iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安月報】2023年6月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月的資安新聞中，以勒索軟體攻擊與供應鏈攻擊為主要焦點。</p> <p>在國內方面，首要焦點就是勒索軟體Lockbit駭客在6月30日聲稱，台積電成為他們的受害者，當日台積電否認遭駭，並表示已注意到一家合作IT硬體供應商發生資安事故，並已依照標準作業程序來處置。而關於這家IT硬體供應商的身分，媒體報導指向擎昊科技，後續，擎昊科技在同一日發布資安事件的公告，說明遭遇網路攻擊並被擷取相關資訊的環境為工程測試區，主要是出貨的基本設定等參數資訊流出，而因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，並指出這些資訊無關用戶的實際應用。這起事件的發生，有可能是攻擊者搞錯攻擊對象，但多少反映供應鏈安全的議題，也提醒我們勒索軟體組織近年時常針對供應鏈發動攻擊，從供應鏈脆弱的環節著手的態勢。</p> <p>關於Lockbit的危害，其實這兩年新聞已經是不斷，值得留意的是，今年6月中旬，多國網路安全機構對其發出聯合安全公告，指出近三年來，Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），而當中也剖析了LockBit的攻擊步驟，並提供攻擊流程各階段的防護緩解措施。</p> <p>此外，在我們盤點這一個月的臺灣重大資安消息時，新發現國內上櫃公司、主推GPS相關應用的<a href="https://s4.itho.me/sites/default/files/images/2023-06-29_182021.jpg">環天世通科技（環天科），在6月19日發布資安事件重大訊息</a>，說明公司發生部分資訊系統遭受駭客網路攻擊的狀況。</p> <p>在國際方面，5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊爆出後，這起軟體供應鏈攻擊的事件，所造成的災情在整個6月變得更加顯著，隨著後續消息不斷揭露，曝光的受害企業是越來越多。</p> <p>當中備受矚目的受害者包括：英國電信主管機關Ofcom、英國航空、BBC、愛爾蘭航空、藥妝連鎖Boots、薪資軟體服務商Zellis，石油巨擘Shell，以及美國能源部等多個聯邦與州政機關受害，而在後續勒索軟體組織Clop陸續公布的受害名單中，還包括資安業者Gen Digital、以及美國多個金融、醫療領域的公司與組織，最新還出現德國西門子能源公司、法國施耐德電機等。</p> <p>由於美國受害單位眾多，這也引發美國國務院外交安全局在其正義獎勵計畫中，祭出了千萬懸賞，鼓勵外界舉報幕後攻擊者的資訊。而根據微軟的調查指出，這波攻擊與發動Clop勒索軟體的駭客組織有關，攻擊背後應是Lace Tempest（又名DEV-0950、FIN11與TA505等）的駭客組織所為。此外，我們也找到研究公司<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">Kon Briefing的網站</a>，他們設立了專頁整理、統計受害者的資訊，當中顯示有20多國、逾170家公司或組織受影響，美國數量最多，其次為德國、英國。</p> <p>其他重要資安焦點新聞方面，包括：本月歐洲議會針對AI法《AI Art》草案的投票通過，即將成為全球第一個人工智慧法案，將針對某些可能嚴重影響人類安全的AI應用予以禁止，並設計AI風險等級，用以規範開發商與採用組織的義務；關於MITRE發布的CWE通用弱點列表，近日公布2023年版最常見且危險的軟體安全缺陷，占據前三名的是越界寫入的CWE-787，XSS的CWE-79，SQL Injection的CWE-89，特別的是，使用已釋放記憶體（Use After Free）的CWE-416比去年上升三名。還有像是Google發表了安全AI框架（Secure AI Framework，SAIF），美國CISA、NSA發布了伺服器基板管理控制器（BMC）的安全強化指南。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/157277"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月5日到6月9日</span></a></strong></h2> <p>在這一週的漏洞消息中，有3個重點，首先是Google釋出新版Chrome修補零時差漏洞CVE-2023-3079，這是一個Chromium的V8類型混淆漏洞，該公司指出已出現攻擊行動，另一是上週（６月１日）有資安業者警告，攻擊者可能利用Zyxel新修補的漏洞CVE-2023-33009、CVE-2023-33010，如今也被美國CISA列入已知漏洞利用清單。另外值得注意的是，有研究人員示警，微軟4月修補的一項Visual Studio漏洞，是容易被利用的漏洞，恐被用於滲透開發環境。</p> <p>在攻擊活動與威脅態勢方面，最大焦點，是5月下半針對MOVEit Transfer零時差漏洞的攻擊事件，受到多家資安業者關注，並揭露後續消息，包括其攻擊背後是勒索軟體駭客組織Clop所發動，以及受害企業可能達百家之多，還有攻擊者可能在2年前就發現了漏洞，經長期測試後才根據排程發動攻擊。另外，我們在整理事件後續進展時，新發現已有資安調查業者整理與公告事件<a href="https://github.com/curated-intel/MOVEit-Transfer">相關脈絡</a>。</p> <p>關於勒索軟體持續與中國駭客組織的消息不少。在勒索軟體方面，包含0mega鎖定企業用SharePoint Online，以及Cyclops結合竊資軟體功能的揭露：在中國駭客攻擊方面，有多家資安業者揭露不同組織的新動向，分別是Camaro Dragon利用後門程式TinyNote鎖定東南亞外交單位，PostalFurious鎖定星、馬，甚至阿拉伯國家發動網釣簡訊攻擊，以及SharpPanda透過Office方程式編輯工具老舊漏洞的攻擊行動，已從東南亞擴散至G20國家。</p> <p>另外還有3個威脅活動也值得關注，包括資料流自動化處理系統Apache NiFi遭駭客鎖定，殭屍網路TrueBot鎖定稽核軟體Netwrix重大漏洞，以及PowerDrop的PowerShell惡意程式鎖定美國太空產業部署RAT的揭露。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157409"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月12日到6月17日</span></a></strong></h2> <p>在這一週的漏洞消息中，在漏洞利用方面，有兩個需優先注意，首先是Fortinet修補其防火牆產品的SSL VPN漏洞CVE-2023-27997，已被美國CISA列入已知成功利用清單，另一是VMware ESXi一項CVSS評分為3.9分的零時差漏洞CVE-2023-20867被中國駭客UNC3886運用於最新攻擊的揭露，VMware亦於同日釋出修補。</p> <p>在漏洞修補方面，微軟釋出6月例行性安全更新以修補近80個漏洞，還有多家科技大廠發布安全性更新修補公告，包括Progress、SAP、西門子、施耐德電機等。</p> <p>國際間還有4項值得關注的重要資安事件，包括瑞士國家網路安全中心（NCSC）公布，該國聯邦機構與國營企業的網站遭俄羅斯駭客組織NoName攻擊；韓國國家情報院（NIS）警告，北韓駭客偽冒韓國最大入口網站Naver，透過即時鏡像複製Naver網站內容、並註冊以NAVER混淆的相近網域名稱；以及智利軍隊遭勒索軟體攻擊的揭露。</p> <p>此外，前陣子的2起重大資安事件有新消息，包括遭遇MOVEit Transfer零時差漏洞攻擊的受害者名單陸續浮上檯面，以及針對Barracuda郵件安全閘道零時差漏洞的攻擊，疑為中國駭客組織UNC4841所為。在其他威脅態勢方面，有中國駭客組織ChamelGang針對Linux主機攻擊，並以DoH方式連線C2中繼站規避偵測的揭露，以及發現駭客假冒資安研究人員姓名照片上傳零時差漏洞PoC的情形。同時，有研究指出ChatGPT回答程式語言問題時，會給出不存在的NPM套件、PyPI套件的名稱，因而存在可被駭客加以濫用的風險。</p> <p>在資安防護焦點上，最受關注的莫過於歐洲議會針對AI法《AI Art》草案的歷史性投票通過，不僅是針對某些可能嚴重影響人類安全的AI應用予以禁止，並以AI風險等級，規範開發商與採用組織的義務，而臺灣AI基本法的立法倡議仍不明朗亦因此受關注。另外，針對近兩年危害最大的勒索軟體LockBit，多國網路安全機構發布新的聯合安全公告，說明其攻擊手法與防護建議。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157490"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月19日到6月21日</span></a></strong></h2> <p>在這一週的漏洞消息方面，有兩大焦點，蘋果在21日針對較早版本iOS、iPadOS（16.5.1、15.7.7），共修補3個已獲報遭鎖定利用的零時差漏洞（CVE-2023-32434、CVE-2034-32435及CVE-2023-32439），而微軟Azure AD的OAuth身分驗證機制被揭露其實作存在缺陷，微軟正著手修補。其他還有兆勤修補NAS漏洞，施耐德電機、Wago設備修補的消息，以及WD將針對未修補重大漏洞的設備，限制存取其雲端服務。</p> <p>在威脅態勢方面，以路由器安全漏洞消息與殭屍網路動向最受關注，首先是19日華碩發布路由器的韌體更新，修補了9個漏洞，其中3個是今年的新漏洞，6個是早年就揭露的已知漏洞，其中CVE-2022-26376和CVE-2018-1160是重大漏洞；接著是20日TP-Link路由器3月修補的一項漏洞遭新殭屍網路Condi Network鎖定，而我們整理這週資訊時，由於端午連假期間還有一起相關事件，因此這裡也特別補充，那就是<a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">Mirai殭屍網路鎖定多家路由器去年或今年上半修補的已知漏洞，針對未修補用戶發動攻擊的情形</a>。</p> <p>其他攻擊與威脅焦點中，有兩大活動揭露值得注意，一是用戶刪除的AWS S3儲存桶竟遭非法人士占用並散布惡意軟體，另一是針對釣魚工具包去年普遍納入MFA Bypass能力的揭露。其他焦點包括：殭屍網路Tsunami鎖定SSH伺服器，竊資軟體RDStealer透過RDP向C2傳送竊取資料，以及竊資軟體Vidar、Mystic均有攻擊升溫的揭露。</p> <p>另外，MOVEit Transfer零時差漏洞攻擊持續有後續消息，包括美國有兩個州政府公告民眾個資外洩，以及旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital也受害，而美國國務院外交安全局更宣布，在其正義獎勵計畫祭出千萬美元懸賞，鼓勵外界舉報幕後Clop勒索軟體集團的資訊。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157587"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月26日到6月30日</span></a></strong></h2> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。<a href="https://www.ithome.com.tw/news/157600">以Lockbit而言，30日他們聲稱台積電為受害者</a>，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續也向該公司了解狀況，該公司表示已於<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">30日在網站發布遭遇資安事件的公告</a>，當中指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在周五密切關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有相當大量Akira勒索軟體受害者被公布的情況，值得關注。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），三星裝置的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> <p> </p> </div></div></div>
2023/7/5 10:31作者羅正漢https://www.ithome.com.tw/news/157613
臺大、北榮等多家醫學中心加入保險理賠醫起通，壽險公會下一步目標年底上線2.0版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>壽險公會今日宣布多家醫學中心已簽約加入保險理賠醫起通，包括臺大、北榮、長庚、花蓮慈濟和三軍總醫院。目前，保險理賠醫起通簽約數量增加至19家醫院、25院區，涵蓋全臺灣半數醫學中心。此外，壽險公會正在籌備保險理賠醫起通2.0版本，目標年底正式上線。</p> <p>壽險公會自去年九月起和臺灣指標性醫院進行接洽，並在今年陸續完成簽約，包括臺大、北榮、三軍總、中榮、長庚、花蓮慈濟和振興等醫院。</p> <p>現行的保險理賠醫起通為1.5版本，保戶線上提出理賠申請，醫院透過系統調閱病歷、彙整為PDF檔，上傳至公會保險科技運用共享平臺，公會再發給保險公司。此外，保戶也可在線上簽署病歷資料使用同意書，並統一遞交給保險公司。</p> <p>除了現行版本，壽險公會也正籌備保險理賠醫起通2.0版，要將現行醫院上傳的PDF檔案，改為結構化資料，針對病歷資料、診斷證明、收據等設計各自的公版欄位，來讓醫院系統直接帶入，來協助保險公司減少人工對照PDF和騰打資料的時間。</p> <p>壽險公會資訊應用組主任陳乙棋說明保險理賠醫起通2.0進度。他表示，目前公會仍在和各醫院確認介接規格，待三方達成共識後便會進行開發和測試，測試醫院包含國泰、臺大、榮總、長庚等八家醫院，目標年底正式上線。</p> </div></div></div>
2023/7/4 19:33作者李昀璇https://www.ithome.com.tw/news/157625
【資安日報】7月4日，勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客入侵受害組織的管道，往往可能透過特定應用系統的漏洞，在受害組織建立初期的存取管道，但現在有駭客針對系統管理員、網路管理員而來，打算利用他們的電腦做為初期據點，並藉此搜刮各種管理員帳密資料，來做為後續攻擊之用。</p> <p>中國駭客針對歐洲外交單位的網路釣魚攻擊，也引起研究人員關注。這些駭客利用HTML挾帶（HTML Smuggling）手法，於受害電腦植入惡意軟體，根據駭客埋入HTML的檔案，研究人員看到兩大類型感染手法。</p> <p>有資安業者針對上個月Fortinet修補的防火牆SSL VPN漏洞CVE-2023-27997提出警告，因為他們看到仍有近7成防火牆系統尚未套用相關的更新程式，而有可能成為駭客下手的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat藉由提供WinSCP應用程式的名義，透過惡意廣告推送Cobalt Strike</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-mal2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-mal2.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露勒索軟體BlackCat（亦稱Alphv）近期的攻擊行動，駭客在Google、Bing兩大搜尋引擎投放惡意廣告，引誘想要下載檔案傳輸工具WinSCP的系統管理員、網路管理員上鉤，目的是藉此初步入侵企業網路環境。</p> <p>一旦使用者透過廣告存取惡意網站winsccp[.]com，並依照指示下載安裝程式，就會從遭到入侵的WordPress網站下載ISO映像檔，然而使用者一旦開啟映像檔並執行其中的安裝程式，電腦在安裝WinSCP的過程裡，就有可能被植入木馬程式python310.dll，以及Cobalt Strike。</p> <p>駭客成功執行上述的滲透測試工具後，便透過AdFind、PowerView、PsExec、BitsAdmin、Curl等應用程式，進行後續的攻擊行動，值得一提的是，駭客也使用了名為SpyBoy terminator的惡意軟體，繞過防毒軟體與EDR系統的偵測。</p> <p><a href="https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客發起SmugX攻擊行動，鎖定歐洲國家外交單位而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/925N2C702S-image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/925N2C702S-image5.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客自2022年12月開始的攻擊行動SmugX，駭客鎖定英國、法國、瑞典、烏克蘭、捷克、匈牙利、斯洛伐克的大使館或是外交部，以歐洲國家及外交政策為主題發動網路釣魚攻擊，利用HTML挾帶（HTML Smuggling）手法，將惡意酬載埋藏於HTML檔案的程式碼，最終於受害電腦部署惡意程式PlugX。</p> <p>研究人員看到的感染流程可歸類為兩種，一種是HTML檔案會導致受害者下載含有LNK檔案的ZIP壓縮檔，而另一種HTML檔案則是會執行JavaScript指令碼，從遠端伺服器下載MSI安裝程式。</p> <p>而對於駭客的身分，研究人員認為，SmugX攻擊行動與RedDelta、Mustang Panda兩個中國駭客組織有所交集，研判攻擊者是中國駭客，但無法確定是那個組織。</p> <p><a href="https://bishopfox.com/blog/cve-2023-27997-exploitable-and-fortigate-firewalls-vulnerable"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾33萬臺Fortinet防火牆尚未修補SSL VPN重大漏洞CVE-2023-27997</span></strong></a></p> <p>資安業者Fortinet於6月8日修補防火牆作業系統零時差漏洞CVE-2023-27997（CVSS風險評分9.2），並指出已出現攻擊行動，但現在有研究人員發現，仍有大量的FortiGate防火牆尚未套用修補程式而曝險。</p> <p>資安業者Bishop Fox指出，他們找到約有489,337萬臺啟用SSL VPN相關介面的防火牆曝露於網際網路，當中僅有153,414臺安裝相關更新，換言之，仍有335,923尚未修補上述漏洞，也就是有69%的防火牆曝露相關風險。</p> <p>研究人員指出，他們發現部分防火牆長達8年未套用更新程式，亦有已屆生命週期終止（EOL）的防火牆仍在運作。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-denies-data-breach-theft-of-30-million-customer-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Anonymous Sudan聲稱竊得3千萬微軟帳號資料，遭到該公司否認</span></strong></a></p> <p>6月上旬駭客組織Anonymous Sudan癱瘓微軟Outlook.com、OneDrive.com、Azure入口網站等數項服務，近期又有了新的動作。根據資安新聞網站Bleeping Computer的報導，該組織於7月2日聲稱成功入侵微軟，並盜走了大型資料庫，內含3千萬個微軟帳號、電子郵件，以及密碼，他們以5萬美元的價格兜售上述資料，並提供100組帳密供買家比對。</p> <p>對此，微軟發言人向該新聞網站表示，他們目前並未發現客戶資料遭到異常存取的跡象。而對於駭客公布的部分資料，該新聞網站認為，有可能是從第三方服務供應商流出的舊資料。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.imy.se/en/news/companies-must-stop-using-google-analytics/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兩家瑞典企業因使用Google Analytics違反GDPR遭罰</span></strong></a></p> <p>7月3日瑞典隱私保護局（IMY）宣布，已要求境內4家企業Tele2、CDON、Coop、Dagens Industri，停止使用網站流量分析工具Google Analytics，並對於其中的兩家業者Tele2及CDON，分別祭出1,200萬瑞典克朗及30萬瑞典克朗的罰款，原因是這些企業透過Google Analytics把瑞典民眾的資料傳輸至美國，違反了歐盟隱私保護法GDPR。</p> <p>IMY的稽核行動源自於非營利歐洲數位權利中心（NOYB）的投訴，原因是上述4家瑞典企業違反歐盟法院於2020年裁決（當時歐盟法院廢除了歐美之間的Privacy Shield資料傳輸保護協議），且對於資料保護採取的安全防護措施皆未符合歐盟GDPR要求，其中，Tele2與CDON因未採取與另兩家業者同樣的廣泛保護，IMY處以行政罰款。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺美金融資安論壇6月底召開，指出資訊安全威脅與氣候變遷、環境永續議題同等重要</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/356701905_645263364299449_3164606055613892741_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/356701905_645263364299449_3164606055613892741_n.jpg" style="width: 300px; float: right;" /></a>臺灣金融研訓院與美國在臺協會（AIT）於6月29日，舉辦臺美金融資安論壇，總統蔡英文、AIT處長孫曉雅皆出席此會議。</p> <p>孫曉雅指出，資訊安全威脅的議題，與氣候變遷、環境永續同等重要，無論是美國還是臺灣，金融業經常面臨勒索軟體與駭客攻擊的威脅，在不法份子持續演進、變化的情況下，防守方的合作變得更為重要，美國政府已採取措施及祭出策略，透過資安領域的臺美合作機制，以及全球交流工作，美國持續致力於與理念相近夥伴打造更可信賴的供應鏈，此次論壇開啟了臺美金融資安聯防交流平臺的合作序幕。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/tabf.org/posts/pfbid02dLc5wUUQTrteCnkpHdNwhdN1Yy32Z2qiGjU31f1KmHGQYR1EM1vWNLTQdKWnnvr3l">https://www.facebook.com/tabf.org/posts/pfbid02dLc5wUUQTrteCnkpHdNwhdN1Yy32Z2qiGjU31f1KmHGQYR1EM1vWNLTQdKWnnvr3l</a><br /> 2. <a href="https://www.facebook.com/AIT.Social.Media/posts/pfbid0Dig8wfckGdKMvNbCCshPUZ4ehrQjoNE7cxPwRWa16Se5YS26JUXJctFy1ZFQAHw2l">https://www.facebook.com/AIT.Social.Media/posts/pfbid0Dig8wfckGdKMvNbCCshPUZ4ehrQjoNE7cxPwRWa16Se5YS26JUXJctFy1ZFQAHw2l</a><br /> 3. <a href="https://www.cna.com.tw/news/afe/202306290062.aspx">https://www.cna.com.tw/news/afe/202306290062.aspx</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bankinfosecurity.com/trauma-terrorist-victim-data-breached-in-university-attack-a-22409"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國曼徹斯特大學遭網路攻擊，110萬傷患個資、學生個資外洩</span></span></strong></a></p> <p><a href="https://news.mit.edu/2023/mit-researchers-evaluate-cybersecurity-methods-0628"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">麻省理工學院發布網路安全評估框架</span></span></strong></a></p> <p><a href="https://media.defense.gov/2023/Jun/28/2003249466/-1/-1/0/CSI_DEFENDING_CI_CD_ENVIRONMENTS.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家安全局、CISA發布保護CI/CD環境的指引</span></span></strong></a></p> <p><a href="https://cyberscoop.com/white-house-cybersecurity-budget-2025/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府公布2025年網路安全預算優先項目</span></span></strong></a></p> <p><a href="https://liquid.tech/wp-content/uploads/2023/06/LIQUID-C2-Report.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對非洲國家的大型網路攻擊顯著增加</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157597">【7月3日】存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> </div></div></div>
2023/7/4 17:16作者周峻佑https://www.ithome.com.tw/news/157624
全球還有33萬臺FortiGate防火牆尚未修補遠端程式執行漏洞CVE-2023-27997
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-cve-2023-27997-and-clarifications-on-volt-typhoon-campaign" target="_blank">資安業者Fortinet在今年的6月8日更新FortiOS作業系統</a>，以修補旗下防火牆設備FortiGate的多個安全漏洞，其中風險最高的<a href="https://www.fortiguard.com/psirt/FG-IR-23-097" target="_blank">CVE-2023-27997</a>在修補當時已遭到駭客利用，而根據另一資安業者<a href="https://bishopfox.com/blog/cve-2023-27997-exploitable-and-fortigate-firewalls-vulnerable" target="_blank">Bishop Fox的調查</a>，在全球曝露於網路上的49萬臺FortiGate中，現今仍有多達33.6萬臺尚未修補該漏洞，占比69%。</p> <p>CVE-2023-27997屬於FortiOS SSL-VPN預認證的堆積緩衝區溢位漏洞，允許遠端程式攻擊，在揭露當時已出現少數的目標式攻擊行動，鎖定政府、製造業及重大基礎設施。FortiGate為Fortinet第一個也是最主要的產品，Fortinet建議啟用SSL-VPN的FortiGate用戶應立即部署最新作業系統，就算沒有啟用該功能的用戶雖然可減輕風險，但最好也升級。</p> <p>Bishop Fox的能力發展總監Caleb Gross指出，有別於坊間以SSL憑證進行搜尋，找到了全球25萬臺位於公開網路上的FortiGate，他們使用不同的搜尋字串，利用Shodan發現49萬臺曝露SSL-VPN介面的FortiGate，再檢查這些設備的韌體更新日期，卻發現部署最新更新的只有153,414臺，等於尚有69%並未修補安全漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-Bishop%20Fox-FortiGate-CVE-2023-27997.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Bishop Fox</span></span></p> <p>Bishop Fox的調查還發現，有些FortiGate設備甚至有8年沒更新了，亦有不少設備的生命周期已經結束，卻依然運作著。</p> <p>Bishop Fox為一攻擊型資安業者，透過主動的模擬攻擊來識別及減輕漏洞威脅，因此也已打造出CVE-2023-27997漏洞的攻擊程式，以用來驗證漏洞的存在與嚴重性，同時測試修補程式的有效性。此一攻擊程式在1秒內就執行完畢，成功建立與受駭系統的連結、下載了程式，並於受駭系統上開啟了命令列介面。</p> </div></div></div>
2023/7/4 15:25作者陳曉莉https://www.ithome.com.tw/news/157623
微軟否認遭Anonymous Sudan取得其3000萬客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周否認6月初的DDoS攻擊導致超過3,000萬筆客戶資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/157216" target="_blank">6月初微軟證實</a>，包括Outlook.com、OneDrive、Microsoft 365及Azure等雲端服務發生斷線情形。一個名為Anonymous Sudan的組織宣稱為了報復美國干預蘇丹內政，而對美國企業發動分散式阻斷服務（DDoS）攻擊。<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-azure-outlook-outages-caused-by-ddos-attacks/" target="_blank">微軟事後也坦承</a>DDoS攻擊為服務中斷的原因。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-denies-data-breach-theft-of-30-million-customer-accounts/" target="_blank">《Bleeping Computer》</a>報導，Anonymous Sudan上周再透過Telegram宣稱他們成功駭入微軟，並存取了一個包含超過3,000萬筆微軟帳號、電子郵件和密碼的資料庫。駭客以5萬美元為代價兜售這個資料庫。駭客還公布了約100筆聲稱取自微軟系統的資料作為證明。</p> <p>這批資料真實性無法驗證真假、外洩時間或出處。</p> <p>不過微軟否認這些資料是由該公司取得。微軟表示，迄今他們沒有客戶資料被存取或外流的證據，分析這批資料顯示，駭客的說法不實，這批資料也不是真的。</p> <p>Anonymous Sudan宣稱和親俄駭客組織Killnet有關，<a href="https://flashpoint.io/blog/anonymous-sudan-ddos-timeline/" target="_blank">安全廠商Flashpoint 認為有待查證</a>，而且這組織雖宣稱其本質是蘇丹民族運動者，但也可能是俄國國家駭客冒充，專門以西方企業及組織為攻擊目標。</p> <p>微軟去年春天也遭到<a href="https://www.ithome.com.tw/news/150052" target="_blank">Lapsus$駭客</a>入侵。但這群人僅是青少年為首腦的散漫組織，目的多半是竊取程式碼要求贖金。和Lapsus$相比，遭國家駭客取得資料的後果更為嚴重，可能引發範圍更大且影響更深的重大損害。</p> </div></div></div>
2023/7/4 13:55作者林妍溱https://www.ithome.com.tw/news/157618
瑞典要求4家企業停止使用Google Analytics
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典隱私保護局（Swedish Authority for Privacy Protection，IMY）周一（7/3）宣布，已要求境內4家企業停止使用Google的網站流量分析工具Google Analytics，同時針對其中的兩家業者Tele2及CDON，分別祭出1,200萬瑞典克朗及30萬瑞典克朗的罰款，原因是這些企業透過Google Analytics把瑞典民眾的資料傳輸至美國，違反了歐盟隱私法GDPR。</p> <p>Google Analytics是Google在2005年推出的工具，為Google行銷平臺（Google Marketing Platform）的其中一項功能，可用來追蹤網站上的各式活動，例如停留時間、網頁瀏覽數量、使用者跳出率（Bounce rate），以及流量來源等。</p> <p>IMY的稽核行動源自於非營利的歐洲數位權利中心NOYB（None of Your Business）的投訴，因為<a href="https://www.ithome.com.tw/news/138915" target="_blank">歐盟法院已於2020年廢除了歐盟與美國之間的《隱私盾》</a>（Privacy Shield）資料傳輸保護協議，NOYB指控CDON、Coop、Dagens Industri與Tele2等4家瑞典企業違反該裁決，將個人資料傳送至美國。</p> <p>IMY指出，根據歐盟隱私法GDPR的規定，個人資料得以傳輸到第三方國家的前提是，對方與歐盟擁有一致的個人資料保護法令，但歐盟法院的上述裁決已排除了美國。</p> <p>而IMY的稽核也發現，藉由Google Analytics傳送到美國的資料為個人資料，且這些瑞典業者所採取的技術安全措施皆不足以達到歐盟的標準，其中，Tele2與CDON更未採取與另兩家業者同樣的廣泛保護，因而處以行政罰款。</p> <p>目前Tele2已主動停用Google Analytics，IMY亦要求其它3家業者不再使用該工具。負責執行此一稽核行動的第三方顧問Sandra Arvidsson則說，此一決定可能會影響其它採用Google Analytics的瑞典業者。</p> <p>瑞典並不是第一個認為Google Analytics違反GDPR的國家，<a href="https://www.ithome.com.tw/news/148885" target="_blank">先前奧地利也曾出現類似的判例</a>。</p> </div></div></div>
2023/7/4 14:08作者陳曉莉https://www.ithome.com.tw/news/157619
微軟Edge瀏覽器內建VPN，免費流量升級到5GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/use-the-microsoft-edge-secure-network-to-protect-your-browsing-885472e2-7847-4d89-befb-c80d3dda6318" target="_blank">微軟上周宣布</a>Edge瀏覽器內建VPN服務提供的免費資料流量，由原本的1GB提升到5GB。</p> <p>微軟<a href="https://www.ithome.com.tw/news/150689" target="_blank">去年4月</a>透過和雲端業者Cloudflare合作，為Edge新增內建VPN，名為Edge Secure Network，以確保以Edge送出的資料經過加密通道傳輸，即用戶造訪的是使用HTTP協定，較不安全的網站，這可防止ISP或駭客得知用戶造訪了哪些網站、用戶IP或位址，也無法看到用戶送出的密碼或機密訊息。使用這項服務每月可享有一定免費流量，超過之後就需付費。去年推出時免費流量額度為1GB，近日則再擴充為5GB。</p> <p>要使用Edge Secure Network用戶必須以微軟帳號登入Edge，藉此追蹤用戶流量。微軟說，登入Edge也會啟動同步功能，使瀏覽的資料，包括瀏覽紀錄、我的最愛、設定、地址、密碼、擴充程式、開啟的分頁、收藏的網頁文章等等，同步到所有已登入的Edge。</p> <p>微軟強調只會儲存最少限度的資料和存取憑證，且只會保留一段必要期間，微軟保證不會將資料分享給Cloudflare。同時，微軟也說，為確保隱私，Cloudflare僅收集提供服務必要的診斷和支援資料，且在25小時後就會永久刪除這些資料。</p> </div></div></div>
2023/7/4 11:17作者林妍溱https://www.ithome.com.tw/news/157615
大批用戶湧進，推特創辦人開發的競爭服務Bluesky一度中止註冊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推特接連推出收費服務、對不付費者實施種種限制後，近日推特競爭服務Bluesky湧進大量想加入的用戶，致使Bluesky上周暫停允許用戶加入等候清單。</p> <p>Bluesky官方7月1日在其平臺上公告暫停Bluesky的新用戶註冊，以便該公司解決效能問題。不過Bluesky在當地時間7月3日約下午5:30<a href="https://www.theverge.com/2023/7/1/23781417/bluesky-halted-sign-ups-joining-twitter" target="_blank">宣布重啟註冊</a>。</p> <p>Bluesky是類似推特的社群應用程式，但不同於推特的中央管理架構，Bluesky是基於ADX/AT協定發展的去中心化社群網路。Bluesky是由推特創辦人Jack Dorsey成立的公司，後於2021年分拆獨立，Dorsey此後雖未擔任公司執行長，但是一直參與產品開發。</p> <p>Bluesky 3月推出iOS限定Beta版，僅以<a href="https://www.ithome.com.tw/news/155714" target="_blank">邀請制</a>開放試用，4月才提供Android版。只有有邀請碼的人才能註冊，有興趣的用戶必須在<a href="https://bsky.app/profile/bsky.app/post/3jzlnn4tst22k" target="_blank">官網</a>上加入等候清單，以便獲得派發的邀請碼。</p> <p>根據<a href="https://blueskyweb.xyz/faq" target="_blank">Bluesky官網</a>，這款社群程式的使用者在4月底已超過5萬人。開發團隊以審慎態度緩慢擴大邀請制。<a href="https://www.namepepper.com/bluesky-statistics" target="_blank">一名部落格聲稱</a>，到6月底Bluesky用戶超過18萬人，但等候清單上排隊的高達190萬人。</p> <p>那麼多人想加入Bluesky，或許是因為推特在馬斯克（Elon Musk）接手後表現令用戶失望。馬斯克為了加速推特轉虧為盈，大舉裁員、積極新闢收費服務，並爆發封鎖批評他的記者帳號。種種行為引發用戶不滿，也致使競爭服務如<a href="https://www.ithome.com.tw/news/154955" target="_blank">Mastodon</a>和Bluesky用戶激增。</p> <p>上周馬斯克<a href="https://twitter.com/elonmusk/status/1675214274627530754" target="_blank">宣布</a>用戶每日瀏覽限制，經過驗證的帳號每天可存取6,000則推文，未經驗證的用戶只剩600則，而新申請且未經驗證的帳號僅300則（後來有再增加）。馬斯克解釋是因推特遭到數百個組織發動資料抓取（data scraping）之故，致使推特採取反制措施。但有<a href="https://www.ithome.com.tw/news/157602" target="_blank">使用者</a>研究推測，可能是出於推特技術問題，導致推特網頁向自己發出請求造成流量過大。換言之，是推特對自己發出分散式阻斷服務（DDoS）攻擊。</p> </div></div></div>
2023/7/4 11:06作者林妍溱https://www.ithome.com.tw/news/157614
推特限流風波疑始於客戶端自我DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周末推特平臺並不平靜，7月1日官方發布新政策，僅允許已登入用戶瀏覽推文，隨後在7月2日，用戶在隨意瀏覽推特時間軸後，應用程式便會出現超過流量限制的警示，無法正常瀏覽他人以及自己的推文。</p> <p>Elon Musk<a href="https://twitter.com/elonmusk/status/1675187969420828672">發文提到</a>，推特由於面臨大量資料抓取以及系統操縱，因此暫時限制用戶的存取，經驗證的帳戶每日可存取6,000則推文，未經驗證的帳戶則是600則推文，新申請未經驗證的帳戶則只能瀏覽300則推文。</p> <p>究竟推特平臺發生什麼問題，需要如此極端地限制用戶瀏覽推文，Elon Musk提到推特正在被DDoS攻擊，但隨後又<a href="https://twitter.com/ElonMuskAOC/status/1675268446089773056">發文表示</a>，流量限制是因為希望網路成癮的使用者，可以在假日時到戶外活動。</p> <p>眼尖的使用者發現，這場鬧劇的源頭可能正是推特本身，使用者Sheldon Chang在Mastodon<a href="https://sfba.social/@sysop408/110639474671754723">發文提到</a>，推特在DDoS攻擊自己。從Sheldon Chang所錄製的影片可以看到，即便推特的頁面沒有載入任何內容，但是網頁滾動條卻不停的抖動，Sheldon Chang進一步研究了網頁滾動條抖動的原因，發現推特網頁每秒向自己發出10次請求。</p> <p>推特不停地發出請求，但是又無法抓取到請求內容，因此不斷重新嘗試，最終導致自我DDoS攻擊，Sheldon Chang懷疑這與推特限制未登入就無法觀看推文的新政策有關，推特存在臭蟲的新版程式碼，使客戶端向伺服器發動DDoS攻擊。目前推特已經修正該問題，服務約在臺灣時間7月2日晚上20時恢復，用戶陸續可以正常使用推特。</p> </div></div></div>
2023/7/4 08:47作者李建興https://www.ithome.com.tw/news/157602
台積電供應商遭LockBit勒索7千萬美金，新版勒索即服務新增加價延長功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電供應商擎昊科技遭駭，據了解，是勒索集團LockBit入侵擎昊科技內網中，發現受駭發現有台積電TSMC的資料，駭客便對外宣稱，已經成功入侵並竊取到台積電的資料。不過，這樣的說法也遭到台積電的否認，受駭者擎昊科技也承認遭駭事宜。</p> <p>此次LockBit對外公開的資訊中，要求受駭企業支付7千萬美金等值的比特幣或門羅幣等虛擬貨幣，在8月6日前沒有支付贖金的話，則會公開相關資訊。根據匿名資安專家追蹤該錢包網址，目前並沒有任何金額入帳。</p> <p>TeamT5（杜浦數位安全）創辦人兼執行長蔡松廷（TT）則表示，這次資安事件其實是LockBit最新版的RaaS（勒索即服務）：LockBit 3.0，最明顯的新增功能是加價延長的功能，如果受駭者支付5千美金，資料公布的日期就可以延長24小時。</p> <p>根據美國網路安全暨基礎設施安全局（CISA）等單位於日前揭露的報告指出，LockBit是2022年與2023年最活躍的勒索軟體即服務（RaaS），從2020年至今年第一季的受駭組織高達1,653個，光是針對美國企業發動的各種勒索即服務的攻擊，該駭客集團的不法所得便超過9,100萬美元。</p> <h2><strong>試圖從駭客外洩截圖看端倪</strong></h2> <p>擎昊科技在聲明稿中表示，遭受攻擊的環境為工程測試區，那是幫客戶準備的系統安裝環境，遭擷取的內容為安裝設定檔等參數資訊。該公司指稱，因為使用到特定客戶公司的名稱（例如tsmc台積電）所以才引發駭客組織的關注，並試圖經此途徑取得客戶的機密資料。</p> <p>擎昊科技提到，因為上述相關資訊並無關客戶的實際應用，僅為出貨時的基本設定，所以，目前沒有造成客戶損害，也沒有客戶因此遭駭。</p> <p>此次網路有一些駭客集團在推特上公布的照片，但不久後便遭到刪除。透過某些匿名資安專家將照片即時備份，可以發現，在一個ESXi04.tsmc.com的虛擬機氣中，有49個虛擬機器、3個儲存設備和14個網路設備。</p> <p>從照片截圖中所顯示的虛擬機器名稱，包含廠商所使用的伺服器名稱和廠商名字，其中，有還在使用Windows NT的俊昇科技，使用Windows 2016的智禾科技、鍵祥資訊、英寶科技、巨路國際、精誠資訊和安極思科技等公司的虛擬機器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A8%E7%89%B93.jpg" style="width: 600px;" /></p> <p>從另外一張ilo記事本的截圖中可以發現，這是一個HPE Nimble Storage儲存伺服器管理軟體，可以當成本機連線，並且可以在多個ESXi主機上配置iLO 5.X版的管理軟體。</p> <p>但從截圖上登入資訊可以發現，登入帳號是admin，登入密碼password，可以證明使用者所使用的是預設密碼、並沒有任何修改，駭客一旦入侵、進行內部橫向移動後，就可以使用預設密碼，理所當然的取得儲存伺服器上的資料。</p> <p>不過，匿名資安專家認為，這個截圖證明駭客企圖利用tsmc的資訊，證明入侵tsmc。另外，匿名資安專家表示，也可以推測台積電正在測試某一些供應商的產品，才需要輸入一些台積電的域名設定，但其他像是駭客揭露的IP位址等等，都無法獲得進一步的證明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(59).jpg" style="width: 1600px;" /></p> <h2><strong>加價延長是LockBit 3.0版的新功能之一</strong></h2> <p>蔡松廷表示，LockBit應該是目前最有名的勒索軟體，美國政府上個月才起訴他們，其犯罪模式是一種提供勒索軟體給犯罪者使用的RaaS犯罪模式（Ransomware as a Service，勒索即服務），有點像是軍火商，專精在數位武器（勒索軟體）的精進上，更重要的是，LockBit並沒有特別的產業偏好，全都打，都很認真的打，還很認真的研究各種更新的攻擊手法。</p> <p>此次台積電供應商遭駭的資安事件，就是LockBit新推出的3.0版勒索即服務，而駭客集團推出LockBit 3.0的時候，還向廣大的資安武林發起英雄帖，希望大家來幫忙找LockBit的漏洞。他指出，該駭客集團並不打俄語系的國家，非常專注地在攻擊歐洲和美國。</p> <p>蔡松廷表示，這次台積電供應商遭駭事件出現的加價延長，就是 LockBit 3.0的新功能，其他發現到LockBit 3.0的特色包括：修補LockBit 2.0 Ransomware的漏洞；LockBit 3.0有更快的加密速度，但實際上跟2.0版沒有差多少；一樣會大量部署公開或是開源的駭客工具，例如CobaltStrike，其他還有Rclone、WinSCP和PowerTool等；會持續使用一些最新的零時差漏洞，例如CVE-2023-0669：Fortra GoAnyhwere Managed File Transfer（MFT）Remote Code Execution Vulnerability。</p> <p>他也說，LockBit 2.0版推出的時候，有一個專門針對Linux虛擬機器的變種版本，大概在2021年第四季推出的LockBit Green，當時就是專門針對Linux跟VMware ESXi所設計的，只不過，目前還沒有看到LockBit 3.0有針對專門的虛擬機的變種版本。</p> <p>LockBit勒索軟體的預防之道，蔡松廷認為，最重要的就是要修補（Patch）系統的漏洞，因為，勒索軟體絕對是預防要重於治療。</p> <p> </p> </div></div></div>
2023/7/3 21:36作者黃彥棻https://www.ithome.com.tw/news/157611
勒索軟體Lockbit聲稱侵入台積電虛驚一場？合作供應商擎昊科技坦承測試環境遭駭，但仍有疑點尚待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Lockbit的威脅成近日焦點，其駭客在6月30日於暗網網站公布台積電為受害者，並勒索7千萬美元贖金，當日下午，台積電否認遭入侵的消息，並指出已得知是一家IT硬體供應商遭駭，後續傳出該業者可能是擎昊科技，當時我們詢問了擎昊科技，該公司僅表示稍晚再向我們說明，後續，該公司於官方網站發布了資安事件的公告，說明遭擷取的資訊只是使用到客戶公司名稱的出貨基本設定，無關客戶實際應用，因此沒有造成客戶的損害。</p> <p>值得關注的是，多國網路安全機構在6月中旬，才針對Lockbit發出<a href="https://www.ithome.com.tw/news/157357">聯合安全公告示警</a>，指出近三年Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），才過兩星期，該組織居然聲稱他們入侵全球最大晶圓代工龍頭台積電，態度十分囂張，無視此舉可能使其成為世界公敵。</p> <p>而從後續台積電與擎昊科技的回應來看，Lockbit本次雖然公布受害者身分，卻呈現與事實不符的情況，原因究竟是什麼？不小心搞錯對象？想要藉此進一步打響知名度？測試各界對此事的反應？還是故意讓大家勞師動眾確認相關事宜而搗亂？</p> <p>從現階段狀況而言，在這次Lockbit釋出的訊息中，我們在網路上我們看到國外資安研究團隊分享這次事件多張截圖，除了Lockbit公布台積電為受害者的畫面，還有數張螢幕截圖，但似乎不像以往釋出局部外洩檔案的作法，供外界能有更多比對資料來證明其價值。</p> <p>對此事件，台積電在30日已向媒體發表他們的聲明。根據我們從台積電公關處取得的聲明，他們表明已知悉某IT硬體供應商遭駭，對於已知洩漏的資訊，他們指出是該供應商協助的硬體初始設定資料，不會影響台積電生產營運，原因在於，所有進入台積公司的硬體設備，包括其安全設定，皆須在進廠後通過完備程序做相對應的調整，也就是說，不會受出貨時的基本設定而受影響。</p> <p>同時台積電也表示，發生事件後已依照標準作業程序來處置，包括立即中止與該硬體供應商的資料交換，未來將加強宣導供應商的安全意識，與確認安全標準做法的宣導，同時也提到此次駭侵事件已進入司法。</p> <p>而台積電所提及的IT硬體供應商，則指向擎昊科技。擎昊科技也在30日發布消息，公告發生資安事件，說明他們發現遭駭時間發生是在6月29日上午，當日即與客戶通報，並與第三方資安團隊與客戶共同做損害控管，同時他們也指出，遭網路攻擊並被擷取相關資訊的環境為工程測試區，被擷取的內容是安裝設定檔等參數資訊，主要是因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，但這些資訊其實無關用戶的實際應用，只是出貨的基本設定。</p> <p>從上述兩起聲明來看，目前我們還無法得知這起事件背後Lockbit的動機，例如，是否掮客集團（Initial Access Broker，IAB）提供給Lockbit的資訊有誤所導致；或是該組織是在明知沒有入侵TSMC下，卻因為取得有關資料，因此故意聲稱TSMC為受害者，以博取關注；又或者Lockbit可能存在更廣泛的攻擊意圖，只是尚未被發現。這方面有待後續更多消息的揭露，才能進一步判斷。</p> <p>目前看來，主要還是反映勒索軟體組織近年持續針對供應鏈攻擊的態勢。</p> <h3><strong>6月30日台積電公關處聲明全文如下</strong></h3> <p style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="font-size:16px;">「台積公司已知悉某IT硬體供應商受到駭客侵害之事件，目前已知洩漏的資訊皆為該供應商協助的硬體初始設定資料，因所有進入台積公司之硬體設備包括其安全設定皆須在進廠後通過台積公司完備程序做相對應的調整，本次事件不會影響台積公司之生產營運，亦無台積公司客戶之相關資訊外洩。事發後，台積公司已按照公司之標準作業程序處理，包含立即中止與該硬體供應商的資料交換，後續亦將加強宣導供應商的安全意識與確認安全標準做法。目前此駭客侵害事件已進入司法調查程序。」</span></p> <h3><strong>6月30日擎昊科技資安事件公告如下</strong></h3> <p style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_093220.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_093220.jpg" style="width: 600px;" /></a></p> <h2><strong>擎昊科技資安事件影響範圍受關注</strong></h2> <p>關於這次遭遇Lockbit攻擊的擎昊科技，我們也再次聯繫他們確認狀況，例如，他們是如何發現工程測試區遭駭，是否有勒索軟體留下的訊息，或是發現異常調查而發現，以及通知TSMC外，是否通知所有受影響的客戶。至截稿前該公司尚未回覆。</p> <p>而為了瞭解這次擎昊科技遭駭情況，我們也從國外資安研究團隊揭露的內容來了解情形。例如，我們在網路上看到國外資安研究團隊揭露多張螢幕截圖，像是包括一個ilo.txt的文字內容，HPE Nimble storage雲端管理介面的一個郵件警示分頁，這兩張圖中的文字訊息帶有tsmc.com的字串，另外還有一張VMWare ESXi的截圖，當中顯示的是一個虛擬機器的群組，被取名為EXSi04.tsmc.com，而當中則包含了數個虛擬機器。</p> <p>在這些虛擬機器中，包含有Windows NT與多臺Windows Server 2016，而其虛擬機器的名稱，則帶有多家臺廠公司的名字，包含國內上市櫃公司精誠、巨路，以及智禾、鍵祥、英寶、安極思等多家科技公司，圖片中顯示可能有多達44家廠商的名字。</p> <p>因此，是否相關資料也都是工程測試區環境的內容，並都已經通知這些廠商，我們也正向擎昊科技瞭解中，截稿前他們尚未提供回覆；至於這些截圖還可能透露的資訊，我們也正請教資安專家提出看法，後續如有最新消息也會持續追蹤。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-03_181212.jpg" style="width: 600px;" /></p> <p><strong>根據資安研究團隊vx-underground<a href="https://twitter.com/vxunderground/status/1674782166679703554">在Twitter張貼的消息</a>，勒索軟體Lockbit在其暗網網站公布台積電為受害者的資訊，同時附上多張螢幕截圖。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_201352.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_201352.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_201445.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_201445.jpg" style="width: 600px;" /></a></p> </div></div></div>
2023/7/3 17:29作者羅正漢https://www.ithome.com.tw/news/157600
【資安日報】7月3日，存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用他人電腦運算資源來牟利的情況，最常見的就是挖礦攻擊，但最近2年也有人將目標動到網路頻寬上，部署網路頻寬共享軟體（Proxyware），挾持電腦頻寬盜賣、牟利，現在駭客將目標鎖定資源較為豐富的伺服器，來竊取這類資源。最近一起攻擊行動中，駭客針對曝露弱點的SSH伺服器下手，並部署Docker容器映像檔來占用流量，但究竟駭客入侵的管道為何？研究人員沒有進一步說明。</p> <p>WordPress外掛程式的零時差漏洞攻擊，也相當值得留意。近期駭客鎖定部署Ultimate Member外掛程式的網站發動攻擊，一旦利用這項漏洞，攻擊者就有可能非法加入管理員帳號，進而掌控整個網站。</p> <p>美國網路安全暨基礎設施安全局（CISA）的已遭利用的漏洞名單（KEV），一有更新也成為外界關注的對象。而近期他們列入的漏洞，出現於D-Link路由器和三星手機，但值得留意的是這些漏洞在2019至2021年，廠商就提供相關修補程式，但現在出現漏洞攻擊，這樣的現象代表還有不少設備尚未套用修補程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/proxyjacking-new-campaign-cybercriminal-side-hustle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路頻寬挾持攻擊鎖定SSH主機而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/proxyjacking-new-campaign-cyberc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/proxyjacking-new-campaign-cyberc.png" style="width: 300px; float: right;" /></a>資安業者Akamai發現針對SSH伺服器而來的網路頻寬挾持（Proxyjacking）攻擊行動，攻擊者入侵存在弱點的SSH伺服器，一旦成功，就會部署Base64編碼的Bash指令碼，並向Peer2Profit與Honeygain流量服務供應商進行註冊，然後在伺服器上部署含有這兩家業者代理程式的Docker容器映像檔，研究人員指出，駭客建置超過16,500個開放代理伺服器牟利。</p> <p>研究人員表示，他們也在受害伺服器上看到漏洞利用工具、挖礦軟體，推測駭客有可能是想要盜賣網路頻寬增加獲利，且不排除從挖礦攻擊轉型，改從事行蹤更加隱密的網路頻寬挾持行動。</p> <p><a href="https://www.wordfence.com/blog/2023/06/psa-unpatched-critical-privilege-escalation-vulnerability-in-ultimate-member-plugin-being-actively-exploited/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress使用者資料設置外掛程式Ultimate Member出現零時差漏洞攻擊，20萬網站曝險</span></strong></a></p> <p>資安業者Wordfence揭露針對WordPress會員系統外掛程式Ultimate Member而來的零時差漏洞攻擊，駭客鎖定CVE-2023-3460而來，繞過此外掛程式的安全措施，竄改wp_capabilities的使用者中繼資料數值，將他們的帳號設置為管理員角色，進而控制受害網站。</p> <p>上述漏洞的風險評分為9.8，部署此外掛程式的WordPress網站超過20萬個，都可能成為駭客下手的目標。開發者自6月26日發布2.6.3版嘗試修補，但都出現修補不完整的情況，直到7月1日發布的2.6.7版，才完全緩解該漏洞。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA對於美國企業與政府機關遭到DDoS攻擊提出警告</span></strong></p> <p>美國網路安全暨基礎設施安全局（CISA）於6月30日提出警告，指出該國已有多個產業遭遇DDoS攻擊，呼籲組織應採取主動措施來防範，這些措施包含了能快速套用的防火牆政策，或是預備緩解惡意流量的DoS防護服務等。</p> <p>CISA並未透露進一步的攻擊細節，但資安新聞網站Bleeping Computer指出，上述資安通告發生的時間點，正好就是駭客組織Anonymous Sudan聲稱癱瘓美國財政部電子納稅系統（EFTPS.gov）、商務部（commerce.gov）網站之後，很難不讓人聯想是與這些駭客的攻擊行動有關。</p> <p>參考資料</p> <p>1. <a href="https://www.cisa.gov/news-events/alerts/2023/06/30/dos-and-ddos-attacks-against-multiple-sectors">https://www.cisa.gov/news-events/alerts/2023/06/30/dos-and-ddos-attacks-against-multiple-sectors</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/cisa-issues-ddos-warning-after-attacks-hit-multiple-us-orgs/">https://www.bleepingcomputer.com/news/security/cisa-issues-ddos-warning-after-attacks-hit-multiple-us-orgs/</a></p> <p><a href="https://www.elastic.co/security-labs/DPRK-strikes-using-a-new-variant-of-rustbucket"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mac電腦遭惡意軟體RustBucket鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/rustbucket1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rustbucket1.png" style="width: 300px; float: right;" /></a>Elastic旗下的資安實驗室揭露名為RustBucket的macOS惡意軟體，北韓駭客Lazarus旗下的組織BlueNoroff（亦稱Ref9135）鎖定加密貨幣服務業者下手，先是執行AppleScript指令碼，利用cURL從C2下載第2階段惡意酬載，利用特定API於目標電腦執行攻擊行動，最終將RustBucket存放於電腦，並透過NSTask執行，然後收集受害電腦的系統資訊。</p> <p>研究人員指出，駭客為了持續於受害電腦上行動，將此惡意程式加入名為LaunchAgents的啟動資料夾，且不斷調整後端的基礎設施來迴避偵測，研究人員發布相關調查結果時，惡意軟體分析網站VirusTotal上的防毒引擎皆無法將其視為有害。</p> <p><a href="https://www.deepinstinct.com/blog/phonyc2-revealing-a-new-malicious-command-control-framework-by-muddywater"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater利用PhonyC2框架發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig10-phonyc2-commands.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig10-phonyc2-commands.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct揭露伊朗駭客使用的C2中繼站框架PhonyC2，此框架為在2021年就開始使用，曾被用於以色列理工學院的攻擊行動，目前這些駭客將其用於針對PaperCut列印管理系統，利用CVE-2023-27350入侵目標組織。</p> <p>研究人員指出，此框架的主要用途，是產生能連接C2的酬載，接收攻擊者下達的PowerShell指令碼。由於駭客持續更新此框架並調整攻擊策略，且透過社交工程開始接觸目標組織，使得研究人員呼籲企業應監控PowerShell動態來防範相關攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MITRE公布2023年版最危險的軟體安全缺陷</span></strong></p> <p>6月27日非營利組織MITRE公布了2023年版的25種最危險軟體安全缺陷，該組織分析NIST美國國家漏洞資料庫（NVD）裡，從2021至2022年出現的43,996個通用缺陷列表（CWE）項目進行分析、評分，並比對美國網路安全暨基礎設施安全局（CISA）的已遭利用漏洞名單（KEV），結果發現，越界寫入（OWB）、跨網站指令碼（XSS）、SQL注入是前3大嚴重的弱點類型，這樣的結果與2022年版相同。</p> <p>值得留意的是，記憶體釋放後濫用（UAF）弱點，一舉從去年的第7名上升至第4名，而且，KEV裡存在此種弱點的CVE漏洞有44個，僅次於越界寫入的70個。</p> <p>資料來源</p> <p>1. <a href="https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html">https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html</a><br /> 2. <a href="https://cwe.mitre.org/top25/archive/2023/2023_key_insights.html">https://cwe.mitre.org/top25/archive/2023/2023_key_insights.html</a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/06/29/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補D-Link路由器、三星手機漏洞</span></strong></a></p> <p>6月29日美國網路安全暨基礎設施安全局（CISA）將8個漏洞加入已遭利用漏洞名單（KEV），這些漏洞有2個出現於D-Link路由器DIR-859、DWL-2600AP，另外6個存在於三星手機。CISA要求聯邦機構於7月20日前，完成上述漏洞的修補。</p> <p>上述D-Link路由器的漏洞分別是CVE-2019-17621、CVE-2019-20500，CVSS風險評分為9.8、7.8，這些漏洞<a href="https://www.ithome.com.tw/news/157498#mirai">已有駭客用於殭屍網路Mirai攻擊行動</a>。</p> <p>至於本次公告的三星漏洞皆在2021年得到修補，其中風險層級最高的漏洞，是記憶體越界寫入漏洞CVE-2021-25487，CVSS風險評分為7.8，其餘為中度風險漏洞，CVSS風險評分為5.5至6.7。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyberscoop.com/russia-satellite-hack-wagner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯衛星電信業者遭到網路攻擊，起因是聲援瓦格納組織軍事行動</span></span></strong></a></p> <p><a href="https://www.volexity.com/blog/2023/06/28/charming-kitten-updates-powerstar-with-an-interplanetary-twist/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT35透過後門程式Powerstar發動攻擊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/fortinet-reverses-flutter-based-android-malware-fluhorse"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員分析安卓惡意程式Fluhorse，駭客透過加殼避免遭到逆向工程分析</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/free-akira-ransomware-decryptor-helps-recover-your-files/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者Avast提供勒索軟體Akira檔案復原工具</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> </div></div></div>
2023/7/3 15:54作者周峻佑https://www.ithome.com.tw/news/157597
一家企業IT該如何面對碳排放數據管理和碳資訊運用的挑戰？SAP提出8大企業碳管理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月開始，臺灣已經出現第一批必須要依法在年報中揭露碳盤查資訊的企業，預計在接下來的明後年，將有更多企業加入，這些企業不僅需要每年進行碳盤查，還需要完成第三方確信，甚至隨著年底碳定價的公布，未來還需要計算碳成本，對於碳數據的追蹤和管理也變得越來越重要，必須要有一套更系統化的方式協助企業進行碳盤查或碳足跡資訊蒐集和管理，能夠根據這些碳定價或交易的價格，準確計算出生產過程的碳成本，並根據碳價格的變動做出相應的調整。</p> <p>不過，對於一家企業而言，該發展哪些碳管理的能力也成為許多企業IT主管或CIO必須面對的挑戰。近日在一場活動上，SAP也提出企業碳管理8項能力，涵蓋碳盤查、碳足跡、碳資產、碳配額、內部碳銀行、碳金融貸款、碳交易風險管理及IT基礎設施，可供企業未來在發展碳管理能力的參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230524_063635974.jpg" style="width: 600px;" /></p> <p>從SAP的碳管理架構圖中，可分8層，最上層是碳排放管理，包含碳排放資料記錄、碳排放監控設備管理、碳排放趨勢分析、碳排放報表。透過碳排放管理機制的建立，可以協助企業有效地記錄、監控和分析碳排放數據，並生成相應的報表以進行監測和報告。下一層是碳足跡管理，包括上游碳足跡管理、自身碳足跡管理、下游碳足跡管理和全價值鏈碳足跡分析，主要用來追蹤和管理供應鏈中產品使用和處理過程中的碳足跡。</p> <p>前二層是跟碳排放數據的蒐集和管理有關，也是目前臺灣企業大多著重的領域，往下幾層則是跟碳成本、碳交易和碳投資等有關的碳資訊運用。</p> <p>第三層是碳資產管理，涵蓋了許多細節和功能，從碳交易需求預測、付款申請、對帳單管理、到計畫追加、支付報合併、預算控制等20項，以確保企業碳交易的順利進行及相關資產的管理。</p> <p>詳細20項功能包括了碳交易需求預測、碳交易付款申請、拉取或導入碳交易收款單及碳交易中心對帳單、碳交易計畫、碳交易線上審批、回單與應收碳交易款未清項自動匹配、碳交易中心／碳金融交易自動對帳、碳交易預算額度控制、碳交易過帳及清帳、手動收款認領、手動對帳及認領、碳交易計畫追加、碳交易支付報合併收款過帳及清帳、對帳單過帳、商業票據管理、碳交易狀態及報表查詢、碳交易報表查詢、出具銀行日記帳及餘額調節表。</p> <p>接著下一層是碳配額管理，則有碳排放權全生命週期管理、碳配額頭寸、碳配額預測、碳配額交易計畫及模擬、碳配額移動收付處理，用來協助企業管理碳配額，遵守相關的配額限制，並進行相關碳交易活動。這第4層。</p> <p>接著是根據碳配額管理企業內部碳帳戶，也就進到第5層的內部碳銀行，包含碳帳戶管理（碳配額池統籌）、對內對外碳交易結算、碳配額預測、碳配額交易計畫及模擬、碳交易期間處理（如日結、費用利息計提、對帳單生成等）。</p> <p>再往下一層是碳金融貸款及投資管理，該層包括前臺碳交易處理、中臺碳交易風險控制、後臺碳交易往來對帳和結算、碳會計處理，主要透過前中後臺的設計，支援碳金融貸款及投資管理所需各方面。值得注意的是，SAP未來將在S/4 HANA Cloud ERP中加入Green Ledger碳帳的碳會計處理功能，藉此讓企業客戶能像管財務一樣方式來管理碳帳。</p> <p>第7層是碳交易風險管理層，包含碳交易限額管理、碳金融貸款授信、碳交易對沖管理、碳交易風險分析，可用來管理和控制碳交易相關的風險，確保企業在在碳市場中的合規和減碳效益。</p> <p>最底層是基礎平臺層，包含大數據、BPM、商業智慧分析、DI、物聯網和行動應用，進一步協助企業用來蒐集、整合和分析碳相關的數據。</p> <p>企業可以根據自身永續發展需求、相關供應鏈和法遵要求，找出適合自己的碳管理能力來發展。</p> </div></div></div>
2023/7/3 17:39作者余至浩https://www.ithome.com.tw/news/157599
Google雲端推出可用Hive存取BigQuery資料的開源連接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端釋出可以連接<a href="https://cloud.google.com/blog/products/data-analytics/the-hive-bigquery-connector-is-ga">Apache Hive與BigQuery的連接器</a>，使得Hive工作負載現在也可以讀取和寫入BigQuery與BigLake表格，也就是說，Hive-BigQuery連接器提供了另一個Hive搬遷到BigQuery的解決方案，即便用戶已經將資料搬遷到BigQuery或BigLake，仍然可以利用HiveQL方言和Hive執行引擎執行查詢。</p> <p>Apache Hive是一個開源的分散式資料倉儲系統，用於處理儲存在Hadoop中的結構化資料，開發人員不需要了解和編寫複雜的MapReduce任務，可以使用類似SQL語言的HiveQL查詢資料。而之所以Google要開發Hive-BigQuery連接器，是因為部分用戶在搬遷Hive到BigQuery資料倉儲時遭遇障礙，而Hive-BigQuery連接器則可提供更靈活的搬遷選擇。</p> <p>Hive-BigQuery連接器實作了Hive StorageHandler API，可整合Hive工作負載和BigQuery、BigLake表格，Hive的執行引擎會處理聚合和合併等資料操作，而與BigQuery的資料層的所有互動，則是由連接器管理。</p> <p>Google提到，Hive原本就是熱門的開源資料倉儲之一，過去使用本地HDFS當作專有資料儲存層，而現在逐漸發展到了雲端儲存服務。這個新的連接器，可以將Hive和原生雲端儲存BigQuery整合在一起，進而簡化搬遷工作。</p> <p>利用Hive-BigQuery連接器，用戶可以在批次搬遷的過程，維持操作的連續性。在過程中，原始的Hive查詢能夠透過連接器存取資料，而用戶也可以逐漸轉換使用BigQuery的SQL方言，待轉換完成後，用戶便可以完全停用Hive。</p> <p>此外，用戶還可以同時使用Hive和BigQuery，主要以Hive處理工作負載，並僅將BigQuery用於特定任務，或是也可以繼續使用Hive，並且在雲端儲存採用Avro、Parquet或ORC等開源軟體格式，用戶可以使用Hive的SQL方言執行和處理查詢，以連接器使用BigLake和BigQuery的特有功能，像是快取查詢效能的後設資料、應用欄級存取控制，甚至是資料遺失防護（DLP）等安全和治理功能。</p> </div></div></div>
2023/7/3 16:00作者李建興https://www.ithome.com.tw/news/157596
上百家歐洲企業簽署公開信以批評《AI Act》草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會（European Parliament）在6月14日通過了人工智慧法案（Artificial Intelligence Act，AI Act）的草案，以確保於歐洲開發及使用的AI可完全符合歐盟的權利與價值觀，亦為西方世界第一個全面性的AI法規，然而，約150名歐洲創投及企業的高階主管卻擔心《AI Act》可能危及歐洲的競爭力與技術主權，<a href="https://www.igizmo.it/wp-content/uploads/2023/06/Open-Letter-EU-AI-Act-and-Signatories.pdf" target="_blank">在上周五（6/30）送出了公開信</a>予歐洲議會、歐盟執委會（EC）及歐盟高峰會（European Council）。</p> <p>簽署此一公開信的C級高階主管來自德國西門子、法國飛機製造商Airbus、海尼根、遊戲業者Ubisoft、德國銀行，以及十多家創投業者。</p> <p>《AI Act》根據AI的風險等級替AI系統的供應商與部署者規定了各種義務，同時禁止某些可能對人類安全造成莫大風險的AI系統，亦規定像ChatGPT這類的基礎模型的供應商，必須評估與緩解各種可能對健康、安全、人權、環境、民主或法令所造成的風險，還得在於歐盟市場發表前向歐盟資料庫註冊。</p> <p>這群歐洲企業的高階主管透過公開信向歐盟表達對《AI Act》的擔憂，指出《AI Act》草案不僅會危及歐洲競爭力及技術主權，也無法有效解決歐洲所面臨的挑戰，特別是生成式AI，因為該法案將讓各種基礎模型都受到嚴格監管，意謂著開發及部署相關系統的企業將面臨不成比例的合規成本及責任風險。</p> <p>此外，他們也認為這樣的監督方式可能會導致高度創新的公司將活動轉移至國外，也會讓投資者撤回對歐洲基礎模型與AI開發的資金，而讓歐洲出現嚴重的生產力差距。如同網路的發明或是晶片的突破，生成式AI是一種對效能具有關鍵性作用的技術，因此，擁有最強大的大型語言模型的國家，也將擁有決定性的競爭優勢。</p> <p>這些高階主管同意生成式AI需要監管，但指出把監管納入法令並以嚴格的合規方式執行，是一種官僚主義，因為它無法有效地實現目的。</p> <p>他們在此一公開信中建議，歐盟的法令應該僅限於以基於風險的方法闡述廣泛的原則，執行則是交由另外組成的專門監管機構，並應靈活適應快速發展的技術與不斷出現的具體風險。</p> <p>今年3月，特斯拉執行長馬斯克（Elon Musk）與蘋果共同創辦人Steve Wozniak<a href="https://www.ithome.com.tw/news/156198" target="_blank">等科技大老曾警告AI可能對社會與人類帶來重大風險</a>，並呼籲暫停開發比OpenAI的GPT-4高階的AI系統至少6個月；<a href="https://www.ithome.com.tw/news/157134" target="_blank">5月時亦有AI重量級人物簽署了共同聲明</a>，警告AI可能帶來人類滅絕風險。</p> <p>歐盟所制定的《AI Act》顯然是想把AI的發展風險降至最低，但同時也惹來監管過度的批評。目前歐盟尚未對此一最新的公開信作出回應。</p> </div></div></div>
2023/7/3 14:18作者陳曉莉https://www.ithome.com.tw/news/157594
蘋果前設計師自立門戶，公布AI穿戴裝置Ai Pin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾參與Mac及iPhone等產品設計的蘋果前設計師成立的新創公司Humane，近日展示一款Ai Pin的穿戴裝置，能讓用戶不再需要智慧型手機，而以更直覺方式使用AI提供的通訊、運算或辨識功能。</p> <p>Imran Chaudhri在1995到2017年任職蘋果介面設計師，參與過蘋果最重要產品包括Mac、iPhone、iPad、iPod、Apple TV、HomePod、Apple Watch等，他和妻子暨蘋果軟體工程師Bethany Bongiorno於2017年離開蘋果，於2018年創立名為Humane的公司。這間公司多年來一直保持神祕，只說自己投入AI科技研發，多年未見成果。上周<a href="https://hu.ma.ne/" target="_blank">Humane官網</a>上公布產品名為Ai Pin，號稱該產品「更簡單、更快、更強大，且更人性化」，但無法看出完整面貌。</p> <p>不過<a href="https://www.ted.com/talks/imran_chaudhri_the_disappearing_computer_and_a_world_where_you_can_take_ai_everywhere/c" target="_blank">Chaudhri去年在TED Talk的演說</a>已經介紹了Ai Pin的設計原型。Ai Pin是一個可放在口袋的裝置，具有聲控助理、連網功能，及內建麥克風、相機及投影機。它打出無螢幕、無縫、感測（screenless, seamless, sensing）的口號，主要是由一個經過訓練的AI助理提供用戶所需要的服務，而不需要再有一個運算裝置。</p> <p>在其示範中，使用者只要按一下Ai Pin按鍵就能啟動聽取及執行用戶的需求。例如回答可以在哪買到送人的禮物，或是以已經個人化的AI，以近似用戶的聲音說出異國語言。它的投影機可在用戶手掌心或桌面投射出智慧型手機鍵盤，但也可以由AI直接彙整來電、電子郵件、會議及行程內容。當以相機對準某件物品，例如巧克力，其電腦視覺可辨識營養價值，AI助理則可提供建議。Chaudhri表示，Ai Pin的精神在於愈用愈能了解使用者，其AI模型能提供愈個人化的建議。</p> <p>Ai Pin的產品推出時程不明。有興趣的用戶需加入官網上的等候清單。</p> <p>Humane深獲投資人期待。<a href="https://techcrunch.com/2023/06/30/secretive-hardware-startup-humanes-first-product-is-the-ai-pin/" target="_blank">Techcrunch報導</a>，Humane已募得2.3億美元資金，投資人包括Salesforce執行長Marc Benioff、OpenAI執行長Sam Altman、微軟、高通、Volvo Cars Tech、SK Networks、LG及Tiger Global等私募基金。</p> </div></div></div>
2023/7/3 14:44作者林妍溱https://www.ithome.com.tw/news/157595
【資安週報】2023年6月26日到6月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。以Lockbit而言，30日他們聲稱台積電為受害者，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續新發現，<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">該公司於30日發出聲明表示</a>遭遇資安事件，並指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，並指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有大量Akira勒索軟體受害者被公布的情況。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），Samsung智慧型手機的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</span></strong></a></h3> <p>殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。</p> <p>另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。</p> <p>卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。</p> <h3><a href="https://www.ithome.com.tw/news/157513"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</span></strong></a></h3> <p>駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。</p> <p>圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/157532"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></a></h3> <p>5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊事故發生至今，已經過了一個月，駭客於6月中旬公布了部分受害組織的名單，也有組織證實遭到攻擊而外洩資料。最近駭客公布更多受害組織而引發關注，當中有兩家大型的工業控制系統業者。</p> <p>駭客企圖繞過防毒軟體與EDR偵測的情況不時出現，例如，使用自帶驅動程式（BYOVD）的方法，但如今有研究人員發現能繞過這類系統偵測的新型態攻擊手法。</p> <p>鎖定業務外包業者的攻擊行動，也相當值得注意。過往相關的攻擊行動裡，駭客往往將此類業者視為他們攻擊目標組織的跳板，被針對的業務外包業者較為單一，但如今出現了專門針對這類產業下手的駭客組織。</p> <h3><a href="https://www.ithome.com.tw/news/157555"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月29日】NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</span></strong></a></h3> <p>鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。</p> <p>又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。</p> <p>Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/157579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</span></strong></a></h3> <p>歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。</p> <p>2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。</p> <p>針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。</p> </div></div></div>
2023/7/3 09:36作者羅正漢https://www.ithome.com.tw/news/157587
Meta計畫讓歐盟用戶從臉書下載第三方App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2023/6/29/23778928/meta-eu-facebook-plans-app-install-android-ads" target="_blank">《The Verge》報導</a>，Meta計畫提供軟體市集，讓歐盟用戶可不經Google Play Store下載Android App。</p> <p>報導指出，Meta最快今年內啟動測試一種新式廣告，由廣告引導用戶前往Meta的Android市集下載App。這是因應歐盟即將在2024年上路的《數位市場法》（Digital Market Act），Meta切入軟體平臺新機會的新嘗試。</p> <p>2022年歐盟通過的《數位市場法》下，要求Google和蘋果等超大型網際網路服務及平臺作為「守門人」不得合併多種來源的用戶個資、必須和第三方通訊App互通，而且需允許用戶安裝第三方App。Meta的計畫是提供Android App市集，以吸引用戶點選臉書廣告前往下載，將有助於提升廣告轉換率及收益。報導表示，至少一開始Meta不會向App開發商要求In-App營收分潤，開發商可使用自己屬意的支付糸統。</p> <p>Meta也證實這點，表示Meta向來有興趣提供開發商更多散布其App的選擇，更多選擇也可增加此市場的競爭，開發商也有獲得更多下載管道的權利。</p> <p>Meta並非唯一利用歐盟新法令提供新機會的大廠。<a href="https://arstechnica.com/gaming/2023/03/microsoft-plans-mobile-games-app-store-to-rival-apple-and-google/" target="_blank">微軟3月在遊戲開發商大會表示</a>，如果微軟收購動視暴雪（Activision Blizzard）成功，將在明年於歐盟地區推出iOS及Android遊戲App的平臺供Xbox訂閱戶下載。只是本收購案出現變數，目前遭美國主管機關之<a href="https://www.ithome.com.tw/news/157309" target="_blank">一聯邦交易委員會（FTC）透過法律手段企圖阻攔</a>。</p> </div></div></div>
2023/7/3 11:28作者林妍溱https://www.ithome.com.tw/news/157589
臺灣牙科新創用生成式AI打造牙科HIS服務，下一步要推AI自動排版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI產業用例再添一例，專攻牙科醫療資訊系統（HIS）的牙科新創台灣牙e通昨（7月2日）揭露生成式AI新服務<a href="https://dentall.ai/">dentall.ai</a>，用GPT-4、GPT-3.5等大型語言模型優化牙科HIS，能根據病歷文字快速生成牙位圖、方便醫師與病人溝通治療方式，還在系統中整合生成式AI Chatbot，來讓醫師、牙助快速查詢健保申報資訊，提供建議代碼和申報建議。該服務目前為Beta版，開放醫師公測，現支援Chrome和Edge瀏覽器，接下來還會擴大到Safari、Firefox等瀏覽器。台灣牙e通創辦人暨執行長陳欽章透露，團隊瞄準海外市場，接下來要推英文版系統，還要新添更多功能，如AI自動排班、自動化預約和更彈性的牙位圖與內容生成。</p> <p><span style="font-size:22px;"><strong>5月推出健保AI GPT聊天機器人，今推LLM優化HIS服務還能生成牙位圖</strong></span></p> <p>這不是台灣牙e通第一次開發AI產品。他們自2018年開發牙科HIS產品後，就在2021年與北醫聯手，用2萬多張口腔X光片訓練出牙周病判讀AI模型，能根據患者口腔X光片計算出牙周病風險（如下圖）。目前，這款AI軟體正進行食藥署智慧醫材許可證的申請，團隊同時也與保險公司洽談，盼未來AI判讀風險、確認患者需要治療後，即能理賠金額。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai.jpeg" /></p> <p>今年，台灣牙e通擁抱生成式AI模型，包括GPT-3.5和GPT-4，在5月就推出Line版本的健保AI GPT聊天機器人：e聊智慧通，來回答牙科健保申報相關問題。汪庭宇解釋，為確保Chatbot能正確回答使用者問題，團隊自建一個包含語意分析器的中繼層，當使用者輸入問題後，會先由分析器來分析提問、校正錯字，再將調整過的提問，送至GPT-4或GPT-3.5來產出回覆。</p> <p>這些產出的初步回覆，並不會直接傳送給使用者，而是會再經過中繼層梳理，比如判斷可信度是否足夠，以及用自建的健保資料庫來確保回答符合規範，最後才傳送給使用者。</p> <p>汪庭宇指出，光是5月，該Chatbot就有1千多名牙科使用者使用。</p> <p>後來，團隊進一步擴大功能，將這種大型語言模型嵌入牙科HIS中，成為dentall.ai牙科助手，來加速醫師工作。他們用將近60萬字的資料（包含牙科知識庫和經授權的牙科治療決策資料），來微調大模型，讓模型不只能回答健保申報規則、推薦組合等問題，還能提供治療建議、查詢IDC-10疾病代碼、產生衛教資訊和牙位圖等資訊。</p> <p>這個dentall.ai採擴充外掛形式，供使用者下載、安裝到瀏覽器中使用。舉例來說，使用者新增外掛後，就能在台灣牙e通的HIS頁面中啟動，點擊輸入框，dentall.ai就會自動跳出選項，比如查詢代碼規則、查詢ICD-10國際病碼、常見同時申報代碼等，來讓使用者選擇，並輸入自己的問題。等待數秒，AI就會給出回覆，來給使用者參考。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3259.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3258.jpeg" /></p> <p>不只如此，這個生成式AI助理，還能根據醫師輸入的病況，來產出治療計畫書和牙位圖，方便醫病溝通。進一步來說，HIS頁面的病歷欄中已列出各項病徵，醫師只需輸入患者病況，如缺牙（Missing）：11、阻生齒（Impaction）：44，就能透過建議選項，點擊生成牙位圖和治療建議，來供醫師參考（如下圖）。要是醫師認為建議不當或牙位圖有誤，也可自行修正。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3265.jpeg" /></p> <p>除了生成式AI，團隊也在新版牙科HIS中新添語音辨識功能，能將語音轉文字，方便記錄患者狀況。此外，他們也新添圖片整理小功能，像是醫師可針對患者X光片貼標、分類等，來管理檔案。這款dentall.ai目前為beta版本，開放醫師測試使用，也支援Chrome和Edge瀏覽器，接下來會擴大支援Firefox和Safari。這套HIS採用GCP服務，能自動調度資源，也符合國內外資安規範。</p> <p>汪庭宇也預告，接下來他們還將推出AI排班功能，來節省牙科診所過去需要專人排定牙助和牙醫班表的工作。此外，他們也要推出自動預約功能，以及更有彈性的牙位圖和內容生成。</p> <p><span style="font-size:22px;"><strong>成立之初就看好科技輔助，成立境外MedTech公司鎖定醫療AI</strong></span></p> <p>AI席捲各行各業，牙科也不例外。陳欽章指出，他調查發現，在美國生技資訊中心維運的醫療文獻搜尋網站PubMed中搜尋AI+牙醫，在2000年至2009年間，只有170篇，但自2010年至2019年，增加至417篇，但光是2020年至2022年，數量就暴增至1,114篇，2023年至今則是359篇，預計今年底達7、800篇，可見AI對牙科影響越來越大。</p> <p>AI用於牙科，還可分為臨床決策輔助系統和影像分析。就臨床決策輔助來說，包含了資料分析、疾病分類和預測，而影像分析則有疾病偵測、影像辨識和臨床模擬（如牙齒美白、牙齒矯正前後）。這些AI應用，也是台灣牙e通所關注的。</p> <p>陳欽章看好科技輔助牙科作業，將台灣牙e通定位為AI牙科軟體公司。他在2015年成立台灣牙e通時，就先在臉書成立社團來提供牙材團購和教學課程團報服務，2018年則正式瞄準牙科HIS，找來技術長、自建研發團隊，來開發牙科HIS和牙科診所採購平臺，這些系統已有不少臺灣診所和醫院採用。2021年，團隊開始嘗試AI，與北醫合作開發牙周病判讀AI，後來也成立MedTech境外公司，將自己定位為醫療科技公司，「目前先做牙科，未來會擴大到其他科別。」陳欽章說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%BC%E5%B1%95.jpeg" /></p> <p>身為執業牙醫師，陳欽章也用牙醫師日常面對的5大問題，來解釋自家系統佈局。比如，他們開發的雲端診所管理系統是要解決牙科看診和行政工作需求，另外也將自建的內部採購系統開放出來，作為另一項服務，來解決牙材採購問題。他解釋，會開放這個平臺，是在疫情間收到許多東南亞廠商詢問，他們希望有套牙材電商平臺來交易，目前在新加坡、馬來西亞、泰國和菲律賓都能使用。最後，台灣牙e通也經營原有的線上、線下教學平臺，來供國內牙醫師使用，目前也正發展保險平臺，要解決國內外牙科保險理賠問題。</p> </div></div></div>
2023/7/3 02:07作者王若樸https://www.ithome.com.tw/news/157585
蘋果成為全球首家市值達3兆美元的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周五（6/30）股價上漲了2.31%，以193.97美元作收，市值為3.051兆美元，成為全球首家市值超越3兆美元的企業。蘋果身價在2022年1月3日的盤中也曾一度突破3兆美元，但當時並未能延續至收盤，這一年多以來蘋果市值更曾一度掉至2兆美元。</p> <p>今年初蘋果的股價大約落在130美元左右，這期間的漲幅達49%，那斯達克（Nasdaq）股市在同一期間的漲幅為30%，微軟則是40%。</p> <p>《CNBC》引用Wedbush Securities分析師Dan Ives的看法指出，他們相信蘋果會在未來的12~18個月內重拾大幅成長，華爾街不僅低估了iPhone 14的安裝基礎，且iPhone 15將迎來重大的更新周期，因為有25%的蘋果用戶最近4年都沒有更新手機。</p> <p>另一方面，蘋果於6月上旬發表的<a href="https://www.ithome.com.tw/news/157260" target="_blank">Apple Vision Pro也受到各界好評</a>，儘管華爾街分析師認為，售價3,499美元的Vision Pro短期內應該無法替蘋果帶來太多營收，但當蘋果推出成本與售價更低的版本時，可望推動全球的元宇宙市場，並成為蘋果的營收主力。</p> <p>目前全球市值第二大的企業為微軟的2.532兆美元，第三名是沙烏地阿拉伯國家石油公司Saudi Aramco的2.079兆美元，Alphabet則以1.53兆美元位居第四，Amazon以1.337兆美元排名第五，第六名是近日竄起的Nvidia，市值為1.044兆美元。</p> </div></div></div>
2023/7/3 09:11作者陳曉莉https://www.ithome.com.tw/news/157586
Windows 11首度公測Copilot、加入RAR及7-zip支援、Bing廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟全面擁抱AI，將GPT模型為底層的Copilot加入Bing、Edge、Microsoft 365、Dynamic 365、及SharePoint等產品，<a href="https://www.ithome.com.tw/news/157018" target="_blank">5月在Build開發者大會上宣布</a>擴大其Copilot也將整合到Windows 11。<a href="https://blogs.windows.com/windows-insider/2023/06/29/announcing-windows-11-insider-preview-build-23493/" target="_blank">微軟上周發布包含</a>Copilot的第一個Windows 11公開測試版，正式將AI助理推向桌機作業系統，同時也開始支援RAR、7-zip等受歡迎的壓縮檔格式，並開始加入Bing廣告。</p> <p>上周微軟以緩進速度在Dev頻道釋出Insider Preview Build 23493，提供用戶預覽Windows Copilot。安裝好後，工具列會出現在新按鍵，或按「視窗」鍵＋C，即可啟動Windows Copilot。它使用微軟帳號或Azure Active Directory（AAD）帳號登入。啟動後Windows Copilot會出現在螢幕右邊工具列以免擋住使用中的內容和應用程式。微軟建議用戶的Microsoft Edge瀏覽器版本也應在115.0.1901.150以上。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/windows-copilot1-1024x683.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>Windows 11 Copilot能讓用戶不用切換介面，直接和ChatGPT互動，提供搜尋、回應用戶問題、幫忙撰寫會議記錄或草稿等工作。此外也能幫用戶操作Windows指令，像是變更成深色模式、啟動「勿打擾」、抓取螢幕擷圖，或是為網頁內容做重點摘要。測試版的Windows Copilot版本也首度加入廣告。微軟說，Windows Copilot整合Bing Chat可生成情境化的回應（即能讀懂螢幕上的文字），用戶可能會收到經由Bing廣告送出「微軟認為相關」的建議。</p> <p>但之前宣布的某些功能，像是允許用戶以Windows Copilot控制Bing第三方外掛，在第一個公測版是還沒有的。但微軟說等Insider用戶測試後會再逐漸改進Copilot功能。</p> <p>微軟表示未來還會擴大測試，包括提供給多頻道用戶，以及加入IT管理員控管公司員工使用的政策。用戶可以透過Windows Copilot側邊工具列右上的3點式選單，回傳使用意見。</p> <p>除了Copilot外，最新的測試還加入新的壓縮檔格式支援、以及新的「設定」App首頁以及其他功能。一如5月Build大會上<a href="https://www.ithome.com.tw/news/157017" target="_blank">微軟宣布</a>，Windows也加入了其他壓縮歸檔格式的支援，包括.rar、.7z、.tar、tar.gz、.txz、.tbz2等多種格式。不過微軟說會有一些效能問題。新版「設定」App首頁則以卡片讓使用某些功能更方便，例如建議的設定、雲端儲存、帳號回復、個人化、M365及XBox訂閱狀態、連線的藍牙裝置等。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/settings-homepage-1024x758.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>Windows 11也整合了5月底測試版的新功能，如新的備份App、及恢復在Windows 11一度拿掉的App。後者以App大頭釘形式，如果它在Microsoft Store可供下載，點擊大頭釘就能使用，如果無法從Store下載就會導引用戶前往相應網站下載。</p> <p>其他功能包括日文與英式英語自然朗讀聲音、混音程式，以及Windows Sonic App使用空間音效的選單等。</p> </div></div></div>
2023/7/3 09:41作者林妍溱https://www.ithome.com.tw/news/157588
【資安日報】6月30日，勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。</p> <p>2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。</p> <p>針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電傳出遭勒索軟體LockBit攻擊，該公司表示是供應商遭到攻擊，受害廠商擎昊科技也發表聲明承認遭駭</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-tsmc-breach.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-tsmc-breach.jpg" style="width: 300px; float: right;" /></a>根據國內外新聞媒體6月30日上午的報導，勒索軟體LockBit聲稱攻擊了台積電（tsmc.com），並要脅若不付錢，他們將公布能夠進入該公司內部網路的帳號及密碼。駭客也開出價碼，要求銷毀資料，或是下載檔案的價碼各為7千萬美元。</p> <p>對此，台積電於今日下午提出說明：「台積公司已知悉某IT硬體供應商受到駭客侵害之事件，目前已知洩漏的資訊皆為該供應商協助的硬體初始設定資料，因所有進入台積公司之硬體設備包括其安全設定皆須在進廠後通過台積公司完備程序做相對應的調整，本次事件不會影響台積公司之生產營運，亦無台積公司客戶之相關資訊外洩。事發後，台積公司已按照公司之標準作業程序處理，包含立即中止與該硬體供應商的資料交換，後續亦將加強宣導供應商的安全意識與確認安全標準做法。目前此駭客侵害事件已進入司法調查程序。」</p> <p>而對於台積電提及的供應商，多家媒體報導就是擎昊科技。針對此事，擎昊也做出說明：「本公司於2023年6月29日上午，發現公司內部特定測試環境中，遭受外部團體之網路攻擊，並擷取相關資訊，資訊內容主要為本公司為客戶提供之各式系統裝機準備資訊，因揭露之資訊中出現特定客戶之名稱，造成客戶之困擾，除先向受到影響之客戶致歉外，本公司已就此次資安事件進行排查與防護強化，特此通知。」</p> <p>參考資料</p> <p>1. <a href="https://cybernews.com/news/tsmc-data-breach-lockbit/">https://cybernews.com/news/tsmc-data-breach-lockbit/</a><br /> 2. <a href="https://technews.tw/2023/06/30/hackers-blackmail-tsmc/">https://technews.tw/2023/06/30/hackers-blackmail-tsmc/</a><br /> 3. <a href="https://money.udn.com/money/story/5612/7269764">https://money.udn.com/money/story/5612/7269764</a></p> <p><a href="https://securelist.com/lazarus-andariel-mistakes-and-easyrat/110119/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Stonefly透過Log4Shell漏洞散布木馬程式EarlyRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_report_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_report_03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露北韓駭客組織Lazarus旗下團體Stonefly（亦稱Andariel）最新一波的攻擊行動，這些駭客從2022年中期，利用Log4Shell漏洞入侵目標組織並部署後門程式DTrack，然後下載3Proxy、Putty、Dumpert、Powerline等軟體進行網路偵察、竊取帳密資料，以及進行橫向移動。</p> <p>駭客疑似在攻擊過程裡投放帶有木馬程式EarlyRAT的Word檔案，聲稱因為使用者電腦上Word程式版本較舊，而無法載入內容，要求使用者更新應用程式，或是暫時啟用巨集來因應。</p> <p>一旦使用者依照指示啟用巨集，電腦就有可能被植入木馬程式。研究人員提及，此木馬程式與Lazarus另一個名為MagicRAT的惡意軟體相似，駭客都是透過軟體框架開發而成，且兩者的功能都相當有限。</p> <p><a href="https://www.ithome.com.tw/news/157552"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓間諜程式LetMyeSpy遭入侵，用戶資料外流</span></strong></a></p> <p>資安業者Niebezpiecznik指出，安卓間諜軟體LetMeSpy出現資料外洩的情況，駭客聲稱取得此間諜軟體製造商網域的存取權限，且疑似竊取了用戶資料後刪除了伺服器上的檔案。</p> <p>研究人員在流出的檔案裡，發現逾2.6萬筆用戶的電子郵件帳號及密碼、1.6萬則簡訊，以及追蹤者與被追蹤者的電話號碼。</p> <p>資料外洩情報網站DDoSecrets與科技網站TechCrunch聯手分析上述資料，上述資料涉及1.3萬臺遭LetMeSpy監控的裝置，大多數位於美國、印度、西非。波蘭資料保護機構UODO發言人Adam Sanocki證實，他們收到了LetMeSpy的資料外洩通報。</p> <p>參考資料</p> <p>1. <a href="https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/">https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/</a><br /> 2. <a href="https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/">https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec-consult.com/blog/detail/responsible-disclosure-of-an-exploit-chain-targeting-the-rfc-interface-implementation-in-sap-application-server-for-abap/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露影響SAP多項產品的RFC重大漏洞</span></strong></a></p> <p>資安業者SEC Consult研究人員揭露對於SAP系統專屬的通訊協定長期研究成果，陸續發現了CVE-2021-27610、CVE-2021-33677、CVE-2021-33684、CVE-2023-0014。</p> <p>上述漏洞的共通點，就是影響採用SAP Application Server for ABAP元件的應用系統，這些包含了SAP ERP Central Component（ECC）、S/4HANA、BW/4HANA、Solution Manager（SolMan）、SAP for Oil & Gas、SAP for Utilities、Supplier Relationship Management（SRM）、Human Capital Management（HCM）、Employee Central Payroll（ECP）。</p> <p>研究人員指出，利用他們找到的漏洞，攻擊者不需特殊權限，過程中也不需求使用者互動，而且，若是攻擊者將漏洞加以串連，會帶來更嚴重的威脅。研究人員指出這些漏洞具備蠕蟲特性，攻擊者可用於在SAP系統裡進行橫向移動。</p> <p><a href="https://www.wordfence.com/blog/2023/06/miniorange-addresses-authentication-bypass-vulnerability-in-wordpress-social-login-and-register-wordpress-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress社群網站登入外掛出現重大漏洞，恐曝露使用者的帳號</span></strong></a></p> <p>資安業者Wordfence揭露外掛程式WordPress Social Login and Register的身分驗證漏洞CVE-2023-2982，一旦遭到利用，攻擊者就可能在得知使用者登入網站所使用的電子郵件信箱相關資訊的情況下，入侵目標WordPress網站，CVSS風險評分為9.8。</p> <p>這項漏洞發生的原因，在於此外掛程式在使用者登入的驗證過程裡，加密強度不足所致，導致未經身分驗證的攻擊者有可能藉此存取包含管理者在內的帳號。研究人員於5月30日通報開發商miniOrange，該廠商於6月14日發布7.6.5版予以修補。</p> <p><a href="https://www.mdsec.co.uk/2023/06/cve-2023-26258-remote-code-execution-in-arcserve-udp-backup/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">備份軟體Arcserve UDP出現身分驗證繞過漏洞</span></strong></a></p> <p>資安業者MDSec揭露備份軟體Arcserve Unified Data Protection（UDP）的身分驗證繞過漏洞CVE-2023-26258，這項漏洞影響7.0至9.0版的Arcserve UDP，可讓攻擊者攔截含有AuthUUID資訊的SOAP請求，進而取得管理員的連線階段（Session），最終能夠存取該系統的管理介面，甚至有可能破壞目標系統的備份資料。對此，Arcserve於6月27日發布更新版本進行修補。</p> <p><a href="https://securityaffairs.com/147828/hacking/bind-dns-dos-flaws.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路系統協會修補DNS軟體套件BIND9的DoS漏洞</span></strong></a></p> <p>6月21日網路系統協會（ISC）發布DNS軟體DIND 9更新版本9.16.42、9.18.16、9.19.14、9.16.42-S1、9.18.16-S1，一共修補了3個漏洞CVE-2023-2828、CVE-2023-2829、CVE-2023-2911，這些都是阻斷服務（DoS）漏洞，攻擊者可遠端利用，進而導致DNS設備的記憶體耗盡，或是BIND的常駐處理程序（daemon）named當機，上述漏洞的CVSS風險評分皆為7.5。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blog.1password.com/unlock-with-sso-oidc/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">1Password針對OpenID Connect身分驗證解決方案支援單一簽入</span></strong></a></p> <p>密碼管理解決方案業者1Password於6月28日宣布，他們將支援通用的OpenID Connect（OIDC）組態，而能和更多身分驗證供應商的解決方案整合，這些解決方案包含了 Duo、OneLogin、JumpCloud、Ping Identity等，企業版1Password用戶將能透過這類身分驗證系統的單一簽入（SSO），存取1Password帳號。</p> <p><a href="https://proton.me/blog/proton-pass-launch"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Proton推出密碼管理服務，整合電子郵件信箱別名功能</span></strong></a></p> <p>專門提供網路隱私服務的VPN業者Proton於6月28日，發表密碼管理服務Proton Pass，用戶可以透過瀏覽器擴充套件在電腦上使用，也能藉用安卓、iOS版應用程式存取帳密資料。值得一提的是，此服務不光能用來管理帳密資料，也提供動態密碼產生器的功能，並支援電子郵件信箱別名的機制Hide-my-email。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cip.gov.ua/en/news/vorozhi-khakeri-atakuyut-kritichnu-infrastrukturu-ukrayini-pracyuvati-nad-posilennyam-zakhistu-treba-postiino"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">自2022年戰爭開打以來，烏克蘭關鍵基礎設施遭到3千次網路攻擊</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/following-noname05716-ddosia-projects-targets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客發起的DDoS攻擊行動一年內增加24倍</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/manic-menagerie-targets-web-hosting-and-it/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國、歐盟IT服務供應商遭到鎖定，駭客將其伺服器用於挖礦</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/cryptoslabs-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">詐騙集團CryptosLabs鎖定法國、比利時、盧森堡，假借投資名義詐財</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/8base-ransomware-gang-escalates-double-extortion-attacks-in-june/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體8Base威脅態勢升溫</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></strong></p> </div></div></div>
2023/6/30 17:15作者周峻佑https://www.ithome.com.tw/news/157579
蘋果AR新戰略解密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1136-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=6y_z_6Gc" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果首款AR頭戴設備終於問世，這卻是蘋果花了6年精心策畫的布局，從行動裝置開始支援、推出專用開發工具，到採用光達空間感測技術，蘋果下一步更要讓行動開發者能夠無縫接軌這個新的空間運算世界，打造完整的AR開發生態圈，這是蘋果AR新戰略</p> </div></div></div>
2023/6/30 15:23作者余至浩https://www.ithome.com.tw/article/157578
深化數據分析驅動決策，55688靠數據加速數位轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提到「55688」，相信不少人會馬上聯想到是超過20年的台灣大車隊叫車服務，但是，這個交通運輸乘車服務，近幾年逐漸發展成一個多角化經營的55688集團。為了扭轉計程車乘車服務的傳統印象，55688集團這近幾年加速轉型，要成為提供多元生活服務的數位服務平臺。</p> <p>除了乘車服務之外，包括微搬家、代駕、居家清潔、洗衣、訂房、機場接送等服務，讓使用者一站式平臺取得這些生活化服務。台灣大車隊更因連續2年資訊媒合服務營收超過了一半，也申請調整股市產業類別，7月後會轉入數位雲端產業，和網路、電商等業者並列數位雲端產業類別。</p> <p>早在2011年推出的55688 App，這幾年更積極從單一叫車服務，要發展成串連多種服務的超級App，國內用戶約680萬名，相當於每4人即有1名用戶。今年5月初剛完成了一次UX體驗的大改版，背後推手之一是帶領IT及研開團隊，協助集團加速數位轉型的55688集團資訊／研發事業群副總經理南強。</p> <p><span style="font-size:28px;"><strong>強化IT和業務單位更緊密合作</strong></span></p> <p>南強過去曾在工研院化工所任職，專長領域為工廠自動化，從產線設備蒐集資訊，進行分析監控，後來進入電信產業，陸續接觸企業IT、營運方面工作，之後加入台灣大車隊，曾參與客服、資訊部門，2021年升任集團資訊／研發事業群副總，這幾年帶領資訊及研發團隊協助集團加速數位轉型發展，對於IT研發團隊的角色轉變，南強自己有相當深刻的體會。</p> <p>他表示，過去資訊研發團隊多是幕後工作，由業務單位提出需求，經過訪談後，依據需求規格進行開發，現在IT的趨勢是要往前跨一步，和業務、行銷等其他單位更緊密的合作，提供更多的意見讓其他單位參考。南強直言，傳統的IT僅根據需求規格進行開發，較不會從平臺營運角度來思考。</p> <p>「集團開始重視平臺經營，業務單位也希望借助平臺帶動業績成長，就需要數據驅動， IT和業務單位需要更緊密合作，IT協助產生數據，共同分析數據產生判斷」，他述說IT研發團隊這幾年的角色轉變。</p> <p>55688平臺上有多種服務，每項服務背後都有專門的業務單位負責，但平臺整體經營、體驗缺少專責單位統籌，因此，去年，55688集團在資訊研發事業群底下進一步成立了平臺發展部，專門負責統籌平臺服務體驗一致性、資料蒐集，代表資訊研發團隊和前端業務單位，比過去更加緊密合作。</p> <p>「過去IT比較被動，業務單位提出需求，IT接手需求來開發，再根據業務單位意見修改調整，現在的趨勢是，IT和業務單位雙方需要更緊密搭配合作」，南強說。</p> <p><span style="font-size:28px;"><strong>以數據作為各部門共同語言，深化數據驅動決策</strong></span></p> <p>當IT角色還有另外一種改變，「IT的角色逐漸從後端向前跨一步協助前端的業務單位時，」南強表示，另一方面，IT將可蒐集的相對應數據集中，讓這些數據可以被應用，過去，憑經驗認為系統應該如何修改，現在，通過數據蒐集、分析，提供相對客觀的決策參考依據。</p> <p>IT也負責蒐集平臺上的使用行為數據，甚至要有能力用數據來了解使用者的行為模式，例如在不同階段的轉換率，以分析為何會產生落差，和前端業務單位共同探討原因。</p> <p>例如對使用者而言，使用服務的門檻是否過高？相關體驗設計是否做得不夠好？或是使用者填寫的欄位資料，和業務單位要求的欄位資料，在實務上有何衝突難處？</p> <p>過去業務單位需要的報表，提出數據分析的需求後，由IT部門產生，55688集團希望不只IT部門化被動為主動，和業務單位合作，甚至反過來業務單位也要具備數據分析的基本能力，根據分析需要設定幾個維度，產生BI報表，而不需要事事仰賴IT協助。</p> <p>但是，由於數據量相當龐大，分析需要耗費較多的運算資源、時間，例如今天開始分析數據，可能要到隔天才能產生結果，對於業務單位而言，難以滿足業務單位的需要，IT也難以針對短期的大量運算需要，採購多臺實體伺服器，徒增日常維運負擔，甚至在運算離峰時造成大量資源的閒置。</p> <p>為了解決這個問題，他們先將分散在不同系統的資料，通過統一標準在地端匯整在一起，讓不同部門得以使用一致的數據進行溝通，再和業務單位訪談，了解哪些數據需要即時分析，將這些數據上雲，利用雲端運算的大量運算資源，來縮短數據分析過程。</p> <p>通過雲端的大量運算資源彈性運用，過去可能要等到明天才能產生的分析結果，現在縮短到6秒完成，業務單位也能通過使用BI分析工具，可自行設計分析的維度，快速產生數據分析結果。對IT單位而言，不用採購大量伺服器、負擔設備維運工作，分析使用的雲端資源也在運算結束後自動釋出。</p> <p>「IT和業務單位以數據作為共同語言，以數據分析來作決策，作為比較量化的指標、形成共識，避免出現不一致的看法」，南強說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-55688-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span><br /> <span style="color:#3399ff;"><span style="font-size:22px;"><strong>55688集團資訊／研發事業群副總南強表示，IT和業務單位以數據作為共同語言，以數據分析來作決策，作為比較量化的指標、形成共識，避免出現不一致的看法。</strong></span></span></p> <p><span style="font-size:28px;"><strong>根據乘車大數據開發AI模型預測乘車熱點</strong></span></p> <p>55688集團對於數據分析的重視，也反映在集團的第二代接班人身上，目前擔任55688集團執行長的林念臻，專長為企業管理，先前曾擔任台灣大車隊大數據發展事業處主管，她進入管理團隊後，更重視大數據應用，希望發掘更多數據的價值。</p> <p>南強表示，不論是執行長或是總經理，在公司尾牙等活動多次對內宣示，強調資料科學的重要性，高層期許不是只有IT部門或資料團隊，全公司都應該要重視資料科學、數據分析，親近它、應用它、擁抱它。相較於過去依靠經驗判斷，從數據面來驅動決策，不論決策最後的結果是對或錯，都是根據數據面作判斷。</p> <p>他們已經在乘車媒合服務大量借重數據分析。目前台灣大車隊擁有超過2.2萬輛計程車，為國內最大的計程車隊，但近幾年也面臨不小的挑戰，除了疫情期間民眾外出乘車需求減少，還有來自國外叫車服務科技巨頭的落地競爭，以及挾龐大生活服務平臺優勢的本土叫車業者，國內汽車龍頭更跨業進軍乘車服務市場。傳統計程車派遣服務，受到來自其他產業的跨業競爭，市場競爭變得更為激烈。</p> <p>「我們在營運面臨的困難是，司機加入車隊，如果收入不好，可能會退出大車隊，因此如何讓他們的收入逐漸變好是相當重要的課題，需要從大量數據獲得洞察，提供建議給司機，這是我們實際面臨的問題」，南強說。</p> <p>目前台灣大車隊約有2萬多輛計程車，約為國內計程車的4分之1，這些計程車每天在道路上行駛移動，等待路招或是接收車隊派遣載客，媒合系統需要蒐集每1秒計程車動態位置，結合民眾叫車需求，提高乘客與司機的媒合精準度。</p> <p>他們利用過去一年近8千萬趟的乘車大數據，一天平均約有22萬次乘車，根據天氣、地點、時間，加上特殊的節日、活動數據作為模型參數，綜合民眾乘車需要、環境因素，訓練建立機器學習模型，來預測民眾乘車的熱點，建議計程車司機在某個時間、前往熱點，增加旗下計程車成功載客的機會。</p> <p>南強表示，從派遣車隊經營來看，司機加入車隊後，如果沒有明顯增加收入，就可能跳槽至其他車隊，因此，提高司機收入才能留人。</p> <p>台灣大車隊應用民眾乘車大數據，利用AI預測民眾的叫車熱點，能動態預測不同的時間點，哪裡可能是乘車的熱點，建議司機前往哪些地方，來提高載客的機會，也能減少計程車空車在道路上繞行時間、耗油，這個AI預測的準確度達到96%。</p> <p>對於資歷較深的計程車司機來說，容易憑藉多年開車載客經驗判斷，哪個時間點、哪些地點比較容易載到客人，但對缺乏相關經驗的新手司機而言，花費許多時間，空車在路上繞行．等待路招乘車的機會，台灣大車隊開發這項AI預測乘車熱點技術，輔助新手司機，引導至預測的乘車熱點，來提高載客的機會。</p> <p>當使用者透過乘車App叫車，業者相當重視承接率，車隊能否即時派遣適合車輛前往提供服務，從乘客角度來看，手機內經常使用不只一種乘車App，如果民眾使用特定App叫車，因等待時間過長，最後放棄叫車，改用其他App叫車。因此，台灣大車隊開發AI模型預測乘車熱點，除了協助司機增加載客機會，提高他們的收入之外，也藉此調整車輛派遣管理，提高乘車服務的承接率，改善民眾叫車等候的體驗。</p> <p>如同前面提到的，55688集團的目標是將自家同名App發展為一個超級App，以單一管道提供使用者各種生活相關服務，增加服務的使用，帶動全集團營收的成長。</p> <p>因此，IT也會和業務單位合作，根據App使用行為數據，觀察不同的流程或體驗設計，如同電商廣告投放方式，對各種服務帶來的轉換率效果，如果轉換的效果不佳，再調整數據分析面向，搭配敏捷式開發，不斷通過驗證、調整決策，逐步設法提高轉換率，提高數位平臺上的服務使用率。</p> <p><span style="font-size:28px;"><strong>運用生成式AI提升工作效率</strong></span></p> <p>不只自行發展各種數據應用，外部當紅的ChatGPT浪潮，已有企業開始運用，55688集團也沒有落人後，他們先從IT的局部工作開始測試導入，例如網管人員撰寫程式監控系統，過去是由網管人員自己獨力寫程式，但每個設備指令往往不同，需要一一查詢確認指令，往往耗費較多的時間，現在則可利用ChatGPT產生程式框架，再由網管人員進行驗證。</p> <p>南強表示，ChatGPT的使用需要遵守企業的資安規範，不將企業機密內容上傳到ChatGPT的前提下，同仁經過試用ChatGPT後反映，確實能有效縮短程式開發時間。過去可能需要2、3天完成程式開發，現在可能只要半天就能完成。他認為企業善用AI工具，如同站在巨人肩膀上，由AI協助完成基礎工作，提高整體工作效率，企業只要將這些基礎進一步組合需要的應用即可。「這才是我們應該要做的」，南強堅定地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>南強</strong></span></p> <p>學歷：逢甲大學紡織工程研究所</p> <p>經歷：曾在工研院化工所任職，負責工廠自動化監控，後來加入台灣固網，在國內電信產業擁有多年的工作資歷，曾從事網管、ERP、帳務、資料庫等資訊相關工作，後來加入台灣大車隊，於2021年擔任55688集團資訊／研發事業群副總經理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span> </strong></span></p> <p><span style="color:#3399ff;"><strong>55688集團</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-55688-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p>地址：臺北市中山區長安東路2段162號2樓</p> <p>成立時間：2002年</p> <p>主要業務：集團從交通出行服務出發，擴展至生活媒合服務55688 APP。集團下業務涵蓋計程車隊派遣乘車服務、快遞、代駕、洗衣、車輛保修、旅遊等等。</p> <p>員工數：723人</p> <p>年營收：17億元（2022年）</p> <p>董事長：林村田</p> <p>總經理：楊榮輝</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：55688集團資訊／研發事業群副總經理</p> <p>資訊部門主管姓名：南強</p> <p>直屬主管：55688集團執行長林念臻</p> <p>資訊部門人數：約100人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2011年：首次推出55688叫車App</p> <p>2015年：自主車輛派遣系統上線</p> <p>2021年：運用大數據打造AI預測叫車熱點技術，協助司機提高載客率</p> <p>2023年：App更新推出Super App，更新Icon外，更優化UI、UX體驗</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0630-55688-nan_qiang_-960.jpg" width="960" height="420" alt="" title="55688集團資訊／研發事業群副總南強　（攝影／洪政偉）" /></div></div></div>
2023/6/30 15:29作者蘇文彬https://www.ithome.com.tw/people/157576
微軟預覽混亂工程工具Developer Proxy，可避免365應用獲過度授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出混亂工程工具Microsoft 365 Developer Proxy最新<a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-365-developer-proxy-v0-9-with-over-consenting-guidance/">0.9預覽版</a>，Developer Proxy是一個命令列工具，可用來測試Microsoft Graph、SharePoint Online以及其他HTTP API的行為，在最新的預覽版本中，Developer Proxy讓用戶能夠檢測使用Microsoft Graph API建置應用程式，所存在的過度授權問題。</p> <p>Microsoft Graph是微軟所提供的統一RESTful API，供開發者使用單一API呼叫存取不同微軟雲端服務的資料和功能，包括Microsoft 365、Windows，以及企業行動與安全性服務。開發者透過Microsoft Graph這個資料入口，跨平臺存取資料，建立可加速企業工作流程的應用。</p> <p>Microsoft Graph API讓開發者可以存取並且操作Microsoft 365中的大量資料，其使用OAuth 2.0授權架構，限制敏感資料只有具有適當權限的應用程式和用戶能夠操作，但是開發者在使用Microsoft Graph API的過程，常會出現過度授權的問題。</p> <p>當應用程式獲得權限過多，該應用程式被攻擊或是濫用時，就可能造成大量資料洩漏，開發者在設計應用程式時，需要儘量使用最小的權限，而Developer Proxy則可以協助開發者達成這個目的，在之前的版本，Developer Proxy已經可以自動偵測應用程式呼叫API所需的最低權限，而在Developer Proxy 0.9版本中，官方針對最小權限相關控制，進一步添加能夠發現應用程式擁有過度權限的套件。</p> <p>這個新的最小權限套件會捕捉應用程式所發出的一系列Microsoft Graph API請求，並且與存取權杖的角色或是範圍相比較，當權杖所擁有的權限，超過應用程式API請求所需的最小權限時，便會向用戶發出警示。官方提到，這些權限比較工作會在本地端運作，因此用戶的權杖不會被上傳到外部API。</p> </div></div></div>
2023/6/30 15:59作者李建興https://www.ithome.com.tw/news/157577
培養舉證與通報能力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在電視影集《人選之人–造浪者》播映之後，鼓舞了許多性騷擾受害者，他們勇敢站出來公開自己過去的遭遇，然而許多事情已距離現在太久，有些被指控的人坦然承認，有些人表示不清楚是否發生此事，有些人則予以否認，導致公理無法伸張；近期新北市幼兒園傳出幼兒遭餵食不明藥品的狀況，引發全國關注，但可能因為化驗時間太晚，因此導致無法檢測出異常，而使得大家各執一詞，至今仍無法釐清責任歸屬，家長難以接受這樣的結果，幼教環境的安全性受到質疑，無法及時主持公道的地方政府也面臨公信力重挫的局面。</p> <p>近期關於證據不足引發的爭議，也頻頻出現在新聞版面。像是甫繼承5億遺產的18歲高中生墜樓案，原因究竟是自殺或他殺，引發大家熱議，6月21日檢方偵結時，雖然因為無直接殺人證據而不起訴，但先前家屬委託法醫勘驗遺體及現場，懷疑遭下毒或死後被丟下樓，引起許多媒體爭相報導，然而，台中地檢署公布的法醫解剖鑑定報告卻表示，死亡原因符合高處墜落，且死者體內未檢出酒精、葡萄催芽劑或其他常見的毒藥物反應。</p> <p>另一起事件則是發生在端午連假期間，因午後熱對流雲系旺盛，新北市中和區與永和區降下強陣雨，造成多處積水，新北市交通局的臉書粉絲專頁「新北交通族」發布影片通報，上面標示16:00特定路段有多處淹水，但市府表示下午4時水已經消退，引發敵對政黨的抨擊，後續交通局長受訪時表示，影片標記的時間是他們收到、看到這支影片的時間，該畫面實際拍攝時間是15:02分，後來也在臉書專頁發布更正啟事，坦承影片標註時間錯誤。事隔幾天之後，這段「誤植錯誤時間」的影片仍留在這個粉絲專頁，並未更正、重新發布，而我們在6月28日再連到這個臉書專頁想了解當時狀況與是否有後續發展，卻無計可施，因為該支影片與更正啟事均被刪除。</p> <p>面對許多爭議事件的發生，作為當事人或旁觀者，建議大家不只是要及早通報問題，也要及早且盡可能保存各種證據，如果無法取得直接證據，留下間接證據仍是必要的。</p> <p>以上述淹水認定的爭議而言，如果有人認為新北市府所言不實，能馬上親自或派人到現場勘查，設法以影像記錄所看到的狀況，而且也能找到更多人來證實實際狀況，不僅可以更明確知道孰是孰非，也能證明彼此所言是否屬實，若單憑社群媒體發布的內容，仍然無法讓大家完全信服，所謂的真相也存在許多解釋空間，而無法釐清。而作為受監督的一方，承認處理失當是可取的，但事後悄悄刪除這些貼文，而非予以保留與更正，卻可能產生更多爭議。</p> <p>「人非聖賢，孰能無過」，大多數人當然不希望承受別人造成的錯誤，也不願耗費時間和心力去追究很多事情，然而，為了自保與提醒他人不要繼續犯相同的錯誤，我們還是應該盡可能指出這些問題，除了適當表達自己的立場，也必須要準備好相關的證據，以釐清事情的原委，一切有可能是不小心或誤會，但有可能是有意的滋擾或侵害，「防人之心不可無」所指的，並非只有心態上的預防與警戒，及早善用身邊的各種工具進行具體的記錄，並且要能儲存與審視這些資訊，是現代人生活與工作必備的重要技能。</p> <p>小至各種交易單據的保留，個人身心健康狀態的診斷，大至不同場域、環境的視訊監控，體制、工作流程的監督與稽查，隨著數位化科技的普及，相較於過去，我們擁有更多可保存與記錄各種狀況的數位工具，例如智慧型手機、平板電腦、行車記錄器、運動攝影機、寵物攝影機，甚至是空拍機，平時我們就要練習操作，一旦發生突發狀況，就能馬上取得相關證據自保，而非事到臨頭卻不知所措。</p> <p>對於其他平臺錄製的各種影像畫面，我們也應該積極關切如何合法取得這些資料，了解保存期間與方式，以免錯失取證的機會。</p> <p>如同這齣臺灣今年最熱門的政治幕僚影集的著名臺詞「我們不要就這樣算了」，所謂的重視不能僅止於紙上談兵，須在行動層面落實，當衝突發生時，無論你是否要追究，請記得證據很重要，需要刻意保存與記錄，因為或許有一天會派上用場。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%88%89%E8%AD%89">舉證</a></div><div class="field-item odd"><a href="/tags/%E9%80%9A%E5%A0%B1">通報</a></div></div></div>
2023/6/30 14:51作者李宗翰https://www.ithome.com.tw/voice/157575
打造Pi聊天機器人的Inflection AI完成13億美元的融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年5月發表Pi聊天機器人的AI新創Inflection AI，<a href="https://inflection.ai/inflection-ai-announces-1-3-billion-of-funding" target="_blank">於本周四（6/29）宣布完成13億美元的融資活動</a>，外傳甫於去年才成立的Inflection AI估值已高達40億美元。</p> <p>Inflection AI是由Reid Hoffman、Mustafa Suleyman與Karén Simonyan在2022年所創辦，其中，Suleyman亦為DeepMind的共同創辦人，現也擔任Inflection AI執行長。</p> <p><a href="https://inflection.ai/press" target="_blank">Inflection AI在今年5月發表了Pi聊天機器人</a>，有別於其它強調生產力、搜尋或回答使用者問題的機器人，Inflection AI將Pi定位為個人AI，所擔任的角色是使用者的教練、知己、創意合作夥伴或是傾訴的對象。Suleyman說，Pi屬於新型態的AI，它不僅聰明而且EQ好，唯一的使命就是讓使用者更具生產力，更健康也更快樂。</p> <p>新一輪融資的投資人包括Inflection AI創辦人Hoffman、微軟創辦人Bill Gates、前Google執行長Eric Schmidt，以及微軟與Nvidia。Inflection AI的第一輪融資是在2020年初進行，當時Hoffman、Gates與Schmidt即曾參與，總計募集了2.25億美元的資金。</p> <p>Inflection AI正與CoreWeave及Nvidia共同打造全球最大的AI叢集，該叢集最終將由2.2萬個Nvidia H100 GPU所組成，並正在開發全球最先進的大型語言模型Inflection-1。Inflection-1為Pi聊天機器人的基礎，Inflection AI也宣稱該模型的效能優於GPT-3.5、LLaMA、Chinchilla和PaLM-540B。</p> <p>新一輪的資金將用來支持Inflection AI繼續設計及建構Pi。</p> </div></div></div>
2023/6/30 13:38作者陳曉莉https://www.ithome.com.tw/news/157574
營業秘密要具備秘密性、經濟性和合理保護措施，找出營業秘密打官司勝訴的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <div class="style-scope qowt-page" id="contentsContainer" style="padding-left: 90pt; padding-right: 90pt;"> <p>許多國際大廠針對違反營業秘密保護的判例，少說是上千萬起跳的賠償金額，而在營業秘密的認定上，臺灣有許多企業將攸關公司營運、技術、專利等相關資料視為營業秘密，因此，在各種研討會場合中，大家也可以看到講者的簡報當中，直接標示相關內容屬於公司內部機密，此舉也讓大家對於營業秘密保護的面貌，有一些基本認知。</p> <p>對許多企業而言，營業秘密保護是維持公司持續營運的重要關鍵，因此，許多企業都會採取保護措施，確保公司營業機密不會遭到外洩。臺灣安永諮詢服務公司執行副總經理曾韵表示，所有的營業秘密不僅須符合秘密性和經濟性，同時需要搭配保護的措施，根據許多判決案例所示，倘若公司針對這些營業秘密無法提供「合理保護措施」時，法院就會認為公司並不重視這些所謂的營業秘密，之後，一旦進行相關訴訟，法院往往會判決原告敗訴或不起訴處分。</p> <p>曾韵進一步表示，這些合理的保護措施，除了要有明確的政策規範，更重要的是，要有相對應的控管行動，她也建議，企業可以從資料的各種使用狀態，搭配人員、流程和技術的控管措施，落實營業秘密合理的保護措施。</p> <h2><strong>營業秘密必備的三要件</strong></h2> <p>然而，並不是所有企業認定是「營業秘密」的資料，到法院訴訟時就一定可以成立的。曾韵表示，根據《營業秘密法》第二條的規定，營業秘密要成立，必須具備秘密性加上經濟性，並且必須有合理的保密措施，才可以被視為營業秘密，這三者缺一不可。</p> <p>她解釋，很多人都會把所謂類似「祖傳秘方」的各種珍貴配方、技術、方法、技術、甚至是製程、設計等，視為營業秘密，但實際上，真正的營業秘密並非自己認為是秘密，就是法庭上認可的秘密，還必須搭配三項其他要件，包括：（1）這些「秘密」不是該領域行業大家都知道的資訊；（2）這些秘密必須具備實際或潛在的經濟價值；（3）更關鍵的是，擁有該「秘密」的所有者，有對此採取合理的保密措施。上述三要件但凡有一項不具足，就不是營業秘密。</p> <p>有些企業老闆將公司內「所有資料」都視為營業秘密，一旦發生資料外洩，公司就要引用《營業秘密法》向員工求償，對此，曾韵坦言，等到法庭開始審理案件後，企業就會發現：企業要證明對於保護營業秘密是有效的措施，往往有其難度。</p> <p>她以製作蔥油餅的食譜來舉例，材料有麵粉、油及蔥，這些資訊大家都知道，所以這不是秘密；但是，蔥油餅麵團獨門的水和粉的比例、揉捏力道、時間與溫度和入蔥的時機點等，各家都有祖傳秘方，這也是不同蔥油餅口味是否受到顧客喜愛的關鍵，而這些資訊就具有經濟價值。</p> <p>她也說，為了保護這些食譜的秘密配方，店家對於聘僱的廚師、店員或者是材料採買等部門，都必須有一套嚴謹的管理規則，以保護店家重要的配方，這才算有合理的保密措施。</p> <p>一般而言，公司企業的秘密可以從「商業」和「技術」兩個層面來看，不管是商業上的客戶名單、併購資訊、商品售價、成本資訊、交易底價、競爭策略、人事管理……等，或是技術面上的秘密，像是化學成分的公式、製造過程、原料處理或保存、機器型式或裝置等，都可以作為秘密性的評估標準。</p> <p>但要如何判斷該秘密的經濟價值呢？曾韵表示，可以從企業於研發過程投入的成本、實際市場占有率或銷售額的增減、能降低錯誤以提升競爭力的資訊，以及未來能為企業創造的產值或收益，至少必須滿足上面條件的秘密，才能被視為具有經濟價值的營業秘密。</p> <p>至於該如何認定合理的保密措施呢？曾韵認為，企業必須採取合理的保密措施，要讓外界認為企業確實將該資訊當成機密並加以保護，要採取的相對應手段包括：分級與標示、外界無法以正常方法探知，但她也提醒，中間有一些細節必須留意，像是：資料放公用資料夾，然後用權限控管，這樣做就可以嗎？是否有簽署保密合約就可以了呢？「這中間最重要的關鍵在於，該機密是否是任何人都可以取得的呢？合理的保護措施並不是要求滴水不漏的防護。」她說。</p> <p>曾韵認為，要判斷這些秘密是否真的是營業秘密，也可以從下列六個面向去評估。首先，確認在公司外部能了解資訊的程度；其次，確認員工和公司內部其他人對資訊的了解程度；第三，公司為確保資訊機密性而採取保護措施的程度；第四，評估這些資訊對公司及其競爭對手的價值；第五，公司在開發資訊所花費的時間，精力和金錢；最後，確認他人可以取得或複製資訊的難易程度。</p> <h2><strong>以法律實務而言，先確認營業秘密存在才檢討行為和損害</strong></h2> <p>有些人很天真，認為把所有的文件都加上機密等級，並作權限控管，一旦需要上法院時，這些就可以視為營業秘密，但曾韵表示，就法律實務而言並非如此。她進一步解釋，一旦進到法院訴訟程序時，就必須從原告主張、被告抗辯進行營業秘密的訴訟攻防。</p> <p>就原告主張來看，必須要證明真的有營業秘密的存在；證明原告是該營業秘密的的所有人，這包括僱傭關係、委任關係或是共同開發，都可以；原告也必須證明已經採取適當的保護措施，被告知道某些特定資訊是屬於營業秘密，可以是透過簽署條款、上課、電子郵件通知等等；最後原告也必須證明被告在特定的時間、地點，曾經接觸過該營業秘密，其中，原告也必須提供如何控管該營業秘密，以及能否追蹤被告接觸該營業秘密的接觸史。</p> <p>至於被告的部份，可以抗辯該營業秘密是可以從公開資訊取得的資訊，例如工商名簿、網路資訊、廣告或是付費平臺；或者證明該營業秘密其實是可以輕易取得，例如技術已經公開、產品已經大量生產製造等，因為法院在意的是，資訊取得方法是否合法、合理。</p> <p>如果被告是透過正當管到取得產品，而藉由「逆向工程」的方式所得知的營業秘密，屬於「輕易取得」的特殊類型，不算是營業秘密範圍；而該營業秘密雖然是處於秘密狀態，但因為無法突顯「最低程度的原創性」，例如，沒有經過特殊整理分類的客戶名單資料，因為缺乏新穎性，也不算是營業秘密；其他若是屬於過時的資訊且被認定缺乏經濟價值的，也不在營業秘密的範圍。</p> <p>曾韵表示，原告和被告雙方最有爭議的論點經常是「合理保密措施」，像是原告要證明營業秘密的存在，也要證明被告曾經接觸該營業秘密；被告則可以抗辯該營業秘密是公眾周知的資訊，相關技術已經可以輕易取得等方式作為抗辯。她也說，兩造雙方都必須先舉證完畢後，才會去檢討被告是否有侵害原告營業秘密的「行為（Use）」以及是否該負擔相關的「損害（Damage）」</p> <h2><strong>合理保護措施包括主觀意願和客觀技術</strong></h2> <p>合理的保護措施必須具備兩大前提，曾韵表示，首先是主觀上有保護意願，再者是客觀上有保密的積極作為，目的都在於使人了解，公司有將該資訊視為秘密並加以保護的意義。</p> <p>她笑說，有些公司就為了證明公司的資料都是營業秘密，所以便在所有的文件上面都列印「機密」字樣，當所有文件打開、全部都是機密時，這時候的機密就不是機密了。</p> <p>事實上，積極的作為不只是保護資料，還必須讓可以接觸這些機密資料的人知道，公司對於這些機密資料，採取哪些保護措施，需要大家一起保護機密資料。</p> <p>不過，她也指出，這些保密措施並非要求一定要做到滴水不漏的程度。重點在於，每一家公司的狀況不同，要依照其相關人力、財力、資訊性質，以及社會上可以使用的方法或技術，讓不被特定專業領域熟知的情報資訊能獲得有效控管，任意人無法接觸，達到保密的目的，而這便是符合「合理保密措施」的要求。</p> <p>進一步分析「合理保密措施」應有的元素，她建議，可參考內政部警政署保安警察第二總隊的「合理的保密措施─內部自行檢核表」，當中有分類的五項措施，包括：確立保密標的、控管接觸權限、限制使用範圍、控管資訊設備，以及人員知悉保密義務。</p> <p>在確立保密標的上，要先做到盤點營業秘密，才知道哪些是營業秘密，必須要</p> <p>做好管理；控管接觸權限的部份，則是針對已經定義的營業秘密，要限制人員的權限，只有特定角色或職位才能存取。</p> <p>另外，針對限制使用範圍，要做到「即便可以存取，也應該限定使用範圍」，例如僅能閱讀但不能下載等；在控管資訊設備方面，則要做到各種分級和標示，場所必須區隔與相關門禁管制，其他像是網路連線、帳號權限存取、加密、防火牆……，也都必須有所管控。</p> <p>最後，關於人員知悉保密義務上，除了要在員工手冊有相關宣導，並提供相關教育訓練和簽署相關保密協定外，員工離職前，也需要針對營業秘密保護做額外簽定與提醒。</p> <p>曾韵表示，很多公司內部對於「機密」的定義不一，ISO等各種文件可能會寫上「機密」，不同部門對於機密定義卻可能有不一樣的見解，所以，一定要先確認需要保密的標的後，再進行相關的權限控管或限制使用範圍，例如某些檔案只有研發人員或部分高階主管才能存取，某些檔案只能查詢但無法列印下載等等。</p> <p>像是保密義務不只是規範員工，其他許多合作廠商也同樣有保密義務，所以，公司可以要求員工和廠商簽署保密協議，也同樣要做相關的定期宣導及教育訓練，提升員工和廠商的保密意識。</p> <h2><strong>合理保護措施只有規範不夠，必須要有實際行動</strong></h2> <p>關鍵是，是否只要有訂定相關的管理辦法，上法院訴訟就不用擔心了呢？曾韵以法院判決為例，某公司有三位高階主管欲離職、籌設新公司前，三人都擅自複製拷貝並重製該公司重要設計圖、產品資訊，以及相關廠商資訊等資料。</p> <p>該公司強調，對於相關營業秘密已制定保密措施，員工也都簽署相關保密條款，且公司伺服器已針對員工職掌進行權限控管，內網電腦採實體隔離且並未連接外部網路，相關保密文件都由文件管制中心統一管理，並有門禁卡管控人員進出。</p> <p>然而，法院針對被告三人，最後都是「無罪」判決！為何如此？最重要的關鍵在於，法院認定該公司並未對相關營業秘密採取合理的保密措施。</p> <p>曾韵進一步解釋，法院判決無罪的關鍵在於，認定該公司並未採取合理的保密措施，不管是對於營業秘密的定義過於空泛，相關文件並沒有標示「機密」分類字樣，像是有爭議的文件，只有ISO文件蓋有該公司管制中心的戳章外，其他文件都沒有管制中心的戳章，也都沒有「機密」字樣，發包給廠商的圖面同樣沒有標示機密字樣，無法讓人明確知道相關文件是公司的機密文件。</p> <p>此外，該公司對於機密檔案存取並沒有嚴格的權限控管，每一個員工的帳號密碼，都可以登入並存取其他員工電腦的文件資訊；公司並沒有宣導保密措施；各部門之間並未設門禁控管；紙本圖檔也沒有保密措施；而存放圖檔的電腦，並未設置帳號密碼，也沒有權限控管、繪圖完成後直接存檔在該臺電腦等，這些都是被告最終獲判無罪的關鍵。</p> <p>曾韵指出，從法院的判決可以得知，營業秘密的保護，司法單位必須要能判斷是否為營業秘密，也必須證明公司對其有保護意圖。她強調，公司有規範不代表有相對應的措施，重點在於，公司能否證明對於營業秘密的保護有相關的保護行動。</p> <h2><strong>一旦共用帳密，權限控管就失效</strong></h2> <p>保護營業秘密不僅要做到合理的保護措施，對於權限的控管也是重要。曾韵引用另外一起法院判決來說明此事，在該案例中，被告利用其擔任原告繪圖設計工程師之便，趁著有閱覽伺服器最高權限的機會，未經原告同意，下載原告各項重要檔案，並以通訊軟體和電子郵件方式，傳送於他人謀利，成功複製原告商品並出售獲利。</p> <p>但法院最後仍駁回原告的告訴，最關鍵的原因在於：法院認為企業並未採取合理的保密措施。曾韵指出，原告公司雖然設定了分類管控資訊，但沒有明確設定分層權限控管和資料分類管理的措施，針對電子資料傳遞和電子檔案列印紙本等作法，原告公司也都沒有做到積極保密的作為。</p> <p>原告公司設有「公用資料夾」和「正式發行圖面」資料夾，重要檔案放在「正式發行圖面」資料夾中，公司員工雖然有50人，但全部都只共用2組帳號密碼。實際上，不管是設計、採購或會計部門都可以讀取「正式發行圖面」資料夾的資料，也沒有人員使用記錄的具體追蹤措施。</p> <p>而原告公司在紙本檔案的控管上，也有疏漏之處，像是組裝人員要用圖的時候，就是直接出圖列印；列印的資料不用後，則是直接丟棄垃圾桶，或背面空白處會被其他人用來隨手記錄；相關列印資料也沒有標示「機密」或是「限閱」等警語。</p> <p>曾韵表示，雖然原告公司看似有權限控管的規定，在實際作為上，法院認定原告公司明面上雖有設定權限，但允許共用帳密的作法，就讓權限控管失效。</p> <p>另外，曾韵坦言，合理的保密措施，是指營業秘密的所有人在主觀上有保護的意願，客觀上有保密的積極行為，也就是說，保密的作為不只是簽署相關的保密協議而已，要確認是否為營業秘密，即便沒有標示「機密」或「密」等字樣，但有其他配套措施能證明該營業秘密是重要的。</p> <h2><strong>參考十大營業秘密保護機制檢核表</strong></h2> <p>曾韵表示，法院對於營業秘密訴訟的判定，很關鍵的一點在於，原告公司對其重要的營業秘密，是否提供合理的保護措施。她認為，可以參考經濟部智財局「中小企業營業秘密保護機制檢核表」的項目，作為企業檢視針對營業秘密的相關保護，判定是否有落實「合理」的保護措施的參考依據。</p> <p>檢核表的項目，分成十大項。第一，建立營業秘密保護政策：要有專責人員、編列經費及各項程序規範；第二，新進員工管理：簽署保密協定、員工手冊、競業禁止、新進員工查核；第三，紙本檔案管理：標註機密等級、分級保存、造冊管理、銷毀SOP；第四，電子檔案管理：制定檔案管理機制、使用監控機制、機密等級、存取管理；第五，稽核與處份：落實稽核預警SOP、改善SOP、違規處理SOP。</p> <p>第六，員工在職期間管理：輪調陳報與聲明義務、調動管理（宣導、權限……）；第七，員工離職處理：偵測異常進行調查、刪除帳號、追蹤員工、必要證據保存；第八，營業秘密教育訓練：定期訓練及考試、不定期宣導（案例、信件或會議提醒）；第九，委外廠商與人力管理：簽署保密協定、相關規範的必要揭露、建立終止關係措施；第十，營業秘密保護外部互動：參與研究討論、瞭解可能的聯絡窗口（如司法警察等）。</p> <p>曾韵認為，思考營業秘密合理保護措施的重點在於：如何展現保密的積極作為，各種文件規範是基本功，相關政策、管理程序亦然；至於控管有效性，主要是對於技術落實控管的作法，不要只做「防君子不防小人」的表面控管而已，可援引外部專家協助以瞭解控管的適當性。</p> <p>她舉例，公司要控管員工不能使用私人的USB隨身碟，如果只有政策規範，但系統無法警示有員工使用私人隨身碟，這就是無效政策。</p> <p>她表示，要針對異常監控，得做到提早發現並進行控管；對於紀錄的保存，相關保存期限要依照公司能力做適當規畫，主要是要避免進行調查時，相關記錄都已銷毀。</p> <p>曾韵強調，公司如果沒有良好的數位建設，一旦需要進行相關資安事件調查時，最大的痛點就是「舉證」，很多情況下，因為許多系統登錄檔（Log）早就被刪除了，缺乏證據。</p> <p>至於相關登錄檔要保留多久呢？曾韵認為，這其實沒有標準答案，許多駭侵事件從入侵到被發現，甚至長達三、五年，很多登錄檔根本不會保存這麼久，但她認為，相關檔案至少要保留一年以上。</p> <p>怎麼樣才算是盡力做到合理的營業秘密保護措施呢？曾韵指出，不能不花錢，但也不用花過頭，最基本的合理程度：就是要與同業相當，將保護措施的流程都予以保留相關證據，萬一要上法院提供證據時，就有相關證據可用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E8%A1%A81.png" style="width: 633px; height: 429px;" /></p> <blockquote><p>企業可以參考經濟部智慧財產局所提供「中小企業營業秘密保護機制檢核表」，作為檢視營業秘密保護措施是否合理的參考依據。</p> </blockquote> <h2><strong>從五大面向導入營業秘密保護機制</strong></h2> <p>營業秘密是以資料為核心的概念，資料使用情境可分成：使用中（In Use）、靜止中（At Rest）、移動中（In Motion），以及歸檔中（Archived）等四種使用狀態，再加上人員（People）、流程（Process）、技術（Technology）的控制措施配套，就能從五個面向導入營業秘密的保護機制。</p> <p>首先，要了解（Understand），掌握組織內擁有哪些資料及其價值，並且要能從資料的生命周期，知道哪些部分可構成智慧財產，資料都會儲存在哪裡，以及如何傳輸。</p> <p>其次，要分類（Classify），在智財產生時就對其分類並清楚標示，對其存放的資訊系統也要進行標示；第三，要保護（Protect），藉由設計不同分類與分期的管控措施，來保護智慧財產。</p> <p>第四，要監控（Monitor），需能涵蓋未適當分類的智財，及其相關不當行為；最後，就是要做到持續的改善相關措施（Improve and remediate），最終目的就是讓企業可以保持競爭優勢。</p> <h2><strong>從人員、流程和技術做控管</strong></h2> <p>曾韵表示，要做好營業秘密合理的保護措施，實務上，必須要能夠從人員、流程和技術三個層面，落實控管措施。</p> <p>她指出，人員控管的部份，要做到定義角色權責以及宣導和訓練；流程控管的部份，除了要制定政策與規範，進行資料識別和造清冊，並進行資料保護風險評估以及資料分級，而在制定資料保護架構之後，也必須規畫一旦資料遺失時的應變措施。</p> <p>技術控管部分則是相對複雜。她說，針對資料使用狀態不同，會有不一樣的配套措施，目前不論是針對結構化或是非結構化資料，都已經有相對應的保護措施。</p> <p>當資料正在移動時，針對資料的保護，要注意邊界安全、網路監控、網站內容過濾、第三方資料交換、訊息管理和遠端存取得議題；當資料正在使用時，要留心使用者行為監控、工作站限制、應用程式控制、標示（Labeling / Tagging）、外部媒體控管和列印管理。</p> <p>最後，當資料呈現靜止狀態時，相關的合理資料保護措施就要做到加密（Encryption）、混淆（Obfuscation）或記號化（Tokenization）、移動設備的保護、網路和伺服器的程式碼控管、實體的媒體控管，以及做到存檔（Archive）、處置（Disposal）和銷毀（Destruction）。但她也說，不管資料處於哪一種使用狀態，目前也可以使用Cloud DLP（資料遺失防護）作為保護措施。</p> <p>曾韵表示，針對營業秘密保護需要提供合理的保護措施，從相關的案例判決中，至少可以釐清如何做到科學的、合理的資料保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E8%A1%A82.png" style="width: 1115px; height: 808px;" /></p> <blockquote><p>企業可以從人員、流程和技術等三個控管面向，去落實合理的營業秘密保護措施。</p> </blockquote> <p> </p> </div> <p> </p> </div></div></div>
2023/6/30 10:51作者黃彥棻https://www.ithome.com.tw/news/157570
Meta說明臉書、IG貼文的AI排序法，公布內容客製化工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2018年的劍橋分析事件後，Meta力求內容演算法的透明化。<a href="https://about.fb.com/news/2023/06/how-ai-ranks-content-on-facebook-and-instagram/" target="_blank">Meta昨（29）日再公開說明</a>兩大社群平臺臉書（FB）及Instagram（IG）上如何展示貼文、即時動態等內容的AI排序法，並公布讓用戶可客製化調整顯示貼文的工具，以及供學術研究的資源。</p> <p>Meta公共事務部總裁Nick Clegg首先說明，臉書及IG上用戶看到的內容，包括動態消息、影片或回應，都是由AI推薦演算法運作並將內容推送出來，以滿足個人化喜好，並提供用戶可能有興趣的內容。為進一步說明，<a href="https://transparency.fb.com/features/explaining-ranking" target="_blank">Meta公布了</a>22個FB、IG的系統運作卡，解釋用戶臉書與IG上動態消息、推薦貼文、限時動態、連續短影片（Reels）、回應排序、粉絲專頁、你可能認識的朋友以及通知是如何呈現的。</p> <p><a href="https://transparency.fb.com/features/explaining-ranking/fb-feed/?referrer=1" target="_blank">以臉書的動態消息為例</a>，是先依用戶的朋友、用戶追蹤的粉絲專頁及加入的社團分享（排除違反規範者）的貼文，再運用貼文的訊號以AI模型進行預測。這些訊號包括貼文者和用戶過去互動、朋友對貼文按讚人數、貼文是否為影片或相片等，以輕量模型選擇500個最相關貼文。最後再由系統計算500則貼文相關性的分數加以排序，確保高相關貼文最先顯示，但又不失多樣性。</p> <p>連續短影片則是根據用戶追蹤的帳號所製作，或是之前曾看過的相似內容，再根據影片長度、和用戶喜好符合度等訊號選擇10到100個影片，再以AI預測模型及分數選取與排序。「可能認識的朋友」的推薦，則是根據用戶朋友的朋友，或用戶加入的社團，蒐集用戶可能感興趣的人，再計算雙方互動的可能性而推薦。</p> <p>Meta今天也說明，臉書和IG上現有及未來可提供調整排序邏輯的用戶工具。用戶可透過臉書和IG相關貼文的三點選單或「設定」，找到臉書「動態消息偏好」及IG「建議內容控制中心」調整顯示內容的規則。</p> <p>在新開發功能方面，IG正在測試推薦連續短影片，用戶可以點選「感興趣」的功能。2021年已加入「不感興趣」的功能選項。</p> <p>在臉書部分，所有貼文和影片在三點式選單中，已經都有功能允許用戶顯示更多或更少類似內容。臉書說會再改進，使該選項更明顯好找。如果用戶不希望演算法排序過的內容，可以在<a href="https://about.fb.com/news/2022/07/home-and-feeds-on-facebook/" target="_blank">臉書「動態消息」頁</a>或<a href="https://about.instagram.com/blog/tips-and-tricks/control-your-instagram-feed" target="_blank">IG的Following</a>切換到以時間排序的形式，或在「最愛」列表中加入友人，就能一直看到他們的貼文。</p> <p>此外Meta也向研究界公開其AI運作，迄今已公開了1,000多個AI模型、函式庫和資料集。Meta預告接下來幾周內又會再提供Meta內容庫（Content Library）及API。內容庫包含臉書的公開貼文、粉絲專頁、社團和活動的相關資料，IG創作者、公司帳號資料與公開貼文。這個內容庫包含UI或API供搜尋和篩選，作為科學和公益研究之用。密西根大學的跨校政治與社會研究論壇（Inter-university Consortium for Political and Social Research）為首個參與資源公開計畫的學術單位。</p> </div></div></div>
2023/6/30 11:52作者林妍溱https://www.ithome.com.tw/news/157571
抵制《線上新聞法令》，Google宣布將移除加拿大各式服務的新聞連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/157486" target="_blank">Meta</a>之後，<a href="https://blog.google/intl/en-ca/company-news/outreach-initiatives/an-update-on-canadas-bill-c-18-and-our-search-and-news-products/" target="_blank">Google</a>也在周四（6/29）宣布，一旦加拿大的《線上新聞法令》（Online News Act）生效，便將把搜尋（Google Search）、新聞（Google News）與探索（Discover）等服務中的加拿大新聞連結全數移除，也不再於當地經營Google News Showcase。</p> <p>加拿大為了挽救當地的新聞產業，於去年提出《線上新聞法令》，要求藉由新聞內容獲取流量及營收的數位平臺必須補償新聞業者，並在今年6月22日成為正式法令，預計於6個月後實施。</p> <p>Google全球事務總裁Kent Walker表示，該法令要求只是秀出新聞連結的兩家業者必須付費，而且只有這兩家業者得付費，其它人都可免費使用。此一連結稅（Link Tax）替Google的產品帶來不確定性，而且還為了方便加拿大人存取當地新聞，而承擔了無限的財務責任。</p> <p>Walker指出，Google一直以各種方式來支持加拿大的新聞產業，包括在加拿大提供了已於全球逾22個國家部署的Google News Showcase服務，已與加拿大的150家新聞業者達成協議。Google News Showcase付費予出版商，以於Google News及Discover展示編輯過的新聞故事，被視為是Google回饋各國媒體的新聞授權計畫。</p> <p>此外，Walker也強調，去年Google免費連結了36億次的加拿大新聞媒體，協助出版商賺取廣告與訂閱費用，這些推薦流量價值2.5億元加拿大幣。</p> <p>簡言之，Google認為其新聞連結替加拿大媒體帶來流量，也透過Google News Showcase協助當地媒體創造營收，不願意再支付連結稅，亦呼籲加拿大政府應重新訂定可行方案。</p> </div></div></div>
2023/6/30 12:05作者陳曉莉https://www.ithome.com.tw/news/157572
信驊科技開拓遠端管理應用新動能，打造全景相機智慧工廠新應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立將近20年的信驊科技（ASpeed），以伺服器管理晶片「基板管理控制器（BMC）」的產品聞名，多年前就已成為全球市占第一的BMC供應商，到了2016年，更是併購博通（Broadcom）旗下Emulex Pilot晶片業務與相關資產，而再度擴大BMC市占，最近兩年，該公司更屢屢躍居臺股股王，不斷成為財經新聞焦點。</p> <p>如今，這家員工數不到120人的無晶圓廠IC設計公司，除了在持續成長的伺服器產業市場發力，近期也主打360度全景視訊產品線與韌體安全防護，拓展場域安全與晶片安全應用的新市場。</p> <p>在2023年Computex台北國際電腦展期間，隨著國境解封，信驊首度公開展示最新解決方案，包含最新的全景360度智慧巡檢完整解決方案，以及去年3月上市的<a href="https://www.ithome.com.tw/news/157530">PFR伺服器安全性晶片</a>，一改過去大眾對於信驊科技只有BMC產品的印象。</p> <h2><strong>拓展工業用360相機應用，聚焦高科技產線參觀與巡檢</strong></h2> <p>基本上，信驊早年即擁有三大產品線，分別是伺服器管理晶片、虛擬化桌面晶片，以及PC影音延伸晶片。到了最近幾年，該公司除了持續強化第七代伺服器管理晶片AST2600的功能，以及安全性與韌體支援，同時聚焦於Cupola360多影像專用處理晶片的發展，有不少全景視訊會議設備已採用這類晶片。</p> <p>今年該公司建構出越發完整的智慧AV解決方案（Smart AV Solutions），打造全景相機創新應用，跨入智慧工廠、智慧城市領域。</p> <p>這樣的全景相機應用有何不同？具體而言，Industry360解決方案可用於即時遠端巡檢，以及產線安全參訪。</p> <p>信驊科技企業營運長謝承儒表示，該方案包含與合作夥伴共同設計的Cupola360 360度的4鏡頭全景相機（且內部搭載自家Cupola360 Spherical Image Processor AST1230系列及AST1220晶片），供企業廣泛部署於場域之中，並提供Cupola360 Industry智慧巡檢系統，讓企業可以即時遠距監看與導覽。</p> <p>從Computex現場展示中，我們看到他們提供有如使用Google街景地圖的體驗，且功能更強大，因為這裡的畫面都是即時的全景影像，而非預先拍攝的歷史照片。</p> <p>當用戶從後端系統檢視影像時，這套系統能夠提供第一人稱視角、即時畫面，便於觀看現場環境的狀態是否有異常，號稱能比傳統魚眼式監控攝影機的畫面，更具沉浸感。謝承儒指出，由於每支全景相機具有4個鏡頭，可覆蓋方圓半徑兩公尺的範圍，在多臺影像串聯之下，用戶檢視畫面時，可以橫跨不同攝影機間進行跳躍瀏覽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fix_PXL_20230531_054530954.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_PXL_20230531_054530954.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）信驊推全景相機智慧工廠新應用_攝影羅正漢(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 600px;" /></a></p> <p><strong>透過Industry360智慧巡檢解決方案的建置，企業可借助場域內部署的全景相機，以第一人稱視角做到即時的巡檢，以及帶領客戶參訪，可超越傳統監控設備鏡頭拍攝角度有限的缺點，也減少非工作人員走進場域帶來的高管理成本或是干擾。</strong></p> <h2><strong>多鏡頭拼接技術是關鍵，新應用涵蓋平臺與生態系建構</strong></h2> <p>比起一般消費型360度全景相機產品、魚眼視訊監控攝影機，信驊提供的工業用360相機有何獨到之處？根據現場展示人員說明，搭載自家全景影像處理晶片AST1230晶片，相機本身也提供了360度可視範圍，以及5.7K超高影像解析度，並符合IP66防水防塵等級，支援PoE方式的網路布線安裝，而在這些特色當中，最特別之處是多鏡頭拼接技術，也是核心關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）信驊推全景相機智慧工廠新應用_攝影羅正漢(1).jpg" style="text-align: right;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 280px; float: right;" /></a></p> <p>關於這方面的技術突破，信驊強調三大重點：（一）360相機的每個鏡頭都是獨立個體，不論獨立鏡頭與鏡頭模組的公差要求高，相當考驗產品設計製造的能力，（二）具備面對強光、背光的光線補償能力，能讓環景影像拼接不會有太亮或太暗的情形，例如強光直射某顆鏡頭，會導致某顆鏡頭特別亮，其他鏡頭亮度差異很大，360相機會做亮度補償，讓整個360畫面不會出現一個亮度斷層，（三）透過全景相機內的硬體晶片AST1230 SoC可輸出低延遲的全景影像，該晶片結合了信驊科技獨特的Hyper-stitching技術，只要10毫秒就能完成高畫質影像拼接，再將影片往後端傳送。</p> <p>此外，在他們設置的後端系統平臺上，可將多臺全景相機的即時影像串聯，再加上從晶片、相機與平臺，都是信驊科技自家開發，並且他們還推動平臺生態系的建構，這些也都成為這項解決方案的重要特色。</p> <h2><strong>瞄準智慧工廠、智慧城市需求，還要結合AI與數據整合</strong></h2> <p>為何智慧工廠需要產線安全參訪及遠距巡檢？</p> <p>謝承儒以過去任職於Intel的經驗為例，客戶參觀智慧工廠的需求其實非常多，但要讓客戶進入場域的準備工作不少，包括無塵作業準備，避免產線作業安全風險及汙染，且預留路線空間也要夠大，才能容納到訪的眾人。甚至有些工廠是標榜僅限部分通過授權的員工到場，也就是客戶、稽核等人員均無法進入工廠，因此，若要破例進行相關的安排，可能會導致許多問題，不僅需要勞師動眾照，甚至會影響公司商譽。</p> <p>而對於企業而言，進行內部工作環境的巡檢、稽核的需求同樣很大，這方面也會耗費大量人力及時間成本，例如，單是派人徒步巡視整個廠區，可能就要好幾個小時。</p> <p>因應上述需求，信驊表示，若導入他們開發的Industry360智慧巡檢解決方案，可即時呈現全景畫面是最大特點，讓參觀工廠的客戶能以第一人視角看到全景影像，客戶不會干擾產線作業，企業能更有效保護產線現場的機密；企業內部高層管理也能從遠距進行視察，一旦發現異狀，能通知鄰近人員處理，高危險區域當然也適用，以維護作業人員安全。</p> <p>不僅如此，謝承儒透露智慧巡檢系統的更多能耐，例如，可提供畫面異常狀況偵測示警的應用，後端平臺將結合AI供應商提供的方案，讓用戶能選擇所需的AI模組；同時也能串起即時顯示機臺相關資訊的應用，可即時反饋各定點資訊如工廠產線數據，比起現行透過AR眼鏡掃描QRCode顯示資訊的巡檢方式，更為便利。</p> <p>整體而言，這項方案不論室內、室外環境都適用，可從任何地方透過網路做遠端巡檢，大幅降低人員實體移動或旅行成本，結合AI，更可以大幅降低人力需求，取代巡檢人力、夜班人力及大幅提高巡檢正確性。信驊科技強調，這個智慧巡檢方案，跟傳統CCTV監視攝影機是完全不同的產品，可從多方面大幅降低營運成本，預計產品第2季開始量產。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）信驊推全景相機智慧工廠新應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>繼2018年布局Cupola360多影像專用處理晶片，發表「AST1220晶片」，獲得多家全景視訊會議設備採用這類晶片後，信驊科技在2022年第四季新推「AST1230晶片」，並於今年Computex台北國際電腦展期間發表Cupola360 360-degree全景相機與Cupola360 Industry智慧巡檢系統，提出Industry360解決方案，切入智慧城市與智慧工廠市場。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）信驊推全景相機智慧工廠新應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>Industry360解決方案具遠端巡檢、自動巡檢、遠端稽核、沉浸式管理等特色，後端Cupola360 Industry智慧巡檢系統所建構的平臺，將可整合多家AI供應商的AI模組等，幫助企業朝智慧工廠無人巡檢、虛擬城市，甚至虛擬教育、虛擬娛樂，以及數位分身（Digital Twin）等多角化發展。 </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）信驊推全景相機智慧工廠新應用_圖片來源信驊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E4%BF%A1%E9%A9%8A.jpg" style="width: 600px;" /></a></p> <p><strong>為了展示信驊科技的智慧AV解決方案（Smart AV Solutions），該公司也展示了Cupola360 Patrol巡檢App示意畫面，讓外界能瞭解結合AI與數據整合的效果。（圖片來源／信驊科技）</strong></p> <h2><strong>AV over IP產品亦可結合Industry360</strong><strong>打造智慧巡檢工廠戰情室應用</strong></h2> <p>除了BMC與Cupola360這兩大產品線，信驊科技還有另一成熟的產品線，也就是AV-over-IP影音延伸控制系統單晶片。可惜，這次並未在Computex亮相，而是在稍晚（6月中旬）的美國奧蘭多專業影音設備展InfoComm展出。</p> <p>根據信驊科技的說明，在完整智慧AV解決方案（Smart AV Solutions）之下，可打破影音傳輸距離限制、具低延遲高畫質特性的AV-over-IP產品，將可與上述Cupola360相機與Industry智慧巡檢系統結合，以建構智慧巡檢工廠戰情室及指揮中心等多元應用。換言之，AVoIP能與Cupola360相機結合，打造更完整的Industry360智慧巡檢解決方案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）信驊InfoComm展出_圖片來源信驊科技.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%BF%A1%E9%A9%8AInfoComm%E5%B1%95%E5%87%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E4%BF%A1%E9%A9%8A%E7%A7%91%E6%8A%80.jpg" style="width: 280px; float: right;" /></a></p> <p>在6月12到14日，專業影音設備展InfoComm 23於美國奧蘭多舉行，信驊科技在這場活動上也展出了全系列智慧AV應用產品，包括AV-over-IP影音延伸控制系統單晶片AST1530/1535所提供的長距離多對多影像矩陣及拼貼切換能力，同時，亦展示結合Cupola360全景360度攝影機，及智慧工廠巡檢的應用。（圖片來源／信驊科技）</p> <p> </p> </div></div></div>
2023/6/30 09:30作者羅正漢https://www.ithome.com.tw/news/157528
微軟更新VS Code C++套件新增呼叫階層檢視功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VS Code C++擴充套件1.16版本加入兩個小功能更新，分別是呼叫階層（Call Hierarchy），以讓開發者可以複製宣告與定義，並且指定其在程式碼中的位置。這兩個雖然不是重大功能，卻能讓開發流程更加方便順暢。</p> <p>呼叫階層是開發者在GitHub功能請求敲碗已久的功能，透過呼叫階層，開發者可以簡單地導覽程式碼庫，官方提到，這對於要進一步理解函式之間複雜的呼叫關係時特別有用。要使用這項功能，開發者只要在函式上點擊右鍵，在功能選單選擇顯示呼叫階層。開發者也可進一步點擊呼叫樹中的函式，並且以可用的命令來探索巢狀呼叫。</p> <p>另外，開發者在這個新版本還可以複製宣告和定義。微軟於C++擴充套件1.13.6允許開發者創建宣告和定義，在這個版本再次強化相關功能，開發者可以從函式旁的提示燈泡選擇複製宣告和定義，官方提到，這項新功能並不是使用創建宣告和定義功能，自動將生成的宣告和定義添加到由擴充套件選擇的位置，而是複製到剪貼簿中，由開發者決定貼上程式碼的確切位置。</p> </div></div></div>
2023/6/30 09:36作者李建興https://www.ithome.com.tw/news/157557
開源資料湖專案Delta Lake 3.0加入通用格式，實現開源資料湖格式互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks更新開源資料湖專案Delta Lake發布3.0版本，主要更新重點在於消除資料孤島，Databricks在新版本添加通用格式UniForm，該格式讓Delta Lake與其他開源資料湖儲存層Apache Iceberg和Apache Hudi能夠互通。</p> <p>Delta Lake是由Databricks所開發，為一個資料湖儲存層，能夠簡化企業資料工程架構的複雜性，使企業高效批次和串流處理資料，提供ACID交易維持資料一致性，也使得用戶能夠變更Schema，並且自動處理Schema的演變。Delta Lake強大的索引能力，加速了資料讀取速度，用戶也能夠方便地與Apache Spark等大資料工具整合。</p> <p>企業透過採用開源資料湖倉（Lakehouse）架構，可以避免被專有的資料倉儲鎖定，但是現在企業卻必須要在三種不同的資料湖開源格式Delta Lake、Iceberg和Hudi間選擇，而Delta Lake 3.0更新所加入的通用格式UniForm則能夠提高互通性，使得用戶可以同時從Delta Lake、Iceberg和Hudi工具生態系獲益。</p> <p>在2019年的時候，Databricks已經將Delta Lake專案開源，目前交由Linux基金會治理，而Apache Iceberg則是由Netflix開源的資料湖表格格式，同樣提供ACID交易，並且讓用戶能夠更精細的管理資料，其核心概念包括表格、快照和分區等，這些功能都能支援增量和讀取合併操作。</p> <p>而Apache Hudi則是由Uber開源的儲存層，主要用來管理在Hadoop裡的龐大資料集，Hudi支援增量查詢和插入，也讓用戶能夠儲存資料的不同版本，方便查詢歷史資料。Delta Lake、Iceberg和Hudi實作與功能雖有所不同，但主要目標皆能滿足常見的資料湖需求，包括資料一致性和大資料操作等。</p> <p>Delta Lake 3.0添加的UniForm，讓Iceberg和Hudi也能高效存取儲存在Delta Lake中的資料，並自動生成Iceberg和Hudi需要的後設資料，UniForm統一表格格式，使得用戶不需要手動在不同格式間轉換，最終，Databricks希望透過UniForm，使得用戶可以自由靈活地使用Delta Lake。</p> </div></div></div>
2023/6/30 09:41作者李建興https://www.ithome.com.tw/news/157564
【資安日報】6月29日，NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。</p> <p>又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。</p> <p>Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺遭勒索軟體Akira鎖定</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Geographical-distribution-of-Victims.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Geographical-distribution-of-Victims.png" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer針對勒索軟體Akira的最近一波攻擊提出警告，這款勒索軟體在今年3月被發現的時候，主要是針對Windows電腦下手，但現在駭客也打造Linux版本，目的是加密VMware ESXi虛擬機器的檔案。</p> <p>該新聞網站取得勒索軟體檔案進行分析，發現駭客罕見地提供了加密檔案比例的選項，目的可能是讓攻擊者調整，以控制加快執行的速度。</p> <p>而對於受害範圍，資安業者Cyble表示，自他們首度於4月揭露此駭客組織，迄今已有46個組織受害，大部分位於美國。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/linux-version-of-akira-ransomware-targets-vmware-esxi-servers/">https://www.bleepingcomputer.com/news/security/linux-version-of-akira-ransomware-targets-vmware-esxi-servers/</a><br /> 2. <a href="https://blog.cyble.com/2023/06/28/akira-ransomware-extends-reach-to-linux-platform/">https://blog.cyble.com/2023/06/28/akira-ransomware-extends-reach-to-linux-platform/</a></p> <p><a href="https://www.deepinstinct.com/blog/pindos-new-javascript-dropper-delivering-bumblebee-and-icedid"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體下載器PindOS被用於散布Bumblebee、IcedID</span></strong></a></p> <p>資安業者DeepInstinct揭露名為PindOS的惡意程式下載工具，此為JavaScript打造而成的指令碼，功能極為單純，攻擊者可透過參數指定使用者代理字串（User Agent）、下載的URL、載入惡意軟體的DLL程式庫，攻擊者藉由此載入工具來散布惡意程式載入工具Bumblebee、IcedID。</p> <p>研究人員指出，雖然PindOS會在受害電腦的磁碟上運作，但因為其指令採用了高度混淆手法，在最初現身時，大部分防毒引擎無法將其視為有害。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大樓保全利用職務之便蒐集40個社區的住戶個資，架設網站轉賣供房仲使用</span></strong></p> <p>根據ETtoday、聯合新聞網、三立新聞等媒體的報導，居住於臺中市的38歲陳姓男子，擔任物業管理職務的期間，得知房屋仲介使用俗稱「小白機」的住戶個資資料庫，他利用職務之便蒐集住戶資料，然後購買小白機並將兩者的資料整合，架設付費查詢網站，以日租、月租、永久會員的方式，向房仲兜售個資牟利，會員人數近百人，不法獲利約100萬元，臺中約有40個社區受害。</p> <p>這起事件曝光的原因，是因為有民眾頻繁接到房仲業者的電話，詢問名下房屋是否要出售，懷疑個資遭外洩向警方報案，臺中市警察局刑事警察大隊科技犯罪偵查隊介入偵辦，發現個資來源是名為「房仲開發系統」的網站，警方查扣伺服器主機、隨身碟、現金等證物並下架網站，將陳姓男子以違反個人資料保護法第41條起訴，法院判刑10個月。</p> <p>資料來源</p> <p>1. <a href="https://www.ettoday.net/news/20230628/2529093.htm">https://www.ettoday.net/news/20230628/2529093.htm</a><br /> 2. <a href="https://udn.com/news/story/7321/7263332">https://udn.com/news/story/7321/7263332</a><br /> 3. <a href="https://www.setn.com/News.aspx?NewsID=1315460">https://www.setn.com/News.aspx?NewsID=1315460</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blog.vlt.sh/blog/the-massive-hole-in-the-npm-ecosystem"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NPM套件庫曝露於Manifest Confusion攻擊的風險當中</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/223906998-ea9f1dd6-9495-4da9-87e1-137c05ad4d7a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/223906998-ea9f1dd6-9495-4da9-87e1-137c05ad4d7a.png" style="width: 300px; float: right;" /></a>前GitHub工程師Darcy Clarke提出警告，NPM套件庫存在可被用於供應鏈攻擊的弱點Manifest Confusion，原因是套件在NPM網站上呈現的資訊，與tarball壓縮檔裡的安裝資訊package.json不盡相同，而且，此套件庫系統本身並不比對兩者的內容是否一致，而使得攻擊者可藉此誤導開發人員。</p> <p>在套件的網站上，發布軟體的駭客作者故意顯示沒有相依的其他套件資訊，但開發者實際安裝套件的過程裡，這些套件卻依照package.json的指令，下載惡意相依套件，或是執行惡意指令碼，此時，開發人員無論使用NPM的命令列工具，或是其他第三方工具來部署套件，都無法避免這類狀況，而有可能受害。</p> <p>Darcy Clarke指出，上述弱點GitHub早在2022年就知情，他也在今年3月透過HackerOne通報，但迄今GitHub仍未修補。</p> <p><a href="https://www.sonarsource.com/blog/why-orms-and-prepared-statements-cant-always-win/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Gentoo Linux作業系統元件存在重大SQL注入漏洞，攻擊者可將其用於RCE攻擊</span></strong></a></p> <p>資安業者SonarSource揭露Gentoo Linux作業系統套件Soko的重大漏洞CVE-2023-28424，一旦有心人士想要利用，就有可能發動SQL注入攻擊，CVSS風險評分為9.1。研究人員從Soko的搜尋功能找到這些漏洞，開發團隊已於3月17日接獲通報，並在24小時之內完成修補。</p> <p>這些漏洞發生的原因，與資料庫的組態配置不當有關，即使在套用了物件關係映射（Object-Relational Mapping，ORM）程式庫的情況下，攻擊者仍能利用上述的漏洞進行SQL注入，從而遠端於目標系統執行任意程式碼（RCE）。不過，由於Soko的元件與其他軟體服務隔離，研究人員認為，使用 Gentoo Linux的用戶不會因此遭遇供應鏈攻擊。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/dismantling-encrypted-criminal-encrochat-communications-leads-to-over-6-500-arrests-and-close-to-eur-900-million-seized"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密通訊網路EncroChat被破解3年，逾6千名嫌犯遭到逮捕</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Website -EncroChat_Conf_Social_Media_1600x900 - Numbers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Website%20-EncroChat_Conf_Social_Media_1600x900%20-%20Numbers.jpg" style="width: 300px; float: right;" /></a>法國與荷蘭警方在歐洲刑警組織（Europol）與歐洲司法組織（Eurojust）的協助下，於2020年破解、摧毀受到犯罪集團青睞的加密通訊網路EncroChat，他們分析該網路1.15億則訊息之後，3年來逮捕了6,658名嫌犯，扣押或凍結近9億歐元的不法所得。</p> <p>這起執法行動起因是法國憲兵隊2017年發現犯罪集團經常利用EncroChat手機通訊，隨後法國尋求荷蘭、Eurojust、Europol合作，並在2020年4月於法國境內的EncroChat伺服器進行監控，該公司6月察覺遭到滲透而終止營運。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blogs.windows.com/windows-insider/2023/06/22/announcing-windows-11-insider-preview-build-23486/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows 11將納入Passkey產生與使用，可望帶動新一波無密碼身分驗證應用</span></strong></a></p> <p>微軟在6月22日推出的Windows 11開發版本Build 23486當中，首度納入Passkey的身分驗證功能，讓用戶可以透過Windows Hello製作Passkey，未來用戶即可以設定的臉部、指紋或PIN碼的方式，登入網站及應用程式。此外，用戶也可以透過手機完成登入流程。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.mdsec.co.uk/2023/06/cve-2023-26258-remote-code-execution-in-arcserve-udp-backup/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">備份軟體Arcserve UDP出現身分驗證繞過漏洞</span></span></strong></a></p> <p><a href="https://securityaffairs.com/147828/hacking/bind-dns-dos-flaws.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路系統協會修補DNS軟體套件BIND9的DoS漏洞</span></span></strong></a></p> <p><a href="https://censys.io/identifying-cisa-bod-23-02-internet-exposed-networked-management-interfaces-with-censys/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構數百臺設備的管理介面曝露於網際網路</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/new-fast-developing-thirdeye-infostealer-pries-open-system-information"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體ThirdEye鎖定俄語用戶而來</span></span></strong></a></p> <p><a href="https://www.fortinet.com/content/dam/fortinet/assets/reports/report-state-of-zero-trust.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Fortinet揭露臺灣近7成企業導入零信任架構</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a></strong></p> </div></div></div>
2023/6/29 17:29作者周峻佑https://www.ithome.com.tw/news/157555
臺中榮總揭12項重症預測AI成果，整合儀表板供醫護即時掌握病況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺中榮總今日（6/29）揭露重症AI應用成果，團隊用AI強化重症疾病照護服務，開發多款疾病預測模組來即時掌握病人狀況，像是急性腎損傷預測、呼吸器拔管預測、急性呼吸窘迫症（ARDS）預測和72小時後臨床惡化風險預測等共12項預測模組，每項鑑別率都達8、9成，可幫助醫護快速治療重症患者、提高存活率。</p> <p><span style="font-size:24px;"><strong>跨部門整合重症醫學和IT專業，用7年資料建置亞洲最大重症資料庫</strong></span></p> <p>在醫院，重症患者的病症發展快速，可能發生心、肺、肝、腎衰竭造成生命危險，但通常得等到症狀明顯，醫護人員才能確定、展開治療。於是，臺中榮總團隊思考，要打造重症預測模組，來協助醫護即時給予重症患者治療。</p> <p>臺中榮總重症醫學部主任詹明澄指出，臺中榮總跨部門合作，由醫護人員、演算法工程師、系統工程師和資料庫工程師共同展開開發工作。臺中榮總重症醫學部先是與資訊室建立重症資料庫，收集了2015年至2021年的成人加護病房臨床資料，涵蓋24類數值和影像，如病人基本資料、生化數值、輸血醫囑、X光片影像等共7,200萬筆資料。</p> <p>在建置資料集的過程中，臺中榮總還建立了資料清理自動化工具，來加速資料處理工作。臺中榮總指出，這是亞洲最大、最完整的重症資料庫，且與麻省理工學院開發的公開電子病歷資料集MIMIC-IV相當。臺中榮總預計，這個資料庫在2024年就會超越MIMIC-IV，成為世界最大的重症資料庫。</p> <p><span style="font-size:24px;"><strong>開發12項重症預測模組，整合儀表板落地應用</strong></span></p> <p>有了這個資料庫，臺中榮總便用來開發疾病預測模組。他們聯手東海大學AI中心，打造12項重症預測模組，包括急性呼吸窘迫症候群、急性腎損傷、菌血症、呼吸器拔管、急性呼吸窘迫症（ARDS）、24小時後和72小時後臨床惡化風險、腎恢復預測、出院後30天、90天和一年內存活率預測等，這些模組的AUROC鑑別率都達到8、9成以上。</p> <p>其中，以急性腎損傷為例，臺中榮總與臺灣智慧醫療聯盟（SHA）合作，聯手臺灣4所醫學中心，利用聯邦學習（Federated learning）進行外部驗證，也得到不錯的預測結果。目前，臺中榮總的急性腎損傷預測模型，也入選為食藥署智慧醫材（SaMD）申請的輔導案。</p> <p>模型完成開發後，臺中榮總也打造疾病管理儀表板，來落地運用。這個重症疾病管理儀表板，涵蓋了全院重症床位現況、重要設備（如葉克膜、呼吸器等）使用狀況，以及每位患者的各大疾病預測風險數值，每小時更新病人臨床資料，來供臨床醫護人員快速掌握病情。其中，臺中榮總智慧重症團隊還針對急性呼吸窘迫症候群、急性腎損傷，分別開發監視儀表板（如下圖），除整合重要臨床資料，提供即時模型預測結果外，也以視覺化設計，不只顯示病況，還提供適當處置建議，是中榮重症團隊溝通的重要窗口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%A5%E6%80%A7%E5%91%BC%E5%90%B8%E6%80%A5%E8%BF%AB.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%A5%E6%80%A7%E8%85%8E%E6%90%8D%E5%82%B7.png" /></p> <p>臺中榮總也以一位高齡敗血症併呼吸衰竭個案，來說明實際應用狀況。該病患入院後，AI系統即以入院48小時的資料，推論出病患屬於急性呼吸窘迫高風險。系統不只在病房儀表板顯示風險值，也呈現病患入院後的重症醫療數據，如呼吸器參數、輸液狀態，並進一步依據指引主動評估病人狀況，並以燈號顯示急性呼吸窘迫的治療狀態，包括保護性通氣、俯臥通氣、輸液平衡、早期營養等項目，要是病患的治療都達標，儀表板就會以綠燈顯示，代表病患的臨床狀況逐步改善中。</p> <p>臺中榮總指出，這種重症智慧醫療應用不只提升重症病人診療品質，也能有效降低第一線醫護的工作負荷，更將在遠距醫療時代扮演重要角色，協助改善偏遠地區醫療品質和醫療資源分配不均的痛點。</p> </div></div></div>
2023/6/29 17:41作者王若樸https://www.ithome.com.tw/news/157559
間諜程式LetMeSpy遭駭客入侵，客戶資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/" target="_blank">波蘭資安業者Niebezpiecznik日前披露</a>，有一個與間諜程式LetMeSpy有關的檔案正在網路上流傳，該檔案含有遭到LetMeSpy追蹤的用戶資料，也含有追蹤人的資料，顯然是LetMeSpy遭到駭客入侵，並造成使用者資料外洩。</p> <p>LetMeSpy是個免費的Android程式，在手機上安裝之後，使用者即可透過電腦來追蹤該手機上的通話、簡訊與GPS位置，並強調該程式非常的輕薄，使用者幾乎不會注意到。不過，LetMeSpy也不忘於官網上宣導其相關功能可能涉及隱私，且在某些國家可能是違法的。</p> <p>不論如何，安全研究人員在所發現的檔案中找到了超過2.6萬筆的電子郵件帳號與雜湊密碼，也有逾1.6萬則被追蹤的簡訊內容，以及追蹤者與被追蹤者的電話號碼。此外，駭客也對外宣稱已刪除LetMeSpy伺服器上的資料庫，並複製了一份放在駭客自己的伺服器上。</p> <p>專門蒐集外洩資料的非營利組織DDoSecrets與<a href="https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/" target="_blank">《TechCrunch》</a>分享了外洩的LetMeSpy資料，顯示該資料庫至少涉及1.3萬臺受害裝置，也包含這些裝置的位置資料，其中，絕大多數受害者位於美國、印度與西非。</p> <p>此外，而《TechCrunch》也發現，在發表文章之際，LetMeSpy程式已經無法運作。</p> <p>Niebezpiecznik則建議，若家長真的要監控孩童，最好使用手機或電信業者所內建的家長控制程式，而不要相信那些來路不明的第三方程式。一般的使用者則可檢視所安裝的程式列表，以察看是有詭異程式，亦應啟用生物辨識並設定螢幕鎖，來避免手機被安裝間諜程式而不自知。</p> </div></div></div>
2023/6/29 16:21作者陳曉莉https://www.ithome.com.tw/news/157552
歐盟公布數位歐元立法計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3501" target="_blank">歐盟執委會（European Commission，EC）周三（6/28）祭出了兩項提案</a>，一是確保歐元區的現金地位，二是設定一框架以讓歐洲央行在未來可發行數位歐元，闡明現金與數位歐元的地位。</p> <p>其中，第一項提案是為了維護現金的作用與地位，讓現金持續成為一個可被廣泛接受的支付方式，把現金視為歐元區的法定貨幣，要求歐盟成員國必須確保現金支付及取得現金的能力。不讓現金被數位貨幣取代的主要原因為金融包容性，以覆蓋那些依賴現金的老年人或其它弱勢族群。</p> <p>至於數位貨幣的立法框架則是為了迎合全球的潮流，也可帶來另一種支付解決方案，同時增強歐元的國際地位。根據該框架，未來的數位歐元將與現有的信用卡或程式支付並存，成為數位錢包的一環，可隨時隨地利用數位歐元進行支付，包括在線與離線。</p> <p>此外，歐盟地區的銀行與支付服務供應商都可散布數位歐元予民眾或企業，基本的數位歐元服務應是免費的，且就算沒有銀行帳戶也應該能夠開設並持有數位歐元帳戶。</p> <p><a href="https://www.ecb.europa.eu/press/pr/date/2023/html/ecb.pr230628~e76738d851.en.html" target="_blank">歐洲中央銀行（European Central Bank，ECB）也在同一天發表了聲明</a>，表達歡迎相關提案。其實<a href="https://www.ithome.com.tw/news/145661" target="_blank">ECB在2021年便啟動了數位歐元專案（Digital Euro Project）</a>，針對數位歐元的設計與分布展開了長達24個月的調查，此一階段預計於今年10月結束，屆時將會決定是否邁入下一個涉及開發與測試相關解決方案的階段。</p> <p>ECB行長Christine Lagarde指出，歐元為歐洲共同體最具體的象徵，深受廣大民眾的重視與信賴，期望與其它歐盟組織繼續合作開發數位歐元，以確保歐盟區的貨幣符合數位時代。</p> <p>本周的提案僅列出數位歐元的法令框架及必要元素，一旦通過歐洲議會及歐盟高峰會（European Council）的許可，最終即會由ECB負責發行數位歐元。</p> </div></div></div>
2023/6/29 16:28作者陳曉莉https://www.ithome.com.tw/news/157553
Google DeepMind正在開發次世代AI聊天機器人，宣稱比ChatGPT更強大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google剛合併完成的AI部門DeepMind主管透露，公司正運用AI模型AlphaGo的經驗，開發下一代AI聊天機器人，成果會比OpenAI的ChatGPT更強大。</p> <p><a href="https://www.wired.com/story/google-deepmind-demis-hassabis-chatgpt/" target="_blank">DeepMind共同創辦人暨執行長Demis Hassabis日前接受《Wired》訪談時表示</a>，該公司正在開發的最新大型語言模型（LLM）名為Gemini。DeepMind在5月間Google I/O首次介紹Gemini，Gemini本質上和ChatGPT底層的GPT-4類似，都能處理文字輸入並生成自然語言的回覆，但是Gemini更具備規畫或解決問題的能力，這是來自DeepMind的AlphaGo模型，而仰賴的是AlphGo的增強式學習（reinforcement learning）訓練方法。</p> <p>AlphaGo正是<a href="https://www.ithome.com.tw/newstream/104630" target="_blank">2016年擊敗</a>南韓圍棋棋王Lee Sedol，<a href="https://www.ithome.com.tw/news/114519" target="_blank">2017年再敗</a>世界棋王柯潔的棋藝AI模型。DeepMind後來又再推出了更強大的棋藝AI系統AlphaGo Zero及AlphaZero。</p> <p>所謂增強式學習是電腦模型透過與動態的環境反覆互動，透過嘗試錯誤（trial-and-error）及回報／處罰（reward/punishment）的方法，逐漸學習正確執行一項任務的方法。這能使模型在沒有人類干預、沒有被寫入明確執行任務的程式下做出一系列決策。AlphaGo也是增強式學習的經典範例，AI模型逐漸學習到下圍棋或打電玩下一步該選擇什麼樣的行動。</p> <p>Hassabis說增強式學習之外，AlphaGo還曾用到競賽樹搜尋（tree search）以探索、記憶棋盤上可能步數等其他技巧。</p> <p>Hassabis形容，Gemini更像是增加自然語言能力的AlphaGo模型，他相信使用AlphaGo的技術研發的Gemini大型語言模型，將會比ChatGPT更強大。</p> <p>Gemini還開發中，DeepMind表示，還要好一陣子才會完成，而且也將耗費數千到數億美元的費用。《The Wired》引述OpenAI執行長Sam Altman指出，GPT-4的開發成本超過1億美元。</p> <p><a href="https://www.ithome.com.tw/news/153228" target="_blank">DeepMind去年9月宣布</a>更安全的聊天機器人Sparrow的開發計畫。DeepMind曾說今年會推出Sparrow的測試版，但Sparrow是否持續開發，或會整合到Gemini中則不得而知。</p> <p>Gemini將是Google能否重奪AI領導者角色的關鍵。為了追趕微軟及OpenAI，Google除了開發AI聊天機器人Bard，也整併Google Brain及DeepMind，並投入一組人開發加速搜尋的AI專案。</p> <p>此外6月初DeepMind另外用AlphaZero為主軸，<a href="https://www.ithome.com.tw/news/157261" target="_blank">公布AlphaDev模型</a>，旨在提升資料庫檢索速度，藉此節能、節省大型資料中心成本。</p> </div></div></div>
2023/6/29 14:27作者林妍溱https://www.ithome.com.tw/news/157550
MedTech醫療科技雙周報第22期：圖文通吃！微軟打造生醫領域專用的生成式AI Chatbot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0616～0630）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>圖文通吃！微軟打造生醫領域專用的生成式AI Chatbot</strong></span></p> <p>微軟最近開發一款可處理生醫圖片和文字的多模態生成式AI聊天機器人LLaVA-Med，能回答關於生物醫學圖像的開放式研究問題。團隊先是從美國政府維護的生醫數位資料庫PubMed Central，提取大量生醫圖像和相對應的圖說，來建立訓練資料集，並以GPT-4根據圖說來自我指導，生成開放式、指令遵從的資料，接著再用課程學習方法，來微調一個大型通用的視覺-語言模型。</p> <p>也就是說，這個模型的形成可分為2階段，首先是利用生醫圖像-圖說的配對組資料，來讓模型學習生醫單字，再來是用GPT-4產出的遵從指令的資料，來學習開放式對話語意，也就是模仿外行人學習生醫知識的過程。團隊總共用8張A100 GPU，不到15小時就完成LLaVA-Med的訓練，而且能準確回答關於生醫影像的問題。團隊指出，經3項生醫視覺問答資料集測試，LLaVA-Med比各項監督式SOTA模型還要好，接下來，微軟團隊將釋出遵從指令的訓練數據和模型本身。<a href="https://arxiv.org/abs/2306.00890">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-06-29%20114020.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Epic </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子病歷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美醫療IT系統大廠Epic要用GPT-4快速生成病歷</strong></span></p> <p>美國醫療系統龍頭廠商Epic日前聯手微軟子公司Nuance，要開發一套醫療行政管理解決方案DAX Express，並整合微軟Azure OpenAI服務的大模型GPT-4，來加速行政工作、給Epic社群使用。簡單來說，該解決方案是一款臨床文件應用程式，要透過自動生成的臨床文件，來優化醫療機構的行政工作流程、擴大對病人的照護服務。</p> <p>使用DAX Express for Epic的醫療機構，能在醫院檢驗檢查室或進行遠距醫療時，自動建立臨床記錄草稿，醫師可馬上檢視這些資訊，也能在病患看診後完成這些臨床記錄。密西根大學西部醫院資訊長Josh Wilda指出，DAX將原本需要數小時的臨床記錄工作縮短為幾秒鐘，同時還能提高病患照護的品質。<a href="https://news.nuance.com/2023-06-27-Nuance-and-Epic-Expand-Ambient-Documentation-Integration-Across-the-Clinical-Experience-with-DAX-Express-for-Epic">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">遠距醫療 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 處方箋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 慢性病 </span></strong></span></p> <p><span style="font-size:22px;"><strong>韓國要將遠距醫療服務常態化，處方箋可傳真或Email到指定藥局</strong></span></p> <p>根據美國醫療資訊與管理系統學會（HIMSS）旗下媒體報導，韓國衛生福利部正展開為期3個月的遠距醫療試點計畫，範圍涵蓋全國，只要醫師認為必要且安全時，就能對病患進行遠距醫療．進一步來說，這個遠距醫療服務的適用對象，包括非首次看診的慢性病患（首次看診須為實體看診）、需要回診的兒科患者（只限於例假日和夜晚時刻）、居住於離島和偏遠地區的民眾、身障人士，以及超過65歲的長者和患上感染疾病的民眾。</p> <p>這項試點計畫適用於診所和提供罕見疾病照護、手術後照護的醫院，不過，醫療機構也能透過這項計畫來提供諮詢服務，若視訊難以進行，醫療機構也能透過電話提供諮詢。而處方箋可透過傳真、電子郵件方式，寄送到患者制定的藥局。至於取藥，可由患者親自領取、代理人領取，或是由藥局送藥到府，但只限於居住在離島和偏遠地區的民眾，以及不便行動、患有罕病或傳染病的民眾。<a href="https://www.healthcareitnews.com/news/asia/south-korea-begins-move-make-telemedicine-permanent">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Lens </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 皮膚 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Bard </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>新版Google Lens可檢測皮膚症狀、將整合Bard</strong></span></strong></p> <p>Google日前更新智慧鏡頭（Google Lens），新添檢測皮膚症狀功能，也預告將整合Bard AI助理。2021年，Google就推出名為DermAssist的智慧鏡頭功能，使用者上傳3張皮膚照片、回答一些問題，應用程式就會提供可能的皮膚問題資訊。在目前的最新版本中，使用者用Google Lens拍照或上傳皮膚相片，就能以視覺搜尋來找出可能的病症資訊。</p> <p>該功能也能用於其他身體異狀，如嘴唇上的突起、指甲表面紋路或掉髮問題。Google指出，DermAssist可辨識288種皮膚、指甲和頭髮症狀。另一方面，再過幾個星期，使用者就能在Bard輸入圖片，Bard會啟動Google Lens來辨識圖片內容。而Google在去年12月宣布，正在開發能看懂醫師手寫處方箋的AI模型，以及能辨識醫師手寫醫囑並加強顯示藥物資訊，這些新功能未來也將整合到Google Lens中。<a href="https://blog.google/products/google-lens/google-lens-features/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0615-google_lens-search_for_skin_conditions-960.jpg?itok=t_NyM1kN" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 南澳大利亞</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 虛擬照護 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距醫療 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>南澳政府撥1.3億澳元要提供常態性虛擬照護服務，要降低醫院床位緊繃壓力</strong></span></strong></p> <p>南澳大利亞政府最近宣布投入1.3億澳元來發展常態性的兒童與成人虛擬照護，包括發展未來4年的兒童與青少年虛擬緊急照護服務（CAVUCS），以及未來5年的南澳成人虛擬照護服務（SAVCS），目標是要解放醫院床位。</p> <p>南澳政府表示，就CAVUCS來說，這項政策是要擴展COVID-19疫情間設置的遠距醫療服務，來讓當地婦女及兒童醫院的急診科醫護團隊，能繼續提供虛擬照護服務給當地兒童和青少年。南澳政府統計，自2021年8月啟動以來，CAVUCS已服務了2萬4千多名兒童，還免去了90%的不必要到院急診；他們也啟用1,000多輛救護車，來讓醫護至家中治療兒童，而非把他們送到醫院。</p> <p>另一方面，就SAVCS來說，南澳政府則是要透過醫師、護理師團隊提供虛擬照護，來降低醫院急診人流壓力、釋放更多床位。自2021年12月啟動該服務以來，已有1萬8千多人受惠，其中80%避免了不必要的急診就診，在家中接受品質更好的照護服務。<a href="https://www.premier.sa.gov.au/media-releases/news-items/$130-million-boost-to-virtual-health-care-helping-keep-kids-and-adults-out-of-hospital">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UNC Health </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料搜尋 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>北卡羅萊納大學醫院用生成式AI Chatbot加速資料搜尋工作</strong></span></strong></p> <p>北卡羅萊納大學體系醫院（UNC Health）參與電子病歷大廠Epic和微軟的生成式AI計畫，要利用微軟Azure OpenAI服務，來打造內部專用的聊天機器人工具，初期將給部分臨床醫師和行政職員使用。</p> <p>進一步來說，醫院醫護團隊可以自然語言提出問題，讓Chatbot搜尋資料庫、給出答案，來節省醫護手動搜尋數百篇操作文件的時間。UNC Health表示，這只是生成式AI的應用案例之一，他們還要在今年晚些時候，將這項應用擴大到旗下15家醫院、19個院區和900多家診所。<a href="https://news.unchealthcare.org/2023/06/unc-health-piloting-secure-internal-generative-ai-tool-for-teammates-with-microsoft-azure-openai-service/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 獸醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞利桑那州 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美國亞利桑那州通過獸醫遠距醫療照護立法</strong></span></strong></p> <p>美國亞利桑那州州長Katie Hobbs日前簽署獸醫遠距醫療照護法規，允許該州獸醫透過遠距醫療來提供寵物照護服務。該法名為<a href="https://legiscan.com/AZ/text/SB1053/id/2806041">SB1053</a>，有別於美國大多數州的規定，SB1053可讓寵物在第一次就診時，就能使用遠距醫療來與獸醫溝通，而非要實體就診。</p> <p>在COVID-19疫情間，這種獸醫遠距醫療需求大增，在美國就有19個州通過立法，亞利桑那州就是其一，也是最早將這項服務常態化的州。根據美國獸醫虛擬照護協會統計，只有愛達荷州、維吉尼亞州和新澤西州允許無條件的獸醫遠距醫療，其他33州要求寵物進行遠距醫療前，至少要先實體就診過，或做過某些檢驗檢查，才能接受遠距醫療照護；目前只有紐約州禁止獸醫提供遠距照護服務。<a href="https://www.publicnewsservice.org/2023-06-06/animal-welfare/az-governor-enacts-law-allowing-telemedicine-for-pets/a84819-1">（詳全文）</a></p> <p>圖片來源／微軟、Google</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 微軟開發BioViL-T模型，可強化放射線影像報告準確度</strong></strong></p> <p><strong><strong>2. Walmart在全美新添70家愛滋病藥房點，明年要擴大提供自身免疫疾病藥物</strong></strong></p> <p>資料來源：iThome整理，2023年6月</p> </div></div></div>
2023/6/29 12:09作者王若樸https://www.ithome.com.tw/news/157543
Proton釋出免費密碼管理工具Proton Pass
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供網路隱私服務的瑞士業者<a href="https://proton.me/blog/proton-pass-launch" target="_blank">Proton周三（6/28）發表免費的密碼管理工具Proton Pass</a>，它以擴充程式的形式支援桌面作業系統的各大瀏覽器，涵蓋Chrome、Firefox、Edge、Brave與其它瀏覽器，也釋出支援iPhone、iPad與Android裝置的行動程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-Proton%20Pass-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Proton</span></p> <p>Proton Pass可用來自動生成並儲存密碼，並具備Hide-my-email電子郵件別名功能，整合了雙因素身分驗證（2FA），提供端對端加密，也內建VPN服務。</p> <p>Proton認為，在使用者的資料外洩之際，通常同時曝露了密碼與電子郵件帳號，其中，密碼通常會被加密，而且之後使用者得以加以變更，然而，電子郵件帳號卻無所遁形，也難以變更，是個比密碼更有價值的資訊，讓駭客得以針對這些外洩的電子郵件帳號寄送垃圾或網釣郵件。</p> <p>因此，Hide-my-email即可在使用者與第三方服務之間建立一個電子郵件別名，而隱藏真正的電子郵件帳號，未來可持續以該別名登入第三方服務，萬一該第三方服務遭駭，別名曝光了，則可直接刪除該別名，以避免隨之而來的垃圾或網釣郵件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-Proton%20Pass-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Proton</span></span></p> <p>此外，Proton也強調Proton Pass比其它的免費密碼管理工具更為安全，因為它在所有的欄位都採用了端對端加密技術，而不僅加密密碼欄位，因此，不管是使用者名稱、網址或其它資訊都不容易曝光。</p> <p>免費的Proton Pass所支援的裝置與登入數量並無上限，但只能建立10個電子郵件別名，2FA及VPN服務亦有所限制，而付費的Pass Plu所提供的相關服務則皆無數量限制。Pass Plu的原價為每月4.99美元，大多數時候的折扣價為3.99美元，伴隨著Proton Pass服務推出則祭出1美元的優惠訂閱價格，且Proton表示，若在此一優惠期間訂閱，即便之後回到3.99美元，用戶仍終身可享受1美元的價格。</p> <p>與Proton Mail、Proton Calendar、Proton Drive及Proton VPN等旗下眾多服務一樣，Proton也會開源Proton Pass，以供外界檢視其安全架構。</p> </div></div></div>
2023/6/29 13:16作者陳曉莉https://www.ithome.com.tw/news/157547
Google整併地圖部門Waze裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2023/06/27/google-cuts-jobs-at-waze-as-it-continues-to-merge-mapping-products.html" target="_blank">CNBC本周報導</a>，Google整併地圖事業，近日精簡社交地圖業務部門Waze人事。</p> <p>Waze是Google於2013年收購的以色列社交地圖程式業者。Waze仰賴使用者手機上的程式傳送或主動回報的交通和道路狀況，以協助其他用戶選擇其他交通路線。Waze曾擁有超過4,000萬用戶，<a href="https://www.ithome.com.tw/node/81104" target="_blank">Google當年收購Waze時</a>還曾引來美國主管機關聯邦交易委員會（FTC）的調查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-Google-Customize%20Drive-Waze-600-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google地圖部門Geo的主管Chris Philips在媒體取得的內部公開信宣布裁員消息。他指出，公司對Waze的策略有所變更，其獨立的廣告系統將整併到Google廣告系統中，Waze的廣告業務將如同Google Maps由Google全球業務組織（Global Business Organization，GBO）掌理。未來Waze廣告業務會經由Google Ads發送，在此同時，前者的廣告相關職位，包括業務、行銷、營運和分析師都會裁減掉。</p> <p>這波裁員影響人數不明。CNBC報導，Waze現有員工500多人。</p> <p>Google今年初宣布裁員1.2萬人，並力求專注在高獲益及關鍵專案上，影響眾多部門，包括軟、硬體、行銷、聘僱、工程及行政人員等。Google去年12月即已合併Waze及Google Maps以節省開支，當時Waze執行長Neha Parikh也隨之下臺。</p> <p>這也是Google最新一波組織變動。<a href="https://www.ithome.com.tw/news/156221" target="_blank">CNBC 3月間報導</a>Google Assistant改組，除了人事變動，Google Assistant部門開發Google Maps、搜尋、手機內AI語音助理的策略也將轉為以Bard為重點。此外，<a href="https://www.ithome.com.tw/news/156498" target="_blank">4月Google Brain和DeepMind合併</a>為單一的AI研發部門。<a href="https://www.ithome.com.tw/news/157526" target="_blank">Google AR智慧眼鏡專案Project Iris上周也傳停擺</a>，Google未來可能以開發軟體平臺及授權為主，由第三方製造商生產智慧眼鏡。</p> </div></div></div>
2023/6/29 13:33作者林妍溱https://www.ithome.com.tw/news/157548
【蘋果AR新戰略：新OS】蘋果發表全新visionOS作業系統，強化對於空間運算的支援能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果不只發表了空間運算頭戴設備Vision Pro，還推出了專為該設備搭載的全新作業系統，名為visionOS，這也是蘋果第一個空間作業系統。不論應用程式視窗介面、App呈現形式、輸入介面還是互動方式，與以往的蘋果iOS作業系統有明顯區別，對於之後想要跨入visionOS應用的行動開發者來說，有必要熟悉這些差異。</p> <p>除了沿續以往iOS的簡潔風格和一致性設計之外，蘋果在visionOS中加入了豐富的空間設計元素，使介面看起來具有空間感和深度感。例如提供立體逼真的圖示和利用光影效果的邊框設計等。不僅如此，空間中的visionOS應用程式的呈現方式也更加多樣化，可以讓使用者感受到應用程式環繞著自己，創造出一個廣闊且無限的空間感，獲得更加身臨其境的體驗。</p> <p>儘管目前蘋果還沒有正式推出visionOS，但從公開的visionOS設計指引文件中，可以整理出和以往蘋果作業系統不同的特色，是針對空間運算需求的設計。其中一個重要的特色是，提供了全新三維的使用者介面，能夠展示更<br /> 立體化的UI和3D內容，供Vision Pro裝置用戶操作並與其互動。</p> <p> </p> <p><strong><span style="font-size:28px;">特色1：全新的三維使用者介面，展示更立體化的UI和3D內容</span></strong></p> <p>為了打造這個全新的3D介面，visionOS提供了多應用3D模擬引擎能夠支援更強大的圖形模擬、渲染效果，讓應用程式UI介面在AR設備中具有更出色的3D空間表現。蘋果還調整和優化現有UI設計元素，來適應空間設計特性。</p> <p>舉例來說，傳統iOS應用程式中通常將標籤列（Tabbar）通常置於螢幕底部，而在visionOS中，則放置在畫面左側並以圖示呈現，字體樣式也重新優化，以更好地配合整體視覺效果並提高易讀性，還增加了專為空間設計的字體。此外，主畫面中的App圖示也變得更立體和逼真，還能夠與使用者互動。</p> <p>不只使用者介面，應用程式視窗在這套作業系統中的呈現方式也和以往iOS有明顯的區別。</p> <p>visionOS提供了兩種不同呈現類型，即Window和Volumes。Window類似於傳統的2D平面視窗，而Volume則是採用了3D幾何形狀的視窗，造型更加立體。不過，使用者可以自由調整Window視窗在AR空間中呈現的長、寬尺寸，但無法更改Volume視窗大小，而是由App本身控制。</p> <p>除了給使用者提供更直覺的互動方式，這種新的3D介面為開發者提供了全新應用程式的設計和展示方式，使他們能夠打造更加沉浸式的應用程式。相較於傳統的iOS應用展示限制，這種3D介面讓應用程式能夠擁有更逼真的介面和3D內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-06-22%20%E4%B8%8B%E5%8D%882_03_45.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">visionOS提供了兩種不同呈現類型，即Window和Volumes。Window類似於傳統的2D平面視窗，而Volume則是採用了3D幾何形狀的視窗，造型更加立體。不過，使用者可以自由調整Window視窗在AR空間中呈現的長、寬尺寸，但無法更改Volume視窗大小，而是由App本身控制。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-06-26%20%E4%B8%8B%E5%8D%884_48_18.png" style="width: 600px; height: 263px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">圖中的3D立體地球儀，就是使用Volume作為App介面初始場景，比起傳統2D平面為主的Window，Volumes可以在特定三維空間中展示高度立體化的視窗造型及其內容。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p> </p> <p><strong><span style="font-size:28px;">特色2：強化對光達掃描器支援，讓應用程式展示與互動更貼近真實環境體驗</span></strong></p> <p>visionOS另一項重要改變是強化了對於光達掃描器支援能力，原本在iPadOS和iOS中就能使用光達來測量使用者周圍物體距離和空間位置，來取得場景空間和定位的資料，用於AR應用，但visionOS中，對光達掃描器的支援能力變得更加重要。這是因為幾乎所有應用程式都是以3D立體形式出現在Vision Pro螢幕裡所形成的真實和虛擬交疊的3D空間裡，這個3D空間是根據前置攝影機即時影像所製作而成，以即時影像畫面呈現在頭戴設備使用者的眼前，在這個空間中，應用程式外觀不只是變得更立體，還會根據放置遠近或擺放高度而呈現不同的深度效果，看起來就像現實世界中的物品那樣。因此就更需有能精準的空間和深度資料的光達，支援這種更加動態的AR應用互動方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-06-26%20%E4%B8%8B%E5%8D%887_56_59(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">visionOS還搭載了一個空間音訊處理引擎，使用光線追蹤分析使用者周圍環境物理材質和回聲特性，可以根據3D物體在前景或後景的位置，自動調整聲音的表現方式，提供更加沉浸的聲音體驗。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p> </p> <p><strong><span style="font-size:28px;">特色3：支援低延遲的空間運算處理，即時反應AR物件外觀變化</span></strong></p> <p>為了能夠及時反映周圍環境的變化，visionOS也支援超低延遲的空間運算處理，來支援各種需要及時變動的應用場景或3D圖像渲染。蘋果並提供了動態縮放和景深功能，能夠根據使用者所在位置自動調整其視窗大小和距離，以保持一致的大小比例，同時維持外觀的景深效果。</p> <p>除了能根據3D場景變化即時互動，visionOS還搭載了一個空間音訊處理引擎，使用光線追蹤分析使用者周圍環境物理材質和回聲特性，可以根據3D物體在前景或後景的位置，自動調整聲音的表現方式，提供更加沉浸的聲音體驗。</p> <p><strong><span style="font-size:28px;">特色4：全新的輸入模式，靠眼動搭配捏合手勢就能操控App</span></strong></p> <p>visionOS還有一個更大改變是，採用了全新的輸入模式，讓使用者可以自然方式與應用程式互動，也是這套作業系統另一大特色。在這個新的輸入模式下，使用者只需要眼睛和雙手就可以與應用程式進行互動。例如，當使用者瀏覽visionOS App時，只要眼睛注視著螢幕前方App的圖示，然後用手指輕捏，系統會根據使用者的視線和手指捏合的動作，來開啟相對應的App，全程不需要觸碰AR設備螢幕。</p> <p>原本在iOS中就有提供手勢操作輔助功能，但在visionOS中則變成是預設輸入方式，取代以往多點螢幕觸控輸入方式。visionOS還支援多種手勢操作，來提供常見的App操作功能，例如輕點、長按、拖曳、旋轉、縮放等等。</p> <p>為了因應長時間手勢操作，visionOS設計上還新增一個焦點反饋功能（Focus Feedback），可以根據使用者注視螢幕畫面中的哪一個功能按鈕或應用圖示，來即時改變其顯示的狀態，例如圖示增亮或產生懸浮效果。</p> <p>此外，還可進一步分為間接和直接手勢兩種操作輸入方式，當使用者距離應用程式較遠時，可以使用間接手勢來操作（例如捏合手勢），若要操作距離較近的應用程式時，就可以採用直接手勢來完成，也就是直接用手指觸碰眼前的虛擬物件，如虛擬鍵盤等，來執行應用程式的相關操作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dynamic-3D-scene%402x.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">visionOS還提供客製化功能，讓他們能夠根據不同應用場景設計對應的手勢操作，例如可以設定將兩隻手放在一起形成心形時，觸發特定的事件或功能。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p>新的手勢輸入也帶來全新的互動模式，這意味著，開發者可以為他們的應用程式增加更多互動功能。visionOS還提供客製化功能，讓他們能夠根據不同應用場景設計對應的手勢操作，例如可以設定將兩隻手放在一起形成心形時，觸發特定的事件或功能。還有另一種實體輸入控制方式是透過數位錶冠（Digital Crown）來完成，像是調整周圍環境中的沉浸程度，或是用來執行音量、返回主畫面等其他操作。</p> <p>與其他平臺一樣，visionOS同樣支援了如聲音旁白（VoiceOver）、游標控制（pointer control）等輔助操作功能。此外，用戶也可以透過語音輸入或是利用Siri語音指令來開啟和關閉App、播放音樂等，並可以支援實體鍵盤、觸控板、其他相容的遊戲控制器，但不支援Apple Pencil。</p> <p> </p> <p><strong><span style="font-size:28px;">特色5：新增EyeSight闖入提醒功能，自動調整沉浸程度提醒用戶注意周遭人物</span></strong></p> <p>visionOS還新增EyeSight闖入提醒功能，當有人靠近配戴Vision Pro的使用者時會自動調整沉浸程度，讓頭戴設備使用者可看到有人靠近的情況，也會將使用者的雙眼以數位形式在頭帶設備前置螢幕中顯示，讓對方察覺使用者的狀態。</p> <p>visionOS中還有提供與iOS相同的控制中心，提供音量、字體、飛航模式、勿擾模式、Wi-Fi、藍牙等控制功能。還有許多常見的應用，如FaceTime、SharePlay等。另外也有提供新品牌App Store，讓開發者可以在該商店平臺上發布和販售自己visionOS應用程式。</p> <p><strong><span style="font-size:28px;">特色6：加入全新虹膜辨識技術，強化隱私及身分認證</span></strong></p> <p>蘋果還推出新的辨識解鎖功能Optic ID，能夠利用虹膜辨識技術來加強身分認證的安全性，這也是蘋果繼Touch ID指紋辨識、Face ID臉部辨識技術後採用的最新生物辨識技術，未來可以用於AR頭戴設備解鎖，或Apple Pay支付、App Store商店購買等場景。</p> <p>visionOS在隱私方面也有特別設計，例如，應用程式無法直接獲取用戶在3D空間中的眼睛位置和手勢資訊，也無法知道用戶正在注視哪個位置或與誰進行互動，而是在發生觸發事件後，應用程式會收到系統的通知，才根據事件的類型執行相應的指令。</p> <p>另外，對於一些敏感的資訊，如手部資訊，也都需要事先獲得用戶的同意才能使用。這樣的設計確保了用戶的隱私安全。</p> <p>針對新發布visionOS作業系統，蘋果最近釋出visionOS 1.0開發者版，雖然只是測試版，但開發者已經可以在Xcode上測試visionOS新功能和特色，不僅如此，蘋果進一步還整合了現有開發工具和資源，全面支援visionOS應用開發。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/6/29 12:14作者余至浩https://www.ithome.com.tw/news/157544
【讓AR開發，就像開發行動App一樣容易】蘋果空間運算新世界的關鍵布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的首款空間運算頭戴設備Vision Pro最近終於問世，但這不只是一個全新的AR硬體產品線，更是全新的AR內容平臺和使用者空間體驗平臺，蘋果更聯手迪士尼帶進龐大的粉絲圈的影音品牌，但在蘋果AR新戰略背後，還有一個關鍵的開發生態布局，就是要把行動開發者變成是AR的開發者。</p> <p>「這是我多年來期盼已久的一天，」蘋果執行長Tim Cook在6月初WWDC開發者大會介紹這臺AR空間運算設備出場時這樣說到。他進一步指出，就像Mac帶來個人運算的革新，iPhone掀起行動運算的浪朝，Vision Pro的推出代表著進入了空間運算的全新時代。</p> <p>但是蘋果花了好幾年精心策畫布局，才走到這一步。</p> <p>蘋果早在2017年就開始布局AR應用市場，甚至比Google都早。當時蘋果雖然沒有自己的AR頭戴設備，而是把iPhone和iPad變成是行動AR裝置，讓行動開發者能夠在行動裝置上開發AR應用程式，蘋果也是當年第一個開始支援AR的行動平臺業者，關鍵就是透過其釋出的一套AR開發工具ARKit。</p> <p>ARKit推出不到幾年，歷經多次改版更新，對於AR開發和應用支援也越來越全面，不只可以進行3D物體識別和追蹤，還支援動作捕捉、多人AR協作，對環境空間、複雜場景處理能力更大幅提升。而在最新ARKit 6中，更開始支援4K AR應用。隨後更多AR開發工具推出，例如RealityKit和Reality Composer等。</p> <p>不僅僅是推出行動AR開發工具，蘋果後來更進一步把自駕車發展使用的LiDAR光達感測技術帶進iPad Pro平板中，相較於傳統感測器，光達掃描器具有公分級的空間解析度處理能力，可以構建出更完整且細膩的3D空間視圖，意味著，AR物件或場景可以更準確地放置在真實世界中，即使微小的偏差，也能被精確地偵測到。這也讓行動開發者能以此開發出更多元且更複雜的AR應用。後來，蘋果甚至在iPhone 12手機上也配備了相同的光達鏡頭，進一步擴大了蘋果裝置AR的應用範圍。</p> <p><span style="font-size:28px;"><strong>將行動開發者與AR空間運算開發新世界無縫接軌</strong></span></p> <p>蘋果積極發展行動AR技術和開發工具的背後，正是為了未來建構完整的AR開發生態所進行的布局，隨著新的AR設備推出，更進一步往這個目標邁進。</p> <p>在蘋果Vision Pro中，不僅配有超高解析度頭戴顯示器、具有更強大空間感知、動作追蹤能力，還配備運算力更強以及超低延遲專用處理器，能處理更複雜的運算和即時圖形渲染，支援各種複雜的AR場景或VR沉浸式體驗相關應用。從蘋果對於這臺新AR設備的定位，也反映出蘋果不只當作消費性產品，更視為一種生產力工具和產業應用工具。</p> <p>蘋果AR設備雖然比臉書、微軟晚推出，但是背後超過3千萬名註冊行動開發者是蘋果的一大優勢，甚至蘋果在設計AR設備時開始著手考慮如何將行動開發者帶進3D世界，從這次發表的AR設備，就能看到蘋果處處針對行動開發者無痛轉移到新平臺所做的布局。</p> <p>蘋果雖然加入了新AR頭戴式設備，改變了使用者操作AR應用的方式，從傳統的多點觸控轉變為眼睛和手勢操作，並且在硬體機制也有所差異。但是，蘋果AR頭戴設備背後的軟體控制方式並沒有改變，行動開發者仍然可以使用以往的軟體控制方式，來控制這臺設備的應用程式。舉例來說，當AR頭戴設備使用者使用手和眼睛操作應用時，開發者只需要關注觸發的事件，例如按下按鈕這個動作，就能進行應用功能操控，不需要知道使用者使用的是哪隻手，或者注視的是哪個地方。這種軟體操控和硬體機制分離的方式，對於行動開發者來說，也就更容易開發跨平臺的AR應用，不需要因為輸入方式、操作模式或硬體機制的改變，而需要重新學習或大幅調整他們的軟體控制方式。</p> <p>不光如此，蘋果雖然推出了新的空間作業系統visionOS，但是保留了與過去的iOS和iPadOS相同的應用程式開發環境和程式語言，這意味著，行動開發人員可以直接將他們在行動平臺上的開發經驗應用到新的空間運算平臺上，而無需重新熟悉新的開發環境和語言。就連App開發過程中，許多SwiftUI視圖宣告和命名方式，都與原本的iOS相同，保持一致性，例如 WindowGroup等。蘋果目的就是要讓空間運算App開發，也能像行動App一樣的DX開發者體驗。</p> <p><span style="font-size:28px;"><strong>全面整合現有行動開發工具、框架</strong></span></p> <p>蘋果不僅配合行動開發者以往的開發工作流程，還開始全面整合現有的行動開發工具及框架，來支援新的空間運算平臺，包括使用者介面開發框架SwiftUI，行動AR開發工具ARKit、RealityKit等，還加入了不少新功能和新工具。透過這些工具的整合，降低了新平臺的開發門檻，讓他們更容易使用已經熟悉的開發工具，進入AR領域。</p> <p>在 Vision Pro推出後不久，蘋果官網就已經提供了完整詳細的開發者設計指引文件，讓開發者可以進一步學習相關開發技巧和知識，還有超過40場手把手的教學影片，從基礎到進階的內容都有，一步步教導行動開發者如何開發一支空間運算App。</p> <p>尤其，蘋果將Vision Pro視為一個全新的運算平臺，這對於行動開發者將是一個新機會，比起日益競爭激烈、逐漸變成紅海的行動應用市場，新的空間應用市場則具有更大發展潛力，不只可以開發新應用，開發者還可以將現有行動應用轉化為新應用創造新收入，甚至對於尋找新商業模式和新商機的企業來說，也可能帶來新藍海的機會。</p> <p><span style="font-size:28px;"><strong>蘋果定價策略背後的真意</strong></span></p> <p>從蘋果的定價策略來看，也能看出它在Vision Pro發展中，針對AR開發生態的布局。蘋果的策略不是短時間讓所有開發者都加入，而是先專注於吸引領域內頂尖或優秀的行動開發者，目的是先培養一批種子開發者，將他們創新、設計和使用者體驗帶進這個新的運算平臺中，除了確保應用程式的品質和使用者體驗，更要藉由這些種子人員來進一步擴散影響力，逐步建立一個活躍的空間運算開發者社群，推動整個空間運算生態圈的進步和發展。</p> <p>為了發展新的空間運算生態系，蘋果也改變了過去自成一體的App生態圈的做法，開始與第三方合作。蘋果十分了解在新的AR世界中，僅僅依靠自身現有的行動開發生態體系是不夠的，需要有更多元的生態系合作夥伴，例如他們與3D遊戲引擎大廠Unity攜手合作，讓以Unity引擎開發的應用程式未來能夠在Vision Pro設備上來使用。此外，蘋果還與競爭對手迪士尼合作，能在這臺AR設備中提供Disney+串流影音內容。</p> <p>目前iOS平臺將近200萬個App，蘋果表示，Vision Pro明年上市時將有數十萬個相容的行動App能透過新平臺來提供服務。當有越來越多的行動開發者參與、第三方生態系合作夥伴加入，使得許多常用的行動App開始在Vision Pro中來提供服務，帶動一股新的空間運算風潮，也就越有機會吸引到更多蘋果用戶加入，進而產生出新商業模式，帶動更多行動開發者加入開發，也就越有機會壯大蘋果AR開發生態圈。</p> <p>不過，AR硬體到位，只是蘋果邁向空間運算世界開發之路的第一步，想要加速建構一個完整且成熟的AR生態圈，甚至開創新藍海、新商機，全新空間作業系統和開發工具是兩大關鍵策略。</p> <p><span style="font-size:36px;"><span style="color:#3366ff;"><strong>蘋果Vision Pro的5大開發者影響</strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 1.新AR硬體 </span></strong></span><span style="color:#696969;"><strong> 雖然硬體機制和輸入方式改變，但是，背後的軟體控制方式並沒有改變，開發者不需要重新學習或大幅調整原有的軟體控制方式。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 2.新作業系統 </span></strong></span><span style="color:#696969;"><strong> 新的空間作業系統保留了與iOS和iPadOS相同的開發環境和程式語言，開發者開發時可以直接應用他們的行動平臺開發經驗。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 3.開發門檻 </span></strong></span><span style="color:#696969;"><strong> 全面整合現有行動開發工具及框架，來支援新的空間運算平臺，包括SwiftUI，ARKit、RealityKit等，開發者可以繼續使用他們已經熟悉的開發工具進行開發。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 4.市場發展潛力 </span></strong></span><span style="color:#696969;"><strong> 加入全新的空間運算平臺，不只可以開發新應用，開發者還可以將現有行動應用轉化為新應用，進而帶來新藍海的機會。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 5.定價策略 </span></strong></span><span style="color:#696969;"><strong> 培養一批種子開發者並進一步擴散影響力到更多開發者。</strong></span></p> <p><span style="color:#696969;">資料來源：余至浩整理，2023年7月。</span></p> </div></div></div>
2023/6/29 12:43作者余至浩https://www.ithome.com.tw/news/157545
【蘋果AR新戰略：開發工具】降低iOS開發者進入門檻，蘋果全面整合現有的行動開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果為建立AR空間運算開發的生態系積極展開布局，其中一個關鍵策略就是整合現有的開發工具和資源，全面提升對於新AR平臺應用的支援能力，不只是旗下IDE開發平臺Xcode，就連眾多iOS行動開發者熟悉的開發工具或框架，現在也可以用於visionOS平臺應用的開發，讓他們更容易利用這些框架或工具在明年設備上市前，開始構建新的AR應用，或者測試現有行動應用程式在蘋果AR頭戴設備上的轉換效果。此外，蘋果還釋出visionOS的軟體開發工具套件（SDK），加快開發者的採用和測試。</p> <p>在這些行動應用開發工具或框架中，SwiftUI是開發iOS和iPadOS應用程式主要的介面開發框架，SwiftUI現在也支援空間運算平臺，意味著，開發者可以使用SwiftUI來建立能夠支援空間運算的三維介面。不論是設計應用程式的按鈕、切換和TabView等UI元素，還是開發影音和瀏覽器應用程式（如TV或Safari），或是建立3D數位白板和沉浸式簡報功能，都能夠利用SwiftUI的功能來完成。</p> <p>不僅如此，在SwiftUI中，還提供了全新的3D功能，方便開發者在介面視窗中增加深度效果或3D物件，例如增加具有體積感的Volume視窗，使應用程式的視窗看起來不再是平面，而是具有3D幾何的立體感。SwiftUI還提供了混合、漸進式沉和完全沉浸式三種不同風格的場景類型，開發者能夠根據應用需求來選擇適合的沉浸程度，並能夠直接預覽和檢視UI介面在沉浸式空間的效果。</p> <p>在UI設計配置上，SwiftUI還提供了一個名為z-index view modifier的全新功能，該功能可以讓開發者為UI元素增加深度上的細節變化，使得視覺上具有深度感。原本用來建立圖層分層的ZStack，現在可以建立更複雜的層次關系，營造出類似於3D效果的深度外觀。</p> <p>由於在空間運算世界中，眼睛和手勢是主要的應用程式或UI操作方式，因此，在SwiftUI中，除了原有的手勢輸入模式（如TapGesture或DragGesture）之外，還提供了一種新方法，來與三維空間中的3D物件互動，讓開發者可以利用這種新手勢與他們的應用程式結合，提供更多元的互動體驗。RotateGesture3D就是其中一個例子，這個新手勢可以讓使用者使用雙手或觸控板來旋轉三維空間中的物件。</p> <p>不只能使用SwiftUI框架開發，行動開發者還能利用UIKit框架中新的空間API，設計和開發支援三維介面的AR功能。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%B7%A5%E5%85%B7-600.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了簡化AR應用程式開發流程，蘋果推出一個全新視覺化工具平臺，稱作Reality Composer Pro，能將開發者利用ARKit和RealityKit工具建立的各種3D場景、物件、環境互動體驗統一集中管理，除了能夠在visionOS中預覽這些場景視覺或沉浸效果，也能進行3D內容創作和編輯。</strong><span style="font-size: 14px;">圖片來源_蘋果</span></span></p> <p><span style="font-size:28px;"><strong>RealityKit新API支援更逼真的3D模型模擬和渲染效果</strong></span></p> <p>除了支援三維使用者介面，蘋果目前行動開發工具或框架中也有包含了AR或空間運算開發相關工具，其中包括了RealityKit與ARKit兩大AR框架。</p> <p>尤其，RealityKit在AR應用程式開發中具有關鍵作用。RealityKit是蘋果於2019年推出的AR擴增實境框架，提供強大的3D模擬和渲染功能，開發者現在可以在visionOS平臺上使用RealityKit模擬和渲染應用程式中的3D內容，讓3D內容呈現更真實，更貼近使用者所處的環境。</p> <p>為了提高AR應用程式的沉浸式體驗，RealityKit增加不少新功能，例如推出名為Model3D的新API，讓開發者能使用這個API在SwiftUI的應用程式中嵌入各種逼真的3D模型，並支援了USDZ與Reality檔案格式。RealityKit還推出全新的沉浸式渲染器RealityRender，使3D模型在環境中呈現更真實、生動。還有新推出的RealityView功能，則是可以讓開發者在SwiftUI中檢視用RealityKit製作的各種3D模擬場景或內容。如果要展示渲染後的3D圖形的效果，也能夠使用ARView工具來完成。</p> <p>RealityKit與SwiftUI整合也更加緊密，開發者現在可以利用RealityKit API來渲染介面，在SwiftUI中建立具有更強烈空間感的UI介面，例如可以改變背景材質增加視覺感，或是加入hover懸停效果或裝飾性UI等視覺元素，呈現更加逼真立體的外觀輪廓，進一步貼近使用者周圍環境的真實質感。</p> <p>大多數虛擬物件會使用RealityKit工具來建立3D物件的物理材質，來呈現真實世介的材質。RealityKit使用外部感測器數據，提供真實世界的照明狀態等資訊並融入到這些材料中。</p> <p><span style="font-size:28px;"><strong>更強大ARKit工具現身，能在真實環境呈現複雜3D場景並互動</strong></span></p> <p>蘋果還有一個名為ARKit的AR開發工具，比RealityKit更早2年推出。與用於3D內容模擬和渲染的RealityKit用途有所不同，ARKit則是蘋果用來實現應用程式中的3D內容與使用者周圍環境互動的關鍵。透過LiDAR光達掃描器，ARKit能夠快速而準確地捕捉周圍環境的深度資訊，提供更精準的幾何場景定位和物件放置，讓開發者可以建立與真實環境高度互動的AR體驗。</p> <p>ARKit針對visionOS平臺推出了一系列追蹤及感測新功能，來增強AR互動體驗，包括平面評估功能，可以根據真實環境水平位置檢測數據，準確放置虛擬物件，還有場景建構功能，用來重建真實場景的3D模型，以及提供圖像錨點和實體世界追蹤機制，可以在真實圖像錨點上附加媒體內容，或是讓虛擬內容可以根據用戶在現實世界中位置和移動方向來進行配置。</p> <p>蘋果還因此在ARKit中推出名為DataProvider的新協定，可以即時更新真實環境中的數據，讓開發者能夠設計出根據實際環境的變化，來調整應用程式與周邊環境的互動方式，例如，將球彈跳到地板上或水濺到牆璧的效果。</p> <p>在全沉浸模式中，ARKit的API還提供了更多與環境互動的操作，例如，只要經過用戶同意後，開發者就可以透過手勢追蹤來獲得使用者手部詳細資訊，進而在畫面中呈現使用者的虛擬手部模型，使其能夠與周圍環境或應用程式進行互動。</p> <p><span style="font-size:28px;"><strong>全新視覺化工具推出，簡化AR應用程式開發流程</strong></span></p> <p>為了簡化AR應用程式開發流程，蘋果還推出一個全新視覺化工具平臺，稱作Reality Composer Pro，可以協助開發者準備AR App需要使用的各種3D內容，還提供預覽功能，能夠將這些3D內容整合到一個AR場景中來觀看。</p> <p>此外，Reality Composer Pro還提供創作、編輯功能，能用來建立和編修AR應用程式所需的各種3D物件、動畫，還提供材質客製化的功能，透過MaterialX開放標準，就能使用關聯式節點圖來設計出想要的物理材質，不需要撰寫任何程式，就可以立即看到輸出的效果。</p> <p>又如在Reality Composer Pro工作流程中，開發者還能使用RealityKit工具的particles粒子功能在場景中迅速模擬雲朵、雨或火花效果，還可以將音訊加入到場景中，與其他3D物件相關聯，也能夠及時預覽，並能夠進一步配合場景中內容修改，組合出更複雜且規模更大的互動場景。Reality Composer Pro還與Xcode緊密結合，可以像在Xcode中構建和執行程式碼一樣，很容易進行3D內容編修與預覽，如調整場景大小或將其旋轉，來從不同角度觀看。</p> </div></div></div>
2023/6/29 12:53作者余至浩https://www.ithome.com.tw/news/157546
【快速了解蘋果AR應用程式的開發】圖解如何建立一支visionOS App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>蘋果AR設置環境Xcode，搭配各種開發工具可快速建立AR App所需的3D內容、動畫、渲染效果及互動場景，我們分為12個步驟的圖解，來介紹如何建立一支visionOS App，從開發全新AR應用程式到將現有行動應用程式變成可以相容的App，並上架到新品牌App Store上。</strong></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟1 </span></span> <span style="color:#3366ff;">設置AR開發環境</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F1.png" style="width: 600px;" /></span></strong></span></p> <p><strong>開始開發visionOS App要做的第一件事，就是需要準備IDE開發環境，這是開發者用來管理和發布visionOS專案很重要的關鍵。Xcode是蘋果開發者使用的IDE工具，但必須要升級更新到第15版beta2，才能夠支援在visionOS平臺上的開發和測試。並且macOS必須更新到13.4版本或以上。</strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源_蘋果</span></span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟2 </span></span> <span style="color:#3366ff;">建立Xcode專案</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F2-V2.png" style="width: 600px;" /></p> <p><strong>有了新的Xcode後，若要開始建立一個新專案並進行App開發工作，開發者可以在Xcode的專案建立視窗中選擇xrOS（編按：已更名為visionOS）當作目標平臺，接著指定使用預設的App圖示作為開發樣板，就可以進行相關的開發工作。不過需要注意的是，要確保你的開發環境中已經配置了xrOS相關的檔案，才能夠順利使用xrOS的App樣板來進行開發。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟3 </span></span> <span style="color:#3366ff;">建立使用者AR介面</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F3-V2.png" style="width: 600px;" /></p> <p><strong>建立Xcode專案並選擇xrOS App樣板，接著就開始進入到App設計工作，其中使用者介面設計是App開發的重要環節之一，開發者若是希望在未來的App視窗介面中建立具有高度立體感和沉浸式效果的設計，就需要使用SwiftUI框架。這是只有在SwiftUI框架中才提供的功能。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟4 </span></span> <span style="color:#3366ff;">指定3D視窗介面形式</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F4.png" style="width: 600px;" /></span></strong></span></p> <p><strong>接著必須在App樣板中指定初始場景類型，如果想要設計出全三維的App視窗介面，必須確保在App樣板中指定App起始場景為「Volume」，而非預設的「Window」，才能夠讓App視窗介面呈現出更加立體和逼真的外觀效果。值得注意的是，使用volume當作App起始場景時，設計結構上一樣會使用與iOS相同的WindowGroup { }，來管理SwiftUI視圖層次結構，進行Volume介面的程式開發。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟5 </span></span> <span style="color:#3366ff;">設定沉浸空間模式</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F5.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了選擇Volume作為AR應用程式視窗介面外，開發者在建立介面的過程中還可以根據需要指定後續應用程式開啟後，能夠使用的沉浸式空間類型，來為App所處的3D空間增加不同程度的沉浸式效果。共有混合式沉浸（mixed）、漸進式沉浸（progressive）、完全沉浸（Full）三種風格供開發者選擇。若選擇預設的Space類型，則App會在非沉浸式的共享空間（Shared Spce）中進行呈現。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟6 </span></span> <span style="color:#3366ff;">撰寫AR App程式碼</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F6.png" style="width: 600px;" /></span></strong></span></p> <p><strong>確定App介面設計類型和沉浸模式後，Xcode會根據選擇的是Window或Volume樣板，自動生成相應的程式碼，讓開發者能夠以此為基礎進行開發工作。在編寫過程中，若是需要設計介面或物體表面材質時，可以使用Reality Composer Pro工具平臺所提供的關聯式節點圖，就可以很容易設計所需的材質，而無需進行程式碼撰寫。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟7 </span></span> <span style="color:#3366ff;">程式碼除錯</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F7.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了直接從程式碼中進行偵錯外，透過Xcode提供的視覺化runtime功能，可以方便開發者更快速追蹤和尋找程式碼中的錯誤。編寫程式碼的同時，這些程式碼會即時轉換為視覺化的3D內容，讓開發者可以即時查看其外觀形狀或表面呈現效果，以確認是否符合原始設計的目的，也就更容易找出程式中有錯誤或不正確的地方，進行即時修正。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟8 </span></span> <span style="color:#3366ff;">使用AR模擬器測試</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F8.png" style="width: 600px;" /></span></strong></span></p> <p><strong>App程式寫完後，需要使用Xcode模擬器測試App在Vision Pro設備上的執行情況，除了可以操作實體鍵盤或滑鼠從不同角度來查看，也可以使用模擬的系統手勢與App進行互動。模擬器提供了3種不同模擬場景（包括客廳、廚房、博物館），每個場景都有白天或夜間照明模式，開發者可以觀看App在不同條件下呈現的效果。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟9 </span></span> <span style="color:#3366ff;">送至AR實體設備測試</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F9.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了模擬測試以外，開發者可以直接在實體Vision Pro設備中預覽App局部功能（如3D場景）並進行測試，不需要等到完成所有App功能後才能接著測試。測試前須將該實體設備連到蘋果電腦，然後在Reality Composer Pro工具中切換預覽按鈕到「設備預覽」模式，這樣一來，開發者就能夠在這臺設備中進行功能預覽，並測試其外觀和功能的正確性。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟10 </span></span> <span style="color:#3366ff;">App效能優化</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F10.png" style="width: 600px;" /></span></strong></span></p> <p><strong>在測試過程中，開發者可以利用效能分析工具Instruments中的RealityKit Trace功能進行評估和測試。這個功能可以提供關於AR App在頭戴設備上執行所消耗的運算資源相關資訊（如CPU、GPU和電力消耗等），並且能夠標識出可能導致App效能瓶頸的環節。開發者可以追蹤和分析App效能表現，並回頭檢視相關數據，優化App的3D模型。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟11 </span></span> <span style="color:#3366ff;">AR App上架至新品牌App Store</span></strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><span style="color:#3366ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F11.png" style="width: 600px;" /></span></strong></span></p> <p><strong>除了內部測試以外，在將AR App上架到蘋果新品牌App Store之前，需要將該App打包為測試版本，並利用Xcode或Store Connect將你的測試版本提交到蘋果TestFlight測試服務中，供測試人員下載，以便在Vision Pro設備上進行相關測試，進一步優化和改進問題。完成後，開發者就可以將正式版提交App Store進行審核，接著將通過審核的App上架到App Store供用戶下載。就如同上架一支行動App流程一樣。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p><span style="font-size:28px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 步驟12 </span></span> <span style="color:#3366ff;">將行動App變成AR App</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E6%AD%A5%E9%A9%9F12-V2.png" style="width: 600px;" /></p> <p><strong>上架到App Store的App不僅限於新開發的AR App，還可以上架這些把現有行動App變成是相容的App。開發者可以透過重新編譯將現有行動App轉成相容於visionOS平臺的應用程式，因此具有與visionOS App相同的空間外觀和質感。做法上也相當簡單，只要在Xcode專案中指定xOS裝置為轉換的目標平臺，然後透過xOS模擬器重新編譯和執行即可。接著開發者還可以對轉換後的App進行視窗大小和布局微調，或加入其他相關沉浸功能。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> </div></div></div>
2023/6/29 12:07作者余至浩https://www.ithome.com.tw/news/157542
鎖定平臺韌體保護，信驊科技展示具成本優勢的PFR伺服器安全晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在信驊科技目前的伺服器解決方案中，除了舉世皆知的伺服器管理晶片「基板管理控制器（BMC）」產品，還有橋接晶片（BIC），特別的是，該公司近年也鎖定韌體安全領域，提出解決方案。</p> <p>在今年Computex台北國際電腦展中，信驊科技就特別公布了這款產品－－AST1060，並說明PFR的重要性。其實，這款產品在去年3月已經生產發布，但隨著疫情趨緩、國境解封，因此該公司才在今年Computex展覽中首度公開展出這款產品。</p> <p>基本上，近年由於韌體與供應鏈漸成常見網路攻擊面向，因此，在2018年，美國國家標準暨技術研究院（NIST）發布NIST SP 800-193平臺韌體保護恢復標準，全名為Platform Firmware Resiliency（PFR），目的就是要防止未授權入侵與修改，確認平臺韌體的正當與合法性，並且還能在平臺韌體被破壞時，透過可信的方式來恢復。</p> <p>後續幾年以來，Intel、萊迪思半導體等業者，都陸續推出PFR的解決方案，<a href="https://www.ithome.com.tw/news/139902">之前我們也曾經介紹過這類產品</a>。信驊科技當然也沒有缺席，該公司行銷業務處協理關超成指出，去年他們推出採用硬體信任根（Root of Trust，RoT），並能與BMC晶片搭配的PFR解決方案AST1060，已通過NIST的CAVP（Cryptographic Algorithm Validation Program）認證。</p> <p>最大不同之處在於，過去這類解決方案都是基於FPGA設計，信驊科技推出的AST1060，是全球首款單晶片設計（SoC），相當別具意義。</p> <p>關超成指出，由於SoC成本要比FPGA成本低很多，有助於客戶更願意採用信驊PFR解決方案，進而促使他們的產品增加這方面的資安防護。</p> <p>AST1060雖然是在2022年3月開始生產，在Computex公開展示卻是第一次，預計今年第二季量產，他們也看好其成本優勢，因此認為需求會逐漸放大，成為BMC產品之外的另一重點產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8PFR%20SoC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E4%BF%A1%E9%A9%8A.jpg" style="width: 600px;" /></p> <p><strong>對於PFR的重要性，信驊科技行銷業務處協理關超成表示，像是2017年的BrickerBot病毒，就是鎖定硬體裝置的漏洞，破壞平臺上的韌體，而美國NIST在2018年則發布PFR平臺韌體保護恢復標準（NIST SP 800-193），提供在不同平臺韌體應遵循的安全措施。同時他也說明，這次展示的AST1060，最大不同之處是單晶片設計（SoC）的PFR解決方案，不同於以往是FPGA的PFR解決方案，將更具成本優勢。（攝影／羅正漢）</strong></p> <p> </p> </div></div></div>
2023/6/28 16:32作者羅正漢https://www.ithome.com.tw/news/157530
Windows 11測試以臉部或指紋辨識的通行密鑰登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windows-insider/2023/06/22/announcing-windows-11-insider-preview-build-23486/" target="_blank">最新Windows 11測試版</a>加入通行密鑰（passkey）功能，允許用戶以臉部、指紋或PIN碼驗證登入網站或應用程式。</p> <p>微軟本周釋出到Dev頻道的Insider預覽版Build 23486加入最新安全功能，讓用戶可以透過Windows Hello製作通行密鑰，未來用戶即可以Windows Hello設定的臉部、指紋或PIN碼登入網站或App。用戶也可以手機完成App登入過程。</p> <p>設定方法如同其他密鑰管理產品。用戶可以先從Windows PC連到支援通行密鑰的網站，如bestbuy.com、ebay.com、google.com等在其帳號設定頁下建立通行密鑰，之後登出、再以通行密鑰登入。</p> <p>即使用戶將通行密鑰存在手機上，也可以從Windows登入。方法是以上述方法登入網站，並將通行密鑰儲存在手機上，之後以Windows PC連到網站時，再以手機上的通行密鑰驗證登入。</p> <p>Windows 11測試版也提供簡單的通行密鑰管理。這功能位於「設定」>「帳號」>「通行密鑰」下，用戶會看到儲存在PC上的所有通行密鑰，即可查看相關資訊或刪除密鑰。</p> <p>主要瀏覽器，包括蘋果的Safari、微軟Edge或Google Chrome瀏覽器都已先後支援通行密鑰登入。Windows Hello支援意謂著使用者可以從作業系統層，更方便管理及使用通行密鑰。蘋果的<a href="https://www.ithome.com.tw/news/151318" target="_blank">macOS</a>、iOS、iPadOS及<a href="https://www.ithome.com.tw/news/153615" target="_blank">Google Android</a>也都加入支援通行密鑰。</p> <p>在Edge和Chrome中，要啟用通行密鑰需點選「Windows Hello或外部安全金鑰」選項來開啟。微軟說，如果用戶還沒看到這個選項，會在最新的Chrome測試版Canary看到，由於Edge同屬Chromium核心瀏覽器，之後這功能也會部署到Edge。</p> </div></div></div>
2023/6/29 10:58作者林妍溱https://www.ithome.com.tw/news/157541
從臺灣第一線教學現場實驗，看教育界如何擁抱ChatGPT浪潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「ChatGPT禁用與否」儼然成為教育界這半年來的熱門議題。ChatGPT不只能隨時回應學生問題，甚至還能直接幫學生代寫作業，這些強大功能，讓全世界師長產生恐慌，今年初，美國許多學校就陸續禁用該軟體，認為ChatGPT將會對學生的學習造成負面影響。</p> <p>然而，在教育界，不是人人都反對ChatGPT。今年三月，隨著OpenAI推出GPT4，全球最大非營利線上教育平臺可汗學院創辦人Sal Khan更宣布，採用GPT4打造教學助理Khanmigo，試圖打破ChatGPT在教育應用上的負面印象。</p> <h3>生成式AI教學助理進入課堂實測</h3> <p>這個以GPT4打造的教學助理，不僅會是學生課後使用的學習工具，更要進入實體教室，幫助教師進行課程教學。</p> <p>不只展示，Sal Khan也在矽谷實際找來一間中小學實驗學校，展開千人規模的Khanmigo實測，包估老師、學生和行政人員。在今年五月一場演講中，他更預告了接下來Khanmigo將發展的新功能，例如互動式閱讀理解、論文起草回饋工具和語音互動等，顯現他持續開發GPT應用於教育的企圖心。</p> <p>Sal Khan表示，Khanmigo能對學生、教師，甚至是家長都能帶來幫助。作為一對一教學導師，Khanmigo可提供學生學習英文、數學、寫作和電腦程式、與歷史人物對話和進行辯論活動等功能。</p> <p>此外，Khanmigo還能協助教師擬定課綱，減少行政時間，教師也可以檢視學生與聊天機器人的對話過程，掌握學生學習狀況。當對話含有暴力和色情言論時，Khanmigo會發通知提醒教師和家長。</p> <p>Khanmigo有一個關鍵設計是，透過提示指令設定GPT-4模型扮演不能揭露答案的教師角色之後，無論學生如何提問，Khanmigo都不會提供答案，而是藉由對話一步步引導學生思考。這個功能破除了學生使用ChatGPT作弊的疑慮，甚至有機會對學生的學習帶來效益。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/khanmigo%E6%93%8D%E4%BD%9C%E7%95%AB%E9%9D%A2.jpg" style="width: 600px;" /></p> <blockquote><p>透過提示指令可以設定<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">GPT扮演</span>不能揭露答案的教師角色，當使用者詢問答案時，Khanmigo不會直接提供答案，而是一步步引導使用者解題。</p> </blockquote> <h3>臺灣教師肯定生成式AI教學助理將帶來正面效益</h3> <p>雖然Khanmigo目前仍在測試階段，短時間不會在臺灣落地，但在臺灣，有一群教育工作者十分關注這項教學工具，甚至是高度期待。</p> <p>「我看到後來簡直在顫抖，想說如果學生可以馬上使用，我們到底可以怎麼幫助孩子？」一位在資訊教育現場做了十多年的資訊組長林穎俊，回憶起第一次看到Khanmogo的感受，十分震撼。</p> <p>這位在宜蘭縣中山國小任職的資訊組長林穎俊，長期關注數位工具如何有效提升教學與學習效率，熟稔數位教學工具，承辦過縣市科技輔助自主學習計畫。</p> <h3>臺灣教師實際將ChatGPT融入課程教學</h3> <p>早在去年底ChatGPT浪潮出現後，林穎俊就開始思考如何運用到課堂上，今年二月，林穎俊決定先用自然課程來測試ChatGPT，以實際經驗驗證ChatGPT對教育帶來的改變。</p> <p>起初，他讓學生直接與ChatGPT對話，發現學生不擅長描述問題而學習效果不好。因此，他轉而改變策略，改使用ChatGPT出考題。然而，最終在檢討對答案時，有學生向他反應ChatGPT提供的答案有誤。林穎俊坦言，一開始將生成式AI想得太簡單，經過測試後，他發現要讓學生和ChatGPT一起合作，才能增加學習效率，「學生學著跟ChatGPT協作、評價跟調整答案前，應該先自行擁有答案，並且瞭解不能全部相信ChatGPT的回答。」</p> <p>經過調整，林穎俊在課程使用ChatGPT時會以分組進行，學生觀看兩張照片或文章後，小組需要討論出一個最好的問題，接著將問題寫進共編簡報。透過簡報展示各組問題後，林穎俊會從中選出一個和自己預設較接近的題目，再和學生討論，修正問題後放入ChatGPT，最後一同討論回應。</p> <p>這麼一來，不僅可以訓練學生描述問題的能力，也可以教會學生思考ChatGPT提供的資訊正確性。只不過，ChatGPT融入課堂教學十分耗時，免不了引起家長抱怨，因此，林穎俊坦言，自己仍需要取捨和調整教學內容，讓學生既能學得好，又能符合未來教學需求。</p> <p>下一步，林穎俊決定在暑假帶著學生使用AI學習Python，探索AI是否有可能幫助學生進行跨越年齡限制的學習。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%9C%E8%98%AD%E4%B8%AD%E5%B1%B1%E5%9C%8B%E5%B0%8F%E8%80%81%E5%B8%AB%E6%9E%97%E7%A9%8E%E4%BF%8A%E4%BD%BF%E7%94%A8GPT%E6%95%99%E8%AA%B2.jpeg" style="width: 600px;" /></p> <blockquote><p class="rtejustify" dir="ltr" style="line-height: 1.8; margin-top: 0pt; margin-bottom: 0pt;"><span style="color: rgb(105, 105, 105);">林穎俊將ChatGPT融入課堂教學，先以分組方式進行討論，再共同討論ChatGPT的回覆。圖片來源／林穎俊提供</span></p> </blockquote> <p>經過這個學期在課堂上的ChatGPT教學實測，林穎俊認為，Khanmigo能為學生學習帶來幫助，因為這個AI助手能將所有課程單元的難度降到幾乎為零，「所有學生只要想學，他都可以學會。」因此，面對ChatGPT浪潮，林穎俊認為，教育應回歸核心問題：探討如何引發學生的學習動機，幫助學生大腦升級為更有效的學習者。</p> <p>傳統教學型態以講述和直接教學法為主，林穎俊舉例說明，教師透過講述課本知識，在臺上進行解題，依序帶著學生作答，最後再讓學生自己寫出答案。但是，ChatGPT進入課堂後，他認為，教學型態可能逐漸轉為高互動、直接教學與問題解決，例如學生和學生間、小組和小組間，或是老師和小組間研討如何運用知識解決生活上的問題，透過與AI協作，討論和修正成果。</p> <p>此外，傳統教學型態的檢驗方式僅是以考試評量學生知識，但在未來，林穎俊指出，評量內容可能轉為學習過程與技能，例如評量學生與AI協作過程，以及學生是否能將知識內化為技能，運用在和AI討論問題解方。</p> <p>林穎俊認為，ChatGPT可能將改變以往獨自的學習型態，逐漸轉換為師生一同討論學習的學習環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%9C%E8%98%AD%E7%B8%A3%E4%B8%AD%E5%B1%B1%E5%9C%8B%E5%B0%8F%E8%B3%87%E8%A8%8A%E7%B5%84%E9%95%B7%E6%9E%97%E7%A9%8E%E4%BF%8A.jpg" style="width: 600px;" /></p> <blockquote><p><span style="color:#696969;">宜蘭縣中山國小資訊組長林穎俊關注數位教學工具的發展，他認為ChatGPT可能改變原有的教育型態。攝影／李昀璇</span></p> </blockquote> <h3>AI融入臺灣教育現場前，使用者適應數位教學仍是挑戰</h3> <p>AI融入教育能創造個人化教學，例如根據學生能力、興趣和性格訂定學習大綱，更能幫助教師了解學生學習狀況，但要在教育現場融入AI，就必須端看行動載具數量與無線網路在校內建置是否完備。</p> <p>教育部2021年宣布，預計在2022年至2025年內投入近200億元預算在「推動中小學數位學習精進方案」，其中一項政策正是配發行動載具，和提升教室無線網路環境。</p> <p>為達到「班班有網路，生生有平板」的目標，教育部以偏遠地區學校師生一人一機，非偏遠地區每六班補助一班的方式配發行動載具，除原有各縣市約20萬臺行動載具外，教育部另外配發約61萬臺學習載具。</p> <p>但計畫實行近一年，身在教育現場的林穎俊卻看見不少計畫推行困境。</p> <p>雖然目前行動載具數量已經足夠，但使用量卻始終不高。以中山國小為例，校內約有七至八組載具，即便教育部已規定所有老師在2025年前至少須完成六小時的數位研習，以讓教師適應數位教學，「但是使用量一直沒有滿載。」林穎俊說道。</p> <p>而在數據方面，雖然教育部在數位學習精進方案有規劃建置教育大數據資料庫，但是，要能蒐集足夠數據，師生就須長時間使用行動載具。</p> <p>林穎俊回想所屬學校使用平板的頻率，掐指一算，「大概兩個禮拜一次。」他認為，要讓數位載具廣泛使用，關鍵仍在教師是否願意使用科技輔助教學。「一般老師還是比較習慣傳統式教學。」林穎俊提到，教師的教學習慣及年齡因素，都可能是計畫推行阻礙，再加上課堂時間常常不足，即便老師願意使用，通常僅會在總複習等非正式授課時進行。</p> <p>可是要說服更多老師願意使用科技，林穎俊認為，仍需足夠數據論證，如能否有效提升學生成績，或增加學習動機等，才能說服教師轉換原有教學模式。</p> <p>雖然教育部標榜學習數據資料庫整合了載具管理系統、數位學習平臺及學生學習紀錄，以作為學習成效、教學模式、政策研擬和改善數位內容的參考資料。但看似完善的規劃，在教育現場第一線的林穎俊卻表示，目前尚無管道得知相關數據資料。</p> <p>眼看著各縣市政府積極部署署AI融入教育的政策，如臺南市教育局三月底宣布將研發ChatGPT教學模組，臺北市教育局也正在開發ChatGPT協助教師出題，林穎俊建議政府現階段應回過頭來著重搜集學習數據。</p> <p>「太多工具不見得會提升學生學習成效。」林穎俊過去帶著不少學生使用教學網，他發現最難的挑戰仍是如何讓學生主動使用教學資源。因此，他建議政府應積極搜集學習資料，建立完整學習資料庫，「例如知道學生可能什麼地方比較學不會，哪些特徵的學生比較會有學習困難，甚至知道哪裡需要投入更多經費。」才能在系統推出後，更有效、精準地幫助學生，甚至是推動他們積極學習。</p> <h3>面臨AI衝擊，林穎俊鼓勵教師一同思考因應之道</h3> <p>對比傳統教學模式，ChatGPT到底是威脅？還是轉機？現今教師工作除了在課堂期間進行知識傳授，課餘時間更須重視學生的品性、常規表現和學習情形。如今AI漸漸進入校園，林穎俊認為，以Khanmigo為例，證實AI有能力取代教師的知識傳授工作，因此，未來教師的角色會有所轉變，知識傳遞的工作會逐漸減少，教師需要找到新的工具或教學幫助學生學習。</p> <p>因應AI時代，教師到底該如何應對這些挑戰？林穎俊坦言，自己尚未有明確解方。但是，他仍期望所有教師應落實教學，一同思考如何將AI融入教育。</p> <p>所以，林穎俊才建議，政府應蒐集大規模學習數據，以支援系統開發，再增加獲取數據的便利性，才有機會提升數位教學的廣泛性，最終以AI工具實現個人化學習，成就更多學生的學習。</p> <p>「ChatGPT有點像新冠肺炎造成遠距教學，大家慢慢會意識到這個衝擊，只是早晚而已。」雖然AI目前對臺灣教育環境造成的波動不大，但林穎俊認為，當教育平臺開始整合生成式AI時，傳統教學方式勢必要有所轉變。</p> </div></div></div>
2023/6/29 09:36作者李昀璇https://www.ithome.com.tw/news/157509
AWS推出全託管服務AppFabric方便企業連接和管理SaaS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對SaaS應用程式監控需求AWS推出<a href="https://aws.amazon.com/tw/blogs/aws/new-aws-appfabric-improves-application-observability-for-saas-applications/">AppFabric</a>，這是一個全託管服務，能夠聚合和標準化SaaS應用程式中的安全資料，提高應用程式的可見性。AppFabric可簡單整合企業常用的SaaS應用程式，過程不需要編寫自定義程式碼或是進行點對點整合。</p> <p>由於不少企業大量在業務流程中使用SaaS應用程式，隨著使用規模擴大，隨之而來的，便是主動辨識和解決潛在安全威脅的需求，以維持業務不間斷，不過，要將SaaS應用程式與企業現有安全工具整合，需要花費人力資源建置、管理和維護點對點整合，如此安全團隊才能夠監控事件日誌，了解每一個應用程式的使用者和系統活動。</p> <p>而AppFabric提供了一個解決方案，讓企業可以簡單連接SaaS應用程式，只要獲得授權後，AppFabric便能夠擷取並且標準化，諸如用戶活動日誌等安全資料。AWS提到，AppFabric是以開放網路安全架構框架（OCSF）為基礎，這是AWS與其他公司共同創立的產業標準架構，其提供一個開發架構與無關供應商的核心安全架構。</p> <p>IT人員可以增加使用者識別碼使資料更加完整，透過全面了解每個事件的用戶資料，縮短安全事件的回應時間。IT人員利用AppFabric將資料擷取到安全工具中，便能夠設置通用政策、標準化安全警示，集中管理跨多個應用程式的用戶存取。</p> <p>目前AppFabric可連結的SaaS應用程式，包括Asana、Atlassian Jira suite、Dropbox、Okta、Slack、Webex、Zendesk和Zoom等。AppFabric已在美東、歐洲，以及亞太東京上線，官方還預告，AppFabric將會加入生成式人工智慧功能，生成自然語言查詢的答案，並自動執行任務管理，產生跨SaaS應用程式分析。</p> </div></div></div>
2023/6/28 20:45作者李建興https://www.ithome.com.tw/news/157529
IBM宣布以46億美元買下企業IT資源管理解決方案供應商Apptio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2023-06-26-IBM-to-Acquire-Apptio-Inc-,-Providing-Actionable-Financial-and-Operational-Insights-Across-Enterprise-IT" target="_blank">IBM在26日宣布</a>，已與私募基金Vista Equity Partners簽署併購協議，將以46億美元的現金買下該基金旗下的企業IT資源管理解決方案供應商Apptio。雙方預計於今年底以前完成交易。</p> <p>IBM稱Apptio為金融及經營IT管理解決與最佳化（Financial and Operational IT management and Optimization，FinOps）軟體的領導業者，此一併購將可加速強化IBM的IT自動化能力，以及讓各個企業得以藉由各種技術投資來提高商業價值。</p> <p><a href="https://www.apptio.com/" target="_blank">根據Apptio官網上的介紹</a>，該公司主要提供四大領域的解決方案，涵蓋技術金融管理、雲端金融管理、企業敏捷規畫與公共部門的IT技術。至於IBM則強調Apptio的三大SaaS服務：ApptioOne、Apptio Cloudability與Apptio Targetprocess，其中，ApptioOne提供混合雲的支出管理與最佳化能力，Apptio Cloudability則鎖定公有雲的支出管理及最佳化能力，Apptio Targetprocess著重在敏捷投資規畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Apptio%20Cloudability(2).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;"><strong>Apptio Cloudability</strong>（圖片來源_Apptio）</span></span></p> <p class="rtecenter"><span style="font-size:14px;"><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Apptio%20Targetprocess.png" style="width: 600px;" /></span></span></p> <p><span style="font-size:14px;"><span style="color:#696969;"><strong>Apptio Targetprocess</strong>（圖片來源_Apptio）</span></span></p> <p>IBM說明，全球各大組織正快速地展開數位轉型，使得它們的IT環境橫跨公有雲與私有雲，也涉及不同的業者，為了管理這些急劇增加的複雜性，客戶採用了Apptio解決方案來理解及簡化相關資源的配置。</p> <p>目前Apptio在全球已有超過1,500家客戶，囊括Fortune 100的一半以上，且Apptio的合作夥伴皆為知名服務，從AWS、Microsoft Azure、Google Cloud Platform、Salesforce、ServiceNow、Oracle到SAP等。</p> <p>IBM執行長Arvind Krishna表示，Apptio的產品再加上IBM的IT自動化軟體與watsonx AI平臺，將可替客戶的技術投資帶來更全面的管理能力。</p> <p>Vista Equity Partners是在2018年底以19.4億美元買下Apptio，顯示Apptio這幾年的身價漲了一倍以上。</p> </div></div></div>
2023/6/28 20:45作者陳曉莉https://www.ithome.com.tw/news/157535
台灣二版引進遠端控制軟體新品牌，支援多種OS與狀態監控
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supremo_main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了維持資訊工作的正常運作，長達三年的COVID-19疫情，迫使企業不得不開放使用各種便於遠端存取電腦與伺服器的解決方案，市面上也充斥著許多相關的應用軟體與雲端服務，希望能夠搶下企業市場。以臺灣資安大會這幾年的活動而言，就有多款專攻遠端登入與控制電腦功能的產品廠商參展，如TeamViewer、Splashtop、Remote.It。此外，我們還可以找到AnyDesk、LogMeIn、GoToAssist、GoToMyPC等產品，當然也能使用Microsoft Remote Desktop、Chrome Remote Desktop，分別由微軟與Google這兩大IT廠商供應的免費軟體。</p> <p>去年底以代理防毒軟體ESET著稱的台灣二版，引進新的遠端控制軟體SupRemo，為其遠端應用類型解決方案增添更多選擇。開發這款產品的廠商，是一家成立超過30年的義大利IT廠商Nanosystems，他們在2013年推出SupRemo，用戶可從網站下載軟體、將其安裝在個人電腦與伺服器，提供可從遠端操控作業系統的桌面共享功能。</p> <p>相隔3年，該公司發表雲端管理與監控平臺USilio，用來統籌該公司2006年推出的備份軟體Uranium Backup用戶端程式，以及SupRemo聯絡人的同步、管理與控制，2017年開始支援iOS與Android兩大平臺，提供名為「Supremo Remote Desktop」的行動App，可連至個人電腦或伺服器桌面進行遠端控制，後續USilio也改名為SupRemo Console。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo Console1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Console1.jpg" style="width: 600px;" /></a></p> <p>在今年1月，Nanosystems推出SupRemo Mobile Assist的應用，Android智慧型手機或平板電腦安裝這支行動App之後，其他人可透過安裝在Windows、macOS、Linux、iOS、Android的SupRemo應用程式，連接到這臺行動裝置進行遠端控制，以便即時解決使用者當下的操作問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-1x.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-1x.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-3.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-4.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SupRemo iOS-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20iOS-5.jpg" style="width: 148px;" /></a></p> <p>以設定、下載、安裝等方式而言，SupRemo使用起來算是頗為簡單，從桌面應用程式的角度來看，與TeamViewer頗為類似，同樣會秀出連接ID與密碼，連入受控端電腦之後，除了能進到作業系統桌面進行各項操作，在連接程式的上緣，提供檔案管理員、線上文字交談、各種控制細項、全螢幕顯示、調整顯示模式、中斷連線等6種主要功能，可協助主控端快速操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo W7-mark.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20W7-mark.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo Password-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Password-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Password-2.jpg" style="width: 298px;" /></p> <p>在密碼設定上，SupRemo在用戶端程式提供相當豐富的設定選項，可設置第二層密碼，須輸入指定密碼才能調整密碼相關設定（如上圖右），而允許外部連入此電腦的主密碼，預設為動態變換，且長度為6個字元，我們也能改為8或10個字元，或是停用動態更換密碼。這裡也能限制可登入的SupRemo使用者帳號，提供類似白名單的管制方式，若以不同帳號登入用戶端程式，可看到能遠端存取的電腦群組清單。</p> <p>而在網頁主控臺SupRemo Console當中，提供地址簿的功能，管理者可快速檢視目前已註冊的多臺受控端電腦，判斷目前是否屬於上線、可連接的狀態，若是專業版的服務訂閱用戶，可獲得更多功能，像是：遠端管理，可協助監控遠端的裝置系統是否正常運作，若有作業系統更新未安裝、防毒軟體停用，都會在此標示出來，提醒管理者注意。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SupRemo Device Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SupRemo%20Device%20Management.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p>SupRemo 4<br /> ●原廠：Nanosystems<br /> ●代理商：台灣二版<br /> ●建議售價：3人同時上線、1年授權為16,600元<br /> ●用戶端作業系統支援：Windows（XP SP3至11、Server 2003 R2至2022）、macOS（10.12至13.0）、iOS（11以上）、Android（6.0以上）、Linux（Ubuntu 18.04至20.04 LTS）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/6/28 19:39作者李宗翰https://www.ithome.com.tw/review/157488
【資安日報】6月28日，兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊事故發生至今，已經過了一個月，駭客於6月中旬公布了部分受害組織的名單，也有組織證實遭到攻擊而外洩資料。最近駭客公布更多受害組織而引發關注，當中有兩家大型的工業控制系統業者。</p> <p>駭客企圖繞過防毒軟體與EDR偵測的情況不時出現，例如，使用自帶驅動程式（BYOVD）的方法，但如今有研究人員發現能繞過這類系統偵測的新型態攻擊手法。</p> <p>鎖定業務外包業者的攻擊行動，也相當值得注意。過往相關的攻擊行動裡，駭客往往將此類業者視為他們攻擊目標組織的跳板，被針對的業務外包業者較為單一，但如今出現了專門針對這類產業下手的駭客組織。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子能源公司、施耐德電機傳出遭到MOVEit Transfer零時差漏洞攻擊</span></strong></p> <p>根據資安新聞網站SecurityAffairs、Bleeping Computer的報導，勒索軟體駭客組織Clop再度公布新的受害組織名單，當中提及了5個組織，其中最受到關注的部分，就是工業控制系統（ICS）解決方案業者西門子能源公司與施耐德電機。</p> <p>對此，兩家公司都提出說法。西門子能源公司證實遭遇了MOVEit Transfer零時差漏洞攻擊，但沒有重要資料遭竊，營運並未受到影響。</p> <p>施耐德電機則表示他們知悉駭客的說法，網路安全團隊正著手調查，該公司在5月30日已採取相關緩解措施並嚴密監控狀態。</p> <p>資料來源</p> <p>1. <a href="https://securityaffairs.com/147865/data-breach/schneider-electric-siemens-energy-moveit.html">https://securityaffairs.com/147865/data-breach/schneider-electric-siemens-energy-moveit.html</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/siemens-energy-confirms-data-breach-after-moveit-data-theft-attack/">https://www.bleepingcomputer.com/news/security/siemens-energy-confirms-data-breach-after-moveit-data-theft-attack/</a></p> <p><a href="https://www.securityjoes.com/post/process-mockingjay-echoing-rwx-in-userland-to-achieve-code-execution"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露處理程序注入新手法Mockingjay，聲稱能繞過EDR偵測且行蹤更為隱密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/d03b6f_ab1b76ede6df4928a671e984f1bf11b2~mv2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/d03b6f_ab1b76ede6df4928a671e984f1bf11b2~mv2.png" style="width: 300px; float: right;" /></a>資安業者Security Joes發現新的攻擊手法Mockingjay，這種方法可讓攻擊者繞過EDR等端點防護產品的偵測，進而在受害電腦上暗中執行惡意程式碼。研究人員藉由同時具備讀取、寫入、執行權限（RWX）的DLL程式庫，來迴避EDR系統的掛鉤機制，並且將惡意程式碼注入處理程序。</p> <p>他們使用微軟Visual Studio 2022社群版裡面的元件msys-2.0.dll進行測試，然後使用自身注入及遠端注入兩種手法，而在不建立新的處理程序、分配記憶體位置、設置權限等狀態下，得以繞過EDR系統的監控並執行任意程式碼。</p> <p>研究人員指出，大部分的EDR系統會監控一般注入攻擊常會使用的特定API，而Mockingjay則是利用Windows本身的API，來載入配置錯誤的DLL檔案，並找尋RWX部分的位址，使得EDR系統不會將此種手法視為異常並發出警報。</p> <p><a href="https://unit42.paloaltonetworks.com/muddled-libra/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Muddled Libra鎖定業務流程外包業者下手</span></strong></a></p> <p>資安業者Palo Alto Networks揭露駭客組織Muddled Libra的攻擊行動，研究人員針對該組織自2022年6月至今年初的6起攻擊行動進行調查，發現這些駭客利用名為0ktapus的網釣工具包，來入侵受害組織並建立初期的存取權限，這些目標組織主要是業務外包業者（BPO）。</p> <p>值得留意的是，駭客還會收集員工名單、職務、手機號碼，以便進行網路詐騙甚至會透過目標組織的IT服務臺系統（Service Desk Applications，如Zendesk、Jira）註冊新的雙因素驗證（MFA）設備，最終從Confluence、Jira、Git、Elastic、Microsoft 365，以及內部資訊傳送系統竊取資料。</p> <p><a href="https://asec.ahnlab.com/en/54349/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客APT37散布竊資軟體FadeStealer進行攻擊</span></strong></a></p> <p>資安業者AhnLab揭露北韓駭客APT37的間諜攻擊，駭客先是透過釣魚郵件夾帶受到密碼保護的Word（.DOCX）或Hancom Office文件（.HWP）文件檔案，並以Windows說明檔案（.CHM）提供密碼，一旦收信人依照指示開啟CHM檔案取得密碼，此說明檔案便會在背景下載含有後門功能的PowerShell指令碼，此指令碼再從C2下載以Go語言開發的後門程式AblyGo，最終駭客透過AblyGo於受害電腦部署竊資軟體FadeStealer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FadeStealer_attack-procedure2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FadeStealer_attack-procedure2.png" style="width: 600px;" /></a></p> <p>研究人員指出，此竊資軟體執行的方式，是透過Internet Explorer（IE）瀏覽器的處理程序ieinstall.exe，以DLL側載的手法執行，側錄螢幕畫面、鍵盤輸入內容，並且針對連接電腦的手機與外接裝置檔案，進行竊取。</p> <p>罕見的是，此竊資軟體可藉由連結的手機進行錄音，而使得攻擊者可藉此監聽目標人士的對話內容。值得一提的是，AblyGo濫用名為Ably的API服務充當C2，使得相關流量可能被資安系統視為合法而放行。</p> <p><a href="https://www.bankinfosecurity.com/chinese-hackers-targeted-g7-summit-through-ms-office-flaw-a-22344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織利用Office漏洞，鎖定參與日本廣島G7高峰會的國家而來</span></strong></a></p> <p>資安業者SentinelOne針對中國駭客組織近期的攻擊行動提出警告，駭客自今年5月，鎖定參與日本廣島G7高峰會的法國、英國、印度、新加坡、澳洲政府官員，假冒印尼的外交部或是經濟部發送釣魚郵件，內容包含了名為「全球食物安全韌性的廣島行動宣言」的RTF附件檔案，研究人員指出這些惡意郵件幾可亂真，內容也符合5月20日該會議宣布的主張。</p> <p>研究人員針對RTF檔案進行分析，發現此文件駭客是使用了攻擊套件RoyalRoad製作，當中運用微軟Office的記憶體中斷漏洞CVE-2017-11882（CVSS風險評分7.8），一旦成功觸發漏洞，攻擊者就有可能執行任意程式碼。</p> <p><a href="https://www.threatfabric.com/blogs/anatsa-hits-uk-and-dach-with-new-campaign"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、歐洲銀行用戶遭安卓木馬Anatsa鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anatsa_killchain.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anatsa_killchain.jpeg" style="width: 300px; float: right;" /></a>資安業者ThreatFabric揭露安卓惡意程式Anatsa新一波的攻擊行動，鎖定美國、英國、德奧瑞（DACH）國家而來。駭客自2023年3月，在Google Play市集先上架看似無害的PDF檢視程式、辦公室軟體App，後續趁著軟體改版發布更新時，再將惡意程式碼植入App、散播到已安裝的用戶裝置，一旦安裝，惡意程式碼就會從GitHub下載偽裝成Adobe Illustrator附加元件的Anatsa酬載。</p> <p>舉例來說，當受害者執行這種「後期黑化」的銀行的App時，惡意程式就會在前臺顯示釣魚網頁，並透過側錄使用者鍵盤輸入的內容，收集銀行帳密資料、信用卡資料、付款資料等，進而盜走受害者的存款。研究人員表示，由於相關的交易是從使用者經常操作的設備執行，銀行的反詐欺系統難以察覺有異。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/chrome-114-update-patches-high-severity-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google修補Chrome 114高風險漏洞</span></strong></a></p> <p>Google於6月26日發布電腦版Chrome 114更新版本114.0.5735.198、114.0.5735.199，當中總共修補3個高風險漏洞CVE-2023-3420、CVE-2023-3421、CVE-2023-3422。根據獎金的多寡，最嚴重的是CVE-2023-3420，這是V8的類型混淆漏洞，該公司給予研究人員2萬美元獎勵。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.mirrormedia.mg/story/20230626inv002/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">光學鏡頭龍頭廠大立光工程師帶槍投靠先進光，纏訟11年判決出爐</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/06/japanese-cryptocurrency-exchange-falls.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本加密貨幣交易所遭到macOS後門程式JokerSpy鎖定</span></span></strong></a></p> <p><a href="https://www.crowdstrike.com/blog/falcon-complete-thwarts-vanguard-panda-tradecraft/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Volt Typhoon鎖定關鍵基礎設施發動攻擊</span></span></strong></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/flea-backdoor-microsoft-graph-apt15"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客APT15散布惡意軟體Graphican</span></span></strong></a></p> <p><a href="https://twitter.com/MsftSecIntel/status/1671579358031486991"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT29發動大規模帳密盜竊攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a></strong></p> </div></div></div>
2023/6/28 17:12作者周峻佑https://www.ithome.com.tw/news/157532
金管會8月公布金融科技發展路徑圖2.0，也將揭露金融業運用AI的指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對金融業運用ChatGPT，目前國內尚未有相關規範和指引。金管會綜合規劃處副處長林羲聖昨日（6/27）在例行記者會上表示，未來將會先制定內部政策，再研議訂定運用AI指引或指導原則，預計納入將在八月發布的金融科技發展路徑圖2.0中。</p> <p>林羲聖說明，目前國際監理機關針對金融業使用AI的做法主要是訂定指引或原則，因此，金管會將參考這項作法，先制定內部政策，再研議訂定金融業運用AI的指引或指導原則。</p> <p>此外，金管會也針對金融機構運用ChatGPT情形進行說明。金管會表示，根據四月進行的問卷調查，目前尚未有金融機構正式導入ChatGPT，但其中有兩家正在規劃，八十家處評估階段。金管會綜合規劃處副處長林羲聖說明，金融機構評估應用ChatGPT的領域主要有三，分別為智能客服、內部行政作業與風險管理。</p> <p>林羲聖表示，今天三月，金管會曾發函銀行公會評估生成式AI對銀行產業可能衍生的風險，並要求研議納入「金融機構運用新興科技作業規範」或其他金融業自律規範。此外，F-ISAC也曾針對ChatGPT進行資安威脅分析，並在今年3月30日發布資安防護建議，包括落實漏洞管理機制和、與使用者宣導並實施教育訓練、落實系統安全修補、防堵軟體更新，禁止輸入個人或企業機敏資料，以及驗證此類工具產生的資料或程式碼正確與否。</p> <p>林羲聖提醒，未來進行金融檢查時，將注意金融機構的客戶資料保護相關控管機制。同時，金管會將與時俱進運用監理科技優化檢查作業。</p> <p>此外，今年三月，金管會宣布金融業委外辦法將有重大鬆綁，尤其放寬金融業上雲規定，昨日（6/27）金管會也在例行記者會上宣布，保險局、證期局也將參考銀行局委外作業辦法的修正方式，跟進放寬金融上雲。</p> </div></div></div>
2023/6/28 17:51作者李昀璇https://www.ithome.com.tw/news/157534
加密通訊網路EncroChat被破解3年後，已有逾6,000名嫌犯遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國與荷蘭在歐洲刑警組織Europol與歐洲司法組織Eurojust的協助下，於2020年摧毀及破解了受到犯罪集團青睞的加密網路EncroChat，在進一步分析該加密網路中的1.15億則通訊之後，<a href="https://www.europol.europa.eu/media-press/newsroom/news/dismantling-encrypted-criminal-encrochat-communications-leads-to-over-6-500-arrests-and-close-to-eur-900-million-seized" target="_blank">3年來</a>已於全球逮捕了6,658名嫌犯，扣押或凍結近9億歐元的不法所得。</p> <p>2016年成立的EncroChat為一通訊網路與服務供應商，該公司會改造Android手機與黑莓手機，在裝置上內建各種加密應用程式，從文字傳訊、語音通話到筆記程式等，且裝置上的GPS、攝影機及麥克風都被禁用，還設有緊急按鍵以刪除所有資料。每支EncroChat手機的售價為1,000歐元，6個月的服務合約為1,500歐元。</p> <p class="rtecenter"><img alt="" src="https://www.europol.europa.eu/cms/sites/default/files/styles/900x/public/images/encrochat.png.webp?itok=4jEaHbxZ" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_歐洲刑警組織</span></span></p> <p>法國憲兵隊在2017年發現犯罪集團經常利用EncroChat手機作為加密通訊工具，於是通知了Eurojust與荷蘭，並與荷蘭建立了共同調查小組，再由Europol擔任協商各國調查與逮捕行動的角色。法國在2020年取得了法官的同意，於設於境內的EncroChat伺服器上安裝了惡意程式，可攔截藉由伺服器送出的訊息並記錄用戶密碼，4月即開始監控EncroChat用戶的通訊。</p> <p>EncroChat一直到6月才發現該公司的伺服器遭到滲透，當月即宣布關閉營運，當時EncroChat約有6萬名用戶。</p> <p>這3年來各國警方與司法組織陸續分析了透過EncroChat平臺通訊的內容，於全球逮捕了6,658名嫌犯，其中有197名被列為高價值目標，扣押與凍結了近9億歐元，也查扣了數百公噸的各式毒品、逾900輛汽車、超過270筆的房地產、83艘船、40架飛機，以及大量的武器與彈藥。</p> <p class="rtecenter"><img alt="" src="https://www.europol.europa.eu/cms/sites/default/files/styles/800x/public/images/Website%20-EncroChat_Conf_Social_Media_1600x900%20-%20Numbers.jpg?itok=2g7o2Qbw" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_歐洲刑警組織</span></p> <p>在利用EncroChat的違法行動中，有接近35%屬於組織型犯罪，33.3%為毒品交易，14%為洗錢，謀殺占了11.46%，槍枝交易亦占了6.45%。</p> </div></div></div>
2023/6/28 17:48作者陳曉莉https://www.ithome.com.tw/news/157533
Databricks 13億美元收購生成性AI平臺業者MosaicML
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料Lakehouse基礎架構暨AI平臺商<a href="https://www.prnewswire.com/news-releases/databricks-signs-definitive-agreement-to-acquire-mosaicml-a-leading-generative-ai-platform-301863046.html" target="_blank">Databricks昨日宣布和生成性AI平臺MosaicML達成收購協議</a>。雙方將結合彼此強項協助企業打造及執行自有生成性AI模型。本交易金額近13億美元。</p> <p>創立於2021年的MosaicML最有名的是開源大型語言模型（LLM）MPT-30B及訓練演算法，可供企業下載自行開發訓練語言模型。其MPT-7B版本及最新的MPT-30B下載量達330萬次。AI新創公司包括AI2（Allen Institute for AI）、Generally Intelligent、Hippocratic AI、Replit及Scatter Labs用Mosaic ML開發多種生成性AI解決方案。</p> <p class="rtecenter"><img alt="" src="https://assets-global.website-files.com/61fd4eb76a8d78bc0676b47d/649299a07abed2b0fdeb591f_IMG_1587.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_MosaicML</span></span></p> <p><a href="https://techcrunch.com/2023/06/26/databricks-picks-up-mosaicml-an-openai-competitor-for-1-3b/" target="_blank">Techcrunch報導</a>，MosaicML最初募資金額僅6,400萬美金，最新一輪募得了2.2億美金。而這樁收購使其市值成長了6倍。</p> <p>Databricks指出，企業為了想兼顧使用AI模型及資料安全，往往選擇自行打造、管理及維護自有AI模型。透過Databricks和MosaicML的合併，將可結合Databricks Lakehouse平臺及MosaicML的技術滿足企業需求。根據MosaicML的數據，模型訓練經過自動最佳化，可較標準訓練方式加快2倍到7倍的訓練速度，若再加上幾近直線的資源擴充，數十億參數的模型訓練時間也可從幾天縮短到幾小時。因此結合Databricks及MosaicLM，將可使LLM訓練及使用成本由數百萬降至幾萬美元。</p> <p>雙方表示，結合Databricks整合資料與AI平臺及Mosaic生成性AI訓練功能的平臺，可承載全球最大型企業的資料量，其彈性也能符合各種AI應用場景的需求。</p> <p>在合併後，MosaicML團隊，包括機器學習及神經網路專家都將加入Databricks。而其平臺也會持續獲得Databricks的支援及擴充，長期而言也會整合到Databricks的AI平臺，供企業以自有資料打造和訓練獨有的模型。</p> <p>關於合併時程，雙方表示須依主管機關核准而定。</p> </div></div></div>
2023/6/28 12:27作者林妍溱https://www.ithome.com.tw/news/157525
Google傳放棄開發AR智慧眼鏡，改專注軟體平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當<a href="https://www.ithome.com.tw/news/157200" target="_blank">蘋果以混合實境（MR）頭戴式裝置Vision Pro被期待</a>再度帶動擴增實境（AR）應用風潮，<a href="https://www.businessinsider.com/google-ar-iris-augmented-reality-smart-glasses-2023-6?ref=uploadvr.com" target="_blank">《Insider》</a>報導，Google已終止名為Project Iris的AR智慧眼鏡的開發計畫，而改為專注開發底層軟體平臺，以授權硬體廠商生產。</p> <p>Google Glass計畫失敗數年後，Google在去年I/O大會上，<a href="https://www.ithome.com.tw/news/150876" target="_blank">以影片展示</a>了最新的AR眼鏡開發計畫。這款眼鏡號稱可以為用戶即時翻譯不同語言，並即時以字幕顯示在AR影像的疊加層上，協助跨語言人士交流，甚至支援手語翻譯。<a href="https://www.theverge.com/2022/7/19/23270219/google-ar-prototypes-test-public" target="_blank">《The Verge》去年7月報導</a>，Google計畫2022年7月公開測試這名為Project Iris的專案，還計畫2024年上市。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-google%20ar%20glasses%20at%202022-may.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>或許能即時翻譯、轉錄文字的眼鏡好到不太真實。本周《Insider》引述消息人士報導，Project Iris已經取消；專案小組將縮減計畫野心，將專注開發「微型XR」平臺，並授權硬體廠商生產，一如Android手機生態體系的運作方式。消息人士指出，在新方向下，Google原先規畫的一些設計，如滑雪護目鏡般的智慧眼鏡，仍然會持續開發。</p> <p>Project Iris在去年與今年Google大幅裁員下被迫縮減組織和專案規模，而數名研發大將也離開，包括<a href="https://www.theverge.com/2023/2/8/23591447/google-clay-bavor-head-of-vr-ar-labs-ai-company-bret-taylor" target="_blank">VR/AR主管Clay Bavor今年初離開</a>，和Salesforce共同執行長Bret Taylor共創AI公司。</p> <p>改變策略的決定今年初就可見端倪。今年1月Google Android部門及高通主管<a href="https://www.cnet.com/tech/mobile/samsung-google-and-qualcomm-team-up-on-a-new-mixed-reality-platform/" target="_blank">現身三星Unpacked產品發表大會</a>，宣布三家大廠將合作下一代MR眼鏡，但是產品外觀、規格、推出時程等細節皆未說明。迄今Google MR/AR眼鏡的開發進展曖昧不明；Google高層在今年I/O大會上說，今年下半年會再說明和三星的合作進度。</p> <p>蘋果的Vision Pro雖然獲得媒體及早期試用者稱讚，以及產業界的期盼，但是3,499美元的定價，以及缺乏有力關鍵應用，加上今年景氣持續低迷，一般相信，蘋果能帶動多少AR/MR頭戴式裝置銷量有待觀察。</p> </div></div></div>
2023/6/28 12:41作者林妍溱https://www.ithome.com.tw/news/157526
ChatGPT Plus將可搜尋網際網路，但僅使用微軟Bing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes" target="_blank">OpenAI昨（27）日宣布</a>付費版服務ChatGPT Plus的功能強化，將讓ChatGPT搜尋網際網路，不過僅使用微軟的Bing進行搜尋。</p> <p>OpenAI將為ChatGPT App新增數項功能。一為瀏覽（Browsing）功能，提供Plus版本用戶搜尋網際網路。這項功能會出現在App設定頁中的「新功能」中，用戶啟動後，再於模型切換器中選擇GPT-4，於下拉式選單中選擇「以Bing瀏覽」，即可以Bing搜尋網路上最新資訊。</p> <p>這是ChatGPT最新一項擴充功能。<a href="https://www.ithome.com.tw/news/156095" target="_blank">3月初ChatGPT支援外掛</a>，可使用第三方服務搜尋股價、賽事分數或氣象等即時資訊後，而後在5月下旬，<a href="https://www.ithome.com.tw/news/157018" target="_blank">ChatGPT首度以外掛形式</a>整合到Bing。這些擴充可讓ChatGPT的回應不受限於GPT-4模型訓練資料集。</p> <p>由於<a href="https://www.ithome.com.tw/news/155259" target="_blank">微軟今年1月對OpenAI投資數十億美元</a>，強化微軟產品和OpenAI，因此ChatGPT整合Bing可以理解。微軟5月初全面開放Bing Chat時表示從年初以來，Bing每日經常用戶超過1億人，Bing手機版App安裝量成長了4倍。</p> <p>只是，大部分用戶對ChatGPT使用Bing搜尋可能不會太滿意，畢竟根據<a href="https://gs.statcounter.com/search-engine-market-share/mobile/worldwide" target="_blank">市調公司GlobalStats的統計</a>，截至2023年5月，手機App的搜尋中，Google佔了96.12%，Bing只佔了0.51%，落在Yandex（0.96%）、Yahoo!（0.59%）及百度（0.58%）之後。</p> </div></div></div>
2023/6/28 11:34作者林妍溱https://www.ithome.com.tw/news/157524
Martech雙周報第37期：蘋果進一步限縮自家瀏覽器和App環境身分追蹤可能，進一步增加生態圈精準行銷難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0611~0624</strong><strong style="color: rgb(0, 0, 255);">)</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#瀏覽器隱私</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#Fingerprinting</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#App隱私</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第3方SDK隱私</span></strong></span></p> <p><strong>蘋果推出瀏覽器和App Store新隱私政策，進一步限制身分追蹤功能</strong></p> <p>今年WWDC，蘋果宣布了2項重大隱私權政策更新，分別針對瀏覽器和App環境祭出更多身分追蹤限制，進一步增加外部廣告主在蘋果生態圈進行精準行銷的難度。</p> <p>蘋果自家瀏覽器Safari現在有了隱私瀏覽模式，可以阻擋已知身分追蹤和Fingerprinting資源讀取，以防止網站利用可能侵犯隱私的方法跨域追蹤使用者身分。另外，Safari也會移除URL中具識別功能的追蹤指令，只留下去識別化追蹤。例如，若URL中有身分識別碼跟行銷活動識別碼兩個部分，Safari便會刪掉前者。</p> <p>App隱私方面，蘋果則於自家IDE Xcode中加入隱私清單功能，能讀取開發人員使用的第3方SDK中有哪些隱私相關操作，並整理成一份完整清單。另外，若App有呼叫可能會使用Fingerprinting資源的API，蘋果會強制要求開發者在隱私聲明中說明API用途。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#成效追蹤</span></span></strong></p> <p><strong>全美第二大連鎖超市Albertsons聯合全球廣告巨頭Omnicom、美國互動廣告協會（IAB）發表RMN廣告最佳實踐框架草案</strong></p> <p>零售媒體是近年崛起的一大廣告通路，不過目前沒有統一成效測量標準及建議最佳實踐方法，是行銷業界公認最大挑戰。<a href="https://www.ithome.com.tw/news/154958">儘管美國互動廣告協會（IAB）已經預訂在2024年推出統一標準</a>，但顯然業界已經等不下去了。</p> <p>近日，<a href="https://www.albertsonscompanies.com/newsroom/press-releases/news-details/2023/Albertsons-Media-Collective-Debuts-Preliminary-Standardization-Framework-to-Improve-Transparency-in-Retail-Media-and-Remove-Points-of-Friction-for-Advertisers/default.aspx">全美第二大連鎖超市Albertsons聯合全球廣告巨頭Omnicom和美國互動廣告協會（IAB）等行銷相關的業界代表，發表RMN廣告最佳實踐框架草案</a>，針對廣告規格、成效測量、第3方認證標準、RMN能力指標等4大領域列出建議標準。</p> <p>廣告規格方面，此框架建議RMN廣告規格在能遵照既有IAB廣告格式標準時，就直接準用。這包括展示型廣告、原生廣告、新媒體廣告、數位影像廣告及CTV廣告等。其他獨有格式，例如店面內廣告，再另作規範。</p> <p>成效測量方面，此框架沒有給出具體測量單位，而是建議應規範項目，及訂定正式單位時，應包含顆粒度、格式、歸因時間長度等資訊。成效測量分為2大類規範，分別是廣告遞送和互動（Delivery and Engagement）和轉換及銷售（Conversion and Sales）。前者包括曝光數、曝光頻率、點擊數、完整觀看程度等，後者則有ROAS、新客獲取、舊客活躍、直接銷售轉換等。</p> <p>第3方認證方面，則是建議可以由公正第3方單位提供背書的項目，例如品牌安全、詐騙防治、廣告能見度、與其他同類型廣告放在接近版位的情況等。</p> <p>能力指標方面，此框架列出RMN版位商應揭露的指標，包括精準投放能力、自助式投放能力、行銷活動管理能力、素材管理能力等。</p> <p>Albertsons表示，希望RMN相關的權益關係人加入討論，審視及壓力測試這些標準，以求盡快決議出最終標準並投入業界實務。（<a href="https://s29.q4cdn.com/239956855/files/doc_downloads/2023/FINAL_TheCollective_Whitepaper.pdf">見草案全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Topics API</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#精準行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#使用者隱私</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網頁開發</span></span></strong></p> <p><strong>Google將大幅更新Topics API分眾類別，並提升嵌入Topics網站的讀取速度</strong></p> <p><a href="https://developer.chrome.com/blog/topics-enhancements/">Google要大幅更新瀏覽器隱私計畫Privacy Sandobx的分眾行銷功能Topics API分眾類別</a>，並提升瀏覽器使用者對自己身上的Topics標籤管控權，及提供開發者更不影響網站讀取速度的API呼叫方法。</p> <p>第1個改動是Topics分類調整。Google表示，原本分類中有些標籤與一般廣告會推銷的商品較無關，因此這次移除了160個行銷上低關聯性標籤，例如公民工程，並增加了280個廣告投放可能用到的標籤，如運動服飾。調整後，總Topics分類數有469個。</p> <p>這些分類會有不同從屬關係。過往，API呼叫者必須直接觀察到瀏覽器使用者有造訪過單一標籤相關的網站，才能得知他們對該標籤有興趣，現在則能向上追溯所有上層標籤。例如，靴子上層有購物、服飾、鞋襪等標籤。過往使用者若沒有直接造訪貼上購物或服飾標籤的網站，便不會知道他們身上有這些標籤。現在，只要使用者看過有靴子標籤的產品，就會同時被貼上購物、服飾、鞋襪標籤。這樣一來，廣告主便能更有效的推測使用者購物意圖。</p> <p>另一個更新是，使用者未來將能阻擋特定標籤，來隱藏不願見到的廣告，並使自己身上標籤更準確符合自己喜好。此功能預計明年初推出。</p> <p><a href="https://developer.chrome.com/docs/privacy-sandbox/topics/integration-guide/#call-the-topics-api">開發方面，過往Topics API要在網站中置入有Javascript程式碼的Cross-origin iframe來呼叫，但這有可能降低整體網頁內容讀取速度。近期Google則陸續支援於Header使用Fetch來呼叫Topics API，或直接在Header新增iframe來呼叫API。</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#去識別化追蹤</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#RMN</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#進站途徑分析</span></strong></span></p> <p><strong>OneAD推出產品訊號演算法，能根據廣告版面特性和進站途徑來優化廣告投放</strong></p> <p>廣告技術商OneAD推出名為ProductKey的演算法，可以根據商品特性、廣告版面環境及使用者旅途，來優化網站廣告精準投放。</p> <p>這個演算法的作法是，利用OneAD累積的商品文本字詞庫，來分析商品名稱、通路名稱、功能敘述、潛在使用需求，進而判斷哪些環境與品牌商品高度相關。評估完頁面內容相關度後，演算法會再利用參考使用者進入廣告版位頁面的前一頁，進一步推測使用者意圖。</p> <p>舉例來說，A頁面有許多與汽車相關的字詞，如 SUV、座椅、馬力、油電混合等，因此適合投放汽車廣告。不過，使用者有可能從美妝開箱文、汽車論壇，或新聞網頁點進來A頁面，不同進站途徑代表著不同程度的使用者興趣。</p> <p>此演算法會綜合評估A頁面與前一個頁面，當2個頁面與汽車的綜合關聯性夠高，才會在A頁面呈現出汽車廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告投放</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong></p> <p><strong>The Trade Desk推出新數位媒體購買平臺，用AI優化預算及預測成效，還會測量零售媒體及CTV成效</strong></p> <p>全球最大獨立DSP The Trade Desk推出新的<a href="https://www.thetradedesk.com/us/news/press-room/the-trade-desk-launches-kokai-a-new-media-buying-platform-that-brings-the-full-power-of-ai-to-digital-marketing">數位媒體廣告購買平臺Kokai</a>，主打用AI優化廣告投放多個環節，還延續TTD力推CTV（聯網電視，Connected Television）和零售媒體廣告的戰略，新增跨通路廣告投放測量功能。</p> <p>過往，TTD會用AI來分析廣告投放後的成效，來優化後續投放策略及預算。Kokai則會用AI來分析識別化和去識別化資料，並預測版面曝光成效，以求投放前便能優化行銷預算分配。</p> <p>此平臺也針對近年崛起的2種廣告通路新增了測量功能。其一是可以分析跨CTV和串流媒體廣告成效的功能，其二則是交叉分析線上線下零售通路的銷售金額與廣告主投入的行銷金額，來評估行銷成效。</p> <p>Kokai還推出了新操作介面，用類似於元素週期表的形式來呈現行銷不同階段的操作和資料，以期讓行銷人員更容易找到所需功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PTT.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Google廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DSP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SSP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Ad Exchange</span></span></strong></p> <p><strong>歐盟擬要求Google拆分廣告業務，以避免濫用數位廣告獨霸地位獲得不當營利</strong></p> <p>歐盟執委會認為Google在數位廣告生態系中地位過於強大，且涉嫌利用獨占地位來創造不公平競爭環境，因此建議拆分旗下不同廣告業務，以避免利益衝突。</p> <p>Google從DSP（需求方平臺）、SSP（供應方平臺）到Ad Exchange（雙方交易平臺）都有相關服務，包含2項廣告購買工具Google Ads與DV 360，一個出版商廣告伺服器DoubleClick For Publishers（DFP），以及廣告交易平臺AdX。歐盟懷疑，Google利用這種全面性優勢，暗地讓這些服務非法互惠，若最終執委會認定Google違反公平競爭規定，便會要求依據需求方和供應方拆分廣告業務。（<a href="http://ttps://ec.europa.eu/commission/presscorner/detail/en/ip_23_3207">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LLM</span></span></strong><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;"> #B2B</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong></p> <p><strong>Salesforce推出CRM AI雲服務，同時支援自有及第三方LLM</strong></p> <p>雲端CRM業者Salesforce推出AI雲服務，功能包含行銷端的客戶專屬電子郵件、直銷訊息或廣告撰寫，電商銷售端的個人化推薦生成及顧客購物助理，客服端的客服回答生成及客服紀錄摘要，以及開發端的寫程式、抓Bug等。</p> <p>此AI雲除了支援Saleforce自有的LLM Eistein GPT，還支援第三方LLM，包括AWS、Anthropic、Cohere及ChatGPT。Salesforce也和OpenAI合作聯合內容仲裁，結合使用Salesforce Einstein GPT信任層、OpenAI的企業API和其他安全工具，確保企業資料不會被儲存在Salesforce中，以期降低企業資料外洩疑慮。（<a href="https://www.ithome.com.tw/news/157315">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#UA</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#GA4</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#視覺化分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Looker Studio</span></span></strong></p> <p><strong>Google視覺化分析工具Looker Studio新支援上百項GA 4數據類型</strong></p> <p>隨著行銷分析工具Universal Analytics（UA）7月退場在即，<a href="https://support.google.com/looker-studio/answer/11521624?hl=en#jun-16-2023">Google視覺化分析工具Looker Studio新增了170項UA繼任者GA 4（Google Analytics 4）的支援數據</a>類型，讓企業能在此對網站和App流量等數據進行視覺化分析。</p> <p>Looker Studio是Google自家視覺化數據分析工具，由於GA4和UA的介面和資料呈現邏輯相當不同，有些企業會習慣導入Looker Studio來自行分析。</p> <p>UA自今年7月起會停止蒐集數據，明年7月起便不能再匯出數據。不過，根據網站分析工具BuiltWith，全球使用UA追蹤的網站仍有近3千萬家，而使用GA 4的只有1千萬家。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多MarTech動態：</span></strong></span></p> <p>1. <a href="https://www.businessinsider.com/snowflake-is-building-a-marketplace-for-retail-media-data-2023-6">數據技術商Snowflake要導入RMN用的數據市場，用資料無塵室來交換以確保資料隱私。</a></p> <p>資料來源：iThome整理，2022年6月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/6/28 10:26作者郭又華https://www.ithome.com.tw/news/157516
紅帽不再公開RHEL原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼紅帽（Red Hat）在2020年底決定停止CentOS Linux更新之後，現在Linux發行政策又有重大變更，紅帽上星期<a href="https://www.redhat.com/en/blog/furthering-evolution-centos-stream">宣布</a>不會再將RHEL的程式碼公開到git.centos.org，並且把開源社群的協作能量，轉移到上游的CentOS Stream。紅帽這項政策目的，在於打擊那些單純重新建置RHEL程式碼的Linux發行版。</p> <p>過去整個紅帽Linux生態從上游到下游，依序為Fedora、CentOS Stream、RHEL和CentOS Linux。CentOS最一開始是獨立的開源專案，CentOS Linux的主要來源，來自於RHEL的程式碼，因此又被視為免費的RHEL，紅帽在2014年買下CentOS讓其獨立運作，並在之後才又推出CentOS Stream。</p> <p>紅帽決定停止更新CentOS Linux，使得許多老用戶十分憤怒，認為紅帽摧毀了使用者的信任，而紅帽上周發布決定不再公開RHEL程式碼的消息，紅帽又再次受到網路輿論猛烈抨擊，不只被稱作邪惡，並且認為紅帽轉向閉源軟體。</p> <p>這項政策變動代表紅帽將不再維護git.centos.org上的儲存庫，CentOS Stream將會成為RHEL相關唯一的公開原始碼儲存庫，但這並不影響CentOS專案或是CentOS Stream原始碼的可用性，而紅帽的客戶和合作夥伴，仍可以依據訂閱協議獲取RHEL原始碼，因此對於紅帽客戶沒有太大的影響。</p> <p>由於CentOS Stream是RHEL的上游專案，因此紅帽對於RHEL的更新，也會率先更新到至CentOS Stream，使用者可以更早的看到新功能與更新，但這也意味著CentOS Stream中的程式碼較RHEL更不穩定，畢竟CentOS Stream還是RHEL開發過程的一個環節，需要穩定和成熟程式碼的使用者，便需要更小心地選擇程式碼版本。</p> <p>紅帽在最新的<a href="https://www.redhat.com/en/blog/red-hats-commitment-open-source-response-gitcentosorg-changes">部落格文章</a>，回應用戶對於紅帽不再公開RHEL原始碼的意見，重申紅帽採用開源開發模型的立場，他們會將所有更新程式碼貢獻給上游專案，並且遵守專案所使用包括GPL等開源授權規範。</p> <p>同時紅帽也指出對於此新政策的怒火，來自於想要免費取用RHEL資源，但是又不投入時間、努力與資源的使用者，他們認為用這種態度取用RHEL原始碼有失厚道，如果僅是打包原始碼轉售，沒有在其中增添價值，將無法使開源軟體永續發展。</p> <p>對於直接重建RHEL專案的發行版，紅帽直指這些作為沒有價值，就如同CentOS Linux一樣。這些下游專案皆是從公開的RHEL原始碼建置一個發行版，其使用者便不需要購買RHEL訂閱，就可以獲得RHEL穩定與安全性功能。</p> <p>當初紅帽便是在確認CentOS Linux這樣的RHEL重建版本沒有價值，才選擇關掉停止支援CentOS Linux之後，而諸如AlmaLinux和Rocky Linux這類號稱企業級的Linux發布版，其實也都是RHEL的重新建置版。紅帽停止公開RHEL原始碼也就相當於切斷這些專案的原始碼來源，重點打擊單純重建程式碼的專案。</p> </div></div></div>
2023/6/28 09:26作者李建興https://www.ithome.com.tw/news/157514
【資安日報】6月27日，駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。</p> <p>圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.cyble.com/2023/06/23/trojanized-super-mario-game-installer-spreads-supremebot-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客藉由提供超級瑪利歐遊戲的名義，利用受害電腦運算資源挖礦</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-6-Mario-game-installation-wizard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-6-Mario-game-installation-wizard.jpg" style="width: 300px; float: right;" /></a>資安業者Cyble揭露以提供電玩遊戲超級瑪利歐（Super Mario）的挖礦攻擊行動，駭客重新打包名為Super Mario Forever的遊戲安裝程式，一旦使用者下載執行，在安裝遊戲的過程裡，電腦就會被植入挖礦程式XMR miner、挖礦用戶端程式SupremeBot，以及竊資軟體Umbral Stealer。</p> <p>研究人員指出這起挖礦攻擊並非首例，過往駭客就鎖定電腦玩家，假借提供Enlisted、Afterburner、FiveM Spoofer等遊戲相關的應用程式，其共通點就是看上遊戲玩家電腦具有優於一般使用者電腦的運算資源，用來進行挖礦牟利。</p> <p><a href="https://www.theregister.com/2023/06/22/japan_my_number_security_review/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本數位身分證傳出資料外洩，首相下令進行緊急調查</span></strong></a></p> <p>根據日本時報（Japan Times）報導，日本數位身分證My Number 系統傳出實體卡片寄送錯誤，有2起因姓名相同而被弄錯的情況。總務省表示這些卡片並未遭到濫用，甚至收到新式身分證的民眾也可能不知情，數位大臣河野太郎要求徹底清查此事。</p> <p>對此，日本首相岸田文雄於6月21日發表公開談話時，要求下令政府不只要緊急對My Number資料的正確性進行檢查，並於今年秋天調整相關法令，以及在現行醫療卡廢除過程的寬限期裡，消除民眾對數位身分證的疑慮。</p> <p>資料來源</p> <p>1. <a href="https://www.kantei.go.jp/jp/101_kishida/statement/2023/0621kaiken.html">https://www.kantei.go.jp/jp/101_kishida/statement/2023/0621kaiken.html</a><br /> 2. <a href="https://www.japantimes.co.jp/news/2023/06/20/national/my-number-card-delivery-error/">https://www.japantimes.co.jp/news/2023/06/20/national/my-number-card-delivery-error/</a><br /> 3. <a href="https://www.asahi.com/ajw/articles/14906469">https://www.asahi.com/ajw/articles/14906469</a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/06/23/cisa-adds-five-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兆勤NAS重大漏洞傳出攻擊行動</span></strong></a></p> <p>6月20日兆勤（Zyxel）針對旗下3款NAS設備修補CVE-2023-27992（CVSS風險評分9.8），很快就傳出被用於攻擊行動的情況。美國網路安全及基礎架構安全署（CISA）於23日發布公告，將上述漏洞列入已遭利用漏洞名單（KEV），要求美國聯邦政府及國營企業組織，需在7月14日修補完成。</p> <p>同日CISA也將另外4個漏洞也列入KEV，這些漏洞分別是存在於蘋果裝置的CVE-2023-32434、CVE-2034-32435、CVE-2023-32439，以及存在於VMware Tools的身分驗證繞過漏洞CVE-2023-20867。</p> <p><a href="https://www.bleepingcomputer.com/news/security/lastpass-users-furious-after-being-locked-out-due-to-mfa-resets/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">密碼管理服務LastPass雙因素驗證流程出錯，用戶遭到登出</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，自5月上旬開始，密碼管理系統LastPass的部分用戶帳號遭到鎖定，使用者即使依照指示重置動態密碼產生器App（如Microsoft Authenticator、Google Authenticator），仍然無法存取他們的密碼保管庫。</p> <p>由於聯繫客服需要登入LastPass帳號，使用者一直看到要求重設動態密碼產生器App組態的錯誤訊息，因而陸續上網抱怨無法使用。然而，上述情況發生的原因，其實與LastPass在5月9日表明進行的系統升級有關，該公司近日也提出重新登入系統的解決方法。</p> <p><a href="https://www.bankinfosecurity.com/sec-alleges-solarwinds-cfo-ciso-violated-us-securities-laws-a-22367"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國證券交易委員會傳出打算對SolarWinds財務長、資安長提告，追究2020年軟體供應鏈攻擊事故的責任</span></strong></a></p> <p>根據新聞網站BankInfoSecurity的報導，美國證券交易委員會（SEC）打算對SolarWindws財務長Bart Kalsu、資安長Tim Brown提出告訴，指控在2020年供應鏈攻擊事件中，兩人的因應過程違反證交法。SolarWinds也在6月23日發布8-K表單，明確指出這兩位就是當局追究Orion網路監控系統事件被鎖定的「現任及前任的高階主管與員工」。</p> <p>若是上述的消息屬實，SEC持續採取相關的執法行動，那麼Bart Kalsu、Tim Brown，或其他有關人士有可能面臨罰款，或是面臨禁止擔任上市公司的高階主管及董事的處罰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://grafana.com/blog/2023/06/22/grafana-security-release-for-cve-2023-3128/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">圖像化資料分析解決方案Grafana出現重大漏洞，若不修補可被用於挾持Azure AD帳號</span></strong></a></p> <p>6月22日圖像化資料分析解決方案Grafana發布資安通告，主要是針對重大漏洞CVE-2023-3128推出更新版本8.5.27、9.2.20、9.3.16、9.4.13、9.5.5、10.0.1版，開發團隊也對於雲端版本Grafana Cloud完成相關修補。</p> <p>這項漏洞起因是Grafana根據電子郵件信箱來驗證Azure AD帳號，一旦攻擊者加以利用，就能在採用Azure AD的OAuth身分驗證的Grafana環境當中，且在缺乏allowed_groups的組態設定下，進行身分驗證繞過並接管Azure AD的使用者帳號，CVSS風險評分為9.4，影響6.7.0版以上的Grafana，而對於暫時無法套用更新程式的用戶，他們也提出緩解措施。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟Teams出現漏洞，恐被攻擊者以外部帳號傳送惡意軟體</span></span></strong></a></p> <p><a href="https://www.fortiguard.com/psirt/FG-IR-23-096"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Fortinet修補NAC系統的重大漏洞</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/github-dataset-research-reveals-millions-potentially-vulnerable-to-repojacking"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub儲存庫有可能遭到相依性套件挾持攻擊</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/american-airlines-southwest-airlines-disclose-data-breaches-affecting-pilots/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國航空、西南航空資料外洩，起因是遭遇供應鏈攻擊</span></span></strong></a></p> <p><a href="https://media.defense.gov/2023/Jun/22/2003245723/-1/-1/0/CSI_BlackLotus_Mitigation_Guide.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家安全局推出防禦UEFI惡意軟體BlackLotus的指南</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157467">【6月21日】微軟Azure AD傳出存在OAuth漏洞，可被用於帳號挾持</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157445">【6月20日】竊資軟體Mystic針對瀏覽器、加密貨幣錢包、密碼管理器等應用程式而來</a></strong></p> </div></div></div>
2023/6/27 18:03作者周峻佑https://www.ithome.com.tw/news/157513