iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【2023 CIO大調查：高科技製造IT趨勢2】ESG在IT年度目標排名大躍進，5成高科技製造業CIO優先推動
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1137-gao_ke_ji_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較去年，今年高科技製造業CIO年度目標的排名，出現很大的變化，ESG企業永續目標，從去年排名第10名，今年一口氣躍升了8名，成為第二名，一舉超越了原本名列第二的確保IT穩定和第三的數位轉型，僅次於資安。</p> <p>資安在高科技製造業CIO年度目標中依然排名第一，超過7成CIO列為年度目標。但ESG目標排名的上升，正反應了高科技製造業對於ESG永續的重視程度更甚去年，因此更加需要IT的協助，應對ESG的挑戰。</p> <p>50.6%高科技製造業今年將ESG企業永續列為年度目標，較去年增加超過2成，這個比例更是居於所有產業之冠，當中有近2成的CIO將淨零排放列為年度目標。</p> <p>所有產業中，高科技製造業可以說是最早受到ESG衝擊的產業之一。因此，許多高科技製造業CIO很早就開始利用IT來應對ESG所帶來的挑戰，不過，今年，他們針對ESG挑戰所採取的IT做法上出現了不一樣變化。</p> <p>進一步來看高科技製造業IT因應ESG十大做法，今年高科技製造業的CIO們開始從不同的管理層面利用IT角色來協助公司推動ESG發展。其中，4成的高科技製造業CIO參與了內部ESG績效指標的設計，成為因應ESG的第二大IT做法。另外也有近3成的CIO今年計畫把資訊架構對齊ESG目標，不僅如此，甚至高達2成CIO將加入永續發展委員會，這個比例高於整體產業1成多。</p> <p>今年碳盤查新制上路後，不少高科技製造業財報中都必須揭露完整碳盤查資訊，而且明年還需經過第三方確信，這也反應在今年永續科技採用率的增長，接近4成的高科技製造業CIO優先考慮導入碳盤查或碳足跡監測及管理系統，來強化對碳排放的數據蒐集、監控和管理。另外，近2成CIO要建置視覺化碳足跡儀表板，希望掌握生產過程中的碳排放數據，用於追蹤各項減量目標。此外，約3成CIO開始關注IT永續的發展，來因應ESG永續轉型。</p> <p>值得一提的是，高達2成高科技製造業CIO將AI創新應用與服務列為年度目標。儘管今年整體AI投資減少，使得高科技製造業CIO對於AI技術採用較去年保守，但是針對近來火熱的ChatGPT這類生成式AI技術，也有逾2成CIO今年有意採用。</p> <p>從高科技製造業AI成熟度分布來看，可以觀察到這個產業在AI採用方面逐漸成熟。近1成的高科技業者今年決定擴大其AI應用範圍，還有些企業甚至已經進一步深化和內化AI應用，將其融入核心業務流程中，追求更大的效益和優化營運決策。另外今年計畫或正要開始導入和驗證的企業占比也有近4成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-3(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1137-%E9%AB%98%E7%A7%91%E6%8A%802-600-%EF%BC%94(2).png" style="width: 600px;" /></p> </div></div></div>
2023/7/7 12:00作者余至浩https://www.ithome.com.tw/article/157672
歐盟深入調查Amazon與iRobot收購案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3702" target="_blank">歐盟執委會（European Commission，EC）周四（7/6）宣布</a>，將根據《歐盟合併條例》（EU Merger Regulation）針對Amazon收購掃地機器人製造商iRobot一案展開深入調查。</p> <p><a href="https://www.ithome.com.tw/news/152354" target="_blank">Amazon是在去年8月宣布</a>，將以每股61美元，總價約17億美元收購iRobot。iRobot的創辦人是來自美國麻省理工學院專門研究航太機器人之人工智慧實驗室的畢業生與教授，旗艦產品為Roomba掃地機器人，根據Statista的調查，iRobot在2020年仍遙遙領先其它競爭對手，市占率為46%，居次的則是中國的科沃斯機器人（Ecovacs Robotics），市占率為17%。</p> <p>目前並未有公開報告揭露雙方最新的競爭態勢，不過，<a href="https://investor.irobot.com/static-files/db9d52cb-abe5-4003-bf74-ccb41a8b5d3e" target="_blank">iRobot去年（2022年）的營收為11.83億美元</a>，比2021年下滑了24.4%，而<a href="https://static.ecovacsgroup.com/app/2023-06-05/2e18e704-6863-4bf9-8147-bf74db55e285_2022%E5%B9%B4%E5%B9%B4%E5%BA%A6%E6%8A%A5%E5%91%8A.pdf" target="_blank">科沃斯機器人去年的營收</a>則是153億元人民幣（21億美元），比前一年成長17%。</p> <p>對於Amazon買下iRobot一案，EC的初步調查顯示該交易將讓Amazon得以限制掃地機器人的市場競爭，或是強化其在市集中的地位，特別是Amazon市集是銷售掃地機器人的重要管道，且Amazon有能力阻止競爭對手於市集上銷售相關產品，或是阻止競爭對手存取諸如Alexa或其它Amazon資源，也將取得iRobot用戶資料的存取權限。</p> <p>而深入調查則會進一步探究上述的擔憂是否會成真，預計於今年的11月15日作出決定放行或阻止該交易的決定。</p> </div></div></div>
2023/7/7 12:13作者陳曉莉https://www.ithome.com.tw/news/157675
別低估小眾產品發展潛力
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-wang_lu_xiao_ying_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下雜誌出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原子網路通常是在像青少年或遊戲玩家這樣小眾中建立起來，開始引起關注，還不知道是否會引起主流群體的注意。隨著網路的建立，情況很快就會改變。在這個階段，若你不是目標受眾也無妨。</p> <p>在科技業，最愚蠢的事就是以這種方式低估新產品。經常聽聞有些權威人士說某種產品行不通、不夠有吸引力，或是太過小眾，但很快就被打臉的例子。可以理解，當產品的網路尚未涵蓋到你、你的朋友或同事時，確實很難引起你的共鳴。目標市場看起來小，一旦與你有關聯的人加入其中，你才會覺得這產品也滿適合你的。問題不是出在產品，而是需要將與你有關的人或內容加到網路裡。</p> <p>建立原子網路的第一步是先對它做出假設，愈具體愈好。我的建議是，產品的第一個原子網路盡可能比你想像的更小、更具體。不是一個廣大的用戶群，或者特定的族群，更不是一個城市。比較像是在一個特定時間點，可以聚集幾百個人。就像Uber，現在我們傾向稱呼自己的網路是「舊金山」或「紐約」，但在早期，我們都聚焦在明確、具體的時刻和地點，像是「下午5點在第5街和國王街口的加州列車車站」。駕駛營運部的總經理們有一個內部管理工具，以當時火紅的線上遊戲《星海爭霸》命名，可以點擊一群車輛、送簡訊說：「快去車站，有很多乘客！」然後即時導引駕駛。一旦這些時刻的乘載量穩定下來，討論焦點就會轉移到稍大一些的區域。下一步，再增加東灣與矽谷的郊區。幾年後，我們討論的是整個國家或者歐洲、中東與非洲，乃至亞太市場。但早期，只有關注在如何集中資源，建立儘可能小的網路。</p> <p>如今，商業語彙總是繞著幾百萬的消費者打轉，不論是在談論市場、市場或人口區隔，都是如此。但在啟動新產品網路時，正確做法是選擇一小群人，在對的時間、對的場景，精準地傳遞產品的賣點，不論你要賣的是約會App、電子商務，還是辦公協作產品，都是如此。</p> <p>若你安排過多使用者，反而會增加打造原子網路的難度。有些網路型產品只需要最小規模的原子網路，例如電話、簡訊軟體Snapchat，或者視訊會議產品Zoom。這使得開始變得很容易，只要讓每個新用戶都能找到一位已經在網路中的朋友，或是邀請一位朋友加入，就可以起作用了。難怪這類產品通常是成長最快、使用者黏著度最高的。但這也有缺點：競爭門檻低。對你來說很容易的事，對競爭者來說也是。這也是為什麼在通訊這個大的產品類別下，有這麼多簡訊和聊天產品。</p> <p>我們看看網路效應規模光譜另一端的產品。像是Workday這樣的企業產品，一種財務人資管理工具，需要企業先使用它，才能產生價值。這種情況下，病毒式的成長策略是困難的，一次只有一些使用者慢慢流入，是遠遠不夠的。如果你需要同時有幾百名員工在線，這需要公司出面來協調。在這種情況下，由公司強制、由上而下的銷售模式比較可行。</p> <p><span style="font-size:28px;"><strong>原子網路威力無窮</strong></span></p> <p>從城市到城市、從校園到校園，或者從團隊到團隊，是一個經過無數次驗證有效、威力無窮的成長策略。它將使用者密集且自然地連結起來了，網路效應開始在不同層面上體現：因為使用者更容易找到其他使用者，參與度提升了，病毒式成長啟動了，因為使用者看到朋友和同事都開始使用這項服務。</p> <p>好比美國銀行信用卡的案例，先在一個小城市推出，簽下在地商家，讓客戶採用這款新穎的付費方式。與其把你的努力、資源像塗薄薄的一層花生醬那樣，塗在整個產業或區域上，不如聚焦在一個小的原子網路，讓這個網路可以很快驅散反網路效應。1,000個隨機的Slack用戶，與1,000個都在同一家的Slack使用者，兩者相比，後者的使用者留存率會比較高。</p> <p>原子網路的威力來自於，當你成功打造第1個之後，你大概就能打造第2個，下一次會變得更容易，因為每一個網路都會和下一個網路交織。Slack在一家公司內的成功，有助於它在下一間公司成功，因為員工會流動、為新公司帶入新的工作方式和新的產品。臉書早期在單一校園的成功，讓它在其他校園更加容易成功，因為學生們使用的頻率會愈來愈高。先建立起原子網路，接著就可以在其他市場複製你的成功方程式。</p> <p><span style="font-size:28px;"><strong>為何Twitter、Zoom看來如此簡單，卻能大獲成功？</strong></span></p> <p>Zoom創立於2011年。10年後，我在新冠肺炎肆虐的時刻寫下這本書，Zoom已經成為數百萬專業人士遠距工作不可或缺的工具。</p> <p>它成長得很快，從2019年底的1,000萬使用人次，短短幾個月後，已有超過3億人用Zoom開會，將其估值快速推升到900億美元。</p> <p>但是，為什麼人們沒有在一開始就辨認出Zoom的絕佳產品概念呢？根據創辦人袁征的說法，這想法看起來太簡單了，不過就是個好用的視訊會議軟體，尤其當時WebEx、GoToMeeting、Skype已經佔據了市場。Zoom其實沒有更酷炫的產品功能，它最重要的一個特點就是：可以用。</p> <p>Zoom的價值主張是，透過實現便捷的線上會議，來加強團隊內部和公司之間的網路效應。它允許與會者點一下連接就可以進入視訊會議，而不必輸入一長串的會議代碼或撥入號碼。</p> <p>Zoom是一個網路平台，既有殺手級產品，也有圍繞它建構網路的機制，彼此交織，相互強化。一般人很容易把Zoom的簡約想成是競爭優勢，但事實上，這種簡約很難實現。當客戶無止盡地需索更多的功能，競爭對手也備妥了一長串的功能列表。但我觀察到，具備網路效應產品的一項明顯特徵就是，他們經常會先把一件事做好。是什麼讓Zoom變得特別？如何為網路型產品挑選出一個好的概念？這些想法又和傳統的軟體產品有何不同？</p> <p>具備網路效應產品本質上和其他產品不同，它們能促進用戶彼此的互動體驗，傳統產品則著重用戶和產品本身的互動。具備網路效應產品透過用戶的增加而取得成功，產生網路效應。傳統產品則是倚賴不斷增加產品功能來滿足使用者。這是為什麼即使Twitter和Zoom看起來如此簡單，甚至被批評是「產品功能、而非產品」，後來卻能成功。</p> <p>網路型產品必須平衡多方的需求，不只是買家，還有賣家；不只是內容創作者，也要兼顧觀眾。網路型產品最關鍵的功能通常是讓用戶相互查找和聯繫，不論是透過替相片貼標籤、共享權限，還是「你可能認識的人」清單，讓用戶與平台上的相關成員和內容產生連結，不論是你最愛的線上遊戲直播，或是和你團隊相關的專案領域等。這是傳統產品所欠缺的觀念：用戶體驗的豐富度和深度，取決於彼此的互動，而非產品本身的功能組合。</p> <p>和其他視訊會議軟體最大的不同是，Zoom的極致簡單創造了一個原子網路。畢竟，你只需要兩個人就能用Zoom，使得公司能夠更便捷、頻繁地舉行視訊會議，一天可以開會好多次，完全取代了以往的網路會議或電話會議。Zoom的簡單成為一種優勢。</p> <p>當產品概念和價值這麼容易描述時，它們更容易在使用者之間傳播。就像知名生物學家理察.道金斯（Richard Dawkins）在《自私的基因》(The Selfish Gene)這本我很喜歡的書中創造的「迷因」。你可以複製貼上一個Zoom的連結，就是這麼簡單。<span style="color:#696969;"><strong>（本文摘錄整理《網路效應》，天下雜誌出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%B2%E8%B7%AF%E6%95%88%E6%87%89-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <span style="color:#3399ff;"><strong>網路效應（The Cold Start Problem）</strong></span></p> <p>安德魯．陳（Andrew Chen）／著；王曉玟／譯</p> <p>天下雜誌出版</p> <p>定價：580元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%B6%B2%E8%B7%AF%E6%95%88%E6%87%89_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%A4%A9%E4%B8%8B%E9%9B%9C%E8%AA%8C%E5%87%BA%E7%89%88.jpg" style="width: 200px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下雜誌出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>安德魯．陳（Andrew Chen）</strong></p> <p>19歲即取得美國華盛頓大學應用數學系學士學位，現為美國知名私人風險投資公司Andreessen Horowitz（a16z）的合夥人之一，投資主力放在遊戲、娛樂、電商平台，以及新一代社交產品等領域。曾為Dropbox、Tinder、AngelList等新創企業擔任顧問、天使投資人，也是Substack、Clubhouse、Sleeper等快速成長的新創公司董事會成員。安德魯曾領導Uber的駕駛成長團隊，參與了Uber高速成長期，短短幾年（2015年至2018年），業務量獲得超過10倍的成長。</p> <p>過去10年，安德魯經常撰寫矽谷科技公司及相關產業的商業分析，獲得《紐約時報》、《華爾街日報》、《連線》雜誌等專文刊載，在業界累積了一定的知名度。現居舊金山。</p> </div></div></div>
2023/7/7 00:00未署名https://www.ithome.com.tw/article/157598
日本名古屋港遭勒索軟體攻擊停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本最大貨運量之一的名古屋港口，本周遭到疑為LockBit 3.0勒索軟體攻擊，造成運貨處理作業停擺。</p> <p>去年貨運處理量居全日本之冠的名古屋港貨櫃碼頭從7月4日約早上6:30左右起，主管貨櫃上下貨及港口運作的系統無法作業，迫使港口中止貨櫃集散處理，一直到5日仍未恢復。<a href="https://www.documentcloud.org/documents/23867021-nayoga-notice" target="_blank">名古屋協會昨日緊急公告</a>，已經報警及聯繫專業組織，經判斷為勒索軟體攻擊，他們已著手解決。</p> <p>6日早上，<a href="https://meikoukyo.com/wp-content/uploads/2023/07/5622d834cd44a5084d22af96faa297d4.pdf" target="_blank">協會宣布</a>系統已在7:30恢復運作，預計下午恢復貨櫃裝卸。<a href="https://www3.nhk.or.jp/news/html/20230705/k10014119091000.html" target="_blank">NHK指出</a>，這次事件影響約260家船運公司。</p> <p><a href="https://www.yomiuri.co.jp/national/20230705-OYT1T50220/" target="_blank">讀賣新聞報導</a>，這次事件中，名古屋港運協會電腦被加密，大約100臺印表機也遭到劫持，以英語列印出系統感染勒索軟體的通知，要求協會支付贖金。<a href="https://www.chunichi.co.jp/article/723414" target="_blank">《中日新聞》</a>則報導，駭客使用的是LockBit 3.0。名古屋港去年9月也曾遭到勒索軟體攻擊，當時一個親俄羅斯駭客宣稱犯行。</p> <p>LockBit 3.0是近年危害眾多企業的勒索軟體暨服務（Ransomware as a service）。日前台積電供應商擎昊科技被勒索7千萬美金，可能也是LockBit 3.0所為，<a href="https://www.ithome.com.tw/news/157600" target="_blank">該廠商已坦承遭駭</a>。</p> </div></div></div>
2023/7/6 21:37作者林妍溱https://www.ithome.com.tw/news/157660
【資安日報】7月6日，勒索軟體LockBit攻擊日本第一大港，傳出貨櫃調度系統癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客LockBit繼上週末聲稱入侵了台積電之後，這種囂張的氣燄並未因此減緩，本週該組織疑似針對日本第一大港名古屋港發動攻擊，導致該港口的貨櫃調度系統NUTS暫停運作，後續情況有待進一步觀察。</p> <p>駭客在惡意程式結合不同性質工具的情況，也相當值得留意。有研究人員發現具備竊資軟體（Infostealer）及勒索軟體功能的RedEnergy Stealer，並認為這種惡意程式的出現，代表了勒索軟體攻擊手段發生了變化。</p> <p>各國環保意識抬頭，持續部署綠電，相關的發電系統、設備也隨之受到關注，其中，有研究人員針對已出現漏洞攻擊的太陽能發電監控系統SolarView進行調查，並指出很有可能還有另外2個漏洞也遭到利用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">日本名古屋港傳出因勒索軟體LockBit 3.0攻擊而癱瘓</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cropped-168855017220230705 of trucks Nagoya Port.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cropped-168855017220230705%20of%20trucks%20Nagoya%20Port.jpg" style="width: 300px; float: right;" /></a>根據日本時報、日經新聞、朝日新聞等媒體報導，名古屋港的港口裝卸系統於7月4日上午6時30分出現嚴重系統故障，導致裝卸貨櫃的業務中斷，現場出現貨車排隊等待的現象。</p> <p>名古屋港運協會於7月5日中午12時證實此事，並表示港口的貨櫃調度系統NUTS發生故障，原因就是遭到勒索軟體攻擊，他們預計於當日下午6時執行系統還原作業，並預計於6日上午8時恢復運作（已於6日上午7時30日完成系統復原作業），愛知縣警方著手調查此事。名古屋港務局也證實NUTS系統故障的情況，並指出6日上午貨櫃場週邊交通仍然壅塞。日本時報指出，攻擊港口的勒索軟體，就是LockBit 3.0。</p> <p>此外，由於該港口是豐田（Toyota）汽車主要進出口的樞紐，Toyota也證實零組件運輸受到影響，但尚未影響汽車的生產，他們將密切留意零件庫存的情況。</p> <p>資料來源</p> <p>1. <a href="https://meikoukyo.com/archives/3281">https://meikoukyo.com/archives/3281</a><br /> 2. <a href="https://meikoukyo.com/archives/3296">https://meikoukyo.com/archives/3296</a><br /> 3. <a href="https://www.port-of-nagoya.jp/business/jigyoshashisetsu/1003915.html">https://www.port-of-nagoya.jp/business/jigyoshashisetsu/1003915.html</a><br /> 4. <a href="https://www.japantimes.co.jp/news/2023/07/05/national/nagoya-port-cyberattack/">https://www.japantimes.co.jp/news/2023/07/05/national/nagoya-port-cyberattack/</a><br /> 5. <a href="https://asia.nikkei.com/Business/Technology/Japan-s-biggest-port-Nagoya-hit-by-suspected-cyberattack">https://asia.nikkei.com/Business/Technology/Japan-s-biggest-port-Nagoya-hit-by-suspected-cyberattack</a><br /> 6. <a href="https://www.asahi.com/ajw/articles/14949157">https://www.asahi.com/ajw/articles/14949157</a></p> <p><a href="https://www.zscaler.com/blogs/security-research/ransomware-redefined-redenergy-stealer-ransomware-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">能源產業與電信業者遭惡意軟體RedEnergy Stealer鎖定，不只竊密檔案還會被加密</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RedEnergy-chain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedEnergy-chain.jpg" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露名為RedEnergy Stealer的惡意程式，此軟體同時具備竊資軟體（Infostealer）及勒索軟體的功能（研究人員將這種惡意程式稱為Stealer-as-a-Ransomware），駭客的目標是巴西與菲律賓的公營能源事業、石油、天然氣、電信、機械工業。</p> <p>攻擊者最初利用信譽良好的LinkedIn網頁來引誘目標上當，以網站政策調整為由，要求使用者依照指示更新瀏覽器，然而，一旦下載駭客提供的更新程式並執行，使用者的電腦就會被植入RedEnergy Stealer。</p> <p>此惡意程式會透過FTP通訊協定，將從電腦竊得的資料傳送至雲端服務業者OVH代管的系統，然後把檔案加密並加上.FACKOFF!的副檔名，過程中會刪除Windows備份的資料，以及磁碟區陰影複製（Volume Shadow Copy）的備份檔案，最終留下勒索訊息，向受害者索討0.005個比特幣（約新臺幣4,770元）。</p> <p><a href="https://blog.morphisec.com/guloader-campaign-targets-law-firms-in-the-us"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國法律事務所遭到惡意軟體GuLoader鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Morphisec-GuLoaderInfectionChain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Morphisec-GuLoaderInfectionChain.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露惡意軟體載入工具GuLoader的攻擊行動，駭客主要目標是美國的律師事務所，但也有對於醫療保健業者、投資公司下手的情況。</p> <p>攻擊者透過釣魚郵件挾帶受密碼保護的PDF檔案，並在信件內容提供密碼，引誘收信人開啟檔案，一旦收信人照做，此PDF檔案就會觸發PowerShell指令碼，並解碼、執行另一個指令碼來下載GuLoader的Shell Code，最終駭客透過GuLoader下載惡意程式，並將其酬載注入ieinstal.exe處理程序。</p> <p>在其中一起攻擊行動裡，駭客藉由GuLoader於受害電腦植入木馬程式Remcos RAT，並在過程裡開啟另一個顯示為404錯誤的PDF檔案，來分散使用者的注意。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-tool-exploits-microsoft-teams-bug-to-send-malware-to-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">紅隊演練工具TeamsPhisher鎖定微軟Teams漏洞，能對該項服務的使用者散布惡意軟體</span></strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，美國海軍的紅隊成員發布名為TeamsPhisher的工具，此工具利用英國資安業者Jumpsec揭露微軟Teams的弱點，從而繞過該協作系統的檔案傳送限制，透過外部帳號向使用者散布惡意程式。研究人員以Python打造該工具，攻擊者只要提供附件檔案、想要發出的訊息、目標Teams使用者名單，就有機會藉此散布惡意程式。</p> <p>值得留意的是，Jumpsec向微軟通報上述弱點的時候，微軟認為不符合立即處理的標準，而在Bleeping Computer報導上述紅隊演練工具後，微軟表示該弱點的利用仰賴社交工程攻擊，對此他們呼籲使用者，接受來路不明的檔案傳輸務必要小心。</p> <p>資料來源</p> <p>1. <a href="https://github.com/Octoberfest7/TeamsPhisher">https://github.com/Octoberfest7/TeamsPhisher</a><br /> 2. <a href="https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/">https://labs.jumpsec.com/advisory-idor-in-microsoft-teams-allows-for-external-tenants-to-introduce-malware/</a></p> <p><a href="https://www.verizon.com/business/resources/reports/2023-data-breach-investigations-report-dbir.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客攻入企業而發生資料外洩的事故，有高達近5成的入侵管道是企業遭竊帳密</span></strong></a></p> <p>電信業者Verizon發布2023年的資料外洩調查報告（DBIR），指出大部分的資料外洩攻擊（95%）都與經濟利益有關，相較於前2年比例仍呈現持續攀升的趨勢。此外，有8成的攻擊事件是由犯罪組織發起，他們偏好的攻擊工具以勒索軟體為首選。</p> <p>而這些事故發生的原因，近四分之三（74%）資料外洩事故涉及人為因素，主要是員工遭到社交工程攻擊或是出錯導致。而對於攻擊者入侵受害組織的手法，最主要的途徑是利用遭竊的帳密資料（49%），再者是網路釣魚（12%）和漏洞利用（5%）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://vulncheck.com/blog/solarview-exploitation"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">太陽能發電監控系統出現RCE漏洞，影響範圍恐擴大</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/youtube-crimes.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtube-crimes.png" style="width: 300px; float: right;" /></a><a href="https://www.ithome.com.tw/news/157498#mirai">資安業者Palo Alto Networks揭露針對逾20種物聯網裝置漏洞的殭屍網路Mirai攻擊行動</a>，當中提及駭客利用RCE漏洞CVE-2022-29303（CVSS風險評分9.8），鎖定太陽能發電監控系統SolarView下手，但有研究人員發現，這項漏洞的影響可能遠比先前公布的範圍來得廣泛。</p> <p>資安業者VulnCheck指出，當時研究人員在2019年推出的SolarView 6.00找到漏洞，但根據他們對於受影響的元件進行比對，開發商Contec到了2022年發布的8.00版才做出修補；再者，則是上述的Mirai殭屍網路攻擊並非該漏洞首度被利用，有人在2022年5月利用物聯網搜尋引擎找出含有漏洞的SolarView系統，並將概念性驗證（PoC）攻擊影片上傳YouTube。</p> <p>類似的情況不只有上述漏洞，研究人員指出SolarView還有2個漏洞CVE-2023-23333、CVE-2022-44354（CVSS風險評分皆為9.8），同樣在NIST的美國國家漏洞資料庫登記（NVD）的資料不符實際影響範圍，且都有概念性驗證攻擊程式碼，很可能也被用於攻擊行動。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-22/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 115，修補高風險的記憶體安全漏洞</span></strong></a></p> <p>7月5日Mozilla基金會發布Firefox 115，總共修補了13個漏洞，其中有4個漏洞被列為高風險等級，而且，這些漏洞皆與記憶體存取不安全有關。</p> <p>這些漏洞有2個為記憶體釋放後濫用（UAF）漏洞，CVE-2023-37201可透過建立使用HTTPS通訊協定的WebRTC連線觸發，CVE-2023-37202則是出現在SpiderMonkey元件的弱點。</p> <p>另外2個漏洞為記憶體安全弱點：CVE-2023-37211、CVE-2023-37212，而有可能被攻擊者用於執行任意程式碼。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.infosecurity-magazine.com/news/thirtythree-us-hospitals/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國2023年已有33家醫院遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://nakedsecurity.sophos.com/2023/07/04/ghostscript-bug-could-allow-rogue-documents-to-run-system-commands/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源軟體Ghostscript出現漏洞，有可能被用於執行系統命令</span></span></strong></a></p> <p><a href="https://news.sophos.com/en-us/2023/06/21/the-state-of-ransomware-in-manufacturing-and-production-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">三分之二鎖定製造業的勒索軟體攻擊檔案遭到加密</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157632">【7月5日】竊資軟體Meduza鎖定瀏覽器、密碼管理工具、動態密碼產生器進行搜括</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157624">【7月4日】勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157597">【7月3日】存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利</a></strong></p> </div></div></div>
2023/7/6 16:25作者周峻佑https://www.ithome.com.tw/news/157657
新加坡加強管控加密貨幣產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡金融管理局（Monetary Authority of Singapore，<a href="https://www.mas.gov.sg/news/media-releases/2023/mas-publishes-investor-protection-measures-for-digital-payment-token-services" target="_blank">MAS）周一（7/3）針對數位支付代幣（Digital Payment Token，DPT）服務供應商發表了新規定</a>，要求相關業者必須在今年底前依照法定信託來保管客戶的資料，以降低遺失或濫用客戶資產的風險，同時在DPT破產時協助客戶追回資產。去年的<a href="https://www.ithome.com.tw/news/150911" target="_blank">Luna</a>、<a href="https://www.ithome.com.tw/news/154165" target="_blank">FTX</a>、<a href="https://www.ithome.com.tw/news/154465" target="_blank">BlockFi</a>與<a href="https://www.ithome.com.tw/news/151815" target="_blank">Voyager Digital</a>等幣圈事件無疑加速了各國的立法程序。</p> <p>MAS表示，它們在去年10月公開對外諮詢有關如何保護DPT投資者與市場的監管措施，據此擬定的草案中重點包括隔離客戶與DPT資產，並交由信託保管，保護客戶的資金，每天核對客戶資產並保留適當的紀錄，維護新加坡DPT服務的存取與經營控制權，確保託管功能獨立於其它業務，以及明確地向客戶披露由DPT業者保管資產的風險。MAS並邀請大眾針對該草案提出意見。</p> <p>此外，MAS原本打算繼續限制DPT業者向一般消費者推廣借貸或質押數位資產的服務，認為這類的活動僅適合機構或特定投資人，不過外界對此一提案的意見分歧，認為業者只要明白地揭露風險，消費者即可自行決定，MAS將會斟酌各界的看法採取平衡措施。</p> <p>MAS強調，DPT交易存在極高的風險與投機性質，光是透過監管也無法避免使用者受到損失，提醒消費者必須保持謹慎的交易態度，且若與不受監管的實體交易，將承受失去所有資產的風險。</p> <p>除了新加坡之外，<a href="https://www.fsc.go.kr/no010101/80309" target="_blank">南韓國會也在6月30日通過了《虛擬資產法案》（Virtual Asset Act）</a>，亦是為了建立虛擬資產市場的交易秩序，同時保護虛擬資產用戶。<a href="https://www.info.gov.hk/gia/general/202306/30/P2023063000578.htm?fontSize=1" target="_blank">香港則亦於6月30日設立Web3發展專責小組</a>，負責針對包括虛擬資產在內的Web3領域進行研究並提出政策建議。</p> </div></div></div>
2023/7/6 14:34作者陳曉莉https://www.ithome.com.tw/news/157656
MariaDB股價持續低於1美元，收到NYSE警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2022年12月19日藉由與特殊目的收購公司（SPAC）Angel Pond Holdings Company（APHC）合併而<a href="https://www.ithome.com.tw/news/154803" target="_blank">登上紐約股市</a>（NYSE）的MariaDB，<a href="https://investors.mariadb.com/news/news-details/2023/MariaDB-Receives-NYSE-Continued-Listing-Standards-Notice/default.aspx" target="_blank">在上周宣布</a>，該公司在6月28日收到NYSE的通知，警告MariaDB連續30天交易日的平均收盤價低於1美元，已不符合<a href="https://nyseguide.srorules.com/listed-company-manual/09013e2c8556747d?searchId=1150133367" target="_blank">NYSE上市公司守則</a>的802.01C條款。</p> <p>MariaDB為開源關聯性資料庫MySQL的分支，是為了因應MySQL遭到甲骨文併購而開發的，旨在維持開源並與MySQL相容，它在去年12月19日登上NYSE時，開盤價為11.55美元，但最終以6.7美元作收，此後的股價就未能再超越6.5美元。</p> <p>在截至今年3月底的<a href="https://investors.mariadb.com/news/news-details/2023/MariaDB-Announces-Second-Quarter-Fiscal-2023-Financial-Results/default.aspx" target="_blank">2023財年第二季財報</a>中，MariaDB創下1,350萬美元的營收，成長26%，但虧損了1,190萬美元，每股虧損0.18美元，表現略勝去年同期的1,450萬美元虧損。</p> <p>即使MariaDB執行長Michael Howard強調該公司的營收持續成長，且雲端服務的營收更增加了101%，但似乎沒能留住投資人的信心。</p> <p>低於NYSE上市公司價格標準的企業在收到通知之後，除了必須發布新聞稿對外說明之外，也必須在未來6個月將股價及平均股價拉抬到1美元以上，如果在此一整頓期內的最後一個交易日的股價依然不到1美元，且最後30個交易日的平均收盤價亦未達到1美元，那麼NYSE便會啟動停牌與退市程序。</p> <p>MariaDB則說，此一來自NYSE的通知並不會造成MariaDB立即下市，該公司將會努力於半年內達到NYSE所要求的價格標準。</p> </div></div></div>
2023/7/6 12:31作者陳曉莉https://www.ithome.com.tw/news/157655
Firefox 115將是最後一個支援Windows 7的版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mozilla.org/en-US/firefox/115.0/releasenotes/" target="_blank">Mozilla於本周二（7/4）釋出了Firefox 115</a>，它是個長期支援版本（Extended Support Release，ESR），也是最後一個支援Windows 7/8/8.1，以及macOS 10.12/10.13/10.14的版本。</p> <p>Firefox的版本更新周期與Chrome/Microsoft Edge一致，都是每4周就發表一個新版本，而每隔幾個尋常的Firefox版本就會有一個適用於大量部署的長期支援版本，其維護時間通常會超過一年，上一個ESR版本為去年6月發表的Firefox 102。</p> <p>Mozilla指出，由於<a href="https://www.ithome.com.tw/news/154718" target="_blank">微軟已於今年1月</a>終止對Windows 7/8/8.1的技術支援，代表這些作業系統不會再收到安全更新，不僅是Firefox，Chrome與Microsoft Edge<a href="https://www.ithome.com.tw/news/153801" target="_blank">也都不再支援相關作業系統</a>。另一方面，蘋果雖然並未制定不再修補舊版macOS安全漏洞的官方時程，但其政策一向是支援最新的3個作業系統版本，2020年釋出的10.14，其最後一次安全更新時間是在2021年的7月。這使得Mozilla也假定蘋果不會再針對10.14及更早之前的macOS釋出安全更新。</p> <p>在缺乏作業系統業者的官方支援下，要維護相關平臺上的Firefox成本高昂，而且對使用者來說也是危險的。</p> <p>至於身為長期支援版本的Firefox 115在2024年9月以前，都還能收到Mozilla所提供的安全更新。Mozilla提醒，大多數的瀏覽器都已不再支援這些過時的作業系統，使用者最好升級作業系統以保障自己的瀏覽與系統安全。</p> <p>根據<a href="https://gs.statcounter.com/os-version-market-share/windows/desktop/worldwide" target="_blank">Statcounter</a>今年6月的調查，在全球的Windows作業系統分布中，最新的Windows 11占了23.91%，Windows 10占了71.11%，但依舊有3.43%執行已缺乏官方支援的Windows 7，Windows 8與8.1的占比則皆未超過1%。</p> </div></div></div>
2023/7/6 11:29作者陳曉莉https://www.ithome.com.tw/news/157652
拜登政府傳將限制中國使用雲端服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/articles/u-s-looks-to-restrict-chinas-access-to-cloud-computing-to-protect-advanced-technology-f771613" target="_blank">華爾街日報</a>》報導，美國繼晶片、軟體、量子電腦等技術後，考慮將再針對中國祭出雲端運算服務的技術出口限制，作為反制中國限制稀土金屬出口的回應。</p> <p>報導引述消息人士指出，白宮計畫要求提供美國AI服務的雲端業者，需獲得美國政府授權始得提供服務給中國用戶。Amazon Web Services（AWS）、微軟及Google等公有雲業者將首當其衝。</p> <p>消息人士說，這項新法規旨在堵起美國先進技術輸出的漏洞。過去限制晶片輸出，中國企業無法買到包含美國晶片的伺服器，但是仍然可透過雲端服務存取晶片運算產生的資源。美國政府相信藉由最新禁令，可完全阻斷中國企業存取美國技術的管道。</p> <p>報導指出，一如之前禁令，最新命令也將會由美國商務部執行，可望會在幾個星期內宣布。</p> <p>一般相信美國政府最新禁令是為了反制中國本周宣布的稀土金屬出口管制措施。中國本周宣布將從8月1日正式實施，限制晶片及太陽能電池製程的關鍵原物料鎵、鍺相關物項出口。</p> <p>美國商務部未對此評論。</p> <p>這也是美國為首的集團對中國貿易戰最新進展。幾年來，美國已經陸續對<a href="https://www.ithome.com.tw/news/153537" target="_blank">晶片</a>、<a href="https://www.ithome.com.tw/news/148045" target="_blank">量子電腦技術</a>、作業系統軟體實施出口中國或中國特定組織（如華為）的限制，迫使中國亟力思考技術自主及另闢新採購來源。</p> <p>過去3年中國晶片廠已減少美製元件，改向非美國的供應商如日本、荷蘭與德國採購，日本是全球晶片供應鏈的要角。但<a href="https://asia.nikkei.com/Business/Tech/Semiconductors/Japan-chip-export-curb-to-China-will-take-effect-in-July" target="_blank">日本6月宣布</a>，自7月起，23項生產先進晶片必要的科技設備與材料，將限制只能出國到42個友善國家。此外，<a href="https://edition.cnn.com/2023/03/08/tech/dutch-china-chips-ban-hnk-intl/index.html" target="_blank">荷蘭也在3月</a>及<a href="https://apnews.com/article/netherlands-china-semiconductors-chips-exports-asml-6e8cb7f8095632d4cd9d1cb364652494" target="_blank">上周宣布</a>禁止晶片生產設備進口到中國，預計9月實施。一般認為這些禁令可能影響中國晶片自主計畫。</p> </div></div></div>
2023/7/6 11:49作者林妍溱https://www.ithome.com.tw/news/157653
OpenAI招兵買馬，成立發展超智慧AI管理方案的團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應AI對人類社會可能的危害，<a href="https://openai.com/blog/introducing-superalignment" target="_blank">OpenAI宣布</a>已成立專門團隊開發能駕馭和控管超智慧（superintelligent）AI的方案，並正式公開徵才。</p> <p>這個團隊是由OpenAI共同創辦人Ilya Sutskever及AI治理團隊主管Jan Leike掌理。他們的目標是在4年內發展能駕馭和控管AI的突破性科學及科技。</p> <p>這是OpenAI執行長Sam Altman、Sutskever聯同其他AI公司高階主管5月<a href="https://www.ithome.com.tw/news/157134" target="_blank">聯合簽署聲明</a>後，OpenAI的實際行動之一。該聲明認同全球首要之務，是應設法減緩AI危害人類文明及社會的風險。</p> <p>Sutskever和Leike指出，超智慧（Superintelligence）可能非常危險，可能會侵害人類或造成人類滅絕，目前雖然還很遙遠，但他們相信10年就會來到。管理風險需要新的治理機構及能駕馭或控制超智慧AI，防止它做壞事的方法，但目前並沒有這種技術。現有能控制AI的技術如增強式學習（reinforcement learning）可由人來監控AI，但是人類卻無法穩定監控比人類聰明的AI，因此這些控制方法無法沿用到超智慧，需要有新的突破性科學和技術。</p> <p>這個小組的目標是建立智慧約略等同人類的自動化導正（alignment）研究系統。之後可以用大量運算資源擴充，它就會反覆執行來導正超智慧AI。而為了建立第一步的自動化導正研究系統，他們需要開發可擴充的訓練方法、驗證模型，及進行整個導正流程（pipeline）的壓力測試。</p> <p>這個流程一開始為了提供給模型人類難以評估的任務作為訓練訊號，研究小組計畫以AI系統協助評估其他AI系統（可擴充的監管）。此外，研究人員也想了解和控制模型如何將管理原則擴大到人類無法監管的系統（概括化）。其次，為了驗證系統，研究小組也將自動搜尋有問題的行為及有問題的內部元件。最後，再藉由刻意訓練一些未導正的模型來測試其導正流程，證明他們的方法是否能偵測出最嚴重的未導正情境（對抗測試adversarial testing）。研究小組希望藉著摸著石頭過河，漸漸找出研究優先要務，也可能再增加全新的研究主題。</p> <p>為此，他們正在召募最頂尖的機器學習研究人員及工程師。目前開出的職缺有研究工程師、研究科學家及研究經理等。OpenAI也將撥用20%的運算資源，投入4年來建立超智慧AI的導正和控制方法，也號召業界其他團隊一起投入。</p> </div></div></div>
2023/7/6 11:57作者林妍溱https://www.ithome.com.tw/news/157654
【資安日報】7月5日，竊資軟體Meduza鎖定瀏覽器、密碼管理工具、動態密碼產生器進行搜括
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客打造新的竊資軟體，引起了研究人員關注，原因是這款名為Meduza的惡意程式，駭客不只號稱可挖掘受害電腦各式資料，還強調其行蹤極為隱密，並標榜能迴避大多數防毒軟體的偵測。</p> <p>釣魚郵件攻擊出現了新的手法也相當值得留意，有資安業者揭露以圖片呈現內容的攻擊手法，由於當中沒有文字、URL、附件可供識別，許多郵件安全閘道不會攔截這類釣魚郵件。</p> <p>日前有工程師揭露NPM套件的弱點Manifest Confusion，現在有人提供比對工具，讓開發人員可以確認套件說明及安裝流程是否有所出入。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.uptycs.com/blog/what-is-meduza-stealer-and-how-does-it-work"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Meduza針對近20款密碼管理工具而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MeduzaStealer-Fig5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MeduzaStealer-Fig5.jpg" style="width: 300px; float: right;" /></a>資安業者Uptycs發現駭客在地下論壇、Telegram頻道兜售名為Meduza的竊資軟體，專門攻擊Windows電腦用戶，並標榜大部分防毒軟體都無法察覺其攻擊意圖而放行，此竊資軟體具備搜括受害電腦多種資料的能力，包括上網行蹤、帳密資料、書籤在內的瀏覽器資料（95個），以及加密貨幣錢包（76個）、密碼管理器、雙因素驗證程式也是他們下手的對象。能挖掘密碼管理器資料的竊資軟體Meduza並非首例，但不同的是，此竊資軟體能針對的密碼管理器及雙因素驗證程式，多達19款。</p> <p>駭客刻意未對Meduza的程式碼採用混淆手法，若資安研究人員單靠此種手法的使用來識別其行動，就可能無法順利偵測其為惡意程式，而且該竊資軟體在盜取資料之前會檢查與駭客伺服器建立連接，若是無法連線，該竊資軟體就會立即停止運作，這也使得研究人員追蹤變得更複雜。</p> <p><a href="https://www.inky.com/en/blog/fresh-phish-malicious-qr-codes-are-quickly-retrieving-employee-credentials"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客在釣魚郵件裡運用含有QR Code的圖片，目的是繞過郵件安全系統的偵測</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FreshPhish1-Jun-29-2023-01-30-14-6895-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FreshPhish1-Jun-29-2023-01-30-14-6895-AM.png" style="width: 300px; float: right;" /></a>資安業者Inky揭露新一波的釣魚郵件攻擊，這些郵件的共通點，就是駭客假冒微軟的名義，使用了含有QR Code的圖片，要求收信人利用手機的相機掃描，在指定期限內處理帳號的問題，例如進行帳號驗證、更換密碼、設定雙因素驗證等，且發送信件的來源看起來像是收信人所屬的組織。</p> <p>該公司這次總共發現了545封釣魚郵件，它們針對的目標位於美國及澳洲，產業類型涵蓋非營利組織、財富管理公司、管理顧問、土地測量業者、地板鋪設業者等。</p> <p>研究人員指出，駭客在釣魚信中只用QRCode，且不在信件內文使用文字，而且也沒有附件、URL，由於大部分的郵件安全閘道並不具備辨識這類圖片內容的功能，而無法識別這些圖像具有導引使用者連至其他網站的攻擊特徵。</p> <p><a href="https://www.ithome.com.tw/news/157629"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對測試環境遭到攻擊，擎昊科技再度發出公告，檢討可能原因與承諾後續改善</span></strong></a></p> <p>勒索軟體LockBit在6月30日聲稱入侵台積電，當日台積電表示知悉此事，並指出實際上這起事故是IT硬體供應商遭駭，而被指為受害者的擎昊科技坦承，他們的工程測試環境遭遇網路攻擊，事隔4天<a href="https://www.kx.com.tw/KX_News_Letter_20230704-1">擎昊科技再次針對這起事件進一步說明</a>，主要是針對這次資安事件發生的原因及檢討改進重點，他們列出了三點：測試區環境防火牆版本未即時更新、密碼強度不足、客戶名稱未作適當遮蔽。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">保險業者怡安傳出遭到MOVEit Transfer零時差漏洞攻擊，導致都柏林機場員工個資外洩</span></strong></p> <p>根據The Register、SiliconrePublic等新聞網站的報導，愛爾蘭都柏林機場管理局（DAA）表示，由於第三方服務供應商怡安（Aon）遭到網路攻擊，導致約有2千名都柏林機場員工薪資相關資料遭到洩露，而這起事故疑似就是怡安的MOVEit Transfer伺服器遭到零時差漏洞攻擊導致。</p> <p>DAA強調自己的系統沒有遭駭，並已經通報愛爾蘭資料保護委員會，且為受影響的員工提供相關協助，但並未說明旗下的科克機場是否也遭到波及。對此，怡安並未針對此事發表公開說明。</p> <p>資料來源</p> <p>1. <a href="https://www.theregister.com/2023/07/03/dublin_airport_data/">https://www.theregister.com/2023/07/03/dublin_airport_data/</a><br /> 2. <a href="https://www.siliconrepublic.com/enterprise/dublin-airport-employees-daa-cyberattack-moveit-hack-aon-clop">https://www.siliconrepublic.com/enterprise/dublin-airport-employees-daa-cyberattack-moveit-hack-aon-clop</a></p> <p><a href="https://cardinalops.com/blog/3rd-annual-state-of-siem-detection-risk-report-mitre-attck/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SIEM的警示規測僅能涵蓋約四分之一MITRE ATT&CK的攻擊手法</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/siem-image2-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/siem-image2-1.png" style="width: 300px; float: right;" /></a>資安業者CardinalOps針對Splunk、Microsoft Sentinel、IBM QRadar、Sumo Logic等市面上的資安事件管理系統（SIEM）進行調查，分析逾4千個偵測的規則、近100萬個事件記錄來源、數百種事件記錄來源。</p> <p>結果發現，雖然目前SIEM收集的事件記錄資料足以分析約94%的MITRE ATT&CK攻擊手法（全部約196種），但實際上企業建置的SIEM系統僅能針對約24%攻擊手法發出警告，且其中有12%的SIEM規則可能因收集的資料品質不佳，而永遠不會被觸發。</p> <p>此外，研究人員指出，企業對於端點電腦、網路、身分驗證管理系統、電子郵件已有高度監控，但對於容器環境的部分卻遠遠不足，僅有32%。</p> <p><a href="https://www.cna.com.tw/postwrite/chi/345432"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超過5成臺灣企業認為不安全的物聯網裝置是最嚴峻的資安挑戰</span></strong></a></p> <p>資安業者Palo Alto Networks針對臺灣資安現況進行調查，指出企業面臨最嚴峻的挑戰依序為不安全的物聯網裝置（52%）、多元化資安解決方案的需求（45%）、依賴雲端服務和應用程式帶來的新風險（43%）。</p> <p>這份調查報告也提及臺灣企業的四大資安策略，這些策略首當其衝的是身分識別與存取管理（45%），其次是採用雲端資安管理（43%）、端點安全防護（37%），以及改善威脅偵測與關聯系統或平台（33%）。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-python-tool-checks-npm-packages-for-manifest-confusion-issues/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">針對NPM套件的Manifest Confusion弱點，研究人員推出Python打造的檢測工具</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/npm-manifest-check-test.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/npm-manifest-check-test.png" style="width: 300px; float: right;" /></a>6月底前GitHub工程師Darcy Clarke提出警告，<a href="https://www.ithome.com.tw/news/157555#manifest-confusion">NPM套件庫存在可被用於供應鏈攻擊的弱點Manifest Confusion</a>，發布軟體的駭客作者可故意顯示沒有相依的其他套件資訊，但開發者實際安裝套件的過程裡，這些套件卻依照package.json的指令，下載惡意相依套件，或是執行惡意指令碼來發動攻擊。對此，<a href="http://github.com/panki27/npm-manifest-check">資安人員Felix Pankratz於7月2日發布了檢測工具</a>，此工具以Python打造而成，能夠比對NPM套件安裝指令碼與說明資訊是否一致，進而察覺套件裡是否存在相關弱點。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.morphisec.com/guloader-campaign-targets-law-firms-in-the-us"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國法律事務所遭到惡意軟體GuLoader鎖定</span></span></strong></a></p> <p><a href="https://www.sentinelone.com/blog/neo_net-the-kingpin-of-spanish-ecrime/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">墨西哥駭客鎖定全球銀行用戶散布安卓惡意程式</span></span></strong></a></p> <p><a href="https://www.darkreading.com/dr-global/israel-aided-uae-in-defending-against-ddos-attack"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">以色列協助阿拉伯聯合大公國緩解DDoS攻擊</span></span></strong></a></p> <p><a href="https://blog.aquasec.com/2023-nautilus-cybersecurity-report-insights-revealed"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">無檔案攻擊手法一年內增加14倍</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157624">【7月4日】勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157597">【7月3日】存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> </div></div></div>
2023/7/5 16:37作者周峻佑https://www.ithome.com.tw/news/157632
台積電供應商擎昊科技更新資安事件說明，提出事後三大檢討
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前勒索軟體LockBit駭客在6月30日聲稱入侵台積電，當日台積電指出已知悉IT硬體供應商遭駭，而被指為受害者的擎昊科技坦承遭駭，相隔4天，擎昊科技再次針對這次資安事件，說明了更多狀況。</p> <p>在30日首次資安事件公告中，擎昊科技已經說明了初步的調查，包括該公司是在29日遭到網路攻擊，受影響的範圍是該公司為客戶準備系統安裝環境的工程測試區，同時也表示被截取的資訊中，因使用到特定客戶的公司名稱，因而引起網攻團體的注意，並試圖經此途徑取得客戶之機敏資料。</p> <p>同時，也說明了這次事件的影響，指出被擷取的資訊並無關客戶的實際應用，僅為出貨時安裝設定檔等參數資訊等基本設定，目前沒有造成客戶的損害，客戶也並未因此遭駭。</p> <p>從上述兩家公司回應來看，也就是說，勒索集團LockBit入侵擎昊科技內網後，發現有台積電TSMC的資料，駭客便對外宣稱，已經成功入侵並竊取到台積電的資料。</p> <h2><strong>擎昊科技4日發布更新公告，提出事後三大檢討</strong></h2> <p>4日，擎昊科技針對該公司遭遇的資安事件，<a href="https://www.kx.com.tw/KX_News_Letter_20230704-1">發布更新公告</a>，當中給出了更多在事後復原與檢討方面的資訊。</p> <p>根據擎昊科技公告的內容，這次新揭露的部分，主要是針對這次資安事件發生的原因及檢討改進重點，他們列出了三點：第一，測試區環境防火牆版本未即時更新，第二，測試區密碼強度不足，第三，區內之客戶名稱未作適當的遮蔽。</p> <p>其中，關於第一點的測試區環境防火牆版本未更新，是這次新提到的部分。從這樣的內容來看，或許有可能是造成這次事件、攻擊者入侵初期（Initial Access）的發動管道。而這也顯現及時更新修補的重要性，畢竟近來各家防火牆業者都持續釋出安全性更新，而用戶能否及早因應也很重要。</p> <p>而第二點是關於密碼強度不足的部分，先前我們從匿名資安專家提供的駭客外洩截圖中，已經看到這方面的問題。像是在一張ilo記事本截圖的登入資訊中，似乎有弱密碼的情況，登入帳號是admin、密碼是password；還有一張截圖是列出一批可用HTTPS連入的網址，部分網址後面還列出「root P@ssw0rd」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/3(59).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/3(59).jpg" style="width: 600px;" /></a></p> <p><strong>在先前對於這次事件的報導中，匿名資安專家指出Lockbit公布的一張ilo記事本截圖的登入資訊，包含像是登入帳號是admin、密碼是password的情形。這也呼應擎昊科技更新公告中指出測試區密碼強度不足的問題。</strong></p> <p>至於第三點，區內的客戶名稱未作適當的遮蔽，從駭客外洩截圖確實可以看到，測試區的虛擬機器名稱，包含了國內企業TSMC、俊昇、智禾、鍵祥、英寶、巨路、精誠、安極思等廠商名稱的字樣。這也代表擎昊科技會針對這方面做改善，不過這裡未說明具體採行方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/推特3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A8%E7%89%B93.jpg" style="width: 600px;" /></a></p> <p><strong>另一張Lockbit駭客外洩截圖則看到虛擬機器名稱，國內企業TSMC、俊昇、智禾、鍵祥、英寶、巨路、精誠、安極思等廠商名稱的字樣。而這也呼應擎昊科技更新公告中提及客戶名稱未作適當的遮蔽的情形。</strong></p> <p>同時，在這次新的公告中，擎昊科技也表示，除了上述三點的檢討與補正，同時也將強化資安防護，規畫調整資安規範與網路架構，並確保內部環境資訊安全與即時監控。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-04_193054(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-04_193054(1).jpg" style="width: 600px;" /></a></p> <p><strong>擎昊科技於7月4日發出資安事件更新公告，在新的揭露資訊中，主要增加的是第六點的原因檢討與改善，當中說明他們這次事件的肇因有三，包括：測試區環境防火牆版本未即時更新，測試區密碼強度不足，以及區內之客戶名稱未作適當的遮蔽。</strong></p> <p>另外，從先前台積電與擎昊科技6月30日的回應來看，已呈現出LockBit本次公布受害者身分卻與事實不符，到了7月4日，除了擎昊科技發布本次資安事件的更新公告，勒索軟體Lockbit駭客也在4日調降勒索價格並緊急宣布公開所有資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-30_150026.jpg" style="width: 600px;" /></p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-04_123051.png" style="width: 600px;" /></h3> <p><strong>原先Lockbit在6月30日要求受駭企業支付7千萬美元等值比特幣或門羅幣等虛擬貨幣，8月6日前若沒有支付贖金，會公開相關資訊。在7月4日我們發現Lockbit已經更新了勒索的價格，大幅降低變成10萬美元並且是緊急公開資料。似乎可能是他們隔了四天才意識到，這批資料並非台積電的資料。</strong></p> </div></div></div>
2023/7/5 12:18作者羅正漢https://www.ithome.com.tw/news/157629
Meta推Threads服務和推特打對臺，7月6日上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta醞釀挑戰推特。Meta旗下Instagram（IG）將推出一款名為Threads的社交App以挑戰推特（Twitter），預定本周四（7/6）上線。</p> <p>眾多媒體（<a href="https://www.theverge.com/2023/7/3/23783227/meta-instagram-threads-twitter-competitor-app-store" target="_blank">The Verge</a>、<a href="https://techcrunch.com/2023/07/03/threads-instagrams-twitter-competitor-is-expected-july-6/" target="_blank">TechCrunch</a>、<a href="https://www.theguardian.com/technology/2023/jul/04/threads-app-instagram-twitter-competitor-meta-to-launch-rival" target="_blank">The Guardian</a>）發現，Threads的iOS及Android版App本周稍早在蘋果<a href="https://apps.apple.com/us/app/threads-an-instagram-app/id6446901002" target="_blank">App Store</a>及<a href="https://play.google.com/store/apps/details?id=com.instagram.barcelona&gl=it&pli=1" target="_blank">Google Play Store</a>上線。根據IG官方的描述，Threads為基於文字的對話App，提供社群討論各種主題或明日趨勢，用戶可以關注或聯繫他所喜愛的創作者，也可以建立自己的忠實追隨者、分享自己的想法、觀點和創意。</p> <p>雖然Threads App還沒上線，但Meta已經在IG App上開始推銷。在IG App搜尋欄位中打入threads，結果會出現一個類似票券的圖示。點入該圖示會跳出一個不停旋轉的數位票券，上面預設顯示使用者的用戶IG名稱及7月6日的上線時間（為美東時間的早上10:00，臺北時間為當日下午6:00），用戶還可以看到倒數時刻表。此外，數位票券還附有QR碼可連到threads.net的網頁。</p> <p>Meta顯然是在趁推特（Twitter）近來種種措施招致用戶不滿之際，藉機吸引用戶轉移陣地。上周推特執行長馬斯克宣布將對未付費的用戶祭出每日存取貼文數上限，在用戶反彈下，經過驗證的帳號每天可存取8,000則推文，未經驗證的用戶和新申請、未經驗證的帳號每日存取貼文上限各為800及400則。雖然馬斯克澄清是因為有數百組織對推特貼文進行網頁抓取，不過仍引發外界解讀為想迫使用戶付費。</p> <p>其他想取代推特的新社交App還包括Bluesky、Mastodon。其中以推特創辦人Jack Dorsey參與開發的Bluesky最受人期待。4月以邀請制開放限定測試，用戶必須加入官網上的等候清單才能拿到邀請碼開始試用。到6月底，Bluesky用戶超過18萬人，但在等候清單上排隊的人高達190萬。或許是因為馬斯克宣布最新存取上限，Bluesky官網上周五一度<a href="https://www.ithome.com.tw/news/157614" target="_blank">出現效能問題</a>而暫停接受新用戶註冊。</p> <p>Mastodon創辦人暨執行長<a href="https://mastodon.social/@Gargron/110651189724634163" target="_blank">Eugen Rochko</a>則說，他的App經常用戶數到上周末來到29.4萬人。</p> </div></div></div>
2023/7/5 12:50作者林妍溱https://www.ithome.com.tw/news/157630
Google變更隱私條款，以合法蒐集用戶公開資訊訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI聊天機器人若想愈來愈貼近用戶喜好，需要大量蒐集資料來訓練底層的AI模型。Google上周六悄悄變更了隱私政策，以便它能蒐集用戶貼文等公開資訊訓練AI模型而不致被告。</p> <p><a href="https://gizmodo.com/google-says-itll-scrape-everything-you-post-online-for-1850601486" target="_blank">根據媒體發現</a>，Google隱私權政策變更的部分在該公司可公開存取的來源。過去，Google告知，他們可能會蒐集網路上或其他公開來源的資訊，「用以訓練Google語言，並開發像是Google翻譯等功能」。在最新變更下，這段文字已改成「用以訓練Google的AI模型，及開發像是Google翻譯、Bard和Cloud AI等功能」。</p> <p>這段文字意味著Google用戶上傳公開網站的資訊，都會被用來訓練其AI產品。</p> <p>要使用Google Bard必須登入Google帳號。而Bing Chat是允許不登入微軟帳號使用，但每次對話僅限5次查詢。ChatGPT也需要有OpenAI帳號使用，但透過Bing Chat使用ChatGPT則無需OpenAI帳號。</p> <p>這項變更是否能讓Google避免官司有待觀察。上周微軟和OpenAI才因從公開網路上蒐集私人資訊，遭到加州用戶的集體控告。原告指稱OpenAI、微軟等的AI聊天機器人ChatGPT在未獲得用戶同意下，從網際網路暗中蒐集大量個資。歐盟根據GDPR實行嚴格限制，讓美國科技業者吃盡苦頭，包括多次巨額罰款。<a href="https://www.ithome.com.tw/news/157619" target="_blank">歐盟近日也要求</a>當地電商平臺停用Google Analytics，理由是Google Analytics會蒐集歐盟用戶個資並回傳美國。</p> </div></div></div>
2023/7/5 13:06作者林妍溱https://www.ithome.com.tw/news/157631
ChatGPT的Browse with Bing被用來繞過付費牆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/8077698-how-do-i-use-chatgpt-browse-with-bing-to-search-the-web" target="_blank">OpenAI於本周一（7/3）宣布</a>，ChatGPT Plus中的一項測試功能Browse with Bing因被使用者用來繞過網站的付費牆，決定暫時關閉該功能以進行修補，讓此一<a href="https://www.ithome.com.tw/news/157524" target="_blank">上線</a>不到一周的服務停擺。</p> <p>OpenAI是在<a href="https://www.ithome.com.tw/news/155347" target="_blank">今年2月發表付費的ChatGPT Plus</a>服務，每月的訂閱費用為20美元，可優先存取ChatGPT，於尖峰時段穩定使用ChatGPT Plus服務，也可率先使用各種新功能，而Browse with Bing即是上周推出的新功能之一，結合Bing與ChatGPT來協助使用者搜尋全球網路，以讓使用者可取得訓練模型之外的最新資訊。</p> <p>不過，OpenAI指出，Browse with Bing有時會以它們不想要的方式來呈現內容，例如當使用者要求某個URL的全文時，它可能會在無意中滿足該請求。</p> <p>事實上，專門分析各式AI專案的《<a href="https://twitter.com/AiBreakfast/status/1673350504162955266" target="_blank">AiBreakfast</a>》在6月26日就發現了Browse with Bing具備繞過付費牆的能力，可用來取得Fortune Magazine的付費內容，隨後負責微軟廣告及網路服務的<a href="https://twitter.com/MParakhin/status/1673722952045723648" target="_blank">Mikhail Parakhin即回應</a>，微軟在Bing Chat中採取了防範機制，只要出版商有設定付費牆信號，那麼就不會在提供給使用者的答案中曝露付費牆內容，當時Parakhin也說會請OpenAI重新確認此事。</p> <p>現在OpenAI即決定暫時關閉Browse with Bing功能以進行修補，亦說會儘快讓該功能重返崗位。</p> </div></div></div>
2023/7/5 11:39作者陳曉莉https://www.ithome.com.tw/news/157627
美國法官禁止聯邦政府官員聯繫社交平臺業者以移除特定言論
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://s3.documentcloud.org/documents/23867004/08917380420.pdf" target="_blank">美國路易斯安那州的法官Terry Doughty在本周二（7/4）下達了一項禁令</a>，初步禁止美國聯邦機構與政府官員聯繫社交平臺業者，並要求它們刪除或減少特定言論，因為它們很可能違反《美國憲法第一修正案》對言論自由的保護。多名律師向<a href="https://www.wsj.com/articles/judge-rules-biden-administration-likely-trampled-on-free-speech-on-social-media-29334362?mod=djemalertNEWS" target="_blank">《華爾街日報》</a>（Wall Street Journal，WSJ）表示，這是第一次有聯邦法官對美國政府與網路平臺之間的溝通設下如此廣泛的限制。</p> <p>此案源自於美國密蘇里州、路易安那州及多名專家學者所提出的指控，他們認為拜登政府培育了一個龐大的聯邦審查機構，企圖抑制美國言論，要求社交網站移除或減少異見，不管是美國總統大選，COVID-19疫情的來源、封城或口罩政策，美國經濟狀況或是有關拜登的負面消息。</p> <p>例如曾在疫情期間主張減少對低風險族群限制，利用群體免疫力來對抗疫情的生物統計學家Martin Kulldor也是原告之一，他認為要求每個人都必須接種疫苗的想法在科學上是有缺陷的，但相關貼文卻遭到Twitter審查，Kulldor與另一名醫學專家Jay Bhattacharya也曾質疑要求幼童戴口罩的必要性，但有關此一討論的影片直接被YouTube下架。</p> <p>原告們宣稱，拜登政府透過電子郵件、公共或私人訊息、公開或私人會議，以及其它各種手段來鼓勵或強迫社交媒體平臺，要求它們壓制其平臺上的內容。</p> <p>另一方面，拜登政府則說，它們只是採取必要與負責任的行動來處理有關疫情，以及外國政府企圖干預美國選舉的消息，但否認介入社交網站的言論自由。</p> <p>此案的被告涉及眾多美國聯邦機構與政府官員，像是美國衛生及公共服務部（Health and Human Services，HHS）、美國疾病管制與預防中心（Centers for Disease Control and Prevention，CDC）、網路安全暨基礎設施安全局（CISA）、國土安全部（DHS）、聯邦調查局（FBI）、美國食品藥物管理局（U.S. Food and Drug Administration，FDA）等，以及美國總統拜登（Joe Biden）與多名政府官員。</p> <p>法官Doughty在長達155頁的裁決書中指出，他相信原告很可能成功證明美國政府利用其權勢來抑制反對聲浪，而這些每一個被壓制的言論都是保守的，而此一針對保守思想的針對性即是政治言論觀點歧視的完美例子，美國公民有權就影響國家的重要議題進行自由辯論，因而同意核發初步禁制令。</p> </div></div></div>
2023/7/5 11:56作者陳曉莉https://www.ithome.com.tw/news/157628
【資安月報】2023年6月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年6月的資安新聞中，以勒索軟體攻擊與供應鏈攻擊為主要焦點。</p> <p>在國內方面，首要焦點就是勒索軟體Lockbit駭客在6月30日聲稱，台積電成為他們的受害者，當日台積電否認遭駭，並表示已注意到一家合作IT硬體供應商發生資安事故，並已依照標準作業程序來處置。而關於這家IT硬體供應商的身分，媒體報導指向擎昊科技，後續，擎昊科技在同一日發布資安事件的公告，說明遭遇網路攻擊並被擷取相關資訊的環境為工程測試區，主要是出貨的基本設定等參數資訊流出，而因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，並指出這些資訊無關用戶的實際應用。這起事件的發生，有可能是攻擊者搞錯攻擊對象，但多少反映供應鏈安全的議題，也提醒我們勒索軟體組織近年時常針對供應鏈發動攻擊，從供應鏈脆弱的環節著手的態勢。</p> <p>關於Lockbit的危害，其實這兩年新聞已經是不斷，值得留意的是，今年6月中旬，多國網路安全機構對其發出聯合安全公告，指出近三年來，Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），而當中也剖析了LockBit的攻擊步驟，並提供攻擊流程各階段的防護緩解措施。</p> <p>此外，在我們盤點這一個月的臺灣重大資安消息時，新發現國內上櫃公司、主推GPS相關應用的<a href="https://s4.itho.me/sites/default/files/images/2023-06-29_182021.jpg">環天世通科技（環天科），在6月19日發布資安事件重大訊息</a>，說明公司發生部分資訊系統遭受駭客網路攻擊的狀況。</p> <p>在國際方面，5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊爆出後，這起軟體供應鏈攻擊的事件，所造成的災情在整個6月變得更加顯著，隨著後續消息不斷揭露，曝光的受害企業是越來越多。</p> <p>當中備受矚目的受害者包括：英國電信主管機關Ofcom、英國航空、BBC、愛爾蘭航空、藥妝連鎖Boots、薪資軟體服務商Zellis，石油巨擘Shell，以及美國能源部等多個聯邦與州政機關受害，而在後續勒索軟體組織Clop陸續公布的受害名單中，還包括資安業者Gen Digital、以及美國多個金融、醫療領域的公司與組織，最新還出現德國西門子能源公司、法國施耐德電機等。</p> <p>由於美國受害單位眾多，這也引發美國國務院外交安全局在其正義獎勵計畫中，祭出了千萬懸賞，鼓勵外界舉報幕後攻擊者的資訊。而根據微軟的調查指出，這波攻擊與發動Clop勒索軟體的駭客組織有關，攻擊背後應是Lace Tempest（又名DEV-0950、FIN11與TA505等）的駭客組織所為。此外，我們也找到研究公司<a href="https://konbriefing.com/en-topics/cyber-attacks-moveit-victim-list.html">Kon Briefing的網站</a>，他們設立了專頁整理、統計受害者的資訊，當中顯示有20多國、逾170家公司或組織受影響，美國數量最多，其次為德國、英國。</p> <p>其他重要資安焦點新聞方面，包括：本月歐洲議會針對AI法《AI Art》草案的投票通過，即將成為全球第一個人工智慧法案，將針對某些可能嚴重影響人類安全的AI應用予以禁止，並設計AI風險等級，用以規範開發商與採用組織的義務；關於MITRE發布的CWE通用弱點列表，近日公布2023年版最常見且危險的軟體安全缺陷，占據前三名的是越界寫入的CWE-787，XSS的CWE-79，SQL Injection的CWE-89，特別的是，使用已釋放記憶體（Use After Free）的CWE-416比去年上升三名。還有像是Google發表了安全AI框架（Secure AI Framework，SAIF），美國CISA、NSA發布了伺服器基板管理控制器（BMC）的安全強化指南。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/157277"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月5日到6月9日</span></a></strong></h2> <p>在這一週的漏洞消息中，有3個重點，首先是Google釋出新版Chrome修補零時差漏洞CVE-2023-3079，這是一個Chromium的V8類型混淆漏洞，該公司指出已出現攻擊行動，另一是上週（６月１日）有資安業者警告，攻擊者可能利用Zyxel新修補的漏洞CVE-2023-33009、CVE-2023-33010，如今也被美國CISA列入已知漏洞利用清單。另外值得注意的是，有研究人員示警，微軟4月修補的一項Visual Studio漏洞，是容易被利用的漏洞，恐被用於滲透開發環境。</p> <p>在攻擊活動與威脅態勢方面，最大焦點，是5月下半針對MOVEit Transfer零時差漏洞的攻擊事件，受到多家資安業者關注，並揭露後續消息，包括其攻擊背後是勒索軟體駭客組織Clop所發動，以及受害企業可能達百家之多，還有攻擊者可能在2年前就發現了漏洞，經長期測試後才根據排程發動攻擊。另外，我們在整理事件後續進展時，新發現已有資安調查業者整理與公告事件<a href="https://github.com/curated-intel/MOVEit-Transfer">相關脈絡</a>。</p> <p>關於勒索軟體持續與中國駭客組織的消息不少。在勒索軟體方面，包含0mega鎖定企業用SharePoint Online，以及Cyclops結合竊資軟體功能的揭露：在中國駭客攻擊方面，有多家資安業者揭露不同組織的新動向，分別是Camaro Dragon利用後門程式TinyNote鎖定東南亞外交單位，PostalFurious鎖定星、馬，甚至阿拉伯國家發動網釣簡訊攻擊，以及SharpPanda透過Office方程式編輯工具老舊漏洞的攻擊行動，已從東南亞擴散至G20國家。</p> <p>另外還有3個威脅活動也值得關注，包括資料流自動化處理系統Apache NiFi遭駭客鎖定，殭屍網路TrueBot鎖定稽核軟體Netwrix重大漏洞，以及PowerDrop的PowerShell惡意程式鎖定美國太空產業部署RAT的揭露。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157409"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月12日到6月17日</span></a></strong></h2> <p>在這一週的漏洞消息中，在漏洞利用方面，有兩個需優先注意，首先是Fortinet修補其防火牆產品的SSL VPN漏洞CVE-2023-27997，已被美國CISA列入已知成功利用清單，另一是VMware ESXi一項CVSS評分為3.9分的零時差漏洞CVE-2023-20867被中國駭客UNC3886運用於最新攻擊的揭露，VMware亦於同日釋出修補。</p> <p>在漏洞修補方面，微軟釋出6月例行性安全更新以修補近80個漏洞，還有多家科技大廠發布安全性更新修補公告，包括Progress、SAP、西門子、施耐德電機等。</p> <p>國際間還有4項值得關注的重要資安事件，包括瑞士國家網路安全中心（NCSC）公布，該國聯邦機構與國營企業的網站遭俄羅斯駭客組織NoName攻擊；韓國國家情報院（NIS）警告，北韓駭客偽冒韓國最大入口網站Naver，透過即時鏡像複製Naver網站內容、並註冊以NAVER混淆的相近網域名稱；以及智利軍隊遭勒索軟體攻擊的揭露。</p> <p>此外，前陣子的2起重大資安事件有新消息，包括遭遇MOVEit Transfer零時差漏洞攻擊的受害者名單陸續浮上檯面，以及針對Barracuda郵件安全閘道零時差漏洞的攻擊，疑為中國駭客組織UNC4841所為。在其他威脅態勢方面，有中國駭客組織ChamelGang針對Linux主機攻擊，並以DoH方式連線C2中繼站規避偵測的揭露，以及發現駭客假冒資安研究人員姓名照片上傳零時差漏洞PoC的情形。同時，有研究指出ChatGPT回答程式語言問題時，會給出不存在的NPM套件、PyPI套件的名稱，因而存在可被駭客加以濫用的風險。</p> <p>在資安防護焦點上，最受關注的莫過於歐洲議會針對AI法《AI Art》草案的歷史性投票通過，不僅是針對某些可能嚴重影響人類安全的AI應用予以禁止，並以AI風險等級，規範開發商與採用組織的義務，而臺灣AI基本法的立法倡議仍不明朗亦因此受關注。另外，針對近兩年危害最大的勒索軟體LockBit，多國網路安全機構發布新的聯合安全公告，說明其攻擊手法與防護建議。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157490"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月19日到6月21日</span></a></strong></h2> <p>在這一週的漏洞消息方面，有兩大焦點，蘋果在21日針對較早版本iOS、iPadOS（16.5.1、15.7.7），共修補3個已獲報遭鎖定利用的零時差漏洞（CVE-2023-32434、CVE-2034-32435及CVE-2023-32439），而微軟Azure AD的OAuth身分驗證機制被揭露其實作存在缺陷，微軟正著手修補。其他還有兆勤修補NAS漏洞，施耐德電機、Wago設備修補的消息，以及WD將針對未修補重大漏洞的設備，限制存取其雲端服務。</p> <p>在威脅態勢方面，以路由器安全漏洞消息與殭屍網路動向最受關注，首先是19日華碩發布路由器的韌體更新，修補了9個漏洞，其中3個是今年的新漏洞，6個是早年就揭露的已知漏洞，其中CVE-2022-26376和CVE-2018-1160是重大漏洞；接著是20日TP-Link路由器3月修補的一項漏洞遭新殭屍網路Condi Network鎖定，而我們整理這週資訊時，由於端午連假期間還有一起相關事件，因此這裡也特別補充，那就是<a href="https://unit42.paloaltonetworks.com/mirai-variant-targets-iot-exploits/">Mirai殭屍網路鎖定多家路由器去年或今年上半修補的已知漏洞，針對未修補用戶發動攻擊的情形</a>。</p> <p>其他攻擊與威脅焦點中，有兩大活動揭露值得注意，一是用戶刪除的AWS S3儲存桶竟遭非法人士占用並散布惡意軟體，另一是針對釣魚工具包去年普遍納入MFA Bypass能力的揭露。其他焦點包括：殭屍網路Tsunami鎖定SSH伺服器，竊資軟體RDStealer透過RDP向C2傳送竊取資料，以及竊資軟體Vidar、Mystic均有攻擊升溫的揭露。</p> <p>另外，MOVEit Transfer零時差漏洞攻擊持續有後續消息，包括美國有兩個州政府公告民眾個資外洩，以及旗下擁有Avast、Avira、AVG、Norton、LifeLock多家防毒品牌的資安業者Gen Digital也受害，而美國國務院外交安全局更宣布，在其正義獎勵計畫祭出千萬美元懸賞，鼓勵外界舉報幕後Clop勒索軟體集團的資訊。</p> <h2><strong><a href="https://www.ithome.com.tw/news/157587"><span style="color: rgb(178, 34, 34);">【資安週報】2023年6月26日到6月30日</span></a></strong></h2> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。<a href="https://www.ithome.com.tw/news/157600">以Lockbit而言，30日他們聲稱台積電為受害者</a>，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續也向該公司了解狀況，該公司表示已於<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">30日在網站發布遭遇資安事件的公告</a>，當中指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在周五密切關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有相當大量Akira勒索軟體受害者被公布的情況，值得關注。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），三星裝置的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <h2> </h2> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156683">2023年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/156593">2023年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155693">2023年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155387">2023年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/155178">2022年12月資安月報</a></h3> <h3> </h3> <p> </p> <p> </p> <p> </p> </div></div></div>
2023/7/5 10:31作者羅正漢https://www.ithome.com.tw/news/157613
臺大、北榮等多家醫學中心加入保險理賠醫起通，壽險公會下一步目標年底上線2.0版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>壽險公會今日宣布多家醫學中心已簽約加入保險理賠醫起通，包括臺大、北榮、長庚、花蓮慈濟和三軍總醫院。目前，保險理賠醫起通簽約數量增加至19家醫院、25院區，涵蓋全臺灣半數醫學中心。此外，壽險公會正在籌備保險理賠醫起通2.0版本，目標年底正式上線。</p> <p>壽險公會自去年九月起和臺灣指標性醫院進行接洽，並在今年陸續完成簽約，包括臺大、北榮、三軍總、中榮、長庚、花蓮慈濟和振興等醫院。</p> <p>現行的保險理賠醫起通為1.5版本，保戶線上提出理賠申請，醫院透過系統調閱病歷、彙整為PDF檔，上傳至公會保險科技運用共享平臺，公會再發給保險公司。此外，保戶也可在線上簽署病歷資料使用同意書，並統一遞交給保險公司。</p> <p>除了現行版本，壽險公會也正籌備保險理賠醫起通2.0版，要將現行醫院上傳的PDF檔案，改為結構化資料，針對病歷資料、診斷證明、收據等設計各自的公版欄位，來讓醫院系統直接帶入，來協助保險公司減少人工對照PDF和騰打資料的時間。</p> <p>壽險公會資訊應用組主任陳乙棋說明保險理賠醫起通2.0進度。他表示，目前公會仍在和各醫院確認介接規格，待三方達成共識後便會進行開發和測試，測試醫院包含國泰、臺大、榮總、長庚等八家醫院，目標年底正式上線。</p> </div></div></div>
2023/7/4 19:33作者李昀璇https://www.ithome.com.tw/news/157625
【資安日報】7月4日，勒索軟體駭客BlackCat鎖定組織系統管理員，假借提供WinSCP應用程式取得初始入侵管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客入侵受害組織的管道，往往可能透過特定應用系統的漏洞，在受害組織建立初期的存取管道，但現在有駭客針對系統管理員、網路管理員而來，打算利用他們的電腦做為初期據點，並藉此搜刮各種管理員帳密資料，來做為後續攻擊之用。</p> <p>中國駭客針對歐洲外交單位的網路釣魚攻擊，也引起研究人員關注。這些駭客利用HTML挾帶（HTML Smuggling）手法，於受害電腦植入惡意軟體，根據駭客埋入HTML的檔案，研究人員看到兩大類型感染手法。</p> <p>有資安業者針對上個月Fortinet修補的防火牆SSL VPN漏洞CVE-2023-27997提出警告，因為他們看到仍有近7成防火牆系統尚未套用相關的更新程式，而有可能成為駭客下手的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/23/f/malvertising-used-as-entry-vector-for-blackcat-actors-also-lever.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客BlackCat藉由提供WinSCP應用程式的名義，透過惡意廣告推送Cobalt Strike</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-mal2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-mal2.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露勒索軟體BlackCat（亦稱Alphv）近期的攻擊行動，駭客在Google、Bing兩大搜尋引擎投放惡意廣告，引誘想要下載檔案傳輸工具WinSCP的系統管理員、網路管理員上鉤，目的是藉此初步入侵企業網路環境。</p> <p>一旦使用者透過廣告存取惡意網站winsccp[.]com，並依照指示下載安裝程式，就會從遭到入侵的WordPress網站下載ISO映像檔，然而使用者一旦開啟映像檔並執行其中的安裝程式，電腦在安裝WinSCP的過程裡，就有可能被植入木馬程式python310.dll，以及Cobalt Strike。</p> <p>駭客成功執行上述的滲透測試工具後，便透過AdFind、PowerView、PsExec、BitsAdmin、Curl等應用程式，進行後續的攻擊行動，值得一提的是，駭客也使用了名為SpyBoy terminator的惡意軟體，繞過防毒軟體與EDR系統的偵測。</p> <p><a href="https://research.checkpoint.com/2023/chinese-threat-actors-targeting-europe-in-smugx-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客發起SmugX攻擊行動，鎖定歐洲國家外交單位而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/925N2C702S-image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/925N2C702S-image5.png" style="width: 300px; float: right;" /></a>資安業者Check Point揭露中國駭客自2022年12月開始的攻擊行動SmugX，駭客鎖定英國、法國、瑞典、烏克蘭、捷克、匈牙利、斯洛伐克的大使館或是外交部，以歐洲國家及外交政策為主題發動網路釣魚攻擊，利用HTML挾帶（HTML Smuggling）手法，將惡意酬載埋藏於HTML檔案的程式碼，最終於受害電腦部署惡意程式PlugX。</p> <p>研究人員看到的感染流程可歸類為兩種，一種是HTML檔案會導致受害者下載含有LNK檔案的ZIP壓縮檔，而另一種HTML檔案則是會執行JavaScript指令碼，從遠端伺服器下載MSI安裝程式。</p> <p>而對於駭客的身分，研究人員認為，SmugX攻擊行動與RedDelta、Mustang Panda兩個中國駭客組織有所交集，研判攻擊者是中國駭客，但無法確定是那個組織。</p> <p><a href="https://bishopfox.com/blog/cve-2023-27997-exploitable-and-fortigate-firewalls-vulnerable"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾33萬臺Fortinet防火牆尚未修補SSL VPN重大漏洞CVE-2023-27997</span></strong></a></p> <p>資安業者Fortinet於6月8日修補防火牆作業系統零時差漏洞CVE-2023-27997（CVSS風險評分9.2），並指出已出現攻擊行動，但現在有研究人員發現，仍有大量的FortiGate防火牆尚未套用修補程式而曝險。</p> <p>資安業者Bishop Fox指出，他們找到約有489,337萬臺啟用SSL VPN相關介面的防火牆曝露於網際網路，當中僅有153,414臺安裝相關更新，換言之，仍有335,923尚未修補上述漏洞，也就是有69%的防火牆曝露相關風險。</p> <p>研究人員指出，他們發現部分防火牆長達8年未套用更新程式，亦有已屆生命週期終止（EOL）的防火牆仍在運作。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-denies-data-breach-theft-of-30-million-customer-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Anonymous Sudan聲稱竊得3千萬微軟帳號資料，遭到該公司否認</span></strong></a></p> <p>6月上旬駭客組織Anonymous Sudan癱瘓微軟Outlook.com、OneDrive.com、Azure入口網站等數項服務，近期又有了新的動作。根據資安新聞網站Bleeping Computer的報導，該組織於7月2日聲稱成功入侵微軟，並盜走了大型資料庫，內含3千萬個微軟帳號、電子郵件，以及密碼，他們以5萬美元的價格兜售上述資料，並提供100組帳密供買家比對。</p> <p>對此，微軟發言人向該新聞網站表示，他們目前並未發現客戶資料遭到異常存取的跡象。而對於駭客公布的部分資料，該新聞網站認為，有可能是從第三方服務供應商流出的舊資料。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.imy.se/en/news/companies-must-stop-using-google-analytics/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兩家瑞典企業因使用Google Analytics違反GDPR遭罰</span></strong></a></p> <p>7月3日瑞典隱私保護局（IMY）宣布，已要求境內4家企業Tele2、CDON、Coop、Dagens Industri，停止使用網站流量分析工具Google Analytics，並對於其中的兩家業者Tele2及CDON，分別祭出1,200萬瑞典克朗及30萬瑞典克朗的罰款，原因是這些企業透過Google Analytics把瑞典民眾的資料傳輸至美國，違反了歐盟隱私保護法GDPR。</p> <p>IMY的稽核行動源自於非營利歐洲數位權利中心（NOYB）的投訴，原因是上述4家瑞典企業違反歐盟法院於2020年裁決（當時歐盟法院廢除了歐美之間的Privacy Shield資料傳輸保護協議），且對於資料保護採取的安全防護措施皆未符合歐盟GDPR要求，其中，Tele2與CDON因未採取與另兩家業者同樣的廣泛保護，IMY處以行政罰款。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺美金融資安論壇6月底召開，指出資訊安全威脅與氣候變遷、環境永續議題同等重要</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/356701905_645263364299449_3164606055613892741_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/356701905_645263364299449_3164606055613892741_n.jpg" style="width: 300px; float: right;" /></a>臺灣金融研訓院與美國在臺協會（AIT）於6月29日，舉辦臺美金融資安論壇，總統蔡英文、AIT處長孫曉雅皆出席此會議。</p> <p>孫曉雅指出，資訊安全威脅的議題，與氣候變遷、環境永續同等重要，無論是美國還是臺灣，金融業經常面臨勒索軟體與駭客攻擊的威脅，在不法份子持續演進、變化的情況下，防守方的合作變得更為重要，美國政府已採取措施及祭出策略，透過資安領域的臺美合作機制，以及全球交流工作，美國持續致力於與理念相近夥伴打造更可信賴的供應鏈，此次論壇開啟了臺美金融資安聯防交流平臺的合作序幕。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/tabf.org/posts/pfbid02dLc5wUUQTrteCnkpHdNwhdN1Yy32Z2qiGjU31f1KmHGQYR1EM1vWNLTQdKWnnvr3l">https://www.facebook.com/tabf.org/posts/pfbid02dLc5wUUQTrteCnkpHdNwhdN1Yy32Z2qiGjU31f1KmHGQYR1EM1vWNLTQdKWnnvr3l</a><br /> 2. <a href="https://www.facebook.com/AIT.Social.Media/posts/pfbid0Dig8wfckGdKMvNbCCshPUZ4ehrQjoNE7cxPwRWa16Se5YS26JUXJctFy1ZFQAHw2l">https://www.facebook.com/AIT.Social.Media/posts/pfbid0Dig8wfckGdKMvNbCCshPUZ4ehrQjoNE7cxPwRWa16Se5YS26JUXJctFy1ZFQAHw2l</a><br /> 3. <a href="https://www.cna.com.tw/news/afe/202306290062.aspx">https://www.cna.com.tw/news/afe/202306290062.aspx</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bankinfosecurity.com/trauma-terrorist-victim-data-breached-in-university-attack-a-22409"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國曼徹斯特大學遭網路攻擊，110萬傷患個資、學生個資外洩</span></span></strong></a></p> <p><a href="https://news.mit.edu/2023/mit-researchers-evaluate-cybersecurity-methods-0628"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">麻省理工學院發布網路安全評估框架</span></span></strong></a></p> <p><a href="https://media.defense.gov/2023/Jun/28/2003249466/-1/-1/0/CSI_DEFENDING_CI_CD_ENVIRONMENTS.PDF"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國家安全局、CISA發布保護CI/CD環境的指引</span></span></strong></a></p> <p><a href="https://cyberscoop.com/white-house-cybersecurity-budget-2025/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國政府公布2025年網路安全預算優先項目</span></span></strong></a></p> <p><a href="https://liquid.tech/wp-content/uploads/2023/06/LIQUID-C2-Report.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對非洲國家的大型網路攻擊顯著增加</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157597">【7月3日】存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> </div></div></div>
2023/7/4 17:16作者周峻佑https://www.ithome.com.tw/news/157624
全球還有33萬臺FortiGate防火牆尚未修補遠端程式執行漏洞CVE-2023-27997
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-cve-2023-27997-and-clarifications-on-volt-typhoon-campaign" target="_blank">資安業者Fortinet在今年的6月8日更新FortiOS作業系統</a>，以修補旗下防火牆設備FortiGate的多個安全漏洞，其中風險最高的<a href="https://www.fortiguard.com/psirt/FG-IR-23-097" target="_blank">CVE-2023-27997</a>在修補當時已遭到駭客利用，而根據另一資安業者<a href="https://bishopfox.com/blog/cve-2023-27997-exploitable-and-fortigate-firewalls-vulnerable" target="_blank">Bishop Fox的調查</a>，在全球曝露於網路上的49萬臺FortiGate中，現今仍有多達33.6萬臺尚未修補該漏洞，占比69%。</p> <p>CVE-2023-27997屬於FortiOS SSL-VPN預認證的堆積緩衝區溢位漏洞，允許遠端程式攻擊，在揭露當時已出現少數的目標式攻擊行動，鎖定政府、製造業及重大基礎設施。FortiGate為Fortinet第一個也是最主要的產品，Fortinet建議啟用SSL-VPN的FortiGate用戶應立即部署最新作業系統，就算沒有啟用該功能的用戶雖然可減輕風險，但最好也升級。</p> <p>Bishop Fox的能力發展總監Caleb Gross指出，有別於坊間以SSL憑證進行搜尋，找到了全球25萬臺位於公開網路上的FortiGate，他們使用不同的搜尋字串，利用Shodan發現49萬臺曝露SSL-VPN介面的FortiGate，再檢查這些設備的韌體更新日期，卻發現部署最新更新的只有153,414臺，等於尚有69%並未修補安全漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-Bishop%20Fox-FortiGate-CVE-2023-27997.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Bishop Fox</span></span></p> <p>Bishop Fox的調查還發現，有些FortiGate設備甚至有8年沒更新了，亦有不少設備的生命周期已經結束，卻依然運作著。</p> <p>Bishop Fox為一攻擊型資安業者，透過主動的模擬攻擊來識別及減輕漏洞威脅，因此也已打造出CVE-2023-27997漏洞的攻擊程式，以用來驗證漏洞的存在與嚴重性，同時測試修補程式的有效性。此一攻擊程式在1秒內就執行完畢，成功建立與受駭系統的連結、下載了程式，並於受駭系統上開啟了命令列介面。</p> </div></div></div>
2023/7/4 15:25作者陳曉莉https://www.ithome.com.tw/news/157623
微軟否認遭Anonymous Sudan取得其3000萬客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周否認6月初的DDoS攻擊導致超過3,000萬筆客戶資料外洩。</p> <p><a href="https://www.ithome.com.tw/news/157216" target="_blank">6月初微軟證實</a>，包括Outlook.com、OneDrive、Microsoft 365及Azure等雲端服務發生斷線情形。一個名為Anonymous Sudan的組織宣稱為了報復美國干預蘇丹內政，而對美國企業發動分散式阻斷服務（DDoS）攻擊。<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-azure-outlook-outages-caused-by-ddos-attacks/" target="_blank">微軟事後也坦承</a>DDoS攻擊為服務中斷的原因。</p> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-denies-data-breach-theft-of-30-million-customer-accounts/" target="_blank">《Bleeping Computer》</a>報導，Anonymous Sudan上周再透過Telegram宣稱他們成功駭入微軟，並存取了一個包含超過3,000萬筆微軟帳號、電子郵件和密碼的資料庫。駭客以5萬美元為代價兜售這個資料庫。駭客還公布了約100筆聲稱取自微軟系統的資料作為證明。</p> <p>這批資料真實性無法驗證真假、外洩時間或出處。</p> <p>不過微軟否認這些資料是由該公司取得。微軟表示，迄今他們沒有客戶資料被存取或外流的證據，分析這批資料顯示，駭客的說法不實，這批資料也不是真的。</p> <p>Anonymous Sudan宣稱和親俄駭客組織Killnet有關，<a href="https://flashpoint.io/blog/anonymous-sudan-ddos-timeline/" target="_blank">安全廠商Flashpoint 認為有待查證</a>，而且這組織雖宣稱其本質是蘇丹民族運動者，但也可能是俄國國家駭客冒充，專門以西方企業及組織為攻擊目標。</p> <p>微軟去年春天也遭到<a href="https://www.ithome.com.tw/news/150052" target="_blank">Lapsus$駭客</a>入侵。但這群人僅是青少年為首腦的散漫組織，目的多半是竊取程式碼要求贖金。和Lapsus$相比，遭國家駭客取得資料的後果更為嚴重，可能引發範圍更大且影響更深的重大損害。</p> </div></div></div>
2023/7/4 13:55作者林妍溱https://www.ithome.com.tw/news/157618
瑞典要求4家企業停止使用Google Analytics
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞典隱私保護局（Swedish Authority for Privacy Protection，IMY）周一（7/3）宣布，已要求境內4家企業停止使用Google的網站流量分析工具Google Analytics，同時針對其中的兩家業者Tele2及CDON，分別祭出1,200萬瑞典克朗及30萬瑞典克朗的罰款，原因是這些企業透過Google Analytics把瑞典民眾的資料傳輸至美國，違反了歐盟隱私法GDPR。</p> <p>Google Analytics是Google在2005年推出的工具，為Google行銷平臺（Google Marketing Platform）的其中一項功能，可用來追蹤網站上的各式活動，例如停留時間、網頁瀏覽數量、使用者跳出率（Bounce rate），以及流量來源等。</p> <p>IMY的稽核行動源自於非營利的歐洲數位權利中心NOYB（None of Your Business）的投訴，因為<a href="https://www.ithome.com.tw/news/138915" target="_blank">歐盟法院已於2020年廢除了歐盟與美國之間的《隱私盾》</a>（Privacy Shield）資料傳輸保護協議，NOYB指控CDON、Coop、Dagens Industri與Tele2等4家瑞典企業違反該裁決，將個人資料傳送至美國。</p> <p>IMY指出，根據歐盟隱私法GDPR的規定，個人資料得以傳輸到第三方國家的前提是，對方與歐盟擁有一致的個人資料保護法令，但歐盟法院的上述裁決已排除了美國。</p> <p>而IMY的稽核也發現，藉由Google Analytics傳送到美國的資料為個人資料，且這些瑞典業者所採取的技術安全措施皆不足以達到歐盟的標準，其中，Tele2與CDON更未採取與另兩家業者同樣的廣泛保護，因而處以行政罰款。</p> <p>目前Tele2已主動停用Google Analytics，IMY亦要求其它3家業者不再使用該工具。負責執行此一稽核行動的第三方顧問Sandra Arvidsson則說，此一決定可能會影響其它採用Google Analytics的瑞典業者。</p> <p>瑞典並不是第一個認為Google Analytics違反GDPR的國家，<a href="https://www.ithome.com.tw/news/148885" target="_blank">先前奧地利也曾出現類似的判例</a>。</p> </div></div></div>
2023/7/4 14:08作者陳曉莉https://www.ithome.com.tw/news/157619
微軟Edge瀏覽器內建VPN，免費流量升級到5GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/topic/use-the-microsoft-edge-secure-network-to-protect-your-browsing-885472e2-7847-4d89-befb-c80d3dda6318" target="_blank">微軟上周宣布</a>Edge瀏覽器內建VPN服務提供的免費資料流量，由原本的1GB提升到5GB。</p> <p>微軟<a href="https://www.ithome.com.tw/news/150689" target="_blank">去年4月</a>透過和雲端業者Cloudflare合作，為Edge新增內建VPN，名為Edge Secure Network，以確保以Edge送出的資料經過加密通道傳輸，即用戶造訪的是使用HTTP協定，較不安全的網站，這可防止ISP或駭客得知用戶造訪了哪些網站、用戶IP或位址，也無法看到用戶送出的密碼或機密訊息。使用這項服務每月可享有一定免費流量，超過之後就需付費。去年推出時免費流量額度為1GB，近日則再擴充為5GB。</p> <p>要使用Edge Secure Network用戶必須以微軟帳號登入Edge，藉此追蹤用戶流量。微軟說，登入Edge也會啟動同步功能，使瀏覽的資料，包括瀏覽紀錄、我的最愛、設定、地址、密碼、擴充程式、開啟的分頁、收藏的網頁文章等等，同步到所有已登入的Edge。</p> <p>微軟強調只會儲存最少限度的資料和存取憑證，且只會保留一段必要期間，微軟保證不會將資料分享給Cloudflare。同時，微軟也說，為確保隱私，Cloudflare僅收集提供服務必要的診斷和支援資料，且在25小時後就會永久刪除這些資料。</p> </div></div></div>
2023/7/4 11:17作者林妍溱https://www.ithome.com.tw/news/157615
大批用戶湧進，推特創辦人開發的競爭服務Bluesky一度中止註冊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推特接連推出收費服務、對不付費者實施種種限制後，近日推特競爭服務Bluesky湧進大量想加入的用戶，致使Bluesky上周暫停允許用戶加入等候清單。</p> <p>Bluesky官方7月1日在其平臺上公告暫停Bluesky的新用戶註冊，以便該公司解決效能問題。不過Bluesky在當地時間7月3日約下午5:30<a href="https://www.theverge.com/2023/7/1/23781417/bluesky-halted-sign-ups-joining-twitter" target="_blank">宣布重啟註冊</a>。</p> <p>Bluesky是類似推特的社群應用程式，但不同於推特的中央管理架構，Bluesky是基於ADX/AT協定發展的去中心化社群網路。Bluesky是由推特創辦人Jack Dorsey成立的公司，後於2021年分拆獨立，Dorsey此後雖未擔任公司執行長，但是一直參與產品開發。</p> <p>Bluesky 3月推出iOS限定Beta版，僅以<a href="https://www.ithome.com.tw/news/155714" target="_blank">邀請制</a>開放試用，4月才提供Android版。只有有邀請碼的人才能註冊，有興趣的用戶必須在<a href="https://bsky.app/profile/bsky.app/post/3jzlnn4tst22k" target="_blank">官網</a>上加入等候清單，以便獲得派發的邀請碼。</p> <p>根據<a href="https://blueskyweb.xyz/faq" target="_blank">Bluesky官網</a>，這款社群程式的使用者在4月底已超過5萬人。開發團隊以審慎態度緩慢擴大邀請制。<a href="https://www.namepepper.com/bluesky-statistics" target="_blank">一名部落格聲稱</a>，到6月底Bluesky用戶超過18萬人，但等候清單上排隊的高達190萬人。</p> <p>那麼多人想加入Bluesky，或許是因為推特在馬斯克（Elon Musk）接手後表現令用戶失望。馬斯克為了加速推特轉虧為盈，大舉裁員、積極新闢收費服務，並爆發封鎖批評他的記者帳號。種種行為引發用戶不滿，也致使競爭服務如<a href="https://www.ithome.com.tw/news/154955" target="_blank">Mastodon</a>和Bluesky用戶激增。</p> <p>上周馬斯克<a href="https://twitter.com/elonmusk/status/1675214274627530754" target="_blank">宣布</a>用戶每日瀏覽限制，經過驗證的帳號每天可存取6,000則推文，未經驗證的用戶只剩600則，而新申請且未經驗證的帳號僅300則（後來有再增加）。馬斯克解釋是因推特遭到數百個組織發動資料抓取（data scraping）之故，致使推特採取反制措施。但有<a href="https://www.ithome.com.tw/news/157602" target="_blank">使用者</a>研究推測，可能是出於推特技術問題，導致推特網頁向自己發出請求造成流量過大。換言之，是推特對自己發出分散式阻斷服務（DDoS）攻擊。</p> </div></div></div>
2023/7/4 11:06作者林妍溱https://www.ithome.com.tw/news/157614
推特限流風波疑始於客戶端自我DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周末推特平臺並不平靜，7月1日官方發布新政策，僅允許已登入用戶瀏覽推文，隨後在7月2日，用戶在隨意瀏覽推特時間軸後，應用程式便會出現超過流量限制的警示，無法正常瀏覽他人以及自己的推文。</p> <p>Elon Musk<a href="https://twitter.com/elonmusk/status/1675187969420828672">發文提到</a>，推特由於面臨大量資料抓取以及系統操縱，因此暫時限制用戶的存取，經驗證的帳戶每日可存取6,000則推文，未經驗證的帳戶則是600則推文，新申請未經驗證的帳戶則只能瀏覽300則推文。</p> <p>究竟推特平臺發生什麼問題，需要如此極端地限制用戶瀏覽推文，Elon Musk提到推特正在被DDoS攻擊，但隨後又<a href="https://twitter.com/ElonMuskAOC/status/1675268446089773056">發文表示</a>，流量限制是因為希望網路成癮的使用者，可以在假日時到戶外活動。</p> <p>眼尖的使用者發現，這場鬧劇的源頭可能正是推特本身，使用者Sheldon Chang在Mastodon<a href="https://sfba.social/@sysop408/110639474671754723">發文提到</a>，推特在DDoS攻擊自己。從Sheldon Chang所錄製的影片可以看到，即便推特的頁面沒有載入任何內容，但是網頁滾動條卻不停的抖動，Sheldon Chang進一步研究了網頁滾動條抖動的原因，發現推特網頁每秒向自己發出10次請求。</p> <p>推特不停地發出請求，但是又無法抓取到請求內容，因此不斷重新嘗試，最終導致自我DDoS攻擊，Sheldon Chang懷疑這與推特限制未登入就無法觀看推文的新政策有關，推特存在臭蟲的新版程式碼，使客戶端向伺服器發動DDoS攻擊。目前推特已經修正該問題，服務約在臺灣時間7月2日晚上20時恢復，用戶陸續可以正常使用推特。</p> </div></div></div>
2023/7/4 08:47作者李建興https://www.ithome.com.tw/news/157602
台積電供應商遭LockBit勒索7千萬美金，新版勒索即服務新增加價延長功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電供應商擎昊科技遭駭，據了解，是勒索集團LockBit入侵擎昊科技內網中，發現受駭發現有台積電TSMC的資料，駭客便對外宣稱，已經成功入侵並竊取到台積電的資料。不過，這樣的說法也遭到台積電的否認，受駭者擎昊科技也承認遭駭事宜。</p> <p>此次LockBit對外公開的資訊中，要求受駭企業支付7千萬美金等值的比特幣或門羅幣等虛擬貨幣，在8月6日前沒有支付贖金的話，則會公開相關資訊。根據匿名資安專家追蹤該錢包網址，目前並沒有任何金額入帳。</p> <p>TeamT5（杜浦數位安全）創辦人兼執行長蔡松廷（TT）則表示，這次資安事件其實是LockBit最新版的RaaS（勒索即服務）：LockBit 3.0，最明顯的新增功能是加價延長的功能，如果受駭者支付5千美金，資料公布的日期就可以延長24小時。</p> <p>根據美國網路安全暨基礎設施安全局（CISA）等單位於日前揭露的報告指出，LockBit是2022年與2023年最活躍的勒索軟體即服務（RaaS），從2020年至今年第一季的受駭組織高達1,653個，光是針對美國企業發動的各種勒索即服務的攻擊，該駭客集團的不法所得便超過9,100萬美元。</p> <h2><strong>試圖從駭客外洩截圖看端倪</strong></h2> <p>擎昊科技在聲明稿中表示，遭受攻擊的環境為工程測試區，那是幫客戶準備的系統安裝環境，遭擷取的內容為安裝設定檔等參數資訊。該公司指稱，因為使用到特定客戶公司的名稱（例如tsmc台積電）所以才引發駭客組織的關注，並試圖經此途徑取得客戶的機密資料。</p> <p>擎昊科技提到，因為上述相關資訊並無關客戶的實際應用，僅為出貨時的基本設定，所以，目前沒有造成客戶損害，也沒有客戶因此遭駭。</p> <p>此次網路有一些駭客集團在推特上公布的照片，但不久後便遭到刪除。透過某些匿名資安專家將照片即時備份，可以發現，在一個ESXi04.tsmc.com的虛擬機氣中，有49個虛擬機器、3個儲存設備和14個網路設備。</p> <p>從照片截圖中所顯示的虛擬機器名稱，包含廠商所使用的伺服器名稱和廠商名字，其中，有還在使用Windows NT的俊昇科技，使用Windows 2016的智禾科技、鍵祥資訊、英寶科技、巨路國際、精誠資訊和安極思科技等公司的虛擬機器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8E%A8%E7%89%B93.jpg" style="width: 600px;" /></p> <p>從另外一張ilo記事本的截圖中可以發現，這是一個HPE Nimble Storage儲存伺服器管理軟體，可以當成本機連線，並且可以在多個ESXi主機上配置iLO 5.X版的管理軟體。</p> <p>但從截圖上登入資訊可以發現，登入帳號是admin，登入密碼password，可以證明使用者所使用的是預設密碼、並沒有任何修改，駭客一旦入侵、進行內部橫向移動後，就可以使用預設密碼，理所當然的取得儲存伺服器上的資料。</p> <p>不過，匿名資安專家認為，這個截圖證明駭客企圖利用tsmc的資訊，證明入侵tsmc。另外，匿名資安專家表示，也可以推測台積電正在測試某一些供應商的產品，才需要輸入一些台積電的域名設定，但其他像是駭客揭露的IP位址等等，都無法獲得進一步的證明。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3(59).jpg" style="width: 1600px;" /></p> <h2><strong>加價延長是LockBit 3.0版的新功能之一</strong></h2> <p>蔡松廷表示，LockBit應該是目前最有名的勒索軟體，美國政府上個月才起訴他們，其犯罪模式是一種提供勒索軟體給犯罪者使用的RaaS犯罪模式（Ransomware as a Service，勒索即服務），有點像是軍火商，專精在數位武器（勒索軟體）的精進上，更重要的是，LockBit並沒有特別的產業偏好，全都打，都很認真的打，還很認真的研究各種更新的攻擊手法。</p> <p>此次台積電供應商遭駭的資安事件，就是LockBit新推出的3.0版勒索即服務，而駭客集團推出LockBit 3.0的時候，還向廣大的資安武林發起英雄帖，希望大家來幫忙找LockBit的漏洞。他指出，該駭客集團並不打俄語系的國家，非常專注地在攻擊歐洲和美國。</p> <p>蔡松廷表示，這次台積電供應商遭駭事件出現的加價延長，就是 LockBit 3.0的新功能，其他發現到LockBit 3.0的特色包括：修補LockBit 2.0 Ransomware的漏洞；LockBit 3.0有更快的加密速度，但實際上跟2.0版沒有差多少；一樣會大量部署公開或是開源的駭客工具，例如CobaltStrike，其他還有Rclone、WinSCP和PowerTool等；會持續使用一些最新的零時差漏洞，例如CVE-2023-0669：Fortra GoAnyhwere Managed File Transfer（MFT）Remote Code Execution Vulnerability。</p> <p>他也說，LockBit 2.0版推出的時候，有一個專門針對Linux虛擬機器的變種版本，大概在2021年第四季推出的LockBit Green，當時就是專門針對Linux跟VMware ESXi所設計的，只不過，目前還沒有看到LockBit 3.0有針對專門的虛擬機的變種版本。</p> <p>LockBit勒索軟體的預防之道，蔡松廷認為，最重要的就是要修補（Patch）系統的漏洞，因為，勒索軟體絕對是預防要重於治療。</p> <p> </p> </div></div></div>
2023/7/3 21:36作者黃彥棻https://www.ithome.com.tw/news/157611
勒索軟體Lockbit聲稱侵入台積電虛驚一場？合作供應商擎昊科技坦承測試環境遭駭，但仍有疑點尚待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Lockbit的威脅成近日焦點，其駭客在6月30日於暗網網站公布台積電為受害者，並勒索7千萬美元贖金，當日下午，台積電否認遭入侵的消息，並指出已得知是一家IT硬體供應商遭駭，後續傳出該業者可能是擎昊科技，當時我們詢問了擎昊科技，該公司僅表示稍晚再向我們說明，後續，該公司於官方網站發布了資安事件的公告，說明遭擷取的資訊只是使用到客戶公司名稱的出貨基本設定，無關客戶實際應用，因此沒有造成客戶的損害。</p> <p>值得關注的是，多國網路安全機構在6月中旬，才針對Lockbit發出<a href="https://www.ithome.com.tw/news/157357">聯合安全公告示警</a>，指出近三年Lockbit受害組織數量達1,653個，是這兩年最活躍的勒索軟體即服務（RaaS），才過兩星期，該組織居然聲稱他們入侵全球最大晶圓代工龍頭台積電，態度十分囂張，無視此舉可能使其成為世界公敵。</p> <p>而從後續台積電與擎昊科技的回應來看，Lockbit本次雖然公布受害者身分，卻呈現與事實不符的情況，原因究竟是什麼？不小心搞錯對象？想要藉此進一步打響知名度？測試各界對此事的反應？還是故意讓大家勞師動眾確認相關事宜而搗亂？</p> <p>從現階段狀況而言，在這次Lockbit釋出的訊息中，我們在網路上我們看到國外資安研究團隊分享這次事件多張截圖，除了Lockbit公布台積電為受害者的畫面，還有數張螢幕截圖，但似乎不像以往釋出局部外洩檔案的作法，供外界能有更多比對資料來證明其價值。</p> <p>對此事件，台積電在30日已向媒體發表他們的聲明。根據我們從台積電公關處取得的聲明，他們表明已知悉某IT硬體供應商遭駭，對於已知洩漏的資訊，他們指出是該供應商協助的硬體初始設定資料，不會影響台積電生產營運，原因在於，所有進入台積公司的硬體設備，包括其安全設定，皆須在進廠後通過完備程序做相對應的調整，也就是說，不會受出貨時的基本設定而受影響。</p> <p>同時台積電也表示，發生事件後已依照標準作業程序來處置，包括立即中止與該硬體供應商的資料交換，未來將加強宣導供應商的安全意識，與確認安全標準做法的宣導，同時也提到此次駭侵事件已進入司法。</p> <p>而台積電所提及的IT硬體供應商，則指向擎昊科技。擎昊科技也在30日發布消息，公告發生資安事件，說明他們發現遭駭時間發生是在6月29日上午，當日即與客戶通報，並與第三方資安團隊與客戶共同做損害控管，同時他們也指出，遭網路攻擊並被擷取相關資訊的環境為工程測試區，被擷取的內容是安裝設定檔等參數資訊，主要是因為當中使用到特定客戶的公司名稱，因此引起攻擊者的注意，但這些資訊其實無關用戶的實際應用，只是出貨的基本設定。</p> <p>從上述兩起聲明來看，目前我們還無法得知這起事件背後Lockbit的動機，例如，是否掮客集團（Initial Access Broker，IAB）提供給Lockbit的資訊有誤所導致；或是該組織是在明知沒有入侵TSMC下，卻因為取得有關資料，因此故意聲稱TSMC為受害者，以博取關注；又或者Lockbit可能存在更廣泛的攻擊意圖，只是尚未被發現。這方面有待後續更多消息的揭露，才能進一步判斷。</p> <p>目前看來，主要還是反映勒索軟體組織近年持續針對供應鏈攻擊的態勢。</p> <h3><strong>6月30日台積電公關處聲明全文如下</strong></h3> <p style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><span style="font-size:16px;">「台積公司已知悉某IT硬體供應商受到駭客侵害之事件，目前已知洩漏的資訊皆為該供應商協助的硬體初始設定資料，因所有進入台積公司之硬體設備包括其安全設定皆須在進廠後通過台積公司完備程序做相對應的調整，本次事件不會影響台積公司之生產營運，亦無台積公司客戶之相關資訊外洩。事發後，台積公司已按照公司之標準作業程序處理，包含立即中止與該硬體供應商的資料交換，後續亦將加強宣導供應商的安全意識與確認安全標準做法。目前此駭客侵害事件已進入司法調查程序。」</span></p> <h3><strong>6月30日擎昊科技資安事件公告如下</strong></h3> <p style="font-size: small; color: rgb(34, 34, 34); font-family: Arial, Helvetica, sans-serif;"><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_093220.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_093220.jpg" style="width: 600px;" /></a></p> <h2><strong>擎昊科技資安事件影響範圍受關注</strong></h2> <p>關於這次遭遇Lockbit攻擊的擎昊科技，我們也再次聯繫他們確認狀況，例如，他們是如何發現工程測試區遭駭，是否有勒索軟體留下的訊息，或是發現異常調查而發現，以及通知TSMC外，是否通知所有受影響的客戶。至截稿前該公司尚未回覆。</p> <p>而為了瞭解這次擎昊科技遭駭情況，我們也從國外資安研究團隊揭露的內容來了解情形。例如，我們在網路上看到國外資安研究團隊揭露多張螢幕截圖，像是包括一個ilo.txt的文字內容，HPE Nimble storage雲端管理介面的一個郵件警示分頁，這兩張圖中的文字訊息帶有tsmc.com的字串，另外還有一張VMWare ESXi的截圖，當中顯示的是一個虛擬機器的群組，被取名為EXSi04.tsmc.com，而當中則包含了數個虛擬機器。</p> <p>在這些虛擬機器中，包含有Windows NT與多臺Windows Server 2016，而其虛擬機器的名稱，則帶有多家臺廠公司的名字，包含國內上市櫃公司精誠、巨路，以及智禾、鍵祥、英寶、安極思等多家科技公司，圖片中顯示可能有多達44家廠商的名字。</p> <p>因此，是否相關資料也都是工程測試區環境的內容，並都已經通知這些廠商，我們也正向擎昊科技瞭解中，截稿前他們尚未提供回覆；至於這些截圖還可能透露的資訊，我們也正請教資安專家提出看法，後續如有最新消息也會持續追蹤。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-03_181212.jpg" style="width: 600px;" /></p> <p><strong>根據資安研究團隊vx-underground<a href="https://twitter.com/vxunderground/status/1674782166679703554">在Twitter張貼的消息</a>，勒索軟體Lockbit在其暗網網站公布台積電為受害者的資訊，同時附上多張螢幕截圖。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_201352.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_201352.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-01_201445.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-01_201445.jpg" style="width: 600px;" /></a></p> </div></div></div>
2023/7/3 17:29作者羅正漢https://www.ithome.com.tw/news/157600
【資安日報】7月3日，存在弱點的SSH伺服器遭到鎖定，駭客盜賣網路頻寬牟利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用他人電腦運算資源來牟利的情況，最常見的就是挖礦攻擊，但最近2年也有人將目標動到網路頻寬上，部署網路頻寬共享軟體（Proxyware），挾持電腦頻寬盜賣、牟利，現在駭客將目標鎖定資源較為豐富的伺服器，來竊取這類資源。最近一起攻擊行動中，駭客針對曝露弱點的SSH伺服器下手，並部署Docker容器映像檔來占用流量，但究竟駭客入侵的管道為何？研究人員沒有進一步說明。</p> <p>WordPress外掛程式的零時差漏洞攻擊，也相當值得留意。近期駭客鎖定部署Ultimate Member外掛程式的網站發動攻擊，一旦利用這項漏洞，攻擊者就有可能非法加入管理員帳號，進而掌控整個網站。</p> <p>美國網路安全暨基礎設施安全局（CISA）的已遭利用的漏洞名單（KEV），一有更新也成為外界關注的對象。而近期他們列入的漏洞，出現於D-Link路由器和三星手機，但值得留意的是這些漏洞在2019至2021年，廠商就提供相關修補程式，但現在出現漏洞攻擊，這樣的現象代表還有不少設備尚未套用修補程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/proxyjacking-new-campaign-cybercriminal-side-hustle"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路頻寬挾持攻擊鎖定SSH主機而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/proxyjacking-new-campaign-cyberc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/proxyjacking-new-campaign-cyberc.png" style="width: 300px; float: right;" /></a>資安業者Akamai發現針對SSH伺服器而來的網路頻寬挾持（Proxyjacking）攻擊行動，攻擊者入侵存在弱點的SSH伺服器，一旦成功，就會部署Base64編碼的Bash指令碼，並向Peer2Profit與Honeygain流量服務供應商進行註冊，然後在伺服器上部署含有這兩家業者代理程式的Docker容器映像檔，研究人員指出，駭客建置超過16,500個開放代理伺服器牟利。</p> <p>研究人員表示，他們也在受害伺服器上看到漏洞利用工具、挖礦軟體，推測駭客有可能是想要盜賣網路頻寬增加獲利，且不排除從挖礦攻擊轉型，改從事行蹤更加隱密的網路頻寬挾持行動。</p> <p><a href="https://www.wordfence.com/blog/2023/06/psa-unpatched-critical-privilege-escalation-vulnerability-in-ultimate-member-plugin-being-actively-exploited/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress使用者資料設置外掛程式Ultimate Member出現零時差漏洞攻擊，20萬網站曝險</span></strong></a></p> <p>資安業者Wordfence揭露針對WordPress會員系統外掛程式Ultimate Member而來的零時差漏洞攻擊，駭客鎖定CVE-2023-3460而來，繞過此外掛程式的安全措施，竄改wp_capabilities的使用者中繼資料數值，將他們的帳號設置為管理員角色，進而控制受害網站。</p> <p>上述漏洞的風險評分為9.8，部署此外掛程式的WordPress網站超過20萬個，都可能成為駭客下手的目標。開發者自6月26日發布2.6.3版嘗試修補，但都出現修補不完整的情況，直到7月1日發布的2.6.7版，才完全緩解該漏洞。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">CISA對於美國企業與政府機關遭到DDoS攻擊提出警告</span></strong></p> <p>美國網路安全暨基礎設施安全局（CISA）於6月30日提出警告，指出該國已有多個產業遭遇DDoS攻擊，呼籲組織應採取主動措施來防範，這些措施包含了能快速套用的防火牆政策，或是預備緩解惡意流量的DoS防護服務等。</p> <p>CISA並未透露進一步的攻擊細節，但資安新聞網站Bleeping Computer指出，上述資安通告發生的時間點，正好就是駭客組織Anonymous Sudan聲稱癱瘓美國財政部電子納稅系統（EFTPS.gov）、商務部（commerce.gov）網站之後，很難不讓人聯想是與這些駭客的攻擊行動有關。</p> <p>參考資料</p> <p>1. <a href="https://www.cisa.gov/news-events/alerts/2023/06/30/dos-and-ddos-attacks-against-multiple-sectors">https://www.cisa.gov/news-events/alerts/2023/06/30/dos-and-ddos-attacks-against-multiple-sectors</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/cisa-issues-ddos-warning-after-attacks-hit-multiple-us-orgs/">https://www.bleepingcomputer.com/news/security/cisa-issues-ddos-warning-after-attacks-hit-multiple-us-orgs/</a></p> <p><a href="https://www.elastic.co/security-labs/DPRK-strikes-using-a-new-variant-of-rustbucket"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mac電腦遭惡意軟體RustBucket鎖定</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/rustbucket1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rustbucket1.png" style="width: 300px; float: right;" /></a>Elastic旗下的資安實驗室揭露名為RustBucket的macOS惡意軟體，北韓駭客Lazarus旗下的組織BlueNoroff（亦稱Ref9135）鎖定加密貨幣服務業者下手，先是執行AppleScript指令碼，利用cURL從C2下載第2階段惡意酬載，利用特定API於目標電腦執行攻擊行動，最終將RustBucket存放於電腦，並透過NSTask執行，然後收集受害電腦的系統資訊。</p> <p>研究人員指出，駭客為了持續於受害電腦上行動，將此惡意程式加入名為LaunchAgents的啟動資料夾，且不斷調整後端的基礎設施來迴避偵測，研究人員發布相關調查結果時，惡意軟體分析網站VirusTotal上的防毒引擎皆無法將其視為有害。</p> <p><a href="https://www.deepinstinct.com/blog/phonyc2-revealing-a-new-malicious-command-control-framework-by-muddywater"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater利用PhonyC2框架發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig10-phonyc2-commands.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig10-phonyc2-commands.png" style="width: 300px; float: right;" /></a>資安業者Deep Instinct揭露伊朗駭客使用的C2中繼站框架PhonyC2，此框架為在2021年就開始使用，曾被用於以色列理工學院的攻擊行動，目前這些駭客將其用於針對PaperCut列印管理系統，利用CVE-2023-27350入侵目標組織。</p> <p>研究人員指出，此框架的主要用途，是產生能連接C2的酬載，接收攻擊者下達的PowerShell指令碼。由於駭客持續更新此框架並調整攻擊策略，且透過社交工程開始接觸目標組織，使得研究人員呼籲企業應監控PowerShell動態來防範相關攻擊。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MITRE公布2023年版最危險的軟體安全缺陷</span></strong></p> <p>6月27日非營利組織MITRE公布了2023年版的25種最危險軟體安全缺陷，該組織分析NIST美國國家漏洞資料庫（NVD）裡，從2021至2022年出現的43,996個通用缺陷列表（CWE）項目進行分析、評分，並比對美國網路安全暨基礎設施安全局（CISA）的已遭利用漏洞名單（KEV），結果發現，越界寫入（OWB）、跨網站指令碼（XSS）、SQL注入是前3大嚴重的弱點類型，這樣的結果與2022年版相同。</p> <p>值得留意的是，記憶體釋放後濫用（UAF）弱點，一舉從去年的第7名上升至第4名，而且，KEV裡存在此種弱點的CVE漏洞有44個，僅次於越界寫入的70個。</p> <p>資料來源</p> <p>1. <a href="https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html">https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html</a><br /> 2. <a href="https://cwe.mitre.org/top25/archive/2023/2023_key_insights.html">https://cwe.mitre.org/top25/archive/2023/2023_key_insights.html</a></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/06/29/cisa-adds-eight-known-exploited-vulnerabilities-catalog"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國要求聯邦機構限期修補D-Link路由器、三星手機漏洞</span></strong></a></p> <p>6月29日美國網路安全暨基礎設施安全局（CISA）將8個漏洞加入已遭利用漏洞名單（KEV），這些漏洞有2個出現於D-Link路由器DIR-859、DWL-2600AP，另外6個存在於三星手機。CISA要求聯邦機構於7月20日前，完成上述漏洞的修補。</p> <p>上述D-Link路由器的漏洞分別是CVE-2019-17621、CVE-2019-20500，CVSS風險評分為9.8、7.8，這些漏洞<a href="https://www.ithome.com.tw/news/157498#mirai">已有駭客用於殭屍網路Mirai攻擊行動</a>。</p> <p>至於本次公告的三星漏洞皆在2021年得到修補，其中風險層級最高的漏洞，是記憶體越界寫入漏洞CVE-2021-25487，CVSS風險評分為7.8，其餘為中度風險漏洞，CVSS風險評分為5.5至6.7。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyberscoop.com/russia-satellite-hack-wagner/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯衛星電信業者遭到網路攻擊，起因是聲援瓦格納組織軍事行動</span></span></strong></a></p> <p><a href="https://www.volexity.com/blog/2023/06/28/charming-kitten-updates-powerstar-with-an-interplanetary-twist/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT35透過後門程式Powerstar發動攻擊</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/fortinet-reverses-flutter-based-android-malware-fluhorse"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員分析安卓惡意程式Fluhorse，駭客透過加殼避免遭到逆向工程分析</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/free-akira-ransomware-decryptor-helps-recover-your-files/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">防毒業者Avast提供勒索軟體Akira檔案復原工具</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157579">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> </div></div></div>
2023/7/3 15:54作者周峻佑https://www.ithome.com.tw/news/157597
一家企業IT該如何面對碳排放數據管理和碳資訊運用的挑戰？SAP提出8大企業碳管理能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月開始，臺灣已經出現第一批必須要依法在年報中揭露碳盤查資訊的企業，預計在接下來的明後年，將有更多企業加入，這些企業不僅需要每年進行碳盤查，還需要完成第三方確信，甚至隨著年底碳定價的公布，未來還需要計算碳成本，對於碳數據的追蹤和管理也變得越來越重要，必須要有一套更系統化的方式協助企業進行碳盤查或碳足跡資訊蒐集和管理，能夠根據這些碳定價或交易的價格，準確計算出生產過程的碳成本，並根據碳價格的變動做出相應的調整。</p> <p>不過，對於一家企業而言，該發展哪些碳管理的能力也成為許多企業IT主管或CIO必須面對的挑戰。近日在一場活動上，SAP也提出企業碳管理8項能力，涵蓋碳盤查、碳足跡、碳資產、碳配額、內部碳銀行、碳金融貸款、碳交易風險管理及IT基礎設施，可供企業未來在發展碳管理能力的參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230524_063635974.jpg" style="width: 600px;" /></p> <p>從SAP的碳管理架構圖中，可分8層，最上層是碳排放管理，包含碳排放資料記錄、碳排放監控設備管理、碳排放趨勢分析、碳排放報表。透過碳排放管理機制的建立，可以協助企業有效地記錄、監控和分析碳排放數據，並生成相應的報表以進行監測和報告。下一層是碳足跡管理，包括上游碳足跡管理、自身碳足跡管理、下游碳足跡管理和全價值鏈碳足跡分析，主要用來追蹤和管理供應鏈中產品使用和處理過程中的碳足跡。</p> <p>前二層是跟碳排放數據的蒐集和管理有關，也是目前臺灣企業大多著重的領域，往下幾層則是跟碳成本、碳交易和碳投資等有關的碳資訊運用。</p> <p>第三層是碳資產管理，涵蓋了許多細節和功能，從碳交易需求預測、付款申請、對帳單管理、到計畫追加、支付報合併、預算控制等20項，以確保企業碳交易的順利進行及相關資產的管理。</p> <p>詳細20項功能包括了碳交易需求預測、碳交易付款申請、拉取或導入碳交易收款單及碳交易中心對帳單、碳交易計畫、碳交易線上審批、回單與應收碳交易款未清項自動匹配、碳交易中心／碳金融交易自動對帳、碳交易預算額度控制、碳交易過帳及清帳、手動收款認領、手動對帳及認領、碳交易計畫追加、碳交易支付報合併收款過帳及清帳、對帳單過帳、商業票據管理、碳交易狀態及報表查詢、碳交易報表查詢、出具銀行日記帳及餘額調節表。</p> <p>接著下一層是碳配額管理，則有碳排放權全生命週期管理、碳配額頭寸、碳配額預測、碳配額交易計畫及模擬、碳配額移動收付處理，用來協助企業管理碳配額，遵守相關的配額限制，並進行相關碳交易活動。這第4層。</p> <p>接著是根據碳配額管理企業內部碳帳戶，也就進到第5層的內部碳銀行，包含碳帳戶管理（碳配額池統籌）、對內對外碳交易結算、碳配額預測、碳配額交易計畫及模擬、碳交易期間處理（如日結、費用利息計提、對帳單生成等）。</p> <p>再往下一層是碳金融貸款及投資管理，該層包括前臺碳交易處理、中臺碳交易風險控制、後臺碳交易往來對帳和結算、碳會計處理，主要透過前中後臺的設計，支援碳金融貸款及投資管理所需各方面。值得注意的是，SAP未來將在S/4 HANA Cloud ERP中加入Green Ledger碳帳的碳會計處理功能，藉此讓企業客戶能像管財務一樣方式來管理碳帳。</p> <p>第7層是碳交易風險管理層，包含碳交易限額管理、碳金融貸款授信、碳交易對沖管理、碳交易風險分析，可用來管理和控制碳交易相關的風險，確保企業在在碳市場中的合規和減碳效益。</p> <p>最底層是基礎平臺層，包含大數據、BPM、商業智慧分析、DI、物聯網和行動應用，進一步協助企業用來蒐集、整合和分析碳相關的數據。</p> <p>企業可以根據自身永續發展需求、相關供應鏈和法遵要求，找出適合自己的碳管理能力來發展。</p> </div></div></div>
2023/7/3 17:39作者余至浩https://www.ithome.com.tw/news/157599
Google雲端推出可用Hive存取BigQuery資料的開源連接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端釋出可以連接<a href="https://cloud.google.com/blog/products/data-analytics/the-hive-bigquery-connector-is-ga">Apache Hive與BigQuery的連接器</a>，使得Hive工作負載現在也可以讀取和寫入BigQuery與BigLake表格，也就是說，Hive-BigQuery連接器提供了另一個Hive搬遷到BigQuery的解決方案，即便用戶已經將資料搬遷到BigQuery或BigLake，仍然可以利用HiveQL方言和Hive執行引擎執行查詢。</p> <p>Apache Hive是一個開源的分散式資料倉儲系統，用於處理儲存在Hadoop中的結構化資料，開發人員不需要了解和編寫複雜的MapReduce任務，可以使用類似SQL語言的HiveQL查詢資料。而之所以Google要開發Hive-BigQuery連接器，是因為部分用戶在搬遷Hive到BigQuery資料倉儲時遭遇障礙，而Hive-BigQuery連接器則可提供更靈活的搬遷選擇。</p> <p>Hive-BigQuery連接器實作了Hive StorageHandler API，可整合Hive工作負載和BigQuery、BigLake表格，Hive的執行引擎會處理聚合和合併等資料操作，而與BigQuery的資料層的所有互動，則是由連接器管理。</p> <p>Google提到，Hive原本就是熱門的開源資料倉儲之一，過去使用本地HDFS當作專有資料儲存層，而現在逐漸發展到了雲端儲存服務。這個新的連接器，可以將Hive和原生雲端儲存BigQuery整合在一起，進而簡化搬遷工作。</p> <p>利用Hive-BigQuery連接器，用戶可以在批次搬遷的過程，維持操作的連續性。在過程中，原始的Hive查詢能夠透過連接器存取資料，而用戶也可以逐漸轉換使用BigQuery的SQL方言，待轉換完成後，用戶便可以完全停用Hive。</p> <p>此外，用戶還可以同時使用Hive和BigQuery，主要以Hive處理工作負載，並僅將BigQuery用於特定任務，或是也可以繼續使用Hive，並且在雲端儲存採用Avro、Parquet或ORC等開源軟體格式，用戶可以使用Hive的SQL方言執行和處理查詢，以連接器使用BigLake和BigQuery的特有功能，像是快取查詢效能的後設資料、應用欄級存取控制，甚至是資料遺失防護（DLP）等安全和治理功能。</p> </div></div></div>
2023/7/3 16:00作者李建興https://www.ithome.com.tw/news/157596
上百家歐洲企業簽署公開信以批評《AI Act》草案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲議會（European Parliament）在6月14日通過了人工智慧法案（Artificial Intelligence Act，AI Act）的草案，以確保於歐洲開發及使用的AI可完全符合歐盟的權利與價值觀，亦為西方世界第一個全面性的AI法規，然而，約150名歐洲創投及企業的高階主管卻擔心《AI Act》可能危及歐洲的競爭力與技術主權，<a href="https://www.igizmo.it/wp-content/uploads/2023/06/Open-Letter-EU-AI-Act-and-Signatories.pdf" target="_blank">在上周五（6/30）送出了公開信</a>予歐洲議會、歐盟執委會（EC）及歐盟高峰會（European Council）。</p> <p>簽署此一公開信的C級高階主管來自德國西門子、法國飛機製造商Airbus、海尼根、遊戲業者Ubisoft、德國銀行，以及十多家創投業者。</p> <p>《AI Act》根據AI的風險等級替AI系統的供應商與部署者規定了各種義務，同時禁止某些可能對人類安全造成莫大風險的AI系統，亦規定像ChatGPT這類的基礎模型的供應商，必須評估與緩解各種可能對健康、安全、人權、環境、民主或法令所造成的風險，還得在於歐盟市場發表前向歐盟資料庫註冊。</p> <p>這群歐洲企業的高階主管透過公開信向歐盟表達對《AI Act》的擔憂，指出《AI Act》草案不僅會危及歐洲競爭力及技術主權，也無法有效解決歐洲所面臨的挑戰，特別是生成式AI，因為該法案將讓各種基礎模型都受到嚴格監管，意謂著開發及部署相關系統的企業將面臨不成比例的合規成本及責任風險。</p> <p>此外，他們也認為這樣的監督方式可能會導致高度創新的公司將活動轉移至國外，也會讓投資者撤回對歐洲基礎模型與AI開發的資金，而讓歐洲出現嚴重的生產力差距。如同網路的發明或是晶片的突破，生成式AI是一種對效能具有關鍵性作用的技術，因此，擁有最強大的大型語言模型的國家，也將擁有決定性的競爭優勢。</p> <p>這些高階主管同意生成式AI需要監管，但指出把監管納入法令並以嚴格的合規方式執行，是一種官僚主義，因為它無法有效地實現目的。</p> <p>他們在此一公開信中建議，歐盟的法令應該僅限於以基於風險的方法闡述廣泛的原則，執行則是交由另外組成的專門監管機構，並應靈活適應快速發展的技術與不斷出現的具體風險。</p> <p>今年3月，特斯拉執行長馬斯克（Elon Musk）與蘋果共同創辦人Steve Wozniak<a href="https://www.ithome.com.tw/news/156198" target="_blank">等科技大老曾警告AI可能對社會與人類帶來重大風險</a>，並呼籲暫停開發比OpenAI的GPT-4高階的AI系統至少6個月；<a href="https://www.ithome.com.tw/news/157134" target="_blank">5月時亦有AI重量級人物簽署了共同聲明</a>，警告AI可能帶來人類滅絕風險。</p> <p>歐盟所制定的《AI Act》顯然是想把AI的發展風險降至最低，但同時也惹來監管過度的批評。目前歐盟尚未對此一最新的公開信作出回應。</p> </div></div></div>
2023/7/3 14:18作者陳曉莉https://www.ithome.com.tw/news/157594
蘋果前設計師自立門戶，公布AI穿戴裝置Ai Pin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾參與Mac及iPhone等產品設計的蘋果前設計師成立的新創公司Humane，近日展示一款Ai Pin的穿戴裝置，能讓用戶不再需要智慧型手機，而以更直覺方式使用AI提供的通訊、運算或辨識功能。</p> <p>Imran Chaudhri在1995到2017年任職蘋果介面設計師，參與過蘋果最重要產品包括Mac、iPhone、iPad、iPod、Apple TV、HomePod、Apple Watch等，他和妻子暨蘋果軟體工程師Bethany Bongiorno於2017年離開蘋果，於2018年創立名為Humane的公司。這間公司多年來一直保持神祕，只說自己投入AI科技研發，多年未見成果。上周<a href="https://hu.ma.ne/" target="_blank">Humane官網</a>上公布產品名為Ai Pin，號稱該產品「更簡單、更快、更強大，且更人性化」，但無法看出完整面貌。</p> <p>不過<a href="https://www.ted.com/talks/imran_chaudhri_the_disappearing_computer_and_a_world_where_you_can_take_ai_everywhere/c" target="_blank">Chaudhri去年在TED Talk的演說</a>已經介紹了Ai Pin的設計原型。Ai Pin是一個可放在口袋的裝置，具有聲控助理、連網功能，及內建麥克風、相機及投影機。它打出無螢幕、無縫、感測（screenless, seamless, sensing）的口號，主要是由一個經過訓練的AI助理提供用戶所需要的服務，而不需要再有一個運算裝置。</p> <p>在其示範中，使用者只要按一下Ai Pin按鍵就能啟動聽取及執行用戶的需求。例如回答可以在哪買到送人的禮物，或是以已經個人化的AI，以近似用戶的聲音說出異國語言。它的投影機可在用戶手掌心或桌面投射出智慧型手機鍵盤，但也可以由AI直接彙整來電、電子郵件、會議及行程內容。當以相機對準某件物品，例如巧克力，其電腦視覺可辨識營養價值，AI助理則可提供建議。Chaudhri表示，Ai Pin的精神在於愈用愈能了解使用者，其AI模型能提供愈個人化的建議。</p> <p>Ai Pin的產品推出時程不明。有興趣的用戶需加入官網上的等候清單。</p> <p>Humane深獲投資人期待。<a href="https://techcrunch.com/2023/06/30/secretive-hardware-startup-humanes-first-product-is-the-ai-pin/" target="_blank">Techcrunch報導</a>，Humane已募得2.3億美元資金，投資人包括Salesforce執行長Marc Benioff、OpenAI執行長Sam Altman、微軟、高通、Volvo Cars Tech、SK Networks、LG及Tiger Global等私募基金。</p> </div></div></div>
2023/7/3 14:44作者林妍溱https://www.ithome.com.tw/news/157595
【資安週報】2023年6月26日到6月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一週的資安消息中，以Lockbit與Akira勒索軟體的動向最受關注。以Lockbit而言，30日他們聲稱台積電為受害者，但其實不然，當日下午台積電指出是IT硬體供應商遭駭，而被多家媒體指為真正受害的擎昊科技也坦承遭駭，而我們後續新發現，<a href="https://www.kx.com.tw/KX_News_Letter_20230629-1/">該公司於30日發出聲明表示</a>遭遇資安事件，並指出因為外洩資料揭露的硬體初始設定資訊中出現特定客戶名稱而導致：以Akira而言，資安新聞網站Bleeping Computer提出警告，並指出該組織的駭客已打造Linux版本，正鎖定VMware ESXi虛擬機器攻擊，而我們在關注勒索軟體受害者的消息時，也發現資安業者所監控暗網這方面資訊中，近期的確有大量Akira勒索軟體受害者被公布的情況。</p> <p>在漏洞消息方面，近日有多個漏洞已遭攻擊者成功利用，成為必須關注的焦點，包括前一周Zyxel修補的CVE-2023-27992重大漏洞，VMware在6月初修補的網路分析系統Aria Operations for Networks的CVE-2023-20887，如今已遭攻擊者鎖定。</p> <p>此外，從美國CISA已知漏洞利用清單，我們新發現還有多個老舊漏洞被納入，因此這裡也特別補充，包括：微軟Win32漏洞（CVE-2016-0165）、Mozilla Firefox ESR與Thunderbird的漏洞（CVE-2016-9079），Roundcube Webmail的3個漏洞（的CVE-2021-44026、CVE-2020-12641、CVE-2020-12641），Samsung智慧型手機的6個漏洞（CVE-2021-25372、CVE-2021-25371、CVE-2021-25395、CVE-2021-25394、CVE-2021-25489、CVE-2021-25487），以及D-Link兩款路由器的漏洞（CVE-2021-25487、CVE-2019-20500）。</p> <p>在其他威脅態勢上，值得關注的焦點主要有三，包括，處理程序注入新手法Mockingja，駭客組織Muddled Libra針對業務外包業者（BPO）的攻擊手法，以及駭客濫用OpenSSH部署以Shell指令碼打造後門程式的揭露。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/157498"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</span></strong></a></h3> <p>殭屍網路的攻擊行動，最近幾個星期又有再度增加的情況，大都是針對單一機種的網路設備而來，而最近資安業者Palo Alto Networks揭露的Mirai殭屍網路攻擊當中，駭客自今年3月開始，運用多個廠牌網路設備的漏洞來發動攻擊，截至目前為止，駭客已鎖定22款設備的漏洞下手，且攻擊行動仍在持續。</p> <p>另一起針對Linux設備的挖礦攻擊也相當值得留意，因為，駭客罕見地竄改了開源加密程式庫OpenSSH，並拿來竊取SSH連線的帳密資料。</p> <p>卡巴斯基日前揭露的iOS零點擊攻擊行動Operation Triangulation，駭客透過零時差漏洞攻擊該公司員工的iPhone手機。到了最近，蘋果針對上述的零時差漏洞發布修補程式，但值得留意的是，該公司不光針對iOS，也對於Mac電腦、穿戴裝置的作業系統進行修補。</p> <h3><a href="https://www.ithome.com.tw/news/157513"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</span></strong></a></h3> <p>駭客發動挖礦攻擊的事故近期出現數起，其共通點是主要針對執行Linux作業系統的裝置而來，但Windows電腦的使用者也不能掉以輕心。因為最近出現以提供電玩遊戲為誘餌的攻擊行動，駭客看上玩家電腦往往會是採用運算效能較佳的硬體，而打算將其電腦資源用於挖礦而牟利。</p> <p>圖像化資料分析解決方案Grafana最近修補的漏洞也相當值得留意，這項漏洞與Azure AD有關，一旦遭到利用，攻擊者就有可能透過OAuth身分驗證流程接管使用者的Azure AD帳號，使得開發團隊呼籲用戶要儘速採取緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/157532"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></a></h3> <p>5月底MFT檔案傳輸系統MOVEit Transfer的零時差漏洞攻擊事故發生至今，已經過了一個月，駭客於6月中旬公布了部分受害組織的名單，也有組織證實遭到攻擊而外洩資料。最近駭客公布更多受害組織而引發關注，當中有兩家大型的工業控制系統業者。</p> <p>駭客企圖繞過防毒軟體與EDR偵測的情況不時出現，例如，使用自帶驅動程式（BYOVD）的方法，但如今有研究人員發現能繞過這類系統偵測的新型態攻擊手法。</p> <p>鎖定業務外包業者的攻擊行動，也相當值得注意。過往相關的攻擊行動裡，駭客往往將此類業者視為他們攻擊目標組織的跳板，被針對的業務外包業者較為單一，但如今出現了專門針對這類產業下手的駭客組織。</p> <h3><a href="https://www.ithome.com.tw/news/157555"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月29日】NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</span></strong></a></h3> <p>鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。</p> <p>又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。</p> <p>Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/157579"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月30日】勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金</span></strong></a></h3> <p>歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。</p> <p>2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。</p> <p>針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。</p> </div></div></div>
2023/7/3 09:36作者羅正漢https://www.ithome.com.tw/news/157587
Meta計畫讓歐盟用戶從臉書下載第三方App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2023/6/29/23778928/meta-eu-facebook-plans-app-install-android-ads" target="_blank">《The Verge》報導</a>，Meta計畫提供軟體市集，讓歐盟用戶可不經Google Play Store下載Android App。</p> <p>報導指出，Meta最快今年內啟動測試一種新式廣告，由廣告引導用戶前往Meta的Android市集下載App。這是因應歐盟即將在2024年上路的《數位市場法》（Digital Market Act），Meta切入軟體平臺新機會的新嘗試。</p> <p>2022年歐盟通過的《數位市場法》下，要求Google和蘋果等超大型網際網路服務及平臺作為「守門人」不得合併多種來源的用戶個資、必須和第三方通訊App互通，而且需允許用戶安裝第三方App。Meta的計畫是提供Android App市集，以吸引用戶點選臉書廣告前往下載，將有助於提升廣告轉換率及收益。報導表示，至少一開始Meta不會向App開發商要求In-App營收分潤，開發商可使用自己屬意的支付糸統。</p> <p>Meta也證實這點，表示Meta向來有興趣提供開發商更多散布其App的選擇，更多選擇也可增加此市場的競爭，開發商也有獲得更多下載管道的權利。</p> <p>Meta並非唯一利用歐盟新法令提供新機會的大廠。<a href="https://arstechnica.com/gaming/2023/03/microsoft-plans-mobile-games-app-store-to-rival-apple-and-google/" target="_blank">微軟3月在遊戲開發商大會表示</a>，如果微軟收購動視暴雪（Activision Blizzard）成功，將在明年於歐盟地區推出iOS及Android遊戲App的平臺供Xbox訂閱戶下載。只是本收購案出現變數，目前遭美國主管機關之<a href="https://www.ithome.com.tw/news/157309" target="_blank">一聯邦交易委員會（FTC）透過法律手段企圖阻攔</a>。</p> </div></div></div>
2023/7/3 11:28作者林妍溱https://www.ithome.com.tw/news/157589
臺灣牙科新創用生成式AI打造牙科HIS服務，下一步要推AI自動排版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI產業用例再添一例，專攻牙科醫療資訊系統（HIS）的牙科新創台灣牙e通昨（7月2日）揭露生成式AI新服務<a href="https://dentall.ai/">dentall.ai</a>，用GPT-4、GPT-3.5等大型語言模型優化牙科HIS，能根據病歷文字快速生成牙位圖、方便醫師與病人溝通治療方式，還在系統中整合生成式AI Chatbot，來讓醫師、牙助快速查詢健保申報資訊，提供建議代碼和申報建議。該服務目前為Beta版，開放醫師公測，現支援Chrome和Edge瀏覽器，接下來還會擴大到Safari、Firefox等瀏覽器。台灣牙e通創辦人暨執行長陳欽章透露，團隊瞄準海外市場，接下來要推英文版系統，還要新添更多功能，如AI自動排班、自動化預約和更彈性的牙位圖與內容生成。</p> <p><span style="font-size:22px;"><strong>5月推出健保AI GPT聊天機器人，今推LLM優化HIS服務還能生成牙位圖</strong></span></p> <p>這不是台灣牙e通第一次開發AI產品。他們自2018年開發牙科HIS產品後，就在2021年與北醫聯手，用2萬多張口腔X光片訓練出牙周病判讀AI模型，能根據患者口腔X光片計算出牙周病風險（如下圖）。目前，這款AI軟體正進行食藥署智慧醫材許可證的申請，團隊同時也與保險公司洽談，盼未來AI判讀風險、確認患者需要治療後，即能理賠金額。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai.jpeg" /></p> <p>今年，台灣牙e通擁抱生成式AI模型，包括GPT-3.5和GPT-4，在5月就推出Line版本的健保AI GPT聊天機器人：e聊智慧通，來回答牙科健保申報相關問題。汪庭宇解釋，為確保Chatbot能正確回答使用者問題，團隊自建一個包含語意分析器的中繼層，當使用者輸入問題後，會先由分析器來分析提問、校正錯字，再將調整過的提問，送至GPT-4或GPT-3.5來產出回覆。</p> <p>這些產出的初步回覆，並不會直接傳送給使用者，而是會再經過中繼層梳理，比如判斷可信度是否足夠，以及用自建的健保資料庫來確保回答符合規範，最後才傳送給使用者。</p> <p>汪庭宇指出，光是5月，該Chatbot就有1千多名牙科使用者使用。</p> <p>後來，團隊進一步擴大功能，將這種大型語言模型嵌入牙科HIS中，成為dentall.ai牙科助手，來加速醫師工作。他們用將近60萬字的資料（包含牙科知識庫和經授權的牙科治療決策資料），來微調大模型，讓模型不只能回答健保申報規則、推薦組合等問題，還能提供治療建議、查詢IDC-10疾病代碼、產生衛教資訊和牙位圖等資訊。</p> <p>這個dentall.ai採擴充外掛形式，供使用者下載、安裝到瀏覽器中使用。舉例來說，使用者新增外掛後，就能在台灣牙e通的HIS頁面中啟動，點擊輸入框，dentall.ai就會自動跳出選項，比如查詢代碼規則、查詢ICD-10國際病碼、常見同時申報代碼等，來讓使用者選擇，並輸入自己的問題。等待數秒，AI就會給出回覆，來給使用者參考。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3259.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3258.jpeg" /></p> <p>不只如此，這個生成式AI助理，還能根據醫師輸入的病況，來產出治療計畫書和牙位圖，方便醫病溝通。進一步來說，HIS頁面的病歷欄中已列出各項病徵，醫師只需輸入患者病況，如缺牙（Missing）：11、阻生齒（Impaction）：44，就能透過建議選項，點擊生成牙位圖和治療建議，來供醫師參考（如下圖）。要是醫師認為建議不當或牙位圖有誤，也可自行修正。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_3265.jpeg" /></p> <p>除了生成式AI，團隊也在新版牙科HIS中新添語音辨識功能，能將語音轉文字，方便記錄患者狀況。此外，他們也新添圖片整理小功能，像是醫師可針對患者X光片貼標、分類等，來管理檔案。這款dentall.ai目前為beta版本，開放醫師測試使用，也支援Chrome和Edge瀏覽器，接下來會擴大支援Firefox和Safari。這套HIS採用GCP服務，能自動調度資源，也符合國內外資安規範。</p> <p>汪庭宇也預告，接下來他們還將推出AI排班功能，來節省牙科診所過去需要專人排定牙助和牙醫班表的工作。此外，他們也要推出自動預約功能，以及更有彈性的牙位圖和內容生成。</p> <p><span style="font-size:22px;"><strong>成立之初就看好科技輔助，成立境外MedTech公司鎖定醫療AI</strong></span></p> <p>AI席捲各行各業，牙科也不例外。陳欽章指出，他調查發現，在美國生技資訊中心維運的醫療文獻搜尋網站PubMed中搜尋AI+牙醫，在2000年至2009年間，只有170篇，但自2010年至2019年，增加至417篇，但光是2020年至2022年，數量就暴增至1,114篇，2023年至今則是359篇，預計今年底達7、800篇，可見AI對牙科影響越來越大。</p> <p>AI用於牙科，還可分為臨床決策輔助系統和影像分析。就臨床決策輔助來說，包含了資料分析、疾病分類和預測，而影像分析則有疾病偵測、影像辨識和臨床模擬（如牙齒美白、牙齒矯正前後）。這些AI應用，也是台灣牙e通所關注的。</p> <p>陳欽章看好科技輔助牙科作業，將台灣牙e通定位為AI牙科軟體公司。他在2015年成立台灣牙e通時，就先在臉書成立社團來提供牙材團購和教學課程團報服務，2018年則正式瞄準牙科HIS，找來技術長、自建研發團隊，來開發牙科HIS和牙科診所採購平臺，這些系統已有不少臺灣診所和醫院採用。2021年，團隊開始嘗試AI，與北醫合作開發牙周病判讀AI，後來也成立MedTech境外公司，將自己定位為醫療科技公司，「目前先做牙科，未來會擴大到其他科別。」陳欽章說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%BC%E5%B1%95.jpeg" /></p> <p>身為執業牙醫師，陳欽章也用牙醫師日常面對的5大問題，來解釋自家系統佈局。比如，他們開發的雲端診所管理系統是要解決牙科看診和行政工作需求，另外也將自建的內部採購系統開放出來，作為另一項服務，來解決牙材採購問題。他解釋，會開放這個平臺，是在疫情間收到許多東南亞廠商詢問，他們希望有套牙材電商平臺來交易，目前在新加坡、馬來西亞、泰國和菲律賓都能使用。最後，台灣牙e通也經營原有的線上、線下教學平臺，來供國內牙醫師使用，目前也正發展保險平臺，要解決國內外牙科保險理賠問題。</p> </div></div></div>
2023/7/3 02:07作者王若樸https://www.ithome.com.tw/news/157585
蘋果成為全球首家市值達3兆美元的企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果上周五（6/30）股價上漲了2.31%，以193.97美元作收，市值為3.051兆美元，成為全球首家市值超越3兆美元的企業。蘋果身價在2022年1月3日的盤中也曾一度突破3兆美元，但當時並未能延續至收盤，這一年多以來蘋果市值更曾一度掉至2兆美元。</p> <p>今年初蘋果的股價大約落在130美元左右，這期間的漲幅達49%，那斯達克（Nasdaq）股市在同一期間的漲幅為30%，微軟則是40%。</p> <p>《CNBC》引用Wedbush Securities分析師Dan Ives的看法指出，他們相信蘋果會在未來的12~18個月內重拾大幅成長，華爾街不僅低估了iPhone 14的安裝基礎，且iPhone 15將迎來重大的更新周期，因為有25%的蘋果用戶最近4年都沒有更新手機。</p> <p>另一方面，蘋果於6月上旬發表的<a href="https://www.ithome.com.tw/news/157260" target="_blank">Apple Vision Pro也受到各界好評</a>，儘管華爾街分析師認為，售價3,499美元的Vision Pro短期內應該無法替蘋果帶來太多營收，但當蘋果推出成本與售價更低的版本時，可望推動全球的元宇宙市場，並成為蘋果的營收主力。</p> <p>目前全球市值第二大的企業為微軟的2.532兆美元，第三名是沙烏地阿拉伯國家石油公司Saudi Aramco的2.079兆美元，Alphabet則以1.53兆美元位居第四，Amazon以1.337兆美元排名第五，第六名是近日竄起的Nvidia，市值為1.044兆美元。</p> </div></div></div>
2023/7/3 09:11作者陳曉莉https://www.ithome.com.tw/news/157586
Windows 11首度公測Copilot、加入RAR及7-zip支援、Bing廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟全面擁抱AI，將GPT模型為底層的Copilot加入Bing、Edge、Microsoft 365、Dynamic 365、及SharePoint等產品，<a href="https://www.ithome.com.tw/news/157018" target="_blank">5月在Build開發者大會上宣布</a>擴大其Copilot也將整合到Windows 11。<a href="https://blogs.windows.com/windows-insider/2023/06/29/announcing-windows-11-insider-preview-build-23493/" target="_blank">微軟上周發布包含</a>Copilot的第一個Windows 11公開測試版，正式將AI助理推向桌機作業系統，同時也開始支援RAR、7-zip等受歡迎的壓縮檔格式，並開始加入Bing廣告。</p> <p>上周微軟以緩進速度在Dev頻道釋出Insider Preview Build 23493，提供用戶預覽Windows Copilot。安裝好後，工具列會出現在新按鍵，或按「視窗」鍵＋C，即可啟動Windows Copilot。它使用微軟帳號或Azure Active Directory（AAD）帳號登入。啟動後Windows Copilot會出現在螢幕右邊工具列以免擋住使用中的內容和應用程式。微軟建議用戶的Microsoft Edge瀏覽器版本也應在115.0.1901.150以上。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/windows-copilot1-1024x683.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>Windows 11 Copilot能讓用戶不用切換介面，直接和ChatGPT互動，提供搜尋、回應用戶問題、幫忙撰寫會議記錄或草稿等工作。此外也能幫用戶操作Windows指令，像是變更成深色模式、啟動「勿打擾」、抓取螢幕擷圖，或是為網頁內容做重點摘要。測試版的Windows Copilot版本也首度加入廣告。微軟說，Windows Copilot整合Bing Chat可生成情境化的回應（即能讀懂螢幕上的文字），用戶可能會收到經由Bing廣告送出「微軟認為相關」的建議。</p> <p>但之前宣布的某些功能，像是允許用戶以Windows Copilot控制Bing第三方外掛，在第一個公測版是還沒有的。但微軟說等Insider用戶測試後會再逐漸改進Copilot功能。</p> <p>微軟表示未來還會擴大測試，包括提供給多頻道用戶，以及加入IT管理員控管公司員工使用的政策。用戶可以透過Windows Copilot側邊工具列右上的3點式選單，回傳使用意見。</p> <p>除了Copilot外，最新的測試還加入新的壓縮檔格式支援、以及新的「設定」App首頁以及其他功能。一如5月Build大會上<a href="https://www.ithome.com.tw/news/157017" target="_blank">微軟宣布</a>，Windows也加入了其他壓縮歸檔格式的支援，包括.rar、.7z、.tar、tar.gz、.txz、.tbz2等多種格式。不過微軟說會有一些效能問題。新版「設定」App首頁則以卡片讓使用某些功能更方便，例如建議的設定、雲端儲存、帳號回復、個人化、M365及XBox訂閱狀態、連線的藍牙裝置等。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/settings-homepage-1024x758.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_微軟</span></p> <p>Windows 11也整合了5月底測試版的新功能，如新的備份App、及恢復在Windows 11一度拿掉的App。後者以App大頭釘形式，如果它在Microsoft Store可供下載，點擊大頭釘就能使用，如果無法從Store下載就會導引用戶前往相應網站下載。</p> <p>其他功能包括日文與英式英語自然朗讀聲音、混音程式，以及Windows Sonic App使用空間音效的選單等。</p> </div></div></div>
2023/7/3 09:41作者林妍溱https://www.ithome.com.tw/news/157588
【資安日報】6月30日，勒索軟體LockBit聲稱入侵台積電，索討7千萬美元贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐美國家日前聯合針對勒索軟體LockBit提出警告，指出此為去年全球最猖獗的勒索軟體，但此駭客組織的行徑越來越囂張，現在號稱竊得台積電資料並索討7千萬美元。對此，台積電表示是他們的供應商遭到攻擊所致。</p> <p>2021年底揭露的Log4j重大漏洞Log4Shell，在去年相關攻擊大量爆發，到了今年幾乎可說是較為緩和，但相關攻擊行動並未就此消聲匿跡。有北韓駭客組織仍藉由Log4Shell入侵受害組織，並進一步部署木馬程式EarlyRAT。</p> <p>針對商用軟體大廠SAP專屬通訊協定遠端功能呼叫（RFC）的漏洞研究，也相當值得留意。有資安業者針對此通訊協定進行長達3年的調查，結果發現4個可被利用的漏洞，研究人員指出，這些漏洞廣泛影響SAP近10款產品，而且具備蠕蟲特性，攻擊者可用來進行橫向移動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">台積電傳出遭勒索軟體LockBit攻擊，該公司表示是供應商遭到攻擊，受害廠商擎昊科技也發表聲明承認遭駭</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit-tsmc-breach.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit-tsmc-breach.jpg" style="width: 300px; float: right;" /></a>根據國內外新聞媒體6月30日上午的報導，勒索軟體LockBit聲稱攻擊了台積電（tsmc.com），並要脅若不付錢，他們將公布能夠進入該公司內部網路的帳號及密碼。駭客也開出價碼，要求銷毀資料，或是下載檔案的價碼各為7千萬美元。</p> <p>對此，台積電於今日下午提出說明：「台積公司已知悉某IT硬體供應商受到駭客侵害之事件，目前已知洩漏的資訊皆為該供應商協助的硬體初始設定資料，因所有進入台積公司之硬體設備包括其安全設定皆須在進廠後通過台積公司完備程序做相對應的調整，本次事件不會影響台積公司之生產營運，亦無台積公司客戶之相關資訊外洩。事發後，台積公司已按照公司之標準作業程序處理，包含立即中止與該硬體供應商的資料交換，後續亦將加強宣導供應商的安全意識與確認安全標準做法。目前此駭客侵害事件已進入司法調查程序。」</p> <p>而對於台積電提及的供應商，多家媒體報導就是擎昊科技。針對此事，擎昊也做出說明：「本公司於2023年6月29日上午，發現公司內部特定測試環境中，遭受外部團體之網路攻擊，並擷取相關資訊，資訊內容主要為本公司為客戶提供之各式系統裝機準備資訊，因揭露之資訊中出現特定客戶之名稱，造成客戶之困擾，除先向受到影響之客戶致歉外，本公司已就此次資安事件進行排查與防護強化，特此通知。」</p> <p>參考資料</p> <p>1. <a href="https://cybernews.com/news/tsmc-data-breach-lockbit/">https://cybernews.com/news/tsmc-data-breach-lockbit/</a><br /> 2. <a href="https://technews.tw/2023/06/30/hackers-blackmail-tsmc/">https://technews.tw/2023/06/30/hackers-blackmail-tsmc/</a><br /> 3. <a href="https://money.udn.com/money/story/5612/7269764">https://money.udn.com/money/story/5612/7269764</a></p> <p><a href="https://securelist.com/lazarus-andariel-mistakes-and-easyrat/110119/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客Stonefly透過Log4Shell漏洞散布木馬程式EarlyRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lazarus_report_03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lazarus_report_03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露北韓駭客組織Lazarus旗下團體Stonefly（亦稱Andariel）最新一波的攻擊行動，這些駭客從2022年中期，利用Log4Shell漏洞入侵目標組織並部署後門程式DTrack，然後下載3Proxy、Putty、Dumpert、Powerline等軟體進行網路偵察、竊取帳密資料，以及進行橫向移動。</p> <p>駭客疑似在攻擊過程裡投放帶有木馬程式EarlyRAT的Word檔案，聲稱因為使用者電腦上Word程式版本較舊，而無法載入內容，要求使用者更新應用程式，或是暫時啟用巨集來因應。</p> <p>一旦使用者依照指示啟用巨集，電腦就有可能被植入木馬程式。研究人員提及，此木馬程式與Lazarus另一個名為MagicRAT的惡意軟體相似，駭客都是透過軟體框架開發而成，且兩者的功能都相當有限。</p> <p><a href="https://www.ithome.com.tw/news/157552"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓間諜程式LetMyeSpy遭入侵，用戶資料外流</span></strong></a></p> <p>資安業者Niebezpiecznik指出，安卓間諜軟體LetMeSpy出現資料外洩的情況，駭客聲稱取得此間諜軟體製造商網域的存取權限，且疑似竊取了用戶資料後刪除了伺服器上的檔案。</p> <p>研究人員在流出的檔案裡，發現逾2.6萬筆用戶的電子郵件帳號及密碼、1.6萬則簡訊，以及追蹤者與被追蹤者的電話號碼。</p> <p>資料外洩情報網站DDoSecrets與科技網站TechCrunch聯手分析上述資料，上述資料涉及1.3萬臺遭LetMeSpy監控的裝置，大多數位於美國、印度、西非。波蘭資料保護機構UODO發言人Adam Sanocki證實，他們收到了LetMeSpy的資料外洩通報。</p> <p>參考資料</p> <p>1. <a href="https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/">https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/</a><br /> 2. <a href="https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/">https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec-consult.com/blog/detail/responsible-disclosure-of-an-exploit-chain-targeting-the-rfc-interface-implementation-in-sap-application-server-for-abap/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露影響SAP多項產品的RFC重大漏洞</span></strong></a></p> <p>資安業者SEC Consult研究人員揭露對於SAP系統專屬的通訊協定長期研究成果，陸續發現了CVE-2021-27610、CVE-2021-33677、CVE-2021-33684、CVE-2023-0014。</p> <p>上述漏洞的共通點，就是影響採用SAP Application Server for ABAP元件的應用系統，這些包含了SAP ERP Central Component（ECC）、S/4HANA、BW/4HANA、Solution Manager（SolMan）、SAP for Oil & Gas、SAP for Utilities、Supplier Relationship Management（SRM）、Human Capital Management（HCM）、Employee Central Payroll（ECP）。</p> <p>研究人員指出，利用他們找到的漏洞，攻擊者不需特殊權限，過程中也不需求使用者互動，而且，若是攻擊者將漏洞加以串連，會帶來更嚴重的威脅。研究人員指出這些漏洞具備蠕蟲特性，攻擊者可用於在SAP系統裡進行橫向移動。</p> <p><a href="https://www.wordfence.com/blog/2023/06/miniorange-addresses-authentication-bypass-vulnerability-in-wordpress-social-login-and-register-wordpress-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress社群網站登入外掛出現重大漏洞，恐曝露使用者的帳號</span></strong></a></p> <p>資安業者Wordfence揭露外掛程式WordPress Social Login and Register的身分驗證漏洞CVE-2023-2982，一旦遭到利用，攻擊者就可能在得知使用者登入網站所使用的電子郵件信箱相關資訊的情況下，入侵目標WordPress網站，CVSS風險評分為9.8。</p> <p>這項漏洞發生的原因，在於此外掛程式在使用者登入的驗證過程裡，加密強度不足所致，導致未經身分驗證的攻擊者有可能藉此存取包含管理者在內的帳號。研究人員於5月30日通報開發商miniOrange，該廠商於6月14日發布7.6.5版予以修補。</p> <p><a href="https://www.mdsec.co.uk/2023/06/cve-2023-26258-remote-code-execution-in-arcserve-udp-backup/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">備份軟體Arcserve UDP出現身分驗證繞過漏洞</span></strong></a></p> <p>資安業者MDSec揭露備份軟體Arcserve Unified Data Protection（UDP）的身分驗證繞過漏洞CVE-2023-26258，這項漏洞影響7.0至9.0版的Arcserve UDP，可讓攻擊者攔截含有AuthUUID資訊的SOAP請求，進而取得管理員的連線階段（Session），最終能夠存取該系統的管理介面，甚至有可能破壞目標系統的備份資料。對此，Arcserve於6月27日發布更新版本進行修補。</p> <p><a href="https://securityaffairs.com/147828/hacking/bind-dns-dos-flaws.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網路系統協會修補DNS軟體套件BIND9的DoS漏洞</span></strong></a></p> <p>6月21日網路系統協會（ISC）發布DNS軟體DIND 9更新版本9.16.42、9.18.16、9.19.14、9.16.42-S1、9.18.16-S1，一共修補了3個漏洞CVE-2023-2828、CVE-2023-2829、CVE-2023-2911，這些都是阻斷服務（DoS）漏洞，攻擊者可遠端利用，進而導致DNS設備的記憶體耗盡，或是BIND的常駐處理程序（daemon）named當機，上述漏洞的CVSS風險評分皆為7.5。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blog.1password.com/unlock-with-sso-oidc/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">1Password針對OpenID Connect身分驗證解決方案支援單一簽入</span></strong></a></p> <p>密碼管理解決方案業者1Password於6月28日宣布，他們將支援通用的OpenID Connect（OIDC）組態，而能和更多身分驗證供應商的解決方案整合，這些解決方案包含了 Duo、OneLogin、JumpCloud、Ping Identity等，企業版1Password用戶將能透過這類身分驗證系統的單一簽入（SSO），存取1Password帳號。</p> <p><a href="https://proton.me/blog/proton-pass-launch"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Proton推出密碼管理服務，整合電子郵件信箱別名功能</span></strong></a></p> <p>專門提供網路隱私服務的VPN業者Proton於6月28日，發表密碼管理服務Proton Pass，用戶可以透過瀏覽器擴充套件在電腦上使用，也能藉用安卓、iOS版應用程式存取帳密資料。值得一提的是，此服務不光能用來管理帳密資料，也提供動態密碼產生器的功能，並支援電子郵件信箱別名的機制Hide-my-email。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cip.gov.ua/en/news/vorozhi-khakeri-atakuyut-kritichnu-infrastrukturu-ukrayini-pracyuvati-nad-posilennyam-zakhistu-treba-postiino"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">自2022年戰爭開打以來，烏克蘭關鍵基礎設施遭到3千次網路攻擊</span></span></strong></a></p> <p><a href="https://blog.sekoia.io/following-noname05716-ddosia-projects-targets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客發起的DDoS攻擊行動一年內增加24倍</span></span></strong></a></p> <p><a href="https://unit42.paloaltonetworks.com/manic-menagerie-targets-web-hosting-and-it/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國、歐盟IT服務供應商遭到鎖定，駭客將其伺服器用於挖礦</span></span></strong></a></p> <p><a href="https://www.group-ib.com/blog/cryptoslabs-investment-scams/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">詐騙集團CryptosLabs鎖定法國、比利時、盧森堡，假借投資名義詐財</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/8base-ransomware-gang-escalates-double-extortion-attacks-in-june/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體8Base威脅態勢升溫</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157555">【6月29日】 NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></strong></p> </div></div></div>
2023/6/30 17:15作者周峻佑https://www.ithome.com.tw/news/157579
蘋果AR新戰略解密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1136-feng_mian_p1-open-zhi_hao_-960x420_kao_bei_.jpg?itok=6y_z_6Gc" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果首款AR頭戴設備終於問世，這卻是蘋果花了6年精心策畫的布局，從行動裝置開始支援、推出專用開發工具，到採用光達空間感測技術，蘋果下一步更要讓行動開發者能夠無縫接軌這個新的空間運算世界，打造完整的AR開發生態圈，這是蘋果AR新戰略</p> </div></div></div>
2023/6/30 15:23作者余至浩https://www.ithome.com.tw/article/157578
深化數據分析驅動決策，55688靠數據加速數位轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提到「55688」，相信不少人會馬上聯想到是超過20年的台灣大車隊叫車服務，但是，這個交通運輸乘車服務，近幾年逐漸發展成一個多角化經營的55688集團。為了扭轉計程車乘車服務的傳統印象，55688集團這近幾年加速轉型，要成為提供多元生活服務的數位服務平臺。</p> <p>除了乘車服務之外，包括微搬家、代駕、居家清潔、洗衣、訂房、機場接送等服務，讓使用者一站式平臺取得這些生活化服務。台灣大車隊更因連續2年資訊媒合服務營收超過了一半，也申請調整股市產業類別，7月後會轉入數位雲端產業，和網路、電商等業者並列數位雲端產業類別。</p> <p>早在2011年推出的55688 App，這幾年更積極從單一叫車服務，要發展成串連多種服務的超級App，國內用戶約680萬名，相當於每4人即有1名用戶。今年5月初剛完成了一次UX體驗的大改版，背後推手之一是帶領IT及研開團隊，協助集團加速數位轉型的55688集團資訊／研發事業群副總經理南強。</p> <p><span style="font-size:28px;"><strong>強化IT和業務單位更緊密合作</strong></span></p> <p>南強過去曾在工研院化工所任職，專長領域為工廠自動化，從產線設備蒐集資訊，進行分析監控，後來進入電信產業，陸續接觸企業IT、營運方面工作，之後加入台灣大車隊，曾參與客服、資訊部門，2021年升任集團資訊／研發事業群副總，這幾年帶領資訊及研發團隊協助集團加速數位轉型發展，對於IT研發團隊的角色轉變，南強自己有相當深刻的體會。</p> <p>他表示，過去資訊研發團隊多是幕後工作，由業務單位提出需求，經過訪談後，依據需求規格進行開發，現在IT的趨勢是要往前跨一步，和業務、行銷等其他單位更緊密的合作，提供更多的意見讓其他單位參考。南強直言，傳統的IT僅根據需求規格進行開發，較不會從平臺營運角度來思考。</p> <p>「集團開始重視平臺經營，業務單位也希望借助平臺帶動業績成長，就需要數據驅動， IT和業務單位需要更緊密合作，IT協助產生數據，共同分析數據產生判斷」，他述說IT研發團隊這幾年的角色轉變。</p> <p>55688平臺上有多種服務，每項服務背後都有專門的業務單位負責，但平臺整體經營、體驗缺少專責單位統籌，因此，去年，55688集團在資訊研發事業群底下進一步成立了平臺發展部，專門負責統籌平臺服務體驗一致性、資料蒐集，代表資訊研發團隊和前端業務單位，比過去更加緊密合作。</p> <p>「過去IT比較被動，業務單位提出需求，IT接手需求來開發，再根據業務單位意見修改調整，現在的趨勢是，IT和業務單位雙方需要更緊密搭配合作」，南強說。</p> <p><span style="font-size:28px;"><strong>以數據作為各部門共同語言，深化數據驅動決策</strong></span></p> <p>當IT角色還有另外一種改變，「IT的角色逐漸從後端向前跨一步協助前端的業務單位時，」南強表示，另一方面，IT將可蒐集的相對應數據集中，讓這些數據可以被應用，過去，憑經驗認為系統應該如何修改，現在，通過數據蒐集、分析，提供相對客觀的決策參考依據。</p> <p>IT也負責蒐集平臺上的使用行為數據，甚至要有能力用數據來了解使用者的行為模式，例如在不同階段的轉換率，以分析為何會產生落差，和前端業務單位共同探討原因。</p> <p>例如對使用者而言，使用服務的門檻是否過高？相關體驗設計是否做得不夠好？或是使用者填寫的欄位資料，和業務單位要求的欄位資料，在實務上有何衝突難處？</p> <p>過去業務單位需要的報表，提出數據分析的需求後，由IT部門產生，55688集團希望不只IT部門化被動為主動，和業務單位合作，甚至反過來業務單位也要具備數據分析的基本能力，根據分析需要設定幾個維度，產生BI報表，而不需要事事仰賴IT協助。</p> <p>但是，由於數據量相當龐大，分析需要耗費較多的運算資源、時間，例如今天開始分析數據，可能要到隔天才能產生結果，對於業務單位而言，難以滿足業務單位的需要，IT也難以針對短期的大量運算需要，採購多臺實體伺服器，徒增日常維運負擔，甚至在運算離峰時造成大量資源的閒置。</p> <p>為了解決這個問題，他們先將分散在不同系統的資料，通過統一標準在地端匯整在一起，讓不同部門得以使用一致的數據進行溝通，再和業務單位訪談，了解哪些數據需要即時分析，將這些數據上雲，利用雲端運算的大量運算資源，來縮短數據分析過程。</p> <p>通過雲端的大量運算資源彈性運用，過去可能要等到明天才能產生的分析結果，現在縮短到6秒完成，業務單位也能通過使用BI分析工具，可自行設計分析的維度，快速產生數據分析結果。對IT單位而言，不用採購大量伺服器、負擔設備維運工作，分析使用的雲端資源也在運算結束後自動釋出。</p> <p>「IT和業務單位以數據作為共同語言，以數據分析來作決策，作為比較量化的指標、形成共識，避免出現不一致的看法」，南強說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-55688-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span><br /> <span style="color:#3399ff;"><span style="font-size:22px;"><strong>55688集團資訊／研發事業群副總南強表示，IT和業務單位以數據作為共同語言，以數據分析來作決策，作為比較量化的指標、形成共識，避免出現不一致的看法。</strong></span></span></p> <p><span style="font-size:28px;"><strong>根據乘車大數據開發AI模型預測乘車熱點</strong></span></p> <p>55688集團對於數據分析的重視，也反映在集團的第二代接班人身上，目前擔任55688集團執行長的林念臻，專長為企業管理，先前曾擔任台灣大車隊大數據發展事業處主管，她進入管理團隊後，更重視大數據應用，希望發掘更多數據的價值。</p> <p>南強表示，不論是執行長或是總經理，在公司尾牙等活動多次對內宣示，強調資料科學的重要性，高層期許不是只有IT部門或資料團隊，全公司都應該要重視資料科學、數據分析，親近它、應用它、擁抱它。相較於過去依靠經驗判斷，從數據面來驅動決策，不論決策最後的結果是對或錯，都是根據數據面作判斷。</p> <p>他們已經在乘車媒合服務大量借重數據分析。目前台灣大車隊擁有超過2.2萬輛計程車，為國內最大的計程車隊，但近幾年也面臨不小的挑戰，除了疫情期間民眾外出乘車需求減少，還有來自國外叫車服務科技巨頭的落地競爭，以及挾龐大生活服務平臺優勢的本土叫車業者，國內汽車龍頭更跨業進軍乘車服務市場。傳統計程車派遣服務，受到來自其他產業的跨業競爭，市場競爭變得更為激烈。</p> <p>「我們在營運面臨的困難是，司機加入車隊，如果收入不好，可能會退出大車隊，因此如何讓他們的收入逐漸變好是相當重要的課題，需要從大量數據獲得洞察，提供建議給司機，這是我們實際面臨的問題」，南強說。</p> <p>目前台灣大車隊約有2萬多輛計程車，約為國內計程車的4分之1，這些計程車每天在道路上行駛移動，等待路招或是接收車隊派遣載客，媒合系統需要蒐集每1秒計程車動態位置，結合民眾叫車需求，提高乘客與司機的媒合精準度。</p> <p>他們利用過去一年近8千萬趟的乘車大數據，一天平均約有22萬次乘車，根據天氣、地點、時間，加上特殊的節日、活動數據作為模型參數，綜合民眾乘車需要、環境因素，訓練建立機器學習模型，來預測民眾乘車的熱點，建議計程車司機在某個時間、前往熱點，增加旗下計程車成功載客的機會。</p> <p>南強表示，從派遣車隊經營來看，司機加入車隊後，如果沒有明顯增加收入，就可能跳槽至其他車隊，因此，提高司機收入才能留人。</p> <p>台灣大車隊應用民眾乘車大數據，利用AI預測民眾的叫車熱點，能動態預測不同的時間點，哪裡可能是乘車的熱點，建議司機前往哪些地方，來提高載客的機會，也能減少計程車空車在道路上繞行時間、耗油，這個AI預測的準確度達到96%。</p> <p>對於資歷較深的計程車司機來說，容易憑藉多年開車載客經驗判斷，哪個時間點、哪些地點比較容易載到客人，但對缺乏相關經驗的新手司機而言，花費許多時間，空車在路上繞行．等待路招乘車的機會，台灣大車隊開發這項AI預測乘車熱點技術，輔助新手司機，引導至預測的乘車熱點，來提高載客的機會。</p> <p>當使用者透過乘車App叫車，業者相當重視承接率，車隊能否即時派遣適合車輛前往提供服務，從乘客角度來看，手機內經常使用不只一種乘車App，如果民眾使用特定App叫車，因等待時間過長，最後放棄叫車，改用其他App叫車。因此，台灣大車隊開發AI模型預測乘車熱點，除了協助司機增加載客機會，提高他們的收入之外，也藉此調整車輛派遣管理，提高乘車服務的承接率，改善民眾叫車等候的體驗。</p> <p>如同前面提到的，55688集團的目標是將自家同名App發展為一個超級App，以單一管道提供使用者各種生活相關服務，增加服務的使用，帶動全集團營收的成長。</p> <p>因此，IT也會和業務單位合作，根據App使用行為數據，觀察不同的流程或體驗設計，如同電商廣告投放方式，對各種服務帶來的轉換率效果，如果轉換的效果不佳，再調整數據分析面向，搭配敏捷式開發，不斷通過驗證、調整決策，逐步設法提高轉換率，提高數位平臺上的服務使用率。</p> <p><span style="font-size:28px;"><strong>運用生成式AI提升工作效率</strong></span></p> <p>不只自行發展各種數據應用，外部當紅的ChatGPT浪潮，已有企業開始運用，55688集團也沒有落人後，他們先從IT的局部工作開始測試導入，例如網管人員撰寫程式監控系統，過去是由網管人員自己獨力寫程式，但每個設備指令往往不同，需要一一查詢確認指令，往往耗費較多的時間，現在則可利用ChatGPT產生程式框架，再由網管人員進行驗證。</p> <p>南強表示，ChatGPT的使用需要遵守企業的資安規範，不將企業機密內容上傳到ChatGPT的前提下，同仁經過試用ChatGPT後反映，確實能有效縮短程式開發時間。過去可能需要2、3天完成程式開發，現在可能只要半天就能完成。他認為企業善用AI工具，如同站在巨人肩膀上，由AI協助完成基礎工作，提高整體工作效率，企業只要將這些基礎進一步組合需要的應用即可。「這才是我們應該要做的」，南強堅定地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>南強</strong></span></p> <p>學歷：逢甲大學紡織工程研究所</p> <p>經歷：曾在工研院化工所任職，負責工廠自動化監控，後來加入台灣固網，在國內電信產業擁有多年的工作資歷，曾從事網管、ERP、帳務、資料庫等資訊相關工作，後來加入台灣大車隊，於2021年擔任55688集團資訊／研發事業群副總經理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span> </strong></span></p> <p><span style="color:#3399ff;"><strong>55688集團</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-55688-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 300px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p>地址：臺北市中山區長安東路2段162號2樓</p> <p>成立時間：2002年</p> <p>主要業務：集團從交通出行服務出發，擴展至生活媒合服務55688 APP。集團下業務涵蓋計程車隊派遣乘車服務、快遞、代駕、洗衣、車輛保修、旅遊等等。</p> <p>員工數：723人</p> <p>年營收：17億元（2022年）</p> <p>董事長：林村田</p> <p>總經理：楊榮輝</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：55688集團資訊／研發事業群副總經理</p> <p>資訊部門主管姓名：南強</p> <p>直屬主管：55688集團執行長林念臻</p> <p>資訊部門人數：約100人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2011年：首次推出55688叫車App</p> <p>2015年：自主車輛派遣系統上線</p> <p>2021年：運用大數據打造AI預測叫車熱點技術，協助司機提高載客率</p> <p>2023年：App更新推出Super App，更新Icon外，更優化UI、UX體驗</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0630-55688-nan_qiang_-960.jpg" width="960" height="420" alt="" title="55688集團資訊／研發事業群副總南強　（攝影／洪政偉）" /></div></div></div>
2023/6/30 15:29作者蘇文彬https://www.ithome.com.tw/people/157576
微軟預覽混亂工程工具Developer Proxy，可避免365應用獲過度授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出混亂工程工具Microsoft 365 Developer Proxy最新<a href="https://devblogs.microsoft.com/microsoft365dev/microsoft-365-developer-proxy-v0-9-with-over-consenting-guidance/">0.9預覽版</a>，Developer Proxy是一個命令列工具，可用來測試Microsoft Graph、SharePoint Online以及其他HTTP API的行為，在最新的預覽版本中，Developer Proxy讓用戶能夠檢測使用Microsoft Graph API建置應用程式，所存在的過度授權問題。</p> <p>Microsoft Graph是微軟所提供的統一RESTful API，供開發者使用單一API呼叫存取不同微軟雲端服務的資料和功能，包括Microsoft 365、Windows，以及企業行動與安全性服務。開發者透過Microsoft Graph這個資料入口，跨平臺存取資料，建立可加速企業工作流程的應用。</p> <p>Microsoft Graph API讓開發者可以存取並且操作Microsoft 365中的大量資料，其使用OAuth 2.0授權架構，限制敏感資料只有具有適當權限的應用程式和用戶能夠操作，但是開發者在使用Microsoft Graph API的過程，常會出現過度授權的問題。</p> <p>當應用程式獲得權限過多，該應用程式被攻擊或是濫用時，就可能造成大量資料洩漏，開發者在設計應用程式時，需要儘量使用最小的權限，而Developer Proxy則可以協助開發者達成這個目的，在之前的版本，Developer Proxy已經可以自動偵測應用程式呼叫API所需的最低權限，而在Developer Proxy 0.9版本中，官方針對最小權限相關控制，進一步添加能夠發現應用程式擁有過度權限的套件。</p> <p>這個新的最小權限套件會捕捉應用程式所發出的一系列Microsoft Graph API請求，並且與存取權杖的角色或是範圍相比較，當權杖所擁有的權限，超過應用程式API請求所需的最小權限時，便會向用戶發出警示。官方提到，這些權限比較工作會在本地端運作，因此用戶的權杖不會被上傳到外部API。</p> </div></div></div>
2023/6/30 15:59作者李建興https://www.ithome.com.tw/news/157577
培養舉證與通報能力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在電視影集《人選之人–造浪者》播映之後，鼓舞了許多性騷擾受害者，他們勇敢站出來公開自己過去的遭遇，然而許多事情已距離現在太久，有些被指控的人坦然承認，有些人表示不清楚是否發生此事，有些人則予以否認，導致公理無法伸張；近期新北市幼兒園傳出幼兒遭餵食不明藥品的狀況，引發全國關注，但可能因為化驗時間太晚，因此導致無法檢測出異常，而使得大家各執一詞，至今仍無法釐清責任歸屬，家長難以接受這樣的結果，幼教環境的安全性受到質疑，無法及時主持公道的地方政府也面臨公信力重挫的局面。</p> <p>近期關於證據不足引發的爭議，也頻頻出現在新聞版面。像是甫繼承5億遺產的18歲高中生墜樓案，原因究竟是自殺或他殺，引發大家熱議，6月21日檢方偵結時，雖然因為無直接殺人證據而不起訴，但先前家屬委託法醫勘驗遺體及現場，懷疑遭下毒或死後被丟下樓，引起許多媒體爭相報導，然而，台中地檢署公布的法醫解剖鑑定報告卻表示，死亡原因符合高處墜落，且死者體內未檢出酒精、葡萄催芽劑或其他常見的毒藥物反應。</p> <p>另一起事件則是發生在端午連假期間，因午後熱對流雲系旺盛，新北市中和區與永和區降下強陣雨，造成多處積水，新北市交通局的臉書粉絲專頁「新北交通族」發布影片通報，上面標示16:00特定路段有多處淹水，但市府表示下午4時水已經消退，引發敵對政黨的抨擊，後續交通局長受訪時表示，影片標記的時間是他們收到、看到這支影片的時間，該畫面實際拍攝時間是15:02分，後來也在臉書專頁發布更正啟事，坦承影片標註時間錯誤。事隔幾天之後，這段「誤植錯誤時間」的影片仍留在這個粉絲專頁，並未更正、重新發布，而我們在6月28日再連到這個臉書專頁想了解當時狀況與是否有後續發展，卻無計可施，因為該支影片與更正啟事均被刪除。</p> <p>面對許多爭議事件的發生，作為當事人或旁觀者，建議大家不只是要及早通報問題，也要及早且盡可能保存各種證據，如果無法取得直接證據，留下間接證據仍是必要的。</p> <p>以上述淹水認定的爭議而言，如果有人認為新北市府所言不實，能馬上親自或派人到現場勘查，設法以影像記錄所看到的狀況，而且也能找到更多人來證實實際狀況，不僅可以更明確知道孰是孰非，也能證明彼此所言是否屬實，若單憑社群媒體發布的內容，仍然無法讓大家完全信服，所謂的真相也存在許多解釋空間，而無法釐清。而作為受監督的一方，承認處理失當是可取的，但事後悄悄刪除這些貼文，而非予以保留與更正，卻可能產生更多爭議。</p> <p>「人非聖賢，孰能無過」，大多數人當然不希望承受別人造成的錯誤，也不願耗費時間和心力去追究很多事情，然而，為了自保與提醒他人不要繼續犯相同的錯誤，我們還是應該盡可能指出這些問題，除了適當表達自己的立場，也必須要準備好相關的證據，以釐清事情的原委，一切有可能是不小心或誤會，但有可能是有意的滋擾或侵害，「防人之心不可無」所指的，並非只有心態上的預防與警戒，及早善用身邊的各種工具進行具體的記錄，並且要能儲存與審視這些資訊，是現代人生活與工作必備的重要技能。</p> <p>小至各種交易單據的保留，個人身心健康狀態的診斷，大至不同場域、環境的視訊監控，體制、工作流程的監督與稽查，隨著數位化科技的普及，相較於過去，我們擁有更多可保存與記錄各種狀況的數位工具，例如智慧型手機、平板電腦、行車記錄器、運動攝影機、寵物攝影機，甚至是空拍機，平時我們就要練習操作，一旦發生突發狀況，就能馬上取得相關證據自保，而非事到臨頭卻不知所措。</p> <p>對於其他平臺錄製的各種影像畫面，我們也應該積極關切如何合法取得這些資料，了解保存期間與方式，以免錯失取證的機會。</p> <p>如同這齣臺灣今年最熱門的政治幕僚影集的著名臺詞「我們不要就這樣算了」，所謂的重視不能僅止於紙上談兵，須在行動層面落實，當衝突發生時，無論你是否要追究，請記得證據很重要，需要刻意保存與記錄，因為或許有一天會派上用場。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%88%89%E8%AD%89">舉證</a></div><div class="field-item odd"><a href="/tags/%E9%80%9A%E5%A0%B1">通報</a></div></div></div>
2023/6/30 14:51作者李宗翰https://www.ithome.com.tw/voice/157575
打造Pi聊天機器人的Inflection AI完成13億美元的融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年5月發表Pi聊天機器人的AI新創Inflection AI，<a href="https://inflection.ai/inflection-ai-announces-1-3-billion-of-funding" target="_blank">於本周四（6/29）宣布完成13億美元的融資活動</a>，外傳甫於去年才成立的Inflection AI估值已高達40億美元。</p> <p>Inflection AI是由Reid Hoffman、Mustafa Suleyman與Karén Simonyan在2022年所創辦，其中，Suleyman亦為DeepMind的共同創辦人，現也擔任Inflection AI執行長。</p> <p><a href="https://inflection.ai/press" target="_blank">Inflection AI在今年5月發表了Pi聊天機器人</a>，有別於其它強調生產力、搜尋或回答使用者問題的機器人，Inflection AI將Pi定位為個人AI，所擔任的角色是使用者的教練、知己、創意合作夥伴或是傾訴的對象。Suleyman說，Pi屬於新型態的AI，它不僅聰明而且EQ好，唯一的使命就是讓使用者更具生產力，更健康也更快樂。</p> <p>新一輪融資的投資人包括Inflection AI創辦人Hoffman、微軟創辦人Bill Gates、前Google執行長Eric Schmidt，以及微軟與Nvidia。Inflection AI的第一輪融資是在2020年初進行，當時Hoffman、Gates與Schmidt即曾參與，總計募集了2.25億美元的資金。</p> <p>Inflection AI正與CoreWeave及Nvidia共同打造全球最大的AI叢集，該叢集最終將由2.2萬個Nvidia H100 GPU所組成，並正在開發全球最先進的大型語言模型Inflection-1。Inflection-1為Pi聊天機器人的基礎，Inflection AI也宣稱該模型的效能優於GPT-3.5、LLaMA、Chinchilla和PaLM-540B。</p> <p>新一輪的資金將用來支持Inflection AI繼續設計及建構Pi。</p> </div></div></div>
2023/6/30 13:38作者陳曉莉https://www.ithome.com.tw/news/157574
營業秘密要具備秘密性、經濟性和合理保護措施，找出營業秘密打官司勝訴的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <div class="style-scope qowt-page" id="contentsContainer" style="padding-left: 90pt; padding-right: 90pt;"> <p>許多國際大廠針對違反營業秘密保護的判例，少說是上千萬起跳的賠償金額，而在營業秘密的認定上，臺灣有許多企業將攸關公司營運、技術、專利等相關資料視為營業秘密，因此，在各種研討會場合中，大家也可以看到講者的簡報當中，直接標示相關內容屬於公司內部機密，此舉也讓大家對於營業秘密保護的面貌，有一些基本認知。</p> <p>對許多企業而言，營業秘密保護是維持公司持續營運的重要關鍵，因此，許多企業都會採取保護措施，確保公司營業機密不會遭到外洩。臺灣安永諮詢服務公司執行副總經理曾韵表示，所有的營業秘密不僅須符合秘密性和經濟性，同時需要搭配保護的措施，根據許多判決案例所示，倘若公司針對這些營業秘密無法提供「合理保護措施」時，法院就會認為公司並不重視這些所謂的營業秘密，之後，一旦進行相關訴訟，法院往往會判決原告敗訴或不起訴處分。</p> <p>曾韵進一步表示，這些合理的保護措施，除了要有明確的政策規範，更重要的是，要有相對應的控管行動，她也建議，企業可以從資料的各種使用狀態，搭配人員、流程和技術的控管措施，落實營業秘密合理的保護措施。</p> <h2><strong>營業秘密必備的三要件</strong></h2> <p>然而，並不是所有企業認定是「營業秘密」的資料，到法院訴訟時就一定可以成立的。曾韵表示，根據《營業秘密法》第二條的規定，營業秘密要成立，必須具備秘密性加上經濟性，並且必須有合理的保密措施，才可以被視為營業秘密，這三者缺一不可。</p> <p>她解釋，很多人都會把所謂類似「祖傳秘方」的各種珍貴配方、技術、方法、技術、甚至是製程、設計等，視為營業秘密，但實際上，真正的營業秘密並非自己認為是秘密，就是法庭上認可的秘密，還必須搭配三項其他要件，包括：（1）這些「秘密」不是該領域行業大家都知道的資訊；（2）這些秘密必須具備實際或潛在的經濟價值；（3）更關鍵的是，擁有該「秘密」的所有者，有對此採取合理的保密措施。上述三要件但凡有一項不具足，就不是營業秘密。</p> <p>有些企業老闆將公司內「所有資料」都視為營業秘密，一旦發生資料外洩，公司就要引用《營業秘密法》向員工求償，對此，曾韵坦言，等到法庭開始審理案件後，企業就會發現：企業要證明對於保護營業秘密是有效的措施，往往有其難度。</p> <p>她以製作蔥油餅的食譜來舉例，材料有麵粉、油及蔥，這些資訊大家都知道，所以這不是秘密；但是，蔥油餅麵團獨門的水和粉的比例、揉捏力道、時間與溫度和入蔥的時機點等，各家都有祖傳秘方，這也是不同蔥油餅口味是否受到顧客喜愛的關鍵，而這些資訊就具有經濟價值。</p> <p>她也說，為了保護這些食譜的秘密配方，店家對於聘僱的廚師、店員或者是材料採買等部門，都必須有一套嚴謹的管理規則，以保護店家重要的配方，這才算有合理的保密措施。</p> <p>一般而言，公司企業的秘密可以從「商業」和「技術」兩個層面來看，不管是商業上的客戶名單、併購資訊、商品售價、成本資訊、交易底價、競爭策略、人事管理……等，或是技術面上的秘密，像是化學成分的公式、製造過程、原料處理或保存、機器型式或裝置等，都可以作為秘密性的評估標準。</p> <p>但要如何判斷該秘密的經濟價值呢？曾韵表示，可以從企業於研發過程投入的成本、實際市場占有率或銷售額的增減、能降低錯誤以提升競爭力的資訊，以及未來能為企業創造的產值或收益，至少必須滿足上面條件的秘密，才能被視為具有經濟價值的營業秘密。</p> <p>至於該如何認定合理的保密措施呢？曾韵認為，企業必須採取合理的保密措施，要讓外界認為企業確實將該資訊當成機密並加以保護，要採取的相對應手段包括：分級與標示、外界無法以正常方法探知，但她也提醒，中間有一些細節必須留意，像是：資料放公用資料夾，然後用權限控管，這樣做就可以嗎？是否有簽署保密合約就可以了呢？「這中間最重要的關鍵在於，該機密是否是任何人都可以取得的呢？合理的保護措施並不是要求滴水不漏的防護。」她說。</p> <p>曾韵認為，要判斷這些秘密是否真的是營業秘密，也可以從下列六個面向去評估。首先，確認在公司外部能了解資訊的程度；其次，確認員工和公司內部其他人對資訊的了解程度；第三，公司為確保資訊機密性而採取保護措施的程度；第四，評估這些資訊對公司及其競爭對手的價值；第五，公司在開發資訊所花費的時間，精力和金錢；最後，確認他人可以取得或複製資訊的難易程度。</p> <h2><strong>以法律實務而言，先確認營業秘密存在才檢討行為和損害</strong></h2> <p>有些人很天真，認為把所有的文件都加上機密等級，並作權限控管，一旦需要上法院時，這些就可以視為營業秘密，但曾韵表示，就法律實務而言並非如此。她進一步解釋，一旦進到法院訴訟程序時，就必須從原告主張、被告抗辯進行營業秘密的訴訟攻防。</p> <p>就原告主張來看，必須要證明真的有營業秘密的存在；證明原告是該營業秘密的的所有人，這包括僱傭關係、委任關係或是共同開發，都可以；原告也必須證明已經採取適當的保護措施，被告知道某些特定資訊是屬於營業秘密，可以是透過簽署條款、上課、電子郵件通知等等；最後原告也必須證明被告在特定的時間、地點，曾經接觸過該營業秘密，其中，原告也必須提供如何控管該營業秘密，以及能否追蹤被告接觸該營業秘密的接觸史。</p> <p>至於被告的部份，可以抗辯該營業秘密是可以從公開資訊取得的資訊，例如工商名簿、網路資訊、廣告或是付費平臺；或者證明該營業秘密其實是可以輕易取得，例如技術已經公開、產品已經大量生產製造等，因為法院在意的是，資訊取得方法是否合法、合理。</p> <p>如果被告是透過正當管到取得產品，而藉由「逆向工程」的方式所得知的營業秘密，屬於「輕易取得」的特殊類型，不算是營業秘密範圍；而該營業秘密雖然是處於秘密狀態，但因為無法突顯「最低程度的原創性」，例如，沒有經過特殊整理分類的客戶名單資料，因為缺乏新穎性，也不算是營業秘密；其他若是屬於過時的資訊且被認定缺乏經濟價值的，也不在營業秘密的範圍。</p> <p>曾韵表示，原告和被告雙方最有爭議的論點經常是「合理保密措施」，像是原告要證明營業秘密的存在，也要證明被告曾經接觸該營業秘密；被告則可以抗辯該營業秘密是公眾周知的資訊，相關技術已經可以輕易取得等方式作為抗辯。她也說，兩造雙方都必須先舉證完畢後，才會去檢討被告是否有侵害原告營業秘密的「行為（Use）」以及是否該負擔相關的「損害（Damage）」</p> <h2><strong>合理保護措施包括主觀意願和客觀技術</strong></h2> <p>合理的保護措施必須具備兩大前提，曾韵表示，首先是主觀上有保護意願，再者是客觀上有保密的積極作為，目的都在於使人了解，公司有將該資訊視為秘密並加以保護的意義。</p> <p>她笑說，有些公司就為了證明公司的資料都是營業秘密，所以便在所有的文件上面都列印「機密」字樣，當所有文件打開、全部都是機密時，這時候的機密就不是機密了。</p> <p>事實上，積極的作為不只是保護資料，還必須讓可以接觸這些機密資料的人知道，公司對於這些機密資料，採取哪些保護措施，需要大家一起保護機密資料。</p> <p>不過，她也指出，這些保密措施並非要求一定要做到滴水不漏的程度。重點在於，每一家公司的狀況不同，要依照其相關人力、財力、資訊性質，以及社會上可以使用的方法或技術，讓不被特定專業領域熟知的情報資訊能獲得有效控管，任意人無法接觸，達到保密的目的，而這便是符合「合理保密措施」的要求。</p> <p>進一步分析「合理保密措施」應有的元素，她建議，可參考內政部警政署保安警察第二總隊的「合理的保密措施─內部自行檢核表」，當中有分類的五項措施，包括：確立保密標的、控管接觸權限、限制使用範圍、控管資訊設備，以及人員知悉保密義務。</p> <p>在確立保密標的上，要先做到盤點營業秘密，才知道哪些是營業秘密，必須要</p> <p>做好管理；控管接觸權限的部份，則是針對已經定義的營業秘密，要限制人員的權限，只有特定角色或職位才能存取。</p> <p>另外，針對限制使用範圍，要做到「即便可以存取，也應該限定使用範圍」，例如僅能閱讀但不能下載等；在控管資訊設備方面，則要做到各種分級和標示，場所必須區隔與相關門禁管制，其他像是網路連線、帳號權限存取、加密、防火牆……，也都必須有所管控。</p> <p>最後，關於人員知悉保密義務上，除了要在員工手冊有相關宣導，並提供相關教育訓練和簽署相關保密協定外，員工離職前，也需要針對營業秘密保護做額外簽定與提醒。</p> <p>曾韵表示，很多公司內部對於「機密」的定義不一，ISO等各種文件可能會寫上「機密」，不同部門對於機密定義卻可能有不一樣的見解，所以，一定要先確認需要保密的標的後，再進行相關的權限控管或限制使用範圍，例如某些檔案只有研發人員或部分高階主管才能存取，某些檔案只能查詢但無法列印下載等等。</p> <p>像是保密義務不只是規範員工，其他許多合作廠商也同樣有保密義務，所以，公司可以要求員工和廠商簽署保密協議，也同樣要做相關的定期宣導及教育訓練，提升員工和廠商的保密意識。</p> <h2><strong>合理保護措施只有規範不夠，必須要有實際行動</strong></h2> <p>關鍵是，是否只要有訂定相關的管理辦法，上法院訴訟就不用擔心了呢？曾韵以法院判決為例，某公司有三位高階主管欲離職、籌設新公司前，三人都擅自複製拷貝並重製該公司重要設計圖、產品資訊，以及相關廠商資訊等資料。</p> <p>該公司強調，對於相關營業秘密已制定保密措施，員工也都簽署相關保密條款，且公司伺服器已針對員工職掌進行權限控管，內網電腦採實體隔離且並未連接外部網路，相關保密文件都由文件管制中心統一管理，並有門禁卡管控人員進出。</p> <p>然而，法院針對被告三人，最後都是「無罪」判決！為何如此？最重要的關鍵在於，法院認定該公司並未對相關營業秘密採取合理的保密措施。</p> <p>曾韵進一步解釋，法院判決無罪的關鍵在於，認定該公司並未採取合理的保密措施，不管是對於營業秘密的定義過於空泛，相關文件並沒有標示「機密」分類字樣，像是有爭議的文件，只有ISO文件蓋有該公司管制中心的戳章外，其他文件都沒有管制中心的戳章，也都沒有「機密」字樣，發包給廠商的圖面同樣沒有標示機密字樣，無法讓人明確知道相關文件是公司的機密文件。</p> <p>此外，該公司對於機密檔案存取並沒有嚴格的權限控管，每一個員工的帳號密碼，都可以登入並存取其他員工電腦的文件資訊；公司並沒有宣導保密措施；各部門之間並未設門禁控管；紙本圖檔也沒有保密措施；而存放圖檔的電腦，並未設置帳號密碼，也沒有權限控管、繪圖完成後直接存檔在該臺電腦等，這些都是被告最終獲判無罪的關鍵。</p> <p>曾韵指出，從法院的判決可以得知，營業秘密的保護，司法單位必須要能判斷是否為營業秘密，也必須證明公司對其有保護意圖。她強調，公司有規範不代表有相對應的措施，重點在於，公司能否證明對於營業秘密的保護有相關的保護行動。</p> <h2><strong>一旦共用帳密，權限控管就失效</strong></h2> <p>保護營業秘密不僅要做到合理的保護措施，對於權限的控管也是重要。曾韵引用另外一起法院判決來說明此事，在該案例中，被告利用其擔任原告繪圖設計工程師之便，趁著有閱覽伺服器最高權限的機會，未經原告同意，下載原告各項重要檔案，並以通訊軟體和電子郵件方式，傳送於他人謀利，成功複製原告商品並出售獲利。</p> <p>但法院最後仍駁回原告的告訴，最關鍵的原因在於：法院認為企業並未採取合理的保密措施。曾韵指出，原告公司雖然設定了分類管控資訊，但沒有明確設定分層權限控管和資料分類管理的措施，針對電子資料傳遞和電子檔案列印紙本等作法，原告公司也都沒有做到積極保密的作為。</p> <p>原告公司設有「公用資料夾」和「正式發行圖面」資料夾，重要檔案放在「正式發行圖面」資料夾中，公司員工雖然有50人，但全部都只共用2組帳號密碼。實際上，不管是設計、採購或會計部門都可以讀取「正式發行圖面」資料夾的資料，也沒有人員使用記錄的具體追蹤措施。</p> <p>而原告公司在紙本檔案的控管上，也有疏漏之處，像是組裝人員要用圖的時候，就是直接出圖列印；列印的資料不用後，則是直接丟棄垃圾桶，或背面空白處會被其他人用來隨手記錄；相關列印資料也沒有標示「機密」或是「限閱」等警語。</p> <p>曾韵表示，雖然原告公司看似有權限控管的規定，在實際作為上，法院認定原告公司明面上雖有設定權限，但允許共用帳密的作法，就讓權限控管失效。</p> <p>另外，曾韵坦言，合理的保密措施，是指營業秘密的所有人在主觀上有保護的意願，客觀上有保密的積極行為，也就是說，保密的作為不只是簽署相關的保密協議而已，要確認是否為營業秘密，即便沒有標示「機密」或「密」等字樣，但有其他配套措施能證明該營業秘密是重要的。</p> <h2><strong>參考十大營業秘密保護機制檢核表</strong></h2> <p>曾韵表示，法院對於營業秘密訴訟的判定，很關鍵的一點在於，原告公司對其重要的營業秘密，是否提供合理的保護措施。她認為，可以參考經濟部智財局「中小企業營業秘密保護機制檢核表」的項目，作為企業檢視針對營業秘密的相關保護，判定是否有落實「合理」的保護措施的參考依據。</p> <p>檢核表的項目，分成十大項。第一，建立營業秘密保護政策：要有專責人員、編列經費及各項程序規範；第二，新進員工管理：簽署保密協定、員工手冊、競業禁止、新進員工查核；第三，紙本檔案管理：標註機密等級、分級保存、造冊管理、銷毀SOP；第四，電子檔案管理：制定檔案管理機制、使用監控機制、機密等級、存取管理；第五，稽核與處份：落實稽核預警SOP、改善SOP、違規處理SOP。</p> <p>第六，員工在職期間管理：輪調陳報與聲明義務、調動管理（宣導、權限……）；第七，員工離職處理：偵測異常進行調查、刪除帳號、追蹤員工、必要證據保存；第八，營業秘密教育訓練：定期訓練及考試、不定期宣導（案例、信件或會議提醒）；第九，委外廠商與人力管理：簽署保密協定、相關規範的必要揭露、建立終止關係措施；第十，營業秘密保護外部互動：參與研究討論、瞭解可能的聯絡窗口（如司法警察等）。</p> <p>曾韵認為，思考營業秘密合理保護措施的重點在於：如何展現保密的積極作為，各種文件規範是基本功，相關政策、管理程序亦然；至於控管有效性，主要是對於技術落實控管的作法，不要只做「防君子不防小人」的表面控管而已，可援引外部專家協助以瞭解控管的適當性。</p> <p>她舉例，公司要控管員工不能使用私人的USB隨身碟，如果只有政策規範，但系統無法警示有員工使用私人隨身碟，這就是無效政策。</p> <p>她表示，要針對異常監控，得做到提早發現並進行控管；對於紀錄的保存，相關保存期限要依照公司能力做適當規畫，主要是要避免進行調查時，相關記錄都已銷毀。</p> <p>曾韵強調，公司如果沒有良好的數位建設，一旦需要進行相關資安事件調查時，最大的痛點就是「舉證」，很多情況下，因為許多系統登錄檔（Log）早就被刪除了，缺乏證據。</p> <p>至於相關登錄檔要保留多久呢？曾韵認為，這其實沒有標準答案，許多駭侵事件從入侵到被發現，甚至長達三、五年，很多登錄檔根本不會保存這麼久，但她認為，相關檔案至少要保留一年以上。</p> <p>怎麼樣才算是盡力做到合理的營業秘密保護措施呢？曾韵指出，不能不花錢，但也不用花過頭，最基本的合理程度：就是要與同業相當，將保護措施的流程都予以保留相關證據，萬一要上法院提供證據時，就有相關證據可用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E8%A1%A81.png" style="width: 633px; height: 429px;" /></p> <blockquote><p>企業可以參考經濟部智慧財產局所提供「中小企業營業秘密保護機制檢核表」，作為檢視營業秘密保護措施是否合理的參考依據。</p> </blockquote> <h2><strong>從五大面向導入營業秘密保護機制</strong></h2> <p>營業秘密是以資料為核心的概念，資料使用情境可分成：使用中（In Use）、靜止中（At Rest）、移動中（In Motion），以及歸檔中（Archived）等四種使用狀態，再加上人員（People）、流程（Process）、技術（Technology）的控制措施配套，就能從五個面向導入營業秘密的保護機制。</p> <p>首先，要了解（Understand），掌握組織內擁有哪些資料及其價值，並且要能從資料的生命周期，知道哪些部分可構成智慧財產，資料都會儲存在哪裡，以及如何傳輸。</p> <p>其次，要分類（Classify），在智財產生時就對其分類並清楚標示，對其存放的資訊系統也要進行標示；第三，要保護（Protect），藉由設計不同分類與分期的管控措施，來保護智慧財產。</p> <p>第四，要監控（Monitor），需能涵蓋未適當分類的智財，及其相關不當行為；最後，就是要做到持續的改善相關措施（Improve and remediate），最終目的就是讓企業可以保持競爭優勢。</p> <h2><strong>從人員、流程和技術做控管</strong></h2> <p>曾韵表示，要做好營業秘密合理的保護措施，實務上，必須要能夠從人員、流程和技術三個層面，落實控管措施。</p> <p>她指出，人員控管的部份，要做到定義角色權責以及宣導和訓練；流程控管的部份，除了要制定政策與規範，進行資料識別和造清冊，並進行資料保護風險評估以及資料分級，而在制定資料保護架構之後，也必須規畫一旦資料遺失時的應變措施。</p> <p>技術控管部分則是相對複雜。她說，針對資料使用狀態不同，會有不一樣的配套措施，目前不論是針對結構化或是非結構化資料，都已經有相對應的保護措施。</p> <p>當資料正在移動時，針對資料的保護，要注意邊界安全、網路監控、網站內容過濾、第三方資料交換、訊息管理和遠端存取得議題；當資料正在使用時，要留心使用者行為監控、工作站限制、應用程式控制、標示（Labeling / Tagging）、外部媒體控管和列印管理。</p> <p>最後，當資料呈現靜止狀態時，相關的合理資料保護措施就要做到加密（Encryption）、混淆（Obfuscation）或記號化（Tokenization）、移動設備的保護、網路和伺服器的程式碼控管、實體的媒體控管，以及做到存檔（Archive）、處置（Disposal）和銷毀（Destruction）。但她也說，不管資料處於哪一種使用狀態，目前也可以使用Cloud DLP（資料遺失防護）作為保護措施。</p> <p>曾韵表示，針對營業秘密保護需要提供合理的保護措施，從相關的案例判決中，至少可以釐清如何做到科學的、合理的資料保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%87%9F%E6%A5%AD%E7%A7%98%E5%AF%86%E8%A1%A82.png" style="width: 1115px; height: 808px;" /></p> <blockquote><p>企業可以從人員、流程和技術等三個控管面向，去落實合理的營業秘密保護措施。</p> </blockquote> <p> </p> </div> <p> </p> </div></div></div>
2023/6/30 10:51作者黃彥棻https://www.ithome.com.tw/news/157570
Meta說明臉書、IG貼文的AI排序法，公布內容客製化工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從2018年的劍橋分析事件後，Meta力求內容演算法的透明化。<a href="https://about.fb.com/news/2023/06/how-ai-ranks-content-on-facebook-and-instagram/" target="_blank">Meta昨（29）日再公開說明</a>兩大社群平臺臉書（FB）及Instagram（IG）上如何展示貼文、即時動態等內容的AI排序法，並公布讓用戶可客製化調整顯示貼文的工具，以及供學術研究的資源。</p> <p>Meta公共事務部總裁Nick Clegg首先說明，臉書及IG上用戶看到的內容，包括動態消息、影片或回應，都是由AI推薦演算法運作並將內容推送出來，以滿足個人化喜好，並提供用戶可能有興趣的內容。為進一步說明，<a href="https://transparency.fb.com/features/explaining-ranking" target="_blank">Meta公布了</a>22個FB、IG的系統運作卡，解釋用戶臉書與IG上動態消息、推薦貼文、限時動態、連續短影片（Reels）、回應排序、粉絲專頁、你可能認識的朋友以及通知是如何呈現的。</p> <p><a href="https://transparency.fb.com/features/explaining-ranking/fb-feed/?referrer=1" target="_blank">以臉書的動態消息為例</a>，是先依用戶的朋友、用戶追蹤的粉絲專頁及加入的社團分享（排除違反規範者）的貼文，再運用貼文的訊號以AI模型進行預測。這些訊號包括貼文者和用戶過去互動、朋友對貼文按讚人數、貼文是否為影片或相片等，以輕量模型選擇500個最相關貼文。最後再由系統計算500則貼文相關性的分數加以排序，確保高相關貼文最先顯示，但又不失多樣性。</p> <p>連續短影片則是根據用戶追蹤的帳號所製作，或是之前曾看過的相似內容，再根據影片長度、和用戶喜好符合度等訊號選擇10到100個影片，再以AI預測模型及分數選取與排序。「可能認識的朋友」的推薦，則是根據用戶朋友的朋友，或用戶加入的社團，蒐集用戶可能感興趣的人，再計算雙方互動的可能性而推薦。</p> <p>Meta今天也說明，臉書和IG上現有及未來可提供調整排序邏輯的用戶工具。用戶可透過臉書和IG相關貼文的三點選單或「設定」，找到臉書「動態消息偏好」及IG「建議內容控制中心」調整顯示內容的規則。</p> <p>在新開發功能方面，IG正在測試推薦連續短影片，用戶可以點選「感興趣」的功能。2021年已加入「不感興趣」的功能選項。</p> <p>在臉書部分，所有貼文和影片在三點式選單中，已經都有功能允許用戶顯示更多或更少類似內容。臉書說會再改進，使該選項更明顯好找。如果用戶不希望演算法排序過的內容，可以在<a href="https://about.fb.com/news/2022/07/home-and-feeds-on-facebook/" target="_blank">臉書「動態消息」頁</a>或<a href="https://about.instagram.com/blog/tips-and-tricks/control-your-instagram-feed" target="_blank">IG的Following</a>切換到以時間排序的形式，或在「最愛」列表中加入友人，就能一直看到他們的貼文。</p> <p>此外Meta也向研究界公開其AI運作，迄今已公開了1,000多個AI模型、函式庫和資料集。Meta預告接下來幾周內又會再提供Meta內容庫（Content Library）及API。內容庫包含臉書的公開貼文、粉絲專頁、社團和活動的相關資料，IG創作者、公司帳號資料與公開貼文。這個內容庫包含UI或API供搜尋和篩選，作為科學和公益研究之用。密西根大學的跨校政治與社會研究論壇（Inter-university Consortium for Political and Social Research）為首個參與資源公開計畫的學術單位。</p> </div></div></div>
2023/6/30 11:52作者林妍溱https://www.ithome.com.tw/news/157571
抵制《線上新聞法令》，Google宣布將移除加拿大各式服務的新聞連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/157486" target="_blank">Meta</a>之後，<a href="https://blog.google/intl/en-ca/company-news/outreach-initiatives/an-update-on-canadas-bill-c-18-and-our-search-and-news-products/" target="_blank">Google</a>也在周四（6/29）宣布，一旦加拿大的《線上新聞法令》（Online News Act）生效，便將把搜尋（Google Search）、新聞（Google News）與探索（Discover）等服務中的加拿大新聞連結全數移除，也不再於當地經營Google News Showcase。</p> <p>加拿大為了挽救當地的新聞產業，於去年提出《線上新聞法令》，要求藉由新聞內容獲取流量及營收的數位平臺必須補償新聞業者，並在今年6月22日成為正式法令，預計於6個月後實施。</p> <p>Google全球事務總裁Kent Walker表示，該法令要求只是秀出新聞連結的兩家業者必須付費，而且只有這兩家業者得付費，其它人都可免費使用。此一連結稅（Link Tax）替Google的產品帶來不確定性，而且還為了方便加拿大人存取當地新聞，而承擔了無限的財務責任。</p> <p>Walker指出，Google一直以各種方式來支持加拿大的新聞產業，包括在加拿大提供了已於全球逾22個國家部署的Google News Showcase服務，已與加拿大的150家新聞業者達成協議。Google News Showcase付費予出版商，以於Google News及Discover展示編輯過的新聞故事，被視為是Google回饋各國媒體的新聞授權計畫。</p> <p>此外，Walker也強調，去年Google免費連結了36億次的加拿大新聞媒體，協助出版商賺取廣告與訂閱費用，這些推薦流量價值2.5億元加拿大幣。</p> <p>簡言之，Google認為其新聞連結替加拿大媒體帶來流量，也透過Google News Showcase協助當地媒體創造營收，不願意再支付連結稅，亦呼籲加拿大政府應重新訂定可行方案。</p> </div></div></div>
2023/6/30 12:05作者陳曉莉https://www.ithome.com.tw/news/157572
信驊科技開拓遠端管理應用新動能，打造全景相機智慧工廠新應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立將近20年的信驊科技（ASpeed），以伺服器管理晶片「基板管理控制器（BMC）」的產品聞名，多年前就已成為全球市占第一的BMC供應商，到了2016年，更是併購博通（Broadcom）旗下Emulex Pilot晶片業務與相關資產，而再度擴大BMC市占，最近兩年，該公司更屢屢躍居臺股股王，不斷成為財經新聞焦點。</p> <p>如今，這家員工數不到120人的無晶圓廠IC設計公司，除了在持續成長的伺服器產業市場發力，近期也主打360度全景視訊產品線與韌體安全防護，拓展場域安全與晶片安全應用的新市場。</p> <p>在2023年Computex台北國際電腦展期間，隨著國境解封，信驊首度公開展示最新解決方案，包含最新的全景360度智慧巡檢完整解決方案，以及去年3月上市的<a href="https://www.ithome.com.tw/news/157530">PFR伺服器安全性晶片</a>，一改過去大眾對於信驊科技只有BMC產品的印象。</p> <h2><strong>拓展工業用360相機應用，聚焦高科技產線參觀與巡檢</strong></h2> <p>基本上，信驊早年即擁有三大產品線，分別是伺服器管理晶片、虛擬化桌面晶片，以及PC影音延伸晶片。到了最近幾年，該公司除了持續強化第七代伺服器管理晶片AST2600的功能，以及安全性與韌體支援，同時聚焦於Cupola360多影像專用處理晶片的發展，有不少全景視訊會議設備已採用這類晶片。</p> <p>今年該公司建構出越發完整的智慧AV解決方案（Smart AV Solutions），打造全景相機創新應用，跨入智慧工廠、智慧城市領域。</p> <p>這樣的全景相機應用有何不同？具體而言，Industry360解決方案可用於即時遠端巡檢，以及產線安全參訪。</p> <p>信驊科技企業營運長謝承儒表示，該方案包含與合作夥伴共同設計的Cupola360 360度的4鏡頭全景相機（且內部搭載自家Cupola360 Spherical Image Processor AST1230系列及AST1220晶片），供企業廣泛部署於場域之中，並提供Cupola360 Industry智慧巡檢系統，讓企業可以即時遠距監看與導覽。</p> <p>從Computex現場展示中，我們看到他們提供有如使用Google街景地圖的體驗，且功能更強大，因為這裡的畫面都是即時的全景影像，而非預先拍攝的歷史照片。</p> <p>當用戶從後端系統檢視影像時，這套系統能夠提供第一人稱視角、即時畫面，便於觀看現場環境的狀態是否有異常，號稱能比傳統魚眼式監控攝影機的畫面，更具沉浸感。謝承儒指出，由於每支全景相機具有4個鏡頭，可覆蓋方圓半徑兩公尺的範圍，在多臺影像串聯之下，用戶檢視畫面時，可以橫跨不同攝影機間進行跳躍瀏覽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fix_PXL_20230531_054530954.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_PXL_20230531_054530954.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）信驊推全景相機智慧工廠新應用_攝影羅正漢(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 600px;" /></a></p> <p><strong>透過Industry360智慧巡檢解決方案的建置，企業可借助場域內部署的全景相機，以第一人稱視角做到即時的巡檢，以及帶領客戶參訪，可超越傳統監控設備鏡頭拍攝角度有限的缺點，也減少非工作人員走進場域帶來的高管理成本或是干擾。</strong></p> <h2><strong>多鏡頭拼接技術是關鍵，新應用涵蓋平臺與生態系建構</strong></h2> <p>比起一般消費型360度全景相機產品、魚眼視訊監控攝影機，信驊提供的工業用360相機有何獨到之處？根據現場展示人員說明，搭載自家全景影像處理晶片AST1230晶片，相機本身也提供了360度可視範圍，以及5.7K超高影像解析度，並符合IP66防水防塵等級，支援PoE方式的網路布線安裝，而在這些特色當中，最特別之處是多鏡頭拼接技術，也是核心關鍵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）信驊推全景相機智慧工廠新應用_攝影羅正漢(1).jpg" style="text-align: right;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2(1).jpg" style="width: 280px; float: right;" /></a></p> <p>關於這方面的技術突破，信驊強調三大重點：（一）360相機的每個鏡頭都是獨立個體，不論獨立鏡頭與鏡頭模組的公差要求高，相當考驗產品設計製造的能力，（二）具備面對強光、背光的光線補償能力，能讓環景影像拼接不會有太亮或太暗的情形，例如強光直射某顆鏡頭，會導致某顆鏡頭特別亮，其他鏡頭亮度差異很大，360相機會做亮度補償，讓整個360畫面不會出現一個亮度斷層，（三）透過全景相機內的硬體晶片AST1230 SoC可輸出低延遲的全景影像，該晶片結合了信驊科技獨特的Hyper-stitching技術，只要10毫秒就能完成高畫質影像拼接，再將影片往後端傳送。</p> <p>此外，在他們設置的後端系統平臺上，可將多臺全景相機的即時影像串聯，再加上從晶片、相機與平臺，都是信驊科技自家開發，並且他們還推動平臺生態系的建構，這些也都成為這項解決方案的重要特色。</p> <h2><strong>瞄準智慧工廠、智慧城市需求，還要結合AI與數據整合</strong></h2> <p>為何智慧工廠需要產線安全參訪及遠距巡檢？</p> <p>謝承儒以過去任職於Intel的經驗為例，客戶參觀智慧工廠的需求其實非常多，但要讓客戶進入場域的準備工作不少，包括無塵作業準備，避免產線作業安全風險及汙染，且預留路線空間也要夠大，才能容納到訪的眾人。甚至有些工廠是標榜僅限部分通過授權的員工到場，也就是客戶、稽核等人員均無法進入工廠，因此，若要破例進行相關的安排，可能會導致許多問題，不僅需要勞師動眾照，甚至會影響公司商譽。</p> <p>而對於企業而言，進行內部工作環境的巡檢、稽核的需求同樣很大，這方面也會耗費大量人力及時間成本，例如，單是派人徒步巡視整個廠區，可能就要好幾個小時。</p> <p>因應上述需求，信驊表示，若導入他們開發的Industry360智慧巡檢解決方案，可即時呈現全景畫面是最大特點，讓參觀工廠的客戶能以第一人視角看到全景影像，客戶不會干擾產線作業，企業能更有效保護產線現場的機密；企業內部高層管理也能從遠距進行視察，一旦發現異狀，能通知鄰近人員處理，高危險區域當然也適用，以維護作業人員安全。</p> <p>不僅如此，謝承儒透露智慧巡檢系統的更多能耐，例如，可提供畫面異常狀況偵測示警的應用，後端平臺將結合AI供應商提供的方案，讓用戶能選擇所需的AI模組；同時也能串起即時顯示機臺相關資訊的應用，可即時反饋各定點資訊如工廠產線數據，比起現行透過AR眼鏡掃描QRCode顯示資訊的巡檢方式，更為便利。</p> <p>整體而言，這項方案不論室內、室外環境都適用，可從任何地方透過網路做遠端巡檢，大幅降低人員實體移動或旅行成本，結合AI，更可以大幅降低人力需求，取代巡檢人力、夜班人力及大幅提高巡檢正確性。信驊科技強調，這個智慧巡檢方案，跟傳統CCTV監視攝影機是完全不同的產品，可從多方面大幅降低營運成本，預計產品第2季開始量產。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）信驊推全景相機智慧工廠新應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>繼2018年布局Cupola360多影像專用處理晶片，發表「AST1220晶片」，獲得多家全景視訊會議設備採用這類晶片後，信驊科技在2022年第四季新推「AST1230晶片」，並於今年Computex台北國際電腦展期間發表Cupola360 360-degree全景相機與Cupola360 Industry智慧巡檢系統，提出Industry360解決方案，切入智慧城市與智慧工廠市場。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）信驊推全景相機智慧工廠新應用_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong>Industry360解決方案具遠端巡檢、自動巡檢、遠端稽核、沉浸式管理等特色，後端Cupola360 Industry智慧巡檢系統所建構的平臺，將可整合多家AI供應商的AI模組等，幫助企業朝智慧工廠無人巡檢、虛擬城市，甚至虛擬教育、虛擬娛樂，以及數位分身（Digital Twin）等多角化發展。 </strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）信驊推全景相機智慧工廠新應用_圖片來源信驊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E4%BF%A1%E9%A9%8A%E6%8E%A8%E5%85%A8%E6%99%AF%E7%9B%B8%E6%A9%9F%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E6%96%B0%E6%87%89%E7%94%A8_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E4%BF%A1%E9%A9%8A.jpg" style="width: 600px;" /></a></p> <p><strong>為了展示信驊科技的智慧AV解決方案（Smart AV Solutions），該公司也展示了Cupola360 Patrol巡檢App示意畫面，讓外界能瞭解結合AI與數據整合的效果。（圖片來源／信驊科技）</strong></p> <h2><strong>AV over IP產品亦可結合Industry360</strong><strong>打造智慧巡檢工廠戰情室應用</strong></h2> <p>除了BMC與Cupola360這兩大產品線，信驊科技還有另一成熟的產品線，也就是AV-over-IP影音延伸控制系統單晶片。可惜，這次並未在Computex亮相，而是在稍晚（6月中旬）的美國奧蘭多專業影音設備展InfoComm展出。</p> <p>根據信驊科技的說明，在完整智慧AV解決方案（Smart AV Solutions）之下，可打破影音傳輸距離限制、具低延遲高畫質特性的AV-over-IP產品，將可與上述Cupola360相機與Industry智慧巡檢系統結合，以建構智慧巡檢工廠戰情室及指揮中心等多元應用。換言之，AVoIP能與Cupola360相機結合，打造更完整的Industry360智慧巡檢解決方案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）信驊InfoComm展出_圖片來源信驊科技.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E4%BF%A1%E9%A9%8AInfoComm%E5%B1%95%E5%87%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E4%BF%A1%E9%A9%8A%E7%A7%91%E6%8A%80.jpg" style="width: 280px; float: right;" /></a></p> <p>在6月12到14日，專業影音設備展InfoComm 23於美國奧蘭多舉行，信驊科技在這場活動上也展出了全系列智慧AV應用產品，包括AV-over-IP影音延伸控制系統單晶片AST1530/1535所提供的長距離多對多影像矩陣及拼貼切換能力，同時，亦展示結合Cupola360全景360度攝影機，及智慧工廠巡檢的應用。（圖片來源／信驊科技）</p> <p> </p> </div></div></div>
2023/6/30 09:30作者羅正漢https://www.ithome.com.tw/news/157528
微軟更新VS Code C++套件新增呼叫階層檢視功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VS Code C++擴充套件1.16版本加入兩個小功能更新，分別是呼叫階層（Call Hierarchy），以讓開發者可以複製宣告與定義，並且指定其在程式碼中的位置。這兩個雖然不是重大功能，卻能讓開發流程更加方便順暢。</p> <p>呼叫階層是開發者在GitHub功能請求敲碗已久的功能，透過呼叫階層，開發者可以簡單地導覽程式碼庫，官方提到，這對於要進一步理解函式之間複雜的呼叫關係時特別有用。要使用這項功能，開發者只要在函式上點擊右鍵，在功能選單選擇顯示呼叫階層。開發者也可進一步點擊呼叫樹中的函式，並且以可用的命令來探索巢狀呼叫。</p> <p>另外，開發者在這個新版本還可以複製宣告和定義。微軟於C++擴充套件1.13.6允許開發者創建宣告和定義，在這個版本再次強化相關功能，開發者可以從函式旁的提示燈泡選擇複製宣告和定義，官方提到，這項新功能並不是使用創建宣告和定義功能，自動將生成的宣告和定義添加到由擴充套件選擇的位置，而是複製到剪貼簿中，由開發者決定貼上程式碼的確切位置。</p> </div></div></div>
2023/6/30 09:36作者李建興https://www.ithome.com.tw/news/157557
開源資料湖專案Delta Lake 3.0加入通用格式，實現開源資料湖格式互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Databricks更新開源資料湖專案Delta Lake發布3.0版本，主要更新重點在於消除資料孤島，Databricks在新版本添加通用格式UniForm，該格式讓Delta Lake與其他開源資料湖儲存層Apache Iceberg和Apache Hudi能夠互通。</p> <p>Delta Lake是由Databricks所開發，為一個資料湖儲存層，能夠簡化企業資料工程架構的複雜性，使企業高效批次和串流處理資料，提供ACID交易維持資料一致性，也使得用戶能夠變更Schema，並且自動處理Schema的演變。Delta Lake強大的索引能力，加速了資料讀取速度，用戶也能夠方便地與Apache Spark等大資料工具整合。</p> <p>企業透過採用開源資料湖倉（Lakehouse）架構，可以避免被專有的資料倉儲鎖定，但是現在企業卻必須要在三種不同的資料湖開源格式Delta Lake、Iceberg和Hudi間選擇，而Delta Lake 3.0更新所加入的通用格式UniForm則能夠提高互通性，使得用戶可以同時從Delta Lake、Iceberg和Hudi工具生態系獲益。</p> <p>在2019年的時候，Databricks已經將Delta Lake專案開源，目前交由Linux基金會治理，而Apache Iceberg則是由Netflix開源的資料湖表格格式，同樣提供ACID交易，並且讓用戶能夠更精細的管理資料，其核心概念包括表格、快照和分區等，這些功能都能支援增量和讀取合併操作。</p> <p>而Apache Hudi則是由Uber開源的儲存層，主要用來管理在Hadoop裡的龐大資料集，Hudi支援增量查詢和插入，也讓用戶能夠儲存資料的不同版本，方便查詢歷史資料。Delta Lake、Iceberg和Hudi實作與功能雖有所不同，但主要目標皆能滿足常見的資料湖需求，包括資料一致性和大資料操作等。</p> <p>Delta Lake 3.0添加的UniForm，讓Iceberg和Hudi也能高效存取儲存在Delta Lake中的資料，並自動生成Iceberg和Hudi需要的後設資料，UniForm統一表格格式，使得用戶不需要手動在不同格式間轉換，最終，Databricks希望透過UniForm，使得用戶可以自由靈活地使用Delta Lake。</p> </div></div></div>
2023/6/30 09:41作者李建興https://www.ithome.com.tw/news/157564
【資安日報】6月29日，NPM套件說明資訊未經過檢核，有可能偷偷被挾帶安裝惡意相依性套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定NPM套件攻擊行動時有所聞，駭客上傳惡意套件引誘開發人員下載，進而入侵開發環境，但為何開發人員會上當？原因很可能與NPM網站上的套件資訊可能與實際內容不符有關。</p> <p>又有勒索軟體駭客鎖定VMware虛擬化平臺而來，但與其他同類型的Linux勒索軟體不同的是，這個勒索軟體Akira導入了新功能，而有可能讓加密檔案的速度更快，讓受害組織難以反應。</p> <p>Linux作業系統提供的軟體出現漏洞，也值得留意。有資安業者揭露Gentoo Linux作業系統套件Soko的重大漏洞，並指出可被用於SQL注入攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺遭勒索軟體Akira鎖定</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-Geographical-distribution-of-Victims.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-Geographical-distribution-of-Victims.png" style="width: 300px; float: right;" /></a>資安新聞網站Bleeping Computer針對勒索軟體Akira的最近一波攻擊提出警告，這款勒索軟體在今年3月被發現的時候，主要是針對Windows電腦下手，但現在駭客也打造Linux版本，目的是加密VMware ESXi虛擬機器的檔案。</p> <p>該新聞網站取得勒索軟體檔案進行分析，發現駭客罕見地提供了加密檔案比例的選項，目的可能是讓攻擊者調整，以控制加快執行的速度。</p> <p>而對於受害範圍，資安業者Cyble表示，自他們首度於4月揭露此駭客組織，迄今已有46個組織受害，大部分位於美國。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/linux-version-of-akira-ransomware-targets-vmware-esxi-servers/">https://www.bleepingcomputer.com/news/security/linux-version-of-akira-ransomware-targets-vmware-esxi-servers/</a><br /> 2. <a href="https://blog.cyble.com/2023/06/28/akira-ransomware-extends-reach-to-linux-platform/">https://blog.cyble.com/2023/06/28/akira-ransomware-extends-reach-to-linux-platform/</a></p> <p><a href="https://www.deepinstinct.com/blog/pindos-new-javascript-dropper-delivering-bumblebee-and-icedid"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體下載器PindOS被用於散布Bumblebee、IcedID</span></strong></a></p> <p>資安業者DeepInstinct揭露名為PindOS的惡意程式下載工具，此為JavaScript打造而成的指令碼，功能極為單純，攻擊者可透過參數指定使用者代理字串（User Agent）、下載的URL、載入惡意軟體的DLL程式庫，攻擊者藉由此載入工具來散布惡意程式載入工具Bumblebee、IcedID。</p> <p>研究人員指出，雖然PindOS會在受害電腦的磁碟上運作，但因為其指令採用了高度混淆手法，在最初現身時，大部分防毒引擎無法將其視為有害。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大樓保全利用職務之便蒐集40個社區的住戶個資，架設網站轉賣供房仲使用</span></strong></p> <p>根據ETtoday、聯合新聞網、三立新聞等媒體的報導，居住於臺中市的38歲陳姓男子，擔任物業管理職務的期間，得知房屋仲介使用俗稱「小白機」的住戶個資資料庫，他利用職務之便蒐集住戶資料，然後購買小白機並將兩者的資料整合，架設付費查詢網站，以日租、月租、永久會員的方式，向房仲兜售個資牟利，會員人數近百人，不法獲利約100萬元，臺中約有40個社區受害。</p> <p>這起事件曝光的原因，是因為有民眾頻繁接到房仲業者的電話，詢問名下房屋是否要出售，懷疑個資遭外洩向警方報案，臺中市警察局刑事警察大隊科技犯罪偵查隊介入偵辦，發現個資來源是名為「房仲開發系統」的網站，警方查扣伺服器主機、隨身碟、現金等證物並下架網站，將陳姓男子以違反個人資料保護法第41條起訴，法院判刑10個月。</p> <p>資料來源</p> <p>1. <a href="https://www.ettoday.net/news/20230628/2529093.htm">https://www.ettoday.net/news/20230628/2529093.htm</a><br /> 2. <a href="https://udn.com/news/story/7321/7263332">https://udn.com/news/story/7321/7263332</a><br /> 3. <a href="https://www.setn.com/News.aspx?NewsID=1315460">https://www.setn.com/News.aspx?NewsID=1315460</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blog.vlt.sh/blog/the-massive-hole-in-the-npm-ecosystem"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">NPM套件庫曝露於Manifest Confusion攻擊的風險當中</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/223906998-ea9f1dd6-9495-4da9-87e1-137c05ad4d7a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/223906998-ea9f1dd6-9495-4da9-87e1-137c05ad4d7a.png" style="width: 300px; float: right;" /></a>前GitHub工程師Darcy Clarke提出警告，NPM套件庫存在可被用於供應鏈攻擊的弱點Manifest Confusion，原因是套件在NPM網站上呈現的資訊，與tarball壓縮檔裡的安裝資訊package.json不盡相同，而且，此套件庫系統本身並不比對兩者的內容是否一致，而使得攻擊者可藉此誤導開發人員。</p> <p>在套件的網站上，發布軟體的駭客作者故意顯示沒有相依的其他套件資訊，但開發者實際安裝套件的過程裡，這些套件卻依照package.json的指令，下載惡意相依套件，或是執行惡意指令碼，此時，開發人員無論使用NPM的命令列工具，或是其他第三方工具來部署套件，都無法避免這類狀況，而有可能受害。</p> <p>Darcy Clarke指出，上述弱點GitHub早在2022年就知情，他也在今年3月透過HackerOne通報，但迄今GitHub仍未修補。</p> <p><a href="https://www.sonarsource.com/blog/why-orms-and-prepared-statements-cant-always-win/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Gentoo Linux作業系統元件存在重大SQL注入漏洞，攻擊者可將其用於RCE攻擊</span></strong></a></p> <p>資安業者SonarSource揭露Gentoo Linux作業系統套件Soko的重大漏洞CVE-2023-28424，一旦有心人士想要利用，就有可能發動SQL注入攻擊，CVSS風險評分為9.1。研究人員從Soko的搜尋功能找到這些漏洞，開發團隊已於3月17日接獲通報，並在24小時之內完成修補。</p> <p>這些漏洞發生的原因，與資料庫的組態配置不當有關，即使在套用了物件關係映射（Object-Relational Mapping，ORM）程式庫的情況下，攻擊者仍能利用上述的漏洞進行SQL注入，從而遠端於目標系統執行任意程式碼（RCE）。不過，由於Soko的元件與其他軟體服務隔離，研究人員認為，使用 Gentoo Linux的用戶不會因此遭遇供應鏈攻擊。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/dismantling-encrypted-criminal-encrochat-communications-leads-to-over-6-500-arrests-and-close-to-eur-900-million-seized"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">加密通訊網路EncroChat被破解3年，逾6千名嫌犯遭到逮捕</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Website -EncroChat_Conf_Social_Media_1600x900 - Numbers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Website%20-EncroChat_Conf_Social_Media_1600x900%20-%20Numbers.jpg" style="width: 300px; float: right;" /></a>法國與荷蘭警方在歐洲刑警組織（Europol）與歐洲司法組織（Eurojust）的協助下，於2020年破解、摧毀受到犯罪集團青睞的加密通訊網路EncroChat，他們分析該網路1.15億則訊息之後，3年來逮捕了6,658名嫌犯，扣押或凍結近9億歐元的不法所得。</p> <p>這起執法行動起因是法國憲兵隊2017年發現犯罪集團經常利用EncroChat手機通訊，隨後法國尋求荷蘭、Eurojust、Europol合作，並在2020年4月於法國境內的EncroChat伺服器進行監控，該公司6月察覺遭到滲透而終止營運。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://blogs.windows.com/windows-insider/2023/06/22/announcing-windows-11-insider-preview-build-23486/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Windows 11將納入Passkey產生與使用，可望帶動新一波無密碼身分驗證應用</span></strong></a></p> <p>微軟在6月22日推出的Windows 11開發版本Build 23486當中，首度納入Passkey的身分驗證功能，讓用戶可以透過Windows Hello製作Passkey，未來用戶即可以設定的臉部、指紋或PIN碼的方式，登入網站及應用程式。此外，用戶也可以透過手機完成登入流程。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.mdsec.co.uk/2023/06/cve-2023-26258-remote-code-execution-in-arcserve-udp-backup/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">備份軟體Arcserve UDP出現身分驗證繞過漏洞</span></span></strong></a></p> <p><a href="https://securityaffairs.com/147828/hacking/bind-dns-dos-flaws.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路系統協會修補DNS軟體套件BIND9的DoS漏洞</span></span></strong></a></p> <p><a href="https://censys.io/identifying-cisa-bod-23-02-internet-exposed-networked-management-interfaces-with-censys/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國聯邦機構數百臺設備的管理介面曝露於網際網路</span></span></strong></a></p> <p><a href="https://www.fortinet.com/blog/threat-research/new-fast-developing-thirdeye-infostealer-pries-open-system-information"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體ThirdEye鎖定俄語用戶而來</span></span></strong></a></p> <p><a href="https://www.fortinet.com/content/dam/fortinet/assets/reports/report-state-of-zero-trust.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者Fortinet揭露臺灣近7成企業導入零信任架構</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><strong><a href="https://www.ithome.com.tw/news/157532">【6月28日】兩大工業控制系統解決方案業者傳出遭遇MOVEit Transfer零時差漏洞攻擊</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157513">【6月27日】駭客散布植入木馬程式的瑪利歐電玩安裝軟體，目的將玩家電腦高性能的CPU與GPU運算資源用於挖礦</a></strong></p> <p><strong><a href="https://www.ithome.com.tw/news/157498">【6月26日】殭屍網路Mirai變種鎖定D-Link、Zyxel、Netgear網路設備而來</a></strong></p> </div></div></div>
2023/6/29 17:29作者周峻佑https://www.ithome.com.tw/news/157555
臺中榮總揭12項重症預測AI成果，整合儀表板供醫護即時掌握病況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺中榮總今日（6/29）揭露重症AI應用成果，團隊用AI強化重症疾病照護服務，開發多款疾病預測模組來即時掌握病人狀況，像是急性腎損傷預測、呼吸器拔管預測、急性呼吸窘迫症（ARDS）預測和72小時後臨床惡化風險預測等共12項預測模組，每項鑑別率都達8、9成，可幫助醫護快速治療重症患者、提高存活率。</p> <p><span style="font-size:24px;"><strong>跨部門整合重症醫學和IT專業，用7年資料建置亞洲最大重症資料庫</strong></span></p> <p>在醫院，重症患者的病症發展快速，可能發生心、肺、肝、腎衰竭造成生命危險，但通常得等到症狀明顯，醫護人員才能確定、展開治療。於是，臺中榮總團隊思考，要打造重症預測模組，來協助醫護即時給予重症患者治療。</p> <p>臺中榮總重症醫學部主任詹明澄指出，臺中榮總跨部門合作，由醫護人員、演算法工程師、系統工程師和資料庫工程師共同展開開發工作。臺中榮總重症醫學部先是與資訊室建立重症資料庫，收集了2015年至2021年的成人加護病房臨床資料，涵蓋24類數值和影像，如病人基本資料、生化數值、輸血醫囑、X光片影像等共7,200萬筆資料。</p> <p>在建置資料集的過程中，臺中榮總還建立了資料清理自動化工具，來加速資料處理工作。臺中榮總指出，這是亞洲最大、最完整的重症資料庫，且與麻省理工學院開發的公開電子病歷資料集MIMIC-IV相當。臺中榮總預計，這個資料庫在2024年就會超越MIMIC-IV，成為世界最大的重症資料庫。</p> <p><span style="font-size:24px;"><strong>開發12項重症預測模組，整合儀表板落地應用</strong></span></p> <p>有了這個資料庫，臺中榮總便用來開發疾病預測模組。他們聯手東海大學AI中心，打造12項重症預測模組，包括急性呼吸窘迫症候群、急性腎損傷、菌血症、呼吸器拔管、急性呼吸窘迫症（ARDS）、24小時後和72小時後臨床惡化風險、腎恢復預測、出院後30天、90天和一年內存活率預測等，這些模組的AUROC鑑別率都達到8、9成以上。</p> <p>其中，以急性腎損傷為例，臺中榮總與臺灣智慧醫療聯盟（SHA）合作，聯手臺灣4所醫學中心，利用聯邦學習（Federated learning）進行外部驗證，也得到不錯的預測結果。目前，臺中榮總的急性腎損傷預測模型，也入選為食藥署智慧醫材（SaMD）申請的輔導案。</p> <p>模型完成開發後，臺中榮總也打造疾病管理儀表板，來落地運用。這個重症疾病管理儀表板，涵蓋了全院重症床位現況、重要設備（如葉克膜、呼吸器等）使用狀況，以及每位患者的各大疾病預測風險數值，每小時更新病人臨床資料，來供臨床醫護人員快速掌握病情。其中，臺中榮總智慧重症團隊還針對急性呼吸窘迫症候群、急性腎損傷，分別開發監視儀表板（如下圖），除整合重要臨床資料，提供即時模型預測結果外，也以視覺化設計，不只顯示病況，還提供適當處置建議，是中榮重症團隊溝通的重要窗口。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%A5%E6%80%A7%E5%91%BC%E5%90%B8%E6%80%A5%E8%BF%AB.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%80%A5%E6%80%A7%E8%85%8E%E6%90%8D%E5%82%B7.png" /></p> <p>臺中榮總也以一位高齡敗血症併呼吸衰竭個案，來說明實際應用狀況。該病患入院後，AI系統即以入院48小時的資料，推論出病患屬於急性呼吸窘迫高風險。系統不只在病房儀表板顯示風險值，也呈現病患入院後的重症醫療數據，如呼吸器參數、輸液狀態，並進一步依據指引主動評估病人狀況，並以燈號顯示急性呼吸窘迫的治療狀態，包括保護性通氣、俯臥通氣、輸液平衡、早期營養等項目，要是病患的治療都達標，儀表板就會以綠燈顯示，代表病患的臨床狀況逐步改善中。</p> <p>臺中榮總指出，這種重症智慧醫療應用不只提升重症病人診療品質，也能有效降低第一線醫護的工作負荷，更將在遠距醫療時代扮演重要角色，協助改善偏遠地區醫療品質和醫療資源分配不均的痛點。</p> </div></div></div>
2023/6/29 17:41作者王若樸https://www.ithome.com.tw/news/157559
間諜程式LetMeSpy遭駭客入侵，客戶資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://niebezpiecznik.pl/post/letmespy-android-wyciek-hacked/" target="_blank">波蘭資安業者Niebezpiecznik日前披露</a>，有一個與間諜程式LetMeSpy有關的檔案正在網路上流傳，該檔案含有遭到LetMeSpy追蹤的用戶資料，也含有追蹤人的資料，顯然是LetMeSpy遭到駭客入侵，並造成使用者資料外洩。</p> <p>LetMeSpy是個免費的Android程式，在手機上安裝之後，使用者即可透過電腦來追蹤該手機上的通話、簡訊與GPS位置，並強調該程式非常的輕薄，使用者幾乎不會注意到。不過，LetMeSpy也不忘於官網上宣導其相關功能可能涉及隱私，且在某些國家可能是違法的。</p> <p>不論如何，安全研究人員在所發現的檔案中找到了超過2.6萬筆的電子郵件帳號與雜湊密碼，也有逾1.6萬則被追蹤的簡訊內容，以及追蹤者與被追蹤者的電話號碼。此外，駭客也對外宣稱已刪除LetMeSpy伺服器上的資料庫，並複製了一份放在駭客自己的伺服器上。</p> <p>專門蒐集外洩資料的非營利組織DDoSecrets與<a href="https://techcrunch.com/2023/06/27/letmespy-hacked-spyware-thousands/" target="_blank">《TechCrunch》</a>分享了外洩的LetMeSpy資料，顯示該資料庫至少涉及1.3萬臺受害裝置，也包含這些裝置的位置資料，其中，絕大多數受害者位於美國、印度與西非。</p> <p>此外，而《TechCrunch》也發現，在發表文章之際，LetMeSpy程式已經無法運作。</p> <p>Niebezpiecznik則建議，若家長真的要監控孩童，最好使用手機或電信業者所內建的家長控制程式，而不要相信那些來路不明的第三方程式。一般的使用者則可檢視所安裝的程式列表，以察看是有詭異程式，亦應啟用生物辨識並設定螢幕鎖，來避免手機被安裝間諜程式而不自知。</p> </div></div></div>
2023/6/29 16:21作者陳曉莉https://www.ithome.com.tw/news/157552
歐盟公布數位歐元立法計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_3501" target="_blank">歐盟執委會（European Commission，EC）周三（6/28）祭出了兩項提案</a>，一是確保歐元區的現金地位，二是設定一框架以讓歐洲央行在未來可發行數位歐元，闡明現金與數位歐元的地位。</p> <p>其中，第一項提案是為了維護現金的作用與地位，讓現金持續成為一個可被廣泛接受的支付方式，把現金視為歐元區的法定貨幣，要求歐盟成員國必須確保現金支付及取得現金的能力。不讓現金被數位貨幣取代的主要原因為金融包容性，以覆蓋那些依賴現金的老年人或其它弱勢族群。</p> <p>至於數位貨幣的立法框架則是為了迎合全球的潮流，也可帶來另一種支付解決方案，同時增強歐元的國際地位。根據該框架，未來的數位歐元將與現有的信用卡或程式支付並存，成為數位錢包的一環，可隨時隨地利用數位歐元進行支付，包括在線與離線。</p> <p>此外，歐盟地區的銀行與支付服務供應商都可散布數位歐元予民眾或企業，基本的數位歐元服務應是免費的，且就算沒有銀行帳戶也應該能夠開設並持有數位歐元帳戶。</p> <p><a href="https://www.ecb.europa.eu/press/pr/date/2023/html/ecb.pr230628~e76738d851.en.html" target="_blank">歐洲中央銀行（European Central Bank，ECB）也在同一天發表了聲明</a>，表達歡迎相關提案。其實<a href="https://www.ithome.com.tw/news/145661" target="_blank">ECB在2021年便啟動了數位歐元專案（Digital Euro Project）</a>，針對數位歐元的設計與分布展開了長達24個月的調查，此一階段預計於今年10月結束，屆時將會決定是否邁入下一個涉及開發與測試相關解決方案的階段。</p> <p>ECB行長Christine Lagarde指出，歐元為歐洲共同體最具體的象徵，深受廣大民眾的重視與信賴，期望與其它歐盟組織繼續合作開發數位歐元，以確保歐盟區的貨幣符合數位時代。</p> <p>本周的提案僅列出數位歐元的法令框架及必要元素，一旦通過歐洲議會及歐盟高峰會（European Council）的許可，最終即會由ECB負責發行數位歐元。</p> </div></div></div>
2023/6/29 16:28作者陳曉莉https://www.ithome.com.tw/news/157553
Google DeepMind正在開發次世代AI聊天機器人，宣稱比ChatGPT更強大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google剛合併完成的AI部門DeepMind主管透露，公司正運用AI模型AlphaGo的經驗，開發下一代AI聊天機器人，成果會比OpenAI的ChatGPT更強大。</p> <p><a href="https://www.wired.com/story/google-deepmind-demis-hassabis-chatgpt/" target="_blank">DeepMind共同創辦人暨執行長Demis Hassabis日前接受《Wired》訪談時表示</a>，該公司正在開發的最新大型語言模型（LLM）名為Gemini。DeepMind在5月間Google I/O首次介紹Gemini，Gemini本質上和ChatGPT底層的GPT-4類似，都能處理文字輸入並生成自然語言的回覆，但是Gemini更具備規畫或解決問題的能力，這是來自DeepMind的AlphaGo模型，而仰賴的是AlphGo的增強式學習（reinforcement learning）訓練方法。</p> <p>AlphaGo正是<a href="https://www.ithome.com.tw/newstream/104630" target="_blank">2016年擊敗</a>南韓圍棋棋王Lee Sedol，<a href="https://www.ithome.com.tw/news/114519" target="_blank">2017年再敗</a>世界棋王柯潔的棋藝AI模型。DeepMind後來又再推出了更強大的棋藝AI系統AlphaGo Zero及AlphaZero。</p> <p>所謂增強式學習是電腦模型透過與動態的環境反覆互動，透過嘗試錯誤（trial-and-error）及回報／處罰（reward/punishment）的方法，逐漸學習正確執行一項任務的方法。這能使模型在沒有人類干預、沒有被寫入明確執行任務的程式下做出一系列決策。AlphaGo也是增強式學習的經典範例，AI模型逐漸學習到下圍棋或打電玩下一步該選擇什麼樣的行動。</p> <p>Hassabis說增強式學習之外，AlphaGo還曾用到競賽樹搜尋（tree search）以探索、記憶棋盤上可能步數等其他技巧。</p> <p>Hassabis形容，Gemini更像是增加自然語言能力的AlphaGo模型，他相信使用AlphaGo的技術研發的Gemini大型語言模型，將會比ChatGPT更強大。</p> <p>Gemini還開發中，DeepMind表示，還要好一陣子才會完成，而且也將耗費數千到數億美元的費用。《The Wired》引述OpenAI執行長Sam Altman指出，GPT-4的開發成本超過1億美元。</p> <p><a href="https://www.ithome.com.tw/news/153228" target="_blank">DeepMind去年9月宣布</a>更安全的聊天機器人Sparrow的開發計畫。DeepMind曾說今年會推出Sparrow的測試版，但Sparrow是否持續開發，或會整合到Gemini中則不得而知。</p> <p>Gemini將是Google能否重奪AI領導者角色的關鍵。為了追趕微軟及OpenAI，Google除了開發AI聊天機器人Bard，也整併Google Brain及DeepMind，並投入一組人開發加速搜尋的AI專案。</p> <p>此外6月初DeepMind另外用AlphaZero為主軸，<a href="https://www.ithome.com.tw/news/157261" target="_blank">公布AlphaDev模型</a>，旨在提升資料庫檢索速度，藉此節能、節省大型資料中心成本。</p> </div></div></div>
2023/6/29 14:27作者林妍溱https://www.ithome.com.tw/news/157550
MedTech醫療科技雙周報第22期：圖文通吃！微軟打造生醫領域專用的生成式AI Chatbot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0616～0630）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>圖文通吃！微軟打造生醫領域專用的生成式AI Chatbot</strong></span></p> <p>微軟最近開發一款可處理生醫圖片和文字的多模態生成式AI聊天機器人LLaVA-Med，能回答關於生物醫學圖像的開放式研究問題。團隊先是從美國政府維護的生醫數位資料庫PubMed Central，提取大量生醫圖像和相對應的圖說，來建立訓練資料集，並以GPT-4根據圖說來自我指導，生成開放式、指令遵從的資料，接著再用課程學習方法，來微調一個大型通用的視覺-語言模型。</p> <p>也就是說，這個模型的形成可分為2階段，首先是利用生醫圖像-圖說的配對組資料，來讓模型學習生醫單字，再來是用GPT-4產出的遵從指令的資料，來學習開放式對話語意，也就是模仿外行人學習生醫知識的過程。團隊總共用8張A100 GPU，不到15小時就完成LLaVA-Med的訓練，而且能準確回答關於生醫影像的問題。團隊指出，經3項生醫視覺問答資料集測試，LLaVA-Med比各項監督式SOTA模型還要好，接下來，微軟團隊將釋出遵從指令的訓練數據和模型本身。<a href="https://arxiv.org/abs/2306.00890">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-06-29%20114020.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Epic </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子病歷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美醫療IT系統大廠Epic要用GPT-4快速生成病歷</strong></span></p> <p>美國醫療系統龍頭廠商Epic日前聯手微軟子公司Nuance，要開發一套醫療行政管理解決方案DAX Express，並整合微軟Azure OpenAI服務的大模型GPT-4，來加速行政工作、給Epic社群使用。簡單來說，該解決方案是一款臨床文件應用程式，要透過自動生成的臨床文件，來優化醫療機構的行政工作流程、擴大對病人的照護服務。</p> <p>使用DAX Express for Epic的醫療機構，能在醫院檢驗檢查室或進行遠距醫療時，自動建立臨床記錄草稿，醫師可馬上檢視這些資訊，也能在病患看診後完成這些臨床記錄。密西根大學西部醫院資訊長Josh Wilda指出，DAX將原本需要數小時的臨床記錄工作縮短為幾秒鐘，同時還能提高病患照護的品質。<a href="https://news.nuance.com/2023-06-27-Nuance-and-Epic-Expand-Ambient-Documentation-Integration-Across-the-Clinical-Experience-with-DAX-Express-for-Epic">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">遠距醫療 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 處方箋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 慢性病 </span></strong></span></p> <p><span style="font-size:22px;"><strong>韓國要將遠距醫療服務常態化，處方箋可傳真或Email到指定藥局</strong></span></p> <p>根據美國醫療資訊與管理系統學會（HIMSS）旗下媒體報導，韓國衛生福利部正展開為期3個月的遠距醫療試點計畫，範圍涵蓋全國，只要醫師認為必要且安全時，就能對病患進行遠距醫療．進一步來說，這個遠距醫療服務的適用對象，包括非首次看診的慢性病患（首次看診須為實體看診）、需要回診的兒科患者（只限於例假日和夜晚時刻）、居住於離島和偏遠地區的民眾、身障人士，以及超過65歲的長者和患上感染疾病的民眾。</p> <p>這項試點計畫適用於診所和提供罕見疾病照護、手術後照護的醫院，不過，醫療機構也能透過這項計畫來提供諮詢服務，若視訊難以進行，醫療機構也能透過電話提供諮詢。而處方箋可透過傳真、電子郵件方式，寄送到患者制定的藥局。至於取藥，可由患者親自領取、代理人領取，或是由藥局送藥到府，但只限於居住在離島和偏遠地區的民眾，以及不便行動、患有罕病或傳染病的民眾。<a href="https://www.healthcareitnews.com/news/asia/south-korea-begins-move-make-telemedicine-permanent">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Lens </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 皮膚 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Bard </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>新版Google Lens可檢測皮膚症狀、將整合Bard</strong></span></strong></p> <p>Google日前更新智慧鏡頭（Google Lens），新添檢測皮膚症狀功能，也預告將整合Bard AI助理。2021年，Google就推出名為DermAssist的智慧鏡頭功能，使用者上傳3張皮膚照片、回答一些問題，應用程式就會提供可能的皮膚問題資訊。在目前的最新版本中，使用者用Google Lens拍照或上傳皮膚相片，就能以視覺搜尋來找出可能的病症資訊。</p> <p>該功能也能用於其他身體異狀，如嘴唇上的突起、指甲表面紋路或掉髮問題。Google指出，DermAssist可辨識288種皮膚、指甲和頭髮症狀。另一方面，再過幾個星期，使用者就能在Bard輸入圖片，Bard會啟動Google Lens來辨識圖片內容。而Google在去年12月宣布，正在開發能看懂醫師手寫處方箋的AI模型，以及能辨識醫師手寫醫囑並加強顯示藥物資訊，這些新功能未來也將整合到Google Lens中。<a href="https://blog.google/products/google-lens/google-lens-features/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/0615-google_lens-search_for_skin_conditions-960.jpg?itok=t_NyM1kN" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 南澳大利亞</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 虛擬照護 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距醫療 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>南澳政府撥1.3億澳元要提供常態性虛擬照護服務，要降低醫院床位緊繃壓力</strong></span></strong></p> <p>南澳大利亞政府最近宣布投入1.3億澳元來發展常態性的兒童與成人虛擬照護，包括發展未來4年的兒童與青少年虛擬緊急照護服務（CAVUCS），以及未來5年的南澳成人虛擬照護服務（SAVCS），目標是要解放醫院床位。</p> <p>南澳政府表示，就CAVUCS來說，這項政策是要擴展COVID-19疫情間設置的遠距醫療服務，來讓當地婦女及兒童醫院的急診科醫護團隊，能繼續提供虛擬照護服務給當地兒童和青少年。南澳政府統計，自2021年8月啟動以來，CAVUCS已服務了2萬4千多名兒童，還免去了90%的不必要到院急診；他們也啟用1,000多輛救護車，來讓醫護至家中治療兒童，而非把他們送到醫院。</p> <p>另一方面，就SAVCS來說，南澳政府則是要透過醫師、護理師團隊提供虛擬照護，來降低醫院急診人流壓力、釋放更多床位。自2021年12月啟動該服務以來，已有1萬8千多人受惠，其中80%避免了不必要的急診就診，在家中接受品質更好的照護服務。<a href="https://www.premier.sa.gov.au/media-releases/news-items/$130-million-boost-to-virtual-health-care-helping-keep-kids-and-adults-out-of-hospital">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UNC Health </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料搜尋 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>北卡羅萊納大學醫院用生成式AI Chatbot加速資料搜尋工作</strong></span></strong></p> <p>北卡羅萊納大學體系醫院（UNC Health）參與電子病歷大廠Epic和微軟的生成式AI計畫，要利用微軟Azure OpenAI服務，來打造內部專用的聊天機器人工具，初期將給部分臨床醫師和行政職員使用。</p> <p>進一步來說，醫院醫護團隊可以自然語言提出問題，讓Chatbot搜尋資料庫、給出答案，來節省醫護手動搜尋數百篇操作文件的時間。UNC Health表示，這只是生成式AI的應用案例之一，他們還要在今年晚些時候，將這項應用擴大到旗下15家醫院、19個院區和900多家診所。<a href="https://news.unchealthcare.org/2023/06/unc-health-piloting-secure-internal-generative-ai-tool-for-teammates-with-microsoft-azure-openai-service/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 獸醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 亞利桑那州 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>美國亞利桑那州通過獸醫遠距醫療照護立法</strong></span></strong></p> <p>美國亞利桑那州州長Katie Hobbs日前簽署獸醫遠距醫療照護法規，允許該州獸醫透過遠距醫療來提供寵物照護服務。該法名為<a href="https://legiscan.com/AZ/text/SB1053/id/2806041">SB1053</a>，有別於美國大多數州的規定，SB1053可讓寵物在第一次就診時，就能使用遠距醫療來與獸醫溝通，而非要實體就診。</p> <p>在COVID-19疫情間，這種獸醫遠距醫療需求大增，在美國就有19個州通過立法，亞利桑那州就是其一，也是最早將這項服務常態化的州。根據美國獸醫虛擬照護協會統計，只有愛達荷州、維吉尼亞州和新澤西州允許無條件的獸醫遠距醫療，其他33州要求寵物進行遠距醫療前，至少要先實體就診過，或做過某些檢驗檢查，才能接受遠距醫療照護；目前只有紐約州禁止獸醫提供遠距照護服務。<a href="https://www.publicnewsservice.org/2023-06-06/animal-welfare/az-governor-enacts-law-allowing-telemedicine-for-pets/a84819-1">（詳全文）</a></p> <p>圖片來源／微軟、Google</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 微軟開發BioViL-T模型，可強化放射線影像報告準確度</strong></strong></p> <p><strong><strong>2. Walmart在全美新添70家愛滋病藥房點，明年要擴大提供自身免疫疾病藥物</strong></strong></p> <p>資料來源：iThome整理，2023年6月</p> </div></div></div>
2023/6/29 12:09作者王若樸https://www.ithome.com.tw/news/157543
Proton釋出免費密碼管理工具Proton Pass
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供網路隱私服務的瑞士業者<a href="https://proton.me/blog/proton-pass-launch" target="_blank">Proton周三（6/28）發表免費的密碼管理工具Proton Pass</a>，它以擴充程式的形式支援桌面作業系統的各大瀏覽器，涵蓋Chrome、Firefox、Edge、Brave與其它瀏覽器，也釋出支援iPhone、iPad與Android裝置的行動程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-Proton%20Pass-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Proton</span></p> <p>Proton Pass可用來自動生成並儲存密碼，並具備Hide-my-email電子郵件別名功能，整合了雙因素身分驗證（2FA），提供端對端加密，也內建VPN服務。</p> <p>Proton認為，在使用者的資料外洩之際，通常同時曝露了密碼與電子郵件帳號，其中，密碼通常會被加密，而且之後使用者得以加以變更，然而，電子郵件帳號卻無所遁形，也難以變更，是個比密碼更有價值的資訊，讓駭客得以針對這些外洩的電子郵件帳號寄送垃圾或網釣郵件。</p> <p>因此，Hide-my-email即可在使用者與第三方服務之間建立一個電子郵件別名，而隱藏真正的電子郵件帳號，未來可持續以該別名登入第三方服務，萬一該第三方服務遭駭，別名曝光了，則可直接刪除該別名，以避免隨之而來的垃圾或網釣郵件。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-Proton%20Pass-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Proton</span></span></p> <p>此外，Proton也強調Proton Pass比其它的免費密碼管理工具更為安全，因為它在所有的欄位都採用了端對端加密技術，而不僅加密密碼欄位，因此，不管是使用者名稱、網址或其它資訊都不容易曝光。</p> <p>免費的Proton Pass所支援的裝置與登入數量並無上限，但只能建立10個電子郵件別名，2FA及VPN服務亦有所限制，而付費的Pass Plu所提供的相關服務則皆無數量限制。Pass Plu的原價為每月4.99美元，大多數時候的折扣價為3.99美元，伴隨著Proton Pass服務推出則祭出1美元的優惠訂閱價格，且Proton表示，若在此一優惠期間訂閱，即便之後回到3.99美元，用戶仍終身可享受1美元的價格。</p> <p>與Proton Mail、Proton Calendar、Proton Drive及Proton VPN等旗下眾多服務一樣，Proton也會開源Proton Pass，以供外界檢視其安全架構。</p> </div></div></div>
2023/6/29 13:16作者陳曉莉https://www.ithome.com.tw/news/157547
Google整併地圖部門Waze裁員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2023/06/27/google-cuts-jobs-at-waze-as-it-continues-to-merge-mapping-products.html" target="_blank">CNBC本周報導</a>，Google整併地圖事業，近日精簡社交地圖業務部門Waze人事。</p> <p>Waze是Google於2013年收購的以色列社交地圖程式業者。Waze仰賴使用者手機上的程式傳送或主動回報的交通和道路狀況，以協助其他用戶選擇其他交通路線。Waze曾擁有超過4,000萬用戶，<a href="https://www.ithome.com.tw/node/81104" target="_blank">Google當年收購Waze時</a>還曾引來美國主管機關聯邦交易委員會（FTC）的調查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-Google-Customize%20Drive-Waze-600-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Google地圖部門Geo的主管Chris Philips在媒體取得的內部公開信宣布裁員消息。他指出，公司對Waze的策略有所變更，其獨立的廣告系統將整併到Google廣告系統中，Waze的廣告業務將如同Google Maps由Google全球業務組織（Global Business Organization，GBO）掌理。未來Waze廣告業務會經由Google Ads發送，在此同時，前者的廣告相關職位，包括業務、行銷、營運和分析師都會裁減掉。</p> <p>這波裁員影響人數不明。CNBC報導，Waze現有員工500多人。</p> <p>Google今年初宣布裁員1.2萬人，並力求專注在高獲益及關鍵專案上，影響眾多部門，包括軟、硬體、行銷、聘僱、工程及行政人員等。Google去年12月即已合併Waze及Google Maps以節省開支，當時Waze執行長Neha Parikh也隨之下臺。</p> <p>這也是Google最新一波組織變動。<a href="https://www.ithome.com.tw/news/156221" target="_blank">CNBC 3月間報導</a>Google Assistant改組，除了人事變動，Google Assistant部門開發Google Maps、搜尋、手機內AI語音助理的策略也將轉為以Bard為重點。此外，<a href="https://www.ithome.com.tw/news/156498" target="_blank">4月Google Brain和DeepMind合併</a>為單一的AI研發部門。<a href="https://www.ithome.com.tw/news/157526" target="_blank">Google AR智慧眼鏡專案Project Iris上周也傳停擺</a>，Google未來可能以開發軟體平臺及授權為主，由第三方製造商生產智慧眼鏡。</p> </div></div></div>
2023/6/29 13:33作者林妍溱https://www.ithome.com.tw/news/157548
【蘋果AR新戰略：新OS】蘋果發表全新visionOS作業系統，強化對於空間運算的支援能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果不只發表了空間運算頭戴設備Vision Pro，還推出了專為該設備搭載的全新作業系統，名為visionOS，這也是蘋果第一個空間作業系統。不論應用程式視窗介面、App呈現形式、輸入介面還是互動方式，與以往的蘋果iOS作業系統有明顯區別，對於之後想要跨入visionOS應用的行動開發者來說，有必要熟悉這些差異。</p> <p>除了沿續以往iOS的簡潔風格和一致性設計之外，蘋果在visionOS中加入了豐富的空間設計元素，使介面看起來具有空間感和深度感。例如提供立體逼真的圖示和利用光影效果的邊框設計等。不僅如此，空間中的visionOS應用程式的呈現方式也更加多樣化，可以讓使用者感受到應用程式環繞著自己，創造出一個廣闊且無限的空間感，獲得更加身臨其境的體驗。</p> <p>儘管目前蘋果還沒有正式推出visionOS，但從公開的visionOS設計指引文件中，可以整理出和以往蘋果作業系統不同的特色，是針對空間運算需求的設計。其中一個重要的特色是，提供了全新三維的使用者介面，能夠展示更<br /> 立體化的UI和3D內容，供Vision Pro裝置用戶操作並與其互動。</p> <p> </p> <p><strong><span style="font-size:28px;">特色1：全新的三維使用者介面，展示更立體化的UI和3D內容</span></strong></p> <p>為了打造這個全新的3D介面，visionOS提供了多應用3D模擬引擎能夠支援更強大的圖形模擬、渲染效果，讓應用程式UI介面在AR設備中具有更出色的3D空間表現。蘋果還調整和優化現有UI設計元素，來適應空間設計特性。</p> <p>舉例來說，傳統iOS應用程式中通常將標籤列（Tabbar）通常置於螢幕底部，而在visionOS中，則放置在畫面左側並以圖示呈現，字體樣式也重新優化，以更好地配合整體視覺效果並提高易讀性，還增加了專為空間設計的字體。此外，主畫面中的App圖示也變得更立體和逼真，還能夠與使用者互動。</p> <p>不只使用者介面，應用程式視窗在這套作業系統中的呈現方式也和以往iOS有明顯的區別。</p> <p>visionOS提供了兩種不同呈現類型，即Window和Volumes。Window類似於傳統的2D平面視窗，而Volume則是採用了3D幾何形狀的視窗，造型更加立體。不過，使用者可以自由調整Window視窗在AR空間中呈現的長、寬尺寸，但無法更改Volume視窗大小，而是由App本身控制。</p> <p>除了給使用者提供更直覺的互動方式，這種新的3D介面為開發者提供了全新應用程式的設計和展示方式，使他們能夠打造更加沉浸式的應用程式。相較於傳統的iOS應用展示限制，這種3D介面讓應用程式能夠擁有更逼真的介面和3D內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-06-22%20%E4%B8%8B%E5%8D%882_03_45.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">visionOS提供了兩種不同呈現類型，即Window和Volumes。Window類似於傳統的2D平面視窗，而Volume則是採用了3D幾何形狀的視窗，造型更加立體。不過，使用者可以自由調整Window視窗在AR空間中呈現的長、寬尺寸，但無法更改Volume視窗大小，而是由App本身控制。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-06-26%20%E4%B8%8B%E5%8D%884_48_18.png" style="width: 600px; height: 263px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">圖中的3D立體地球儀，就是使用Volume作為App介面初始場景，比起傳統2D平面為主的Window，Volumes可以在特定三維空間中展示高度立體化的視窗造型及其內容。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p> </p> <p><strong><span style="font-size:28px;">特色2：強化對光達掃描器支援，讓應用程式展示與互動更貼近真實環境體驗</span></strong></p> <p>visionOS另一項重要改變是強化了對於光達掃描器支援能力，原本在iPadOS和iOS中就能使用光達來測量使用者周圍物體距離和空間位置，來取得場景空間和定位的資料，用於AR應用，但visionOS中，對光達掃描器的支援能力變得更加重要。這是因為幾乎所有應用程式都是以3D立體形式出現在Vision Pro螢幕裡所形成的真實和虛擬交疊的3D空間裡，這個3D空間是根據前置攝影機即時影像所製作而成，以即時影像畫面呈現在頭戴設備使用者的眼前，在這個空間中，應用程式外觀不只是變得更立體，還會根據放置遠近或擺放高度而呈現不同的深度效果，看起來就像現實世界中的物品那樣。因此就更需有能精準的空間和深度資料的光達，支援這種更加動態的AR應用互動方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-06-26%20%E4%B8%8B%E5%8D%887_56_59(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">visionOS還搭載了一個空間音訊處理引擎，使用光線追蹤分析使用者周圍環境物理材質和回聲特性，可以根據3D物體在前景或後景的位置，自動調整聲音的表現方式，提供更加沉浸的聲音體驗。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p> </p> <p><strong><span style="font-size:28px;">特色3：支援低延遲的空間運算處理，即時反應AR物件外觀變化</span></strong></p> <p>為了能夠及時反映周圍環境的變化，visionOS也支援超低延遲的空間運算處理，來支援各種需要及時變動的應用場景或3D圖像渲染。蘋果並提供了動態縮放和景深功能，能夠根據使用者所在位置自動調整其視窗大小和距離，以保持一致的大小比例，同時維持外觀的景深效果。</p> <p>除了能根據3D場景變化即時互動，visionOS還搭載了一個空間音訊處理引擎，使用光線追蹤分析使用者周圍環境物理材質和回聲特性，可以根據3D物體在前景或後景的位置，自動調整聲音的表現方式，提供更加沉浸的聲音體驗。</p> <p><strong><span style="font-size:28px;">特色4：全新的輸入模式，靠眼動搭配捏合手勢就能操控App</span></strong></p> <p>visionOS還有一個更大改變是，採用了全新的輸入模式，讓使用者可以自然方式與應用程式互動，也是這套作業系統另一大特色。在這個新的輸入模式下，使用者只需要眼睛和雙手就可以與應用程式進行互動。例如，當使用者瀏覽visionOS App時，只要眼睛注視著螢幕前方App的圖示，然後用手指輕捏，系統會根據使用者的視線和手指捏合的動作，來開啟相對應的App，全程不需要觸碰AR設備螢幕。</p> <p>原本在iOS中就有提供手勢操作輔助功能，但在visionOS中則變成是預設輸入方式，取代以往多點螢幕觸控輸入方式。visionOS還支援多種手勢操作，來提供常見的App操作功能，例如輕點、長按、拖曳、旋轉、縮放等等。</p> <p>為了因應長時間手勢操作，visionOS設計上還新增一個焦點反饋功能（Focus Feedback），可以根據使用者注視螢幕畫面中的哪一個功能按鈕或應用圖示，來即時改變其顯示的狀態，例如圖示增亮或產生懸浮效果。</p> <p>此外，還可進一步分為間接和直接手勢兩種操作輸入方式，當使用者距離應用程式較遠時，可以使用間接手勢來操作（例如捏合手勢），若要操作距離較近的應用程式時，就可以採用直接手勢來完成，也就是直接用手指觸碰眼前的虛擬物件，如虛擬鍵盤等，來執行應用程式的相關操作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dynamic-3D-scene%402x.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">visionOS還提供客製化功能，讓他們能夠根據不同應用場景設計對應的手勢操作，例如可以設定將兩隻手放在一起形成心形時，觸發特定的事件或功能。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／蘋果）</span></p> <p>新的手勢輸入也帶來全新的互動模式，這意味著，開發者可以為他們的應用程式增加更多互動功能。visionOS還提供客製化功能，讓他們能夠根據不同應用場景設計對應的手勢操作，例如可以設定將兩隻手放在一起形成心形時，觸發特定的事件或功能。還有另一種實體輸入控制方式是透過數位錶冠（Digital Crown）來完成，像是調整周圍環境中的沉浸程度，或是用來執行音量、返回主畫面等其他操作。</p> <p>與其他平臺一樣，visionOS同樣支援了如聲音旁白（VoiceOver）、游標控制（pointer control）等輔助操作功能。此外，用戶也可以透過語音輸入或是利用Siri語音指令來開啟和關閉App、播放音樂等，並可以支援實體鍵盤、觸控板、其他相容的遊戲控制器，但不支援Apple Pencil。</p> <p> </p> <p><strong><span style="font-size:28px;">特色5：新增EyeSight闖入提醒功能，自動調整沉浸程度提醒用戶注意周遭人物</span></strong></p> <p>visionOS還新增EyeSight闖入提醒功能，當有人靠近配戴Vision Pro的使用者時會自動調整沉浸程度，讓頭戴設備使用者可看到有人靠近的情況，也會將使用者的雙眼以數位形式在頭帶設備前置螢幕中顯示，讓對方察覺使用者的狀態。</p> <p>visionOS中還有提供與iOS相同的控制中心，提供音量、字體、飛航模式、勿擾模式、Wi-Fi、藍牙等控制功能。還有許多常見的應用，如FaceTime、SharePlay等。另外也有提供新品牌App Store，讓開發者可以在該商店平臺上發布和販售自己visionOS應用程式。</p> <p><strong><span style="font-size:28px;">特色6：加入全新虹膜辨識技術，強化隱私及身分認證</span></strong></p> <p>蘋果還推出新的辨識解鎖功能Optic ID，能夠利用虹膜辨識技術來加強身分認證的安全性，這也是蘋果繼Touch ID指紋辨識、Face ID臉部辨識技術後採用的最新生物辨識技術，未來可以用於AR頭戴設備解鎖，或Apple Pay支付、App Store商店購買等場景。</p> <p>visionOS在隱私方面也有特別設計，例如，應用程式無法直接獲取用戶在3D空間中的眼睛位置和手勢資訊，也無法知道用戶正在注視哪個位置或與誰進行互動，而是在發生觸發事件後，應用程式會收到系統的通知，才根據事件的類型執行相應的指令。</p> <p>另外，對於一些敏感的資訊，如手部資訊，也都需要事先獲得用戶的同意才能使用。這樣的設計確保了用戶的隱私安全。</p> <p>針對新發布visionOS作業系統，蘋果最近釋出visionOS 1.0開發者版，雖然只是測試版，但開發者已經可以在Xcode上測試visionOS新功能和特色，不僅如此，蘋果進一步還整合了現有開發工具和資源，全面支援visionOS應用開發。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/6/29 12:14作者余至浩https://www.ithome.com.tw/news/157544
【讓AR開發，就像開發行動App一樣容易】蘋果空間運算新世界的關鍵布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果的首款空間運算頭戴設備Vision Pro最近終於問世，但這不只是一個全新的AR硬體產品線，更是全新的AR內容平臺和使用者空間體驗平臺，蘋果更聯手迪士尼帶進龐大的粉絲圈的影音品牌，但在蘋果AR新戰略背後，還有一個關鍵的開發生態布局，就是要把行動開發者變成是AR的開發者。</p> <p>「這是我多年來期盼已久的一天，」蘋果執行長Tim Cook在6月初WWDC開發者大會介紹這臺AR空間運算設備出場時這樣說到。他進一步指出，就像Mac帶來個人運算的革新，iPhone掀起行動運算的浪朝，Vision Pro的推出代表著進入了空間運算的全新時代。</p> <p>但是蘋果花了好幾年精心策畫布局，才走到這一步。</p> <p>蘋果早在2017年就開始布局AR應用市場，甚至比Google都早。當時蘋果雖然沒有自己的AR頭戴設備，而是把iPhone和iPad變成是行動AR裝置，讓行動開發者能夠在行動裝置上開發AR應用程式，蘋果也是當年第一個開始支援AR的行動平臺業者，關鍵就是透過其釋出的一套AR開發工具ARKit。</p> <p>ARKit推出不到幾年，歷經多次改版更新，對於AR開發和應用支援也越來越全面，不只可以進行3D物體識別和追蹤，還支援動作捕捉、多人AR協作，對環境空間、複雜場景處理能力更大幅提升。而在最新ARKit 6中，更開始支援4K AR應用。隨後更多AR開發工具推出，例如RealityKit和Reality Composer等。</p> <p>不僅僅是推出行動AR開發工具，蘋果後來更進一步把自駕車發展使用的LiDAR光達感測技術帶進iPad Pro平板中，相較於傳統感測器，光達掃描器具有公分級的空間解析度處理能力，可以構建出更完整且細膩的3D空間視圖，意味著，AR物件或場景可以更準確地放置在真實世界中，即使微小的偏差，也能被精確地偵測到。這也讓行動開發者能以此開發出更多元且更複雜的AR應用。後來，蘋果甚至在iPhone 12手機上也配備了相同的光達鏡頭，進一步擴大了蘋果裝置AR的應用範圍。</p> <p><span style="font-size:28px;"><strong>將行動開發者與AR空間運算開發新世界無縫接軌</strong></span></p> <p>蘋果積極發展行動AR技術和開發工具的背後，正是為了未來建構完整的AR開發生態所進行的布局，隨著新的AR設備推出，更進一步往這個目標邁進。</p> <p>在蘋果Vision Pro中，不僅配有超高解析度頭戴顯示器、具有更強大空間感知、動作追蹤能力，還配備運算力更強以及超低延遲專用處理器，能處理更複雜的運算和即時圖形渲染，支援各種複雜的AR場景或VR沉浸式體驗相關應用。從蘋果對於這臺新AR設備的定位，也反映出蘋果不只當作消費性產品，更視為一種生產力工具和產業應用工具。</p> <p>蘋果AR設備雖然比臉書、微軟晚推出，但是背後超過3千萬名註冊行動開發者是蘋果的一大優勢，甚至蘋果在設計AR設備時開始著手考慮如何將行動開發者帶進3D世界，從這次發表的AR設備，就能看到蘋果處處針對行動開發者無痛轉移到新平臺所做的布局。</p> <p>蘋果雖然加入了新AR頭戴式設備，改變了使用者操作AR應用的方式，從傳統的多點觸控轉變為眼睛和手勢操作，並且在硬體機制也有所差異。但是，蘋果AR頭戴設備背後的軟體控制方式並沒有改變，行動開發者仍然可以使用以往的軟體控制方式，來控制這臺設備的應用程式。舉例來說，當AR頭戴設備使用者使用手和眼睛操作應用時，開發者只需要關注觸發的事件，例如按下按鈕這個動作，就能進行應用功能操控，不需要知道使用者使用的是哪隻手，或者注視的是哪個地方。這種軟體操控和硬體機制分離的方式，對於行動開發者來說，也就更容易開發跨平臺的AR應用，不需要因為輸入方式、操作模式或硬體機制的改變，而需要重新學習或大幅調整他們的軟體控制方式。</p> <p>不光如此，蘋果雖然推出了新的空間作業系統visionOS，但是保留了與過去的iOS和iPadOS相同的應用程式開發環境和程式語言，這意味著，行動開發人員可以直接將他們在行動平臺上的開發經驗應用到新的空間運算平臺上，而無需重新熟悉新的開發環境和語言。就連App開發過程中，許多SwiftUI視圖宣告和命名方式，都與原本的iOS相同，保持一致性，例如 WindowGroup等。蘋果目的就是要讓空間運算App開發，也能像行動App一樣的DX開發者體驗。</p> <p><span style="font-size:28px;"><strong>全面整合現有行動開發工具、框架</strong></span></p> <p>蘋果不僅配合行動開發者以往的開發工作流程，還開始全面整合現有的行動開發工具及框架，來支援新的空間運算平臺，包括使用者介面開發框架SwiftUI，行動AR開發工具ARKit、RealityKit等，還加入了不少新功能和新工具。透過這些工具的整合，降低了新平臺的開發門檻，讓他們更容易使用已經熟悉的開發工具，進入AR領域。</p> <p>在 Vision Pro推出後不久，蘋果官網就已經提供了完整詳細的開發者設計指引文件，讓開發者可以進一步學習相關開發技巧和知識，還有超過40場手把手的教學影片，從基礎到進階的內容都有，一步步教導行動開發者如何開發一支空間運算App。</p> <p>尤其，蘋果將Vision Pro視為一個全新的運算平臺，這對於行動開發者將是一個新機會，比起日益競爭激烈、逐漸變成紅海的行動應用市場，新的空間應用市場則具有更大發展潛力，不只可以開發新應用，開發者還可以將現有行動應用轉化為新應用創造新收入，甚至對於尋找新商業模式和新商機的企業來說，也可能帶來新藍海的機會。</p> <p><span style="font-size:28px;"><strong>蘋果定價策略背後的真意</strong></span></p> <p>從蘋果的定價策略來看，也能看出它在Vision Pro發展中，針對AR開發生態的布局。蘋果的策略不是短時間讓所有開發者都加入，而是先專注於吸引領域內頂尖或優秀的行動開發者，目的是先培養一批種子開發者，將他們創新、設計和使用者體驗帶進這個新的運算平臺中，除了確保應用程式的品質和使用者體驗，更要藉由這些種子人員來進一步擴散影響力，逐步建立一個活躍的空間運算開發者社群，推動整個空間運算生態圈的進步和發展。</p> <p>為了發展新的空間運算生態系，蘋果也改變了過去自成一體的App生態圈的做法，開始與第三方合作。蘋果十分了解在新的AR世界中，僅僅依靠自身現有的行動開發生態體系是不夠的，需要有更多元的生態系合作夥伴，例如他們與3D遊戲引擎大廠Unity攜手合作，讓以Unity引擎開發的應用程式未來能夠在Vision Pro設備上來使用。此外，蘋果還與競爭對手迪士尼合作，能在這臺AR設備中提供Disney+串流影音內容。</p> <p>目前iOS平臺將近200萬個App，蘋果表示，Vision Pro明年上市時將有數十萬個相容的行動App能透過新平臺來提供服務。當有越來越多的行動開發者參與、第三方生態系合作夥伴加入，使得許多常用的行動App開始在Vision Pro中來提供服務，帶動一股新的空間運算風潮，也就越有機會吸引到更多蘋果用戶加入，進而產生出新商業模式，帶動更多行動開發者加入開發，也就越有機會壯大蘋果AR開發生態圈。</p> <p>不過，AR硬體到位，只是蘋果邁向空間運算世界開發之路的第一步，想要加速建構一個完整且成熟的AR生態圈，甚至開創新藍海、新商機，全新空間作業系統和開發工具是兩大關鍵策略。</p> <p><span style="font-size:36px;"><span style="color:#3366ff;"><strong>蘋果Vision Pro的5大開發者影響</strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 1.新AR硬體 </span></strong></span><span style="color:#696969;"><strong> 雖然硬體機制和輸入方式改變，但是，背後的軟體控制方式並沒有改變，開發者不需要重新學習或大幅調整原有的軟體控制方式。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 2.新作業系統 </span></strong></span><span style="color:#696969;"><strong> 新的空間作業系統保留了與iOS和iPadOS相同的開發環境和程式語言，開發者開發時可以直接應用他們的行動平臺開發經驗。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 3.開發門檻 </span></strong></span><span style="color:#696969;"><strong> 全面整合現有行動開發工具及框架，來支援新的空間運算平臺，包括SwiftUI，ARKit、RealityKit等，開發者可以繼續使用他們已經熟悉的開發工具進行開發。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 4.市場發展潛力 </span></strong></span><span style="color:#696969;"><strong> 加入全新的空間運算平臺，不只可以開發新應用，開發者還可以將現有行動應用轉化為新應用，進而帶來新藍海的機會。</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 5.定價策略 </span></strong></span><span style="color:#696969;"><strong> 培養一批種子開發者並進一步擴散影響力到更多開發者。</strong></span></p> <p><span style="color:#696969;">資料來源：余至浩整理，2023年7月。</span></p> </div></div></div>
2023/6/29 12:43作者余至浩https://www.ithome.com.tw/news/157545
【蘋果AR新戰略：開發工具】降低iOS開發者進入門檻，蘋果全面整合現有的行動開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果為建立AR空間運算開發的生態系積極展開布局，其中一個關鍵策略就是整合現有的開發工具和資源，全面提升對於新AR平臺應用的支援能力，不只是旗下IDE開發平臺Xcode，就連眾多iOS行動開發者熟悉的開發工具或框架，現在也可以用於visionOS平臺應用的開發，讓他們更容易利用這些框架或工具在明年設備上市前，開始構建新的AR應用，或者測試現有行動應用程式在蘋果AR頭戴設備上的轉換效果。此外，蘋果還釋出visionOS的軟體開發工具套件（SDK），加快開發者的採用和測試。</p> <p>在這些行動應用開發工具或框架中，SwiftUI是開發iOS和iPadOS應用程式主要的介面開發框架，SwiftUI現在也支援空間運算平臺，意味著，開發者可以使用SwiftUI來建立能夠支援空間運算的三維介面。不論是設計應用程式的按鈕、切換和TabView等UI元素，還是開發影音和瀏覽器應用程式（如TV或Safari），或是建立3D數位白板和沉浸式簡報功能，都能夠利用SwiftUI的功能來完成。</p> <p>不僅如此，在SwiftUI中，還提供了全新的3D功能，方便開發者在介面視窗中增加深度效果或3D物件，例如增加具有體積感的Volume視窗，使應用程式的視窗看起來不再是平面，而是具有3D幾何的立體感。SwiftUI還提供了混合、漸進式沉和完全沉浸式三種不同風格的場景類型，開發者能夠根據應用需求來選擇適合的沉浸程度，並能夠直接預覽和檢視UI介面在沉浸式空間的效果。</p> <p>在UI設計配置上，SwiftUI還提供了一個名為z-index view modifier的全新功能，該功能可以讓開發者為UI元素增加深度上的細節變化，使得視覺上具有深度感。原本用來建立圖層分層的ZStack，現在可以建立更複雜的層次關系，營造出類似於3D效果的深度外觀。</p> <p>由於在空間運算世界中，眼睛和手勢是主要的應用程式或UI操作方式，因此，在SwiftUI中，除了原有的手勢輸入模式（如TapGesture或DragGesture）之外，還提供了一種新方法，來與三維空間中的3D物件互動，讓開發者可以利用這種新手勢與他們的應用程式結合，提供更多元的互動體驗。RotateGesture3D就是其中一個例子，這個新手勢可以讓使用者使用雙手或觸控板來旋轉三維空間中的物件。</p> <p>不只能使用SwiftUI框架開發，行動開發者還能利用UIKit框架中新的空間API，設計和開發支援三維介面的AR功能。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/0629-%E5%B0%81%E9%9D%A2-1P-%E8%87%B3%E6%B5%A9-%E5%B7%A5%E5%85%B7-600.png" style="width: 600px;" /></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>為了簡化AR應用程式開發流程，蘋果推出一個全新視覺化工具平臺，稱作Reality Composer Pro，能將開發者利用ARKit和RealityKit工具建立的各種3D場景、物件、環境互動體驗統一集中管理，除了能夠在visionOS中預覽這些場景視覺或沉浸效果，也能進行3D內容創作和編輯。</strong><span style="font-size: 14px;">圖片來源_蘋果</span></span></p> <p><span style="font-size:28px;"><strong>RealityKit新API支援更逼真的3D模型模擬和渲染效果</strong></span></p> <p>除了支援三維使用者介面，蘋果目前行動開發工具或框架中也有包含了AR或空間運算開發相關工具，其中包括了RealityKit與ARKit兩大AR框架。</p> <p>尤其，RealityKit在AR應用程式開發中具有關鍵作用。RealityKit是蘋果於2019年推出的AR擴增實境框架，提供強大的3D模擬和渲染功能，開發者現在可以在visionOS平臺上使用RealityKit模擬和渲染應用程式中的3D內容，讓3D內容呈現更真實，更貼近使用者所處的環境。</p> <p>為了提高AR應用程式的沉浸式體驗，RealityKit增加不少新功能，例如推出名為Model3D的新API，讓開發者能使用這個API在SwiftUI的應用程式中嵌入各種逼真的3D模型，並支援了USDZ與Reality檔案格式。RealityKit還推出全新的沉浸式渲染器RealityRender，使3D模型在環境中呈現更真實、生動。還有新推出的RealityView功能，則是可以讓開發者在SwiftUI中檢視用RealityKit製作的各種3D模擬場景或內容。如果要展示渲染後的3D圖形的效果，也能夠使用ARView工具來完成。</p> <p>RealityKit與SwiftUI整合也更加緊密，開發者現在可以利用RealityKit API來渲染介面，在SwiftUI中建立具有更強烈空間感的UI介面，例如可以改變背景材質增加視覺感，或是加入hover懸停效果或裝飾性UI等視覺元素，呈現更加逼真立體的外觀輪廓，進一步貼近使用者周圍環境的真實質感。</p> <p>大多數虛擬物件會使用RealityKit工具來建立3D物件的物理材質，來呈現真實世介的材質。RealityKit使用外部感測器數據，提供真實世界的照明狀態等資訊並融入到這些材料中。</p> <p><span style="font-size:28px;"><strong>更強大ARKit工具現身，能在真實環境呈現複雜3D場景並互動</strong></span></p> <p>蘋果還有一個名為ARKit的AR開發工具，比RealityKit更早2年推出。與用於3D內容模擬和渲染的RealityKit用途有所不同，ARKit則是蘋果用來實現應用程式中的3D內容與使用者周圍環境互動的關鍵。透過LiDAR光達掃描器，ARKit能夠快速而準確地捕捉周圍環境的深度資訊，提供更精準的幾何場景定位和物件放置，讓開發者可以建立與真實環境高度互動的AR體驗。</p> <p>ARKit針對visionOS平臺推出了一系列追蹤及感測新功能，來增強AR互動體驗，包括平面評估功能，可以根據真實環境水平位置檢測數據，準確放置虛擬物件，還有場景建構功能，用來重建真實場景的3D模型，以及提供圖像錨點和實體世界追蹤機制，可以在真實圖像錨點上附加媒體內容，或是讓虛擬內容可以根據用戶在現實世界中位置和移動方向來進行配置。</p> <p>蘋果還因此在ARKit中推出名為DataProvider的新協定，可以即時更新真實環境中的數據，讓開發者能夠設計出根據實際環境的變化，來調整應用程式與周邊環境的互動方式，例如，將球彈跳到地板上或水濺到牆璧的效果。</p> <p>在全沉浸模式中，ARKit的API還提供了更多與環境互動的操作，例如，只要經過用戶同意後，開發者就可以透過手勢追蹤來獲得使用者手部詳細資訊，進而在畫面中呈現使用者的虛擬手部模型，使其能夠與周圍環境或應用程式進行互動。</p> <p><span style="font-size:28px;"><strong>全新視覺化工具推出，簡化AR應用程式開發流程</strong></span></p> <p>為了簡化AR應用程式開發流程，蘋果還推出一個全新視覺化工具平臺，稱作Reality Composer Pro，可以協助開發者準備AR App需要使用的各種3D內容，還提供預覽功能，能夠將這些3D內容整合到一個AR場景中來觀看。</p> <p>此外，Reality Composer Pro還提供創作、編輯功能，能用來建立和編修AR應用程式所需的各種3D物件、動畫，還提供材質客製化的功能，透過MaterialX開放標準，就能使用關聯式節點圖來設計出想要的物理材質，不需要撰寫任何程式，就可以立即看到輸出的效果。</p> <p>又如在Reality Composer Pro工作流程中，開發者還能使用RealityKit工具的particles粒子功能在場景中迅速模擬雲朵、雨或火花效果，還可以將音訊加入到場景中，與其他3D物件相關聯，也能夠及時預覽，並能夠進一步配合場景中內容修改，組合出更複雜且規模更大的互動場景。Reality Composer Pro還與Xcode緊密結合，可以像在Xcode中構建和執行程式碼一樣，很容易進行3D內容編修與預覽，如調整場景大小或將其旋轉，來從不同角度觀看。</p> </div></div></div>
2023/6/29 12:53作者余至浩https://www.ithome.com.tw/news/157546