iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】5月9日，安卓惡意程式FluHorse鎖定臺灣、越南用戶，偽裝成ETC及銀行App行騙，目的是使用者的雙因…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安卓惡意程式的攻擊行動最近2至3個月變得相當頻繁，不時有時故傳出，但大部分都是以提供各式實用工具（如修圖、手電筒App），或是假冒多個銀行的App來發動攻擊。而最近名為FluHoruse的惡意軟體相當特別，目前研究人員發現駭客只針對了3款App的使用者下手（其中一款尚未找到被假冒的應用程式），值得留意的是，其中一個目標，就是與我國高速公路用路人有關的遠通電收App。</p> <p>針對臺灣高科技廠商的攻擊行動後續發展也值得留意。勒索軟體Money Message聲稱從臺灣電腦大廠微星竊得1.5 TB資料，索討贖金不成後將資料公開，結果有研究人員發現，這些外流的資料很可能波及各家採用Intel處理器的電腦。</p> <p>在攻擊行動之外，詐騙在臺灣極為猖獗的現象，也引起政府重視。近日臺灣高等檢察署查緝詐欺及資通犯罪督導中心正式揭牌，行政院長陳建仁致詞時提出政府將從4大面向來打擊詐騙。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://research.checkpoint.com/2023/eastern-asian-android-assault-fluhorse/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意程式FluHorse鎖定臺灣、越南用戶的雙因素驗證碼、密碼而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/art4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/art4.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露名為FluHorse的安卓木馬程式，駭客將其偽裝成遠通電收ETC、越南大型銀行VPBank NEO的App，約自2022年5月開始發動相關攻擊。攻擊者先是寄送惡意郵件，謊稱收信人要儘速處理付款異常的問題，引誘他們下載帶有FluHorse的冒牌App。</p> <p>在其中一封信件當中，駭客聲稱收信人的高速公路通行費即將到期，若逾期未繳將每筆產生300元罰款，要求用戶趕快透過遠通電收App付款。然而一旦收信人照做，這些冒牌App就會安裝完成後，要求使用者開放存取簡訊的權限，研究人員指出，這麼做的目的是為了在受害人「付款」的過程裡，能攔載雙因素驗證（2FA）的驗證碼。</p> <p>值得留意的是，研究人員發現，駭客開發過程幾乎都依賴開源框架，而使得資安系統難以察覺異狀──其惡意功能是透過Google開源UI開發工具Flutter打造，由於該開發工具透過特製的虛擬機器（VM）讓開發者能打造適用於不同作業系統上的GUI元件，而使得研究人員分析以此開發的App變得相當複雜。巧合的是，<a href="https://www.fetc.net.tw/UX/UX0901SharePoint/UX090104CompanyEventContent?EventsType=Announcement&EventID=949&EventTitle=%F0%9F%93%8C%E8%BF%91%E6%97%A5%E4%B8%8D%E6%98%8E%E4%BA%BA%E5%A3%AB%E5%86%92%E7%94%A8%E3%80%8C%E5%B1%B1%E5%AF%A8APP%E3%80%8D%E8%A9%90%E9%A8%99%EF%BC%8C%E6%8F%90%E9%86%92%E6%B0%91%E7%9C%BE%E5%8B%BF%E6%93%8D%E4%BD%9C%E4%B8%8D%E6%98%8E%E7%B6%B2%E5%9D%80%E9%80%A3%E7%B5%90&EventDate=05%2F05%2F2023%2000%3A00%3A00">遠通電收也於近日提出警告</a>，指出不明人士透過簡訊聲稱國道通行費尚未付款，要求下載山寨App進行詐騙，呼籲民眾繳費前要先行查詢、確認。</p> <p><a href="https://www.bleepingcomputer.com/news/security/intel-investigating-leak-of-intel-boot-guard-private-keys-after-msi-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Intel開機安全機制BootGuard受到微星3月遭駭事件波及，恐影響其他廠牌電腦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/leaked-source-code.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/leaked-source-code.jpg" style="width: 300px; float: right;" /></a>今年3月勒索軟體Money Message聲稱攻擊臺灣電腦製造商微星，並盜取1.5 TB內部資料，包含韌體、原始碼、資料庫，開口索討400萬美元贖金未果，這些駭客開始洩露竊得的檔案，但最近有資安業者提出警告，這些資料很可能讓其他搭配Intel處理器的電腦也曝險。</p> <p>資安業者Binarly指出，駭客公布的原始碼當中，涵蓋了57款微星產品的映像檔簽章、116款產品的Intel BootGuard金鑰，範圍包含搭載Core i第11代至第13代處理器（Tiger Lake、Adler Lake、Raptor Lake）的微星裝置。</p> <p>研究人員根據們掌握的證據顯示，整個Intel生態體系都受到這起資料外洩事故波及，而使得Intel BootGuard的開機防護機制失效。對此，Intel也表示正著手進行相關調查。</p> <p><a href="https://blog.cyble.com/2023/04/21/qakbot-malware-continues-to-morph/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot透過OneNote文件與Windows說明檔案散布</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-delivery-mechanism.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Qakbot-delivery-mechanism.jpg" style="width: 300px; float: right;" /></a>不少研究人員發現，駭客約從2月開始，透過OneNote檔案散布惡意軟體QBot，但最近手法出現了變化。資安業者Cyble指出，駭客同時運用不同的文件檔案來發起攻擊。</p> <p>研究人員看到駭客先是透過垃圾郵件挾帶OneNote檔案的附件，一旦收信人開啟附件，此OneNote便會要求使用者從Azure下載加密的檔案，若是照做，收信人就會將ISO檔案下載到電腦，而這個光碟映像檔內含Windows說明檔案（CHM），一旦開啟，就會觸發當中嵌入的HTML檔案並執行PowerShell指令，使用wget命令下載QBot，在受害電腦上進行竊密，或是下載Cobalt Strike、Brute Ratel，或是其他惡意軟體。</p> <p><a href="https://blog.cyble.com/2023/04/18/crosslock-ransomware-emerges-new-golang-based-malware-on-the-horizon/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體CrossLock繞過作業系統的事件追蹤機制</span></strong></a></p> <p>資安業者Cyble揭露名為CrossLock的勒索軟體，駭客透過Go語言打造，該勒索軟體可本機加密檔案，亦能針對整個網域執行。值得留意的是，為迴避研究人員的調查，此勒索軟體藉由特定API來檢查所在的電腦環境裡，部署Wine軟體的版本，由於此軟體能讓搭載Linux、BSD作業系統的電腦執行Windows應用程式，駭客很有可能以此判斷勒索軟體是否處於沙箱環境。</p> <p>再者，為了避免在受害電腦留下證據，且讓加密檔案流程順利，此勒索軟體會竄改數個Windows事件記錄追蹤（ETW）的參數，並停用超過500種服務，才執行加密檔案的工作。</p> <p><a href="https://threatmon.io/apt-blind-eagles-malware-arsenal-technical-analysis/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Blind Eagle透過Discord代管的PowerShell指令碼，散布木馬程式NjRAT</span></strong></a></p> <p>資安業者ThreatMon揭露駭客組織ThreatMon（亦稱APT-C-36）的攻擊行動，駭客先是透過網路釣魚或社交工程的手法，引誘使用者執行JavaScript下載器，此下載器使用ActiveXObject物件執行PowerShell命令，自Discord的CDN何服器下載另一個PowerShell指令碼，並將其偽裝成PDF檔案再執行。</p> <p>接著，此指令碼會在記憶體內啟動惡意的DLL檔案，繞過Windows作業系統的防惡意軟體掃描介面（AMSI）機制，最終於受害電腦執行木馬程式NjRAT，讓駭客能夠進行遠端控制。</p> <p><a href="https://securelist.com/tomiris-called-they-want-their-turla-malware-back/109552/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄國駭客組織Tomiris利用惡意軟體Turla混淆視聽</span></strong></a></p> <p>駭客組織為了掩人耳目，不只會隱匿行蹤，甚至會誤導是他人所為。例如，資安業者Mandiant於今年1月揭露俄羅斯駭客Turla攻擊行動裡，資安業者卡巴斯基有了新的發現，並指出背後真正發動攻擊的駭客組織其實是Tomiris。</p> <p>這些攻擊者主要關注於中亞的情報收集，目標往往是鎖定獨立國協（CIS）國家與外交單位，他們發現位於中東或東南亞的受害組織，其實都是獨立國協的駐外代表。這些駭客發動攻擊的方式相當多元，包含釣魚郵件、DNS挾持、漏洞利用（以ProxyLogon為主）、偷渡式下載（DoD）等，並廣泛使用不同的程式語言開發惡意程式來發動攻擊，目的很可能是為了透過難以分析的程式語言來規避偵測。</p> <p>研究人員指出，他們從2021年至2023年，至少確認3起原以為是Turla發起的攻擊行動，其實是Tomiris所為。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nstc.gov.tw/folksonomy/detail/3e435b56-1ec0-4d57-8d48-45c45717d6df"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安競賽「尋找資安女婕思」進入決賽，臺北科技大學、逢引大學、中央大學、大同高中拿下分組冠軍</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/尋找資安女婕思頒獎典禮貴賓大合影.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%8B%E6%89%BE%E8%B3%87%E5%AE%89%E5%A5%B3%E5%A9%95%E6%80%9D%E9%A0%92%E7%8D%8E%E5%85%B8%E7%A6%AE%E8%B2%B4%E8%B3%93%E5%A4%A7%E5%90%88%E5%BD%B1.jpg" style="width: 300px; float: right;" /></a>國家科學及技術委員會（國科會）與教育部共同指導的第3屆「GiCS尋找資安女婕思」於5月6日，在臺南沙崙資安暨智慧科技研發大樓舉行決賽，結果出爐，「資安闖天關」項目由臺北科技大學「資安小公主」隊、逢甲大學「現場所有同學」隊獲得高中職組、大專校院組第一名；「創意發想賽」則由大同高中「VYN」隊、中央大學「無心插柳柳橙資」隊得到高中職組、大專校院組的分組冠軍。</p> <p>經過3月初賽後，各組有15個隊伍晉級決賽。而對於本次競賽的出題方向，資安闖天關決賽除主場域的CTF關卡外，另結合大樓內展品設計相關資安任務；創意發想賽的參賽同學針對初賽問題發想具創意的解決方案──本年度晉級隊伍針對演唱會搶票黃牛與系統機器人問題、ChatGPT可能產生的資安問題等，透過穿越劇表現方式展現創意。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/10355997-9c41-4b4b-97f1-57110206a085"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣高等檢察署查緝詐欺及資通犯罪督導中心揭牌，行政院長指示4大打詐面向</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023年5月3行政院長陳建仁出席台高檢「查緝詐欺及資通犯罪督導中心」揭牌典禮1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023%E5%B9%B45%E6%9C%883%E8%A1%8C%E6%94%BF%E9%99%A2%E9%95%B7%E9%99%B3%E5%BB%BA%E4%BB%81%E5%87%BA%E5%B8%AD%E5%8F%B0%E9%AB%98%E6%AA%A2%E3%80%8C%E6%9F%A5%E7%B7%9D%E8%A9%90%E6%AC%BA%E5%8F%8A%E8%B3%87%E9%80%9A%E7%8A%AF%E7%BD%AA%E7%9D%A3%E5%B0%8E%E4%B8%AD%E5%BF%83%E3%80%8D%E6%8F%AD%E7%89%8C%E5%85%B8%E7%A6%AE1.jpg" style="width: 300px; float: right;" /></a>臺灣高等檢察署查緝詐欺及資通犯罪督導中心於5月3日舉行揭牌典禮，行政院長陳建仁致詞時表示，打擊詐騙是政府維護社會治安的重中之重，查緝詐欺及資通犯罪督導中心是政府用來電信網路詐欺犯罪的專責機關，本次揭牌儀式代表政府打擊此種犯罪進入新的里程碑。陳院長表示，政府已積極規劃從4大面向，即從策略面、法制面、組織面、技術面，全力打擊詐欺犯罪。</p> <p>策略面的部分，將會提出「新世代打詐行動綱領1.5」強化打詐力道；法制面行政院已將「打詐5法」送請立法院審議；組織面的規畫，他們將擴大納入各地方政府、數位部、國發會，警政署及調查局都將成立北中南打詐工作站或防制中心，並透過公私協助，集合金融機構、電信及電商業者共同參與；至於技術層面，政府將設法從來源端防堵，如防杜境外竄改來電撥入境內、建立惡意簡訊攔阻機制、建立公益簡訊專用代表門號、鼓勵民間投入研發數位防詐工具、推動物流隱碼技術等。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://patchstack.com/database/vulnerability/advanced-custom-fields-pro/wordpress-advanced-custom-fields-pro-plugin-6-1-5-reflected-cross-site-scripting-xss-vulnerability"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress外掛程式Advanced Custom Fields出現漏洞，百萬網站曝險</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/labs/kimsuky-evolves-reconnaissance-capabilities-in-new-global-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Kimsuky利用惡意軟體ReconShark跟蹤使用者</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-cactus-ransomware-encrypts-itself-to-evade-antivirus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">規避防毒軟體出現新招式！勒索軟體Cactus將自己也加密</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-use-winrar-to-wipe-ukraine-state-agencys-data/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客Sandworm利用RAR壓縮檔進行資料破壞攻擊</span></span></strong></a></p> <p><a href="https://twitter.com/MsftSecIntel/status/1654610012457648129"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客傳出也針對列印管理系統PaperCut漏洞攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156782">【5月8日】付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156736">【5月5日】有越來越多資安威脅透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156721">【5月4日】 NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項</a></strong></p> </div></div></div>
2023/5/9 11:21作者周峻佑https://www.ithome.com.tw/news/156783
QR碼詐騙再現，新加坡民眾被騙走2萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.straitstimes.com/singapore/woman-who-scanned-qr-code-with-malware-lost-20k-to-bubble-tea-survey-scam-while-she-was-sleeping" target="_blank">新加坡《海峽時報》（Straits Times）於本周報導</a>，當地有一名60歲女性在一家泡沫紅茶店的門口看到一張QR碼貼紙，宣稱這是一份問卷調查，以手機掃描並完成之後可以獲得一杯免費的奶茶，結果她下載後被植入了惡意程式，駭客自她的銀行帳戶偷走了2萬美元。</p> <p>QR碼的全名為Quick Response Code，出現在1990年代，用意是希望使用者在掃描QR碼之後，能夠快速解碼其內容，但一直到了COVID-19疫情在2021年升溫後，各國政府以QR碼來追蹤使用者位置，商家利用QR碼來提供非接觸式的菜單或結帳系統，才讓QR碼成為家喻戶曉的功能。</p> <p>網路上有許多免費的QR碼產生器，用來將各式資訊嵌入QR碼中，像是網址、名片、菜單、社交網站的粉絲頁、PDF檔、位置、簡訊、電話號碼、文字，甚至可用來下載程式。</p> <p>根據報導，該名女士在掃描了QR碼之後，被要求要載一個第三方的Android程式以完成調查，而該程式卻趁著她睡覺時，逕自從她的銀行帳戶轉走了2萬美元。</p> <p>華僑銀行負責反詐騙業務的Beaver Chua向《海峽時報》解釋，他們之前也曾遇過類似的案件，當受害者掃描了QR碼之後，就會被要求下載一個程式，賦予該程式存取相機與麥克風的權限，同時啟用無障礙服務（Accessibility Service），之後駭客即會靜待使用者執行其金融程式，竊取他的憑證，再利用相機存取權限觀察受害者的作息，以於適當時機行竊。</p> <p>此外，近來在美國與英國也都出現QR碼的停車罰單詐騙事件，駭客製作了假的違規停車罰單並放在車主的擋風玻璃上，罰單上印有QR碼，可將受害者導至偽造的主管機關網站以支付罰款。</p> <p>其實<a href="https://www.ic3.gov/Media/Y2022/PSA220118" target="_blank">美國聯邦調查局（FBI）在2021年1月就曾呼籲大眾要小心QR碼詐騙</a>。指出駭客很可能會竄改合法的數位或實體QR碼，以誘導使用者下載惡意程式，直接將使用者導至網釣網站，或是讓使用者把帳款直接匯至駭客戶頭。</p> <p>總而言之，使用QR碼產生器所能嵌入的各種資訊都可能成為詐騙的入口。因此FBI也提供了保護自己的幾個技巧，在掃描QR碼之後，應檢查所造訪網站的網址，在輸入憑證時應提高警覺，最好先確認實體QR碼貼紙未被竄改，不要透過QR碼來下載程式，以及使用手機內建的QR碼掃描器而不要下載第三方掃描程式。</p> </div></div></div>
2023/5/9 11:57作者陳曉莉https://www.ithome.com.tw/news/156788
WD坦承被駭造成客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月間硬碟大廠Western Digital（WD）被駭造成多項服務斷線，<a href="https://www.westerndigital.com/company/newsroom/press-releases/2023/2023-05-05-western-digital-provides-update-on-network-security-incident" target="_blank">上周WD坦承</a>，事件已造成客戶資料，包括姓名、帳單地址、電子郵件信箱及經加密的信用卡號外洩。</p> <p>4月WD公告內部網路多個系統遭人非法存取。這次事件影響NAS系統備份My Cloud Home、My Cloud Home Duo、裝置備份服務My Cloud OS5，以及照片管理服務及無線充電服務。WD當時說，相信攻擊者從公司系統取得某些資料。</p> <p>經過數個星期的調查，WD上周末的更新說明指出，確認一個用於儲存線上商店客戶的某些個資的資料庫的複本，已被攻擊者取得。外流的客戶個資包括客戶姓名、帳單及出貨地址、電子郵件信箱和電話號碼。此外，該資料庫還包括經加密、雜湊及加鹽（salted）處理的密碼及部分信用卡號。該公司也將直接和受影響的客戶聯繫。</p> <p>不過WD並未說明有多少用戶受影響。</p> <p>此外，<a href="https://www.ithome.com.tw/news/156245" target="_blank">針對有報導</a>指出有駭客組織公開WD部分資料，該公司也說正在調查資料的真實性。上個月一個駭客組織宣稱手中持有WD資料，也公布了像是公司群組通話軟體螢幕擷圖、內部信件和檔案、高層電話號碼，並展示以WD憑證簽發的檔案等。這群駭客聲稱隨機選上了WD，意在取得贖金。</p> <p>針對報導指出，WD憑證已經外流，可能造成歹徒利用其憑證冒充WD消費性的應用程式，WD否認此事，表示數位憑證基礎架構皆未被駭，而且一旦有預防的需要，它們也可以隨時撤銷憑證。不過該公司仍提醒消費者謹防從可疑網站下載應用程式。</p> </div></div></div>
2023/5/9 12:11作者林妍溱https://www.ithome.com.tw/news/156789
Google開源容器映像建構工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/05/introducing-rulesoci.html" target="_blank">Google宣布</a>開源以其Bazel建構容器映像檔的工具，並向rules_docker用戶招手。</p> <p><a href="https://github.com/bazel-contrib/rules_oci" target="_blank">Google釋出名為rules_oci 1.0版</a>，它是Google多語言跨平臺建置系統Bazel外掛程式ruleset的開源版，旨在讓開發人員更安全以Bazel構建容器映像檔。</p> <p>Bazel是很受歡迎的Google建構及測試工具，其功能藉由完整性雜湊來管理和儲存相依性，以確保軟體供應鏈的安全。Google對Bazel的用途之一是用它來建構Docker的Distroless基礎映像檔。Google的Distroless則是一系列基礎映像檔，它會限制runtime容器的內容，確保只提供應用程式需要的元件。它的輕巧及精簡特性可為開發人員減輕容器安全漏洞、授權及治理的風險和管理複雜性。</p> <p>過去開發人員多半使用rules_docker來建立容器映像檔，不過現在這工具不再積極開發，呈現「最低限度維護」狀態。Google大力說明相較於rules_docker的好處；Google表示，新的rules_oci適合用於Distroless和大部分版本的Bazel容器環境。原因是現在有很多種容器runtimes和映像檔格式，rules_oci並不限定只能執行機器上安裝的docker daemon。此外，許多優異的容器控制工具，像是Cranes、Skopeo和Zot等是在rules_docker之後才問世，相較之下新推出的rules_oci可使用受信賴的第三方工具，避免只使用Bazel的獨家工具。另外，rules_oci不包含特定語言的工具，使其比rules_docker更好維護，也能避免使用其他語言ruleset的舊式相依性。</p> <p>Rules_oci其他好處包括可使用Bazel的下載工具從遠端registry抓取需要的映像，能加速快取，讓使用registry過程更透明。跨多架構的映像檔可方便用於ARM伺服器，也支援Windows容器。程式碼簽章功能讓用戶得以確信容器的真實性，而未遭到第三方（如中間人攻擊）修改。若配合Bazel開發小組發展的其他工具，還有軟體物料清單（software bill of material，SBOM）可顯示容器內有什麼元件。</p> <p>Google說，自從使用rules_oci及Bazel 6後，Google的Distroless團隊也見識到開發流程、映像檔產出及安全性metadata多方面都更精進。原因是它支援簽章，可避免競爭條件造成某些映像檔未簽發。它還支援多平臺映像檔的oci index，可在構建過程中移除對docker的相依，這意謂一旦多平臺組建出問題時，更容易除錯。抓取和快取映像檔速度更提升，使CI build在使用遠端儲存庫時更快更穩定。此外，Distroless映像檔因隨同提供了SBOM，因此可在認證（attestation）時，允許開發人員檢查其內容。最後，rules_oci讓開發人員可以現代化Distroless build加入必要的metadata確保供應鏈安全性，以便企業用戶使用映像檔前作為決策參考。</p> <p>這新工具是Google和Bazel顧問公司Aspect及產業組織Rules Authors Special Interest Group合作的結果。</p> <p>現在rules_oci 1.0版已經上線。Google也保證穩定性符合semver標準，未來版本也不會包含重大的公開API變更。針對現有rules_docker用戶，Aspect公司則提供移轉指引及支援顧問服務。</p> </div></div></div>
2023/5/9 12:29作者林妍溱https://www.ithome.com.tw/news/156791
【資安日報】5月8日，付費版ChatGPT試用流程有漏洞，使用者可透過相同電話號碼搭配特殊字元重複申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型ChatGPT吸引了網路罪犯的目光，駭客爭相取得付費帳號，試圖將其用於攻擊行動，但最近有資安業者揭露「無限試用」的手法，起因是OpenAI在提供試用服務的過程中，雖然要求使用者必須登記沒有註冊該服務的電話號碼與電子郵件信箱，但因為驗證電話號碼的流程瑕疵，而能讓攻擊者只需透過一組電話號碼，就能不斷申請試用ChatGPT付費服務。</p> <p>Fortinet近期發布了5月份的例行更新，當中針對FortiADC、FortiOS、FortiProxy修補了高風險漏洞而相當值得留意，IT人員應儘速套用相關修補程式。</p> <p>在今天的資安新聞裡，有2則遠端終端裝置（RTU）的漏洞修補資訊，這些RTU設備往往會用於關鍵基礎設施（CI），相關漏洞帶來的影響可能會相當廣泛。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://securelist.com/fleckpe-a-new-family-of-trojan-subscribers-on-google-play/109643/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Fleckpe於背景暗中為受害者訂閱服務</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Subscribers_in_Google_Play_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Subscribers_in_Google_Play_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為Fleckpe的安卓木馬程式，該惡意軟體透過11款App成功溜進Google Play市集，駭客藉由照片編輯軟體與桌布App等名義來散布Fleckpe，估計至少有62萬臺裝置受害，大部分為位泰國，但波蘭、馬來西亞、印尼、新加坡也出現受害者。</p> <p>研究人員根據程式碼進行分析，發現使用者在執行帶有Fleckpe的App時，系統會載入高度混淆的程式庫，解密並啟動惡意程式載入器，然後執行惡意酬載，向C2伺服器回傳受害裝置資訊，最終此惡意程式會替使用者訂閱多種付費服務。</p> <p>由於上述的App確實具備於市集頁面標榜的功能，使用者往往等到收到帳單才驚覺自己居然無端訂閱其他付費服務，而察覺受害。對此，研究人員呼籲，使用者安裝App時，應該注意授與的權限是否過當，以免遭到這些可惡的App劫掠而被迫支付莫須有的費用。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/d/vipersoftx-updates-encryption-steals-data.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體ViperSoftX鎖定密碼管理器程式而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Vipersoft-figure3-updates-encryption-steals-data.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vipersoft-figure3-updates-encryption-steals-data.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露竊資軟體ViperSoftX新一波攻擊行動，此軟體會從加密貨幣錢包及多種應用程式盜取帳密資料，並在瀏覽器植入惡意擴充套件VenomSoftX，而在研究人員發現的新版竊資軟體裡，駭客不只針對更多加密貨幣錢包而來，並擴大能下手的瀏覽器範圍，從原本僅針對的Chrome，涵蓋至Brave、Edge、Opera、Firefox，更引起他們關注的是，駭客首度針對1Password、KeePass密碼管理器下手，企圖從中挖掘更多帳密資料。</p> <p>此外，攻擊者也採用了更為隱蔽的迴避手法，此竊資軟體在啟動的時候，會先檢查是否存在於虛擬化環境，並偵測系統是否執行Process Montior的監控軟體，以及特定廠牌的防毒軟體，在通過上述檢測之後才會解密PowerShell程式碼，下載ViperSoftX主要元件。</p> <p>研究人員指出，駭客採用了相當罕見的混淆手法防堵他們破解，這種方式稱為位元對應（Byte mapping），由於只需將正確的位元映射，而無須複雜的運算，駭客能減少所需的解密流程。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://checkmarx.com/blog/openai-allowed-unlimited-credit-on-new-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">OpenAI帳號驗證流程存在漏洞，透過相同電話號碼竟然「無限」次免費試用ChatGPT付費服務</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/open_ai_image6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/open_ai_image6.png" style="width: 300px; float: right;" /></a>資安業者Checkmarx發現，OpenAI在驗證使用者帳號的過程出現瑕疵，從而導致使用者可透過相同的電話號碼，來重覆申請免費的試用額度。為了防止免費帳號的試用機制遭到濫用，OpenAI會確認使用者透過唯一的電話號碼及電子郵件信箱註冊，才會提供免費試用付費版ChatGPT的額度。</p> <p>但研究人員發現，使用者可針對電話號碼動手腳，而能夠使用相同的電話號碼接收簡訊並通過相關驗證流程，繞過OpenAI的檢查，例如，在號碼前面加上0，或是在號碼當中加入ASCII以外的Unicode字元，像是0123、00123、12\u000a3、001\u000a\u000b2\u000b3，使用者若是輸入上述字串，OpenAI的系統都會對「123」這個電話號碼發送簡訊。研究人員於去年12月通報上述漏洞，OpenAI於今年3月表示已完成修補。</p> <p><a href="https://www.securityweek.com/fortinet-patches-high-severity-vulnerabilities-in-fortiadc-fortios/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">FortiADC、FortiOS、FortiProxy設備存在高風險漏洞</span></strong></a></p> <p>資安業者Fortinet於5月3日發布例行更新，總共修補9項漏洞，當中包含了2個高風險漏洞，分別是存在於應用程式交付控制器FortiADC的CVE-2023-27999，以及存在於防火牆作業系統FortiOS及網頁安全閘道FortiProxy的CVE-2023-22640。</p> <p>CVE-2023-27999為作業系統層級的命令注入漏洞，能讓通過身分驗證的攻擊者藉由偽造的指令，執行未經授權的命令，CVSS風險評分為7.6。</p> <p>CVE-2023-22640為越界寫入漏洞，該漏洞存在於名為sslvpnd的元件，攻擊者可在通過身分驗證的情況下，利用特製的請用來執行任意程式碼，CVSS風險評分為7.1。</p> <p><a href="https://ermetic.com/blog/azure/when-good-apis-go-bad-uncovering-3-azure-api-management-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟Azure旗下API管理服務存在漏洞，恐被用於SSRF、路徑穿越攻擊</span></strong></a></p> <p>資安業者Ermetic發現Azure API Management的漏洞，其中有2個是伺服器請求偽造（SSRF）漏洞，另1個為上傳路徑穿越（Path Traversal）漏洞，皆與此系統的入口網站有關。</p> <p>研究人員指出，通過利用SSRF漏洞，攻擊者可藉由跨來源資源共用（CORS）代理伺服器，或是Azure API Management的代理伺服器，來存取Azure的資產，或是造成阻斷服務，並繞過應用程式防火牆（WAF）。</p> <p>而對於路徑穿越漏洞的部分，攻擊者可上傳惡意檔案來達成執行任意程式碼的目的。微軟接獲上述漏洞的通報後，皆已完成修補。</p> <p><a href="https://www.securityweek.com/critical-siemens-rtu-vulnerability-could-allow-hackers-to-destabilize-power-grid/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子遠端終端裝置存在漏洞，若不修補恐影響能源供應設施運作</span></strong></a></p> <p>西門子修補遠端終端裝置（RTU）的重大漏洞CVE-2023-28489，此為命令注入漏洞，存在於採用CPCI85韌體的裝置SICAM A8000 CP-8031、CP-8050，CVSS風險評分達到9.8分。</p> <p>由於上述裝置主要是針對能源供應系統（特別是變電站的自動化系統）設計，該公司呼籲IT人員應儘速修補，或以防火牆管制經由TCP的80埠及443埠存取網站伺服器的行為，也能降低上述漏洞帶來的風險。</p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-110-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Inea工控遠端終端機設備存在重大漏洞</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）提出警告，斯洛維尼亞工控自動化業者Inea旗下的遠端終端裝置（RTU）存在重大漏洞CVE-2023-2131，攻擊者可在未經身分驗證的情況下，對連上網際網路的RTU裝置，發動作業系統命令注入攻擊，進而實作遠端執行任意程式碼（RCE）的操控，目前此漏洞影響執行3.36版韌體的ME RTU設備，CVSS風險評分為10。</p> <p>CISA指出，這款裝置廣泛運用於全球的能源、水資源、廢水處理、交通產業，呼籲這些組織應儘速更新韌體。</p> <p><a href="https://www.wiz.io/blog/brokensesame-accidental-write-permissions-to-private-registry-allowed-potential-r"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">阿里雲PostgreSQL資料庫出現重大漏洞</span></strong></a></p> <p>資安業者Wiz揭露阿里雲資料庫服務存在的漏洞BrokenSesame，這些漏洞出現於阿里雲的ApsaraDB RDS for PostgreSQL、AnalyticDB for PostgreSQL，攻擊者有可能在未經授權的情況下，存取阿里雲使用者的PostgreSQL資料庫，進而執行供應鏈攻擊，並能遠端對資料庫執行任意程式碼（RCE）。</p> <p>BrokenSesame包含2個漏洞，能使攻擊者在容器裡提升權限為root，然後逃逸至底層的Kubernetes節點，並能在未經授權的情況下存取API伺服器，搜尋與容器登錄檔關連的資料，最終推送惡意映像檔控制共用的節點，進而控制其他租戶的資料庫。研究人員於2022年12月通報漏洞，阿里雲於今年4月12日部署相關緩解措施。</p> <p><a href="https://www.bleepingcomputer.com/news/security/prestashop-fixes-bug-that-lets-any-backend-user-delete-databases/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電子商務平臺PrestaShop出現能讓後臺使用者刪除資料庫的漏洞</span></strong></a></p> <p>電子商務平臺PrestaShop近期修補重大漏洞CVE-2023-30839，此漏洞為SQL過濾器繞過漏洞，允許任意使用者對於其SQL資料庫進行竄改，而可能對於企業營運造成衝擊，CVSS風險評分為9.9。</p> <p>這項漏洞影響此電子商務平臺軟體8.0.3版以前版本，沒有其他的緩解措施，該公司已發布8.0.4版及1.7.8.9版修補上述漏洞。</p> <p><a href="https://source.android.com/docs/security/bulletin/2023-05-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布安卓5月例行更新，修補遭到商業間諜軟體利用的漏洞</span></strong></a></p> <p>Google於5月1日發布資安通告，修補安卓作業系統逾40項漏洞，當中最受到矚目的是中度風險的CVE-2023-0266，原因是Google曾於3月下旬，表示多個零時差漏洞已被用於攻擊行動，這些惡意程式由網路間諜軟體業者Variston打造，而CVE-2023-0266正是上述漏洞的其中之一。當時駭客將其用於攻擊阿拉伯聯合大公國的使用者，瞄準三星瀏覽器而來。攻擊者一旦利用這項漏洞，可在完全無須使用者互動的情況下觸發，並進行權限提升。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyber.ithome.com.tw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣資安大會Cybersec 2023將於5月9日至11日舉行</span></span></strong></a></p> <p><a href="https://www.imperva.com/blog/imperva-red-team-discovers-vulnerability-in-tiktok-that-can-reveal-user-activity-and-information/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">短影片社群平臺抖音存在漏洞，恐曝露使用者的行蹤</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/twitter-says-security-incident-exposed-private-circle-tweets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">推特再傳資安事故，用戶私密推文曝光</span></span></strong></a></p> <p><a href="https://blog.mozilla.org/en/mozilla/fakespot-joins-mozilla-firefox-shopping-announcement/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為防範用戶受騙，瀏覽器業者Mozilla買下AI服務評價驗證服務商Fakespot</span></span></strong></a></p> <p><a href="https://securityaffairs.com/145752/hacking/papercut-new-exploit.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">列印管理系統PapaerCut再度出現重大漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-seizes-9-crypto-exchanges-used-to-launder-ransomware-payments/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國與烏克蘭聯手，查封9個被勒索軟體駭客用於洗錢的加密貨幣交易所</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156736">【5月5日】有越來越多資安威脅透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156721">【5月4日】 NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156694">【5月3日】中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制</a></strong></p> </div></div></div>
2023/5/8 18:26作者周峻佑https://www.ithome.com.tw/news/156782
【專訪資通安全研究院院長何全德】資安院是第一個國家級的資安研究機構，鎖定四年內可以落地的資安技術為研發標的
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2023nian_jian_-he_quan_de_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部下設行政法人資通安全研究院（簡稱資安院）於今年2月10日正式掛牌上路，這也是全臺灣第一個資安專責行政法人。</p> <p>接下首任院長位子的何全德，他行政資歷豐富，有近四十年的公務員經驗，任職研考會三十多年，督導行政院技服中心超過10年，也是許多包括公鑰基礎建設（PKI）、電子簽章法等推動先驅；再加上國家關鍵資訊基礎建設（CIIP）已經是國家資通安全重點防護工作，他擔任國發會管制處處長期間，更是負責包括國營事業，例如臺灣銀行、臺電、中油和臺水等國營事業在內的績效考核工作，是臺灣推行e政府和數位政府重要的政策執行者。</p> <p>在徵選資通安全研究院院長時，因為何全德長期從事政府資訊及資安工作，加上推動資通安全工作逾25年，參與國家各項重大資通安全政策及法規研擬推動，兼具資安與行政兩種專長，在唐鳳親自邀請下，他允諾擔任首任院長。</p> <p>面對外界好奇資安研究院的定位為何？何全德直言，資安院是國家級的研究機構，資安的技術幕僚，主要就是協助政府機關研究相關政策法規分析，作為政府決策參考，並積極推動關鍵基礎設施防護、強化資安人才培訓和推動產業資安等，都是資安院的法定職掌。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E8%B3%87%E5%AE%89%E9%99%A2%E4%B8%89%E4%BD%8D%E4%B8%80%E9%AB%94%20%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E5%9C%8B%E5%AE%B6%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%A0%94%E7%A9%B6%E9%99%A2.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>資安院主要任務是資安技術服務、技術研究發展、資安專業諮詢、資安行政協處、資安人才培力，在定位上，與數位部、資安署的關係密切，呈現三位一體的關聯，共同守護臺灣資安。</strong><span style="font-size: 14px;">圖片來源／國家資通安全研究院</span></span></p> <p><span style="font-size:28px;"><strong>專注四年內可落地資安技術的研發、移轉、推廣和應用</strong></span></p> <p>資安院是臺灣第一個資安研究機構，也是數位發展部下設的行政法人，他指出，資安院授權依據來自行政法，特色在於：不是政府機關，具有資安專業性，因為行政法人只能受命、行使低度的公權力，他們的定位是資安研究單位。</p> <p>其實，資安院和數位部、資通安全署，是資安政策制定、推動與執行三位一體，只是有不同的角色定位差異，仍需要彼此分工合作。</p> <p>何全德表示，數位發展部主要是制定國家整體數位發展政策，包含資安政策在內，責任目標在於策略推動；資通安全署則包含政策制定與執行，資安政策擬定、推動為其主要的工作職掌。</p> <p>若從這樣的任務職掌來看，何全德提出很清楚的定義。</p> <p>首先，資安院作為國家級的研究機構，就是資通安全的技術幕僚，也兼具智庫的功能，要協助研究相關的政策法規，作為政府相關決策的參考；對於資通安全科技的研發，資安院則身負技術移轉、推廣和應用落地的重要角色。</p> <p>其次，資安院不僅協助政府把關重點的關鍵基礎設施的資安，落實防護，若研發出好的防護技術，可以做進一步的技術服務的開發和移轉。第三，資安人才培育也是資安院重要的任務之一。</p> <p>他解釋，因為資安院不是政策諮詢單位，也不是政府《資通安全管理法》的主管機關，但需要提供很多資安技術方面的協助開發、還要移轉給民間使用。</p> <p>除了數位發展部、資安署之外，另一個相關單位是數位產業署，主要是負責國家數位產業發展推動、定義數位產業，也會對國家數位產業提供相關的協助、輔導和獎勵，這些都囊括在產業署的工作職掌範圍。</p> <p>對推動產業數位轉型的過程中，也會遇到各種資安議題，不論數位轉型或綠能轉型等，資安都是標準配備。</p> <p>何全德表示，產業署負責國家數位產業的發展跟推動，包括資訊、資安、網路、通訊和傳播等五大類業務，數位產業署也會對國家數位產業提供相關的協助、輔導和獎勵。</p> <p>數位產業若要進一步提升、成長，產業署就要推動數位轉型，而轉型過程中，不論數位轉型、淨零轉型等，都會碰觸很多資訊安全相關議題的情況下，資安院也會和數位產業署一起提供相關的資安技術諮詢與服務。</p> <p>不過，資安院除了和數位發展部、資安署三位一體，也同時會連結數位產業署一起提供諮詢和服務，也會與各個相關部會做連結。</p> <p>舉例而言，金管會先前推出「金融資安行動方案2.0」，不僅要擴大金融圈，也要推動零信任資安架構，並且要做到資安長的協調會報。</p> <p>他指出，像是零信任資安架構，就是資安院可以協助的面向，例如，對於零信任產品的認證、驗證、技術、價格的諮詢服務等，都包括在內。</p> <p>所以，資安院也會連結相關部會，並提供所有部會往數位轉型、淨零轉型的過程中，對需要的資安技術與其相關的前瞻研究、甚至是引進相關標準規範等，這些都是資安院積極努力的方向。</p> <p>資安院是國家級的資安研究單位，提供服務的對象，所涵蓋的不只是政府公務機關，推動產業的資安也是資安院很重要的工作項目之一。</p> <p>所以，各部會與民間產、官、學、研所需要的資通安全相關技術諮詢和服務，關鍵基礎設施機關的資安防護，以及包括法規、策略、標準、規範在內的資安治理等，都是資安院的研究範圍。</p> <p>不過，國家科學發展最高指導單位的國科會，也成立資安科技研究中心，同樣都是針對資安技術的研究，和資安院相較，兩者有何不同？</p> <p>對此，何全德引述數位發展部部長、也是資安院董事長唐鳳先前曾經提及的定義來解釋，他說：「資安院研究的技術就是四年內可以落地的技術；資安科技研究中心做的是學術拔尖，則更偏向前瞻性的資安技術研究，兩者有很明確的任務分工。」</p> <p><span style="font-size:28px;"><strong>數位轉型和淨零轉型是臺灣發展的重要關鍵</strong></span></p> <p>面對國際地緣政治的複雜情勢，臺灣一直佔據關鍵角色，有風險但同樣也有機會。何全德表示，如果要看2020年至2050年、未來這三十年的發展，臺灣產業結構一定會有很大的改變，數位產業的產值一定會持續擴大的情況下，臺灣必須要掌握數位轉型、淨零轉型的機會，但中間也要確保國家的數位韌性，例如從俄烏戰爭引發的地緣政治的風險，或者是COVID-19帶來的社會風險，若要確保臺灣安全，就必須要做到數位韌性和數位永續。</p> <p>臺灣有很好的硬體和半導體產業基礎，隨著各種人工智慧應用，例如ChatGPT的發展和更多數位服務冒出頭，對臺灣而言都是前所未有的機會，如何在既有良好的半導體產業基礎上，加上更多人工智慧創意和淨零轉型，並利用資訊科技做節能減碳、做更好的碳排管理等，對產業發展和轉型都有正面效益。</p> <p>此外，當所有產業開始上雲端、或開始大量採用人工智慧技術，以及各種資料驅動等，資安就會變得越來越重要。</p> <p>他認為，當我們可以預見未來資安發展趨勢時，資安院有責任要做到超前部署，針對所需要的資安科技研發和人才培訓標準的規範運用等，打造讓臺灣更安全、安心跟安穩的數位環境，這是資安院很重要的目標。</p> <p>再來，他也期許資安院能夠變成國際級的資通安全專業的研究機構，有這樣的法人單位加上有好的人才，就可以研發好的技術，然後能夠協助產、官、學、研，做更好的資安防護。最終，可以促成產業或是一般社會大眾，都能夠享受安全、安心跟安穩的「三安」數位環境。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023%E5%B9%B4%E9%91%91-%E4%BD%95%E5%85%A8%E5%BE%B7-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>期許資安院能夠變成國際級的資通安全專業的研究機構，最終，可以促成產業或是一般的社會大眾，都能夠享受安全、安心跟安穩的「三安」數位環境。──資通安全研究院院長何全德</strong></span></span></p> <p><span style="font-size:28px;"><strong>資安院具即戰力，AI、後量子密碼等都是研究重點</strong></span></p> <p>資安院在各界的支持與期待下成立，何全德表示，目前招募的人才，囊括以往技術服務中心170位資安專家，今年底前招募人數目標為220人，預計五年內成長到500人。</p> <p>他也說，現在的170人中，具有博士學位的有二十多人、占整體員工的7％，平均學歷都有碩士以上，全部都有多年工作經驗，「這是一個具有即戰力的隊伍，」何全德肯定說道，未來四年也會專注在可落地的資安研究開發，像是一些滲透測試的檢測工具、資安健檢、資安分析等技術研究發展，都是資安院的重中之重。</p> <p>資安院也成立一個「前瞻籌獲中心」，就是專門做比較偏向未來技術的研究與開發，比方說，現在ChatGPT很熱門，未來一年、兩年相關的研究以及技術諮詢會非常多，期待資安院可以扮演技術諮詢的角色，並推動相關軟硬體和服務的檢測，確保其安全性。</p> <p>何全德坦言，如何強化個資保護已經是全民關注的議題，資安院也在研究數位訊息防護技術的開發和移轉，從資料產生的過程、傳送、儲存到最後的銷燬，都需要有安全的防護技術，這也是目前研究的方向，「但資安院不會做商業性、與民爭利的產品，會研發的是具備戰略性的資安產品或技術。」他說。</p> <p>他舉例而言，像是後量子密碼時代的來臨，美國NIST正在評選最後的後量子密碼標準，但不論哪一個入選最後標準，牽涉範圍很大，資安院有責任關注此事，更要設法在新定版後量子密碼實作的過程中，針對相對應演算法的更新有對應的作為，讓未來所有密碼演算法更新，可以符合國家和社會的安全。</p> <p>這樣的前瞻研究也必須做到產、學、研合作才行。何全德也坦言，以資安院目前不到二百人的規模，其實做不了太多事情，例如現在AI浪潮來襲，像是AI的檢測就會是重要的議題，對於AI演算法可信任度（Trustworthy）的檢測工具開發、測試等，也是今年內重要的目標之一。</p> <p>此外，像是油、水、電、醫療、金融等關鍵基礎設施的安全防護，今年會先鎖定醫療機構的安全性進行保護，不僅要保護病人個資，加上醫療院所已經開始引進許多會牽涉病人生命安全的OT設備，資安院也會檢測相關OT設備、研究並制定標準規範；除了關鍵基礎設施防護外，還有零信任架構等，未來還有低軌衛星通訊鏈路的數位韌性和數位安全等，這些都是未來四年內要落實的項目。</p> <p><span style="font-size:28px;"><strong>資安院和其他法人單位採取「合作分工」模式</strong></span></p> <p>由於資安院是一個法人單位，和其他數位發展部下設的其他法人單位，例如資策會、電信技術中心等，則會採取「合作分工」的模式進行互動。</p> <p>他解釋，合作分工是「先合作再釐清彼此責任」，但「分工合作」則是先確認工作範圍之後才進行合作，兩者思維是不一樣的。</p> <p>不同法人的專業並不一樣，何全德以中研院研究後量子密碼為例，那是屬於最前瞻的研究階段；但如果到最後標準選定後，接下來就會是更換密碼演算法的實作問題，而新的加密器是否安全，相關的測試和實作，資安院會責無旁貸地出面承擔。</p> <p>他說，至於國科會的資安科技研究中心仍會偏向前瞻資安技術POC（概念性驗證）和理論性研究；資安院仍偏重應用面、技術面的研究，甚至開發實作一些新的產品工具。</p> <p>美國NSA（國家安全局）也有其不對外公開的漏洞作為網路武器之用，為了做到主動防禦，美國CISA（網路安全及基礎設施安全局）也會針對某些常用設備的漏洞，彙集成一個漏洞資料庫，這是一般業界不會做的事情。</p> <p>何全德表示，資安院也會朝著類似目標，集結臺灣政府機關常用設備的漏洞資料，讓更多資安業者或企業用戶，可以即時掌握相關的漏洞消息，避免後續駭客利用這些漏洞資料造成更大危害。</p> <p>何全德表示，資安看似複雜，但也不複雜，掌握後，也是基本工；而不論是4G、5G通訊系統到低軌衛星，或是CTI（資安威脅情資）搜整萃取作為主動防禦，資安院都期待成為一個交換平臺，把SOC或ISAC的資料放在這個平臺做交換和分享，目前也有STIX的共通格式做資料交換。</p> <p>他表示，當匯集所有資料後，可以利用AI做資安情資蒐集、彙整和應用，資安院便能掌握即時情資、進一步做到超前部署。</p> <p>至於人才的問題，何全德指出，無論是資安人才培育、加強員工資安意識和提升全民資安意識等，都是資安院接下來必須要接手處理的議題。</p> <p><span style="font-size:28px;"><strong>今年先定義資安長和鑑識工程師的職能基準</strong></span></p> <p>資安院在人才培訓部分，今年主要先鎖定「資安長」和「資安鑑識工程師」，定義出相關的職能基準。</p> <p>何全德坦言，資安人才面臨結構性問題，要解決人才不足的問題，像是政府或是一般企業，在地端人手不足的情況下，可以透過將系統集中上雲的方式，解決企業資安人才不足的問題。</p> <p>他也同意，「軟體安全做的好，資安沒煩惱」，可以透過源頭管理，像是SSDLC（軟體安全生命週期）、SBOM（軟體物料清單）或是DevSecOps等，都是很好的確保資安的應對方式。</p> <p>他表示，接著可以加強資訊人員的資安能力，畢竟許多企業或單位會有IT人員但不一定會有資安人員，在IT的基礎上增加對資安的掌握度，是培養資安人才最快的方式。</p> <p>另外，何全德也指出，政府部門會延續以往資安服務團的作法，進駐到重點單位提供服務，今年會選擇掌握民眾個資或曾發生資安事件的部會進駐，提供為期三個月的資安服務。</p> <p>至於考試院，也在規畫增加資安人員的類科，除了原先的資訊處理人員外，也會新增資安類科，讓公務人員考試有名正言順的資安名額。</p> <p>歐盟的ENISA（網路資訊安全局）提出新的歐洲網路技能框架（European Cybersecurity Skills Framework，ECSF），其中列出12類資安人才的職能基準，何全德表示，資安院也參考其規範建立臺灣資安人才的職能基準，今年先定義「資安長」和「資安鑑識工程師」兩個職能的規格和標準。</p> <p>為什麼會先挑選資安長？何全德表示，因為金管會和證交所都要求一定規模以上的企業必須要設立資安長，但究竟什麼樣的人適合擔任資安長呢？除了是老闆信任的對象，也可能會由公司其他像是財務長、營運長高階主管兼任外，資安長並沒有一個共通的職能參考基準。</p> <p>因此，他表示，資安院今年便先鎖定資安長，希望各個企業指派資安長時，可以有一個職能參考依據。</p> <p>像是歐盟對於資安長的職能定義，大多不是技術性規範，以資安管理、法遵、風險管理、策略管理為主，資安院之後會制定資安長教育訓練的課綱、教材、題庫等等；當制定合適訓練機構的評選標準後，也會發展不同機構的特色，例如，臺中有許多精密機械老闆的第二代，可以透過和中興大學合作訓練課程後，再頒發資安長職能證書，期待這會成為全國資安長的職能參考基準。</p> <p>至於另外選定資安鑑識工程師，則是當企業發生資安事件時，如何找出資安事件的發生根因和軌跡，需要專業的資安鑑識工程師到企業內部進行資安鑑識，若能定義相關的職能定義，也可以避免不肖資安業者的濫竽充數。<strong>文⊙黃彥棻、攝影⊙洪政偉</strong></p> </div></div></div>
2023/5/9 00:00作者黃彥棻https://www.ithome.com.tw/article/156663
【專訪數位發展部數位產業署署長呂正華】以韌性、整合、資安和賦能推動數位產業發展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2023nian_jian_-lu_zheng_hua_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部於2022年8月27日掛牌上路，同天下午，數位發展部的三級機關數位產業署也於同天下午掛牌運作。數位發展部數位產業署署長呂正華，過去五年半以來，曾擔任經濟部工業局局長，擅長產業諮詢與策略溝通，面對新單位的成立，他表示，該署以「RISE」（旭日東升）做為未來業務推動的重點，在資安即國安的政策方針下，更積極落實「資安產業化、產業資安化」，務必讓資安成為各行各業營運發展的基礎。</p> <p>另外，面對層出不窮的個資外洩事件，呂正華也說，政府部門積極推動零信任資安架構，並針對具有個資的A級機關，最晚在2024年底前，都必須完成T-Road（政府資料傳輸平臺）的建置，而T-Road 傳輸全程以機關憑證加密，不與外部服務網段相連通，也為資安提供更嚴密的保障。</p> <p><span style="font-size:28px;"><strong>以RISE作為業務推動方向</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023%E5%B9%B4%E9%91%91-%E5%91%82%E6%AD%A3%E8%8F%AF-600-2.png" style="width: 504px;" /></p> <p>呂正華表示，RISE就是四個英文單字的縮寫，R代表韌性（Resilience）：產業轉型過程中，數位工具扮演關鍵角色，協助各行各業因應各種挑戰；I代表整合（Integration）：指整合各部會資源，使政府在數位產業的資源投入與產出效益極大化，協助產業數位轉型；S代表安全（Security）：資安即國安，將資安能力轉為產業發展的動力；E代表賦能（Empowerment）：透過數位導入與創新應用，並賦能給各行各業。</p> <p>他以韌性（Resilience）為例，當貨櫃塞港時，所有的貨物都在同一艘船上，若能掌握數位資訊，就可以有不同的應變方式，例如，我們能夠規畫哪些貨物多久才會送到港口，即便之前延遲兩個月，但可以做其他的緊急應變，不管是從其他地方先調貨，或者是改道行駛等等，就不會像早期因為對於商品和航程掌握資訊過於片段，遇到突發狀況時，往往是束手無策、只能原地等待，甚至有些具有時效性的商品因無法趕到上市時間而造成損失。</p> <p>呂正華認為，這種可以因應突發事件發生的妥善應對能力，就是韌性，這樣的「韌性」從疫情爆發以來，臺灣可以透過各種數位工具提供更有效率的防疫措施的來，就已經彰顯出其重要性。</p> <p>「不過，有了韌性還不夠，還必須做到整合，也就是RISE的第二個字母：I」呂正華說。他進一步解釋，企業管理除了常見的五管：產、銷、人、發、財，背後還需要第六管：IT系統，以此貫穿五大作業流程，這就是整合。</p> <p>而且，不只管理面要整合，呂正華表示，數位產業署在規畫成立時，也做到組織面的整合，像是工業局、中小企業處、商業司和技術處等，與IT資訊相關的單位和計畫，全部整合到數位產業署，做到整合後便能發揮最大綜效；其他像是人才培育課程，從高中、大學、研究所到在職，都有不同培訓課程，若能做到整合，可以發揮最大培訓效果。</p> <p><span style="font-size:28px;"><strong>各種產業都要做到內建資安</strong></span></p> <p>「S就是資安，」呂正華指出，小英總統上任以來揭櫫「資安即國安」的大政方針，也讓各界更為關注資安議題。</p> <p>他表示，對企業而言，資安的認知與推動都必須有高階主管的大力支持，否則，一旦心存僥倖，生出「我不會這麼倒楣」的心態時，就會想要「賭一把」，沒有遇到資安事件就沒事，一旦發生資安事件時，企業往往損失慘重。</p> <p>他笑說，這種心存僥倖的心態就像買汽車保險，車主只有在買新車時願意投保保額較高、保障範圍較完整的甲式車險；當車子開始折舊後，就只願意投保基本保額的丙式車險，一旦發生碰撞意外時，丙式車險的理賠經常不足以涵蓋損害範圍。</p> <p>不過，資安這件事情，還是需要透過整體社會環境的重視和潛移默化與知識擴散，才能夠逐漸提升企業和民眾的資安意識，資安產業在這樣的環境下，也可以有比較好的發展。</p> <p>近幾年來，不僅有許多從資安社群出身的資安新創公司蓬勃發展，整體資安產業的產值也逐漸增加。像是2017年至2022年以來，累計31家資安新創公司成立，其中13家業者即來自駭客社群，如：奧義智慧、杜浦數位、三甲科技、如梭世代、菱鏡、泰瑞爾……等。</p> <p>不過，關於發展「資安產業」，呂正華認為其實只做了一半，還必須讓各行各業的企業營運，都做到內建「資安」，企業營運發展才不會有後顧之憂。</p> <p>他也說，當整個產業因為做好資安而能夠健康發展時，產業才能夠逐步發展擴大，例如，臺灣有許多隱形冠軍的製造業者，他們擁有許多珍貴的專利和智慧財產權，這些都可能會吸引許多有心人士，試圖竊取這些隱形冠軍相關的營運機敏資訊。</p> <p>畢竟這些隱形冠軍多是賺錢的公司，有些駭客就會透過植入木馬程式對這些隱形冠軍進行勒索、要求贖金。因此，呂正華便說，數位產業署就先找三十家隱形冠軍業者協助進行弱點掃描，協助企業發現內部的資安弱點並進行補強，慢慢提升整體的產業發展。他認為，這就是產業資安化的最佳寫照。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023%E5%B9%B4%E9%91%91-%E5%91%82%E6%AD%A3%E8%8F%AF-600.png" style="width: 600px;" /></p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(51, 153, 255);">「RISE」（旭日東升）是未來業務推動的重點，在資安即國安的政策方針下，更積極落實「資安產業化、產業資安化」，務必讓資安成為各行各業營運發展的基礎。──數位發展部數位產業署署長呂正華</span></strong></span></p> <p><span style="font-size:28px;"><strong>推動資安產業化、產業資安化</strong></span></p> <p>呂正華說，推動資安產業化或是產業資安化，目前主要政策的執行者仍是數位產業署，而關鍵基礎設施的資安，歸資通安全署負責，至於原本的技術服務中心，則轉到資通安全研究院（簡稱資安院）負責。</p> <p>他表示，數位產業署也要整合「產業資安」及「資安產業」，攜手打造可信任的供應鏈，並從臺灣最重要的半導體產業著手，聯合學界和業者共同創建「晶片安全聯合檢測實驗室」，讓相關的業者不用再把晶片送往國外實驗室進行安全檢測，而是可以就近在產地臺灣進行相關的檢測，用更低的成本、更快地進入國際市場。</p> <p>關於推動資安產業化、產業資安化，呂正華認為，最大問題在於：知易行難，許多企業不願意掏錢做資安，加上面對勒索軟體的威脅，以及外在環境日漸惡劣，例如通貨膨脹、企業獲利減少的情況下，企業往往會將預算放在研發上，卻不會將資安放在第一位。</p> <p>對於政府而言，就是採取鼓勵的措施，他表示，像是從推動將產創條例延長三年，並在相關10-1條增加資安投資抵減的項目就是一例。從2022年開始，企業投入資安產品或服務的投資可以抵稅，可以鼓勵企業加快落實資通安全系統或資料安全的維護，抵減的範圍包括：運用於終端與行動裝置防護、網路安全維護或資料與雲端安全維護有關之硬體、軟體、技術或技術服務等，今年報稅資安投資就有5％或3％的抵減。</p> <p>他也說，2022年、2023年到2024年因為資安需求變大，所以在審查資安投資抵減時，有業者希望抵減項目應限於國產資安產品或服務，但因為臺灣是WTO（世界貿易組織）的一員，所以，政府不能夠片面保護國產資安業者。</p> <p>此外，政府也規定，相關的研發計畫中，必須要有7％用於做資安，行政院科技會報辦公室也會要求，針對人員的訓練、代聘，透過研發的方式納入人員的訓練，以金管會為例，就是設立資安長制度和規畫資安訓練。</p> <p>數位產業署也透過法人發展人工智慧導向資安共創技術，呂正華指出，他們將透過軍民通用資安計畫，推動國防資安國產化，提升臺灣整體資安技術的研發能量，另外，會建構以情資導向的主動式防禦與應變支援解決方案，希望透過人工智慧輔助進行威脅情資塑模分析，分析攻擊者的動機和能力等資訊，藉此幫助有效識別、減輕及防堵攻擊威脅，進而協助企業檢視製造及供應鏈場域的資安層級與內外部資安風險，希望可以做到更快地預防及遏止攻擊威脅，同時降低事件處理之人力投入。</p> <p><span style="font-size:28px;"><strong>數位賦能用於企業，就是數位轉型</strong></span></p> <p>RISE策略的最後一個重點E是賦能（Empowerment），呂正華認為這是最重要的概念，因為每個人都可以做到數位賦能。以前電腦不普及的時候，可以透過電腦的工具，可以讓我們工作更有效率。當日前ChatGPT橫空出世後，可以做到更明顯的賦能，不僅可以節省一些資料整理的時間，可以讓你有更多發揮專業、進行創新的時間。</p> <p>這樣的數位賦能不只存在於個人，對產業而言，就是要能做到「數位轉型」。</p> <p>他以紡織業的染色為例，以往就只能依靠老師傅的經驗，但透過數據化規整老師傅的染色經驗後，之後就可以利用AI技術進行驗布，這些老師傅就可以把時間花在更有創新價值的地方。</p> <p>其他像是醫生看X光片，可以透過AI先做病灶標示，等於是借用有經驗的醫生先對X光片做分類，醫生做後續的人工判斷和確認就可以了，加快醫生判讀X光片的精準度也加快效率。</p> <p>呂正華認為，數位賦能可以促使產業及個人的競爭力有效提升，做到各行各業的數位轉型；但數位賦能之上要有資安加持，也要做到組織和資源系統的整合，最後也必須有面對突發狀況和風險應對能力的韌性。「所以這就是數位產業署為什麼以RISE（旭日東升）作為數位產業推動的重點。」他說。</p> <p>不過，在人才培養的部份，因為臺灣走向少子化，若要培養更多數位人才，須納入更多非資訊相關科系的人才投入數位產業，但要真正投入產業運作，還必須有更多實務經驗才行，真正做到更多數位人才供應，產業才有活水源頭。</p> <p>例如，推動「數位青年T大使計畫」，邀請業師帶領青年進入企業場域實作，並鼓勵非數位相關科系青年跨領域加入，透過為期20週、至少230小時的數位轉型培育課程，藉由不同科系間的腦力激盪，協助青年夥伴成為各行各業的數位轉型種子。</p> <p>呂正華表示，就跟資安人才一樣，許多白帽駭客畢業後可能選擇半導體業工作，但他的駭客思維，也可以在半導體業負責資安架構，做好供應鏈資安等等。畢竟，未來每個行業的營運發展，都跟資安脫離不了關係。</p> <p>臺灣知名半導體業者因外包廠商USB裝置，造成勒索軟體Wannacry橫行，損失超過五十多億元產值。對此，推動SEMI E187半導體資安標準，可帶動供應鏈資安，這個標準不只能落實在半導體，其他面板、印刷電路板等更多產業，也都可以做到、推廣。</p> <p>此外，在2022年10月，數位產業署和SEMI推出SEMI E187資安標準操作實務指引（Reference practice），並透過FAQ形式幫助產業了解各項標準內涵與規範範疇，加快產業標準落實及資安產業成長。</p> <p>至於2023年的目標就是帶動SEMI E187標準落地，他說，將協助臺灣半導體產業把握制定標準的優勢，並且以零信任架構提升半導體供應鏈的資安韌性，藉由推廣SEMI E187半導體資安標準，加速推動產業合規並持續深化跨域資安產業發展。</p> <p>他也說，該署也持續新增研擬物聯網資安標準，協助相關認驗證制度維運，提供資安標準技術諮詢，深化產品資安品質能量，並協助臺灣產業可以儘早投入符合歐盟（EU）資安規範的ICT產品開發規畫，建立自主認驗證能量，降低進入歐盟市場時間與成本。</p> <p><span style="font-size:28px;"><strong>推動零信任和T-Road架構，落實個資保護</strong></span></p> <p>面對近期爆發許多企業個資外洩的資安事件，呂正華表示，行政部門依法行政，在目前沒有個資專責機構的同時，一旦爆發個資外洩事件，都有賴目的事業主管機關出面，進行相關的行政檢查；也因為這些個資外洩事件都是與民眾生活息息相關的產業，也帶來比較大的社會關注。</p> <p>呂正華表示，數位產業署是移撥工業局、中小企業處、商業司和技術處等單位業務，以IT相關產業為主，但現在也必須要管理支付業者，或是綜合性電商業者的個資議題。</p> <p>若以i-Rent為例，目的事業主管機關是公路總局，所以爆發個資外洩事件也會由公路總局出面處理。而該起事件因為有國外資安專家第一時間聯繫數位發展部部長唐鳳，為了降低民眾個資在網路上裸奔的風險，也第一時間要求所屬行政法人TWNIC，須在第一時間封鎖暴露個資的網址，降低民眾受害機率。</p> <p>他說，民眾對於新成立的數位發展部有期待，但公務機關本質上還是要做到依法行政，所以，目前除了進行個資法的修法，提高非公務機關外洩個資的罰則最高一千萬元以下的罰鍰，如果未來在期限內改正，也能按次處罰，並積極成立個資專責單位：個資保護委員會，確立個資監督走向獨立機關化，同時，也符合歐盟個資法（GDPR）要求。</p> <p>呂正華表示，目前政府部門為了落實個資保護，將於2024年底，針對所有擁有全國民眾個資的A級機關導入T-Road政府資料傳輸平臺外，也會打造「永不信任，持續驗證」的零信任網路架構，針對任何人無論何時、何地要存取相關的服務時，都必須針對身分、設備和行為模式等進行三重驗證，即使機關首長也不例外。</p> <p>這些作法就是為了確保公部門不再發生大規模個資外洩，非公務機關等民間企業如果發生資安或個資外洩事故，也會由數位發展部所屬的行政法人，也就是國家資通安全研究院來協助因應。</p> <p>另外，針對常見的詐騙事件，呂正華表示，政府除了修法，民間業者也須積極導入個資隱碼技術，降低民眾遭到詐騙的機會。</p> <p>他說，像台灣大哥大就和電商momo合作隱碼技術，此應用特點在於，貨運業者上面留的聯絡人電話其實是一組代碼，貨運司機或快遞人員要和收件者聯繫時，必須先打電話到交換中心輸入聯絡人的序號，交換中心才轉撥到收件人真正的手機。即使詐騙集團真的拿到收件人的聯絡資訊，也無法掌握收件人的聯絡電話。他笑說，這個隱碼技術的缺點就是成本比較高，但的確可以提高對民眾個資的保護。</p> <p>數位產業署和業者也合作研發更新的打詐、防詐技術，或電信業者手機內建陌生來電辨識App「Whoscall」。呂正華坦言，對數位產業署而言，不論電商或遊戲業者，要有健全的產業發展環境，必須做到對客戶的個資保護，也會讓民眾安心使用數位科技。</p> </div></div></div>
2023/5/9 00:00作者黃彥棻https://www.ithome.com.tw/article/156664
IT大裸奔時代來臨
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著網站、智慧型手機、人工智慧等各式IT應用的普及，我們身處一波波數位科技革新的浪潮之中，在工作與生活享受種種便利與彈性之餘，資安防禦的邊界卻面臨持續消弭的狀態。</p> <p>回想過去，許多企業與組織可能都會限制使用者只能瀏覽特定網站，若要求存取單位提供的IT應用服務時，只能用公司配發的個人電腦，而且必須要在內部網路使用，或是透過VPN連回公司才行。</p> <p>時至今日，許多規定早已鬆綁，BYOD是大家最熟悉的例子，不少單位開放員工自帶筆電到公司工作，以及用自己的智慧型手機連公司網路與應用系統，遠端工作也悄悄崛起，而在為期3年的COVID-19疫情之後，所有企業與組織為了維持業務運作，更是被迫開放員工在家辦公（WFH），或是在任何地點辦公（WFA），使得各種能讓大家遠端存取的模式大行其道，當時即便有資安顧慮，也管不了那麼多。</p> <p>企業與組織所面對的IT門戶洞開態勢，其實，並不僅止於使用者層面，在系統層面，有越來越多的單位決定將既有應用程式遷移到雲端服務環境，或是直接使用雲端原生的應用程式、軟體即服務（SaaS）來滿足業務動態發展的靈活度要求；而且，大家所運用的架構可能更常是多雲（Multi-Cloud）、混合雲，而非內部的私有雲，因此，各種原本應該隱藏在內部網路的各種IT服務，如今卻以相對更大規模的方式直接暴露在網際網路，使得自身的資安風險處於節節高升的狀態。</p> <p>或許有人會認為，IT架構暴露在外不應與必然蒙受資安威脅完全畫上等號，然而，層出不窮卻又難以杜絕的不當設定（misconfiguration）有可能產生更多防護漏洞，而導致攻擊者能夠滲透進來胡搞，甚至以公然、輕易的方式，即可直接取走、破壞、竄改、綁架這些環境當中的重要資料，或是濫用關鍵基礎設施的資源。而關於這類與暴露有關的資安風險，臺灣的資安界以「裸奔」來形容，相當貼切。</p> <p>對照資安廠商Snyk去年9月公布的2022雲端安全現況報告，可以更進一步瞭解這類資安事故的成因。根據當中的統計，由於不當設定導致系統停擺的比例最高，達34％，其他如雲端資料外洩、環境遭入侵、被用於挖取數位貨幣，也經常肇因於管理者的不當設定。</p> <p>而因為不當設定而引發資安事故的行為中，比例最高類型是以不安全方式進行資料備份；排名第二的，則有遺失記錄、以不安全方式進行傳輸；排名第三，有物件儲存服務不當設定、缺乏監控、用不安全的API金鑰、將生產資料放置在非生產環境；第四類，是以不安全的方式存取虛擬機器或容器，以及安全群組不當設定；至於第五類，是以不安全的方式儲存資料，第六類則是身分存取管理不當設定。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E6%95%85">資安事故</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E5%AE%89%E5%85%A8">雲端安全</a></div><div class="field-item even"><a href="/tags/%E4%B8%8D%E7%95%B6%E8%A8%AD%E5%AE%9A">不當設定</a></div></div></div>
2023/5/9 00:00作者李宗翰https://www.ithome.com.tw/voice/156665
【關鍵資安議題：資安風險管理】攻擊表面就是企業防禦新邊界
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gong_ji_biao_mian_-huang_ji_min_-960-tu_pian_lai_yuan_socradar.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">圖片來源／SOCRadar</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著ChatGPT的問世，全球各行業與企業加速邁向數位轉型，在COVID-19疫情的推波助瀾下，這股浪潮更成為改變未來的「科技奇點」。然而，企業投入數位轉型後，越來越多的資源流向新一代的數位科技，例如網路和雲端。這意味著企業的數位資產數量與多樣性正在增加，蘊含的可利用價值也越高，而資安風險威脅也隨之增加。因此，必須思考如何快速精確地掌握攻擊表面管理能力，以降低企業面臨的資安風險。</p> <p>在這樣的背景下，攻擊表面管理（Attack Surface Management，ASM）應運而生。它採用更先進的方法，針對企業數位資產和系統進行全面的風險掌控和管理，以降低企業面臨的資安風險。ASM技術提供完善的攻防情報，能夠提供企業資安團隊近乎同時的問題探知與覺察反應的效果，幫助企業全面掌握自身資產狀態，降低資產面臨的攻擊風險，提高資產的可見性和掌握度，減少安全事件對企業的損失。因此，我建議企業應採用ASM技術，從提高資產的可見性和掌握度、整合多種安全技術、建立全面的安全意識等方面入手，降低未知資安威脅對企業造成的風險和損失。透過ASM技術，企業可以更有效地應對現今數位型態的戰爭。</p> <p><span style="font-size:28px;"><strong>數位資產曝險危機升溫，ASM成為資安焦點</strong></span></p> <p>俗諺說：「土水師父怕抓漏」，房屋漏水問題常讓人煩惱，即使是經驗豐富的土水師父也很難找出漏水根源。同樣地，資安工作人員也有類似的抓漏困擾，只是他們面對的是企業數位結構上的問題。現今企業數位結構如同一個多面向的數位體系，由許多的數位資產提供服務並運作，隨著數位資產的不斷增加與複雜變化，數位資產層面的問題更難被發現，而這些是造成企業數位結構安全漏洞和滲透的肇因。</p> <p>ASM是基於資安曝險管理下的一種資安管理方法論，由國際資訊安全業界的專家及資深研究人員提出，逐漸成為現今企業資安管理的主流，目的是協助企業評估、管理並減少其資訊系統所面臨的攻擊面。Gartner在2018年首次提出ASM的概念，並在《2022年網路安全主要趨勢報告》將其列為首要技術，同時，也是資安曝險管理的第一個支柱。</p> <p>之所以ASM受到關注，原因在於，近年全球數位化的發展急速推升，促使企業在數位化轉型過程中產生了更多的數位資產，包括公司網站、域名、電子郵件、軟體應用、網絡系統、資料庫、雲端服務、行動應用、網站、社交媒體賬戶等不勝枚舉，而這些數位資產不僅分布在地端的企業數據中心機房，更多的是散布在網際網路及多個雲端。企業的數位資產多數蘊含有企業的核心業務資訊、客戶敏感資訊、商業機密、金融資訊等具有高度可利用的價值性，但是，也同時存在未知的漏洞，並且可能成為資安破口導致資料外洩、服務中斷、系統癱瘓、網站被駭客入侵等安全事故。ASM的目的就是透過對企業數位資產的全面監控與評估，找出並關閉存在的漏洞和風險，以最大限度地減少企業所面臨的資訊安全威脅。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%A1%A8%E9%9D%A2-%E9%BB%83%E7%B9%BC%E6%B0%91-600-3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FGartner(1).png" style="width: 600px;" /></span></p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%A1%A8%E9%9D%A2-%E9%BB%83%E7%B9%BC%E6%B0%91-600-3A-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FQualys.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>去年上半，在市場調查研究機構Gartner《2022年網路安全主要趨勢報告》中，將攻擊表面（Attack Surface）的擴張列為７大主要技術趨勢之首，並在另一份持續威脅暴露管理（Continuous Threat Exposure Management，CTEM）計畫實施的建議裡面，該機構將這項因素列為資安曝險管理的第一個支柱。</strong><span style="font-size: 14px;">圖片來源／Gartner</span></span></p> <p><span style="font-size:28px;"><strong>別讓數位資產成為企業資安的破綻</strong></span></p> <p>企業資安工作的核心是「知己知彼」，其中「資產管理」是最重要的任務，因為這是基礎工作。資產管理在各種資安管理方法中，都佔有重要的地位，例如，ISMS規範或是NIST CSF資安框架都明確強調其重要性，以及資產與風險之間的關聯性。</p> <p>然而，現今的數位資產並不像傳統的資訊資產，是固定、有形、可見的型態，尤其在網際網路及雲端等數位環境上，數位資產的變化更加難以掌握。如果企業的數位資產失去管理維護，就容易存在不當設定、過期、脆弱化、可利用等風險因子，進而導致企業資安防護上的許多問題，而這些問題往往是在未知或未察覺的情況下被駭客利用。</p> <p>為何攻擊表面管理能在因應這些風險威脅時，提供協助？基本上，它是一種技術原理，透過持續的監測和漏洞掃描企業的數位資產，發現和修補攻擊面上的漏洞和弱點，以降低企業遭受攻擊和損失的風險。此外，ASM還能幫助企業識別和發現數位資產的位置、範圍、外部威脅和風險，甚至是相關的暗網威脅情報，並且更聰明地、更快速地針對企業存在的攻擊表面，進行全面監測管理。</p> <p>ASM的優勢特點，包括：全面性、即時性、可擴產性、高效性，與傳統資安檢測方法相比，ASM能夠改善傳統資安檢測方法所存在的不足，例如缺乏直觀統合報告、分析斷層等問題，不僅具備高效率，還能降低企業遭受攻擊。</p> <p>就效益來看，ASM能夠幫助企業降低風險，因為在攻擊發生之前，若能早一步檢測出可能存在的漏洞和弱點，及時進行修補，即可減少企業遭受攻擊的機會。此外，因為它能夠自動執行數位資產的監測和漏洞掃描，提供圖解形式的報告和分析結果，讓企業資安團隊更加聰明、快速地識別和解決問題，提高資安運營效率，並且快速擬定資安防護的策略。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%A1%A8%E9%9D%A2-%E9%BB%83%E7%B9%BC%E6%B0%91-600-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FQualys.png" style="width: 440px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>根據Qualys的研究分析，隨著過去十幾年來的數位轉型，以及過去兩年遠距／混合工作模式的增長，大多數組織必須管理的攻擊面資產數量呈指數級增長，以目前而言，有52％的企業IT所要管理的資產，超過10,000 項。</strong><span style="font-size: 14px;">圖片來源／Qualys</span></span></p> <p><span style="font-size:28px;"><strong>用駭客思維來洞察數位資產的安全風險</strong></span></p> <p>近年來，駭客思維已成為企業資安檢視的主要方法之一，運用於滲透測試、紅軍演練和BAS攻擊模擬等作業，皆以駭客的角度來探測企業資安的真實狀況，旨在找出潛藏的威脅面向。</p> <p>然而，企業擁有大量、多樣的數位資產，也意味著企業受到資安攻擊的表面增加，曝險的機率也提高。因此，利用ASM方法來幫助企業達成高效、即時且全面進行的數位資產管理，透過此一資訊情報則更能洞察出潛藏未知的風險，例如影子資產、不當的設定、未修補的漏洞、有問題的供應鏈，或是已經曝險於黑市的企業數位資產等。</p> <p>目前，ASM方案有3大領域，分別是外部攻擊表面管理（EASM）、網路資產攻擊面管理（CAASM）、數位風險保護服務（DRPS），其中以EASM最廣泛，多用於企業對外的網站應用服務安全檢測。然而，作為一名資安專家，我建議企業應該以數位資產管理為重點來思考資產的屬性特質，而不是抱持「外部的世界才比較危險」或「駭客都是從外面打進來」的想法。</p> <p>基本上，EASM對於安全管理的重點，在於企業在外部網路環境所呈現的「表面」，如DNS、Domain Name、Cloud、CDN、API等構成Web服務的元素。其實，面對現今的網路世界，我們可以用「數位生態系統」來想像：大量的企業數位資產之間，往往以供應鏈進行複雜的交互連結，從而產生各種的數位活動，以提供各種應用服務。此時若企業仍秉持舊的思維，就容易發生「見木不見林」的盲點，因為當企業汲汲營營於眼前的一個問題時，駭客很可能正從企業所未著眼的面向悄然而入。</p> <p>除了EASM，CAASM和DRPS同樣是非常重要的資安領域。CAASM能對企業內部網路進行安全測試和管理，DRPS關注於企業數位資產在網絡外部的安全風險，例如，黑市所販售的敏感資訊、社交媒體上的誹謗行為等等。綜合上述三個方面的攻擊表面管理方案，我們可以對企業的數位資產進行全面的風險評估和管理。</p> <p>然而，ASM並不是萬無一失，仍需不斷加強與改善。尤其是當企業數位資產逐漸向雲端、物聯網等新技術轉移，ASM的應用也需要相應地進化。此外，由於ASM的運用需要相當高的技術水平和豐富的經驗，因此，當企業在進行資安管理時，最好能夠借助專業資安團隊的支援。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%A1%A8%E9%9D%A2-%E9%BB%83%E7%B9%BC%E6%B0%91-600-3-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FCybelAngel.jpg" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>外部攻擊表面管理（EASM）方案的主要應用涵蓋面相當廣泛，相較於傳統檢測方式來說，能夠幫助企業關注到更具資安敏銳度的領域。</strong><span style="font-size: 14px;">圖片來源／CybelAngel</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%A1%A8%E9%9D%A2-%E9%BB%83%E7%B9%BC%E6%B0%91-960-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSOCRadar.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>如果我們以外部攻擊表面管理（EASM）的角度來檢視企業網站的風險性，能夠一口氣盤點不同型態的數位資產，包括已知、未知、假冒、及第三方的資產，以此為企業資安團隊提供更豐富的情報。</strong><span style="font-size: 14px;">圖片來源／SOCRadar</span></span></p> <p><span style="font-size:28px;"><strong>先知先覺，上兵伐謀</strong></span></p> <p>現今的資安已經是數位型態的戰爭，這種型態的戰爭雖然是無形，也不見血光，卻是無時無處都需要提防，而且，輕易就能扼殺企業辛苦經營成果。作為資安專家，我們必須加強資安防禦，盡可能透過「先知先覺」的策略來預防攻擊，避免企業的損失。</p> <p>此處所提到的ASM並非是嶄新的資安技術方法，不過對於今日的數位環境所面臨的資安問題，確實能起到更好的幫助。透過貼近駭客思維的方法所進行的資安檢測具有更完善的攻防情報，對於企業的資安團隊在防護策略上，能夠達到與駭客近乎同時的問題探知跟覺察反應，實現「先知先覺」效果。</p> <p>如孫子兵法所說「上兵伐謀」，我們必須破壞敵方的計謀，讓對手無從下手或者改變攻法，ASM能幫助企業更為主動積極發覺各路可能的攻擊面向，對於企業資安能量有限的情況下，可以更有效率地動態調度配置各項資安防禦作業與資源投入。</p> <p>整體而言，ASM可以幫助企業全面掌握本身的資產狀態、降低資產面臨的攻擊風險、提高資產的可見性和掌握度、減少安全事件對企業的損失。未知資安威脅仍然是企業無法掌握的風險之一，但是企業可以運用ASM技術，從提高資產的可見性和掌握度、整合多種安全技術、建立全面的安全意識等方面入手，降低未知資安威脅對企業造成的風險和損失。</p> <p>另外，資安防護不僅是技術的問題，更是一個完整的生態系統，需要企業內部各單位的積極參與和協同合作，從而實現全面的資安管理。因此，企業需要建立一個完善的資安管理體系，制定相應的政策和準則，並且持續進行培訓和教育，以便提高員工的資安意識和技能水平。</p> <p>最後，我想強調，資安防護是一個持續進行的過程，需要企業保持高度警覺和積極因應，從而能抵禦不斷變化的資安威脅和攻擊手段。為能達成此目標，企業需要持續學習和更新資安知識，採用最新的技術和工具，並且建立有效的應急機制，以及定期進行測試和演練，以應對突發事件的來臨，及時恢復系統運作。<strong>文⊙懷生數位處長黃繼民</strong></p> </div></div></div>
2023/5/9 00:00未署名https://www.ithome.com.tw/article/156666
VS Code 1.78新增開發配置樣板，並且引入新的diff演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_78#_drop-selector">VS Code開發團隊發布1.78最新更新版本</a>，這個版本值得關注的更新，包括新的配置樣板與檔案操作方法，另外，網頁版的VS Code也有新功能，開發者能夠更簡單地提交大型檔案，並將其託管在GitHub上。</p> <p>VS Code內建Python、Java和資料科學開發等配置檔案功能，可以讓開發者根據當前專案和任務，快速切換編輯器的擴充套件、配置和使用者介面布局。微軟在VS Code 1.78中提供配置檔案樣板，藉此引導開發者開始使用配置檔案。</p> <p>不同的配置檔案樣板適用不同語言和開發用例，開發者可以直接開始使用，也可以針對開發流程進一步自定義，在開發者根據樣板創建配置檔案之後，對設定、擴充套件和使用者介面的變更，就會保留在配置檔案中。</p> <p>VS Code提供開發者一個方便的內容插入方法，是按住Shift鍵再將檔案拖放進文字編輯器中。而在最新的VS Code版本，開發者現在可以變更內容插入檔案的方式，像是將圖片拖放到Markdown檔案中，新的拖放選擇器讓開發者可以選擇直接插入圖像，或是相對、絕對路徑。只要拖放內容當下有不只一種插入方式，拖放選擇器控制元件就會出現，供開發者選擇。</p> <p>開發團隊還更新VS Code中用來比較文字序列差異的diff演算法，雖然舊的演算法目前仍是diff編輯器的預設演算法，但是開發團隊表示，他們會在之後預設使用新演算法，並且測量新演算法的效能。目前開發者可以手動更改新演算法成為預設，但是開發團隊提醒，在大部分情況下，新演算法能夠產生更好的差異比較結果，只是在處理部分檔案的時候，速度可能會比較慢。</p> <p>VS Code網頁版github.dev和vscode.dev，現在可以簡單地將大型檔案提交到GitHub上的儲存庫。透過將大型檔案提交到Git LFS（Large File Storage），開發者可以在Git儲存庫中高效儲存大型檔案，而現在github.dev和vscode.dev內建LFS提交支援，開發者不再需要額外安裝擴充套件。</p> </div></div></div>
2023/5/8 21:59作者李建興https://www.ithome.com.tw/news/156781
干擾手法？微軟Windows更新後，一啟動Chrome會觸發預設App設定頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟4月份更新似乎加入新手法，阻撓用戶將Chrome設定為預設瀏覽器。</p> <p><a href="https://gizmodo.com/microsoft-windows-google-chrome-feature-broken-edge-1850392901" target="_blank">Gizmodo報導</a>，一名IT管理員最近為公司電腦部署了4月份釋出的KB5025221版本Windows更新，<a href="https://answers.microsoft.com/en-us/windows/forum/all/opening-chrome-causes-default-app-settings-to-open/bd17351b-0f46-4265-8f9f-d83228d149ad" target="_blank">之後發現</a>，只要一啟動Chrome瀏覽器，Windows中的預設應用程式設定頁就會跳出來，希望使用者將Edge設為預設瀏覽器，迫使用戶必須不斷手動關閉，不勝其擾。相反的，如果開啟Edge就不會跳出這設定頁。</p> <p>這問題影響了600臺已部署的Windows電腦。這名管理員試過多種方法無法解決，而且他也發現，透過WSUS（Windows Server Update Services）無法解除安裝。另一名IT管理員則發現這問題自4月13日開始出現。</p> <p>微軟表示，<a href="https://support.microsoft.com/en-us/windows/send-feedback-to-microsoft-with-the-feedback-hub-app-f59187f8-8739-22d6-ba93-f66612949332" target="_blank">這問題可以透過下載「顯示或隱藏更新」疑難排解工具</a>將問題更新隱藏起來。它會列出一個清單供用戶選擇，用戶選擇後，Windows Update就不會安裝。</p> <p>另一名使用者則發現變更機碼可以解決這問題，用戶可以將以下機碼貼到管理員指令視窗：</p> <pre> HKLM\Software\Policies\Google\Chrome\DefaultBrowserSettingEnabled REG_DWORD=0</pre><p>不論是臭蟲或是微軟的新「功能」，這可能會阻撓用戶將Chrome設為預設瀏覽器的意願。Windows 11推出時加入了很令人傻眼的變更，用戶若未能在首次啟動Chrome或Firefox等其他瀏覽器時，按下跳出視窗的「永遠使用這個瀏覽器」的按鍵，預設瀏覽器就會變成Edge，之後要修改會非常複雜。經過用戶抱怨後，<a href="https://www.ithome.com.tw/news/150172" target="_blank">微軟3月間才又以釋出更新</a>，允許用戶一鍵變更Windows 11的預設瀏覽器。去年7月Google悄悄為Windows版Chrome加入一個按鍵，讓用戶可一鍵將Chrome設定為預設瀏覽器的功能。</p> <p>這或許是微軟另一個提升Edge市占的手法。<a href="https://www.ithome.com.tw/news/156709" target="_blank">微軟預告</a>，未來企業或消費版Windows上的Outlook及Teams開啟網頁連結，都會預設以Edge開啟網頁，無論用戶預設的瀏覽器選項為何。不過用戶仍然可以自己再變更。</p> </div></div></div>
2023/5/8 16:30作者林妍溱https://www.ithome.com.tw/news/156776
微軟修補了允許存取Azure資產、惡意檔案上傳的3項漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日修補了Azure API管理服務（Azure API Management）3項可能讓攻擊者存取Azure資產及上傳惡意檔案的漏洞。</p> <p><a href="https://ermetic.com/blog/azure/when-good-apis-go-bad-uncovering-3-azure-api-management-vulnerabilities/" target="_blank">3項漏洞是由安全廠商Ermetic發現並通報微軟</a>，包含2項伺服器請求偽造（server-side request forgery，SSRF）及1項檔案上傳路徑跨越（path traversal）漏洞，皆位於Azure API管理服務的開發人員入口網站（portal）上。Azure API管理服務是微軟Azure的多雲管理平臺，允許企業用戶將其API對內、外部客戶開放以實施各種連線服務。</p> <p>第1項漏洞發生在代理伺服器（CORS Proxy），是安全廠商去年11月12日通報，微軟於4天後修補完成。這類服務可使用額外CORS HTTP標頭，讓某臺使用者代理伺服器獲得權限，存取其他想要的網域伺服器資源。透過修改CORS HTTPOcp-Apim-Method HTTP標頭的參數值，以及輸入DNS，即可繞過防火牆黑名單，將Azure 內部資源解析到攻擊者控制的伺服器上。</p> <p>值得注意的是，第1項漏洞還是繞過微軟去年11月修補另一個很相似Azure驗證漏洞的結果。</p> <p>第2項漏洞則是位於Azure管理平臺的代管代理伺服器中的設定後端服務（set-backend-service）政策，該政策方便用戶經由前端下指令，來變更API配置指向後端資源URL的參數。透過從前端發送具特定verb/method的HTTP請求，研究人員得以濫用這漏洞，達成SSRF，存取Azure資源。</p> <p>第3項漏洞是位於API管理平臺的開發者入口網站，後者允許開發人員上傳檔案或圖片。這漏洞出在Azure並未驗證上傳檔案的類型及路徑，讓攻擊者得以上傳惡意檔案，以執行如DLL劫持、IIS Node配置調換（config swapping）等其他方法而造成執行程式碼。研究人員並提醒，這漏洞也影響開發人員自行管理的入口網站。</p> <p>3項漏洞都已由微軟修補完成。</p> </div></div></div>
2023/5/8 16:44作者林妍溱https://www.ithome.com.tw/news/156777
【資安週報】2023年5月2日到5月5日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一周的漏洞消息中，有4個主要焦點，首先是飯店、酒店、度假村等普遍使用的Oracle物業管理系統，有研究人員指出今年4月修補的一項漏洞嚴重性被低估，以及SLP協定漏洞恐被用於DDoS流量放大攻擊，影響平臺廣泛受注目，還有TBK Vision視訊監控畫面側錄設備傳出5年前的漏洞遭駭客鎖定攻擊的情況，並有思科針對伺服器管理系統Prime Collaboration Deployment的漏洞示警，預計5月釋出更新修補。</p> <p>在網路攻擊重要事件方面，有中國駭客組織Earth Longzhi利用新手法停用資安防護系統的揭露，由於臺灣、泰國、菲律賓是鎖定對象，因此備受關注；國際間還有塔吉克政府、電信、公共服務基礎設施遭網路攻擊的揭露，當地有499個系統遭設置後門，而其背後是俄羅斯駭客發動Paperbug網路間諜攻擊。</p> <p>在最新威脅焦點方面，假冒ChatGPT等AI工具散布惡意的情況有新的消息，光是今年3月就發現至少10個惡意軟體家族用此手法；AI技術複製聲音的威脅有竄升的跡象，如今正影響社會大眾，企業也須防範與BEC攻擊手法的混合。其他值得注意的消息，包括竊資軟體NodeStealer動向，惡意程式載入器AresLoader鎖定Citrix用戶情況，以及駭客使用雙重DLL測載手法試圖逃避資安檢測的揭露。</p> <p>另外值得警惕的資安消息是，本周傳出美國許多銀行、政府組織、醫療服務供應商使用Salesforce卻有錯誤配置情形，導致未經身分驗證的使用者也能存取資源。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/156667"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月2日】俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊</span></strong></a></h3> <p>在開戰期間，俄羅斯駭客頻頻針對烏克蘭發動網路釣魚攻擊，他們大多假借提供有關戰爭情勢、空襲警報的資訊來做為幌子，但現在這些駭客假扮成組織的IT人員，宣稱要收信人執行電腦更新的名義來進行情資收集的工作，而很有可能讓收信人信以為真，照著對方的指示操作。</p> <p>新的勒索軟體病毒出現，也值得留意。最近研究人員揭露名為Rapture的勒索軟體，並指出其罕見的手法，有別於許多勒索軟體為了讓加密檔案流程更順利，會在加密檔案之前會停用各種處理程序，Rapture則是先偵察防火牆政策、PowerShell版本等措施來進行。</p> <p>隨著烏克蘭戰爭進行超過1年，已有針對衛星網路攻擊的事故，相關的資安議題也開始受到重視。在近日舉行的太空產業資安展（CYSAT）上，歐洲太空總署（ESA）徵求研究人員進行演練，結果資安業者Thales的研究員成功展示了相關攻擊手法。</p> <h3><a href="https://www.ithome.com.tw/news/156694"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月3日】中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制</span></strong></a></h3> <p>在繞過防毒軟體偵測的手法當中，近期駭客最常用的管道之一，就是利用含有弱點的驅動程式檔案，進行自帶驅動程式攻擊（BYOVD）。但在近期中國駭客組織的攻擊行動裡，出現了新的手法——駭客竄改Windows系統的登錄機碼，濫用Image File Execution Options（IFEO）機制來癱瘓防毒軟體。</p> <p>自微軟去年下旬祭出新措施，封鎖Office應用程式執行來自網際網路的巨集，有許多駭客組織改以捷徑檔案（LNK）做為散布惡意程式的管道，北韓駭客組織APT37也不例外，但特別的是，這些駭客使用的LNK檔案都非常大（動輒10 MB以上），而有可能導致防毒軟體不予處理。</p> <p>在疫情大爆發的期間，不少企業、組織緊急建置Salesforce伺服器來因應遠距辦公需求，但如今傳出這類伺服器存在不安全配置的情況，而有可能讓攻擊者存取其中儲存的使用者資料。</p> <h3><a href="https://www.ithome.com.tw/news/156575"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月4日】NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項</span></strong></a></h3> <p>美國國家標準與技術研究所（NIST）提出了網路安全框架Cybersecurity Framework（CSF），已經成為組織建構整體安全防護網的重要參考，去年8月我們注意到NIST正舉辦CSF 2.0版討論，就開始注意改版動向，如今相隔9個月，NIST CSF 2.0版草案終於釋出，受到各界關切。</p> <p>上個月Oracle發布季度安全更新，但近期有資安研究人員指出，Oracle修補Opera物業管理系統的其中一個漏洞，要特別重視，因為其風險層級只被評為中級，但研究人員認為應該是滿分10分的重大漏洞，因此呼籲使用該產品的廣泛飯店業者儘速修補。</p> <p>自去年來，Passkey無密碼登入屢屢成為焦點，如今Google宣布，Google帳戶已經支援Passkey登入，可提升用戶帳號登入安全與便利，在科技大廠的帶動下，預期也將帶動更多網路服務業者能夠支援，以因應網釣攻擊威脅持續加劇的現況，給予用戶更好的保障。</p> <h3><a href="https://www.ithome.com.tw/news/156594"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月5日】有越來越多資安威脅透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當</span></strong></a></h3> <p>駭客透過臉書廣告來散布惡意程式的情況，在今天有數則與此相關，值得注意的是，除了資安業者的警告，Meta資安團隊也證實這類攻擊行動升溫的現象，他們看到多起攻擊行動裡，駭客都運用了臉書等社群網站來為惡意軟體「宣傳」。其中，駭客打著大型語言模型（LLM）ChatGPT的名號來發動網路攻擊裡，研究人員在今年3月就看到10個惡意軟體家族的攻擊行動，而且，過程中會濫用社群網站和搜尋引擎廣告。</p> <p>攻擊者運用臉書帳號、惡意廣告的情況，也相當值得留意。資安業者Groupt-IB發現，駭客利用假冒臉書或Meta的客戶，濫用臉書個人檔案、廣告貼文來進行網釣攻擊的情況，於今年2月開始顯著增加，而他們的目標是從名人帳號下手，進而挾持更多使用者的臉書帳號。</p> <p>VMware桌面虛擬化平臺再度傳出成為攻擊目標！資安業者AhnLab揭露鎖定南韓能源產業而來的挖礦攻擊，駭客利用的弱點，很可能就是這些虛擬化平臺Tomcat元件的Log4Shell漏洞。</p> </div></div></div>
2023/5/8 10:05作者羅正漢https://www.ithome.com.tw/news/156758
AI開發新語言Mojo速度可比Python快35,000倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創公司Modular AI發布新程式語言<a href="https://www.modular.com/blog/a-unified-extensible-platform-to-superpower-your-ai">Mojo</a>，官方提到，該語言同時擁有Python的可用性，以及C語言的效能。由於Mojo能夠直接存取人工智慧運算硬體，因此運算效能大幅超越Python，在執行特定的演算法，Mojo甚至能夠比Python快35,000倍。</p> <p>人工智慧非營利研究組織Fast.ai創辦人，同時也是Modular AI顧問的<a href="https://www.fast.ai/posts/2023-05-03-mojo-launch.html">Jeremy Howard解釋</a>，當Mojo最終完成時，將相當於Python的嚴格超集，他認為，Mojo可能是近十年最大的程式語言進步。</p> <p>Swift語言創始人Chris Lattner自曝因為工作環境有毒的原因，在2021年離開Swift核心團隊。他在2022年1月時與Tim Davis共同創立Modular AI，目標是開發人工智慧系統開發平臺，希望能從根本改進人工智慧的程式開發性、可用性、可擴展性以及運算方式。</p> <p>針對這項目標，現在Modular AI針對人工智慧應用，開發了程式語言Mojo。官方提到，Python雖然是一個強大的語言，也支援各種人工智慧研究，但可擴展性是Python最終無法在生產中使用的主要問題，Python難以被用在大型工作負載，也無法在邊緣裝置中順暢執行，生產環境的人工智慧終究還是需要使用C++以及CUDA等其他語言。</p> <p>這樣的狀況導致人工智慧軟體環境碎片化，降低人工智慧應用從研究階段，進入生產階段的速度，進而減少了人工智慧開發人員的生產力。</p> <p>Mojo建立在現代編譯技術之上，其具有類型設計，大幅增加程式的執行速度，也讓開發者能夠定義零成本抽象，並且擁有類似Rust語言的記憶體安全性。特別的是，Mojo還擁有自動調校（Autotuning）和編譯時後設程式開發（Compile-Time Metaprogramming）功能。自動調校會在程式編譯過程，自動最佳化程式效能，而編譯時後設程式開發則允許程式在編譯階段時，對其自身結構和行爲進行調整，生成更高效的程式碼。</p> <p>受益於Modular的高效能Runtime，且充分應用MLIR（Multi-Level Intermediate Representation）技術，Mojo能夠直接操作各種人工智慧硬體，像是存取執行緒、TensorCores和AMX擴充等低階硬體功能，官方提到，在執行像是Mandelbrot這類演算法，Mojo比Python快35,000倍。</p> <p>即便Mojo與Python有不少區別，但是官方稱使用Mojo就像是Python一樣。開發者可以在Mojo上使用Python的函式庫，包括Numpy、Pandas、Matplotlib，甚至是現有的其他Python程式碼。Mojo非常靈活，開發者不需要重新編譯框架或是編寫任何C++或CUDA程式碼，就擁有執行核心融合（Kernel Fusion）、圖重寫（Graph Rewrites）以及形狀函式（Shape Functions）等能力。</p> <p>Mojo是Modular AI的一個正式的專案，所有Modular核心也都以Mojo編寫，官方表示，這也是Modular模組化推理引擎高效能和高可移植性的原因。</p> </div></div></div>
2023/5/8 10:54作者李建興https://www.ithome.com.tw/news/156729
Angular 16添加新回應式開發模型，並強化Hydration功能提升程式效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動與桌面網頁應用程式開發框架Angular釋出第16個主要版本，這個版本的主要更新，包括開發團隊引入全新的回應式（Reactive）程式開發模型Angular Signals，並且改良Hydration功能，進一步提升頁面載入效能，以及在CLI添加以esbuild為基礎的高效建置系統。</p> <p>Signals現在於<a href="https://blog.angular.io/angular-v16-is-here-4d7a28ec680d">Angular 16</a>進入開發者預覽階段，官方表示，這個新的回應式開發模型，能夠大幅提升程式效能和開發者體驗，並且與當前系統保持相容以及互通性。Signals透過在變更偵測的過程中，減少計算的次數，達到更好的執行效能，而且由於Signals回應式心智模型更簡單，無論是應用程式的相依關係圖還是資料流，都變得更容易理解。</p> <p>Signals提供更精確的回應性，能夠僅檢查受影響的元件變更，且在變更偵測周期，不需要重新運算便可使用計算屬性，也就是說，新回應式模型提供的計算屬性，不會在每次變更檢測周期中重新計算。</p> <p>計算屬性是根據其他屬性或是資料來源的值，動態計算得到的屬性，過去Angular變更偵測機制，在應用程式狀態發生變化時，Angular會走訪所有綁定的屬性，重新計算所有相關表達式，因此當一個計算屬性仰賴多個變數，即是這些變數沒有發生變化，計算屬性也會重新計算，這對大型應用程式的效能會有明顯的影響。</p> <p>而在Angular新的回應式模型中，加入signal、computed和effect三種基本類型，計算屬性僅會在相依的訊號或是屬性變化時才會重新計算，在變更偵測周期中不重新計算所有計算屬性，如此便可提高應用程式的效能。Signals回應式程式開發模型，也能夠降低對Zone.js的依賴，透過使用訊號就能通知框架模型發生變化。Zone.js提供了一種區域機制，可用於封裝和攔截瀏覽器中非同步活動。</p> <p>開發團隊也加強了Angular中的伺服器端渲染以及Hydration功能，以提升應用程式的效能。Hydration是指當網頁先經伺服器端渲染生成靜態HTML，交由客戶端瀏覽器接管後，使其成為一個完全可互動單頁應用程式的過程。</p> <p>開發者現在可以在Angular v16中，使用一個稱為非破壞性Hydration的強化Hydration功能，這使Angular客戶端不用再重頭開始渲染應用程式，而是在建置內部資料結構時，查詢現有DOM節點，並將事件監聽器直接附加到這些節點上，如此使得伺服器渲染的內容，在客戶端Hydration的時候得以保留。不重新渲染整個應用程式的優點，除了提升45％的效能之外，頁面也不會出現閃爍，進而提升用戶體驗。</p> <p>Angular團隊還在CLI工具中添加esbuild建置系統，以提升建置速度，在初期測試中，對生產應用程式的冷建置，改進速度可達72％。</p> </div></div></div>
2023/5/7 19:13作者李建興https://www.ithome.com.tw/news/156745
零售IT雙周報第15期：搶攻OMO出新招，美國最大家居電商推室內設計體驗工具，就像玩卡牌遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0423~0506)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO購物</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#室內設計模擬</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#卡牌遊戲</span></strong></span></p> <p><strong>家具展場變成卡牌遊戲，美國最大家居裝潢電商OMO出奇招，顧客能直覺的嘗試不同設計、光線及觀看角度</strong></p> <p>美國最大家居與裝潢電商 Wayfair推出了一個室內設計模擬機臺。這個機臺由一個智慧桌面、數疊卡片及螢幕組成，神似一座卡牌遊戲機臺。消費者只需要擺設不同的圖卡在智慧桌面上，便能同步於螢幕看到高解析度的模擬陳設。<img alt="" src="https://s4.itho.me/sites/default/files/images/waif2.png" style="width: 600px;" /></p> <p>市面上常見的室內裝潢模擬系統，通常要用手機觸控螢幕或鍵盤滑鼠操作。相較來說，Wayfair機臺使用圖卡來操作更直覺且更自由。舉例來說，若消費者希望對調兩個家具的擺設位置，鍵盤滑鼠式操作下，需要先刪掉其中一個家具、移動另一個家具、調整角度、搜尋到本來被刪掉的家具、重新佈署到模擬空間中，才能完成。圖卡式操作下，只要把兩張圖卡對調就能完成。</p> <p>消費者還可以移動鏡頭卡和天氣卡，來調整鏡頭角度跟遠近、房間樣式、天氣、光線等，感受同一種家具陳列在不同條件下的樣貌。Wayfair表示，家具素材擬真度相當高，若拉近鏡頭，甚至能看到布料材質或木頭上漆的細節。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/waif3smo.png" style="width: 600px;" /></p> <p>這個機臺目前試營運於美國麻州一家家具行中。若店鋪現場沒有機臺圖片上的家具，這些圖卡上也附有連結到電商產品頁的QR code，引導消費者回到線上通路下單。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/waif6.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨平臺電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂單管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#出貨管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#貨物分配管理</span></span></strong></p> <p><strong>精誠資訊</strong><strong>推出電商管理工具，能管理跨電商平臺進出貨、銷售情況，並自動化控制庫存配給</strong></p> <p>精誠資訊推出一個電商訂單管理工具OneEC，能串接企業ERP或WMS來管理庫存及商品數量，並一站式管理跨電商的訂單及出貨、監控多電商平臺的銷售狀況，再依照銷售情況控制庫存配給。此工具支援許多臺灣常見電商平臺，如蝦皮購物、Momo、PChome、Yahoo、東森購物、91App、Shopline、Cyberbiz、Shopify、Line禮物、Easystore等通路。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/oneec.png" style="width: 600px;" /></p> <p>企業若於多通路上架商品，通常會由不同組別人員來管理。這是因為，不同電商平臺的後臺操作方法、行銷策略、商品定位及組合、文件格式，都有所不同。這也導致，企業難以管理跨通路銷售狀況，甚至會出現不同通路為了競爭業績，而互搶庫存的情況。平時行銷檔期錯開就不會有有太影響，但到了雙11節這種全通路都在大力促銷的檔期，跨通路庫存分配優化就會成為重要課題。</p> <p>精誠表示，OneEC能匯入不同電商平臺訂單資訊，並將訂單內容拆分為SKU等級的銷售資訊，彙整出跨通路銷售分析報告，來協助企業管理不同平臺的庫存配給，甚至自動化建議配給量。來減少跨通路營運組別協調和上報的溝通成本，更快依照銷售狀況作出反應。</p> <p>除了管理訂單資訊，OneEC還可以一站式管理不同電商平臺的物流工作，如出貨、取消出貨、贈品設定、物流追蹤等。未來，更要推出一站式上架商品功能，以及開放第三方開發商功能上架。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ERP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#連鎖餐飲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂單管理</span></span></strong></p> <p><strong>iChef針對小型餐飲商家展店需求，新增門市訂貨管理及串接雲端ERP功能</strong></p> <p>餐飲科技商iChef針對小型連鎖餐飲企業推出門市訂貨管理功能及串接Oracle NetSuite雲端ERP，兩項付費功能。</p> <p>iChef觀察，小型連鎖餐飲業分店向總部下原物料單時，常用通訊軟體進行，難以有效管理，且常常需要來回溝通。甚至，由於餐飲業人員流動率高，分店負責下單的員工很可能不熟悉下單規則，導致訂單錯誤或溝通成本極高。因此，他們推出一個簡單的訂貨管理產品，提供更系統化管理分店下單的選項。</p> <p>訂貨管理功能的運作模式是，建立一個類似外送平臺的訂貨網站，由餐飲商家總部設定訂貨規則跟規格，例如最低訂單量、商品單位等。此網站能根據庫存量來限制下單量，自動整合分店訂單以統一向供應商下單，自動產生明細並完成收付款。iChef表示，這個產品功能相當基礎，也不涉及與供應商的系統串接，旨在降低小型商家導入及學習門檻。</p> <p>另一項功能則是開放串接Oracle NetSuite雲端ERP，管理食材、訂單、財務、會計、人事等事務。iChef表示，這項功能是針對餐飲業者擴大經營後，伴隨而來的系統化企業管理及法令遵循需求。</p> <p>從去年9月推出「總部系統」開始，iChef近月不斷鎖定小型連鎖餐飲商家推出新功能。根據iChef調查，餐飲業者展店意願相當高，86%原本就有多家店面的業者有意持續展店、單家店面業者也有54%計畫展店。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#超商物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#物流追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#取貨流程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#會員數據</span></span></strong></p> <p><strong>超商物流再進化，全家推出150網購平臺包裹貨態追蹤功能，並新增快取條碼支援商家</strong></p> <p>全家便利商店於自家會員App中推出跨平臺包裹動態查詢功能，支援蝦皮、Momo、PChome等150個電商平臺。除此之外，他們還擴大了App快取條碼功能支援範圍，未來各式0元包裹都能不出示證件，刷取App條碼取貨。</p> <p>過往，這些功能大多只支援全家店到店包裹功能，或全家自家開店平臺包裹。現在開放到外部生態圈，不僅說明全家積極將自身4,000多家分店通路優勢發揮於電商物流，也意味著全家開始歸戶會員的外部電商消費數據。去年9月更新POS機時，全家數位科技暨企劃部部長陳盈州曾說，未來希望POS機可以自動提醒會員包裹到貨。這次包裹追蹤功能更新，等於朝著這個目標邁進了一步。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路行銷</span></span></strong></p> <p><strong>91App推出AI文案生成功能，能根據簡短關鍵字產出適合不同行銷通路的行銷文案</strong></p> <p>臺灣開店平臺91App推出「一鍵文案」功能，利用ChatGPT來生成商品介紹或行銷文案。商家只要輸入活動或商品關鍵字，再選擇語系、語氣、表達風格、自動發送管道，AI便會根據輸入內容生成文案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/91aiap.png" style="width: 600px;" /></p> <p>這個功能支援的行銷管道有推播、簡訊、Line訊息及Email。AI生成內容時，也會考慮不同發送管道性質，同時生成不同長度的文案。商家預覽完訊息，便能直接發送，若不滿意，則能用同樣的設定讓AI生成不同版本，或是微調生成文案後發送。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#分散式物流</span></strong></span></p> <p><strong>Walmart加大發展電商力道，翻新電商網站及App介面，且表示2026年過半物流訂單履行要用自動化設備輔助</strong></p> <p>全球零售業者龍頭Walmart翻新了App跟網路介面，排版和內容更接近社群媒體App，呈現出更多主打商品和Call to action內容，商品分類主題也更活潑。相較來說，舊版本介面比較方正，呈現的內容也較空泛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wmnew.png" style="width: 600px;" /></p> <blockquote><p>Walmart電商首頁介面翻新前（左）後（右）比對</p> </blockquote> <p>與此同時，Walmart在一場投資人會議中，揭露了他們未來訂單履行的政策方向，要以實體商店兼作訂單履行中心，且要將自動化設備導入店舖及物流中心，預計2026年，Walmart 65%商店會有自動化設備，55%物流訂單履行會用自動化設備輔助。這與近月他們大規模裁員物流中心職員的舉動，意圖不謀而合，都是要提升電商訂單履行效率，一方面利用實體店鋪網絡降低送貨時間，另一方面導入自動化設備來提升撿貨包貨等高重複性工作，並節省人力成本。</p> <p>從前端電商介面翻新，到後端訂單履行效率提升，都說明Walmart有意持續積極開發電商商機。2022年Q4，他們電商營收增加了17%，同一時期，電商龍頭Amazon的電商營收小幅衰退了2.3%。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI購物助理</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#購物諮詢</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化行銷</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群電商</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#BNPL </span></strong></span></p> <p><strong>從金融跨入電商，BNPL始祖Klarna在自家App中新增AI購物助理及各式電商新功能，來增加支付工具使用場景</strong></p> <p>相繼推出社群電商功能及比價工具後，先買後付（BNPL）始祖Klarna持續強化自家支付App的購物功能，來增加支付功能使用場景。這次，他們導入AI技術，來做自動化商品推薦，以及購物諮詢聊天機器人。除此之外，他們也新增了真人購物諮詢、社群創作者開店工具及二手市集。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/klarnap.png" style="width: 600px;" /></p> <p>雖然BNPL在國際市場相當火熱，作為始祖的Klarna卻積極發展自有購物通路，甚至是生態圈，來確保自家支付功能有足夠使用場景及誘因。例如這次App新增的二手市集功能，消費者只能上架用Klarna支付購買的商品。</p> <p>BNPL作為一個支付工具，商業模式通常是支付時向零售業者收取手續費。不過當支付工具自成一個強大的零售通路，恐怕會對原有零售市場帶來更複雜的影響和競爭關係。舉例來說，若Klarna消費者口袋占有率（占有消費者總消費金額的比例）大於其他零售業者，它就能持續深化經營與消費者關係，而排擠掉其他業者這麼做的機會。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. 開店平臺Cyberbiz東南亞站上線，現在商家能透過Cyberbiz在北美、日本、新加坡和馬來西亞開設電商。</p> <p>資料來源：iThome整理，2022年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Klarna、91App、精誠資訊、Walmart、Wayfair</p> <p></p> <p> </p> </div></div></div>
2023/5/6 22:42作者郭又華https://www.ithome.com.tw/news/156750
AI趨勢周報第214期：企業協作平臺Slack推出Slack GPT平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0428～0504)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Slack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Slack GPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>企業協作平臺Slack推出Slack GPT平臺，要讓工作流程更自動化</strong></span></p> <p>企業常用的協作溝通平臺Slack最近推出Slack GPT平臺，要助使用者整合各種生成式AI，來實現工作流程自動化。Slack GPT有3大特點，首先，使用者可用它直接整合、自動執行自己選擇的語言模型，不論是ChatGPT、Claude這類第三方App還是自建模型，都能在Slack GPT上整合使用。再來，Slack GPT提供一系列Slack內建AI功能，包括對話摘要和寫作輔助，其中，對話摘要功能在使用者切換頻道時，就會自動跳出。</p> <p><img alt="" src="https://d34u8crftukxnk.cloudfront.net/slackpress/prod/sites/6/Slack_GPT_Summarize.png" /></p> <p>此外，Slack GPT還提供一款新的Einstein GPT應用程式，可讓使用者觀看Salesforce Customer 360服務和資料雲服務所分析的消費者洞察。Slack還透露，今年晚些時候，使用者還能將生成式AI，即時帶入自己在Slack的自動化流程。也就是說，只要使用Slack的無程式碼自動化工具Workflow Builder，使用者就能在自己的工作流程中，增添生成式AI指令功能，來讓工作流程更自動化。<a href="https://slack.com/blog/news/introducing-slack-gpt">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> YOLO </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NAS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件偵測 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>最新物件偵測模型YOLO-NAS為何特別？開發者揭背後關鍵</strong></span></p> <p>YOLO系列模型一直是物件偵測的主流模型，最近又有新進展了。一家AI公司Deci日前<a href="https://github.com/Deci-AI/super-gradients/blob/master/YOLONAS.md">發表即時物件偵測模型YOLO-NAS</a>，宣稱準確度和速度都比過往YOLO系列模型要好，勝過YOLOv6、YOLOv7和YOLOv8。進一步來說，YOLO-NAS的基礎模型是由Deci自家神經架構搜尋器AutoNAC產生，這款神經架構搜尋器的特點在於，它可根據使用者需求，來快速生成兼具速度、準確度和高效能的自定義深度學習模型。Deci稱，該工具不只能根據資料和硬體等參數來尋找最佳架構，還能根據其他模型推理棧（如編譯器和量化）來尋找，在準確度與模型推論速度間取得平衡。</p> <p>YOLO-NAS採用COCO、Objects365和Roboflow 100等資料集進行預訓練，可良好執行各種下游任務。在Nvidia T4 GPU的條件下與其他SOTA模型相比，YOLO-NAS的吞吐量提高了50%，平均精度均值則提高1 mAP。目前，Deci已開源YOLO-NAS模型和預訓練權重，其預訓練權重可在Deci的PyTorch函式庫SuperGradients使用。</p> <p>不過，Deci共同創辦人Ran El-Yaniv指出，AutoNAC雖生成目前最好的YOLO模型，但他們知道，目前不會有一體適用的模型。因為，用相同的現成模型，在邊緣裝置上進行即時串流影片分析，並用雲端GPU來偵測物件，模型表現並不好。關鍵在於神經架構的設計，得兼顧影像解析度、物件大小、硬體屬性（如平行化能力、運算效率和記憶體緩存大小等），這是AutoNAC嘗試克服的挑戰。<a href="https://twitter.com/Saboo_Shubham_/status/1653784887990661121">（詳全文）</a></p> <p><img alt="" src="https://github.com/Deci-AI/super-gradients/raw/master/documentation/source/images/yolo_nas_frontier.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLaMA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenLLaMA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta的LLaMA很厲害但不開源，加州大學伯克萊分校不只復刻還開源了</strong></span></p> <p>加州大學伯克萊分校近日釋出一個大型語言模型OpenLLaMA預覽版，具70億參數，號稱是Meta的LLaMA復刻版。因為，團隊參照了LLaMA論文，採用相同的模型前處理和訓練方法，舉凡模型架構、文章長度、訓練步驟、超參數訓練方式、學習率排程和優化器等都與LLaMA相同，唯有資料集不同。</p> <p>進一步來說，他們採用的資料集是RedPajama資料集，該資料集也是仿LLaMA的訓練資料而建置，共有1.2兆多個Token。而目前釋出的7B OpenLLaMA模型，是採用資料集中2千億個Token訓練而成。為訓練模型，團隊也開發一套Jax訓練/微調流程EasyLM，並用雲端TPU-v4s來訓練OpenLLaMA。</p> <p>之後，團隊用語言模型評估工具lm-evaluation-harness來測試LLaMA、OpenLLaMA和GPT-J的表現。他們發現，OpenLLaMA的分數與LLaMA和GPT-J相當，甚至在某些任務上優於兩者。目前，開發者可在Huggingface社群中，找到Python和Jax版本的OpenLLaMA預訓練模型權重。同時，團隊也正訓練另外兩種OpenLLaMA模型，包括30億參數、較小型的模型，以及要用整個RedPajama資料集（含1.2兆Token）來訓練的大型模型版本，未來將釋出這兩種模型。<a href="https://github.com/openlm-research/open_llama">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gogolook </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-3.5 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融客服 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Gogolook用生成式AI打造金融客服機器人Roo AI</strong></span></p> <p>Gogolook主打金融諮詢服務，開發袋鼠金融平臺來協助民眾辨識網路上各種金融商品資訊，最近還推出GPT-3.5加持的AI智能問答服務Roo AI，回答內容更貼近臺灣消費者金融知識，還能從用戶提問內容中，找出可能導致用戶受騙的資訊，並提醒用戶。</p> <p>首先，團隊選用GPT-3.5作為回答生成模型。接著，為避免GPT模型給錯答案，團隊自建資料庫來訓練一套LLM模型，用了400萬字的金融文章和200多項金融商品的資料，來確保生成內容符合臺灣消費者金融需求。同時，Gogolook也用微調和嵌入2種方法來完善Roo AI問答模型，也就是說，在流程上，使用者輸入問題後，會先透過團隊自建的嵌入式上下文分析器，來比對搜尋自建的金融知識資料庫，找出匹配的文本內容，再連同提問文字轉為向量，將這些資訊輸入GPT模型，提高正確性。而模型產出的結果會搭配參考資訊，回傳給使用者。</p> <p>不只如此，團隊也用BERT的NLU語言模型，來處理斷詞、關鍵字，甚至是預先過濾提問中可能包含的不當或非法詞彙，並在後續回覆加註警示。目前，使用者向Roo AI提問時，平均需等待30秒到1分鐘左右，但該服務為beta版，有使用次數限制，團隊未來將透過用戶回饋持續調校優化LLM模型。<a href="https://www.ithome.com.tw/news/156566">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/pxl_20230425_024949765.jpg?itok=XhaRvvHr" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音助理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon和蘋果都要用LLM強化語音助理</strong></span></p> <p>在Google、微軟掀起大型語言模型（LLM）和聊天機器人服務競爭的同時，Amazon和蘋果也要開發LLM來改善各自的語音助理。<a href="https://seekingalpha.com/article/4597544-amazon-com-inc-amzn-q1-2023-earnings-call-transcript">Amazon執行長Andy Jassy日前表示</a>，Amazon將用LLM來改良Alexa，在既有底層模型上，再開發規模、能力和通用性都還要大的模型。</p> <p>同時，蘋果也傳有LLM改良Siri的計畫。<a href="https://www.nytimes.com/2023/03/15/technology/siri-alexa-google-assistant-artificial-intelligence.html">《紐約時報》指出</a>，蘋果近日舉行生成式AI、LLM相關的內部活動，特別是給Siri開發部門，且蘋果員工也正測試一些語言生成概念技術。《9to5Mac》則報導一個可能是蘋果Siri的初期LLM計畫，在近日釋出的tvOS 16.4中，包含一個名為Siri Natural Language Generation的軟體框架，顯示蘋果可能用LLM來在Apple TV上執行對話力更強的Siri。<a href="https://www.ithome.com.tw/news/156631">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 腦機介面 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文字 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>非侵入性腦機介面成功將大腦活動轉為文字</strong></span></p> <p>德克薩斯大學奧斯汀分校整合語言模型和功能性磁振造影（fMRI）技術，開發出一套系統，可將大腦活動轉為文字敘述，證明了非侵入性腦機介面的可行性。由於大腦每秒處理超過2個單字，現行fMRI還難以跟上大腦速度、連續解碼語言訊號，因此，團隊研發出一種能猜測候選單字序列的解碼器，可根據腦反應來評估每個候選序列的可能性，最終選出最佳序列，來處理連續解碼工作。</p> <p>為將單字序列與受試者的腦反應相比較，團隊還訓練一個編碼模型，來預測受試者大腦對自然語言短語的反應。測試時，每位受試者穿戴fMRI掃瞄器，聽16個小時的Podcast，研究團隊也用解碼器和語言模型GPT，來將受試者的大腦活動轉換成有意義的文字內容。雖然目前這項研究還在很初期的階段，但解碼器已能針對部分大腦刺激，正確解析出特定單詞，並生成意思相近的語句。<a href="https://cns.utexas.edu/news/podcast/brain-activity-decoder-can-reveal-stories-peoples-minds">（詳全文）</a></p> <p><img alt="" src="https://cns-main.imgix.net/sites/default/files/uploads/images/default/predictions_perceived.png?auto=format&w=900&q=50" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網頁設計 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟網頁設計工具和視覺設計工具再添生成式AI功能</strong></span></p> <p>繼在Office、Power System、Dynamic 365等產品加入AI助理Copilot後，微軟日前又在另一款協作產品<a href="https://techcommunity.microsoft.com/t5/microsoft-sharepoint-blog/sharepoint-in-the-ai-era-introducing-copilot-in-sharepoint-amp/ba-p/3806069">SharePoint中加入Copilot新功能</a>。SharePoint是一款能讓使用者設計網站和共享資訊的平臺，最近整合大型語言模型GPT和Microsoft Graph中的資料，使用者可在SharePoint對話框中，用文字描述網站或網頁，比如「建立一個給新任產品經理使用的員工介紹頁、外加公司logo和員工導覽」，它就能產生一個網頁原型，用戶可再一邊與AI助理對話，一邊調整要的動線或外觀。Copilot也可將現有文件轉變成SharePoint網頁，例如將一份無人機產品規格文件變成介紹網頁，並抓出其中特色成為網頁標題。</p> <p>此外，微軟視覺設計工具<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/04/27/microsoft-designer-expands-preview-with-new-ai-design-features/">Designer也加入新AI功能</a>，還整合到瀏覽器Edge的側邊欄工具中，並開放全面免費測試。微軟去年10月開始將OpenAI的文字轉圖像模型DALL-E整合到自家視覺設計工具Designer，來協助使用者設計社群平臺貼文、邀請函、電子賀卡等。現在，使用者只需輸入一個詞語，Designer的DALL-E模型就能生成數個配合貼文的圖片、小標或hashtag建議，來供選擇。</p> <p>其次，Designer也加入自訂和調整原有設計畫布大小的功能，並新增動態視覺元素，如動態背景、表情符號及具轉場效果的文字。微軟預告，未來Designer還會加入新AI功能，像是以物件填滿某個圈起的部位、擴大背景填滿圖片、從圖片中塗抹掉某個物件，並生成其他圖片取代、以及變更背景等。<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/04/27/microsoft-designer-expands-preview-with-new-ai-design-features/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/microsoft-365/blog/wp-content/uploads/sites/2/2023/04/Coming-Soon.webp" /></p> <p>圖片來源／Slack、Deci、Gogolook、德克薩斯大學奧斯汀分校、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 美國聯邦交易委員會主席呼籲規範生成式AI</strong></p> <p><strong>2. 微軟Bing Chat全面開放試用，強化圖表搜尋、自動化和外掛支援</strong></p> <p><strong>3. 吳恩達聯手OpenAI開設免費的ChatGPT Prompt Engineering課程</strong></p> <p>資料來源：iThome整理，2023年5月</p> </div></div></div>
2023/5/7 13:10作者王若樸https://www.ithome.com.tw/news/156751
搶攻金融科技低延遲交易需求，AMD推出FPGA網路加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_x3_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年8月，FPGA大廠賽靈思完成對網路卡廠商Solarflare的併購，隔年3月，結合該公司的FPGA晶片技術，以及Solarflare的 XtremeScale乙太網路控制器，推出SmartNIC網路卡Alveo U25，到了2022年，AMD於2月完成對賽靈思的併購，10月發表該公司第一款網路卡產品Alveo X3系列，是以更高速的FPGA晶片進行設計，可專攻低延遲存取的電子金融交易應用需求，不僅提供立即可用的網路連線能力，也能從硬體層級調整運算執行方式。</p> <p>此系列平臺的基礎是16奈米製程的Virtex UltraScale+ FPGA晶片，使其兼具多種特色，例如，是目前唯一基於FPGA而成的金融科技加速卡、存取延遲可達到-3等級、能即插即用、可自行設定資料路徑，提供4個10GbE埠與25GbE埠（初期支援10GbE，2023年支援25GbE），網路介面數量是上一代產品X2系列的兩倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Alveo X3522 Block Diagram.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522%20Block%20Diagram.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522%20blog.jpg" style="width: 546px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/X3522 and the X2522 Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X3522%20and%20the%20X2522%20Comparison.jpg" style="width: 400px;" /></a></p> <p>在產品款式上，Alveo X3系列提供兩種選擇，其中一款主打低延遲特色的網路卡，稱為Alveo X3522，可搭配軟體應用程式Onload的支援，而實現TCP、UDP、群播網路介面的作業系統核心旁路（kernel bypass），進而消除Linux網路堆疊造成的存取延遲，同時，這款網路卡也能支援TCPDirect這類主機型的作業系統核心旁路軟體應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20Kernel%20Bypass-1.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20Kernel%20Bypass-2.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/UDP%20Kernel%20Bypass.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Multicast%20Kernel%20Bypass.jpg" style="width: 298px;" /></p> <p>除此之外，Alveo X3522也能透過軟體升級的方式，而能以混合模式的狀態來運作，用戶可存取FPGA晶片本身的可程式化邏輯，此舉能就近提供運算卸載，可加速多種交易策略的執行，舉例來說，演算法開發人員可以運用賽靈思發展的統一軟體平臺Vitis，透過當中的數百種Vitis程式庫功能與組建模塊，以C或C++語言來設計外掛程式，也能使用整合式開發平臺Vitis HLS，從頭開始設計。</p> <p>Alveo X3系列另一款機型，是主打可隨需調整的加速運算卡Alveo X3522 PV，可搭配FPGA設計軟體Vivado，提供更完整的硬體可程式化環境，提供100萬張查詢表（Look-up Table，LUTs），能針對解決方案供應商的需求，使其能開發出高度自定的金融科技應用程式（Alveo X3522內建40萬張查詢表）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522PV%20Adaptable%20Accelerator%20Card%20photos.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522PV%20Adaptable%20Accelerator%20Card%20Block%20Diagram.png" style="width: 400px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Alveo X3522 models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Alveo%20X3522%20models.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>AMD Alveo X3系列<br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●機型：低延遲網路卡Alveo X3522、可調適加速卡Alveo X3522 PV<br /> ●外形：半高半長<br /> ●內建運算晶片：UltraScale+ XCUX35 FPGA<br /> ●內建記憶體：8GB DDR4<br /> ●提供網路埠：4個10/25GbE埠（SFP28）<br /> ●連接介面：PCIe 4.0 x8<br /> ●支援網路時間精確應用：IEEE 1588-2088（PTP v2）<br /> ●熱設計功耗：70瓦（X3522為35瓦，X3522啟用混合模式、X3522PV為70瓦）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/6 13:16作者李宗翰https://www.ithome.com.tw/review/156717
Cloud周報第174期：Google三年來雲端業務首度轉虧為盈，單季營收成長27.5%達74 億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（04/20～04/26）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資安 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP推出Security AI Workbench新服務，結合生成式AI技術強化企業資安防護</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-05-06%20%E4%B8%8A%E5%8D%8810_20_26.png" style="width: 600px; height: 280px;" /></p> <p>在2023年RSA大會，GCP發表以大型語言模型Sec-PaLM為基礎的雲端資安新服務Security AI Workbench，可透過AI生成內容，提供企業更全面的網路安全威脅趨勢的洞察與最新情資內容，以及網路安全維運資訊。</p> <p>Sec-PaLM是Google專為資安領域調整的大型語言模型。GCP表示，以Sec-PaLM為基礎打造的Security AI工作站，整合了旗下雲端資安產品，包括網路掃毒平臺VirusTotal和Mandiant威脅情報服務等。像是利用Sec-PaLM可從Mandiant網路威脅情資中快速查找並提供摘要，幫助企業應對各種資安威脅，還能以更有脈絡方式提供各種警示訊息，並即時反應給企業。而透過VirusTotal Code Insight也能使用該模型協助從腳本程式中更好地檢測可能是惡意攻擊行為。。</p> <p>除此之外，在網路安全維運作業上，資安維運人員現在也能使用嵌入Sec-PaLM模型的Security Command Center AI將複雜的攻擊意圖轉化為可讀性更高的說明，包括受影響的資產和建議的緩解措施。並透過Chronicle AI快速生成YA-L規則來執行威脅偵測或其他檢測結果。另外，GCP也在Assured OSS保證開源軟體服務中加入LLM模型，協助將更多開源軟體放進Google的OSS漏洞管理流程中。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Viva Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟在員工體驗平臺Microsoft Viva中整合Copilot的生成式AI功能</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-05-06%20%E4%B8%8A%E5%8D%8810_21_36.png" style="width: 600px; height: 360px;" /></p> <p>繼先前推出M365 Copilot生產力工具，微軟現在也把生成式AI助手Copilot帶進到員工體驗平臺Microsoft Viva中，藉此來提升員工在組織內參與度與績效表現。</p> <p>Viva中的 Copilot是以M365 Copilot系統為基礎所建置，同樣結合了大型語言模型，還有企業在Microsoft Graph和Viva應用程式中數據，讓不同部門主管可從Copilot生成內容中，加深對員工了解和增進與工作團隊的互動。像在Viva Goals中的Copilot，就能引導管理者制定目標和OKR的步驟，來簡化目標設定及組織的目標管理，還可根據Word文件提供OKR的草稿，並能通過OKR摘錄、識別阻礙因素，提供員工後續步驟的建議等。</p> <p>阿里雲未來除了將把該LLM模型導入到阿里巴巴的各項業務提升用戶體驗，如語音助理天貓精靈和即時通訊軟體釘釘等，未來還將推出大型語言模型即服務，讓企業和開發人員可以更低成本，來建立專屬的生成式AI模型，來滿足其所需功能和應用。</p> <p>在Viva Engage中，則能使用根據事先提供場景和故事情節對話，以Copilot生成一些鼓舞人心的講稿或文章發布，來協助領導階層凝聚團隊向心力。Copilot還可分析員工參與度指標、評估情緒並推薦回應。在Viva Learning 中，Copilot能根據員工角色量身打造所需的必要技能與教程培訓。</p> <p class="p2" style="margin: 0px 0px 18px 24px; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-kerning: auto; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; font-size: 13.5px; line-height: normal; font-family: BiauKai; color: rgb(0, 0, 0); min-height: 14px;"> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Alphabet </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud公布財報締造了74.5億美元的營收，3年來首度轉虧為盈</span></strong></p> <p>近日，Google母公司Alphabet公布今年第一季財報，顯示該季Google雲端部門終於成功獲利，盈餘1.91億美元，走出連年虧損的經營困境。這也是該公司自2020年揭露雲端營收以來首次單季盈利。</p> <p>根據財報指出，Google本季的雲端營收持續成長，從去年同期的58億美元，增加至今年的74 億美元，成長27.5%，不過去年，Google雲端部門的該季營收雖成長，但最終仍虧損，去年第三季虧損金額更從6.4億美元增加到7億美元，直到今年才終於獲利。</p> <p>雲端盈利較去年由負轉正也反映出，Google近年來在雲端產品布局和業務發展策略奏效。不過，該季雖有獲利，但營收成長幅度和前幾季相比有逐漸放緩的趨勢。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SaaS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Gartner預測明年全球公有雲支出仍將成長2成，達724億美元</span></strong></p> <p>根據市場研究機構Gartner近日公布數據顯示，今年全球終端使用者在公有雲服務上的支出，可望成長21.7%，達597.3億美元，Gartner也看好公有雲支出將持續成長，預估2024年在公有雲服務上的支出將增長21.3％，達724.6億美元。</p> <p>進一步來看今年整體雲端服務市場，以IaaS成長表現最亮眼，預估將獲得30.9%的增長，其次是PaaS，有24.1%的成長，至於SaaS，雖然只增加17.9％，但支出仍占雲端市場最大宗，達到1,970 億美元Gartner預測，到2026 年，75%企業將採用以雲端為基礎的底層平臺，加速推動其內部數位轉型。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端軟體開發 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS統一軟體開發和交付服務CodeCatalyst正式推出</span></strong></p> <p>去年AWS re:Invent年會，AWS發表了雲端統一軟體開發和交付服務CodeCatalyst，可協助開發團隊更快速在雲端開發和部署應用，不過一開始只有推出預覽版，直到最近，該服務終於全面上線。AWS表示，透過CodeCatalyst服務，可提供開發團隊在AWS環境中規畫、測試和部署應用所需的各種工具和資源，如Jira或GitHub等，以此來縮短雲端應用開發和建置時間。</p> <p>開發人員也能使用CodeCatalyst中的專案藍圖（Project Blueprints），建構環境與最初程式碼，幫助他們省下開發環境和CI/CD Pipeline等配置的時間，因此更能專注於業務邏輯程式碼的編寫，除了提升開發工作效率，也能簡化專案建立、維護和協作，並能以更自動化方式來管理這些應用軟體生命周期。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端顧問 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP跨入雲端顧問，推出可適用不同行業上雲的雲端諮詢服務</span></strong></p> <p>除了原本的雲端服務， GCP現在也從雲端顧問切入，推出雲端顧問諮詢服務Google Cloud Consulting，可提供不同行業上雲所需的諮詢服務，將提供學習、技術支援客戶管理到專業服務，來幫助企業加速雲端轉型。</p> <p>根據GCP說明，在這項諮詢服務方案中，不僅會有Google Cloud工程和顧問團隊提供協助，同時還有GCP合作夥伴加入，提供企業所需的諮詢服務，從上雲規畫、測試、執行搬遷到優化營運等。</p> <p>企業也能透過該服務方案來使用Google Cloud的AI/ML服務、數據平臺和安全服務，也會有技術客戶經理（TAM）提供建議和指導，Google Cloud還提供培訓與認證，讓企業可以學習新的雲端技能，培養創新學習文化。目前已有美國零售商Kroger和晶片製造商Broadcom採用。</p> <p> </p> <p>圖片來源／GCP、微軟</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.AWS的ML程式撰寫輔助服務CodeWhisperer正式上線，並提供開發人員免付費版本</strong></p> <p><strong>2.GCP私有預覽下一代Confidential VM，使用通用型N2D的AMD SEV-SNP機密運算技術強化硬體安全保護</strong></p> <p><strong>3.跟進Google、微軟與Amazon，紅帽將裁員4%，約750人</strong></p> <p><strong>4.中國騰訊雲透露自研串流影像處理晶片已進到量產階段</strong></p> <p><strong>資料來源：iThome整理，2023年4月</strong></p> <div class="notranslate" style="all: initial;"> </div> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/5/6 10:31作者余至浩https://www.ithome.com.tw/news/156712
Dell新款多節點伺服器搭配功能更強機箱，支援E3.S固態硬碟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_c6620_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伴隨著英特爾今年1月發表<a href="https://www.ithome.com.tw/tech/155638">第四代Xeon Scalable處理器</a>，Dell旗下模組化基礎架構平臺產品線的多節點伺服器PowerEdge C系列，也順勢推出新世代機型C6620。</p> <p>相較於前代機型C6520，C6620同樣是2U機箱可容納4臺2路運算節點的配置，最顯著的差異是搭配的英特爾Xeon Scalable處理器世代，整臺伺服器能提供的CPU核心最大數量，各為320個（40 x 2 x 4）與448個（56 x 2 x 4）；在記憶體配置方面，每臺運算節點皆可安裝16支DRAM，最大容量為4 TB，差別在於各自支援DDR4-3200、DDR5-4800；而在PCIe擴充介面的部分，C6520提供4個4.0插槽（3個x16、1個x8），可安裝2張熱設計功耗70瓦的GPU加速卡，C6620提供2個5.0 x16插槽，可安裝1張熱設計功耗70瓦的GPU加速卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell PowerEdge C6600_6500.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerEdge%20C6600_6500.jpg" style="width: 500px;" /></a></p> <p>值得注意的是，兩代產品搭配的機箱雖然高度同為2U，許多規格相近，但從細部項目來比較，可看出較大差異。</p> <p>以C6520而言，搭配的機箱款式是C6400，與再上一代的C6420相同，在硬碟組態上，兩種機型的C6400機箱，均提供無背板、直連12臺3.5吋硬碟，以及直連24臺2.5吋硬碟（若是NVMe固態硬碟需搭配2個通用埠）等3種配置選項，C6520採用的C6400機箱，額外提供支援24臺全部採用NVMe固態硬碟組態的背板，而電源供應器方面，兩種機型的C6400機箱支援1600瓦、2000瓦、2400瓦，C6520採用的C6400機箱，額外支援2600瓦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6400.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6400.jpg" style="width: 600px;" /></a> </p> <p>至於最新推出的C6620，搭配的機箱款式是C6600，外觀深度略減（從570.34公釐減為549.7公釐），硬碟組態有了較大調整：可搭配16臺2.5吋SATA、SAS或NVMe介面的傳統硬碟或固態硬碟，或是搭配8臺E3.S外形的NVMe固態硬碟，而不再提供3.5吋硬碟搭配選項；電源供應器的部分，可搭配1800瓦、2400瓦、2800瓦、3200瓦規格的元件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6520-Diskless1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6520-Diskless1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6520-2_5 HDD_SSD1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6520-2_5%20HDD_SSD1.jpg" style="width: 298px;" /></a></p> <p>或許是為了因應英特爾、AMD最新世代伺服器處理器，開始提供熱設計功耗比以往更高的CPU款式，需協助IT管理者掌握伺服器機箱運作狀態，以及提升伺服器系統的整體冷卻效率，顯然Dell也在C6600身上特別導入一些有別於以往的設計。</p> <p>例如，除了硬碟儲存背板支援的規格有所調整，C6600機箱還增添多個具有不同專屬功能的系統板，像是機箱管理板（Chassis Management Board，CM Board）、電力分配板（Power Distribution Board，PD Board）、結合LED顯示的控制面板／LED板（ear board）、中板（Midplane board）、散熱感測板（Thermal sensor board）。</p> <p>而在散熱風扇的部分，為了因應C6600本身支援無硬碟（Diskless）、8臺E3.S固態硬碟、24臺2.5吋硬碟等3種儲存組態，Dell在此也提供不同的設置方式。若採用前兩種組態，伺服器機箱前緣可搭配多臺80公釐的風扇，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6520-Diskless2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6520-Diskless2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6520-2_5 E3_S SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6520-2_5%20E3_S%20SSD.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-pec6600-diskless-ff.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/dell-pec6600-8xe3-s-ff.jpg" style="width: 298px;" /></p> <p>若是最後一種組態，不僅能在伺服器機箱前緣搭配多臺80公釐的風扇，還能在這之後的左右兩邊，分別設置2臺60公釐的風扇，並在機箱中間設置1臺40公釐的風扇。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6520-2_5%20HDD_SSD2.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/dell-pec6600-16x2-5-ff.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-pec6600-16x2-5-ff.jpg" style="width: 298px;" /></a></p> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>Dell PowerEdge C6620<br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸與組成架構：2U、4節點<br /> ●處理器：2顆，Intel第四代Xeon Scalable系列（最多56核心）<br /> ●記憶體：16個DDR5-4800插槽，最大可安裝到4TB<br /> ●硬碟容量：前端16臺2.5吋SATA/SAS/NVMe硬碟或8臺E3.S NVMe硬碟，內部1臺或2臺M.2 SATA固態硬碟（BOSS-N1 PCIe儲存卡）<br /> ●網路埠：1個GbE<br /> ●擴充介面：2個PCIe 5.0 x16，可安裝2張矮版半長GPU，插槽1可安裝1張矮版半長x16介面卡或1張矮版半長x8介面卡（SNAP I/O模組），插槽2可安裝1張x16矮版半長x16介面卡或或1張矮版半長x8介面卡；PCIe 4.0 x16，可安裝OCP 3.0外形網路卡<br /> ●電源供應器：3200瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/5/5 19:03作者李宗翰https://www.ithome.com.tw/review/156731
11款訂閱木馬程式溜進Google Play，波及62萬個裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡巴斯基（Kaspersky）本周揭露，<a href="https://securelist.com/fleckpe-a-new-family-of-trojan-subscribers-on-google-play/109643/" target="_blank">有11款夾帶新一代訂閱木馬程式Fleckpe的Android程式成功溜進了Google Play</a>，這些程式多半是照片編輯或是桌布等熱門程式，估計至少已被安裝在62萬個裝置上，大多數受害者位於泰國，但波蘭、馬來西亞、印尼與新加坡都有人受害。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-subscription%20Trojans-Fleckpe%20by%20kaspersky.png" style="width: 535px;" /></p> <p>分析顯示，當使用者啟用夾帶Fleckpe的行動程式時，它會載入一個高度混淆的原生程式庫，該程式庫內含一個下載器，可用來解壓縮及執行一個來自程式資產的酬載，該酬載即會與駭客所設置的C&C伺服器通訊，傳送受害裝置的資訊，諸如行動裝置國家代碼（MCC）與行動裝置網路代碼（MNC）等，辨識裝置的所在位置及所使用的電信服務。</p> <p>繼之該C&C伺服器即會回傳一個付費訂閱頁面，Fleckpe會利用一個不可見的瀏覽器開啟該頁面，並企圖替使用者執行訂閱，若需要輸入確認碼才能訂閱，Fleckpe也會自裝置的通知功能取得確認碼並完成訂閱程序。值得注意的是，這類的程式在安裝時便已向使用者取得存取通知的權限。</p> <p>使用者仍能正常使用這些惡意程式所描述的功能，但並不知道自己已經付費訂閱了服務。</p> <p>研究人員推測Fleckpe自2022年就開始運作，也看到許多不同的版本，最近的版本把絕大多數的訂閱程式碼從酬載移至原生程式庫，讓酬載只擔任攔截通知與檢視網頁的中介角色，以令安全工具更難偵測。</p> <p>由於Fleckpe內建了泰國的MCC與MNC代碼以進行測試，顯示它主要鎖定泰國市場，但遙測透露其它國家亦有使用者受害。</p> <p>卡巴斯基認為，愈來愈複雜的木馬程式設計讓它們閃過了程式市集的眾多安全檢查，而且很久才被發現，而受害者則通常是在收到帳單之後才察覺有異，這些都讓訂閱木馬成為駭客眼中用來賺進不法收益的可靠途徑。</p> <p>研究人員亦提醒，他們所發現的11個暗藏Fleckpe的惡意程式都已被Google下架，但或許有其它同樣植入Fleckpe的程式尚未被發現，建議使用者不要釋出不必要的權限予行動程式，也應安裝防毒產品以策安全。</p> </div></div></div>
2023/5/5 16:33作者陳曉莉https://www.ithome.com.tw/news/156741
蘋果營收下滑，但iPhone與服務銷售持續創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在周四（5/4）公布了該公司截至4月1日的2023財年第二季財報，該季蘋果創下了948.36億美元的營收，比去年同期下滑了2.5%，淨收入為241.6億美元，亦比去年下滑3.4%，不過，在Mac、iPad與穿載裝置營收持續下滑的時刻，蘋果的iPhone及服務業務營收雙雙創下新高。由於財報結果優於分析師預期，使得蘋果當天盤後股價上漲了2.49%，為169.92美元。</p> <p><a href="https://www.ithome.com.tw/news/156345" target="_blank">後疫情時代的PC出貨量已出現明顯下滑</a>，今年首季全球的PC出貨量平均下滑了3成，蘋果也不例外。<a href="https://www.apple.com/newsroom/pdfs/FY23_Q2_Consolidated_Financial_Statements.pdf" target="_blank">根據蘋果的財報</a>，該季的Mac營收為71.68億美元，下滑了31.3%。</p> <p>下滑的不僅是Mac，蘋果該季的iPad營收為66.7億美元，下滑12.7%，穿戴/家用/配件的營收為87.57億美元，微幅下滑0.6%。</p> <p>不過，蘋果前兩大營收支柱iPhone及服務的營收都是成長的。該季iPhone創下513.34億美元的營收，成長1.5%，服務營收為209.07億美元，成長5.4%。</p> <p><a href="https://www.apple.com/newsroom/2023/05/apple-reports-second-quarter-results/" target="_blank">蘋果執行長Tim Cook表示</a>，就算是在總體經濟環境不佳的狀況下，iPhone依然創下了第一季的新高，而服務營收則再度寫下新紀錄，該公司將持續進行長期投資，並以既有的價值觀馬首是瞻，包括在2030年以前打造碳中和的產品及供應鏈。</p> </div></div></div>
2023/5/5 16:51作者陳曉莉https://www.ithome.com.tw/news/156742
BigCode開放效能超越初代Copilot的程式碼生成模型Starcoder
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放科學協作組織BigCode選在星戰日，發布論文<a href="https://drive.google.com/file/d/1cN-b9GnWtHzQRoE7M7gAEyivY0kl4BYs/view">〈StarCoder : May the source be with you!〉</a>，並釋出150億參數的大型語言模型StarCoderBase，以及進一步為Python調校的<a href="https://huggingface.co/blog/starcoder">StarCoder</a>模型。</p> <p>兩個模型皆使用大量GitHub上的授權程式碼進行訓練，是目前所有開放程式碼生成模型中效能最佳的模型，甚至已經超過GitHub Copilot初期版本所使用的OpenAI code-cushman-001模型。</p> <p>ServiceNow研究院與Hugging Face所合作成立的<a href="https://www.bigcode-project.org/docs/about/mission/">BigCode</a>，是一個開放科學協作組織，該組織目標是負責任地開發程式碼生成大型語言模型。在2022年底，BigCode先釋出了一個僅有11億參數的高效能程式語言模型<a href="https://www.ithome.com.tw/news/154890">SantaCoder</a>，可生成和填充Python、Java與JavaScript程式碼。SantaCoder模型雖小，但效能已經比起擁有67億參數的InCoder，以及27億參數的模型CodeGen-multi還要好。</p> <p>StarCoderBase是更大型的程式碼生成模型，開發團隊使用大量的程式碼訓練，涵蓋80多種程式語言、Git提交、GitHub問題和Jupyter筆記本，模型總共從1兆輸入的文字單位（Token）中學習。開發團隊另外用350億個Python Token微調，生成StarCoder模型。</p> <p>StarCoder模型的優點之一，是可以處理比其他大型語言模型更多的輸入，可以接受高達8,000個Token，而這將能支援更多樣的應用，像是經過一系列的對話指示，便可使StarCoder成為技術助理。而StarCoder也能勝任一般程式碼生成模型所能達成的任務，像是自動完成程式碼，遵循指令修改程式碼，以及用自然語言解釋程式碼片段等。</p> <p>開發團隊將StarCoder與類似模型，以Python基準測試HumanEval進行測試，了解StarCoder與其他模型在能力上差異。實驗發現，雖然無論是StarCoderBase還是StarCoder，模型規模都較PaLM、LaMDA和LLaMA小得多，但是表現卻更好，並且也能比Salesforce CodeGen-16B-Mono和OpenAI code-cushman-001模型生成更好的結果。</p> <p>由於StarCoder是一個多語言模型，因此開發團隊也使用MultiPL-E基準測試進行比較，在多語言上，StarCoder表現比OpenAI code-cushman-001模型更好，並在資料科學DS-1000基準測試上，擊敗其他開放存取模型。</p> </div></div></div>
2023/5/5 16:56作者李建興https://www.ithome.com.tw/news/156740
【資安日報】5月5日，有越來越多惡意軟體透過ChatGPT的名義散布，1個月內就有10個惡意軟體家族藉此引誘使用者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客透過臉書廣告來散布惡意程式的情況，在今天有數則與此相關，值得注意的是，除了資安業者的警告，Meta資安團隊也證實這類攻擊行動升溫的現象，他們看到多起攻擊行動裡，駭客都運用了臉書等社群網站來為惡意軟體「宣傳」。其中，駭客打著大型語言模型（LLM）ChatGPT的名號來發動網路攻擊裡，研究人員在今年3月就看到10個惡意軟體家族的攻擊行動，而且，過程中會濫用社群網站和搜尋引擎廣告。</p> <p>攻擊者運用臉書帳號、惡意廣告的情況，也相當值得留意。資安業者Groupt-IB發現，駭客利用假冒臉書或Meta的客戶，濫用臉書個人檔案、廣告貼文來進行網釣攻擊的情況，於今年2月開始顯著增加，而他們的目標是從名人帳號下手，進而挾持更多使用者的臉書帳號。</p> <p>VMware桌面虛擬化平臺再度傳出成為攻擊目標！資安業者AhnLab揭露鎖定南韓能源產業而來的挖礦攻擊，駭客利用的弱點，很可能就是這些虛擬化平臺Tomcat元件的Log4Shell漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://engineering.fb.com/2023/05/03/security/malware-nodestealer-ducktail/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">偽裝ChatGPT或類似AI工具的網路攻擊頻傳，Meta發現3月就有10個惡意軟體以此作為誘餌</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ChatGPT-malware-site.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ChatGPT-malware-site.png" style="width: 300px; float: right;" /></a>駭客利用時下熱門的ChatGPT話題來散布惡意軟體，近期有越來越頻繁的現象，但這樣的情況有多嚴重？</p> <p>Meta的資安團隊指出，他們光是在2023年3月，就發現約有10個惡意軟體家族打著這類名號來發動攻擊，在其中1起事故當中，研究人員看到駭客建立了惡意瀏覽器擴充套件並上架於官方市集，聲稱提供ChatGPT打造的工具，然後透過社群網站及搜尋引擎的廣告引誘使用者上當。</p> <p>針對這樣的現象，臉書已封鎖超過1千個以ChatGPT為誘餌的惡意URL，並將相關情資與其他同業分享。此外，研究人員看到這些駭客不光是使用ChatGPT，也有利用Google Bard、抖音市場行銷客服等名義的攻擊行動。</p> <p><a href="https://www.group-ib.com/blog/meta-phishing-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">冒充Meta技術支援團隊的釣魚攻擊暴增，資安業者查獲3,200個臉書網頁、個人檔案以此行騙</span></strong></a></p> <p>資安業者Group-IB提出警告，他們在今年2月、3月，看到駭客大肆設置假的臉書帳號或是貼文，假借Meta或是臉書的客戶服務進行詐騙，目的是存取公眾人物、名人、企業的臉書帳號。</p> <p>他們看到3,200個用於此種詐騙的臉書帳號或是貼文（其中在3月發現1,200個臉書帳號），並找到約220個仿冒Meta或臉書網頁的釣魚網站，駭客先是從前述的臉書個人資料及貼文，引誘使用者於釣魚網站輸入帳密資料，攻擊者就有可能挾持他們的連線階段（Session）及Cookie資料，進而入侵這些用戶的臉書帳號。而能夠存取這類帳號之後，攻擊者就有機會以此入侵其他臉書帳號。</p> <p><a href="https://engineering.fb.com/2023/05/03/security/malware-nodestealer-ducktail/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體NodeStealer鎖定臉書、Gmail、Outlook帳密而來</span></strong></a></p> <p>Meta的資安團隊於2023年1月下旬發現竊資軟體NodeStealer的攻擊行動，該惡意程式鎖定Windows電腦的網頁瀏覽器，目的是竊取Cookie來擷取用戶的帳號密碼，其中的主要目標是受害者的臉書、Gmail、Outlook帳號。</p> <p>根據研究人員的分析，此竊資軟體是採用JavaScript編寫而成，且捆綁了Node.js環境，背後的駭客組織疑似來自越南。駭客通常將此惡意程式偽裝成PDF或XLSX檔案，檔案大小介於46 MB至51 MB。</p> <p>研究人員指出，此惡意程式檔案容量如此龐大的原因，在於駭客一併打包了整個Node.js環境與所有的第三方相依套件。</p> <p><a href="https://blog.cyble.com/2023/04/28/citrix-users-at-risk-aresloader-spreading-through-disguised-gitlab-repo/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器AresLoader被用於散布多種攻擊工具</span></strong></a></p> <p>資安業者Cyble揭露名為AresLoader的惡意程式載入器，駭客將其用於散布多種惡意軟體，在其中一起攻擊行動裡，駭客透過名為citrixproject的GitHub儲存庫，散布此惡意程式載入器，一旦此軟體入侵受害電腦，就有可能在電腦植入LummaStealer、IcedID等惡意程式。</p> <p>研究人員認為，駭客的GitHub儲存庫如此命名應該不是巧合，很有可能是因為他們的目標是Citrix用戶。</p> <p><a href="https://asec.ahnlab.com/en/51568/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南韓能源組織的VMware桌面虛擬化平臺、Oracle Weblogic伺服器遭駭客組織8220鎖定，散布挖礦程式XMRig</span></strong></a></p> <p>資安業者AhnLab揭露駭客組織8220的攻擊行動，此組織專門針對南韓能源產業而來，利用Log4Shell漏洞入侵VMware Horizon伺服器，然後部署挖礦軟體XMRig，他們根據事件記錄資料，駭客透過此虛擬化系統的處理程序ws_tomcatservice.exe，執行PowerShell命令碼。</p> <p>研究人員指出，這些駭客也會對於其他漏洞發動攻擊，例如，今年的1月至2月，8220也針對Oracle Weblogic的漏洞下手，並於目標伺服器植入惡意程式ScrubCrypt，最終也將其用於挖礦。</p> <p><a href="https://www.bleepingcomputer.com/news/security/1password-explains-scary-secret-key-and-password-change-alerts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理系統1Password服務出現異常，該公司表示並非資安漏洞造成</span></strong></a></p> <p>密碼管理系統1Password的用戶最近發現一些奇怪現象，引發是否出現資安事故的爭議，因為當這些人登入自己的帳號時，突然出現意外的錯誤訊息，指出使用者的密鑰或是密碼近期出現變更，要求他們輸入新的資料才能存取。上述怪異情況，導致用戶懷疑該系統遭駭而恐慌。</p> <p>對此，該公司表示這些異常與4月27日的例行資料庫維護有關，於美國東部時間（EST）上午9時3分至26分，造成其服務中斷，而前述的錯誤訊息來自該公司位於美國的伺服器，起因是他們遷移後端資料庫，造成同步請求大幅增加而出現拒絕登入的現象。該公司技術長Pedro Canahuati強調，這起事故並非資安事件，使用者的資料也沒有受到影響。</p> <p><a href="https://www.fortiguard.com/outbreak-alert/tbk-dvr-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客運用5年前的TBK Vision視訊監控畫面側錄設備漏洞發動攻擊</span></strong></a></p> <p>資安業者Fortinet針對TBK Vision視訊監控畫面側錄設備（DVR）提出警告，近期駭客透過已經公開的概念性驗證（PoC）攻擊程式碼，攻擊存在漏洞CVE-2018-9995的視訊監視器，駭客發出惡意的Cookie，使得這些設備會透過JSON格式的管理員帳密進行回應，攻擊者得以繞過身分驗證流程並取得受害裝置的管理者權限，進而能夠存取監視器影像來源，CVSS風險評分為9.8，影響DVR4104、DVR4216等型號的機種，以及透過Novo、Cenova、QSee等廠牌銷售的同款設備。</p> <p>研究人員在今年4月，看到超過5萬次嘗試利用上述漏洞的攻擊行為。值得留意的是，截至目前為止，TBK Vision是否發布了修補程式仍不明朗，使得研究人員呼籲企業應考慮更換仍受到支援的機種，或是將這些DVR與網際網路隔離。</p> <p><a href="https://www.prodaft.com/resource/detail/paperbug-nomadic-octopus-paperbug-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">塔吉克政府高層、電信業者、公共服務基礎設施遭俄羅斯駭客攻擊，至少有499個系統遭設置後門，發起Paperbug網路間諜攻擊</span></strong></a></p> <p>資安業者Prodaft揭露俄羅斯駭客組織Nomadic Octopus（亦稱DustSquad）攻擊行動Paperbug，駭客約自2020年開始，鎖定塔吉克的政府高層、電信業者、公共服務基礎設施下手，假借提供加密通訊軟體Telegram安裝程式的名義，對OT設備散布Windows惡意軟體Octopus、Paperbug。</p> <p>駭客先是設法得到電信業者的網路存取權限，然後橫向移動到政府機關，或是其他含有漏洞的OT設備。截至2022年1月，此駭客組織入侵了499個系統並設置後門，這些系統包含了政府機關的網路設備、加油站、收銀機等。</p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/cyber-threat-advisory/dog-hunt-finding-decoy-dog-toolkit-via-anomalous-dns-traffic/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">DNS惡意軟體工具包Decoy Dog鎖定組織的網路設備而來</span></strong></a></p> <p>資安業者Infoblox揭露名為Decoy Dog的RAT木馬程式工具包，駭客利用此工具包於美國、歐洲、南美洲、亞洲國家發動攻擊，目標涵蓋了科技、醫療照護、能源、金融等產業（其中1個目標是美國國防部），在部分攻擊行動裡，該工具包能夠與駭客位於俄羅斯的C2主機進行通訊。</p> <p>研究人員自4月上旬，在數個企業網路裡發現木馬程式Pupy的攻擊行動，此木馬程式是針對防火牆等網路設備而來，受到感染的企業會發出特定的DNS查詢，而該木馬程式正是來自工具包Decoy Dog。研究人員指出，此工具包具有獨特的DNS簽章，DNS請求的執行有固定的週期且不甚頻繁等特性。</p> <p>他們針對Decoy Dog所使用的網域進行分析，發現可根據DNS供應商、名稱伺服器、註冊商進行歸納，研判背後發起攻擊的駭客很可能陸續改變策略，或是有多個駭客組織在利用該工具包發動攻擊。</p> <p><a href="https://www.nbcnews.com/tech/security/students-psychological-reports-abuse-allegations-leaked-ransomware-hac-rcna79414"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國明尼蘇達州學區資料外洩，傳出學生心理報告流出</span></strong></a></p> <p>根據新聞網站NBC News的報導，美國明尼蘇達州明尼亞波里斯學區（Minneapolis Public Schools）今年年初遭到網路攻擊，在該學區證實遭到勒索軟體攻擊之後，3月駭客開始公布竊得的檔案。該新聞網站總共從駭客的Telegram頻道取得約20萬個檔案，並檢視其中的500個，值得留意的是，當中疑似包含了學生與教師的高度敏感文件，像是老師濫權的指控、學生的心理報告等。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://blog.google/technology/safety-security/continuing-our-work-to-hold-cybercriminal-ecosystems-accountable/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google切斷惡意軟體CryptBot的基礎設施</span></strong></a></p> <p>Google於4月26日宣布，他們取得法院的許可，封鎖用於散布竊資軟體CryptBot的網域。該公司指出，此竊資軟體主要針對Chrome瀏覽器的使用者而來，駭客假借提供Google Earth Pro、Chrome等應用程式的名義，引誘使用者下載遭到竄改的安裝程式，一旦使用者依照指示啟動安裝流程，電腦就會被植入惡意軟體，該公司估計去年約有67萬臺電腦受到感染。而對於攻擊者的身分，Google認為很可能來自巴基斯坦，且這些駭客經營跨國犯罪企業。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://flashpoint.io/resources/research/fp-2023-01-netgear-prosafe-network-management-system/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Netgear網路管理系統漏洞恐被用於提升權限、洩露帳密資料</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/brightline-data-breach-impacts-783k-pediatric-mental-health-patients/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">兒童心理健康諮商業者Brightline證實檔案共用系統GoAnywhere遭零時差漏洞攻擊，78萬人資料洩露</span></span></strong></a></p> <p><a href="https://www.theregister.com/2023/05/01/bitmarck_data_breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國IT服務業者Bitmarck遭到網路攻擊，關閉內部網路、客戶的系統</span></span></strong></a></p> <p><a href="https://www.securityweek.com/apple-releases-first-ever-security-updates-for-beats-airpods-headphones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果首度針對藍牙耳機發布安全更新</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/researcher-hijacks-popular-packagist-php-packages-to-get-a-job/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員挾持14個熱門Packagist套件，目的是為了求職</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156721">【5月4日】 NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156694">【5月3日】中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156667">【5月2日】俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊</a></strong></p> </div></div></div>
2023/5/5 12:24作者周峻佑https://www.ithome.com.tw/news/156736
多場全球IT大會5月接踵舉行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年的5、6月，向來是各大IT廠商舉辦年度活動最頻繁的時段，今年更是如此。以5月第二週而言，國內有<a href="https://cyber.ithome.com.tw/2023/news" target="_blank">2023臺灣資安大會</a>，國外有Black Hat Asia 2023、Intel Vision 2023、IBM Think 2023、Nutanix .NEXT 2023、Google I/O 2023，第三週有PTC LiveWorx 2023，第四週有Dell Technologies World 2023、Microsoft Build 2023、Red Hat Summit 2023，以及ISC 2023，到了月底，則有2023台北國際電腦展押陣。</p> <p>因為全球COVID-19疫情已過，各國都已解除管制，因此，許多IT廠商的年度大型會議都改以實體參與為主，少數仍保留線上虛擬場可免費參加，如Google I/O 2023、Microsoft Build 2023。</p> <p>縱觀這些年度IT大會或大型國際IT展覽，關於ChatGPT這類大型語言模型（LLM）的AI應用，必定是各廠商與眾人熱烈討論的話題，而對於企業與組織而言，除了瞭解各大廠商如何在既有解決方案採用這類技術，更想知道其他用戶的看法，以及實際運用AI輔助與自動化處理的經驗分享。</p> <p>而在資安防護領域方面，臺灣資安大會今年已堂堂邁入第9屆，預計邀請總統蔡英文、美國在台協會高階長官，以及美國前國土安全部長暨美國加州大學柏克萊分校政治安全中心創辦人Janet Napolitano進行開幕致詞，總共有超過300家資安品牌參展。同一週在新加坡舉行的Black Hat Asia 2023，是亞洲重要的國際年度資安會議之一，屆時也將有許多研究人員與廠商發表他們的最新觀察分析。</p> <p>而在IT系統平臺的部分，首先讓我們期待的是英特爾Vision大會，該公司今年1月終於發表最新一代伺服器處理器平臺，再加上2022年下半陸續推出的多款資料中心GPU，以及基於FPGA與ASIC平臺的基礎架構處理器（IPU），針對這些運算晶片的發展現況與技術應用，以及設置在資料中心、邊緣運算等場域的作法，應有更深度的剖析介紹。</p> <p>而以超融合基礎架構（HCI）而聞名的Nutanix，過去幾年主打企業雲（Enterprise Cloud）平臺的應用，而現在面臨多雲、混合雲當道的趨勢之下，大家除了關注他們如何突顯與發揮本身優勢，充分支援各種應用與資料存取的需求，以及提供更多部署彈性，能否與當前熱門的AI應用接軌，也成為此類平臺能否繼續受到企業與組織青睞的關鍵。</p> <p>而因為ChatGPT走紅而受益的微軟，在今年的Build開發者大會期間將介紹的技術，也是令大家相當期待的部分。</p> <p>事實上，他們與OpenAI合作，在2021年10月推出GitHub Copilot，到了今年，2月在搜尋引擎Bing與瀏覽器Edge當中，提供網頁Copilot功能，3月陸續揭露用於工作場合的Microsoft 365 Copilot，以及針對資安分析應用需求的Microsoft Security Copilot，在5月的活動當中，他們應該會宣布更多具有Copilot這類AI輔助操作功能的解決方案。</p> <p>除此之外，身為全球三大公有雲業者之一的微軟Azure，也必定這場該公司上半年最大的活動當中，公布在Azure、Microsoft 365等雲端平臺上的最新技術進展。</p> <p>而在5月底、6月初的台北國際電腦展，目前已知Nvidia、Qualcomm、NXP、宏碁、Supermicro、Arm等多家廠商，都將舉行主題演講，並舉行4大論壇：元宇宙—次世代應用論壇、晶片與半導體-先進技術峰會、晶片與半導體-先進應用論壇、科技永續-創新實踐論壇，囊括高效運算、智慧應用、次世代通訊、超越現實、創新與新創、綠能永續等六大主題，總共有1,000家國內外廠商參展，也是臺灣解除COVID-19疫情國境管制，首次回歸實體型態進行的國際資訊產品科技交流，再次向全球展示關鍵科技的進展，以及與全球市場需求接軌的技術創新。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%80%85%E7%9A%84%E8%A9%B1-0">編者的話</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2023/5/5 13:31作者李宗翰https://www.ithome.com.tw/voice/156738
Airbnb將推出超過50項新功能，以房客為出發點提供更好的體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Airbnb近日對其網站進行了一<a href="https://news.airbnb.com/2023-summer-release/">系列改版</a>，將於今年夏天全部釋出。這些改版包括擴展房源類別、提供更多房東資訊、改善地圖、分期付款等。</p> <p>Airbnb指出這些改變多數來自他們的<a href="https://community.withairbnb.com/t5/Community-Center/ct-p/community-center">社群</a>。其中擴增房源的客房類別，多達61種，例如豪華別墅、特色民宿、青年旅舍、湖景、樹屋，其中有一個類別為OMG，房屋形狀非常有特色，有像帆船、火車、外星人等。同時他們也重新設計了篩選功能，並增加了新的隱私功能。</p> <p>許多Airbnb房東在展示房間的價格後，會有許多額外的費用，例如清潔費、服務費等，因此現在新增展示全額（Display total price）的功能，當你把它開啟所看到的金額已經是房間的錢加上額外費用（稅前）。另外，旅行結束離開前，也多了詳細的指示教導房客什麼樣check out符合屋主的期待。付款方面，Airbnb與Klarna近期合作讓美國和加拿大的房客若訂房超過$500美金，將可以分4期免利息。</p> <p>過去，Airbnb是一種讓當地人擔任東道主出租自己的房間，讓旅人能在旅行中找到經濟實惠的住所，同時也能與房東結識，交新朋友和了解及體驗當地人的生活。現在Airbnb宣告他們推出了新的理念，他們以房客需求為主，房客希望在預訂住宿前更多地了解房東，因此Airbnb的每間客房都配有房東護照（Host Passport），房東護照會有更多個人資訊，包括房東的頭像、姓名、工作、興趣、評論等，讓房客更一目了然地在預訂住宿前能有更完整的資訊評估房東的可靠性和專業性。</p> </div></div></div>
2023/5/5 12:18作者洪予揚https://www.ithome.com.tw/news/156735
法庭審理科技大變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1128-feng_mian_-open-zhi_hao_-guo_min_fa_guan_fa_ting_-960x420_kao_bei_.jpg?itok=p3EDH1FE" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國民法官新制上路，不僅代表司法改革的重要一步，更是法院創新的科技試驗場，結合AI實現的新型態法庭審理模式，更快、更流暢，這是司法科技變革朝向智慧法庭發展的第一步</p> </div></div></div>
2023/5/5 13:04作者余至浩https://www.ithome.com.tw/article/156737
國民法官法庭幕後關鍵科技大剖析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong><span style="font-size:18px;">導入語音辨識技術的國民法官法庭，主要有八大區，首先走進法庭的作證發言臺，為證人接受法官與雙方當事人的提問處，接著是國民法官參審臺，依法負有全程參與審判的任務。再來是法官庭審臺，是職業法官處理開庭過程事宜的位置。第四站是檢方詰問區，則是起訴原告的位置，接著對面是辯方詰問區，則是被告席及其辯護人的位置。下一站開庭記錄區，主要由書記官透過語音辨識系統即時記錄所有發言者內容，以製作筆錄。再來是卷證傳遞區，主要負責提示證據資料的任務。最後是國民法官備位區，則是國民法官不能執行職務時的遞補區。</span><span style="font-size:16px;">（下圖為非實際開庭過程，而是法庭現場的模擬示範）</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (1)作證發言臺 </span> </strong></span></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／司法院</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-1.png" style="width: 600px;" /></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (2)檢方詰問區 </span></strong></span></span></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-2.png" style="width: 600px;" /></strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (3)國民法官參審臺 </span></strong></span></span></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-3.png" style="width: 600px;" /></strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (4)法官庭審臺 </span></strong></span></span></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-4.png" style="width: 481px;" /></strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (5)卷證傳遞站 </span></strong></span></span></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-5.png" style="width: 484px;" /></strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (6)開庭記錄區 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-6(1).png" /></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (7)辨方詰問區 </span></strong></span></span></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-7.png" style="width: 428px;" /></strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> (8)國民法官備位區 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-8.png" /></p> <p class="rtecenter"><span style="font-size:36px;"><span style="color:#B22222;"><strong>開庭記錄數位化新突破</strong></span></span></p> <p><span style="font-size:18px;"><strong>傳統法庭筆錄的記錄方式，通常是書記官在法庭上打字進行記錄，但常常因為發言者的語速過快而無法跟上，只能以摘要式記錄或透過委外轉譯完成記錄。但現在在國民法官法庭中，採用語音辨識來進行筆錄記錄，將語音轉成文字後直接寫入系統中。這種方法，不僅能夠更完整地記錄所有開庭過程，還能更快地印出紙本，以供法官評議使用。</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 紀錄1 </span></span> <span style="color:#3399ff;">啟動辨識</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-2A(2).png" style="width: 467px;" /></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>所有參與人員在法庭臺上發言時，系統會自動啟動語音辨識，根據麥克風設備的收音位置，全程記錄發言者的說話內容，並即時將其轉換成文字格式的筆錄寫入系統中。</strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 紀錄2 </span></span></strong><strong style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"> </span> </strong><span style="color:#3399ff;"><strong>當庭逐字記錄</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-2B.png" style="width: 450px;" /></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>在法庭上，系統會自動逐句辨識所有的語音內容，將說話者的發言逐字逐句轉化為文字，以確保所有內容都被一字不漏地記錄下來。相較於傳統的人工打字摘要式記錄，這種方法能夠更加完整地記錄開庭活動的過程。</strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 紀錄3 </span> </strong></span><span style="color:#3399ff;"><strong>輔助編修筆錄</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-2C.png" style="width: 450px;" /></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>發言者口述內容經過辨識後，書記官需要當場逐一確認其正確性，以製作開庭筆錄。系統會自動偵測並移除過多不必要的詞語（如「嗯」、「啊」等贅詞），並會自動學習校正一些法庭較少見的用詞，協助書記官進行編修。</strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 紀錄4 </span></span> <span style="color:#3399ff;">紙本快速匯出</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C-2D.png" style="width: 444px;" /></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>修改完的電子筆錄可快速匯出，以便檢辯雙方在開庭結束後立即取得紙本筆錄，不必等待。評議時也可作為國民法官和法官的重要參考資料。</strong></span></span></p> <p class="rtecenter"><span style="font-size:36px;"><span style="color:#B22222;"><strong>法官量刑決策輔助的關鍵工具</strong></span></span></p> <p><span style="font-size:18px;"><strong>量刑是審判過程最重要環節之一，需由職業法官和國民法官共同決定被告有罪後應受到的刑罰程度。為協助國民法官們參與量刑過程，司法院推出AI輔助量刑資訊系統，相較於過往法官使用的量刑資訊系統，新系統改用AI標註量刑因子，更容易取得標記的裁判資料以進行分析，這套系統將成為國民法官量刑評議的重要參考。</strong></span></p> <p class="rtecenter"><span style="font-size:22px;"><strong><span style="font-size:28px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 量刑1 </span></span></span> <span style="font-size:28px;"><span style="color:#3399ff;">用系統輔助法官評議</span></span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C3A.png" style="width: 532px;" /></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>國民法官參與量刑時，即使缺乏對於過去同類案件的量刑範圍的充分認識，例如需要進行傷害致死罪的量刑評估時，可利用司法院AI輔助量刑資訊系統，協助其參與量刑過程，並作出更公正的評估。</strong></span></span></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><span style="background-color:#3399ff;"> <strong>量刑2</strong> </span> </span></span><span style="font-size:22px;"><span style="font-size:28px;"><span style="color:#3399ff;"><strong>輸入個案量刑因子</strong></span></span></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:18px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C3B.png" style="width: 600px;" /></strong></span></span></p> <p><span style="color:#696969;"><span style="font-size:18px;"><strong>使用者輸入個案的事實內容，如適用法條、緩刑、加重減輕等犯罪因子，系統就能搜尋過往實務相關判決的量刑情形，並提供結果供查詢者參考。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px; text-align: center;">圖片來源／司法院</span></p> <p class="rtecenter"><strong><span style="color:#FFFFFF;"><span style="font-size:28px;"><span style="background-color:#3399ff;"> 量刑3 </span> </span></span></strong><span style="font-size:28px;"><span style="color:#3399ff;"><strong>自動產生統計圖表</strong></span></span></p> <p class="rtecenter"><span style="color:#3399ff;"><span style="font-size:18px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B3%95%E5%BA%AD%E5%85%A8%E8%B2%8C3C.png" style="width: 503px;" /></strong></span></span></p> <p><span style="font-size:18px;"><span style="color:#696969;"><strong>經由查詢後，國民法官可以在系統中查看與個案相近的判決案件數量、平均刑期和量刑區間等資訊，同時也能依據刑期長短，觀察這些案件判決量刑的分布情況。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px; text-align: center;">圖片來源／司法院</span></p> <p><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="text-align: center;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span></span><span style="font-size:22px;"><span style="text-align: center;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/156737" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a></span></strong></span></span><span style="color:#FFFFFF;"><span style="font-size:22px;"><span style="text-align: center;"><strong><span style="background-color:#3399ff;"> </span></strong> <a href="https://www.ithome.com.tw/article/156737" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1128-feng_mian_-open-zhi_hao_-guo_min_fa_guan_fa_ting_-960x420_kao_bei_.jpg?itok=p3EDH1FE" style="width: 550px;" /></a></span></span></span></p> </div></div></div>
2023/5/5 13:04作者余至浩https://www.ithome.com.tw/news/156716
法庭語音辨識應用大圖解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong>司法院在國民法官法庭首次引進AI語音辨識技術，打造出專用於支援法律專業詞彙的語辨引擎，最多可辨別近20人的發言，平均正確率高達92%。使用這項技術，當庭即可快速產出逐字筆錄。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-1.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">製作法庭筆錄有兩套系統，一套是語辨逐字稿系統（如圖左），可逐句在螢幕上顯示文字，接著將這些文字拋轉到另一套筆錄系統中（如圖右），方便書記官進行編修。從這項應用中可歸納5大特色。</span></strong></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色1 </span></span> <span style="color:#3399ff;">專用法庭語辨引擎</span></strong></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-%E7%89%B9%E8%89%B21.jpg" style="width: 426px;" /></p> <p><span style="color:#696969;"><strong>為了在語音辨識中更準確地識別法律專用詞彙，司法院的中文語音辨識引擎使用超過1千萬筆裁判書和約180萬筆開庭筆錄，作為AI訓練資料，以優化語意模型和聲學模型。在國民法官模擬法庭測試中，準確度達92%。</strong></span></p> <p class="rtecenter"><strong style="font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色2 </span></span> </strong><strong><span style="color:#3399ff;"><span style="font-size:28px;">近20人同步語辨</span></span></strong><br /> <a href="https://s4.itho.me/sites/default/files/files/%E6%9B%BF%E6%8F%9B%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B8%E6%B3%95%E9%99%A2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-%E7%89%B9%E8%89%B22A.jpg" style="width: 600px;" /></a></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／司法院</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-%E7%89%B9%E8%89%B22B.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>這套語音辨識系統最多可支援19人的發言，即使在辯論中遇到兩人同時說話，也能正確識別。這有助於避免在法庭辯論中因多人發言或插話而遺漏記錄。此外，審判長可以控制每個角色的麥克風狀態，來啟用或暫停語音辨識功能。</strong></span></p> <p class="rtecenter"><strong style="text-align: center; font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色3 </span></span> </strong><span style="font-size:28px;"><span style="color:#3399ff;"><strong>案件專用語自動微調</strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#3399ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-%E7%89%B9%E8%89%B23A.jpg" style="width: 600px;" /></strong></span></span></p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#3399ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-%E7%89%B9%E8%89%B23B.jpg" style="width: 600px;" /></strong></span></span></p> <p><span style="color:#696969;"><strong>針對不同專業領域的案件，司法院審判系統會在開庭前一晚定時上傳語音辨識預學習檔案至語辨引擎，並以此訓練一個語意小模型，與原本的語意主模型配合使用。這樣可提高對該案件涉及的人名、公司名稱等關鍵詞彙的辨識正確率。書記官也可手動輸入關鍵字或上傳檔案（如起訴書），來進一步優化語辨效果。</strong></span></p> <p class="rtecenter"><strong style="text-align: center; font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色4 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>逐字稿一鍵影像回放</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-%E7%89%B9%E8%89%B24.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>不需要直接操作錄影回放系統，透過筆錄系統可將每段發言內容逐字記錄下來，並記錄相應的時間戳記，需要時就能迅速切換到指定錄影時間位置，查看該時段的發言或提示卷證的影像片段，還可以選擇不同視角進行觀看，以供庭上當事人或審判人員確認。</strong></span></p> <p class="rtecenter"><strong style="text-align: center; font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色5 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>離線語音辨識模式</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%89%96%E6%9E%90-600-%E7%89%B9%E8%89%B25.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><strong>司法院語音辨識主機已經放置在國民法官法庭的資訊機房中，就算遇到法院與司法院無法連網時，辨識服務也能正常運作。此外，系統設計上具有高容錯和高可用（HA），當主機發生故障時，系統會自動切換至備援服務。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span></span><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156737" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a></span></strong></span></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong> <a href="https://www.ithome.com.tw/article/156737" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1128-feng_mian_-open-zhi_hao_-guo_min_fa_guan_fa_ting_-960x420_kao_bei_.jpg?itok=p3EDH1FE" style="width: 550px;" /></a></span></span></span></p> </div></div></div>
2023/5/5 13:05作者余至浩https://www.ithome.com.tw/news/156691
【司法院AI未來應用1：語音提示卷證】審判長未來能用語音查詢提示證據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:18px;"><strong>在刑事審判程序中，證據提示是調查證據程序中不可缺少的重要環節之一，在審判中提示卷證，不但可以確認犯罪證據存在，也可以藉由檢示證物是否存有提出者原本所要表達的內容，被告才能有效行使防禦權。而傳統人工提示流程是由審判長告知需提示的電子卷證頁碼或報告，再由法助操作電腦翻到相應的頁數，最後以投影方式提示證據。</strong></span></p> <p><span style="font-size:18px;"><strong>然而，當需要提示的證據數量眾多時，這樣的方式可能需要花費不少等待時間，造成審理時間的延長。為了解決這個問題，新的語音查詢提示流程，由審判長自行使用語音命令操作電子卷證，就能以此開啟相應的卷證資料，還可以語音控制放大局部畫面來查看細節，以便將提示書狀及證據公開投影於大螢幕上，供庭上所有人檢視，有效提高開庭效率。目前內部實測，辨識出語音查詢指令的正確率達80％以上。</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#008000;"> 傳統人工提示流程 </span> </span><span style="color:#008000;">口頭通知提示內容</span></strong></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%87%89%E7%94%A81%EF%BC%9A%E8%AA%9E%E9%9F%B3%E6%8F%90%E7%A4%BA%E5%8D%B7%E8%AD%89-%E5%82%B3%E7%B5%B1%E4%BA%BA%E5%B7%A5%E6%8F%90%E7%A4%BA%E6%B5%81%E7%A8%8B1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在卷證電子化後，通常仍需要審判長當庭口頭告知需要提示（意指提出來展示）的卷宗或證物，然後由法助或通譯負責執行提示的相關操作。</strong></span></p> <p class="rtecenter"><strong style="font-size: 28px; text-align: center;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 128, 0);"> 傳統人工提示流程 </span></span></strong><span style="color:#008000;"> <span style="font-size:28px;"><strong>手動完成電腦操作</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%87%89%E7%94%A81%EF%BC%9A%E8%AA%9E%E9%9F%B3%E6%8F%90%E7%A4%BA%E5%8D%B7%E8%AD%89-%E5%82%B3%E7%B5%B1%E4%BA%BA%E5%B7%A5%E6%8F%90%E7%A4%BA%E6%B5%81%E7%A8%8B2.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color:#696969;"><strong>在提示電子卷證的過程中，需要法助或通譯透過滑鼠操作來點選電子卷證PDF檔案中的書籤或將卷證翻到對應的頁數，才能完成證卷提示。</strong></span></p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#ff3300;"> 未來語音查詢提示流程 </span> </strong></span></span><span style="color:#ff3300;"><span style="font-size:28px;"><strong>語音查詢PDF文檔 </strong></span></span><strong style="color: rgb(255, 51, 0); text-align: center;">(</strong><span style="color:#ff3300;"><strong>預計6月上線)</strong></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%87%89%E7%94%A81%EF%BC%9A%E8%AA%9E%E9%9F%B3%E6%8F%90%E7%A4%BA%E5%8D%B7%E8%AD%89-%E6%9C%AA%E4%BE%86%E8%AA%9E%E9%9F%B3%E6%9F%A5%E8%A9%A2%E6%8F%90%E7%A4%BA%E6%B5%81%E7%A8%8B1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在證據調查過程中，審判長可以透過語音指令來操作電子卷證檔案，例如說「請提示偵卷」，就能開啟相關對應的偵查卷證，或以語音搜尋特定頁數或名稱，快速完成證據提示，而無需使用滑鼠操作，因此更方便快速。</strong></span></p> <p class="rtecenter"><span style="text-align: center; color: rgb(255, 255, 255);"><span style="font-size: 28px;"><strong><span style="background-color: rgb(255, 51, 0);"> 未來語音查詢提示流程 </span> </strong></span></span><span style="color:#ff3300;"><span style="font-size:28px;"><strong>快速縮放畫面供檢視 </strong></span></span><strong style="color: rgb(255, 51, 0); text-align: center;">(</strong><span style="text-align: center; color: rgb(255, 51, 0);"><strong>預計6月上線)</strong></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%87%89%E7%94%A81%EF%BC%9A%E8%AA%9E%E9%9F%B3%E6%8F%90%E7%A4%BA%E5%8D%B7%E8%AD%89-%E6%9C%AA%E4%BE%86%E8%AA%9E%E9%9F%B3%E6%9F%A5%E8%A9%A2%E6%8F%90%E7%A4%BA%E6%B5%81%E7%A8%8B2.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>除了使用語音指令查詢需要提示的證據內容外，審判長還可以透過語音控制放大局部畫面來查看細節，並將提示書狀及證據公開投影於大螢幕上，供庭上所有人檢視。</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span></span><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156737" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a></span></strong></span></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong> <a href="https://www.ithome.com.tw/article/156737" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1128-feng_mian_-open-zhi_hao_-guo_min_fa_guan_fa_ting_-960x420_kao_bei_.jpg?itok=p3EDH1FE" style="width: 550px;" /></a></span></span></span></p> </div></div></div>
2023/5/5 13:05作者余至浩https://www.ithome.com.tw/news/156692
【司法院AI未來應用2：裁判書文件自動生成】生成式AI走進法院，要讓法官製作裁判書更有效率！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:18px;"><strong>根據司法院的統計，刑事法官平均每月處理高達數十件以上的案件，除了開庭外，還需要耗費大量時間來製作裁判書。為了減輕法官的工作負擔，司法院開始試用生成式AI技術，來打造屬於法院自己的AI裁判書自動生成工具。該生成工具將可對應用酒駕、幫助詐欺、毒品案件三種犯罪類型，前兩種使用類似Google的T5模型，專用於處理文本到文本的Transformer架構的模型，來進行訓練產出一個通用的預訓練模型，再以此通用模型為基礎，在裁判書生成任務上進行模型微調。而後者則參考GPT-2版本、運用多項自然語言處理（NLP）、演算法與知識圖譜等技術而開發。為了訓練這些生成式模型，司法院運用大量裁判書和對應檢察官起訴書作為訓練資料，讓這些模型來學習不同法官的寫作風格，同時理解法官判決書中各段落對應的關係。因此以生成式AI模型產生的裁判書的草稿包含更多細節，例如起訴書的犯罪事實、判決理由等，這有助法官更快速地完成裁判書的撰寫。該服務預計年底前上線。</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 步驟1 </span></span> <span style="color:#3399ff;">選擇自動生成功能 </span></strong></span><strong style="color: rgb(51, 153, 255); text-align: center;">(預計年底上線)</strong><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E8%A3%81%E5%88%A4-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B8%E6%B3%95%E9%99%A2(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>法官未來製作原本（意指法官製作的裁判書）時，可從操作介面中選擇AI自動生成功能，即可自動產生有關該起案件的裁判書的草稿。這樣的設計可以節省法官製作裁判書所需的時間以及提高工作效率。</strong><span style="font-size:14px;">圖片來源／司法院</span></span></p> <p class="rtecenter"><strong style="font-size: 28px; text-align: center;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 步驟2 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>限制生成範圍 </strong></span><strong style="text-align: center;">(預計年底上線)</strong></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E8%A3%81%E5%88%A4-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B8%E6%B3%95%E9%99%A2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>在裁判書生成的過程中，法官可以透過指定生成條件來生成特定類型的內容，其中包括有罪或無罪、有無自白、適用法條、犯罪事實，以及既未遂等，此外，還能設定以程序法條或包含實體法條，作為據上論斷的依據，以更準確地生成裁判書的內容。</strong><span style="font-size:14px;">圖片來源／司法院</span></span></p> <p class="rtecenter"><strong style="text-align: center; font-size: 28px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 步驟3 </span></span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>調整符合個人風格 </strong></span></span><strong style="color: rgb(51, 153, 255); text-align: center;">(預計年底上線)</strong></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/＠圖檔：至浩-裁判-圖4.jpg" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E8%A3%81%E5%88%A4-%E5%9C%964.jpg" style="width: 310px;" /></a><a href="https://s4.itho.me/sites/default/files/files/＠圖檔：至浩-裁判-圖3-圖片來源-司法院.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E8%A3%81%E5%88%A4-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B8%E6%B3%95%E9%99%A2.jpg" style="width: 290px;" /></a></p> <p><span style="color:#696969;"><strong>與法官過去使用的裁判書空白例稿相比，生成式AI產生的裁判書的草稿包含更多細節，例如起訴書的犯罪事實、判決理由等，這有助法官更快速地完成裁判書的撰寫，同時也可以根據個人寫作風格自由地調整內容。</strong><span style="font-size:14px;">圖片來源／司法院</span></span></p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span></span><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/156737" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a></span></strong></span></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="text-align: center;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong> <a href="https://www.ithome.com.tw/article/156737" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1128-feng_mian_-open-zhi_hao_-guo_min_fa_guan_fa_ting_-960x420_kao_bei_.jpg?itok=p3EDH1FE" style="width: 550px;" /></a></span></span></span></p> </div></div></div>
2023/5/5 13:05作者余至浩https://www.ithome.com.tw/news/156693
英國競爭管理機構開始調查AI市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/cma-launches-initial-review-of-artificial-intelligence-models" target="_blank">英國競爭與市場管理局（Competition and Markets Authority，CMA）周四（5/4）正式啟動對AI模型的初步調查</a>，主要是為了理解AI基礎模型的發展對競爭及消費者保護可能產生的影響。</p> <p>基礎模型（Foundation Model）指的是經由大量資料訓練的大型人工智慧模型，可適用於廣泛任務。CMA表示，AI的發展牽涉到許多重要議題，包括安全、著作權、隱私、人權，以及市場運作的方式，不同的議題由不同的機關主導，CMA的目標是了解AI基礎模型可能替競爭及消費者所帶來的機會及風險，以制定相關的保護準則。</p> <p>CMA負責競爭與市場管理的Sarah Cardell表示，AI是個快速發展的技術，具備改變企業競爭及推動經濟成長的潛力，他們希望英國企業與消費者能夠享受此一技術的好處，但同時人們也應受到保護，不被不實資訊影響。CMA的宗旨是協助AI技術得以在確保開放、競爭及保護消費者的方式發展。</p> <p>因此，CMA對AI基礎模型的初步調查將包括相關模型的競爭市場及使用上的演變，進而探討這些情況對競爭及消費者保護所帶來的機會與風險，以用來制定相關的準則。</p> <p>在本周正式啟動調查後，各界將可於6月2日以前向CMA提出看法及證據，此一初步審查的報告則預計會在今年9月出爐。</p> </div></div></div>
2023/5/5 11:57作者陳曉莉https://www.ithome.com.tw/news/156734
Mozilla收購AI服務評價驗證服務商Fakespot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/fakespot-joins-mozilla-firefox-shopping-announcement/" target="_blank">Firefox開發商Mozilla宣布</a>收購驗證線上服務或商品假評價的AI技術供應商Fakespot，確保Firefox用戶免於詐騙網站之害。</p> <p>許多用戶在採購商品、App或服務時會參考線上評價，這也讓歹徒透過製造假評價偽裝詐騙網站或商品服務。成立於2016年的Fakespot是專門判別此類禍害的技術業者。該公司使用AI與機器學習（ML）系統偵測不同評價之間的相似性及特定模式，標示可疑評價。利用Fakespot的技術，用戶可以判別某產品是否利用評價灌水以拉抬在搜尋結果的排序。Mozilla表示，Fakespot可協助該公司提供優良廣告及商品推薦。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-fakespot%20analysis-2.png" style="width: 600px;" /></p> <p>Fakespot外掛支援Chrome、Firefox，也有iOS及Android版App。安裝Fakespot後，Amazon、Shopifly或其他電商網站外觀會變得有些不同，經由Fakespot分析的評價，並獲得評分及等級分類以提供用戶警示。</p> <p>在為Mozilla合併後，Fakespot公司團隊包括執行長Saoud Khalifah將加入Mozilla。Fakespot計畫持續支援所有主要瀏覽器及行動平臺，但另一方面，Fakespot未來也會整合進Firefox，協助用戶偵測不實評價和詐騙店家及服務，整合Fakespot功能的Firefox也很快會釋出。</p> <p>本次收購金額不詳。</p> <p>Mozilla偶有大型併購，例如2017年Mozilla則收購知名網頁收藏服務Pocket。<a href="https://techcrunch.com/2022/11/02/mozilla-launches-35m-venture-capital-fund-for-early-stage-responsible-startups/" target="_blank">去年11月Mozilla開始啟動</a>創投基金計畫，12月Mozilla即收購了狀態更新引擎供應商Pulse，後者技術可以圖示提供用戶待辦事項提醒。</p> <p>Firefox目前為第四大桌機瀏覽器。<a href="https://ithome.com.tw/news/1556685" target="_blank">根據市調公司StatsCounter的統計</a>，Firefox市占率為5.65%，落在Chrome、Safari、Edge之後。</p> </div></div></div>
2023/5/5 12:03作者林妍溱https://www.ithome.com.tw/news/156733
微軟Bing Chat全面開放試用，強化圖表搜尋、將增加自動化、外掛支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將近三個月前成功以封閉預覽版引起話題後，<a href="https://blogs.microsoft.com/blog/2023/05/04/announcing-the-next-wave-of-ai-innovation-with-microsoft-bing-and-edge/" target="_blank">微軟昨（3）日宣布</a>AI聊天機器人Bing Chat以公開預覽版開放大眾使用，並強化圖表搜尋及Edge撰寫功能，此外預告將增加多模搜尋、自動訂餐廳、匯出對話紀錄及支援第三方外掛的功能。</p> <p>微軟二月間推出以封閉預覽版整合OpenAI的GPT模型為基礎的Bing搜尋及聊天機器人Bing Chat，有興趣的用戶必須加入等候清單才能試用較完整的功能，<a href="https://www.ithome.com.tw/news/156055" target="_blank">三月底並為Bing與Edge加入AI圖像生成工具Bing Image Creator</a>。昨日微軟宣布移除等候清單，任何人只要以微軟帳號登入Bing，就能使用整合AI功能的Bing和Edge瀏覽器。</p> <p>微軟消費者部門行銷長Yusuf Mehdi指出，上線三個月以來Bing每日經常性用戶超過1億人，Bing手機版App安裝數量成長4倍。用戶以Bing Image Creator生成了超過2億幀圖片。</p> <p>伴隨全面開放大眾試用，微軟也宣布Bing多項新增功能，包括提升圖表搜尋、存取和分享對話紀錄、以及外掛支援。首先，Bin搜尋結果加入更多視覺元素，如圖、表，呈現格式也更有利用戶搜尋。微軟也擴增圖片生成工具Bing Image Creator的語言版本（下圖），現在支援100多種語言。此外微軟宣布正在開發Bing Chat的視覺化搜尋功能，讓用戶可上傳圖片進行搜尋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-New%20Bing%20Features-Image%20Creator-2.png" style="width: 600px;" /></p> <p>因應試用版用戶最想要2個功能，包括存取對話紀錄以及分享、匯出這些紀錄，微軟預告，不久後，用戶可以存取對話紀錄，並接續之前的對談主題。若用戶開啟特定對話結果，則對話紀錄會移到Edge側邊欄，讓用戶能邊對談、邊搜尋。微軟正在開發將之前對話的上下文帶入新對話中，以提升個人化。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/oQeq4xpKD94" title="YouTube video player" width="560px"></iframe></div> <p>微軟並預告很快就會加入匯出與分享功能，方便用戶將之分享到社群平臺或協同工具如Word中。</p> <p>此外，Edge也有所改進。微軟現已為Edge改版更漂亮，其撰寫（compose）功能也能根據用戶要的語氣、長度等要求撰寫草稿。不久後會再強化文章重點摘要能力，包括整理PDF和更長網頁內容的重點。Edge手機版App也會支援頁次，讓用戶可就特定頁問Bing Chat</p> <p>微軟預告，未來幾周內將為Edge加入自動化行動（action）功能。例如用戶想看某部電影，Edge actions可在側邊欄顯示搜尋結果（如哪個服務有），並自動播放該部電影。</p> <p>Edge action和Bing最新宣布的另一項重點有關，即支援第三方外掛。微軟說Bing Chat很快就會內建第三方服務的外掛開發平台，以介接外部服務，進而為用戶執行自動化行動。例如自動以線上餐廳訂位服務OpenTable訂位，或以Wolfram Alpha解決複雜的科學、數學或和資料有關的難題。微軟目前正和OpenAI合作讓開發人員更容易開發Bing Chat的外掛。</p> <p>微軟說會在本月的Microsoft Build開發者大會上提供更多細節。</p> </div></div></div>
2023/5/5 10:04作者林妍溱https://www.ithome.com.tw/news/156730
【資安日報】5月4日，NIST CSF網路安全框架2.0草案釋出，原五大功能構面有新變化，新增「治理」一項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國家標準與技術研究所（NIST）提出了網路安全框架Cybersecurity Framework（CSF），已經成為組織建構整體安全防護網的重要參考，去年8月我們注意到NIST正舉辦CSF 2.0版討論，就開始注意改版動向，如今相隔9個月，NIST CSF 2.0版草案終於釋出，受到各界關切。</p> <p>上個月Oracle發布季度安全更新，但近期有資安研究人員指出，Oracle修補Opera物業管理系統的其中一個漏洞，要特別重視，因為其風險層級只被評為中級，但研究人員認為應該是滿分10分的重大漏洞，因此呼籲使用該產品的廣泛飯店業者儘速修補。</p> <p>自去年來，Passkey無密碼登入屢屢成為焦點，如今Google宣布，Google帳戶已經支援Passkey登入，可提升用戶帳號登入安全與便利，在科技大廠的帶動下，預期也將帶動更多網路服務業者能夠支援，以因應網釣攻擊威脅持續加劇的現況，給予用戶更好的保障。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.darkreading.com/application-security/hotels-at-risk-from-bug-in-oracle-property-management-software"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">飯店業注意！有研究人員指出Oracle物業管理系統一項漏洞的風險被嚴重低估，應儘速修補</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-04_160520.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_160520.png" style="width: 280px; float: right;" /></a></p> <p>針對Oracle在今年4月，所修補的一項關於飯店業物業管理系統Opera property management system的CVE-2023-21932漏洞，最近有研究人員警告，指出該漏洞的問題被嚴重低估。</p> <p>由於Oracle將漏洞CVSS風險層級列為7.2分，屬於中度風險，但近期有<a href="https://blog.assetnote.io/2023/04/30/rce-oracle-opera/">Assetnote的研究人員指出</a>，這應該屬於10分的重大漏洞，並示範利用此漏洞在執行上的所有步驟，其實都沒有需要進行任何身份驗證，讓遠端攻擊者可以很容易利用這個RCE漏洞來存取敏感資訊。研究人員認為，Opera物業管理系統備在全球有數千家飯店使用，因此呼籲使用該系統的飯店、酒店、度假村等業者，儘速修補這項漏洞。</p> <p><a href="https://news.sophos.com/en-us/2023/05/03/doubled-dll-sideloading-dragon-breath/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">有駭客組織以雙重DLL測載方式試圖逃避資安檢測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-04_145024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_145024.png" style="width: 280px; float: right;" /></a></p> <p>資安業者Sophos在5月3日揭露一起攻擊活動，是他們追蹤多起東南亞線上博奕玩家被攻擊而發現，特別的是，他們發現攻擊行動中使用了雙重DLL側載的技術手法，試圖逃避檢測。</p> <p>根據Sophos說明，這起攻擊背後，是由名為Dragon Breath的駭客組織發動（或稱為APT-Q-27、Golden Eye Dog），其手法是先假冒Telegram、Let's VPN與WhatsApp散布惡意安裝程式，進而植入後門程式，竊取受害者加密錢包中的加密貨幣。而其過程中，駭客使用了雙重DLL側載手法，也就是安裝程式會先側載一個無害的應用程式，這個應用程式又會預載另一個無害的應用程式，之後，再由第二個乾淨的應用程式再側載惡意DLL。目前Sophos已經在臺灣、日本、新加坡、香港與中國都發現了這起攻擊活動的受害者。</p> <p><a href="https://blog.barracuda.com/2023/05/03/threat-spotlight-malicious-html-attachments-doubles/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資安業者揭露2023年第一季電子郵件夾帶惡意HTML附件的比例已接近5成</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-04_160210.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_160210.png" style="width: 280px; float: right;" /></a></p> <p>資安業者Barracuda Networks在5月3日公布一項威脅研究指出，過去網路犯罪者濫用HTML已經相當流行，但如今現況又比過去一年嚴重許多，顯然，攻擊者有更普遍濫用的趨向。</p> <p>根據該公司分析，他們去年5月掃描所有帶有HTML附件的電子郵件，發現有21%的HTML檔是惡意的，到了2023年3月，他們掃描發現有45.7%的HTML檔（含XML）是惡意的，其中3月7日與23日有兩次高峰期。特別的是，在7日檢測到的惡意HTML檔，有超過7成的文件是重複的檔案，而23日的惡意HTML中，有8成5都是不重複的檔案，這意味著每一次攻擊都是不同的。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-unauth-upgrade-UqhyTWW?vs_f=Cisco%20Security%20Advisory&vs_cat=Security%20Intelligence&vs_type=RSS&vs_p=Cisco%20SPA112%202-Port%20Phone%20Adapters%20Remote%20Command%20Execution%20Vulnerability&vs_k=1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科警告SPA112電話轉接器含RCE漏洞，呼籲用用戶汰換產品至ATA 190系列</span></strong></a></p> <p>思科在5月3日披露SPA112 2-Port電話轉接器（Telephone Adapters）存在CVSS評分9.8分的CVE-2023-20126漏洞，該漏洞存在於其Web管理介面，可允許未經身份驗證的遠程攻擊者在受影響的設備上執行任意程式碼。</p> <p>關於造成此漏洞的原因，思科解釋，是因為韌體升級功能缺乏身分驗證所導致，攻擊者可以透過精心製作的韌體版本來利用此一漏洞。目前，思科尚未說明是否發布韌體更新來解決此一漏洞，原因是該產品生命週期結束，但鼓勵客戶汰換產品至ATA 190系列。</p> <p><a href="https://ieeexplore.ieee.org/stamp/stamp.jsp?arnumber=10098782&tag=1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">OSU研究駭客可利用智慧電錶破壞電力網路穩定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-04_173250(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_173250(1).png" style="width: 280px; float: right;" /></a></p> <p>近期來自奧勒岡州立大學（Oregon State University, OSU）的Falah Alanazi與Jinsub Kim，以及來自Prince Sattam Bin Abdulaziz大學的Eduardo Cotilla-Sanchez，合力發表了一份研究報告，是探討電力傳輸網路在負載振盪攻擊（Load Oscillating Attacks）下的弱點。</p> <p>他們在研究中證明了，攻擊者只需振盪少量負載、監測某些橋接線流，就可成功發動負載振盪攻擊、利用操控智慧電表的方式，來破壞電力網路的穩定性。研究人員表示，雖然這樣的發現令人不安，但也為電力營運業者找出對策上提供一個起點。</p> <p><a href="https://www.facebook.com/165bear/posts/610576861113375?__cft__[0]=AZVB7hc_gbq5Iex0nQnt-FVU3oHjMeBXjBgnlBkNA6P0zNfbkqnjZ_n0C5aB1KzuM1LNYweIKJduUFdd0bkpL_b1w4dZHX_liYb_aNSe2dEYAGubDFirucO8-tAFcpnVd2AHINnqwD2Zw2jrPqrJa4PpWpgH7DOFsvU5KLt-HPTKJSpxditt4ETMhfepsBHAuVtbWq49ofSs7EjHIu5Q1IqF&__tn__=%2CO%2CP-y-R"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2023年第一季解除分期付款詐騙高風險賣場公布，蝦皮購物居第一</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-04_173427.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_173427.png" style="width: 280px; float: right;" /></a></p> <p>我國刑事局公布2023年第一季前五大高風險賣場，其中以知名電商平台「蝦皮購物」位居第一，警方受理案件數為781件，其次為鞋全家福（426件）、旋轉拍賣（359件）、車庫娛樂（247件），以及威秀影城（200件）。由於這些年來解除分期付款詐騙不斷，經警方分析大多以駭入電商資料庫，進而竊取用戶個資，警方持續不斷宣導，要瞭解攻擊手法，要認知不肖份子會先假冒電商平臺等業者的客服人員，再假冒銀行客服人員來電，因此不要片面以為對方有網路交易資料，也有銀行人員來電而誤信，需瞭解威脅態勢與懂得正確查證。</p> <p><a href="https://edition.cnn.com/2023/04/29/us/ai-scam-calls-kidnapping-cec/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI語音讓「綁架騙局」更可信，FBI指出可建立通關密語破解</span></strong></a></p> <p>冒名聲稱綁架騙局存在多年，有時，來電者人會聯繫其祖父母，說他們的孫子出事需要錢，或是騙稱綁架企業高層，要公司支付贖金，甚至可將鎖定企業的商業電子郵件BEC詐騙那一套搭配利用，近期CNN再度報導此事，因為2023年至今，以AI假冒語音方式來取信的來電詐騙事件引起相當大關注，報導中提出FBI探員Siobhan Johnson指出，這類計畫越來越複雜，最近這些事件都有一個共通點，就是利用門檻降低的AI技術來複製聲音，創造出更像受脅迫者的對話聲音，因此，Johnson也提供一些避免被騙的技巧，例如，不要相信你在通話中聽到的聲音，請其他人幫忙嘗試聯繫遭綁之人，以及建立只有親近的人知道才知道的家庭通關密語，可以更好識破他人假冒。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/05/stable-channel-update-for-desktop.html?m=1"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新版Chrome瀏覽器修補15個安全漏洞</span></strong></a></p> <p>日前Google緊急修補了兩個零時差漏洞，在5月2日的最新安全性更新中，這次共修補了15個漏洞，預計接下來針對Windows、Mac 和 Linux釋出穩定版本，同時也提醒用戶注意更新。在這次修補中，儘管Google表示這些漏洞不算嚴重，但其中的CVE-2023-2459漏洞，值得注意，雖然它只是一個中風險漏洞，但Google給予漏洞通報研究人員的獎勵達7,500美元，而從NIST NVD資料庫的說明來看，該漏洞涉及Chrome的Prompt功能，攻擊者可以通過精心製作的HTML頁面繞過權限限制。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.nist.gov/system/files/documents/2023/04/24/NIST%20Cybersecurity%20Framework%202.0%20Core%20Discussion%20Draft%204-2023%20final.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NIST CSF 2.0草案出爐，增加「治理」核心構面</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-04_144901.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-04_144901.png" style="width: 280px; float: right;" /></a></p> <p>近年來，美國國家標準與技術研究所發布的NIST CSF網路安全框架，已成各界強化資安防禦的重要參考，儘管許多組織認為現階段的CSF 1.1仍然有效可應對網路安全風險，但NIST認為，為了應對技術與風險變化，一些改變仍有其必要，不只希望讓內容更明確，同時也移除關鍵基礎設施的用語，讓內容更適用所有企業。根據NIST在4月24日首次公布NIST CSF 2.0的草案內容，我們可以看到，2.0版框架將1.1版所定義的5大核心構面，演進為6個核心構面（治理、識別、保護、偵測、回應、復原），其中「治理」是新增的核心功能構面，此外，原本1.1版的23個類別與108個子類別，在新版中也演變為21個類別與112個子類別。目前，NIST CSF 2.0版草案將於2023年夏季公開徵詢意見。</p> <p><a href="https://security.googleblog.com/2023/05/so-long-passwords-thanks-for-all-phish.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google帳號開始支援Passkey登入，讓用戶不用煩惱密碼管理，也比原本2SV更安全方便</span></strong></a></p> <p>在Chrome瀏覽器支援Passkey的5個月後，Google在5月3日宣布，Google帳號開始支援Passkey的無密碼解決方案。關於Passkey的好處，Google指出，Passkey是基於FIDO 2/WebAuthn標準，因此，這種驗證使用者登入帳號的方式，要比傳統密碼安全，也比2步驟驗證安全而方便。現在，Google帳戶使用者已經可以使用密碼金鑰（Passkey）來登入，強化帳號登入安全，也可以為不同裝置建一個passkey，以便於現在人們多裝置的使用習慣。</p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/ransomware-attack-affects-dallas-police-court-websites/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊美國達拉斯警方、法院網站</span></span></strong></a></p> <p><a href="https://krebsonsecurity.com/2023/04/many-public-salesforce-sites-are-leaking-private-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客正利用TBK DVR設備5年前已知未修補漏洞取得設備管理權限</span></strong></a></p> <p><a href="https://engineering.fb.com/2023/05/03/security/malware-nodestealer-ducktail/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Meta發現今年3月以來，有10款惡意程式家族偽裝ChatGPT或類似的AI工具</span></span></strong></a></p> <p><a href="https://blog.cyble.com/2023/04/28/citrix-users-at-risk-aresloader-spreading-through-disguised-gitlab-repo/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式載入器AresLoader不僅散布多種惡意軟體，最近還鎖定Citrix用戶攻擊</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/05/researchers-uncover-new-bgp-flaws-in.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">邊界閘道協定軟體FRRouting出現漏洞，恐被用於發動阻斷服務攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156694">【5月3日】中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156667">【5月2日】俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156623">【4月28日】越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer</a></strong></p> <p> </p> </div></div></div>
2023/5/4 17:28作者羅正漢https://www.ithome.com.tw/news/156721
血糖正常也可能罹患糖尿病，臺中榮總用AI揪出前期患者及早預防
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就算血糖正常，也有可能是糖尿病高風險患者！臺中榮總5月2日揭露自家AI新進展，只要用演算法分析9項生理和檢驗數值，如年齡、性別、BMI、空腹血糖、糖化血色素等數值，就能計算出患者的胰島素阻抗風險，也就是導致糖尿病的重要因子。若屬於此狀況，醫師就能及早介入，民眾也能及早改善生活形態。</p> <p><span style="font-size:24px;"><strong>引發糖尿病的重要因子：胰島素阻抗</strong></span></p> <p>胰島素阻抗是指胰島素分泌異常，是引發代謝症候群的重要因子，也是糖尿病的前身。一般判斷糖尿病的方法是血糖測量，即空腹血糖在126mg/dl以上或過去3個月平均血糖的指標「糖化血色素(HbA1c)」超過6.5。胰島素阻抗會導致糖尿病，而近半數洗腎患者也因糖尿病所致，且糖尿病還會造成嚴重心血管疾病，如心肌梗塞、腦中風。</p> <p>但中榮指出，過往研究顯示，早在患者因血糖超標、被確診為糖尿病前，胰島素阻抗至少已在患者體內發生10年了。也就是說，就算患者血糖正常、未達糖尿病定義，胰島素阻抗早已存在，並在這段期間對血管、心臟等器官造成傷害。</p> <p>因此，早期診斷出胰島素阻抗，醫師就能及早介入，來預防未來心血管疾病所造成的病變與死亡。但，傳統判斷方法得透過抽血，以其中的胰島素數值來計算胰島素阻抗，但不論是健康檢查還是醫院常規抽血的檢驗項目，都不包含胰島素數值。也因此，民眾無法在一般健檢中，提早知道自己是否有胰島素阻抗。</p> <p><span style="font-size:24px;"><strong>用9項數值計算胰島素阻抗</strong></span></p> <p>不過，臺中榮總找出一種便捷的AI運算方法，來判斷病人發生胰島素阻抗的機率。臺中榮總新陳代謝科主治醫師李佳霖和腎臟科主治醫師蔡尚峰是核心開發者，他們開發一套AI程式，能根據9項簡單易得的生理與檢驗數值，計算出是否有胰島素阻抗。如此，可幫助民眾在未確診糖尿病前，先了解自己的胰島素阻抗風險。</p> <p>這9項數值包括年齡、性別、種族、身體質量指數（BMI）、空腹血糖、糖化血色素、三酸甘油酯、總膽固醇與高密度膽固醇，AI演算法則由臺灣美兆資料庫與美國國家健康營養調查（NHANES）的資料訓練而成，其中，臺灣美兆資料庫包含12,526位病人資料、NHANES則有14,211位病人，因此適用於臺灣民眾和美國人民。</p> <p>此外，團隊還使用臺灣人體生物資料庫（Taiwan Biobank）來驗證。他們發現，用自家演算法計算出的胰島性阻抗者，雖然傳統的心力分數與心血管風險正常，但最終心血管相關死亡率，在數年後也是顯著上升，代表演算法判斷準確。</p> <p>在應用上，所有非糖尿病民眾，可透過臺中榮總AI輔助門診，輸入9項指標來計算是否有胰島素阻抗（如下圖）。若有，就能及時介入改善，改善方法包括1天至少運動30分鐘、飲食調整為三低一高（低油、低糖、低鹽、高纖），以及不吸菸、少喝酒等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E7%89%871(19).png" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E7%89%872(10).png" /></p> <p>不只如此，臺中榮總這項研究也於今年4月，發表在頂尖醫學期刋The Lancet（刺胳針）的子期刊<a href="https://www.thelancet.com/journals/eclinm/article/PIIS2589-5370(23)00111-6/fulltext">eClinicalMedicine</a>。臺中榮總指出，鑑於近年政府力推智慧醫療躍升護國群山計畫，該演算法也能與其他機構的醫療大數據資料庫整合運用，來推動個人化醫療發展。</p> </div></div></div>
2023/5/4 15:48作者王若樸https://www.ithome.com.tw/news/156715
3月就有10款惡意程式家族以ChatGPT名號誘騙受害者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周公布了今年第一季的安全報告，指出光是今年3月，就有大約10款惡意程式家族偽裝成火紅的ChatGPT或類似的工具，以竊取受害者的帳號。</p> <p>其實Meta的安全報告著重於保護旗下社交平臺的企業與使用者，因此其主要內容為所移除的間諜網路，包括巴基斯坦APT、Bahamut APT及Patchwork APT，或者是所移除的認知作戰網路，涵蓋來自伊朗、中國、美國、委內瑞拉或多哥的認知作戰網路。</p> <p>但在調查這些APT（Advanced Persistent Threats，進階持續性威脅）組織所使用的惡意程式與網址時，發現駭客利用熱門的ChatGPT來吸引受害者，並透過擴充套件、廣告或社交平臺來散布惡意程式。例如駭客於瀏覽器的官方應用程式市集中提供了多款基於ChatGPT的工具，再透過社交媒體或搜尋引擎的廣告來推廣相關擴充套件，這些擴充套件的確擁有ChatGPT功能，但它們同時也是惡意程式。</p> <p><a href="https://engineering.fb.com/2023/05/03/security/malware-nodestealer-ducktail/" target="_blank">Meta表示</a>，駭客還企圖利用其旗下平臺來分享惡意網站，使得Meta安全團隊該季就封鎖了超過1,000個偽裝成ChatGPT的不同網址。駭客的目的是要取得受害者於社交平臺或網路上的企業帳號，以便用來執行未經授權的廣告。</p> <p>日前資安業者Guardio即<a href="https://www.ithome.com.tw/news/155930" target="_blank">曾揭露一款名為「Quick access to ChatGPT」的Chrome擴充套件</a>，它利用了ChatGPT、Google與Facebook的合法API，還登上了官方的Chrome Web Store，只是它同時也藏有接管臉書用戶帳號的惡意功能。</p> <p><a href="https://about.fb.com/wp-content/uploads/2023/05/Meta-Quarterly-Adversarial-Threat-Report-Q1-2023.pdf" target="_blank">Meta也已藉由此一安全報告</a>公開了上述APT組織所使用的戰術與威脅指標。</p> </div></div></div>
2023/5/4 15:28作者陳曉莉https://www.ithome.com.tw/news/156714
微軟SharePoint加入AI助理Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Office、Power System、Dynamic 365等多項產品加入AI助理Copilot後，<a href="https://techcommunity.microsoft.com/t5/microsoft-sharepoint-blog/sharepoint-in-the-ai-era-introducing-copilot-in-sharepoint-amp/ba-p/3806069/" target="_blank">微軟本周宣布SharePoint加入Copilot等功能更新</a>。</p> <p>SharePoint是在這幾周內繼<a href="https://www.ithome.com.tw/news/155983" target="_blank">Microsoft 365</a>、<a href="https://www.ithome.com.tw/news/155806" target="_blank">Dynamic 365</a>、協同工具<a href="https://www.ithome.com.tw/news/156067" target="_blank">Microsoft Loop預覽版</a>、新版Microsoft Teams、<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/04/26/from-copilot-in-microsoft-viva-to-the-new-intune-suite-heres-whats-new-in-microsoft-365/" target="_blank">員工個人活動管理頁Viva</a>及<a href="https://www.ithome.com.tw/news/156183" target="_blank">安全工具</a>後，最新整合Copilot的微軟服務。這項服務是整合大型語言模型GPT及Microsoft Graph中的資料而成，用戶在對話框以文字描述網站或網頁，例如開發一個新任產品經理使用的員工介紹頁、外加公司logo及員工導覽等，它就能產生一個網頁原型，用戶可再一邊與AI助理對話，一邊調整要的動線或外觀。Copilot也可以將現有文件轉變成SharePoint網頁，例如將一份無人機產品規格文件變成介紹網頁，它還會抓出其中特色成為網頁標題。</p> <p>除了Copilot外，SharePoint其他功能更新包括改版、加入影片支援及整合Microsoft 365其他服務。以Microsoft Fluent設計系統改版得更為現代化、加入網頁共同製作（co-authoring）、SharePoint的影片代管webpart Microsoft Stream改版後可支援多種格式影片、加入影片頁（Video Page）製作版型。SharePoint也進一步整合電子郵件、Teams及員工個人體驗平臺Viva的工具，可將SharePoint網頁或內容整進公司郵件、員工對談及Viva中。</p> <p>微軟也說，SharePoint Framework提供開發框架及Microsoft Graph API，允許開發人員將公司內部其他資訊整合到SharePoint上，1/3的SharePoint網頁都包含來自企業流程及應用的內容。</p> </div></div></div>
2023/5/4 15:14作者林妍溱https://www.ithome.com.tw/news/156713
微軟將半強迫Outlook、Teams用戶以Edge開啟網頁連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟又出招提升Edge的使用率，在Outlook及Teams傳送的連結，即將以Edge為預設開啟的瀏覽器，而非用戶自己的選擇。</p> <p><a href="https://www.reddit.com/r/sysadmin/comments/132buu6/outlook_and_teams_to_ignore_default_web_browser/" target="_blank">本周有用戶透過Reddit張貼</a>來自Microsoft 365管理員中心的最新訊息，該訊息告知用戶，Outlook for Windows App下來自Azure Active Directory（AAD）及微軟帳號（MSA）的網頁連結，即將在郵件旁以Edge在開啟連結網頁。該訊息說明，Outlook會先部署這項服務，之後Teams也會有類似的變更。</p> <p>這種作法令用戶不滿，也違背了微軟不久前才做出的承諾。<a href="https://blogs.windows.com/windowsexperience/2023/03/17/a-principled-approach-to-app-pinning-and-app-defaults-in-windows/" target="_blank">今年初微軟說</a>，用戶將可透過Windows提供的系統對話框及設定，控制預設應用程式，像是預設瀏覽器，包括Outlook用戶可在第一次啟動Edge時選擇Outlook開啟連結的預設瀏覽器。</p> <p>事實上，不是只有企業用戶會面臨預設被忽視的問題。<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2023/02/16/discover-new-ways-to-multitask-with-microsoft-365-and-edge/" target="_blank">今年2月微軟宣布</a>針對Microsoft 365個人或家用訂閱版用戶的最新變更，使其在Outlook或Teams App中點入網頁連結時，可選擇以Edge開啟信件並列在郵件內容旁，即使用戶自己設定以Chrome作為預設瀏覽器。微軟表示，這能讓用戶可以一邊看信一邊上網，在多工作業時無需跳離Microsoft 365環境，或來回切換螢幕。</p> <p>同樣地，未來Teams也會提供類似選項，供用戶以Edge開啟網頁顯示在對話內容旁。</p> <p>這些變更會在用戶在Outlook/Teams點入網頁連結，Edge第一次開啟時以對話框詢問用戶。但用戶若一時不慎按下同意，之後還是可以變更。在Outlook下，點選「檔案」>「選項」>「進階」下的「Link Handling」，從下拉式選單中選擇屬意的瀏覽器。</p> <p>Windows中的Widget及桌機端搜尋早已是如此，在這些環境下點選URL，系統會逕自以Edge開啟網頁，繞過用戶選用的瀏覽器。</p> <p>這變更或許也有助Edge市占。<a href="https://www.ithome.com.tw/news/156685" target="_blank">本周一項最新市調數據顯示</a>，Edge在桌機瀏覽器市占被蘋果Safari超越，落居第三大。</p> </div></div></div>
2023/5/4 11:42作者林妍溱https://www.ithome.com.tw/news/156709
美國FTC主席呼籲應規範AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）主席<a href="https://www.nytimes.com/2023/05/03/opinion/ai-lina-khan-ftc-technology.html" target="_blank">Lina Khan在《紐約時報》（The New York Times）的op-ed專欄中呼籲</a>，AI必須被規範。</p> <p>Khan指出，生成式人工智慧的快速發展將對全球人們的生活、工作與交流產生巨大影響，此一技術的全部潛力仍有待商榷，但無疑地它將具備高度破壞性。</p> <p>身為保護消費者及消除壟斷之獨立機構的主席，Khan認為生成式人工智慧應以2000年代Web 2.0為鑑，Web 2.0徹底改變了通訊方式，但相對應的成本包括人們被追蹤，個人隱私遭到販售，其商業模式是以人們的隱私與安全為代價，且權力集中在提供各種關鍵服務的少數業者手上。</p> <p>隨著企業競相部署AI並企圖自AI獲利，FTC正密切關注如何能在保護美國人的同時促進公平競爭，特別是在已瞧見AI技術所帶來的某些風險。例如當AI被大量採用時，少數的大型技術業者便掌握了主導權，這些業者控制了新創或其它公司開發及部署AI工具所需的必要元素，囊括了雲端服務、運算能力，以及大量的資料儲存。</p> <p>這使得Khan認為立法與執法機構必須保持警惕，以避免占據主導地位的業者利用這些資源來排擠競爭對手；此外，Khan亦擔心企業用來制定各種商品價格的AI工具，可能會助長不公平抬價的串通行為，或是針對性的價格歧視。</p> <p>在ChatGPT上線之後，使用者即發現它可能產生錯誤或不實的內容，同樣的，Khan指出，生成式AI可能還沒準備好要取代專業作家，但它所製作的假資訊比尋常騙子所生產的更像真的，而讓詐騙者能夠更快速且廉價地製造內容。事實上，聊天機器人已被用來產生魚叉式網路釣魚電子郵件，撰寫偽造的消費者評論，甚至可指示它們使用針對特定族群的單字或句子。</p> <p>Khan還擔心AI工具可能展現的歧視、偏見與錯誤資訊，並強調在執行禁止AI詐騙的法令時，將不僅鎖定部署這些AI詐騙工具的犯罪人士，亦會追究打造這些工具的業者。</p> </div></div></div>
2023/5/4 11:52作者陳曉莉https://www.ithome.com.tw/news/156710
Gmail釋出藍色驗證勾勾，提升寄件者可信度以防範詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於昨（3）日對Gmail電子郵件服務平臺釋出了一項新功能—<a href="https://mobilesyrup.com/2023/05/03/gmail-adds-blue-checkmark-to-confirm-senders-legitimacy/">藍色驗證勾勾</a>，以協助用戶辨識合法的寄件者。</p> <p>這項新功能將在郵件列表或開啟郵件的寄件者姓名旁邊顯示藍色的驗證勾選標誌。這說明著當用戶看到這標誌時，可以放心知道這郵件是來自經過驗證的寄件者，不必擔心詐騙或假冒身分的問題。</p> <p>Google表示，這項新功能的目標是幫助用戶確認他們收到的郵件來自合法的寄件者，減少垃圾郵件和釣魚攻擊的可能性。該功能利用了 BIMI（Brand Indicators for Message Identification）和DMARC（Domain-based Message Authentication, Reporting and Conformance）兩種郵件驗證標準來驗證寄件者的身分。</p> <p>Workspace帳戶、Google過去設計的雲端辦公室套組G Suite、商業帳號和個人Google帳戶都可以使用藍色勾勾。Google同時於有申請Rapid Release和預設Scheduled Release的用戶一起<a href="https://support.google.com/a/answer/172177">釋出此功能</a>，幾天後將隨處可見。</p> <p>BIMI主要功能是允許經過驗證的寄件者在他們的郵件旁邊顯示品牌的徽標。這樣可以增加郵件的識別度和可信度。要實行BIMI，寄件者需要實施並遵守DMARC政策；DMARC是一種基於網域名的電子郵件驗證協議，它結合了SPF（Sender Policy Framework）和DKIM（DomainKeys Identified Mail）這兩種驗證方法。SPF 可以驗證寄件者的 IP 位置已獲得授權，可以代表機構發送電子郵件的網域和伺服器，而DKIM則對郵件進行數位簽章，以證明郵件未被篡改。</p> <p>當電子郵件服務供應商（如Gmail、Yahoo等）接收到郵件時，它會根據DMARC政策檢查SPF和DKIM的驗證結果。如果郵件通過驗證，郵件服務供應商將信任此郵件，並根據BIMI記錄顯示相對應的品牌標誌。</p> <p>而Google也於同日宣布其帳號用戶開始<a href="https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/">支援Passkey登入</a>，讓用戶免於再記憶或管理密碼，同時也不需要再執行兩步驟驗證（2-Step Verification，2SV）。Passkey是基於一對金鑰的機制，利用公鑰註冊網站或應用，並將私鑰儲存在用戶設備上。</p> </div></div></div>
2023/5/4 11:59作者洪予揚https://www.ithome.com.tw/news/156708
Google帳號支援Passkey登入，強調比密碼、2SV安全方便
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/153615" target="_blank">去年10月宣布</a>Android和Chrome支援通行密鑰（Passkey），以及12月釋出的<a href="https://www.ithome.com.tw/news/154677" target="_blank">Chrome M108穩定版</a>已開始支援後，<a href="https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/" target="_blank">Google昨（3）日再宣布</a>，Google帳號將支援以通行密鑰（Passkey）登入旗下服務，讓用戶不需再記憶或管理密碼，也不需再執行兩步驟驗證（2-Step Verification，2SV）。</p> <p>從即日起，用戶就可以在<a href="https://g.co/passkeys" target="_blank">個人Google帳號加入Passke</a>y。</p> <p>和由一串數字、字母或符號組成的密碼不同，Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，省去用戶記憶或管理密碼的麻煩。Passkey是基於FIDO 2/WebAuthn標準，可在所有主要平臺及瀏覽器使用，用戶也可以透過指紋、臉部及本地端個人識別號碼（PIN）解鎖電腦或手機來登入。</p> <p>Passkey比傳統密碼更安全，它只存放在用戶裝置中，無法寫下來，也不會被不小心傳給歹徒，比密碼安全，而且也比2步驟驗證安全而方便；2SV不但多一道手續，也無法完全防範釣魚攻擊（例如可能被攔截簡訊）及SIM卡交換（SIM swap）等精準攻擊。但使用Passkey登入Google帳號，可有效證明用戶使用自己的裝置來登入。少了傳送密碼及驗證碼的過程，讓Passkey可防止網釣攻擊或密碼管理不善，如密碼外洩或同一組密碼重覆用於多個網站，解決了2SV的問題。</p> <p>當用戶在Google帳號加入Passkey，Google會在用戶一開始登入，或是執行敏感行動時要求建立Passkey。Passkey本身儲存在手機或電腦上，因此這機制會要求用戶輸入螢幕解鎖的生物辨識（如指紋、臉部辨識）及PIN碼，證實是用戶本人。這生物辨識資料目的在解鎖Passkey，不會分享給Google或其他單位。</p> <p>由於每把Passkey只會用於單一帳號，因此也不會有多個帳號共同一組密碼的風險。Google帳號（或其他帳號）也就不會有因共用密碼而被駭的問題。</p> <p>針對在多種裝置或不同裝置上使用Passkey是否會很麻煩，Google也做出說明。如果用戶有很多臺裝置，包括PC、筆電或平板，可以為不同裝置建一個passkey。有些平臺則可將用戶Passkey備份到雲端並同步給其他裝置，例如iPhone的Passkey可透過登入iCloud帳號同步給其他蘋果裝置，防止用戶被鎖住無法使用，也能升級Passkey到其他iOS/Mac裝置。</p> <p>使用者可以用Passkey/Password同步服務，如Google Password Manager、iCloud Keychain以全程加密來安全同步Passkey。</p> <p>要是用戶已建立Passkey，之後又買了新裝置或暫時使用別人的裝置，可在登入時選擇「使用另一臺裝置的Passkey」，再依指示登入。這種作法不會把舊Passkey傳到新裝置上，只是利用這新裝置的螢幕解鎖進行一次性登入。</p> <p>若別人的裝置也支援儲存自己的Passkey，Google會分別詢問用戶是否要在那裝置上另外建立新的Passkey。不過Google建議不要這麼做，否則會被其他人用該裝置登入用戶的Google帳號。</p> <p>一旦用戶不幸遺失儲存Google帳號Passkey的裝置，且有被別人解鎖的可能，用戶可以到<a href="https://myaccount.google.com/signinoptions/passkeys" target="_blank">Google帳號設定頁</a>立即註銷。若用戶Google帳號支援遠端刪除，也可以遠端刪掉裝置上的Passkey，尤其是裝置還儲存了其他服務的Passkey。Google說，為Google帳號建立復原密碼或電子郵件以防這類事發生。</p> <p>最後，Google表示，在Google帳號加入Passkey只是多一種登入選項，現有方法都還是可使用，以便其裝置不支援Passkey。Google表示，Passkey的普及需要時間，該公司也會關注用戶和應用程式的接納情況。</p> </div></div></div>
2023/5/4 10:38作者林妍溱https://www.ithome.com.tw/news/156706
Google發布雲端儲存FUSE CSI驅動程式，簡化GKE機器學習工作負載資料存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著越來越多用戶在Kubernetes上訓練機器學習模型，用戶需要一種能夠簡單從物件儲存存取訓練資料檔案的方法。Google因而推出了專用於GKE機器學習用例的<a href="https://cloud.google.com/blog/products/containers-kubernetes/announcing-cloud-storage-fuse-and-gke-csi-driver-for-aiml-workloads">Cloud Storage FUSE CSI（Container Storage Interface）驅動程式</a>，供應用程式將Cloud Storage儲存桶中的物件，當作本地檔案系統般存取，支援那些需要檔案系統操作的應用程式。</p> <p>Cloud Storage FUSE的主要應用場景，是在GKE上支援使用Pytorch和Tensorflow的機器學習訓練，不只可以從Cloud Storage讀取資料，存取檢查點儲存模型，也能使用機器學習模型對Cloud Storage上的資料進行推理運算。此外，機器學習應用也能利用動態資料串流，加速啟動時間。</p> <p>在GKE上，Cloud Storage FUSE容器儲存介面（Container Storage Interface，CSI）驅動程式，使得Kubernetes應用程式能夠將Cloud Storage儲存桶視為本地檔案系統。該功能的好處包括增加應用程式的可移植性，藉由支援使用標準檔案系統的方式存取Cloud Storage儲存桶，機器學習應用程式便能具有更高的可移植性，消除因重構所產生的成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3_GKE_Pods_max-600x600.png" style="width: 350px;" /></p> <p>而且使用者無需將資料複製到本地檔案系統，可以直接從Cloud Storage串流資料，快速啟動訓練作業，這代表著應用程式不必等待資料下載完成就能開始工作。CSI驅動程式還支援大規模運作，無論是訓練、推理還是在檢查點階段，用戶都可直接運用Cloud Storage效能優勢，大規模執行機器學習工作負載。</p> <p>過去用戶要使用Cloud Storage FUSE，用戶必須要自己創建解決方案，這也代表著在GKE上使用Cloud Storage FUSE需要特權存取，而Cloud Storage FUSE CSI驅動程式不需要特權存取，因此能夠帶來更好的安全性。</p> <p>CSI驅動程式會在幕後部署Cloud Storage FUSE，自動支援GKE Standard和Autopilot兩種類型叢集的運作，用戶不需要額外手動安裝或是管理。另外，Cloud Storage FUSE CSI還支援GKE上所有加速器，包括GPU和TPU都可以使用。</p> <p>官方提到，因為Cloud Storage FUSE及其CSI驅動程式，並不是Filestore這類全託管檔案系統的替代解決方案，因此不提供像是對同一檔案多重寫入的並行控制，也不完全符合POSIX標準，且不支援NFS、CIFS和SMB檔案系統，因此當應用程式需要支援多寫入者同時寫入同一檔案的情境，便需要使用具多重共享功能的Filestore。</p> </div></div></div>
2023/5/4 08:18作者李建興https://www.ithome.com.tw/news/156701
【資安日報】5月3日，中國駭客組織Earth Longzhi鎖定臺灣、泰國、菲律賓而來，透過多種手法繞過防毒軟體偵測機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在繞過防毒軟體偵測的手法當中，近期駭客最常用的管道之一，就是利用含有弱點的驅動程式檔案，進行自帶驅動程式攻擊（BYOVD）。但在近期中國駭客組織的攻擊行動裡，出現了新的手法——駭客竄改Windows系統的登錄機碼，濫用Image File Execution Options（IFEO）機制來癱瘓防毒軟體。</p> <p>自微軟去年下旬祭出新措施，封鎖Office應用程式執行來自網際網路的巨集，有許多駭客組織改以捷徑檔案（LNK）做為散布惡意程式的管道，北韓駭客組織APT37也不例外，但特別的是，這些駭客使用的LNK檔案都非常大（動輒10 MB以上），而有可能導致防毒軟體不予處理。</p> <p>在疫情大爆發的期間，不少企業、組織緊急建置Salesforce伺服器來因應遠距辦公需求，但如今傳出這類伺服器存在不安全配置的情況，而有可能讓攻擊者存取其中儲存的使用者資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/e/attack-on-security-titans-earth-longzhi-returns-with-new-tricks.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Earth Longzhi利用新手法停用資安防護系統，鎖定臺灣、泰國、菲律賓而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/earthlongzhi_03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/earthlongzhi_03.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露中國駭客組織APT41旗下的Earth Longzhi攻擊行動，這些駭客針對臺灣、泰國、菲律賽、斐濟而來，其攻擊特徵是濫用Microsoft Defender的可執行檔來進行DLL側載，並發動自帶驅動程式攻擊（BYOVD），利用存在弱點的驅動程式zamguard64.sys來停用防毒軟體。</p> <p>比較特別的是，在停用防毒軟體的做法上，這些駭客也運用另一種較為罕見的方式Stack Rumbling，這是針對Image File Execution Options（IFEO）機制進行注入的攻擊手法，目的是造成防毒軟體記憶體溢位，導致運作遭到阻斷（DoS）的現象。</p> <p>研究人員指出，該組織除了將上述國家列為攻擊目標，他們也看到駭客使用越南語和印尼話製作的誘餌檔案，研判這2個國家可能是下一波攻擊標的。</p> <p><a href="https://research.checkpoint.com/2023/chain-reaction-rokrats-missing-link/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客APT37透過捷徑檔案散布木馬程式RokRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WKMIUTAZKJ-image9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WKMIUTAZKJ-image9.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露北韓駭客組織APT37（亦稱ScarCruft）的攻擊行動，駭客散布木馬程式RokRAT的手法自2022年7月開始出現變化，原本是利用南韓當地的Hangul Word Processor（HWP）檔案，或是含有巨集的Word檔案來挾帶相關作案工具，但如今這些駭客在部分攻擊行動裡，改以捷徑檔案（LNK）來進行，這麼做的原因，很可能與微軟在同月開始採用的新措施有關──也就是禁止來自網際網路的巨集檔案執行。</p> <p>研究人員指出，駭客所使用的LNK檔案龐大的程度相當不合理，例如他們在今年4月下旬，看到駭客以南韓公共行政協會（KAPA）舉辦的研討會為誘餌的攻擊行動，當中所使用的2個LNK檔案的大小分別為10 MB、50 MB。</p> <p><a href="https://www.bleepingcomputer.com/news/security/t-mobile-discloses-second-data-breach-since-the-start-of-2023/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電信業者T-Mobile證實今年第2次資料外洩，逾800人受害</span></strong></a></p> <p>美國電信大廠T-Mobile於4月28日向緬因州檢察長辦公室通報，有人於2月24日至3月30日期間竊取該公司836名用戶個資，他們在4月底透過電子郵件對受到影響的使用者發出通知。</p> <p>遭到存取的用戶資料包含了姓名、帳號名稱、電話號碼、社會安全碼（SSN）、生日、帳戶餘額、資費方案、持有的門號數量等。該公司強調，客戶的銀行資訊與通話記錄並未受到影響。而這次事故的發生，也是該公司繼1月之後，今年第2起資料外洩。</p> <p><a href="https://krebsonsecurity.com/2023/04/many-public-salesforce-sites-are-leaking-private-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">多家公司使用Salesforce服務卻被發現曝露敏感業務資料，原因出在組態設定錯誤</span></strong></a></p> <p>根據資安新聞網站Krebs On Security的報導，他們得知有許多銀行、醫療保健服務供應商，所屬的Salesforce網站曝露了敏感資料，起因是IT人員的錯誤配置，而導致未經身分驗證的使用者能夠存取需要登入才能運用的資源。</p> <p>該新聞網站得知美國佛蒙特州政府就有5個Salesforce網站曝險，當中包含了疫情流行期間申請失業輔助民眾的姓名、社會安全碼（SSN）、電話號碼、電子郵件信箱、銀行帳戶等。對此，佛蒙特州首席資訊安全長Scott Carbee表示，他們的資安團隊持續檢查州政府的Salesforce網站安全，且發現第2個網站也有配置錯誤的情況。Scott Carbee指出，這些Salesforce網站都是因應疫情而緊急建置，並未充分審查。</p> <p>類似的情況，也出現於亨廷頓銀行旗下甫併購的TCF Bank，亨廷頓銀行察覺後也停用該網站。此外，華府的DC Health也有數個Salesforce網站可能曝險。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-discloses-xss-zero-day-flaw-in-server-management-tool/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科伺服器管理工具存在零時差漏洞，恐被用於跨網站指令碼攻擊</span></strong></a></p> <p>4月26日思科揭露伺服器管理系統Prime Collaboration Deployment的漏洞CVE-2023-20060，這項漏洞可被用於跨網站指令碼（XSS）攻擊，起因是此系統的網頁管理介面無法正確驗證使用者輸入，從而讓攻擊者引誘目標用戶點選特製連結來利用漏洞，CVSS風險評分為6.1。</p> <p>該公司預計於5月發布更新軟體來進行修補，但值得留意的是，目前沒有能緩解此弱點的方法。</p> <p><a href="https://www.horizon3.ai/cve-2023-27524-insecure-default-configuration-in-apache-superset-leads-to-remote-code-execution/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源資料視覺化工具Apache Superset存在RCE漏洞，至少有2千臺伺服器曝險</span></strong></a></p> <p>資安業者Horizon3.ai針對開源資料圖像化及搜尋工具Apache Superset的用戶提出警告，此系統在預設的情況下，會採用特定的Flask金鑰對身分驗證連線階段的Cookie進行簽章，一旦系統開發者建置時沒有更換金鑰，攻擊者就有可能藉著這個金鑰取得管理者權限，進而入侵與之連接的資料庫或是應用程式伺服器。</p> <p>研究人員指出，儘管Apache的技術文件提到系統管理者建置時必須更換金鑰，但他們在大學、企業、政府機關等組織裡，找到約2千臺Apache Superset伺服器存在上述弱點。</p> <p>研究人員最初於2021年10月通報漏洞，Apache基金會在多次改版當中加入相關警告，後續於今年4月發布的2.1版，甚至在此系統使用預設金鑰的情況下，將無法啟動。研究人員於GitHub提供指令碼，供現有系統的管理者進行檢查。</p> <p><a href="https://www.bitsight.com/blog/new-high-severity-vulnerability-cve-2023-29552-discovered-service-location-protocol-slp"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">服務定位協定SLP漏洞恐被用於DDoS流量放大攻擊</span></strong></a></p> <p>資安業者Bitsight與Curesec聯手，揭露存在於服務定位協定（Service Location Protocol，SLP）的高風險漏洞CVE-2023-29552，這項漏洞存在於逾2千個組織、5.4萬個SLP設備，攻擊者可藉此漏洞，將網路流量放大2,200倍來進行阻斷服務攻擊（DoS），這些存在漏洞的系統涵蓋VMware ESXi虛擬化平臺、Konica Minolta印表機、Planex路由器、IBM Integrated Management Module（IBM IMM）、SMC IPMI管理工具等，CVSS風險評分為8.6。</p> <p>研究人員指出，曝露該漏洞系統最多的國家，包含了美國、英國、日本、德國、加拿大等，且有不少財富前1000強可能曝露相關風險，他們呼籲企業應針對連上網際網路的系統停用SLP。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.apple.com/newsroom/2023/05/apple-google-partner-on-an-industry-specification-to-address-unwanted-tracking/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果、Google聯手打擊Airtag非法跟蹤行為</span></strong></a></p> <p>有鑒於利用AirTag等藍牙定位追蹤裝置進行非法跟蹤（stalking）事件頻傳，蘋果與Google於5月2日宣布將合作開發技術標準，讓被跟蹤的用戶可以及早察覺。</p> <p>他們向網際網路工程技術小組（Internet Engineering Task Force，IETF）提交防範濫用AirTag、Tile等藍牙定位裝置進行惡意跟蹤的產業規格草案，有望可讓這類藍牙位置的追蹤裝置，支援偵測未經授權的跟蹤行為，並對用戶的iOS及Android手機發出警訊。</p> <p>上述草案內容已於IETF網站公布，並預計今年底之前公布實作規格。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/police-operation-spector-arrests-288-dark-web-drug-vendors-and-buyers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美歐聯手破獲暗網市集Monopoly Market，逮捕288名嫌犯</span></strong></a></p> <p>美國、英國、瑞士、巴西、波蘭、荷蘭、德國、法國、奧地利等國宣布，他們破獲暗網市集Monopoly Market，總共逮捕288名的賣家與買家、扣押逾5,000萬美元的現金與加密貨幣、850公斤毒品，此次為歐美國家聯手打擊的暗網犯罪行動裡，規模最大的一次。</p> <p> </p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://therecord.media/first-draft-of-un-cybercrime-treaty-expected-in-june"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">聯合國網路罪犯條約傳出將於6月公布</span></span></strong></a></p> <p><a href="https://therecord.media/wray-fbi-cyber-budget-china-cyberthreats"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國FBI向國會報告資安防禦不對稱狀況，他們表示，網路探員每人至少要對付50個中國駭客</span></span></strong></a></p> <p><a href="https://www.zdnet.com/article/these-two-countries-are-teaming-up-to-develop-ai-for-cybersecurity/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新加坡與法國聯手以人工智慧強化網路安全</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/04/kritec-art"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列總理臉書帳號遭入侵，數萬民眾個資外洩</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/04/kritec-art"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電子商務網站遭挾持，被植入付款表單，意圖竊取用戶信用卡資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156667">【5月2日】俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156623">【4月28日】越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156594">【4月27日】中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來</a></strong></p> </div></div></div>
2023/5/3 16:22作者周峻佑https://www.ithome.com.tw/news/156694
【資安月報】2023年4月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一個月的資安月報中，有3大資安議題是關注焦點，包括3CX VoIP供應鏈攻擊事件的後續，生成式AI強化資安解決方案應用增加，以及員工為了方便將企業機敏資料輸入上傳到ChatGPT的問題。</p> <p>首先，關於3月底CrowdStrike、SentinelOne、Sophos等資安業者揭露的3CX VoIP系統軟體供應鏈事件，不僅是讓軟體供應鏈問題再次成為焦點，而在4月更多調查結果出爐之後，更是發現另一起X_Trader軟體供應鏈攻擊才導致3CX被入侵。</p> <p>一開始，在3CX VoIP的事件中，原先調查指出，3CX官網上提供的Windows與macOS的桌面程式Electron，被加料植入暗藏木馬的ffmpeg.dll，將下載惡意Payload，且該更新檔案具有合法程式碼簽章，後續另一家資安公司Mandiant指出，確認3CX網路之所以被入侵，是因為攻擊者之前入侵了股票交易自動化業者Trading Technologies的網站，從而散布被駭客竄改的X_Trader應用程式，換言之，這次事件是先藉由一起軟體供應鏈攻擊，再發動另一起軟體供應鏈攻擊；此外，到了4月底，又有另一家資安業者賽門鐵克揭露X_Trader軟體供應鏈攻擊的危害情形，指出至少發現有4個關鍵基礎設施（CI）遭到攻擊。</p> <p>前兩個月ChatGPT當紅，對於資安領域的影響到4月仍持續發酵，例如，繼微軟Security Copilot後，Google也用生成式AI強化自家資安解決方案，該公司在4月RSA大會期間宣布，開始應用專屬大型語言模型Sec-PaLMSu於多項安全解決方案，促進以生成式AI強化安全性，希望激發安全運作上的變革，並期望解決資安技能差距的問題；而已併入Google的惡意軟體分析網站VirusTotal，也宣布將運用生成式AI增強威脅分析能力，以Google Cloud的Security AI Workbench為基礎，提供程式碼分析服務Code Insight。</p> <p>另外，在ChatGPT風潮下的威脅態勢，前一個月已有不少新興技術濫用風險示警的消息，以及假冒名義的惡意活動不斷被揭露，特別的是，關於員工不當使用、影子IT的問題，更是屢屢成為本月重點議題。</p> <p>月初即傳出三星發生軟體開發員工為了自身方便，將整份程式碼上傳到ChatGPT對話以找出程式碼錯誤之處，沒顧及企業機敏資料可能外流的情形，可能被AI拿去學習，使得ChatGPT回答別人答案可能出現公司資料；到了月底又有資料安全服務商針對員工擅自將企業資料輸入到ChatGPT的情形提出報告，統計旗下不同產業企業用戶160萬名員工的資料上網情形，發現有3.1%比例員工，將不能外流的企業機敏資料輸入到ChatGPT。</p> <p>由於相關消息接連不斷傳出，在如今這股ChatGPT應用潮流下，對於保護企業資料，如何在技術提供的價值與安全之間取得平衡，勢必會持續受到探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/156420"><span style="color: rgb(178, 34, 34);">【資安週報】2023年4月6日到4月14日</span></a></strong></h2> <p>在清明連假後的一周半中，共有10個已知漏洞遭利用的情形，包含蘋果緊急修補的CVE-2023-28205、CVE-2023-28206漏洞，以及微軟4月安全性更新所修補的CVE-2023-28252漏洞，發現遭攻擊者利用部署Nokoyawa勒索軟體，以及Veritas備份軟體2021年的3個已知漏洞去年底BlackCat勒索軟體利用，近期被資安業者揭露。</p> <p>另有4個漏洞本期尚未報導，但亦確認遭攻擊者成功利用情形，值得注意，包含兩個今年揭露的漏洞：Novi Survey的漏洞（CVE-2023-29492 ）、Android的漏洞（CVE-2023-20963），以及兩個早年的已知漏洞：微軟的漏洞（CVE-2019-1388）、Arm的漏洞（CVE-2019-1388）。在其他漏洞修補消息方面，包括威聯通、HP、SAP、西門子、施耐德、Adobe也發布安全更新，還有JavaScript沙箱程式庫VM2的漏洞值得留意。</p> <p>關於威脅態勢的揭露方面，最受關注的是，勒索軟體Rorschach濫用Palo Alto Networks的XDR系統元件載入與執行的情形，以及駭客濫用Telegram的情況是越來越嚴重，其他可留意的是後門程式Balada Injector、竊資軟體Creal、Mirai變種RapperBot的動向，以及竊資軟體Typhon加入大量混淆反分析的揭露。</p> <p>另外要特別一提的是，假ChatGPT、Google Bard名義的威脅也增加，同時，如同與員工擅自將公司資料上傳到個人雲端儲存空間存放情形類似，近期不少企業正關注員工是否可能將公司機密資訊，擅自輸入ChatGPT的問題。</p> <p>至於國內焦點方面，包括假冒財經名人、主播名義的詐騙呈現持續橫行情形，甚至台積電創辦人的夫人張淑芬也遭冒名後，這類問題更受關注，因此，Meta與Google等平臺業者的自動審核廣告機制，顯然已被網路犯罪者找到容易突破的方式，業者再不設法解決，等於讓廣告成網路攻擊與詐騙發動溫床；Google Cloud近期揭露去年第四季報告中，提及中國駭客組織APT41當時鎖定目標是臺灣媒體。</p> <h2><strong><a href="https://www.ithome.com.tw/news/156522"><span style="color: rgb(178, 34, 34);">【資安週報】2023年4月17日到4月21日</span></a></strong></h2> <p>這一周的漏洞消息中，有6個漏洞遭利用的情形最受關注，首要焦點就是Chrome的兩個零時差漏洞CVE-2023-2033、CVE-2023-2136，後者更是影響所有基於Chromium瀏覽器，而列印管理軟體系統PaperCut在3月修補的CVE-2023–27350的RCE漏洞，近日亦發現出現攻擊活動，還有俄羅斯駭客組織APT28利用存在於Cisco IOS與Cisco XE軟體的SNMP子系統漏洞CVE-2017-6742漏洞的揭露。另有兩個漏洞本期周報尚未提及，<a href="https://github.com/minio/minio/security/advisories/GHSA-6xvq-wj2x-3h3q">以物件儲存服務MinIO公告的CVE-2023-28432漏洞</a>須特別留意，另一是<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-8526">Apple macOS的漏洞CVE-2019-8526</a>。在漏洞修補方面，焦點包括Oracle季度更新修補433個漏洞，以及VMware、ChatGPT、Juniper的漏洞修補。</p> <p>在重要資安事件方面，3CX VoIP系統軟體供應鏈的攻擊事故有後續消息，格外引發關注，因為3CX之所以被入侵，是因為攻擊者先入侵股票交易自動化業者Trading Technologies的網站散布被駭客竄改的X_Trader應用程式，等於是藉由供應鏈攻擊入侵，再發動影響更廣泛的供應鏈攻擊。</p> <p>其他值得警惕的資安事件，除了Volvo的巴西經銷商Dimas Volvo在網站上曝露敏感資料甚至包含Laravel的金鑰，企業淘汰的網路設備在二手市場上被發現有洩露企業內部網路環境敏感資訊的狀況，同樣必須留意，這如同企業淘汰的列印設備其硬碟資料未妥善清除狀況相同，重點是，可別以為這些汰換的網路設備沒有機敏資訊要清除，就能直接汰換，應該也要針對組態設定重置並確定無疑慮再丟棄。</p> <p>在威脅態勢方面，以勒索軟體新動向受矚目，包括勒索軟體LockBit攻擊的平臺已從Windows、Linux及VMware ESXi環境擴及macOS，以及勒索軟體Vice Society近期威脅增加，並有資安業者揭露該攻擊者利用新的PowerShell指令碼w1.ps1來規避資安系統，還有勒索軟體駭客濫用名為Action1的遠端管理平臺（RMM）的揭露；竊資軟體消息也不少，包括竊資軟體Aurora利用Youtube影片宣傳假破解軟體來散布，以及Zaraza Bot竊資軟體、Chameleon的安卓惡意軟體的揭露。</p> <h2><strong><a href="https://www.ithome.com.tw/news/156657"><span style="color: rgb(178, 34, 34);">【資安週報】2023年4月24日到4月28日</span></a></strong></h2> <p>在這一周的漏洞消息中，首要焦點是，ZDI警告TP-Link於3月中修補的CVE-2023-1389漏洞，已經被Mirai殭屍網路病毒的攻擊行動利用，在最新漏洞修補消息方面，包括思科、SolarWinds與VMware的修補動向值得關注。另外在51連假期間，還有兩個已知漏洞確認遭利用情形，本期週報尚未提及，值得優先注意，包括Apache的CVE-2021-45046，以及Oracle在1月修補的CVE-2023-21839漏洞。</p> <p>在威脅態勢與攻擊焦點方面，中國駭客組織Evasive Panda散布後門程式MsgBot的攻擊活動揭露最受關注，因為是利用騰訊Tencent QQ即時通訊軟體的更新管道散布，而其鎖定對象是國際非政府組織（NGO）人士；另一焦點是中國駭客組織Alloy Taurus開發Linux後門程式PingPull的揭露。</p> <p>其他惡意活動消息，包括：惡意軟體Lobshot、惡意軟體載入器Bumblebee均透過Google廣告散布的揭露，惡意軟體RustBucket、竊資軟體Atomic均針對Mac電腦攻擊的揭露，以及又有新針對Kubernetes而來的攻擊行動，勒索軟體RTM Locker的動向等。</p> <p>在國內的資安相關消息中，除了調查局資通安全處失火的消息受外界關注，還有兩起警方偵辦事件中所存在的資安議題，也引起不少人注意，分別是線上影視平臺LiTV今年1月發生資料遭刪除，警方調查研判是前員工利用商家Wi-Fi無線網路並盜用其他員工帳號進而存取防火牆設備以入侵，另一事件本期週報尚未提及，是關於永豐金提告前財務長、永豐銀前總座張晋源涉嫌賤賣永豐金子行美國遠東銀行（FENB）的調查，根據<a href="https://www.cna.com.tw/news/afe/202304260376.aspx">國內報導指出</a>，鑑識時發現張晋源在離職後將公司派發電腦中的資料清除，且不排除使用腐蝕性液體破壞可能。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154701">2022年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/154033">2022年10月資安月報</a></h3> <h3> </h3> <h3> </h3> </div></div></div>
2023/5/3 17:27作者羅正漢https://www.ithome.com.tw/news/156683
MedTech醫療科技雙周報第20期：什麼是通用醫療AI？史丹佛大學聯手北美頂大給定義
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0416～0430）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 通用醫療AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>什麼是通用醫療AI？史丹佛大學聯手北美頂大給定義</strong></span></p> <p>鑑於生成式AI蓬勃發展，史丹佛大學聯手哈佛大學、多倫多大學、耶魯大學醫學院等研究者，提出一種通用醫療AI（GMAI）範式，並刊登於4月份《自然》期刊上。他們指出，這種GMAI會用自監督學習方式，從大型、多元的資料集中學習，訓練出同時處理不同模態資料的能力，包含影像、電子健康記錄（EHR）、檢驗檢查報告、基因學資料和醫療文字記錄等模態資料。而且，GMAI可透過少量或非特定任務的標籤資料，來執行各種任務，換句話說，GMAI具備通才學習力。</p> <p>不只如此，GMAI也要能產出豐富的回覆，像是開放式文字解釋、口頭建議或包含進階醫學推理能力的影像註解（Annotation）。團隊也給出GMAI可能的應用場景，比如產出結合病患病史的醫學影像報告、即時分析手術畫面並發出警示、提供護理人員更深入的病床解釋和建議、蛋白質結構預測，或是草擬出院報告文件、回答患者各種問題的醫療Chatbot。</p> <p>但要實現這些應用，GMAI得具備2種技能，首先是動態任務學習能力，也就是根據各種自定義查詢（Query），來動態學習如何解決問題。比如，GMAI可根據新問題，給出訓練時沒學習過的資訊，還能根據少量例子來學習新知識。另一種技能是多模態的輸入和輸出，也就是能整合不同類型的資料，來回覆提問。比如醫師詢問GMAI診斷結果時，可附上醫學影像和實驗室報告，GMAI也能給出影像和文字回覆。<a href="https://www.nature.com/articles/s41586-023-05881-4">（詳全文）</a></p> <p><img alt="" src="https://media.springernature.com/full/springer-static/image/art%3A10.1038%2Fs41586-023-05881-4/MediaObjects/41586_2023_5881_Fig2_HTML.png?as=webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺灣人工智慧實驗室 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepMets </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國產醫療AI導入Azure，還結合ChatGPT快速產出報告</strong></span></p> <p>臺灣人工智慧實驗室近日與臺灣微軟簽署合作備忘錄，要將多項可信任的醫療AI產品，在未來一年內陸續導入微軟Azure混合雲，供臺灣醫療院所和國際機構採用，盼藉此推進次世代醫療平臺發展。</p> <p>他們首先導入微軟Azure的產品是腦轉移瘤輔助偵測系統DeepMets，DeepMets可偵測腦部磁振造影檢查影像（MRI），在30秒內揪出所有腦部腫瘤和病灶，並計算出數量、直徑、體積等資訊。該系統導入微軟Azure混合雲，還整合生成式AI，利用ChatGPT大型語言模型優化，來快速產出符合健保署規範做法、觀察和結論的三段式報告。國產醫療AI系統DeepMets導入Azure，不只臺灣醫療院所可用，還打通國際市場大門，快速部署到美國西岸，目前已有當地學研機構、醫療院所和藥廠評估和使用。<a href="https://www.ithome.com.tw/news/156590">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-04-27%20150904.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">CancerGPT </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 協同作用 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 癌症 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國大學聯手打造CancerGPT，可良好預測癌症藥物協同作用</strong></span></p> <p>美國德州大學、麻州大學阿默斯特分校以及德州大學健康科學中心聯手打造一款大型語言模型CancerGPT，具1.24億個參數，可預測一組組藥物在特定人體組織中的協同作用（Synergy），甚至其少樣本預測的能力，可媲美具1,750億參數的GPT-3。</p> <p>進一步來說，長年實驗證明，多種藥物組合比單一藥物的治療還有效，特別是針對癌症、神經系統失調等疾病。但要找出合適的藥物組合，仍是一大挑戰。鑑於目前的新藥開發研究，都聚焦於藥物協同作用的預測，美國幾所大學研究團隊決定採用大型語言模型，利用模型已具備的科學知識，再透過少樣本訓練，來加強模型對藥物協同作用的預測能力。經測試，團隊發現，CancerGPT即使在零樣本條件下，也能獲得相當高的準確性，替通用生物醫學AI埋下伏筆。<a href="https://arxiv.org/abs/2304.10946">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-04-28%20120600(1).png" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫事人員行動憑證 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 看診 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 光田綜合醫院 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>醫事人員行動憑證也有新應用情境了</strong></span></strong></p> <p>位於臺中海線的光田綜合醫院，率先將醫事人員行動憑證應用於看診，解決醫師看診時醫事人員卡遺失、損壞，或診間沒接讀卡機的突發狀況，也開啟行動憑證第二波新應用。2020年，衛福部開始力推醫事人員行動憑證，當時的主流應用為行動病歷簽核，醫師、護理師、藥師等醫事人員可在行動裝置上簽核病歷、護理工作記錄等醫療單張。</p> <p>光田醫院在去年底發想出另一種應用情境，讓醫師看診時，也能透過手機驗證登入系統，不必插卡。他們與負責維護醫事人員行動憑證的廠商聯手，一方調整醫院系統，一方調整行動憑證相關模組，在最近試驗成功。簡單來說，醫師可在門診系統登入時，選擇行動憑證，接著桌機系統會發送請求到手機，醫師將員工識別證靠卡感應，就能登入系統。衛福部日前也親自視察成果、決定大力推廣，發信通知成功申請行動憑證的醫院，來嘗試這項應用。衛福部未來也將釋出正式模組，來讓醫院大規模推行。<a href="https://www.ithome.com.tw/news/156511">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1126-%E5%B0%81%E9%9D%A2-%E6%B5%81%E7%A8%8B-B2.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DRG </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺北醫院HIS換新推智慧醫療十大建設</strong></span></strong></p> <p>臺北醫院在3年前展開醫療資訊系統（HIS）轉換，只用3個月就全面上線開放式架構的新系統，有別於一般系統轉換做法，先上線部分新系統、採新舊系統並行，再逐步汰換。臺北醫院資訊室主任王立峯指出，一次全面上線的好處是，醫院不必付出額外成本，與舊系統廠商溝通、介接系統，另一好處是使用者適應期短，可加速轉型。他也發現，新系統上線後兩周，使用者的問題電話大幅減少，代表已適應得差不多了。</p> <p>在這個基礎上，他們進一步發展10大智慧醫療應用。其一是去年6月上線的行動醫療助理機器人，民眾透過醫院官方Line帳號，就能預約、進行視訊看診。該Chatbot後臺還與HIS串接，可同步看診資料；今年，臺北醫院還要用這個後臺，來打造院內醫師專用的藥物查詢功能、危險通報和醫師會診通知功能。另一方面，臺北醫院也規畫導入智慧櫃檯和藥櫃，來降低醫療錯誤、提高服務品質，同時也正評估DRG自動編審系統，要藉助AI找到合適的分組和代碼，加速申報作業。最後，衛福部臺北醫院也將配合衛福部計畫，成為第一家公版次世代HIS示範醫院，日前已展開需求訪談。<a href="https://www.ithome.com.tw/people/156624">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 莫德納 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新藥發現 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>莫德納藥廠要用生成式AI和量子運算來探索新藥</strong></span></strong></p> <p>美國莫德納藥廠（Moderna）日前宣布要用IBM的生成式AI和量子運算技術，來加強mRNA研究與藥物開發。進一步來說，莫德納將使用IBM的基礎模型MoLFormer，來預測化學分子屬性，幫助研究團隊了解mRNA藥物的特性。</p> <p>其中，MoLFormer是一個大型化學語言模型，可根據小型分子的活動來訓練。團隊希望透過該模型，來最佳化保護mRNA的脂質奈米粒，並用生成式AI來改良配方，設計出最安全有效的mRNA藥物。同時，莫德納也將加入IBM量子加速器計畫和IBM量子網路，來使用IBM量子運算系統進行生技研究。<a href="https://newsroom.ibm.com/2023-04-20-Moderna-and-IBM-to-Explore-Quantum-Computing-and-Generative-AI-for-mRNA-Science">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FDA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Cerner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 用藥安全 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>靠AI讓用藥更安全！FDA聯手甲骨文旗下電子病歷廠商Cerner</strong></span></strong></p> <p>美國FDA旗下Sentinel創新中心最近聯手數據分析廠商John Snow Labs和甲骨文旗下電子病歷公司Cerner Enviza，要來開發一款用藥安全AI工具，要找出氣喘藥物Montelukast對心理健康產生副作用的機率。</p> <p>該計畫名為MOSAIC-NLP、為期2年，Cerner和John Snow Labs將共同發展一種新方法，透過自然語言處理（NLP）技術，來支援自動化查詢流行病藥理學相關的病人數據和臨床病歷記錄。另外，參與此專案的機構還包括橘郡兒童醫院、美國國家猶太醫院，以及負責提供臨床顧問的凱撒華州醫療研究院（KPWHRI）。<a href="https://www.johnsnowlabs.com/fdas-sentinel-innovation-center-chose-cerner-enviza-and-john-snow-labs-to-develop-innovative-ai-tools-for-drug-safety-and-real-world-evidence-studies/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 研華 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧診所 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掛號 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>研華聯手醫資廠商和藥局，要推智慧診所解決方案</strong></span></strong></p> <p>IoT大廠研華日前號召診所IT廠商、經銷商和藥局，共同成立智慧診所生態聯盟，要將自家智慧診所解決方案推廣到更多診所，目標是5年內5千家診所部署3千臺自助服務設備。</p> <p>研華主打的解決方案是今年4月推出的智慧診所服務iClinic Kiosk，這是一款自助服務設備，可整合市上各大HIS系統，來讓診所病患自助掛號、退掛、預約、報到、繳費等，體積也較同類產品精簡、容易安裝和維修。該產品推出至今，已在全臺診所部署100臺，來解決診所人力短缺問題。研華這麼做的目的，是因為衛福部近年力推分級醫療、鼓勵傳統診所升級，而全臺醫療產業有7成為診所，因此看準智慧診所市場，要將智慧化產品帶入牙科、中醫、健檢中心、復健科等不同領域診所和藥局。<a href="https://www.advantech.com/zh-tw/resources/news/%E7%A0%94%E8%8F%AF%E6%8A%95%E5%85%A5%E6%99%BA%E6%85%A7%E8%A8%BA%E6%89%80%E8%A7%A3%E6%B1%BA%E6%96%B9%E6%A1%88-%E6%94%9C%E6%89%8B%E7%94%9F%E6%85%8B%E5%A4%A5%E4%BC%B4-%E5%8A%9B%E6%8B%BC%E4%B8%89%E5%B9%B4%E5%B8%82%E4%BD%94%E9%81%8E%E5%8D%8A">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺中榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 藥來速 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 慢箋 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺中榮總啟動藥來速服務</strong></span></strong></p> <p>臺中榮總在4月26日啟動慢箋預約藥來速服務，民眾不必下車就能領藥，提高慢性病連續處方箋領藥服務品質。臺中榮總指出，他們每年都有100多萬張門診處方箋，而透過藥來速方式領藥，可大幅縮短領藥的等待時間。進一步來說，民眾可先在家上網預約，選擇藥來速服務，就能到現場領藥，平均只需5分鐘。除自費藥品、小兒科和傳統醫學科慢性處方箋需回總院原藥局領藥外，其餘慢連箋領藥，民眾可在領藥前10日至領藥當天下午4點前上網預約，自行選擇在藥來速、北院區藥局或總院藥局領藥。<a href="https://regws.vghtc.gov.tw/RegChronicWeb/#/home/attention">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-05-03%20141905.png" /></p> <p>圖片來源／史丹佛大學、臺灣人工智慧實驗室、德州大學、臺中榮總</p> <p>攝影／洪政偉</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 研究員打造ImpressionGPT，可自動生成放射線醫學影像報告</strong></strong></p> <p>資料來源：iThome整理，2023年4月</p> </div></div></div>
2023/5/3 14:34作者王若樸https://www.ithome.com.tw/news/156690
美歐聯手破獲暗網市集Monopoly Market，逮捕288名嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國及歐洲各國在本周宣布已破獲另一個專門銷售毒品的暗網市集Monopoly Market，逮捕了288名的賣家與買家，扣押了逾5,000萬美元的現金與加密貨幣，以及850公斤的毒品，是美歐所聯手的打擊暗網犯罪行動中，破獲規模最大的一次。</p> <p>此次的行動名為Operation SpecTor，為一橫跨三大洲的國際聯合執法行動。<a href="https://www.europol.europa.eu/media-press/newsroom/news/288-dark-web-vendors-arrested-in-major-marketplace-seizure" target="_blank">歐洲刑警組織（Europol）表示</a>，該行動的調查基礎為德國在2021年底所查獲的Monopoly Market基礎設施，它們針對所蒐集的資料與證據進行交叉比對與分析，進而展開數百項的調查，且這次所逮捕的賣家中，有不少同時活躍於其它的暗網市集。</p> <p>參與該行動的國家涵蓋美國、英國、瑞士、巴西、波蘭、荷蘭、德國、法國與奧地利等，總計在美國逮捕了153人、英國逮捕55人、德國52人、荷蘭10人，以及在奧地利、法國、瑞士、波蘭及巴西都逮捕了該市集的買家與賣家，另也根據賣家所持有的名單，正在調查及起訴全球數以千計的買家。</p> <p><a href="https://www.justice.gov/opa/pr/largest-international-operation-against-darknet-trafficking-fentanyl-and-opioids-results" target="_blank">美國司法部長Merrick Garland指出</a>，此一行動就是在向暗網中的犯罪份子放話，就算他們企圖藏匿於網路深處，司法部依舊會找到他們並追究其責任。</p> </div></div></div>
2023/5/3 13:20作者陳曉莉https://www.ithome.com.tw/news/156689
Chrome瀏覽器上的掛鎖圖示即將退役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2023/05/an-update-on-lock-icon.html" target="_blank">Chromium專案於周二（5/2）宣布</a>，Chrome網址列上用來顯示HTTPS連線的掛鎖（Lock）圖示即將於今年退役，取而代之的是新的曲調（Tune）圖示，此一圖示的功能未變，點選後都可察看所造訪網站的重要資訊，變更的主要目的是為了避免使用者誤以為，具備掛鎖圖示的網站就是安全網站。</p> <p>最早顯示掛鎖圖示的瀏覽器是1990年代的Netscape，該圖示代表使用者所造訪的網站採用HTTPS加密傳輸通訊協定，意謂著使用者與網站之間的聯繫是透過安全通道進行，而不會被第三方竄改或監聽。事實上，在2013年時，Alexa流量排行榜上的前100萬個網站，也只有14%採用HTTPS，各家瀏覽器業者皆利用掛鎖圖示來提醒使用者傳輸上的安全，並大力推廣HTTPS，迄今Chrome所載入的網頁已有超過95%都是基於HTTPS。</p> <p>雖然掛鎖圖示只是用來顯示使用者與網站之間採用HTTPS通訊，但該圖示卻經常令使用者誤會所造訪的網站是安全的，Google在2021年的調查顯示，有高達89%的使用者誤解了掛鎖的意義，認為它同時也保證該站的可靠性，可保護使用者的隱私與安全。事實上，幾乎所有的網釣網站都採用HTTPS，<a href="https://www.ic3.gov/Media/Y2019/PSA190610" target="_blank">FBI也曾公開呼籲</a>HTTPS並非安全網站的保證。</p> <p>此外，其實使用者點選掛鎖圖示後，還能看到更多有關所造訪網站的資訊及控制選項，例如網站所蒐集的Cookie，是否允許網站通知，或是可進行網站設定等，但許多使用者卻從來不知此一功能。</p> <p>於是Google決定藉由變更圖示來導正此一現象，以曲調的變體來取代掛鎖，不再讓它被誤會為可靠的象徵，而且看起來更像可以點選、並內含設定與控制選項的樣子。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgugOcJZQTuZzMo-ker60pSIzOIfBPPIV7Gq_7nmOU9lVqJWZ-qyurLC-Pj3lrPrrh-pemoJC6Ix27Dam2LmNasddSS21m37_7YV8qbC2MPE8j1gEIcBqcMqSAvhq5WnAJ34OV3IZYoqhivJo0oN3C2A4NWA0csosSV4jFIbqhOopCrXwKPFu96oW6_Yg/s1600/tune.png" style="width: 150px;" /><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh42uF3vHKMYdRxs7Pn3IWFieNo15A49lukAYJ_WzOOgfN1frqfnkh45T-pUdZdIW-caFj1tA8IGBRRjgra_jd2JQ6igjESnX2xYieuWgA3aP4E7QU4mif8OrA7XAPwyURpVQ5azwDXe8NnuxjmV_4nnVEvc-YPBq76tcCOzBAS8pjQDNt-rKM88M3q6A/s1040/new-site-controls.png" style="width: 379px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>掛鎖圖示雖然在HTTPS連線終將成為常態之後退役，但未來Chrome依舊會把僅基於HTTP協定的網站標註為不安全（Insecure）以提醒使用者。</p> <p>根據Google的規畫，改用Tune圖示的Chrome 117預計於今年9月出爐，屆時桌面版與Android版上的Chrome將會同步更新，但iOS版因其掛鎖圖示原本就無法點選，因此打算直接將它移除。</p> </div></div></div>
2023/5/3 11:46作者陳曉莉https://www.ithome.com.tw/news/156687
Safari成為全球市占第二的桌機瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新市調數據顯示，蘋果的Safari成為全球第二多人使用的桌機瀏覽器，不過微軟Edge緊追在後。</p> <p><a href="https://gs.statcounter.com/browser-market-share/desktop/worldwide/#monthly-202201-202303" target="_blank">根據市調公司StatsCounter的桌機瀏覽器統計</a>，今年1月到3月底，全球桌機瀏覽器仍然以Chrome最多人使用，占66.13%，蘋果的Safari則為11.87%，以不到1%的差距擠下Edge（11%）。</p> <p>根據統計，去年同期，Safari與Edge市占分別為9.56%和9.65%。但去年4月起Safari表現疲弱被Edge擴大領先幅度，最多曾多出1%。今年1月Safari開始走揚，拉近雙方距離，2月Edge僅以10.85%領先Safari不到1%。</p> <p>雖然Safari本月交出漂亮成績單，但是否有辦法持續則有待觀察。<a href="https://9to5mac.com/2023/05/01/safari-second-most-used-web-browser/" target="_blank">9to5mac報導</a>，Safari在現代Web標準的支援方面落後競爭者，迫使Mac電腦用戶必須使用其他瀏覽器。相對的，Edge則整合許多功能，包括以當紅AI模型GPT為底層的Bing Chat、以及圖像設計工具Designer等。</p> <p>Mozilla Firefox和Opera則分別以5.65%與3.09%居四、五位。已經來到產品生命周期終點的Internet Explorer也還有0.55%。</p> <p>不過這數字僅提供參考。<a href="https://www.similarweb.com/browsers/worldwide/desktop/" target="_blank">另一家市調公司SimilarWeb的數據顯示</a>，桌機瀏覽器前三名分別為Chrome的65.45%、Edge的13.90%，Safari的10.03%。</p> </div></div></div>
2023/5/3 10:37作者林妍溱https://www.ithome.com.tw/news/156685
T-Mobile用戶個資遭外洩，今年第2次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電信大廠T-Mobile三月間再傳被駭導致用戶個資外洩，是今年以來第二次。</p> <p>今年3月23日T-Mobile接獲網路安全系統警告有非授權活動，經過該公司調查，判斷一名攻擊者在2月24日到3月30日之間存取部分T-Mobile用戶帳號的部分個資。T-Mobile於4月底以電子郵件通知受影響的用戶。</p> <p>T-Mobile表示，被存取的用戶資訊包括用戶全名、聯絡資訊、帳號及相關電話號碼、T-Mobile帳號密碼、社會安全號碼、政府身分證件資訊、生日、T-Mobile結欠餘額、內部服務碼（如用戶資費方案、功能代碼）、以及門號數量等。該公司強調這次事件未影響客戶銀行帳號資訊或通話紀錄。</p> <p>針對受影響的用戶，T-Mobile提供2年的信用卡監看及身分盜竊服務。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/ea3bf342-eca7-4833-b128-7b09f6893ac4.shtml" target="_blank">根據T-Mobile向美國緬因州檢察長辦公室通報</a>，遭存取個資的用戶有836人。雖然以人數來看並不大，但這是今年這家電信業者第二次被駭。今年1月，<a href="https://www.ithome.com.tw/news/146273" target="_blank">T-Mobile也向當局通報網路安全事件</a>，高達3,700萬用戶個資包括姓名、地址、生日、電話號碼等遭到惡意人士存取。</p> <p>2021年8月T-Mobile傳出上億用戶資料被放上地下網站兜售，T-Mobile最後證實有7,700萬美國用戶個資外洩，之後被用戶集體控告。<a href="https://www.ithome.com.tw/news/152099" target="_blank">該公司於2022年7月以3.5億美元和解</a>。</p> </div></div></div>
2023/5/3 10:55作者林妍溱https://www.ithome.com.tw/news/156686
蘋果、Google合作打擊Airtag非法跟蹤行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於利用AirTag等藍牙定位追蹤裝置進行非法跟蹤（stalking）事件頻傳，<a href="https://www.apple.com/tw/newsroom/2023/05/apple-google-partner-on-an-industry-specification-to-address-unwanted-tracking/" target="_blank">蘋果與Google昨（2）日宣布</a>將合作開發技術標準，讓被跟蹤的用戶可以及早察覺。</p> <p>2021年4月發表的AirTag可以將之夾或繫在鑰匙、行李或其他物件上，讓用戶可以透過Find My程式定位其位置。然而近年它被用來跟蹤他人或竊取車輛的情形屢見不鮮。蘋果數次更新AirTag，包括<a href="https://www.ithome.com.tw/news/149306" target="_blank">發送明顯提示</a>及<a href="https://www.ithome.com.tw/news/148353" target="_blank">支援Android裝置</a>來防止這類行為。不過這些只是治標方法，蘋果決定和Google從技術面合作以更有效確保用戶安全。</p> <p>蘋果和Google表示，雙方已經聯手向網際網路工程技術編組（Internet Engineering Task Force，IETF）提交了一份防範濫用AirTag、Tile等藍牙定位裝置進行惡意跟蹤的產業規格草案。這份草案將可讓這類藍牙位置追蹤裝置支援對非授權跟蹤的偵測，並對iOS及Android手機用戶發出警示。</p> <p>雙方表示，其他藍牙追蹤裝置供應商包括三星、Tile、Chipolo、Eufy和Pebblebee等都對本規格表達支持，也對其製造商提供生產時的最佳典範及指示。</p> <p>雙方表示這項草案除了涵括裝置製造商的想法，也整合安全與包括美國終止家暴網路（National Network to End Domestic Violence）等倡議組織的意見</p> <p>目前本技術規格草案已經提交IETF，<a href="https://datatracker.ietf.org/doc/draft-detecting-unwanted-location-trackers/" target="_blank">目前已在IEFT網站上公布</a>，並在未來三個月內開放公眾評論。之後蘋果和Google將彙整意見，並在2023年底之前公布規格的生產實作，且將實作到未來iOS及Android中。</p> <p>這也是蘋果和Google兩大平臺業者為了解決公眾安全問題再一次合作。在2020年初COVID-19疫情爆發時，<a href="https://www.ithome.com.tw/news/136924" target="_blank">兩公司也攜手合作開發</a>確診者接觸匿名追蹤技術及API，後來也都整合到iOS及Android手機中。</p> </div></div></div>
2023/5/3 09:45作者林妍溱https://www.ithome.com.tw/news/156681
研究人員開發出非侵入性腦機介面，已可將大腦活動轉為文字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德克薩斯大學奧斯汀分校（University of Texas at Austin）研究人員將語言模型和功能性磁振造影（fMRI）技術相結合，開發出具有讀心術能力的系統，該系統能夠將大腦活動轉為文字敘述。這個<a href="https://www.biorxiv.org/content/10.1101/2022.09.29.509744v1.full">研究</a>的價值在於，其證明了非侵入性腦機介面的可能性。</p> <p>過去科學家雖然透過讀取並解碼人類腦中的語言活動訊號，開發腦機介面概念性驗證，期望有朝一日可以讓失去語言能力的人，更容易地與其他人交流，但是過去的實驗存在兩項主要的限制，而這兩項限制也就影響了腦機介面的實用性。</p> <p>過去的腦機介面解碼器，需要執行侵入性的外科手術，而這顯然無法適用於大多數用途。另一個限制，則是來自於fMRI技術，fMRI擁有良好的空間特異性，也就是說，fMRI能夠以很高的空間解析度捕捉腦內活動，精確地在腦中定位出特定區域在特定時間點所出現的變化，這使得研究人員有能力找出腦內特定區域與認知、情感、行為之間的關聯。</p> <p>可惜的是，fMRI所用來反映大腦活動的血氧訊號BOLD（Blood Oxygen Level Dependent）卻很緩慢，導致fMRI的時間解析度很低，一般來說自然語言的節奏，大腦每秒處理兩個單字以上，也就是說fMRI所拍攝到的每張腦圖像，可能受超過20個單字影響，因此要解碼連續語言，還需要解決fMRI捕捉腦活動不夠敏感的問題。</p> <p>而研究人員研發出一種能夠猜測候選單字序列的解碼器來克服這個問題，該解碼器根據記錄的腦反應，評估每個候選序列的可能性，最終選擇出最佳的序列，而這個解碼器便能夠用於處理連續自然語言。</p> <p>為了將單字序列與受試者的腦反應相比較，研究人員訓練了一個編碼模型，該模型能夠預測受試者的腦對自然語言短語所產生反應，透過比較腦反應紀錄，以及受試者的腦反應，就能推測出受試者正在聽，或是想像的候選序列可能性。</p> <p>每個受試者穿戴fMRI掃瞄器，聽了16個小時的Podcast，研究人員使用解碼器和語言模型GPT，將受試者的大腦活動轉換成有意義的文字內容。雖然目前這項研究還在很初期的階段，但是對於部分刺激，解碼器已經可以正確解析出特定的單詞，並且生成意思相近的語句。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/F1_large.jpg" style="width: 580px;" /></p> </div></div></div>
2023/5/2 22:34作者李建興https://www.ithome.com.tw/news/156668
【資安日報】5月2日，俄羅斯駭客APT28再度對烏克蘭政府機關下手，這次是假借IT人員名義發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在開戰期間，俄羅斯駭客頻頻針對烏克蘭發動網路釣魚攻擊，他們大多假借提供有關戰爭情勢、空襲警報的資訊來做為幌子，但現在這些駭客假扮成組織的IT人員，宣稱要收信人執行電腦更新的名義來進行情資收集的工作，而很有可能讓收信人信以為真，照著對方的指示操作。</p> <p>新的勒索軟體病毒出現，也值得留意。最近研究人員揭露名為Rapture的勒索軟體，並指出其罕見的手法，有別於許多勒索軟體為了讓加密檔案流程更順利，會在加密檔案之前會停用各種處理程序，Rapture則是先偵察防火牆政策、PowerShell版本等措施來進行。</p> <p>隨著烏克蘭戰爭進行超過1年，已有針對衛星網路攻擊的事故，相關的資安議題也開始受到重視。在近日舉行的太空產業資安展（CYSAT）上，歐洲太空總署（ESA）徵求研究人員進行演練，結果資安業者Thales的研究員成功展示了相關攻擊手法。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cert.gov.ua/article/4492467"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">假借Windows更新的名義，俄羅斯駭客APT28對烏克蘭政府機關發動網路釣魚攻擊，意圖收集目標機關的電腦資訊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA-windows-update.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA-windows-update.png" style="width: 300px; float: right;" /></a>烏克蘭電腦緊急應變小組（CERT-UA）提出警告，俄羅斯駭客組織APT28假借系統管理員的名義，針對烏克蘭多個政府機關，以這些組織實際的系統管理者姓名，註冊Outlook.com電子郵件信箱（@outlook.com）來發送釣魚郵件。</p> <p>駭客要求收信人執行PowerShell命令來「更新」Windows作業系統，一旦照做，電腦就會下載PowerShell指令碼，並顯示「更新」的進度，但實際上駭客透過tasklist、systeminfo等命令在進行偵察，收集電腦系統資訊，並發送HTTP請求，將上述資料傳輸至特定Mocky的API。</p> <p>對此，CERT-UA建議系統管理員應針對重要的電腦限縮PowerShell功能，並監控是否有連接Mocky服務的異常流量。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/d/rapture-a-ransomware-family-with-similarities-to-paradise.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了增加得逞機率，勒索軟體Rapture植入前，祭出多種方法窺似受害者電腦</span></strong></a></p> <p>資安業者趨勢科技揭露名為Rapture的勒索軟體，他們從今年的3月至4月看到相關的攻擊行動，並指出該勒索軟體的特性在於，駭客企圖大幅減少在受害電腦留下的痕跡，並於入侵後3至5日就加密電腦檔案。研究人員先是看到駭客將勒索軟體注入合法的處理程序，其行為與滲透測試工具Cobalt Strike載入記憶體內（In-memory）的過程雷同，在部分情況下，駭客還會將勒索軟體偽裝成事件記錄檔案（LOG）。</p> <p>接著，攻擊者為了讓加密檔案的流程更為順暢，他們會在下達特定命令來啟動勒索軟體之前，檢查更多系統資訊，首先是防火牆的政策，以及PowerShell的版本，此外，該勒索軟體還會尋找是否含有存在弱點的Log4j程式庫。</p> <p><a href="https://www.thalesgroup.com/en/worldwide/security/press_release/thales-seizes-control-esa-demonstration-satellite-first"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員展示挾持歐洲太空總署衛星的手法</span></strong></a></p> <p>歐洲太空總署（ESA）在4月26日至27日，於巴黎舉行的第3屆太空產業資安展（CYSAT）上，展示名為OPS-SAT的衛星系統，公開徵求白帽駭客能嘗試進行破解、入侵。結果，資安業者Thales的4名研究人員成功存取此展示用衛星的機載系統，並利用數個漏洞將惡意程式碼植入衛星。</p> <p>他們採取的這些舉動，很可能導致衛星回傳地球的資料遭到竄改，或是在衛星圖屏蔽部分地理位置，甚至有機會隱匿攻擊行動而不被歐洲太空總署察覺。這次研究人員的技術展示，是全球第1起針對衛星系統的攻防演練。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兆勤防火牆設備出現重大漏洞，若不修補恐被用於執行OS命令</span></strong></a></p> <p>臺灣網路設備業者兆勤（Zyxel）於4月25日發布資安通告，揭露旗下防火牆設備重大漏洞CVE-2023-28771，此漏洞發生的原因與錯誤訊息的處理不當有關，攻擊者可在未經身分驗證的情況下，藉由發送偽造的封包至目標設備，遠端執行部分作業系統的命令，CVSS風險評分為9.8。</p> <p>此漏洞影響ATP、USG Flex、VPN、ZyWall、USG產品線設備，該公司針對ATP、USG Flex、VPN發布5.36版韌體、並對於ZyWall、USG設備發布4.73 Patch 1版韌體修補。</p> <p><a href="https://support.apple.com/en-us/HT201224"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對已遭利用的漏洞，蘋果首度發布快速修補Rapid Security Response更新</span></strong></a></p> <p>蘋果去年6月發布macOS Ventura作業系統的同時，也提出名為Rapid Security Update的快速修補機制，主要目的是在常規安全更新以外，對於已被用於攻擊行動的零時差漏洞釋出的緊急修補程式。</p> <p>而在今年5月1日，蘋果針對iOS 16.4.1、 iPadOS 16.4.1、macOS 13.3.1首度發布此種更新軟體，並強調使用者若是沒有調整裝置的軟體更新設定，行動裝置或電腦將會自動接收此種更新並安裝，成功升級後作業系統的版本編號結尾會多1個字母，例如：macOS 13.3.1（a），但蘋果並未說明本次修補了那些漏洞。</p> <p>值得留意的是，蘋果強調此種修補機制僅針對執行最新版的iOS、iPadOS、macOS作業系統的裝置提供；另使用者若是關閉此更新機制，他們的裝置會在下次例行更新得到修補。</p> <p><a href="https://taiwan.googleblog.com/2023/04/HowWeFoughtBadApps2022.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google Cloud平臺存在漏洞GhostToken，恐導致用戶帳號遭到挾持</span></strong></a></p> <p>資安業者Astrix揭露Google雲端平臺（GCP）的零時差漏洞GhostToken，攻擊者一旦利用這項OAuth漏洞，就能將惡意程式偽裝成合法的應用程式或是服務，上架於Google Marketplace等應用程式市集，並引誘使用者安裝。</p> <p>一旦使用者上當，駭客就能於受害者的Google帳號裡藏匿惡意應用程式，且無法透過應用程式管理介面刪除。再者，攻擊者不僅能隱藏惡意程式，還能隨意濫用Token存取受害者的Google帳號。</p> <p>研究人員指出，根據受害者授予惡意程式的權限，攻擊者有可能讀取Gmail裡的電子郵件，或是存取Google Drive、Google Photos的私人檔案及圖片，並且能得知受害者Google Calendar上的行程，甚至是根據Google Maps追蹤受害者的地理位置。研究人員於去年6月通報，Google於今年4月7日完成修補。</p> <p><a href="https://www.cisa.gov/news-events/ics-medical-advisories/icsma-23-117-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國針對Illumina的DNA測試系統重大漏洞提出警告</span></strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）與食品藥物管理局（FDA）聯手，針對DNA定序系統Illumina Universal Copy Service的漏洞CVE-2023-1968、CVE-2023-1966提出警告，指出一旦遭到利用，攻擊者可以在未經身分驗證的情況下，於作業系統層級上傳、執行程式碼，而有機會竄改設定、產品的敏感資料。</p> <p>其中最嚴重的漏洞是重大等級的CVE-2023-1968，允許未經身分驗證的攻擊者監聽網路流量，進而找到更多容易受到攻擊的系統，CVSS風險評分為10分。對此，Illumina於4月5日發布資安通告，並提出緩解措施。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://security.googleblog.com/2023/04/how-we-fought-bad-apps-and-bad-actors.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">2022年Google封鎖逾17萬開發者帳號</span></strong></a></p> <p>4月27日Google公布2022年Google Play生態體系的資安態勢，該公司一共封鎖了17.3萬個開發者帳號、阻止143萬個行動應用程式上架Google Play市集，同時他們也提高了開發者的身分驗證門檻，透過電話、電子郵件等方式進行檢驗，此外，該公司亦與SDK供應商合作，減少敏感資訊的存取、分享。Google表示在採取了上述措施之後，避免了超過2億美元的詐騙損失。</p> <p>Google透過應用程式安全提升計畫（Google Play App Security Improvement）來辨識App的安全性，在2022年協助開發者修補30萬個程式、50萬個安全缺失。再者，Google也去年初推動行動程式安全評估（Mobile App Security Assessment，MASA）驗證計畫，通過認證的App將能取得MASA標章。</p> <p><a href="https://www.ithome.com.tw/news/156617"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對Google Authenticator加入的同步功能可能存在資安風險，該公司承諾將採用端對端加密改善</span></strong></a></p> <p>在Google宣布為動態密碼產生器Authenticator提供同步功能，不久後<a href="https://twitter.com/mysk_co/status/1651021165727477763">有研究人員提出警告</a>，使用者應暫時停用相關功能，原因是Google並未採用端對端加密（E2EE），導致使用者雙因素證驗證碼可能會洩露，對此，<a href="https://twitter.com/christiaanbrand/status/1651279598309744640">Google身分與安全產品經理Christiaan Brand承諾</a>未來會納入E2EE。資安業者Mysk指出，由於該系統產生的QR Code，含有動態密碼的內容，一旦有人從未加密的流量知道其中的秘密，就有機會產生新的動態密碼，導致雙因素驗證的保護機制失效。</p> <p> </p> <h3> </h3> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.jpost.com/breaking-news/article-741298"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列主要新聞網站於獨立紀念日遭到Anonymous Sudan癱瘓</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/cold-storage-giant-americold-outage-caused-by-network-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">冷藏物流業者Americold傳出遭到網路攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/t-mobile-discloses-second-data-breach-since-the-start-of-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電信業者T-Mobile證實今年第2次遭遇資料外洩</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-leak-images-to-taunt-western-digitals-cyberattack-response/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat聲稱入侵硬碟製造商Western Digital，公布該公司的內部資料</span></span></strong></a></p> <p><a href="https://www.infosecurity-magazine.com/news/ransomware-disrupts-network/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國中學Hardenhuish遭到勒索軟體攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/156623">【4月28日】越南駭客透過臉書企業帳號，發布廣告散布惡意軟體SYS01 Stealer</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156594">【4月27日】中國駭客組織透過騰訊即時通訊軟體散布後門程式MsgBot，鎖定NGO人士而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/156575">【4月26日】法務部調查局資通安全處失火，疑為電腦設備負載過大造成</a></strong></p> </div></div></div>
2023/5/2 17:54作者周峻佑https://www.ithome.com.tw/news/156667
不丹政府也在開採比特幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼薩爾瓦多將比特幣列為法定貨幣並積極開採之後，近日傳出位於南亞的不丹也正在利用境內的水力發電開採比特幣，且不丹官員已向當地媒體<a href="https://thebhutanese.bt/dhi-confirms-that-it-is-mining-digital-assets/" target="_blank">《The Bhutanese》</a>證實此事。</p> <p>不丹挖礦情事之所以會曝光，是因為在BlockFi與Celsius等加密貨幣借貸平臺破產時，其公開紀錄讓《富比士》（Forbes）雜誌發現，不丹政府的投資機構 Druk Holding and Investments（DHI）赫然出現在這兩個平臺的借款人名單中。DHI執行長Ujjwal Deep Dahal除了澄清該組織並未因上述兩個平臺的破產而受害之外，也向《The Bhutanese》坦承它們的投資涉及各種加密貨幣，包括於不丹境內挖礦，且主要為比特幣。</p> <p>根據《The Bhutanese》的報導，DHI幾年前便進入挖礦領域，利用不丹的水力發電資源來開採比特幣，當時每枚比特幣的價格為5,000美元。</p> <p>如同薩爾瓦多利用當地火山資源所興建的地熱發電廠來開挖比特幣，<a href="https://www.ithome.com.tw/news/147966" target="_blank">更於火山附近打造比特幣城</a>，不丹也運用當地的天然水力資源來支撐挖礦所需的電力。</p> <p>《The Bhutanese》分析，以不丹的面積來看，該國擁有大量的水力發電資源，而且它們很便宜，再加上高山替挖礦業務提供了完美的自然空調場所，堪稱為綠色加密貨幣礦山。此外，Dahal也強調當地的電力供應優先考慮消費者、工業及企業需求，最後才輪到挖礦。</p> <p>DHI並未公布其挖礦規模與收益，表示挖礦僅是其眾多投資的其中一環，該組織也投資全球股市、可再生能源、健康、生物及農業科技等。</p> <p>然而，根據<a href="https://www.forbes.com/sites/iainmartin/2023/04/30/bhutan-bitcoin-mining-crypto/?sh=656f4e051f1b" target="_blank">《富比士》（Forbes）</a>雜誌的報導，過去主要進口汽油、鋼鐵與大米的不丹，其2021年及2022年最大宗的進口商品為電腦晶片。不丹在2020年的晶片進口價值為110萬美元，但2022年進口了價值1.42億美元的晶片，占該國進口總值的1/10，若全數用來打造資料中心，大概會有幾個足球場大。</p> <p>除了Dahal的發言之外，目前不丹政府仍避免公開談及境內的挖礦業務。</p> </div></div></div>
2023/5/2 11:25作者陳曉莉https://www.ithome.com.tw/news/156662
微軟推出Teams支付系統，在會議中就能付款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/small-and-medium-business-blog/microsoft-launches-the-teams-payments-app-for-small-businesses/ba-p/3808931" target="_blank">微軟周一（5/1）宣布</a>，已與GoDaddy、PayPal及Stripe等支付平臺合作，針對Microsoft Teams推出Payments程式，讓Teams用戶可直接於商業會議中付款。<a href="https://appsource.microsoft.com/en-US/product/office/WA200004641?exp=ubp8" target="_blank">現階段Payments處於公開預覽階段</a>，僅支援美國與加拿大市場。</p> <p>微軟說明，Microsoft Teams的願景是集中通訊及協作工具，包括聊天、開會、程式、檔案或支付，目前每月已有超過3億用戶仰賴Teams進行溝通；而Payments則是微軟替小型商家所設計的支付服務，讓這些商家更容易於Teams中向客戶收費，不管是律師或顧問要向業者收款，或是講師要向學生收費，而這些都可以直接於會議中進行。</p> <p>商家可先部署Payments程式，並將它連結到商家所使用的GoDaddy Payments、PayPal與Stripe帳號，在會議進行間，商家即可傳送一個付款請求予客戶，隨後客戶便可選擇是要透過信用卡、簽帳卡或是數位錢包來付款。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0502-microsoft%20teams-Payments-8-600.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-microsoft%20teams-Payments-8-600(1).png" style="width: 349px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px; text-align: center;">圖片來源_微軟</span></p> <p>目前包括Teams Essentials與Microsoft 365 Business訂閱用戶都可免費自Teams Store下載Payments程式，率先上架的是PayPal與Stripe支付功能，很快就會加入GoDaddy Payments。</p> </div></div></div>
2023/5/2 10:21作者陳曉莉https://www.ithome.com.tw/news/156660
OpenAI揚言控告沒付費使用API的GitHub專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tomshardware.com/news/openai-sends-shutdown-letter-to-gpt4free" target="_blank">《Tom's Hardware》報導</a>，當紅生成式AI新創公司OpenAI要求一個間接使用其模型API的GitHub專案從GitHub撤下，否則將告上法院。</p> <p>令OpenAI不開心的是由<a href="https://github.com/xtekky/gpt4free" target="_blank">代號Xtekky的歐洲學生開發主持的GPT4Free</a>。這是一項免費查詢服務，讓用戶可免費透過其他搜尋引擎包括You.com、Quora、Forefront及TheB回傳以GPT 3.5或GPT 4.0模型為基礎的搜尋結果。這是GitHub上一項熱門專案，本周獲得1.4萬顆星星。</p> <p class="rtecenter"><a href="http://github.com/xtekky/gpt4free" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-GitHub%20project-GPT4free.png" style="width: 450px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_GitHub</span></span></p> <p>但是Xtekky最近收到來自OpenAI的警告信件，要求他在五天內撤下整個專案，否則將告上法院。</p> <p>GPT4Free運作原理是以腳本程式，讓使用者間接造訪搜尋網站。You.com、Quora、Forefront及TheB都是OpenAI的付費客戶，透過API存取GPT 3.5及4.0模型。GPT4Free則以腳本程式在這些搜尋引擎搜尋，並將它們的搜尋結果JSON資料汲取回其網頁，使用戶可得到AI生成的答案，但不需付費，也不用造訪這些服務網站。</p> <p>Xtekky說他可以撤除腳本程式，但他認為，切斷存取應該是由這些網站主動為之；這些服務大可封鎖外部網站使其無法以API存取其服務，他也曾「建議」那些聯絡他的網站，但沒有人採取行動，而且這些網站似乎也沒接到OpenAI的通知一起來阻止他。不過Xtekky表示，他的確曾經撤下連向其他三個網站的腳本程式。</p> <p>GPT4Free的GitHub儲存庫頁面加入免責聲明，說明其服務使用第三方API，和API供應商沒有合作關係。此外，這項服務為個人專案，僅供教育用途，作者並不為使用其服務的任何後果承擔責任。</p> <p>對於OpenAI要求他移除專案的行為，Xtekky認為不合理。他相信OpenAI是想直接施壓他單方面撤除專案，然而正確方法應該是循數位千禧年法案（DMCA）途徑，正式行文GitHub，由後者處理此事。否則即使他移除專案，難保不會有其他專案也這麼做。</p> <p>目前這個專案仍然還在GitHub上，但<a href="https://discord.gg/gpt4free" target="_blank">作者表示</a>將使用新系統以確保任何要求的合法處置，也說正在規畫換新品牌，以及提升使用體驗的功能更新。</p> </div></div></div>
2023/5/2 11:10作者林妍溱https://www.ithome.com.tw/news/156661
蘋果釋出第一批修補零時差漏洞的快速安全更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT201224" target="_blank">蘋果昨（1）日釋出第一批快速安全更新</a>，以修補最新版iOS、macOS的零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/151318" target="_blank">蘋果是在去年6月公布macOS Ventura時宣布快速安全更新（Rapid Security Update）</a>，這是在常規的安全更新以外，針對iOS及macOS已經遭到濫用的漏洞釋出的緊急安全修補程式，類似微軟的例外安全更新（out-of-band security update）。</p> <p>根據蘋果說明，快速安全更新僅提供給最新版iOS、iPadOS及macOS，將從iOS/iPadOS 16.4.1與macOS 13.3.1開始。用戶iPhone、iPad及Mac電腦會自動安裝快速安全更新，一般不需重新啟動裝置，必要時會有提示用戶重啟。當安裝完成在系統顯示的軟體版本碼後會出現英文字母，例如iOS 16.4.1 (a)、 iPadOS 16.4.1 (a)或macOS 13.3.1(a)。</p> <p>iOS用戶可以透過「設定」＞「一般」＞「軟體更新」＞「自動更新」下的「安全回應＆系統檔案」開啟或關閉。Mac電腦上，該功能位於蘋果選單下的「系統設定」＞側邊欄的「一般」＞右方的「軟體更新」＞「自動更新」中的「顯示細節資訊」中，啟動「安裝安全回應與系統檔案」可以開啟接收。若用戶選擇關閉或不安裝，用戶裝置會在下一次的常規軟體更新中獲得這些安全更新。</p> <p>不過蘋果並未說明這波快速安全更新修補的是什麼漏洞。<a href="https://techcrunch.com/2023/05/01/apple-rapid-security-fixes/" target="_blank">Techcrunch報導</a>，間諜軟體開發商如QuaDream及NSO Group都曾經開發濫用iOS或Mac漏洞的竊密程式，以服務其政府客戶。此外，<a href="https://blog.cyble.com/2023/04/26/threat-actor-selling-new-atomic-macos-amos-stealer-on-telegram/" target="_blank">上周安全廠商Cyble</a>也發現一隻macOS竊密程式Atomic macOS Stealer（AMOS），後者可透過漏洞或釣魚網站散布並攻擊Mac電腦用戶。</p> </div></div></div>
2023/5/2 09:55作者林妍溱https://www.ithome.com.tw/news/156658
Arm已提交IPO申請，可望成今年最大案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20230429005023/en/" target="_blank">英國晶片設計業者Arm表示</a>已在周末提交股票公開發行（Initial Public Offering，IPO）的申請，可能成為今年金額最大的IPO案。</p> <p>Arm在4月30日向主管機關美國證管會（Securities and Exchange Committee，SEC）祕密提交與美國存託股份相關的F-1表格的申報登記聲明擬稿（Draft Registration Statement），意謂已啟動股票公開發行IPO的正式申請程序。</p> <p>Arm表示，IPO的規模和價格還有待決定，取決於市場及其他因素，以及SEC審核程序，也未說明預計在哪個市場掛牌，或公司市值。不過<a href="https://www.reuters.com/markets/deals/softbanks-arm-registers-blockbuster-us-ipo-sources-2023-04-29/" target="_blank">《路透社》</a>及其他早前消息報導，Arm會在多數科技公司偏好的那斯達克（Nasdaq）掛牌，預計募資80億到100億美元。本案也可望是今年最大IPO案之一。</p> <p>至於公司市值，業界傳聞的金額不一，<a href="https://www.bloomberg.com/news/articles/2023-04-29/softbank-s-arm-registers-confidentially-for-us-ipo-reuters-says" target="_blank">《彭博》則報導</a>該公司以300億到700億美元市值向投資銀行融資。</p> <p>Arm是在與繪圖晶片大廠Nvidia併購案被迫取消後轉向IPO。2020年9月Nvidia宣布以400億美元收購軟體銀行（SoftBank）持有的Arm。但本案受到Nvidia競爭者反對及美、英等國主管機關阻撓，<a href="https://www.ithome.com.tw/news/149264" target="_blank">Nvidia和軟銀於去年初宣布</a>取消交易，Arm則啟動在2023年重新掛牌上市的計畫，且原執行長Simon Segars下臺，由智財部門主管Rene Haas接任。</p> <p>Arm此時選擇上市頗為大膽。2022年全球陷入經濟衰退，不僅重挫許多科技新創公司的IPO計畫，就連Arm母公司軟銀也面臨挑戰。<a href="https://www.cnbc.com/2023/02/07/softbank-vision-fund-posts-another-quarterly-loss-as-tech-slump-bites.html" target="_blank">去年12月當季軟銀願景基金（Vision Fund）虧損</a>60億美元，是連續4季赤字，軟銀總裁孫正義曾表示公司投資將轉向保守策略。</p> </div></div></div>
2023/5/2 10:09作者林妍溱https://www.ithome.com.tw/news/156659
Google去年封鎖逾17萬開發者帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2023/04/how-we-fought-bad-apps-and-bad-actors.html" target="_blank">Google上周公布了</a>2022年針對Google Play生態體系所執行的資安行動，指出去年總計封鎖了17.3萬個開發者帳號，阻止143萬個行動程式登上Google Play，以及避免了價值逾2億美元的詐騙與交易，同時也提高了Google Play的開發者身分驗證門檻。</p> <p>要減少Google Play上的惡意與詐騙程式的第一步就是驗證開發者身分，於是Google利用電話、電子郵件與其它方式來驗證開發者身分，亦與SDK供應商合作，減少敏感資訊的存取及分享，以強化Google Play上百萬款程式的隱私安全，近3年來，Google已經藉此避免讓50萬個程式取得沒有必要的敏感資訊存取權限。</p> <p>Google亦透過內建的應用程式安全提升計畫（Google Play App Security Improvement）來辨識Google Play上程式的安全性，在2022年總計協助開發者修補30萬個程式上的50萬個安全缺失，而這些程式的全球安裝數量約為2,500億。</p> <p>此外，<a href="https://security.googleblog.com/2022/12/app-defense-alliance-expansion.html" target="_blank">Google在去年初發表了</a>行動程式安全評估（Mobile App Security Assessment，MASA）計畫，只要通過行動程式安全認證標準的程式就能獲得MASA標章，並出現在程式的資料安全項目中。</p> <p>MASA源自於Google在2019年推出的<a href="https://www.ithome.com.tw/news/134075" target="_blank">應用程式防護聯盟（App Defense Alliance，ADA）</a>，而Google Play也是全球第一個利用標章來辨識通過ADA MASA獨立安全審核之程式的商業應用程式商店。</p> <p>首波加入ADA的資安業者包括ESET、Lookout與Zimperium，Google與上述業者利用自家的掃描引擎來檢查企圖上架至Google Play的眾多程式，並擋下可疑程式。去年Google也擴大了ADA的陣容，再邀請McAfee及趨勢科技加入。</p> </div></div></div>
2023/5/1 14:38作者陳曉莉https://www.ithome.com.tw/news/156636
iIlumina基因定序儀出現可洩密、竄改資料的軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/ics-medical-advisories/icsma-23-117-01" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）本周警告</a>，基因定序大廠illumina的基因定序儀器軟體有安全漏洞，可造成駭客竊取、或竄改檢驗結果等重大安全疑慮。</p> <p>CISA安全公告包含2項漏洞資訊，皆影響Illumina的基因定序儀軟體Universal Copy Service（UCS）。第一個是CVE-2023-1968，可造成分析儀連向不受限制的IP位址，讓未經授權的攻擊者利用UCS竊聽所有IP位址，包括能用於攔截遠端通訊的憑證資訊。這項漏洞風險值達10.0。</p> <p>第二項漏洞CVE-2023-1966，則是UCS包含不必要的權限，讓未經授權的攻擊者遠端上傳與遠端在作業系統層執行程式碼，使其能遠端接管儀器，或變更儀器的設定、配置、軟體或存取敏感資料。本漏洞風險值為7.4。</p> <p>CVE-2023-1968影響UCS軟體v2.x版，CVE-2023-1966則影響v1x和v2.x版。</p> <p><a href="https://www.fda.gov/medical-devices/letters-health-care-providers/illumina-cybersecurity-vulnerability-affecting-universal-copy-service-software-may-present-risks" target="_blank">美國食品藥物管理署（FDA）也警告</a>，成功濫用這二項漏洞可能造成臨床診斷結果遭到刪除、變更或外洩。有多項Illumina的基因定序儀器使用UCS軟體，包括MiSeqDx、NextSeq 550Dx、iScan、iSeq 100、MiniSeq、MiSeq、NextSeq 500、NextSeq 550、NextSeq 1000/2000、和NovaSeq 6000。</p> <p>漏洞是由illumina通報，該公司表示目前沒有證據顯示漏洞已被濫用。<a href="https://support.illumina.com/downloads/illumina-universal-copy-service-1-0.html" target="_blank">illumina已於4月初釋出更新軟體</a>，呼籲使用問題軟體的用戶下載安裝。若暫時無法安裝更新，CISA建議用戶減少所有系統的網路曝險，並找出防火牆後的遠端裝置，將其與公司網路隔離。</p> </div></div></div>
2023/5/1 14:59作者林妍溱https://www.ithome.com.tw/news/156637