iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【中鋼5G專網應用3】以5G大頻寬、低延遲打造AR導覽新體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色1 </span></span> <span style="color:#3399ff;">戴上AR眼鏡導覽虛擬產線</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>因熱軋產線工作繁重，傳統的人工導覽進入現場，增加工作負擔，且產線長、環境吵雜，影響參訪品質，中鋼打造虛擬產線，利用5G的高速、低延遲，讓參訪者戴上AR眼鏡，就能看到整條虛擬產線，即時的互動導覽，降低現場人工導覽的工作負擔。</strong></span></p> <p class="rtecenter"><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色2 </span></span> </strong><span style="font-size:28px;"><span style="color:#3399ff;"><strong>虛擬產線的AR導覽畫面</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>戴上AR眼鏡後，可以擴增實境的方式瀏覽整條虛擬的熱軋產線，導覽特定設備的生產說明，例如粗軋的製程說明、設備資訊等等，未來AR眼鏡還可作為新進人員訓練之用。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／中鋼</span></p> <p class="rtecenter"><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色3 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>使用平板電腦導覽虛擬產線</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-3.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>由於AR眼鏡成本較高，也能透過平板電腦來瀏覽虛擬產線，以觸控方式隨意移動瀏覽虛擬產線，放大瀏覽某個生產設備的細節，觀看導覽影片的說明介紹。</strong></span></p> <p class="rtecenter"><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色4 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>虛擬產線未來可發展數位分身</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A83-4.png" style="width: 600px;" /></p> <p><strong><span style="font-size:20px;">目前虛擬產線的導覽，模擬鋼胚在不同生產過程，中鋼表示加上物理模型，連結實體產線數據，未來可發展為產線數位分身，模擬產線調整對產能帶來影響，向數位工廠更進一步。</span></strong></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:44作者蘇文彬https://www.ithome.com.tw/news/156611
【中鋼5G專網應用4】以5G AIoT即時監控產線改善生產良率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>熱軋產線上的加熱爐</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A84-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>熱軋產線從保溫坑、加熱爐開始，鋼胚經過粗軋、精軋、盤捲等一連串的過程，為了動態監控鋼胚在生產過程中是否出現異常，導致產線設備停止運作或設備損壞，中鋼與廠商合作，在第二熱軋鋼帶工廠打造5G SA專網，應用在產線上，利用攝影機拍下鋼胚的即時畫面，經5G專網將影像送到靠近產線的機房，由AIoT伺服器的模型辨識，自動判別鋼胚異常與否，再將結果送回平板電腦。此外，中鋼也將這個應用推到鋼帶的監控上，用以監控鋼帶在生產過程中是否出現位置偏移，一旦發現偏移，及早調整改善，避免最終產品成為不良品，透過AI輔助監控，降低現場人員的工作負擔，同時提升產品的良率。</strong></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>利用AI判別鋼胚異常</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A84-2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>在生產過程中，以攝影機拍攝粗軋後鋼胚的即時影像，送到靠近產線的AIoT伺服器，由AI取代老師傅的人工經驗或感測器，自動判別每個鋼胚經過粗軋後，上抬或下沈角度是否超出容許範圍，如發現超出容許值，判定異常等級，自動將鋼胚再送回重新粗軋。圖為這套監控系統畫面，左上為該鋼胚ID，左下為影像分析畫面，右上方為AI判別結果，右下方則是影片串流畫面。即時判斷鋼胚異常等級，立即重新調整，避免鋼胚上捲彎曲，甚至設備損壞。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／中鋼</span></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:45作者蘇文彬https://www.ithome.com.tw/news/156612
【中鋼5G專網應用5】在產線利用5G和遠端專家協作解決維修難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 舊有維修作法 </span></span> <span style="color:#B22222;">帶上厚重手冊、使用對講機和控制室對話</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-%E8%88%8A.png" style="width: 600px;" /></p> <p><strong><span style="font-size:20px;">舊有的中鋼維修作法和傳統製造業相似，當生產線上的設備發生異常時，控制中心收到設備搶修的請求，呼叫值班的維修人員到場搶修，維修人員往往面臨3個困難，第1是需要帶上大量手冊文件資料，加上攜帶的維修工具，現場搶修時需要一邊翻閱文件資料，一邊確認設備狀態，相當不便。第2個困難是，當維修人員在現場維修，往往不知道設備回傳的訊號，因此維修人員需要以無線對講機和控制室對話，詢問回傳數值。第3個困難是，如果遇到不熟悉的設備，現場無法處理時，而有經驗的師傅可能因為已下班或是正在休假中，無法親自到現場協助維修，這時現場維修人員就需要打電話和師傅聯絡，但受限於只能以語音通話進行溝通，遠端的師傅無法看到維修現場畫面，不易了解現場狀況，造成雙方溝通協作上的困難，加上現場作業環境可能較為吵雜，雙方溝通品質不良，出現雞同鴨講的情形，使得搶修效率低落，進而延長產線受影響的時間。</span></strong></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 新維修作法特色1 </span></span> <span style="color:#3399ff;">以平板掃描設備電子標籤</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>中鋼與工研院合作開發的遠端專家協作系統，依不同地點，例如在產線的作業區，運用5G的大頻寬、低延遲，不僅支援產線即時影像傳輸，也能讓現場維修人員透過一臺平板電腦進行維修作業，搭配平板專用App，掃描設備上的電子標籤，即時取得相關的設備資訊。</strong></span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 新維修作法特色2 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>即時取得維修文件資料</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>平板電腦掃描特定設備上的電子標籤，可以線上取得該設備的維護文件資料，不再需要攜帶大量手冊資料，在平板電腦就能直接查詢，甚至瀏覽過去的維護紀錄。</strong></span></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 新維修作法特色3 </span></span> </strong><strong><span style="color:#3399ff;"><span style="font-size:28px;">用平板即時取得設備運作相關數據</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-%EF%BC%93.png" style="width: 600px;" /></p> <p><strong><span style="font-size:20px;">過去維修人員如果要取得設備的運作數據，需透過對講機和控制中心對話，現場作業環境吵雜，影響對話品質，甚至可能因此聽錯。現在，平板電腦掃描電子標籤後，即時以AR秀出該設備運作資料，例如設備的規格、油壓值、溫度等等，不需再透過對講機向控制室取得數據。</span></strong></p> <p><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 新維修作法特色4 </span></span> </strong><strong><span style="color:#3399ff;"><span style="font-size:28px;">靠視訊和遠端專家協作解決維修難題</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A85-%EF%BC%94.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong>維修人員到產線進行維修工作，如遇到不熟悉的設備或是難以解決問題，現場又沒有豐富經驗的專家或老師傅可提供協助，現在使用平板電腦，利用產線的5G專網就能和遠端的專家視訊協作，甚至開放共享現場設備畫面，在專家協助下找出原因予以解決。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:45作者蘇文彬https://www.ithome.com.tw/news/156614
【50年老牌鋼鐵廠如何用5G加快智慧製造腳步】從戶外軌道運輸到製造現場，中鋼用5G加速轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「運用新工具及新的技術，讓整個生產效率提高，良率能夠提高，產能也因此提高、降低成本，同時減少排碳」，中鋼綠能與系統整合研究發展處長陳宗榮說，這幾年中鋼積極擁抱新技術，推動智慧製造，試圖翻轉傳統鋼鐵製造的勞力密集、高溫作業、高工作風險現況。</p> <p>因應國內外鋼鐵市場競爭，走向少量多樣精緻鋼品策略的中鋼，在2018年成立智能產銷委員會（PMIC），由當時由執行副總，現為中鋼總經理的王鍚欽領導，並由綠能與系統整合研究發展處作為召集人，來加速中鋼內部導入AI應用。如今，在這些年發展之下，AI在各方面的應用更深更廣，2021年公司成立50年之際，宣示未來發展精緻鋼廠、發展綠能產業兩大主軸，為中鋼接下來50年的競爭力定下目標，其中精緻鋼廠提出多項策略，人工智慧物聯網AIoT即是一個相當重要的策略。</p> <p>陳宗榮表示，精緻鋼廠的重點在於發展精緻鋼鐵，也就是要做附加價值更高、競爭力更好的產品。因此中鋼擁抱新技術，以AI為例，透過智慧化將人的經驗，轉化為方案或模型，先在一些產線上進行概念驗證測試，驗證成功之後，再將成功的經驗複製到相似的產線作業上，例如在產品生產過程中，傳統依靠人工來檢視產品缺陷，依照經驗將缺陷分等級，而透過AI，利用機器學習辨識影像，找出缺陷並且判斷缺陷的等級。</p> <p><span style="font-size:28px;"><strong>導入5G強化AIoT應用</strong></span></p> <p>至於IoT方面，原本在無線技術上，中鋼已使用Wi-Fi、4G，國內5G在2020年開臺，5G的高傳輸、低延遲、大連結特性，相較於4G更為適合特定場域應用，也吸引中鋼的興趣，該公司在2021年6月規畫導入5G專網，內部成立一個創新前瞻技術研發專案，為中鋼內部最高層級的研發專案之一，須向董事長提報核准，每3個月由總經理管考執行狀況。</p> <p>位於高雄小港的中鋼小港廠區佔地500公頃，相當於20座台北大安森林公園，在這個諾大的小港廠區內包括行政辦公區、生產作業區，因此在5G公用網路之外，為確保頻寬專用，降低產線數據外洩的風險，中鋼規畫導入5G專用網路(專網)。</p> <p>然而，中鋼面臨的首個問題是，該選擇哪些場域作為5G的驗證場域。鋼鐵煉製的過程是，先將鐵礦砂通過高爐化為鐵水，鐵水再送至煉鋼廠吹氧除去雜質，產生鋼液，經過連續鑄造成為鋼胚，鋼胚最初厚度達25公分，經過一連串的軋延過程，使鋼胚延展拉長、變薄，厚度減為2公釐，再經過處理成為熱軋鋼卷，當成產品對外銷售，或是當成中間產品送至冷軋處理。</p> <p>最後選定相當重要的熱軋產線，因先前熱軋產線曾發生設備異常離機，甚至影響到整個產線，因此他們寄望在熱軋產線導入5G，開發輔助現場操作維護，維持產線穩定的技術，由於鋼胚在熱軋製程中，為高溫作業環境，如果5G在熱軋產線上能驗證成功，也可擴展到冷軋或前端的原料廠。</p> <p>最後室內封閉的試驗場域選擇第二熱軋工場，作為5G軋鋼智慧工廠的示範場域；中鋼還選擇一個戶外的開闊場域，負責清運轉爐廢渣的渣車線，來導入5G專網，作為5G智慧軌道運輸各項應用的測試場域。此外，中鋼還以第二行政大樓4樓為測試場域，建立5G應用技術實驗室，專門開發各種5G AIoT技術，應用於上述2個場域。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1127-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 18px;">中鋼在軋鋼工廠內5G專網架構示意圖，以攝影機的即時影像為例，資訊流經過5G CPE到n79專頻基地臺，經過UPF送到AIoT伺服器，經過AI辨識分析即時影像後，再依UPF、專頻基地臺送到5G MiFi，傳送至平板電腦。中鋼將5G專網視為獨立網域，以防火牆和OT隔絕，5G專網的核心網路也和IT隔絕。</span></span></strong></p> <p><span style="font-size:28px;"><strong>建置戶外及室內2套5G專網</strong></span></p> <p>然而，專網的建置並不如想像的順利，因為在鋼鐵的生產過程中，鋼和鐵最多，而無線通訊容易受到金屬干擾，因此他們在調整訊號上，光是優化訊號範圍、訊號切換就花費不少時間去研究，還曾發現過天車經過時突然沒訊號，調查原因很久才發現問題在哪。</p> <p>中鋼在戶外及室內分別建置5G NSA及SA專網。在戶外的渣車線部分，中鋼和電信業者合作，導入5G NSA非獨立組網架構專網，與5G公網使用相同的商用頻段3.5GHz，仍採用電信業者公網的4G核網，長達900公尺的渣車線建置3座專用4G/5G基地臺，以涵蓋整條渣車線，也在3座轉爐下方的室內建置3個小型基地臺，用來強化轉爐下方的室內訊號，這個戶外渣車線5G NSA架構專網，還建置MEC邊緣運算系統，由於4G核網費用較高，故向電信業者租賃方式，核網安全由電信業者維運管理。這套專網在2021年12月建置完成，上傳速度為158Mbps，下載可達986Mbps。</p> <p>相較於戶外的渣車線，在熱軋工廠內建置的室內5G專網，採用n79專用頻段來架構5G SA獨立組網專網，n79專用頻段為政府預計開放給企業建置專頻專網的頻段，中鋼建置一套獨立的5G核網，並在400公尺長的熱軋產線建置3座5G O-RAN基地臺，5G專網主要用於產線的數據傳輸、訊號控制，至於熱軋工廠內會議室、電氣室、控制室則以25個Wi-Fi 6。熱軋工廠內的5G SA專網於2022年2月完成，上傳為152Mbps，下載為560Mbps，SA專網可調整上下傳比例，上傳速度最高可達230Mbps。</p> <p>另外，相較於Wi-Fi，5G專網成本較高，但5G有較高的資料傳輸正確性及安全性，不需擔心資料的遺失，適合用於產線，至於建置成本較低、具有便利性的Wi-Fi，適合用於人員連網。經過各項評估後，中鋼的專網使用心得是，設備使用5G，人員則使用Wi-Fi。由於5G的資料正確性較高，內部研發人員將5G譬喻為掛號信，無須擔心訊號遺失，至於Wi-Fi則是平信，成本較低，但是不保證信件一定送達，以突顯兩種無線技術間的差異。</p> <p><span style="font-size:28px;"><strong>確保5G專網的資安架構</strong></span></p> <p>陳宗榮表示，5G NSA架構專網的核網由電信業者掌管，基於資安考量選擇用於戶外渣車線，因為只有鋼渣車行駛、平交道的即時影像畫面，數據敏感性較低。但在熱軋廠內，產線即時影像畫面、設備數據都涉及機密，因此建置有獨立核網的5G SA專網，內部數據不需擔心經過外部公網的核心網路，未來會全部交由中冠維運。</p> <p>中鋼坦言，可支援n79的終端設備並不多，選擇性受限。另外，5G專網雖有較高的上傳速度，但同時間多支攝影機上傳畫面，上傳頻寬仍有不足之處。</p> <p>儘管導入新技術進行測試，中鋼仍然相當重視資安。戶外渣車線使用公網3.5GHz商用頻段建置5G NSA專網，NSA專網與公網共用核網，而為了避免資料可能流經核網，熱軋工場產線採用n79專用頻段建置5G SA專網，以專用頻段及獨立的5G核網，確保專網內的產線資料不會流到外部。</p> <p>熱軋工場5G專網的資安架構，為了滿足產線即時分析的需要，攝影機所拍攝的即時畫面，經由5G路由器、基地臺送到靠近產線的機房數據伺服器，由AIoT伺服器作即時的AI影像辨識分析，再將AI辨識結果送到數據伺服器、經基地臺、5G MIFI送到產線人員的平板電腦。</p> <p>中鋼對專網採前監後控，將專網視為獨立網域，專網內以滿足即時分析需求為主，僅監控異常網路流量，後方則以防火牆將專網和OT隔絕，專網核網也和IT隔絕。專網屬於內網一部分，未和外部網際網路連接。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E4%B8%AD%E9%8B%BC%E4%B8%BB%E6%96%87-%E5%9C%961-600.jpg" style="width: 383px;" /></p> <p><span style="font-size: 18px;"><span style="color: rgb(105, 105, 105);"><strong>中鋼綠能與系統整合研究發展處長陳宗榮表示，中鋼展開9項應用測試，包括即時影像、虛實整合、行車安全、遠程操控4個面向，也是全世界各國鋼鐵廠5G應用的發展方向。</strong></span></span></p> <p><span style="font-size:28px;"><strong>9項應用驗證5G智慧製造潛力</strong></span></p> <p>「中鋼成立專案的目的是，驗證5G對外宣傳的高傳輸、低延遲、廣連結是否如所宣稱的具有效益」，陳宗榮以產線作業為例，要將擷取到的訊號、影像畫面，即時傳送到另一個地方，做到即時控制，其他的無線傳輸技術則可能有延遲的問題，其他技術或許可以作監測，但在即時控制上會有不足，專案的目的是，對5G專網進行概念驗證。</p> <p>各項5G專網硬體建置之後，「中鋼展開9項應用測試，包括即時影像、虛實整合、行車安全、遠程操控4個面向，也是全世界各國鋼鐵廠5G應用的發展方向」。陳宗榮表示，中鋼寄望新的通訊工具能彌補過去做不到，或是目前不足的地方。</p> <p>9項應用驗證，在渣車線部分，包括危險作業遠程操控、渣桶狀態監測系統、行車安全輔助系統；至於熱軋工場部分，包括智能板胚動態監控、鋼帶偏移監控系統、專家遠端協作系統、數位產線實境導覽，以及在5G應用技術實驗室的XR虛擬實境訓練、自走載具技術。</p> <p>陳宗榮指出，鋼鐵煉製過程有很多高溫作業環境，或是空間比較局限的地方，人員進出有較高的工安風險，希望新的工具能協助擷取即時影像畫面，操作或生產數據，驗證是否能達成目標。</p> <p><span style="font-size:28px;"><strong>以遠端控制降低工安風險</strong></span></p> <p>9項5G專網應用中，其中接渣線推動的智慧軌道運輸相當重要，由於轉爐所產生的爐渣，需交由鋼渣車運輸，鋼渣車上載著渣桶，主要用來承接轉爐傾倒的爐渣，鋼渣車由司機員駕駛，當鋼渣車到達轉爐下方準備接渣，因轉爐高達上千度的高溫，轉爐下方一定範圍內禁止人員接近。</p> <p>傳統上，當鋼渣車抵達轉爐下方，司機員下車進入一旁的小房間，稱為避渣小間，司機員只能透過小間的小方窗，以人工目視判斷渣桶和轉爐的相對位置，再利用無線頻段控制渣車位置，轉爐則由另一人負責控制。如果鋼渣車司機未將渣桶移動到轉爐下方的適當位置，或是轉爐傾倒的角度控制過快，都可能造成高溫爐渣灑出到地面，造成人員或地面設備的傷害，因為無法及時清渣，甚至可能導致轉爐停止運作，對產能帶來更大的影響。</p> <p>導入5G之後，鋼渣車的前後各配置一支5G攝影機，前方攝影機主要拍攝渣車前方的軌道即時影像，後方的攝影機則拍攝渣桶的狀況，當鋼渣車抵達轉爐下方，下方室內接渣場所地面還配置2支攝影機，用以拍攝接渣的情形，司機員同樣下車進入避渣小間，不再只能從小窗看出去，透過平板電腦進入接渣模擬頁面，頁面上同時顯示2個即時影像，1個為鋼渣車後方的渣桶即時影像，另1個畫面則是來自地面攝影機所拍攝，司機員除了可觀看2個即時影像，掌握接渣現場作業情形，頁面下方還有一輛虛擬的鋼渣車、轉爐，通過數位分身模擬渣車位置、轉爐傾倒角度，渣桶緩緩移動到轉爐下方，加上AI通過影像判斷轉爐傾倒角度爐渣可能落點，讓司機員根據數位分身，觀察渣桶位置和爐渣落點是否相合，來提高接渣作業的準確性。</p> <p>陳宗榮指出，接渣作業要做到遠端操控，需要多個現場即時影像畫面，來克服傳統人工目視的視線死角問題，即時影像資料非常大，因此上傳與下載需要足夠頻寬，另一個關鍵是低延遲，司機員控制渣車移動，要讓渣桶到達轉爐下方適當接渣位置，如果看到的即時影像是1分鐘之前，就不能精準接渣。5G的出現，除了希望了解它的功能，可能應用在哪些地方，也希望能提升作業的安全性，提高生產操作的效率。</p> <p>中鋼也將5G應用在產線上，結合5G AIoT來提升產線的良率、穩定。例如智能板胚即時監控、鋼帶偏移監控等，利用產線上的攝影機，經由5G專網即時將鋼胚的製程影像送到產線的AIoT伺服器，就近以AI判別每個鋼胚在半成品階段，是否出現異常。</p> <p>以智能板胚監控為例，由AI根據影像判斷鋼胚的上抬、下沈角度，如在容許值則屬正常，超出容許值則判斷為異常，在產線上立即啟動修正程序，將異常的鋼胚送回重新粗軋。因每個鋼胚在產線上不斷送往不同製程處理，需要第一時間發現異常，立即修正，否則鋼胚進入下一階段，可能導致變形加劇，甚至可能損壞設備，後續影響整個產能。</p> <p><span style="font-size:28px;"><strong>未來要用5G實現遠端控制天車</strong></span></p> <p>中鋼還看上5G的高速傳輸、低延遲，應用在天車遠程控制的潛力。雖然中鋼在倉儲部分，已研發AI無人天車，搭配自動化出貨系統，但是在產線的天車吊載，仍是仰賴天車手進行人工操控，天車手必需進入天車駕駛室，因天車位於高處，天車手要爬到高處的天車並不容易，加上部分天車作業在高溫區域，容易有工安風險，有時駕駛爬上去，一整天都不輕易下來，對工安及工作舒適都是一大考驗。</p> <p>中鋼則希望透過5G遠程集控天車，讓駕駛以後在地面的控制室，能遠程操控天車進行作業，要讓天車手在地面操作天車，如同身在高處的天車上吊運作業，還需要在天車上安裝多支不同視角的攝影機，充當天車手的眼睛，彌補在地面操作天車的不足之處。</p> <p>陳宗榮認為如果5G的低延遲符合需求，讓駕駛能在地面操作天車，如同他在高處的天車操作一樣，不僅人員在更安全的地面遠程操作，甚至可做到一人操控多臺天車，相較之下，目前一人只能操作一臺天車，大幅提升天車作業的效率。5G天車是中鋼下一步致力開發的5G應用之一。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"> </span></strong></span></span><span style="font-size: 20px;"><strong><span style="background-color: rgb(255, 140, 0);"><a href="https://www.ithome.com.tw/article/156616" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"> <a href="https://www.ithome.com.tw/article/156616" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" style="width: 550px;" /></a></span></span></p> </div></div></div>
2023/4/28 12:45作者蘇文彬https://www.ithome.com.tw/news/156615
中鋼如何用5G加速智慧製造
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1127-feng_mian_p1-open-wen_bin_-zhong_gang_-960x420_kao_bei_.jpg?itok=tHY0ZhE2" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中鋼加速朝精緻鋼廠發展，2年前展開5G專網評估規畫，少見導入5G NSA及SA專頻兩種專網，並以9項應用測試、16項關鍵技術開發，深化AIoT應用，大幅降低鋼鐵製造高溫、高危險作業風險</p> </div></div></div>
2023/4/28 12:46作者蘇文彬https://www.ithome.com.tw/article/156616
微軟品牌的滑鼠及鍵盤等電腦配件將成絕響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日向《<a href="https://www.theverge.com/2023/4/27/23700998/microsoft-keyboard-mouse-webcam-discontinued-surface-brand" target="_blank">The Verge</a>》及《<a href="https://www.thurrott.com/mobile/microsoft-surface/282412/microsoft-moves-all-hardware-peripherals-under-surface" target="_blank">Thurrott</a>》等媒體證實，未來將不再繼續生產以Microsoft為品牌的個人電腦配件產品，意謂著該品牌的滑鼠或鍵盤等裝置將成絕響，但會持續生產Surface品牌的電腦配件。</p> <p>微軟是在1983年首次推出Microsoft品牌的滑鼠，根據微軟所提供的聲明，未來將專注於供應Surface品牌的Windows PC配件，而不再開發Microsoft品牌的配件裝置，市場上現有基於Microsoft品牌的滑鼠、鍵盤與網路攝影機等裝置，在售罄之後都將不再補貨。</p> <p>未來只會看到Surface品牌的PC配件產品，涵蓋滑鼠、鍵盤、觸控筆、擴充底座與適應性配件（Adaptive Accessory）等。</p> <p>從<a href="https://www.microsoft.com/zh-tw/accessories" target="_blank">微軟的配件網頁</a>可看出，Microsoft品牌的配件種類繁多，除了上述之外，還包括喇叭、耳麥及各種轉接器。</p> </div></div></div>
2023/4/28 11:14作者陳曉莉https://www.ithome.com.tw/news/156607
【Container周報第153期】CNCF公布平臺工程白皮書，K8s程式碼儲存庫搬新家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/4/1～4/28 精選容器新聞：</strong></p> <h3> <strong><span style="color:#FF0000;">#K8s更新、#儲存庫搬家</span><br /> K8s在四月初發布1.27版更新，一口氣推出60項強化功能，更要注意K8s儲存庫搬家了</strong></h3> <p>K8s社群在4月11日發布了1.27版新版，雖然取了一個歡樂的代號(代號Chill Vibes，意思是放鬆氛圍），但其實這次改版的幅度相當大，一次發布高達60項的更新，其中包括了18項Alpha版測試新功能，另外有29項進入穩定堪用的Beta版，以及13項結束測試階段成為正式功能。其中一項重點是，提供K8s程式碼的容器映像檔儲存庫轉移到registry.k8s.io，取代了過去由Google維護的 k8s.gcr.io，來提高可用性。從4月開始，K8s的1.24、1.25和1.26版更新，將不會發布到舊版儲存庫中，企業得留意K8s原始碼來源若沒有更新，可能會出現錯誤訊息。</p> <p>進入正式版的13項功能中，值得留意的是時區功能和CronJob排程管理，還有seccomp在1.27版成為預設功能，也就是說，這個用來限制Linux核心系統呼叫上限的功能，將成為預設，來避免錯誤配置導致容器暴增耗光資源而讓系統當機的情況。</p> <h3><strong>#Platform Engineering、#CNCF<br /> 雲原生浪潮帶動平臺工程崛起，CNCF公布平臺白皮書，整理成功平臺的關鍵做法</strong></h3> <p>隨著雲原生成為主流開發技術，不只發展出SRE方法論，最近也催生出平臺工程（Platform Engineering）新作法，從原本SRE團隊中，更細分出新的專責團隊，來服務內部的開發團隊或工程團隊。國外越來越多企業設立平臺工程團隊，或將現有IT維運團隊，轉型成平臺工程團隊來負責非功能性需求。</p> <p>CNCF日前更公布了一份<a href="https://tag-app-delivery.cncf.io/whitepapers/platforms/">平臺白皮書</a>，歸納了平臺工程的發展趨勢，整理出這份白皮書。內容涵蓋打造一個成功平臺的關鍵做法，包括平臺有哪些重要的關鍵元素、如何組成一個平臺團隊，還有企業或組織擁抱平臺工程時會面臨的挑戰，另外還有一套衡量平臺績效的作法推薦，以及現有平臺工程工具和相關雲端服務清單。</p> <p>例如CNCF在白皮書中就指出，一個成功的平臺有7大元素，包括了平臺產品化(Platform as a product)、重視使用體驗和開發者體驗(User experience)、提供了豐富文件和新手指南(Documentation and onboarding)、採取自助服務設計(Self-service)，還要盡可能降低認知負載(Reduced cognitive load for users)，並且要能提供選擇和組合能力(Optional and composable)，最後一項是得具備Secure by default的思維。</p> <p>不只提供了平臺設計的技術實務，在白皮書中提出一個成功的平臺工程團隊有四大任務，第一項就是必須要設立平臺產品經理，才能以產品思維來管理這個平臺的發展，其次要研究平臺使用者（開發者）的需求，來規畫相關功能的發展藍圖，雖然是內部用的平臺，但是也要定期揭露產品藍圖，第三項則是要負責平臺價值（效益）的行銷、推廣、倡導行為和教育，平臺工程團隊不只是開發團隊，更是推廣團隊。最後一項任務才是技術性任務，平臺團隊要負責管理和開發使用者介面、可觀測性能力和相關服務，包括平臺入口網站、API、文件和範本、CLI工具。</p> <h3><strong><span style="color:#FF0000;">#平臺工程、#IDP</span><br /> Google和麥肯錫帶頭，開源社群發布內部開發平IDP開發指南</strong></h3> <p>隨著平臺工程浪潮崛起，如何打造一套自助式的內部開發者平臺，成了雲原生開源社群的新話題，最近，Google和麥肯錫多位產品經理更帶頭，集結開源社群，整理了一份內部開發者平臺的指南網站，從為何要注重內部開發者平臺的建置開始談起，更整理了內部開發者平臺的核心五大元素，包括了要有應用程式配置管理、基礎架構調度、環境管理、部署管理以及角色權限管理，也提供了一個內部開發者平臺的績效指標參考，10項開發流程作業的參考指標。另外還列出的提供內部開發者平臺服務的工具和雲端供應商，讓企業不用從頭開始自行打造。</p> <h3> <strong><span style="color:#FF0000;">#軟體供應鏈安全、#相依性分析自動化</span><br /> 5000萬個軟體版本後設資料集免費開放，還能自動產生相依性關係圖來判斷軟體供應鏈風險</strong></h3> <p>Google推出兩款保護開源軟體供應鏈安全的工具，其一是發布deps.dev API，供開發者免費存取deps.dev資料集，該資料集含有超過5,000萬個開源軟體套件版本的安全後設資料，另外，Google雲端的Assured OSS服務也正式開放，用戶可以方便取用經Google安全驗證過的開源套件。<br /> deps.dev資料集收集來自Go、Maven、PyPI、npm和Cargo等5大軟體打包生態系的套件後設資料，涵蓋5,000萬個套件版本，Google不只收集還匯總這些資料，產生遞移相依關係圖、安全諮詢報告、OpenSSF安全計分卡等資訊，用戶不僅可以直接從deps.dev網站人工查詢，或是以雲端資料倉儲服務BigQuery進行大規模批次分析，現在還可以使用新推出的API，以程式開發方法即時存取資料集，並在自家工具、工作流程和分析中使用這些安全性資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%9B%B8%E4%BE%9D%E6%80%A7%E9%97%9C%E4%BF%82%E5%9C%96-Google.png" /></p> <h3><strong><span style="color:#FF0000;">#平臺工程實例、#ESG新創</span><br /> 用Chatbot降低開發者認知負擔，ESG新創揭露自家平臺工程作法</strong></h3> <p>平臺工程浪潮開始崛起，也開始有率先採用者出面分享自家平臺工程建置經驗，例如永續科技新創Clarity AI。這是一家提供ESG分析服務的新創，每周追蹤200萬個數據點，利用AI模型進行ESG評分，可以評估不同類型活動的碳排數據，作為提供企業ESG分析所需，臺灣也有金融業者使用其ESG分析來提供顧客消費碳排數據。Clarity AI一位平臺工程經理Eduardo Ferro Aldama日前揭露了自家發展平臺工程的經驗。</p> <p>他表示，Clarity AI為了三大目標開始發展平臺工程，甚至設立的專責團隊，第一是希望用來降低開發團隊的認知負載，減少錯誤或是降低新技術或元件的導入阻力，第二是為了改善工程團隊的生產力，例如平臺團隊打造的自助式內部開發者平臺，可以用來減少相互等待、提高部署頻率、縮短上線準備時間（commit to production)，最後一項目的則是可以將發布系統的管理權，和產品擁有權整合，來統一產品專案從開發到上線的管理。</p> <p>例如Clarity AI打造了一個開發團隊的內部Chatbot，開發團隊在聊天室送出執行一項K8s任務的執行命令後，就會啟動相關的部署作業，也會把每一步的執行過程，以檢查清單的方式條列出來，讓開發者更清楚所下的指令的執行進度，而不像過去列出長篇敘述文字或Log紀錄。Eduardo Ferro Aldama表示，這就是一個降低開發者認知負載的好點子。(圖片來源：Eduardo Ferro Aldama)</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B9%B3%E5%8F%B0%E5%B7%A5%E7%A8%8BBot(1).png" /></p> <h3> <strong><span style="color:#FF0000;">#容器安全、#EKS</span><br /> AWS威脅偵測服務開始支援容器安全偵測，可以即時監測EKS Runtime的威脅</strong></h3> <p>AWS威脅偵測服務Amazon GuardDuty最近發布三項更新，將防護範圍擴大至容器、資料庫和無伺服器應用，包括了可以偵測容器化工作負載威脅的EKS Runtime Monitoring，以及偵測Aurora資料庫資料的潛在威脅的RDS Protection，還有可分析Lambda應用程式相關惡意行為的Lambda Protection。</p> <p>GuardDuty使用機器學習和異常行為偵測等技術，整合AWS自家與其他安全威脅情報，持續分析AWS帳戶和資源活動，來偵測諸如惡意行為、未經授權的存取，或是不安全來源等潛在威脅。也能即時阻擋連接埠掃描、惡意軟體橫向移動，以及已知惡意IP位置活動等不尋常行為。EKS Runtime Monitoring功能引入了一個全託管的輕量級安全代理，可以分析和監控主機作業系統的行為，諸如檔案存取、程序執行和網路連接等。</p> <h3><strong><span style="color:#FF0000;">#網路效能強化、#AKS</span><br /> 微軟AKS正式提供CNI Overlay，大幅提高網路效能和雙叢集擴展限制</strong></h3> <p>微軟在其Kubernetes服務AKS正式推出Azure CNI Overlay，這是一項能夠突破現有AKS網路工作負載規模和效能的服務，其所提供的網路效能可與主機網路相當，並且使叢集能夠線性擴展。微軟開發了新的Azure CNI Overlay解決方案。微軟在CNI之上創建了一個抽象層，簡化和最佳化網路配置，Azure CNI Overlay會從用戶所定義的抽象層地址空間分配IP地址，而不使用虛擬網路中的IP地址。</p> <h3><strong><span style="color:#FF0000;">#叢集管理、#GKE</span><br /> Autopilot成為GKE預設叢集運作模式，不用再手動開啟自動管理基礎設施並提升安全性</strong></h3> <p>GKE最近宣布預設啟用Autopilot叢集模式。Google希望，透過預設啟用Autopilot大幅降低Kubernetes的學習曲線，能夠管理節點池和節點，讓剛接觸Kubernetes的用戶，也能夠妥善管理Kubernetes。Autopilot適合用於各種用例的預設配置，針對工作負載進行最佳化，用戶不需要計算節點大小和機器規格。Autopilot功能會自動根據定義啟動需要的基礎設施，並且配置需要的污點（Taint）和容忍度（Tolerations）屬性。</p> <p>Autopilot相容於Kubernetes，能夠支援大多數Kubernetes工作負載，像是區塊存儲裝置StatefulSets、DaemonSets以及用於機器學習的GPU任務，同時也支援營運工作負載所需，包括OPA/Gatekeeper、Webhooks和IP偽裝等技術。</p> <h3><strong><span style="color:#FF0000;">#Copilot、#AI輔助開發</span><br /> VS Code揭露Copilot Chat新功能預覽，在程式碼行內就能與AI對話協作</strong></h3> <p>微軟推出VS Code 1.77新版，最大特色是與GitHub深度連結，並且提供TypeScript/JavaScript的switch陳述式自動完成功能，開發者也可以使用到最新的Copilot Chat整合功能，在編輯器向人工智慧提問，並且獲得程式碼建議。</p> <p>Copilot現在會在開發者處理程式碼時，在行內顯示建議，開發者也可以隨時在程式碼編輯器中向Copilot提問，並要求Copilot尋找程式碼內的臭蟲，解釋程式碼的意義，甚至是創建測試。Copilot的對話框現在會出現程式碼的下方，供用戶輸入指令。不過，開發者要使用這項深度整合功能，除了需要獲得Copilot Chat存取權限之外，還要安裝GitHub Copilot Nightly版本擴充套件，以及Insiders版本VS Code。</p> <p> <strong>更多新聞</strong></p> <p>New Relic調查：Amazon超越甲骨文成為最受歡迎的JDK供應商</p> <p> <strong>@資料來源：iThome整理，2023年4月</strong></p> <p>責任編輯：王宏仁</p> </div></div></div>
2023/4/28 11:28作者王宏仁https://www.ithome.com.tw/news/156608
New Relic調查顯示，Amazon超越甲骨文成為最受歡迎的JDK供應商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路監控管理服務New Relic發布<a href="https://newrelic.com/resources/report/2023-state-of-the-java-ecosystem">2023年Java生態系調查報告</a>，官方指出，在過去幾年由於Java新版本的發布和容器應用的興起，讓Java的使用情況出現變化。New Relic報告顯示Java 17的採用率正飆升，而且由於AWS（Amazon子公司）的OpenJDK版本Amazon Corretto，受到雲端開發者的大量採用，使得Amazon現在成為最受歡迎的JDK供應者。</p> <p>Java是一種高階語言，由昇陽電腦公司開發，其目標是要設計一個可在各種電腦硬體和作業系統上運作的程式語言，由於Java的可移植性和跨平臺等特性，目前是熱門的程式語言之一，各產業和領域都可以看到Java應用，Java擁有豐富的函式庫，並受到良好的維護。</p> <p>從<a href="https://newrelic.com/resources/report/2022-state-of-java-ecosystem#toc-oracle-popularity-is-shrinking-amazon-is-on-the-rise">前一年New Relic的Java生態系大調查</a>中，就可以看出甲骨文（Oracle）Java市占衰退的端倪，過去許多開發人員的JDK來自甲骨文，而由於OpenJDK專案的出現，使得開發者有更豐富的選擇。在2020年，甲骨文位居領先定位，約占Java市場的75％，而到了2022年，市占已經不到之前的一半，反而Amazon已經上升到22.04％。</p> <p>到了2023年，Amazon已經正式超過甲骨文，成為目前最受歡迎的JDK供應商，市占繼續成長達到31.35％，而甲骨文則繼續下滑，目前市占為28.75％。</p> <p>根據New Relic的觀察，容器已經是Java應用的最大宗，報告顯示70％的Java應用程式用於容器。越來越多Java開發者在容器中使用多核心配置，目前僅有36％還在使用單核心配置，大部分皆已移向多核心配置，最高比例是8核心配置占29％，較2022年成長9％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Number-of-cores.png" style="width: 580px;" /></p> <p>不過，New Relic表示，整體而言比起非容器環境，開發者在容器雲端環境中，更傾向使用較小的資源配置，但這種趨勢可能出現意想不到的問題，像是在單核心配置下，即便開發者明確地配置使用垃圾回收器，但是最終可能得不到期望效果。</p> <p>在記憶體的配置上，也可以看出容器實例更小的趨勢，30％的容器化應用程式會以旗標-XX:MaxRAMPercentage明確定義JVM記憶體使用上限，而這個比例在2022年僅為9％，比例的變化顯示該旗標越來越普遍，開發人員透過該旗標來改善應用程式的效能和資源管理。</p> <p>與2022年一樣的是，G1垃圾回收器依然是Java 11和以上版本開發者的愛用選項，有65％的開發者選用G1垃圾回收器，其主要優點是每次在回收記憶體時，傾向清除較小的區域，而不會一次回收一大塊區域，透過最佳化回收過程，不只減少程式產生卡頓的問題，還能同時回收不同世代的物件。</p> <p>在Java長期支援的版本選擇上，有超過56％的生產應用程式使用Java 11，第二多的版本則是Java 8，但其使用比例已經從2022年的46％下降到33％。而最新的長期支援版本Java 17，雖然目前使用率僅有9％，但是New Relic提到，與前一個長期支援版本相較起來，Java 17採用的速度遠遠超過Java 11剛推出時的採用速度。Java非長期支援版本的使用率極低，僅有1.6％的應用程式使用。</p> </div></div></div>
2023/4/28 10:35作者李建興https://www.ithome.com.tw/news/156595
Amazon關閉健康裝置部門Halo，產品全停售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2023/4/26/23699459/amazon-layoffs-halo-fitness-tracking-sleep-tracking" target="_blank">《The Verge》報導</a>，Amazon將關閉開發消費性健康量測裝置的部門Halo，並停售相關產品。Amazon也已證實這項消息。</p> <p>報導指出，Amazon已在本周悄悄將近年推出的數款消費性健康量測產品從Amazon.com下架，包括運動手環Halo View、可量測心率及體溫、分析情緒的<a href="https://www.ithome.com.tw/news/139664" target="_blank">Halo Band</a>，以及睡眠感測床邊裝置<a href="https://www.ithome.com.tw/news/153342" target="_blank">Halo Rise</a>。</p> <p>Amazon智慧家庭和健康部門副總裁Melissa Cha也證實關閉Halo的計畫。她表示，Halo近來遭遇嚴苛挑戰，包括市場激烈競爭、經濟情勢高度不確定性等，為了善用資源及長期業務體質著想，公司必須做出關閉Halo計畫的困難決定，並因此裁減職位。</p> <p>Cha說未來幾個月內，將停售所有Halo產品，並關閉Halo營運。</p> <p>至於已經售出的產品也即將喪失支援。Amazon將在2023年7月31日起終止支援Amazon Halo。</p> <p>這是Amazon近日宣布的裁員行動的一環。Amazon繼今年1月裁減1.8萬人後，3月又宣布會再裁9,000人。去年9月Amazon已經先關閉遠距診療服務部門Amazon Care，裁減159個工作職位。</p> <p>面對前景不明，Amazon已陸續縮編多項業務部門，包括AI助理Alexa、機器人、零售、快遞甚至AWS部門。</p> <p>Amazon也是裁撤健康或硬體業務的最新一家科技業者。Google於2021年就裁撤<a href="https://www.ithome.com.tw/news/146340" target="_blank">Google Health</a>，而根據《<a href="https://www.fastcompany.com/90835846/report-microsoft-to-lay-off-up-to-11000-people" target="_blank">Fast Company</a>》報導，Alphabet旗下生技公司Verily 200多名員工去年底也遭資遣。此外，<a href="https://www.ithome.com.tw/news/149027" target="_blank">IBM 2021年把Watson Health賣給了私募基金公司</a>。</p> </div></div></div>
2023/4/28 10:42作者林妍溱https://www.ithome.com.tw/news/156605
22H2是最後一版Windows 10主要更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Windows 7後，Windows 10也進入生命周期倒數。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/windows-client-roadmap-update/ba-p/3805227" target="_blank">微軟本周表示</a>，去年下半釋出的22H2將是最後一個Windows 10主要更新。</p> <p>微軟是在2015年7月29日正式釋出Windows 10，並展開1年2次的主要更新提供方式。微軟並在2020年下半年開始，改以H1、H2取代月分作為更新版的識別。</p> <p>根據<a href="https://learn.microsoft.com/en-us/windows/release-health/release-information" target="_blank">Windows 10企業與教育版</a>以及<a href="https://learn.microsoft.com/en-us/lifecycle/products/windows-10-home-and-pro" target="_blank">Windows 10 Home、Pro版</a>網頁，這個更新將在2025年10月14日結束生命周期，屆時將終止每月安全更新。微軟說，除了長期服務通道（Long-Term Servicing Channel，LTSC）上的某些版本外，所有版本的22H2都會是Windows 10最後一版，呼籲用戶升級到Windows 11，而即使無法升級或必須使用Windows 10的企業組織，這些用戶必須升級到22H2。</p> <p>LTSC是針對無法或不得連網，又必須使用桌機介面的裝置，像是金融業或醫療業終端、製造業產線電腦或PoS、Kiosk等裝置設計，每2、3年才會推出一次更新。<a href="https://learn.microsoft.com/en-us/windows/release-health/release-information" target="_blank">根據微軟網頁</a>，目前最新的Windows 10 Enterprise、IoT Enterprise LTSC版為21H2，兩個版本的技術支援分別會在2027年1月12日及2032年1月13日到期。</p> <p>微軟同時宣布，Windows 11 LTSC，包括Enterprise LTSC及IoT Enterprise LTSC下個更新，會在2024年下半釋出。關於這版更新技術細節，微軟說會於日後陸續公布。如果企業計畫升級Windows 11 LTSC，微軟鼓勵以現有GA（General Availability）通道的Windows 11 22H2測試應用程式和硬體。</p> <p>自從2021年10月5日Windows 11推出後，微軟就提供Windows 10和Windows 11雙軌更新。但是微軟在新功能已逐漸以Windows 11為優先部署對象。<a href="https://www.ithome.com.tw/news/156586" target="_blank">例如本周最新Phone Link對iOS的支援版本</a>，就只提供給Windows 11。</p> <p>Windows 10是目前Windows PC中最主流的版本。<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">根據市調公司GlobalStats的統計</a>，截至今年3月，Windows 10市占為73.5%，Windows 11為21.0%，而已經終止支援的Windows 7為3.7%。</p> </div></div></div>
2023/4/28 11:04作者林妍溱https://www.ithome.com.tw/news/156606
銀行資訊委外作業新規範！金融機構供應鏈風險自律規範4月上路，銀行局剖析5大規範重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>銀行公會日前發布了<a href="https://www.ba.org.tw/FileDownload/Download?FileId=94cf6a9d-695f-4a9a-8194-c7234769dfb6&FileName=%E9%99%84%E4%BB%B61_%E9%87%91%E8%9E%8D%E6%A9%9F%E6%A7%8B%E8%B3%87%E9%80%9A%E7%B3%BB%E7%B5%B1%E8%88%87%E6%9C%8D%E5%8B%99%E4%BE%9B%E6%87%89%E9%8F%88%E9%A2%A8%E9%9A%AA%E7%AE%A1%E7%90%86%E8%A6%8F%E7%AF%84.pdf">銀行資訊系統委外作業的新自律規範</a>，明定五大類銀行IT委外時的作業要求和規範，ATM等顧客自動化服務或營運重大影響的第一類系統，從4月10日開始適用，其於第二、三類系統則有一年緩衝期，明年4月開始適用。</p> <p>銀行公會在4月10日正式開始實施新的《金融機構資通系統與服務供應鏈風險管理規範》，針對銀行資訊系統的開發、建置或維運委外作業的規範，也包括了銀行雲端委外服務的新規範。</p> <p>銀行公會在110年訂定金融機構資通安全防護基準時，就已經針對銀行的供應商有相關的管理要求，但是金管會認為，這套基準的要求不夠完整，因此才要求銀行公會訂定新的自律規範。</p> <p>銀行局副局長童政彰指出，為了因應金融服務業委外跟跨業經營型態的新發展，才決定增修現有的管理規範，新版自律規範增加了核心資通系統的軟硬體供應商和維運商，以及跨機構合作夥伴的風險評估，有必要訂定委外規範中的邊際防護要求。</p> <p>童政彰指出，新上路的供應鏈風險管理規範自律規範有5大重點，第一是要求金融機構在辦理委外前，應該分析跟規畫IT供應鏈的相關資訊安全事項，例如，評選供應商時要考慮服務過度集中到單一廠商的風險，其次也明定了銀行評選供應商要執行的工作，再來，自律規範中更明定了11款銀行與供應商的委外契約中明確約定的事項，例如與供應商要訂出服務品質、水準、效能、資安事件應變與通報程序、資安事件損害賠償責任、定期檢測與修復、保固服務、異常管理等。</p> <p>除此之外，新版自律規範第四項重點則還規範了銀行與供應商契約存續期間要注意的原則，例如銀行要定期對有權存取資訊系統的供應商，定期進行供應鏈風險評估。最後一項重點是，當供應商服務變更或契約終止時要遵守的事項，同樣要特別要求，契約終止或服務變更前，銀行也必須進行供應鏈資安風險評估。</p> <p>雖然，新版自律規範在4月10日開始上路，但是考量實際執行的負擔，金管會同意不用全面實施，部分類型的銀行資訊系統可以有一年緩衝期，可以延後到明年4月開始適用。</p> <p>在自律規範中，公會將銀行系統分為三類，第一類是直接提供客戶自動化服務或者是營運有重大影響的系統，例如分行櫃檯系統，ATM自動化服務，SWIFT系統等等。第二類則是提供間接服務客戶的系統，如說銀行的作業中心或者是客服系統，還有第三類系統是不會接觸到客戶的資訊系統，例如銀行內部的人資、財會」總務系統等，這一類系統率先適用，而第二、三類則暫緩到明年適用。</p> <h3><span style="color:#FF0000;"><strong>銀行自律規範沒有明定SBOM要求，改由供應商得擔保元件安全</strong></span></h3> <p>這幾年因為軟體供應鍊資安事件頻傳，尤其像2021年底的Log4j重大漏洞，影響了非常多的資訊系統，因此，美國白宮也在2021年發布行政命令中，開始強調軟體透明度，更要求任何美國聯邦政府採購的軟體，都需提供SBOM清單。</p> <p>證券公會在去年12月就率先開始實施供應鏈風險管理自律規範，其中就明定證券資訊服務供應商揭露第三方程式元件之來源與授權證明，等於要求類似SBOM的元件清單。但是在銀行供應鏈風險自律規範中，卻沒有如此的明文規定。</p> <p>童政彰解釋，在銀行自律規範中，雖然第六條第9款只要求供應商交付的產品跟服務組件，必須合法取得或獲得合法授權，但在同一條第10款中也要求，供應商得確保所交付的資通系統的服務組件，沒有惡意程式跟後門程式，還要取得相關安全性測試的結果，以及供應商的安全性承諾。「從整體安全管理規範來說，銀行與券商的自律規範是一致的。」</p> <p>換句話說，雖然沒有如美國要求揭露SBOM的作法，但是銀行公會這項新的自律規範，也規範了銀行必須對委外廠商要求，提供第三方元件的安全保證以及提供安全檢測結果。</p> <p>在證券業與銀行業的供應鏈風險管理自律規範相繼上路之後，金管會表示，保險業現有相關安全規範已經足夠，沒有訂定保險業供應鏈風險管理自律規範的計畫。</p> <p> </p> </div></div></div>
2023/4/28 09:26作者王宏仁https://www.ithome.com.tw/news/156604
【資安日報】4月27日，中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織的攻擊行動不時傳出，最近有研究人員揭露駭客組織Evasive Panda針對非政府組織（NGO）人士而來的惡意程式攻擊行動，駭客藉由當地常見的即時通訊軟體QQ更新的名義來進行，但由於研究人員取得的證據不足，他們初步認為是供應鏈攻擊，但也不排除了對手中間人攻擊（AiTM）的可能。</p> <p>駭客利用軟體廠商已推出更新程式的漏洞發動攻擊的事故，也相當值得留意，其中又以針對列印管理伺服器PaperCut而來的攻擊行動特別引起研究人員關注，自PaperCut提出警告後，現在有研究人員指出，相關漏洞已被用於勒索軟體攻擊。</p> <p>因IT業者遭駭而波及其代管服務的用戶，這樣的情況很可能引起用戶恐慌。美國電信業者AT&T證實內部網路遭到入侵，導致駭客能冒用使用者的權限存取電子郵件信箱，不過，AT&T目前尚未公開說明受害範圍。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/2023/04/26/evasive-panda-apt-group-malware-updates-popular-chinese-software/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Evasive Panda疑似透過騰訊即時通訊軟體更新的管道，鎖定國際NGO組織人員散布後門程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Sequence-diagram-of-the-hypothesized-supply-chain-compromise.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Sequence-diagram-of-the-hypothesized-supply-chain-compromise.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織Evasive Panda散布後門程式MsgBot的攻擊行動，研究人員自2022年1月發現，這些駭客針對國際非政府組織（NGO）人士下手，於中國甘肅、廣東、江蘇等省份發動攻擊，透過騰訊即時通訊軟體QQ的更新機制，藉由該軟體開發商的URL與IP位址，將後門程式MsgBot傳送至受害電腦。</p> <p>研究人員認為，駭客攻擊手法有2種可能。其中一種是駭客發動供應鏈攻擊，入侵了QQ的更新伺服器，以軟體更新的名義來散布MsgBot；另一種則是藉由對手中間人攻擊（AiTM）手法來進行。</p> <p>但由於研究人員尚未取得更新伺服器的XML檔案，也無法向騰訊進行確認，難以判斷駭客採用的手法。</p> <p><a href="https://unit42.paloaltonetworks.com/alloy-taurus/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux系統成為中國駭客組織Alloy Taurus目標之一，他們開發出專用的後門程式PingPull</span></strong></a></p> <p>資安業者Palo Alto Networks揭露中國駭客組織Alloy Taurus近期的攻擊行動，駭客在Windows電腦之餘，也開始對Linux開發後門程式PingPull，以及另一個名為Sword2033的惡意程式（ELF執行檔）。</p> <p>前者透過Base64編碼的資料與C2連線，並採用AES演算法加密傳輸的資料；後者可針對受害電腦執行命令，或是外洩資料。</p> <p><a href="https://twitter.com/MsftSecIntel/status/1651346653901725696"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">出現更多駭客濫用PaperCut漏洞，勒索軟體駭客Clop、LockBit以此進行竊密</span></strong></a></p> <p>列印管理系統供應商PaperCut於4月19日提出警告，他們在3月修補的漏洞CVE-2023–27350、CVE-2023–27351已出現攻擊行動，如今有資安業者揭露更多細節。</p> <p>微軟的威脅情報團隊指出，他們看到勒索軟體Clop旗下的Lace Tempest駭客組織，自4月13日將漏洞用於散布勒索軟體Clop，一旦得到列印管理伺服器的存取權限，駭客就會部署惡意程式TrueBot，並透過Cobalt Strike進行橫向感染，然後運用檔案共用服務MegaSync洩露竊得的資料。此外，研究人員也看到利用前述漏洞散布勒索軟體LockBit的攻擊行動。</p> <p><a href="https://labs.withsecure.com/publications/fin7-target-veeam-servers"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Veeam備份伺服器漏洞被駭客組織FIN7用於攻擊行動</span></strong></a></p> <p>資安業者WithSecure於今年3月，發現駭客組織FIN7的攻擊行動，攻擊者透過Veeam備份系統的處理程序執行Shell命令，下載、執行PowerShell指令碼，該指令碼便是FIN7慣用的記憶體內（In-memory）惡意程式載入程式，駭客用來執行名為Diceloader的後門程式，以便進行後續的攻擊。</p> <p>究竟駭客如何執行Shell命令？研究人員認為很可能是利用Veeam於3月修補的漏洞CVE-2023-27532（CVSS風險評分為7.5）。</p> <p><a href="https://techcrunch.com/2023/04/26/hackers-are-breaking-into-att-email-accounts-to-steal-cryptocurrency/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者AT&T傳出遭駭，他們代管的多個電子郵件服務受到挾持</span></strong></a></p> <p>根據科技新聞網站TechCrunch的報導，美國電信業者AT&T傳出遭駭，導致代管的電子郵件服務曝險，駭客入侵甚至接管，範圍包括att.net、sbcglobal.net、bellsouth.net等。</p> <p>知情人士透露，駭客先存取電信業者內部網路部分系統，之後能以任意使用者身分來建立郵件金鑰，因此可在不需知道用戶密碼的情況下，透過Outlook、Thunderbird等收信軟體存取郵件帳號。</p> <p>根據聲稱已掌握受害者名單的知情人士表示，有2名用戶證實遇害，其中1名受害者向TechCrunch透露，駭客已從他的Coinbase帳戶竊得13.4萬美元加密貨幣。</p> <p>對此，AT&T表示他們發現了未經授權建立的安全郵件金鑰，並要求部分用戶重設密碼，但並未透露受害人數。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/d/attackers-use-containers-for-profit-via-trafficstealer.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客於Docker環境部署TrafficStealer，將流量導向特定網站進行牟利</span></strong></a></p> <p>資安業者趨勢科技設下的誘捕系統，最近發現有人利用雲端Docker環境來牟利的攻擊行動。他們發現駭客先入侵位於雲端服務的Docker環境，再從Docker Hub拉取特定的容器映像檔，而這個映像檔含有名為TrafficStealer的可疑軟體，其目的是將網路流量導向特定網站供他人運用，進而產生收入。</p> <p>研究人員指出，駭客透過YAML配置文件，大量、自動化部署上述惡意程式。而這個攻擊誘捕系統的映像檔，已從Docker Hub被拉取了50萬次，每秒下載15 MB的資料。雖然這次駭客的目標是Docker，但研究人員認為，Kubernetes與Amazon Elastic Container Server（ECS）日後也有可能遭遇相關攻擊。</p> <p><a href="https://blog.checkpoint.com/security/retail-giant-walmart-ranks-first-in-list-of-brands-most-likely-to-be-imitated-in-phishing-attempts-in-q1-2023/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">科技業者仍是駭客網路釣魚攻擊冒用品牌的首選</span></strong></a></p> <p>資安業者Check Point針對今年第1季的網路釣魚攻擊態勢公布調查結果，他們表示，駭客偏好冒用的品牌出現了洗牌的現象。</p> <p>大型零售業者Walmart從去年底的13名，本季一舉躍居榜首，冒用該品牌行騙的釣魚信占總數的16%，其次是DHL、微軟，分別有13%、12%。不過，整體而言，駭客最常冒用的還是科技業的品牌，其次是運輸及零售業。</p> <p>但研究人員特別提及，名列前10大的瑞福森銀行（Raiffeisen Bank）是第一次上榜，相當值得留意，因為這代表駭客可能透過金融組織竊取使用者的帳號資料。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156566"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Gogolook推出Roo AI，以生成式AI技術打造AI智能問答服務，能根據提問提醒用戶小心詐騙</span></strong></a></p> <p>3年前，Gogolook推出了名為貸鼠先生的金融諮詢服務，可協助消費者辨識網路上各種真假難辨的金融商品資訊，減少詐貸等問題。為了提供更多元金融商品諮詢服務，該公司於4月25日宣布推出全新AI智慧問答服務Roo AI，該系統以ChatGPT的生成式AI技術為基礎打造，目的是提供貼近臺灣消費者的金融知識與正確資訊，值得一提的是，該系統能從用戶提出的問題中，找出可能導致受騙的資訊，並提醒用戶提高警覺，減少上當受騙的情況。</p> <p><a href="https://cloud.google.com/blog/products/identity-security/rsa-google-cloud-security-ai-workbench-generative-ai"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google在多項安全解決方案整合AI大型語言模型Sec-PaLM</span></strong></a></p> <p>由於技術的進展，大型語言模型（LLM）的應用範圍如今變得更加廣泛，資安業者也著手將其用於相關防護。例如，Google開發名為Sec-PaLM的大型語言模型，並將其應用於Security AI Workbench威脅情報平臺、惡意軟體程式碼分析系統VirusTotal Code Insight、漏洞檢測系統Mandiant Breach Analytics for Chronicle等。</p> <p>此外，Google安全指揮中心（Security Command Center）亦運用此大型語言模型，將複雜的攻擊關聯圖，轉換成人類容易解譯的資訊。除上述應用，該公司亦於Assured OSS服務使用Sec-PaLM，協助驗證開源軟體套件的工作。</p> <p><a href="https://www.businesswire.com/news/home/20230424005364/en/AWS-Announces-Three-New-Amazon-GuardDuty-Capabilities-to-Help-Customers-Protect-Container-Database-and-Serverless-Workloads"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS擴大GuardDuty安全防守範圍，可偵測容器、資料庫與無伺服器應用安全威脅</span></strong></a></p> <p>4月24日AWS宣布，旗下的威脅偵測服務Amazon GuardDuty將提供3項新功能，將防護範圍延伸至容器、資料庫、無伺服器應用。本次的新功能包括容器化工作負載威脅偵測功能EKS Runtime Monitoring、Aurora資料庫資料潛在威脅偵測功能RDS Protection、Lambda應用程式相關惡意行為分析功能Lambda Protection。</p> <p>上述能力是以Amazon GuardDuty現有的數百種偵測功能為基礎進行強化，而能夠將應用範圍擴及多種類型的雲端核心環境，使用者無須執行額外的部署、維護，或是更新作業，就能啟用前述新功能。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bitdefender.com/blog/businessinsights/unpacking-bellaciao-a-closer-look-at-irans-latest-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織Charming Kitten散布惡意軟體BellaCiao</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-xss-zero-day-flaw-in-server-management-tool/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科伺服器管理工具存在零時差漏洞，恐被用於跨網站指令碼攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/prestashop-fixes-bug-that-lets-any-backend-user-delete-databases/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子商務平臺PrestaShop出現能讓後臺使用者刪除資料庫的漏洞</span></span></strong></a></p> <p><a href="https://www.horizon3.ai/cve-2023-27524-insecure-default-configuration-in-apache-superset-leads-to-remote-code-execution/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源資料視覺化工具Apache Superset存在RCE漏洞</span></span></strong></a></p> <p><a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156575">【4月26日】法務部調查局資通安全處失火，疑為電腦設備負載過大造成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156542">【4月24日】美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案</a></strong></p> </div></div></div>
2023/4/27 17:30作者周峻佑https://www.ithome.com.tw/news/156594
臺灣人工智慧實驗室聯手臺灣微軟，將醫療AI導入Azure還結合ChatGPT快速產出報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（4/26），臺灣人工智慧實驗室（Taiwan AI Labs）與臺灣微軟簽署合作備忘錄，要將多項可信任的醫療AI產品，在未來一年內陸續導入微軟Azure混合雲，供臺灣醫療院所和國際機構採用，盼藉此推進次世代醫療平臺發展。</p> <p><span style="font-size:24px;"><strong>首先導入腦轉移瘤偵測AI，還整合生成式AI快速產出報告</strong></span></p> <p>臺灣人工智慧實驗室首先導入微軟Azure的AI產品是腦轉移瘤輔助偵測系統DeepMets。DeepMets可分析腦部磁振造影檢查影像（MRI），在短短30秒內揪出所有腦部腫瘤和病灶，並提供數量、直徑、體積等資訊。臨床醫師可根據這些資訊，來制定後續用藥和治療等決策。</p> <p>該系統導入微軟Azure混合雲後，還進一步整合生成式AI技術，利用ChatGPT大型語言模型優化，來快速產出符合健保署規範做法、觀察和結論的三段式報告，提高分析效率。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-04-27%20150904.png" /></p> <p>DeepMets導入Azure後，不只臺灣醫療院所可用，還打通國際市場大門，快速部署到美國西岸，受當地學研機構、醫療院所和藥廠的青睞與使用。臺灣微軟總經理卞志祥指出，這次聯手臺灣人工智慧實驗室，也是響應衛福部的次世代醫療平臺政策，要加速產業轉型。</p> <p><span style="font-size:24px;"><strong>要以人為中心，打造兼顧安全和創新的智慧醫療生態圈</strong></span></p> <p>臺灣人工智慧實驗室與臺灣微軟這次聯手有3大目標，也就是打造安全、可靠的次世代醫療服務，同時採用生成式AI來提高醫療效率，另也要讓臺灣醫療聯盟與Azure成為全球夥伴。</p> <p>臺灣微軟在2021年底，就曾宣布引進FHIR醫療產業雲，其中包含Azure、Microsoft 365、Dynamics 365和Power Platform四朵雲，來讓醫療業者開發所需的應用程式。當時，臺灣微軟也宣布要聯手臺灣15家產業夥伴、在2年內打造100個產業應用。</p> <p>現在，臺灣人工智慧實驗室加入臺灣微軟，將自家產品串接微軟平臺，像是Microsoft 365 Teams醫護協同合作平臺，以及Power Platform的行動化大數據分析工具，如Power Automate、Power Apps、Power BI和Power Virtual Agents等，來供醫療院所使用，優化醫護橫向溝通、醫療服務品質和病人安全控管。</p> <p>為確保智慧醫療創新應用都在安全、合規的前提下進行，臺灣微軟混合雲的各項工具和服務，如Azure、Microsoft 365、Dynamics 365和Power Platform等平臺，都通過ISO全系列安全認證（包含ISO 27001、ISO27017、ISO 27018），同時也符合國際醫療資料交換標準HL7 FHIR、美國醫療安全規範HIPPA和健康資訊信任聯盟安全架構HITRUST。</p> <p>不只微軟，臺灣人工智慧實驗室也提倡安全、可信任的AI。他們在數年前建置一套聯合學習平臺Harmonia，可實現只交換模型、不交換資料，來讓醫院發起專案、打造各類疾病AI模型。訓練模型後，臺灣人工智慧實驗室也會協助模型在多中心驗證和落地，該聯合學習機制，更防止資料被單一機構把持、或未經醫院授權下遭二次濫用。</p> </div></div></div>
2023/4/27 15:19作者王若樸https://www.ithome.com.tw/news/156590
Meta營收重返成長，盤後股價大漲11%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經歷連續三季的營收下滑之後，<a href="https://investor.fb.com/investor-news/press-release-details/2023/Meta-Reports-First-Quarter-2023-Results/default.aspx" target="_blank">Meta本周三（4/26）公布的2023財年第一季財報</a>終於重返成長態勢，該季Meta創下了286.5億美元的營收，比去年同期成長3%，因表現高於分析師預期，再加上樂觀的前景，令Meta當天的盤後股價大幅上揚11.65%，達233.79美元。</p> <p>該季Meta家族程式（Facebook、Instagram、Messenger與WhatsApp）的每日及每月用戶數分別達到30億與38億人，皆成長5%，其中，臉書的每日與每月用戶數為20億，成長4%，每月用戶數則有30億，增加2%。</p> <p>Meta於去年11月展開裁員行動，<a href="https://www.ithome.com.tw/news/154112" target="_blank">首波裁撤1.1萬人</a>，<a href="https://www.ithome.com.tw/news/155932" target="_blank">今年3月再裁1萬人</a>，裁員與重組的成本讓Meta首季淨收入減少了24%，為57億美元，每股盈餘則是2.2美元，亦低於去年同期的2.72美元。</p> <p>在286.5億美元的營收中，有超過283億美元來自於家族程式，元宇宙部門Reality Labs僅占了3.4億美元，家族程式的營業利潤為112億美元，Reality Labs則虧損了40億美元，高於去年同期所虧損的30億美元。</p> <p>在大裁逾兩萬名員工之後，Meta今年3月底的員工人數只剩 77,114人，已比去年同期少了1%。Meta執行長祖克柏（Mark Zuckerberg）表示，現在的Meta變得更有效率，將能更快地打造更好的產品，處於更有利的位置以實現長期願景。</p> </div></div></div>
2023/4/27 15:59作者陳曉莉https://www.ithome.com.tw/news/156591
英國決定阻止微軟與動視暴雪併購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）在經過數月的調查之後，<a href="https://www.gov.uk/government/news/microsoft-activision-deal-prevented-to-protect-innovation-and-choice-in-cloud-gaming" target="_blank">周三（4/26）正式宣布</a>將阻止微軟與動視暴雪（Activision Blizzard）併購案。<a href="https://activisionblizzard.substack.com/p/microsoft-deal-cma-decision" target="_blank">動視暴雪在同一天發表了聲明</a>，這並非該交易的最終定論，準備向英國的競爭上訴法院提出上訴。</p> <p><a href="https://www.ithome.com.tw/news/148954" target="_blank">微軟是在去年1月宣布</a>，將以每股95美元、總價687億美元買下動視暴雪，且這將是微軟史上最大的併購案。在CMA發表決定的當天，動視暴雪的股價下滑了11.45%，以76.81美元作收。</p> <p>CMA認為，微軟在全球雲端遊戲市場上已擁有6成以上的市占率，還具備Xbox、Windows作業系統，以及雲端運算架構等其它與雲端遊戲有關的重要優勢，此一交易將允許微軟藉由控制重要的遊戲內容持續強化微軟優勢，然而，倘若雙方未能合併，那麼動視暴雪將在可預見的未來開始透過雲端平臺供應遊戲。</p> <p>讓動視暴雪維持獨立可避免英國的遊戲玩家購買昂貴的遊戲主機與PC，還能替他們帶來更多的遊戲選項，若讓微軟於雲端遊戲市場初生之際即占據如此強大的位置，可能會破壞對相關機會的發展而言極其重要的創新。</p> <p>其實CMA在作出決定之前也收到了微軟提出的補救措施，然而，CMA認為這些措施不夠充分，也許會讓CMA在未來10年都要進行一定程度的監督，與其如此，不如阻止該合併案以讓雲端遊戲市場可繼續發展與形塑。</p> <p>動視暴雪則已宣布要對該決定提出異議與上訴，批評CMA的決定將會影響英國遊戲產業的投資、競爭及就業機會。</p> <p>微軟若成功買下動視暴雪，將讓微軟成為僅次於騰訊與Sony的全球第三大遊戲公司，而若此一交易告吹，那麼微軟便必須支付高達30億美元的合併終止費用。</p> </div></div></div>
2023/4/27 16:09作者陳曉莉https://www.ithome.com.tw/news/156592
Windows 11版Phone Link終於支援iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/155713" target="_blank">經2月底微軟釋出</a>首次加入iOS版Phone Link的Windows 11更新預覽版後，<a href="https://blogs.windows.com/windowsexperience/2023/04/26/phone-link-for-ios-is-now-rolling-out-to-all-windows-11-customers/" target="_blank">微軟昨（26）日宣布</a>，正式將Windows 11的Phone Link for iOS推向全球85個市場、39種語言的用戶。</p> <p>Phone Link讓Windows PC用戶可以將手機應用程式、檔案或任何內容映射到Windows PC上，方便用戶從PC上操作，包括接聽來電或訊息、或是操作手機App。這項功能概念承襲2015年的Phone Companion，2018年底微軟在Windows 10更新中以Your Phone取而代之，而在2022年3月微軟將之改名為Phone Link。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/2/2023/04/Phone-Link-Start-Up-V2-1.png" style="width: 550px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>到今年初為止，Phone Link只支援Android和Windows PC的同步。上個月微軟才釋出包括Phone Link for iOS的Windows 11更新預覽版。透過正式版的部署，啟用Phone Link for iOS的Windows 11 PC將可操作iPhone。但微軟指出，受到iOS方面的技術限制，目前這項功能僅提供基本的iOS支援，包括接、發電話與訊息，存取聯絡人等。這項功能不支援相片或影片分享、群組訊息，且訊息以會話（session）為基礎，只有在iPhone和PC啟動藍牙連線時才能傳送。</p> <p><a href="https://www.ithome.com.tw/news/153600" target="_blank">由於去年微軟也宣布</a>Windows 11整合iCloud相簿儲存（iCloud Photo Library），因此iPhone用戶可以從Windows 11的Photos App來存取iCloud。</p> <p>要使用Phone Link for iOS，iPhone必須安裝iOS 14以上版本，PC方面則尚不支援Windows 10。目前這項功能也還不支援iPad及Mac電腦。</p> <p>未來幾周內這項功能可部署到所有Windows 11 PC。Windows 11可以利用Windows工作列的搜尋功能搜尋Phone Link，再按照指示安裝設定。</p> </div></div></div>
2023/4/27 11:49作者林妍溱https://www.ithome.com.tw/news/156586
傳AT&T遭駭，致代管的用戶電子郵件信箱被駭客存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2023/04/26/hackers-are-breaking-into-att-email-accounts-to-steal-cryptocurrency/" target="_blank">《Techcrunch》報導</a>，美國電信龍頭AT&T遭駭，導致其代管的電子郵件服務曝險，已被駭客存取甚至接管。但AT&T否認系統遭駭。</p> <p>媒體引述消息人士報導，至少從本月初，一群駭客駭入AT&T的內部網路，得以存取AT&T代管的客戶電子郵件信箱，包括att.net、sbcglobal.net、bellsouth等。</p> <p>消息人士說駭客首先取得這家電信業者的內部網路的某部分系統，使其得以為任何電子郵件信箱用戶建立安全郵件密鑰（mail key）。根據AT&T的說明，用戶必須使用具備OAuth的郵件App，如Outlook Mobile、Apple Mail、Gmail等存取其信箱。不支援OAuth的App，如舊版Outlook、Mozilla Thunderbird、舊版Apple Mail/Mac Mail等，則必須建立一組特殊密碼，稱為「安全郵件密鑰」來存取郵件信箱。而在後者情況下，就必須使用郵件密鑰而非AT&T密碼存取其信箱。</p> <p>因此在本事件中，當攻擊者得以建立AT&T的安全郵件密鑰後，就能使用郵件App登入目標用戶的郵件帳號，然後藉此重設其他服務，例如加密貨幣交易平臺Coinbase的密碼。</p> <p>消息人士指出已有AT&T用戶受害，並且媒體也獲得2名用戶的確認。一名用戶表示其Coinbase帳戶被竊走13.4萬美元，另一名用戶則表示，他的Outlook被接管的情形從2022年11月至少發生10次，他相信駭客已經可直接讀取AT&T某個儲存Outlook存取憑證的資料庫。此外，<a href="https://old.reddit.com//r/ATT/comments/z6o1b7/someone_keeps_creating_secure_mail_keys_on_my_att/" target="_blank">Reddit上也有多名其他用戶反映</a>郵件信箱被駭。</p> <p>報導並指出，一則螢幕擷圖顯示一群駭客在Telegram群組宣稱，已取得整個AT&T員工資料庫，使其得以登入名為OPUS的AT&T內部入口網站。消息人士透露，這群駭客現在也駭入了AT&T內部VPN。</p> <p>AT&T向媒體證實，公司已發現有非授權建立安全郵件密鑰的行為，且「部份情況下」不需密碼即可登入郵件帳號。AT&T表示已更新安全控制且強制要求某些郵件帳號用戶重設密碼。</p> <p>不過這家電信業者不願說明有多少用戶受到影響，也否認公司有任何系統遭駭。AT&T表示駭客是經由API存取公司系統。</p> </div></div></div>
2023/4/27 12:11作者林妍溱https://www.ithome.com.tw/news/156588
【資安日報】4月26日，法務部調查局資通安全處失火，疑為電腦設備負載過大造成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門負責資安的資通安全處竟發生火災，而引起外界關注。這起事故引發外界許多聯想，調查局均否認，原因仍有待他們公布。</p> <p>大型軍火製造商遭到網路攻擊的情形也相當值得留意，例如，美國軍艦製造商Fincantieri Marinette Marine傳出遭到勒索軟體攻擊，而導致其資訊系統的運作受到衝擊。</p> <p>駭客在攻擊行動濫用ChatGPT及其他人工智慧系統的情況，今年初陸續有資安業者提出警告，但現在有資安業者指出，2022年濫用相關系統進行網路釣魚的情況，就已經出現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://news.pts.org.tw/article/633794"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">調查局廉政大樓失火，起火點為資通安全處</span></strong></a></p> <p>法務部調查局於4月24日晚間發生大火，起火點位於廉政大樓1樓資通安全處辦公室，燃燒面積約有50坪，消防隊出動超過20輛消防車進行滅火，約在10多分鐘控制火勢，所幸無人傷亡。火災過後，亦出現調查局網站無法連線的情況。</p> <p>針對此事，調查局初步認定，很有可能是電腦設備負載過大釀禍，但相關資料皆有備份，這起事故不影響相關工作進行。由於本次起火的資通安全處，主要業務是負責收集網路安全情報，防駭範客入侵，在失火之後，是否影響該單位對相關案件的偵辦，仍有待觀察。</p> <p><a href="https://news.usni.org/2023/04/20/ransomware-attack-hits-marinette-marine-shipyard-results-in-short-term-delay-of-frigate-freedom-lcs-construction"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國軍艦製造商Fincantieri Marinette Marine傳出遭勒索軟體攻擊</span></strong></a></p> <p>根據新聞網站USNI報導，美國海軍建造軍艦的廠商Fincantieri Marinette Marine於4月12日可能遭到勒索軟體攻擊，傳言指出該公司的網路伺服器大量資料被破壞。</p> <p>對此，Fincantieri Marinette Marine證實造船廠遭到網路攻擊，電子郵件與網路業務處於離線狀態，但表示他們旗下3個造船廠的維修、建造業務仍持續進行。該新聞網站指出，遭到攻擊的伺服器，存放的資料與控制生產的機器有關，很有可能導致相關設備離線時間長達數日之久。至於駭客是否竊取機密資料？目前仍不得而知。</p> <p><a href="https://www.zerodayinitiative.com/blog/2023/4/21/tp-link-wan-side-vulnerability-cve-2023-1389-added-to-the-mirai-botnet-arsenal"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">TP-Link無線路由器漏洞遭到利用，植入殭屍網路病毒Mirai</span></strong></a></p> <p>趨勢科技旗下的Zero Day Initiative（ZDI）提出警告，TP-Link無線路由器Archer AX21的漏洞CVE-2023-1389（CVSS風險評分為8.8），於上週出現攻擊行動，駭客針對設置於東歐地區的這款路由器機型下手，部署殭屍網路病毒Mirai，下載更多作案工具，並透過暴力破解的方式進行橫向感染。</p> <p>針對此漏洞，TP-Link於3月17日提供新版韌體予以修補，漏洞之所以發現，源於去年舉行的漏洞挖掘競賽Pwn2Own，ZDI於1月通報TP-Link。</p> <p><a href="https://info.zscaler.com/resources-industry-reports-threatlabz-phishing-report"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">濫用ChatGPT的網路釣魚攻擊活動，在2022年就已現蹤</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OOhkDgBuKl_20230426-1640-03607.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OOhkDgBuKl_20230426-1640-03607.png" style="width: 300px; float: right;" /></a>資安業者Zscaler針對2022年的網路釣魚態勢提出看法，他們發現時下的攻擊行動裡，普遍仰賴遭竊的帳密資料，以及採用對手中間人攻擊（AiTM）、濫用星際檔案系統（IPFS）、偏好利用網釣工具包的情況顯著增加，但與過往不同的是，駭客開始使用ChatGPT等人工智慧相關工具，使得攻擊事件的數量增加，同時手法也變得更加複雜。</p> <p>而對於駭客用來引誘受害者上當的品牌名稱，研究人員表示第1名是微軟，其次是該公司旗下的雲端檔案共享服務OneDrive，但值得留意的是，第3名是加密貨幣交易所幣安（Binance）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-fixes-critical-zero-day-exploit-chain-used-at-pwn2own/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware兩套PC虛擬化軟體被挖出漏洞，本周公布修補方式</span></strong></a></p> <p>4月25日VMware發布虛擬化軟體VMware Workstation 17.0.2、Fusion 13.0.2，總共修補4個漏洞，其中有2個CVE-2023-20869、CVE-2023-20870是零時差漏洞，值得一提的是，這些漏洞是資安業者STAR Labs參與漏洞挖掘競賽Pwn2Own Vancouver 2023的過程中揭露，CVSS風險評分為9.3、7.1。這2個漏洞都與主機和虛擬機器（VM）共用藍牙設備有關，而有可能讓攻擊者用來執行任意程式碼，或是竊取特定資訊。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.securityweek.com/solarwinds-platform-update-patches-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">強化PyPI套件發布者的身分安全性，可運用無密碼方式自動發布套件</span></strong></a></p> <p>4月20日PyPI經營團隊宣布，他們將提供「受信任的發布（Trusted Publishing）」機制，讓套件維護者能藉由OpenID Connect（OIDC）標準協定來存取PyPI，這項機制將會在受到信任的第三方機構與PyPI之間，交換Token，使得套件維護者不需使用帳密資料，或是手動產生API的Token，就能通過身分驗證，且能將流程自動化。</p> <p>目前此套件發布機制支援透過GitHub Actions進行，PyPI經營團隊亦打算支援更多OIDC身分驗證服務。</p> <p><a href="https://www.ithome.com.tw/news/156549"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">動態密碼產生器Google Authenticator開始支援與Google帳號同步</span></strong></a></p> <p>4月24日Google更新旗下的動態密碼產生器Google Authenticator，最大變動是支援將此App產生的動態密碼備份至Google帳號，有了這個備援機制，一旦行動裝置遺失時，使用者仍能以此進行雙因素驗證流程。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://ccdcoe.org/news/2023/worlds-largest-cyber-defense-exercise-locked-shields-kicks-off-in-tallinn/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">38國參與北約組織2023年網路攻防演習</span></strong></a></p> <p>4月19日，北約組織合作網路防禦卓越中心（CCDCOE）於愛沙尼亞首都塔林舉辦Locked Shields網路攻防演練，本次演習為期4天，總共有38國、3千名人士參與，相較於2022年有32國、2千人與會的情況，今年參與的國家與人數顯著增加，很有可能和仍在進行的烏克蘭戰爭有關。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://research.checkpoint.com/2023/educated-manticore-iran-aligned-threat-actor-targeting-israel-via-improved-arsenal-of-tools/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列組織遭到伊朗駭客Educated Manticore鎖定</span></span></strong></a></p> <p><a href="https://arxiv.org/pdf/2304.10877.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Intel處理器存在瞬間執行漏洞，恐被用於旁路攻擊</span></span></strong></a></p> <p><a href="https://www.bitsight.com/blog/new-high-severity-vulnerability-cve-2023-29552-discovered-service-location-protocol-slp"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">服務定位協定SLP漏洞恐被用於DDoS流量放大攻擊</span></span></strong></a></p> <p><a href="https://cybelangel.com/2023-state-of-easm-report-cybelangel-analysis-of-half-billion-internet-facing-apps-devices-reveals-top-trends-in-critical-exposures-to-cyberattacks-across-industries/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">未受保護的網頁伺服器曝露逾700億個檔案</span></span></strong></a></p> <p><a href="https://www.aquasec.com/cloud-native-academy/docker-container/registry-scanning/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">錯誤配置的雲端軟體登錄檔曝露逾2.5億個物件</span></span></strong></a></p> <p><a href="https://www.akamai.com/lp/soti/slipping-through-the-security-gaps-the-rise-of-application-and-api-attacks"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定科技與零售業的API與應用程式攻擊翻倍成長</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156554">【4月25日】 PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156542">【4月24日】美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></strong></p> </div></div></div>
2023/4/26 16:49作者周峻佑https://www.ithome.com.tw/news/156575
AWS擴大GuardDuty安全防守範圍，可偵測容器、資料庫與無伺服器應用安全威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS威脅偵測服務<a href="https://www.businesswire.com/news/home/20230424005364/en/AWS-Announces-Three-New-Amazon-GuardDuty-Capabilities-to-Help-Customers-Protect-Container-Database-and-Serverless-Workloads">Amazon GuardDuty</a>獲得三項功能更新，防護範圍擴大至容器、資料庫和無伺服器應用。新加入的功能包括可偵測容器化工作負載威脅的EKS Runtime Monitoring，以及偵測Aurora資料庫資料的潛在威脅的RDS Protection，還有可分析Lambda應用程式相關惡意行為的Lambda Protection。</p> <p>GuardDuty能夠持續分析AWS帳戶和資源活動，並且偵測諸如惡意行為、未經授權的存取，或是不安全來源等潛在威脅。該服務使用機器學習和異常行為偵測等技術，整合AWS自家與其他安全威脅情報，對雲端活動進行分析，即時阻擋連接埠掃描、惡意軟體橫向移動，以及已知惡意IP位置活動等不尋常行為。</p> <p>GuardDuty的威脅偵測功能以及覆蓋範圍廣泛，新增的3項功能，強化原有100多種威脅偵測功能基礎，並將安全範圍進一步擴大至更多類型的雲端核心部署用例。GuardDuty現在可提升Amazon EKS的安全性，EKS Runtime Monitoring功能引入了一個全託管的輕量級安全代理，可以分析和監控主機作業系統的行為，諸如檔案存取、程序執行和網路連接等。</p> <p>用戶不需要執行任何部署、維護和更新動作，就能夠簡單地啟用GuardDuty保護EKS工作負載，在高度動態的容器化運算環境，更能體現GuardDuty的易用性，官方提到，GuardDuty可以簡單地保護跨帳號或是組織的所有EKS工作負載。由於GuardDuty同時監控了執行時事件、Kubernetes稽核日誌，以及來自AWS控制平面和網路日誌的資料，因此能夠及早察覺潛在威脅。</p> <p>現在Aurora資料庫也納入GuardDuty的防守範圍中，GuardDuty能夠在不影響資料庫效能和可用性的前提下，辨識存放在Aurora資料庫中的潛在威脅資料。GuardDuty可分析和監控既有和新的資料庫存取活動，透過整合威脅情報和機器學習模型，偵測資料庫可疑的登入活動。</p> <p>連傳統威脅偵測方法，難以偵測的無伺服器應用程式安全風險，GuardDuty也能夠提供有效保護。AWS指出，因為無伺服器工作負載添加了抽象層，使得傳統威脅偵測方法通常難以介入。而GuardDuty能持續監控無伺服器工作負載，分析與Lambda函式相關的網路通訊，以便偵測惡意通訊和諸如加密貨幣挖掘等有害活動。</p> </div></div></div>
2023/4/26 16:42作者李建興https://www.ithome.com.tw/news/156574
Google Cloud首度轉虧為盈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://abc.xyz/investor/static/pdf/2023Q1_alphabet_earnings_release.pdf" target="_blank">Alphabet周二（4/25）公布該公司今年第一季財報</a>，該季Alphabet創下698億美元的營收，比去年同期增加3%，當中最受矚目的是Google Cloud締造了74.5億美元的營收，成長28%，而且出現了1.9億美元的盈餘，這是Alphabet自3年前開始揭露Google Cloud營收以來首度獲利，去年同期Google Cloud虧損了7.1億美元。</p> <p>在698億美元的營收中，Google搜尋占了403億美元，Google網路占了75億美元，YouTube廣告占了67億美元，上述廣告營收的總和為545億美元，占Google總營收的78%，至於Google Cloud雖僅占Google總營收的10.7%，卻是目前成長最快的服務。</p> <p>至於新創事業（Other Bets）在該季的營收只有2.9億美元，比去年同期下滑了34.5%，虧損亦從8.4億美元擴大至12.3億美元。</p> <p>此外，有鑑於DeepMind與Google Services、Google Cloud及新創事業之間的合作愈來愈密切，再加上<a href="https://www.ithome.com.tw/news/156498" target="_blank">DeepMind已在日前與Google Brain合併成Google DeepMind</a>，自今年第一季起，DeepMind或Google DeepMind的財務狀況將不再被納入新創事業，而會被視為Alphabet的企業成本。</p> <p>Alphabet今年第一季的企業成本為32.9億美元，遠高於去年同期的3.4億美元，但此一增幅主要來自於該季裁員與縮減辦公室空間、而衍生的25億美元支出。</p> <p>儘管<a href="https://www.ithome.com.tw/news/155250" target="_blank">Alphabet在今年第一季大裁1.2萬人</a>，但截至3月底，Alphabet的員工人數仍超過19萬名，去年同期僅有16.4萬名。</p> <p>Alphabet在該季的每股盈餘為1.17美元，低於去年同期的1.23美元，財報公布當天的盤後股價上漲了1.48%，為106.15美元。</p> </div></div></div>
2023/4/26 13:15作者陳曉莉https://www.ithome.com.tw/news/156571
歐盟公布必須遵循《數位服務法》的19項大型服務，Google Play、臉書、蘋果App Store與維基百科皆入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_2413" target="_blank">歐盟執委會（European Commission，EC）在周二（4/25）公布了必須遵循《數位服務法》（Digital Services Act，DSA）的19項大型網路服務</a>，涵蓋Amazon Store、蘋果App Store、Google Play、Google Maps、Facebook、維基百科、Bing及Google Search等，而EC內部市場專員Thierry Breton則在記者會上表示，這些服務必須在8月25日以前遵循該法令，否則便可能面臨龐大罰款。</p> <p>《數位服務法》主要的目的為建立一個更安全的數位空間，以保護所有數位用戶的基本權利，要求各大服務賦予使用者更多的權力，對未成年用戶有更強大的保護，必須審核內容以減少不實資訊，也得更透明及更負責任。</p> <p>從細項來看，該法令希望使用者能夠清楚了解被推薦內容的原因，也能選擇退出；讓使用者更容易檢舉違法內容；平臺不得利用使用者的敏感資訊來遞送廣告；平臺必須具備更簡明扼要的服務條款；必須確保未成年用戶的隱私；不得針對兒童遞送目標式廣告；以及必須採取措施來解決非法內容、或對資訊/言論自由帶來負面影響的風險。</p> <p>EC所指定的19項服務的每月用戶數都超過4,500萬名，它們分別是Google的Google Play、Google Maps、Google Shopping、YouTube與Google Search，Meta的Facebook與Instagram，微軟的Bing與LinkedIn，還有蘋果的App Store，Amazon Store，Alibaba AliExpress，Booking.com，Pinterest，Snapchat，TikTok，Twitter，Zalando及維基百科（Wikipedia）。</p> <p>適用於《數位服務法》的4類業者涵蓋ISP及網域名稱註冊商，代管服務業者，諸如線上市集、行動程式市集與社交媒體等平臺業者，以及在歐盟觸及率超過10%的超大型網路平臺，EC本周所指定的19項服務即符合最後一項，未來將由EC負責監督。</p> <p>至於歐盟的基它國家也被要求，要在明年2月17日以前建立與實施《數位服務法》，並負責監督其它較小的平臺與搜尋引擎。</p> </div></div></div>
2023/4/26 13:31作者陳曉莉https://www.ithome.com.tw/news/156572
TP-Link Archer一款無線路由器遭新Mirai病毒鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zerodayinitiative.com/blog/2023/4/21/tp-link-wan-side-vulnerability-cve-2023-1389-added-to-the-mirai-botnet-arsenal" target="_blank">安全廠商發現</a>網路近日出現Mirai殭屍網路（botnet）病毒，正在鎖定TP-Link一款無線路由器發動攻擊。</p> <p>趨勢科技旗下的Zero Day Initiative安全研究室的遙感系統，4月中偵測到一個不知名的攻擊者利用TP-Link Archer AX21無線路由器的漏洞部署Mirai殭屍網路病毒。主要受害者位於東歐。在成功植入Mirai後，就從Mirai的C&C伺服器發出呼叫以下載更多二進位程式，然後透過暴力破解方式，尋找適合目標系統加入其殭屍網路。</p> <p>這群駭客利用的是TP-Link Archer AX21上編號CVE-2023-1389的漏洞。這項漏洞為存在Locale API上merge_country_config功能的指令注入漏洞，源自該功能對用戶輸入字串驗證不足，而執行攻擊者發送帶有寫入指令的系統呼叫，造成在Root目錄下的任意程式碼執行。攻擊者不需經過驗證也能濫用這項漏洞。</p> <p>本漏洞風險值為CVSS 3.1版的8.8，屬重大漏洞。</p> <p>CVE-2023-1389是去年12月於多倫多舉行的Pwn2Own上首先展示，兩間安全研究室包括Team Viettel及Tenable分別發現漏洞位於路由器的區域網路（LAN）介面，但另一家安全廠商Qrious Security則證實也可以由路由器的WAN介面濫用。後者發現，可以local API指令注入手法，串聯CVE-2023-1389和競爭條件（race condition）漏洞達成程式碼執行的目的。</p> <p>ZDI於今年1月通報TP-Link，<a href="https://www.tp-link.com/us/support/download/archer-ax21/v3/#Firmware" target="_blank">這家廠商已經在3月17日釋出新版韌體解決漏洞</a>。<a href="https://www.bleepingcomputer.com/news/security/tp-link-archer-wifi-router-flaw-exploited-by-mirai-malware/" target="_blank">Bleeping Computer報導</a>，遭感染的裝置會出現網路過熱、斷線、網路設定莫名其妙改變，或是管理員密碼重設等癥狀。</p> </div></div></div>
2023/4/26 13:48作者林妍溱https://www.ithome.com.tw/news/156573
ChatGPT允許用戶關閉、匯出對話紀錄、正在開發企業版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應外界的隱私疑慮，<a href="https://openai.com/blog/new-ways-to-manage-your-data-in-chatgpt" target="_blank">OpenAI昨（25）日宣布</a>將增加隱私選項，允許用戶關閉ChatGPT的對話紀錄，也可以匯出舊有對話紀錄。此外OpenAI也宣布正在開發企業版 ChatGPT訂閱方案。</p> <p>OpenAI之前一項為人詬病之處是會紀錄用戶和ChatGPT的對話，將之用於訓練、微調底層AI模型。即使用戶可以定期主動清除對話紀錄，但期間這些對話還是會成為訓練資料。此外，<a href="https://www.ithome.com.tw/news/156068" target="_blank">上個月ChatGP也緊急修補</a>一個可能導致用戶對話紀錄標題外洩的漏洞。</p> <p>利用這項新功能，一旦用戶關閉對話紀錄，任何之後對話就不會再被用於ChatGPT模型訓練，也不會出現在歷史紀錄側邊欄中。不過OpenAI 說，在用戶設定關閉紀錄後，新的對話內容還是會保留30天以便監控是否有濫用情形，之後才會永久刪除。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0426-how%20to%20disable%20history%20in%20ChatGPT.png" style="width: 600px;" /></p> <p>新的控制功能將從今天部署到所有用戶，可以在ChatGPT設定中找到，用戶可以隨時選擇退出（opt-on）或變更。</p> <p>OpenAI還加入另一項新功能，方便用戶更容易將ChatGPT的對話或其他資料以檔案形態匯出，以便儲存在PC上，也可用於檢視ChatGPT儲存了什麼資訊。匯出功能位於ChatGPT的設定功能中的「Show」選項中。</p> <p>最後，繼ChatGPT Plus付費方案後，<a href="https://help.openai.com/en/articles/7730893-data-controls-faq" target="_blank">OpenAI昨日也宣布</a>正在開發ChatGPT Business訂閱方案，提供給希望有更大資料控管權的用戶，以及想管理終端用戶的企業。這項方案會遵循OpenAI的API資料使用政策，意謂預設不會使用終端用戶的資料於ChatGPT及DALL-E等模型的訓練。OpenAI說ChatGPT Business預計在未來幾個月中問世。</p> <p>在此之前，<a href="https://docs.google.com/forms/d/e/1FAIpQLScrnC-_A7JFs4LbIuzevQ_78hVERlNqqCPCt3d8XqnKOfdRdQ/viewform" target="_blank">OpenAI也允許用戶填寫</a>線上申請單，以要求退出該公司的模型訓練。</p> </div></div></div>
2023/4/26 11:08作者林妍溱https://www.ithome.com.tw/news/156570
Google在多項安全解決方案整合資安用生成式AI模型Sec-PaLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於技術的進展，大型語言模型的應用範圍不再只是單純處理語言，現在資訊安全領域也是大型語言模型熱門的應用領域，Google開發了一個名為<a href="https://cloud.google.com/blog/products/identity-security/rsa-google-cloud-security-ai-workbench-generative-ai">Sec-PaLM的大型語言模型</a>，該模型針對安全用例進行微調，用於諸如Security AI Workbench、VirusTotal Code Insight和Mandiant Breach Analytics for Chronicle等安全解決方案。</p> <p>Google推出整合Sec-PaLM的Security AI Workbench平臺，該平臺運用安全語言模型，更整合豐富的安全情報，包括Google威脅態勢，以及Mandiant漏洞、惡意軟體、威脅指標和威脅參與者基本資料等訊息。Google的合作夥伴和用戶可以透過API存取Security AI Workbench，獲得重要威脅情報和各種安全功能。</p> <p>用戶現在可申請使用VirusTotal Code Insight預覽，這是Google運用Security AI Workbench，所建構的示範安全解決方案，其使用Sec-PaLM分析和解釋惡意腳本行為，協助用戶發現存在威脅的腳本。</p> <p>而Mandiant Breach Analytics for Chronicle也整合Sec-PaLM，協助用戶探索環境中的漏洞，並且即時作出回應。Chronicle的用戶不需要學習新語法，便可利用大型語言模型，以自然語言要求系統搜尋安全事件，並且進一步分析搜尋結果，或是快速創建掃描任務。</p> <p>Google的安全指揮中心（Security Command Center）現在也會運用Sec-PaLM，將複雜的攻擊圖，轉換成為人類可讀的攻擊解釋，說明可能影響的資產以及推薦解決辦法，同時還能對安全、法遵和隱私生成風險摘要。</p> <p>生成式人工智慧的安全應用層面廣泛，像是Google最近開放的Assured OSS服務，便是使用Sec-PaLM，協助驗證開源軟體套件，使得Google能夠在Assured OSS服務提供安全，經過漏洞測試的套件。而建立在Mandiant威脅圖之上的Mandiant威脅情報人工智慧，也利用Sec-PaLM快速查詢、總結和回應安全威脅。</p> <p>Google並非唯一將大型語言模型用於資安領域的廠商，像是在3月底時，微軟就已發布整合OpenAI GPT-4模型的<a href="https://www.ithome.com.tw/news/156183">Security Copilot</a>，透過整合微軟的安全情報資料庫，可供資安人員以自然語言的方式，查詢並且分析威脅資料，並且進一步探索攻擊活動。</p> </div></div></div>
2023/4/26 08:48作者李建興https://www.ithome.com.tw/news/156568
Gogolook推出Roo AI，以生成式AI技術打造AI智能問答服務，不只回答在地化金融商品資訊，還能根據提問提醒用…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3年前Gogolook推出了名為貸鼠先生的金融諮詢服務，可協助消費者辨識網路上各種真假難辨的金融商品資訊，減少詐貸等問題，3年後，該平臺每月活躍用戶數成長達2百萬人，還完成了逾1萬人次的一對一真人線上諮詢及5萬件貸款媒合。</p> <p>為了提供更多元金融商品諮詢服務，該公司今天（4/25）不只宣布以「袋鼠金融」作為新品牌名稱，更推出以ChatGPT的生成式AI技術為基礎打造的全新AI智能問答服務「Roo AI」，不只能讓生成內容貼近臺灣消費者金融知識與提供更正確資訊，甚至是可以從用戶提問內容中找出可能導致用戶受騙的資訊加以提醒，小心不要被騙！雖然目前還是Beta版本，使用者已能使用該問答服務。</p> <p>Gogolook共同創辦人暨執行長郭建甫表示，平臺正式更名為袋鼠金融後，除了擴大服務範圍，可提供從信貸、信用卡、數位帳戶、到證券、理財相關一站式多元的金融知識服務，也將透過結合不斷進步的AI相關知識，希望建構一個更開放創新的平臺，讓用戶可以在這裡互動、持續學習，為各個不同階段的用戶，找到最適合其個人的金融知識與商品，朝普惠金融之路邁進。</p> <p>Gogolook在袋鼠金融平臺所打造第一個生成式AI應用，就是在真人線上客服之外，開始透過生成式AI提供金融問答服務，「運用生成式AI技術，讓我們可以站在巨人的肩膀上，打造臺灣本土首款的金融商品問答服務。」郭建甫這樣說。</p> <p>去年11月底ChatGPT發表後，Gogolook團隊12月就展開評估，然後決定投入研發，並花了3個多月完成開發。一開始Gogolook測試過了許多LLM模型，包括GPT-2、GPT-3.5、GPT4和中研院國產版本等，最後決定使用3.5版GPT模型來打造自己的金融版ChatGPT。</p> <p>但是，ChatGPT過去經常被人發現給出錯誤或不正確的答案，而且使用資料庫數據也不是最新數據，為了避免這種情況出現在Roo AI身上，因此，研發團隊使用了自己建立的資料庫作模型訓練，搭配GPT語意模型，來訓練自己的LLM模型，一共使用了超過1千篇、累積400萬字的金融文章和200多項金融商品資訊訓練模型，以便讓生成內容能夠貼近臺灣消費者金融需求的回答。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230425_033511745.jpg" style="width: 600px; height: 338px;" /></p> <p>目前企業使用ChatGPT技術時，主要有fine-tuning 和Embedding兩種做法來訓練自己的LLM模型，Gogolook同時結合兩種方式打造Roo AI問答模型。</p> <p>流程上，使用者輸入問題後，會先從金融資料庫中來比對搜尋，找出能夠匹配這個問題的相關文本內容，接著會連同提問文字以向量形式進行處理<span>，</span>再輸入到GPT模型上進行內容生成，再將生成結果搭配參考資訊回傳給使用者。研發團隊使用嵌入式文字匹配技術，建構出一個Roo上下文分析器，可以根據輸入問題找出匹配文本內容，再一起放進GPT模型生成內容，以此來提升生成內容的正確性，因為使用本地金融資料庫，也喪生成結果更貼近臺灣用戶金融需求。</p> <p>除了使用GPT 3.5模型，來生成回覆內容之外，在前期提問文字處理上，他們也使用BERT的NLU語言模型，用於處理斷詞、關鍵字進行語意<span>分類和描述</span>，甚至還用它來預先過濾提問中可能包含的一些非法詞彙，例如說「我要買炸彈要用一些信用卡」，即使是通過第一層NLU模型的過濾，之後進到ChatGPT後，還有另一道過濾機制，是透過事前Prompt的設定，來限制ChatGPT回答，避免給出有問題或危害的答案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230425_033802521.jpg" style="width: 600px; height: 338px;" /></p> <p>袋鼠金融Roo.Cash產品負責人劉睿哲表示，他們還打造一套內容回覆品質分數系統，這套系統會根據每次用戶問題的回答，给予不同高低分數的評價，除了會用來作為後續模型調校，針對評價為高分的回答，下一次遇到相同或類似提問時，就能直接套用先前獲得高分的內容回覆。他表示，目前每月有超過一千次以上模型微調，讓它在金融商品問答表現更好。</p> <p>他們內部比較了在同一個問題下，使用Roo AI和GPT-4模型作答的表現，結果Roo AI不只能提供更即時且正確的金融商品資訊，甚至也可以從用戶提問的內容中，找出可能是詐騙或不實的可疑資訊，再回覆問題時加註提醒用戶，小心不要被騙。例如當使用者提問：「某家業者的青年創業貸款代辦服務是否為詐騙？」Roo AI除了提醒代辦業者提出高額代辦費用可能是詐騙外，也建議提問者找正規金融業者申辦，避免受騙。相較之下，GPT-4模型並無法給出具體建議和指引。</p> <p>不過使用者向Roo AI提問時，平均需等待30秒到1分鐘左右才能收到回覆。不過目前這項服務還只是beta版，有使用次數限制，每位用戶一天提問最多不能超過10次。Gogolook表示，未來將透過用戶回饋持續調校優化LLM模型。</p> <p>除了金融問答服務，Gogolook未來也將透過Roo AI推出無障礙金融服務，提供視障者的語音轉文字和文字轉語音的功能。</p> </div></div></div>
2023/4/25 16:35作者余至浩https://www.ithome.com.tw/news/156566
【資安日報】4月25日，PaperCut列印管理系統傳出漏洞被用於攻擊消息，但完成修補的系統只有1成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週列印管理系統供應商PaperCut提出警告，該公司於1個月前修補的高風險漏洞出現攻擊行動，資安業者Huntress提出警告，根據他們的調查，大部分的PaperCut用戶仍在使用存在漏洞的軟體版本，呼籲IT人員儘速安裝更新程式。</p> <p>針對Mac電腦而來的惡意程式攻擊也相當值得留意。近期名為RustBucket惡意程式攻擊行動就是其中1例，在此之前，<a href="https://www.ithome.com.tw/news/156430">勒索軟體駭客LockBit也開始針對這種電腦製作惡意軟體</a>。</p> <p>在前述的資安威脅之餘，時下熱門的大型語言模型（LLM），現在被用於強化惡意程式的檢測上，將可能減少誤判的現象。例如，惡意軟體分析平臺VirusTotal就宣布導入名為Code Insight的機制，希望能改善檢測的能力。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.huntress.com/blog/critical-vulnerabilities-in-papercut-print-management-software"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">列印管理軟體PaperCut漏洞已出現攻擊行動，但仍有9成伺服器尚未修補</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/papercut (8)-png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/papercut%20(8)-png.png" style="width: 300px; float: right;" /></a>4月19日列印管理軟體業者PaperCut提出警告，表示3月修補的漏洞CVE-2023-27350、CVE-2023-27351，傳出已被用於攻擊行動的狀況，現在有研究人員透露更多細節。</p> <p>資安業者Huntress於4月21日指出，他們約在16日開始看到相關的漏洞利用攻擊行動，並向PaperCut通報，當時駭客先是透過PowerShell於受害主機部署遠端管理軟體Atera、Syncro，企圖植入名為Truebot的惡意程式。</p> <p>根據該資安業者的掃描，他們有710個客戶建置了執行Windows作業系統的PaperCut主機，總數為1,014臺，但其中有908臺存在上述的漏洞。而對於攻擊者的身分，研究人員指出，很有可能是與勒索軟體駭客Clop有關的另一個組織Silence所為。</p> <p><a href="https://www.jamf.com/blog/bluenoroff-apt-targets-macos-rustbucket-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mac用戶遭到北韓駭客鎖定，發動惡意軟體RustBucket攻擊</span></strong></a></p> <p>蘋果裝置管理平臺供應商Jamf揭露惡意軟體攻擊行動RustBucket，發起者是北韓駭客組織BlueNoroff，他們透過尚未完成數位簽署的應用程式Internal PDF Viewer，傳送第一階段的惡意程式，後續再到受害電腦載入第二階段的惡意酬載。</p> <p>而到了第二階段，駭客透過帶有簽章的應用程式（名稱亦為Internal PDF Viewer）發動攻擊，並向受害者顯示含有投資訊息的特定PDF檔案，目的是讓受害電腦向攻擊者進行通訊，從駭客的C2伺服器下載以Rust語言寫成的惡意程式RustBucket，能於Arm與x86架構的Mac電腦執行。</p> <p><a href="https://www.reversinglabs.com/blog/package-names-repurposed-to-push-malware-on-pypi"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過重新上架PyPI同名套件來散布惡意程式</span></strong></a></p> <p>資安業者ReversingLabs揭露名為termcolour的惡意PyPI套件，研究人員在3月初發現此套件，但引起他們注意的地方在於，同名套件曾於2年前上架，直到今年駭客才再發布同名的惡意套件。</p> <p>研究人員認為，駭客利用這種曾發布的套件名稱，而將刻意使用相同命名的惡意套件上架到PyPI套件儲存庫，有可能因此導致那些使用已下架套件卻不知其被「掉包」的用戶，成為駭客的攻擊目標。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/cisco-patches-critical-vulnerabilities-in-industrial-network-director-modeling-labs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科修補工控系統的重大漏洞</span></strong></a></p> <p>4月19日思科發布資安通告，坦承他們的工業網路管理系統Industrial Network Director（IND）、網路模擬工具Modeling Labs存在重大漏洞。</p> <p>IND有一個CVE-2023-20036漏洞，起因是IND對於上傳的裝置套件未進行足夠的驗證，攻擊者可在無需通過身分驗證的情況下，用管理者權限執行任意命令，CVSS風險評分為9.9。</p> <p>Modeling Labs的漏洞是CVE-2023-20154，原因是在處理外部身分驗證伺服器回傳訊息不當，CVSS風險評分為9.1。</p> <p><a href="https://www.securityweek.com/solarwinds-platform-update-patches-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SolarWinds修補高風險漏洞</span></strong></a></p> <p>IT基礎架構管理軟體業者SolarWinds針對旗下的管理平臺SolarWinds Platform發布修補程式，修補2個高風險漏洞CVE-2022-36963、CVE-2022-47505。</p> <p>前者為命令注入漏洞，攻擊者若是能取得管理者帳號的權限，就可能利用這項漏洞，CVSS風險評分為8.8。</p> <p>另一個漏洞則是與提升權限有關，攻擊者可在取得電腦使用者帳戶的情況下，藉此提升本機權限，CVSS風險評分為7.8。</p> <p><a href="https://www.greynoise.io/blog/openai-minio-and-why-you-should-always-use-docker-cli-scan-to-keep-your-supply-chain-clean"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源物件儲存系統MinIO存在漏洞，起因是ChatGPT採用了含有漏洞的版本</span></strong></a></p> <p>資安業者GrayNoise研究人員發現，OpenAI在大型語言模型ChatGPT的範例程式當中，使用的開源物件儲存系統MinIO存在漏洞CVE-2023-28432，有可能導致環境變數外流，例如：MINIO_SECRET_KEY、MINIO_ROOT_PASSWORD。一旦攻擊者利用上述漏洞，MinIO叢集就有可能將所有環境變數傳送給攻擊者，CVSS風險評分為7.5。</p> <p>研究人員表示，目前尚未有ChatGPT系統遭到攻擊的跡象，但他們已經看到網路上有積極嘗試利用漏洞的行動，呼籲用戶應儘速更新此框架元件。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blog.virustotal.com/2023/04/introducing-virustotal-code-insight.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體分析網站VirusTotal導入大型語言模型</span></strong></a></p> <p>4月24日惡意軟體分析網站VirusTotal於本週巨型的RSA全球資安大會上宣布，他們將提供程式碼分析服務名為Code Insight。</p> <p>此服務以Google Cloud發布的Security AI Workbench為基礎，並採用專門針對資安領域調整的大型語言模型Sec-PaLM來進行解讀，找出可能有害的檔案並進行調查，以便有效提升用於分析的資源。</p> <p>該網站表示，Code Insight將會獨立進行分析，不會參考防毒引擎的分析結果或是其他資料，而有機會找出原本被誤報的情況。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/cyber-threat-advisory/dog-hunt-finding-decoy-dog-toolkit-via-anomalous-dns-traffic/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">DNS惡意軟體工具包Decoy Dog鎖定組織的網路設備而來</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/04/18/crosslock-ransomware-emerges-new-golang-based-malware-on-the-horizon/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體CrossLock繞過作業系統的事件追蹤機制</span></span></strong></a></p> <p><a href="https://research.checkpoint.com/2023/raspberry-robin-anti-evasion-how-to-exploit-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Raspberry Robin採用新的迴避偵測手法</span></span></strong></a></p> <p><a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/yellow-pages-canada-confirms-cyber-attack-as-black-basta-leaks-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大黃頁搜尋網站Yellow Pages傳出遭到勒索軟體Black Basta攻擊</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156547"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">ESET分析二手企業路由器，56%含有前用戶的配置資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156542">【4月24日】美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還會加密檔案</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a></strong></p> </div></div></div>
2023/4/25 16:21作者周峻佑https://www.ithome.com.tw/news/156554
Google Authenticator開始與Google帳號同步，不必再擔心裝置遺失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/04/google-authenticator-now-supports.html" target="_blank">Google本周更新了支援Android與iOS的雙步驟身分驗證程式Google Authenticator</a>，允許使用者將該程式所產生的一次性密碼備份到Google帳號中，以免在手機遭竊或遺失之際，無法再登入基於Google Authenticator的網站或服務。</p> <p>Google是在2010年推出Google Authenticator，可安裝於Android或iOS手機上，當使用者造訪支援Google Authenticator的服務或網站時，這些程式/網站可運算並要求使用者輸入一個6~8位數的一次性密碼，作為尋常密碼之外的第二階段驗證因素，裝置上的Google Authenticator便會運算並顯示該密碼，供使用者輸入以驗證身分。</p> <p>過去這些一次性密碼僅存放於使用者裝置上的Google Authenticator中，因此，一旦裝置遺失或遭竊，使用者便難以再登入相關服務。</p> <p>本周的更新即是讓使用者可將這些一次性密碼存放於Google帳號中，以於所有登入Google帳號的裝置上使用，舉凡是支援Android的Google Authenticator 6.0或是支援iOS的Google Authenticator 4.0都具備此一新功能。使用者只需於Google Authenticator中登入Google帳號，即可自動於Google帳號中備份一次性密碼。</p> </div></div></div>
2023/4/25 15:33作者陳曉莉https://www.ithome.com.tw/news/156549
Red Hat裁員4%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google、微軟、Amazon等大廠相繼裁員之後，IBM旗下Linux與混合雲管理基礎架構部門<a href="https://www.redhat.com/en/blog/message-red-hat-associates-today" target="_blank">Red Hat昨（24）日宣布未來幾個月內將裁減4%</a>。</p> <p>以Red Hat公布的1.9萬人計算，裁員人數可能在750人左右。Red Hat CEO Matt Hicks指出，這批裁減的職位主要是一般行政及類似角色，但分布所有部門。裁員將從本周從某些國家展開，一直持續到第二季末。</p> <p>Hicks也說，裁員才能確保Red Hat在新的艱困環境中保持競爭力。但他表示Red Hat不會裁撤直銷及產品開發相關的人力。</p> <p><a href="https://www.ibm.com/investor/att/pdf/IBM-1Q23-Earnings-Press-Release.pdf" target="_blank">Red Hat是在上周IBM公布第</a>一季財報後宣布這番行動。根據藍色巨人上周公布的數字，上季營收143億美元，和去年同期相較勉強成長0.4%，獲利75億，淨收入9億美元，分別成長2%及41%。</p> <p>軟體部門而言，上季營收59億美元，成長2.6%。其中Red Hat成長8%，還是所有軟體業務中最好的，也帶動IBM混合平臺與解決方案成長2%。IBM顧問服務事業群成長2.8%來到50億元，但包含伺服器及儲存的基礎架構硬體業務則下滑3.7%來到31億美元。</p> <p><a href="https://www.nytimes.com/2023/01/25/business/ibm-layoffs.html" target="_blank">IBM今年1月才宣布</a>員額減少3,900名。但該公司表示，人員減少是因為賣掉舊業務，包括<a href="https://www.ithome.com.tw/news/147680" target="_blank">2021年賣掉</a>基礎架構維護部門（後改名Kyndryl），以及<a href="https://www.ithome.com.tw/news/149027" target="_blank">2022年出售</a>健康資料分析業務Watson Health。</p> <p> </p> </div></div></div>
2023/4/25 15:47作者林妍溱https://www.ithome.com.tw/news/156550
傳微軟可能鬆綁Office、Teams以避免反托拉斯官司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，微軟可能讓Office和Teams切分，以免於歐盟反托拉斯法的官司壓力。</p> <p><a href="https://www.ft.com/content/be838956-7038-4179-8a1c-851b83048d5d" target="_blank">《金融時報》</a>引述消息人士報導，為了解決歐盟的產品搭售疑慮，微軟正在改寫產品，使客戶能依其意願買到內建與不含Teams的Office產品，不過詳細運作方式不得而知。</p> <p><a href="https://www.ithome.com.tw/news/138979" target="_blank">2020年協同軟體平臺業者Slack向歐盟提出</a>對微軟的壟斷訴訟。競爭者指控微軟濫用Office的市占優勢搭售Teams服務，迫使用戶安裝，且阻撓移除，藉此排擠競爭者。現為CRM大廠Salesforce所有的Slack指出，微軟以Office搭售Teams的技倆一如當年以Windows搭售IE瀏覽器，要求歐盟採取行動，阻止微軟在新的產品市場推行搭售或綁定的策略。</p> <p>微軟對媒體指出，該公司努力在歐盟市場上善盡科技公司的職責，和歐盟執委會配合，並開放能解決當局疑慮及服務客戶的實用方案。</p> <p>如果歐盟真的啟動調查，將是微軟多年後再次成為反托拉斯官司中的被告。微軟因Windows搭售IE一案，2009年與歐盟達成和解，同意允許歐盟用戶選擇想要的瀏覽器。不過微軟後來被控未能遵守承諾，未能在Window 7 SP1中加入選擇瀏覽器的介面，<a href="https://www.ithome.com.tw/news/79123" target="_blank">而於2013年遭歐盟罰款5.61億歐元</a>。</p> <p>微軟在2022年也曾差點因Azure被歐盟調查。微軟被小型雲端業者控告，部署在Azure上的Windows和Office價格較其他雲平臺便宜，功能也更好。為了平息歐盟的托拉斯疑慮，<a href="https://www.ithome.com.tw/news/150992" target="_blank">微軟宣布改善</a>，讓小型雲端業者的客戶也能安裝使用Windows和Office。</p> </div></div></div>
2023/4/25 16:11作者林妍溱https://www.ithome.com.tw/news/156551
ChatGPT 1項範例程式使用的物件儲存服務MinIO有資訊外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/Andrew___Morris/status/1639325397241278464" target="_blank">安全研究人員發現</a>，OpenAI ChatGPT範例程式使用的物件儲存服務MinIO存在資訊洩露漏洞，可能導致企業環境參數資訊外洩。更糟的是，這漏洞已出現被濫用的情形。</p> <p><a href="https://www.ithome.com.tw/news/156095" target="_blank">上個月OpenAI宣布</a>讓ChatGPT支援外掛，可讓開發人員為這個AI模型加入網際網路的即時資料。OpenAI表示這項功能秉持核心設計原則相同的安全等級開發，確保存取資訊的安全與隱私。</p> <p>不過<a href="https://www.greynoise.io/blog/openai-minio-and-why-you-should-always-use-docker-cli-scan-to-keep-your-supply-chain-clean" target="_blank">安全廠商GrayNoise研究人員發現</a>，<a href="https://github.com/openai/chatgpt-retrieval-plugin/blob/32bf09d16c4341571b530dd319d6678cb00f2d44/examples/docker/milvus/self-hosted/docker-compose.yml#L18" target="_blank">OpenAI提供的其中一項範例程式</a>所使用的物件儲存MinIO 2022年3月17日版本的Docker映像檔有漏洞。該漏洞為CVE-2023-28432，可能導致所有環境參數，包括MINIO_SECRET_KEY及MINIO_ROOT_PASSWORD外流。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0104-OpenAI-cyber-vulner-600-2.png" style="width: 600px;" /></p> <p>MinIO是許多企業及開發人員愛用的多雲物件儲存框架，它相容於AWS S3的API，使用AWS S3物件儲存服務的用戶在本地端也可以用MinIO開發測試。</p> <p><a href="https://nvd.nist.gov/vuln/detail/CVE-2023-28432" target="_blank">根據美國國家漏洞資料庫</a>，CVE-2023-28432這項資訊洩露漏洞影響MinIO 2019-12-17T23-16-33Z以後版本，直到今年3月20日MinIO釋出最新補好漏洞的版本（2023-03-20T20-16-18Z）。使用有漏洞MinIO的叢集中，MinIO會回傳給攻擊者所有環境參數，包括登入憑證有關的參數MINIO_SECRET_KEY及MINIO_ROOT_PASSWORD外洩，導致資訊洩露，所有分散式環境的用戶都會受影響。本漏洞CVSS 3.1風險值為7.5，屬高風險漏洞。</p> <p>研究人員說，目前沒有跡象顯示有任何特定攻擊者已鎖定ChatGPT使用的範例執行個體，但是的確觀察到網路上已經有積極濫用活動。研究人員警告，若攻擊者大規模尋找及濫用有漏洞的MinIO服務，許多服務都將曝險，包括任何已部署、使用舊版MinIO的ChatGPT外掛。</p> <p>這漏洞沒有緩解方式，因此研究人員呼籲用戶應升級到安全的版本，並整合像是<a href="https://github.com/docker/scan-cli-plugin" target="_blank">dock-cli-scan</a>，或使用<a href="https://github.com/features/security" target="_blank">GitHub內建</a>的監控等安全工具來防範供應鏈漏洞。</p> </div></div></div>
2023/4/25 14:38作者林妍溱https://www.ithome.com.tw/news/156548
ESET分析二手企業路由器，有56%仍含有前任用戶的配置與資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.welivesecurity.com/wp-content/uploads/2023/04/used_routers_corporate_secrets.pdf" target="_blank">斯洛伐克資安業者ESET近日發表一研究報告</a>，彰顯了企業所淘汰的舊有設備在進了二手市場之後，可能成為駭客入侵的跳板，在ESET所購買的18臺二手路由器中，扣除一臺買來就壞掉的，以及將兩臺彼此鏡像的路由器視為一臺之後，有56%的設備依然可取得出前任用戶的配置與資料，包含路由器之間的認證金鑰。</p> <p><a href="https://www.welivesecurity.com/2023/04/18/discarded-not-destroyed-old-routers-reveal-corporate-secrets/" target="_blank">ESET表示</a>，該研究團隊一開始只在市場上買了幾臺二手的路由器來建置測試環境，卻發現有些路由器上的資料並未被移除，促使他們決定對此展開進一步的調查，再購買了18臺二手路由器。</p> <p>在真正執行分析的16臺二手路由器中，有9臺（56.25%）揭露了完整的配置資料，可用來取得先前用戶的機密資訊，例如它們全都含有一個或多個機密資訊，包括IPsec/VPN憑證，或是雜湊密碼，且它們所內含的資料皆足以辨識出原先的用戶。</p> <p>此外，在這些曝露機密資訊的路由器上，有89%含有路由器之間的認證金鑰，有89%具備特定應用的詳細連結資訊，有44%含有連至其它網路的憑證，有33%曝露了允許第三方連結至該網路的資料，還有22%含有客戶資料。</p> <p>值得注意的是，這些曝露機密資訊的路由器並非只來自缺乏IT管理資源的中小企業，有兩臺分別來自員工人數超過1萬名的全球資料公司及電信公司，還有一臺來自專門提供托管服務的資料中心業者。</p> <p>ESET所購買的路由器型號包括思科的ASA 5500系列，Fortinet的FortiGate系列，以及Juniper Networks的SRX Series Services Gateway，它們的二手市場價格自50美元到150美元不等。</p> <p>研究人員指出，可用來入侵企業網路的工具是非常有價值的，光是進入企業網路的憑證在黑市中的價格就高達2,800美元，然而，這些未受到妥善保護的二手路由器，卻只要1、200美元就能取得，對駭客而言有更好的投資報酬率。</p> <p>有趣的是，當ESET接洽受害企業時，有的說是交由第三方業者安全地移除資料，有的說已經付錢將設備銷毀（怎麼還在！），也有企業直接忽略研究人員的提醒。</p> <p>ESET建議企業應該要重視此事，在淘汰任何企業設備或裝置時都應完整地清除資料，並應定期審核清除程序，以免設備流入二手市場而遭到駭客利用。</p> </div></div></div>
2023/4/25 12:25作者陳曉莉https://www.ithome.com.tw/news/156547
即時3D繪圖函式庫Babylon.js 6.0添加3A遊戲等級的物理運算特效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://babylonjs.medium.com/announcing-babylon-js-6-0-dcb5f1662e3a">微軟主導開發的開源3D繪圖框架Babylon.js推出6.0版本</a>，新版本加入了許多新功能，包括強大的Havok物理運算，並且讓開發者選擇效能優先模式，開發出更加順暢的網頁3D應用，另外，在特效表現上，也提供更真實的光影特效以及流體渲染。</p> <p>Babylon.js是一個功能強大的JavaScript函式庫，可供開發者在網頁平臺創建和渲染3D圖形，由於Babylon.js應用了WebGL技術，開發人員不需要額外安裝套件，就能夠高效能地創建3D遊戲和應用程式。Babylon.js提供許多內建功能，包括材質、貼圖、光照和相機等。另外，Babylon.js還支援虛擬實境和擴增實境，提供另一種沈浸式體驗的開發選擇。</p> <p>在Babylon.js 6.0中，官方與Havok團隊合作，於函式庫中添加新的物理實作，使得Babylon.js擁有許多先進的物理運算功能。Havok在1998年成立，其所開發的物理引擎已經用在許多大型遊戲中，也是目前3A遊戲中最被廣泛使用的物理引擎。</p> <p>Havok免費在Babylon.js 6.0提供許多先進的物理運算功能，這些功能透過特殊的WebAssembly擴充套件，和Babylon.js物理API整合。這項合作不只使開發者可以用到更多新物理功能，也讓物理運算的速度提升高達20倍。微軟也趁機翻新了物理API，不只讓API更容易使用，賦予開發者更強的功能和更多的控制功能，降低在網頁應用程式加入物理模擬運算的障礙。</p> <p>除了強化Babylon.js的功能之外，開發團隊也在效能上下功夫，在6.0版本中，加入了效能優先模式，在渲染速度和運算效能上，速度提升達50倍。效能優先模式可選擇不同程度的效能強化，分別有向後相容模式、中間模式和激進模式，開發者可依需求選擇適合的效能加速等級。</p> <p>Babylon.js所使用的繪圖API為WebGL，但隨著更先進的WebGPU逐漸成熟，包括<a href="https://www.ithome.com.tw/news/156299">Chrome也開始提供完整支援</a>，Babylon.js開發團隊透過參與WebGPU工作組，從<a href="https://blogs.windows.com/windowsdeveloper/2022/05/05/babylon-js-5-0-beyond-the-stars-part-1/">Babylon.js 5.0</a>就全面支援WebGPU，這代表Babylon.js將提供一個抽象層處理WebGL和WebGPU，開發者因而不需要額外學習新的圖形API，就可以獲得更快速的圖形處理效能。目前開發者已經可以試用WebGPU，<a href="https://doc.babylonjs.com/setup/support/webGPU">官方也提到</a>，他們在可預見的未來，仍會同時支援WebGL和WebGPU。</p> </div></div></div>
2023/4/25 08:29作者李建興https://www.ithome.com.tw/news/156543
Linux基金會成立系統建模語言TLA+基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會宣布成立專門支援和發展<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-tlafoundation">TLA+（Temporal Logic of Actions）語言的基金會</a>，主要創始會員為微軟、甲骨文和AWS。TLA+是一種形式化的規範語言，可用於描述和檢驗分散式系統的行為、演算法和協定。</p> <p>TLA+語言最初是由Leslie Lamport在1990年代發明，其目的是要發展一個工具，協助工程師設計、理解和驗證大型軟體系統，特別是對那些具有高可性要求的系統。該語言的核心概念，是形式化數學公理，透過使用數學表示法描述系統的狀態行為，讓開發人員能夠捕捉系統的重要屬性，並且檢驗其是否滿足特定需求，簡單來說，TLA+語言讓開發人員用簡單的數學來描述系統。</p> <p>支援時間邏輯（Temporal Logic）是TLA+的重要特性，允許開發人員能夠表示和分析，系統在一段時間內變化的邏輯，利用這項特性，開發人員便能夠更簡單地發現，分散式系統中的競爭條件和死鎖等常見問題。由於部分系統中的基本錯誤，很難從程式碼中發現，而且修正起來成本高昂，因此TLA+語言的價值，便是讓開發者更簡單地消除這些基本但是關鍵的錯誤。</p> <p>TLA+語言發命者Leslie Lamport，目前是微軟研究院的傑出科學家，在Leslie Lamport發明TLA+語言之後，受微軟的支援和管理，現在微軟決定將該專案貢獻出來，在Linux基金會旗下成立TLA+語言基金會，以促進該語言推廣、研究資助和工具開發等工作。</p> </div></div></div>
2023/4/25 08:34作者李建興https://www.ithome.com.tw/news/156545
【資安日報】4月24日，美國、歐洲組織遭到惡意軟體EvilExtractor攻擊，駭客不只從瀏覽器Cookie竊密，還…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在惡意軟體整合不同領域的功能可說是越來越常見，例如，最近研究人員揭露惡意軟體EvilExtractor，攻擊者不只將它用於竊取受害電腦的資料，也將其用於加密檔案，並向受害者勒索。</p> <p>網路電話系統製造商3CX傳出供應鏈攻擊的情況，日前傳出該公司遭駭的原因，是還有另一個軟體供應鏈攻擊引起，而且，研究人員表示還有其他組織受害。現在有另一家資安業者證實這樣的說法，並指出至少有4個關鍵基礎設施（CI）遭受相關攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/evil-extractor-all-in-one-stealer"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國與歐洲組織遭到惡意軟體EvilExtractor攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig16-evilextractor-ransomware-note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig16-evilextractor-ransomware-note.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露惡意軟體EvilExtractor的攻擊行動，駭客先是假借帳號確認請求為由寄送釣魚郵件，附件為gzip壓縮檔案，壓縮檔內容含有看起來像PDF文件的檔案，但實際為Python可執行檔案。</p> <p>一旦受害者執行此可執行檔，將會啟動PyInstaller程式並執行惡意程式載入工具，透過Base64編碼的PowerShell指令碼啟動EvilExtractor。此惡意程式首度執行的時候，會先檢查系統的時間與主機名稱，來確認是否在虛擬電腦環境，若為真實電腦系統，該惡意程式才會繼續執行，下載3個額外的模組，用途是從瀏覽器的Cookie收集上網記錄及帳密資料，以及側錄鍵盤輸入的資料、控制視訊鏡頭及截取影像的能力。</p> <p>此外，該惡意程式也具備加密檔案的勒索軟體功能Kodex Ransomware，此功能利用7-Zip將電腦的檔案轉換為受到密碼保護的壓縮檔，並索討價值1千美元的比特幣。</p> <p><a href="https://www.secureworks.com/blog/bumblebee-malware-distributed-via-trojanized-installer-downloads"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織利用Google廣告散布BumbleBee</span></strong></a></p> <p>資安業者Secureworks揭露近期惡意軟體載入器Bumblebee的攻擊行動，駭客透過Google廣告，引誘使用者從釣魚網站下載思科AnyConnect Secure Mobility用戶端軟體，一旦使用者依照指示下載並執行此安裝程式，電腦就會被植入Bumblebee，為了避免讓使用者察覺異狀，該安裝程式亦會部署真正的AnyConnect Secure Mobility軟體。</p> <p>研究人員在其中一起攻擊行動裡，看到攻擊者在成功入侵後的3個小時，開始在受害組織內部網路進行橫向移動，進而部署滲透測試工具Cobalt Strike、遠端桌面連線工具AnyDesk及DameWare、網路掃描工具、AD資料庫轉存工具、Kerberos帳密資料挖掘程式等。</p> <p><a href="https://heimdalsecurity.com/blog/mitid-smishing-nordea-bank/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北歐銀行用戶遭到網釣簡訊鎖定</span></strong></a></p> <p>資安業者Heimdal揭露針對北歐銀行用戶而來的釣魚簡訊（Smishing）攻擊行動，他們在4月20日，看到尚未確定身分的APT駭客組織發動攻擊，駭客發送簡訊，宣稱使用者必須更新手機上的數位身分驗證服務MitID的應用程式，否則有可能影響北歐銀行的App運作。一旦使用者點選簡訊裡的URL進行更新，就有可能上當。</p> <p><a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/fakecalls-android-malware-abusing-legitimate-signing-key/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓木馬Fakecalls濫用合法簽章迴避檢測</span></strong></a></p> <p>資安業者McAfee從去年8月，追蹤名為Fakecalls的安卓惡意程式，其中1個版本濫用了韓國應用程式開發商的簽章，發出此簽章的公司業務遍及IT、電玩、行動支付、廣告等領域。不過，大部分的Fakecalls都是偽裝成銀行應用程式，目的很有可能是要騙走用戶的存款。</p> <p>研究人員分析此惡意程式，發現駭客不只透過加殼來迴避分析，當他們解密後，看到攻擊者又從HTML檔案取得安卓套件（APK檔案）的資訊，讓研究人員難以調查。</p> <p>一旦使用者執行上述惡意程式，此軟體就會要求安裝另一個App的訊息，若依照當中的指示進行之後，能讓惡意程式存取存放於特定資料夾的APK檔案introduction.html，並要求使用者開放9項存取權限，像是麥克風、電話記錄、地理位置、簡訊等。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/xtrader-3cx-supply-chain"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、歐洲關鍵基礎設施也傳出受到網路電話系統供應商3CX供應連攻擊波及</span></strong></a></p> <p>3月底網路電話系統製造商3CX傳出供應鏈攻擊，日前有資安業者發現源頭還有另一個X_Trader軟體供應鏈的事故，並指出在3CX之外還有其他組織也可能受到影響，但究竟有那些受害組織？</p> <p>資安業者賽門鐵克指出，他們至少發現有4個關鍵基礎設施（CI）遭到攻擊，其中有2個是能源領域（美國、歐洲各有1個），另外2個是金融產業的組織。研究人員透露駭客入侵受害組織的手法，先是利用帶有數位簽章的安裝程式散布，然後於受害電腦部署後門程式。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://github.blog/2023-04-19-private-vulnerability-reporting-now-generally-available/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">供資安人員通報GitHub儲存庫漏洞的功能正式上線</span></strong></a></p> <p>去年11月GitHub測試名為Private Vulnerability Reporting的漏洞通報功能，目的是讓資安研究員更容易向維護團隊通報儲存庫的弱點，該公司於4月19日正式開放上述功能，專案管理者可在儲存庫設定的程式碼安全與分析（Code Security and Analysis）項目啟用。</p> <p>此外，GitHub也一併提供了儲存庫資安通告的API，以便資安研究員能將相同的漏洞資訊通報多個儲存庫。自上述功能開放測試，已有逾3千個組織、18萬個儲存庫試用上述功能。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://astrix.security/ghosttoken-exploiting-gcp-application-infrastructure-to-create-invisible-unremovable-trojan-app-on-google-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google Cloud平臺存在漏洞GhostToken，恐導致用戶帳號遭到挾持</span></span></strong></a></p> <p><a href="https://www.wiz.io/blog/brokensesame-accidental-write-permissions-to-private-registry-allowed-potential-r"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">阿里雲PostgreSQL資料庫出現2個重大漏洞</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/leveraging-kubernetes-rbac-to-backdoor-clusters"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Kubernetes的API被用於植入後門程式</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/04/giving-a-face-to-the-malware-proxy-service-faceless/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體代打服務Faceless向網路罪犯出售匿名身分</span></span></strong></a></p> <p><a href="https://www.securityweek.com/cisco-patches-critical-vulnerabilities-in-industrial-network-director-modeling-labs/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科修補工控系統的重大漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156513">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></strong></p> </div></div></div>
2023/4/24 17:19作者周峻佑https://www.ithome.com.tw/news/156542
開源社群發公開信警告，網路韌性法案將對開源軟體開發造成寒蟬效應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括Eclipse基金會與歐洲Linux基金會等組織，針對<a href="https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act">網路韌性法案（Cyber Resilience Act）</a>向歐盟提交<a href="https://newsroom.eclipse.org/news/announcements/open-letter-european-commission-cyber-resilience-act">公開信</a>，指出目前歐盟所制定的網路韌性法案，並沒有開源社群參與，導致目前的法案提案內容對開源軟體專案不夠友善，可能使開源貢獻者出現寒蟬效應，限制開源專案的應用創新。</p> <p>歐盟在2022年9月15日發布了網路韌性法案提案，目的是要規範數位產品的網路安全，希望製造商能夠強化網路安全規則，以確保硬體和軟體產品的安全性，最終希望減少不良網路安全產品所帶來的用戶和社會成本。</p> <p>網路韌性法案規範帶有數位元素的產品，確保硬體和軟體產品上市時，能有更少的漏洞，使製造商能在產品生命周期確保網路安全，同時該法案也創造了條件，讓用戶在選擇帶有數位元素的產品時，將網路安全列入選擇條件。</p> <p>該法案有四大具體目標，首先，法案要求製造商在設計和開發階段，將網路安全列入考量，並且在產品生命周期間確保其安全性，網路韌性法案第二個目標是提供一個網路安全框架，供硬體和軟體製造商遵循，第三則是提高數位元素產品的安全性透明度，最後一個目標是讓企業和消費者都能夠安全地使用數位元素產品。</p> <p>雖然網路韌性法案的立意良好，但是其規範可能扼殺開源生態系，降低開源貢獻者參與開發意願。<a href="https://blog.opensource.org/what-is-the-cyber-resilience-act-and-why-its-important-for-open-source/">開放原始碼促進會（Open Source Initiative，OSI）提到</a>，這項法案試圖將CE（Conformité Européenne）歐洲法規符合性標誌擴展到軟體上，以提高軟體的安全性和完整性，但是這卻可能對開源軟體造成傷害。</p> <p>網路韌性法案的提案要求軟體供應商自我認證，包括安全性、隱私性和無CVE等方面都須符合法案規範，不過這對開源團隊的運作可能窒礙難行，或是造成一定程度的負擔。而且當開源軟體存在安全問題，網路韌性法案若要求貢獻者負擔相對應的法律責任，則將會降低貢獻者的開發意願，導致專案發展受限。</p> <p>雖然網路韌性法案的本意並非要打壓開源專案，但是法案中「商業」與「非商業」的措辭可能產生法律不確定性，OSI指出，「商業」這個詞不應該用在開源情境中，因為開源專案也需要商業行為，來支持維護者社群。因此商業行為存在與否，並無法作為區分開源專案與企業應用的方法。</p> <p>Eclipse基金會等開源社群，向歐盟發出的公開信指出，開源社群的聲音並未在法案制訂過程獲得充分表達，即便開源軟體在歐洲數位產品軟體占70％以上，但是開源社群與立法者間並未有完善的溝通管道。</p> <p>信中提到，任何影響軟體產業的立法，都要考慮開源軟體的獨特需求和觀點，他們希望立法者可以聽取開源社群的意見，並且有機會影響決策，否則依據現行提案條文實施，將衝擊全球開源軟體開發，並出現寒蟬效應，最終也會破壞歐盟本身的創新和數位主權等目標。</p> </div></div></div>
2023/4/24 15:51作者李建興https://www.ithome.com.tw/news/156535
【資安週報】2023年4月17日到4月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一周的漏洞消息中，有6個漏洞遭利用的情形最受關注，首要焦點就是Chrome的兩個零時差漏洞CVE-2023-2033、CVE-2023-2136，後者更是影響所有基於Chromium瀏覽器，而列印管理軟體系統PaperCut在3月修補的CVE-2023–27350的RCE漏洞，近日發現出現攻擊活動，還有俄羅斯駭客組織APT28利用存在於Cisco IOS與Cisco XE軟體的SNMP子系統漏洞CVE-2017-6742漏洞的揭露。另有兩個漏洞本期周報尚未提及，以物件儲存服務MinIO公告的CVE-2023-28432漏洞須特別留意，另一是Apple macOS的漏洞CVE-2019-8526。在漏洞修補方面，焦點包括Oracle季度更新修補433個漏洞，以及VMware、ChatGPT、Juniper的漏洞修補。</p> <p>在重要資安事件方面，3CX VoIP系統軟體供應鏈的攻擊事故有後續消息，格外引發關注，因為3CX之所以被入侵，是因為攻擊者先入侵股票交易自動化業者Trading Technologies的網站散布被駭客竄改的X_Trader應用程式，等於是藉由供應鏈攻擊入侵，再發動影響更廣泛的供應鏈攻擊。</p> <p>其他值得警惕的資安事件，除了Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料甚至包含Laravel的金鑰，企業淘汰的網路設備在二手市場上被發現有洩露企業內部網路環境敏感資訊的狀況，同樣必須留意，這如同企業淘汰的列印設備其硬碟資料未妥善清除狀況相同，重點是，可別以為這些汰換的網路設備沒有機敏資訊要清除，就能直接汰換，應該也要針對組態設定重置並確定無疑慮再丟棄。</p> <p>在威脅態勢方面，以勒索軟體新動向受矚目，包括勒索軟體LockBit攻擊的平臺已從Windows、Linux及VMware ESXi環境擴及macOS，以及勒索軟體Vice Society近期威脅增加，並有資安業者揭露該攻擊者利用新的PowerShell指令碼w1.ps1來規避資安系統，還有勒索軟體駭客濫用名為Action1的遠端管理平臺（RMM）的揭露；竊資軟體消息也不少，包括竊資軟體Aurora利用Youtube影片宣傳假破解軟體來散布，以及Zaraza Bot竊資軟體、Chameleon的安卓惡意軟體的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156443"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月17日】ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</span></strong></a></h3> <p>時下熱門的大型語言機器學習模型ChatGPT，很多駭客正在研究如何用來發動攻擊，因此對於如何取得使用的管道也變得相當熱衷，甚至衍生出在網路犯罪圈的相關買賣。資安業者Check Point發現，從上個月開始駭客在地下論壇頻繁買賣ChatGPT的付費帳號，或是提供暴力破解帳號的工具，但駭客偏好取得付費帳號的主要原因，就是想要迴避免費帳號的諸多限制。</p> <p>應用系統曝露開發環境組態（ENV）檔案的情況，有可能導致組織內部環境的狀態遭到掌控！例如，資安新聞網站Cybernews發現，西門子元宇宙系統Siemens Metaverse的ENV檔案可讓攻擊者存取辦公室管理系統，進而得知辦公室配置、員工行程的資料。</p> <p>Google對4月上旬發布的Chrome 112發布更新版本的情況也值得留意，因為，這次新版本涉及的零時差漏洞，已被用於攻擊行動，甚至有研究人員呼籲用戶不要等待自動派送更新，應手動執行升級。</p> <h3><a href="https://www.ithome.com.tw/news/156455"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</span></strong></a></h3> <p>曾遭到圍剿而銷聲匿跡的駭客組織，待風頭一過東山再起的情況再度傳出，而且還是不同組織之間的合作。例如，最近IBM的研究人員發現，前駭客組織Conti及FIN7的成員聯手開發了惡意程式Domino，並用於收集受害電腦的系統資訊，以便進行後續的攻擊行動。</p> <p>針對網頁瀏覽器而來的竊資軟體攻擊，也同樣值得我們留意──資安業者Uptycs揭露俄羅斯駭客流傳的竊資軟體Zaraza Bot，並指出該惡意程式能針對38款瀏覽器的使用者組態檔案進行解密，進而竊取存放的各式帳密資料。</p> <p>除了竊資軟體的攻擊行動，駭客散布惡意程式的手法也變得更加複雜，例如，研究人員發現，有人同時運用惡意PDF檔案及Windows指令碼來散布惡意軟體QBot，若收件者為了要檢視PDF文件內容而未及早察覺有異，即有可能依照指示執行指令碼而中標。</p> <h3><a href="https://www.ithome.com.tw/news/156478"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</span></strong></a></h3> <p>駭客發布號稱可提供破解軟體下載的影片，藉機散播惡意網址，但為了要迴避偵測，他們在YouTube頻道列出的網址，可下載的是惡意程式載入工具，待受害者安裝之後，才開始進行後續的植入。</p> <p>企業在淘汰網路設備的時候也要謹慎，務必清除設備存放的網路配置！有研究人員發現，他們從網路上購得、企業淘汰的二手設備竟儲存不少內部網路組態資料，而有可能成為駭客用於入侵組織的管道。</p> <h3><a href="https://www.ithome.com.tw/news/156490"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月20日】Oracle發布2023年第2季例行更新，修補433個漏洞</span></strong></a></h3> <p>上週二（11日）多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者。本週Oracle也發布了2023年4月的例行修補，當中總共修補超過400個漏洞，有相當大的比例是在Oracle Communications系列產品線，每6個漏洞就有1個與此有關。</p> <p>公部門不慎將資料庫公開的情況也相當值得留意，例如，有研究人員發現菲律賓執法單位曝露的資料庫，不僅含有個資，甚至還有組織之間的行政命令。但該資料庫是否真為菲國政府機關所擁有？目前尚無法完全確定，因為研究人員通報了當地十餘個機關後，僅有收到菲律賓國家電腦緊急應變小組（NCERT）回復，表示他們將確認需要負責的單位。</p> <p>勒索軟體駭客的攻擊也出現了新的手法，像是Trigona發動的攻擊裡，運用一種稱之為CLR Shell的惡意程式先進行探勘、提升權限，使得後續行動更加順利。</p> <h3><a href="https://www.ithome.com.tw/news/156513"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月21日】久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植入後門程式</span></strong></a></h3> <p>駭客攻擊WordPress網站的情況不時傳出，但近期出現了新型態的手法，而可能讓攻擊行動更難察覺──他們利用了長期沒有更新，而可能存在可利用漏洞的外掛程式，而使得攻擊行動有這種合法的外掛程式掩人耳目。</p> <p>VMware針對Aria Operations for Logs修補的漏洞也相當值得留意，因為，這次他們特別呼籲用戶要儘速修補CVE-2023-20864，怪異的是卻沒有公布其CVSS風險評分。</p> <p>近日微軟公布新的駭客組織命名規則，與過往不同的是，該公司以特定類型的氣候來命名駭客組織，並標榜這麼做使用者可更容易識別駭客的性質。</p> <h3> </h3> </div></div></div>
2023/4/23 17:07作者羅正漢https://www.ithome.com.tw/news/156522
Google Bard現在也能協助撰寫程式碼、除錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續強化聊天機器人Bard的能力，<a href="https://blog.google/technology/ai/code-with-bard/" target="_blank">上周宣布Bard現在可協助開發人員撰寫程式碼與軟體開發</a>。</p> <p><a href="https://www.ithome.com.tw/news/156026" target="_blank">Google Bard 3月才以技術預覽版</a>開放美、英少數用戶申請試用。除了一開始的草擬文章、邀請函、整理會議待辦事項與撰寫，或是解答使用者提問功能外，現在Bard再加入開發輔助功能，像是生成程式碼、為程式碼除錯及提供解釋的能力。</p> <p>Google表示，Bard現在支援C++、Go、Java、Javascript、Python和Typescript等20多種程式語言。開發人員可以將Python程式碼匯出到<a href="https://colab.research.google.com/" target="_blank">線上Python編輯器Google Colab</a>，不需複製、貼上的過程。Bard還可協助Google Sheets試算表的函式撰寫。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/5_Bard_Coding_Product_Generation_GIF_Blog_Social_20001124.gif" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>此外，這個聊天機器人還能為程式除錯，即使是Bard自己撰寫的程式碼。如果用戶看到它顯示的錯誤訊息，或認為某段程式碼不是他要的，可以告知Bard「這段程式有問題，請修復」，Bard就會幫用戶除錯。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/3_Bard_Coding_Product_Debug_GIF_Blog_Social_20001124.gif" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Google</span></p> <p>除了生成程式碼，Google Bard還可提供程式碼片段的解釋，這對學習以新語言開發，或想知道一段程式碼會有什麼結果的用戶來說十分好用。</p> <p>Google宣稱Bard可幫忙開發人員撰寫程式碼、建立測試案例（test case）或更新API，但同時間，一如Google不斷提醒Bard可能提供不精確、誤導的或假的資訊，針對程式碼生成的功能，Google也提醒Bard還在早期實驗階段，它給的程式碼可能無法達到用戶預期、不是最佳或最完整的程式碼。Google提醒用戶，若要使用程式碼之前，必須再三檢查、小心測試它給的程式碼是否有錯、臭蟲或漏洞。如果Bard從現有開源專案引用程式碼，<a href="https://bard.google.com/faq#citation" target="_blank">會註明來源供用戶查核</a>。</p> <p>Google希望在聊天機器人的服務領域能追趕先行者。在此之前，開發人員已經有OpenAI的ChatGPT、<a href="https://www.ithome.com.tw/news/151548" target="_blank">GitHub的Copilot</a>等選擇。除了Bard之外，<a href="https://www.ithome.com.tw/news/156439" target="_blank">《紐約時報》報導</a>，Google還另外推動代號Magi的專案，已投入大約160名人力，開發具備AI能力的搜尋引擎。不過Google並未公布Bard正式版上線時程。</p> </div></div></div>
2023/4/24 09:22作者林妍溱https://www.ithome.com.tw/news/156533
微軟AKS服務正式提供CNI Overlay，消除叢集擴展限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其Kubernetes服務AKS正式推出<a href="https://azure.microsoft.com/zh-tw/blog/announcing-the-general-availability-of-azure-cni-overlay-in-azure-kubernetes-service/">Azure CNI Overlay</a>，這是一項能夠突破現有AKS網路工作負載規模和效能的服務，其所提供的網路效能可與主機網路相當，並且使叢集能夠線性擴展。</p> <p>AKS用戶在創建叢集時，可以選用各種網路套件，諸如kubenet、Azure CNI VNET與BYOCNI等。kubenet網路套件以Azure路由表和橋接套件為基礎，進行跨節點通訊，因此在雙堆疊叢集最多不能超過400個節點。</p> <p>而Azure CNI VNET與BYOCNI等這些以CNI（Container Networking Interface）為基礎的網路套件，雖然能夠創建原生虛擬網路連接，使容器與虛擬網路中的其他資源相連接，但是CNI存在一些限制，由於每個節點的容器都需要唯一的虛擬網路IP地址，因此大型叢集可能會迅速消耗IP地址，而這限制了叢集的規模和擴展能力，甚至可能發生延遲和不穩定等問題</p> <p>因此要解決這些，並且支援多節點和Pod，且不受效能、規模和IP耗盡限制的AKS使用案例，微軟開發了新的Azure CNI Overlay解決方案。微軟在CNI之上創建了一個抽象層，簡化和最佳化網路配置，Azure CNI Overlay會從用戶所定義的抽象層地址空間分配IP地址，而不使用虛擬網路中的IP地址。</p> <p>如此，Azure CNI Overlay帶來了許多優勢，由於其以私有地址空間的路由，作為原生虛擬網路的功能，因此雖然在使用Overlay網路時，容器之間的通訊發生在虛擬的Overlay網路中，但是實際上仍仰賴底層虛擬網路VNET的路由功能來傳輸資料封包，因此叢集節點也就不需要執行額外操作，因而降低網路管理的複雜性，容器間的通訊可以獲得原生虛擬網路的安全性和穩定性，以高效能的網路進行通訊。</p> <p>由於Azure CNI Overlay的底層，仍由VNET維護Pod CIDR區塊到節點的映射，因此當Pod流量離開節點時，VNET平臺還是能夠掌握流量去向，使得Pod Overlay網路能夠實現和原生VNET流量相同的效能，並且支援高達數百萬個Pod和數千個節點。</p> <p>微軟將Azure CNI Overlay和VXLAN Overlay相比，Azure CNI Overlay明顯擁有更好的效能，官方提到，因為封裝CNI所產生的成本，是叢集效能下降的重要原因，特別是隨著叢集規模成長，這樣的情況會更加明顯，而Azure CNI Overlay可消除封裝資源消耗，在各種規模的叢集提供一致的效能表現。</p> </div></div></div>
2023/4/24 09:40作者李建興https://www.ithome.com.tw/news/156515
IBM、莫德納藥廠合作以生成性AI、量子運算研究藥物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-04-20-Moderna-and-IBM-to-Explore-Quantum-Computing-and-Generative-AI-for-mRNA-Science" target="_blank">IBM與美國莫德納藥廠（Moderna）周末宣布合作</a>，將使用IBM的生成性AI及量子運算技術推進mRNA研究及藥物開發。</p> <p>在這項合作中，莫德納和IBM科學家將運<a href="https://github.com/IBM/molformer" target="_blank">用IBM的底層模型MoLFormer</a>來協助預測化學分子屬性，幫助研究團隊了解信使核糖核酸（mRNA）藥物的特性。MoLFormer是一個大型化學語言模型，其目的在使用小型分子的活動進行訓練。莫德納公司的目的在於使用MoLFormer最佳化負責在mRNA於人體移動時提供包覆保護的脂質奈米粒（lipid nanoparticle），mRNA可對細胞下達抗病指令。在這項計畫下，莫德納和IBM將以生成性AI模型改良配方，以設計出最安全而有效的mRNA藥物。</p> <p>另一方面，莫德納公司團隊也將使用IBM量子技術。莫德納將加入IBM量子加速器（Quantum Accelerator）方案及IBM量子網路（Quantum Network）。在本協議下，莫德納將可使用IBM量子運算系統並在IBM協助下，運用量子技術於生技研究。</p> <p>這是IBM運算及AI部門的最新業務合作進展。今年2月，<a href="https://www.ithome.com.tw/news/155350" target="_blank">IBM和NASA合作</a>，以使用大量文本和遙測資料訓練AI基礎模型，並將基礎模型用於各種地球科學包括氣候變遷的議題研究。此外，<a href="https://www.ithome.com.tw/news/156030" target="_blank">3月美國知名醫學體系Cleveland Clinic宣布導入IBM量子電腦服務Quantum System One</a>，成為IBM量子電腦第一宗出貨到非官方機構的案例，也是全球醫療研究界第一座，也會使用IBM AI及混合雲技術進行特定蛋白質藥物、術後性血管疾病發生風險及開發阿茲海默症等藥物的研究。</p> </div></div></div>
2023/4/24 10:17作者林妍溱https://www.ithome.com.tw/news/156532
GitHub正式啟用私下漏洞通報管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/2023-04-19-private-vulnerability-reporting-now-generally-available/" target="_blank">GitHub上周正式啟用</a>了自去年11月便展開測試的私下漏洞通報（Private Vulnerability Reporting）管道，可讓安全研究人員更方便通報公共儲存庫的漏洞予專案維護人員。</p> <p>過去安全研究人員在發現專案漏洞之後，有時會直接張貼在社交媒體，建立一個公開issue，或是傳訊給維護者，而私下漏洞通報則允許研究人員利用一個簡單的格式直接向維護人員揭露漏洞，並讓雙方得以合作進行修復。</p> <p>專案維護人員可於儲存庫設定中的程式碼安全與分析（Code Security and Analysis）啟用此一新功能，有別於測試版必須在每個個別的儲存庫中設定，正式版新增了一個選項，可讓維護人員一次啟用組織內的所有儲存庫；亦可選擇如何歸功漏洞的發現，例如來自分析師、工具或簡單的發現者。</p> <p>正式版還有全新的儲存庫安全公告API（Repository Security Advisories API ），可用來與第三方系統整合，包括將GitHub上的漏洞報告傳送至第三方的漏洞管理平臺，讓安全研究人員可將同一個漏洞報告提交至不同的儲存庫，或是作為漏洞警報之用。</p> <p>GitHub表示，此一漏洞通報管道自去年11月進行公開測試之後，就有超過3,000家組織的維護人員於18萬個儲存庫中啟用了該功能，所收到的漏洞通報超過1,000筆。JSON5專案利用該管道與安全研究人員取得了聯繫，其修補程式觸發了逾1,100萬個警報，除了彰顯JSON5的熱門程度之外，也展現了此一功能的價值。</p> <p>私下漏洞通報主要供公共儲存庫使用，且為一免費服務。</p> </div></div></div>
2023/4/24 08:49作者陳曉莉https://www.ithome.com.tw/news/156531
【行動憑證創新先行者：光田醫院】突破傳統看診流程，醫生用手機驗證實現看診無卡化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月底，全臺近20家醫院收到衛福部的公文來函，鼓勵這些醫院嘗試用醫事人員行動憑證替代實體卡，讓醫師不必插卡、透過手機認證就能看診和調閱健保雲端藥歷資料，擁抱看診無卡化。衛福部更在信中強調，有家醫院率先打造出全新的無卡看診流程，推薦各醫院試做。</p> <p>這位先行者，就是位於臺中海線的光田綜合醫院。規模比不上醫學中心、資源也不如私人醫療集團豐沛，卻有能力展開創新應用，甚至成為衛福部推薦的榜樣。光田醫院如何做到？</p> <p><span style="font-size:28px;"><strong>從行動病歷簽核發想看診無卡化</strong></span></p> <p>其實，光田醫院在去年4月，才通過衛福部的醫事人員行動憑證申請審核，成為18家成功申請的醫院之一，也才開始打造行動病歷簽核應用。這是行動憑證的第一波應用模式，讓醫師、護理師等人，用手機就能簽署醫療單張，不必使用桌機和讀卡機。光田醫院也在當年9月全面上線，供醫師、護理師、藥師、醫技等醫事人員用手機來簽章。就在這段期間，他們開始思考行動憑證的新可能，並先鎖定看診流程。</p> <p>一般來說，醫師在門診看診前，得先將醫事人員卡插入讀卡機，輸入卡片密碼（或稱PIN碼），才能登入門診系統，來查看待看病人資訊、進行看診。</p> <p>但，「每位醫師在從業過程中，多少都會發生醫事人員卡遺失、卡片損壞，或是診間電腦未接讀卡機的狀況。」從醫數十年的光田綜合醫院副院長張家築點出，這些意外會干擾了醫師的看診流程，若要領取補發卡片，還得等上數天才能拿到。就算有了新卡，醫師也有可能因習慣輸入舊密碼，來來回回嘗試錯誤，造成不便。</p> <p>看似一個小問題，卻是醫事人員大多遇過的麻煩事，甚至會延誤原本的看診或醫事作業。為解決這個痛點，張家築與光田醫院IT一起展開醫事人員行動憑證看診應用專案，成為專案關鍵推手。</p> <p>光田醫院找來合作廠商討論，思考如何將行動憑證用於看診，讓醫師用手機就能驗證身份、登入門診看診系統。這家合作廠商，正巧也是衛福部醫事人員行動憑證的委外廠商，負責開發健保署讀卡機控制軟體（即主控臺，俗稱雲端安全模組）。他們也有相同想法，雙方一拍即合，很快就展開行動。</p> <p><span style="font-size:28px;"><strong>前2階段打造看診無卡化</strong></span></p> <p>這個專案可分為3大階段，首先是實驗室測試階段。林政杰指出，此時IT團隊得先修改自家醫療資訊系統（HIS），來設計行動憑證的相關操作流程。</p> <p>於是，他們在醫師看診前得先打開的班表確認程式中，新添了「使用行動憑證」登入的選項。當醫師選擇行動憑證登入後，桌機系統會發送請求到擁有行動憑證的手機。這時，醫師在手機輸入正確的員工帳號和密碼，就能在桌機登入候診系統，開始看診。這個過程不必插入醫事人員卡，單靠手機就能完成身份驗證。</p> <p>不只HIS系統要修改，健保署讀卡機控制軟體也得跟著調整，這就得透過來回溝通，讓合作廠商協助修改軟體，支援手機驗證和登入。至此，雙方完成了新作業流程所需的雛形開發。</p> <p>接著，光田醫院在去年11月，進入第二階段的實測階段。光田綜合醫院副院長張家築是這項應用的第一號使用者，他實測後發現，行動憑證雖然不用插卡，卻還是需要醫師手動輸入帳號和密碼，相較於原本插卡後只需輸入密碼的傳統流程，新的流程多了一道輸入帳號密碼的程序，反而有點不便。</p> <p>光田醫院IT團隊沒有停下改善腳步，他們想出另一種方法，當桌機發送請求到手機後，需輸入帳號密碼的步驟，改用員工識別卡置於手機後方，以NFC靠卡感應，來自動登入。這完全不需輸入任何帳號密碼，操作更方便了。</p> <p>在第二階段實測中，這個操作上的流程小調整，大大優化了整體使用體驗。至此，醫事人員行動憑證應用於看診的程式調整已大致完備。</p> <p>張家築回顧，在兼顧安全性的前提下，將行動憑證用於看診登入，再加上行動病歷簽核，不只讓醫師工作流程更流暢，整體看診環境也更加友善。以他副院長的高度親自驗證，未來也更容易在院內推廣這項應用，鼓勵醫師擁抱看診無卡化。</p> <p>光田醫院順利完成了新流程和配套機制，但這項看診無卡化應用，仍屬測試性質。因為，要全面推廣，不只是醫院自行修改系統就夠，還得由衛福部釋出正式版的醫事人員行動憑證相關軟體。</p> <p>於是，衛福部日前也派人到光田醫院實地查看測試成果，決定支援這個新作法。後來，他們釋出醫事人員行動憑證的新版測試模組，甚至，衛福部還發信給已申請行動憑證的18家醫院，鼓勵大家將行動憑證用於看診，一同測試、精進，希望更完善這項新應用後，再釋出正式版配套軟體。</p> <p><span style="font-size:28px;"><strong>下一階段：擴大應用</strong></span></p> <p>醫事人員行動憑證的用途，不外乎是身分辨識和簽核，在林政杰看來，行動憑證帶來的看診無卡化應用，可以進一步擴大應用，可以分為「使用對象的擴大，以及功能的擴大。」這也是下一階段擴大應用可以思考的方向。</p> <p>他舉例，在使用對象部分，藥師也有查閱健保雲端藥歷的需求，來了解病人過去用藥等歷史。「未來可考慮透過行動憑證，辨識、確認藥師身份，並搭配患者健保卡授權，來讓藥師查看所需資料，」林政杰建議。</p> <p>就功能層面的擴大來說，他認為，衛福部可開放更多API或模組，讓醫院交換更多資料，並透過醫事人員行動憑證，來提供更多無卡化資料查閱和簽署應用。比如，在現有實體卡的機制下，醫師查房時，無法即時查閱健保雲端藥歷，若透過衛福部開放特定API、搭配病人端授權，醫師就能在行動裝置上，即時調閱雲端藥歷資料，查看病人在其他醫院的診療記錄和檢驗檢查等資訊，提供更好的照護服務。</p> <p>甚至，衛福部若釋出修正版健保署讀卡機控制軟體，醫事人員行動憑證就能搭配病人端虛擬健保卡來使用。如此，醫師不僅看診無卡更方便，還加速整體看診流程。因為，「虛擬健保卡讀寫速度非常快，」林政杰指出，與傳統實體健保卡相比，虛擬健保卡讀卡速度至少快上25秒，若一位醫師需看診50位病人，「至少能省下20分鐘！」</p> <p>不只如此，林政杰還看到另一個潛在效益，也就是院內醫師可透過行動憑證，來進行同意書簽署，同時，病人端也能透過數位方式簽署同意書，不僅優化作業流程，也落實無紙化。</p> <p><span style="font-size:28px;"><strong>從虛擬化可能性重新思考創新應用</strong></span></p> <p>話鋒一轉，張家築和林政杰都指出，在發想新行動應用時，其實容易陷入「如何用手機取代實體卡」的思考框架。這種取代角度的思考，雖也能發展出新應用，但「要創新，就得從『虛擬化能做什麼』的開放角度來思考。」</p> <p>比如，前述的醫師查房、透過行動憑證來即時調閱雲端藥歷資料，就是創新想法的一例，林政杰還舉了另一種可能的新應用：虛擬健保卡補卡退費。目前，病人就醫沒帶健保卡，得先自費看診，之後再帶健保卡至原診所或醫院辦理補卡退費，但若讓病患申辦虛擬健保卡、搭配授權流程，來完成補卡退費，就不必再多跑一趟醫院辦理業務了。改變思考的角度，更容易找到更多創新應用的可能。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/156521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1126-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=VBowYd57" style="width: 550px;" /></a></p> </div></div></div>
2023/4/24 00:40作者王若樸https://www.ithome.com.tw/news/156511
行動憑證如何改善醫師看診流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>光田綜合醫院用醫事人員行動憑證，來打造看診無卡化應用。醫師透過手機驗證，就能登入看診系統，不必再透過實體卡插卡，也不需擔心卡片遺失、損壞或診間沒讀卡機的突發狀況了。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 傳統實體卡看診流程 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟1：插卡 </span> </span><span style="color:#696969;">醫師看診前，得先將醫事人員卡插入讀卡機、輸入密碼，才能準備登入看診系統</span></strong>。</span><span style="font-size:14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-A1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟2：實體卡登入 </span></strong></span> <span style="color:#696969;"><strong>插卡後，醫師在系統登入選擇使用醫師卡，來登入看診系統。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-A2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步驟3</span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">：開始看診</span></strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color:#696969;"><strong>登入後，醫師就能在看診系統中查看當日診間病人資訊，開始替病人看病。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-A3.png" style="width: 600px;" /></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color:#FF8C00;"> 新式行動憑證看診流程 </span></strong></p> <p><span style="font-size:20px;"><strong style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#FF8C00;"> 步驟1：點選行動憑證 </span> </span></strong><span style="color:#696969;"><strong>醫師在看診前，不用準備實體卡，直接在看診系統中選擇「使用行動憑證」登入。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-B1.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#FF8C00;"> 步驟2：手機感應 </span> </span></strong><span style="color:#696969;"><strong>使用行動憑證後，系統會發送驗證請求到醫師手機，醫師再以員工識別證（RFID）透過NFC靠卡感應來驗證，也可用帳號密碼驗證。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-B2.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><span style="background-color:#FF8C00;"> 步驟3：完成登入 </span> </span></strong><span style="color:#696969;"><strong>靠卡感應成功後，醫師就能登入桌機系統，開始看診了。</strong></span></span><span style="font-size: 14px;">攝影／洪政偉</span></p> <p class="rtecenter"><span style="font-size:18px;"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-B3.png" style="width: 600px;" /></strong></span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/156521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1126-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=VBowYd57" style="width: 550px;" /></a></p> </div></div></div>
2023/4/24 00:40作者王若樸https://www.ithome.com.tw/news/156512
【光田醫院智能化方向】從看診無卡化續推就醫環境智能化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>光田綜合醫院用醫事人員行動憑證發展出看診無卡化應用，不只是全臺創舉，更是實現自家4大智能化目標之一的努力。</p> <p>這個智能化目標是作業流程智能化。在流程精進上，光田醫院已全面推行行動憑證病歷簽核，不論醫師、護理師、藥師、醫技等醫事人員，都能在手機上簽署當日的病人病歷、護理工作記錄等醫療單張，節省等待桌機的時間。</p> <p>而光田醫院測試成功的看診無卡化，改用行動憑證，醫師看診不必仰賴實體醫事人員卡和讀卡機，透過桌機看診系統發送請求、手機認證身份，就能登入系統替病人看診，解決醫師可能遭遇的卡片遺失、卡片毀損、診間電腦未接讀卡機等突發狀況。</p> <p>未來更能搭配虛擬健保卡，每次讀寫時間至少比實體卡快25秒，醫師一次門診看50位病人，至少可省下20分鐘的等待時間。這些優化，都能讓光田醫院的作業流程智能化更進一步。</p> <p><span style="font-size:28px;"><strong>集中火力優化就醫環境</strong></span></p> <p>這個院內作業流程智能化，也與光田醫院另一個就醫環境智能化目標環環相扣。因為，醫療作業流程的改善，能回饋到民眾的就醫環境，形成更好的就醫體驗。</p> <p>光田醫院發展就醫環境智能化，可說是火力全開，已經打造一整套虛擬化醫院架構，更自行開發出病人專用Patient Portal App（即Dr. 光田），來銜接病人在家至就醫，以及就醫後在家照護的全流程服務。</p> <p>光田綜合醫院資訊部部長林政杰說明，這個全流程服務的設計，是要涵蓋「從病人在家、到院看診、回家後健康照護，再到下次看診的整段流程。」他進一步解釋，這段流程包括病人在家掛號、到院報到、候診、看診，以及後續領藥、繳費、回家後照護，再到下次掛號等環節。</p> <p>光田綜合醫院就用Dr.光田App，來支援每一個環節作業，實作出虛擬化醫院架構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8B%A5%E6%A8%B8-app-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%89%E7%94%B0%E7%B6%9C%E5%90%88%E9%86%AB%E9%99%A2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>光田綜合醫院4大智能化目標之一是就醫環境智能化，為此，他們設計一款民眾端App，串起民眾在家、掛號預約、到院、候診看診，以及繳費領藥和在家照護等流程，更融入不少個人化元素。</strong><span style="font-size: 14px;">（圖片來源／光田綜合醫院）</span></span></p> <p><span style="font-size:28px;"><strong>自行開發個人化App串起就醫最後一哩路</strong></span></p> <p>這款光田醫院自行開發的病人端App，是一支超級App，不只一站式提供了就醫和照護的相關服務，還具備了高度個人化的體驗設計。在App首頁，直接列出3大項紅色數字，分別是病人自己的掛號筆數、慢箋筆數和各項排程筆數，讓病患第一眼就看到最想知道的重要數據。</p> <p>在這些關鍵數字下方，還提供了常用功能區塊，使用者可依自己的習慣，將所需的功能拖拉進這個區塊，就像是建立常用捷徑。比如，使用者可拉入檢驗報告、我的排程、我的藥物或繳費記錄，甚至能將「我的家人」也加入，「來形成照護生態圈，」林政杰說。</p> <p>光田醫院的個人化巧思，還體現在其他區塊中。比如，病人點擊門診服務區塊中的門診掛號，會顯示自己常看診的幾位醫師，直接點選就能快速掛號。又或是在進度查詢區塊中，一次就能掌握自己的各種醫療動態，如看診進度、領藥進度、檢驗與手術進度等，不必個別搜尋。</p> <p>該App還有另一個疾病風險評估區塊，整合了國健署疾病風險資訊，民眾可按疾病類別輸入自身數值，來評估風險高低。光田醫院IT還多想一步，在風險評估結果後附上健康指引，甚至提供建議看診科別和掛號功能，方便憂心的民眾快速預約。</p> <p>與此同時，民眾也能利用App的健康紀錄功能，來輸入身高體重、心跳、血壓、血糖等生理量測數值，並透過內建的視覺化圖表來掌握健康狀態。</p> <p>這種貼心設計，在「繳費記錄」中也能清楚看見。使用者可在該頁面，一覽自己在光田醫院就醫的所有繳費記錄，還能在同個頁面勾選特定記錄，來申請收據。</p> <p>其他文件如病歷副本、診斷書的申請，也可先在App申請，再至臨櫃領取，省下以往民眾到醫院臨櫃申請的等候時間。光田醫院IT還將申請進度的頁面，設計得像電商物流配送畫面般，讓民眾一眼就能掌握進度狀況及注意事項。</p> <p>不只如此，這支Dr. 光田App還整合了藥物查詢、慢箋領藥預約、交通查詢等功能，等於將病人在家、到院報到、候診看診、繳費領藥與回家照護的單點服務，完全串連起來。</p> <p>這不僅是光田醫院IT站在病人角度思考而打造出的成果，還是4大智能化目標的重要核心。接下來，他們要善用這些經驗，來營運明年將落成的新院區，進一步推動智慧醫院發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>光田醫院如何思考虛擬健保卡應用</strong></span></span></p> <p><span style="color:#696969;"><strong>與許多醫院一樣，光田綜合醫院響應健保署策略，在2020年開始示範、推廣虛擬健保卡應用，教導民眾申辦和使用健保快易通App中的虛擬健保卡，來在實體門診和視訊門診使用。</strong></span></p> <p><span style="color:#696969;"><strong>同時，光田醫院發展出虛實整合的視訊門診服務，即在實體門診診間，也配置一臺視訊專用的螢幕與鏡頭，讓門診醫師可在同一診間、不必移動位置，就能叫號進行實體看診與視訊看診。光田醫院也從當時的經驗中，發展出不少數位化應用，比如掃描看板QR Code的隔空報到功能，讓持虛擬健保卡的民眾，也能在實體診間完成報到。</strong></span></p> <p><span style="color:#696969;"><strong>這2年來，光田醫院不斷思考虛擬健保卡更多應用情境。從醫院第一線角度來看，他們觀察到，虛擬健保卡的操作還可以更簡單，比如衛福部可「設計出一個捷徑，就像行動支付一樣，點開就是QR Code，讓民眾直接秀出，不必經過多個頁面點選，」光田綜合醫院資訊部部長林政杰說。這麼做，不只能降低使用門檻，也節省醫護與病人溝通的成本。</strong></span></p> <p><span style="color:#696969;"><strong>另一個可優化之處是虛擬健保卡的授權機制。許多醫院的診間和檢驗室都設置在地下室，然而，有些醫院的院內Wi-Fi或電信商的網路支援不足，在地下室往往收訊不佳，這就導致，病人使用虛擬健保卡要線上即時授權醫師讀取資料時，難以連線到系統而失敗。若虛擬健保卡有另一種提前授權機制，也許可解決這個問題。</strong></span></p> <p><span style="color:#696969;"><strong>不只如此，光田醫院還進一步思考，虛擬健保卡還有哪些可行性。比如結合虛擬健保卡授權和醫事人員行動憑證，可讓醫師查房時，即時查詢雲端藥歷，得知病人在其他醫院的診療史和檢驗檢查紀錄。或是，虛擬健保卡可結合醫院App慢箋領藥通知，民眾在家就能先用虛擬健保卡授權，到院直接領藥，不必再過實體卡。</strong></span></p> <p><span style="color:#696969;"><strong>甚至光田醫院建議，健保署可考慮設置獎勵機制，來鼓勵民眾使用，就像是雲端發票有額外配置中獎號碼一樣，來提高嘗試意願。這些都是光田醫院跳脫「用虛擬卡取代實體卡」的框架，直接從「虛擬卡能做什麼」角度，所看到的應用場景，如此能提高便利性，讓虛擬健保卡更普及。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"> </a></span></strong></span><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156521" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong> <a href="https://www.ithome.com.tw/article/156521" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1126-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=VBowYd57" style="width: 550px;" /></a></p> </div></div></div>
2023/4/24 00:40作者王若樸https://www.ithome.com.tw/news/156514
用數據驅動高雄市政府數位轉型，高品質跨局處資料是關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10年前，高雄市政府推出了資料開放平臺，成為第一批開放政府資料的縣市政府之一。歷任資訊中心主任更將城市資料的開放與共享作為主要責任。早年，為了政府施政透明化而開放，到了現在，則是為了讓資料結合科技，展現出更多元、更深度的應用，將資料化為智慧城市的磚瓦。</p> <p>推動開放資料的十年中，有8年是現任高雄市政府資訊中心主任劉俊傑負責掌舵。為了加深加廣政府開放資料用途，他面臨了一系列環環相扣的挑戰。先是推動開放資料集增量及打造開放資料API平臺，解決量的問題，再嘗試提升府內人員資料科學素養及開放資料品質，提升質的面向。當開放資料開始可以應用，還必須回應民眾對政府使用資料正當性及透明度的疑慮。未來，他更要主動與民間企業商討，如何產製更多具實用價值的開放數據。</p> <p>回顧推動開放資料的8年，劉俊傑感嘆這一路的篳路藍縷，他說，推行資料基礎建設和應用的最大挑戰，不在於技術面，而是制度面，「也就是『人的課題』。」</p> <p><span style="font-size:28px;"><strong>推動府內外城市資料共享，用API架構統一管理存取內容及權限</strong></span></p> <p>上任後，劉俊傑推行的第一個資料政策是，府內資料共享。他認為，推動資料驅動決策和應用，不論對內、對外，跨局處資料共享都是最基礎、最關鍵的事。有了跨局處資料，對內，長官要參考資料來決策時，可以綜合分析更多元的資料，做出更客觀周全的考量；對外，政府可以推出更多橫跨不同局處職責的服務項目，或整合起原先需要奔波於各局處才能完成的行政流程，提供單一窗口的便民服務。</p> <p>為了做到跨局處資料共享，資訊中心長年在府內推動開放資料，並用API架構來管理各局處資資料的拋轉。劉俊傑解釋，所謂開放資料，包括只開放給府內各局處的資料、民間需要申請才能存取的資料，以及開放給所有人自由存取的資料3種類別。之所以選擇用API架構來統一管理府內外開放資料共享，而非分為府內用SQL指令呼叫，外部用API串接，就是因為可以用單一架構來管理這3類開放資料的存取權限及存取欄位。</p> <p>2017年，資訊中心彙整這些開放資料，搭建起高雄城市資料平臺，並提供開放API串接服務，更打造了內、外網市政資訊儀表板，快速提供政府及民眾解讀數據。推動資料開放至今，城市資料平臺上已經有3,581組開放資料集、550支API。</p> <p>劉俊傑坦言，推動開放資料及API，最大挑戰是各局處IT人員配合意願。他說明，公務人員普遍行事作風保守，且公家機關一舉一動容易受到放大檢視，因此各局處人員不願開放資料給外部檢閱，唯恐資料有誤，或受到有心人士不當解讀。</p> <p>再者，就算其他局處或民間企業利用這些資料做出實績，也不會歸功於提供資料的局處，或承辦開放資料的人員。劉俊傑說，對各局處IT人員來說，開放資料乍看之下有弊無利。</p> <p>因此，他一方面積極辦理教育訓練，並與民間企業和學校協辦黑客松等活動，宣傳開放資料的好處，另一方面調查各局處資料使用需求，從需求率最高的資料類別開始推動開放資料API，各局處人員才慢慢開始願意配合開放資料。</p> <p><span style="font-size:28px;"><strong>推行開放城市資料小成，卻面臨資料品質及資料科學素養雙重瓶頸</strong></span></p> <p>雖然開放的資料集和API數達到一定規模，不過，劉俊傑發現，府內人員嘗試使用這些資料時，面臨了各式障礙。舉例來說，當長官嘗試觀察城市數據作為決策參考時，發現手上只有自己早已熟知的數據，卻無法跟更多資料集交叉分析，因此難以從數據看出新資訊。又或者，當各局處資訊人員學會使用AI工具，想回來應用於府內場景時，發現現成資料不夠用，也不知道該如何整理手上資料，提供給機器學習。</p> <p>究其原因，劉俊傑認為問題有二，其一是IT人員資料科學素養不足，其二是資料品質不足。</p> <p>他進一步說明，雖然IT人員只學會如何操作AI工具，但沒有受過資料整理、分析、視覺化等基礎資料素養訓練。「資料處理能力不足，發展大數據或AI應用形同緣木求魚。」得回歸基本，先學習資料處理，再嘗試資料應用。可是，公務人員工作繁忙，沒有時間接受大量資料科學訓練，因此素養遲遲難以提升。</p> <p>後來的轉機是，為了提升資安韌性，資訊中心開始向上集中IT資源，整併了各局處的小型機房，各局處IT人員也減少了機房管理負擔，劉俊傑趁機要求他們利用空出來的時間，接受資料科學教育訓練。他希望，各局處IT人員具備進階資料處理能力後，可以協助資訊中心解決第二個問題，也就是資料品質不足的問題。</p> <p>劉俊傑解釋，資料品質不足可細分為資料多元性、完整性、結構性、統一性不足等問題。由於當初推動開放資料時，先聚焦使用率最高的資料種類，因此完整性最高的資料集通常是大家最常接觸的資料。他說，不管如何分析大家已經熟悉的資料，也難以找到新洞見，嘗試用資料來輔助決策時，需要加入更多維度的資料綜合研判。問題是，要加入更多資料維度來交叉分析，就需要資料集之間的結構、定義及名詞用語統一，否則就算手上再多資料，也難以直接比較。</p> <p>要解決這個問題，資訊中心從兩個部分下手，第一部分是既有資料的格式轉換，第二部分是新資料的格式統一。</p> <p>格式轉換方面，劉俊傑計畫在資料庫API服務上，加上ETL功能。以盡量不更動原本各局處系統和資料儲存模式的前提下，在拋轉過程中，將資料轉換成相同結構及用語。劉俊傑說，理想情況是，透過ETL功能，未來可以根據實務需求撈取任意種類資料，即時製作出報表。不過在這之前，需要清洗資料集、統一資料格式和用語，且修改API，也需要時間和金錢成本，因此目前停留在統一用語和資料格式的階段。</p> <p>統一新資料的格式則更為容易。例如，雖然修改舊資料跟舊API勞師動眾，但新的開放API，資訊中心就能直接統一輸出資料Schema。另一項重要的做法是向上集中軟體，由資訊中心統一開發系統或工具，讓各局處使用。如此一來，由這些系統產出的資料，就會有相同格式、資料欄位設計和用語。目前高雄市政府的薪資計算系統、網站架設工具及AI文字客服，都是由資訊中心開發、管理。劉俊傑說，未來資訊中心也會持續開發更多能讓全府使用的系統，在節省各局處重複IT工作的同時，統一更多資料格式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-CIO-%E5%8A%89%E4%BF%8A%E5%82%91-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 20px;"><strong>高雄市政府資訊中心主任劉俊傑表示，推行資料基礎建設和應用的最大挑戰，不在於技術面，而是制度面，也就是與「人」相關的課題。</strong></span><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>打造一站式資料存取窗口，未來更要用區塊鏈做個資存取紀錄透明化</strong></span></p> <p>從開始推動開放資料、發現開放資料難以利用，一路到嘗試改善資料品質的過程，劉俊傑感嘆，「真的是篳路藍縷。」不過打通府內各局處資料，確實讓資訊中心成功打造了更多府內外跨局處的服務，包括單一帳號認證平臺，對內提供公務人員跨機關數位服務及資料存取等功能，以及2020年完成建置的「便民一路通」一站式服務網站。便民一路通整合了政府各局處的服務，民眾可以查詢哪些服務可以網路申辦或直接在網站上臨櫃申辦，並下載申請表等文件。這些服務中，也不乏需要調閱跨局處資料才能完成的項目。背後就是因為各局處資料打通，才得以做到。</p> <p>劉俊傑說明，能將散落於各局處的個人資料整合到單一身分，這樣的做法稱為資料歸戶。政府有資料歸戶的能力，民眾洽公時就不必奔波於不同局處的網站或櫃檯，只要授權政府跨局處存取自己的資料，即可於單一接觸點完成所有流程。目前便民一路通只有高雄市政府手上的資料，未來還要與國發會MyData平臺介接，來存取更多可歸戶資料，進而提供更多便民服務。</p> <p>劉俊傑說，資料歸戶方便歸方便，不過既然涉及個人資料隱私，難免產生許多疑慮。例如，可能會有民眾忘記自己曾經授權過政府存取哪些資料，或認為政府竄改個資存取紀錄。更有甚者，可能質疑政府將民眾個資用於未授權用途或不法用途。</p> <p>針對這些狀況，劉俊傑計畫用區塊鏈的不可竄改特性，來透明化存取紀錄。不過，公有鏈可能會有存取速度和使用成本的問題，因此他計畫利用混合鏈的模式，來平衡成本及資料可信度。</p> <p>具體做法是，在民眾授權政府存取個資時，自動寫入記錄到私有鏈，累積了一定筆數的資料後來計算出一個可以代表這批資料，獨一無二的雜湊值，上傳到公有鏈上。也就是說，若民眾懷疑個資存取紀錄的可信度，可以要求政府重新計算一次該批資料的雜湊值，與公有鏈上的原始雜湊值對比。一但不一致，就可以發現資料遭到竄改。也因為雜湊值的不可逆性，意味著單憑公有鏈上的資訊，也不會讓有心人士反推出政府存取個資的紀錄內容，因此不用擔心市民隱私受侵害。</p> <p>有了這樣的機制，民眾可以隨時查詢自己授權政府調閱的資料種類、目的、時間及地點，也能確認這些紀錄是否被竄改。劉俊傑希望，這樣一來，民眾能更加信任政府，放心讓政府用自己的資料去做出更多、更好的服務。</p> <p><span style="font-size:28px;"><strong>協助產製和管理企業執行智慧城市專案所需數據</strong></span></p> <p>劉俊傑說，推動開放資料，不只讓資訊中心能自行開發數位化服務，本意上也希望民間企業推動智慧城市專案時，能加以利用。不過他逐漸發現，企業在跟政府要資料時，十之八九市政府本身並沒有，而剩下的一二，通常涉及市民個人資料，因此不能公開。「這樣的話，我們開放資料不就是在做白工嗎？」他自嘲。</p> <p>既然政府原本提供的開放資料類別與民間需求不同，劉俊傑說，今年開始，他要主動與民間企業接洽，探討企業的智慧城市專案需要哪些數據，是政府可以協助產製的。他表示，符合法規的情況下，若企業需要幫忙連絡政府相關部門，或希望資訊中心幫忙共同處理資料，資訊中心都能幫忙。若專案做出實績，他便能將此次經驗帶回府內，向府內長官及IT人員強調資料基礎建設的重要性。同時，他也願意為企業背書，向其他地方政府或國外姐妹市推薦該企業，協助企業輸出智慧城市專案的商業模式。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>高雄市政府資訊中心主任劉俊傑</strong></p> <p>學歷：臺灣工業技術學院電機工程技術系</p> <p>經歷：曾任高雄市政府都市發展局資訊室主任，2016年升任市府資訊中心主任後，開始打通府內各局處資料，並推動Open Data、Open API服務、辦理府內資料科學訓練、整併駐外機關及府內IT資源、推動資料治理建設，並支援智慧城市專案。</p> <p>攝影／洪政偉</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>高雄市政府</strong></p> <p>地址：高雄市苓雅區四維三路2號8樓</p> <p>成立時間：2010年（高雄市和原本高雄縣合併）</p> <p>業務介紹：高雄市市民服務</p> <p>市長：陳其邁</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門名稱：高雄市政府資訊中心</p> <p>資訊部門主管：劉俊傑</p> <p>資訊部門人數：40人</p> <p>IT預算：約1億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2013年：高雄市資料開放平臺正式上線</p> <p>2017年：智慧市政儀表板及高雄城市資料平臺API服務上線</p> <p>2018年：以城市交通數據為基礎開發出亞洲第一個推動城市MaaS服務</p> <p>2020年：將153個駐外機關納入市府專用行政網路</p> <p>2022年：完成市府11個小型機房向上整併、建置雲端資料中心</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1126-cio-liu_jun_jie_-960.jpg" width="960" height="420" alt="" title="高雄市政府資訊中心主任劉俊傑　（攝影／洪政偉）" /></div></div></div>
2023/4/24 00:40作者郭又華https://www.ithome.com.tw/people/156520
看診無卡化來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1126-feng_mian_p1-open-960x420_kao_bei_.jpg?itok=VBowYd57" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3年前，衛福部開始大力推廣醫事人員行動憑證，掀起了病歷簽核無卡化的應用浪潮，許多醫院紛紛跟進。去年，海線一家區域醫院，改變思維打造出新的看診無卡化流程，連衛福部也讚賞，力薦醫學中心和大型私人醫療集團向這家醫院學習</p> </div></div></div>
2023/4/24 00:40作者王若樸https://www.ithome.com.tw/article/156521
搭配輝達HGX H100平臺，美超微新款8-GPU伺服器上場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_sys-821ge-tnhr_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從Nvidia去年3月發表H100資料中心GPU以來，由於單一GPU的熱設計功耗首度來到700瓦，我們一直很關注伺服器廠商該如何兼顧既有產品設計來解決這個冷卻難題，以及哪一家能最快推出可搭配H100的機型。</p> <p>以這類型伺服器上市時間而言，Dell最近喊出他們的XE9680是第一款供應市場的伺服器，已於3月底開始出貨，然而，若從釋出相關產品消息的數量與頻率而言，美超微（Supermicro）從最初Nvidia發表H100 GPU，這一年來已發出多達7篇新聞稿，談及他們的發展動向。</p> <p>單就2022年來看，3月GTC 2022春季大會期間，Supermicro宣布計畫將推出數款搭配H100的GPU伺服器；9月GTC 2022秋季大會的前後，他們表示會有一款8U尺寸的GPU伺服器，可安裝的記憶體容量最高達8 TB，能搭配Nvidia的GPUDirect Storage技術，也將提供搭配PCIe介面卡形式與SXM運算模組形式的GPU伺服器；10月OCP全球高峰會期間，他們預告這臺8U的GPU伺服器會是8-GPU配置，可支援熱設計功耗為400瓦的CPU與700瓦的GPU，記憶體為DDR4，未來支援DDR5，硬碟儲存為6臺NVMe固態硬碟，I/O擴充介面提供10個；11月SC大會期間，適逢AMD發表第四代EPYC處理器，Supermicro宣布他們5大伺服器產品線現況——在4U尺寸GPU伺服器中，可搭配10張雙寬、全高全長GPU加速卡，Nvidia H100在資料中心GPU產品支援之列，而在5U尺寸GPU伺服器中，他們的8U通用GPU伺服器將搭配HGX H100-8GPU與2顆CPU、24個記憶體插槽，提供彈性組態配置、雙區散熱（dual zone cooling），以及直通GPU的無阻塞I/O頻寬。</p> <p>到了2023年3月GTC春季大會之後，Supermicro終於公開搭配Nvdia H100 GPU的伺服器名稱。</p> <p>以8U尺寸、8-GPU組態而言，該公司設有兩款機型：SYS-821GE-TNHR、AS-8125GS-TNHR，均採用Nvidia HGX H100-8GPU的系統板，CPU分別搭配英特爾第四代Xeon Scalable、AMD第四代EPYC 9004系列，記憶體皆支援DDR5-4800，提供的插槽數量各為32個與24個，容量最大可達8 TB、6TB，能安裝的硬碟數量分別為20臺、14臺（機箱前側預留24臺2.5吋硬碟插槽空間），網路介面可選用2個10GbE埠，但SYS-821GE-TNHR還可額外選用2個25GbE埠，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro 8U GPU Server Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%208U%20GPU%20Server%20Portfolio.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%208u%208gpu%20server%20in%20GTC%202023.jpg" style="width: 600px;" /></p> <p>而在PCIe介面擴充槽與電源供應器數量上，這兩款伺服器預設均可安裝8+2共10張PCIe 5.0介面卡，以及6臺3000瓦的電源供應器（從廠商公布的機箱背部照片來看，最多能容納到12張PCIe介面卡，以及8臺電源供應器）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SYS-821GE-TNHR_callout_front.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SYS-821GE-TNHR_callout_front.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SYS-821GE-TNHR_callout_rear.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SYS-821GE-TNHR_callout_rear.jpg" style="width: 298px;" /></a></p> <p>而在採用4U與5U尺寸、4-GPU組態的產品上，Supermicro提供兩款機型：SYS-421GU-TNXR、SYS-521GU-TNXR，GPU均為Nvidia HGX H100 4-GPU的系統板，CPU均為英特爾第四代Xeon Scalable，記憶體插槽提供32個DDR5-4800規格，主要差異在於機箱尺寸（4U vs. 5U），以及能容納的硬碟儲存數量（6臺NVMe或SATA固態硬碟 vs. 10臺NVMe或SATA固態硬碟）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro 4U and 5U GPU Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%204U%20and%205U%20GPU%20Server.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，上述這些GPU伺服器預設仍採用氣冷散熱，搭配的系統風扇皆屬於高負載型（heavy duty）元件，SYS-821GE-TNHR、AS-8125GS-TNHR這兩款8-GPU伺服器，均用10臺高負載風扇（機箱前面5臺，背部5臺），至於4-GPU伺服器SYS-421GU-TNXR、SYS-521GU-TNXR，都用5臺高負載風扇（機箱中間）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Supermicro SYS-821GE-TNHR</strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：8U<br /> ●處理器：2顆，第四代Xeon Scalable系列<br /> ●記憶體：32個DDR5-4800插槽，最大可擴充至8 TB<br /> ●儲存配置：24臺2.5吋NVMe或SATA固態硬碟+2臺M.2 NVMe固態硬碟<br /> ●搭配GPU：Nvidia HGX H100 8-GPU，8個SXM5形式GPU<br /> ●I/O擴充介面：12個PCIe 5.0 x16<br /> ●電源供應器：8臺3000瓦（3+3）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/4/23 16:29作者李宗翰https://www.ithome.com.tw/review/156519
鎖定邊緣環境HCI建置，西門子工業運算設備搭配伺服器級CPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/xi_men_zi_bian_yuan_si_fu_qi_rs-828a_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月AMD推出新一代伺服器處理器EPYC 9004系列，正式揭開資料中心運算平臺世代交替的序幕，到了今年3月，他們發表基於相同微架構（Zen4）的嵌入式伺服器級處理器，名為EPYC Embedd 9004系列，有10種款式，單顆CPU可提供16、24、32、48、64、96顆核心，預設的熱設計功耗為200瓦、280瓦、290瓦、360瓦之別，希望將資料中心等級的運算能力，帶至網路、資安、儲存，以及工業等領域的嵌入式設備應用。</p> <p>而在採用這系列處理器的市售產品上，AMD宣布目前有兩家廠商率先響應，其中一家是德國工業設備大廠西門子（Siemens），他們新推出的工業級邊緣伺服器Simatic IPC RS-828A，也是我們本篇報導主要介紹的對象。</p> <p>由於EPYC Embedd 9004系列內建的核心數量相當多，大大超越傳統工業設備的配置，令人好奇廠商會將具有如此強大運算能力的產品，用在何種領域當中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A5%BF%E9%96%80%E5%AD%90-%E6%A9%9F%E6%9E%B6%E5%9E%8BIPC-PORTFOLIO-1.jpg" style="width: 600px;" /></p> <p>AMD表示，這套系統是專為超融合基礎架構的執行所設計的，可廣泛服務多種應用需求，像是汽車生產製造、5G基站的設置，以及物聯網公有雲服務，也能用於涉及人工智慧，或承擔繁重運算負載的應用類型，例如，在零售業環境當中的視覺追蹤處理（visual tracking）。</p> <p>透過Simatic IPC RS-828A這樣的設備，建置體型較短小、兼具硬體強固特性的超融合系統，可針對多種工業應用的需要，在終端使用者與廠區基礎架構旁邊，就地直接進行現場資料的擷取與預先處理，以及立即分析，並且憑藉本身具備的資料中心等級伺服器效能，應付日益增長的運算密集型負擔，滿足產線上的人工智慧與視覺運算工作流程。</p> <p>除此之外，Simatic IPC RS-828A也能用於數位雙生（Digital Twin），可協助用戶透過虛擬、軟體型態的感測器，產生實體模型的數位雙生體，而且，所需要的量測方式與量測變數，均可以經由模擬而能以快速、輕鬆的方式取得，而無需仰賴實體感測器對馬達、泵蒲、機器進行狀態監控——等待這些裝置將物理與化學變化轉換成電子信號，才能送至運算平臺處理。</p> <p>關於Simatic IPC RS-828A本身的硬體細部規格，目前西門子只在他們的網站揭露一部分資訊，例如，機箱為2U尺寸，可在PCIe 5.0介面插槽安裝2張雙寬尺寸的高效能AI加速卡，以及採用2顆AMD新一代EPYC Embedd處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-西門子IPC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-%E8%A5%BF%E9%96%80%E5%AD%90IPC.jpg" style="width: 600px;" /></a></p> <p>而在AMD網站發布的用戶成功案例故事文章中，補充Simatic IPC RS-828A更多規格，像是：可搭配2顆處理器、8臺硬碟，內建2個10GbE網路埠，記憶體可安裝24支、最多可搭配到6 TB的容量；PCIe 5.0介面除了前面提到可安裝2張雙寬尺寸AI加速卡，還有3個插槽，能用來額外安裝網路卡；在此產品可適用的環境上，溫度範圍為攝氏5度至45度，同時，它也配置了過濾器，可阻擋灰塵侵入。</p> <p>根據西門子IPC業務系列產品經理Sebastian Drosdek<a href="https://youtube.com/shorts/0oavXWK4hfs?feature=share">在YouTube公布的短片</a>來看，機箱前方可放置6臺U.3外形SATA固態硬碟（其他2臺應在機箱內部），以及6臺風扇，並設有防塵擋板。</p> <p>後續我們在Embedded.com這個報導嵌入式系統相關新聞的網站在<a href="https://youtu.be/bsD1rhxpp74">YouTube</a>發布的影片中，看到AMD在Embedd Word大會介紹Simatic IPC RS-828A主要特色，當中也列出與上述資訊呼應的內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-Embedd World 2023-AMD-Siemens.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-Embedd%20World%202023-AMD-Siemens.jpg" style="width: 600px;" /></a></p> <p>而這款工業邊緣伺服器所採用的處理器EPYC Embedd 9004系列，究竟與早先上市的EPYC 9004系列，有何不同？從AMD這次發表的消息來看，EPYC Embedd 9004系列最大差異是具有較長的產品生命週期，以及幾種協助伺服器達到企業級可靠度、可用性、服務性（RAS）要求的機制，他們強調，此款處理器額外具備4大特性，包含：</p> <p>（1）產品壽命，提供長達7年的產品供應期間與技術支援；<br /> （2）強化系統系統可靠度，在PCIe介面上，可執行非透明橋接（Non-Transparent Bridging，NTB），促使兩顆處理器資料交換能彼此備援；<br /> （3）進一步保障安全開機程序的正常運作，提供2個序列周邊介面（SPI），可透過處理器之外的兩個唯讀記憶體（ROM）來支援伺服器系統的安全啟動，其中一個ROM存放BIOS映像，另一個ROM存放專屬的啟動載入器，以此來驗證與載入BIOS映像；<br /> （4）提升記憶體因應突發斷電的資料保護力，支援NVDIMM記憶體，可透過混合DRAM記憶體與快閃記憶體的架構來保護伺服器記憶體所載入的資料，一旦遇到意外的斷電或系統重啟狀況，可將DRAM當下的資料轉存至快閃記憶體，提供備援。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Siemens Simatic IPC RS-828A</strong><br /> ●原廠：Siemens<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：2顆，AMD EPYC Embedded 9004系列<br /> ●記憶體：24個插槽，最大可安裝6 TB（24支256 GB）<br /> ●儲存配置：8臺硬碟<br /> ●I/O介面：PCIe 5.0 （2個雙寬尺寸加速卡、3張介面卡）<br /> ●網路介面：2個10GbE埠<br /> ●運作溫度：攝氏5度至45度</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/4/23 01:07作者李宗翰https://www.ithome.com.tw/review/156506
企業版Chrome新增DLP與擴充套件風險評估功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/chrome-enterprise/secure-enterprise-browsing-more-data-protections-visibility-and-insights">Google強化企業版Chrome的安全性</a>，加入3種資料丟失防護（DLP）功能，避免使用者意外地洩漏從瀏覽器存取的機密資料，同時加入CRXcavator和Spin.AI兩平臺擴充套件風險評估工具，賦予管理者更多的安全可見性，更完整掌握員工的網路使用安全。</p> <p>Chrome透過整合DLP功能，使企業能夠監控和保護，透過瀏覽器存取的機密資訊以及智慧財產，避免用戶因為疏忽，導致未經授權的內容洩漏。Chrome擁有多種DLP新功能，第一種情境感知DLP，可供管理者根據裝置安全狀態自定義DLP規則，像是當用戶使用公司安裝端點防護軟體的裝置，便允許存取敏感檔案，但是當用戶使用私人的裝置，Chrome便會阻擋這些存在風險的裝置存取。</p> <p>管理者還可以使用Chrome新的URL過濾器，在使用者存取違反組織政策的網站時，進行阻擋並且發出警告，同時還可以限制使用者只能使用自家的檔案共享網站，封鎖熱門的檔案共享服務。最後，新DLP功能防護範圍還包含列印，Chrome會在用戶試圖列印存在機敏資料的檔案時採取行動，像是在用戶列印具有完整身分ID的檔案之前，發出警告並且加以阻擋。</p> <p>企業管理員在新的Chrome中，還擁有更多擴充套件安全控制功能。Google提到，因為瀏覽器擴充套件可能存在風險，或是不符企業政策，因此Chrome不只讓IT和安全團隊，能夠查看使用者已安裝的擴充套件列表，現在還透過進一步和CRXcavator和Spin.AI合作，在Chrome提供兩平臺的風險評估工具，供管理員快速了解擴充套件的風險分數。</p> <p>Chrome新的安全分析功能，會在新擴充套件安裝時發出通知，使安全團隊更能掌握企業環境中，擴充套件的使用情況，另外，當Chrome發生崩潰事件時，瀏覽器也會通知安全團隊協助事件調查。</p> </div></div></div>
2023/4/23 11:54作者李建興https://www.ithome.com.tw/news/156516
Node.js 20新增權限模型，還能創建單一可執行應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenJS基金會發布Node.js第20個主要版本，這個版本的更新重點，包括加入權限模型，同時test_runner模組達到穩定階段，並且更新V8引擎至11.3版本，另外，開發者在這個版本還可以創建單一可執行應用程式，不需安裝Node.js就可發布應用程式系統。</p> <p><a href="https://openjsf.org/blog/2023/04/18/node-js-20-now-available/">Node.js 20</a>的權限模型能夠限制程式執行時期的資源存取，官方認為此模式是一個重要的安全機制，當該模型啟用後，便會限制所有可用權限的存取，包括限制存取檔案系統、創建程序或是創建worker_threads的能力，如此便能避免第三方函式庫，在未經用戶同意下存取機器資源。由於目前該功能還在實驗階段，開發者需要在API上使用特殊旗標才能啟用。</p> <p>一直以來Node.js都沒有自己的測試工具（Test Runner），因此開發者需要使用第三方工具測試程式碼，而在Node.js 18，官方終於加入了一個內建的核心測試工具模組test_runner，該模組在Node.js 20達到穩定階段，開發者可將其用於生產，創建JavaScript測試。</p> <p>Node.js 20還擁有一個重要的功能，是讓開發者可以創建單一可執行應用程式，允許在不安裝Node.js的情況下，發布Node.js應用程式系統，也就是說，該功能會將專案編譯成二進位檔案，方便開發者發布，官方提到，OpenJS基金會成員微軟也正在研究這種方法，進一步降低向量攻擊。</p> <p>Node.js 20的JavaScript引擎更新到V8 11.3，這個新版本的新功能，包括Google剛更新的<a href="https://www.ithome.com.tw/news/156326">WebAssembly尾呼叫</a>，能夠有效提高遞迴函式的執行效能。</p> </div></div></div>
2023/4/23 11:57作者李建興https://www.ithome.com.tw/news/156517
搭配輝達頂級資料中心GPU，Dell推出第一款8-GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_emc_poweredge_xe9680_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2022年3月Nvidia發表新一代資料中心GPU產品H100，我們一直很關心各家伺服器廠商何時會推出可搭配這款GPU的機型，在11月SC22大會期間，Nvidia宣布有十多個廠牌、數十款伺服器將採用H100，而這些伺服器機型當中，他們特別標榜Dell即將推出的PowerEdge XE9680，因為這款機型是該公司第一次基於Nvidia HGX平臺而成的8-GPU系統，可搭配8個Nvidia H100或A100，而在中央處理器的部分，則採用兩顆同樣即將問世的英特爾第四代Xeon Scalable系列，而在散熱方面，採用氣冷設計，是專為融合模擬、資料分析、人工智慧等用途所設計的伺服器機型，能針對人工智慧提供最大運算效能。</p> <p>在此之前，Dell針對SXM外形的Nvidia資料中心GPU支援，僅提供4-GPU組態的機型，而且伺服器配置均由該公司設計，例如，2021年3月發表的<a href="https://www.ithome.com.tw/review/143409">XE8545</a>，搭配4個A100；2017年11月發表的<a href="https://www.ithome.com.tw/review/121757">C4140</a>，可搭配P100和V100的NVLink版本GPU。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20XE9680-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell PowerEdge XE Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerEdge%20XE%20Server.jpg" style="width: 600px;" /></a></p> <p>發表XE9680的同時，Dell也預告將推出搭配4個SXM外形Nvdia H100 GPU的4U氣冷伺服器，機型名稱是XE8640，以及搭配4張OAM外形的Intel Data Center GPU Max系列的2U液冷伺服器，機型名稱是XE9640。而關於這三款機型的上市時程，當時的規畫是在2023年上半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Dell%20Sing-PowerEdge%20Next-Nvidia3.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Dell%20Sing-PowerEdge%20Next-Nvidia2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Dell%20Sing-PowerEdge%20Next-Nvidia1.jpg" style="width: 600px;" /></p> <p>2022年12月，Dell釋出XE9680技術規格文件，揭露更多硬體基本配置，例如，機箱尺寸是6U高度，DDR5-4800記憶體插槽有32個，機箱前緣可安裝10張全高半長尺寸的PCIe 5.0介面卡，電源供應器為2800瓦；硬碟目前能搭配8臺2.5吋NVMe SSD，未來能搭配到16臺；搭配2顆英特爾第四代Xeon Scalable處理器，每顆核心最多為56個；若以整臺伺服器機箱而言，會有6個高效能金級風扇設置在中間，協助處理器散熱，以及10個高效能金級風扇設置在尾端，協助GPU與PCIe介面卡散熱。</p> <p>今年1月，英特爾正式發表第四代Xeon Scalable伺服器處理器，3月Dell在臺灣舉辦全新一代PowerEdge伺服器發表記者會時，首度公開展出上述三款GPU伺服器，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-Dell TW-PowerEdge Next-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-Dell%20TW-PowerEdge%20Next-2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03_DELL_XE9680_20230303-web.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/04_DELL_XE9680_20230303-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_DELL_XE9680_20230303-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/07_DELL_XE9680_20230303-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/07_DELL_XE9680_20230303-web.jpg" style="width: 298px;" /></a></p> <p>其中的XE9680，根據Dell在新加坡舉行的PowerEdge .Next之Power Innovation Anywhere大會發布的消息，已於3月底正式出貨，也是市面上能買到的第一款搭載Nvidia H100的伺服器，而此款機型的技術指南、安裝與服務手冊等文件，也在3月出爐，當中更明確交代了硬體規格細節。</p> <p>例如，可搭配的處理器熱設計功耗（TDP）最高為350瓦，這也是第四代Xeon Scalable處理器的TDP上限，並且搭配2U高度的CPU高效能散熱座與CPU高效能金級風扇。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/XE9680-CPU%20and%20Fans.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/09_DELL_XE9680_20230303-web.jpg" style="width: 600px;" /></p> <p>關於GPU的設置，若採用預載8個Nvidia A100的HGX基板／Nvidia Delta Board，可搭配4U高度GPU散熱座與NVLink散熱座，以及GPU高效能金級風扇；若採用預載8個Nvidia H100的Nvidia Delta Board，只需搭配GPU高效能金級風扇。而在伺服器可運作的溫度範圍，則是介於攝氏10度到35度之間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X9680-H100.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/XE9680-HGX H100-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XE9680-HGX%20H100-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/XE9680-HGX H100-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XE9680-HGX%20H100-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-HGX-H100-8-GPU-with-NVlink.png" style="width: 512px;" /></p> <p>先前Dell預告XE9680可搭配到16臺硬碟，而根據最新發布的技術規格文件指出，這是指E3.S外形的NVMe固態硬碟；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X9680-Front%20with%20E3_S%20and%20PCIe%20Slot.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/X9680-Front with E3_S and PCIe Slot2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X9680-Front%20with%20E3_S%20and%20PCIe%20Slot2.jpg" style="width: 600px;" /></a></p> <p>而在電源供應器的部分，可搭配到6臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/server-poweredge-xe9680-black-gallery-10.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Dell EMC PowerEdge XE9680<br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：6U<br /> ●處理器：2顆，第四代Xeon Scalable系列（最高搭配56核心機型）<br /> ●記憶體：32個DDR5-4800插槽，最大可擴充至4 TB<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟+2臺M.2 NVMe SSD<br /> ●搭配GPU：Nvidia HGX H100 8-GPU，8個SXM5形式GPU，或是Nvidia HGX A100 8-GPU，8個SXM4形式GPU<br /> ●I/O擴充介面：10個PCIe 5.0 x16全高半長介面卡<br /> ●電源供應器：6臺2800瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/4/22 01:44作者李宗翰https://www.ithome.com.tw/review/156425
【資安日報】4月21日，久未發布軟體更新的網站平臺外掛可能淪為防禦破口，一支WordPress外掛慘遭濫用，被人用於植…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊WordPress網站的情況不時傳出，但近期出現了新型態的手法，而可能讓攻擊行動更難察覺──他們利用了長期沒有更新，而可能存在可利用漏洞的外掛程式，而使得攻擊行動有這種合法的外掛程式掩人耳目。</p> <p>VMware針對Aria Operations for Logs修補的漏洞也相當值得留意，因為，這次他們特別呼籲用戶要儘速修補CVE-2023-20864，怪異的是卻沒有公布其CVSS風險評分。</p> <p>近日微軟公布新的駭客組織命名規則，與過往不同的是，該公司以特定類型的氣候來命名駭客組織，並標榜這麼做使用者可更容易識別駭客的性質。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.sucuri.net/2023/04/massive-abuse-of-abandoned-evalphp-wordpress-plugin.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">已不再更新的外掛程式遭到濫用，駭客對WordPress網站植入後門程式</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/eval_php_plugin.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/eval_php_plugin.png" style="width: 300px; float: right;" /></a>資安業者Sucuri揭露針對WordPress網站而來的攻擊行動，駭客濫用超過10年未更新的外掛程式Eval PHP，於目標網站的資料庫裡，將惡意程式碼注入名為wp_posts的資料表，而這段程式碼用file_put_contents功能函式建立PHP指令碼，再以此部署後門程式。</p> <p>研究人員指出，這類攻擊行動很難被察覺，因為駭客是用老舊、合法的外掛程式來注入PHP程式碼</p> <p>而在攻擊的時機與規模上，今年4月，上述行動大幅增加，平均每天惡意下載Eval PHP的行為超過4千次。</p> <p><a href="https://services.google.com/fh/files/blogs/gcat_threathorizons_full_apr2023.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用Google Drive及使用密碼保護的ZIP檔案，散布惡意程式Ursnif、Diceloader</span></strong></a></p> <p>Google旗下的資安行動小組（GCAT）與該公司併購的Mandiant展開合作，近期揭發一起金融木馬Ursnif資安攻擊。駭客先是透過釣魚郵件，引誘收信人從Google Drive下載ZIP檔案，此壓縮檔案受到密碼保護，一旦依照指示開啟、執行，電腦就有可能被植入Ursnif。</p> <p>研究人員指出，類似手法也被用於散布其他惡意程式。他們發現有人提供已竄改的Zoom安裝程式，於受害電腦部署惡意軟體Diceloader，過程中，同樣會要求使用者從Google Drive下載受密碼保護的ZIP檔案。</p> <p><a href="https://www.macrumors.com/2023/04/19/apple-responds-to-iphone-theft-recovery-key-report/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用iPhone回復金鑰，奪取手機用戶的iCloud帳號，並且斷除原機遺失尋回機制</span></strong></a></p> <p>根據華爾街日報的報導，駭客濫用iPhone回復密碼的功能，使得手機失竊的人再也無法存取iCloud儲存的照片及檔案。</p> <p>該媒體引述受害者的說法，這些人在手機被竊之後，駭客疑似輸入了Passcode，進而產生復原Apple ID的密鑰，而能成功入侵用戶的iCloud帳號。一旦成功入侵iCloud帳號，攻擊者就會馬上關閉Find My功能，並切斷能存取該帳號的蘋果裝置，甚至竊取Apple Pay行動支付的金鑰。對此，蘋果表示正在研擬防範此種威脅的新措施。</p> <p><a href="https://www.mandiant.com/resources/blog/3cx-software-supply-chain-compromise"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對3CX VoIP系統軟體供應鏈的攻擊事故有新發現！駭客先透過另一個軟體供應鏈入侵員工電腦</span></strong></a></p> <p>協助網路電話系統解決方案3CX調查供應鏈攻擊事故的資安業者Mandiant指出，他們發現在這起攻擊行動裡，駭客組織UNC4736並非直接對3CX的員工下手，而是先針對股票交易自動化業者Trading Technologies的網站下手，進而散布遭到竄改的X_Trader應用程式，然後於3CX員工電腦上部署模組化後門程式VeiledSignal，執行Shell Code將通訊模組注入瀏覽器的處理程序。</p> <p>而對於UNC4736的身分，研究人員根據所使用的基礎設施，認為與隸屬北韓駭客組織APT43的兩個駭客團體有關（UNC3782、UNC4469），以此推測UNC4736很有可能來自北韓。</p> <p><a href="https://www.welivesecurity.com/2023/04/20/linux-malware-strengthens-links-lazarus-3cx-supply-chain-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus假借提供工作機會的名義，鎖定Linux用戶發動攻擊</span></strong></a></p> <p>資安業者ESET揭露Operation DreamJob的新一波攻擊行動，北韓駭客組織Lazarus在職場社群網站LinkedIn與其他社群網站上，假借提供工作機會的名義，引誘受害者下載惡意軟體。</p> <p>研究人員看到的其中一起事故裡，駭客透過網路釣魚與LinkedIn散布名為HSBC job offer.pdf.zip的壓縮檔，其內容含有以Go語言編寫而成的Linux惡意軟體，駭客濫用了Unicode的特殊字元，而導致使用者以為副檔名是PDF。</p> <p>一旦使用者開啟上述檔案，惡意軟體OdicLoader會顯示誘餌PDF文件，並從雲端檔案共用服務OpenDrive下載第2階段的惡意軟體酬載SimplexTea。根據進一步分析、比對SimplexTea之後，研究人員發現，它與3CX供應鏈事故中的macOS版惡意程式SimpleSea有共通特徵，因此推測Lazarus參與上述供應鏈攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://kb.vmware.com/s/article/91831"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware vRealize漏洞恐讓攻擊者使用root權限執行程式碼</span></strong></a></p> <p>4月20日VMware發布資安通告，因為他們針對Aria Operations for Logs（原名vRealize Log Insight）發布了8.12版，目的是修補CVE-2023-20864、CVE-2023-20865兩個漏洞。</p> <p>其中比較值得留意的是CVE-2023-20864，此為反序列化漏洞，攻擊者有機會於目標系統上，使用root權限來遠端執行任意程式碼，影響Aria Operations for Logs 8.10.2版。該公司呼籲用戶應儘速升級軟體，但沒有透露此漏洞的CVSS風險評分。</p> <p><a href="https://gbhackers.com/chatgpt-account-takeover-bug/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">ChatGPT存在漏洞，恐讓駭客接管帳號</span></strong></a></p> <p>研究人員Nagli揭露大型機器學習語言模型ChatGPT存在的漏洞，攻擊者可透過Web Cache欺騙手法，在自己已經登入ChatGPT的情況下，將惡意URL發送給目標用戶，並引誘登入ChatGPT，由於伺服器將使用者的敏感資料保存於暫存區，攻擊者就能從特定的CSS樣式表檔案裡，得知使用者的姓名、電子郵件信箱、Token等，而能存取目標用戶的ChatGPT帳號。對此，OpenAI在接獲通報的數個小時後修補上述漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/156487"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織的命名缺乏統一識別原則，微軟倡議新作法，中國駭客組織將取名為某某颱風，俄羅斯駭客將取名為某某暴風雪</span></strong></a></p> <p>4月19日微軟宣布他們採用新的規則命名、稱呼駭客組織，這套規則主要依據駭客類型來進行分類，包含國家級駭客（Nation-state）、因經濟動機從事攻擊行動（Financially motivated）的駭客、私人領域的駭客（Private sector offensive actors）、認知作戰駭客（Influence operations），以及尚在發展中的駭客組織（Groups in development）等。</p> <p>其中，國家級駭客的部分，中國駭客以颱風（Typhoon）命名、伊朗駭客以沙塵暴（Sandstorm）命名、北韓駭客以雨雪（Sleet）命名，俄羅斯駭客以暴風雪（Blizzard）命名。</p> <p>以中國駭客組織為例，APT41他們命名為Brass Typhoon，駭客組織ControlX則叫做Charcoal Typhoon。這種新的命名方式，將有助於使用者能更容易判斷駭客組織的屬性，<a href="https://learn.microsoft.com/en-us/microsoft-365/security/intelligence/microsoft-threat-actor-naming">該公司也提供了駭客組織的新舊名稱對照表</a>。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/apt-attacks-telecoms-africa-mgbot"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">非洲電信業者遭中國駭客鎖定，部署惡意程式MgBot</span></span></strong></a></p> <p><a href="https://www.capita.com/news/update-cyber-incident"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國IT業者Capita證實網路攻擊出現資料外洩</span></span></strong></a></p> <p><a href="https://blog.google/threat-analysis-group/ukraine-remains-russias-biggest-cyber-focus-in-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">烏克蘭遭俄羅斯駭客APT28鎖定，目的疑為掌控與戰爭有關的話語權</span></span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/23/d/an-analysis-of-the-bablock-ransomware.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Rorschach透過隨機字串的副檔名加密檔案</span></span></strong></a></p> <p><a href="https://www.zscaler.com/blogs/security-research/introducing-devopt-multifunctional-backdoor-arsenal"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">後門程式Devopt竊取受害電腦檔案</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156490">【4月20日】 Oracle發布2023年第2季例行更新，修補433個漏洞</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a></strong></p> </div></div></div>
2023/4/21 16:54作者周峻佑https://www.ithome.com.tw/news/156513
PyPI套件維護者現可選用OpenID Connect可信發布方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Python套件軟體儲存庫服務PyPI的套件維護者，將可以透過<a href="https://blog.pypi.org/posts/2023-04-20-introducing-trusted-publishers/">使用OpenID Connect（OIDC）標準，以第三方服務登入PyPI</a>，也就是說，維護者能夠不與外部系統共享長期密碼或是API權杖，以更安全的方法發布套件。</p> <p>OIDC是一種以OAuth 2.0協定為基礎的身分驗證和授權標準，其提供用戶單一憑證，在多個網站和應用程式進行身分驗證的方法，OIDC由於在OAuth 2.0的基礎上，增加了額外的身分資訊，因此應用程式還可以獲得諸如名稱和電子郵件等用戶基本資料。</p> <p>使用OIDC標準在可信第三方和PyPI之間交換短期身分權杖的功能，被官方稱為可信發布（Trusted Publishing），PyPI提到，可信發布可用於自動化環境，維護者在PyPI發布套件時，將不需要使用帳戶密碼組合，或是手動生成API權杖通過身分驗證。</p> <p>維護者可以改為在PyPI設定一個可信任的OIDC身分驗證供應商（IdP），使得PyPI能夠驗證和信任該身分，並授權該身分從PyPI請求短期且能力受限的API權杖。PyPI現在支援GitHub Actions可信發布，在將PyPI設定信任GitHub儲存庫和工作流程後，PyPA（Python Packaging Authority）pypi-publish GitHub Action使用者，便可以從工作流程中移除帳號密碼資訊，添加生成身分權杖的權限，開始使用受信任發布。</p> <p>PyPI強烈建議使用PyPA的GitHub Actions，同時推薦維護者，限制特定發布的GitHub Actions環境，可進一步提高發布工作流程的安全性，雖然配置環境可以選擇，但是官方強烈建議使用GitHub環境。維護者還可以對受信任的GitHub Actions工作流程，添加額外的限制，像是要求每次運作都需要由受信任的儲存庫維護者批准，以進一步提高安全性。</p> <p>以可信發布功能為基礎，PyPI還將擴展更多安全功能，官方解釋，因為配置和使用受信任的發布者，在專案和儲存庫之間提供了強連結資訊，使PyPI擁有更多可供驗證的後設資料，像是可驗證專案儲存庫的URL等，而且受信任的發布者也允許PyPI以可驗證的方式，關聯特定檔案的發布位置等資訊。</p> <p>雖然目前可信發布者僅支援GitHub Actions，不過官方提到，他們也有高度意願支援其他OpenID Connect身分驗證服務。</p> </div></div></div>
2023/4/21 15:26作者李建興https://www.ithome.com.tw/news/156508
數位化永不嫌遲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>禍延全球的COVID-19疫情即將進入最終結束階段，這段期間所掀起的數位化浪潮，堪稱人類史上最大規模，然而，目前還是有不少人默默堅持使用傳統的電話溝通方式。</p> <p>例如，有一家我常去的餐廳，顧客可付現金，也能使用第三方支付服務來付賬，然而，他們每隔幾天要訂購米粉與麵條時，與其接洽的商家仍用電話溝通的方式來詢問，有時這家餐廳甚至還會接到重複詢問訂購數量的電話，難以理解為何他們彼此不用即時通訊軟體來解決這個經常需要確認的需求。</p> <p>另一個消息則與政治人物有關，由於近期臺灣各政黨都在積極準備2024的立法委員大選，許多地區面臨激烈的初選競爭，恰巧媒體報導有意參選的首都現任資深市議員，突然公開表示自己現在才開始使用智慧型手機，引起大家關注，他自嘲這是擺脫山頂洞人的第一步，因為選區很多長輩都比他會用手機，為了讓服務更專業周到，必須盡快脫離山頂洞人的行列。</p> <p>拒當「低頭族」、擔憂數位科技帶來的壞處多於好處的人，其實仍然存在你我的身邊，其實，大多數的我們過去也是如此，只是早了很多年就決定擁抱這些變化，因此，也無須訕笑這群朋友們。</p> <p>換個角度來說，現在他們一旦決定要使用這些科技，身邊馬上就有許多人可以指導如何操作，而且，無論是親友、同事、商家服務人員或路上的陌生人，我相信大家都很願意分享自己的經驗，幫助這些年長、對時興科技感到陌生的數位新鮮人，盡快體驗到便利性。</p> <p>回想自己開始使用智慧型手機至今剛好滿10年，那時身邊許多朋友早就已經在用，當時是因為要出國進行採訪工作，需要較長時間離開公司辦公室的個人電腦來進行遠距工作與溝通，筆電雖然可以應付工作發稿的需要，但是在人員移動的過程中，可能需要經常上網查詢交通與活動相關資訊，若每一次都必須拿出筆電來進行這些操作，也太麻煩了，因此，還是決定買一臺智慧型手機來滿足這些需求。</p> <p>使用新科技的過程，對很多人來說，可能都很擔心自己會著迷於社交網站、線上遊戲，嚴重影響工作與生活作息，的確大多數人都很有可能會經歷這些狀況，然而，經歷過網際網路崛起的我們，或多或少都體驗過何謂上網成癮，以及如何在各種時間空檔裡面設法上網，感受到虛擬世界連結互不認識的人們，彼此的互動、交換訊息，竟然是能夠如此頻繁，而到了社群網站、智慧型手機普及之後，這些體驗的提供更為全面、廣泛，衍生的各式線上應用，更是呈現百花齊放的姿態，令人目不暇給，但無論如何，我們終究必須學會取捨，因為每個人的時間與金錢都很有限，當不斷出現會吸引我們注意的各種內容時，終有一天，我們會察覺那些是對自己真正有益的，那些是徒勞無功的，會吸引我們花上大量時間與金錢的事物，真的是值得我們長期投入與追求的嗎？科技只是將這些很多人所嚮往的事物，更近距離地放在我們眼前，但不代表我們能全然擁有它們，而且，科技與這些迷人事物的出現，並不能替每個人決定該選擇什麼，身處其中的我們，雖然不免心神蕩漾而沉迷其中，甚至為此虛耗大把時間和金錢，但最終也將學會如何在利弊之間做出最佳取捨，而非全然擁抱或排斥。</p> <p>目前全球數位化的狀況如何呢？其實尚未接受的人還很多，能有很大的普及空間，而臺灣的比例，若以連網與手機使用而言，已高過全球平均。根據數據分析公司DataReportal今年1月發布的概況報告，網際網路的用戶數量為51.6億人，占全世界人口的64.4％；手機使用者數量為54.4億人，占全世界人口的68％。</p> <p>單看臺灣，我們在網際網路的使用者數量為2,168萬人，占總人口90.7％，透過手機上網者占全國上網人數的91.5％；以每天上網時間而言，手機占比為55.5％，電腦為44.5％。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%8C%96">數位化</a></div><div class="field-item odd"><a href="/tags/%E7%96%AB%E6%83%85">疫情</a></div></div></div>
2023/4/21 15:38作者李宗翰https://www.ithome.com.tw/voice/156509
駭客能用iPhone復原密鑰，將用戶永久封鎖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/articles/the-iphone-setting-thieves-use-to-lock-you-out-of-your-apple-account-716d350d" target="_blank">《華爾街日報》（Wall Street Journal）報導</a>，iPhone一項可用於回復密碼的功能，反而可讓駭客封鎖用戶，使其永遠無法再存取iCloud上的照片或檔案。</p> <p>報導引述多位受害者現身說法，他們的iPhone在被竊或被搶走後，被駭客產生復原密鑰功能修改掉Apple ID密碼及切斷存取管道，使失主無法再存取iCloud，以及儲存的照片或檔案。</p> <p><a href="https://support.apple.com/en-us/HT208072" target="_blank">根據蘋果網頁</a>，復原密鑰是一組隨機產生的28字元密碼，可在用戶忘記Apple ID密碼時發揮救援。用戶需結合復原密鑰、iPhone及信任的電話號碼來（即雙因素驗證）重設Apple ID密碼。另一個方式是輸入iPhone本身的passcode來重設Apple ID密碼。</p> <p>當駭客取得用戶iPhone後，只要知道iPhone passcode，即可產生復原密鑰，藉此存取iCloud。進入iCloud後，駭客即可關閉Find My功能以免於被追蹤，或是變更連結iCloud帳戶的裝置，包括受害用戶的iPhone或是其他蘋果裝置，以防止受害者從其他裝置來取得存取權。此後，一旦駭客可全權存取受害者iCloud帳戶，即可為所欲為，包括竊取Apple Pay或其他銀行帳戶（如果有聯結）中的金鑰、竊取或讀取iPhone用戶相片、電子郵件，要刪光也可以。</p> <p>蘋果警告，若受信任裝置及復原密鑰兩者都無法取得，用戶可能永遠無法存取其iCloud帳戶。只要駭客得知iPhone的passcode，就可以輕易變更用戶的存取憑證，即使手機開啟Face ID或Touch ID也擋不住，導致受害用戶再也無法存取其照片、電子郵件或檔案。</p> <p>報導指出，蘋果政策下，用戶沒有復原密鑰幾乎不可能重新取得iCloud帳號權限，受害者也抱怨蘋果不願單方面幫他們重設復原密鑰。</p> <p>報導引述蘋果方面的回應。該公司說對這些用戶的遭遇表達同情，蘋果一直在研究防止此類威脅的防護方法。</p> <p>目前能防止被人篡奪個人記憶及個資的方法，是避免被陌生人看到iPhone passcode，例如改使用Face ID或Touch ID驗證登入iPhone。此外，使用英文字母及數字混合的passcode，也會比單純4位數passcode更不容易被第三人從旁讀取。這可以從「設定」App中的「Face ID & Passcode」>「變更Passcode」變更passcode組合。</p> </div></div></div>
2023/4/21 15:13作者林妍溱https://www.ithome.com.tw/news/156507
Google整併AI研發為Google DeepMind
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/april-ai-update/" target="_blank">Google執行長Sundar Pichai昨（20）日宣布</a>合併Alphabet子公司DeepMind及Google研究院的Google Brain部門，成立新事業群Google DeepMind，全力開發人工智慧（AI）技術。</p> <p>新事業群將由DeepMind執行長Demis Hassabis持續掌舵，Google Brain領導人Jeff Dean將升任Google Research及DeepMind首席科學家，向Alphabet及Google執行長Sundar Pichai報告。Hassabis將領導「最強大的負責任通用型AI系統」的開發，協助打造Google次世代產品和服務，Dean的角色則是引領AI最關鍵及策略性的AI技術專案，其中包含強大的多模AI模型的開發專案。</p> <p>DeepMind由現任執行長Hassabis於2010年和倫敦大學學院機器學習專家Shane Legg共同創立。DeepMind 2014年為Google收購，總部仍位於英國倫敦。2016年DeepMind的AlphaGo打敗南韓與中國圍棋棋王李世石和柯潔聞名全球。DeepMind雖然獨立營運，但和Google業務持續往來，像是<a href="https://www.ithome.com.tw/news/127025" target="_blank">DeepMind的健康照護研發部門Stream於2018年併入</a>新成立的Google Health。</p> <p><a href="https://techcrunch.com/2023/04/20/google-consolidates-ai-research-divisions-into-google-deepmind/" target="_blank">Techcrunch報導</a>，DeepMind員工人數達1,000人，2020年已有獲利，營收約6,000萬美元，但主要來自授權Alphabet其他姐妹公司的收入。</p> <p>Google Brain則源自於Google X的深度學習研發小組，最初成員包括史丹佛大學教授吳恩達、Jeff Dean及Google研究院科學家Greg Corrado，其成果包括TensorFlow及大型深度學習系統DisBelief。</p> <p>新成立的Google DeepMind將整合Google Brain及DeepMind的AI研發成果，包括AlphaGo、Transformer、文字表示模型word2vec、音訊波形深度生成模型WaveNet、蛋白質結構預測模型AlphaFold、序列到序列模型（sequence to sequence model）、蒸餾（distillation）、深度強化學習、分散式系統及TensorFlow、JAX等用於表徵、訓練及部署大型ML模型的軟體框架。</p> <p><a href="https://www.deepmind.com/blog/announcing-google-deepmind" target="_blank">執行長Hassabis指出</a>，Google DeepMind將結合AI人才及Google的運算、基礎架構和其他資源，開發用於Google及Alphabet的AI技術。除了Jeff Dean外，Google科技和社會（Technology and Society）資深副總裁James Manyika將協助Google DeepMind打造負責任的AI，確保新科技遵循AI倫理及人類福祉。</p> <p>這次改組是Google在OpenAI的ChatGPT全球爆紅，激發Google內部發出紅色警戒，並整軍經武決心奪回AI領導地位的結果。Google正在積極研發聊天機器人Google Bard，以及<a href="https://www.ithome.com.tw/news/156439" target="_blank">整合AI能力、工程代號Magi的全新搜尋引擎</a>。</p> </div></div></div>
2023/4/21 11:21作者林妍溱https://www.ithome.com.tw/news/156498
60年老字號化工廠李長榮IT靠導入AI技術幫助公司每日污水處理量多3倍，年省437萬噸的製程用水
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只大型電子製造業，臺灣傳統化工廠也為了推動ESG而善用IT，來幫助公司逐步轉型達到淨零排放的目標。李長榮化工資訊處資深處長翁英哲近日在一場活動上透露，他們不只導入AI技術推動工廠製程改善，來達到節能降耗，更把它用於永續發展，提高製程中水回收的效率，迄今可做到年省437萬公噸的工廠用水，相當於1,750座奧運池大小。</p> <p>成立快一甲子的李長榮化工，以醫療、工業及家庭用品常用的聚丙烯、甲醇、溶劑及熱可塑性橡膠等生產為主，跟其他製造業相比，李長榮在其製程中許多環節都需要消耗大量的水資源，因此為了節省用水，這家公司很早就導入MBR廢水處理系統，可將製程廢水經處理後，重新回到製程中供工廠內部重複利用，達到循環再生的循環經濟。</p> <p>傳統上，工廠製程廢水處理的關鍵，靠的是一群生長在⽣物淨化池裡的活性菌種，來處理這些排放到池裡的污水中含有的微⽣物，才能使得排出去的水能合乎排放標準，再回收利用，然而，菌種飼養大不易，他們發現，菌種需要大量氧氣，但是過多或過少的曝氣，都會導製生物活性不理想或廢水污染物濃度過高，進而影響到它的行動力，甚至是降低存活率，只能不斷增添新的菌種來維持處理後的⽔質，不只很沒效率，也容易使得處理的後⽔質不佳，沒辦法回收利用，導致回收率降低。</p> <p>為了解決這個問題，李長榮化工IT團隊打造一套AI 馴養控制系統，可以根據菌種曝氣池中的環境數據，包含溶氧值等，來掌握菌種的活動狀態，來決定何時該曝氣，提高水中含氧量，藉此讓它的活動力維持在最佳狀態，以此提高汙水處理的效率，讓處理後水質符合回用需求。</p> <p>翁英哲表示，導入這套系統後，大幅提升製程污水處理效率，從2021年每天平均處理3,661立方公尺，到了2023年增加提高到了每日11,866立方公尺的排放量處理，迄今更可做到年省437萬公噸的工廠用水，相當於1750座奧運池大小。長遠來看，更以年省五千座為目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230414_034851017.jpg" style="width: 600px; height: 338px;" /></p> <p>除了改善污水處理，太陽能發電板清潔也是李長榮長久困擾但一直未解決的難題，直到IT部門進來後才加以解決。</p> <p>為了增加可用再生電力，李長榮很早就選在滯洪池設置太陽能板發電，但運作一段時間後卻發現問題，若太陽能板上有異物，如鳥的排遺，久未清理，就容易影響到發電效率，但是何時該清成為了難題，為此，IT團隊開發一套AI清洗推薦系統，可以根據滯洪發電場的發電量、發電功率、日照量、溫度、天氣型態、風向、清洗記錄等，來比較發電量損失和電廠清洗時間，來計算推薦最佳的清洗時機，進而幫助作業人員能更有效率完成面板清潔作業，也減少清洗成本的浪費。甚至只要透過手機就能監看案場發電效能，來掌握每天發電狀況，一旦有面板發電異常也能即時通知相關人員處理。</p> <p>翁英哲表示，雖然這兩項AI應用不難，但卻帶給公司很大效益，不只提升製程用水的回收率，透過用水循環再利用，也幫助地球資源達到永續，還因此提高再生能源發電效率，供公司內部或工廠使用。</p> <p>李長榮的ESG減碳策略，是以材料科學、循環經濟和製程創新，來達到2050年淨零排放的目標。</p> <p>在製程創新上，李長榮從優化設備妥善率、智能監控與管理和精確化品質控制共三大面向，來逐步推動工廠永續發展。像是建立預防性維護機制，來提升工廠製程設備妥善率，也透過設備優化減少生產過程所產生的廢料與能耗等。還導入AI建立預測與決策模型，用於提高生產穩定性和品質，也作為管理者營運決策參考。</p> <p>另外，在材料科學上，李長榮以玉米糖漿或植物油取代傳統石化原料，透過科學發酵製程，產出生物可分解的材料，用於織品纖維、食物包材和漁網漁具等，藉此降低產品的碳足跡，也達到對環境友善。</p> </div></div></div>
2023/4/21 11:50作者余至浩https://www.ithome.com.tw/news/156497
【資安日報】4月20日，Oracle發布2023年第2季例行更新，修補433個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週二（11日）多家廠商發布4月份例行修補，包含微軟、Adobe、SAP等軟體業者，以及西門子、施耐德電機等OT設備業者。本週Oracle也發布了2023年4月的例行修補，當中總共修補超過400個漏洞，有相當大的比例是在Oracle Communications系列產品線，每6個漏洞就有1個與此有關。</p> <p>公部門不慎將資料庫公開的情況也相當值得留意，例如，有研究人員發現菲律賓執法單位曝露的資料庫，不僅含有個資，甚至還有組織之間的行政命令。但該資料庫是否真為菲國政府機關所擁有？目前尚無法完全確定，因為研究人員通報了當地十餘個機關後，僅有收到菲律賓國家電腦緊急應變小組（NCERT）回復，表示他們將確認需要負責的單位。</p> <p>勒索軟體駭客的攻擊也出現了新的手法，像是Trigona發動的攻擊裡，運用一種稱之為CLR Shell的惡意程式先進行探勘、提升權限，使得後續行動更加順利。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.vpnmentor.com/news/report-philippine-police-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">菲律賓執法單位資料外洩，120萬人個資恐曝光</span></strong></a></p> <p>VPN服務介紹網站vpnMentor揭露一個含有逾120萬筆記錄的資料庫，暴露在網際網路上，而且沒有使用密碼保護，經分析其內容與菲律賓執法單位有關，很有可能是與職員或是申辦業務的民眾個資。</p> <p>這個在網路裸奔的資料庫裡面，存有護照、出生證明、結婚證明、駕照、成績單、報稅資料等掃描文件，資料量高達817.54 GB。來源包含了菲律賓多個公家單位，像是：國家警察、國家調查局（NBI）、國稅局、特別行動部隊管理局等，外洩資料的內容不只包含個資，還有針對執法人員的內部指令，但該網站的研究人員無法判斷其機密程度。</p> <p>對此，菲律賓國家電腦緊急應變小組（NCERT）獲報後做出回應，表示他們著手調查需對此起資料曝露事故負責的單位。</p> <p><a href="https://asec.ahnlab.com/en/51343/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟SQL Server用戶當心！出現專攻此種資料庫系統的勒索軟體Trigona</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trigona-34.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trigona-34.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現勒索軟體Trigona近期的攻擊行動，主要鎖定微軟SQL Server而來，駭客先是透過暴力破解或是字典攻擊的方式，存取此種資料庫伺服器，然後部署名為CLR Shell的惡意程式，進而接收攻擊者發出的命令並提升權限，接著投放偽裝成svcservice.exe的惡意軟體，啟動偽裝為svchost.exe的勒索軟體Trigona。</p> <p>研究人員指出，CLR Shell可用於提升權限、利用漏洞、收集系統資訊及使用者帳號配置，而能讓攻擊者進一步使用較高的權限執行各種惡意行為。</p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/play-ransomware-volume-shadow-copy"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Windows磁碟陰影複製工具遭駭客改裝，<br /> 勒索軟體Play以此竊取備份檔的資料</span></strong></a></p> <p>資安業者賽門鐵克揭露勒索軟體Play的新一波攻擊行動，駭客使用.NET開發兩個工具Grixba、磁碟陰影複製（VSS）工具，目的是在攻擊過程能更有效率。</p> <p>Grixba可用於列出網路環境裡的所有使用者與電腦，並能掃描防毒軟體、EDR系統、備份工具、遠端管理工具，藉此讓攻擊者判斷如何進行後續攻擊。</p> <p>而前述駭客自製的磁碟陰影複製（VSS）工具，則能於應用程式尚在使用檔案的情況下，從現有的備份資料竊取檔案。研究人員指出，這2個惡意程式都是Costura .NET開發工具編譯而成，而且只需單一執行檔就能運作<br /> 無需在受害電腦部署相依的DLL元件，就能正常執行。</p> <p><a href="https://www.theregister.com/2023/04/19/medusa_microsoft_data_dump/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體Medusa聲稱竊得Bing、Cortana原始碼</span></strong></a></p> <p>根據新聞網站The Register的報導，研究人員Brett Callow發現勒索軟體駭客Medusa聲稱竊得大量微軟的內部資料，當中包含了搜尋引擎Bing及旗下產品，如Bing Maps與Cortana的原始碼。</p> <p>研究人員看到12 GB資料，分析後研判內容可能是去年Lapsus$偷到37 GB的一部分。駭客聲稱竊得的檔案裡，有很多微軟的數位簽章。研究人員表示，從犯案的手法來看，Medusa與Lapsus$有些相似，但不確定兩個組織是否有關。微軟目前尚未對此回應。</p> <p><a href="https://news.sophos.com/en-us/2023/04/19/aukill-edr-killer-malware-abuses-process-explorer-driver/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體AuKill被用於停用端點防毒軟體及EDR程式，發動自帶驅動程式攻擊</span></strong></a></p> <p>資安業者Sophos揭露利用名為AuKill的惡意程式攻擊行動，駭客將其用於在受害電腦上停用EDR用戶端程式，其手法是濫用微軟Sysinternals工具包裡、特定版本的Process Explorer元件procexp.sys，進而發動自帶驅動程式攻擊（BYOVD）。</p> <p>研究人員指出，從今年初，他們至少看到3起利用AuKill的攻擊行動，1月、2月皆有駭客用來部署勒索軟體Medusa Locker的情況，另一起則是散布勒索軟體LockBit的事故，發生於2月。研究人員進一步調查，總共找到6個版本的AuKill，第1個版本在去年11月出現，最新版本則是在今年2月被用於勒索軟體Medusa Locker攻擊行動。</p> <p><a href="https://www.fortra.com/blog/summary-investigation-related-cve-2023-0669"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MFT系統GoAnywhere開發商公布零時差漏洞事故的調查結果</span></strong></a></p> <p>2月2日，資安新聞記者Brian Krebs針對MFT檔案傳輸管理系統GoAnywhere的用戶提出警告，指出該系統存在零時差漏洞CVE-2023-0669，可被用於RCE注入攻擊。開發商Fortra於3日證實確有此事，之後相關漏洞攻擊事故頻傳，事隔2個多月，該公司終於公布調查結果。</p> <p>Fortra起初於1月30日，在部分雲端代管的GoAnywhere系統發現有異，著手調查得知駭客利用了未知漏洞建立使用者帳號，並下載檔案，且於受害系統部署了Netcat和Errors.jsp，疑似用來建立後門、掃描連結埠、傳輸檔案。</p> <p>這起攻擊行動最早可追溯到1月18日，換言之，待Fortra察覺有異之前，駭客已進行約2個星期的攻擊行動。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.oracle.com/security-alerts/cpuapr2023.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Oracle發布2023年第2季例行更新，修補433個漏洞</span></strong></a></p> <p>4月18日Oracle發布本季例行更新，<a href="https://www.securityweek.com/oracle-releases-433-new-security-patches-with-april-2023-cpu/">當中總共修補了433個漏洞</a>，其中超過70個是重大等級。值得留意的是，上述漏洞當中有多達250個，若攻擊者要遠端利用，無需通過身分驗證就能執行。</p> <p>其中出現最多漏洞的產品線是Oracle Communications系列，總共有77個（27個被評為重大等級），其次則是Financial Services Application、Fusion Middleware，分別有76個、49個。（補充說明：Oracle一年發布4次例行更新，分別在於1月、4月、7月、10月發布。）</p> <p><a href="https://www.papercut.com/kb/Main/PO-1216-and-PO-1219"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">列印管理軟體系統PaperCut出現RCE漏洞，已被用於攻擊</span></strong></a></p> <p>4月19日列印管理軟體業者PaperCut提出警告，表示3月修補的部分漏洞傳出已被用於攻擊行動的狀況，呼籲IT人員應儘速升級PaperCut伺服器軟體程式。</p> <p>這個被利用的漏洞分別為CVE-2023–27350，可讓攻擊者在沒有通過身分驗證的情況下，於PaperCut應用程式伺服器遠端執行任意程式碼（RCE），CVSS風險評分為9.8。</p> <p><a href="https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_18.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">不到一週Google再度更新Chrome 112，原因是又傳出零時差漏洞攻擊</span></strong></a></p> <p>Google於4月14日修補今年Chrome第1個零時差漏洞CVE-2023-2033，但事隔不到一個星期，該公司再度發布新版程式，修補第2個被用於攻擊行動的漏洞。Google於18日發布Windows及macOS版112.0.5615.137、112.0.5615.138，以及Linux版112.0.5615.165，當中一共修補了8項漏洞（其中5個有CVE編號），最值得留意的部分，是被用於攻擊行動的高風險漏洞CVE-2023-2136，存在於名為Skia的2D圖形程式庫元件，屬於整數溢位類型的漏洞。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://threatmon.io/apt-blind-eagles-malware-arsenal-technical-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織APT-C-36散布木馬程式NjRAT</span></span></strong></a></p> <p><a href="https://www.uptycs.com/blog/cyber_espionage_in_india_decoding_apt_36_new_linux_malware"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體Poseidon鎖定印度政府機關而來</span></span></strong></a></p> <p><a href="https://cn.yna.co.kr/view/ACK20230418003300881"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">多個南韓組織遭到北韓駭客Lazarus入侵，控制超過200臺電腦</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-sandbox-escape-poc-exploit-available-for-vm2-library-patch-now/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">JavaScript程式庫VM2再度出現沙箱逃逸漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/156487"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟採用新規則命名駭客組織，以颱風命名中國駭客、暴風雪命名俄羅斯駭客</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156478">【4月19日】駭客挾持YouTube頻道散布竊資軟體Aurora，過程中利用惡意程式載入工具迴避資安系統偵測</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156455">【4月18日】駭客組織Conti與FIN7成員另起爐灶，打造惡意軟體Domino來散布竊資軟體</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156443">【4月17日】 ChatGPT付費帳號在駭客之間炙手可熱，相關買賣在地下論壇不斷出現</a></strong></p> </div></div></div>
2023/4/20 17:37作者周峻佑https://www.ithome.com.tw/news/156490
英特爾悄悄終止挖礦用晶片Blockscale
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著比特幣等加密貨幣過去一年價格大跌，英特爾本周對媒體證實，將終止挖礦伺服器用的Blockscale晶片。</p> <p>這家晶片大廠<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-launches-new-intel-blockscale-technology.html" target="_blank">去年4月公布</a>Blockscale ASIC系列，主打可讓客戶挖礦的省電方案。《<a href="https://www.tomshardware.com/news/intel-discontinues-bitcoin-mining-blockscale-chips-no-future-gens-announced" target="_blank">Tom's Hardware</a>》報導，不過一年後，本周英特爾宣布第一代Blockscale 1000系列晶片終止生命周期（End of Life），而且也未公布任何次世代產品計畫。</p> <p>英特爾對媒體表示，由於公司現以模組化架構策略IDM 2.0為優先，因而終止Blockscale 1000系列ASIC。該公司表示會持續提供客戶支援。</p> <p>Blockscale是在近年比特幣等加密貨幣價格一飛沖天的時空背景下誕生。不過去年春天隨著全球景氣反轉，投資人縮手也導致各種加密貨幣價格崩盤。以比特幣為例，1比特幣價格從去年4月的4.6萬美元下滑到最低來到1.7萬美元。</p> <p>報導指出，英特爾雖然結束了Blockscale產品，但未來還是可能再度切入市場。比特幣兌美元價格今年曾一度突破3萬美元，今（20）日1比特幣價格已回升到2.9萬美元。</p> <p>不過整體環境還是相當挑戰。去年以來全球景氣不振陰霾籠罩，企業客戶採購縮手導致PC、伺服器、企業軟體大廠難逃衰退命運。英特爾分別在1、2月裁減加州廠員工500及300餘名，而剩下的員工也面臨減薪5到25%。</p> <p>此外，這家晶片大廠還相繼關閉非核心部門如網路交換器、5G數據機和Optane記憶體，並出售SSD儲存部門給SK Hynix，把<a href="https://www.theregister.com/2022/07/05/elon_musks_brother_buys_intels/" target="_blank">無人機業務賣給</a>伊隆馬斯克（Elon Musk）兄弟Kimbal Musk。上周英特爾宣布將<a href="https://www.datacenterdynamics.com/en/news/intel-to-sell-dedicated-server-business-to-mitac/" target="_blank">伺服器生產業務賣給</a>了神達集團。</p> </div></div></div>
2023/4/20 16:40作者林妍溱https://www.ithome.com.tw/news/156488
微軟移除廣告平臺對Twitter的支援，馬斯克反擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.ads.microsoft.com/apex/index/3/en/60085" target="_blank">微軟本周宣布</a>，將在今年的4月25日移除Smart Campaigns with Multi-platform對Twitter的支援，<a href="https://twitter.com/elonmusk/status/1648784955655192577?s=20" target="_blank">而Twitter執行長馬斯克（Elon Musk）則在該則消息底下留言</a>，表示微軟非法使用Twitter資料進行訓練，訴訟的時候到了。</p> <p>Smart Campaigns是微軟廣告（Microsoft Advertising）針對小型企業於微軟搜尋網路（Microsoft Search Network）上刊登廣告所提供的服務，透過AI替廣告主建立及管理廣告活動。而Multi-platform則是讓這些小型企業可以集中管理Bing搜尋、Google搜尋、Facebook與Instagram上的廣告，以及管理廣告主於Facebook、Instagram、LinkedIn及Twitter等社交平臺上的曝光，而且是個免費服務。</p> <p>根據微軟的公告，Multi-platform自4月25日之後就不再支援Twitter，屆時廣告主將無法再透過社交管理工具存取Twitter帳號，無法建立或管理推文，無法再安排推文或是檢視過去的推文，但對Facebook、Instagram與LinkedIn的支援則沒變。</p> <p>微軟並未說明不再支援Twitter的原因，但外界認為這主要是因為Twitter準備推出付費的API訂閱方案，而根據業者在今年3月收到的報價，每月若要存取5,000萬則推文的訂閱費用為4.2萬美元，1億則推文的費用是12.5萬美元，2億則為21萬美元。而Twitter Daily News也直接指出，微軟是因不願支付API費用才停止支援Twitter。</p> <p>也有其它業者認為Twitter的API費用太高了，市場則推測應該沒有太多組織用得起。</p> <p>為了報復微軟棄用Twitter，馬斯克則指責微軟非法使用Twitter資料來訓練（AI），還說微軟剝削Twitter資料庫，移除其中的廣告，再把資料出售給其它人並不是個成功的解決方案，該是提告的時候了。</p> </div></div></div>
2023/4/20 17:00作者陳曉莉https://www.ithome.com.tw/news/156489
微軟開始以氣候來命名駭客組織，中國駭客叫颱風，俄羅斯駭客稱雪暴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/04/18/microsoft-shifts-to-a-new-threat-actor-naming-taxonomy/" target="_blank">微軟周三（4/19）宣布</a>，將以氣候狀態來命名所有的駭客組織，例如只要是由中國政府支持的駭客組織便以颱風（Typhoon）為名，將伊朗駭客組織稱為沙塵暴（Sandstorm），基於經濟動機的駭客組織為暴風雨（Tempest），若是還在追蹤、且未被分類的駭客組織則稱作風暴（Storm），雖然這可能加劇外界在不同資安業者賦予同一駭客組織不同名稱的混淆狀態，但微軟認為，使用者或客戶將可依據新的命名政策迅速得知一個駭客組織的脈絡。</p> <p>從微軟的命名架構來看，微軟將全球駭客組織分成國家級駭客（Nation state）、具經濟動機（Financially motivated）的駭客、私人領域的駭客（Private sector offensive actors）、認知作戰駭客（Influence operations），以及尚在發展中的駭客（Groups in development）。微軟以氣候狀態來命名不同的類別，其中，不同國家的國家級駭客都有自己的名稱，例如中國駭客稱為颱風，伊朗駭客叫做沙塵暴，黎巴嫩駭客是下雨（Rain），北韓駭客為雨雪（Sleet），俄羅斯駭客為雪暴（Blizzard），南韓駭客是冰雹（Hail），土耳其駭客叫灰塵（Dust），越南駭客是氣旋（Cyclone）。</p> <p>同一國家的不同駭客組織則以基礎命名延伸，例如把知名的中國駭客組織APT41稱為Brass Typhoon，另一中國駭客組織ControlX則叫做Charcoal Typhoon。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/security/blog/wp-content/uploads/2023/04/Figure2-Blizzard-Russia-Sandstorm-Iran.png" style="width: 600px;" /></p> <p>至於其它類別則使用統一的命名方式，舉凡是基於經濟動機的都叫做暴風雨（Tempest），只要是私領域的都稱為海嘯（Tsunami），認知作戰類的駭客名為洪水（Flood），而仍在發展中尚無法歸類的則稱作風暴（Storm）。</p> <p>除了仍在開發與追蹤的風暴是以Storm-####（後面為數字）命名之外，其它類別都採用非數字的命名法，例如惡名昭彰的金融駭客組織FIN7在微軟新的分類及命名法中，有了個Sangria Tempest的新名稱。</p> <p class="rtecenter"><img alt="" src="https://www.microsoft.com/en-us/security/blog/wp-content/uploads/2023/04/Figure3-Storm-In-development-actors.png" style="width: 600px;" /></p> <p>於是乎，在未來微軟提及駭客組織時，只要看到Seashell Blizzard 、Secret Blizzard或Midnight Blizzard，就知道它們為俄羅斯國家級駭客，看到Wine Tempest或Tomato Tempest時，便曉得它們屬於經濟動機駭客。</p> <p><a href="https://learn.microsoft.com/zh-cn/microsoft-365/security/intelligence/microsoft-threat-actor-naming?view=o365-worldwide" target="_blank">資安社群、使用者或微軟客戶得以透過微軟的官方文件</a>，來比對新的命名所對應的各個不同的駭客組織。</p> </div></div></div>
2023/4/20 14:19作者陳曉莉https://www.ithome.com.tw/news/156487