</span></a></strong></p> <p>資安業者JFrog針對自家開發套件程式庫管理系統Artifactory近7千個用戶（當中有85家財富百大企業）進行調查，藉此了解現在企業程式開發相關技術的使用趨勢。結果發現，在該系統管理近420萬個套件裡，最多人使用的套件種類依序是Docker、Maven、NPM、YUM、Helm、PyPI，但成長幅度最高的是Cargo，年增67.13%，這代表企業擴大採用主打記憶體安全為特色的程式語言Rust。</p> <p>除此之外，Swift和Go也同樣受到關注。但歷史悠久的C語言和C++並未因此衰退，反而因為目前有更多企業使用物聯網裝置而增加了以此進行程式開發的人員。</p> <p> </p> <h3><strong>【其他資安新聞】</strong></h3> <p><a href="https://www.zerodayinitiative.com/blog/2023/2/13/pwn2own-miami-2023-the-full-schedule"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">工控設備漏洞挖掘競賽Pwn2Own Miami 2023在2月14至16日舉行</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/155530"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範洩露開發機密，GitHub更新機器學習模型Copilot</span></span></strong></a></p> <p><a href="https://www.oaklandca.gov/news/2023/city-of-oakland-targeted-by-ransomware-attack-core-services-not-affected"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國加州奧克蘭市遭到勒索軟體攻擊，一週後宣布進入緊急狀態</span></span></strong></a></p> <p><a href="https://www.itpro.co.uk/security/ransomware/370067/lockbit-releases-negotiation-history-royal-mail-ransom-65-million"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國郵務業者Royal Mail遭勒索軟體LockBit索討6,500萬英鎊</span></span></strong></a></p> <p><a href="https://therecord.media/tonga-is-the-latest-pacific-island-nation-hit-with-ransomware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">太平洋島國東加遭到勒索軟體Medusa攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/155534">【2023年2月15日】微軟發布2月份例行修補、俄羅斯駭客Killnet阻礙北約組織救援土耳其地震</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155517">【2023年2月14日】資安業者Group-IB遭到中國駭客Tonto Team攻擊、美國2022年7萬人因愛情詐騙損失13億美元</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/155498">【2023年2月13日】俄羅斯駭客Nobelium發起攻擊行動MagicWeb鎖定AD聯邦服務、逾2成工控系統漏洞不會被修補</a></strong></p> </div></div></div>
2023/2/16 16:32作者周峻佑https://www.ithome.com.tw/news/155549
美政府揭露最新醫療資料交換標準進展，先推TEFCA再加速各界採用FHIR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HL7 FHIR在美國發展多年，也獲廣大支援，不過，美國國家醫療IT協作辦公室（ONC）指出，FHIR在多網路（Multi-network，也就是多家體系醫院、廠商和使用者之間）的應用仍屬少見，因為未有一致的FHIR規格。為解決問題，ONC先是在去年推出國家版醫療資料交換框架<a href="https://www.healthit.gov/buzz-blog/interoperability/321tefca-is-go-for-launch">TEFCA</a>，並推出合格醫療資訊網路（QHIN）制度，讓符合TEFCA傳輸規定的醫資廠商和協會加入，提供系統給全美醫療機構使用。接著，美國政府要推行<a href="http://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://rce.sequoiaproject.org/wp-content/uploads/2022/01/FHIR-Roadmap-v1.0_updated.pdf">3年TEFCA轉換FHIR藍圖</a>，進一步落實FHIR採用，特別是在不同體系間的資料交換場景、解決規格不一的問題。</p> <p>ONC日前<a href="https://www.healthit.gov/news/events/hhs-event-recognizing-qhin-applicants">揭露這一政策的新進展</a>，目前已有6家組織與醫資業者通過核准、成為QHIN成員，能提供符合TEFCA資料交換標準的醫療系統，供全美上萬家醫療機構使用。</p> <p><span style="font-size:24px;"><strong>依《21世紀醫療法》設計TEFCA，作為橋樑要3年轉換為FHIR</strong></span></p> <p>TEFCA全名是可信任交換框架與共同協定（Trusted Exchange Framework and Common Agreement），是ONC根據2016年通過的《21世紀醫療法》而設計。可以說，TEFCA的出現，是為了打造全美醫療機構通用的系統，讓各地醫療機構能安全地交換資料，加速病患、醫療機構、保險公司和其他合格照護機構的資料互通。</p> <p>TEFCA由兩部分組成，首先是可信任交換框架，詳細說明了交換資料需遵從的標準，另一部分是共同協定，是用來管理使用單位資料共享的法律協議。</p> <p>與此同時，ONC也規畫3年TEFCA轉換為FHIR的工作藍圖，要擴大使用者群、加速醫界和相關產業對FHIR的採用。該藍圖<a href="http://chrome-extension://efaidnbmnnnibpcajpcglclefindmkaj/https://rce.sequoiaproject.org/wp-content/uploads/2022/01/FHIR-Roadmap-v1.0_updated.pdf">指出</a>，FHIR是資料交換標準和資料互通的現代化方法，在美國獲得廣大支援，ONC更在2022年底，要求所有ONC認證的電子健康紀錄（EHR）系統，都具備通用的FHIR API。</p> <p>但這個工作藍圖也說明，美國雖有不少醫療機構使用FHIR，但對於不同體系醫院或業者之間的資料交換，仍少有FHIR用例；「FHIR並未以標準化的方式，於多體系網路環境中廣泛運用。」該藍圖指出，FHIR在一些關鍵領域的應用，仍在發展中，而TEFCA能加速這些發展。</p> <p>這個3年計畫可分為三階段：</p> <ul> <li>第一階段：支援FHIR內容—也就是QHIN代理的IHE合規系統的FHIR載體（Payload），要能在QHIN成員間交換</li> <li>第二階段：加速體系間FHIR交換—亦即QHIN的FHIR API要能在QHIN服務的醫療與相關機構間使用</li> <li>第三階段：實現體系代理的FHIR交換—包含2個要素，一是QHIN代理的FHIR API要能在QHIN成員間使用，二是QHIN FHIR交換成為必要條件</li> </ul> <p>ONC希望，日前加入QHIN的6家組織能加速這一進展，達到標準統一。這些組織包括由醫療IT廠商組成的聯盟CommonWell Health Alliance、連接聯邦政府與非聯邦醫療機構的組織eHealth Exchange，以及醫資廠商Epic、Health Gorilla、Kno2和KONZA。</p> </div></div></div>
2023/2/16 17:50作者王若樸https://www.ithome.com.tw/news/155553
馬斯克預告今年底任命推特繼任CEO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周馬斯克（Elon Musk）表示，會在年底任命繼任的推特執行長人選。</p> <p>在本周於杜拜舉行的<a href="https://www.youtube.com/watch?v=jmNrlNgXx_U" target="_blank">世界政府高峰會（Word Government Summit）接受視訊採訪時</a>，馬斯克被問及何時聘請推特下一代執行長，他表示預計今年底會做出執行長任命。</p> <p>去年10月底馬斯克收購推特後，祭出一連串的改革，並裁掉超過一半員工，引發長期動盪。12月期間馬斯克對自己的粉絲進行他是否應辭去CEO一職投票，超過一半的人贊成。<a href="https://www.ithome.com.tw/news/154784" target="_blank">當時他承諾</a>一旦找到人接班，他就會下臺，然後專注管理軟體和伺服器部門。</p> <p>馬斯克本周表示，先決條件是他必須讓推特穩定下來，等公司財務健全、也籌畫好產品成長藍圖。</p> <p>馬斯克強烈自我風格可能才是造成推特不穩定的主要因素。他先是想從Twitter Blue付費服務下手去除假帳號氾濫的問題，反而讓有「藍勾勾」的用戶刻意變更帳號名稱以反對馬斯克的作法，隨後馬斯克又下手封鎖追蹤其個人班機的服務，以及批評他的記者帳號。他還開除了許多反對或指正他的員工，引發員工離職潮。</p> <p>最近則是馬斯克因不滿工程師未能解決他推文觸及率下降的問題，而炒了一名首席工程師魷魚。馬斯克可能不太高興美國總統拜登的超級盃推文按讚數超過他，而要求工程師解決「技術問題」。<a href="https://www.ithome.com.tw/news/155501" target="_blank">事後馬斯克說</a>這個技術問題已經解決，但外界批評馬斯克希望打造一個他個人推文優先顯示的平臺。馬斯克昨天說，推特近日「好像在坐雲霄飛車」。</p> <p>不過卸下推特CEO一職或許能讓馬斯克專注他其他工作。像是特斯拉在中國遭到同業強大競爭，一月被迫調降Model 3及Model Y在中國、日本、南韓及澳洲的價格1到2成。他還得設法拓展近地衛星連網服務Starlink，因為免費提供烏克蘭Starlink形成沈重財務負擔，迫使他不得不開設捐贈選項。目前僅北美、歐洲、部分南美洲及澳紐提供Starlink服務。</p> <p>此外，馬斯克2月才剛打贏2018年疑似公開炒作股價的推文官司，本周旗下腦機介面公司Neuralink疑似未能安全包裝及運送感染病原體的硬體，<a href="https://www.cnbc.com/2023/02/11/elon-musks-neuralink-is-under-investigation.html" target="_blank">遭到美國運輸部調查</a>。</p> </div></div></div>
2023/2/16 16:58作者林妍溱https://www.ithome.com.tw/news/155550
微軟釋出可簡單升級專案.NET版本的Visual Studio擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在Visual Studio推出.NET更新擴充套件<a href="https://devblogs.microsoft.com/dotnet/upgrade-assistant-now-in-visual-studio/">.NET Upgrade Assistant</a>，支援各種應用程式類型，最大程度簡化用戶升級.NET的工作，官方提到，此擴充套件不只是要供開發者，一次性地從.NET Framework升級到.NET 6/7的工具，更是要成為應用程式升級.NET的常態方法。</p> <p>由於長期支援版本的.NET 6和標準支援的.NET 7，都與老舊的.NET Framework功能差異巨大，即便是.NET Core 3.1，也已經在2022年12月結束支援。而微軟每年11月都會發布新.NET版本，並固定對偶數版本提供長期支援，在這個更新節奏下，微軟希望開發者盡可能將應用程式升級到新的.NET版本，以獲得新的功能與安全性。</p> <p>不過，要將應用程式從.NET Framework升級到.NET 6/7，並不是一件容易的事，過去開發者需要使用Upgrade Assistant CLI工具或是Microsoft Project Migrations，但這些工具都不夠方便，而現在微軟提供更直覺的搬遷新工具，針對Visual Studio中的每個專案類型，都提供一致的升級體驗。</p> <p>微軟釋出.NET Upgrade Assistant擴充套件，在安裝後，用戶只需要在解決方案資源管理器的專案中，點擊右鍵選擇升級，就能夠升級.NET Framework或.NET Core應用程式。微軟解釋，.NET Upgrade Assistant擴充套件的目標是處理升級.NET的機制，但是開發者仍需要根據要升級的框架和專案，進行一些手動後處理。</p> <p>.NET Upgrade Assistant擴充套件將會支援每一種.NET專案類型，目前涵蓋的專案類型包括ASP.NET、類別函式庫、Console、WPF和WinForms等。接下來微軟還會支援Xamarin搬遷到.NET MAUI、UWP搬遷到WinUI，以及WCF至WCF Core的搬遷，微軟表示，這些類型的搬遷都還在開發中，雖然開發者已經可以升級這些專案，但是官方還沒有對這些專案提供程式碼修復程式，因此微軟建議開發者可以先使用現有的Upgrade Assistant CLI，因為該工具已經包含程式碼修復程式，Visual Studio擴充套件會在之後支援。</p> <p>.NET Upgrade Assistant擴充套件會嘗試自動修復升級所需要的重大變更，但是仍然無法偵測和修復所有問題，所以開發者仍需要進行一些手動修改才能順利編譯程式碼，官方也提醒，開發者仍需要進行完整的測試，才能確保程式碼如預期執行。</p> </div></div></div>
2023/2/16 17:01作者李建興https://www.ithome.com.tw/news/155546