iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 8篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Foodpanda推出零售媒體聯播網服務，利用百萬用戶規模和十萬合作通路優勢進行精準行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>外送平臺Foodpanda宣布將在臺推出Panda ads零售媒體聯播網服務，讓外部廠商在線上線下通路中，對數百萬消費者、10萬外送夥伴及10萬合作商家投放精準行銷廣告。</p> <p>臺灣常見RMN模式，通常只在自家通路，投放數位廣告給自家消費者。Foodpanda零售媒體聯播網（RMN）則將外送App、合作商家、外送商品袋、社群媒體、電子報、自家倉庫，甚至外送機車車廂都作為行銷通路，有多種線上線下實體和數位廣告形式，還將消費者、外送員及合作商家都作為行銷對象。</p> <p>這個RMN模式設計背後，技術關鍵是Foodpanda靈活運用消費者、外送員和合作商家數據，來設計出不同形式的行銷方法，並優化部分行銷模式精準度。對比一般零售業來說，有如利用消費者、物流夥伴（外送員）和供應商（商家）數據，來驅動對這三方的行銷。</p> <p>Foodpanda用來驅動廣告投放的數據包括消費者手機號碼、Email、位置、性別、餐廳和食物偏好、生鮮百貨商品需求、支付方式、信用卡銀行、裝置作業系統、裝置型號、電信業者、客單價、取餐習慣、使用時段等，外送員商品偏好、常出沒地區和時段，以及商家分類等。</p> <p>有了這些數據，加上行銷通路種類多元且規模龐大，使Panda ads不只支援常見App數位廣告形式，還能根據這些行銷通路特性推出不同通路的實體廣告形式。例如，廣告主可以在高人流合作商家店面或Foodpanda倉庫放樣品給外送員試用，或是將行銷商品跟適當商家菜單品項搭配來促銷。</p> <p>這些數據也能用來提升行銷精準度。Foodpanda不只將常見精準行銷方法用於數位廣告，還利用數據來提升部分線下行銷功能的精準度。其中一個是，可以根據商家屬性和消費者分眾，來決定在哪些外送訂單中派送廣告主樣品給消費者。另一個例子是，刊登外送員車廂廣告時，可以從分析個別外送員常出沒地段跟時段，來媒合符合廣告行銷條件的外送員。</p> <p>不過，實體廣告精準行銷的操作難度較數位廣告高、精準度通常也較低，因此實際成效如何有待檢驗。另外，Foodpanda目前沒有揭露任何廣告形式的行銷成果追蹤方法，或廣告主如何根據行銷數據來動態調整策略。</p> <p>Foodpanda還開放全球最大獨立DSP The Trade Desk用去識別化技術匹配平臺消費者資料。廣告主除了透過RMN，還可以透過TTD鎖定Foodpanda的消費者投放廣告，並即時追蹤廣告活動成效。</p> </div></div></div>
2023/9/18 15:25作者郭又華https://www.ithome.com.tw/news/158773
Windows宣布將漸次淘汰第三方印表機驅動程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows" target="_blank">微軟於9月上旬宣布</a>，Windows作業系統即將漸次淘汰第三方的印表機驅動程式，未來的Windows將獨鍾Microsoft IPP Class Driver，以朝向一個更安全與現代化的列印系統。</p> <p>這是一個重大的改變，因此時程也拖得比較久，根據微軟的規畫，2025年時將不再允許新的印表機驅動程式出版至Windows Update，但既有的驅動程式仍可持續藉由Windows Update更新；到了2026年，印表機驅動程式的排序將永遠以Microsoft IPP Class Driver為優先；而至2027年，Windows Update將不再提供任何第三方的印表機驅動程式更新，僅允許安全更新。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/windows-hardware/drivers/print/end-of-servicing-plan-for-third-party-printer-drivers-on-windows#timeline" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-Print%20Support%20Apps%20(PSA)-starting%20in%20Windows%2011%2022H2-600-1.png" style="width: 600px;" /></a></p> <p>其實自2021年11月16日釋出的Windows 10 21H2以來，Windows便藉由Microsoft IPP Class Driver以網路或USB介面來連接相容於Mopria（印表機及掃描器標準）的印表機裝置，這使得裝置製造商不必再提供自己的驅動程式、安裝套件或是工具程式。</p> <p>至於印表機的客製化功能或體驗，未來則得靠印表機的OEM或IHV業者自行開發印表機支援程式（Print Support App，PSA），再透過Windows Store提供給使用者。</p> <p>微軟表示，此一新的政策是將客製化從Win32框架遷移到通用Windows（Universal Windows Platform，UWP）軟體開發框架，最終各個印表機裝置製造商再也不用重建軟體，因為未來所有的Windows版本都將直接支援此一解決方案。</p> <p>看起來微軟的目的是要以Microsoft IPP Class Driver來取代所有的印表機驅動程式，不再允許除了安全更新之外的第三方印表機驅動程式透過Windows Update發布。</p> <p><a href="https://twitter.com/spoofyroot/status/1699557674084704566" target="_blank">微軟安全研究與工程負責人Johnathan Norman指出</a>，這只是微軟朝向更安全與現代化列印系統的第一步，之後還會揭露更多的細節。</p> </div></div></div>
2023/9/18 15:44作者陳曉莉https://www.ithome.com.tw/news/158794
健保署推4大數位醫療方針，鼓勵基層院所升級雲端系統、電子處方箋系統將試辦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良9月15日提出4大數位醫療方針，包括確保民眾長期健康狀態的大家醫計畫、遠距醫療整合在宅醫療、優化健保雲端系統，以及完善健保資料庫和數位基礎設施等資料生態系方法，來解決健保財務入不敷出、人口老化、高齡醫藥費遞增和癌症醫療成本快速增加等4大挑戰。石崇良預告，電子處方箋平臺即將建置完成，接下來將與幾家醫院試辦，預計明年逐步擴大。健保署也將建置基層院所健保雲端HIS，醫資廠商可將自家雲端服務上架到健保雲，來讓基層院所使用，健保署盼鼓勵基層院所升級雲端系統。</p> <p><span style="font-size:24px;"><strong>健保不得不面臨的4大挑戰</strong></span></p> <p>健保制度自1995年在臺實行以來，改善了民眾就醫品質，但也面臨不少挑戰。</p> <p>石崇良指出，健保的第一個挑戰是財務入不敷出，因為自1995年至2022年，健保保險收入的平均成長率為4.51%，支出卻是4.77%，「支出不斷上升！」而且，臺灣人口快速老化，不只將在2025年進入超高齡社會，國發會專家還預測，臺灣2039年的老年人口與總人口占比將超過30%，到2043年則會達到43.6%。石崇良點出，今年65歲以上人口為412萬，2050年預計增加至766萬人，然而15至64歲青壯年人口將不斷減少，從去年的1,636萬人，減為預測的2070年776萬人，顯示可照護的人力將越來越少。這是健保面臨的第2個挑戰。</p> <p>也因為高齡人口不斷增加，成為近10年來健保醫療費用成長的主因，其中65歲以上且有重大傷病、65歲以上但非重大傷病的健保點數支出成長率，就分別占了13.4%和26.8%，共超過40%。石崇良也對比，2017年65歲以上健保對象約占13.8%，醫療費用約占37.26%，但2021年則來到16.9%和41.38%。這是健保面臨的第3個挑戰。</p> <p>再來，癌症醫療和癌症藥物支出也成健保挑戰，因為費用快速成長，如去年癌症患者達83萬人，癌症醫療花費達1,334億點。而2017年至2022年的癌症藥物費用平均成長率還達10.2%，高於健保總額成長率。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%8C%91%E6%88%B04.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針1：大家醫計畫</strong></span></p> <p>面對這些困境，健保署也提出改革和數位轉型應對方法，其一是大家醫計畫。石崇良指出，這個計畫是要預防保健、延長民眾的健康狀態；有別於現有作法，將健保資源集中在癌症、心血管疾病、腦血管疾病、腎衰竭和失智症等病症的治療，大家醫計畫要往前一步，鎖定早期預防，來避免或延緩疾病發生。</p> <p>他表示，大家醫計畫以既有的家醫計畫為基礎，來擴充發展，將原有的慢性腎病（SKD）計畫、糖尿病（DM）計畫和代謝症候群計畫等計畫資訊整合，先進行數據「歸人」，也就是讓醫師一眼就知道，一位患者身患哪些疾病。之後，再將這些資訊進一步歸戶，讓醫師了解該病人的家人健康狀況，以便更好的治療。</p> <p>實際作法包括建置家醫大平臺、擴大健康存摺SDK資料加值應用，來確保民眾健康。其中，家醫大平臺是一套個人化初級照護資訊的整合平臺，整合各項健康資料，來主動提供健康風險預測和示警等功能，來讓民眾及早介入、自我照顧，預防或延緩疾病發生。</p> <p>而家醫大平臺要整合的各類數據，包括醫療記錄（含檢驗檢查、醫療影像、計畫收案等記錄）、穿戴裝置數據，以及來自健保署和衛福部相關司署的資料，來整合分析。另一方面，在民眾同意下，也要整合健康存摺資料，以及以健康存摺SDK發展的第三方健康App資料，來共同分析，針對目標族群（含癌篩、慢性腎病、糖尿病和代謝症候群高風險民眾），進行檢驗值分析、異常管理、風險預測、日常追蹤等，像是未篩檢提醒、疫苗注射提醒等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針2：整合遠距醫療和在宅醫療</strong></span></p> <p>石崇良提出的另一個因應方法是整合遠距醫療與居家醫療。健保署自2020年開始，將遠距醫療納入健保給付，主要針對偏遠地區的五官科遠距會診，但「現在要擴大到居家照護，包括長照機構住民、居家醫療整合照護計畫、在家住院醫療照護計畫，以及居家透析患者，」石崇良說。</p> <p>而且，這個擴大不只是居家適用對象更多了，還有將原本醫師對醫師（B2B）的遠距會診模式，擴大為醫師對醫師人員（如護理師）、醫師對病人。這些擴大是通訊診察治療辦法修正案涵蓋的內容。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%A0%E8%B7%9D%E9%86%AB%E7%99%82.jpeg" /></p> <p>至於在宅醫療，則是指居住於自家或長照機構，可延續日常生活的民眾，透過家屬、長照團隊、在宅醫療團隊等支援角色的分散式照護，來達到生活品質的回復或提升。健保署自2021年以來，就陸續推動相關計畫，如輔導建置在宅長照支援診所（急重症）試辦計畫、遠距科技應用急重症暨安寧病患在宅住院創新模式計畫，將遠距醫療逐步融入在宅醫療。</p> <p>現在，健保署要進一步延伸，推動「在宅急症照護模式」，針對3類對象，也就是居家醫療急症患者、急診一般民眾和長照機構住民，提供醫師、護理師和醫事人員的訪視服務，並導入遠端監測和視訊診療輔助，來提供替代病人住院的選擇，減少往返醫院的成本和住院期間交叉感染的風險。這個在宅急症照護可分為3種，一是長照機構住民，或是居家照護的收案對象，可在家接受照護，若評估需要住院才住院（下圖模式A），再來是因失能送醫院急診，評估後可返家照護、治療（模式B），最後一種則是情況穩定，得以出院、回家休養和接受照護（模式C）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_4704.jpeg" /></p> <p>石崇良也透露，全國性電子處方箋平臺將在下半年完成建置，並於幾家醫院展開試辦，預計明年擴大使用。這個電子處方箋平臺的運作方式是，由醫院、診所等醫療機構透過醫事人員憑證（HCA）簽章開立，產生QR Code，民眾可透過健保快易通App持有這個QR Code和處方箋明細，到藥局領藥時，秀出QR Code讓藥局讀取處方明細，並確認就醫識別碼，來避免重複調劑。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%BB%E5%AD%90%E8%99%95%E6%96%B9%E7%AE%8B2.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針3：優化健保雲端系統</strong></span></p> <p>再來，健保署也提出健保雲端系統優化，來因應眼前的4大挑戰。這個優化措施有3大重點，一是優化健保查詢雲端系統3.0架構和功能，來提高醫療品質和病人安全，再來是擴大納入真實世界資料（RWD）和導入醫療科技評估機制（HTA），最後是藥品核價數位化和事前審查智能輔助。</p> <p>就系統優化來說，健保署要擴大健保查詢雲端系統，納入醫療支援模型、整合更多雲端憑證認證機制，並在健保特約院所進行小規模測試，之後將搭配教育訓練正式上線。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3_0.jpeg" /></p> <p>另外，為確保病人跨院就醫資料安全，健保署也要求醫院落實資安管控，並建議醫療院所將批次下載作業納入ISO認證。</p> <p>另一方面，健保署還要建置RWD收載系統，範圍涵蓋高價醫療服務RWD、智能新特材、特定醫療服務術（後）資料等類別，以便評估新醫材等應用成效。同時，他們也要建立事前審查預檢機制和成效監測平臺，來加速醫院申請、審查、核定後監測的過程，其中，健保署還將納入AI來審查醫院資料，提高自動化程度。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A9%E6%9F%A5.jpeg" /></p> <p><span style="font-size:24px;"><strong>方針4：建置資料生態系</strong></span></p> <p>石崇良提出的第4個方法建立資料生態系，包括完善健保資料庫機制和建置數位化基礎建設。就健保資料庫機制來說，健保署要完善資料治理機制，比如依去年憲法法庭釋憲結果，將新添民眾退出權，另一方面要建立包含基因檢測結果的健保生物資料庫，並擴大學研產業的應用，來形成永續生態系統。</p> <p>不只針對健保資料庫，健保署要建立的資料生態系，還包含數位基礎建設。這個目標可分為2大工作，一是強化健保的數位基礎建設，提高資安韌性和效能，比如建置符合國際資安標準的機房、建立強化資安防護的混合雲架構，以及積極擁抱國際資安和醫療資訊管理學會（HIMSS）制度。</p> <p>另一個工作則是推動基層院所健保雲端HIS，且要導入國際醫療資料交換標準FHIR。石崇良解釋，這是要配合次世代醫療資訊數位基礎建設，來建置「健保雲」，鼓勵基層院所升級使用雲端系統。這麼做，是要解決目前診所的IT成本、資訊無法即時分享等問題，由健保署建置健保雲平臺，來讓廠商上架自家的雲服務，基層院所則能選擇合適的系統來使用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E5%B9%B3%E8%87%BA.jpeg" /></p> <p>最後，石崇良也點出，原本預計要在明年全面改用2023年版本的ICD-10國際疾病分類碼，將延後到2025年轉版。</p> <hr /> <p> </p> </div></div></div>
2023/9/18 00:43作者王若樸https://www.ithome.com.tw/news/158776
【資安週報】2023年9月11日到9月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週漏洞利用消息中，有多個零時差漏洞修補要優先重視，分別是：（一）微軟本月安全性例行性更新修補兩個零時差漏洞，包括已被公開且遭成功利用的Word的漏洞CVE-2023-36761，以及已遭成功利用的串流服務相關的漏洞CVE-2023-36802；（二）Google、Mozilla先後修補Chrome、Firefox/Thunderbird漏洞CVE-2023-4863，Google指出此零時差漏洞已被外部人士利用，且所有支援WebP圖像處理的瀏覽器都受影響；（三）Adobe修補的Acrobat與Reader漏洞CVE-2023-26369，修補釋出前同樣已被用於攻擊行動；（四）思科在11日針對多功能網路資安設備ASA、FTD存在零時差漏洞CVE-2023-20269先提供緩解，指出漏洞起因是AAA協定與其他軟體功能缺乏適當區隔，已遭勒索軟體駭客用於攻擊。用戶需注意後續更新修補的釋出。</p> <p>其他重要漏洞修補動向，還包括：SAP、西門子、施耐德電機等業者發布9月份例行更新。</p> <p>在網路威脅焦點上，國內有2起事件引起最多國人關注：首先，彰化肉品市場與台中大安肉品市場發生拍賣系統遭軟體攻擊，由於系統無法運作使得豬隻拍賣暫停、延遲；其次，大洸醫療機構管理顧問提供的醫指付在這一兩個月內，持續傳出用戶綁訂的信用卡遭海外盜刷情形，近日金管會已請財金公司督促與釐清事件，甚至去年6月就有資安研究人員在HITCON Zeroday通報醫指付App安全漏洞卻未因應的情形也被挖出。</p> <p>在國際間，有5起重大事件成為焦點，其中國際連鎖賭場接連遭駭格外引發關注：<br /> ●MGM米高梅國際酒店集團在9月11日說明遭遇網路攻擊，不僅訂房或查詢只能採傳統電話方式進行，甚至有報導指出吃角子老虎停擺，房卡無法使用。到了14日ALPHV（BlackCat）勒索軟體集團聲稱這起事件是他們所為。<br /> ●連鎖賭場凱撒娛樂（Caesars Entertainment）在9月7日向美國證交所提交8-K文件說明發生資料外洩事件，指出該事件源於公司使用的IT承包商遭社交工程攻擊而導致。另有當地媒體報導指出Caesars遭勒索已支付上千萬美元贖金。<br /> ●微軟威脅分析中心發布東亞數位威脅報告，指出中國對南海國家和臺灣發動廣泛的網路攻擊與認知作戰，並強調中國在認知作戰中正大量使用AI生成更好品質的內容，影響力有擴大跡象。<br /> ●半年前資安週報提及駭客組織鎖定Zoho的漏洞CVE-2022-47966與Fortinet的漏洞CVE-2022-42475，近日美國CISA、FBI與CNMF再發安全通告，說明年初美國航太機構受害，同時揭露攻擊細節、IoC，以及緩解防範的建議。<br /> ●中國駭客組織Redfly鎖定亞洲國家的電網設施攻擊被揭露，攻擊者發動網路間諜攻擊並植入惡意程式ShadowPad。</p> <p>在其他重要威脅態勢上，我們注意到有多起資料外洩事件與供應鏈攻擊有關，也發現近日持續有Mac電腦接連遭鎖定的消息。前者包括：嬌生醫療照護系統因IBM代管的應用系統遭到攻擊，英國曼徹斯特警局因外部供應商遭勒索軟體攻擊，還有軟體臭蟲追蹤公司Rollbar遭駭的消息；後者包含惡意軟體MetaStealer、竊資軟體Atomic Stealer被揭露近期均針對Mac電腦而來。</p> <p>還有一些趨勢值得留意，像是有研究人員指出近期DDoS攻擊，針對金融業攻擊的比例呈現越來越高的趨勢；還有研究人員針對Wi-Fi技術的波束形成回應資訊（BFI）揭露新型態攻擊手法WiKI-Eve。</p> <p>在最新防禦發展焦點上，我們注意到MITRE在9月5日宣布，將開源攻擊模擬工具Caldera延伸到OT環境，新推出MITRE Caldera for OT。另外，我們在此補充本週資安日報未提及的另一防護焦點，9月7日微軟<a href="https://www.microsoft.com/en-us/security/blog/2023/09/07/cloud-storage-security-whats-new-in-the-threat-matrix/">發布儲存服務威脅矩陣（Threat matrix for storage services）第二版</a>，將有助於識別和分析雲儲存服務中資料潛在安全威脅。我們最後還想特別一題的是，關於PQC演算法升級，本土廠商網擎資訊在9月11日表示有具體行動，已開發部署相關防護。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158685"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</span></strong></a></h3> <p>不少從事挖礦攻擊的駭客組織，近期將矛頭朝向組織的雲端環境，但端點電腦的用戶也不能掉以輕心。例如，有駭客聲稱提供盜版的Adobe Illustrator、Autodesk 3ds Max、SketchUp Pro等圖像處理軟體或3D建模工具，藉此於受害電腦部署後門程式及挖礦軟體，由於這些商業軟體運用於建築業、機械工程、營造業、製造業、娛樂產業，影響的範圍相當廣泛。而且，執行上述商用軟體都需要高度的圖形運算資源，這也代表駭客在目標電腦執行挖礦軟體可能更加有利可圖。</p> <h3><a href="https://www.ithome.com.tw/news/158704"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</span></strong></a></h3> <p>針對企業經營的臉書帳號而來的攻擊行動，近期可說是越來越頻繁，繼8月底資安業者Zscaler、WithSecure對於利用竊資軟體Ducktail的攻擊行動提出警告，近期又有其他越南駭客也企圖搜括企業的臉書帳號，但有別於Ducktail攻擊行動透過職場社群網站LinkedIn、接案網站Upwork、Freelancer尋找下手目標，這起攻擊行動的駭客利用Meta即時通訊平臺Messenger來散布竊資軟體。研究人員指出，被駭客鎖定的目標中，每70個人就有1人可能上當。</p> <h3><a href="https://www.ithome.com.tw/news/158725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</span></strong></a></h3> <p>最近幾個月駭客利用瀏覽器來發動攻擊的情況不斷上演，其中最常見的手法，是利用惡意擴充套件來上下其手，但最近有駭客是直接濫用瀏覽器的內建工具來從事攻擊行動。</p> <p>例如，資安業者Morphisec針對今年年初出現的惡意程式Chaes新版Chae$ 4進行分析，結果發現，駭客盜取資料的管道，竟是直接利用Chrome的內建開發工具（DevTools），並透過其通訊協定來傳輸竊得資料。</p> <h3><a href="https://www.ithome.com.tw/news/158747"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</span></strong></a></h3> <p>全球政治局勢動盪，中國駭客組織頻頻出手的情況相當頻繁，過往這些駭客大多收集政府或企業的情資，但如今連國家的能源設施運作狀態也成為目標。</p> <p>資安業者賽門鐵克揭露中國駭客組織Redfly的攻擊行動，他們針對亞洲的國家級電網（power grid）下手，但攻擊的目的為何？研究人員推測，駭客並未動手進行破壞，有可能是在收集電網的使用狀態。</p> <h3><a href="https://www.ithome.com.tw/news/158772"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月15日】駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體</span></strong></a></h3> <p>這幾天，與勒索軟體攻擊有關的資安事故占據了不少新聞版面，其中又以美國大型賭場及旅館業者美高梅（MGM Resorts International）遭攻擊的事件受到最多關注，該公司週一（11日）發布公告，這幾天又有新的進展，資安研究機構與廠商表示，攻擊者可能是勒索軟體BlackCat旗下的駭客組織Scattered Spider，而該組織亦傳出對另一家賭場暨旅館業者凱撒娛樂（Caesars Entertainment）下手。</p> <p>巧合的是，有研究人員揭露利用竊資軟體（Infostealer）對於旅館業者進行的勒索軟體攻擊行動，究竟是否與上述事件有關？有待進一步觀察。</p> </div></div></div>
2023/9/18 09:24作者羅正漢https://www.ithome.com.tw/news/158777
安全專家指Google Authenticator MFA驗證碼雲端同步削弱安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商指出，Google幾個月前將多因素驗證（Multi-Factor Authentication，MFA）的驗證碼同步到Google帳號的設計，雖然看似方便，卻也削弱此類進階安全機制的保護性，使MFA變成了單因素驗證。</p> <p><a href="https://retool.com/blog/mfa-isnt-mfa/" target="_blank">安全廠商Retool上周公布</a>自家發生和Google Authenticator有關的安全事件，告知對客戶的影響。公司員工遭到冒充IT部門的精準網釣攻擊，信中內容聲稱薪資系統無法和剛導入的雲端身分驗證服務Okta同步，要求員工到信中所附連結，至驗證入口網站完成驗證。</p> <p>可想而知，該入口網站是釣魚網站。一名員工上鈎連進了該假網站，網站內有個MFA驗證，並接到使用Deepfake語音合成，冒充IT人員聲音的歹徒電話，要求員工提供其Okta MFA一次性（OTP）驗證碼。在這個動作中，攻擊者取得了員工的Okta帳號、密碼及MFA OTP令牌。</p> <p>拿到OTP驗證碼的攻擊者接著使用OTP令牌將自己的裝置加入員工的Okta帳號，使其得以產生攻擊者自己的Okta MFA令牌，這讓他們又能從自己的裝置建立Google GSuite的連線，這等於讓攻擊者取得Retool公司的大門鑰匙。</p> <p>今年4月，<a href="https://www.ithome.com.tw/news/156549" target="_blank">Google宣布</a>Google Authenticator MFA一次性驗證碼的雲端同步新功能，允許使用者將該程式所產生的一次性密碼備份到Google帳號中，以免手機遭竊或遺失，導致無法再登入啟用MFA或2SV（two-step verification）的網站或服務。Retool研究人員解釋，一如<a href="https://news.ycombinator.com/item?id=35690398&ref=retool.com" target="_blank">Hacker News</a>指出，只要Google帳號被駭，就能存取所有儲存的MFA OTP令牌。</p> <p>以該公司而言，幾乎所有帳號，包括Google和Okta、VPN及內部系統都是使用MFA。因此這次網釣攻擊事件讓駭客透過Google帳號取得所有內部系統的登入憑證。所幸該公司立即撤銷了所有內部系統已驗證的員工連線，封鎖受影響帳號、通知客戶，共有27個帳號被接管，但皆獲得恢復。</p> <p>雖然Retool公司安全事件未造成影響，但該公司指出，Google使用「奧步」讓用戶把MFA OTP碼都儲存到雲上。如果用戶直接從Google Play Store下載Google Authenticator App，循指示安裝，則MFA OTP碼都會預設存到Google帳號。相反地，若想關閉預設儲存，很難找到簡單關閉同步到雲端的方法，只有「切斷Google 帳號連線/unlink Google account」的選項。而且，企業Google管理員帳號下，也沒有統一關閉Google Authenticator同步功能的選項。這家業者也已經把需求傳達給了Google。</p> </div></div></div>
2023/9/18 11:23作者林妍溱https://www.ithome.com.tw/news/158780
甲骨文與微軟結盟，推出Oracle Database@Azure
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.microsoft.com/2023/09/14/microsoft-and-oracle-expand-partnership-to-deliver-oracle-database-services-on-oracle-cloud-infrastructure-in-microsoft-azure/" target="_blank">微軟與甲骨文上周四（9/14）共同發表了Oracle Database@Azure</a>，這是兩大雲端競爭業者的策略聯盟，讓客戶得以直接存取部署於Microsoft Azure資料中心的甲骨文雲端基礎設施（Oracle Cloud Infrastructure，OCI）上的甲骨文資料庫服務。</p> <p>Oracle <a href="mailto:Database@Azure">Database@Azure</a>一方面具備Oracle Database on OCI的所有性能、規模及工作負載可用性等優勢，另一方面也可利用Microsoft Azure的安全、彈性及多元化服務等特性，此外，雙方強調此一整合環境也將簡化客戶於Oracle Database及Azure之間的雲端採購及管理。</p> <p>特別與會的甲骨文共同創辦人暨技術長Larry Ellison說明，此一合作是實際把甲骨文於Oracle Cloud上所使用的所有Oracle Database硬體，以及所有資料庫軟體移進Azure的各個資料中心裡，因此，當客戶透過微軟技術連結甲骨文技術時，得到的是最好的效能、可靠性與安全性。</p> <p>Ellison指出，大型企業客戶對此非常地興奮，特別是兩家經常被視為競爭對手的企業為了客戶的利益攜手合作，把雙方的技術共同置放在Azure資料中心，讓客戶更方便地執行任務，例如得以很有效率地把大量存放於甲骨文資料庫中的資料用來訓練一個AI模型，讓資料與模型離得非常近。</p> <p>Oracle <a href="mailto:Database@Azure">Database@Azure</a>可望消弭客戶採用多雲架構時的最大挑戰，像是脫節的管理、孤立的工具，或者是複雜的採購程序。</p> <p>客戶可於Azure中部署Oracle Exadata Database、Oracle Autonomous Database，及 Oracle Real Application Clusters等資料庫服務，甲骨文與微軟將發展一個共同支援模式，以儘快替客戶的關鍵任務提供解決方案。此外，客戶也可基於既有的Azure合約，透過Azure Marketplace來購買Oracle <a href="mailto:Database@Azure">Database@Azure</a>，也能使用既有的Oracle Database授權。</p> <p>甲骨文與微軟不管是在軟體或雲端領域上皆為競爭對手，<a href="https://www.srgresearch.com/articles/quarterly-cloud-market-once-again-grows-by-10-billion-from-2022-meanwhile-little-change-at-the-top" target="_blank">依據Synergy Research Group今年第二季的調查</a>，目前Amazon與微軟為全球領先的雲端供應商，市占率分別為33%及23%，而Google（11%）、阿里巴巴（4%）及IBM（3%）也在前五名，至於甲骨文與VMware等業者並不在前兩級的供應商名單中。</p> <p>這並不是這兩大業者的首次合作，<a href="https://www.ithome.com.tw/news/131123" target="_blank">2019年時甲骨文與微軟即曾策略聯盟</a>，讓雙方的雲端互通。</p> </div></div></div>
2023/9/18 11:55作者陳曉莉https://www.ithome.com.tw/news/158781
研究人員以10萬美元開發出千億參數的大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言AI模型開發被認為是一個燒錢任務，但一個中國研究團隊近日成功開發出超過千億參數的大型語言模型（large language model，LLM），而且只花了10萬美元。</p> <p>一個由北京智源人工智能研究院、中國科學院、中國電子科技大學、新加坡南洋理工大學研究人員組成的研究團隊<a href="https://arxiv.org/pdf/2309.03852.pdf" target="_blank">近日發表其研究成果</a>，展示了一個1,010億個參數及0.31TB tokens的語言模型，不但只花了10萬美元，而且效能不亞於知名模型如GPT-3和GLM-130B。且開發一個更能準確評估模型智商（IQ）的方法。</p> <p>研究人員說明，LLM現今大量應用在多種語言處理及多模任務，但是訓練LLM成本高昂，以致於只有少數公司負擔得起。使成本負擔問題雪上加霜的是，現在模型愈來愈大，像Llama-1用了1到1.1TB token資料來訓練，Llama-2則上看2TB。</p> <p>LLM研究另一問題是怎麼評估。主流評估方法分成2類，一是知識導向的評估（knowledge-oriented evaluation），如MMLU及E-Eval標竿測試，二是NLP任務評估。研究人員指出，這些評估方法都不夠好。例如PPL雖有一定效度，但不夠穩定。若如果某些評估資料集之前曾用於訓練，則可能發生資料洩露（data leakage）而導致評估測試失準。研究人員也認為，知識評估不足以量測模型的智商。</p> <p>為解決LLM訓練成本的問題，研究團隊使用成長策略（growth strategy）訓練出一個1010參數的模型。成長意謂參數在模型訓練過程中，參數量不是固定的，而是由小量逐漸增長。研究人員指出，以訓練1000億參數的模型而言，採用積極成長策略的訓練方法可節省超過50%的成本。此外，在模型變大的過程中，小模型的知識會被長大的模型繼承，使大模型功能反而更好。</p> <p>在其研究中，研究團隊以漸進成長策略利用FreeLM為基礎，開發出一個1,010億個參數的雙語（中文、英文）模型，因而取名為FLM-101B。除了發展低成本訓練方法，研究團隊也發展了評估LLM智商（IQ）的新系統性標竿測試法。新方法考量了智慧的4個面向，包括象徵比對（symbolic mapping），意指能將知識泛化到未見過的情境；規則理解（rule understanding）：能了解人類給定的規則而執行回應；樣式探勘（pattern-mining）：推論及歸納的能力；以及抗干擾（anti-interference）、不受噪音影響的能力。</p> <p>研究團隊指稱，使用主流知識導向標竿測試，以及新開發的系統IQ評估標竿測試的結果，FLM-101B效能與功能兼具。</p> <p>最棒的一點是，研究團隊從頭打造這個千億參數的鉅大LLM只花了10萬美元，也是他們已知造價最低的模型。最後，研究團隊也將這個模型的檢查點、程式碼及相關工具全部開源出來，<a href="https://huggingface.co/CofeAI/FLM-101B" target="_blank">公開於Hugging Face平臺上</a>。</p> </div></div></div>
2023/9/18 10:57作者林妍溱https://www.ithome.com.tw/news/158779
開源資料庫PostgreSQL 16出爐，效能與可擴展性大幅強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PostgreSQL開發小組正式<a href="https://www.postgresql.org/about/news/postgresql-16-released-2715/">釋出</a>最新的16版本開源資料庫，這個版本在查詢、批次處理和邏輯複製的效能都有明顯改進，同時用戶也能夠定義存取控制規則，讓管理龐大機隊策略更靈活。</p> <p>用戶會明顯感受到資料庫效能提升。PostgreSQL 16查詢規畫器獲得最佳化，能夠平行處理FULL和RIGHT JOIN子句。當查詢中使用帶有DISTINCT或ORDER BY子句的聚合函式時，PostgreSQL將能夠生成更為最佳化的計畫。此外，對SELECT DISTINCT的查詢，這個版本會採用漸增排序，且窗函式的效能也得到提升。同時RIGHT和OUTER在處理反向連接時也有所改善，使用戶更容易查詢到連接表中不存在的資料列。</p> <p>在這個版本中，官方指出，無論是單一或是並行運算中，當用COPY語句進行批次載入時，其效能已經最佳化，可獲得提升達到300%。而PostgreSQL 16也對使用libpq的客戶端，添加負載平衡支援，且對VACUUM操作進行改良，減少完整表格凍結操作。</p> <p>PostgreSQL為了回收不再使用的空間以及維護多版本一致性控制（MVCC），會使用VACUUM操作，該操作可以協助系統回收空間，同時避免因為交易ID溢出而產生的問題。當交易ID即將溢出時，PostgreSQL會進行一次完整表格凍結，將表格中所有資料列標記為永久不會過期，但是完整表格凍結是一項既耗時又資源密集的操作，可能影響資料庫的效能，因此PostgreSQL 16減少完整表格凍結，是一項重要的最佳化。</p> <p>此外，PostgreSQL 16在x86和ARM架構上使用SIMD的CPU加速功能，所以在處理ASCII和JSON字串、陣列和子交易搜尋時效能大幅提升。</p> <p>PostgreSQL 16另一項重要更新是針對邏輯複製功能，這種複製方式讓用戶將資料，串流到其他支援PostgreSQL邏輯複製協定的PostgreSQL實例或是訂閱者。在最新版本中，用戶能從待命的實例執行邏輯複製，而這代表備用實例可以向其他伺服器發布邏輯變更。這提供開發者更高的靈活性，能夠運用備用實例分攤工作負載，不侷限於繁忙的主要實例。</p> <p>邏輯複製還有多項效能最佳化。現在訂閱者可以使用並行工作程序（Worker）處理大型交易，對於沒有主鍵的表格，訂閱者可以選擇使用B-tree索引查詢資料列，取代傳統的序列掃描。而且在特定情況下，使用者也能夠利用二進位格式迅速完成初始表格同步。</p> <p>開發者現在可以使用更為精細的存取控制和安全性設定，強化對pg_hba.conf和pg_ident.conf配置檔案的管理，例如，可以使用正規表示式來比對用戶和資料庫的名稱，或是引入外部配置檔案的指令。</p> <p>在PostgreSQL 16中，安全客戶端連接擁有更多參數設定，像是require_auth可供客戶端指定想要使用的身分驗證方式，而sslrootcert="system"設定則讓客戶端使用其系統中的受信證書。此版本也支援Kerberos憑證代理，讓部分擴充套件使用這些憑證連接其他受信任的服務。</p> </div></div></div>
2023/9/18 08:32作者李建興https://www.ithome.com.tw/news/158774
【資安日報】9月15日，駭客鎖定旅館業者，利用竊資軟體RedLine、Vidar投放勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾天，與勒索軟體攻擊有關的資安事故占據了不少新聞版面，其中又以美國大型賭場及旅館業者美高梅（MGM Resorts International）遭攻擊的事件受到最多關注，該公司週一（11日）發布公告，這幾天又有新的進展，資安研究機構與廠商表示，攻擊者可能是勒索軟體BlackCat旗下的駭客組織Scattered Spider，而該組織亦傳出對另一家賭場暨旅館業者凱撒娛樂（Caesars Entertainment）下手。</p> <p>巧合的是，有研究人員揭露利用竊資軟體（Infostealer）對於旅館業者進行的勒索軟體攻擊行動，究竟是否與上述事件有關？有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/158768"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">館集團MGM Resorts傳出遭到勒索軟體BlackCat旗下組織攻擊，VMware虛擬化平臺被加密而停擺</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F6A3D-OXMAAIAyu.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F6A3D-OXMAAIAyu.jpg" style="width: 300px; float: right;" /></a>9月11日<a href="https://www.ithome.com.tw/news/158704#mgm">美高梅國際旅館集團（MGM Resorts International）公告發生網路攻擊事故</a>，旗下旅館與賭場的網站皆停止服務，事隔數日有駭客組織坦承犯行。</p> <p>根據資安新聞網站Bleeping Computer的報導，資安研究團隊VX-Underground於13日指出，發動攻擊的駭客組織是BlackCat（Alphv），對方從職場社群網站的LinkedIn找到一名員工，打電話給服務臺，不到10分鐘就成功入侵該集團。</p> <p>資安業者WithSecure研究長Mikko Hypponen透露，BlackCat承認是旗下所屬的駭客團體犯案，並透露該組織於8日滲透美高梅的網路環境，該集團後來察覺駭客潛伏在Okta Agent伺服器並盜取使用者帳密資料，便關閉所有的Okta同步伺服器，但當時這些駭客已取得Okta系統的超級管理員權限、Azure租戶的全域管理權限。美高梅10日封鎖Okta系統的存取，並切斷基礎設施部分關鍵元件的網路。駭客在該集團尋求資安專家協助後，11日對該集團逾100臺VMware ESXi伺服器展開勒索軟體攻擊。</p> <p>根據路透社、彭博社的報導，發動攻擊的駭客被稱為Scattered Spider（亦稱0ktapus、UNC3944），這些駭客也入侵另一家博奕集團凱撒娛樂（Caesars Entertainment）。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/mgm-casinos-esxi-servers-allegedly-encrypted-in-ransomware-attack/">https://www.bleepingcomputer.com/news/security/mgm-casinos-esxi-servers-allegedly-encrypted-in-ransomware-attack/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/vxunderground/status/1701758864390050145" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" tabindex="0"><span class="link-annotation-unknown-block-id-1955185211" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://twitter.com/vxunderground/status/1701758864390050145</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/mikko/status/1702421207738663281" rel="noopener noreferrer" style="color: inherit; cursor: pointer; overflow-wrap: break-word; text-decoration: inherit;" tabindex="0"><span class="link-annotation-unknown-block-id-1146313629" style="border-bottom: 0.05em solid rgba(55, 53, 47, 0.4); border-top-color: rgba(55, 53, 47, 0.4); border-right-color: rgba(55, 53, 47, 0.4); border-left-color: rgba(55, 53, 47, 0.4); opacity: 0.7;">https://twitter.com/mikko/status/1702421207738663281</span></a><br /> 4. <a href="https://www.reuters.com/technology/moodys-says-breach-mgm-is-credit-negative-disruption-lingers-2023-09-13/">https://www.reuters.com/technology/moodys-says-breach-mgm-is-credit-negative-disruption-lingers-2023-09-13/</a><br /> 5. <a href="https://www.bloomberg.com/news/articles/2023-09-13/mgm-caesars-hacked-by-scattered-spider-in-span-of-few-weeks">https://www.bloomberg.com/news/articles/2023-09-13/mgm-caesars-hacked-by-scattered-spider-in-span-of-few-weeks</a></p> <p><a href="https://www.ithome.com.tw/news/158767"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國賭場業者Caesars證實遭網路攻擊攻擊，熟客資料庫外洩</span></strong></a></p> <p>繼美高梅國際酒店集團遭到駭客入侵，前身為Eldorado Resorts的美國連鎖賭場凱撒娛樂（Caesars Entertainment）亦傳出資安事故。9月7日凱撒娛樂向美國證券交易所（SEC）提交了8-K表單通報資安事故，表示他們近期察覺IT網路環境出現可疑活動，經調查是IT支援服務業者遭遇社交工程攻擊，駭客存取了會員忠誠計畫的資料庫，內含會員的駕照號碼與社會安全碼等個資，但根據目前的調查結果，尚未出現會員帳密資料或金融資訊被盜的證據。</p> <p>雖然凱撒娛樂並未透露他們遭到攻擊的類型，但根據當地媒體的報導，該賭場很有可能遭遇勒索軟體攻擊。該集團透過討價還價方式協商，最終支付一半的金額；彭博社指出凱撒娛樂支付超過1千萬美元的贖金，攻擊者的身分為Scattered Spider。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001590895/000119312523235015/d537840d8k.htm" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-108025944" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.sec.gov/ix?doc=/Archives/edgar/data/0001590895/000119312523235015/d537840d8k.htm</span></a><br /> 2. <a href="https://www.wsj.com/business/hospitality/caesars-paid-ransom-after-suffering-cyberattack-7792c7f0">https://www.wsj.com/business/hospitality/caesars-paid-ransom-after-suffering-cyberattack-7792c7f0</a><br /> 3. <a href="https://www.bloomberg.com/news/articles/2023-09-13/caesars-entertainment-paid-millions-in-ransom-in-recent-attack">https://www.bloomberg.com/news/articles/2023-09-13/caesars-entertainment-paid-millions-in-ransom-in-recent-attack</a></p> <p><a href="https://www.gmp.police.uk/news/greater-manchester/news/news/2023/september/greater-manchester-police-statement-on-data-breach/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">英國曼徹斯特警局資料外洩，起因是外部供應商遭勒索軟體攻擊</span></strong></a></p> <p>9月14日英國大曼徹斯特警局（GMP）發布公告，指出他們的第三方供應商遭到勒索軟體攻擊，該供應商握有GMP的員工部分資料而可能遭到外洩。GMP認為，上述資料不包括財務資訊，但沒有透露那些類型的資料可能被洩露，也並未透露受影響的人數。</p> <p>而這並非該國警方近期發生的資料外洩事故，北愛爾蘭警局（PSNI）、倫敦警察廳先後於8月8日與26日，表明因外部供應商遭到網路攻擊而資料外洩。</p> <p><a href="https://www.securityweek.com/airbus-launches-investigation-after-hacker-leaks-data/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">空中巴士著手調查資料外洩事故</span></strong></a></p> <p>網路威脅情報業者<a href="https://www.hudsonrock.com/blog/an-avoidable-breach-fbi-hacker-leaks-sensitive-airbus-data">Hudson Rock於9月12日指出</a>，駭客組織USDoD在網路犯罪論壇聲稱竊得空中巴士（Airbus）的內部資料，包含3,200名供應商相關人員的資料，包括姓名、職稱、地址、電子郵件信箱、電話號碼。這些駭客竊取資料的管道，是透過土耳其航空員工的帳號來存取空中巴士系統。研究人員指出，這名員工遭遇網路釣魚攻擊，駭客引誘下載.NET Framework惡意版本，然後在電腦上植入竊資軟體RedLine而得逞。</p> <p>對此，空中巴士證實正在著手調查一起網路攻擊事故，與該公司客戶相關的帳號遭到攻擊，並被用於從空中巴士入口網站下載與業務相關的檔案。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/i/redline-vidar-first-abuses-ev-certificates.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體RedLine、Vidar濫用EV憑證，以此對旅館業者發動勒索軟體攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig4-redline-vidar-abuses-ev-cert-shifts-to-ransomware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig4-redline-vidar-abuses-ev-cert-shifts-to-ransomware.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露竊資軟體RedLine、Vidar的新一波攻擊行動，今年初駭客將目標轉向旅館業，利用住宿與健康資訊為幌子，向使用者寄出釣魚郵件，這些郵件的附件檔案通常是可執行檔（EXE），但駭客設置雙重副檔名，讓大部分收信人誤以為開啟的資料是PDF文件或JPG圖檔。一旦收信人執行附件檔案，攻擊者便會利用捷徑檔案（LNK）執行惡意命令，從而繞過防毒軟體的偵測，並從雲端檔案共享服務Google Drive下載惡意酬載。</p> <p>在其中一起攻擊行動裡，受害者收到假冒旅遊評論網站TripAdvisor的投訴郵件，並在開啟副檔名為.pdf.htm的附件檔案，最終電腦被勒索軟體加密檔案。特別的是，駭客為了迴避偵測，過程裡部署的竊資軟體含有擴充驗證憑證（EV）的簽章。</p> <p>研究人員指出，由於這類憑證取得難度較一般的程式碼憑證來得高，必須透過實體組織申請，且要搭配硬體Token才能產生對應的私鑰，但究竟駭客如何取得這類憑證？研究人員推測，攻擊者已掌握能存取連線硬體Token的主機。</p> <p><a href="https://www.thenewslens.com/article/191786"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">醫療院所數位支付工具醫指付傳出去年就發現身分驗證缺失，但遲遲未得到處理</span></strong></a></p> <p>本週醫療院所數位支付工具醫指付傳出盜刷事故，但現在有人指控，該支付平臺的身分驗證機制過於鬆散，很有可能就是這起事故的導火線。</p> <p>根據關鍵評論網的報導，有名從事網站設計的使用者向他們投訴，<a href="https://zeroday.hitcon.org/vulnerability/ZD-2022-00281">去年6月台灣駭客協會（HITCON）漏洞通報平臺ZeroDay揭露醫指付的身分驗證機制極為薄弱</a>，使用者帳號綁定手機，僅提供用戶設定4位數字的密碼，且沒有其他防護措施，或是異地登入的警告機制，使得攻擊者可在用戶不知情的狀況下進行暴力破解，存取用戶及其親友資料，以及信用卡資訊，4月底通報大洸醫院管理顧問公司沒有得到回應，而在6月揭露此事。</p> <p>對此，大洸醫院管理顧問公司表示，他們在最近兩個月才獲報盜刷情事，並承諾2星期內找出漏洞向社會大眾說明。再者，則是醫指付今年底App將會改版，改採6位密碼，並加上登入成功、失敗的通知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/kubernetes-critical-vulnerability-command-injection"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Kubernetes漏洞有可能被用於攻擊叢集裡的Windows端點</span></strong></a></p> <p>資安業者Akamai揭露容器與微服務管理系統Kubernetes出現的高風險漏洞，包括CVE-2023-3676、CVE-2023-3955、CVE-2023-3893，這些漏洞與不安全的功能呼叫、缺乏使用者輸入的清理有關，攻擊者若要觸發上述漏洞，可在Kubernetes環境套用惡意的YAML檔案，從而在所有Windows端點以SYSTEM的權限遠端執行任意程式碼（RCE），CVSS風險評分為8.8。</p> <p>研究人員於7月13日進行通報，Kubernetes開發團隊於8月23日提供修補程式。此外，AWS、Google Cloud、微軟Azure均發布資安通告，指出這些漏洞存在於特定版本的kubelet元件。</p> <p><a href="https://orca.security/resources/blog/cross-site-scripting-vulnerabilities-in-apache-services-azure-hd-insight"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開放原始碼分析服務Azure HDInsight Analytics存在XSS漏洞</span></strong></a></p> <p>資安業者Ocra Security公布他們向微軟通報的開放原始碼分析服務Azure HDInsight Analytics漏洞細節，這些皆為跨網站指令碼（XSS）漏洞，有6個為儲存型（Stored）XSS、2個為反射型（Reflected）XSS，一旦遭到利用，攻擊者就有可能用來執行未經授權的行為，例如存取資料、挾持連線階段、傳遞惡意酬載。</p> <p>究竟研究人員發現這些漏洞？起因是他們注意到該系統的Apache Ambari後臺元件存在多個參數，且在預設的情況下能隨意修改，使得研究人員在找出其中一個儲存型XSS漏洞後，很快地於數天裡挖掘其他7個漏洞。微軟接獲通報後，於8月份的例行更新（Patch Tuesday）提供修補程式。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://at.govt.nz/bus-train-ferry/service-announcements/at-hop-technical-outage"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">紐西蘭奧克蘭交通局傳出遭到勒索軟體攻擊，導致付款系統失效</span></span></strong></a></p> <p><a href="https://aka.ms/peach-sandstorm"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客APT33發起密碼潑灑攻擊</span></span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/09/ongoing-webex-malvertising-drops-batloader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體BatLoader透過Google廣告散布</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/09/microsoft-uncovers-flaws-in-ncurses.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式庫ncurses存在高風險漏洞，影響執行Linux、macOS作業系統的電腦</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/158751"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資安業者JFrog支援機器學習模型管理，強化AI應用開發安全</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158747"><strong>【9月14日】中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158725"><strong>【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158704"><strong>【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</strong></a></p> </div></div></div>
2023/9/15 17:44作者周峻佑https://www.ithome.com.tw/news/158772
AI趨勢周報第227期：生成速度是Llama 2的15倍，以色列新創開源語言模型DeciLM 6B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0908～0914)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">DeciLM 6B </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>生成速度是Llama 2的15倍，以色列新創開源語言模型DeciLM 6B</strong></span></p> <p>以色列深度學習新創Deci最近開源57億參數語言模型DeciLM 6B，能快速根據文字指令產出回答，如內容和程式碼生成，且生成速度比Meta的70億參數模型Llama 2快上15倍。進一步來說，DeciLM 6B以Transformer解碼器架構為基礎，具分組查詢注意力（GQA）機制，另搭配自家推論SDK：InferyLLM，可降低模型運算成本達80%，使用者能用Nvidia A10等中階GPU來執行模型運算。</p> <p>不過，DeciLM 6B可處理的Token數量為4,096個，與PaLM 2等大型語言模型的3萬多個Token有所差距。Deci補充，DeciLM 6B的架構，是以自家神經架構搜尋器AutoNAC產生的。此外，Deci同時開源的圖像生成模型DeciDiffusion 1.0，也是由AutoNAC產出，該模型不到一秒就能根據文字指令產生圖像，速度是Stable Diffusion 1.5模型的3倍。<a href="https://deci.ai/blog/decilm-15-times-faster-than-llama2-nas-generated-llm-with-variable-gqa/">（詳全文）</a></p> <p><img alt="" src="https://deci.ai/wp-content/uploads/2023/09/DeciLM-6B-Evaluation-Table-1400-%C3%97-900-px.png.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> phi-1.5 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>表現勝過Llama 2，微軟開源13億參數模型phi-1.5</strong></span></p> <p>繼今年7月發表phi-1後，微軟研究院最近開源新版模型<a href="https://arxiv.org/abs/2309.05463">phi-1.5</a>，在語言理解、常識、邏輯推理等基準測試中，勝過Meta的70億參數開源模型Llama 2。微軟表示，phi-1.5以Transformer架構為基礎，所用的訓練資料與第一代相同，但額外以一個新的合成文本資料集進行增強訓練。</p> <p>這次的開源模型以研究促進為導向，並未包括指令優化版或人類回饋強化學習（RLHF）版。團隊指出，為確保模型安全，他們並未使用通用的網路爬蟲資料，防止模型接觸潛在有害的內容，進而降低RLHF的需求。微軟也指出，phi-1.5最適合的使用格式包括QA格式、聊天格式和程式碼格式，來進行提示。他們也提醒，phi-1.5通常會在主要答案之後，生成不相關的回答，而且只適合處理標準英語，非正式英語、俚語等用於可能會讓模型產出不正確的答案。<a href="https://huggingface.co/microsoft/phi-1_5">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式碼 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mojo </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Python </span></strong></span></p> <p><span style="font-size:22px;"><strong>執行速度達Python 68,000倍的AI語言Mojo可本地下載了</strong></span></p> <p>由Swift語言創始人Chris Lattner共同成立的新創公司Modular AI，在5月發布高效能程式語言Mojo引起熱議，現在正式提供Mojo本地端下載，包括編譯器、IDE工具等，目前僅支援Linux，之後會新增對Mac和Windows的支援。</p> <p>Mojo具備可擴充的程式開發模型，因此能支援GPU和ASIC等加速器，提供與C++和CUDA等硬體溝通語言相當的效能。而且，Mojo可與Python生態系完全互通，在無縫使用Python的函式庫的同時，又可獲得Mojo的功能與效能，像是開發者可將NumPy和Matplotlib函式庫與Mojo程式碼混合使用。另外，Mojo也整合模組化AI引擎，開發者可自定義操作，簡單擴展AI工作負載，執行包括預處理、後處理與高效能數學運算。Modular指出，因為Mojo結合動態和靜態語言的優勢，效能已可達到Python的68,000倍。<a href="https://www.modular.com/blog/mojo-its-finally-here">（詳全文）</a></p> <p><img alt="" src="https://assets-global.website-files.com/64174a9fd03969ab5b930a08/64f8bbb424cf49c042319fed_Tf_aqSWFNEZO993md-Yuh7Bs5ZEMglx-kyDaTzq66m1q3W4eGqFtaH6warFjp69XTIk2bvVj-q2caffdimzLZMQkl9gs3_HA5p9uXjd0YfHiZwrJryiYWJGN5QoxnpSgwflRyHOllLZwe0HN7kbSAU8.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推論 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 函式庫 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>如何讓LLM推論更快速？Nvidia開源TensorRT-LLM函式庫</strong></span></p> <p>最近，Nvidia釋出函式庫TensorRT-LLM，包含TensorRT深度學習編譯器和各種工具，能強化H100 GPU執行語言模型推論的能力。開發者可用這個函式庫來定義、最佳化和執行語言模型，在正式環境加速模型推論。</p> <p>這個函式庫由Nvidia、Meta、Grammarly和Databricks等公司聯手開發，由TensorRT深度學習編譯器組成，涵蓋最佳化核心、預處理和後處理任務，以及多GPU與多節點通訊功能，開發者不需要深入了解底層硬體溝通語言C++或CUDA，也能高效能執行語言模型。透過開源模組化Python API，TensorRT-LLM提高了易用性和擴展性，還採用了動態批次處理的最佳化調度技術，將模型文字生成過程切分為多次執行，不必等待整批次完成，就能處理下一組請求。這個方法可提高GPU使用效率，在H100 Tensor Core GPU測試中，吞吐量至少增加1倍。而且，H100 GPU吞吐量原本是A100的4倍，但在搭配TensorRT-LLM後，總吞吐量可提高到8倍。<a href="https://developer.nvidia.com/blog/nvidia-tensorrt-llm-supercharges-large-language-model-inference-on-nvidia-h100-gpus/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google地圖 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 路線預測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 反向強化學習 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google地圖新反向強化學習演算法，更快更準還更容易擴展</strong></span></p> <p>Google研究院、Google地圖和DeepMind各單位重新檢視Google地圖路線規畫使用的經典演算法反向強化學習（IRL），提出一種名為RHIP的新IRL演算法，可改善路線建議結果達16％到24％。</p> <p>Google地圖的路線建議考量各種因素，如抵達時間、通行費、路況和用戶偏好等，來規畫從地點A到地點B的最佳路線。而反向強化學習可從觀察到的連續決策行為，來學習偏好，比如從用戶已走過的路線，來找出驅動用戶在選擇這些路線時心中的獎勵。但這種方法不易擴展到全球規模，為解決問題，Google發展出RHIP方法，透過在靠近當前的位置，或在已知路徑的地方，使用詳細的策略來確定路線，但在較遠的地方，則選擇更簡單且省運算資源的策略，綜合遠近規畫策略，來實現高效準確的導航。</p> <p>經測試，團隊發現RHIP策略讓汽車與機踏車的全球路線相符比例，分別提高了15.9％和24.1％。這個全球路線相符比例是指用戶實際行駛的路線，符合Google地圖所建議路線的百分比。也就是說，RHIP執行速度更快，結果也更準確，相較傳統IRL難以擴展的問題，RHIP方法更能在超大量狀態、示範軌跡和模型參數上訓練獎勵模型。<a href="https://blog.research.google/2023/09/world-scale-inverse-reinforcement.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiHUdaeXJURVEV2f--mytRfbx5k3yftkMKBpuu43GKhyMaAa-fJC3O4QfTxZjz3hkGjUsCBiO6LLcYRsGeyrpOgIUzDDPW1lOwlr47YXKSLUwJuXxMELxRV9SKcr4BDoy5_2HzcFZX-Wb7m3PcQhWvx1efvG5gkXG_HfrhqrqfZ_xrNyBmSado-Wf_si3wH/s16000/image3.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數據中臺 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 信義房屋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推薦 </span></strong></span></p> <p><span style="font-size:22px;"><strong>信義房屋重整上億筆資料，建數據中臺發展AI應用</strong></span></p> <p>為應用創新技術，信義房屋成立轉型辦公室，先是盤點40多年來累積的上百億筆數據，包括房地產列表和顧客資料，接著逐步進行資料清理，將上百億筆資料格式統一、建置資料庫，來確保資料易取性和資料品質。接著，團隊採用雲端服務來打造數據中臺，也同步收集新資訊、歸整至資料庫。</p> <p>同時，信義房屋也開始開發AI工具，如用來幫助房仲精準推薦物件的AI智能配案。這項應用，能根據顧客在官網的操作，來推斷顧客喜好，從上億筆資料中找出最貼近需求的物件，來給房仲參考、推薦給客戶，有別於過去只仰賴實際互動經驗的局限。信義房屋指出，這個應用提高了一線客戶斡要率2倍以上。此外，在數據中臺基礎上，他們也發展了DiNDON智能賞屋、房產e存摺、一站式找房找房貸等數位服務。<a href="https://www.sinyinews.com.tw/dailynews/newsct/11937">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模糊測試 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 安全測試 </span></strong></span></p> <p><span style="font-size:22px;"><strong>生成式AI也能加速安全測試，美新創推可快速生成模糊測試的工具CI Spark</strong></span></p> <p>專攻安全測試的新創Code Intelligence最近推出生成式安全測試解決方案CI Spark，運用大型語言模型來辨識軟體攻擊面，還能建議測試程式碼，並自動執行模型生成的模糊測試，是白箱測試的重要一步。</p> <p>白箱測試是一種重要的軟體測試方法，但Code Intelligence指出，此技術需要專家手動找出進入點並開發測試，過程耗費數天甚至數周。CI Spark就是要縮短這個過程，藉生成式AI對JavaScript/TypeScript、Java和C/C++程式碼訓練，找出適合進行模糊測試的函式，自動生成測試，或改進現有的模糊測試，同時也能利用現有的單元測試，進一步生成高品質測試程式碼。根據官方測試，CI Spark能加速專案建立測試速度15倍，還發現SQL注入、XSS和遠端程式碼等超過50個CVE。<a href="https://www.code-intelligence.com/blog/ci-spark">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AIGC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 電子書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon </span></strong></span></p> <p><span style="font-size:22px;"><strong>Amazon要求作者主動揭露AI生成內容，即便大量編修也算AIGC</strong></span></p> <p>近日，Amazon發布出版書更新政策，要求在其平臺上出版的書籍作者，需主動揭露書中包含AI生成的內容，包括文字和圖片。根據Amazon的定義，以AI工具生成的內容（包括文字、圖片和翻譯），就視為AI生成內容，即便事後大量編修，Amazon也認定為AI生成內容。</p> <p>這項政策主要影響Kindle Direct Publishing（KDP）平臺上出版的書籍，該平臺允許個人作者免費發布電子書、平裝及精裝紙本書。Amazon近日加入的新規定，就要求作者在KDP平臺出版新書，或編輯後重新刊登書籍時，若書中包含AI生成的文字、圖片或翻譯時必須告知Amazon。不過Amazon指出，若作者自行創作內容，再以AI工具編輯、糾錯或以其他方式改進內容，Amazon會定義為「AI輔助」，作者無需告知Amazon。同樣地，在AI工具腦力激盪或提供創意下，作者創作的文字和圖片，也都屬於AI輔助內容。<a href="https://kdp.amazon.com/en_US/help/topic/G200672390#aicontent">（詳全文）</a></p> <p>圖片來源／Deci、Modular AI、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟聯手生成式AI業者Paige.ai要打造世界最大癌症影像AI</strong></p> <p><strong>2. OpenAI承認AI偵測器無法分辨學生是否用生成式AI寫作業</strong></p> <p><strong>3. MLCommons發布AI基準測試新套件，強化模型推論和儲存評估</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/9/15 17:28作者王若樸https://www.ithome.com.tw/news/158771
ALPHV勒索軟體集團承認是駭進MGM Resorts的元兇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/mikko/status/1702421207738663281/photo/1" target="_blank">WithSecure研究長Mikko Hypponen本周張貼</a>了來自ALPHV（BlackCat）勒索軟體集團外洩網站的一則訊息，指出該集團為駭進米高梅國際酒店集團（MGM Resorts International）的元兇，而且是在MGM Resorts關閉所有Okta Sync伺服器並切斷部分元件的網路服務之後，才在本周一（9/11）於超過100臺的ESXi伺服器上展開勒索軟體攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0915-WithSecure-Mikko%20Hypponen-MGM-ALPHV(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_</span><a href="https://twitter.com/mikko/status/1702421207738663281/photo/1" target="_blank"><span style="color:#696969;">Mikko Hypponen</span></a></span></p> <p>根據ALPHV的描述，它們上周五（9/8）便滲透了MGM Resorts網路，當MGM Resorts察覺ALPHV已潛伏在Okta Agent伺服器上並存取使用者密碼時，MGM Resorts旋即關閉了所有的Okta Sync伺服器，但當時ALPHV已握有其Okta管理權限及Azure租用戶的全球管理權限。到了周日，MGM Resorts進而導入條件限制，封鎖針對Okta環境的所有存取，還切斷了基礎設施中某些關鍵元件的網路。</p> <p>Okta為美國的身分認證及存取管理業者，提供各種身分管理的產品與服務，也是那斯達克的上市公司。</p> <p>ALPHV的說明也意味著<a href="https://www.ithome.com.tw/news/158690" target="_blank">MGM Resorts的飯店與賭場服務失靈</a>，是為了因應網路攻擊行動而採取的主動措施，並非直接因攻擊所造成。</p> <p>ALPHV在入侵期間曾多次與MGM Resorts聯繫，卻一直未得到回應，因而在本周一針對逾100臺ESXi伺服器展開勒索軟體攻擊，亦強調它們是在MGM Resorts請求外部資安專家協助後才發動攻擊。</p> <p>目前MGM Resorts飯店官網已恢復正常，而賭場官網則仍在維護中。</p> </div></div></div>
2023/9/15 14:27作者陳曉莉https://www.ithome.com.tw/news/158768
Chromebook將可獲得10年軟體支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/outreach-initiatives/education/automatic-update-extension-chromebook/" target="_blank">Google宣布</a>，為了讓Chromebook筆記型電腦用得更久，從2024年開始，將延長Chromebook的軟體包括功能及安全更新為10年。</p> <p>2012年Google推出Chromebook以來，這款ChromeOS筆記型電腦以其低廉價格成功切入廣大消費者市場，特別是中小學教育區塊。2020年新冠疫情席捲全球期間，大量家庭及學校引進Chromebook供學生在家上課。Google本周宣布，從2024年開始，Chromebook的自動軟體更新支援，將由現行8年延長為10年，比市場上所有其他作業系統都更長。</p> <p>Google的最新宣布是為了回應今年4月一項關於Chromebook的報告。美國公眾利益研究組織（Public Interest Research Group，PIRG）教育基金會發布名為<a href="https://pirg.org/edfund/resources/chromebook-churn-report-highlights-problems-of-short-lived-laptops-in-schools/" target="_blank">《Chromebook Churn》的報告</a>，指稱這些疫情期間購入的Chromebook很快就要變成電子垃圾。原因之一是軟體支援。雖然號稱提供Chromebook 8年軟體更新支援，但日期是從Google發出認證，而非消費者買到電腦日期起算，因此等產品真正開始啟用，到軟體支援到期平均只剩下4、5年，導致這些Chromebook面臨漏洞攻擊威脅，迫使用戶購置新電腦。</p> <p>另一項造成電子垃圾的元兇是硬體備品不足。Chromebook雖然新機比一般筆電便宜，但備品卻很貴，因為製造廠商很少生產。以鍵盤為例，一部200美元的宏碁Chromebook，鍵盤卻要價89美元。此外，廠商改版熱銷機種時都會加入一些設計變更，例如邊框寬度不同，導致前、後代產品零件無法共用。該組織曾做過一項可維修性報告，指出11款Chromebook平均可維修性（repairability）在20分中僅拿下3分，低於非Chromebook機種9分的平均分數。為了儲備零件，美國學校又得多囤購Chromebook以因應零件更換需求。該報告指稱，延長Chromebook生命周期一倍，能省下美國納稅人18億美元的稅金。</p> <p>除了軟體支援延長為10年，Google其他措施包括將和合作廠商推出更多使用以消費後回收材料（post-consumer recycled materials，PCR）生產的Chromebook產品、推出節能軟體與更簡單的維修流程。</p> <p>在使用回收材料方面，Google去年就和OEM廠商合作使用回收材料如塑料製造的Chromebook，今年也有12款，該公司說今年會持續這項計畫。至於Chromebook毁損或無法使用要回收時，<a href="https://blog.google/products/maps/find-and-support-eco-friendly-places/" target="_blank">使用者可在Google Maps上找到Chromebook回收點</a>。</p> <p>在簡化維修流程方面，Google新設計的流程可讓授權維修中心或學校技術人員不用USB隨身碟就能維修Chromebook，減少超過50%的軟體維修所花時間。而為了讓Chromebook更永續環保，軟、硬體層面也有所更新。未來幾個月內，Google將對所有Chromebook推出一批節能的功能，包括能延長電池壽命的適應性充電，以及減少耗能程序的省電功能。</p> </div></div></div>
2023/9/15 13:15作者林妍溱https://www.ithome.com.tw/news/158766
繼MGM Resorts後，美國另一連鎖賭場Caesars Entertainment也遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只是MGM Resorts，前身為Eldorado Resorts的美國連鎖賭場Caesars Entertainment亦傳出遭到駭客入侵。Caesars Entertainment是<a href="https://www.sec.gov/Archives/edgar/data/1590895/000119312523235015/d537840d8k.htm" target="_blank">在上周提交給美國證券交易委員會的8-K文件中</a>揭露了此事。而<a href="https://www.wsj.com/business/hospitality/caesars-paid-ransom-after-suffering-cyberattack-7792c7f0?mod=followamazon" target="_blank">《華爾街日報》</a>（Wall Street Journal）則報導，駭客向Caesars勒索了3,000萬美元的贖金，Caesars在討價還價之後支付了約一半的價格。</p> <p>Caesars表示，最近他們發現其IT網路出現可疑活動，調查之下才發現來源是該公司的IT支援業者遭到社交工程攻擊，駭客存取了Caesars的會員忠誠計畫資料庫，內含大量會員的駕照號碼與社會安全碼等個資，但並無證據顯示會員的密碼或金融資訊被盜。</p> <p>Caesars還在文件中指出，該公司採取措施以確保駭客刪除所盜走的資料，但無法保證結果如何。Caesars並未說明其具體措施，但根據《華爾街日報》的報導，駭客向Caesars勒索3,000萬美元，否則就要公布所取得的資料，而Caesars則支付了約一半的價格。</p> <p>另一方面，<a href="https://finance.yahoo.com/news/caesars-entertainment-paid-millions-ransom-185252473.html" target="_blank">《彭博社》</a>（Bloomberg）引述消息來源報導，Caesars的確支付了上千萬美元的贖金，且主導此一攻擊的駭客組織為Scattered Spider，以擅用社交工程技巧來滲透大型企業網路而聞名。</p> <p>與MGM Resorts事件不同的是，在攻擊發生後，Caesars Entertainment連鎖賭場的營運、線上賭場或是行動程式都沒有受到波及。</p> </div></div></div>
2023/9/15 14:11作者陳曉莉https://www.ithome.com.tw/news/158767
醫療AI的iPhone時刻
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aiyi_liao_ge_ming_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <blockquote><p><span style="color:#3399ff;"><strong>以下內容純屬虛構，但它所描述的一切都在OpenAI的GPT-4系統當前已知的能力範圍之內。</strong></span></p> </blockquote> <p>突然間，患者情況急劇惡化。他的心率飆升到每分鐘一百六十次以上，但他的血壓危險地降至八十╱五十。在茂密的鬍鬚下，他年輕的臉龐變得蒼白帶青，他喘不過氣來，但這看起來不像是囊性纖維化病症的典型惡化反應。</p> <p>第二年住院醫師克莉絲汀．陳感到自己的心跳加速，她立刻進行緊急呼叫並與團隊的其他成員展開搶救。他們不斷地對靜脈進行注射、提供增壓的藥物及生理食鹽水來增加血壓，但通通不管用。 </p> <p>克莉絲汀從白色外套的口袋中掏出手機，把它靠近嘴巴，嘗試壓抑聲音中的恐慌，以免隊友聽到。她點擊GPT-4應用程式，低聲說：「患者胡安•阿爾瓦雷斯對穩壓治療沒有反應。他的病歷中提到他最近在加州大學聖地亞哥分校接受了諾氟沙星（Norfloxaci）的二期試驗治療血液感染。我不知道發生了什麼，也不知道該怎麼做。」</p> <p>冷靜而即時的回答立即出現：「根據最近從該二期試驗發表的一篇論文，胡安•阿爾瓦雷斯正在接受的實驗性抗生素會導致百分之五的患者白血球數量下降。過去兩天內，他的計數在過去三次抽血中下降。該文章報告說，白血球生長激素（G-CSF）注射對於恢復白血球數量下降非常有效。這是一種可以考慮的策略。」</p> <p>克莉絲汀理解其中的含義：胡安的白血球消耗使他容易受到感染，進而引發敗血症。她打電話給藥局，要求提供G-CSF輸注的劑量，然後再次檢視研究，她說：「給我看看那個二期試驗。」</p> <p>研究描述和相關文章都在她的手機螢幕上顯示出來，她要求GPT-4進行摘要。果然，這份發表在傳染病學期刊上的報告確實證實了AI所說的，最新的實驗室結果顯示，患者的白血球計數甚至低於她在化療患者中所見到的數值。克莉絲汀注射了輸注劑，看著他被推到重症加護病房。</p> <p>「給他了G-CSF。希望有效。」她喃喃自語。</p> <p>回應是：「當一個患者的病情急劇惡化時，壓力很大。以前的研究在其他患者中也發現了類似的問題，並對G-CSF有一致的反應。你已經盡了最大努力了，你的團隊會支持你。」</p> <p><span style="font-size:28px;"><strong>GPT-4等先進AI模型正處於改變醫學的邊緣</strong></span></p> <p>那個聲音總是聽起來平靜而親切。她知道像GPT-4這樣的AI工具不可能帶有情感，但她不知何故感覺它就像一位仁慈的導師兼小幫手，擁有幾乎全球所有醫學知識的寶庫，似乎一直在給予她鼓勵。她知道它不是完美的，而且醫院的管理人員甚至不鼓勵在臨床環境中使用這樣的AI科技，因為它存在著巨大的不確定性。但對她和她的同事來說，使用GPT-4已經成為日常的一部份，就像他們曾經使用Google來搜尋自己不知道的資訊一樣，只是用途更廣泛——通常的做法是在採取行動之前再次檢核其回答。GPT-4讓她感覺……如虎添翼。她感覺比僅僅依賴自己的大腦、等待他人承諾但遲遲未至的傳染病專科照會或醫院的電子紀錄更安全。</p> <p>「胡安需要轉用另一種抗生素，這種抗生素甚至更昂貴。」她對著手機說道。「我需要向他的保險公司申請事前審查。請為我撰寫正當理由的文本，以便我填寫表格。」</p> <p>「當然。」幾秒後，一份長達三百字的文字出現在她的銀幕上，摘要了胡安之前所使用的其他抗生素以及他對這些抗生素的抗藥性。它參考了七項關於他所需之新抗生素的研究，並估計如果保險給付不能涵蓋新的抗生素，胡安可能需要花費兩倍的費用來進行長期的住院護理。</p> <p>「請將它發送到我的收件箱，並附上事前審查表格的重點摘要。」克莉絲汀肯定地說著，走開了。「接下來是六十五號房間。」</p> <p>「我接下來的病人是達麗婭•弗羅洛娃。她今年六十二歲，自五十歲起就患有骨髓瘤，曾經出現十年的顯著緩解。現在她第三次復發，包括尼伏莫尼（Nivolumab）在內的最先進治療對她也都似乎沒用。下一步有哪些選擇？」</p> <p>「你可以考慮將她納入醫院附屬癌症中心的一個新的西妥昔單抗（Cetuximab）方案的研究計劃。這裡是臨床試驗的詳細資訊和臨床醫師的聯繫方式。」</p> <p>「謝謝。」克莉絲汀輕聲說著，走進昏暗的房間，看到一位銀髮圓臉的女士正在伸手拿床邊托盤上的一杯水，臉上帶著痛苦的表情。</p> <p>「讓我來幫助你。」克莉絲汀說著，拿起杯子，方便達麗婭用吸管喝水。「感覺好點了嗎？」</p> <p>患者喝下了兩小口水。「有時候痛，有時候不痛，但一直覺得很疲憊。」她說道。</p> <p>克莉絲汀點頭，滿懷同情地與患者的目光相遇。「我們認為有一個臨床試驗可能對你會有幫助。」</p> <p>「快說說看！」一個聲音從她背後傳來。一位資深腫瘤科護理師克拉麗莎•威廉斯走到床邊，拿出她的平板電腦，查看有關新試驗的資訊。</p> <p>「嗯嗯嗯，可能是合適的。」她對著平板電腦說道：「請對這項研究進行摘要，並包含相關鏈接。如果一切看起來都好，我今天會聯繫研究計畫主任。但同時，也請列出達麗婭應該考慮的其他試驗。」</p> <p>「當然。」回答來了。「在三十名基因相似的黑色素瘤患者中，到目前為止有八名回報症狀緩解，七名症狀部分緩解。副作用一般輕微，但有一個嚴重出血的案例。」克拉麗莎緊握著達麗婭的手。她說：「讓我們祈禱一切順利。」</p> <p>「現在只剩下從急性後期照護出院了。」克莉絲汀離開時這樣喃喃自語。她從早上五點開始工作，而且喝掉的咖啡已經超過了她每天的咖啡因限制了，感覺體力正在耗盡。</p> <p>首先是一位正在從前十字韌帶重建手術後康復的三十歲運動員。當她走近他的房間時，她聽到手機發出輕柔的提示聲。在她的郵箱中，她找到了她的助手發來的一封待批准和編輯的信件。其中包括了運動員的電子健康紀錄的完整出院摘要，一封給轉診醫生的信件，一份發送到藥局的出院藥物處方，以及一份以患者母語葡萄牙語書寫的出院指示。克莉絲汀不禁想知道這些文字有多少是由人類寫的，有多少是由GPT-4寫的。</p> <p>很好。這意味著她有更多的時間來提醒其他出院的患者需要注意的醫療須知。她將患者的病歷複製到手機上，並要求GPT-4根據國家預防保健任務小組的建議，對其進行審查，以發現護理計劃中的任何缺漏。</p> <p>果然，它發現了一位需要進行結腸鏡檢查但已經過期的患者，一位需要服用史他汀類藥物的高膽固醇患者，以及一位高風險患者，但其血脂水平檢查已經拖延了五年。</p> <p>接下來的一個半小時，她坐下來與患者交談，確保GPT-4對於那些遺漏的檢查是正確的，確認患者在出院後都知道他們該如何注意自己的健康，並要求GPT-4在他們的出院摘要寫一段非常客氣的文字給轉診醫生。</p> <p>現在，她終於有一點屬於自己的時間了。</p> <p>當她走出醫院的大門時，她對著手機說：「你能看看我的蘋果健康數據並告訴我，今天的個人健康數據如何，我應該如何進行自我保健？」</p> <p>讓我們不要打擾克莉絲汀，因為她正在接收由AI生成的運動計劃和早睡建議。這個日常生活片段的主要觀點是：她所經歷的一切都在OpenAI的GPT-4系統當前已知的能力範圍之內。</p> <p>當然，這只是虛構的，因為GPT-4是如此新穎，以至於沒有醫院在任何方面廣泛使用它。但是，能看到一個新工具的誕生、理解它的能力以及它可能產生的巨大影響實在叫人振奮。面對GPT-4和其他類似的、即將陸續問世的AI系統，我們認為這種影響是如此天翻地覆，我們需要開始理解並討論AI的潛力，不管是好是壞，現在就開始。或者更確切地說，昨天就該開始。<strong><span style="color:#696969;">（本文摘錄整理自《AI醫療革命》，天下文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%86%AB%E7%99%82%E9%9D%A9%E5%91%BD_600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> AI醫療革命：GPT-4與未來</strong></p> <p>彼得．李（Peter Lee）、凱莉．戈柏（Carey Goldberg）、艾薩克．柯漢（Isaac Kohane）、塞巴斯汀．布貝克（Sebastien Bubeck）／著；王家軒／譯</p> <p>天下文化出版</p> <p>定價：500元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%86%AB%E7%99%82%E9%9D%A9%E5%91%BD_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%BE%AE%E8%BB%9F.png" style="width: 120px;" /></p> <p><strong>彼得．李（Peter Lee）</strong></p> <p>微軟（Microsoft）研究和新創部門企業副總裁（Corporate VP for Research and Incubations），主管微軟在全球各地的研究實驗室。在過去的六年中，他一直投入於AI在醫療保健和生命科學方面的應用。他曾領導美國國防高等研究計劃署（DARPA）的資訊工程計畫，並擔任卡內基梅隆大學資訊工程系主任。<a href="https://www.microsoft.com/en-us/research/people/petelee/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%86%AB%E7%99%82%E9%9D%A9%E5%91%BD_%E5%9C%963_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Carey%20Goldberg.png" style="width: 120px;" /></p> <p><strong>凱莉．戈柏（Carey Goldberg）</strong></p> <p>一位長期從事醫學和科學新聞的記者，報導主題從醫療保健費用到基因研究不等。她曾經在《紐約時報》、《洛杉磯時報》、《波士頓環球報》、WBUR/NPR以及彭博新聞任職。<a href="https://twitter.com/goldbergcarey" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Carey Goldberg</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%86%AB%E7%99%82%E9%9D%A9%E5%91%BD_%E5%9C%964_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%93%88%E4%BD%9B%E5%A4%A7%E5%AD%B8.png" style="width: 120px;" /></p> <p><strong>艾薩克．柯漢（Isaac Kohane）</strong></p> <p>哈佛醫學院生物資訊學系的創系主任，自一九九〇年代開始就一直致力於醫療人工智慧的研究。他致力於以機械智能幫助醫生工作得更有效率，也更有成就感。<a href="https://dbmi.hms.harvard.edu/people/isaac-kohane" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_哈佛大學</span></span></a></p> </div></div></div>
2023/9/15 12:00未署名https://www.ithome.com.tw/article/158694
【從基本的擴展記憶體到進階的記憶體池】從概念驗證邁向實用的CXL產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1147-feng_mian_-1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>整整一年前，我們率先報導作為記憶體互連技術共通標準的CXL（Compute Express Link）協定，在2022年9月的<a href="https://www.ithome.com.tw/article/153369" target="_blank"><span style="color:#3366ff;">封面故事《CXL帶動伺服器運算架構革命》</span></a>，以系統化的方式介紹起源與發展，基本的運作與應用架構，以及第一波問世的產品與解決方案，現在CXL領域又累積不少新進展。</p> <p>首先，2023年下半的此刻，CXL終於初步形成完整的應用環境。其次，從元件層級到系統層級，CXL都有更多廠商投入發展，形成2種主要產品形式。</p> <p><strong><span style="color:#B22222;">完整應用環境初步成形</span></strong></p> <p>CXL的根本目的，是以高速傳輸通道為基礎，建立跨處理器的記憶體互連與共享存取架構，打破伺服器處理器與記憶體之間的綑綁，從而解決當前伺服器記憶體應用的兩大瓶頸——處理器可用的記憶體頻寬增長受限，以及記憶體資源利用率的低落。</p> <p>所以，CXL應用涉及伺服器端，以及CXL記憶體產品與解決方案端，有兩大層面。過去2年，有許多廠商發表CXL相關元件、產品，以及成套解決方案。但有個關卡嚴重影響CXL發展：由於Intel、AMD這兩家處理器廠商的拖延，導致伺服器端遲遲未能實際支援CXL協定，以致無法形成完整CXL應用環境。</p> <p>直到2022年底到2023年初，終於迎來轉機，因為此時AMD發表第四代EPYC（代號Genoa），Intel發表第四代Xeon Scalable（代號Sapphire Rapids），隨著兩大新款處理器平臺正式推出，終於將CXL帶到伺服器端，補上CXL應用環境缺失的環節。</p> <p><strong><span style="color:#B22222;">更豐富的CXL產品廠商生態</span></strong></p> <p>經過2年多的發展，CXL從元件到系統層級的生態擴展到二十多家廠商，已經相當完整與豐富。</p> <p>元件層級的晶片供應商與設計商，有Astera Labs、Cadence、 Marvell、Microchip、Rambus、Synopsys、Montage Technology、Mobiveil、 SmartDV、Xconn等，發表CXL應用涉及的CXL控制器（Controller）、定時器（Retimers）、交換器（Switch）產品。</p> <p>系統層級，目前有三星、SK Hynix、美光，Astera Labs，以及臺灣的世邁科技（SMART Modular Technologies），推出擴展記憶體類型的CXL產品。另外，還有Elastics.cloud、IntelliProp、UnifabriX、SK hynix、三星/ H3 Platform、Panmnesia，發表或展示記憶體池類型的CXL解決方案。</p> <p><span style="font-size:28px;"><strong>CXL產品的兩大主流類型</strong></span></p> <p>CXL協定目前定義3種周邊裝置應用型態，Type 1是CPU向周邊裝置分享記憶體，Type 2是CPU與周邊裝置相互共享記憶體，Type 3是周邊裝置向CPU分享記憶體。</p> <p>然而，面對伺服器記憶體應用的2大訴求：提高伺服器記憶體的可用頻寬與容量，以及提高記憶體利用率與配置彈性，CXL的產品應用發展目前聚焦在Type 3，並形成2大主要的產品類型：「記憶體擴充模組」與「記憶體池」。</p> <p><span style="color:#B22222;"><strong>CXL記憶體擴充模組</strong></span></p> <p>這是搭載DRAM記憶體與CXL控制器的PCIe裝置，通常採用E3.S模組外形或PCIe板卡型態，分別透過伺服器的E3.S磁碟槽或PCIe擴充槽來安裝與部署。</p> <p>CXL記憶體擴充模組是針對伺服器單機環境應用，目的是打破主機板DIMM通道對CPU記憶體資源造成的制約，讓CPU在既有DIMM記憶體之外，透過PCIe介面獲得額外記憶體容量與頻寬。</p> <p>透過較早推出的CXL 1.1協定，就能支援CXL擴展記憶體模組的基本運作，所以，理論上支援CXL 1.1的處理器平臺，如搭配Intel Sapphire Rapids與AMD Genoa的伺服器，若有連接器韌體、作業系統軟體與驅動程式的配合，就能使用CXL擴展記憶體模組。</p> <p>不過在CXL 1.1下，CXL擴展記憶模組與伺服器CPU之間，只能一對一連接，須透過CXL 2.0，才能支援擴展記憶體模組與CPU之間的多對多彈性連接。</p> <p>目前已發表的CXL記憶體擴充模組，基本上都能支援CXL 2.0規格，但是，在伺服器端，必須等到下一代處理器平臺，如預定於2024年發表的Intel第五代Xeon處理器平臺，才會支援CXL 2.0。</p> <p><span style="color:#B22222;"><strong>CXL記憶體池</strong></span></p> <p>這是獨立的外部記憶體共享裝置，本體是搭載大量DRAM記憶體的機箱，可透過CXL交換器的中介與連接，向多臺伺服器提供記憶體資源。</p> <p>基本上，須透過CXL 2.0或3.0協定，才能支援CXL記憶體池這種經由交換器的跨伺服器記憶體共享。由於現今市售伺服器平臺只能支援到CXL 1.1，無法應用這類記憶體池裝置，所以，目前CXL記憶體池解決方案展示，大多需要透過各廠商專屬配接卡（Adaptor）的中介。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-1-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%B8%89%E6%98%9F-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>CXL記憶體擴充模組基本型態</strong></span></span><br /> <span style="color: rgb(105, 105, 105);"><strong>CXL記憶體擴充模組是內含記憶體的PCIe裝置，上圖為三星的CXL記憶體擴充模組解剖，由DDR5 DRAM與CXL控制器組成，包裝在E3.S 2T外型規格的模組內。透過CXL控制器的中介，將DDR5記憶體經由PCIe介面配置給伺服器使用。</strong><span style="font-size: 14px;">圖片來源／三星</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-1-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20H3%20Platform-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>CXL記憶體池裝置基本組態</strong></span></span><br /> <span style="color: rgb(105, 105, 105);"><strong>記憶體池是一種獨立的外部記憶體機箱，有些廠商稱為JBOM，機箱內安裝多組DRAM記憶體模組，構成龐大的記憶體資源池，透過纜線與CXL交換器的介接，多臺伺服器主機可共用這組記憶體資源池。</strong><span style="font-size: 14px;">圖片來源／H3 Platform</span></span></p> <p><span style="font-size:28px;"><strong>2024年有機會開啟下個階段轉折</strong></span></p> <p>就目前來看，CXL記憶體擴充模組的應用環境已經備妥，至少有5、6家廠商推出CXL記憶體擴充模組產品，雖然當前伺服器只能支援CXL 1.1，限制CXL記憶體擴充模組的使用彈性，但基本上已經可以連接與運作。</p> <p>至於更靈活、完整的CXL記憶體擴充模組應用，則要等待支援CXL 2.0的下一代伺服器處理器平臺。</p> <p>而CXL記憶體池的普及，同樣要等到支援CXL 2.0的下一代伺服器處理器平臺、於2024年問世後，才能初步具備完整的應用環境。</p> <p>整體來看，目前仍然只是CXL應用的「黎明拂曉」階段，具備功能有限的初階應用能力，但完整、支援正式環境應用，最快可能要等到2024年才能具備，屆時將是CXL發展的下一階段轉折點。</p> <h2><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨界的CXL記憶體產品 </span></strong></span></span></h2> <p><strong>除了記憶體擴充模組與記憶體池等CXL主流產品形式，過去2年來還出現幾種「跨界」的CXL記憶體產品，其中最有意思的是這兩種：<br /> 首先，是三星在FMS 2022大會展出的Memory-Semantic SSD，是兼具NVMe-PCIe 5.0 SSD與CXL擴展記憶體的雙重模式產品，內含CXL控制器與8 GB DRAM，在標準的SSD模式下，8 GB DRAM作為NAND Flash記憶體的緩衝區使用，可大幅提高存取效能，而在CXL模式下，這8GB DRAM則可作為CXL擴展記憶體使用。<br /> 另一種產品，是SK Hynix在2022年底OCP全球大會，展出的運算型記憶體解決方案（Computational Memory Solution，CMS），在PCIe板卡搭載512 GB DRAM，以及可程式化運算單元，DRAM可用於扮演CXL擴展記憶體角色，運算單元則提供CPU卸載運算能力，訴求是在記憶體端就近完成部分運算工作，減少資料往返，加速應用程式的運作。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-1-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%20SK%20Hynix-PNG(2).png" style="width: 465px;" /></p> <p><strong style="color: rgb(105, 105, 105);">｜SK Hynix的CXL運算型記憶體｜SK Hynix在2022年10月OCP大會展出運算型記憶體（CMS）工程原型，卡上搭載512GB記憶體，可提供CXL擴展記憶體應用，另外還含有可程式化運算單元，可從伺服器CPU分攤部分運算工作。</strong><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SK Hynix</span></span></p> <p><a href="https://www.ithome.com.tw/article/158732" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1147-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=30qUWokT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cxl">CXL</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E4%BA%92%E9%80%A3%E6%8A%80%E8%A1%93">記憶體互連技術</a></div><div class="field-item even"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%93%B4%E5%85%85%E6%A8%A1%E7%B5%84">記憶體擴充模組</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B1%A0">記憶體池</a></div></div></div>
2023/9/15 12:00作者張明德https://www.ithome.com.tw/tech/158720
【CXL記憶體互連技術應用第1步】CXL記憶體擴充模組即將大爆發
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1147-feng_mian_-2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括CXL在內的記憶體互連技術，實際應用上最基本的兩大訴求，分別是提高伺服器CPU的記憶體資源，以及改善記憶體資源的使用率，對CXL而言，是透過「擴展記憶體」，以及「記憶體池」技術來因應。</p> <p>而在這2項技術中，擴展記憶體在單機環境便能實現，技術更簡易，應用架構也更為單純，因而發展也更為成熟。相較之下，記憶體池必須仰賴跨伺服器互連，才能實現。</p> <p>另一方面，在共享記憶體與記憶體池應用環境，擴展記憶體也能派上用場，能為記憶體池提供更多可用的記憶體資源，因而擴展記憶體也能視為CXL應用的起步或初階。</p> <p>而CXL的擴展記憶體應用，則是透過CXL記憶體擴充模組來實現。</p> <p>過去2年，有多家廠商發表用於擴展伺服器記憶體的CXL記憶體擴充模組，包括，記憶體大廠如三星、SK Hynix與美光，Astera Labs等新創廠商，同時，還有臺灣的世邁科技（SMART Modular Technologies），將進入實際上市階段。</p> <p>CXL記憶體擴充模組屬於CXL應用型態的Type 3類型，主要目的是將CXL記憶體擴充模組內含的記憶體資源，提供伺服器CPU使用，也就是由周邊裝置單向提供記憶體資源給CPU。</p> <p>而伺服器CPU則能藉此擺脫主機板記憶體DIMM插槽的限制，從CXL記憶體擴充卡獲得額外的記憶體頻寬與容量，通常可以額外擴充40、50%以上的記憶體頻寬與容量，效益十分顯著。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-2-600-1.png" style="width: 578px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>CXL記憶體擴充模組的2大主流類型</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>目前的CXL記憶體擴充模組產品有2大主流類型，一為採用E3.S模組規格，另一為基於AIC附加板卡規格<span style="font-size: 14px;">。</span></strong><span style="font-size: 14px;">圖片來源／三星、 Astera Labs</span></span></p> <p><span style="font-size:28px;"><strong>CXL記憶體擴充產品發展歷程</strong></span></p> <p>我們所知最早的CXL記憶體擴充模組產品，是三星2021年5月發表的CXL記憶體擴充模組，當時稱作CXL記憶體擴展器（CXL Memory Expander），採用E3.S外形規格，內含128GB容量的DDR5記憶體。</p> <p>接著在2021年12月舉行的SC 21大會，出現了一波CXL記憶體擴充卡風潮，當時Meta、三星、中國的晶片設計商Montage Technology（瀾起科技），都展出了CXL記憶體擴充模組產品或解決方案。</p> <p>作為社群網站龍頭的Meta，以及中國廠商瀾起科技，展出的是PCIe卡版形式的CXL記憶體卡。</p> <p>Meta採用的CXL記憶體卡內建64GB DDR5記憶體，可在Linux系統環境下，透過CXL 2.0協定連結Intel第四代Xeon Scalable處理器（Sapphire Rapids），將CXL記憶體卡內含的記憶體，映射為伺服器主機CPU可以使用的系統記憶體。</p> <p>Montage Technology展出POC原型，以 FPGA加速卡打造的CXL記憶體擴充卡，內含16 GB記憶體，可支援CXL.io與CXLmem協定，藉此讓CPU存取擴充卡上的記憶體。</p> <p>至於三星，展出整合CXL記憶體擴充裝置的SAP HANA記憶體資料庫平臺，可以透過CXL本身提供的擴充記憶體，大幅增加SAP HANA記憶體資料庫可用的記憶體資源，這也是我們所知最早的CXL記憶體擴充應用解決方案展示。</p> <p>其他廠商多半只是展示伺服器主機可以識別與抓取CXL記憶體擴充裝置上的DRAM容量而已，三星更進一步，將他們的CXL記憶體擴充裝置整合到資料庫應用平臺運作。</p> <p>到了2020年，又有更多廠商投入這個領域。行動最積極的仍是三星，先是在5月發表升級版的CXL記憶體擴充模組，最大容量提高4倍達到512GB，存取延遲也減少80%。接著在8月的FMS 2022大會，展出兼具NVMe SSD與CXL記憶體擴充模組雙重功能的特殊產品，名為Memory-Semantic SSD。</p> <p>另一記憶體大廠SK Hynix也在8月，跟進發表了CXL記憶體擴充模組產品，稱作CXL 2.0記憶體裝置（CXL 2.0 Memory），外形採用E3.S規格，每組可提供96 GB記憶體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SK%20Hynix-PNG.jpg" style="width: 569px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>CXL記憶體擴充模組的應用模式</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>CXL記憶體擴充模組的基本目的，是讓CPU在既有的DIMM之外，獲得額外的記憶體頻寬與容量。以上圖為例，單一CPU原本最多只能配置8個DIMM記憶體通道，而透過CXL技術，則能另外透過PCIe傳輸通道，安裝4組CXL記憶體擴充模組，讓CPU可用的記憶體容量與頻寬大幅增加了50%與40%。</strong><span style="font-size: 14px;">圖片來源／SK hynix</span></span></p> <p>同月，矽谷晶片設計商Astera Labs發表2款Leo系列CXL記憶體控制器晶片，搭配該公司Aurora A系列記憶體擴充板卡，上面可搭載最多2TB的DDR5記憶體，以CXL記憶體擴充卡的形式，作為CXL記憶體連接測試平臺。</p> <p>到了9月，臺灣的世邁科技發表E3.S規格的XMM CXL記憶體模組產品，有64GB與96GB兩種規格，接下來也會推出AIC卡板形式版本。</p> <p>10月底OCP全球大會SK Hynix展出特別的CXL記憶體衍生產品工程原型——運算型記憶體解決方案（Computational Memory Solution，CMS），這張工程原型的PCIe板卡，搭載了512GB記憶體與可程式化運算單元，不僅可為伺服器提供額外記憶體資源，還能在板卡就近執行資料處理作業，減少資料在CPU與記憶體之間的往返。</p> <p>緊接著在2022年11月舉行的SC22大會，前述這些CXL記憶體模組產品也展現進一步的應用整合成果。</p> <p>例如，以色列新創廠商UnifabriX展出2U機箱形式的CXL Smart Memory節點裝置，便可搭配三星或SK Hynix的E3.S規格CXL記憶體模組，是首波應用這類CXL記憶體模組的解決方案之一。</p> <p>臺灣伺服器廠商雲達科技（QCT）也有展示，他們以QuantaGrid D54Q-2U伺服器，搭配Astera Labs Leo CXL記憶體擴充卡，構成CXL應用展示平臺。</p> <p>時隔半年多以後，在今年8月舉行的FMS 2023大會中，接續出現一批CXL記憶體產品與應用解決方案。</p> <p>例如，美光（Micron）展出CZ120 CXL記憶體擴充模組，採用E3.S規格，可提供128GB或256GB容量，成為繼三星與SK Hynix之後，投入這個領域的記憶體大廠。</p> <p>而三星則以他們的256GB CXL記憶體擴充模組為基礎，與MemVerge、H3 Platform、XConn等廠商合作，推出CXL記憶體系統。</p> <p><span style="font-size:28px;"><strong>CXL記憶體擴充模組的基本型態</strong></span></p> <p>CXL記憶體擴充模組的組成，包括CXL控制器晶片，加上DRAM記憶體晶片，裡面的DRAM記憶體經由CXL控制器晶片的中介，經由PCIe介面與伺服器CPU連結。</p> <p>截至目前為止，總共有7家廠商都曾發表或展出CXL記憶體擴充模組，其中的Montage Technology與Meta，展出的產品都是內部開發測試用的工程原型，應該沒有對外銷售的打算；Astera Labs的CXL記憶體擴充卡，應該是提供其他廠商構建開發測試平臺之用，主要銷售對象並非一般用戶；至於三星、SK Hynix、美光與世邁科技的產品，則是面向一般用戶的產品。</p> <p>這些產品都採用一致的型態，待配套環境成熟、相容性問題解決後，理論上便能成為通用、可互換的規格，便於用戶視需要選購CXL記憶體擴充模組，以便在自身使用的伺服器搭配。</p> <p>接下來我們便從外型、容量與效能規格，來檢視這些第一代的CXL記憶體擴充模組產品。</p> <p><span style="color:#B22222;"><strong>外型規格</strong></span></p> <p>目前的CXL記憶體擴充模組，基本上都是採用2種外型規格，如果不是基於EDSFF E3.S模組型式，就是AIC（Add-In Card）附加板卡形式。</p> <p>不同的外形規格會影響安裝部署方式，E3.S模組的CXL記憶體擴充模組，和E3.S規格的SSD一樣，可安裝在伺服器磁碟槽使用。AIC板卡的產品，則是同於一般PCIe卡，安裝在伺服器的PCIe擴充插槽。</p> <p><span style="color:#B22222;"><strong>記憶體型式與容量</strong></span></p> <p>目前已發表的CXL記憶體擴充模組產品，全都是搭載DDR5記憶體，容量最小從64 GB起跳，最大可達2 TB。</p> <p>基於E3.S規格的產品，是直接將DRAM記憶體晶片嵌在模組的機板上。而採用AIC附加板卡的產品，則是在板卡配置DIMM插槽，然後將記憶體DIMM模組裝到插槽上。</p> <p>一般來說，採用AIC板卡的產品，可以憑藉本身有較大尺寸的空間，而設置、提供更大的記憶體容量，不過這也要視廠商採用的記憶體顆粒容量而定。</p> <p>目前採用E3.S規格的產品中，容量最大的是三星的CXL記憶體擴充模組，最大容量達512 GB。AIC板卡規格的產品則能提供更大的記憶體容量，如Astera Labs的Aurora記憶體擴充板卡，可安裝最多2 TB DDR5記憶體。</p> <p><span style="color:#B22222;"><strong>傳輸介面</strong></span></p> <p>CXL協定是嫁接在PCIe 5.0/6.0的物理層的介面之上，目前的CXL記憶體擴充模組中，採用E3.S規格的產品，底層傳輸介面規格都是基於PCIe 5.0×8，而採用AIC附加板卡規格的產品，則有基於PCIe 5.0×16介面的案例，可提供更高的傳輸頻寬。</p> <p><span style="color:#B22222;"><strong>效能表現</strong></span></p> <p>CXL記憶體擴充模組的基本目的，讓伺服器突破既有DIMM插槽的限制，提高CPU的記憶體容量與傳輸頻寬。</p> <p>而在具體的數值規格方面，依不同廠商的產品與計算方式，安裝在伺服器上的CXL記憶體，能為伺服器每顆CPU提供的容量與頻寬增長比例，從20%到1倍都有。</p> <p>目前，我們看到SK Hynix特別列出了具體的計算方式。</p> <p>舉例來說，在目前的伺服器產品Z，每顆x86處理器最多配置8個DDR5記憶體通道，以及768 GB DRAM記憶體（8條96GB模組），記憶體傳輸頻寬介於260至320 GB/s。透過PCIe插槽安裝4組SK Hynix的CXL 2.0記憶體模組後，每個記憶體模組可提供96 GB記憶體，以及30至40 GB/s記憶體頻寬。因此，CPU配置的記憶體最大容量，可提高到1.15 TB（原有的768 GB記憶體，加上4組CXL記憶體擴充模組合計的384 GB），較原本提高將近50%，記憶體傳輸頻寬也提高到360至480GB/s，比起原本的組態提升了40％，效能增長的幅度可說十分顯著。</p> <p>相較於透過DIMM直連CPU的基本系統記憶體，CXL記憶體擴充模組是透過PCIe匯流排介面來連結CPU，因此，在效能與延遲方面面臨的折損，自然會讓用戶產生一些疑慮。</p> <p>不過，根據QCT在SC22大會展示內容，以伺服器搭配Astera Labs Leo CXL記憶體擴充卡所作的實測顯示，CXL擴充記憶體的效能，可以達到DIMM系統記憶體的95%左右；而在存取延遲方面，則與跨UPI/QPI通道存取另一處理器插槽所屬DIMM的延遲相當。</p> <p>也就是說，就單機系統的環境來說，儘管CXL記憶體擴充模組的效能比不上DIMM記憶體，但差距很小，在多數應用都不致成為問題。</p> <p><a href="https://www.ithome.com.tw/article/158732" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 102, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1147-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=30qUWokT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cxl">CXL</a></div><div class="field-item odd"><a href="/tags/cxl%E8%A8%98%E6%86%B6%E9%AB%94%E6%93%B4%E5%85%85%E6%A8%A1%E7%B5%84">CXL記憶體擴充模組</a></div></div></div>
2023/9/15 12:00作者張明德https://www.ithome.com.tw/tech/158722
【實現跨伺服器的記憶體資源按需共享】CXL記憶體應用的終極目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1147-feng_mian_-3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastics.cloud</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將多臺伺服器的記憶體連結起來，組成「網路化」的記憶體池，實現跨伺服器的記憶體資源共享，是CXL這類記憶體互連技術的最終目標，藉此可在多臺伺服器之間動態、按需分配記憶體資源，一舉解決伺服器記憶體資源受限，以及記憶體資源利用率等2大問題。</p> <p>除此之外，透過記憶體池的匯集，還能建構出超大規模的記憶體空間，達到數百TB、甚至PB等級的容量，進而極大幅度地減少資料移動需求，需要處理的資料能夠一直留在記憶體中，實現完全的In-Memory運算作業，顯著提高運算效能。</p> <p>不過，在實作與部署方面，比起透過最基本的CXL 1.1協定，在單機環境就能實現的記憶體共用與記憶體擴展，若要做到跨多臺伺服器運作的記憶體池，架構相對複雜許多，需要使用更高階的CXL 2.0或CXL 3.0協定，並結合更多的軟硬體控制元件，來建構與管理記憶體池，包括CXL控制器，CXL交換器，以及管理記憶體池的記憶體管理軟體等。</p> <p>在這些元件中，CXL控制器負責運行CXL協定，管理CXL周邊裝置DRAM記憶體與PCIe介面的連接，以及存取與資料傳輸；CXL交換器提供多個CPU主機與CXL記憶體周邊裝置的互連與管理；記憶體管理軟體則提供記憶體池的管理與配置功能，用於整合與分層管理記憶體池內具備不同延遲與效能的記憶體，動態向用戶端伺服器配置記憶體資源，且提供資料保護。</p> <p>所以，CXL記憶體池不是只靠單一元件或產品就能實現的應用，而必須借助包含多種元件與產品構成的解決方案來實現。</p> <p>因而比起已經趨於成熟，即將達到商品化上市階段的CXL記憶體擴充模組產品，CXL記憶體池的解決方案，發展進度相對較慢，目前仍在開發與驗證階段。儘管如此，迄今仍出現幾種頗具吸引力的CXL記憶體池解決方案。</p> <p><span style="font-size:28px;"><strong>第1波登場的CXL記憶體池方案</strong></span></p> <p>2021年12月舉行的SC 21大會，出現了第一批CXL記憶體池解決方案。</p> <p>首先，是專攻CXL互連技術應用的矽谷新創廠商Elastics.cloud，發表基於該公司專屬FPGA加速卡的CXL解決方案。這款產品內含32GB記憶體，安裝在伺服器PCIe擴充槽，主機CPU可透過CXL存取FPGA卡上的記憶體，構成CXL Type 3類型的當CXL記憶體擴充模組使用。</p> <p>安裝這種FPGA卡的伺服器，也能透過100GbE網路彼此互連，存取另一臺伺服器上的FPGA卡記憶體，等同於是跨伺服器組成記憶體池。</p> <p>Elastics.cloud宣稱他們是第1家實際展示CXL記憶體池概念驗證的廠商，初始POC組態只包含2臺伺服器，都安裝了FPGA卡，並透過DAC銅纜直接互連。該公司規劃中的完整的POC組態則包括4臺伺服器，並透過交換器互連，構成更大規模的CXL記憶體池。</p> <p>另一家先行廠商IntelliProp，則發表基於CXL Fabric Adaptor網路卡橋接（Bridge）解決方案，該公司在簡報提及的CXL記憶體池驗證環境，組成的架構，包含：IntelliProp專屬Sphnix CXL HBA卡、獨立的ZMM網路附加記憶體（Fabric Attached memory）裝置，連接網路附加記憶體的媒體盒交換器（Media Box），串聯媒體盒與主機的分散式交換器，再加上Arm處理器主機。</p> <p>在IntelliProp的架構下，可以將ZMM網路附加記憶體的DRAM，經由Sphnix CX HBA卡與交換器的介接，構成網路化的共享記憶體池，並配置給Arm主機使用，藉由媒體盒與分散式交換器構成的雙層交換連接架構，將能組成規模龐大的CXL記憶體池，並可透過IntelliProp的Fabric Manager軟體，來管理整個環境的網路連接。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-1%20(2).png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>早期的CXL記憶體池實際公開展示</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>Elastics.cloud在SC21大會中進行的CXL記憶體池展示，是這類解決方案最早的公開概念驗證之一。初始POC組態只用2臺伺服器，左邊是應用程式伺服器，右邊是記憶體池伺服器，都安裝Elastics.cloud專屬的FPGA CXL控制卡，透過100GbE DAC銅纜直連，實作跨伺服器的記憶體存取。完整的POC組態則會使用4臺伺服器，並透過交換器互連，組成更大規模的記憶體池應用架構。</strong><span style="font-size: 14px;">圖片來源／Elastics.cloud</span></span></p> <p><span style="font-size:28px;"><strong>第2波亮相的CXL記憶體池方案</strong></span></p> <p>2021年底出現的第1波CXL記憶體池解決方案，仍屬於概念驗證原型階段，距離能夠因應用戶需求的產品仍有一段差距。</p> <p>時隔一年後，在2022年中到2023年中出現的第2波CXL記憶體池解決方案，不僅更成熟，更接近商品化階段，也有更豐富的應用形態。</p> <p>首先是Liqid這家「可組合式系統」（Composable Systems）廠商，在其組合式基礎架構平臺中，納入CXL記憶體池的支援。</p> <p>所謂的可組合式系統，是徹底解構伺服器的CPU、GPU、FPGA、DRAM、SSD、網路等核心與周邊資源，然後，由Liqid的Matrix 可組合式非聚合基礎架構（Composable disaggregated infrastructure，CDI）平臺軟體，以軟體定義的方式，透過PCIe交換器，重新將這些資源組成動態的虛擬伺服器。除了Liqid自身外，Dell也將該公司的技術引進MX700組合式伺服器系統，迄今這個平臺已累積至少3、4年的應用實績。</p> <p>在CXL出現前，Liqid便自行發展記憶體池技術，可將DRAM與DIMM型態的Optane記憶體組成記憶體池，為組合式基礎架構提供靈活配置的記憶體資源。不過Liqid平臺核心的連結與傳輸架構，原本採用基於PCIe 4.0的交換器，後來基於PCIe 5.0的CXL問世後，Liqid也轉而支援這項通用標準，先在2022年5月的Dell Technologies World 2022大會期間，與Dell合作展出基於CXL的組合式記憶體池概念，又在2022年底與CXL硬體廠商Intelliprop合作進行公開展示。</p> <p>另一家崛起的業者，是成立於2020年的以色列新創公司UnifabriX，可說是跟著CXL一起誕生的廠商，他們在2022年底的SC22大會中，展出的CXL Smart Memory節點裝置，號稱是第1個支援CXL 3.0的記憶體池解決方案。</p> <p>CXL Smart Memory節點是一臺2U機架式伺服器裝置（該公司表示也有4U規格），核心是基於Intel Agilex FPGA打造的資源處理單元（Resource Processing Unit，RPU），機箱前端有10個EDSFF插槽，可安裝E3.S規格的CXL記憶體模組，機箱的後端則有2個400GbE埠，以及10個該公司專門發展的PCIe 5.0傳輸埠。</p> <p>這臺節點提供32TB，甚至128TB的大記憶體資源，作為其他伺服器使用的記憶體池，用戶端伺服器可透過專屬PCIe 5.0纜線，連結CXL Smart Memory節點，並透過UnifabriX的管理軟體，向用戶端伺服器配置記憶體資源。多臺CXL Smart Memory節點間也能彼此互連，組成更大規模的記憶體池</p> <p>接下來是成立於2020年的Enfabrica，在今年3月發表稱作Server Fabric Adapter（SFA）的PCIe/CXL交換器晶片，並以SFA晶片為核心，打造了模組化、可組合式的運算平臺，稱作加速運算網路（Accelerated Compute Fabric，ACF），以此提供運算、記憶體與網路資源的任意分解與組合能力，藉由PCIe/CXL介面，不僅記憶體資源能夠跨伺服器互連、形成共用資源，連CPU、GPU與網路資源都可以「資源池化」，概念與Liqid的可組合式基礎架構相似，但比起已有多年產品實際使用實績的Liqid，Enfabrica的ACF平臺相對仍在初期發展階段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-4.png" style="width: 374px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>可組合式架構下的記憶體池</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>Enfabrica以其專屬的S</strong></span><strong style="color: rgb(105, 105, 105);">F</strong><span style="color: rgb(105, 105, 105);"><strong>A PCIe/CXL交換器為核心，打造可組合式運算平臺ACF，不僅能提供資源池型式的記憶體，包括CPU、GPU與網路，也都能分別構成資源池，藉此提供運算、記憶體與網路資源的任意分解與組合能力。</strong><span style="font-size: 14px;">圖片來源／Enfabrica</span></span></p> <p>今年5月，SK Hynix與記憶體管理軟體廠商MemVerge展開合作，打造CXL記憶體池平臺，當時是在Project Endless Memory計畫的框架之下進行，以SK Hynix的Niagara記憶體池硬體，結合MemVerge的軟體。SK Hynix目前未公布這套平臺的細節規格，只提到可透過MemVerge軟體的彈性記憶體服務，動態在多臺伺服器間配置CXL記憶體資源。</p> <p>接下來在2023年8月舉行的FMS 2023大會，又出現2個新的CXL記憶體池解決方案。</p> <p>首先是三星、H3 Platform、MemVerge、XConn等廠商合作，共同展出2TB容量的CXL記憶體池解決方案，在1臺H3 Platform的2U伺服器上，安裝8組三星的256GB CXL記憶體擴充卡，可透過CDFP纜線，經由以XConn XC50256 CXL 2.0交換器晶片為核心的網路交換單元，連接8臺前端主機，並用MemVerge的Memory Machine X軟體，將這個2 TB記憶體池動態配置給這8臺主機使用。整體概念與SK Hynix的Project Endless Memory相同，也同樣都採用MemVerge的記憶體池管理軟體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>三星/MemVerge的CXL記憶體池方案</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>記憶體大廠三星與MemVerge等廠商合作，在FMS 2023大會展出2TB容量的CXL記憶體池。他們在H3 Platform的2U伺服器上安裝8組CXL記憶體模組，組成共享記憶體池，再利用XConn CXL 2.0交換器連結8臺前端主機，可利用MemVerge的記憶體管理軟體在8臺主機間動態第共享記憶體池資源。</strong><span style="font-size: 14px;">圖片來源／三星</span></span></p> <p>另一家韓國廠商Panmnesia在FMS 2023大會期間，展出容量達6TB的CXL記憶體池方案，底層技術是與位於韓國大田的韓國科學技術院（KAIST）合作開發，硬體採用模組化架構，包含2組CPU模組、3組CXL交換器模組，以及6組1TB記憶體DIMM模組，共同組成記憶體資源池。當中配套的軟體是在Linux運行，由CXL驅動程式、VM，以及專門針對CXL調整的應用程式組成。</p> <p><span style="font-size:28px;"><strong>CXL記憶體池初步的類型區分</strong></span></p> <p>檢視了過去兩年半以來出現的CXL記憶體池解決方案後，我們大致可以將這些解決方案區分為下列兩大類型。</p> <p>首先，是獨立的外部形式CXL記憶體池系統，透過一套外部記憶體池系統為用戶端伺服器提供CXL記憶體資源。目前絕大多數的CXL記憶體池解決方案，都是這種類型，又可細分為2種子類型：</p> <p>一是由通用伺服器設備搭配專屬CXL控制器卡而成的解決方案，例如，Elastics.cloud就是以專屬CXL控制器卡，將通用伺服器建構為提供記憶體資源的記憶體池伺服器。</p> <p>另一是專門打造的記憶體池裝置，有些廠商稱為JBOM記憶體機箱，如UnifabriX的CXL Smart Memory節點，SK Hynix的Project Endless Memory，以及三星的記憶體池系統等，都屬於這種類型，有些系統還採用了易於擴充的分散式或模組化架構，例如IntelliProp與Panmnesia的產品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1147-%E5%B0%81%E9%9D%A2-3-600-2.png" style="width: 550px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>典型的獨立外部CXL記憶體池裝置</strong></span><br /> <span style="color: rgb(105, 105, 105);"><strong>UnifabriX的CXL Smart Memory節點，是典型的獨立外部CXL記憶體池裝置，機箱本身除了有主機板內含的DIMM記憶體，還可透過機箱前方的EDSFF插槽安裝額外的CXL記憶體擴充模組，機箱背面則提供了10組專屬的PCIe 5直連埠，可透過專屬纜線來連結用戶端伺服器，為其提供記憶體資源。CXL Smart Memory節點之間也可彼此互連，擴大記憶體池規模。</strong><span style="font-size: 14px;">圖片來源／UnifabriX</span></span></p> <p>第2個類型是Liqid與Enfabrica，在更大的「可組合式基礎架構」框架下，去運用CXL記憶體池，在這個框架下，不僅記憶體被「資源池化」，包括CPU、GPU等運算資源，以及網路資源也都被「資源池化」，架構的規模已經超過CXL的範圍。</p> <p><a href="https://www.ithome.com.tw/article/158732" target="_blank"><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1147-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=30qUWokT" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cxl">CXL</a></div><div class="field-item odd"><a href="/tags/%E8%A8%98%E6%86%B6%E9%AB%94%E6%B1%A0">記憶體池</a></div></div></div>
2023/9/15 12:00作者張明德https://www.ithome.com.tw/tech/158730
公部門帶頭安全使用AI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年AI議題持續成為最大焦點，近期國內外的公部門有兩大資安政策，是我們特別關注的重點，包括：（一）政府針對生成式AI帶來的風險，提出對公部門的正式規範文件，<a href="https://www.ithome.com.tw/news/158533" target="_blank">8月底通過「行政院及所屬機關使用生成式AI參考指引」草案</a>；（二）政府帶頭鼓勵用AI改善資安，美國白宮在全球重要資安大會Black Hat USA宣布，<a href="https://www.ithome.com.tw/news/158234" target="_blank">啟動AI Cyber Challenge（AIxCC）駭客大賽</a>。</p> <p>隨著生成式AI與大型語言模型（LLM）的持續演進，由於這類應用具有提高生產力與效率的潛力，因此成為各界備受看好的技術潮流，然而，其引發的資安風險也不斷成為話題。</p> <p>在推動負責任的AI之餘，安全使用AI也是現今重點。一兩個月前，英國、澳洲政府都提出公務員使用生成式AI指南，到了8月底，我國通過「行政院及所屬機關使用生成式AI參考指引」草案，參考其他國家作法之餘，並請國內多方專家共同擬定而成，希望促進其他機關參考，也能訂定自己的管理規範。</p> <p>為何我們需要建立對生成式AI的正確觀念？例如，若是將公司或個人的敏感資料用於與公眾型的AI服務互動，大家在與AI互動過程所輸入的各種內容，有可能會被不負責任的AI服務蒐集，用於機器學習訓練，而且，可能沒有人保證這些資訊是否間接提供其他用戶參閱，恐怕引發資料外洩風險。</p> <p>根據各界實際測試經驗，我們可看出現階段生成式AI能力雖然比過去進步不少，已到達堪用的程度，可以給出更準確的答案，但仍有不低的機率會給出錯誤的內容，因此仍處於必須持續改善的階段，有很多問題與狀況需要持續檢討與調校。</p> <p>無論如何，我們必須理解AI的優勢和應用價值，同時也要理解其面臨的挑戰與限制，因此，對於AI產出的資訊，使用者在探索其適合的應用場景時，仍需要進一步確認是否合乎自身需求，不能盲目信任，畢竟AI無法負責，只有人能負責。</p> <p>這就像在網路上使用搜尋引擎，我們必須辨別資訊是否有用、正確，使用生成式AI也是如此，雖然不再需要在一大堆搜尋結果找到合適的內容，對話與互動感更強烈，但我們實際應用時要秉持的核心精神是共通的，那就是需由人來把關與判定。</p> <p>另一個重點，就是各國正在發展AI資安應用，希望用AI打造能辨識、修補關鍵基礎設施安全漏洞的解決方案，而且政府支持力量越來越大。例如，美國白宮8月宣布啟動為期兩年的AI Cyber Challenge（AIxCC）競賽，由國防高等研究計劃署（DARPA）主辦，祭出2千萬美元的總獎金，重點放在改革美國關鍵國家基礎設施與軟體供應鏈安全。</p> <p>此消息亦受其他國家關注，8月底資安院舉辦2023臺灣資安人才培力研究報告研討會，也有專家特別談及此議題。</p> <p>中央研究院資訊科技創新研究中心研究員兼資通安全專題中心執行長李育杰表示，先前臺灣AI行動方案2.0規畫時，特別提到希望用AI來解決國家社會面臨的問題，因為人力不足就是其中一項挑戰，尤其是資安領域，因此，希望透過擴大基礎課程培訓之下，若透過AI打造更多的工具，將讓有能力的資安人員可以借助這些AI工具，就可以一個人完成更多事情。</p> <p>曾帶領HITCON CTF 駭客戰隊領隊，現為聯發科技資深經理的李倫銓，在這場活動的演說也指出，美國DARPA在2013年發起CGC漏洞自動攻防比賽，當時是有鑑於漏洞迭代率太大，單靠有限的人力去解決是不夠的，所以發起這項活動。因此，每個隊伍要研發出一臺CRS網路推理決策系統的機器人，設法找出軟體漏洞、修補軟體問題、分析攻擊，並且自動產生防禦機制等。</p> <p>基本上，當時的自動化漏洞挖掘，主要是靠Fuzz模糊測試，現在2023年美國DARPA主辦AIxCC競賽，則是靠AI，並聚焦在關鍵基礎設施如電力網路的漏洞檢測與修補，以及開源軟體安全。</p> <p>無論如何，AI對資安帶來新挑戰，也衍生前所未有的機會，國際最新發展動向也將是臺灣可借鏡與思考的，我們必須關注後續發展，發揚技術優勢，並積極參與各種合作。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai">AI</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E8%A1%8C%E6%94%BF%E9%99%A2">行政院</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai%E5%8F%83%E8%80%83%E6%8C%87%E5%BC%95">生成式AI參考指引</a></div><div class="field-item even"><a href="/tags/ai-cyber-challenge">AI Cyber Challenge</a></div><div class="field-item odd"><a href="/tags/aixcc">AIxCC</a></div><div class="field-item even"><a href="/tags/%E7%BE%8E%E5%9C%8B">美國</a></div></div></div>
2023/9/15 12:00作者羅正漢https://www.ithome.com.tw/voice/158731
CXL記憶體邁向實用階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1147-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=30qUWokT" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器記憶體應用迎來重大變革，為克服頻寬增長受限與低利用率這兩大瓶頸，Intel領軍推動的CXL（Compute Express Link）記憶體互連技術迅速發展。其中最基本的記憶體擴充模組產品已趨於成熟，進階的記憶體池應用也出現多種解決方案，很快就能進入實際環境</p> </div></div></div>
2023/9/15 12:00作者張明德https://www.ithome.com.tw/article/158732
微軟計畫讓Bing Chat輸入字元上限翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟計畫讓個人版及企業版Bing Chat聊天機器人的查詢輸入字元上限，由現行的4,000字提高一倍來到8,000字元。</p> <p>Bing Chat今年初推出時，一開始只要回覆問題超過15次就會表現出異常行為，像是和用戶衝突或出現過激語氣，<a href="https://www.ithome.com.tw/news/155591" target="_blank">迫使微軟很快就縮減</a>用戶問答次數及輸入字元數。隨著它表現穩定後，<a href="https://www.ithome.com.tw/news/155752" target="_blank">微軟逐步放寬</a>Bing Chat和用戶對談輸入內容。目前Windows用戶一次可向Bing Chat詢問20個問題，以及4,000字元。7月上線的企業版Bing Chat也具有相同限制。</p> <p><a href="https://twitter.com/MParakhin/status/1701655628085879273" target="_blank">本周微軟搜尋部門Mikhail Parakhin回覆</a>一名Bing Chat企業版用戶的要求時，表示微軟計畫擴增Windows消費版及企業版Bing Chat的輸入字元上限，由4,000字元增加為8,000字元（Chrome版Bing Chat輸入上限則是2,000字元），但是得再等一段時日。原因是演算法會造成context空間需求以次方增加，因此字元擴增為2倍會讓Bing Chat營運成本增加為4倍。</p> <p>雖然微軟絕對會實踐其承諾，但現實是營運聊天機器人相當耗資源。營運AI聊天機器人的伺服器不但相當耗能，也牽涉更高的冷卻成本；根據<a href="https://fortune.com/2023/09/09/ai-chatgpt-usage-fuels-spike-in-microsoft-water-consumption/" target="_blank">《財星雜誌》</a>引述一份加州大學研究指出，使用者在微軟Bing Chat或ChatGPT等聊天機器人每次查詢一次散發的伺服器熱氣，都耗掉1瓶水。微軟的資料顯示，由於AI系統使用量大增，導致該公司2022年全球資料中心用水量比前一年激增34%。</p> <p>這些龐大開支對新創公司更是一大考驗。<a href="https://www.ithome.com.tw/news/158327" target="_blank">研究機構估計</a>OpenAI的ChatGPT一天營運成本高達70萬美元，要不是有微軟的資金挹注，可能明年就會破產。</p> </div></div></div>
2023/9/15 12:48作者林妍溱https://www.ithome.com.tw/news/158765
政府零信任架構推動現況大公開，優先導入ZTA身分鑑別有其必要性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對網路安全零信任轉型的浪潮，臺灣政府相當積極，在2022年7月，國家資通安全研究院（資安院）公布政府零信任架構，預計分成三年三階段，建構決策引擎的三大關鍵核心：「身分鑑別」、「設備鑑別」、「信任推斷」，推動商用產品投入發展，以利後續機關導入。</p> <p>經歷了這一年多來的發展，通過「身分鑑別」功能性符合性驗證的產品與方案，已從先前2項增至12項，在「設備鑑別」功能性符合性驗證上，也即將有首個產品方案通過，為了瞭解目前的推動情況，我們詢問資安院這方面進展，以及零信任架構如何考量與規畫，他們也提供正式回覆。接下來，讓我們透過5個問答的互動形式，快速掌握政府推動零信任的目的與最新成果。</p> <h3><span style="color:#B22222;"><strong>問題1：</strong></span><span style="color:#A52A2A;"><strong>為何推動政府零信任架構從「身分鑑別」開始做起？採取資源門戶部署方式的考量是？</strong></span></h3> <p><strong>答：</strong>身分鑑別是控管網路資源存取權限的核心要求，若沒有身分鑑別，就無法確認連線來源方是否有足夠權限，可以存取網路資源。此外，在美國NIST SP 800-207標準文件，也建議身分鑑別為零信任架構導入的優先階段，因此優先導入ZTA身分鑑別機制，有其必要性。</p> <p>關於採取資源門戶部署（Resource Portal-Based Deployment）方式的考量，亦源自於參考NIST SP 800-207的建議，透過資源門戶部署驅動持續性的驗證。在導入試行上，相對於大規模全面導入，以特定機關資通系統作為資源門戶部署範圍，在導入ZTA初期是比較可行的，建立模式後，也會易於複製與擴散。</p> <h3><strong><span style="color:#B22222;">問題2：政府零信任架構身分鑑別功能符合性驗證的檢核，有哪些重點？</span></strong></h3> <p><strong>答：</strong>以政府零信任架構整體的檢核內容而言，包括6大重點面向，分別是：</p> <p>●零信任架構（零信任架構核心組件、零信任架構部署方式）</p> <p>●決策引擎（零信任架構決策引擎安全通訊）</p> <p>●身分鑑別（身分鑑別系統部署、身分保證等級、鑑別保證等級）</p> <p>●決策控制（零信任架構決策控制功能、聯邦保證等級）</p> <p>●存取閘道（存取閘道功能、存取閘道全通訊）</p> <p>●資通系統（資通系統存取控制）</p> <p>身分鑑別符合性驗證是最基本的功能性項目驗證，涵蓋零信任架構中、身分鑑別的核心功能與要求，並且適用於不同的產品與廠商，其驗證目的是確保廠商提供的產品，能滿足政府零信任架構的基本需求與規範，並且可以與政府現有的資安系統和基礎架構相容和整合。</p> <p>而在驗證的過程中，無論是本土或是外商的產品，或多或少都有一些項目在一開始不符合驗證要求，如帳號須與機關現有AD同步、存取閘道須有反向代理功能等，經過彼此討論後，通過驗證的產品均完成相關修正。</p> <h3><span style="color:#B22222;"><strong>問題3：目前零信任推動的進展？以及是否達到一定成效？</strong></span></h3> <p><strong>答：</strong>現階段，關於導入零信任架構身分鑑別的機關，將以完成導入T-Road的A級公務機關為優先，目前正由數位發展部數位政府司進行推動。</p> <p>在今年進度上，預定將完成2機關導入設備鑑別機制外，以及訂定出信任推斷功能符合性驗證的檢核表。</p> <p>另一方面，在政府推動商用產品投入發展的最新進度上，單以身分鑑別這個領域而言，在8月底公布了11家廠商的解決方案通過驗證，9月又有匯智安全的方案通過，之後仍有許多廠商持續送驗中。</p> <p>廠商在產品送驗的過程中，不僅可以參照資安院給予的建議確認系統核心功能的完善與易用性，數位部在推動機關導入ZTA方案的相關說明會議，也會對A級機關宣導優先採用通過驗證的產品。</p> <p>目前評估上，由於廠商在送驗過整中，對其市場布局、跨域合作及促進研發皆是有幫助的，因此，資安院認為，應有初步達到促進國內外廠商發展零信任網路資安產業鏈的目標。</p> <h3><span style="color:#B22222;"><strong>問題4：後續發展「設備鑑別」、「信任推斷」解決方案的廠商多嗎？</strong></span></h3> <p><strong>答：</strong>今年3月，資安院為了掌握廠商在各階段的發展現況，辦理「推動政府機關導入零信任網路資安防護調查」，當中抽樣調查40家廠商。</p> <p>首先，以第一階段的身分鑑別而言，當時表示參與的34家廠商中，有8家已通過驗證，有9家已送資安院驗證中，還有8家也預計今年送驗。</p> <p>以第二階段的設備鑑別而言，有33家廠商回覆調查，其中19家表示會在今年送驗，比例為57%；以第三階段的信任推斷而言，在33家廠商回覆調查，其中25家表達有意發展相關機制並參與資安院驗證，比例為84%。</p> <p>更進一步來看，確實有廠商在推動辦法公告後，因為本身產品無身分鑑別技術核心，便開始積極聯盟協力廠商，發展政府零信任架構的整合解決方案。</p> <p>從整體趨勢觀測而言，資安院發現，客戶的關注度逐漸提升，廠商積極準備的態勢明顯。這表示，零信任的推動，除了能促進廠商跨域合作，更能加速研發與技術整合，最終的獲益者便是買方端，以政府領域而言，藉由完備市場ZTA解決方案成熟度，有利於機關逐步試行導入ZTA，進而完善政府網際服務網防禦深廣度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%B3%87%E5%AE%89%E9%99%A2%E8%AA%BF%E6%9F%A5%E5%BB%A0%E5%95%86%E9%9B%B6%E4%BF%A1%E4%BB%BB%E4%B8%89%E5%A4%A7%E6%A0%B8%E5%BF%83%E7%99%BC%E5%B1%95%E7%A8%8B%E5%BA%A6_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%B3%87%E5%AE%89%E9%99%A2.png" style="width: 600px;" /></p> <p>（圖片來源／國家資通安全研究院）</p> <h3><strong><span style="color:#B22222;">問題5：我國政府零信任架構的設計，與美國CISA與DOD的設計有何不同？</span></strong></h3> <p><strong>答：</strong>我國零信任架構的設計，主要從產品的三大關鍵核心技術「身分鑑別」、「設備鑑別」及「信任推斷」出發，以美國NIST SP 800-207資源門戶存取情境來驅動驗證相關核心元件的檢核項目，主要在要求零信任架構的功能基準（Baseline）。</p> <p>而美國政府推動零信任的5大面向（識別、裝置、網路、應用程式、資料），以及美國國防部推動的7大面向（用戶、裝置、應用程式與工作流、資料、網路與環境、自動化與協作、可視性與分析），則是以單位導入零信任時應考慮的面向出發。</p> <p>綜觀我國與美國政府的推動方式，雖然出發點不同，但相輔相成，而且可以互相對應。舉例來說，與美國國防部的7大面向對照，身分鑑別可對應至用戶，設備鑑別可對應至裝置，信任推斷可對應至可視性與分析、零信任架構的決策引擎可對應至自動化與協作、零信任架構的存取閘道可對應至網路與環境，而整個零信任架構所採取的資源門戶存取方式就是用來保護應用程式與資料。</p> <p>此外，對於應用程式與資料本身的安全性，我國也訂有資通安全管理法等相關法規要求保護其安全性。</p> <p> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong><span style="background-color:#FFFF00;">臺灣政府推動零信任的挑戰</span></strong></span></h2> <p>從上述資安院的回應中，我們的確更瞭解到目前政府零信任的考量，以及2023年的最新進展。</p> <p>不過，在這樣的發展過程中，還是有些議題受外界關注。舉例來說，以設備鑑別的要求來看，去年揭露的內容提到，主要基於TPM的設備鑑別方法，今年6月則改為透過TPM或Agent產生金鑰與憑證，完成設備註冊與鑑別。看起來，從早期規畫到實際驗證也是一直在調整，或許這樣的情形是持續發生，畢竟我們很難一開始就設定完美的架構。</p> <p>再者，關於上述問題2的答覆中，提到身分鑑別一項包含3個部分：在身分鑑別系統部署方面，有5個必要驗證項目，在身分保證等級（IAL）方面，有1個選項驗證項目，而在鑑別器保證等級（AAL）方面，有2個必要驗證項目。</p> <p>然而，依據資安院規畫，¬¬政府機關導入零信任架構應至少達到IAL2/AAL3，但IAL方面的驗證卻非是必要的要求，這也容易讓外界感到困惑。</p> <p>至於未來發展上，由於目前要建構決策引擎，順序是3大核心一項一項進行，因此後續的相容性與整合，更是受關注的焦點。</p> <p>甚至未來公開金鑰基礎架構要升級，PQC後量子密碼學演算法的更換，是否也要先行納入考量等，也都是需要密切關注的面向。</p> </div></div></div>
2023/9/15 11:40作者羅正漢https://www.ithome.com.tw/news/158757
Amazon運用生成式AI助賣家自動化產生商品標題、描述
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商龍頭Amazon運用生成式人工智慧<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool">強化賣家功能</a>，商品列表創建和管理將更簡單。人工智慧現在會協助賣家生成更吸引人的產品描述、標題和產品詳細資訊，而這將能夠減輕賣家上架產品的工作，在網路商店陳列更多的商品。</p> <p>Amazon提到，買家撰寫商品標題和描述是一大工作量。而新功能運用可以辨識、總結、翻譯和生成文字的大型語言模型，協助賣家快速編寫更全面的商品描述。賣家只需要提供幾個單字，或是簡單描述商品的句子，人工智慧便會自動生成高品質的內容，供賣家直接使用或是進行後續調整。</p> <p>過去，Amazon就已經利用機器學習和深度學習技術，自動擷取和產生豐富的產品資訊。不過這個新功能，使用了Amazon新訓練的生成式人工智慧模型，輸出的品質、效能和效率都更好，官方提到，這個模型學習自不同資料來源、潛在知識和邏輯推理以推論產品資訊，像是賣家在規格列出直徑，模型就可以推斷桌子是圓形的，或是可以從圖像中推斷襯衫領子的樣式。</p> <p>生成式人工智慧功能，除了可以節省賣家編寫文案的時間外，也能夠更全面地描述商品資訊，如有助於改善買家的購物體驗。</p> </div></div></div>
2023/9/15 08:27作者李建興https://www.ithome.com.tw/news/158743
JFrog支援機器學習模型管理，強化AI應用開發安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DevOps工具廠商JFrog在其解決方案中整合<a href="https://jfrog.com/blog/jfrog-brings-devops-best-practices-to-ml-development/">機器學習模型管理功能</a>，除了以更安全地方式管理機器學習模型之外，也講求在整個軟體開發生命周期中順暢使用這些模型，使企業能夠將機器學習模型融入既有的開發流程。這項功能現在於JFrog SaaS實例中開放測試。</p> <p>隨著人工智慧應用蓬勃發展，JFrog表示，驅動人工智慧應用背後的模型，實際上是另一種需要保護、管理、追蹤和部署的程式碼。機器模型就如同其他二進位檔案一樣，需要有嚴格的安全措施和管理策略。模型可能涉及敏感資料，因此確保不被篡改或是不當使用變得相當重要，JFrog的工具還能夠檢查模型的授權問題，確保模型不違反企業政策。</p> <p>JFrog用戶可使用通用構件儲存庫Artifactory管理專有模型，並且要從Hugging Face下載或是存取第三方模型時，可透過JFrog系統執行，而不需要直接從Hugging Face下載，如此能夠以一個中央管理的方式，確保模型的安全、追蹤和版本管理。</p> <p>當模型進入Artifactory之後，用戶便可以將其打包進不可篡改的Release Bundles中，作為軟體釋出與發布使用。而且JFrog Xray安全功能會遵循企業批准的授權，阻擋沒有明確授權定義的模型下載，確保開發過程中使用的資源全部合法且符合企業政策，系統同時也能夠偵測並阻擋惡意模型。</p> <p>總結來說，機器學習模型管理功能，能夠透過單一位置管理所有軟體的二進位檔案，同時將DevOps最佳安全實踐帶入模型開發中，使用戶能夠確保機器學習模型的完整性和安全性。</p> </div></div></div>
2023/9/15 08:29作者李建興https://www.ithome.com.tw/news/158751
JetBrains推Rust開發專用IDE RustRover
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains發表了專為Rust設計的IDE RustRover，各種開發功能一應俱全，現在開放申請早期存取。官方提到，之後公開預覽階段將免費供開發者測試使用，並預計會在2024年9月前發布RustRover。</p> <p>由於JetBrains所開發的Rust擴充套件用戶數持續成長，對新功能的需求也越來越多，因此他們決定擴大對Rust的投資，開發一個專用的IDE，提供更多Rust開發功能。</p> <p>RustRover擁有許多智慧功能，包括程式碼生成、即時分析與智慧重構等，可以自動完成程式碼中的相關名稱，像是遺漏的欄位、模組和方法，而即時模板功能則可以讓開發者快速生成典型的程式碼結構，提高開發者撰寫程式碼的效率，不必一再重複輸入經常用到的程式碼結構。RustRover有一套檢查程序，能夠檢查開發者的程式碼，找出有問題的地方並且提供自動修復方法，還可以對整個程式碼庫進行重構。</p> <p>RustRover良好地支援Rust程式碼執行，可進行測試、除錯、效能測量與分析，或是針對不同平臺進行開發，開發者可以選擇執行單一測試、測試模組或是專案中的所有測試，當測試發生問題時，RustRover能夠連接出錯的程式碼，協助開發者定位並解決問題。</p> <p>同時，RustRover與Rust的官方套件管理器Cargo整合，並提供輔助工具讓開發者方便編輯TOML檔案和管理工作空間，使Rust開發流程更為順暢。由於JetBrains定位RustRover為一個全面的開發工具，因此也支援網路應用程式開發、HTTP測試、Docker管理，甚至是資料庫操作和前端整合，開發者在RustRover中就可完成各種任務。</p> <p>RustRover在團隊開發方面，提供即時程式開發、專案配置共享等功能，並且也與Git和GitHub深度整合，開發團隊可以在RustRover上高效協作。</p> <p>之前的Rust擴充套件現在已經成為了RustRover的一部分，官方提到，該擴充套件會繼續維持開源，並且在GitHub和JetBrains Marketplace上供免費下載。主要的開發資源還是會投入到RustRover中，JetBrains會維持Rust擴充套件與最新IDE相容，但不會修復和添加新功能。與JetBrains其他語言IDE一樣，RustRover的功能也可作為擴充套件，安裝在IntelliJ IDEA Ultimate中。</p> <p>JetBrains展現押注Rust生態系的決心，除了推出專用IDE，還宣布加入Rust基金會，在社群中貢獻，並影響Rust的發展。</p> </div></div></div>
2023/9/15 08:32作者李建興https://www.ithome.com.tw/news/158754
Aruba SD-WAN產品未來發展下一步，整合資安與AI是關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SD-WAN作為一個軟體定義廣域網路技術，已是許多大型企業提供分支辦公室連線的主要做法，不過，因應近幾年企業上雲與資安要求，使得SD-WAN發展出現了不一樣的轉變，Aruba SD-WAN全球銷售總經理Patrick Gilbreath就表示，Aruba SD-WAN產品未來發展策略，整合資安與AI是關鍵，尤其在企業上雲旅程中，需要緊密結合資安，以便能夠在單一客戶端中同時實現網路和安全性，此外，未來還能結合AI技術，實現對不同網路環境變化的學習和適應。</p> <p>Patrick曾在SD-WAN公司Silver Peak擔任全球銷售副總，長達14年負責SD-WAN產品的銷售。在2020年，HPE收購了Silver Peak，並將其整合到旗下的網路事業群Aruba中。Patrick隨後加入Aruba後，負責SD-WAN和SSE（Security Service Edge）安全產品。</p> <p>回顧SD-WAN的發展，他指出，主要可以分為兩大面向。一方面是解決連線需求的挑戰，因此催生了軟體定義廣域網路的概念，用來改善企業資料中心和分支辦公室之間的MPLS連線成本昂貴與技術限制的問題，藉此提高頻寬效率和應用程式效能。隨著企業邊緣需求的增長，SD-WAN也開始提供對行動網路和低軌道衛星通訊的支援，以提供更快速、更彈性的頻寬，確保網路連線的可靠性。</p> <p>另一方面，由於許多企業將應用程式上雲，並使用安全加密技術的HTTP連線作為駐外據點和資料中心之間通訊方式，這使得SD-WAN加速擴展從雲端到邊緣的發展，支援更多功能，包括防火牆、IDS 、IPS等。</p> <p>SD-WAN漸趨主流，Patrick認為，在大多數情況下，SD-WAN正在取代傳統的WAN路由器，實現WAN路由器的現代化。他解釋說，SD-WAN的功用不再僅僅是將數據封包傳送到資料中心，同時包含了智慧路徑共享、細分化業務和網路功能，以及支援網際網路和衛星第三方傳輸媒介等。</p> <p>他表示，SD-WAN產品未來發展一大重點，將會是在網路和資安整合，特別是當企業要全面推動零信任機制時，需要具有SD-WAN與SSE的能力。以Auba的SASE產品為例，企業能透過SD-WAN ClearPass存取管理和SSE安全機制實現使用者和連網裝置的存取管控，達到零信任存取要求。他指出，這是Aruba產品優勢。</p> <p>AI是另一個重要的發展方向，尤其生成式AI帶動了新一波AI發展浪潮，許多軟硬體業者開始整合生成式AI功能至其產品中。他指出，導入這類技術，SD-WAN將變得更聰明，能夠學習和適應不同的網路環境變化，以符合公司、企業分支辦公室、雲端等各種連線和管理需求。</p> <p>此外，他提到了COVID-19疫情對於SD-WAN的影響，例如許多企業因此擴大部署SD-WAN，支援員工居家辦公的更多連線需求。他觀察，許多大型科技公司雖要疫後要求員工返回辦公室工作，但仍為了支援混合工作環境持續採用。</p> <p>Patrick引用數據表示，SD-WAN市場年複合成長率有40%，未來仍有持續增長的空間。Aruba目前擁有3,600多家SD-WAN客戶。不過，目前SD-WAN市場呈現多家競爭的局勢，非由單一家業者獨領風騷。</p> </div></div></div>
2023/9/14 15:57作者余至浩https://www.ithome.com.tw/news/158740
【資安日報】9月14日，中國駭客組織Redfly鎖定亞洲國家的電網下手，散布惡意軟體ShadowPad
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球政治局勢動盪，中國駭客組織頻頻出手的情況相當頻繁，過往這些駭客大多收集政府或企業的情資，但如今連國家的能源設施運作狀態也成為目標。</p> <p>資安業者賽門鐵克揭露中國駭客組織Redfly的攻擊行動，他們針對亞洲的國家級電網（power grid）下手，但攻擊的目的為何？研究人員推測，駭客並未動手進行破壞，有可能是在收集電網的使用狀態。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/critical-infrastructure-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Redfly鎖定亞洲國家的電網下手，從中進行網路間諜攻擊</span></strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織Redfly近期的攻擊行動，主要目標是亞洲國家的電網設施。</p> <p>今年2月28日，這群駭客先在目標組織的電腦植入惡意程式ShadowPad，等到5月16日，開始執行批次檔1.bat，隨後透過命令列介面，以rundll32載入、執行位於暫存資料夾的DLL檔，進而啟動惡意程式PackerLoader。接著，開始竄改驅動程式dump_diskfs.sys的權限，調整為開放所有使用者都能存取的狀態。研究人員認為，駭客的上述動作，目的是後續能從這個管道洩漏資料。</p> <p>三天後（5月19日），駭客再度執行PackerLoader與1.bat，出現displayswitch.exe疑似用於側載DLL（DLL Side-loading）攻擊而啟動，而且，每隔數小時，就會執行PowerShell命令，收集電腦儲存設備的資訊。5月29日，這些駭客透過ProcDump挖掘存放於LSASS的帳密資料。兩個月後（7月27日），駭客透過鍵盤側錄工具進行監控，8月3日再度透過登錄檔轉存帳密資料。研究人員指出，這些駭客使用的ShadowPad變種，會在受害電腦偽裝成VMware的應用系統，並加入登錄檔機碼，以便在每次電腦載入Windows作業系統時自動載入。他們判斷駭客的主要目的是收集電網能源使用情形，目前尚未發現對方進行破壞行為。</p> <p><a href="https://twitter.com/troyhunt/status/1700531521835454502"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">軟體臭蟲追蹤公司Rollbar遭駭，攻擊者尋找用戶個資、帳密與存取系統的Token</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5mAZGybcAA6g3W.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5mAZGybcAA6g3W.jpg" style="width: 300px; float: right;" /></a>根據<a href="https://www.bleepingcomputer.com/news/security/rollbar-discloses-data-breach-after-hackers-stole-access-tokens/">資安新聞網站Bleeping Computer的報導</a>，軟體臭蟲追蹤業者Rollbar向經營密碼外洩查詢網站Have I Been Pwned（HIBP）的資安人員Troy Hunt透露，他們在9月6日稽查事件記錄資料的時候，發現有系統服務帳號被用來登入雲端的臭蟲監控平臺，攻擊者成功入侵該公司系統後，隨即尋找雲端帳密資料及比特幣錢包。</p> <p>該公司察覺後即停用此帳號並著手調查。經初步調查，攻擊者入侵的時間為8月9日至11日，這3天駭客嘗試存取使用者的敏感資料，包含了使用者名稱、電子郵件信箱、帳號名稱，以及專案資訊，企圖從中找到用戶專案存取Rollbar系統的Token。</p> <p><a href="https://www.theregister.com/2023/09/11/bianlian_save_the_children/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">救助兒童會傳出遭遇勒索軟體BianLian攻擊，近7 TB資料外洩</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5xDspbWYAEyvUj.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5xDspbWYAEyvUj.png" style="width: 300px; float: right;" /></a>資安研究團隊VX-Underground、資安業者Emsisoft威脅分析師Brett Callow發現，勒索軟體駭客BianLian宣稱攻陷一個聞名全球的非營利組織，該組織擁有逾2.5萬名員工，自1919年成立至今幫助超過10億名兒童，並在116個國家從事相關業務，收入達28億美元。</p> <p>駭客聲稱偷到6.8 TB的資料，當中包含了人力資源資料、個人資料、財務資料、醫療及健康資料，以及往來的電子郵件等，其中，財務資料超過800 GB。而根據駭客的描述，遭到攻擊的組織是救助兒童會（Save the Children）。</p> <p>救助兒童會也證實他們遭遇網路攻擊，出現未經授權的人士存取部分網路系統，目前他們的營運狀態正常，並未受到資安事故影響。該組織表示，他們已與外部專家合作，進一步確認那些資料遭竊，並還原事件的來龍去脈。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/vxunderground/status/1701309441272926369" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--2116573161" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://twitter.com/vxunderground/status/1701309441272926369</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://twitter.com/BrettCallow/status/1701240730876838250" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1986971127" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://twitter.com/BrettCallow/status/1701240730876838250</span></a></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/3am-ransomware-lockbit"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客執行LockBit加密檔案未果，竟拿出另一款勒索軟體再度出手</span></strong></a></p> <p>資安業者賽門鐵克發現名為3AM的勒索軟體，以Rust開發而成，一旦於受害電腦執行，將會終止Veeam、Acronis、Ivanti、McAfee、賽門鐵克等多個廠牌的資安防護系統，或是備份系統的處理程序，然後對特定類型的檔案進行加密。</p> <p>特別是，這個勒索軟體之所以曝光，竟是在調查另一起勒索軟體LockBit的攻擊行動，而意外被發現。駭客在成功入侵目標電腦後，執行gpresult命令儲存電腦套用的群組原則組態，並操作各式Cobalt Strike的元件，嘗試利用PsExec提升權限，接著執行whoami、netstat、quser、net share等命令進行偵察、橫向移動，然後嘗試使用LockBit加密檔案。</p> <p>但上述攻擊並未得逞，駭客遂改用3AM並部署到3臺電腦，卻在其中2臺電腦上執行的過程遭到攔截。</p> <p><a href="https://www.zscaler.com/blogs/security-research/technical-analysis-hijackloader"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具HijackLoader被用於散布DanaBot、SystemBC、RedLine Stealer</span></strong></a></p> <p>資安業者Zscaler在今年7月發現惡意程式載入工具HijackLoader，此程式仰賴系統呼叫來迴避資安系統偵測，並具備延遲執行的特性。此惡意程式採用嵌入的模組化設計，而能夠因應駭客的需求，透過程式碼注入或是指定的方式部署、執行惡意軟體，研究人員指出，在目前惡意程式載入工具當中，這種做法相當少見。</p> <p>研究人員看到對方將其用來在受害電腦當中，部署Danabot、SystemBC、RedLine Stealer多種惡意軟體。一旦執行，此載入工具便會執行C語言的執行階段程式庫（CRT）掛鉤功能，以便進行第一階段攻擊，而在第二階段攻擊行動裡，才會下載特定的功能模組並進行解密，取得惡意酬載並執行驗證、解壓縮。</p> <p>特別的是，攻擊者為規避偵測，除了會使用自行開發的API動態載入Windows的API功能，並對於合法網站進行HTTP連線測試，還會針對電腦安裝的防毒軟體採取不同的行為，例如：若是發現Avast、AVG防毒軟體，此載入工具會延遲40秒再執行，假如受害電腦安裝了Emsisoft、Webroot的防毒軟體，則會取消前述的連線測試流程。</p> <p><a href="https://www.fortinet.com/blog/threat-research/new-midgedropper-variant"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露更為隱密的惡意軟體載入工具MidgeDropper變種</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig02-midgedropper-decoy-document-notice-wfh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig02-midgedropper-decoy-document-notice-wfh.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露名為MidgeDropper的惡意程式載入工具，駭客疑似假借企業組織的名義，以宣布需要居家辦公的員工名單為由，寄送挾帶RAR壓縮檔的釣魚郵件，當中含有作為誘餌的PDF檔案，以及另一個偽裝成PDF檔案的可執行檔，一旦收信人依照指示開啟PDF檔案，就會看到文件載入失敗的錯誤訊息。</p> <p>駭客這麼做為了轉移收信人注意，乘機開啟另一個檔案而上當，從而在電腦部署MidgeDropper，進而下載更多惡意酬載。研究人員指出，駭客運用了不少無害的檔案，讓使用者可能因此降低戒心，而開啟駭客提供的可執行檔觸發一連串的攻擊鏈。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://onapsis.com/blog/sap-security-patch-day-september-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP發布9月例行更新，修補影響BusinessObjects、NetWeaver、S/4HANA的重大漏洞</span></strong></a></p> <p>9月12日SAP發布本月份例行更新，張貼13篇新的資安通告，並且更新5篇先前的資安通告。其中，有5篇被列為優先層級（Hot News），提及了兩個本月修補的重大漏洞CVE-2023-40622、CVE-2023-40309。</p> <p>根據CVSS風險評分的高低，最嚴重的漏洞是CVE-2023-40622，存在於商業智慧軟體BusinessObjects，攻擊者一旦利用這項漏洞，就有可能取得其他能用於攻擊行動的資訊，導致應用程式完全被駭客挾持，CVSS風險評為9.9分。資安業者Onapsis提出進一步說明，該漏洞出現於上述軟體的Promotion Management元件，影響其作業使用的資料夾。</p> <p>另一個重大漏洞CVE-2023-40309，影響SAP旗下NetWeaver、S/4HANA、Web Dispatcher、Content Server、Host Agent、Extended Application Services and Runtime（XSA）等多項產品，起因是名為CommonCryptoLib的元件缺乏授權檢查的缺陷，而能被攻擊者用來提升權限，CVSS風險評為9.8分。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.openfind.com.tw/taiwan/news_detail.php?news_id=10328"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">郵件服務業者網擎資訊部署後量子加密技術，強化敏感資料防護</span></span></strong></a></p> <p><a href="https://www.forescout.com/blog/2023h1-threat-review-vulnerabilities-threat-actors-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">鎖定大樓自動化系統弱點的攻擊行動加劇，今年上半升溫</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/09/alert-new-kubernetes-vulnerabilities.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Kubernetes漏洞有可能被用於攻擊Windows端點電腦</span></span></strong></a></p> <p><a href="https://www.zscaler.com/blogs/security-research/steal-it-campaign"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客發起Steal-It攻擊行動，透過PowerShell盜取NTLMv2雜湊值</span></span></strong></a></p> <p><a href="https://blog.talosintelligence.com/eight-vulnerabilities-in-open-automation/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開放自動化軟體平臺OAS存在8個漏洞</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158725"><strong>【9月13日】手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158704"><strong>【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158685"><strong>【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</strong></a></p> </div></div></div>
2023/9/14 17:11作者周峻佑https://www.ithome.com.tw/news/158747
Stability AI發表文字生成音樂AI工具Stable Audio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼推出<a href="https://www.ithome.com.tw/news/157990" target="_blank">文字生成圖像模型Stable Diffusion</a>之後，Stability AI本周發表了<a href="https://stability.ai/research/stable-audio-efficient-timing-latent-diffusion" target="_blank">文字生成音樂模型Stable Audio</a>，跨入聲音及音樂的領域。</p> <p>Stability AI的創辦人暨執行長是出生於約旦、之後移民至英國的Emad Mostaque，自牛津大學畢業後Mostaque曾替穆斯林社群打造伊斯蘭AI，以協助人們認識伊斯蘭教，之後則在英國多個對沖基金工作了十多年，一直到2020年才創立Stability AI，於2022年推出的首個AI模型即為Stable Diffusion 1.0。</p> <p>迄今Stable Diffusion已歷經多次改版，最新的版本為今年7月發表的Stable Diffusion XL（SDXL）1.0，期間Stability AI也陸續發表了多種模型，包括語言模型StableLM，開源聊天機器人StableVicuna，以及圖像生成設計工具DreamStudio等。</p> <p>Stable Audio則是由Stability AI內部的生成式聲音研究實驗室Harmonai所開發，利用由AudioSparx所提供的80萬個聲音檔進行訓練，涵蓋音樂、音效、各種樂器，以及相對應的文字描述等，總長超過1.9萬個小時。</p> <p>Stable Audio與Stable Diffusion一樣，都是基於擴散的生成模型，Stability AI指出，一般的聲音擴散模型通常是在較長聲音檔案中隨機裁剪的聲音區塊進行訓練，可能導致所生成的音樂缺乏頭尾，但Stable Audio架構同時基於文字，以及聲音檔案的持續及開始時間，而讓該模型得以控制所生成聲音的內容與長度。</p> <p>此外，利用最新的擴散取樣技術，Stable Audio模型在Nvidia A100 GPU上以44.1 kHz的取樣速度，不到1秒就能渲染95秒的立體聲。</p> <p>Stable Audio同時提供免費與Pro付費版，前者每月可免費生成20次、最長20秒的聲音或音樂，而若每月支付12美元，則可生成500次，最長90秒的音頻。</p> <p>目前坊間的文字生成音樂工具還有Google的<a href="https://www.ithome.com.tw/news/156832" target="_blank">MusicLM</a>與Meta的音樂生成模型<a href="https://www.ithome.com.tw/news/157281" target="_blank">MusicGen</a>。</p> </div></div></div>
2023/9/14 16:03作者陳曉莉https://www.ithome.com.tw/news/158741
Google持續凍結招聘，人事部門再裁數百員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2023/09/13/google-is-cutting-hundreds-of-jobs-in-its-recruiting-organization.html" target="_blank">《CNBC》報導</a>，Google持續暫緩公司規模擴張，近期內將再裁減招聘部門數百名員工。</p> <p>《CNBC》取得Google招聘部門內部會議的錄影，該部門副總裁Brian Ong宣布這項人事計畫，並說根據未來幾季的員工招募狀況，「這是對的決定」，這意謂著就未來的營運目標判斷，Google現有員工數已經夠多。為此，該部門會再裁減數百人。這批員工除了可拿到一筆資遣金，也還能再進公司一周、存取特定公司線上服務，以及享有一段期間醫療保險</p> <p>Google對媒體證實這項消息，指出Google計畫「有意義地放緩公司整體聘僱活動。」</p> <p>這是Google今年最新一波人事精簡行動。Google 1月宣布裁撤遍及各部門、各功能員工1.2萬人後，之後又分別縮編自駕車部門Waymo、地圖部門<a href="https://www.ithome.com.tw/news/157548" target="_blank">Waze</a>，此外Google Assistant部門<a href="https://www.ithome.com.tw/news/158052" target="_blank">則改組並與AI部門整合</a>。</p> <p>除了Google，其他科技巨擘，包括Meta、<a href="https://www.ithome.com.tw/news/157737" target="_blank">微軟</a>、IBM也都在年中宣布新一波裁員計畫。<a href="https://finance.yahoo.com/news/ibm-plans-replace-nearly-8-174052360.html" target="_blank">IBM</a>上個月宣布裁減近8,000人，這些人的工作將由AI取代。IBM執行長Arvind Krishna指出，人力資源（HR）等後端作業，將會首當其衝。</p> </div></div></div>
2023/9/14 12:29作者林妍溱https://www.ithome.com.tw/news/158733
電磁波過高，法國政府暫停iPhone 12銷售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在蘋果宣布iPhone 15系列的當日，法國政府以電磁波過高為由，要求蘋果暫停iPhone 12的銷售，並要求蘋果立即提供補救方法改善已售出手機的問題。</p> <p>法國國家電波頻率管理署（National Frequency Agency，ANFR）發出公告，由於測試中的電磁波輻射值（specific absorption rate，SAR）超標，該署已要求蘋果自2023年9月12日暫停在法國銷售iPhone 12。法國當局並要求蘋果解決，否則可能會被要求召回所有在當地已售出的iPhone 12。</p> <p>ANFR近日對該國市場上銷售的141款手機進行電磁波檢測，iPhone 12在一項檢測中無法過關。ANFR的測試分成2項，分別測試手機在四肢（如手及長褲口袋）及在軀幹（如夾克口袋或揹袋）釋出的電波值（SAR）。根據該局的測試，iPhone 12的軀幹SAR檢測值符合歐盟標準值的2 W/kg。但其四肢SAR檢測值為5.74 W/kg，超出歐盟規定的4 W/kg。</p> <p>法國政府要求蘋果需立即採取行動，「儘一切方法」讓供應鏈上的iPhone 12停止銷售。至於已售出的手機，蘋果也必須及早提供矯正措施。若未能滿足要求，蘋果將被要求回收所有已在法國售出的iPhone 12。</p> <p>當局並說，蘋果提出的矯正措施必須提報並獲得同意。</p> <p>蘋果並不同意法國當局的檢測。<a href="https://www.reuters.com/technology/apple-disputes-french-findings-says-iphone-12-complies-with-radiation-standards-2023-09-13/" target="_blank">蘋果對媒體表示</a>，iPhone 12已經獲得多家國家主管機關許可及第三方驗證單位證明其產品符合全球各國電磁波標準。該公司表示將對ANFR的測試結果提出異議，並和該局共商合作解決。</p> <p>在手機產業稱霸的蘋果屢屢遭到歐盟或歐洲國家政府挑戰。在歐盟推動以USB Type-C為統一介面的標準下，<a href="https://www.ithome.com.tw/news/158710" target="_blank">蘋果iPhone 15系列全面更換</a>用了11年的Lightning規格。<a href="https://www.ithome.com.tw/news/136304" target="_blank">歐盟為推動循環經濟及產品永續</a>，減少電子垃圾及消費者維修權利（right to repair），也迫使iPhone必須提供可拆解零件及可更換電池或螢幕的設計。<a href="https://www.ithome.com.tw/news/158633" target="_blank">上周歐盟在《數位市場法》下，指定</a>包括蘋果、微軟、Alphabet等網路平臺業者為守門人（gatekeeper）。被指定的守門人將被賦予許多義務，包括不得在平臺上獨厚自家產品、排擠較小對手、或追蹤使用者。違者將被罰款最高達年營收的20%。</p> </div></div></div>
2023/9/14 12:38作者林妍溱https://www.ithome.com.tw/news/158734
Arm公開發行價訂為每股51美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>即將於美國時間9月14日登上那斯達克（Nasdaq）股市的Arm，<a href="https://www.businesswire.com/news/home/20230913944520/en/" target="_blank">前一天公布</a>其每股公開發行價格為51美元，預計發行9,950萬股，可望自公開市場募得逾50億美元，該公司的市值也將因此突破520億美元。</p> <p>總部位於英國的Arm主要開發半導體的架構與設計，主要產品為CPU，並授權給各領域的業者，日本軟體銀行在2016年以320億美元買下了Arm，差點在2020年以400億美元轉手給Nvidia，但因遭到各國反對而走向公開發行之路。</p> <p>Arm截至今年3月底的年度營收為26.79億美元，營業淨利潤為5.24億美元，<a href="https://www.sec.gov/Archives/edgar/data/1973239/000119312523228059/d393891df1a.htm" target="_blank">該公司在本月更新其上市申請文件</a>，指出包括AMD、蘋果、Cadence Design Systems、Google、Intel、MediaTek、Nvidia、三星、Synopsys，以及TSMC Partners等基石投資人，都已分別表示有意以發行價格購入Arm股票，總計金額高達7.35億美元。</p> <p>不過，上述的購買意願並不具備約束力，這些基石投資人或承銷商隨時可以變更意願或數量。</p> <p>Arm為軟體銀行百分之百持有的子公司，在此次的IPO之後，軟體銀行仍將持有9成的Arm股份。</p> <p>市場分析指出，軟體銀行原本希望Arm的IPO訂價可讓該公司的市值超越600億美元，不如預期的原因也許是因為身為Arm業務核心的手機晶片在近幾年的發展出現停滯，但Arm也已計畫遷移至熱門的AI與機器學習運算，該公司亦強調，在接近6,000名的全球員工中，有高達80%致力於研究、設計及技術創新。</p> </div></div></div>
2023/9/14 12:57作者陳曉莉https://www.ithome.com.tw/news/158735
採用輝達HGX H100 8-GPU，技嘉提供3款5U伺服器選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g593-sd0_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年底開始，隨著Nvidia資料中心GPU產品H100量產，以及AMD、英特爾最新一代伺服器CPU上市，再加上生成式AI應用暴紅，導致GPU伺服器需求大增，尤其是可搭載8個SXM外形的H100的機型，最受到市場矚目，我們也持續關注哪些廠牌可以最先提供這類產品。<br /> 根據Nvidia維護的認證合格伺服器型錄網站Qualified System Catalog，可以了解這方面的資訊，而在2023年初，我們在Nvidia GPU的欄位指定條件為HGX H100 8 GPU 80GB，當時只有一家臺灣廠商的產品被列入，那就是我們現在所要介紹的技嘉G593-SD0。截至目前為止，除了上述機型，Nvidia在此處型錄僅增列4款產品，分別是華碩ESC N8-E11、<a href="https://www.ithome.com.tw/review/156425">Dell EMC PowerEdge XE9680</a>、HPE Cray XD670、<a href="https://www.ithome.com.tw/review/156519">Supermicro SYS-821GE-TNHR</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Qualified System Catalog-HGX H100 8-GPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Qualified%20System%20Catalog-HGX%20H100%208-GPU.jpg" style="width: 600px;" /></a></p> <p>事實上，技嘉採用HGX H100 8-GPU組態的伺服器，已有3款之多。在4月底，他們不僅提供搭配英特爾處理器的G593-SD0，也有搭配AMD處理器的G593-ZD2，到了5月底台北國際電腦展期間，他們推出G593-SD0的微調版G593-SD2。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-3.jpg" style="width: 600px;" /></p> <p>相較於市售的HGX H100 8-GPU組態伺服器，往往搭配6U至8U尺寸的機箱，技嘉這3款產品都採用5U尺寸的機箱，可節省一些機架空間，並且都配置6臺3000瓦規格的電源供應器（4+2備援）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-1.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-2.jpg" style="width: 398px;" /></p> <p>而在儲存組態方面，它們的前方面板都能安裝6臺2.5吋硬碟，其中的G593-SD0與G593-SD2，可搭配SATA、SAS或NVMe儲存裝置，G593-ZD2預設搭配NVMe儲存裝置，主機板額外提供2個M.2插槽，可安裝這種外形的固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0-4.jpg" style="width: 600px;" /></p> <p>在處理器平臺與記憶體資源方面，G593-SD0與G593-SD2均採用英特爾第四代Xeon Scalable處理器，可安裝32支DDR5-4800記憶體，最高能擴充至8 TB（支援單支256 GB），彼此最大差異在於PCIe介面卡的規格：G593-SD0可置入13張短版介面卡，其中12張支援PCIe 5.0，1張支援PCIe 4.0，G593-SD2能搭配4張全高半長介面卡（可用於安裝Nvidia的BlueField資料處理器加速卡），以及8張短版介面卡，均支援PCIe 5.0。</p> <p>G593-ZD2採用AMD第四代EPYC處理器，可安裝24支DDR5-4800記憶體，最高能擴充至6 TB（支援單支256 GB），可搭配4張全高半長介面卡，以及8張短版介面卡。</p> <p>就機箱內部結構而言，技嘉表示，G593系列伺服器分為上下兩層，頂部的1U空間主要是放置中央處理器、記憶體，底部的4U空間則是HGX H100 8-GPU模組，以此將散熱區域的溫控與耗電量集中，便於提升降溫與用電的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-09-Web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-04-Web.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-02-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-02-Web.jpg" style="width: 198px;" /></a><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-SD0_rev_AAX1-06-Web.jpg" style="width: 398px;" /></p> <p>關於散熱方面的規格，我們注意到技嘉特別詳細列出3款機型的系統風扇配置，在機箱的前、中、後，都設置8到10臺的風扇，技嘉表示，他們關注解熱效益，因此，在設計G593系列時，他們希望能在零組件和空間作出良好配置，促使風流導流獲得良好運作效率。</p> <p>相較於搭配數量較少的大尺寸風扇，他們在此系列的伺服器採用小型風扇，相對可占用較少的機箱空間；而配置更多風扇的原因在於，採用2個小型風扇比起1個大型風扇，能夠產生更強的風量，亦可依區域降溫需要來調整風速，藉此帶來更高的整體省電效益，並且有效減少風扇運作的噪音。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G590-FANS.jpg" style="width: 600px;" /></p> <p>當伺服器機箱搭配較多的風扇之後，是否對設備維護產生更大負擔與停機時間，技嘉表示，維修的情況應該各家產品都一樣，位於機箱外部的風扇若故障，可透過熱插拔來替換，如果是設置在內部的風扇需維護，伺服器也都需要為此停機。</p> <p>在運算效能的部分，技嘉將G593-SD0的測試結果提交至MLCommons，而在今年6月底公布的MLPerf Training v3.0，G593-SD0這款機型榜上有名，相較於同樣採用HGX H100 8-GPU組態的伺服器當中，他們提供3個組態的測試結果當中，有兩個分別拿下醫療影像分割與自然語言處理的第一名，表現並不輸Dell、Nvidia、雲達、Supermicro等廠牌的機型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte G593-SD0 MLPerf Training v3 .jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte%20G593-SD0%20MLPerf%20Training%20v3%20.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉G593-SD0</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，第四代Xeon Scalable系列（最高搭配60核心機型）<br /> ●記憶體：32個DDR5-4800插槽，最大可擴充至8 TB<br /> ●儲存配置：8臺2.5吋SATA/SAS/NVMe固態硬碟<br /> ●搭配GPU：Nvidia HGX H100 8-GPU<br /> ●I/O擴充介面：12個PCIe 5.0 x16介面卡（短版）、1個PCIe 4.0 x16介面卡（短版）<br /> ●電源供應器：6臺3000瓦（4+2備援）<br /> ●系統風扇：30臺（前5+6，後6+3，中6+4）<br /> ●網路埠：2個10GbE埠（Intel X710-AT2）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/9/14 12:11作者李宗翰https://www.ithome.com.tw/review/158660
Xanadu與Nvidia合作突破量子模擬瓶頸，在超級電腦加速模擬可達36量子位元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pennylane.ai/blog/2023/09/distributing-quantum-simulations-using-lightning-gpu-with-NVIDIA-cuQuantum/">Xanadu</a>與<a href="https://blogs.nvidia.com/blog/2023/09/12/quantum-supercomputers-pennylane/">Nvidia</a>合作，運用PennyLane函式庫和cuQuantum SDK加速量子模擬，而這是科學家第一次以超級電腦規模加速量子模擬，透過將量子模擬分散到256個Nvidia A100 Tensor Core GPU上，模擬高達36個量子位元的運算。</p> <p>Xanadu的量子程式開發框架PennyLane，是一個開源的跨平臺量子機器學習Python函式庫，供研究人員能以機器學習函式庫，諸如PyTorch和TensorFlow來設計量子電路，而這便能夠無縫整合量子與古典運算，並使用量子運算的特性來加速機器學習工作。而cuQuantum SDK則是Nvidia所推出的軟體開發工具組，能夠加速量子運算的模擬與研究，搭配Nvidia GPU的運算能力，cuQuantum SDK可大幅提高模擬大型量子系統的效率。</p> <p>PennyLane中將機器學習技術應用在量子計算上是一個新穎的想法，藉由PennyLane的擴充套件，研究人便可連接不同量子運算後端，因此PennyLane在推出之後便受到許多研究人員的關注，但是Xanadu開發人員提到，許多研究人員要求更多的量子位元。</p> <p>而PennyLane在擴展模擬量子系統遇到的主要問題，便是資源使用的挑戰，因為模擬量子系統使用狀態向量模擬器（State Vector Simulator），其所需要的記憶體，隨著模擬的量子位元數呈現指數成長，Xanadu研究人員提到，在桌上型電腦的極限就是30量子位元，再增加更多的量子位元，所使用的記憶體量便會超過高效能運算執行個體的最大記憶體容量。</p> <p>在2022年的時候，研究人員開始在單個GPU上使用cuQuantum加速量子模擬，運算速度提升達10倍，而雖然GPU在模擬運算的效能上具有極大的優勢，但是Xanadu研究人員提到，記憶體管理對GPU來說更為重要，雖然單一GPU的記憶體就可達96 GB，但可用裝置記憶體最多只能容納30到32量子位元系統的狀態向量儲存，為了模擬更大的系統，需要將狀態向量分散在多個GPU上，連接所有GPU一起運作。</p> <p>因此為了支援分散式向量模擬，以模擬更多的量子位元，Xanadu在新版PennyLane中添加MPI（Message Passing Interface ）技術以及Nvidia cuQuantum SDK。</p> <p>研究人員在美國國家能源研究科學計算中心（NERSC）的超級電腦Perlmutter，搭配使用PennyLane，在GPU叢集上高速進行量子模擬。在Perlmutter多達256個Nvidia A100 Tensor Core GPU上執行模擬程式，現可模擬約36個量子位元，達到目前其他研究模擬量子位元數的2倍。</p> </div></div></div>
2023/9/14 08:23作者李建興https://www.ithome.com.tw/news/158724
Google地圖更新反向強化學習演算法，路線建議結果改善可達24%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院、Google地圖和DeepMind各單位多年合作，透過重新檢視Google地圖路線規畫所使用的經典演算法反向強化學習（Inverse Reinforcement Learning，IRL），提出了一種新的IRL演算法稱為<a href="https://blog.research.google/2023/09/world-scale-inverse-reinforcement.html">RHIP（Receding Horizon Inverse Planning）</a>，改善路線建議結果達16％到24％。</p> <p>Google地圖的路線建議是用戶常用的功能，可考量各種因素，規畫從地點A到地點B的最佳路線，這些因素包含抵達時間、通行費、路況和用戶偏好等。Google運用反向強化學習來學習路線建議，透過給定用於表達道路網路的馬可夫決策過程（MDP）和一組展示軌跡，反向強化學習可計算出用戶的潛在獎勵函式。</p> <p>簡單來說，反向強化學習可以從觀察到的連續決策行為學習偏好，當有一組用戶已經走過的路線，反向強化學習就能找出驅動用戶在選擇這些路線時心中的獎勵。</p> <p>雖然Google在過去的研究，已經創建了許多通用的反向強化學習解決方案，但是這些應用很難擴展應用到世界規模。原因是擴展反向強化學習並不容易，每次更新的時候，都需要解決一個強化學習的子程序，因此每一次更新都要進行複雜的運算，如此便會增加更新的複雜性和所需時間。要計算全世界的道路網路，需要耗費極大的運算資源，因此在實際應用上並不切實際。</p> <p>為了解決這個問題，Google進一步研究突破既有限制擴展反向強化學習，發展了一種稱為RHIP的方法，研究人員提到，他們實現了目前實際應用中最大的IRL實例。</p> <p>研究人員從人們做計畫的方式獲得啟發，像是人們會問「接下來1小時要做什麼？」或是「5年後的生活會是什麼樣子」。人們在計畫和決策時，通常會考慮未來一段時間範圍，但隨著時間的推進，表示最遠時間範圍的線也會跟著移動，也就是說人們通常不會一次考慮非常遙遠的未來，而是把注意力集中在近期規畫，並在過程中透過觀察持續調整未來方向。</p> <p>RHIP的核心概念便是在靠近當前的位置，或是已知路徑的地方，使用詳細的策略來確定路線，但在較遠的地方，則選擇更簡單且節省計算資源的策略，綜合遠近規畫策略，達到高效且準確的路網導航。</p> <p>相較於精心調整的基準，RHIP策略使汽車與機踏車的全球路線相符比例，分別提高15.9％和24.1％。而所謂的全球路線相符比例，指得是用戶實際行駛的路線，符合Google地圖所建議路線的百分比。RHIP的執行速度更快，結果也更準確，相較傳統IRL存在難以擴展的問題，RHIP使Google能夠在有超大量狀態、示範軌跡和模型參數上訓練獎勵模型。</p> </div></div></div>
2023/9/14 08:30作者李建興https://www.ithome.com.tw/news/158727
Code Intelligence推出可快速生成模糊測試的生成式AI服務CI Spark
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Code Intelligence推出運用大型語言模型自動辨識軟體攻擊面，並建議測試程式碼的服務<a href="https://www.code-intelligence.com/blog/ci-spark">CI Spark</a>，透過驗證軟體中的每個部分，提供更全面的測試覆蓋率，確保功能皆正確運作。</p> <p>白盒測試主要是由基於回饋的模糊測試技術驅動，這種測試方式利用遺傳演算法迭代最佳化，提高程式碼覆蓋率。白盒測試是一種軟體測試方法，著重檢查軟體內部結構、工作流程和操作邏輯，主要目的是要確保內部結構每部分都經過測試，但Code Intelligence指出，此技術需要專家手動找出進入點並開發測試，過程可能需要耗時數天或是數周。</p> <p>人力資源吃緊成為了實作人工智慧白盒測試的障礙，而CI Spark便是藉由生成式人工智慧技術，在對JavaScript/TypeScript、Java和C/C++程式碼，自動化生成測試程式碼，協助開發團隊提高程式安全性。</p> <p>Code Intelligence創建了一套廣泛的提示語，指導語言模型辨識程式中對安全性具有重要影響的功能，生成高品質模糊測試，並且確保測試可以達到最大程式碼覆蓋率。官方表示，他們多年執行模糊測試的經驗，已經完善了這些提示，能夠讓人工智慧助理保持極低的偽陽性率。</p> <p>CI Spark的具體功能包括找出適合進行模糊測試的函式，自動生成測試，或是改進現有的模糊測試，同時也能利用現有的單元測試，進一步生成高品質測試程式碼。根據官方自己的測試，CI Spark能夠加速專案創建測試速度15倍，並且已經發現包括SQL注入、XSS和遠端程式碼等超過50個CVE。</p> <p>此外，Code Intelligence正在與Google的OSS-Fuzz專案合作，持續進行模糊測試以確保開源專案的安全性，Code Intelligence提到，藉由CI Spark可將平均所需工作時數，從3天縮短至數個小時。</p> </div></div></div>
2023/9/14 08:33作者李建興https://www.ithome.com.tw/news/158728
Google雲端推出Terraform基礎設施管理器，運用IaC簡單管理雲端資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端推出基於Terraform的<a href="https://cloud.google.com/blog/products/management-tools/introducing-infrastructure-manager-powered-by-terraform">基礎設施管理器</a>，該工具可以讓用戶以程式碼即基礎設施（IaC）方式，管理Google雲端上的基礎設施。由於基礎設施管理器是在雲端託管Terraform環境，因此可供用戶簡單地宣告雲端資源的部署、配置和管理。</p> <p>基礎設施管理器是針對Google雲端用戶設計的工具，透過Terraform和程式碼即基礎設施的方式管理基礎設施，應用更自動化和標準化的部署流程，而這也就代表基礎設施的部署可以更一致且可擴展。該工具不僅簡化雲端資源的生命周期管理，並以受控和可稽核的方式應用變更，且因為Terraform的Plan and Apply工作流程，能夠確保基礎設施變更的可預測性，並減少意外變更的風險。</p> <p>用戶在配置Compute Engine執行個體、Cloud Storage儲存桶還是Kubernetes叢集等，均可利用Google預先打包的資源庫、Terraform模組、Terraform Provider和Jump Start解決方案，由基礎設施管理器自動管理相依關係。</p> <p>官方也提到，基礎設施管理器與Google雲端其他產品和服務緊密整合，能提供全面性管理功能。因此監控與故障排除用的Cloud Logging，或是用於精細控制存取的Cloud Identity and Access Management，都能與基礎設施管理器搭配使用。</p> </div></div></div>
2023/9/14 08:36作者李建興https://www.ithome.com.tw/news/158729
【資安日報】9月13日，手機醫療費用支付App醫指付傳出用戶信用卡遭盜刷，但個資外洩原因有待釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾天國內有兩起資安事故引起各界關注，其中一項是與許多民眾看醫生有關的行動支付App「醫指付」有關，傳出有不少用戶反映他們綁定的信用卡出現盜刷的情況，對此，大洸醫學管理顧問公司發出聲明初步解釋事故經過與目前的處置作法，金管會也提出因應之道，然而，究竟使用者的信用卡資料從何流出？仍有待進一步調查。</p> <p>另一起事故則是發生在臺中、彰化的肉品市場，他們都在11日疑似遭遇勒索軟體攻擊，而影響營運流程，目前推測可能是遭到相同的駭客組織發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">手機醫療費用支付App醫指付個資外洩，傳出用戶信用卡遭盜刷</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/375970638_706699531499856_5012551876503328731_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/375970638_706699531499856_5012551876503328731_n.jpg" style="width: 300px; float: right;" /></a>根據TVBS新聞網、自由時報等多家媒體的報導，由大洸醫學管理顧問公司經營、與臺灣135家醫療院所及30家銀行合作的行動支付工具「醫指付」，傳出使用者綁定的的信用卡遭到盜刷。</p> <p>對此，大洸醫學管理顧問公司發出聲明，表示他們已經啟動資安應對機制，暫停海外付款，委由資安鑑識機構調查，釐清盜刷事件發生的原因。為強化運作效能及資安機制，該公司亦委託宏科公司建置新版醫指付系統，預計年底上線。</p> <p>金融監督管理委員會表示，他們已請財金公司協助釐清資安漏洞並做補強。金管會銀行局副局長林志吉表示，由於遭盜刷持卡人，並不限於特定銀行用戶，推測資料外洩源頭並非銀行端。此外，部分發卡機構已啟動自主加強監控，例如：採取灰名單管理。銀行局指出，如果卡友遭盜刷，可向往來銀行申請將款項列為爭議帳款處理。</p> <p>資料來源</p> <p>1. <a href="https://news.tvbs.com.tw/life/2238572">https://news.tvbs.com.tw/life/2238572</a><br /> 2. <a href="https://ec.ltn.com.tw/article/breakingnews/4426459">https://ec.ltn.com.tw/article/breakingnews/4426459</a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.facebook.com/ehealthpay/posts/pfbid0UReS7hSi7kdDsWHZQLXQ6FPPf6aPCorYQuLVyRFZcL6HCR8NmJyfbLyBi6dHBNZcl" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-288963455" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.facebook.com/ehealthpay/posts/pfbid0UReS7hSi7kdDsWHZQLXQ6FPPf6aPCorYQuLVyRFZcL6HCR8NmJyfbLyBi6dHBNZcl</span></a></p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">彰化、臺中肉品拍賣市場疑遭勒索軟體攻擊</span></strong></p> <p>根據中央社、自由時報等媒體報導，彰化肉品市場、臺中市大安肉品市場電腦拍賣系統11日遭到駭客入侵，彰化肉品市場超過1千頭豬隻無法拍賣而被迫休市，導致零售市場無法販賣豬肉，12日已恢復正常，而臺中市大安肉品市場被迫延後進行拍賣作業。</p> <p>彰化縣肉品市場公司董事長洪榮章向中央社提出說明，該公司員工於11日上午發現電腦拍賣系統無法使用，沒多久就收到駭客寄來的勒索信，市場決定暫停拍賣，也請負責的電腦公司派員維修，直到12日凌晨才排除異常。肉品市場已研擬針對豬農、中盤商損失進行賠償，也向彰化縣警察局溪湖分局報案，並尋求中研院及電腦公司協助，找出拍賣系統程式漏洞，以防類似事件再度發生，同時，該公司亦將建立處理此類事件的標準作業流程。</p> <p>無獨有偶，臺中市大安肉品市場也於同日電腦遭到駭客入侵，他們在早上8點開機發現電腦系統無法運作，經資訊廠商搶修，拍賣延後5個多小時才進行作業。他們與彰化肉品市場進行了解，懷疑是相同的犯罪集團所為。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cna.com.tw/news/aloc/202309120284.aspx" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1260295124" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.cna.com.tw/news/aloc/202309120284.aspx</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://news.ltn.com.tw/news/Changhua/breakingnews/4426063" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-335209519" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://news.ltn.com.tw/news/Changhua/breakingnews/4426063</span></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/09/atomic-macos-stealer-delivered-via-malvertising"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意廣告鎖定Mac電腦，散布竊資軟體Atomic Stealer</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file98620_280622_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file98620_280622_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露針對Mac電腦而來的竊資軟體Atomic Stealer（亦稱AMOS），駭客假借提供股匯市看盤軟體TradingView的名義進行誘騙，並藉由Google搜尋引擎最佳化（SEO）廣告來散布。在駭客架設的網站上，他們聲稱提供了Windows、macOS、Linux版本的應用程式，macOS版本的安裝程式內含Atomic Stealer，而下載Windows或Linux版安裝檔的網頁連結，則指向一個放置在Discord的安裝檔，若是開啟，電腦就可能會被植入木馬程式NetSupport RAT。</p> <p>一旦Mac電腦的使用者依照指示下載、執行，駭客就會繞過作業系統的防護機制GateKeeper，並竊取電腦上的密碼、自動填寫的資料、使用者資訊、Cookie、數位錢包，以及「鑰匙圈存取（Keychain）」儲存的帳密資訊。</p> <p><a href="http://www.sentinelone.com/blog/macos-metastealer-new-family-of-obfuscated-go-infostealers-spread-in-targeted-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體MetaStealer鎖定Intel處理器的Mac電腦而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/metastealer_1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/metastealer_1.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露竊資軟體MetaStealer的攻擊行動，該惡意程式針對Intel處理器的Mac電腦而來。研究人員先是看到有人在惡意軟體分析平臺VirusTotal上傳檔案，而開始追蹤此事。</p> <p>這名上傳檔案的使用者在VirusTotal的說明欄表示，駭客佯稱是有設計需求的客戶，接洽過程未察覺異狀，直到對方傳送了受到密碼保護的ZIP壓縮檔，當中含有DMG映象檔，一旦開啟，就會顯示要在電腦部署帶有PDF文件圖示的應用程式。所幸這名使用者覺得受騙，並未真的安裝此「應用程式」。</p> <p>研究人員取得相關檔案進行分析，發現駭客假借提供Adobe的軟體，或是以客戶的作品的名稱製作DMG檔案，挾帶MetaStealer。此惡意程式以Go語言開發而成，一旦於目標電腦執行，就會蒐刮電腦上的系統資訊、密碼、應用程式組態，並透過TCP的3000埠傳送到駭客手上，但駭客的主要目標，其實是針對Telegram和Meta服務的帳號而來。而對於攻擊來源，研究人員發現此竊資軟體與另一款惡意程式Atomic Stealer存在共通點，但經過進一步查核之後，確認兩者來自不同的駭客組織。</p> <p><a href="https://www.bleepingcomputer.com/news/security/new-wiki-eve-attack-can-steal-numerical-passwords-over-wifi/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以數字組成的Wi-Fi連線密碼，被找出可能的破解方式，研究人員揭露WiKI-Eve攻擊手法</span></strong></a></p> <p>來自中國、新加坡的研究人員揭露新型態的攻擊手法WiKI-Eve，這項手法利用2013年IEEE 802.11ac（Wi-Fi 5）引入的波束形成回應資訊（Beamforming Feedback Information，BFI），此機制讓設備向路由器發送位置資訊，以便路由器能更精準發送訊號，但其資訊交換過程含有明文資料，而可能遭到濫用。</p> <p>在這項攻擊手法裡，主要是在使用者輸入密碼的過程攔截Wi-Fi訊號，研究人員事先透過網路流量的監控，得知設備的網路資訊（如MAC位址）來識別目標，然後透過Wireshark等流量監控工具，收集使用者輸入密碼過程的BFI訊號資料。</p> <p>由於使用者輸入密碼的字元可能影響Wi-Fi天線後續頻道的運作，使得研究人員能推測使用者輸入的數字密碼，單一數字的準確率達到九成，破解由6個數字組成的密碼準確率為八成五。雖然這項攻擊手法是針對由數字組成的密碼而來，但根據密碼管理解決方案NordPass的調查，最常見的20組懶人密碼就有16組由數字組成，也意味著此類密碼安全性面臨重大危機。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://arxiv.org/pdf/2309.03492.pdf" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-328115451" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://arxiv.org/pdf/2309.03492.pdf</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://nordpass.com/most-common-passwords-list/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--2103703365" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://nordpass.com/most-common-passwords-list/</span></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布9月例行更新，修補2個零時差漏洞</span></strong></p> <p>9月12日微軟發布本月份的例行更新（Patch Tuesday），總共修補59個漏洞，當中有3個安全功能繞過漏洞、24個遠端執行任意程式碼（RCE）漏洞、9個資訊洩露漏洞、3個阻斷服務（DoS）漏洞、5個Edge瀏覽器漏洞，以及5個可被用於詐欺攻擊的漏洞。</p> <p>其中，有2個漏洞CVE-2023-36802、CVE-2023-36761，是已出現攻擊行動的零時差漏洞。CVE-2023-36802為本機權限提升漏洞，出現於Windows的串流服務代理伺服器元件，攻擊者若是成功利用漏洞，可取得SYSTEM權限，CVSS風險評分為7.8。</p> <p>另一個遭到利用的零時差漏洞CVE-2023-36761，存在於Word應用程式，為資訊洩漏漏洞，攻擊者有可能藉此盜取NTLM雜湊值，CVSS風險評分為6.2。漏洞懸賞專案Zero Day Initiative（ZDI）指出，由於CVE-2023-36761有可能透過預覽視窗觸發，代表利用此漏洞的過程無須與使用者進行互動，他們認為IT人員應優先處理這項漏洞。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2023-patch-tuesday-fixes-2-zero-days-59-flaws/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1084334193" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2023-patch-tuesday-fixes-2-zero-days-59-flaws/</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1136154706" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review</span></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/adobe-warns-of-critical-acrobat-and-reader-zero-day-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe旗下的PDF編輯工具與檢視器存在零時差漏洞，已被用於攻擊行動</span></strong></a></p> <p>9月12日Adobe發布3則資安通告，修補旗下的PDF編輯工具Acrobat、PDF文件閱讀程式Acrobat Reader，以及視訊會議系統Adobe Connect、內容管理系統Experience Manager。</p> <p>其中最值得留意的是重大等級的<a href="https://helpx.adobe.com/security/products/acrobat/apsb23-34.html">CVE-2023-26369</a>，此為越界寫入漏洞（OBW），影響Windows與macOS版的Acrobat、Acrobat Reader，CVSS風險評分為7.8，攻擊者一旦成功利用漏洞，就有機會執行任意程式碼。該公司將其列為優先修補層級最高的漏洞，並指出已被用於攻擊行動。</p> <p><a href="https://www.bleepingcomputer.com/news/security/mozilla-patches-firefox-thunderbird-against-zero-day-exploited-in-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox、Thunderbird更新，修補已出現攻擊行動的零時差漏洞</span></strong></a></p> <p>9月12日Mozilla基金會推出Firefox 117.0.1、Firefox ESR 115.2.1及102.15.1、Thunderbird 115.2.2及102.15.1更新，目的是修補由蘋果安全工程架構團隊（SEAR）與加拿大公民實驗室通報的零時差漏洞CVE-2023-4863，此為記憶體緩衝區溢位漏洞，存在於WebP程式庫元件libwebp，攻擊者可引誘使用者開啟惡意WebP圖檔來觸發漏洞。該基金會指出，已有其他存在相同漏洞軟體遭到攻擊。</p> <p>值得留意的是，Firefox、Thuderbird並非唯二受到此漏洞影響的上網應用程式，Google於11日發布電腦版Chrome 116.0.5845.187、116.0.5845.188更新，目的就是修補這項已被用於攻擊行動的漏洞。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--425295119" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/</span></a><br /> 2. <a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html">https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html</a></p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-critical-codemeter-vulnerability-impacts-several-siemens-products/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">西門子多項工控設備受到CodeMeter元件重大漏洞影響</span></strong></a></p> <p>西門子與施耐德電機發布9月份例行更新，本次西門子發布7則新的資安通告，涵蓋45個漏洞，施耐德電機發布1則新的資安通告。</p> <p>其中，本次西門子公告的漏洞裡，最值得留意的是重大漏洞CVE-2023-3935，該漏洞存在於Wibu-Systems的軟體授權與防護元件CodeMeter，影響西門子旗下PSS、SIMATIC、SIMIT、SINEC、SINEMA多項工控解決方案，CVSS風險評分達9.0。該公司指出，假若組織將CodeMeter Runtime設置為伺服器，攻擊者可在未經身分驗證的情況下遠端執行任意程式碼（RCE）；若是組織將該元件設置為用戶端模式，攻擊者可在通過身分驗證的情況下，有機會將權限提升為root。</p> <p>施耐德電機本次針對互動式圖形化SCADA系統（IGSS）修補高風險CVE-2023-4516，此為缺乏身分驗證的弱點，本機攻擊者能竄改系統的更新來源，進而派送含有惡意內容的更新檔案，而有可能讓攻擊者遠端執行任意程式碼，CVSS風險評分為7.8。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ragnar-locker-claims-attack-on-israels-mayanei-hayeshua-hospital/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體Ragnar Locker聲稱攻擊以色列醫療中心Mayanei Hayeshua</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/apple-backports-blastpass-zero-day-fix-to-older-iphones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 15.7.9、iPadOS 15.7.9、macOS Monterey 12.6.9、macOS Big Sur 11.7.10，修補零點擊漏洞Blastpass</span></span></strong></a></p> <p><a href="https://www.zscaler.com/blogs/security-research/technical-analysis-hijackloader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具HijackLoader被用於散布DanaBot、SystemBC、RedLine Stealer</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/sponsor-batch-filed-whiskers-ballistic-bobcats-scan-strike-backdoor/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客TA453對全球34個組織部署後門程式Sponsor</span></span></strong></a></p> <p><a href="https://blog.google/products/chrome/Google-chrome-new-features-redesign-2023/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google將提供Chrome更為即時的釣魚網站防護機制</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158704"><strong>【9月12日】越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158685"><strong>【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158654"><strong>【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</strong></a></p> </div></div></div>
2023/9/13 18:06作者周峻佑https://www.ithome.com.tw/news/158725
Google緊急修補已被利用的Chrome漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html" target="_blank">Google周一（9/11）緊急更新Windows、Mac及Linux上的Chrome瀏覽器</a>，以修補已遭到駭客利用的CVE-2023-4863安全漏洞，而該漏洞正是由<a href="https://www.ithome.com.tw/news/158648" target="_blank">上周同步發布漏洞訊息的公民實驗室（Citizen Lab）及蘋果工程師</a>所提報。</p> <p>CVE-2023-4863為一位於WebP的堆積緩衝區溢位漏洞。WebP是Google所開發的點陣圖檔案格式，目的是為了取代JPEG、PNG及GIF等格式，它同時支援破壞性與非破壞性資料壓縮，Google宣稱該格式將可用來建立更小、更豐富且傳輸更快的圖像。</p> <p>Google僅說已發現針對CVE-2023-4863的攻擊程式，並未揭露漏洞細節。<a href="https://www.cybersecurity-help.cz/vdb/SB2023091178" target="_blank">而Cybersecurity Help則解釋</a>，該漏洞源自於處理WebP圖像時的邊界錯誤，駭客只要誘導受害者造訪一個惡意網站，就能觸發緩衝區溢位，並於受害者系統上執行任意程式。</p> <p>值得注意的是，此一漏洞影響所有支援WebP圖像處理的瀏覽器。而除了Chrome與基於Chromium的各種瀏覽器（如Microsoft Edge）之外，蘋果的Safari及Mozilla的Firefox也都支援WebP。</p> <p>Windows版Chrome用戶可更新至116.0.5845.187/.188 ，Mac及Linux版Chrome用戶則可更新至116.0.5845.187來修補該漏洞，Google預計會在未來幾天至幾周的時間，全面部署更新版Chrome至所有系統上。</p> </div></div></div>
2023/9/13 17:01作者陳曉莉https://www.ithome.com.tw/news/158723
微軟Patch Tuesday修補兩個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在9月的Patch Tuesday修補了59個安全漏洞，當中涉及Word的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36761" target="_blank">CVE-2023-36761</a>，以及與串流服務有關的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36802" target="_blank">CVE-2023-36802</a>，皆已遭到駭客利用。</p> <p>其中的CVE-2023-36761屬於資訊揭露漏洞，攻擊媒介為Word的預覽窗格，成功的攻擊將會揭露 Windows New Technology LAN Manager（NTLM）雜湊。NTLM為Windows系統中用來進行身分驗證的安全協定，微軟並未說明該漏洞的攻擊場景，<a href="https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review" target="_blank">但Zero Day Initiative（ZDI）團隊認為</a>，駭客很可能利用CVE-2023-36761來進行中繼攻擊，更像是個欺騙漏洞，有鑑於透過預覽窗格便能展開攻擊，意味著它不需要使用者互動，呼籲IT管理人員應將它列為優先修補漏洞。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36761" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-CVE-2023-36761-Microsoft%20Word%20Information%20Disclosure%20Vulnerability(1).png" style="width: 386px;" /></a></p> <p>至於CVE-2023-36802則是Microsoft Streaming Service Proxy的權限擴張漏洞，成功的攻擊將允許駭客取得系統權限。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36802" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-CVE-2023-36802-Microsoft%20Streaming%20Service%20Proxy%20Elevation%20of%20Privilege%20Vulnerability.png" style="width: 382px;" /></a></p> <p>上述漏洞雖已被利用，但僅被微軟列為重要（Important）漏洞。</p> <p>本月微軟修補了5個重大（Critical）漏洞，最嚴重的是涉及Internet Connection Sharing（ICS）的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38148" target="_blank">CVE-2023-38148</a>，另有3個遠端程式攻擊漏洞與Visual Studio有關，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36792" target="_blank">CVE-2023-36792</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36793" target="_blank">CVE-2023-36793</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36796" target="_blank">CVE-2023-36796</a>，還有一個是Microsoft Azure Kubernetes Service的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29332" target="_blank">CVE-2023-29332</a>。</p> <p>ICS為Windows中的一項網路服務，允許一臺連結網際網路的Windows電腦分享網路予其它在同一區域網路上的電腦，CVE-2023-38148漏洞讓駭客只要傳送一個特製的封包至ICS服務便能展開攻擊。而駭客若能成功利用Azure Kubernetes中的CVE-2023-29332漏洞，即可取得叢集管理員權限。</p> <p>而CVE-2023-36792、CVE-2023-36793與CVE-2023-36796雖然是不同的Visual Studio漏洞，但攻擊場景類似，駭客只要說服目標對象於Visual Studio中開啟一個惡意檔案就能進行攻擊，以執行任意程式。</p> </div></div></div>
2023/9/13 15:40作者陳曉莉https://www.ithome.com.tw/news/158712
iPhone 15系列全面改用USB-C
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於臺灣時間今日（9/13）凌晨發表了新一代的iPhone 15系列，棄用了蘋果自2012年以來所使用的Lightning連結介面，全面改用USB-C介面，同一天發表的第二代AirPods Pro也同樣改用USB-C充電。</p> <p>幾年前充電埠的主流規格便從micro-USB轉成USB-C，當時歐盟即曾要求蘋果從善如流，卻遭蘋果拒絕，堅持採用自家開發的Lightning，然而，<a href="https://www.ithome.com.tw/news/153463" target="_blank">歐盟在2022年正式接納以USB-C作為小型電子裝置的通用充電標準</a>，要求所有在歐盟銷售的手機都必須具備USB-C充電埠，並於2026年春天延伸至筆電，而蘋果也被迫遵守。</p> <p>全新的iPhone 15、iPhone 15 Plus、iPhone 15 Pro、iPhone 15 Pro Max，以及第二代AirPods Pro，全都配備了USB-C接頭，由於Mac筆電所使用的Thunderbolt連結介面也相容於USB-C，且大多數的iPad也採用USB-C，因此，在iPhone也加入USB-C的行列之後，同一條連結線就可以替iPhone、Mac、iPad及第二代AirPods Pro充電，或者是直接利用該連結線從iPhone替AirPods或 Apple Watch充電。</p> <p>採用一致的充電標準不僅能減少雜亂的充電線，造福消費者，且當不同品牌的裝置都能以同樣的充電器充電時，還能大幅降低電子垃圾數量。</p> <p>此外，以規格來說，Lightning的傳輸速度與USB2.0相當，為480 Mbps，而USB-C的最快傳輸速度高達80 Gbps，顯示將有更好的發展空間。</p> </div></div></div>
2023/9/13 12:32作者陳曉莉https://www.ithome.com.tw/news/158710
蘋果發表首批碳中和產品，特定Apple Watch組合具備碳中和標誌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2023/09/apple-unveils-its-first-carbon-neutral-products/" target="_blank">蘋果本周發表了</a>該公司首批碳中和產品，是由新一代的Apple Watch領軍，當使用者選配特定的錶殼與錶帶，而達到碳中和的目標時，產品包裝就會出現碳中和的標誌，朝向蘋果於2030年實現所有產品碳中和的前景邁進。同時蘋果也宣布，為了減少對地球的影響，所有的產品線皆已停止使用皮革，包括iPhone配件與Apple Watch錶帶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-Apple%20Watch-carbon%20neutral-package-500.png" style="width: 400px;" /></p> <p>不管是Apple Watch Series 9、Apple Watch SE或Apple Watch Ultra 2都有碳中和的搭配選項，像是採用鋁製錶殼加上全新運動型錶環的Apple Watch Series 9，選擇全新運動型錶環的Apple Watch SE，或者是選擇越野錶環或高山錶環的Apple Watch Ultra 2。</p> <p>蘋果解釋，這些被列為碳中和的Apple Watch款式都符合特定標準，其產品及生產使用100%的綠能，產品總重量的30%使用回收或再生物料，其物流至少有50%不使用空運。上述措施讓這些款式減少了75%的碳排放，再利用高品質的碳權來解決剩餘的碳排放。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-Apple%20Watch-carbon%20neutral-600.png" style="width: 600px;" /></p> <p>根據蘋果的計算，在運輸相同的產品時，海運比空運的碳排放少了95%，亦重新設計Apple Watch包裝以減少重量，增加每批的運輸數量。</p> <p>蘋果的另一項環保計畫是要在2025年實現無塑包裝，而全新的Apple Watch與錶帶系列產品將首次採用全纖維包裝，且iPhone 15的包裝也有超過99%為纖維材質。</p> <p>除了從自身做起，蘋果亦督促供應鏈參與除碳計畫，目前已有超過300家蘋果供應鏈製造商承諾要在2030年以前，使用100%的綠能來生產蘋果零件，已占蘋果供應鏈支出的9成以上。</p> <p><strong><span style="color:#696969;">圖片來源_蘋果</span></strong></p> </div></div></div>
2023/9/13 13:13作者陳曉莉https://www.ithome.com.tw/news/158711
iOS 17將於9月18日開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在臺北時間今（13）日舉行的Wonderlust產品大會上，宣布<a href="https://www.apple.com/newsroom/2023/09/apple-debuts-iphone-15-and-iphone-15-plus/" target="_blank">旗艦智慧型手機iPhone 15</a>系列，同時也<a href="https://www.apple.com/tw/ios/ios-17/" target="_blank">宣布最新行動作業系統iOS 17正式版</a>，將於歐美時間9月18日（臺灣時間9月19日）釋出。</p> <p>iOS 17早在<a href="https://www.ithome.com.tw/news/157198" target="_blank">5月WWDC大會當天</a>開放預覽試用，並在8月底釋出公開beta 2測試版本，功能不少人應該已經使用過。最新版iOS包含為語音產生字幕的Live Voicemail，能在充電時全螢幕顯示訊息、時間或Live Activities的待機（Standby）顯示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-iOS%2017-live%20voicemail-apple.png" style="width: 252px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-iOS%2017-Standby-apple(1).png" style="width: 600px;" /></p> <p>此外，AirDrop新增名為NameDrop的功能（下圖），讓iPhone和iPhone或是iPhone與Apple Watch之間，能近距離將選定的信箱和電話號碼傳給對方。密碼及通行密鑰（Passkey）可透過iCloud Keychain分享給一組受信任聯絡人。住飯店的用戶可以Message Check In通報平安入住飯店，再以AirPlay手機音樂傳到下榻飯店的電視上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-airdrop-namedrop-ios%2017-apple.png" style="width: 600px;" /></p> <p>iOS 17並提供了多項AI新功能，像是日誌（Journal）應用程式，可根據用戶最新活動，如相片、聯絡人、到過的地方等提供個人化建議撰寫內容，或是排程通知。此外，以新的transformer語言模型強化的自動校正（Autocorrect）功能，可以更精準預測文字並輸入以及整句文法校正。視覺查詢（Visual Look Up）讓使用者用來辨識食物、商家、招牌或任何圖像，例如拍照後查詢食譜。</p> <p>iOS 17外，iPadOS 17也會同時於9月18日開放下載。</p> <p>iOS 17支援iPhone機種必須要iPhone SE第2代以上、iPhone XR/XS機種到最新的iPhone 14系列。這意謂著iPhone 8、8 Plus及X將止步於iOS 16。</p> <p><strong><span style="color:#696969;">圖片來源_蘋果</span></strong></p> </div></div></div>
2023/9/13 12:08作者林妍溱https://www.ithome.com.tw/news/158708
macOS Sonoma正式版 9月26日釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/macos/sonoma-preview/" target="_blank">蘋果在今日凌晨的Wonderlust產品大會上公布</a>下一代桌機作業系統macOS Sonoma將在9月26日（臺灣時間9月27日）開放下載。</p> <p>連同iOS/iPadOS 17、watchOS 10，maOS Sonoma也是在今年5月WWDC上宣布，並在7月間公開beta版供用戶下載測試。</p> <p>蘋果企圖透過一些新功能，讓macOS使用經驗更豐富。例如類似Apple TV的豐富螢幕保護程式，此外，新的桌面widget（下圖）可讓用戶直接在桌面操作podcast、關燈等作業。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-macOS%20Sonoma%20Preview-Apple-Widgets%20on%20Desktop-(3)-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>透過「接續互通」（Continuity）功能（下圖），Mac電腦用戶可將iPhone小工具加到桌面上，不必再安裝對應的App。遊戲模式（Game Mode）則透過自動調度CPU、GPU源，可提升電玩串流影格率（frame rate），降低打電玩時的延遲性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-macOS%20Sonoma%20Preview-Apple-Continuity.png" style="width: 573px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>macOS Sonoma也強化視訊功能讓遠距開會的影像品質更好，包括視訊會議中，在共享螢幕時可以「發表人置前」功能讓簡報者以最大畫面在對話畫面置中，或以小畫面浮動在畫面上（下圖），也可以透過螢幕共享和其他與會者共享一個或多個App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-Apple-%20MacOS%20Sonoma-vedio%20conferencing-Presenter%20Overlay-small-WWDC%202023-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>Safari則改善使用經驗，讓用戶建立不同主題類別，如「工作」或「個人」，以便分類累積瀏覽紀錄、建立標籤頁（書籤）群組、cookies。蘋果也強調搜尋回應更快，建議搜尋的相關性也更高。用戶也可以將網頁以App形式加入Dock，點選更快速。macOS Sonoma也改善了訊息、PDF文件、備忘錄的使用便利性。</p> <p>此外，和iOS 17一樣，macOS Sonoma為私密上網（Private Browsing）增加裝置指紋追蹤，並在裝置閒置時上鎖以確保不被人偷看，密碼及通行密鑰（Passkey）則可透過iCloud Keychain分享給一組受信任的聯絡人。</p> <p>macOS Sonoma支援用戶端裝置包括2018 MacBook、Mac Mini、2019 iMac、2017 iMac Pro、2019 Mac Pro及2022 Mac Studio。</p> </div></div></div>
2023/9/13 11:06作者林妍溱https://www.ithome.com.tw/news/158707
Salesforce擴展資料合作夥伴，分別與Databricks、AWS合推ETL資料共享功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Salesforce正在積極拓展資料合作夥伴，分別與<a href="https://www.salesforce.com/news/stories/salesforce-databricks-data-ai-news/">Databricks</a>、<a href="https://www.salesforce.com/news/stories/salesforce-aws-ai-announcement-dreamforce/">AWS</a>推出零ETL資料共享功能，這使得Salesforce用戶可以合併Data Cloud與Databricks Lakehouse的資料，透過整合客戶關係管理與其他營運資料，同時還可以與AWS多種雲端服務像是Amazon Redshift和Amazon EMR進行整合，拓展資料分析涵蓋範疇提供更加個人化的服務。</p> <p>在這樣的合作架構下，Salesforce用戶可以享有自帶資料湖（Bring Your Own Lake，BYOL）的功能，跨Salesforce Data Cloud、Databricks Lakehouse以及AWS儲存服務存取資料，更好地整合外部資料，使用戶能從單一位置以零ETL體驗存取資料。</p> <p>官方解釋，因為Salesforce和Databricks雙方儲存都建立在資料湖倉架構之上，因此能夠從儲存層級進行雙向資料聯合，以低延遲共享資料。而Salesforce與AWS的合作則涵蓋廣泛的雲端服務，包括Amazon Redshift、Amazon SageMaker與Amazon EMR等。</p> <p>Salesforce用戶可以透過資料聯合，從Salesforce Data Cloud存取Databricks以及AWS資料湖的資料，實現跨雲統一客戶資料檔案。同時，用戶也可以透過BYOL資料共享，反向從Databricks或是AWS服務存取Salesforce Data Cloud資料，分析師可以使用儲存在Salesforce的資料，進行更深入的分析，或是供Amazon SageMaker和Amazon EMR使用Salesforce Data Cloud中的統一客戶資料檔案。</p> <p>Salesforce和Databricks在人工智慧服務整合上另一項合作重點，用戶可以運用零ETL資料存取功能，更有效地訓練人工智慧模型。用戶能夠在Databricks機器學習服務中建置、訓練和最佳化人工智慧模型，並將其帶入Salesforce Data Cloud中，在Salesforce平臺上的應用程式中使用。</p> <p>而Salesforce和AWS則更強調在生成式人工智慧技術的合作，用戶可以將基礎模型API服務Amazon Bedrock中託管的大型語言模型，帶到Salesforce中並應用客戶關係管理應用程式中，同時因為Amazon Bedrock也整合了Salesforce的Einstein Trust Layer，因此Salesforce的用戶也可以使用客戶關係管理資料，微調來自AWS、Anthropic、Cohere、AI21 Labs和Stability AI等供應商的大型語言模型。</p> <p>整體而言，Salesforce與Databricks、AWS深度合作，賦予用戶整合Salesforce資料與外部資料源，創建統一客戶資料檔案的能力，並且跨銷售、服務、行銷和商務等業務領域，以人工智慧技術深度分析資料，更全面地了解客戶。Google雲端與Snowflake也早已經與Salesforce合作，提供零ETL資料共享功能，而現在Databricks、AWS加入，Salesforce用戶也就能夠更靈活地跨平臺整合使用資料。</p> </div></div></div>
2023/9/13 08:45作者李建興https://www.ithome.com.tw/news/158699
JavaScript執行環境Bun 1.0推出，可達Node.js的5倍速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bun是一個講求快速JavaScript執行環境與多合一工具包，可用於執行、建置、測試和除錯JavaScript與TypeScript程式，目前Bun釋出<a href="https://bun.sh/blog/bun-v1.0#bun-more-thing">1.0正式版本</a>，已經可以用於生產環境中。</p> <p>之所以會有Bun的出現，官方提到，Node.js經過14年的發展，導致工具在疊床架屋後變得緩慢且複雜。而Bun的目標就是要在不犧牲JavaScript優點的同時，消除Node.js目前存在的缺點。</p> <p>Bun的啟動速度是Node.js的4倍，特別是執行需要轉譯的TypeScript，速度更是比Node.js快上一截，而且由於Bun與Node.js高相容性，大多數現有Node.js應用程式和Npm套件可以直接用Bun執行，如此Bun便可以作為替代品，開發者可以更為簡單地將程式從Node.js過渡到Bun。</p> <p>不同於Node.js使用Google的V8引擎，Bun選擇使用Apple的WebKit引擎，而且Bun內建了JavaScript轉譯器，可以直接執行JavaScript、TypeScript和JSX/TSX檔案，不需要使用外部工具轉換，因此開發者更直接地執行這些程式碼。</p> <p>而且由於Bun本身是一個多合一工具包，就算開發者不將Bun當作執行環境使用，Bun的套件管理也可以加速工作流程，在套件安裝速度上都遠超過Npm、Yarn和Pnpm（下圖）。目前Bun在macOS和Linux已達生產就緒，官方也開始在Windows提供原生支援，但現在仍處於實驗階段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/266451126-23cbde35-b859-41b5-9480-98b88bf40c44.png" style="width: 580px; height: 286px;" /></p> <p>根據Bun官網列出的資料（下圖），Bun在各種工作負載效能表現良好，像是伺服器端渲染React，另一個JavaScript執行環境Deno的速度雖然是Node.js的2倍以上，但Bun在伺服器端渲染React的速度更是Node.js的5倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Bun%20%E2%80%94%20A%20fast%20all-in-one%20JavaScript%20runtime%20-%20bun_sh.png" style="width: 580px; height: 388px;" /></p> <p>由於<a href="https://www.ithome.com.tw/news/128189">Node.js發展已久存在許多技術債</a>，陸續出現試圖解決Node.js問題與限制的專案，像是Node.js之父Ryan Dahl就另外創建了Deno，實現自己理想中的工具，而Bun也是這樣的嘗試，期望能提供一個更完善快速的JavaScript執行環境。</p> </div></div></div>
2023/9/13 08:49作者李建興https://www.ithome.com.tw/news/158705
Google Firestore資料庫添加時間點恢復與排程備份功能，增強資料恢復能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在全託管無伺服器文件資料庫Firestore，<a href="https://cloud.google.com/blog/products/databases/firestore-adds-point-in-time-recovery-and-scheduled-backups">新增</a>兩個好用的災難恢復功能，分別是時間點恢復（PITR）和排程備份，補全Firestore自動資料冗餘備份功能。</p> <p>啟用時間點恢復功能便可防止意外刪除和寫入操作，Firestore會對固定時間間隔的資料進行版本控制，當開發人員錯誤推送或是意外刪除資料時，用戶便可以查詢過去的資料，並且將資料無縫恢復到過去某個時間點。</p> <p>啟用時間點恢復功能具有高精細與低精細度兩種時窗，在高精細度時窗配置，Firestore會保留所有文件變更歷史，在一小時內，用戶可以使用微秒精度的時間戳記，讀取任意版本的文件。而低精細度時窗則可以設定7天到1小時的時窗，每分鐘保留一個版本，用戶可以用分鐘精度時間戳記讀取文件。</p> <p>而排程備份則讓用戶可以配置備份計畫，以每日或是每周的頻率備份Firestore資料庫，用戶可以使用這些備份，將資料恢復到新的資料庫。備份具有可配置的保存期限，且會留存直到該期限到期或被用戶手動刪除。</p> <p>雖然刪除來源資料庫不會自動刪除相關的備份，但是對預設資料庫來說，用戶需要先刪除所有備份，才能刪除該資料庫。Firestore會儲存與資料庫相關的備份和備份計畫的後設資料，直到資料庫所有備份到期或是被刪除。</p> <p>Google雲端新增這兩項新功能，可進一步強化資料恢復能力，除了確保Firestore的SLA達99.999％之外，也可以在需要進行副本切換時，不丟失資料並且立即恢復正常運作，也就是達到0 RPO（Recovery Point Objective）與0 RTO（Recovery Time Objective）。</p> </div></div></div>
2023/9/13 08:54作者李建興https://www.ithome.com.tw/news/158706
企業網路管理也能結合生成式AI！Aruba網路管理平臺Central將利用LLM模型提供問答式AI搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【<strong>印尼巴厘島現場報導</strong>】在12日舉行的Atmosphere亞太區用戶大會上，網路廠商Aruba首度透露未來新AI策略之一，將利用當今火紅的生成式AI技術，優化產品及管理服務，以提高用戶體驗。Aruba計畫在其網路管理平臺Central中開始支援生成式AI功能，讓網管人員可以透過更自然、直覺方式提問，並快速獲得解答，以更有效地管理其網路狀態。另外在AIOps網路維運方面，未來也能結合生成式AI模型，提供故障排除的建議等。</p> <p>今年，不論是軟體或硬體巨頭紛紛將生成式AI納入其產品新戰略，Aruba雖然在AI深耕多年，推出許多AI功能，來優化其網路產品在網路管理與配置，然而，在這波生成式AI浪潮中，Aruba並未即時跟上。直到九月的一場亞太區活動中，Aruba終於透露，未來將在其網路產品中開始整合這項技術，提高用戶體驗。</p> <p>Aruba亞太區產品、解決方案和系統工程資深總監Mark Verbloot在會後一場媒體活動上表示，生成式AI已掀起一股新風潮，促使每家企業或廠商都在某種程度上考慮利用生成式AI來增強其產品，Aruba也不例外，正在密切關注這個新領域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202023-09-13%20%E4%B8%8A%E5%8D%881_32_14.png" style="width: 600px; height: 238px;" /></p> <blockquote><p>Aruba原本在其網路管理平臺Central中已推出支援自然語言處理的AI搜尋功能（如上圖），未來將整合生成式AI進一步提高其<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">回應和</span>處理能力，幫助維運人員更快地識別和檢測網路異常。</p> </blockquote> <p> </p> <p>Aruba計畫在網路管理平臺Central上開始整合生成式AI問答能力，「AI Search就是其中一個可以利用LLM模型加強的功能。」Mark Verbloot表示，它是幾年前在Central中推出的自然語言處理的AI搜尋功能，使用者只需在搜尋框輸入問題，AI搜索引擎就會從存取的資料中提取使用者裝置和網路基礎設施的相關資訊，然後以上下文相關的方式呈現搜尋結果。</p> <p>未來，透過生成式AI提供搜尋的方法，網管人員將能夠以聊天對話的方式提出他們所需查詢的內容，然後由LLM模型根據提問與網路log資料比對，呈現搜尋結果，也可以問答形式給出整理過的摘要和詳細參考資訊，而不只是列出一條條參考結果，這種方式不僅有助於維運人員更快地識別和檢測網路異常，還可以進一步提高管理效率。</p> <p>Mark Verbloot強調，生成式AI的應用不僅限於AI搜尋方面，未來也能進一步加強其AIOps產品在網路維運管理方面的能力，例如提供更具體且詳盡故障排除操作和步驟的建議，協助維運人員快速解決問題，從而減輕其工作負擔。</p> <p>由於建立LLM模型需要大量網路數據作為模型訓練的基礎，Aruba目前管理超過300萬臺企業用戶網路裝置和2億個Client端點產生的網路數據，未來也能利用這些數據進一步發展和優化所需的LLM模型。</p> <p>除了生成式AI之外，在今年的亞太區活動中，Aruba展示了下一版Central中更多的AI新功能。舉例來說，他們推出了名為網路時間旅行（network time travel）功能，這是一個能支援網路快照回溯的AI功能。當有某個網路節點出現異常情況時，維運人員可以透過這個功能回溯到當時的網路狀態，包括操作狀態、配置、事件和性能等，都與當時狀態一致，協助管理人員更快找出問題，加以解決。</p> </div></div></div>
2023/9/12 16:47作者余至浩https://www.ithome.com.tw/news/158698
英特爾發表Thunderbolt 5，最高支援120Gbps單向傳輸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾去年揭示下一代Thunderbolt高速傳輸規格後，終於在今天（9/12)正式發表了Thunderbolt 5，最高可支援至120Gbps，為目前Thunderbolt 4傳輸速度的３倍，瞄準更高傳輸頻寬，多螢幕外接使用需求的遊戲玩家或專業工作者。</p> <p>新的Thunderbolt 5支援USB 4 v2及PCIe Gen4，並相容於Thunderbolt 4與３。在顯示頻寬方面，支援4條40Gbps頻寬線路，在一般使用情形下，以各２條頻寬線路，提供80Gbps雙向傳輸速度，當需要更高傳輸速度時，啟動Bandwidth Boost，調配3條頻寬線路支援至最高120Gbps單向傳輸，接收端以單一頻寬線路支援40Gbps。</p> <p>目前的Thunderbolt 4支援40Gbps，可外接2個4K 60Hz螢幕，而Thunderbolt 5在Full HD模式下可顯示 540Hz，可支援多個8K螢幕，或是外接3個4K的144Hz螢幕，相較於DP2.1的80Gbps，Thunderbolt 5提供高於50%的速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202023-09-12%20%E4%B8%8B%E5%8D%8812_33_30%20(1).jpg" style="width: 600px; height: 300px;" /></p> <p>相較於目前Thunderbolt 4功能已整合至CPU，Thunderbolt 5則是採用代號為Barlow Ridge的獨立控制晶片，英特爾預期將在2024年看到採用新規格的PC及周邊配件推出。儘管Thunderbolt 5沒有整合進CPU，但也讓其得以進入非英特爾CPU的裝置。</p> <p>在PCI Express資料吞吐量方面，Thunderbolt 4可支援PCIe 32Gbps，而Thunderbolt 5可達到PCIe 64Gbps，為Thunderbolt 4的２倍，PCI Express資料傳輸上，可以更快的速度支援外接SSD儲存裝置。</p> <p>Thunderbolt 5相容於Thunderbolt 4、Thunderbolt 3、USB 4、USB 3及DP2.1，英特爾預期在更快的Thunderbolt 5發表後，未來將會和現有的Thunderbolt 4，依照主流市場、辦公室生產力、工作站用戶、創作者及遊戲玩家並存於市場。</p> <p>另外，Thunderbolt 5在PC供電方面，最高可達到240瓦，能夠支援更高供電需求的運算產品，行動裝置則提供15瓦供電。</p> <p>蘋果當初和英特爾合作訂出Thunderbolt高速傳輸規格，蘋果旗下Mac產品大量採用Thunderbolt，目前支援Thunderbolt 4，在英特爾推出Thunderbolt 5後，蘋果旗下產品未來何時支援Thunderbolt 5？英特爾拒絕評論客戶產品。</p> <p>對於外界對於Thunderbolt與USB間的競爭，例如USB 4雖然僅支援20Gbps傳輸，但是在特別的選配規格下，可提高至40Gbps、80Gpbs或是最高的120Gbps，滿足更高頻寬的影像密集傳輸需求，和Thunderbolt 5相仿。對此，英特爾表示，對比於USB選配規格設計，Thunderbolt 5沒有選配規格，而是直接提供80Gbps，動態調配頻寬下最高至120Gbps。</p> </div></div></div>
2023/9/12 21:10作者蘇文彬https://www.ithome.com.tw/news/158693
【資安日報】9月12日，越南駭客藉由Meta即時通訊軟體散布竊資軟體，意圖挾持企業的臉書帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對企業經營的臉書帳號而來的攻擊行動，近期可說是越來越頻繁，繼8月底資安業者Zscaler、WithSecure對於利用竊資軟體Ducktail的攻擊行動提出警告，近期又有其他越南駭客也企圖搜括企業的臉書帳號，但有別於Ducktail攻擊行動透過職場社群網站LinkedIn、接案網站Upwork、Freelancer尋找下手目標，這起攻擊行動的駭客利用Meta即時通訊平臺Messenger來散布竊資軟體。研究人員指出，被駭客鎖定的目標中，每70個人就有1人可能上當。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/mrtonyscam-botnet-of-facebook-users-launch-high-intent-messenger-phishing-attack-on-business-3182cfb12f4d"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">企業臉書用戶在Meta Messenger收到檔案下載連結的訊息要小心，有可能誤裝竊資軟體而被奪走臉書帳號</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_a92bwILy0a8yOXpd9-4haA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_a92bwILy0a8yOXpd9-4haA.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露利用即時通訊軟體Messenger發動的網路釣魚攻擊行動MrTonyScam，越南駭客首先向企業的臉書帳號發送Messenger的訊息，聲稱目標組織侵犯版權，或是想要進一步了解產品為由，傳送RAR或ZIP壓縮檔。</p> <p>這些壓縮檔當中含有批次檔，一旦使用者執行，電腦就會從GitHub或GitLab儲存庫下載惡意軟體載入工具，進而在受害電腦植入以Python打造的竊資軟體。此竊資軟體會蒐刮瀏覽器上的Cookie與帳密資料，完成後將Cookie清除，並將受害者帳號登出Meta旗下所有服務，最終將資料透過Telegram或Discord的API傳送到駭客手上。</p> <p>研究人員指出，駭客為了避免被資安系統察覺異狀，他們採取多種手法迴避偵測，例如：在Messenger訊息使用不同的壓縮檔名稱，並隨機加入Unicode字元；而在竊資軟體執行的Python指令碼project.py裡，駭客加入了5層混淆手法，包含使用ASCII字串遮罩，以及使用zlib、bz2、gzip、lzma等格式進行壓縮。</p> <p><a href="https://www.zscaler.com/blogs/security-research/rise-tech-support-scams-abusing-windows-action-center-notifications"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">技術支援型態的詐騙增加，駭客濫用Windows通知中心讓使用者上當</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/actioncenter-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/actioncenter-2.png" style="width: 300px; float: right;" /></a>資安業者Zscaler針對技術支援詐騙攻擊行動升溫的情況提出警告，他們看到近期駭客假借提供盜版電影串流網站的名義，針對澳洲、加拿大、日本、美國而來。</p> <p>一旦使用者點選播放影片的按鈕，對方會要求他們必須同意網站推送通知，才能正常播放影片。過了一段時間後，使用者就會開始接收到來自Windows通知中心（Action Center）推送訊息的轟炸──起初是普通的廣告，再來就是聲稱電腦遭到病毒感染，必須依照指示處理。當使用者點選上述通知，電腦就會出現全螢幕的畫面、播放警示音，告知電腦已經中毒，使用者必須撥打螢幕上的電話號碼尋求「技術支援中心」協助。由於駭客透過JavaScript指令碼停用多種功能，使用者無法關閉這個全螢幕的網頁，也無法將最小化，或是開啟右鍵選單。</p> <p>研究人員指出，駭客也透過社群網站X（原推特）將使用者導向技術支援的詐騙網頁，他們發布聳動的內容引人上鉤，一旦使用者點選推文，就會被重新導向至冒牌的圖靈驗證網頁，對方要求授予網站的通知權限，若是照做，電腦就會顯示大量煩人的通知，聲稱電腦中毒，必須續訂防毒軟體才能受到保護。研究人員指出，這些攻擊手法並非首見，但過往主要以Microsoft Defender為幌子，而現在有些駭客會「提供」McAfee、Avast的防毒軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-vpn-zero-day-exploited-by-ransomware-gangs/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科多功能網路資安設備ASA、FTD存在零時差漏洞，已出現攻擊行動</span></strong></a></p> <p>上個月資安新聞網站Bleeping Computer指出，勒索軟體Akira藉由思科的SSL VPN設備入侵受害組織，當時資安業者SentinelOne推測駭客可能利用了未知漏洞得逞，隨後另一家資安業者Rapid7發現，勒索軟體LockBit也利用未知的弱點，針對該廠牌設備發動攻擊，當時思科認為，駭客是鎖定尚未配置雙因素驗證的系統進行暴力破解，如今這起攻擊行動的調查有了新的進展。</p> <p>9月11日思科更新一份資安通告，指出勒索軟體駭客的攻擊行動就是利用了CVE-2023-20269，此漏洞存在於該廠牌的網路資安設備ASA、FTD系列，起因是SSL VPN的遠端存取功能、HTTP管理功能、點對點VPN功能之間的身分驗證、授權、記錄（Authentication, Authorization, and Accounting，AAA）協定缺乏適當的區隔造成，攻擊者可在未經授權的情況下，藉由暴力破解攻擊找出有效的帳號及密碼，甚至有可能透過未經授權的使用者，建立無用戶端的SSL VPN連線，CVSS風險評為5.0分。值得留意的是，這項漏洞尚未得到修補，但思科提出了緩解措施，呼籲用戶儘速採取行動。</p> <p><a href="https://www.akamai.com/blog/security/akamai-prevents-the-largest-ddos-attack-on-a-us-financial-company"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國金融業者遭遇633.7 Gbps的大規模DDoS攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/akamai-prevents-the-largest-ddos-timeline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/akamai-prevents-the-largest-ddos-timeline.png" style="width: 300px; float: right;" /></a>資安業者Akamai揭露發生在9月5日的大規模DDoS攻擊行動，駭客使用了ACK、PUSH、RESET、SYN等洪水攻擊手法，針對美國其中一家極具影響力的金融機構下手，流量高峰達到633.7 Gbps，每秒發送5,510萬個封包（55.1 Mpps），過程不到2分鐘。</p> <p>本次攻擊的十大流量來源為保加利亞、巴西、中國、印度、美國、泰國、俄羅斯、烏克蘭、越南、日本，其中，來自美國的流量超過平常的2倍，鎖定對象是該公司的主要網頁，目的很可能是要破壞其網路銀行業務。</p> <p>研究人員指出，DDoS攻擊有越來越高的比例是針對金融業而來，過往平均約占10%至15%，但在最近一年顯著增加，比例超過三成。</p> <p><a href="https://twitter.com/MGMResortsIntl/status/1701256032369164399"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">酒店集團MGM Resorts遭遇網路攻擊，部分IT系統被迫停擺</span></strong></a></p> <p>9月11日米高梅國際酒店集團（MGM Resorts International）公告發生網路攻擊事故，旗下飯店與賭場的網站皆停止服務。根據RawsAlerts報導，此意外嚴重影響MGM Resorts在內華達州拉斯維加斯的賭場運作，ATM與吃角子老虎機臺都失靈，數位房卡也無法使用，MGM Resorts其他地區的飯店與賭場都受到波及。</p> <p>另一家媒體Networkinvegas指出，本次事故發生於9月10日，該集團原本執行數位鑰匙的系統例行維護作業，之後卻發生其他系統陸續出現故障的現象。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/bb8594ec-9e53-41ff-b6e1-1284d3941b8e.shtml"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美聯社新聞寫作範本網站AP Stylebook資料外洩</span></strong></a></p> <p>9月1日美國聯合通訊社（Associated Press）透過緬因州總律師辦公室發布資安通告，他們表示，由第三方服務供應商代管、不再使用的新聞寫作範本AP Stylebook舊網站，在7月16日至22日遭到攻擊，導致224名用戶的個資遭竊，這些資料包含客戶的姓名、電子郵件信箱、居住地址、所在城市、州、郵遞區號、電話號碼、使用者ID。</p> <p>該公司得知此事的原因，是因為有使用者收到網路釣魚郵件，對方要求他們更新信用卡資料，用戶進一步向美聯社確認而使得這起攻擊事件曝光。美聯社獲報後，已將網站下線，以免災情擴大。值得留意的是，這起事故影響人數並不多，但大部分都是記者與相關從業人員，有可能當中部分的使用者是駭客真正的目標。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://securityaffairs.com/150632/cyber-crime/uk-us-sanctioned-11-trickbot-gang-members.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美英聯手起訴11名俄羅斯駭客組織TrickBot成員</span></span></strong></a></p> <p><a href="https://socradar.io/telegram-hit-by-a-ddos-attack-what-is-the-cause-behind-it/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">疑報復帳號遭到停用，駭客組織Anonymous Sudan對Telegram發動DDoS攻擊</span></span></strong></a></p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-23-250-03"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Socomec不斷電系統存在漏洞，有可能導致設備遭到挾持</span></span></strong></a></p> <p><a href="https://arxiv.org/pdf/2309.03492.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露WiKI-Eve攻擊手法，有機會透過Wi-Fi竊取數字組成的密碼</span></span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布電腦版Chrome 116.0.5845.187，修補零時差漏洞CVE-2023-4863</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158685"><strong>【9月11日】駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158654"><strong>【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158641"><strong>【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</strong></a></p> </div></div></div>
2023/9/12 18:32作者周峻佑https://www.ithome.com.tw/news/158704
美國著作權局再度拒絕AI圖像取得著作權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.copyright.gov/rulings-filings/review-board/docs/Theatre-Dopera-Spatial.pdf" target="_blank">美國著作權局（US Copyright Office）最近再度拒絕</a>了一幅AI畫作的著作權申請，這是由Jason Allen利用圖像生成式模型Midjourney所創作的《歌劇院空間》（Théâtre D’opéra Spatial），曾在去年美國科羅拉多州博覽會美術競賽中<a href="https://www.ithome.com.tw/news/152875" target="_blank">奪得數位藝術類別的冠軍</a>。</p> <p>Allen在該作品得獎後，去年9月便向當局申請著作權，著作權局主要關心Midjourney於創作期間所扮演的角色，Allen則說明他為了創作《歌劇院空間》，所輸入或修正的文字描述多達624次，之後再利用Adobe Photoshop進行修改。不過，著作權局要求Allen放棄由Midjourney所創造的部分圖像，才能具備著作權保護的資格，但Allen不願意，於是申請遭到拒絕，而Allen則提出了上訴。</p> <p>近日出爐的則是上訴結果，著作權局的審查委員會指出，他們發現《歌劇院空間》中由AI生成的內容超過了限制，因此必須於申請中放棄部分由Midjourney所生成的內容，但Allen堅持這些內容必須納入他所申請的著作權中。</p> <p>該委員會引用了既有的法令及許多的判決，指出《著作權法》保護的是固定身分作者以任何有形媒介所表達的原始創作，而法院也已對此作出解釋，認為人類作者身分為著作權的基本要求，因而一致地駁回了利用著作權來保護非人類創作的各種企圖。</p> <p>包括Allen在內的許多人認為，他才是輸入各種文字提示至Midjourney的人，他選擇了場景、要強調的部分，還決定圖像的色調，還利用描述來定義畫作的風格與時代，才創造了《歌劇院空間》。</p> <p>然而，著作權局委員會卻認為僅是描述並無法讓Allen成為Midjourney生成圖像的作者，因為他只是輸入了文字，仍是仰賴Midjourney來處理。此外，Midjourney的訓練無法直接將Allen的文字提示當作直接指令，才使得Allen在獲得滿意的圖像之前，需要嘗試數百次，意味著其結果是來自於技術，而非人類。</p> <p>總之，該委員會維持了著作權局原來的看法，指出由於Allen拒絕排除源自非人類作者的成分，因而無法接受該申請。</p> <p>與AI相關的著作權爭議層出不窮，也讓<a href="https://www.ithome.com.tw/news/158526" target="_blank">美國著作權局著手制定新規定</a>，開始接受外界意見以作為立法的參考。</p> </div></div></div>
2023/9/12 16:04作者陳曉莉https://www.ithome.com.tw/news/158696
MLCommons發布AI基準測試新套件，強化模型推論和儲存評估
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟MLCommons<a href="https://mlcommons.org/en/news/mlperf-inference-storage-q323/">公布</a>兩個最新的基準測試套件MLPerf Inference v3.1和MLPerf Storage v0.5，MLPerf Inference又分為邊緣與資料中心，用於測量系統使用經過訓練的模型，處理輸入和生成結果的速度，而MLPerf Storage則可以衡量在訓練模型時，儲存系統提供訓練資料的速度。</p> <p>基準測試對於發展人工智慧與機器學習技術至關重要，基準測試可以提供標準化環境，供研究人員公平地比較不同的演算法和系統效能，由於基準測試除了資料集之外，還包含評估指標，因此所有研究者都可以使用相同的標準，使結果更具比較性。也就是說，基準測試能夠提供一個客觀、量化且可重複的方法，用於評估人工智慧與機器學習技術的效能，促進該領域健康發展。</p> <p>目前生成式人工智慧聊天機器人、自動車輛的安全功能，或是語音轉文字介面等，都離不開機器學習推論，而MLPerf Inference則可衡量各種場景執行模型的速度。MLPerf Inference v3.1具有新的大型語言模型（Large Language Model，LLM）與推薦基準測試，大型語言模型的測試是以GPT-J參考模型總結CNN新聞文章，推薦基準測試則更新推薦器，使用DLRM-DCNv2參考模型與更大的資料集，以更貼近產業實踐。</p> <p>MLPerf Inference主要關注邊緣和資料中心系統的模型推論，針對v3.1版本的提交呈現了多種處理器、加速器，在電腦視覺、推薦系統和語言處理等領域的應用表現，資料提交又分為開放和封閉兩類，並且有效能、功率和網路三大類別。封閉類使用相同的參考模型，確保不同系統表現的公平性，而開放提交則允許參與者使用各種不同的模型。目前MLPerf Inference已有26個提交者，MLCommons總共收到13,500個效能結果提交，以及2,000個功率結果。</p> <p>而MLPerf Storage則是目前第一個，用於測量機器學習訓練工作負載儲存效能的開源人工智慧與機器學習基準套件，由於訓練神經網路是運算密集，同時也是資料密集的任務，因此高效能儲存系統能夠維持整體系統的效能和可用性。</p> <p>官方提到，MLPerf Storage基準由超過10個業界和學術組織合作創建，具有像是平行檔案系統、本地儲存和軟體定義儲存等各種儲存配置。MLPerf Storage或將成為購買、配置和最佳化機器學習應用程式儲存的評估工具。</p> </div></div></div>
2023/9/12 16:17作者李建興https://www.ithome.com.tw/news/158695
Amazon要求書籍作者應主動揭露包含的AI生成內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kdp.amazon.com/en_US/help/topic/G200672390#aicontent" target="_blank">Amazon近日發布出版書更新政策</a>，要求在其平臺上出版的書籍作者，需主動揭露書中包含AI生成的內容，包括文字和圖片。</p> <p>Amazon更新的政策主要牽涉Kindle Direct Publishing（KDP）平臺上出版的書籍。這個平臺允許個人作者免費發布電子書、平裝及精裝紙本書。Amazon近日加入一項關於AI生成內容的規定，要求作者在KDP平臺出版新書，或編輯後重新刊行書籍時，若書中包含AI生成的文字、圖片或翻譯時必須告知Amazon。</p> <p>根據Amazon的定義，以AI工具生成的內容包括文字、圖片或翻譯，會被定義為AI生成的內容，即使事後經過大量編修，也不影響其定義。但是如果作者自行創作內容，再以AI工具編輯、糾錯或以其他方式改進內容（包括文字或圖片），則Amazon會定義為「AI輔助」，就無需告知Amazon。同樣地，在AI工具腦力激盪或提供創意下，作者創作的文字和圖片，也都屬於AI輔助內容。</p> <p>Amazon指出，作者必須根據該平臺的指引，自行判斷其書籍是「AI生成」還是「AI輔助」。</p> <p>Amazon做此調整，是為了回應一些出版業組織如作者公會（Authors Guild）等的要求，他們擔心AI生成的書籍氾濫將排擠人類作者，也認為對不知情買到AI創作的消費者不公平。<a href="https://apnews.com/article/amazon-ai-authors-guild-345bb1a2d80b0a6ddb26978b25c9fb4b" target="_blank">美聯社報導</a>，<a href="https://authorsguild.org/news/amazons-new-disclosure-policy-for-ai-generated-book-content-is-a-welcome-first-step/" target="_blank">作者公會也透過聲明</a>肯定Amazon此舉是確保對AI生成內容的透明度及負責任作法。</p> <p>AI生成內容品質愈來愈好以及AI訓練使用第三方資料的特性，已對各類創作者及新創社群形成衝擊。<a href="https://www.ithome.com.tw/news/158080" target="_blank">募資平臺Kickstarter也在上個月頒布新規定</a>，要求在平臺上架的新創專案，必須揭露使用AI工具產生圖片、文字等內容，或使用第三方資料訓練AI模型的情形，作為審查過程的參考。</p> </div></div></div>
2023/9/12 12:44作者林妍溱https://www.ithome.com.tw/news/158691
MGM Resorts遭網路攻擊，賭場與飯店電腦系統停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>米高梅國際酒店集團（MGM Resorts International）<a href="https://twitter.com/MGMResortsIntl/status/1701256032369164399/photo/1" target="_blank">周一（9/11）透過X坦承遭遇網路安全問題</a>，影響了該公司的許多系統，目前米高梅的飯店與賭場官網全都停擺，<a href="https://twitter.com/rawsalerts/status/1701341043474460790" target="_blank">更有媒體報導</a>包括房卡、ATM或吃角子老虎都失靈了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-MGM-2.jpg" style="width: 550px;" /></p> <p>該集團主要經營飯店與賭場，不僅在美國的許多州都擁有物產，也進駐中國、埃及、印度及杜拜等其它國家，<a href="https://www.ithome.com.tw/news/135944" target="_blank">2020年時該集團發生資料外洩事件</a>，超過1,000萬名的住戶資料外洩，包括Twitter共同創辦人Jack Dorsey與藝人小賈斯汀（Justin Bieber）等知名人物。</p> <p>根據MGM Resorts 的說明，它們最近發現一個影響該公司系統的網路安全事件，於外部資安專家的協助下很快便展開調查，也知會了執法機構，並立即採取措施來保護系統與資料，包含關閉特定系統。目前正在釐清事件的原委與範圍。</p> <p>目前不管是MGM Resorts飯店的<a href="https://www.mgmresorts.com/en/company.html" target="_blank">官網</a>，或者是<a href="https://sports.nv.betmgm.com/en/sports?wm=&btag=&tdpeh=&pid=" target="_blank">賭場的官網</a>，都是處於停擺狀態。訂房或查詢只能回到打電話的傳統模式。</p> <p>而根據RawsAlerts在內華達州拉斯維加斯的報導，此一意外嚴重影響MGM Resorts在當地的賭場運作，除了ATM與吃角子老虎都失靈之外，數位房卡也無法使用，而且看起來MGM Resorts其它地區的飯店與賭場也都受到波及。</p> <p><a href="https://networkinvegas.com/major-cyberattack-hits-mgm-resorts-causing-system-failures-across-las-vegas-strip-casinos/" target="_blank">《Networkinvegas》</a>則說，這起意外始於周日（9/10），當時米高梅對外宣稱正執行數位鑰匙系統的日常維護，但之後其它賭場與系統卻陸續出現故障，從支付系統無法運作、數位房卡失靈到吃角子老虎當機，米高梅一直到周一才對外承認遭到網路攻擊。</p> </div></div></div>
2023/9/12 12:18作者陳曉莉https://www.ithome.com.tw/news/158690
Nvidia開源TensorRT-LLM函式庫強化H100 GPU大型語言模型推論效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前大型語言模型應用蓬勃發展，Nvidia針對語言模型釋出一個能夠強化H100 GPU推論能力的函式庫<a href="https://developer.nvidia.com/blog/?p=70549">TensorRT-LLM</a>，其涵蓋TensorRT深度學習編譯器和各種工具，供開發者用於定義、最佳化和執行語言模型，適用於生產環境加速模型推論。</p> <p>Nvidia提到，由於大型語言模型的規模龐大，而且其運作的特殊性，很難以具有成本效益的方式執行。而Nvidia透過與Meta、Grammarly與Databricks等公司合作，開發能夠加速與最佳化大型語言推論的技術，並將這些技術整合到開源TensorRT-LLM函式庫中。</p> <p>TensorRT-LLM由TensorRT深度學習編譯器組成，包括最佳化核心、預處理和後處理任務，以及多GPU與多節點通訊功能，讓開發者不需要深入了解C++或是CUDA，就能高效能執行語言模型。TensorRT-LLM透過開源模組化Python API提高易用性與可擴展性，讓定義、最佳化和執行大型語言模型更靈活，使用者可以簡單自定義。</p> <p>由於大型語言模型用途廣泛，同一個模型可以處理聊天機器人的問答，也能夠輸出長程式碼區塊，Nvidia指出，如此高度動態的工作輸出的大小可能相差數個量級，因此很難有效地進行批次或平行處理這些工作。</p> <p>TensorRT-LLM採用了一種稱為動態批次處理（In-Flight Batching）的最佳化調度技術，來管理這些動態負載，透過將模型文字生成過程切分為多次執行，如此不需要等待整批次完成，就能處理下一組請求，該方法可提高GPU使用效率，在H100 Tensor Core GPU測試中，吞吐量至少增加1倍，有助於降低總成本。</p> <p>除此之外，TensorRT-LLM還能高效執行大型語言模型。龐大的語言模型像是擁有700億參數的Meta的Llama 2，需要協調多個GPU才能順暢運作，過去開發者必須手動分割模型，才能使模型以最佳效能執行，而TensorRT-LLM利用張量平行性，不需要開發者干預，就可讓模型在多個GPU上高效運作。TensorRT-LLM也包含了許多經最佳化的語言模型，包括Meta Llama 2、OpenAI GPT-2與GPT-3、Falcon、Mosaic MPT以及BLOOM等。</p> <p>TensorRT-LLM結合H100 GPU，讓用戶可以簡單地將模型轉為FP8格式，官方解釋，這是一種稱為Hopper Transformer Engine的技術，使用時不需要變更模型程式碼。模型推論轉用FP8格式，能夠大幅減少記憶體使用，比INT8或INT4有更高的準確性，但效能更快實作也更簡單。</p> <p>TensorRT-LLM帶來明顯的效能改進，雖然H100 GPU原本吞吐量就是A100的4倍，但是在搭配TensorRT-LLM之後，總吞吐量可以提高到8倍（下圖）。在執行Llama 2模型上，H100 GPU的推論效能原本是A100的2.6倍，但在整合使用TensorRT-LLM之後，推論效率可上升到4.6倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0912-Nvidia-A100%20compared%20to%20H100-TensorRT-LLM.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Nvidia</span></span></p> </div></div></div>
2023/9/12 08:24作者李建興https://www.ithome.com.tw/news/158687
Google逕自於Chrome正式推出隱私沙盒，即便Apple和Mozilla持反對立場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布其第三方Cookie替代方案隱私沙盒（Privacy Sandbox）<a href="https://privacysandbox.com/intl/en_us/news/privacy-sandbox-for-the-web-reaches-general-availability">正式在Chrome上推出</a>，這代表廣告供應商和開發人員，可以在其網頁產品和服務中使用包括Topics等6個API，向Chrome用戶推送個人化廣告。</p> <p>Google提到，他們不會在第三方Cookie棄用前對隱私沙盒API進行重大更改，並預計在2024年第1季，對1％ Chrome用戶關閉第三方Cookie，測試新API的有效性，同時評估在2024下半年棄用第三方Cookie的可能性。</p> <p>隱私沙盒是<a href="https://www.ithome.com.tw/news/132617">Google在2019年</a>開始推動的專案，宣稱能夠在收集用戶資料以用於推送廣告的同時，改善網頁與Android使用者的隱私。Google認為單純禁止追蹤技術，會讓廣告商尋求其他追蹤使用者指紋的方法，因此制定一套廣告追蹤標準，用戶反而能獲得更多的控制能力。</p> <p>隱私沙盒是多種廣告追蹤概念和提案的方案，其<a href="https://privacysandbox.com/intl/zh_tw/open-web/#the-privacy-sandbox-timeline">包含的API</a>諸如Topics API、Shared Storage API、Attribution Reporting API和Private State Tokens API等，來達到顯示相關內容與廣告、強化跨網站隱私界線、衡量數位廣告成效，以及打擊網路垃圾內容和詐欺行為等目的。</p> <p>其中Topics API是隱私沙盒的重點，該API目的要在不追蹤用戶存取網站的前提，允許瀏覽器與第三方共享用戶的興趣資訊，讓廣告商能夠推送基於用戶興趣的個性化廣告，協助廣告主觸及潛在客戶。</p> <p>雖然Google在這個新的廣告追蹤方案，處處強調其隱私性，甚至這個方案的名稱本身就有隱私兩個字，但是另外兩個重要瀏覽器廠商Apple與Mozilla皆不買單，而且都還以隱私方面的理由拒絕支援。</p> <p><a href="https://github.com/WebKit/standards-positions/issues/111">主導Safari瀏覽器引擎WebKit開發的Apple，明確地拒絕Topics API</a>，他們認為API不該公開用戶的跨站瀏覽行為資料，更何況跨站資料共享預設開啟，Topics API所提供的跨站資料，能夠讓原本就有大量用戶資訊的第一方網站，獲得更多資訊，當廣告商使用機器學習技術分析透過Topics API取得的資料，能擷取的資訊將超過原本定義的安全範圍，況且Topics API中標準化的主題分類存在偏見，因此對支援Topics API的提案持反對立場。</p> <p><a href="https://github.com/mozilla/standards-positions/issues/622">Mozilla同樣對Topics API抱持反對態度</a>，並提到許多觀點、理由與Apple相同。Mozilla不相信隱私沙盒中隱私保護機制的效果，並且質疑Google所提供的最壞情況分析結果，他們認為實際最壞的情況將更糟糕，同時Mozilla也對Google說詞提出疑問，他們不明白如何一邊加強隱私保護的同時，又對廣告商提供有效的資訊？</p> <p>儘管其他主要瀏覽器廠商對此有不同的看法，Google還是決定於Chrome上正式推出隱私沙盒。根據<a href="https://www.statista.com/statistics/544400/market-share-of-internet-browsers-desktop/">統計和市場研究平臺Statista的資料</a>，Chrome在2023年8月的市占達到了63.53％，其他瀏覽器的市占加總仍遠不及Chrome，就算只有Chrome支援隱私沙盒，依然對網路使用者具有極大的影響力。目前未見微軟在Edge上支援隱私沙盒與否的明確訊息。</p> </div></div></div>
2023/9/12 08:30作者李建興https://www.ithome.com.tw/news/158688
【資安日報】9月11日，駭客假借提供盜版3D建模與圖片處理軟體，鎖定GPU運算能力較佳的電腦發動挖軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不少從事挖礦攻擊的駭客組織，近期將矛頭朝向組織的雲端環境，但端點電腦的用戶也不能掉以輕心。例如，有駭客聲稱提供盜版的Adobe Illustrator、Autodesk 3ds Max、SketchUp Pro等圖像處理軟體或3D建模工具，藉此於受害電腦部署後門程式及挖礦軟體，由於這些商業軟體運用於建築業、機械工程、營造業、製造業、娛樂產業，影響的範圍相當廣泛。而且，執行上述商用軟體都需要高度的圖形運算資源，這也代表駭客在目標電腦執行挖礦軟體可能更加有利可圖。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.talosintelligence.com/cybercriminals-target-graphic-designers-with-gpu-miners/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">電腦下載盜版圖像處理、3D內容製作軟體增添新危機，有可能被駭客視為植入挖礦軟體的最佳目標</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/attack-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/attack-2.jpg" style="width: 300px; float: right;" /></a>思科威脅情報團隊Talos揭露假借提供盜版軟體的挖礦攻擊行動，駭客從2021年11月開始，宣稱提供Adobe Illustrator、Autodesk 3ds Max、SketchUp Pro等知名應用程式的盜版軟體，針對使用法語的使用者而來。</p> <p>但實際上，駭客利用名為Advanced Installer的封裝工具，將原本的應用程式安裝檔案和惡意指令碼封裝在一起，一旦使用者執行駭客提供的安裝程式，電腦就會在安裝上述應用程式的過程裡，同時執行惡意指令碼，然後被植入後門程式M3_Mini_Rat，或是挖礦程式PhoenixMiner、lolMiner。</p> <p>研究人員指出，駭客提供的盜版軟體多半與3D建模或是圖形設計有關，由於執行這些軟體往往需要仰賴圖形運算晶片（GPU），這些電腦往往能在挖礦軟體執行的過程裡提供更多算力。</p> <p><a href="https://www.truesec.com/hub/blog/darkgate-loader-delivered-via-teams"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體DarkGate Loader濫用微軟Teams進行散布</span></strong></a></p> <p>資安業者Truesec發現自上個月出現的惡意軟體DarkGate攻擊行動，他們在一個小時之內收到透過微軟Teams傳送的訊息，但奇怪的是是由2個非公司內部使用的Office 365帳號發送，聲稱是要更動休假的計畫，鎖定人力資源部門而來，要求收到訊息的人士，開啟一個外部ZIP壓縮檔的網址連結（存放在寄送者的SharePoint站臺，而非接收者公司內部的SharePoint站臺），一旦照做，電腦就有可能被植入惡意程式載入工具DarkGate Loader。</p> <p>此壓縮檔內含帶有PDF檔案圖示的捷徑檔案，若是開啟，電腦就會透過VBScript指令碼啟動名為cURL的應用程式，進而下載、執行AutoIT指令碼，該指令碼會產生Shell Code檔案，並偵測目標電腦是否部署Sophos防毒軟體。</p> <p>而且，該Shell Code啟動之後，會採用字串堆疊（Stacked Strings）的手法，以逐個字元（byte by byte）載入的方式，還原DarkGate Loader。</p> <p><a href="https://blog.google/threat-analysis-group/active-north-korean-campaign-targeting-security-researchers/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客再度鎖定資安研究人員下手</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GetSymbol_Project_width-1000_for.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GetSymbol_Project_width-1000_for.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（TAG）指出，曾於2021年針對資安人員發動攻擊的北韓駭客組織，近期似乎重施故技，再度展開攻擊行動。</p> <p>研究人員先是看到駭客透過X（原推特）等社群網站與資安人員建立關係，假借研究具有共同利益的主題來培養交情，經過幾個月的交流，駭客便會企圖將雙方的對話轉向加密通訊軟體Signal、WhatsApp、Wire，傳送內含惡意程式的檔案，此惡意程式鎖定知名應用程式的零時差漏洞。一旦惡意軟體成功進入研究人員的電腦，先檢查環境是否為虛擬機器（VM），收集系統資訊與螢幕截圖並回傳至C2。研究人員解析駭客使用的Shell Code，與2021年攻擊行動的程式相關類似。</p> <p>除了鎖定上述應用程式的零時差漏洞，駭客也散布名為GetSymbol的除錯工具，該程式可在Windows作業系統運作，駭客聲稱其功能針對逆向工程人員打造，號稱能從微軟、Google、Mozilla、Citrix的符號伺服器下載除錯符號（debugging symbols，編按：除錯符號是一種附加特定物件檔案符號表的特殊符號）。然而研究人員發現，此工具還會從攻擊者的網域下載、執行惡意程式碼，他們呼籲已取得、執行該工具的使用者，應該要採取預防措施，最好重新安裝作業系統。</p> <p><a href="https://www.securityweek.com/us-aeronautical-organization-hacked-via-zoho-fortinet-vulnerabilities/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">國家級駭客組織攻擊美國航太機構，鎖定Zoho、Fortinet漏洞下手</span></strong></a></p> <p>9月7日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、網路作戰司令部旗下的網路國家任務部隊（CNMF）聯手發布資安通告，多個國家級駭客自今年1月開始，透過曝露在網際網路的IT服務臺系統Zoho ManageEngine ServiceDesk Plus，利用CVE-2022-47966（CVSS風險評分為9.8）進行未經授權的存取，入侵美國航太組織，並取得網站伺服器root層級的存取權限，建立具有管理權限的本機使用者帳號，然後進行偵察、部署惡意軟體、蒐括帳密資料，並在目標組織的內部網路進行橫向移動。</p> <p>除了針對上述的IT服務臺系統之外，這些機構也發現駭客在部分攻擊行動當中，是針對Fortinet防火牆作業系統的SSL VPN漏洞CVE-2022-42475（CVSS風險評分為9.8）而來，攻擊者停用管理員帳號並刪除防火牆系統的事件記錄檔案，從而抹除攻擊行動的跡象，駭客疑似竊得目標組織先前合作的外部服務廠商帳密資料，建立多個TLS加密連線，然後透過防火牆系統傳輸資料，並橫向移動至網頁伺服器，部署Web Shell。</p> <p>值得留意的是，上述兩個漏洞都在2022年得到修補，但在今年1月，資安業者Rapid7、Mandiant提出警告，已有駭客組織開始用於攻擊行動。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cisa.gov/news-events/alerts/2023/09/07/cisa-fbi-and-cnmf-release-advisory-multiple-nation-state-threat-actors-exploit-cve-2022-47966-and" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-332373976" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.cisa.gov/news-events/alerts/2023/09/07/cisa-fbi-and-cnmf-release-advisory-multiple-nation-state-threat-actors-exploit-cve-2022-47966-and</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.cybercom.mil/Media/News/Article/3518476/cnmf-and-partners-illuminate-multiple-nation-state-exploitation-efforts/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--1454906600" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.cybercom.mil/Media/News/Article/3518476/cnmf-and-partners-illuminate-multiple-nation-state-exploitation-efforts/</span></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/johnson-and-johnson-discloses-ibm-data-breach-impacting-patients/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">嬌生醫療照護系統傳出資料外洩，起因是IBM代管的應用系統遭到攻擊</span></strong></a></p> <p>上週嬌生旗下的醫療照護系統Johnson & Johnson Health Care Systems（Janssen）發布資料外洩事故公告，他們找到IBM代管的資料庫系統弱點，導致未經授權的使用者能存取藥物管理應用程式CarePath的資料庫，經通報後IBM修補相關漏洞並啟動調查，於8月2日完成相關工作，結果發現，確實有人藉由漏洞存取CarePath用戶資料，包括用戶姓名、聯絡資料、生日、健康保險資訊、用藥資訊、就醫記錄，影響大部分在今年7月2日前註冊Janssen線上服務的CarePath用戶，但肺動脈病人不受影響。</p> <p>對此，IBM也於9月6日發布新聞稿證實，指出尚未出現資料遭到利用的跡象。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.janssencarepath.com/notice-of-data-incident" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1339384776" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.janssencarepath.com/notice-of-data-incident</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.prnewswire.com/news-releases/ibm-addresses-data-incident-for-janssen-carepath-database-301919907.html" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-204507731" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.prnewswire.com/news-releases/ibm-addresses-data-incident-for-janssen-carepath-database-301919907.html</span></a></p> <p><a href="https://securelist.com/trojanized-telegram-mod-attacking-chinese-users/110482/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體Evil Telegram現身Google Play市集，鎖定中文用戶及中國少數民族而來</span></strong></a></p> <p>資安業者卡巴斯基揭露鎖定中文使用者與維吾爾少數民族而來的攻擊行動Evil Telegram，駭客在Google Play市集裡，聲稱提供加密通訊軟體Telegram的正體中文、簡體中文、維吾爾語版本，這些惡意版本的App確實具備Telegram的功能，但研究人員發現，這些應用程式挾帶了間諜軟體，會收集使用者的個資，還將使用者接收的訊息傳至C2伺服器，同時也會監控使用者的ID及聯絡人名單。</p> <p><a href="https://www.microsoft.com/en-us/security/business/security-insider/reports/nation-state-reports/digital-threats-from-east-asia-increase-in-breadth-and-effectiveness/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國對臺灣及東亞的網路攻擊與AI認知作戰增加</span></strong></a></p> <p>微軟威脅分析中心（MTAC）針對東亞的數位威脅情勢揭露相關分析，指出中國展開廣泛的網路攻擊及認知作戰。研究人員認為中國駭客的三大攻擊標的分別是南海周邊國家、美國國防工業、美國關鍵基礎設施，其中，尤以臺灣及南海國家的攻擊行動特別活躍。</p> <p>在發動相關攻擊的駭客組織當中，駭客組織Flax Typhoon（亦稱Storm-0919）和Charcoal Typhoon（亦稱Chromium）主要針對臺灣而來，Flax Typhoon主要攻擊電信、教育、資訊技術和能源基礎設施，而Charcoal Typhoon則鎖定臺灣教育機構、能源基礎設施和高科技產業。到了2023年，這些駭客組織鎖定與臺灣軍方合作的相關航太企業。研究人員提到，臺灣是中國駭客的重點攻擊標的，從2022年1月到2023年4月，與臺灣有關的攻擊行動超過90起，第二名則是馬來西亞超過40起，新加坡、菲律賓、印尼則是超過20起。</p> <p>除了網路攻擊，中國也發起大量認知作戰，包含透過社交平臺與更多使用者互動，甚至使用生成式人工智慧製作的影音內容來操作特定議題，藉此詆毀美國政治人物形象。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://nsfocusglobal.com/apt34-unleashes-new-wave-of-phishing-attack-with-variant-of-sidetwist-trojan/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客散布惡意程式SideTwist及Agent Tesla</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bw-auth-bypass-kCggMWhX"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科雲端平臺BroadWorks存在身分驗證漏洞</span></span></strong></a></p> <p><a href="https://www.horizon3.ai/apache-superset-part-ii-rce-credential-harvesting-and-more/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">開源資料圖像化及搜尋工具Apache Superset存在RCE漏洞</span></span></strong></a></p> <p><a href="https://www.mitre.org/news-insights/news-release/mitre-cisa-release-open-source-caldera-operational-technology"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">MITRE與CISA聯手推出OT環境的攻擊模擬工具</span></span></strong></a></p> <p><a href="https://trufflesecurity.com/blog/4500-of-the-top-1-million-websites-leaked-source-code-secrets/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾4千個網站曝露程式碼儲存庫</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/158654"><strong>【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158641"><strong>【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158626"><strong>【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</strong></a></p> </div></div></div>
2023/9/11 17:28作者周峻佑https://www.ithome.com.tw/news/158685
【資安週報】2023年9月4日到9月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，最受關注的就是蘋果在7日緊急更新macOS、iOS，修補兩個零時差漏洞：CVE-2023-41064、CVE-2023-41061，揭露消息的加拿大公民實驗室，將這批漏洞鏈稱為BLASTPASS，並強調它們是可透過iMessageu傳送且不用使用者互動的零點擊漏洞，已在8月底發現有攻擊者藉此漏洞遞送Pegasus間諜程式。此外，Google的9月Andorid例行性安全更新中，也修補一個零時差漏洞CVE-2023-35674，並說明已遭攻擊者成功利用。</p> <p>還要注意的是，今年7月Adobe修補ColdFusion的3個漏洞（2023-29300、CVE-2023-38203、CVE-2023-38204），如今資安業者指出已有針對未修補用戶的攻擊行動。另外，我們在此補充本週資安日報未提及的一個重大漏洞消息。今年5月23日揭露的Apache RocketMQ漏洞CVE-2023-33246，當時已釋出5.1.1版修補，最近有資安業者發現，6月開始出現持續對此漏洞利用的行為。</p> <p>在攻擊活動國際焦點方面，有6起事件值得關注，涉及勒索軟體、合作供應商遇害，國家關鍵基礎建設遭鎖定，以及網釣等形式的惡意行為。</p> <p>●英國柵欄設備製造商Zaun發布資安公告說明上月初遭勒索軟體LockBit攻擊，該國的軍事要塞採用該公司的產品，但因為駭客發動攻擊而拿到Zaun資料，以及駭客後續流出數千頁資料的影響，引發英國國防機密因合作廠商遭駭而外洩的事件。<br /> ●德國聯邦憲法保護局（BfV）發出報告指出，中國駭客組織APT15、APT31針對路由器、防火牆、NAS、網路印表機、智慧家電等家用IoT裝置的漏洞發動攻擊，接管這些裝置後，再用於向政府機關發動攻擊。<br /> ●烏克蘭電腦緊急應變小組（CERT-UA）揭露當地的能源基礎設施受到攻擊，並指出是遭俄羅斯駭客組織APT28攻擊行動鎖定。<br /> ●韓國資安業者揭露北韓駭客Lazarus旗下組織Andariel鎖定韓國國防工業，自今年開始使用多種惡意程式發動攻擊。<br /> ●有駭客組織GhostSec聲稱取得伊朗IT金融服務及IT服務業者FANAP的原始碼，並指出該公司的軟體被伊朗政府用於監控民眾。<br /> ●資安業者揭露中國駭客發起大規模釣魚簡訊攻擊行動Smishing Triad，攻擊者假冒多個郵政單位名義，透過遭駭的iCloud帳號對使用者發送iMessage訊息。</p> <p>另外，今年5月中國駭客Storm-0558入侵25個使用微軟電子郵件系統的組織，以及今年8月勒索軟體Akira鎖定思科SSL VPN設備的攻擊行動，近期都有更詳細的後續調查公布。</p> <p>而在最新的威脅態勢上，有兩起事件值得留意，包括：勒索軟體駭客Ransomed竟以付贖金可免受GDPR巨額罰款的話術來進一步要脅，以及微軟SQL Server遭勒索軟體FreeWorld鎖定。</p> <p>另有2份個資隱私研究出爐，大家應關注與敦促廠商強化相關防護，一份是針對瀏覽器安全設計的研究，美國的大學研究人員指出，Chrome、Firefox與Safari瀏覽器的安全設計不夠完善，若有心人士結合網站漏洞，可透過瀏覽器外掛程式，存取使用者密碼等機密資料：另一是個資保護政策在汽車品牌業者領域未獲重視，25個品牌均未達Mozilla最低安全標準，最離譜的是，廠商居然表示能蒐集車主的性活動，顯然與車輛無關的個資，卻又未說明如何蒐集。</p> <p>至於防禦態勢方面，在半導體資安、軟體開發與供應鏈安全領域有新動向。首先是SEMI E187資安標準規範，這一週舉行的國際半導體展臺灣場，宣布有首批設備通過合格性驗證，它們分別是均豪精密的AOI自動光學檢測設備，以及東捷科技的OHS空中行走式無人搬運系統：另一個進展是Google Cloud與GitLab宣布擴大合作，未來Google Cloud的開發人員可存取GitLab的DevSecOps平臺，而GitLab的用戶也可存取Google Cloud的軟體供應鏈安全框架SLSA評等，以及軟體物料清單（SBOM）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158568"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月4日】Adobe應用程式開發平臺ColdFusion重大漏洞被用於部署挖礦軟體、後門程式擊</span></strong></a></h3> <p>Adobe在7月份的例行更新裡，修補了應用程式開發平臺ColdFusion的重大漏洞CVE-2023-29300，不久後就有研究人員公布概念性驗證程式（PoC），接著就出現相關的漏洞攻擊。雖然Adobe已推出修補軟體，但現在仍有駭客針對相關漏洞而來，目的是想濫用這個平臺挖礦牟利。</p> <p>值得留意的是，駭客一口氣至少部署3種以上的挖礦程式，部分還能操控受害伺服器進行DDoS攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/158612"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月5日】瀏覽器的安全設計不良再加上網站漏洞讓惡意擴充程式有機可乘，挖掘用戶機密資料</span></strong></a></h3> <p>瀏覽器的健全左右所有使用者的上網安全，因此Google、Mozilla等業者與組織頻繁推出軟體更新、希望能盡快修補漏洞。但有研究人員發現，這些瀏覽器普遍存在安全設計瑕疵，攻擊者可透過外掛程式竊取使用者輸入的密碼，或是信用卡資料。為了證實這樣的風險，他們進行概念性驗證（PoC），打造可進行這類攻擊的Chrome擴充套件，結果通過Web Store市集的審核而成功上架。</p> <p>由於採用較嚴謹的Manifest V3而成的Chrome擴充套件，存在上述弱點，研究人員認為，使用Manifest V2規範的Firefox、Safari，也同樣可能受到相同手法的攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/158626"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月6日】瀏覽器的開發工具元件成駭客竊取資料管道，研究人員揭露惡意軟體Chaes新一波攻擊行動</span></strong></a></h3> <p>最近幾個月駭客利用瀏覽器來發動攻擊的情況不斷上演，其中最常見的手法，是利用惡意擴充套件來上下其手，但最近有駭客是直接濫用瀏覽器的內建工具來從事攻擊行動。</p> <p>例如，資安業者Morphisec針對今年年初出現的惡意程式Chaes新版Chae$ 4進行分析，結果發現，駭客盜取資料的管道，竟是直接利用Chrome的內建開發工具（DevTools），並透過其通訊協定來傳輸竊得資料。</p> <h3><a href="https://www.ithome.com.tw/news/158641"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月7日】惡意程式Agent Tesla透過5年前Office漏洞發動攻擊</span></strong></a></h3> <p>攻擊者利用Office檔案散布惡意程式的方式，算是相當常見，而過往最普遍的手法就是利用帶有巨集的Office檔案來進行，但隨著微軟這幾年封鎖惡意巨集的執行，駭客也尋求其他突圍手法。</p> <p>例如，在近期的惡意軟體Agent Tesla攻擊當中，駭客利用的就是含有物件連結與嵌入（OLE）物件的Excel檔案，並宣稱使用者必須依照指示開啟，才能檢視完整內容。</p> <h3><a href="https://www.ithome.com.tw/news/158654"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月8日】網釣工具包W3LL挾持微軟帳號，並繞過雙因素驗證，暗中運作6年才曝光</span></strong></a></h3> <p>駭客透過網路釣魚工具包發動攻擊的情況極為氾濫，不只是資安媒體報導的眾多團體，有些行跡相當隱密，最近資安業者Group-IB揭露的W3LL，就是一例。網路犯罪生態圈經營時間長達6年，主賣功能豐富的網釣工具包套件，並能加購可從事商業郵件詐騙（BEC）的相關模組。</p> <p>為何W3LL一直沒被發現？因為他們只靠駭客私下介紹買家，未曾在網路犯罪論壇進行宣傳。</p> </div></div></div>
2023/9/11 12:30作者羅正漢https://www.ithome.com.tw/news/158662
Chrome預設將啟用更即時的網釣保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/Google-chrome-new-features-redesign-2023/" target="_blank">Google上周宣布</a>，將更新Chrome中的Safe Browsing標準保護模式，讓使用者在瀏覽時得以比對最新的惡意網站列表，提供更即時的網釣保護，相關更新將於未來幾周部署。</p> <p>Safe Browsing為Google所開發的服務，列出了含有惡意程式或網釣內容的網站，包括Chrome、Safari及Firefox等瀏覽器都支援Safe Browsing，在使用者造訪網站時比對該惡意網站列表，以封鎖出現在列表上的網站並向使用者示警。至於微軟的Microsoft Edge雖然基於Chromium專案，卻是使用微軟自行建置的SmartScreen來過濾惡意及網釣網站。</p> <p>Chrome中的<a href="https://support.google.com/chrome/answer/9890866?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">Google Safe Browsing</a>預設值為標準保護（Standard Protection）模式，使用者也可關閉Safe Browsing，或者是切換到把關更嚴格的加強保護（Enhanced Protection）模式。</p> <p>Google解釋，過去的標準保護模式雖然是在使用者造訪每個網站時，就會比對本地端所儲存的惡意網站列表，但該列表為每30分鐘至60分鐘才更新一次。有鑑於駭客的行動愈來愈迅速，現階段有6成網釣網站的平均存活時間不到10分鐘，使得它們更容易逃過被封鎖的命運。</p> <p>為了能更有效地封鎖這些惡意網站，Google決定升級標準保護模式，讓它可比對即時的已知惡意網站，且使用者無需與Google分享其瀏覽歷史紀錄，藉由縮短辨識惡意網站及預防之間的時間差，預期可改善25%的Chrome封鎖能力。</p> <p>若是需要更強大的瀏覽保護，則可切換至加強保護模式，該模式將利用AI技術來封鎖最新的攻擊，還能深度掃描使用者所下載的檔案，也能防範惡意的Chrome擴充程式。</p> </div></div></div>
2023/9/11 16:44作者陳曉莉https://www.ithome.com.tw/news/158683
DHH宣布從Turbo 8框架中刪除TypeScript支援，引發社群不滿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby on Rails的創造者DHH（David Heinemeier Hansson），在<a href="https://world.hey.com/dhh/turbo-8-is-dropping-typescript-70165c01">部落格提到</a>自己從來都不是TypeScript的粉絲，而且認為該語言是他程式開發體驗的阻礙，因此宣布從框架Turbo 8中刪除TypeScript。而此舉引來社群開發者不滿，並表示DHH決定過於倉促，可能導致現有生態系被破壞。</p> <p>Turbo本身雖然不是一個熱門框架，但卻是Hotwire設計框架背後重要的元件，Hotwire的特色是能夠大幅減少自定義JavaScript程式碼的使用，以HTML-Over-The-Wire策略來加速網頁渲染。HTML-Over-The-Wire從字面意思解讀是透過電線傳送HTML，當應用程式需要更新或是發生變化時，由伺服器直接傳送HTML片段給客戶端，而非傳送JSON資料或是JavaScript程式碼，由客戶端解析並渲染。</p> <p>傳統的前端框架當用戶與應用程式產生互動時，伺服器通常只會傳送資料，然後才由客戶端解析並渲染新的使用者介面，但是在HTML-Over-The-Wire策略中，伺服器則會直接傳送完整或是部分的HTML片段，客戶端只要將這些片段插入當前頁面即可，該方法的優點是能夠減少客戶端處理JavaScript的複雜性，因為絕大多數的邏輯和渲染會在伺服器端完成。</p> <p>這種策略適合用於想要減少前端複雜性，但又想提高效能的時候，尤其是開發者想要保有伺服器端渲染的好處，但又不想放棄客戶端互動性的用例。</p> <p>DHH宣布把Turbo中的TypeScript刪除，這代表在接下來的Turbo 8中，不會支援與使用TypeScript，在Turbo框架中，官方便不再整合和考慮TypeScript。因此開發者在使用Turbo 8的時候，可能無法使用TypeScript特定功能。</p> <p>在部落格中，DHH提到自己喜歡JavaScript，甚至可以說是繼Ruby第二喜歡的語言，在ES6之後，JavaScript加入了正式類別語法以及各種功能後，DHH認為用JavaScript編寫程式碼變成一種樂趣。</p> <p>許多貢獻者在移除TypeScript的GitHub拉取請求頁面留下<a href="https://github.com/hotwired/turbo/pull/971">意見</a>，有開發者提到，Turbo從TypeScript轉換回JavaScript，代表Hotwire生態系中許多套件都會故障，而且與此同時，所有開放拉取請求都已經過時，即便當中有一些良好的貢獻，而且IDE也將無法像過去一樣提供自動完成功能。甚至有不少開發者，認為這樣的改變是一種退步。</p> <p>由於TypeScript是一種強類型語言，變數、參數和物件屬性都有明確的類型，而明確類型使IDE可以準確知道變數或物件的屬性與方法，進而更有能力提供更具上下文的自動完成和程式碼提示。</p> <p>DHH也在討論串下回應，表示雖然使用TypeScript對一些人提供優勢，但是他認為，不使用TypeScript也帶來一些好處，程式碼更好閱讀，而且也不需要為了滿足TypeScript編譯器進行額外的類型操作。37signals所有客戶端程式碼和內部函式庫都以純JavaScript編寫，而這項Turbo變更，將會使技術堆疊更一致，DHH也強調，自己的立場不會因為開發者的討論而改變。</p> <p>雖然Turbo 8放棄支援TypeScript，但這不代表客戶端程式碼不能使用TypeScript或是其他TypeScript函式庫，因為JavaScript和TypeScript間完全相容，開發者仍然可以編寫和執行TypeScript代碼，因為TypeScript最終會被編譯成JavaScript。DHH強調，Turbo 8不再支援TypeScript，並不會阻礙開發者使用TypeScript。</p> </div></div></div>
2023/9/11 16:52作者李建興https://www.ithome.com.tw/news/158684
OpenAI競爭者Anthropic發表付費訂閱版AI助理服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推出聊天機器人Claude 4個月後，OpenAI競爭者Anthropic上周發表<a href="https://www.anthropic.com/index/claude-pro" target="_blank">付費訂閱版AI助理服務</a>。</p> <p>Anthropic是獲得Google投資支援的AI新創業者，5月發表及測試Claude.ai聊天機器人，強調比競爭者更重視誠實、道德等原則，不會給予危險、有害的回答。該公司7月又推出效能及安全性更提升的<a href="https://www.ithome.com.tw/news/157739" target="_blank">Claude 2</a>，並將公測對象推到美、英兩國用戶。最新發表的服務名為Claude Pro，也是以美、英為首波推出地區。</p> <p>Anthropic指出，7月新服務推出後，用戶因為記憶力更長（每次最長可接受100,000 tokens，約7.5萬英文字）、輸出效能更快、以及複雜的理解能力等理由，而選擇Claude.ai作為日常用的AI助理。其他人則讚賞能上傳更多檔案，輸入更多次的訊息。</p> <p>付費版Claude Pro則可提供模型Claude 2比免費版多5倍的用量，上傳更多訊息及檔案。<a href="https://support.anthropic.com/en/articles/8324991-about-claude-pro-usage" target="_blank">根據Claude網頁</a>，每8小時內可上傳訊息由20次提高為100次。此外，付費版用戶也能在高流量期間擁有優先權，以及提早試用新功能。這些功能意謂用戶可提高工作生產力，包括為研究論文做重點整理、查詢合約、改進程式碼等。</p> <p>價格方面，Claude Pro方案為每個月20美元（或18英鎊）和OpenAI的ChatGPT Plus相同。</p> </div></div></div>
2023/9/11 14:47作者林妍溱https://www.ithome.com.tw/news/158669
北韓駭客再度鎖定資安研究人員展開攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/active-north-korean-campaign-targeting-security-researchers/" target="_blank">Google旗下的威脅分析小組（Threat Analysis Group，TAG）近日提醒</a>，<a href="https://www.ithome.com.tw/news/142472" target="_blank">2021年時鎖定資安研究人員發動攻擊的北韓駭客組織</a>，在兩年半後似乎又重施故技，利用社交平臺與零時差漏洞，再度針對資安研究人員展開攻擊。</p> <p>TAG指出，駭客的手法與之前如出一轍，先是透過X（先前的Twitter）等社交網站與資安研究人員建立關係，藉由一起研究某些有共同利益的主題來培養交情，在經過幾個月的交流之後，駭客便會企圖將雙方的對話移至諸如Signal、WhatsApp或Wire等加密傳訊程式，繼之傳送一個含有惡意程式的檔案予目標對象。該惡意程式鎖定了一個熱門軟體的零時差漏洞。</p> <p>成功入侵研究人員的系統之後，該惡意程式會先執行一系列的反虛擬機器檢查，以偵測受害者的環境，並採取必要行動來躲避偵測，繼之再將所蒐集的資訊及螢幕截圖回傳至駭客所控制的C&C伺服器上。該惡意程式所使用的Shellcode之構造與北韓駭客先前所使用的Shellcode非常類似。</p> <p>Google並未揭露該熱門軟體的名稱，僅說已將相關研究轉交給軟體開發商，目前正在建置修補程式，TAG準備在修補程式出爐後再公開更多漏洞細節。</p> <p>除了攻陷熱門軟體的零時差漏洞，北韓駭客也開發了一個Windows工具GetSymbol Project，宣稱可用來下載微軟、Google、Mozilla及Citrix符號伺服器上的除錯符號，以供反向工程師使用，並在2022年的9月上傳至GitHub。</p> <p>GetSymbol Project理應是個非常有用的工具，可快速自不同的來源下載符號資訊，然而，TAG團隊卻發現它會自駭客的C&C伺服器上下載並執行任意程式，建議已下載的研究人員最好檢查一下自己的系統，或許需要重新安裝作業系統。</p> <p>目前在GitHub已找不到GetSymbol Project，可能已被移除。</p> </div></div></div>
2023/9/11 14:17作者陳曉莉https://www.ithome.com.tw/news/158668