iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 12篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

英國開始調查Amazon及微軟等雲端服務有否危害市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國電信主管機關<a href="https://www.ofcom.org.uk/news-centre/2023/ofcom-refers-uk-cloud-market-to-cma-for-investigation" target="_blank">Ofcom周四（10/5）指示</a>英國競爭與市場管理局（Competition and Markets Authority，CMA）調查境內的公有雲基礎設施服務，以檢視該市場是否存在競爭問題，並特別點名微軟的軟體授權作法。</p> <p>Ofcom認為，雲端運算已成為英國經濟中許多企業的重要支柱，涵蓋電信業者、廣播公司與公家機構，它在全球各地建置了資料中心，並讓英國組織得以遠端存取軟體、網路與儲存空間，改變了遞送服務的模式。然而，有些英國企業擔心很難切換或混合不同的雲端供應商，也不確定這些雲端供應商是否維持平衡的競爭，使得Ofcom在去年10月展開調查，<a href="https://www.ofcom.org.uk/__data/assets/pdf_file/0027/269127/Cloud-services-market-study-final-report.pdf" target="_blank">並在本周發布正式報告</a>，同一天也將該報告交由CMA以供進一步的調查。</p> <p>英國最大的兩個雲端架構服務供應商為Amazon Web Services（AWS）與微軟，它們在2022年的合併市占率是70~80%，Google以5~10%位居第三，意味著絕大多數的雲端客戶皆以某種形式使用這些業者的服務。去年英國該市場的規模約介於70~75億英鎊之間。</p> <p>Ofcom發現，不同雲端供應商之間的競爭著重於吸引剛要遷移至雲端的新客戶，有些是透過創新的產品、折扣或是多元的軟體服務，然而，Ofcom更在意的是有些競爭功能是侷限在令客戶更難切換或使用混合雲端服務，包括資料輸出費用、技術障礙及有條件的折扣。</p> <p>Ofcom解釋，相較於其它較小的雲端供應商，這些超大型雲端供應商要求更高的資料輸出費用，可能讓企圖轉用其它服務的客戶卻步；有些則是切換雲端供應商的技術門檻太高，令客戶更難使用其它服務；要求客戶購買一定金額才有的折扣也會將客戶鎖在同一個供應商的服務中。</p> <p>此外，Ofcom於該報告中特別點名了微軟的軟體授權措施，指出有人指責微軟利用該公司在軟體產品上的強勢地位來改變雲端基礎設施的競爭狀態，例如讓客戶不喜歡於非微軟雲端服務上使用某些微軟軟體。其實同樣的指控也出現在Oracle身上，但因Oracle於該市場的規模太小而使得Ofcom決定聚焦於微軟。</p> <p>上述的考量讓Ofcom指示CMA展開進一步的調查，以探測該市場的競爭狀況，並提出改善方式。CMA已經成立了專門的調查小組，該小組成員也將擔任此一調查的決策者，預計於近期內便會發布調查重點以供業者參考，而正式的調查報告則會在明年4月出爐。</p> </div></div></div>
2023/10/6 15:57作者陳曉莉https://www.ithome.com.tw/news/159162
Cloud周報第186期：英特爾開發者雲端服務正式推出，年底將增加大型運算叢集Gaudi2系統，可用於上千億參數的LL…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/28～10/04）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發者雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">英特爾Developer Cloud正式推出，可供開發者在雲端測試和部署LLM模型等新的工作負載</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230919_154351441.jpg" style="width: 600px; height: 338px;" /></p> <p>經過將近1年測試，英特爾在年度創新日上宣布Developer Cloud開發者雲正式GA，現在開發者已經可以透過該雲端平臺使用其最新硬體進行AI應用測試和部署，包括AI硬體加速器Gaudi2、第5代Xeon Scalable處理器及資料中心GPU Max系列等。</p> <p>英特爾介紹其開發者雲平臺，其中包含了多種英特爾最新硬體平臺可以對應到不同規模的AI或LLM模型訓練和推論的測試需求，例如開發者可以使用Xeon Scalable伺服器，在小型或中型的VM上執行小模型的推論和微調(參數介於70～200億)，此外，還可進一步搭配具備算力更強的Gaudi2或是資料中心GPU Max系列等，以支援500億參數的大模型推論。</p> <p>值得一提的是，英特爾計畫在年底推出以Gaudi2為基礎的大型運算叢集服務，可用於上千億參數的LLM模型訓練，頗有與同樣今年發表的Nvidia DGX Cloud超級電腦運算服務互別苗頭的意味。</p> <p>但與Nvidia不同的是，英特爾主要是自行建置該雲端平臺，並沒有提供公雲託管的選項。除了硬體平臺，英特爾開放使用Intel AI和機器學習工具套件與函式庫，可供用戶加速模型評估和開發，以縮短產品開發到上市的時程。</p> <p>另外，在資料安全方面，除了透過機密運算提供硬體加密保護機制，英特爾最新加入Trust Authority可信環境執行的驗證服務，強化在開發者雲的資料保護。Developer Cloud目前共推出三種服務方案，分別是免付費的標準版、按需付費的專業版，以及團體的企業版。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI建置服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS生成式AI建置服務Bedrock正式推出，新增Llama 2模型及嵌入式LLM</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(16).png" style="width: 600px; height: 319px;" /></p> <p>雲端巨頭AWS 近日宣布自家的生成式AI建置服務Bedrock現已推出，可協助用戶建立生成式AI應用，藉此替他們在雲端生成式AI競賽上扳回一成。</p> <p>Bedrock是一個基礎模型API服務，用戶可以透過API存取AWS的基礎模型，開發自己的生成式AI應用，也能夠使用AI21 Labs、Anthropic、Cohere、Meta、Stability AI等第三方的基礎模型，AWS在4月介紹這項新服務，並在9月底正式推出。同時增加Meta的Llama 2和嵌入式Titan Embeddings兩個新模型供用戶選擇。</p> <p>AWS強調，Bedrock採用無伺服器架構，因此客戶無需管理任何基礎設施，就能將生成式AI功能迅速整合和部署到他們的應用程式中。</p> <p>為了強化Bedrock服務，AWS母公司Amazon最近剛向OpenAI競爭對手Anthropic投資40億美元，要讓Anthropic能深度支援Bedrock。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI助手 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">SAP發表生成式AI助手Joule ，將整合到S/4HANA ERP在內等雲端應用服務</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap37(1).png" style="width: 600px; height: 334px;" /></span></strong></p> <p>搶搭生成式AI熱潮，ERP大廠SAP最近推出了名為Joule的生成式AI助手，並計畫將其內建在人力資源、費用支出、供應鏈、採購、客戶體驗管理及SAP商業技術平臺中，藉此提高用戶使用體驗。</p> <p>例如企業可以向Joule提問，快速整理出各地區銷售表現排名，也能夠分析資料庫的資料找出供應鏈問題後，再透過供應鏈系統提出建議，甚至未來還能協助人資編寫新職缺，或是列出建議的面試問題等。</p> <p>Joule預計今年稍晚將在SAP人資雲和SAP Start中推出，明年初跟進在SAP S/4HANA Cloud標準版中提供，後續將在SAP CRM雲、SAP採購雲和SAP商業技術平臺推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Oracle資料庫服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟擴大與資料庫巨頭Oracle合作，使企業能在Azure中部署甲骨文OCI的資料庫服務</span></strong></p> <p>微軟近日宣布與甲骨文（Oracle）擴大結盟，推出Oracle <a href="mailto:Database@Azure">Database@Azure</a>新服務，將在Azure資料中心開始提供甲骨文雲端基礎設施（Oracle CloudInfrastructure，OCI）上的Oracle 資料庫服務。</p> <p>這並不是微軟與甲骨文的首次合作，早在去年雙方推出適用於 Azure的Oracle資料庫代管服務，讓企業可以在OCI環境中使用Azure管理工具布建、存取及執行Oracle資料庫服務。</p> <p>新推出Oracle <a href="mailto:Database@Azure">Database@Azure</a>服務，看起來就像是將整套甲骨文雲端基礎設施的環境搬進了Azure資料中心，因此具備和OCI環境中執行資料庫服務相同性能、擴充規模及工作負載可用性，同時能利用Azure的安全、彈性及多元化服務等特性。微軟表示，用戶可於Azure中部署Oracle ExadataDatabase、Oracle Autonomous Database及Oracle Real Application Clusters等資料庫服務。此外，雙方強調此一整合環境將簡化用戶於Oracle資料庫及Azure之間的雲端採購及管理。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">跨平臺整合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google與Salesforce結盟，要讓Workspace生成式AI助手能容易取得企業CRM資料優化其生產力</span></strong></p> <p>近期， Google宣布與CRM業者Salesforce擴大合作，推動跨平臺的生成式AI體驗，將整合Google Workspace中生成式AI助手Duet AI和Salesforce Customer 360平臺的生成式AI助手Einstein Copilot，優化各自在企業CRM和生產力工作流程。</p> <p>舉例來說，Duet AI可以根據企業用戶帳戶、聯絡人和來自Salesforce的CRM資料，產生自訂的Google簡報和文件，還能將自Gmail和Google日曆的Google Meet會議摘要和上下文匯入到Salesforce系統中以更新其記錄，並自動安排後續行動和分配任務等，例如將已簽署的合約發送至 Salesforce相關服務中，並根據文件數據產生盈虧報告等。此外，Einstein Copilot也能夠存取Workspace中的相關上下文，以優化銷售、服務、行銷、商務等領域的工作流程。</p> <p>在資料保護方面，Google表示，將整合Salesforce和Google Workspace 中現有的隱私和用戶資料保護機制。除了有跨平臺的生成式AI助手合作，雙方進一步還將提供LLM模型的跨平臺互通，使用戶未來在Vertex AI部署的LLM模型，如PaLM 系列模型，將能在Salesforce的Einstein 1平臺中來執行。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">企業碳盤查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IBM更新碳排放資料平臺Envizi，導入NLP技術簡化盤查資料的分類和管理</span></strong></p> <p>近日，IBM更新雲端碳排放資料平臺Envizi，新增了自然語言處理（NLP）功能，讓企業開始可以用更自動化的方式，完成對碳排放源資料的分類和管理，加快包含範疇3在內的企業碳盤查工作。</p> <p dir="ltr">Envizi是IBM去年推出的碳排放資料蒐集和監控的雲端軟體套件，不僅限於IBM產品，也支援其他第三方的IT或OT設備。該平臺還包含了內建的嵌入式排放因子庫，涵蓋了超過180個國家和地區，可用於計算排放數據。</p> <p>IBM表示，使用NLP的文字分類功能，將有助於企業自動提取、彙整和管理排放計算和外部揭露所需的相關支出數據，提高盤查作業效率。</p> <p> </p> <p>攝影／余至浩圖片來源／AWS、SAP</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.本土電商PChome大舉擁抱雲端加速轉型新零售，不只電商購物平臺，連核心系統ERP都要上公雲</strong></p> <p><strong>2.德國百年老車廠BMW宣布將採用公雲，結合生成式AI、物聯網開發下一代ADAS自動駕駛平臺</strong></p> <p><strong>資料來源：iThome整理，2023年10月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/10/6 14:29作者余至浩https://www.ithome.com.tw/news/159160
法院文件顯示蘋果曾考慮買下微軟Bing、使用DuckDuckGo作為預設搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.bloomberg.com/news/articles/2023-10-04/apple-considered-switch-to-search-engine-duckduckgo-from-google" target="_blank">彭博</a>》、《<a href="https://www.washingtonpost.com/technology/2023/10/05/apple-microsoft-bing-google-search-trial/" target="_blank">華盛頓郵報</a>》、<a href="https://edition.cnn.com/2023/10/05/tech/apple-microsoft-bing-duckduckgo-google-search/index.html" target="_blank">CNN</a>報導，為了和Google搜尋抗衡，蘋果曾經想過引進其他搜尋引擎，包括買下Bing搜尋或用DuckDuckGo取代Google作為Safari瀏覽器隱私模式的預設搜尋引擎，但最後仍打消此意。</p> <p>9月12日美國司法部對Google提出搜尋引擎控告。美國法官Amit Mehta周三解密的訪談抄寫文件，揭露蘋果為對抗Google設想過之前不為人知的策略。</p> <p>文件顯示，蘋果2018年到2020年間曾考慮買下微軟Bing搜尋，或是投資Bing、雙方成立合資公司。同時間，蘋果也曾在2018到2019年之間和搜尋引擎業者DuckDuckGo討論過，以它作為Safari隱私模式下的瀏覽器。DuckDuckGo強調搜尋公正式，也不蒐集使用者資訊。文件中DuckDuckGo執行長Gabriel Weinberg指出，蘋果Safari已整合了DuckDuckGo的隱私技術，雙方甚至談到合約細節及做出產品mockup。</p> <p>最終蘋果Safari預設搜尋並沒有使用Bing或DuckDuckGo，仍然是Google。沒有使用Bing及DuckDuckGo的原因為何，微軟廣告與Web服務執行長 Mikhail Parakhin的說法是，微軟曾經提議支付蘋果大筆金額，以取得Safari預設搜尋的位置，但遭到Google阻撓。微軟並未說提議付出的金額，但曾說金額甚至超出Bing的營收。但Google付的更多。</p> <p>DuckDuckGo也是類似說法，並說Google也是如此阻撓他們和Mozilla Firefox、Opera、Samsung的合作。分析師估計，在Safari上，Google可能付給蘋果每年高達190億美元。Google支付Mozilla大約3年10億美元以交換Firefox的搜尋預設。</p> <p>但蘋果搜尋部門高層John Giannandrea作證時指出，蘋果內部測試Bing的效能不如Google，使用Bing對蘋果用戶沒有好處。Giannandrea並說，蘋果並未認真討論過Safari隱私模式要從Google換成DuckDuckGo，而他也對DuckDuckGo和微軟之間合作關係抱持保留態度，因為這可能有損用戶隱私。</p> <p>DuckDuckGo顯示的廣告是來自微軟廣告平臺。<a href="https://www.ithome.com.tw/news/151124" target="_blank">曾有安全研究人員聲稱</a>，DuckDuckGo會封鎖Google及臉書的追蹤器，卻把DuckDuckGo用戶資料傳送給Bing與LinkedIn。</p> <p>9月展開的美國司法部vs.Google將是繼1998年司法部vs.微軟後，最重要的反托拉斯法案件之一。有趣的是，<a href="https://www.cnbc.com/2023/10/02/microsoft-ceo-testifies-about-competing-with-google-in-antitrust-trial.html" target="_blank">本周微軟執行長Satya Nadella甚至出席聽證會指控</a>，Google運用壟斷手段營造不公平的環境藉以排擠對手，令其Bing難以競爭。</p> </div></div></div>
2023/10/6 13:20作者林妍溱https://www.ithome.com.tw/news/159159
微軟主權雲開放公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/10/03/unlocking-global-government-innovation-with-microsoft-cloud-for-sovereignty-public-preview-available-today/" target="_blank">微軟本周宣布</a>專門為政府部門設計的主權雲（Microsoft Cloud for Sovereignty）以公開測試版上線開放試用。</p> <p>微軟<a href="https://www.ithome.com.tw/news/152072" target="_blank">去年宣布</a>主權雲，提供政府敏感性數據的保護及加密措施，還提供Azure機密運算服務。今天開放公測後，微軟同時宣布這項政府雲服務預定於12月正式上線。</p> <p>微軟表示，主權雲可讓政府部門將IT基礎架構搬上雲，又能滿足法規遵循、安全及政策要求。一方面，藉由雲端化，政府部門可減少傳統資料中心的資本支出和作業成本。另一方面，政策要求也不斷演變，例如歐盟和美國今年7月簽定，在歐盟隱私法（GDPR）下加入歐盟－美國適足性認定（adequacy decision），為會員國政府採用超大型雲端提供了法源基礎（意即，歐盟和美國大型雲端業者個別訂立個資保護契約，就能進行跨境資料傳輸。）微軟說，主權雲提供資料主權及加密控制，讓政府得以依區域和國家法規要求設定雲端環境。</p> <p>微軟今日公測的主權雲揭露多項功能。包括Sovereign Landing Zone，即基礎架構管理即程式碼自動化（infrastructure as code automation）工具，現已可在<a href="https://github.com/Azure/sovereign-landing-zone" target="_blank">GitHub</a>取得相關資源。主權雲也支援特定歐盟會員國政策，包括義大利網路安全局（ACN）要求與荷蘭主管機關的要求，允許政府用戶監控Azure的使用，此外還提供Log紀錄工具，以及機密運算Azure Confidential Computing和多租戶管理工具Azure Lighthouse的自動化範本。</p> <p class="rtecenter"><a href="http://github.com/Azure/sovereign-landing-zone" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Azure-sovereign-landing-zone%20on%20GitHub.png" style="width: 600px;" /></a></p> <p>為了Azure主權雲能滿足各地政策要求，微軟必須有本地服務合作夥伴。除了荷蘭的本地業者外，昨日也宣布新夥伴，涵括瑞典、阿拉伯聯合大公國、義大利當地顧問服務業者，以及Accenture。</p> </div></div></div>
2023/10/6 11:39作者林妍溱https://www.ithome.com.tw/news/159158
BlackBerry將拆分IoT與安全部門、IoT部門計畫IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blackberry.com/us/en/company/newsroom/press-releases/2023/blackberry-provi[…]m-update-and-announces-intention-to-separate-business-units" target="_blank">加拿大安全業者BlackBerry昨日宣布</a>，再把公司分拆成物聯網（Internet of Things，IoT）及安全軟體二個事業體，並計畫明年將讓IoT部門獨立上市。</p> <p>BlackBerry作為曾經是世界最好商務手機的業者，在iPhone崛起後，BlackBerry轉型發展安全軟體方案，包括行動裝置、嵌入式系統、汽車、端點安全與回應、安全通訊軟體等多種領域。</p> <p>BlackBerry今年5月曾找來摩根史坦利、溫伯格合夥公司（Perella Weinberg Partners）等財務顧問公司評估公司的未來策略。根據顧問公司的建議，BlackBerry周三指出，董事會決定，把公司拆分為IoT及網路安全二家獨立實體業務，是公司最佳策略方向。</p> <p>拆分的主要目的是讓IoT業務於下一會計年度上半年股票公開發行（initial public offing，IPO）。該公司的IoT業務開發汽車及其他產業的底層安全軟體。BlackBerry說，此舉可讓股東更清楚評估不同業務效能及潛力，允許個別業務發展各自的策略和資金配置策略。BlackBerry董事長暨執行長程守宗（John Chen）說，董事會和公司管理部門相信拆分主要業務，可提升公司為股東創造利益的能力。</p> <p>轉型為安全業者的BlackBerry，2019年還曾以14億美元買下威脅分析及事件安全服務業者Cylance。但<a href="https://www.sdxcentral.com/articles/news/blackberry-to-split-cybersecurity-and-iot-business-units-pursues-ipo/2023/10/" target="_blank">今年夏天傳出</a>私募基金業者Veritas Capital想收購BlackBerry，引發客戶擔心支援斷炊。</p> <p>昨日消息宣布後，BlackBerry股價不漲反跌，最大跌幅10%，<a href="https://seekingalpha.com/article/4639246-blackberry-stock-overpriced-spin-off-uncertainty" target="_blank">媒體推測</a>，原因可能是市場擔心，一旦IoT部門獨立上市，剩下的業務就會被賣給私募基金業者。</p> </div></div></div>
2023/10/6 11:04作者林妍溱https://www.ithome.com.tw/news/159155
Python 3.12穩定版效能提升，f-string解析也更靈活
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discuss.python.org/t/python-3-12-0-final-is-here/35186">Python 3.12</a>穩定版現在釋出，改進許多既有功能，包括f-string解析、緩衝區協定等，同時也改進了錯誤訊息，使開發者能夠更清楚錯誤發生原因，並且獲得實用建議，開發團隊也進行了大大小小的效能改進，Python整體效能提高約5％。</p> <p>在Python 3.12中f-string解析更加靈活，許多之前不允許的操作，在這個版本都進一步放寬。在3.11中f-string的表示式如果重用外部f-string的相同引號，會導致語法錯誤，但這個寫法在3.12被允許。而且在前一版本，f-string表示式本身即便可以跨多行，但是仍必須要在單行內定義，在3.12開發者則可以使用多行表示式。之前f-string不能包含任何反斜線符號，在新版本中也被允許使用，因此f-string也可以包含跳脫序列（Escape Sequences）。</p> <p>Python開發者在新版中可以更方便地使用緩衝區協定（Buffer Protocol），緩衝區協定是一個低階介面，允許物件暴露其內部資料給其他物件，如此便可省去複製的過程，因此在處理大量資料，像是陣列或是圖像時，可以提高效能並節省記憶體。</p> <p>在之前，緩衝區協定主要在Python的C API中被使用，對純Python的開發者並不友善，Python 3.12則引入新方法和抽象類別來解決這個問題，使開發者可以更直接地在Python程式碼中操作緩衝區協定，不再需要透過C或是其他低階方法，整體而言改進了Python程式碼的可存取性。</p> <p>Python 3.12版本的錯誤訊息也獲得不少改進，不只更加清晰也更具指導性，讓開發者可容易辨識並修正錯誤。當開發者忘記匯入標準函式庫模組但仍試圖使用時，系統現在會發出提醒。同樣的，當開發者錯誤使用import語法時，系統會提供正確的使用建議，如果開發者試圖使用不存在的模組時，系統會根據模組中可用的名稱給出建議。另外，在類別方法中使用未正確參照的實例屬性時，錯誤訊息現在會指向正確物件本身的屬性名稱。</p> <p>Python還進行了多項效能提升更新，Unicode物件經過瘦身，透過移除部分成員縮小記憶體占用空間，使其更為輕巧，而且Python還會在建置過程中，使用BOLT二進位最佳化工具，使效能提高1％到5％。tokenize模組內的函式，因為f-string解析的改進，使速度提高達64％，另外，因為新的LOAD_SUPER_ATTR指令，開發者在呼叫super() 方法和載入屬性也會感覺到速度提升。</p> </div></div></div>
2023/10/6 09:37作者李建興https://www.ithome.com.tw/news/159145
GNU C函式庫存在緩衝區溢位漏洞，Fedora、Ubuntu與Debian都中槍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Qualys在GNU C函式庫的動態載入程式，<a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so">發現</a>了一個緩衝區溢位漏洞，這個漏洞編號為CVE-2023-4911，並被稱之為Looney Tunables。資安研究人員在Fedora 37和38、Ubuntu 22.04和23.04，還有Debian 12和13的預設安裝上，都發現了這個漏洞，其他發行版可能也存在此問題。</p> <p>GNU C函式庫被稱為glibc，是GNU系統和大多數執行Linux核心系統的C函式庫，其定義了典型程式所需要的系統呼叫和基本功能，而動態載入程式則是glibc中的重要部分，負責準備和執行程式，當程式啟動時，該載入程式會先檢查該程式以確定需要使用的共用函式庫，接著便會搜尋這些函式庫，將他們載入到記憶體中，並在執行的時候將這些函式庫與可執行檔連結。</p> <p>而這個Looney Tunables漏洞便是發生在glibc的動態載入程式，在處理GLIBC_TUNABLES環境變數的時候。GLIBC_TUNABLES是glibc引入的一個環境變數，讓使用者可以在不重新編譯相關應用程式和函式庫本身，就可以在執行時動態調整函式庫行為，這提供了一種靈活性，允許用戶對特定系統或應用程式需求進行最佳化。</p> <p>但這種靈活性也帶來了一些安全性的問題，進而導致GLIBC_TUNABLES環境變數存在緩衝區溢位漏洞。</p> <p>而資安研究人員在Fedora、Ubuntu和Debian等Linux發行版，皆成功利用Looney Tunables漏洞，完全獲得Root權限，資安人員提到，這凸顯了該漏洞的嚴重性，以及影響範圍的廣泛。值得注意的是，這個漏洞雖然是研究人員手動發現的，但是藉由利用模糊測試工具，也能夠在不到一秒鐘的時間，重新發現這個溢出漏洞。</p> <p>Qualys已經開發了可以利用這個漏洞的程式，但是目前他們選擇不公開程式碼以保護用戶，避免這個漏洞被惡意利用，但是研究人員也提到，緩衝區溢出相對容易被利用，因此他們預期其他研究者也能很快找到並公開攻擊手法。</p> <p>而這可能會讓大量系統面臨風險，特別是glibc被許多Linux發行版廣泛採用，目前已知使用musl libc而非glibc的Alpine Linux不受此漏洞影響，但採用Fedora、Ubuntu與Debian的用戶應立刻修補該漏洞，以確保系統安全性。</p> </div></div></div>
2023/10/6 09:40作者李建興https://www.ithome.com.tw/news/159146
因根域資料解析失敗，Cloudflare DNS查詢異常影響大量用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從臺灣時間10月4日下午3點到7點之間，<a href="https://blog.cloudflare.com/1-1-1-1-lookup-failures-on-october-4th-2023/">Cloudflare的網路關鍵系統DNS歷經長達4小時的DNS解析異常</a>，使用1.1.1.1伺服器或使用1.1.1.1的WARP服務，還有零信任和第三方DNS解析器等產品的用戶，在進行有效查詢時，部分收到了DNS查詢失敗的回應。</p> <p>這次的問題與DNS架構有關。在DNS中，每個網域名稱都位於某個DNS區域（Zone）內，而區域則是一個包含網域名稱和主機名稱的集合，區域中的網域名稱和主機名稱皆由同一個管理單位所控制。舉例來說，cloudflare.com這個網域名稱就由Cloudflare管理，而其中的.com屬於頂級域（Top-level Domain，TLD），位於DNS架構的最上層，也就是根域中最高級的域名，由ICANN監管並且交由各註冊機構負責。</p> <p>根域會指引連接頂級域的方法，因此根域在解析所有網域名稱時，扮演非常重要的角色。雖然根域存放在根伺服器上，但是DNS營運商通常會檢索並且保存根域的副本，這樣就算暫時無法存取根域伺服器，還是可以利用根域副本繼續提供DNS服務。</p> <p>Cloudflare的遞迴式DNS架構也採用這種方法，以加快DNS解析的速度。在Cloudflare上有一支叫做static_zone的WebAssembly應用程式，負責載入和解析根域資料。而Cloudflare發生在10月4日的DNS查詢異常，便是根域資料更新失敗所導致。</p> <p>在9月21日的時候，DNS根域執行了一項計畫性更新，當中加入了名為ZONEMD的資料，用作根域內容的校驗和。Cloudflare核心系統會在擷取根域資料後，發送到全球Cloudflare資料中心，但是當1.1.1.1解析系統在解析ZONEMD資料時卻發生問題，Cloudflare提到，ZONEMD解析失敗就代表，Cloudflare的解析系統未採用新版本的根域資料版本。</p> <p>同時，託管Cloudflare解析基礎設施的伺服器也沒有接收到新根域，這些伺服器便會針對每個請求查詢DNS根伺服器，但是其他伺服器仰賴記憶體中的舊根域資料運作，這些資料是在9月21日之前的版本。</p> <p>一直到了10月4日，9月21日版本的根域DNSSEC簽章過期，且由於Cloudflare解析系統無法使用更新版本，所以部分解析系統停止驗證DNSSEC簽章，因此開始發送錯誤回應，這導致Cloudflare解析器產生錯誤回應的比例增加12％，為平常錯誤回應比例的5倍。DNSSEC用於保護DNS查詢與回應的安全擴充，可避免DNS快取污染等問題。</p> <p>Cloudflare進一步解釋ZONEMD資料解析失敗的原因，在於static_zone這支程式不支援新的ZONEMD資料的二進位格式。過去Cloudflare一直是使用表示格式（Presentation Format）而非二進位格式，因此在邊緣解析根域的函式庫不認得二進位格式的資源紀錄時，便無法進行解析。</p> <p>而之所以沒有造成全部DNS查詢失效的原因，在於當伺服器曾經重新啟動，且無法載入根域時，便會選擇直接向根伺服器發送DNS查詢，所以才沒有受到影響。此外，解析器使用一種稱為Serve Stale（RFC 8767）的技術，可從快取繼續提供過期的紀錄，也可以避免DNS服務完全中斷。</p> <p>針對這個事件，Cloudflare進行檢討，透過強化監控來避免之後再發生類似的事件，會在static_zone提供過時根域資料時發出警示。同時也檢討內部根域擷取和發布的方法，確保新的資源紀錄類型能夠被處理，也擴大測試覆蓋範圍和流程，避免使用過時的根域資料，減少營運風險。</p> </div></div></div>
2023/10/6 09:46作者李建興https://www.ithome.com.tw/news/159150
【資安日報】10月5日，亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客APT41造成的資安事故頻傳，執行Windows作業系統的電腦是最主要受害的系統平臺，但這樣的情況自今年下半開始出現變化，有資安業者發現，這些駭客開發惡意軟體並對安卓用戶下手，最近有新的調查結果突顯這個趨勢</p> <p>例如，本週有資安業者ThreatFabric，揭露這群駭客對安卓手機發動的間諜軟體攻擊，而且，當中使用的惡意軟體，具有相當罕見的功能，引發關注——不只能搜括手機上的使用者資料，還能讓駭客得知受害者精準的地理位置。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.threatfabric.com/blogs/lightspy-mapt-mobile-payment-system-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41開始對安卓行動裝置下手，利用惡意軟體DragonEgg、WyrmSpy犯案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png" style="width: 300px; float: right;" /></a>資安業者Lookout於今年7月，<a href="https://www.ithome.com.tw/news/157880#apt41-dragonegg">揭露中國駭客組織APT41鎖定安卓手機發動的網路間諜攻擊行動</a>，過程中駭客利用了惡意軟體DragonEgg（亦稱LightSpy）和WyrmSpy（亦稱AndroidControl）。</p> <p>資安業者ThreatFabric循線進一步調查，發現DragonEgg採用模組化設計，並找出14種外掛程式，該惡意程式功能齊全，不只能收集使用者的個人資料，並能記錄包含建築樓層等相當精確的地理位置資料，還能從微信支付（WeChat Pay）的後端基礎設施竊取付款資料，以及從微信的音訊功能進行掛鉤，錄下使用者網路電話（VOIP）的對話內容。研究人員指出，DragonEgg的程式核心元件（Core）在整個攻擊鏈扮演重要的角色，功能包含採集設備的指紋，以及與C2建立完整的連接、從伺服器搜尋命令、更新及載入元件。此核心元件採用2種通訊協定與C2通訊，分別是以WebSocket接收命令，以及透過HTTPS上傳竊得資料。</p> <p>而對於此惡意軟體的基礎設施，研究人員在中國、香港、臺灣、新加坡、俄羅斯找到數十臺伺服器，並發現WyrmSpy也共用部分基礎設施，推測駭客打算使用WyrmSpy取代DragonEgg。此外，資安業者趨勢科技及卡巴斯基於2020年，揭露使用LightSpy惡意軟體攻擊香港iPhone用戶的攻擊行動Operation Poisoned News，ThreatFabric發現也是APT41所為。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony證實資料外洩，起因是遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></p> <p>上週末<a href="https://www.ithome.com.tw/news/159013">兩個駭客組織RansomedVC、MajorNelson聲稱成功入侵Sony</a>，取得部分開發資料，而現在該公司向美國政府通報資料外洩事故，再度引起外界關注。</p> <p>根據資安新聞網站Bleeping Computer、HackRead的報導，大型家用電視遊樂器製造商Sony Interactive Entertainment於10月3日，向緬因州總檢察長辦公室通報發生在5月底的資料外洩事故。</p> <p>該公司在6月2日察覺未經授權的下載，隨即將遭受攻擊的MOVEit Transfer系統下線並修補漏洞，尋求外部資安專家協助調查，結果發現，這起資料外洩事故發生在5月28日至30日，遭竊的資料包含姓名，以及與社會安全碼（SSN）有關的個人識別資訊，總共有6,791人受到影響。</p> <p>資料來源</p> <p>1. <a href="https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml">https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/">https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/</a><br /> 3. <a href="https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/">https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/</a></p> <p><a href="https://www.reversinglabs.com/blog/r77-rootkit-typosquatting-npm-threat-research"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意NPM套件散布rootkit程式r77</span></strong></a></p> <p>網路上又出現惡意NPM套件，根據資安業者ReversingLabs發現，有個名為node-hide-console-windows的套件，最近開始散播，一旦開發者下載並部署，此套件便會下載Discord機器人DiscordRAT，並於受害電腦植入rootkit程式r77。</p> <p>研究人員指出，這起攻擊行動特別的地方，在於駭客模仿合法的套件node-hide-console-window，不只將說明頁面配置幾乎一樣，也比照合法套件發布相同數量的版本（10個），而讓開發人員更容易搞混。</p> <p>再者，駭客本次使用的DiscordRAT、r77，皆為開源的惡意程式，開發者皆提供了極為淺顯易懂的說明及使用教學，使得想要發動攻擊的駭客無須擁有高深的技巧就能操作，這樣的情況，使得相關攻擊將會變得更加氾濫。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux系統出現root權限可能被奪取的漏洞，影響多個分支版本</span></strong></a></p> <p>資安業者Qualys揭露Linux漏洞CVE-2023-4911，這項漏洞存在於GNU C程式庫glibc，一旦加以利用，就有可能取得作業系統root完整權限。</p> <p>研究人員在Fedora 37及38版、Ubuntu 22.04及23.04版、Debian 12及13版上成功利用漏洞，並將其命名為Looney Tunables。不過，並非所有的Linux作業系統都存在這項漏洞。例如，Alpine Linux採用的C程式庫是musl libc，便不會受到影響。</p> <p>此漏洞發生的原因，在於動態載入程式在處理GLIBC_TUNABLES環境變數的過程中，可能出現記憶體緩衝區溢位的情況，此漏洞於2021年4月引入，研究人員上個月通報，Red Hat、Debian、Canonical皆發布資安通報並提出修補程式，Red Hat進一步指出，此漏洞的CVSS風險評分為7.8。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-225574367" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://access.redhat.com/security/cve/CVE-2023-4911" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1224208931" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://access.redhat.com/security/cve/CVE-2023-4911</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.debian.org/security/2023/dsa-5514" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--353194787" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.debian.org/security/2023/dsa-5514</span></a><br /> 4. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://ubuntu.com/security/notices/USN-6409-1" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2089826885" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://ubuntu.com/security/notices/USN-6409-1</span></a></p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-update-fixes-new-zero-day-used-to-hack-iphones/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補已遭到利用的零時差漏洞</span></strong></a></p> <p>9月底蘋果開賣iPhone 15系列手機，有使用者反映產品使用有過熱的問題，蘋果承諾將發布新版iOS作業系統予以緩解，如今該公司推出相關更新，同時修補零時差漏洞。</p> <p>10月4日蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補了CVE-2023-5217、CVE-2023-42824，前者為Google揭露的影像編解碼程式庫libvpx漏洞，與WebRTC有關，該公司將此元件更新為1.13.1版緩解漏洞；另一個漏洞則是出現在作業系統核心，攻擊者一旦觸發，就有可能藉此擴張權限。</p> <p><a href="https://msrc.microsoft.com/blog/2023/10/microsofts-response-to-open-source-vulnerabilities-cve-2023-4863-and-cve-2023-5217/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Edge、Teams、Skype開源程式庫的零時差漏洞</span></strong></a></p> <p>10月2日微軟宣布，他們將針對旗下多項軟體，修補開源元件libwebp、libvpx的零時差漏洞CVE-2023-4863、CVE-2023-5217，這些軟體包含Edge瀏覽器、電腦版Teams應用程式、電腦版Skype應用程式，以及Windows的Webp圖像延伸套件。</p> <p>其中，CVE-2023-4863最早由Google揭露，並於9月11日發布新版Chrome修補；次日Mozilla也為旗下的瀏覽器及上網應用程式修補該漏洞；另一個零時差漏洞Google、Mozilla先後於9月27日、28日進行修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客入侵微軟SQL Server資料庫系統，目標是對Azure雲端環境的虛擬機器下手</span></span></strong></a></p> <p><a href="https://jira.atlassian.com/browse/CONFSERVER-92475"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺Confluence已出現攻擊行動的漏洞</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cer-priv-esc-B9t3hqk9"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科修補Emergency Responder寫死root帳密的漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/new-supermicro-bmc-vulnerabilities-could-expose-many-servers-to-remote-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Supermicro的基板管理控制器漏洞恐導致伺服器遭到RCE攻擊</span></span></strong></a></p> <p><a href="https://blog.thunderbird.net/2023/10/ransomware-alert-are-you-using-a-trusted-version-of-thunderbird/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借供收信軟體Thunderbird散布勒索軟體</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159124"><strong>【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159112"><strong>【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159063"><strong>【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</strong></a></p> </div></div></div>
2023/10/5 17:26作者周峻佑https://www.ithome.com.tw/news/159144
Android 14正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-14/" target="_blank">Android 14在本周隨著Pixel 8系列手機的發表而登場</a>，新一代Android主要著重在使用經驗與安全上的改善，包括將PIN碼的預設值改成6位數，可自訂螢幕鎖定時的快捷功能，利用Health Connect集中管理所有健康資料，另也強化了<a href="https://blog.google/products/android-enterprise/android-14-for-business/" target="_blank">Android Work Profile的安全及法規遵循能力</a>。</p> <p>不管是蘋果的iOS或是Google的Android，現在行動作業系統的進化多圍繞在改善使用者經驗，已不常出現突破性的功能。最新的Android 14把重點擺在客製化能力，包括自訂鎖定螢幕的快捷鍵，快速切換桌布，自選螢幕上的字型、工具、顏色或格式，它甚至新增了一個單色主題，可讓整部手機的介面都變成黑白。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-android%2014-monochrome%20theme.png" style="width: 421px;" /></p> <p>此外，Android 14也支援AI桌布功能，利用AI生成技術將使用者所輸入的文字變成圖像，把想像中的桌布化為真實。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-android%2014-generative%20ai%20wallpaper.png" style="width: 419px;" /></p> <p>在安全及隱私上，Android 14鼓勵用戶設定6個數字的個人識別碼（Personal Identification Number，PIN），而且輸入完畢後裝置就會自動解鎖，不必再按確定或其它任何鍵。自動解鎖功能其實在三星或其它Android手機上早就存在，只是Google從未將它內建在Android上。</p> <p>新的Health Connect可用來連結與同步各種健身或健康程式，集中儲存來自相關程式的所有資料，方便管理與查看。此外，當使用者同意程式的某些權限，例如分享位置資料後，若程式開始與第三方分享使用者的資料，使用者將旋即收到通知，並決定是否收回權限。</p> <p>為了支援Android裝置在工作場合的使用，Android 14具備更先進的安全及法規遵循功能，也改善了可用來隔離私人與工作環境的Android Work Profile。例如它在Android Work Profile中提供了新的憑證管理員控制工具，讓IT管理人員可以僅放行可靠的憑證管理員，也可根據風險等級來關閉2G網路的連結，以及新增超寬頻（Ultra Wide Band，UWB）日誌等。</p> <p>另也讓使用者更容易切換Android Work Profile及私人檔案，可直接於使用中的程式切換，也能把螢幕截圖直接存至Android Work Profile中。</p> <p>Android 14將率先出現在Google本周發表的Pixel 8與Pixel 8 Pro，也支援其它Pixel手機、Pixel Tablet與Pixel Fold，至於Samsung Galaxy、iQOO、Nothing、OnePlus、Oppo、Realme、Sharp、Sony、Tecno、vivo與小米等手機也會在今年底前提供更新。</p> </div></div></div>
2023/10/5 15:59作者陳曉莉https://www.ithome.com.tw/news/159142
蘋果釋出iOS 17.0.3以解決iPhone過熱問題並修補零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周三（10/4）釋出了iOS 17.0.3與iPad 17.0.3，以修補相關裝置的臭蟲與零時差漏洞，同時也解決了<a href="https://www.ithome.com.tw/news/159052" target="_blank">日前傳出的iPhone 15過熱問題</a>。</p> <p><a href="https://support.apple.com/en-us/HT213781" target="_blank">在iOS 17.0.3的更新說明中</a>，蘋果表示該更新修補了重要的臭蟲與安全問題，以及解決了造成iPhone比預期還要熱的問題。不過，蘋果並未詳細解釋造成iPhone過熱的原因。</p> <p>蘋果也藉由iOS 17.0.3及iPad 17.0.3<a href="https://support.apple.com/en-us/HT213961" target="_blank">修補了兩個零時差漏洞</a>，一個是<a href="https://www.ithome.com.tw/news/159044" target="_blank">Google日前已修補</a>、涉及影像編解碼函式庫libvpx的CVE-2023-5217，另一個則是新零時差漏洞CVE-2023-42824。</p> <p>依據蘋果的說法，CVE-2023-5217存在於網頁即時通訊（WebRTC）功能中，它是個緩衝區溢位漏洞，可能導致任意程式執行，已藉由更新至libvpx 1.13.1將其修補。至於CVE-2023-42824則是一個全新的零時差漏洞，位於Kernel中，將允許駭客擴張權限。這兩個漏洞皆已遭到駭客利用。</p> </div></div></div>
2023/10/5 16:10作者陳曉莉https://www.ithome.com.tw/news/159143
Amazon將首次實測Project Kuiper低軌連網衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過多年籌畫，<a href="https://www.aboutamazon.com/news/innovation-at-amazon/project-kuiper-prototype-satellite-test-mission" target="_blank">Amazon終於宣布，</a>要在本周發射用於衛星連網服務Project Kuiper的2顆低軌衛星。</p> <p>Amazon將在10月6日在Protoflight任務中，由洛克希德馬丁公司和波音公司合組聯合發射聯盟（United Launch Alliance）的擎天神5號運載火箭（Atlas V）將Project Kuiper的2顆衛星原型送往地面上空500公里近地軌道。這2顆原型衛星KuiperSat-1及Kuiper-2是計畫的頭2顆，Amazon規畫未來6年將陸續部署3,236顆用於寬頻連網的衛星。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/928632e/2147483647/strip/true/crop/1600x900+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fea%2F93%2Fcc7b9d64410d84b02abca0936750%2Finline-002-amazon-renewableenergy-inline-atlazvrocket-copy.JPG" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>這次任務在蒐集真正太空情境下的資料，整合過往實驗室及田野測試資料集，以測試Project Kuiper由地面到太空的網路運作，同時測試衛星處理、發射和任務執行的程序。</p> <p>Protoflight任務將涵括Kuiper系統三個主要部分，包括進階低軌衛星（low-earth orbtit，LEO）、小型地面終端，以及地面通訊網路。</p> <p>在衛星送上近地軌道後，任務小組將使用遙感、追蹤及通訊（TT&C）基站和衛星建立連線，部署太陽能發電陣列，以及測試衛星上的電子零件在太空輻射及極端溫度下的運作。</p> <p>而在地面端，任務小組則將測試Kuiper系統和AWS雲端基礎架構的網路軟、硬體，地面閘道天線將追蹤衛星，同時將Kuiper系統串接網際網路。任務小組因而將測試資料在網際網路、地面閘道、衛星和地面終端的傳送情形。</p> <p>這次宣布較Amazon<a href="https://www.ithome.com.tw/news/153624" target="_blank">原定2023年初啟動測試的計畫</a>晚了10個月。Amazon表示經由測試計畫獲得的經驗可加速衛星量產。該公司預定2024年上半年正式投產衛星，預計2024年底和早期企業客戶合作beta測試。</p> <p>在星系寬頻網路市場，Amazon勢必要加快腳步。主要競爭者Space X的Starlink目前已經有4,000多顆衛星在近地軌道上運作。</p> </div></div></div>
2023/10/5 12:22作者林妍溱https://www.ithome.com.tw/news/159140
Pixel 8系列將可取得7年的軟體更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/google-pixel-8-pro/" target="_blank">Google周三（10/4）發表了新一代的Pixel 8系列手機</a>，包括6.2吋的Pixel 8與6.7吋的Pixel 8 Pro，它們皆採用最新的Tensor G3處理器與Android 14作業系統，<a href="https://blog.google/products/pixel/software-support-pixel-8-pixel-8-pro/" target="_blank">且其軟體支援年限長達7年</a>。</p> <p>Google此舉很難說不是受到蘋果的刺激。儘管蘋果從未明訂或宣傳過iPhone的軟體支援年限，但蘋果通常會提供5年的作業系統更新，可能會有更久的安全更新，另一方面，Android生態體系由於太過分散，軟體支援也不一，<a href="https://www.ithome.com.tw/news/126635" target="_blank">先前甚至傳出</a>還得由Google要求Android裝置製造商至少替使用者提供兩年的安全更新。</p> <p><a href="https://www.ithome.com.tw/news/149094" target="_blank">Motherboard資深作者Aaron Gordon曾在2022年抱怨</a>，宣稱他所使用的Pixel 3只有3年的安全更新，雖然手機沒壞，但軟體安全問題已足以令他決定投入iPhone的懷抱，Gordon的文章亦引來了眾多媒體的共鳴。</p> <p>另一方面，其實Google在2021年10月發表的Pixel 6，便提供了3年的作業系統更新及5年的安全更新，不過，Pixel 8更上一層樓，直接提供7年的軟體更新，包含Android作業系統的更新、安全更新及定期的功能更新，意謂著購買Pixel 8系列手機的使用者，到2030年都能取得來自Google的軟體更新。</p> <p>除了提供7年軟體更新之外，Google也宣布要延伸Pixel 8系列硬體及零件支援至7年，以迎合對軟體的承諾。Google表示，沒有一個主要的智慧型手機品牌能夠提供如此長壽的支援，而這也代表著Pixel手機將成為消費者更永續的選擇。</p> <p>在Android生態體系中，三星目前提供4年的安全更新，而荷蘭有一家崇尚環保的手機製造商Fairphone在某個部分超越了Google，<a href="https://shop.fairphone.com/fairphone-5" target="_blank">該公司在今年8月發表的Fairphone 5</a>提供了5年的保固、5個Android版本的作業系統更新，以及8年的安全更新。</p> </div></div></div>
2023/10/5 12:39作者陳曉莉https://www.ithome.com.tw/news/159141
Google公布以生成式AI加持的Google Assistant with Bard
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三在Made by Google大會上宣布Pixel 8、Pixel Watch2，<a href="https://blog.google/products/assistant/google-assistant-bard-generative-ai/" target="_blank">此外也公布整合生成式AI能力的Google Assistant with Bard</a>，但預定要再幾個月才會正式上線。</p> <p>新的Google Assistant是Google力抗在AI聊天機器人領域急起直追的OpenAI ChatGPT最新成果。為此，<a href="https://www.ithome.com.tw/news/156221" target="_blank">媒體報導</a>，Google今年春天也重新改組Assistant部門，要讓Assistant整合生成式AI聊天機器人Bard。</p> <p>名為Assistant with Bard的新AI助理整合了Bard的生成式及理解能力，以及Assistant的個人化協助。和Web版Bard一樣，使用者可以透過自然語言文字、語音或圖片傳達指令，例如搜尋網頁、翻譯、或詢問建議。另外，它也能和Google生產力應用如Gmail、Google Docs、Google Calendar等整合，預料應可協助使用者搜尋郵件、整理出差行程訂機票，或是草擬郵件、製作簡報等。</p> <p>接下來幾個月內，Google Assistant with Bard將推出Android和iOS版。Google Assistant and Bard部門副總裁暨總經理Sissie Hsiao指出，Assistant with Bard在Android手機上可以提供更靈活的協助，例如全新的對話疊加（conversational overly）功能提供新的互動方式，當用戶拍攝家中毛小孩的照片後，若想貼在社交平臺上，照片上會浮出Assistant對話框，用戶可以文字或口說叫它寫一段貼文，它就會寫出一段短文連同照片發送到社交平臺上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Assistant%20with%20Bard-600-1.jpg" style="width: 435px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Assistant%20with%20Bard-600-2.jpg" style="width: 435px;" /></p> <p><a href="https://www.youtube.com/watch?v=TBeXI8s5pek" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></a></p> <p>此外，Google也預告，一如Bard和Google Assistant，新的Assistant也會允許用戶自行控制隱私設定。</p> <p>Assistant with Bard目前還在早期實驗階段，Google目前只提供早期測試者試用以蒐集回饋意見，還要幾好個月才會推向大眾。Google沒有說明是否會在今年底還是2024年初。</p> <p>另一家Al助理大廠<a href="https://www.ithome.com.tw/news/158861" target="_blank">Amazon兩周前也向大眾公開以生成式AI改造的Alexa</a>。Amazon計畫可讓Alexa整合智慧家庭連網能力，能控制支援的物聯網裝置，如照明、窗帘、甚至可讓Alexa自動控制掃地機器人清理地板。目前Alexa也是在有限測試階段。此外，<a href="https://www.ithome.com.tw/news/159021" target="_blank">Meta也在上周發表</a>整合在Facebook Messenger、WhatsApp及Instagram的AI機器人Meta AI。</p> </div></div></div>
2023/10/5 11:31作者林妍溱https://www.ithome.com.tw/news/159133
高效框架StreamingLLM可處理無限長度文本，解決LLM串流應用困境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由麻省理工學院、Meta AI以及卡內基美隆大學研究人員聯手，開發了讓語言模型能夠處理無限長度串流輸入的框架<a href="https://arxiv.org/abs/2309.17453">StreamingLLM</a>。這個研究針對將語言模型部署在串流應用程式中，可能遇到的記憶體消耗與泛化長序列等問題提出解決方案，使語言模型串流應用更加可行。</p> <p>StreamingLLM的研究重點，是想解決在串流應用中部署語言模型的障礙，特別是預期有長時間互動的多輪對話場景可能出現的問題。研究人員指出主要存在兩大挑戰，第一個挑戰，是在解碼階段，快取先前token的鍵（Key）值（Value）狀態會消耗大量的記憶體，第二個挑戰則是現有流行的語言模型，無法泛化適用到超過訓練序列長度的長文本。</p> <p>在Transformer架構的模型，特別是使用注意力機制時，每個token會被映射為鍵和值兩種狀態，以用於注意力運算。這樣的設計使模型能夠根據每個輸入token的上下文關係，動態地調整輸出結果。</p> <p>過去有許多研究試圖解決上述挑戰，像是擴展注意力窗口，讓語言模型能夠處理超出預訓練序列長度的長文本。抑或是建立一個固定大小的活動窗口，只關注最近token的鍵值狀態，確保記憶體使用和解碼速度保持固定，但是在序列長度超過快取大小時，這個策略就會失效。另一種策略，則是對於每次生成的token重建鍵值狀態，雖然這個策略很有效，但因為要在窗口內進行兩次注意力計算，因此實際在串流應用可能不實用。</p> <p>整體來說，最大的挑戰還是落在如何不消耗過多記憶體且不損害模型效能的前提下，處理長文本輸入。StreamingLLM採取的策略是運用注意力下沉現象，研究人員觀察到，在自我迴歸語言模型中，無論特定token和語言建模的相關性如何，對代token分配了大量的注意力。這些獲得高度注意力的token，表現出注意力下沉的現象，即便這些token在語義上不重要，但他們仍然獲得模型強烈關注。</p> <p>簡單來說，特定token意外地吸引大量的注意力分數，就如同這些token成為注意力的吸引器，獲得模型大部分的關注。因此StreamingLLM透過保留注意力下沉token的鍵值，並與滑動窗口近期token鍵值結合，這種方法可以確保無論輸入序列有多長，模型的注意力計算都能維持穩定。</p> <p>由於注意力下沉token的存在，可以維持正常的注意力分數分布，使模型在處理非常長的輸入序列時，效能仍然不會受到太大的影響。</p> <p>StreamingLLM的重要貢獻在於解決當前語言模型在串流應用的困境。雖然在串流應用整合語言模型勢在必行，但由於記憶體效率的限制，以及模型在處理長序列的性能問題，此發展仍備受挑戰。而StreamingLLM的窗口注意力機制，提出一個簡單且高效的解決方案，使語言模型不需微調就可以處理無限長度的文本。</p> <p>經研究團隊實驗證實，StreamingLLM能夠讓Llama 2、MPT、Falcon和Pythia可靠地處理高達400萬token的文本。而且使用專為注意力下沉設計的token進行預訓練時，更可以進一步提高模型的串流運算效能。重要的是，由於StreamingLLM讓語言模型預訓練窗口大小，與實際文字生成長度脫鉤，在串流應用的語言模型部署方面提供了更多可能性。</p> </div></div></div>
2023/10/5 10:46作者李建興https://www.ithome.com.tw/news/159128
數百GitHub儲存庫遭注入惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Checkmarx揭露了一起眾多GitHub儲存庫，遭自動化<a href="https://checkmarx.com/blog/surprise-when-dependabot-contributes-malicious-code/">注入惡意程式碼的攻擊事件</a>，攻擊者竊取受害者的GitHub個人存取令牌，並用以貢獻惡意程式碼到儲存庫中。這次攻擊事件規模龐大，除了公開儲存庫之外，也影響一些私人儲存庫，因此研究人員推測攻擊是一個自動化過程。</p> <p>攻擊者透過GitHub免費軟體專案自動化相依管理工具Dependabot，進行自動貢獻，試圖掩蓋惡意活動。Dependabot工具會持續監控諸如函式庫和套件等專案相依項目，發現存在安全漏洞或是過時的程式碼版本，Dependabot會自動產生拉取請求，協助開發人員保持軟體的安全性和最新狀態。</p> <p>而這起攻擊事件發生在今年7月8日到11日間，攻擊者入侵數百個GitHub儲存庫，透過偽造提交訊息（下圖），使開發者相信其為真正的Dependabot貢獻，並忽略該活動。攻擊總共可分為三個階段，首先是工作區域的初始化，研究人員解釋，開發者要進行Git操作就必須使用個人存取權杖設置開發環境，而這個權杖會被儲存在開發者機器上，很容易被擷取，由於這些存取權杖不需要雙因素驗證，因此只要擁有網際網路連接，就可以使用這些權杖存取帳戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-the%20fake%20commit-dependabot.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Checkmarx</span></p> <p>第二階段則是竊取憑證，研究人員目前還不確定攻擊者如何獲取開發者憑證，但是他們猜測最有可能的情境，是受害者被惡意軟體套件感染，再由惡意軟體套件將權杖上傳到攻擊者的C2伺服器。最後階段便是利用竊取來的存取權杖，通過GitHub身分驗證對儲存庫注入惡意程式碼，而且考慮其攻擊的規模，研究人員推斷該攻擊採用了自動化程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-50.jpg" style="width: 580px; height: 123px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Checkmarx</span></p> <p>注入的惡意程式碼會將GitHub專案中定義的機密，傳送到C2伺服器。具體方法是惡意程式會修改被攻擊專案中任何的JavaScript檔案，修改過後的程式碼會竊取網頁表單密碼，也就是終端使用者在網頁表單中只要輸入並提交密碼時，這些機密資訊就會被竊取，傳送到攻擊者的C2伺服器。</p> <p>Checkmarx提醒開發者，即便在GitHub這樣的可信任平臺，也要謹慎注意程式碼的來源。之所以攻擊者能夠成功發動攻擊，便是因為許多開發者在看到Dependabot訊息時，並不會仔細檢查實際變更內容，而且由於權杖存取日誌僅有企業帳戶可用，因此非企業用戶也無法確認權杖是否遭濫用。</p> <p>研究人員建議，使用者可以考慮採用<a href="https://www.ithome.com.tw/news/153704" target="_blank">GitHub精細個人存取權杖</a>（下圖），透過限縮每個權杖的權限，來降低當權杖洩漏時攻擊者所能造成的損害。</p> <p class="rtecenter"><a href="https://github.blog/wp-content/uploads/2022/10/PAT3.gif" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-fine-grained%20personal%20access%20tokens%20for%20GitHub.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_GitHub</span></span></p> </div></div></div>
2023/10/5 09:52作者李建興https://www.ithome.com.tw/news/159125
微軟公開重新設計的OneDrive應用程式，預告將陸續推出一系列新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟重新設計了<a href="https://techcommunity.microsoft.com/t5/microsoft-onedrive-blog/unveiling-the-next-generation-of-onedrive/ba-p/3935612">OneDrive</a>網頁應用程式，目的是要更清楚簡潔地呈現檔案，方便用戶快速存取檔案。新的OneDrive更新了檔案呈現方式，並加入人工智慧助理Copilot，讓使用者可以快速搜尋、組織和擷取檔案中的資料，同時官方也計畫，要在Teams和Outlook更緊密整合OneDrive，讓用戶可以在多種情境下快速取用檔案。</p> <p>使用者打開網頁OneDrive，第一眼便可以看到重新設計的主要頁面，頂端的For you區塊是利用人工智慧技術，根據使用者的需求推薦項目，讓使用者可以在需要的時候快速存取相關檔案。會議檢視區塊，則會顯示即將舉行與歷史會議還有其相關的內容，會議錄音以及在聊天或是會議中共享的檔案，都會出現在該區塊供用戶檢視。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive-01.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive%20in%20Outlook-for%20you.png" style="width: 600px;" /></p> <p>新版OneDrive還提供多種分類的檔案檢視方法，用戶能以共享者作為條件查詢檔案，或是查看所有已經共享的檔案，並且設置資料夾顏色，更好地分類檔案。新版OneDrive提供的收藏資料夾，可以讓使用者標記重要的檔案，並在OneDrive、Teams、檔案總管、Microsoft 365等應用程式中快速存取。整體來說，新版OneDrive應用程式更加直觀，簡化了檔案存取提高協作效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive-0%EF%BC%93.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive-0%EF%BC%94.png" style="width: 600px;" /></p> <p>微軟也預告了接下來OneDrive還會陸續加入一些新功能。OneDrive的應用程式內開啟功能（Open In App），讓使用者可以從Word、PowerPoint或是Excel桌面應用程式直接開啟檔案，並在編輯之後同步至雲端，而接下來OneDrive也會支援PDF和CAD檔案，使用者能夠在這兩類檔案獲得相同的無縫編輯體驗。</p> <p>官方提到，OneDrive的其中一個更新重點，便是要和Teams、Outlook更緊密的整合。在12月的時候，微軟將會更新Teams中的檔案應用程式，推出新的OneDrive Teams應用程式，讓使用者可以直接在Teams存取所有SharePoint和OneDrive的檔案，而這將帶來額外的效能提升以及功能升級。</p> <p>在Outlook部分，應用程式左側導覽列將會出現OneDrive功能，使用戶可以在Outlook方便複製分享連結，並且快速查詢共享檔案。微軟也計畫在2024年陸續推出按需同步、新增按鈕與媒體檢視等功能。而在今年早些時候釋出OneDrive將引入Copilot的消息，微軟也預計會在12月之前，向所有擁有Microsoft 365 Copilot授權的用戶開放。</p> <p>微軟針對OneDrive消費者版本改進照片搜尋功能，OneDrive將能夠以人物搜尋照片，甚至是使用自然語言進行搜尋，讓尋找照片更加容易，用戶能以「camping in the fall, in the mountains with Caroline」這樣的句子查詢特定照片。該功能預計在2024年初開始公開預覽。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/10/5 08:50作者李建興https://www.ithome.com.tw/news/159123
網際網路系統協會修補DNS軟體BIND高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月20日網際網路系統協會（ISC）發布DNS軟體BIND更新，提供9.16.44、9.18.19、9.19.17等版本，修補高風險漏洞<a href="https://kb.isc.org/docs/cve-2023-3341">CVE-2023-3341</a>、<a href="https://kb.isc.org/docs/cve-2023-4236">CVE-2023-4236</a>。</p> <p>這兩個漏洞的CVSS風險評分同為7.5，影響範圍較廣的是CVE-2023-3341，一旦遭到利用，攻擊者可藉由控制頻道發送偽造訊息，可能導致處理封包的程式碼佔滿整個記憶體堆疊，使得BIND無預期停止運作，影響9.16、9.18、9.19版BIND。</p> <p>這項漏洞發生的原因，在於處理控制通道訊息的程式碼傳送到named時，會在解析封包的過程呼叫特定的遞迴功能。遞迴的深度取決於可接受的封包最大值；這可能造成封包解析的程式碼耗盡可用的記憶體堆疊，導致named無預期終止。由於每個輸入的控制頻道訊息內容在通過驗證前會進行完全解析，攻擊者若要利用這項弱點，只要透過特定的TCP連接埠組態，就能從網路存取控制頻道，無須持有有效的RNDC金鑰。</p> <p>ISC本次修補的另一個漏洞CVE-2023-4236，起因是處理DNS-over-TLS查詢的程式碼存在弱點，導致該系統內部資料結構在出現大量查詢作業的情況下，而造成不正確的重覆利用，演變成斷言（assertion）出錯讓該系統終止運作，影響9.18版BIND。不過，ISC指出，這項弱點並不影響DNS-over-TLS的程式碼。</p> </div></div></div>
2023/10/4 20:47作者周峻佑https://www.ithome.com.tw/news/159126
【資安日報】10月4日，求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者利用求職、接案平臺進行網路釣魚攻擊的情況，可說是相當氾濫，其中，最常遭到濫用的是職場社群網站LinkedIn。但現在，有人提供網釣工具包EvilProxy，鎖定美國大型求職網站Indeed使用者，利用該網站未對網址進行管制的弱點來發動攻擊。</p> <p>透過該工具包利用網站弱點的情況，並非首例，<a href="https://www.ithome.com.tw/news/158224#evilproxy">今年3月至6月</a>，駭客利用影音網站YouTube、購物比價網站Slickdeals的弱點，經過一連串的重新導向，才將受害者帶往釣魚網頁，目的是為了繞過各種資安系統與服務的偵測，行跡相當狡猾。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.menlosecurity.com/blog/evilproxy-phishing-attack-strikes-indeed/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">求職網站Indeed被EvilProxy網釣攻擊濫用，鎖定Microsoft 365用戶而來</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Phishing_Attack_Chain_fig2_outline.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phishing_Attack_Chain_fig2_outline.png" style="width: 300px; float: right;" /></a>資安業者Menlo Security揭露自今年7月出現的網釣攻擊行動，駭客主要鎖定美國的銀行與金融服務業、保險業者、物業管理、房地產、製造業的高階管理人員下手，濫用求職平臺Indeed的網址放任重新導向弱點（Open Redirect Vulnerability），將目標重新導向偽裝成Microsoft 365登入網頁的釣魚網站，進行對手中間人攻擊（AiTM），騙得使用者執行登入過程中的Cookie。</p> <p>研究人員進一步調查，發現駭客使用Nginx伺服器代管釣魚網站、特定的URI路徑、伺服器會回應444狀態碼、利用FingerprintJS程式庫收集瀏覽器指紋，以及發出特定POST請求、郵件以Base64演算法編碼等特徵，研判駭客使用名為EvilProxy的網釣工具包發動攻擊。</p> <p><a href="https://nsfocusglobal.com/mirai-botnets-new-wave-hailbot-kiraibot-catddos-and-their-fierce-onslaught/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新型態Mirai殭屍網路變種HailBot、KiraiBot、CatDDoS攻擊行動升溫</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Attack-Targets.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Attack-Targets.png" style="width: 300px; float: right;" /></a>資安業者Nsfocus提出警告，他們在今年9月發現數種Mirai變種的殭屍網路攻擊行動，其中又以HailBot、KiraiBot、CatDDoS最為活躍。</p> <p>HailBot主要透過漏洞、弱密碼掃描、暴力破解入侵，成功感染後將受害電腦用於發動DDoS攻擊，此殭屍網路病毒具備4種使用TCP或UDP通訊協定的攻擊模式。研究人員指出，根據駭客的基礎設施活動判斷，這些攻擊者原本的目標是金融業與貿易業，但從去年下半轉向物聯網裝置。</p> <p>而另一個殭屍網路病毒KiraiBot，入侵的管道是透過23埠掃描常見的弱密碼，並能利用受害電腦發動6種DDoS攻擊，為了能持續在受害裝置上運作，駭客會在特定路徑部署自動執行的指令碼。研究人員指出，他們看到該殭屍網路病毒大量散布，可能帶來的威脅不容小覷。</p> <p>至於第3種殭屍網路病毒CatDDoS的特徵，是針對傳輸資料使用ChaCha20演算法進行處理，而且，近期出現頻繁發動攻擊的現象。駭客主要的攻擊目標位於中國（58%），其次是美國（25%）、日本（6%），偏好使用ack_flood、grip_flood兩種模式發動DDoS攻擊。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">大樓自動化管理業者Johnson Controls遭到勒索軟體攻擊</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/F7BwdEDWcAEaO8X.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F7BwdEDWcAEaO8X.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，大樓自動化管理業者江森自控（Johnson Controls）傳出駭客入侵亞洲辦事處，之後就發生勒索軟體攻擊，該公司關閉部分IT系統因應，旗下子公司York、Simplex、Ruskin紛紛在入口網站表示面臨IT系統服務中斷的情況。</p> <p>資安業者Nextron Systems的研究人員取得勒索軟體程式，並指出攻擊者是勒索軟體駭客Dark Angels，該組織使用Linux版勒索軟體，以加密方式綁架VMware ESXi伺服器，並留下勒索訊息，傳出駭客竊得超過27 TB資料，索討5,100萬美元贖金。江森自控也在9月27日，向美國證券交易所（SEC）提交8-K表單，證實遭遇網路攻擊。</p> <p>根據新聞網站CNN的報導，事發後傳出美國國土安全部（DHS）也著手調查，確認他們是否受到江森自控的資安事故波及。該媒體取得內部的備忘錄，提及該公司持有國土安全部的機密、敏感合約，涉及許多該單位的實體安全設施資料，但不確定駭客是否取得這些檔案。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/building-automation-giant-johnson-controls-hit-by-ransomware-attack/">https://www.bleepingcomputer.com/news/security/building-automation-giant-johnson-controls-hit-by-ransomware-attack/</a><br /> 2. <a href="https://twitter.com/MalGamy12/status/1706989619818954837">https://twitter.com/MalGamy12/status/1706989619818954837</a><br /> 3. <a href="https://otp.tools.investis.com/clients/us/johnson_controls/SEC/sec-show.aspx?Type=html&FilingId=16953602&CIK=0000833444&Index=10000">https://otp.tools.investis.com/clients/us/johnson_controls/SEC/sec-show.aspx?Type=html&FilingId=16953602&CIK=0000833444&Index=10000</a><br /> 4. <a href="https://edition.cnn.com/2023/09/28/politics/dhs-investigating-ransomware-attack/index.html">https://edition.cnn.com/2023/09/28/politics/dhs-investigating-ransomware-attack/index.html</a></p> <p><a href="https://www.ithome.com.tw/news/159116"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織UNC4841攻擊目標從政府機關擴及民生關鍵基礎設施</span></strong></a></p> <p>中國駭客UNC4841利用零時差漏洞CVE-2023-2868，入侵Barracuda郵件安全閘道系統（ESG）引起研究人員及美國政府的高度關注，資安業者Mandiant在近期舉辦的mWISE Conference 2023資安防禦會議當中，透露對此駭客組織攻擊行動進一步的調查結果。</p> <p>研究人員指出，這些駭客入侵了全球多個國家的Barracuda郵件安全閘道系統，目的是協助中國政府進行廣泛的網路間諜行動，此種類型的攻擊行動，往往偏重政府機關、軍事國防、航太產業、電信通訊、資訊科技領域等第一級、高度機敏性組織，本次攻擊行動駭客鎖定的目標，僅有53%為上述產業，另一半是普遍認為較不具機敏性的產業。</p> <p>駭客本次的網路間諜行動目標橫跨26種產業，包括科技研發、能源、海空運輸、建築、農業、媒體、法律事務所、旅遊、零售、地產、食品製造等，其中亦包含多個東協國家的政府外交機構，以及臺灣與香港的國貿單位與學術研究機構，這些領域多為重要的民生關鍵基礎設施產業，一旦營運中斷，有可能嚴重打擊民眾生活。Google Cloud Mandiant Intelligence首席分析師John Hultquist認為，中國駭客的能力變得更為強大，又鎖定這些極具風險的關鍵基礎設施產業，處境非常令人擔憂。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.oligo.security/blog/shelltorch-torchserve-ssrf-vulnerability-cve-2023-43654"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI模型模組管理工具TorchServe存在漏洞ShellTorch，可被攻擊者用於執行任意程式碼</span></strong></a></p> <p>資安業者Oligo Security指出，機器學習框架PyTorch的模組伺服器套件TorchServe存在3個重大漏洞，而有可能讓駭客串連，用於注入惡意AI模型，並且接管整個伺服器，研究人員將這些漏洞通稱為ShellTorch。</p> <p>首先，研究人員發現此套件的API配置當中，可允許攻擊者在無需驗證身分的情況下，遠端存取管理控制臺，值得留意的是，該漏洞存在於TorchServe、Amazon、Google專屬的Docker映像檔，以及Amazon SageMaker、Google Vertex AI、KServe。接下來，攻擊者可利用遠端伺服器請求偽造（SSRF）漏洞CVE-2023-43654，上傳惡意模型，導致目標伺服器執行模型後就有可能被攻擊者用於執行任意程式碼，CVSS風險評分為9.8；在TorchServe採用的元件SnakeYaml，也出現漏洞CVE-2022-1471，攻擊者可藉由上傳惡意YAML檔案，觸發反序列化攻擊，進而執行程式碼，CVSS風險評分為9.9。</p> <p>對此，開發該套件的Meta及Amazon也採取了行動，Meta於10月2日修補API預設值的弱點，Amazon發布資安通告並提出緩解措施。</p> <p><a href="https://source.android.com/docs/security/bulletin/2023-10-01"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google發布安卓系統10月例行更新，修補已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>10月2日Google發布本月份安卓例行更新，總共修補54個漏洞，當中有13個出現在安卓框架、2個為系統元件漏洞、2個與Google Play市集有關、5個Arm元件漏洞、3個聯發科晶片漏洞、1個紫光展銳（Unisoc）晶片漏洞、18個高通元件漏洞。</p> <p>這些漏洞裡，5個為重大等級，其中2個是已出現攻擊行動的零時差漏洞，一是電腦版Chrome的開源程式庫libwebp漏洞CVE-2023-4863，另一個則是Arm處理器GPU顯示晶片Mali的CVE-2023-4211 。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159067"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">第五輪ATT&CK評估計畫結果出爐，本次以善於潛伏的俄羅斯駭客Turla為攻擊假想目標</span></strong></a></p> <p>由MITRE Engenuity舉辦的ATT&CK Enterprise評估計畫（Evals），今年進入第五輪評測，於9月30日公布結果。</p> <p>本次共有31家資安業者參與，為歷屆參與廠商最多的一次，其中有3家資安業者首次參與評測，包括美國資安公司WatchGuard，兩家法國廠商HarfangLab與Tehtris，這也是法國資安業者首次出現於這項評測而受到矚目。綜合第五輪評測結果來看，在31家廠商中，有2家未列出評測結果，分別是Check Point與思科，MITRE Engenuity表示，最終只有29家有評測結果，主要是因為供應商產品與這次模擬執行之間存在不相容的技術問題，導致無法在指定時間內完成評估。</p> <p>而對於本次評測的內容，MITRE Engenuity是以技術手法多樣，潛伏能力強，並且很會隱忍的俄羅斯駭客組織Turla為假想敵，設計模擬攻擊的內容。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ransomware-gangs-now-exploiting-critical-teamcity-rce-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CI/CD系統TeamCity重大漏洞傳出已被勒索軟體駭客用於攻擊行動</span></span></strong></a></p> <p><a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/october-2023-bulletin.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">高通發布十月份例行更新，修補GPU、DSP驅動程式的零時差漏洞</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Looney Tunables漏洞恐讓攻擊者取得root權限，影響多個版本Linux電腦</span></span></strong></a></p> <p><a href="https://www.sonarsource.com/blog/openrefine-zip-slip/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料處理軟體OpenRefine存在Zip Slip漏洞，攻擊者有可能藉此執行任意程式碼</span></span></strong></a></p> <p><a href="https://securelist.com/crimeware-report-asmcrypt-loader-lumma-stealer-zanubis-banker/110512/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體載入工具ASMCrypt埋藏在PNG圖檔，並透過惡意DLL程式庫載入記憶體執行</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159112"><strong>【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159063"><strong>【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159036"><strong>【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金</strong></a></p> </div></div></div>
2023/10/4 17:32作者周峻佑https://www.ithome.com.tw/news/159124
資安業者揭露可摧毀PyTorch基礎設施的TorchServe漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才於以色列創立的<a href="https://www.oligo.security/blog/shelltorch-torchserve-ssrf-vulnerability-cve-2023-43654" target="_blank">資安業者Oligo Security本周揭露</a>，機器學習框架PyTorch的熱門開源套件TorchServe中含有多個安全漏洞，將允許駭客注入惡意的AI模型，甚至接管整個伺服器，令人嗅到了AI時代的安全威脅。</p> <p>PyTorch奠基於開源機器學習函式庫Torch，是個由Meta所開發的機器學習框架，適用於電腦視覺及自然語言處理等應用，為全球最受歡迎的機器學習框架之一，<a href="https://www.ithome.com.tw/news/153009" target="_blank">去年已交由獨立的PyTorch基金會負責治理</a>。</p> <p>而TorchServe則是開源的PyTorch模型服務函式庫，可用來簡化PyTorch模型的部署，主要由Meta及Amazon負責維護，它在Python Package Index（PyPI）的每月下載量超過3萬次，而自DockerHub的總下載量則已突破100萬次。TorchServe不僅稱霸學術研究領域，也被Walmart、Amazon、OpenAI、Tesla、Azure、Google Cloud及Intel等大型企業採用，亦為KubeFlow、MLFlow、Kserve與AWS Neuron等專案的基礎。</p> <p>不過，Oligo Security在TorchServe中發現了多個安全漏洞，包括TorchServe的預設配置可能意外曝露管理介面，而且無需任何身分驗證就可存取，另也在該管理介面中發現了伺服器端請求偽造（SSRF）漏洞CVE-2023-43654，這是個遠端執行漏洞，允許駭客自任何網域上傳配置，第三個漏洞則是出現在TorchServe所使用的SnakeYaml套件，此一CVE-2022-1471漏洞亦允許駭客於目標系統上執行任意程式。Oligo Security將這些漏洞統稱為ShellTorch，影響TorchServe 0.8.2以前的所有版本。</p> <p>研究人員指出，ShellTorch先是敞開了大門讓任何人都能自遠端存取管理介面，CVE-2023-43654漏洞則允許駭客上傳惡意模型，當目標伺服器執行該模型時便有可能執行任意程式，或是藉由上傳惡意的YAML檔案來利用CVE-2022-1471漏洞。結合所有漏洞的最終結果便是讓駭客在不需身分驗證的狀況下，就能自遠端以高權限執行任意程式。</p> <p>其實CVE-2022-1471早在2022年的10月被揭露，且於今年2月釋出的SnakeYAML 2.0修補，不過，直至TorchServe 0.8.1都是使用尚未修補的SnakeYAML 1.31。至<a href="https://github.com/pytorch/serve/releases" target="_blank">於TorchServe 0.8.2則是在今年8月底發表</a>。</p> <p>Oligo Security執行IP掃描之後發現，有數萬個IP位址曝露在ShellTorch的攻擊風險中，並有許多IP屬於Fortune 500企業。Meta已於本周一修補了TorchServe管理API預設值以緩解錯誤配置的問題，<a href="https://aws.amazon.com/tw/security/security-bulletins/AWS-2023-009/" target="_blank">Amazon亦於同一天公布了與ShellTorch漏洞相關的安全建議</a>。</p> </div></div></div>
2023/10/4 15:28作者陳曉莉https://www.ithome.com.tw/news/159121
微軟更新Edge、Teams及Skype，以修補源自Chromium的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/blog/2023/10/microsofts-response-to-open-source-vulnerabilities-cve-2023-4863-and-cve-2023-5217/" target="_blank">微軟周一（10/2）宣布</a>，將更新Microsoft Edge、Microsoft Teams、Skype及Webp Image Extensions，以修補自Chromium開源軟體衍生而來的兩個零時差漏洞CVE-2023-4863與CVE-2023-5217。</p> <p><a href="https://www.ithome.com.tw/news/158723" target="_blank">Google是在9月11日修補</a>Chrome瀏覽器上的零時差漏洞CVE-2023-4863，<a href="https://www.ithome.com.tw/news/159044" target="_blank">於9月27日修補</a>另一個Chrome零時差漏洞CVE-2023-5217，前者為WebP的堆積緩衝區溢位漏洞，後者則是VP8編碼函式庫libvpx中的堆積緩衝區溢位漏洞，兩個漏洞都已遭到實際攻擊。</p> <p>只要是基於Chromium開源專案的瀏覽器都受到這兩個漏洞的影響，包括Microsoft Edge在內。</p> <p>不過，根據微軟的說明，這兩個漏洞也同時波及Microsoft Teams for Desktop與Skype for Desktop，以及微軟透過Microsoft Store所提供的Webp Image Extensions程式。</p> <p>迄今微軟已修補了Edge、Teams、Skype及Webp Image Extensions上的CVE-2023-4863漏洞，亦已修補Edge的CVE-2023-5217漏洞，現正著手修補Teams及Skype上的CVE-2023-5217漏洞，之後Microsoft Store將會自動遞送更新程式至使用者裝置上。</p> </div></div></div>
2023/10/4 15:58作者陳曉莉https://www.ithome.com.tw/news/159122
Google規定Gmail大量郵件寄件者必須驗明正身，新增一鍵取消訂閱功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gmail/gmail-security-authentication-spam-protection/" target="_blank">Google本周二（10/3）針對Gmail的大量郵件寄件者發表了新政策</a>，要求他們必須驗證電子郵件，新增一鍵取消訂閱功能，並規定了發送郵件的頻率，以減少Gmail用戶所收到的垃圾郵件，也避免不周全的寄件者配置讓駭客趁虛而入。此一政策將於2024年2月強制實施，屆時不符合規定的郵件將無法正常送至使用者信箱，或者會直接被Gmail歸類為垃圾郵件。</p> <p>其實Gmail已是眾多網頁電子郵件服務中，垃圾郵件相對較少的，根據統計，Gmail一天所攔截的不必要郵件數量接近150億封，涵蓋垃圾郵件、網釣郵件與惡意郵件，超過99.9%的不必要郵件被封鎖，不過，有鑑於網路威脅日益複雜，Google決定針對大量郵件寄件者祭出新規定。</p> <p>只要一天之內寄出超過5,000封郵件至Gmail的都被Google視為大量郵件寄件者（Bulk Sender），Google說，許多大量郵件寄件者因未能適當地配置與捍衛系統，而讓駭客趁虛而入，因此去年就開始要求寄件者必須通過某種形式的身分驗證，也讓Gmail用戶收到來自未經身分驗證的郵件數量大幅減少了75%。</p> <p>而從明年2月起，Google將要求Gmail的大量郵件寄件者必須通過嚴格的身分驗證，替自己的網域設定SPF（Sender Policy Framework）與DKIM（DomainKeys Identified Mail）電子郵件驗證；其中，SPF可用來預防他人利用寄件者網域來傳送未經驗證的電子郵件，DKIM則可驗證網域擁有者是否確實發送了郵件。</p> <p>其次是Google認為Gmail用戶應該要能一鍵就取消已經訂閱的商業電子郵件，而且寄件者必須在收到要求的兩天內處理。由於Google是採用開放標準來建立相關要求，因此一旦寄件者採用了，不管是使用Gmail或其它郵件服務的使用者都能受益。</p> <p>最後一項是Google認為寄件者應該確保它們所寄送的是使用者想要的郵件，因此打算建立清楚的垃圾郵件頻率門檻，確保Gmail用戶不會受到垃圾郵件的轟炸。</p> <p>此外，Google也呼籲其它郵件供應商應該要跟進，讓上述作法成為基本的電子郵件衛生，Yahoo已宣布要加入Google及電子郵件社群，讓相關改變成為新的產業標準。至於組織、企業或電子郵件行銷業者則可參考<a href="https://support.google.com/mail/answer/81126#zippy=%2Crequirements-for-sending-or-more-messages-per-day" target="_blank">Google所提供的電子郵件寄件者指南</a>。</p> </div></div></div>
2023/10/4 14:41作者陳曉莉https://www.ithome.com.tw/news/159120
微軟Defender又出錯，將Tor瀏覽器標示為惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟防毒軟體Defender近日又出錯，將最新Tor瀏覽器判定為木馬程式，2天後才修正。</p> <p>Tor瀏覽器是以Mozilla Firefox為基礎開發的隱私瀏覽器，是許多人為確保網上匿名性常用的工具。9月底，由於一項VP8影片編碼函式庫ibvpx傳出漏洞並已有濫用行為，Mozilla亦釋出修補漏洞的新版Firefox 118.0.1/ Firefox ESR 115.3.1。針對編號CVE-2023-5217的Ibvpx函式庫漏洞，Google也在上周<a href="https://www.ithome.com.tw/news/159044" target="_blank">釋出最新版Chrome</a>修補。</p> <p>修補ibvpx漏洞的相應Tor瀏覽器版本則為12.5.6版。但<a href="https://forum.torproject.org/t/new-release-tor-browser-12-5-6/9451/4" target="_blank">9月30日有多位用戶發現</a>Windows電腦下載並安裝最新版Tor瀏覽器後，Microsoft Defender顯示其中tor.exe包含木馬程式Win32/Malgent!MTB。Defender告知已經將隔離該檔案，不久後也將之刪除。</p> <p class="rtecenter"><a href="http://forum.torproject.org/t/new-release-tor-browser-12-5-6/9451/6" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-defender-tor-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_DmitryStrakhov-V2.png" style="width: 600px;" /></a></p> <p><a href="https://forum.torproject.org/t/new-release-tor-browser-12-5-6/9451/6" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_DmitryStrakhov</span></span></a></p> <p><a href="https://forum.torproject.org/t/torbrowser-12-5-6-no-longer-flagged-by-windows-defender/9522" target="_blank">10月2日Tor Project小組終於接獲微軟方面回應</a>，證實上傳檢查的檔案「並不符合惡意程式或垃圾程式的標準」。微軟也提供Windows和Tor瀏覽器用戶更新Defender定義檔的方法。包括以管理員權限開啟指令提示視窗，輸人c:\Program Files\Windows Defender，再接續輸入MpCmdRun.exe -removedefinitions -dynamicsignatures及MpCmdRun.exe -SignatureUpdate指令。</p> <p>至於是何原因造成Defender誤判不得而知。<a href="https://www.theregister.com/2023/10/03/microsoft_defender_tor/" target="_blank">《The Register》</a>推測可能是Tor專案最新加入可防止分散式阻斷服務攻擊（DDoS）的PoW（proof-of-work）技術有關，或是Defender的通用型啟發式偵測（generic heuristic detention）技術出錯。</p> <p>不過可以確定的是，這不是Defender第一次誤判。近三年來這項防毒功能曾經將<a href="https://www.ithome.com.tw/news/152885" target="_blank">Chrome、Edge</a>、<a href="https://www.ithome.com.tw/news/148112" target="_blank">Office文件檔</a>、<a href="https://www.ithome.com.tw/news/148650" target="_blank">Log4j漏洞掃瞄工具</a>等標示為惡意程式。</p> </div></div></div>
2023/10/4 12:40作者林妍溱https://www.ithome.com.tw/news/159119
英特爾x86處理器反托拉斯陳年舊案，再遭歐盟罰款3.8億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月底歐盟競爭秩序主管機關針對一樁英特爾14年前x86處理器的反市場競爭行為案，再重新開罰3.76億歐元。</p> <p>2009年歐盟因調查顯示，英特爾2002年到2007年之間，在x86 CPU市場濫用獨大市場地位，對其開罰10.6億歐元。當時歐盟調查發現，英特爾二項非法競爭手段，一是對全部或大部分x86 CPU都向英特爾購買的OEM/ODM提供100%或極大比例的回扣（稱條件式回扣conditional rebates）。第二是付錢給OEM/ODM，讓他們延遲或停止推出使用競爭者（主要是AMD）x86 CPU的產品，並且限縮這些產品的銷售通路（稱為明顯限制naked restriction）。</p> <p>英特爾此後展開一連串上訴。<a href="https://curia.europa.eu/jcms/upload/docs/application/pdf/2022-01/cp220016en.pdf" target="_blank">歐盟普通法院（General Court）於2022年1月做出判決</a>，否決了「條件式回扣」的認定，但也確認「明顯限制」造成英特爾濫用獨大市場地位，法院也否決了歐盟開出的罰單。</p> <p>根據歐盟法院的判決，歐盟於是開出金額較小的新罰單，金額為3.76億歐元，僅針對英特爾2002年11月到2006年12月的「明顯限制」的行為，當時這家CPU大廠支付HP、宏碁及聯想三家電腦業者，停止或延後採用AMD x86 CPU的產品且限縮銷售通路。</p> <p>雖然罰單變小，但英特爾方面仍然不滿意。<a href="https://www.bloomberg.com/news/articles/2023-09-22/intel-hit-by-400-million-fine-as-clash-with-eu-rumbles-on" target="_blank">根據《彭博》引述</a>，英特爾方面對罰款表達失望，但表示未來仍然會在歐盟投資，並和歐盟主管機關合作以協助革新歐盟的半導體市場。</p> <p>而在多年之後，晶片市場已有不同競爭局面。在GPU市場，Nvidia成為現在龍頭業者，引發歐盟注意。<a href="https://www.ithome.com.tw/news/159054" target="_blank">媒體報導</a>，歐盟正在收集資料，以評估這家晶片業者是否有以反競爭市場手段，排擠市占較小業者如英特爾及AMD，法國主管機關甚至傳已經發動搜索。</p> </div></div></div>
2023/10/4 10:18作者林妍溱https://www.ithome.com.tw/news/159118
AWS推出最新Amplify JavaScript函式庫，增強Typescript、Next.js支援改善開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS Amplify JavaScript函式庫第6版現在開始供<a href="https://aws.amazon.com/tw/blogs/mobile/aws-amplify-javascripts-new-developer-preview-with-reduced-bundle-sizes-improved-typescript-and-next-js-support/">開發者預覽測試</a>，該版本的更新目標是要改善開發者使用AWS雲端服務開發網頁應用程式的方法。開發者抱怨已久同捆包容量太大的問題，在這個版本獲得改善，並且也改進了對TypeScript與Next.js的支援。</p> <p>AWS改進Amplify JavaScript函式庫的樹搖（Tree Shaking）功能和底層基礎設施，以達到較小的同捆包容量，這代表無論終端用戶使用寬頻還是不穩定的網路，應用程式的載入速度都可以更快，以維持用戶的參與度與滿意度。</p> <p>在這個新的預覽版中，Amplify只會從每個類（Category）匯入應用程式需要的API，而像非過去一次匯入整個類，未被使用的功能則會被樹搖處理，去除無用的程式碼，官方提到，由於要實作樹搖功能，因此開發體驗會從過去基於類別（Classe）的方法，轉向為基於函式的方法。</p> <p>以函式為基礎的開發體驗，與前一版的主要差異在於，開發者會需要從子路徑匯入特定功能，而不是匯入每個類的類別（Classe）。而且現在函式參數是以物件的形式呈現，而不是單獨的值，這種方式被稱為命名參數，透過命名參數開發者可以清楚知道每個參數的名字，即便參數順序改變，也能很容易地理解參數用途，使得API更容易閱讀和理解。</p> <p>有鑒於TypeScript已經成為許多開發團隊的重要工具，同時也提供一定程度的型別（Type）安全性，使得更大、更複雜的專案易於管理，因此AWS決定在這個預覽版，在身分驗證、分析和儲存類，強化對TypeScript的支援，並在未來規畫將TypeScript的強化功能，擴展至包括GraphQL API和REST API等所有類。</p> <p>另外，AWS也回應社群的要求提供更全面的Next.js支援，因此Amplify函式庫合併了Next.js功能，並且新增了一個Next.js轉接器（Adapter）。該轉接器會在特定執行環境Amplify Server Context中，安全地執行Amplify函式庫，讓開發者可以使用所有的Next.js功能，例如伺服器端渲染、中繼軟體、伺服器函式以及App Router等。</p> </div></div></div>
2023/10/4 09:27作者李建興https://www.ithome.com.tw/news/159117
中國網攻擴及民生關鍵基礎設施產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統由國家策動的網路間諜行動，主要窺探目標不外乎政府機關與國防軍事等機敏單位，然而資安公司Mandiant今年揭發的中國網路間諜行動卻有所轉變。事件調查結果顯示，與中國政府有關連的UNC4841駭客組織，不僅入侵多國政府機關，更染指多個民生關鍵基礎設施產業。</p> <p>UNC4841駭客組織就是去年入侵Barracuda ESG郵件安全閘道器的主謀。Barracuda在今年5月對外公告其Email Security Gateway（ESG）郵件安全閘道器存在一個零日漏洞（編號CVE-2023-2868），且自2022年10月起就被中國駭客組織UNC4841所利用，入侵其郵件安全閘道器。</p> <p>根據Mandiant調查，UNC4841入侵遍及全球多個國家的Barracuda ESG郵件安全閘道器，以協助中國政府進行廣泛的網路間諜行動。UNC4841駭客組織針對鎖定的目標，寄發附帶惡意程式的電子郵件，最早可追溯到2022年10月10日。他們透過三個主要的惡意程式入侵含有零日漏洞的Barracuda ESG郵件安全閘道器，建立後門並常駐在系統內，以達長期竊取資訊的目的。</p> <p>Google Cloud Mandiant Intelligence主席Sandra Joyce表示，UNC4841此次攻擊行動比較不尋常的是，傳統網路間諜行動主要針對的目標，如政府機關、軍事國防、航太產業等，在此次網路間諜行動中僅占31%，另有22%被鎖定的目標包含電信通訊、資訊科技等負責資訊傳播管道的公司。上述這兩大類屬於第一級具高度機敏性的機構，數量加總僅占整起網路間諜行動受害者的一半，而另一半受害者則屬於第二級、一般認為較不具機敏性的產業，其中金融產業占3%（含銀行、消費金融服務），醫療產業占4%（含生技、醫療設備、公衛、照護機構），半導體產業亦占2%（含半導體、電子零組件）。</p> <p>Mandiant的調查顯示，中國這起網路間諜行動鎖定的目標多達26個產業，涵蓋產業類別相當廣泛，還包括科技研發、能源、海空運輸、建築、農業、媒體、法律事務所、旅遊、零售、地產、食品製造等，其中亦包含多個東協國家的政府外交機構，以及臺灣與香港的國貿單位與學術研究機構。</p> <p>這些被網路間諜行動入侵的產業，如金融、電信、醫療、高科技製造、交通運輸等，皆是重要的民生關鍵基礎設施產業。Google Cloud Mandiant Intelligence首席分析師John Hultquist指出，被鎖定的產業中有幾家海運、空運等物流運輸業者，讓人不得不聯想到2017年全球最大航運公司馬士基（Maersk）遭受NotPetya勒索軟體攻擊所造成的廣泛衝擊與影響。</p> <p>2017年馬士基位於烏克蘭黑海地區奧德薩港口辦公室的電腦不慎被NotPetya感染，隨後擴散造成其集團數千臺電腦、伺服器、網路等運作陸續中斷，使得航運預訂系統、貨櫃裝載系統停擺，多處港口設施被迫關閉，數萬臺卡車的貨物無法上船，造成全球航運大亂，損失高達百億美元。當時，此一網路攻擊事件導致的航運延誤，甚至造成雞肉供應斷鏈，使得美國零售超市無雞肉可賣。</p> <p>不僅海空運輸業因高度資訊化，而容易被網路攻擊破壞，其他諸多民生關鍵基礎設施產業亦是如此。John Hultquist指出，近兩年中國網攻能力大幅提升，不但積極挖掘網通、資安設備的零日漏洞，更挾持全球各地不安全的家用、中小企業路由器，建立龐大的傀儡網路，以掩蓋其入侵行徑。同時，中國駭客又具備在入侵後採取寄生攻擊（Living off the Land）的能力，利用作業系統的合法工具程式而非可能觸發資安警報的惡意程式，以掩飾其網路滲透行蹤，製造許多讓資安專家難以追查的斷點。而今，中國網路攻擊的目標又擴大至民生關鍵基礎設施產業，John Hultquist說：「他們現在不僅能力更強大，又鎖定這些極具風險的關鍵基礎設施產業，這個處境令人非常擔憂。」</p> <p>今年9月台中彰化的兩家肉品交易市場接連遭到勒索軟體攻擊，雖僅造成休市一天，未衝擊肉品正常供應，卻也突顯關鍵基礎設施的資安防護除了油水電產業，民生關鍵基礎設施產業亦不容輕忽。</p> </div></div></div>
2023/10/3 21:23作者吳其勳https://www.ithome.com.tw/news/159116
全家結合IoT能源管理、太陽能及儲能設備打造首家能源韌性實驗店，加速超商能源轉型發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府推動2050淨零目標，並鼓勵國內產業加速能源轉型發展。擁有超過4,100家門市的全家超商，今天（10/3）在臺南打造能源韌性實驗店，除了運用IoT協助改善店鋪能源管理，也導入太陽能發電及儲能設備，一方面利用再生能源降低店鋪用電成本，另一方面當發生無預警停電時，可透過儲能設備提供備用電力，提高店鋪的營運韌性。</p> <p>有別於先前聚焦在減輕門市人員勞務、展現零售業轉型企圖心的科技概念店，全家此次打造的能源韌性實驗店，為達到淨零永續，促成超商能源轉型發展所打造，位於臺南安平地區的平豐店，全家和電力系統整合商泓德能源旗下星星電力合作，導入節能、創能（創造能源）、儲能系統及設備，作為全家推動能源轉型概念的實驗店。</p> <p>在節能方面，全家目前向旗下的門市人員宣導節電觀念，同時約有９成的店鋪導入IoT及能源管理系統，可自動偵測冷藏設備溫度，當用電接近滿載，主動降載空調、燈光照明，避免用電過度，例如在傍晚或夜間時段，會自動降低店內照明亮度，至於店官的冰箱、冰櫃設備，過去是採取固定除霜，一天需要６次固定除霜，為避免過度用電，改為動態除霜，當偵測到溫度過低或結霜時才會除霜。目前約９成店鋪導入IoT及能源管理系統。</p> <p>全家在冰箱、冰櫃設備導入IoT能源管理，每個冰箱冰櫃右上方皆顯示溫度，結合邊綠運算，當偵測溫度過低，冰箱或冰櫃內出現結霜時，自動採取動態除霜，除了店鋪端落實能源管理，IoT設備也會將設備運作數據送到總部，作為總部能源管理決策參考，或是從數據分析來預測設備運作狀態，作為預測性維護、設備汰換參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20231003_151246.jpg" style="width: 600px; height: 450px;" /></p> <p>全家的IoT能源管理系統，蒐集冰箱健康分數、監控冰櫃溫度變化、控制照明、店鋪整體用電等數據，下圖為冰櫃溫度：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5494.jpg" style="width: 600px; height: 399px;" /></p> <p>實驗店的一大特色是打造孤島電力系統，也就是在台電供電之外，建置太陽能發電、儲能系統，以提高店鋪的用電穩定性、店鋪營運韌性。首先是利用臺南的日照時間長，在店鋪的屋頂設置10kWp的太陽能，送至店鋪後方的儲能系統儲存，這套儲能系統扮演調節電力供應的角色，可在台電離峰時段儲能，在日間用電尖峰時段供應電力，降低店鋪在尖峰時段的用電量。</p> <p>在平豐店後方的儲能設備，可儲存屋頂太陽能產生的電力，以及在台電電價離峰時段儲能，在店鋪的用電尖峰時段供電，節省用電成本：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5490.jpg" style="width: 600px; height: 399px;" /></p> <p>全家設備工程部部長楊豐瑞表示，能源韌性實驗店的孤島電力系統由太陽能、儲能系統組成，太陽能光電自發自用，其綠電使用量佔全店用電的６％。儲能系統的電池，可在台電離峰電價時段儲電，在店內用電尖峰時段供電，估計單店一個月可節省１成的電費。此外，當台電發生無預警停電，儲能系統可緊急供電救援，包含自動門、監視器、冷凍設備、收銀、基礎照明及空調等，讓店鋪維持２至３小時的營運。</p> <p>在平豐店的顧客休憩區，全家和星星電力合作在牆面設置店鋪能源管理戰情室，在休憩區牆面上的螢幕展示該店的用電、太陽能發電、儲能資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20231003_151159.jpg" style="width: 600px; height: 450px;" /></p> <p>平豐店也利用當地日照，在店外車棚設置太陽能，利用太陽能產生電力，在停車位上設置最高可提供120kW的充電椿，支援CCS1、CCS2規格。因應電力市場自由交易，還設置一個雙向充電椿，相較於傳統的單向椿電，可從電力充足的電動車反向輸出電力給儲能系統。</p> <p>另外，店鋪前方的停車位也設置電動車充電樁，上方的車棚也導入太陽能，產生的電能可為電動車充電：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5488.jpg" style="width: 600px; height: 399px;" /></p> <p>全家在能源轉型的策略上，包括節能、創能、儲能三個短中長期目標，短期目標是透過店鋪教育門市人員節電觀念，導入節能設備、IoT及能源管理系統，並以節能地圖，讓加盟店長養成節電的習慣。全家計畫為平豐店單店進行溫室氣體盤查，在年底前完成碳中和驗證，挑戰成為首間碳中和的便利商店。</p> <p>在中長期目標方面，持續測試導入太陽能發電自發自用、綠電採購，以儲能系統打造孤島電網，在斷電時維持店鋪營運不中斷，全家也準備在年底前，測試500家門市在限定時段採購使用綠電，估計一年採購300萬度綠電。</p> <p>全家便利商店副營運長王智正表示，實驗店以太陽能、儲能設備打造孤島電網，試驗能源管理、調度的效益，藉此強化店鋪在停電時的營運韌性，透過實驗店試驗各項節能、創能、儲能技術的可行性及效益，未來再將相關的技術擴大至更多的門市採用。</p> <p>不過，王智正也直言，目前實驗店建置成本不低，以儲能系統為例，成本仍偏高，未來如果儲能系統使用的電池成本進一步降低，可望將儲能系統推向更多的店鋪使用，未來可利用離峰儲能，尖峰時供電，降低店鋪用電成本。至於太陽能發電，因太陽能板需要較大的空間，需在較大且有長時間日照的店鋪才能建置。短時間內仍需仰賴教育門市人員節能觀念，以及導入IoT能源管理達到節能的目的，中長期目標是隨著創能、儲能技術成熟，以及增加綠電採購，加速超商的能源轉型發展。</p> <p> </p> </div></div></div>
2023/10/3 17:54作者蘇文彬https://www.ithome.com.tw/news/159113
金管會放寬網路保險跨業合作限制，找金融科技合推創新保險項目不受限還可以單賣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為促進保險業發展生態系，金管會今日放寬保險異業合作範圍，開放保險業能與具金融科技專業的業者合作辦理創新型保險商品，特別鬆綁網路投保和網路保險服務可辦理項目的限制，且不再僅限以附屬性商品販售，最快本周內正式上路。</p> <p>過往，保險業與異業合作辦理保險商品時，僅能以附屬性商品的形式販售，今日，金管會宣布將「保險業保險代理人保險經紀人與異業合作推廣附屬性保險商品業務應注意事項」改名為「異業合作推廣保險業務應注意事項」，並增列「保險業直接與具金融科技專業之異業合作辦理創新型保險商品」的型態。未來，保險業進行異業合作，只要是與具金融科技專業的業者合作辦理創新型保險，就可以不再以附屬性商品的形式販售。</p> <p>此外，金管會也進一步修正「保險業辦理電子商務應注意事項」，開放異業合作範圍，讓保險業能與從事大數據資料分析、介面設計、軟體研發、物聯網、無線通訊業務等具金融科技專業的業者合作辦理創新型保險，並依據相關法規申請試辦，經核准後上路。金管會保險局副局長林志憲表示，主管機關主要會針對合作模式和創新商品進行審核。</p> <p>針對創新型保險的定義，林志憲進一步解釋，他表示，除了創新商品，創新型保險還包括創新的服務內容或流程，且不受網路投保和網路保險服務可辦理項目的限制。由於目前法規中，以正面表列可辦理的網路保險服務事項，等同業者僅能辦理條列出的服務項目。例如，過去並未明列保單還款功能，因此，業者不得開放民眾在網路進行保單還款。而在網路投保中，也以表列的方式限制產險和壽險的投保商品種類。</p> <p>不過，此次開放異業合作辦理的創新型保險，皆不在上述限制範圍內。林志憲解釋，保險業者只要是與相關的金融科技業者合作辦理，就不受可辦理網路投保和網路保險服務項目的限制，「有利於業者進行生態系的建立。」</p> <p>此外，針對網路保險服務可辦理項目，金管會也宣布新增保單還款、變更個人投保風險屬性、利變型保單及團體年金自費單次增額保費變更。林志憲表示，此次修正最快兩天就會正式上路。</p> </div></div></div>
2023/10/3 18:50作者李昀璇https://www.ithome.com.tw/news/159114
【資安日報】10月3日，Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基於便利等因素，我們可能會認為內部網域的流量能夠完全信任，而不需加以管理，但這麼做很可能讓攻擊者有機可趁！資安業者Certitude近期揭露Cloudflare漏洞，就是這種型態的例子。</p> <p>研究人員發現，攻擊者可藉由自己的Cloudflare帳號，藉由該公司設置內部網域的信任機制，對其他用戶造成危害，由於Cloudflare並未將此視為漏洞，亦不打算修補，使得研究人員呼籲用戶要採取緩解措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://certitude.consulting/blog/en/using-cloudflare-to-bypass-cloudflare/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">零信任防護範圍不包括使用相同雲服務的用戶？Cloudflare安全控制功能傳出其他用戶可繞過防護的爭議</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-CA-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-CA-2.png" style="width: 300px; float: right;" /></a>9月28日資安業者Certitude指出，專門提供內容遞送網路與資安服務的Cloudflare含有安全漏洞，攻擊者可設置免費帳號來攻擊其他Cloudflare的用戶。</p> <p>研究人員指出，使用者若是將安全層級設為中等安全（Moderately Secure）或是非常安全（Very Secure），就會自動信任所有來自Cloudflare的流量，攻擊者只需建立免費的Cloudflare帳號，設置一個Cloudflare網域，將其DNS A記錄指向受害者的IP位址，再關閉該網域的所有保護機制，就有機會以Cloudflare的基礎設施當作偽裝並發動攻擊，繞過該公司為用戶設置的安全機制。</p> <p>研究人員今年3月向Cloudflare通報此事，不過該公司將其視為有價值的資訊（Informative），而非漏洞，因此研究人員公布相關細節，並呼籲用戶應採取緩解措施因應。</p> <p><a href="https://starlabs.sg/blog/2023/09-sharepoint-pre-auth-rce-chain/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟SharePoint今年上半被挖出身分驗證繞過漏洞，有廠商發展出概念驗證程式，進一步證實可行性</span></strong></a></p> <p>資安業者STAR Labs於9月25日，揭露在今年3月參加漏洞挖掘競賽Pwn2Own Vancouver 2023的過程中，找到微軟SharePoint預先身分驗證漏洞攻擊鏈CVE-2023-29357、CVE-2023–24955細節（CVSS風險評分為9.8、7.2）。</p> <p>前者為身分驗證繞過漏洞，使得未經身分驗證的攻擊者能利用有效的JSON Web Tokens（JWTs），並在OAuth身分驗證流程裡利用「none」簽章演算法來推翻驗證JWT的機制，進而假冒任意SharePoint使用者；後者則是程式碼注入漏洞，攻擊者若是取得Sharepoint Owners權限，就能藉由置換網站根目錄的特定檔案，達到注入程式碼的目的，並使得該系統會編譯這些程式碼，並將其列入SharePoint的程式集。</p> <p>研究人員指出，一旦攻擊者將上述兩項漏洞結合，就有可能發動遠端執行任意程式碼（RCE）攻擊。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/x0DPpVh8fO4?si=cuW2twbINR38mHM9" title="YouTube video player" width="560"></iframe></p> <p><a href="https://www.cyfirma.com/outofband/apache-nifi-cve-2023-34468-rce-vulnerability-analysis-and-exploitation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料整合及自動化工具Apache NiFi漏洞出現概念性驗證攻擊程式碼</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nifi-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/nifi-1.jpg" style="width: 300px; float: right;" /></a>資安業者Cyfirma揭發資料流自動化處理系統Apache NiFi的漏洞CVE-2023-34468，並提出警告，這項漏洞起因是特定NiFi服務支援設定為可存取JDBC的資料庫，而且當組態設定成URL連結的時候，任何字串都能導入，使得攻擊者可偽造連線字串，然後透過該系統通常會配置的Java資料庫H2來觸發目標NiFi系統的漏洞，進而遠端執行任意程式碼，並能未經授權存取系統及資料，影響0.0.2至1.21.0版NiFi，CVSS風險評為8.8分，開發團隊獲報後於6月推出1.22.0予以修補。</p> <p>但研究人員在8月30日，看到有人公開利用這項漏洞的概念性驗證程式碼（PoC），且地下論壇出現兜售此漏洞利用工具的情況，根據他們的觀察，目前暴露在網際網路、存在此漏洞的Apache NiFi系統相當多，有將近2,700臺，呼籲IT人員應儘速採取緩解措施。</p> <p><a href="https://www.trendmicro.com/en_us/research/23/i/apt34-deploys-phishing-attack-with-new-malware.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客組織APT34利用惡意軟體Menorah發動攻擊</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-apt34-deploys-phishing-attack-with-new-malware.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-apt34-deploys-phishing-attack-with-new-malware.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露伊朗駭客組織APT34（亦稱OilRig、Helix Kitten）的攻擊行動，他們看到駭客今年8月，使用名為MyCv.doc的Word文件檔案發動釣魚攻擊，目的是在受害電腦植入惡意程式Menorah。一旦使用者開啟上述Word檔案，此檔案便會在電腦投放.NET惡意程式，並建立名為OneDriveStandaloneUpdater的工作排程，以便該程式持續在受害電腦運作。</p> <p>此惡意程式能對目標電腦建立指紋、列管，列出資料夾及檔案清單、將指定檔案傳出、執行Shell命令、下載檔案等。研究人員指出，相較於另一家資安業者Nsfocus於8月底揭露的惡意程式SideTwist，Menorah加入更多迴避偵測的功能，使得行蹤更難察覺，例如，Menorah可對送往C2的流量進行雜湊處理，而且，該惡意程式在啟動過程當中，會先檢查是否執行特定參數，以驗證作業流程的正確性。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/arm-warns-of-mali-gpu-flaws-likely-exploited-in-targeted-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Arm修補已遭利用的Mali顯示晶片漏洞</span></strong></a></p> <p>10月2日Arm發布資安通告，修補手機GPU顯示晶片Mali的3個漏洞。</p> <p>其中最值得注意的是已被用於攻擊行動的CVE-2023-4211，影響的核心驅動程式，包括：Midgard、Bifrost、Valhall，以及Arm第5代架構，透過這個漏洞，攻擊者能在本機端未取得特權權限的狀態下，操弄GPU記憶體的處理作業，進而存取先前被釋放的記憶體空間。Google也將在本月份例行更新當中，修補上述漏洞。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://aws.amazon.com/tw/blogs/security/how-aws-threat-intelligence-deters-threat-actors/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AWS揭露內部威脅獵捕系統MadBot</span></strong></a></p> <p>雲端服務業者AWS揭露他們內部運作已久的威脅獵補系統MadPot，此系統主要有兩大功能，分別是發現及監控網路上的攻擊行動，以及干擾駭客從事攻擊的行為，該系統每天在全球進行超過1億次的威脅偵測，發現50萬起惡意活動事件。</p> <p>MadPot會收集大量的威脅情報資料進行關聯與分析，找出網路上可能發生的威脅活動；同時，這個系統也具備密罐陷阱（Honeypot）的功能，設置捕捉攻擊者的誘餌，然後透過整合資料和情報分析，自動化採取進一步能夠執行的行動。</p> <p>而對於該系統架設完成的效果，AWS表示，他們在今年第一季成功阻止逾130萬起殭屍網路的DDoS攻擊，並將該系統用於分析俄羅斯駭客Sandworm鎖定WatchGuard網路安全設備的漏洞攻擊、中國駭客組織Volt Typhoon對於關鍵基礎設施（CI）的網路間諜攻擊。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/cisa-warns-of-old-jboss-richfaces-vulnerability-being-exploited-in-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">5年前的JBoss RichFaces漏洞被用於攻擊行動</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sdwan-vman-sc-LRLfu2z"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科SD-WAN系統出現漏洞，攻擊者有可能遠端存取伺服器</span></span></strong></a></p> <p><a href="https://www.ic3.gov/Media/News/2023/230928.pdf"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">勒索軟體攻擊出現更嚴峻的態勢，駭客在2天內發動雙重加密攻擊</span></span></strong></a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/lazarus-luring-employees-trojanized-coding-challenges-case-spanish-aerospace-company/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">北韓駭客Lazarus鎖定航太產業散布惡意程式LightlessCan</span></span></strong></a></p> <p><a href="https://exploits.forsale/themebleed/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Windows 11佈景主題RCE漏洞ThemeBleed有可能被用於發動RCE攻擊</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159063"><strong>【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159036"><strong>【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159005"><strong>【9月27日】 Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料</strong></a></p> </div></div></div>
2023/10/3 17:32作者周峻佑https://www.ithome.com.tw/news/159112
第4屆FHIR聯測今展開，新添醫療理賠、遠距醫療等4大醫療資料交換應用情境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第4屆國際醫療資料交換標準FHIR聯測松今日（10/3）在國泰金融會議中心展開，共有32家機構參與，包括醫院、企業、法人和學校，且今年度聯測賽道（Track）繼續擴大，共有10大類別，不只有基本的病人資訊、生理量測數據、醫學影像與病理等，還新添4項應用情境賽道，包括照護協調、醫療保險理賠、遠距醫療、癌症登記等。</p> <p>一如前一屆，這次聯測採用的FHIR規格包括衛福部制定的臺灣核心實作指引（TW Core IG），而醫療系統具備FHIR資料交換能力，正是衛福部近年力推的重要政策。不只衛福部健保署署長石崇良現場表示，FHIR標準的採用對系統互通性至關重要，衛福部資訊處處長龐一鳴也指出，近來衛福部還補助美國FHIR課程，鼓勵培養制定臺灣FHIR實作指引的人才。</p> <p><span style="font-size:24px;"><strong>今年32家機構參與，去年參與系統數更破200個</strong></span></p> <p>FHIR聯測的目的，是要讓醫院、醫資廠商的系統，用符合HL7組織制定的國際醫療資料標準FHIR來互通資料，這對系統的複製、擴散和商業化應用，有很大的幫助。</p> <p>臺灣醫療影像資訊標準協會（MISAT）連年推動臺灣FHIR聯測，協會秘書長連中岳指出，今年有32家機構參與，包括10家醫院、19家企業、2家學校和1家法人。其中，醫院有臺北榮總、臺中榮總、高雄榮總、萬芳醫院、國泰醫院、馬偕醫院、花蓮慈濟、中山附醫、彰基和童綜合醫院等。法人和學校則分別有工研院、北護大資訊管理學系和銘傳生醫工程學系。這次雖未揭露詳細企業名單，但企業參與者來自醫資廠商、電信業者和製造大廠。</p> <p>他統計過去3年聯測數據，首先是參與機構數量，從2020年的20家、2021年的33家增加到2022年36家，今年則是32家，範圍涵蓋企業、學校、法人和醫院。再來，參與聯測的交易量和系統數量逐年增加，從2020年的約1萬筆交易量、2021年約3萬，攀升到2022年約5萬筆交易量，測試系統量也是逐年增加，從29個系統、60個系統，再到2022年的222個系統。</p> <p><span style="font-size:24px;"><strong>新添4大應用情境賽道，不少都採用TW Core IG規範</strong></span></p> <p>今年的測試賽道共有10個，比去年多出3項，同時還新增不少應用情境賽道。進一步來說，今年的基礎賽道與去年相同，包括Track 1病人基本資料、Track 2生理量測數據、Track 3用藥、文件打包及服務請求、Track 4醫學影像與病理、Track 5基因體標記。接下來則是應用情境賽道，包含Track 6照護協調、Track 7緊急醫療救護、Track 8醫療保險理賠、Track 9遠距醫療、Track 10癌症登記等，其中，只有緊急醫療救護是去年已有的賽道，其餘4項為今年新增的賽道（如下圖）。參與機構可自行選擇要參加的賽道。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fhir%E9%A9%97%E8%AD%89.JPG" /></p> <p>連中岳解釋，Track 1是測試系統能否以符合TW Core IG的規範，來傳送和接收病人基本資料，其下包含3種情境，如病人首次建檔的核心資料交換、各項醫療處置前病人身分確認的身分識別資料交換、病患聯絡資訊交換等。Track 2則以國際FHIR基準標準，來衡量參測系統傳輸的生理數據是否符合規範，包含生命徵象、用藥結合血壓與心率量測、骨骼密度、心電圖等。</p> <p>Track 3比較特別，不只新增2個服務請求情境，還大量使用醫療術語，特別是藥品代碼，如臺灣健保藥品代碼、臺灣食藥署許可證代碼、SNOMED藥品代碼、RxNorm藥品代碼等。</p> <p>在Track 4部分，則結合FHIR和醫療影像國際標準DICOM，主要驗證醫療影像和AI標記的互通，特別的是，為了這個賽道，協會還整合許多外部資源，如數位部和資策會共同成立的醫療產業健康智慧化工作小組（SIG）、國際DICOM病理影像WG26工作小組，以及國科會醫療AI專案（含成大團隊與陽明交大團隊）。此外，該賽道還包括醫療影像報告與影像整合，因此也制定了國內的醫學影像報告FHIR指引。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BD%B1%E5%83%8F(1).JPG" /></p> <p>連中岳表示，他們希望透過賽道4，來建立包含AI醫材、雲端業者、醫資系統業者的AI醫療軟體生態系，並搭配國際標準、以聯測來驗證，利於後續產品推廣。</p> <p>在Track 5部分，則包含衛福部電子病歷交換中心（EEC）制定的4張病歷單張的FHIR互通，其餘情境還有健康存摺資料、慢性處方箋、長照健康資料等的互通（如下圖）。Track 7則涵蓋到院前後、在醫院急診室的病歷FHIR交換，以及到院前心臟停止（OHCA）、重大創傷、腦中風（CVA）等資料交換情境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%85%A7%E8%AD%B7.JPG" /></p> <p><span style="font-size:24px;"><strong>新添醫療保險理賠賽道，由國泰金控共同設計</strong></span></p> <p>另一個特別賽道是Track 8醫療保險理賠資料，目的是要透過統一的標準，來解決醫療機構和保險公司理賠資料上傳問題。為了這個賽道，協會和國泰金控等團隊引用HL7基準並繼承TW Core IG，制定出醫療保險理賠實作指引，作為交換的資料規範。</p> <p>測試情境有3種，包括理賠申請文件打包上傳、理賠申請補件打包上傳、理賠申請文件調閱，資料內容更涵蓋醫療保險申請書、收據與收據明細、診斷證明書、檢驗檢查、放射影像報告等，未來則會增加醫學影像和病理報告。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%90%86%E8%B3%A0.JPG" /></p> <p>而且，國泰金控還提供3個等級共10萬元的總獎金，來鼓勵參測Track 8的單位。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%90%86%E8%B3%A0%EF%BF%A5.JPG" /></p> <p>不只如此，國泰金控在去年也跨領域組隊開發iFHIR Center雲端電子病歷平臺，能將現行病歷資料轉換為FHIR標準，並通過去年FHIR聯測3項賽道驗證。今年，他們與MISAT共同參與聯測籌辦、設計醫療保險理賠賽道，也提供場地來進行聯測。</p> <p>國泰金控發展iFHIR Center平臺只是第一步，國泰金控資深副總經理姚旭杰指出，他們希望結合國際醫療資訊標準技術框架和自家轉型經驗，來推動醫療機構與保險公司、健管中心等第三方合作夥伴間的醫療資訊交換，進一步發展核保理賠、健康照護/健檢、智慧醫療科技串聯等創新應用場景，要形塑Open Health生態系。</p> <p>至於今年新增的遠距醫療和癌症登記賽道，前者是要搭配2大政策（偏鄉離島遠距醫療服務和全民健保遠距醫療給付計畫），以FHIR標準設計遠距醫療門診作業，如病患基本資料維護、掛號等。而癌症登記賽道則是要解決現行癌症登記設計、難以實現資料互通的問題，團隊參考了瑞士FHIR癌症登記實作指引和HL7基準，設計出臺灣癌症登記短表與長表共2份實作指引，並納入臺北榮總、臺中榮總和高雄榮總等3家醫學中心，來進行聯合驗證。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%99%8C%E7%99%BB.JPG" /></p> <p><span style="font-size:24px;"><strong>今年新增OAuth 2資安授權驗證分級</strong></span></p> <p>另一方面，連中岳說明，今年的驗證機制是80%採自動化驗證，也就是指用FHIR結構化定義，來驗證格式和引用詞彙，其餘不足的20%則會以專業人力驗證。</p> <p>不只如此，今年測驗等級分為3個，一是Level 1能力聲明驗證，也就是要通過賽道指定情境的測試腳本，並符合國際FHIR基準標準和衛福部TW Core IG規範，再來是Level 2互通性驗證，也就是不只要通過賽道指定情境的測試腳本，一個系統還要與3家不同廠商進行交互驗證。最後是今年特別納入的Level 3資安授權（OAuth 2）驗證，參測系統得支援OAuth 2認證，也就是產品要具備動態身份授權機制，且符合國際資安標準規範。</p> </div></div></div>
2023/10/3 18:53作者王若樸https://www.ithome.com.tw/news/159115
JavaScript框架Next.js 13.5提升本地開發效能與路由效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>建立在React之上的知名JavaScript框架Next.js釋出了最新的13.5版本，這個版本主要改進開發體驗和效能<a href="https://nextjs.org/blog/next-13-5">。Next.js 13.5</a>在本地開發效能和穩定性都有所提升，本地伺服器啟動速度與熱模組替換速度皆明顯提升。此外，這個版本還減少記憶體使用量，同時加快熱門套件匯入速度。</p> <p>Next.js 13新加入App Router，官方在Next.js 13.4針對該功能更新，以提升應用程式的效能和可靠性，並於Next.js 13.5再次改進App Router。App Router是利用React新功能React Server Components（RSC），所發展的建置應用程式新範式，簡單來說，該功能是基於Next.js原本檔案系統Pages Router的延伸，可讓開發者在不重新載入整個頁面的情況下，切換到不同視圖或是部分，其提供了一個更高效的方法來組織和處理路由。</p> <p>官方把更新重點擺在App Router上，並進行了許多最佳化，像是Next.js現在可以更好地處理資料儲存，透過快取和最小化速度慢的工作，減少不必要的操作，同時最佳化耗時的檔案系統操作。Next.js也會在編譯過程增量走訪樹結構，也就是在更新和處理資料結構時，系統不會重新走訪整棵樹，而是針對有變動的部分進行處理，以大幅提高效率和速度。</p> <p>Next.js 13.5還會推延非必要的阻塞式同步呼叫，並且自動配置大型圖示資源庫。相較Next.js 13.4，新版本的本機伺服器啟動速度提高22％，熱模組替換快速刷新的速度提高29％，記憶體使用減少40％。App Router是目前官方推薦的應用程式建置方法，建議新專案和應用程式採用，而對於舊的應用程式，則也建議逐步整合App Router。目前兩種路由方式可以在同一應用程式中共存。</p> <p>Next.js 13.5還最佳化套件匯入效能，當在使用大型圖示或是元件函式庫時，可以提高本地開發效率和加速生產環境的冷啟動。過去開發者需要手動設定匯入函式庫模組，而現在Next.js會自動處理這項工作，而許多知名的函式庫，像是@mui/icons-material和lodash現在也只會載入真正會用到的模組。</p> <p>官方參考社群的意見，新增一個實驗性函式unstable_getImgProps()，這個函式允許開發者不使用<Image>元件，以更靈活的方式處理和顯示圖片。</p> </div></div></div>
2023/10/3 17:03作者李建興https://www.ithome.com.tw/news/159111
和碩找上AutoML平臺新創詠鋐智能聯手，要將自家智慧製造AI系統輸出到不同智慧場域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代工大廠和碩宣布將與AutoML平臺新創詠鋐智能策略合作，建構AI應用生態圈，不只應用在智慧製造，未來也能在金融業、醫療業、智慧城市及零售物流等其他智慧場域來推出。</p> <p>身為全球筆電、智慧型手機等裝置的代工大廠，和碩早早就開始將AI技術導入自家工廠中，開發各種智慧製造應用，不僅用於提高生產效率，更將多年來的智慧製造成果輸出，推出了智慧製造AI系統PEGAAi，可供製造業採用。</p> <p>這套AI製造系統使用了Nvidia H100和L40S GPU伺服器所搭建，可供企業用於數據蒐集、模型訓練、模型管理、模型部署和效能追踪，同時它還結合了AI影像分析串流平臺Metropolis，提供邊緣AI影像處理能力。該系統也與Nvidia Omniverse數位分身平臺結合，可以用來開發數位分身模型，建立工廠數位分身相關應用。目前在和碩工廠中實際導入Omniverse平臺模擬各項生產作業，例如建立實體機臺的數位分身模型，協助工程師遠端檢測機器，提供預測性維護。</p> <p>和碩表示，詠鋐的加入，將有助於強化和碩在AI生態系中在數據資料呈現，AutoML演算法，以及模型生命周期管理的能力。</p> <p>和碩核心技術研發中心軟體研發一處處長蕭安助表示，透過建立AI應用生態圈，將可以加速他們擴大服務對象，從製造業上下游夥伴，擴散到其他的智慧場域的相關服務，提供包含開發、部署以及管理的ML、AOI、LLM的低程式碼或無程式碼自動化架構等。</p> <p>和碩除了在AI领域的垂直整合，有包括5G 解決方案、Nvidia的 GPU技術、架構整合，詠鋐表示，在AI 水平面整合上，和碩的智慧製造AI系統 PEGAAI，將能與他們自己的AutoML平臺Tukey達到互補的效果，有助於AI 應用生態圈的發展，不只是在應用在智慧製造，未來也能其他智慧場域來推出，包括金融業、醫療業、智慧城市及零售物流等。</p> </div></div></div>
2023/10/3 15:11作者余至浩https://www.ithome.com.tw/news/159109
歐洲20家電信業者要求Big Tech支付頻寬成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲電信網路營運商協會（European Telecommunications Network Operators Association，ETNO）<a href="https://etno.eu/news/all-news/777-a-call-for-fair-share-legislation-europe-must-act-to-protect-its-digital-future.html" target="_blank">周一（10/2）發表了一封由20名歐洲電信業者執行長所簽署的公開信</a>，呼籲歐盟應立法規定推動最多頻寬使用的大型科技業者（Big Tech）應對頻寬成本作出貢獻。</p> <p>ETNO指出，歐盟制定了2030年的數位十年政策，企圖推動與AI、虛擬實境及IoT有關的各種新應用，以支持產業成長並提高歐洲競爭力，也替公民帶來更好的醫療、教育、農業、食物、安全及交通，這些變遷也將推動電信網路的新需求，若無必要的投資，數位十年政策將會失敗，然而，未來的投資面臨了巨大的壓力，需要歐盟的監管行動來確保投資的安全。</p> <p>根據歐盟的估計，要實踐該政策的連網能力，必須在2030年投入1,740億歐元的資金，但目前歐洲電信業者的實力並無法滿足此一需求，許多電信業者都僅能賺回成本，另一方面，每年的資料流量卻以20~30%的速度成長，而這些流量主要是由少數的大型科技業者所推動。</p> <p>ETNO認為，流量的成長將會持續，但電信業者卻無法獲得相對的投資報酬。過去十年來，電信服務的成本增加了，價格卻下滑了，而上述的新技術對底層網路基礎設施的要求將會進一步增加成本。</p> <p>因此，歐洲的電信業者呼籲歐盟官方，必須確保這些自電信基礎設施受益最多的大型科技業者應有公平的貢獻，僅針對有明確範圍的超大型流量產生者，並排除小型的內容與應用供應商，且應透明化以讓電信業者可以將這些貢獻直接投資到歐洲的數位基礎設施上。</p> <p>雖然在這封公開信中沒有指名道姓，但過去ETNO即曾點名Google、Meta、Netflix、蘋果、Amazon及微軟，聲稱來自這六大科技業者的流量便占了全球流量的一半以上。</p> <p>歐洲電信業者認為，立法要求大型科技業者作出電信成本貢獻，可在解決不對稱的同時重新平衡價值鏈上的市場力量，因為現在的大型科技業者幾乎沒有支付任何的網路資料傳輸費用，更遑論協助擴大電信基礎設施，相較於電信業者無法向Big Tech收取資料傳輸費用，某些雲端服務供應商卻可向客戶收取80倍的雲端資料傳輸費。</p> <p>ETNO強調，它們同意歐盟提出的網路中立政策，但開放網路的最終目標是確保使用者可平等地存取網路，此一目標將因電信業者缺乏投資能力而遭到破壞，還會危及建置新網路的能力。</p> <p>總計有20家電信業者的執行長簽署了此一公開信，包括德國電信（Deutsche Telekom）、英國電信集團（BT Group）、沃達豐集團（Vodafone Group）及Orange Group等。</p> </div></div></div>
2023/10/3 13:21作者陳曉莉https://www.ithome.com.tw/news/159096
新加坡樟宜機場明年將導入生物辨識通關查驗，出境不必出示護照
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新加坡上個月通過修法，從2024年起，樟宜機場將採用臉部等生物辨識作為自動化通關驗證，可取代出境的護照查驗，成為杜拜後全球第二座實施的機場。</p> <p>新加坡通訊部長暨內政部第二部長<a href="https://www.mha.gov.sg/mediaroom/parliamentary/immigration-amendment-bill" target="_blank">Josephine Teo在上月移民法修法完成演說中指出</a>，新加坡將成為全球實施免護照自動通關的少數國家。星國現行出入境旅客已恢復疫前水準，官員表示，自動查驗將可提供更快速方便的旅客通關服務。</p> <p><a href="https://www.ica.gov.sg/enter-depart/for-visitors/ACI" target="_blank">根據星國政府網站說明</a>，抵達樟宜機場的外國旅客利用自動化通關系統完成首次註冊。旅客入境時，在自助式通關機（Automated Clearance Initiative）（下圖）指示下，放入護照、按下指紋及照相後，製作成電子護照並儲存在後端。等旅客出境時，從寄行李、出境查驗到登機也全都會經過這套系統驗證身份，就不必再出示護照。<a href="https://sbr.com.sg/aviation/news/proposed-law-amendment-seeks-new-biometric-enabled-departure-sans-passports" target="_blank">星國政府聲稱</a>，這些資訊僅會保留一小段時間，之後會刪除。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Automated%20Clearance%20Initiative-singapore.png" style="width: 500px;" /></p> <p><a href="https://www.khaleejtimes.com/uae/dubais-passport-free-travel-emirates-passengers-to-walk-through-check-in-immigration-with-new-s" target="_blank">相關報導指出</a>，杜拜機場也預定從今年11月起，於第三航厦啟用指紋及臉部辨識作為免接觸通關驗證方法，是全球首先導入以生物辨識為基礎的全自動通關驗證的機場。</p> </div></div></div>
2023/10/3 12:25作者林妍溱https://www.ithome.com.tw/news/159091
Google發表Chromebook的高階系列Chromebook Plus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chromebooks/chromebook-plus/" target="_blank">Google周一（10/2）發表了Chromebook Plus</a>，這是Chromebook的高階系列，具備一定的硬體規格，諸如採用第12代Intel Core i3或AMD Ryzen 3 7000系列及以上的處理器，擁有8GB以上的記憶體，內建128GB以上的硬體空間，還有1080p的視訊攝影機，相較於傳統Chromebook還可找到200美元左右的機種，Chromebook Plus的最低售價為399美元。</p> <p>Chromebook Plus因提升了硬體規格，使得它的用途更廣，Google將它定位成同時支援教育及商用的筆記型電腦。例如它提供更好的視訊會議能力，也可在視訊通話幫忙降噪；現在也能執行Adobe Photoshop、Adobe Express與LumaFusion等需要較多硬體資源的應用；此外，有更大容量的Chromebook Plus可自動下載Google Drive的檔案，以讓使用者不管是離線或上線時都能存取檔案。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Video_Call_Controls.width-1000.format-webp.webp"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Video_Call_Controls.width-1000.format-webp.webp" style="width: 600px; height: 337px;" /></a></p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Adobe_Photoshop_on_Chromebook_Pl.width-1000.format-webp.webp" style="width: 600px;" /></p> <p>Google亦計畫明年於ChromeOS中整合強大的AI能力，包括幫使用者撰寫草稿，以文字描述來生成電腦桌布，或是在視訊通話時提供生成式AI背景圖案。</p> <p>首批Chromebook Plus將於今年10月問世，率先登場的是支援教育市場的機種，包括ASUS Chromebook Plus CM34 Flip、Acer Chromebook Plus 514與Acer Chromebook Plus 515，而其它準備推出的Chromebook Plus產品還有ASUS Chromebook Plus CX34、15.6吋的HP Chromebook Plus、14吋的HP Chromebook x360、Lenovo Flex 5i Chromebook Plus及Lenovo Slim 3i Chromebook Plus。</p> <p>目前Google主要於美國、加拿大及歐洲市場銷售Chromebook。<a href="https://www.canalys.com/newsroom/global-tablet-market-share-Q2-2023" target="_blank">根據市場研究機構Canalys今年第二季的調查</a>，該季全球的Chromebook出貨量為590萬臺，比去年同期成長了1%，前五大製造商依序是HP（26.7%）、聯想（22.9%）、Dell（22.0%）、Acer（18.0%）與Asus（6.3%），而出貨量最大的市場則是美國，占據了整體出貨量的81%。</p> </div></div></div>
2023/10/3 12:51作者陳曉莉https://www.ithome.com.tw/news/159095
MedTech醫療科技雙周報第27期：韓國揭FHIR國家醫療資料標準新進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0916～0930）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 韓國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> KR CDI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>韓國揭FHIR國家醫療資料標準新進展</strong></span></p> <p>去年12月，韓國衛福部（MOHW）就成立公私聯合醫療數據標準化指導小組，來收集醫界、產業和學界意見，最近經過多次討論，終於修訂了原有的FHIR醫療資料標準制定規範。這個修訂版主要針對醫療術語，來確保和醫療機構間的電子病歷傳輸用語一致。他們將病患、醫療機構、醫療服務等核心資訊，分為14個資料類別（Class），其下則有77個資料元素（Element），並為每個元素定義值集，來對應到互通性核心資料，也就是KR CDI。</p> <p>這個KR CDI定義了重要醫療數據的標準，要提高韓國醫療機構、公部門、私部門和患者間的醫療資料互通性。另一方面，根據美國醫療資訊暨管理系統協會（HIMSS）旗下媒體<a href="https://www.healthcareitnews.com/news/asia/south-korea-enables-access-113-personal-health-data-my-healthway">Healthcare IT News報導</a>，韓國衛福部最近也正式上線個人健康記錄（PHR）App：My HealthWay，彙整了韓國約860家醫療機構共130多種健康資料，如病理和手術報告，以視覺化方式呈現給民眾，改善過去健康資料分散的問題。<a href="https://www.mohw.go.kr/eng/nw/nw0101vw.jsp?PAR_MENU_ID=1007&MENU_ID=100701&page=1&CONT_SEQ=378345">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 提示 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 紐約大學 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">紐約大學醫學中心完成生成式AI提示松</span></strong></p> <p>紐約大學朗格尼醫學中心（NYU Langone Health）在8月舉辦了醫療領域的生成式AI提示松（Prompt-a-Thon），不只讓第一線醫護、老師、研究者用真實世界且去識別化的患者數據，來找出潛在的生成式AI新用法，他們也透過這個活動，來縮短使用者與資料科學家的技術認知差距。</p> <p>早在今年3月，紐大朗格尼醫學中心就開始使用GPT-4等級的生成式AI服務，但該中心副資訊長Jonathan Austrian表示，他們面臨的問題是如何讓所有職員參與進來。因為這些職員可能提出生成AI的變革性用途，但技術知識可能不夠好，因此想藉提示松來降低參與門檻。</p> <p>這個提示松的參與者不需專業技能，以面對面方式，由生成式AI專家現場指導。參與人數除了現場參與的70人，還有線上參與的500多人，現場參與者會根據背景和興趣分組，來解決不同情境的問題，如病人衛教、診斷和治療、公平性等，透過提示來使用生成式AI模型。活動後，團隊也做了項調查，發現調62人的回覆中，90%的受試者認為，提示松提高了他們用生成式AI完成工作的效率，另有84%的人表示，他們可能會提出一個醫療生成AI專案。<a href="https://nyulangone.org/news/nyu-langone-health-hold-ai-prompt-thon-event">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 次世代數位醫療平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PaaS </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部解釋次世代數位醫療平臺的4大架構</strong></span></p> <p>日前，衛福部資訊處處長龐一鳴說明構成次世代數位醫療平臺的4種架構，包含2大PaaS層、數據中臺、IoT數據整合平臺以及混合雲架構。進一步來說，這2大PaaS層是指通用服務PaaS層和通用業務PaaS層，前者架設於底層基礎設施（IaaS）上，包含資料庫系統和多種套件，如ERP系統、（非）結構化資料庫系統、負載平衡系統、授權驗證系統等來支援業務層。此外，通用服務PaaS層還包含一個資料抽象層，或稱共通資料層，來抽取所需的系統資料，給業務層使用。在通用服務PaaS之上，則是通用業務PaaS層，包括醫療作業共同標準，如國際醫療資料交換標準FHIR、疾病代碼標準等。</p> <p>數據中臺則在通用層之上，包含資料來源、資料治理、資料分析3部分，來處理各種大數據分析任務。龐一鳴指出，這個數據中臺是針對尚未發展出資料處理和分析平臺的醫院建置，至於大數據應用發展成熟的醫學中心，則可不必使用。次世代數位醫療平臺還有個IoT數據整合架構，利用裝置閘道器（Getway），來串接醫院IoT設備的數據，如救護車、照護裝置、感測器、醫療儀器等。這些數據會傳送到次世代數位醫療平臺的PaaS層或數據中臺，處理後再送至IaaS雲端儲存，最後用於醫療AI分析。<a href="https://www.ithome.com.tw/news/158929">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9E%B6%E6%A7%8B1.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">健保署 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 診所 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保署要建健保雲平臺，鼓勵基層診所升級雲端系統</strong></span></p> <p>健保署署長石崇良日前在臺灣醫院資訊主管會議中表示，健保署要推動基層診所健保雲端HIS，來鼓勵診所升級雲端系統。這項計畫是要配合次世代醫療資訊數位基礎建設，由健保署建置健保雲平臺，且符合國際醫療資料交換標準FHIR，來讓廠商上架自家的雲服務，供基層診所選擇合適的系統來使用。這麼做，是要解決目前診所的IT成本、資訊無法即時分享等問題。</p> <p>另一方面，健保署也要繼續完善健保資料庫治理機制，包括依去年憲法法庭釋憲結果，新添民眾退出權，此外還要建立包含基因檢測結果的健保生物資料庫，並擴大學研產業的應用，形成永續生態系統。除了健保資料庫，健保署還要建立數位基礎建設，包括強化健保數位基礎建設、提高資安韌性和效能，如建置符合國際資安標準的機房、建立強化資安防護的混合雲架構，並擁抱國際資安和醫療資訊管理學會（HIMSS）制度。<a href="https://www.ithome.com.tw/news/158776">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%B2%E5%B9%B3%E8%87%BA.jpeg" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 在宅急症照護 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子處方箋 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>健保署推在宅急症照護模式，電子處方箋預計年底前試辦</strong></span></strong></p> <p>健保署署長石崇良日前表示，健保署要發展在宅急症照護模式，鎖定居家醫療急症患者、急診一般民眾和長照機構住民等3類對象，並提供醫師、護理師和醫事人員的訪視服務，還要導入遠端監測和視訊診療輔助，來提供病人住院的替代選擇。這個在宅急症照護模式可分為3種，一是長照機構住民或居家照護收案對象，可在家接受照護，若評估需住院再住院，再來是因失能送醫院急診，評估後可返家照護、治療，另一種是住院病情穩定，得以出院、回家休養和接受照護。</p> <p>石崇良也透露，全國性電子處方箋平臺將於下半年完成建置，並於幾家醫院展開試辦，預計明年擴大使用。這個電子處方箋平臺的運作方式是由醫院、診所等醫療機構透過醫事人員憑證（HCA）簽章開立，產生QR Code，民眾可透過健保快易通App持有這個QR Code和處方箋明細，到藥局領藥時，秀出QR Code讓藥局讀取處方明細，並確認就醫識別碼，來避免重複調劑。<a href="https://www.ithome.com.tw/news/158776">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%BB%E5%AD%90%E8%99%95%E6%96%B9%E7%AE%8B2.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">中家醫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 健康存摺SDK </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保署提大家醫計畫，要用數位醫療延長民眾健康</strong></span></p> <p>由於臺灣健保面臨財務入不敷出、人口老化、高齡醫藥費遞增和癌症醫療成本快速增加等挑戰，健保署署長石崇良日期提出因應方法，其一是大家醫計畫。該計畫是要預防保健、延長民眾的健康狀態，並以既有的家醫計畫為基礎，來擴充發展，將原有的慢性腎病（SKD）計畫、糖尿病（DM）計畫和代謝症候群計畫等計畫資訊整合，先將數據「歸人」，讓醫師一眼就知道，一位患者身患哪些疾病。之後，再將這些資訊進一步歸戶，讓醫師了解該病人的家人病史，以便更好的治療。</p> <p>實際作法包括建置家醫大平臺、擴大健康存摺SDK資料加值應用等。其中，家醫大平臺是一套個人化初級照護資訊的整合平臺，來整合各種健康資料，包括醫療記錄（含檢驗檢查、醫療影像、計畫收案等記錄）、穿戴裝置數據，以及來自健保署和衛福部相關司署的資料。另一方面，在民眾同意下，平臺也要整合健康存摺資料，以及以健康存摺SDK發展的第三方健康App資料，來共同分析，針對目標族群（含癌篩、慢性腎病、糖尿病和代謝症候群高風險民眾），進行檢驗值分析、異常管理、風險預測、日常追蹤等，並主動提醒民眾，如未篩檢提醒、疫苗注射提醒等。<a href="https://www.ithome.com.tw/news/158776">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB%E5%A4%A7%E5%B9%B3%E8%87%BA.jpeg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">FHIR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國泰金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 理賠 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>國泰金控自建FHIR轉換平臺，下一步要形塑金融醫療生態圈</strong></span></strong></p> <p>日前，國泰金控在自家<a href="https://edm.bnext.com.tw/cathaytechcon/">技術年會</a>上揭露金融醫療進展，不只完成第一階段iFHIR Center標準轉換平臺的建置，能將醫療機構現有的病歷資料標準（如CDA R2或其他）轉換為FHIR，團隊還展開第二階段的平臺建置，包括iClaim智能醫療理賠平臺和iHealthShare醫療理賠資料查詢平臺。</p> <p>其中，iClaim平臺能用來加速醫療機構和人壽業者間的理賠病歷資料傳輸、強化醫療和保險業者間的資訊互通，iHealthShare平臺則能查詢民眾的理賠申請資料、iFHIR授權病歷和iClaim抵繳金額等資訊。有了這些平臺，就能簡化醫療機構與壽險業者間的理賠資料傳輸，而iFHIR Center平臺，還能讓醫院用於更多資料交換場景。國泰金控也希望，這些平臺完成建置後，能展開第三階段任務，與醫療健康照護產業發展更多應用場景。<a href="https://www.ithome.com.tw/news/158999">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-2-%E5%9C%962-3%E5%B9%B3%E8%87%BA-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 甲骨文 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>甲骨文整合臨床數位助理與EHR，擴大醫療AI應用場景</strong></span></strong></p> <p>甲骨文推出新醫療AI服務，是一款整合臨床數位助理和電子健康紀錄（EHR）的解決方案，可減少醫療人員的手動工作，也能讓患者進行自助服務，如以語音安排預約或檢查臨床資訊等。</p> <p>進一步來說，臨床數位助理是要簡化醫護人員的管理工作，提供多模式語音和螢幕助理，能以生成式AI來協助預約、自動筆記，並根據上下文提供下一步建議，如訂購藥物、安排實驗室或預約等。醫護人員也能語音要求臨床數位助理執行「顯示病患最新MRI結果」等任務，在預約期間就能先查詢病患EHR。此外，臨床數位助理平臺也提供患者自助服務，如語音預約和帳單支付。患者版聊天機器人還可提醒病患就診時，需攜帶的檢驗報告。<a href="https://www.oracle.com/news/announcement/ohc-health-care-innovations-2023-09-18/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 腦機介面 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Neuralink </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人體試驗 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>腦機介面裝置Neuralink展開人體試驗申請</strong></span></strong></p> <p>由馬斯克（Elon Musk）和一群科學家在2022年成立的Neuralink，日前（9/19）宣布獲獨立機構審查委員會許可，即將開始招募首批人類臨床試驗，要將腦機介面裝置植入大腦，讓四肢癱瘓的病人能透過思考控制外部裝置。</p> <p>此一研究名為「精確機器人植入腦機介面」（PRIME），在這次研究中，Neuralink將用手術機器人R1，將N1裝置植入大腦負責控制運動的區域，之後N1可透過64條幾乎不可見的細絲所遞送的1024個電極，來記錄腦內神經活動，並將這些訊號傳送到N1行動程式上，來控制外部裝置。該研究的目的是要評估R1、N1與N1程式的安全和有效性。目前招募的對象以因脊髓損傷或肌萎縮脊髓側索硬化症（ALS）而四肢癱瘓，受傷至少超過1年且年滿22歲的病患為主，研究為期6年。<a href="https://neuralink.com/blog/first-clinical-trial-open-for-recruitment/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Neuralink-600-1.png" /></p> <p>圖片來源／國泰金控、Neuralink</p> <p>簡報攝影／王若樸</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. Nuance遭駭名單新增120萬名患者</strong></strong></p> <p><strong><strong>2. AZ將肺部篩檢AI系統擴大至馬來西亞公立醫院</strong></strong></p> <p>資料來源：iThome整理，2023年10月</p> </div></div></div>
2023/10/3 09:43作者王若樸https://www.ithome.com.tw/news/159083
Arm修補正遭到攻擊的Mali GPU驅動程式漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities" target="_blank">Arm本周一發布安全公告</a>，以修補影響Android手機使用的GPU驅動程式漏洞，並警告該漏洞正遭到濫用，Google預計將相關修補包含在10月Android安全更新釋出給用戶。</p> <p>編號CVE-2023-4211為存在於Arm Mali GPU系列的核心驅動程式，它能讓本地未具權限的使用者透過惡意輸入，引發不當GPU記憶體運算，而得以存取已經釋放的記憶體。本項漏洞影響Arm旗下數款Mali GPU的（r42p0及之前）所有版本驅動程式，包括Midgard、Bifrost、Valhall及Arm第5代GPU架構。Arm已經針對這些產品釋出最新r43p0版本驅動程式。</p> <p class="rtecenter"><a href="http://developer.arm.com/Arm Security Center/Mali GPU Driver Vulnerabilities" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-Arm-patch1002-CVE-2023-4211.png" style="width: 600px;" /></a></p> <p>本項漏洞是由Google威脅分析小組（Threat Analysis Group）研究員Maddie Stone、Project Zero研究員Jann Horn發現。根據Google釋出的Android安全公告，CVE-2023-4211屬於高風險漏洞。而Arm也警告目前有證據駭客已對少部分採用Midgard GPU的手機用戶，濫用本項漏洞發動攻擊。</p> <p>CVE-2023-4211為Arm安全公告修補的Mali GPU三項漏洞之一。另二項漏洞中，CVE-2023-33200允許本地無權限用戶利用不當GPU運作濫用軟體競爭條件，可讓攻擊者存取已釋放的記憶體，CVE-2023-34970則允許無權限用戶執行不當GPU運作，濫用軟體競爭條件或是造成緩衝區溢位，以存取已釋放記憶體。兩者也都屬於高風險漏洞。</p> <p><a href="http://source.android.com/docs/security/bulletin/2023-10-01" target="_blank">Google針對這三項漏洞的修補</a>，包含在預定於10月6日發布的Android 10月安全更新，準備部署給用戶。</p> </div></div></div>
2023/10/3 11:35作者林妍溱https://www.ithome.com.tw/news/159086
第五輪ATT&CK評估計畫結果出爐，本次以善於潛伏的俄羅斯駭客Turla為攻擊假想
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由<a href="https://attackevals.mitre-engenuity.org/results/enterprise/?evaluation=turla&scenario=1">MITRE Engenuity舉辦的ATT&CK Enterprise評估計畫（Evals），進入第五輪，9月20日公布結果</a>，這次共有31家資安業者參與，測試模擬的網路攻擊活動，是以俄羅斯駭客組織Turla為設想對象。</p> <p>不過，這次整體作業花了更長時間，距離ATT&CK Enterprise上次評測結果的公布，已有1年半之久，而前兩次公布僅相隔1年。</p> <h2><strong>透過模擬善於潛伏的駭客組織活動，進行資安廠商能力檢測</strong></h2> <p>Turla是何方神聖？MITRE Engenuity表示，這是總部位於俄羅斯、與俄羅斯聯邦安全局（FSB）有聯繫的威脅組織，從2004年開始活躍，已針對五十多國的機構發動攻擊，目標包括政府、外交、軍事單位，研究與教育機構、關鍵基礎設施單位，以及媒體組織。</p> <p>之所以選擇Turla為假想攻擊對象，ATT&CK Evals計畫的網路威脅情報負責人Amy Robertson表示，主要是該組織技術手法多樣，潛伏能力強，並且很會隱忍，因此這次模擬攻擊就是以Turla慣用手法，利用將惡意程式藏匿於記憶體內（In-Memory）執行的方式，或是核心植入（kernel implants）的方式，而能在後滲透攻擊（post-exploitation）階段使用最小的足跡活動，成功規避資安防禦工具的偵測，從Windows與Linux的基礎架構環境當中，將敏感資料從受害者的網路傳輸出去。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96C%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%BA%94%E8%BC%AA.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#0099ff;">MITRE Engenuity在2022年7月宣布，第五輪ATT&CK Enterprise評估計畫開始報名並會在2023年進行，如今這項評測計畫已經完成，在</span><a href="https://attackevals.mitre-engenuity.org/results/enterprise?evaluation=turla&scenario=1"><span style="color:#0099ff;">2023年9月20日對外公布評測結果</span></a><span style="color:#0099ff;">。</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）MITRE ATT%26CK第五輪.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89MITRE%20ATT%26CK%E7%AC%AC%E4%BA%94%E8%BC%AA.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#0099ff;">報名第五輪ATT&CK Enterprise評估計畫的資安業者共有31家，美國資安公司WatchGuard，以及兩家法國廠商HarfangLab與TEHTRIS，是首次參與，其中TEHTRIS成立於2010年，HarfangLab則是成立於2018年。另外，這次只有29家業者的評測結果，主要是前兩輪就連續參與的Check Point與Cisco，本輪因為不相容的技術問題而無法在時間內完成評測。</span></strong></p> <h2><strong>更多國際資安廠商響應，本次新出現兩家法國資安業者</strong></h2> <p>這一輪參與資安業者數量更多，總共有31家資安業者參與，再創紀錄，前三輪分別有21家、29家、30家參與。</p> <p>具體而言，參與第五輪評估的業者，包括：AhnLab、Bitdefender、BlackBerry、Check Point、Cisco、CrowdStrike、Cybereason、Cynet、Deep Instinct、Elastic、ESET、Fortinet、HarfangLab、IBM Secuirty、Malwarebytes、微軟、Palo Alto Networks、Qualys、Rapid 7、Secureworks、SentinelOne、Somma、Sophos、博通旗下Symantec、TEHTRIS、Trellix、趨勢科技、Uptycs、VMware Carbon Black、WatchGuard，以及WithSecure。</p> <p>值得注意的是，先前一直都參與的FireEye與McAfee，去年合併、更名為Trellix，因此，在本輪ATT&CK Evals，他們是以Trellix的名號參與；從第二輪ATT&CK Evals開始參與的ReaQta，因為IBM已完成對其併購，這次他們用IBM Security的名號參與。此外，曾在第二輪參與的美國資安公司Secureworks，接下來兩輪都沒參與，今年回歸。</p> <p>有3家資安業者首次參與評測，包括美國資安公司WatchGuard，兩家法國廠商HarfangLab與Tehtris，這也是法國資安業者首次出現於這項評測，相當引人注目。</p> <p>較可惜的是，前三輪都參與的臺灣資安業者奧義智慧，以及前兩輪都參與的美國資安公司Fidelis，在最新的這一輪評測未繼續參加。</p> <p>綜合第五輪評測結果來看，在31家廠商中，有2家未列出評測結果，分別是Check Point與Cisco，他們從第三輪參與至今。MITRE Engenuity表示，最終只有29家有評測結果，主要是因為供應商產品與這次模擬執行之間存在不相容的技術問題，導致無法在指定時間內完成評估。</p> <p>目前MITRE Engenuity評測網站已公布最新評測結果，外界可檢視三大場景，例如：該組織使用兩種不同惡意程式的攻擊（Carbon、Snake），我們可以在每個模擬攻擊步驟，看到實際偵測結果表現，這裡也附上產品偵測時的螢幕截圖；另一是了解保護（Protection）層面的能力，也就是在各測試項目能否提供防護，總共有23家業者參加這個測試場景的評測。</p> <p>特別的是，這次公布的評測結果，一改過往資料呈現零散且複雜的情形，以更簡單直覺的方式來展示內容。</p> <p>例如，我們看到，每個步驟偵測結果的螢幕截圖，在單一頁面就能直接瀏覽，不再像過去提供連結、需開啟新頁面才能檢視。</p> <p>現在的評測結果網頁上，還提供各項模擬攻擊步驟、各項MITRE ATT&CK戰略階段的篩選器，方便使用者自由過濾所要檢視的項目，而且，每次能選擇3家業者同時比對，不像之前最多只能選擇2家比對。</p> <p>此外，對於評測結果的統計資訊，過往MITRE都提供完整檔案下載，許多資安廠商也會利用這些資料，繪製出偵測結果相關的統計圖表。特別的是，今年我們發現Palo Alto Networks提供更易於檢視的<a href="https://app.powerbi.com/view?r=eyJrIjoiNWRhYzY1YjItOTAxZC00MGM5LThlNzYtOTYxNzViYzM1ZGY2IiwidCI6IjgyOTNjZmRmLThjMjQtNDY1NS1hMzA3LWVhMjFjZDNiMjJmZiIsImMiOjF9">儀表板</a>，當中利用Power BI展現這些統計數據，提供更簡便的歷年評估統計數據比對。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）MITRE ATT%26CK Evals Result.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89MITRE%20ATT%26CK%20Evals%20Result.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）MITRE ATT%26CK Evals Result.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89MITRE%20ATT%26CK%20Evals%20Result.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;"><strong>關於評測結果的內容展現方式，MITRE Engenuity這次有了很大的改進，改以使用者為中心的方法重新設計，突出視覺圖表，提供簡潔且相關的結果摘要。我們實踐檢視，例如，可以看出從單一頁面就能瀏覽各項手法偵測結果的螢幕截圖，不像之前需要額外點擊連結開啟。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Palo Alto ATT%26CK Evals Dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Palo%20Alto%20ATT%26CK%20Evals%20Dashboard.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#0099ff;">過往MITRE公布的評估結果統計資料，許多廠商會下載這些數據並繪製成圖表，今年我們發現<a href="http://app.powerbi.com/view?r=eyJrIjoiNWRhYzY1YjItOTAxZC00MGM5LThlNzYtOTYxNzViYzM1ZGY2IiwidCI6IjgyOTNjZmRmLThjMjQtNDY1NS1hMzA3LWVhMjFjZDNiMjJmZiIsImMiOjF9">Palo Alto Networks利用Power BI，將這些資料以更好地儀表板介面來呈現</a>，方便ATT＆CK評測統計數據的檢視。</span></strong></p> <h2 class="rtecenter"><span style="color:#B22222;"><strong>關於Turla的最新威脅近況</strong></span></h2> <p>Turla的攻擊活動目前仍持續進行當中，例如，<a href="https://blog.talosintelligence.com/tinyturla/">在2021年9月，資安業者Cisco旗下威脅情報組織Talos，揭露</a>Turla使用可部署祕密後門的惡意軟體TinyTurla，在美國、德國與阿富汗等地，都出現遭受感染該惡意程式的災情；<a href="http://cert.gov.ua/article/5213167">在2023年7月，根據烏克蘭電腦緊急應變小組（CERT-UA）的揭露</a>，Turla正利用Capibar和Kazuar間諜軟體攻擊烏克蘭國防軍。</p> <p> </p> </div></div></div>
2023/10/2 16:56作者羅正漢https://www.ithome.com.tw/news/159067
AWS揭露內部用於阻擋網路攻擊的安全系統MadPot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS對外揭露了內部運作已久的全球威脅情報系統<a href="https://aws.amazon.com/tw/blogs/security/how-aws-threat-intelligence-deters-threat-actors/">MadPot</a>，而這個系統已經被實際用於分析駭客行動情報，像是去年5月由國家資助的Volt Typhoon駭客行動，此外，MadPot作為蜜罐（Honeypots）系統，也成功誘捕到俄羅斯駭客組織Sandworm的行動。</p> <p>MadPot主要功能有兩部分，第一是可用來發現並監控網路上的威脅活動，第二個主要功能則是在可能的情況下，干擾駭客威脅行動，以保護AWS用戶和其他網路使用者的安全。MadPot透過一系列監控程式和自動化功能，每天可以在全球範圍進行超過1億次的威脅探測，並且發現50萬次可被歸類為惡意活動的事件。</p> <p>MadPot系統會收集大量的威脅情報資料進行關聯與分析，找出網路上可能發生的威脅活動，除了保護AWS網路免受已辨識威脅的攻擊外，也會向其他公司發出外部通訊。MadPot被視為一種蜜罐系統，可設置用於捕捉惡意攻擊者的誘餌，其所收集到的資訊，將有助於強化AWS雲端基礎設施的安全性。</p> <p>透過整合資料和情報分析，MadPot資料能夠被轉為可執行的行動，並由自動化功能、安全人員採取進一步措施，AWS也會參照MadPot的資訊，對Amazon GuardDuty、AWS Shield和AWS網頁應用程式防火牆（WAF）等安全服務進行更新，並在Amazon Inspector中提供漏洞情報。</p> <p>MadPot會在沙箱環境啟動捕獲的惡意軟體，並將不同技術的資訊連接成威脅模式，官方提到，當MadPot收集到足夠的資訊時，便會採取行動瓦解威脅，像是斷開惡意攻擊者的資源與AWS網路連接，或是更廣泛地與CERT、ISP、域名註冊組織或是政府機構分享資訊。MadPot會直接向網路託管網站發送自動請求，要求他們封鎖或是刪除參與惡意活動的用戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/How%20Amazon%20helps%20stop%20cybersecurity%20threats%20across%20the%20internet_%20-%20www_aboutamazon_com.jpg" style="width: 580px; height: 161px;" /><br /> <span style="font-size:14px;"><a href="https://www.aboutamazon.com/news/aws/amazon-madpot-stops-cybersecurity-crime"><span style="color:#696969;">圖片來源／Amazon</span></a></span></p> <p>AWS在2023年第一季，就已經透過分析55億筆網際網路威脅感應器信號，還有15億筆網路探針的信號，阻止超過130萬次由殭屍網路發動的DDoS攻擊，並且與外部組織合作移除23萬次L7/HTTP(S) DDoS攻擊來源。MadPot藉由分析DDoS殭屍網路，封鎖相關IP位置，並與關聯的主機公司和域名註冊商聯絡，在3天內瓦解殭屍網路。</p> <p>MadPot還辨識出名為Sandworm的威脅組織，該組織企圖利用WatchGuard網路安全設備的漏洞，MadPot即時捕獲Sandworm攻擊獲取額外細節，使WatchGuard能夠迅速採取行動。MadPot還被用來協助政府單位，成功阻止由國家支持的攻擊者Volt Typhoon，所發動針對關鍵基礎設施的網路間諜活動，提供資訊給美國政府進行安全研究和對策擬定。</p> </div></div></div>
2023/10/3 08:35作者李建興https://www.ithome.com.tw/news/159081
Meta新開源模型Llama 2 Long整體長文處理效能超越GPT-3.5 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta默默發表了新的語言模型研究論文<a href="https://scontent.ftpe7-2.fna.fbcdn.net/v/t39.2365-6/382490704_260884199667762_4629529713553101244_n.pdf?_nc_cat=104&ccb=1-7&_nc_sid=3c67a6&_nc_ohc=_RdxX9UsX68AX-5w6nl&_nc_ht=scontent.ftpe7-2.fna&oh=00_AfAs5zP8JpVa4eTbBz1H5zBrBKIsrDQmSnL0eUJptA29LA&oe=651F34C5">〈Effective Long-Context Scaling of Foundation Models〉</a>，這篇論文講述關於處理長文本，最高可達到32,768個token的模型Llama 2 Long。這個模型表現良好，經過廣泛的基準測試評估，在長上下文任務方面，Llama 2 Long明顯優於之前發表的語言模型LLAMA 2，而在700億參數的版本，不需要人工註釋的長指令資料，表現就能優於gpt-3.5-turbo-16k模型整體能力。</p> <p>語言模型逐漸改變人們與數位世界互動的方式，隨著語言模型的部署和規模化，發展出越來越複雜且多樣化的用例，但是要能支援更複雜的用例，模型勢必需要更有效地處理長上下文輸入。</p> <p>不過，目前開源長上下文的模型仍然能力不足，在評估中表現不佳，而且這些模型通常是使用語言模型損失以及合成任務方法來評估效能，但這些方法無法完全展現模型在多樣化、真實世界場景的能力，特別是在處理密集、知識豐富的文件，以及聊天機器人或是程式開發等應用。</p> <p>用戶想要使用強大的長上下文能力，通常還是只能使用Anthropic和OpenAI的大型語言模型API來實現，整體來說，目前缺乏與商業模型可相提並論的開源模型。</p> <p>而Meta這篇論文的的主要貢獻，便是訓練出了能夠在長上下文任務有良好表現的開源模型Llama 2 Long。研究人員把LLAMA 2當作基礎，額外以4,000億個token進行持續預訓練，這些token被切割成許多較小的序列，來訓練各種模型變體，像是70億與130億參數的模型變體，便使用長度32,768個token的序列進行訓練，而340億與700億參數的模型變體，則使用使用長度為16,384個token的序列進行訓練。</p> <p>Meta的研究人員以更廣泛的方法來評估Llama 2 Long，包括語言建模、合成任務和廣泛的實際基準測試，這些測試可以涵蓋長短上下文任務。在語言建模方法，他們發現Llama 2 Long存在明確與上下文長度有關的冪定律縮放行為（Power-Law Scaling Behavior），也就是說上下文長度增加時，模型的效能也會按照固定比例增加。這代表提供更多的文本資訊時，模型也會表現得更好，因此模型能夠利用更多的文本資訊，做出更準確的預測。另外，冪定律縮放行為也說明，上下文長度是縮放語言模型的另一個重要的要素。</p> <p>與Llama 2相比，Llama 2 Long除了在長上下文任務能力有明顯的進步外，在標準短上下文任務，例如程式開發、數學和知識基準，也都有一定程度的改進。研究人員提到，他們發現一個簡單且成本效益高的方法，不需要人工註釋資料，就能微調持續預訓練的長模型成聊天模型，在問答、摘要和多文件聚合任務的長上下文基準測試上，整體效能超越gpt-3.5-turbo-16k。</p> <p>Meta研究人員繼續Llama 2語言模型的發展，利用額外4,000億個token進行訓練，並在短、長任務超越Llama 2表現，而且相較於現有的開源長上下文模型，以及gpt-3.5-turbo-16k模型，Llama 2 Long在經過簡單指令微調後，已經可以表現出良好的效能。</p> </div></div></div>
2023/10/3 08:49作者李建興https://www.ithome.com.tw/news/159082
【資安日報】10月2日，搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用<a href="https://www.ithome.com.tw/news/144028">惡意廣告（Malvertising）</a>對搜尋引擎用戶發動攻擊，相當氾濫，但隨著廠商在AI聊天機器人置入廣告，使得惡意廣告也能影響使用AI聊天機器人的用戶，對其造成危害。</p> <p>資安業者Malwarebytes揭露針對Bing Chat用戶的攻擊行動，就是一個典型的例子，一旦用戶詢問如何下載特定的軟體，機器人就會在搜尋結果將駭客的廣告擺在第一順位，使得用戶很有可能依照機器人提供的答案下載應用程式，而導致電腦被植入惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="http://malwarebytes.com/blog/threat-intelligence/2023/09/malicious-ad-served-inside-bing-ai-chatbot"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意網路廣告氾濫，人工智慧聊天機器人Bing Chat未設防，恐將淪為幫凶</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/easset_upload_file62622_283930_e.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/easset_upload_file62622_283930_e.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露濫用人工智慧搜尋引擎Bing Chat的攻擊行動，他們詢問該聊天機器人如何下載網路掃描程式Advanced IP Scanner，結果第一個搜尋結果就是駭客的惡意廣告。</p> <p>一旦使用者點選連結，先會被帶往第一個網站（mynetfoldersip[.]cfd），目的是藉由檢查使用者的IP位址、時區，以及其他系統配置，來排除機器人、沙箱、研究人員，假如通過驗證，使用者才會被帶到冒牌的Advanced IP Scanner網站（advenced-ip-scanner[.]com），提供應用程式軟體下載，若是依照指示安裝電腦就會被植入惡意程式。</p> <p>研究人員解析該MSI安裝檔案，指出檔案由3個模組結合，其中一個是惡意指令碼，駭客透過高度混淆手法進行處理，一旦執行，該指令碼便會連往特定的IP位址，並進一步接收惡意酬載。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/zenrat-malware-brings-more-chaos-calm"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供密碼管理軟體Bitwarden，散布惡意軟體ZenRAT</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZenRAT1_36.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZenRAT1_36.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes發現自8月10日出現的惡意軟體ZenRAT攻擊行動，駭客假借提供密碼管理程式Bitwarden的名義，疑似透過搜尋引擎中毒（SEO）、捆綁在廣告軟體上、藉由電子郵件等管道，鎖定Windows使用者來散布ZenRAT。</p> <p>資安業者Proofpoint取得惡意程式檔案進行分析，發現駭客假借FTP軟體Filezilla開發者Tim Kosse的名義進行數位簽署，並在安裝程式的說明宣稱是系統資訊收集工具Piriform Speccy，這樣的細節引起研究人員進一步調查。此「安裝程式」一旦執行，將會先把自己複製到使用者的暫存資料夾，建立CMD檔案並執行，在安裝Bitwarden的過程裡，將惡意程式植入電腦、並予以啟動。</p> <p>該惡意程式具備竊資軟體的特性，啟動後便會透過WMI查詢系統資訊，包括處理器、顯示晶片、作業系統、IP位址、防毒軟體等，並回傳C2伺服器，然後接收攻擊者下達的攻擊命令。為了避免遭到反組譯，該竊資軟體在建立C2通訊之前，會進行一連串檢查，例如檢查電腦系統磁區大小，是否有VMware、VirualBox虛擬機器相關的處理程序，以及確認電腦上只有1個ZenRAT處理程序運作。</p> <p><a href="https://www.resecurity.com/blog/article/Smishing-Triad-Impersonates-Emirates-Post-Target-UAE-Citizens"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">釣魚簡訊攻擊Smishing Triad範圍延伸到阿拉伯聯合大公國</span></strong></a></p> <p>資安業者Resecurity揭露近期的網釣簡訊Smishing Triad攻擊行動，這些駭客原本鎖定美國、英國、波蘭、瑞典、義大利、印尼、日本等已開發國家，現在將範圍擴及阿拉伯聯合大公國（UAE）。</p> <p>駭客從暗網取得該國民眾的資料庫，然後從他們曾經入侵的iCloud帳號，假借國營的郵政公司Emirates Post，或是政府機關、金融機構、航運公司，對當地民眾發送iMessage釣魚簡訊，要求收信人支付小額費用，藉此要求他們填寫個人資料及信用卡資訊。</p> <p>研究人員指出，這些駭客除了自己發動攻擊之外，也開始利用Telegram頻道提供網釣套件，並以詐欺工具的訂閱服務（Fraud-as-a-Service，FaaS）讓他人租用，擴展該組織的業務。</p> <p><a href="https://www.reuters.com/world/us/chinese-hackers-stole-60000-emails-us-state-department-microsoft-hack-senate-2023-09-27/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">5月爆發的微軟郵件系統弱點事故，目前已知導致6萬封美國國務院郵件外洩</span></strong></a></p> <p>今年5月，中國駭客組織Storm-0558濫用微軟帳號（MSA）簽章，入侵25個歐美組織的Outlook Web Access in Exchange Online（OWA）或Outlook.com帳號，<a href="https://www.ithome.com.tw/news/158631">該公司後來發現簽章的金錀很可能是在2021年4月流出</a>，現在又有新的結果。</p> <p>根據路透社的報導，美國參議院的員工透露，國務院的官員在簡報當中指出，國務院有10個電子郵件帳號遭到入侵，6萬封信箱遭竊，這些受害者9名在東亞及太平洋地區工作，1名於歐洲工作，這些人士主要從事印太地區的外交業務。這名人士透露，駭客握有國務院完整的電子郵件清單。而該場會議裡，與會官員指出，做為強化國務院的防護措施，將會遷移混合雲環境，並升級多因素身分驗證（MFA）機制。</p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-getvpn-rce-g8qR68sx"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科網路設備作業系統IOS、IOS XE存在零時差漏洞，已被用於攻擊行動</span></strong></a></p> <p>9月27日思科修補旗下網路設備作業系統IOS、IOS XE的越界寫入（OBW）漏洞CVE-2023-20109，這項弱點出現在群組加密傳輸VPN（GET VPN）功能，可在通過身分驗證，且對一個群組成員或金鑰伺服器有管理控制權的情況下，攻擊者可趁機遠端執行任意程式碼，或是導致設備出現服務中斷（DoS）的現象。</p> <p>這項漏洞發生的原因在於，此廠牌設備GET VPN功能當中的轉譯群組網域（Group Domain of Interpretation，GDOI）、G-IKEv2兩種通訊協定驗證不足所致，使得攻擊者可以藉由入侵金鑰伺服器，或是竄改群組成員的配置，將其指向攻擊者控制的金鑰伺服器來利用漏洞。</p> <p>此漏洞的CVSS風險評分為6.6，影響設定採用GDOI或G-IKEv2通訊協定的IOS及IOS XE設備，至於執行IOS XR、NX-OS作業系統的網路設備，以及Meraki產品線，則不受影響。由於已有攻擊者鎖定該廠牌設備嘗試利用這項GET VPN漏洞，再加上沒有其他緩解措施，該公司呼籲IT人員儘速套用更新軟體。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾3百萬臺Exim郵件伺服器曝露在尚未修復的零時差漏洞</span></strong></p> <p>根據趨勢科技旗下的Zero Day Initiative（ZDI）的揭露，郵件傳輸代理程式Exim具有越界寫入（OBW）漏洞CVE-2023-42115，該漏洞存在於SMTP服務當中，起因是對於用戶提供的資料未進行適當驗證，可能導致資料寫入跨越到記憶體緩衝區的末端位置，使得攻擊者能在尚未通過身分驗證的情況下，利用服務帳號的上下文觸發漏洞並執行程式碼，CVSS風險評分為9.8。值得留意的是，上述漏洞ZDI在去年6月通報開發團隊，迄今尚未得到修復。</p> <p>資安新聞網站Bleeping Computer透過物聯網搜尋引擎Shodan進行調查，全球約有超過350萬臺Exim伺服器曝險，其中約有190.7萬臺在美國，俄羅斯和德國約有18.8萬、15.9萬臺。</p> <p>資料來源</p> <p>1. <a href="https://www.zerodayinitiative.com/advisories/ZDI-23-1469/">https://www.zerodayinitiative.com/advisories/ZDI-23-1469/</a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.bleepingcomputer.com/news/security/millions-of-exim-mail-servers-exposed-to-zero-day-rce-attacks/" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-751707917" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.bleepingcomputer.com/news/security/millions-of-exim-mail-servers-exposed-to-zero-day-rce-attacks/</span></a></p> <p><a href="https://community.progress.com/s/article/WS-FTP-Server-Critical-Vulnerability-September-2023"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WS_FTP伺服器存在重大漏洞，攻擊者有可能用來遠端執行任意程式碼</span></strong></a></p> <p>9月27日IT業者Progress發布資安通告，針對旗下的FTP伺服器軟體WS_FTP Server推出新版2020.0.4（8.7.4）及2022.0.2（8.8.2），當中修補數個漏洞，其中有2個是重大等級。</p> <p>本次該公司揭露嚴重程度最高的是CVE-2023-40044，此為.NET反序列化漏洞，出現在Ad Hoc Transfer傳輸模組有關，攻擊者若是事先通過了身分驗證，就能觸發漏洞並遠端於伺服器的作業系統底層執行任意命令，CVSS風險評分為10。</p> <p>另一個重大漏洞是CVE-2023-42657，攻擊者可藉此資料夾路徑穿越漏洞，對WS_FTP資料夾以外的檔案進行讀寫，或是建立及刪除資料夾，CVSS風險評分為9.9。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.defense.gov/News/News-Stories/Article/Article/3541838/ai-security-center-to-open-at-national-security-agency/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">AI資安恐衍生國安問題！美國國家安全局設立人工智慧安全中心</span></strong></a></p> <p>9月28日美國國家安全局（NSA）宣布設立人工智慧安全中心（AI Security Center），目的是保護各式AI系統，以避免這類系統學習、執行、揭露錯誤的事情。該單位將與美國情報領域的產業、國家實驗室、學術界、國防部，以及國外夥伴密切合作，負責發展及導入安全AI的最佳實作、評估方法、風險框架。</p> <p>NSA指出，AI模型被竊或是遭到破壞，已成為重要的國家安全議題，並認為他們必須了解外國情報機構可能會利用的AI資安漏洞，才能因應這些威脅，進而保護這類系統的安全。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/budworm-tool-update-telecoms-govt"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">中國駭客組織APT27針對中東電信業者、亞洲政府實體散布後門程式SysUpdate</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/building-automation-giant-johnson-controls-hit-by-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">大樓自動化管理業者Johnson Controls遭到勒索軟體攻擊</span></span></strong></a></p> <p><a href="https://securityaffairs.com/151732/cyber-crime/alphv-ransomware-motel-one.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">德國旅館集團Motel One傳出遭勒索軟體BlackCat攻擊</span></span></strong></a></p> <p><a href="https://cybernews.com/security/canadian-flair-airlines-user-data-leak/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">加拿大廉價航空Canadian Flair Airlines傳出資料外洩</span></span></strong></a></p> <p><a href="https://www.redinent.com/global/risks-of-user-misconfiguration-in-tesla-car-security/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">特斯拉第三方行車記錄應用程式TeslaMate配置錯誤，恐導致車主資料曝光</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159036"><strong>【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159005"><strong>【9月27日】 Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/158974"><strong>【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</strong></a></p> </div></div></div>
2023/10/2 16:28作者周峻佑https://www.ithome.com.tw/news/159063
Line與裕隆聯手推新移動服務品牌Line Go，整合Line Taxi叫車、24小時租還車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>裕隆集團看好MaaS（Mobility as a Service，移動服務）市場，和Line合作推出全新的移動服務Line Go， Line用戶不需額外下載App，即日起可透過Line呼叫計程車搭乘、24小時線上租還車，以及機場接送服務。</p> <p>原本已加入Line Taxi帳號的用戶，即日起會發現原本的Line Taxi叫車服務已改為Line Go，Line Taxi成為Line Go底下的計程車叫車服務，此外，Line Go還新增由裕隆集團提供的租車服務，裕隆集團移動服務事業群總經理兼Line Go董事長的林群盛表示，裕隆只是Line Go移動服務供應商之一，Line Go定位為移動服務的開放平臺，未來還會以開放的態度和其他移動服務業者合作，提供多元交通移動服務給用戶。</p> <p>此次Line和裕隆的合作基礎，為裕隆投資Line Taxi觔斗雲聯網，結合Line Taxi的計程車叫車服務與裕隆的移動服務，正式推出Line Go全新移動服務品牌。</p> <p>Line Go整合的Line Taxi計程車叫車服務，為2017年推出的Taxi Go，隨後Line投資，改名為Line Taxi，現已有約360萬名會員，旗下合作計程車數量約有1,300輛，累計乘車次數約3千萬次。</p> <p>配合Line Go上線，Line Taxi升級叫車服務，除了原有的地址、地圖叫車之外，新推出AI語音叫車功能，結合Line CLOVA Chatbot、微軟Open AI的模型語料訓練，還有微軟STT語音轉文字、TTS文字轉語音技術，讓用戶可以透過免收通話費的Line Call，以語音說明上車地址（無法辨別知名地標或路口），讓AI自動辨識上車地址。對於不熟悉輸入上車地址或使用地圖叫車的使用者而言，提供語音叫車的方便性。</p> <p>另外，Line Taxi也新增計程車款，包括鎖定商務需求的豪華多元車、多人出遊的6人座多元車、身障者使用的無障礙計程車。</p> <p>至於線上租車服務，需事先註冊使用者的駕照，由AI審核使用者的頭像和證件上的照片相符程度，Line Go強調最快可在20秒審核通過駕照，租車服務包括24小時租還車服務，可原地租還、甲租乙還，或是在雙北地區超過100個特約停車場租還車。</p> <p>相較於其他競爭對手，例如和泰汽車同樣提供計程車叫車、租車服務，林群盛認為，Line Go為Line與裕隆首次合作，結合Line的線上平臺，還有裕隆的線下租車、車輛維護服務，在Line平臺上提供一站式的移動服務，Line Go為開放式移動服務，未來會再和其他移動服務業者合作，不排除與2輪業者合作，擴大移動服務的內容。</p> <p>Line Go的租車服務不限於裕隆或Nissan車款，未來將和其他業者合作，現場展示Volvo車款：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20231002_150934%20(1).jpg" style="width: 600px; height: 450px;" /></p> <p>Line Taxi創辦人，擔任Line Go執行長的陳泰成指出，Line Taxi已有超過360萬會員，年底可望成長至370至380萬會員，計程車數量從1萬3千輛成長至1萬4千輛。鑑於線上租車為新推出的服務， Line Go會先利用360萬Line Taxi會員叫車數據，對會員的叫車行為貼標，例如固定上午下午叫車的通勤族，或是深夜時段叫車的夜貓族，針對其乘車的需求，除了行銷推廣叫車服務外，也推廣線上租車服務，提供用戶移動的多元服務選擇。</p> <p> </p> <p> </p> </div></div></div>
2023/10/2 18:19作者蘇文彬https://www.ithome.com.tw/news/159072
Cloudflare遭爆允許駭客利用其基礎設施攻擊用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://certitude.consulting/blog/en/using-cloudflare-to-bypass-cloudflare/" target="_blank">奧地利資安業者Certitude上周揭露</a>，專門提供內容遞送網路與資安服務的Cloudflare含有安全漏洞，將允許駭客利用其Cloudflare帳號來攻擊其它同樣使用Cloudflare平臺的用戶。Certitude曾向Cloudflare提報，惟並未被視為嚴重漏洞，Certitude仍舊決定將它公諸於世，並提醒Cloudflare用戶小心應對。</p> <p>根據Certitude的說明，Cloudflare所提供的網站代管服務具備許多保護措施，諸如網頁應用程式防火牆（WAF）、服務阻斷攻擊保護（DDoS Protection）與機器人管理等，方法是在客戶的網頁伺服器與使用者之間建立反向代理伺服器以分析流量並防堵惡意行為。</p> <p>Cloudflare允許用戶設定配置來管理網站的安全性，然而，Certitude發現其中的中等安全（Moderately Secure）與非常安全（Very Secure）等兩項設定的前提，皆相信所有來自Cloudflare的流量都是可靠的，這便給了駭客入侵的機會，駭客只要建立一個免費的Cloudflare帳號，便能繞過Cloudflare替用戶建立的安全機制。</p> <p>例如在非常安全的選項中，於傳輸層（Transport Layer）使用經過驗證的來源拉取（Authenticated Origin Pulls）時，Cloudflare反向代理伺服器是利用一個用戶SSL憑證來向原始伺服器驗明正身，它支援用戶的客製化憑證，也能直接使用Cloudflare憑證，而Certitude則發現，若用戶貪圖方便直接使用Cloudflare憑證，就可能產生安全風險。</p> <p>原因是Cloudflare憑證屬於共享憑證，允許所有源自Cloudflare的連線，不管是由哪個Cloudflare租戶所發起的連線，使得駭客得以設定一個Cloudflare網域，將其DNS A記錄指向受害者的IP位址，再關閉該網域的所有保護機制，以Cloudflare的基礎設施當作偽裝並發動攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Example%20Exploitation%20of%20Shared%20Cloudflare%20Certificates-by%20Certitude.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Certitude</span></span></p> <p>中等安全設定則是在網路層（Network Layer）中將Cloudflare IP位址列為白名單（Allowlist Cloudflare IP Addresses），而讓來源伺服器拒絕所有非Cloudflare IP位址的連線，與上述漏洞一樣，它接受了所有來自Cloudflare的連線，同樣讓駭客有機可趁，關閉受害者的安全機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Example%20Exploitation%20of%20Allowlist%20Cloudflare%20IPs-by%20Certitude.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Certitude</span></p> <p>Certitude針對相關漏洞成功執行了概念性驗證攻擊，指出兩種攻擊途徑各有緩解措施，第一個是採用客製化憑證而非Cloudflare憑證，第二個則是採用專用的IP出口位址Cloudflare Aegis，而非共享的IP位址範圍。</p> <p>Certitude是在今年3月發現並提報相關漏洞，但Cloudflare在得知後僅將它列為「有價值的資訊」（Informative），並未將其視為安全漏洞。不過，Certitude建議Cloudflare應該部署針對相關攻擊的保護機制，也應警告那些採用脆弱配置的用戶。</p> </div></div></div>
2023/10/2 16:46作者陳曉莉https://www.ithome.com.tw/news/159062
美國國安局設立AI安全中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.defense.gov/News/News-Stories/Article/Article/3541838/ai-security-center-to-open-at-national-security-agency/" target="_blank">美國國安局（National Security Agency，NSA）於9月28日宣布</a>，將設立AI安全中心（AI Security Center）來監督美國國家安全系統中的AI能力發展與整合，以協助美國國家安全企業及國防工業可安全地採用新的人工智慧（AI）技術。</p> <p>國安局局長Paul Nakasone解釋，所謂的AI安全指的是保護各式的AI系統，以避免它們學習、執行或揭露錯誤的事情。而此一AI安全研究中心將與情報領域的美國產業、國家實驗室、學術界，以及國防部及其它國外的夥伴密切合作，負責發展及導入安全AI的最佳實作、評估方法及風險框架。</p> <p>AI安全中心的設立源自於AI在美國國家安全、國防與情報上，扮演著愈來愈重要的角色，例如美國國防部在2020年便出版《負責任的AI策略與實施途徑》（Responsible AI Strategy and Implementation Pathway），並於今年1月更新了有關負責任開發自主武器的2012年指令，使其符合最新的AI標準，此外，美國政府也提出了於軍事上負責任地使用AI的政治宣言。</p> <p>NSA的研究顯示，AI模型被竊或是遭到破壞已成為重要的國家安全挑戰，特別是生成式AI具備著為善與為惡的雙刃潛力。</p> <p>此外，Nakasone認為，有鑑於AI對美國與盟國的外交、技術與經濟上的影響日益重大，美國應該維持於AI領域上的領先地位，且不應將其視為理所當然，因為競爭對手數十年來持續剽竊與利用美國的智慧財產來促進其利益，未來亦將利用美國於AI上的進步，同時破壞美國的AI應用。</p> <p>因此，美國必須深入理解外國情報機構用來威脅AI系統的安全漏洞，同時應對這些威脅，才能確保AI的安全，亦因確保這些情報機構無法竊取美國的AI能力，並用它們來攻擊美國。</p> </div></div></div>
2023/10/2 13:18作者陳曉莉https://www.ithome.com.tw/news/159060
微軟、Cloudflare公布Edge內建VPN完整方案、開發工具套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過一年多的測試，微軟和DNS服務供應商Cloudflare上周<a href="https://blog.cloudflare.com/cloudflare-now-powering-microsoft-edge-secure-network/" target="_blank">宣布雙方合作的內建於Edge的VPN服務更完整的方案內容，</a>並以私有測試版介紹新的開發工具套件。</p> <p>Microsoft Edge Secure Network是整合Edge的免費VPN服務，用戶無需安裝任何外掛或應用程式，也無需設定，就能獲得網路層隱私防護。其原理是用戶從Edge傳送的網路流量會先連向Cloudflare伺服器加密，再經由加密通道連向目的地網站，即使用戶的目的地是使用HTTP協定（而非HTTPS協定）較不安全的網站。目的地網站回傳的訊息也會經由Cloudflare伺服器解密再以安全通道回傳給用戶端Edge，防止ISP或駭客偷窺用戶目的地網站、IP位址，及傳送的密碼或機密訊息。Edge Secure Network提供每月可享有一定的免費流量額度，若用戶有超過的流量傳送需求，就需再花錢購買。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Microsoft%20Edge%20Secure%20Network-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>微軟2022年4月<a href="https://www.ithome.com.tw/news/150689" target="_blank">首先宣布</a>這項服務，一開始免費流量額度為1GB，<a href="https://www.ithome.com.tw/news/157615" target="_blank">今年再擴充</a>為5GB。要使用Edge Secure Network用戶必須以微軟帳號登入Edge，藉此追蹤用戶流量。目前這項服務可在<a href="https://www.microsoft.com/en-us/edge/features/edge-secure-network-vpn?form=MT00D8" target="_blank">微軟網站</a>供試用。</p> <p>雖然原理和一般VPN相同，但Cloudflare說明差異。一般VPN服務使用的是VPN協定，如Wireguard、IPsec、OpenVPN，Cloudflare提供的VPN服務實作1.1.1.1+VARP版協定，也有數百萬裝置使用。但該公司認為下一代VPN服務的未來應該轉向隱私代理伺服器平臺（Privacy Proxy Platform），其精神是Cloudflare擁抱的核心價值之一，即開放網際網路標準。隱私代理伺服器平臺實作由HTTP標準定義的HTTP CONNECT協定，以建立通道傳送位元流量。</p> <p>隱私代理程式平臺分成三部分。首先，Token proxy讓登入微軟帳號的Edge Secure Network用戶連向Cloudflare。第二，Cloudflare的隱私API發送驗證token，作為用戶端驗證之用。第三，Cloudflare網路上的HTTP CONNECT代理服務，稱為隱私代理伺服器，負責檢查終端的token完成HTTP呼叫驗證，並由其選擇有效的egress IP位址，將呼叫導向目的地網站。</p> <p>為了這項服務，Cloudflare也運用上其他基礎架構技術。網頁呼叫先利用<a href="https://1.1.1.1/dns/?_ga=2.172536551.533473570.1695966121-1544732684.1695966120" target="_blank">1.1.1.1 </a>App來連結DNS，利用<a href="https://datatracker.ietf.org/wg/privacypass/about/" target="_blank">Privacy Pass</a>作為token proxy終端驗證，利用<a href="https://blog.cloudflare.com/geoexit-improving-warp-user-experience-larger-network/" target="_blank">Geo-egress</a>選擇準確的對外流量IP位址，而不曝露用戶的精準位置。</p> <p>Cloudflare也公布了開發工具及報表工具套件Privacy Edge，讓網站管理員及開發人員整合其最新VPN服務，包含Privacy Edge – Code Auditability、Privacy Gateway、Privacy Proxy及Cooperative Analytics。有興趣的開發人員可<a href="https://www.cloudflare.com/lp/privacy-edge/" target="_blank">填表加入私有測試計畫</a>。</p> </div></div></div>
2023/10/2 13:00作者林妍溱https://www.ithome.com.tw/news/159059
【資安週報】2023年9月25日到9月28日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周重要漏洞修補消息中，有4個最受注目，包括：網際網路系統協會（ISC）修補DNS軟體BIND高風險漏洞，JetBrains修補CI/CD軟體平臺TeamCity重大漏洞，以及Atlassian針對旗下多款產品發布更新。此外，9月上旬思科針對已遭利用的零時差漏洞CVE-2023-20269先提供緩解，當時已遭Akira勒索軟體組織鎖定利用，29日思科新釋出臨時的更新修補。</p> <p>還有多個已知漏洞，近期因為遭鎖定利用情形被美國CISA列入限期修補清單，是本週資安日報未提及的漏洞消息，我們也特別整理如下，包括：Red Hat JBoss RichFaces Framework的漏洞（CVE-2018-14667）、Laravel的Ignition漏洞CVE-2021-3129、Laravel框架Ignition的漏洞（CVE-2021-3129）、Zyxel EMG2926路由器的漏洞（CVE-2017-6884）、Realtek SDK的漏洞（CVE-2014-8361）、Samsung行動裝置的漏洞（CVE-2022-22265），以及Owl Labs視訊會議設備Meeting Owl的4個已知漏洞（CVE-2022-31463、CVE-2022-31462、CVE-2022-31461、CVE-2022-31459）。</p> <p>在網路威脅焦點上，有四大議題值得關注：<br /> （一）美國NSA、FBI、CISA與日本國家資安事件整備與策略中心（NISC）發布聯合公告，指出中國駭客組織BlackTech藉由竄改思科路由器的韌體方式來隱藏其行動，從美國、日本企業跨國公司的子公司進一步滲透總公司的網路環境。<br /> （二）近日Akamai與Perception Point相繼揭露新網釣攻擊活動，出現鎖定飯店業者、訂房業，以及訂房客戶的複雜攻擊，尤其是入侵訂房網站或飯店系統冒用合法發動典型網釣。<br /> （三）除了勒索軟體Akira自今年3月以來攻擊活動節節攀升需要關注，美國FBI與CISA在20日也針對勒索軟體Snatch發布安全通告，詳細說明該組織的技術手法與IoC指標。<br /> （四）關於GPU.zip的GPU旁路漏洞早期揭露，目前發現的大學研究人員已通報GPU供應商、以及瀏覽器供應商Google，後續廠商修補的動向需要關注。</p> <p>其他值得關注的國際威脅態勢，有多個產業被攻擊者鎖定的消息，受到不同資安業者揭露，包括：<br /> ●中東、西歐、南亞次大陸的電信業者成鎖定目標，攻擊者散布惡意軟體LuaDream發動精準攻擊。<br /> ●烏克蘭軍方成鎖定目標，攻擊者利用無人機手冊散布惡意程式。<br /> ●中東政府機關被鎖定，攻擊者利用了新型態後門程式Deadglyph。<br /> ●巴西與墨西哥等逾40家拉丁美洲的銀行用戶遭鎖定，有駭客利用銀行木馬BBTok發動大規模攻擊行動。<br /> ●美國衛生暨公共服務部（HHS）旗下HS3揭露，近年中國駭客組織APT41、北韓駭客組織APT43與Lazarus肆虐，對美國公衛部門與生技公司已造成嚴重危害。</p> <p>在防禦態勢的消息上，我們特別注意到，在越來越多人重視的軟體物料清單（SBOM）之外，近日美國CISA推出硬體物料清單框架（HBOM），希望進一步幫助有效評估與減少供應鏈存在的資安風險。在國內，也有兩起事件受關注，一是行政院公共工程委員會新發布資訊服務採購作業指引，明訂公部門編列專屬資安預算；另一是數位部預告修正資安法，將明訂公部門禁用危害國家安全的資安產品。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/158960"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月25日】埃及總統候選人遭到鎖定，攻擊者利用iOS零時差漏洞在手機植入間諜軟體Predator</span></strong></a></h3> <p>集權國家政府利用間諜軟體監控特定人士的情況，不時傳出，而對於上週蘋果修補的一連串漏洞，通報的加拿大公民實驗室與Google威脅情報小組隨後公布資安事故的細節，指出受害者就是參與埃及明年總統大選的前議員Ahmed Eltantawy。</p> <p>但有別於1年多前攻擊者利用釣魚簡訊引誘該名議員上當，這次攻擊者竟然透過當地電信業者的邊界裝置下手，對方趁他瀏覽尚未採用HTTPS連線的網站時，重新導向到惡意網站來部署間諜軟體。研究人員依此判斷，背後的攻擊者極有可能就是埃及政府。</p> <h3><a href="https://www.ithome.com.tw/news/158974"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月26日】駭客組織Stealth Falcon針對中東政府機關下手，散布後門程式Deadglyph</span></strong></a></h3> <p>最近半年，針對中東地區而來的攻擊行動變得更加頻繁，而在本日的資安新聞裡，使用後門程式Deadglyph、LuaDream駭客，都將該地區列為目標，其中又以Deadglyph最為詭譎。</p> <p>為了躲避資安系統偵測，駭客採用多種罕見的方法進行活動，其中最特別的部分，就屬後門程式與C2伺服器之間連線的機制，竟是透過在記憶體內執行的附加模組來達成，而使得其運作更加難以捉摸。</p> <h3><a href="https://www.ithome.com.tw/news/159005"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月27日】Sony傳出資料外洩，有2組駭客先後聲稱對其下手，取得多項內部機密的帳密資料</span></strong></a></h3> <p>日本知名企業Sony傳出資料外洩事故，但特別的是，這並不是今天才出現的消息，前幾天就有駭客組織RansomedVC聲稱對該公司下手，今天又有另一個駭客組織MajorNelson，宣稱是他們所為。這兩個組織也公開了部分竊得的資料，供買家及媒體進行驗證。</p> <p>另一個值得留意的是，兩組駭客提供的樣本資料檔案大小差距相當懸殊，但兩組資料互有交集，而對於這些資料是否真的來自Sony？有待進一步的調查。</p> <h3><a href="https://www.ithome.com.tw/news/159036"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月28日】勒索軟體駭客組織RansomedVC聲稱入侵日本大型電信業者NTT Docomo，索討百萬美元贖金</span></strong></a></h3> <p>數日前，勒索軟體駭客RansomedVC聲稱入侵Sony並竊得內部資料，引起資安界高度關切，雖然此事的真實性仍有待商確，但現在他們宣稱也竊得另一家日本大型企業NTT Docomo的內部資料，不同的是，這次駭客開出了明確的贖金價碼，不過並未公布從這家電信業者偷到的資料。</p> <p>有資安業者分析駭客從Sony竊得的資料，懷疑這兩起事件有關連，有可能是供應鏈攻擊事故導致。</p> </div></div></div>
2023/10/2 09:21作者羅正漢https://www.ithome.com.tw/news/159050
蘋果證實iPhone 15會過熱，將更新iOS 17修補相關臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於今年9月上市的蘋果新一代智慧型手機<a href="https://discussions.apple.com/thread/255147042" target="_blank">iPhone 15遭到用戶批評容易過熱</a>，蘋果向《<a href="https://www.cnbc.com/2023/09/30/apple-will-issue-a-software-update-to-address-iphone-15-overheating-complaints.html" target="_blank">CNBC</a>》及《<a href="https://www.macrumors.com/2023/09/30/apple-responds-to-iphone-15-pro-overheating/" target="_blank">MacRumors</a>》等媒體證實了此事，並說會藉由更新iOS 17來解決此一問題。</p> <p>在iPhone 15的討論區中，先是有使用者抱怨他的iPhone 15 Pro Max就算沒有在使用，溫度一樣很高，有的用戶則說他用iPhone 15 Pro講電話10分鐘就會有過熱的感覺，也有蘋果粉絲說iPhone 15明顯比前幾代更快變熱，總計有超過2,700名iPhone 15用戶聲稱自己的裝置過熱。</p> <p>在媒體向蘋果詢問後，蘋果證實了iPhone 15的過熱問題，指出已知道某些狀況會令iPhone的運作溫度高於預期，例如在設定或回復裝置的前幾天，可能因為背景活動的增加而讓裝置變得更熱；此外，蘋果也發現iOS 17中的一個臭蟲影響了部分使用者，將藉由軟體更新來修補。</p> <p>此外，第三方程式近來的陸續更新可能會造成系統過載，蘋果正與程式開發商共同解決該問題。</p> <p><a href="https://support.apple.com/en-us/HT201678" target="_blank">根據蘋果的技術支援專區</a>，iPhone與iPad在某些狀況下原本就容易變熱，例如首次設定裝置時，或是自備份回復裝置時，無線充電時，串流高畫質影片時，或者是使用圖像/處理器密集的程式、遊戲或功能時。</p> <p>因此，從蘋果的回應來看，iOS 17的臭蟲應該才是造成iPhone 15過熱的原兇。</p> <p>另一方面，蘋果也建議使用iPhone與iPad的環境溫度最好介於0º 至35º C之間，存放裝置的溫度則是介於-20º 至45º C 之間，也不要把裝置放在可能會造成溫度過高的汽車內。</p> </div></div></div>
2023/10/2 11:05作者陳曉莉https://www.ithome.com.tw/news/159052
Google動態場景渲染新方法DynIBaR，單機攝影就可實現子彈時間等影片特效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了一種新的動態影像渲染方法<a href="https://blog.research.google/2023/09/dynibar-space-time-view-synthesis-from.html">DynIBaR（Neural Dynamic Image-Based Rendering）</a>，只要使用單一影片，就可以生成複雜且動態的場景，並以真實自由攝影機視點渲染出新畫面，實現諸如子彈時間、攝影防手震、慢動作甚至是散景（Bokeh）等特效。</p> <p>由於NeRF（Neural Radiance Fields）技術的發展，開發者能夠重建和渲染靜態3D場景，但是原始的NeRF技術，卻無法處理移動中的場景，3D空間加上時間的4D維度場景重建，無法使用標準影像合成方法。而研究人員也開始琢磨相關的解法，透過動態NeRF方法來處理動態場景影像合成，但這些方法仍然存在局限性，很難從長時間、不受控制的攝影機路徑，還有複雜的物體運動影片中，產生出高品質的新合成圖。</p> <p>由於這些方法都是把動態複雜的場景，儲存到一個單一的資料結構中，並使用多層感知器（Multilayer Perceptron，MLP）神經網路進行處理，但Google解釋，當影片的長度和場景複雜度上升，神經網路便需要更多的資源處理，這在實際運用上並不可行，導致最終產生的圖像通常模糊且不準確。</p> <p>而Google新開發的DynIBaR方法不同，也就能避免舊方法所產生的問題。DynIBaR不需要把影片中所有場景內容儲存進一個龐大的多層感知器，而是直接使用輸入影片影格的像素資料來渲染新畫面，也就是説，DynIBaR並不會從頭開始影像創建工作，而是利用已有的像素資料來生成新畫面，像是當用戶想要以一個新視角觀看場景，DynIBaR便會找到跟新角度最像的影片影格，使用該影格中的像素資料運算。</p> <p>DynIBaR參考原本用於處理靜態場景的IBR（Image-Based Rendering）演算法，並將其擴展用於動態影像。DynIBaR能夠渲染出從不同角度看到的動態場景，在處理動態場景時，DynIBaR會考慮場景中的動作，Google提到，DynIBaR的特色在於只儲存動作資訊，不需要像舊方法一樣儲存整個場景的外觀和幾何資訊，DynIBaR會直接使用輸入的影片影格，找出渲染新畫面所需要的所有資訊。</p> <p>不過，DynIBaR渲染出來的畫面也不代表就是完美的，仍會存在一些錯誤和不準確的地方，像是顏色失真或是細節丟失等，因此還需要經過調整與最佳化，例如Google使用了跨時渲染技術，能夠利用單一時間點的場景資訊渲染不同時間點的圖像，確保不同時間點的場景資訊一致。同時，透過把場景分成動態和靜態兩部分，分別用不同的方法表示，以更準確地渲染場景，提高渲染的準確性。</p> <p>DynIBaR的應用很多元，能夠被用於攝影防手震上，相比現有2D和動態NeRF方法，DynIBaR可以生成更加平滑、少瑕疵的結果。同時，DynIBaR也能夠被用於空間和時間影片合成，產生平滑的3D電影效果，生成平滑的5倍慢動作影片。DynIBaR還可用於添加視覺模糊效果，即便是所有焦點都非常清晰的影片，也能動態改變景深生成高品質模糊背景，凸顯場景中的動態和靜態內容。</p> <p>DynIBaR的重要貢獻在於研究人員提出新的動態影像渲染方法，解決傳統技術在處理動態場景時的限制，並利用原始影片影格生成高品質畫面，Google表示，該技術能夠被用於行動裝置上，提供終端使用者新的影片編輯效果。</p> </div></div></div>
2023/10/2 11:10作者李建興https://www.ithome.com.tw/news/159049
法國政府搜索Nvidia辦公室，歐盟評估啟動反托拉斯調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia AI晶片獨大已引起歐盟國家當局注意，<a href="https://www.wsj.com/tech/ai/nvidias-french-offices-raided-in-cloud-computing-competition-inquiry-97c094ea" target="_blank">華爾街日報報導</a>，法國反托拉斯主管機關上周為調查Nvidia是否有非法壟斷市場的行為，搜索這家GPU大廠的法國辦公室。而歐盟競爭委員會也表示正在蒐集資訊，以決定是否對Nvidia啟動正式調查。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-09-29/eu-begins-early-stage-probe-into-ai-chip-market-abuses-that-nvidia-dominates?srnd=technology-vp" target="_blank">法國競爭管理署（French Competition Authority，FCA）周三宣布</a>，為調查繪圖晶片市場是否有非法壟斷行為，已搜索廠商的法國辦公室。但法國政府表示，搜索行動是當局調查的一部份，但廠商是否違反競爭行為，要經過進一步調查確認。</p> <p>FCA並未說明是哪一家，但《華盛頓日報》引述消息人士證實是Nvidia；法國警方搜查過程中，扣留實體和數位文件，並訪談了在辦公室的Nvidia員工。Nvidia拒絕對此評論。</p> <p>另一方面，<a href="https://www.bloomberg.com/news/articles/2023-09-29/eu-begins-early-stage-probe-into-ai-chip-market-abuses-that-nvidia-dominates?srnd=technology-vp" target="_blank">彭博引述消息人士報導</a>，歐盟競爭委員會已開始非正式訪查產業人士，以了解Nvidia在企業、遊戲AI晶片是否有操作市場行為，也將作為委員會決定是否正式調查的依據。彭博報導，Nvidia的A100、H100獨霸AI晶片80%的市場，讓傳統CPU大廠英特爾與AMD難以競爭，一旦歐盟決定啟動調查，且真的認定有壟斷市場的行為，可能將面臨數十億美元的罰款。</p> <p>產業界的AI熱不但讓Nvidia股價一飛沖天，也為該公司帶進大把銀子。Nvidia單單上季就締造135.1億美元亮麗營收，較前一年成長101%。現在Nvidia公司市值也穩定超越一兆美元。</p> </div></div></div>
2023/10/2 11:45作者林妍溱https://www.ithome.com.tw/news/159054
微軟正式關閉Windows 7/8免費升級Windows 10的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在默許Windows 7、8免費升級Windows 10五年多後，上個月底真正關閉了升級管道。</p> <p>微軟在2015年7月29日釋出Windows 10，為鼓勵Windows 7、8用戶轉換Windows 10，允許用戶在一年之內就地升級安裝。但此後微軟仍然多次推遲截止期限。首先是2018年1月16日的<a href="https://www.ithome.com.tw/news/120632" target="_blank">「最後期限」升級</a>。但期限過後，微軟仍然暗中<a href="https://www.ithome.com.tw/news/134543" target="_blank">開放免費升級管道</a>。事實上，到了今年，舊版Windows的合法用戶依舊可以經由特定連結免費升級，只要他們找得到該連結。同時間，除了原機升級外，使用正版Windows合法金鑰的用戶，也可以在別臺電腦全新安裝（clean install）Windows 10或Windows 11。</p> <p>不過<a href="https://devicepartner.microsoft.com/en-us/communications/comm-windows-ends-installation-path-for-free-windows-7-8-upgrade" target="_blank">微軟上周表示</a>，Windows 7/8免費升級的安裝管道現在已經移除。Windows 10 PC仍然可以升級Windows 11。</p> <p>不過微軟仍然提醒，要升級到Windows 11，除了具備合法授權，電腦裝置也需符合最低硬體規格要求。</p> <p>有些Windows 11功能在Windows 10並不提供。例如上周剛部署給<a href="https://www.ithome.com.tw/news/158994" target="_blank">Windows 11的Copilot AI助理</a>、以及多項加入AI功能的「小畫家」、「剪貼工具」等原生Windows功能。</p> </div></div></div>
2023/10/2 12:08作者林妍溱https://www.ithome.com.tw/news/159057
支援2.5GbE埠、多臺堆疊，Aruba中小企業交換器添新機
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_instant_on_1960_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中小企業的Wi-Fi無線網路建置需求，HPE<a href="https://news.arubanetworks.com/news-release-details/2019/Aruba-Introduces-Simple-Secure-Wi-Fi-Designed-for-Small-Businesses/default.aspx">在2019年6月</a>發表Aruba Instant On系列，主打產品是支援802.11ac Wave 2的基地臺，提供AP11D、AP11、AP12、AP15、AP17等機型；隔年5月此系列解決方案納入網路交換器，推出<a href="https://www.ithome.com.tw/review/139267">Aruba Instant On 1930</a>，8月他們推出支援802.11 ax（Wi-Fi 6）的Aruba Instant On AP22，搶攻中小企業升級無線網路環境的市場。</p> <p>在2022年，HPE在這條產品線當中，陸續推出多款設備，例如，兼顧成本效益與PoE支援的<a href="https://community.arubainstanton.com/blogs/aditi-pandey1/2022/01/14/aruba-delivers-cost-effective-powerful-switches-to">Aruba Instant On 1830</a>，鎖定預算吃緊、簡單連線而不需進階管理的<a href="https://community.arubainstanton.com/discussion/introducing-the-new-aruba-instant-on-1430-switch-series-1">Aruba Instant On 1430</a>，以及支援Wi-Fi 6規格的第二款基地臺<a href="https://community.arubainstanton.com/support/documentation/support-documentation-list?CommunityKey=915bac40-3a21-4152-a1b3-b2db952dba2f">Aruba Instant On AP25</a>，提供更多交換器與機型選擇。</p> <p>到了今年9月，Aruba Instant On系列再度擴充產品陣容，新增具有2.5 GbE埠、同時可堆疊多臺交換器（Stacking）的交換器，名為Aruba Instant On 1960，以及支援Wi-Fi 6規格的第三款基地臺Aruba Instant On AP22D。目前新款交換器的詳細規格已在該公司網站公告，並且開放訂購，將於2023會計年度第四季上市，至於基地臺AP22D也會在那時正式推出，該公司網站的相關產品線列表尚未列出此機型，以及其技術規格。</p> <p>相較於Aruba Instant On系列現有的網路交換器，1960在產品定位被歸類在最高階的機型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba Instant On Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20Instant%20On%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>以網路介面而言，6款機型的上行埠均為4個10GbE，大部分是2個RJ-45與2個SFP+，可扮演存取交換器（access switch）的角色，提供更大的網路連線頻寬，只有JL805A是4個SFP+埠，可作為匯聚交換器（aggregation switch），連接伺服器、儲存系統、存取交換器；而在主要網路埠的配置，1960多數機型提供12埠、24埠、48埠的選擇，只有S0F35A是4個2.5 GbE埠與8個GbE埠。</p> <p>關於乙太網路供電（PoE）的支援，此系列有一半數量機型提供，而且能夠分別支援30瓦與60瓦的規格，該公司稱為Class 4 PoE與Class 6 PoE（一般稱為PoE+與PoE++）。</p> <p>例如，JL807A的24個PoE埠，區分為20個30瓦與4個60瓦，整臺可供應370瓦電力；JL809A的48個PoE埠，其中40個為30瓦，其餘為60瓦，整臺可供應600瓦電力；S0F35A的12個PoE埠當中，8個是30瓦，4個是60瓦，整臺可供應480瓦電力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba Instant On 1960.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20Instant%20On%201960.png" style="width: 600px;" /></a></p> <p>而在堆疊規模上，1960最多可串連4臺，IT人員透過單一IP位址來進行管理，基本上，這座網路交換器堆疊，最大可提供208個網路埠（4臺48+4埠交換器，其中包含16個10GbE規格的上行埠）。</p> <p>設置堆疊的方式上，1960可支援就地設定（Local stacking），以及雲端管理（Cloud-Managed Stacking）等兩種方式進行，以後者而言，IT人員可透過網頁介面或行動App「Aruba Instant On」來操作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1960-Local%20stacking.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1960%20Cloud-managed%20stacking.png" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1960%20Stack%20on%20App.jpg" style="width: 500px;" /></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/Z0AVeJ9vreY?si=JbhDf_OmXr-5ZpMO" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Aruba Instant On 1960</strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●網路介面：<br /> 12埠10GbE與4埠10GbE（SFP+）、<br /> 24埠GbE與2埠10GbE（SFP+）與2埠10GbE（RJ-45）、<br /> 24埠GbE（20個PoE+與4個PoE++）與2埠10GbE（SFP+）與2埠10GbE（RJ-45）、<br /> 48埠GbE與2埠10GbE（SFP+）與2埠10GbE（RJ-45）、<br /> 4埠2.5GbE（PoE++）與8埠GbE（PoE+）與2埠10GbE（SFP+）與2埠10GbE（RJ-45）<br /> ●機型：JL805A、JL806A、JL807A、JL808A、JL809A、S0F35A<br /> ●機箱尺寸：1U<br /> ●網路交換容量：JL805A為320 Gbps，JL806A為128 Gbps，JL807A為128 Gbps，JL808A為176 Gbps，JL809A為176 Gbps，S0F35A為116 Gbps<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體：1.5 MB（JL805A為3 MB）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/2 01:45作者李宗翰https://www.ithome.com.tw/review/159047
提供2.5吋與E3.S外形，Kioxia推出具備頂級效能PCIe 5 SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/kioxia_cm7_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年上半隨著兩大伺服器CPU平臺翻新，正式帶動PCIe 5.0介面的普及之餘，一些伺服器廠商順勢推出支援此I/O介面固態硬碟的機型，而在固態硬碟外形的部分，搭配遵循EDSFF E1.S與E3.S標準SSD的伺服器，也越來越多。</p> <p>以固態硬碟而言，提供E1.S外形的產品相對較多，像是<a href="https://www.ithome.com.tw/review/147008">三星PM9A3</a>、<a href="https://www.ithome.com.tw/review/148661">美光7400</a>與<a href="https://www.ithome.com.tw/review/150002">7450</a>、<a href="https://www.ithome.com.tw/review/151856">Solidigm D7-P5520</a>、<a href="https://www.ithome.com.tw/review/155253">Kioxia XD6</a>、<a href="https://www.ithome.com.tw/review/155380">世邁DC4800</a>，採用E3.S外形的產品相形較少，目前有Kioxia CD7、CM7、<a href="https://www.ithome.com.tw/review/158091">CD8/CD8P</a>，以及<a href="https://www.ithome.com.tw/review/157477">Solidigm D5-P5430</a>，而在5月底的台北國際電腦展，以及9月底戴爾科技論壇的臺灣場，我們都看到Kioxia主推CM7，趁此機會介紹這款產品的特色。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Computex%20Kioxia%20SSD.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Kioxia%20CM7%20E3_S.JPG" style="width: 600px;" /></p> <p>CM7在2022年7月發表，是該公司導入PCIe 5.0介面的第三批產品（CD7、CD8），同樣採用第五代BiCS快閃記憶體技術（112層NAND），並且都提供兩種外形選擇：2.5吋且厚度為15公釐（支援U.3）、EDSFF E3.S，而根據產品定位的細部差異，Kioxia區分為兩種，一是針對混合用途的V系列，每日寫入量為3，儲存容量涵蓋1,600 GB到12,800 GB，另一是鎖定讀取密集工作負載的R系列，每日寫入量為1，儲存容量涵蓋1,920 GB到30,720 GB（2.5吋外形最大提供30,720 GB，E3.S外形最大提供15,360 GB）。</p> <p>相較之下，導入第四代BiCS快閃記憶體技術（96層NAND）的上一代產品CM6，搭配I/O介面為PCIe 4.0，外形僅提供2.5吋且厚度為15公釐，同樣細分兩個產品線：每日寫入量為3的V系列，最低儲存容量可提供800 GB；每日寫入量為1的R系列，最低儲存容量可提供960 GB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia CM7 spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20CM7%20spec.png" style="width: 600px;" /></a></p> <p>關於存取效能的部分，新世代產品CM7明顯受益於PCIe 5.0的採用，而獲得相當大程度的提升。</p> <p>以循序讀寫作業而言，CM7開出的效能規格相當亮眼。支援PCIe 4.0的CM6最高為6,900 MB/s、4,200 MB/s，全面支援PCIe 5.0的CM7最高為14,000 MB/s、7,000 MB/s，而CD7與CD8P支援PCIe 5.0的款式，最高分別為6,450 MB/s、5,600 MB/s，以及12,000 MB/s、5,500 MB/s；而在隨機讀寫作業上，CM6最高為140萬IOPS、35萬IOPS（最低為88萬IOPS、5萬IOPS），CM7最高為270萬IOPS、60萬IOPS（最低為160萬IOPS、15萬IOPS）。CD7與CD8P支援PCIe 5.0的款式，最高分別為105萬IOPS、18萬IOPS，以及200萬IOPS、40萬IOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CM7_CM6-Read.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CM7_CM6-Read.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CM7_CM6-Write.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CM7_CM6-Write.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Kioxia CM7</strong><br /> ●外形：2.5吋U.3（厚15公釐）、E3.S<br /> ●容量：CM7-V為1.6/3.2/6.4/12.8 TB，CM7-R為1.92/3.84/7.68/15.36/30.72 TB<br /> ●儲存媒體：112層 3D TLC<br /> ●傳輸介面：PCIe 5.0 x4 / NVMe 2.0<br /> ●最高讀寫速度：循序14,000 MB/s與7,000 MB/s，隨機270萬IOPS與60萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用性：CM7-V為3 DWPD，CM7-R為1 DWPD<br /> ●可靠度：250萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/1 11:56作者李宗翰https://www.ithome.com.tw/review/159046
Deno開始內建佇列處理系統Queues
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript/TypeScript執行環境Deno開始內建訊息系統<a href="https://deno.com/blog/queues">Deno Queues</a>，能夠非同步處理長時間執行的任務，其建立在持久儲存Deno KV之上，可以在本地端和Deno主機上運作，以安排未來的工作或是處理網路回呼。</p> <p>過去開發者要使用佇列處理系統，需要仰賴第三方佇列，或是訊息中介軟體，甚至是手動實作，而現在官方直接對Deno生態系，提供一個內建且簡單易用的佇列系統，讓非同步任務處理和排程變簡單，也更好地與Deno應用整合，也就是說，開發者能以更少配置和額外的相依項目，在Deno應用中實現佇列功能。</p> <p>Deno Queues提供兩個API，其一enqueue()能夠將訊息推送到佇列，確保立即或是未來特定時間點訊息傳送，第二listenQueue()則是能夠處理佇列新訊息的處理程式。官方進一步解釋，Deno Queues以Deno KV為基礎建立，而Deno KV本身是一個持久儲存，在本地執行的時候使用SQLite資料庫，但是當在Deno Deploy上運作時，則是使用FoundationDB，以確保最大可用性和吞吐量。</p> <p>由於Deno Queues保證至少一次訊息交付，而這能夠與Deno KV原子交易概念相結合，可用於建立強大的工作流程，像是用戶可以將訊息當作KV交易的一部分，新增到佇列中。</p> <p>Deno Queues的使用情境包括預定電子郵件通知，像是當終端用戶完成註冊，便可以把歡迎郵件發送任務放到佇列中，在特定時間點發送。</p> <p>運用Deno Queues也能夠更可靠地處理Webhook，透過將Webhook內容放入到Deno Queues中，開發者便可以確保非同步並可靠處理Webhook。Deno Queues會自動接收來自Webhook的資訊，並且非同步地執行，如此便不會影響主應用程式的運作，在應用大量Webhook觸發事件時，還能確保應用程式高效能運作。</p> </div></div></div>
2023/9/29 20:39作者李建興https://www.ithome.com.tw/news/159041
Google Bard臭蟲讓用戶對話出現在公開Google搜尋結果中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Bard和用戶對話理應是不公開的，不過本周卻發生某些用戶的Bard對話出現在Google公開搜尋結果中。Google正在趕製修補程式。</p> <p><a href="https://twitter.com/gaganghotra_/status/1706545667362210129" target="_blank">本周一名搜尋引擎優化（SEO）顧問指出</a>，Google搜尋開始索引Bard對話連結，他因此警告用戶不要在和Bard對話時分享任何個資，否則可能遭Google索引，而被某個使用Google搜尋的外人看光了祕密。</p> <p class="rtecenter"><a href="http://twitter.com/gaganghotra_/status/1706545667362210129" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Google%20Bard-bug-photo%20by%20Gagan%20Ghotra.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Gagan Ghotra</span></span></p> <p>Google今年7月擴大部署Bard到全球多國時，也加入了分享對話連結的功能。使用者可以將他和Bard的對話以連結匯出寄給他人，讓別人接續和Bard對話。不過這些連結理應是不公開的，顯然若不是Google有了引人爭議的行動，就是Google Bard的臭蟲。</p> <p><a href="https://twitter.com/searchliaison/status/1706732827705065665" target="_blank">Google搜尋公關部門隨後指出</a>，Bard允許使用者分享連結，但前提是用戶選擇這麼做。Google並澄清從未打算讓Google搜尋索引這些共享連結。他們已經著手封鎖Google搜尋索引對話連結。</p> <p>今年3月，OpenAI的<a href="https://www.ithome.com.tw/news/156068" target="_blank">ChatGPT也曾短暫發生</a>外洩用戶對話連結事件，<a href="https://www.ithome.com.tw/news/156570" target="_blank">促使OpenAI增加</a>允許使用者關閉ChatGPT對話紀錄的功能。</p> </div></div></div>
2023/9/29 19:32作者林妍溱https://www.ithome.com.tw/news/159045
AWS一口氣釋出多項生成式AI新功能，並正式推出Amazon Bedrock
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在多個服務<a href="https://aws.amazon.com/tw/blogs/machine-learning/announcing-new-tools-to-help-every-business-embrace-generative-ai/">加入</a>一系列生成式人工智慧新功能，使用戶能夠更簡單地運用人工智慧提升生產力。AWS全託管人工智慧平臺<a href="https://www.ithome.com.tw/news/156411">Amazon Bedrock</a>正式推出，並且提供更多強大的模型，程式碼編寫助理Amazon CodeWhisperer新增客製化功能，而商業智慧解決方案Amazon QuickSight Q也加入語言模型進一步簡化用戶資料分析任務。</p> <p>Amazon Bedrock是一個基礎模型API服務，用戶可以透過API存取Amazon自家，以及像是AI21 Labs、Anthropic、Cohere、Meta、Stability AI等第三方的基礎模型，Bedrock簡化了人工智慧應用開發過程，並且著重保護企業的隱私安全。Bedrock在4月的時候公布，現在AWS宣布該項服務正式推出，同時也增加Llama 2和Amazon Titan Embeddings新模型供用戶選擇。</p> <p>Amazon Bedrock通過HIPAA的認證且符合GDPR規範，也就是說，企業可將其用於開發醫療保健應用，並對更廣泛地區的終端用戶提供服務。此外，使用者也可以使用Amazon CloudWatch控制面板與AWS CloudTrail的API監控功能，進一步強化對Bedrock模型的管理和控制。</p> <p>Amazon CodeWhisperer也獲得更新，提供用戶客製化的能力。CodeWhisperer會參照自家內部的API、程式庫、最佳實踐和架構模式等企業內部程式碼，生成更加相關的程式碼建議。而AWS在設計該功能時，考慮隱私與安全性，管理員可以從控制臺管理存取權限，確保只有特定開發者可以取用，並且承諾用戶所提供的資訊和客製化結果，不會被用來訓練CodeWhisperer底層的模型。</p> <p>AWS商業智慧解決方案Amazon QuickSight Q，讓用戶不需要學習SQL或是商業智慧工具，使用自然語言就能查詢資料。而QuickSight Q現在也導入語言模型，釋出名為Generative BI的新功能。</p> <p>藉由Generative BI，用戶可以使用自然語言快速創建視覺效果，而且除了可以回答結構化問題，即便用戶使用簡短的句子「top 10 products」，Generative BI也能正確理解和回應，並創建自定義視覺效果。且當查詢語意模糊或是有多種答案可能性時，QuickSight Q也能提出相關問題，協助用戶釐清意圖。</p> <p>面對競爭者來勢洶洶的人工智慧策略布局，AWS持續深化人工智慧領域的發展，在今年有更多大動作，像是在2月的時候與人工智慧技術公司<a href="http://www.ithome.com.tw/news/155636">Hugging Face</a><a href="https://www.ithome.com.tw/news/155636">擴大</a><a href="http://www.ithome.com.tw/news/155636">合作</a>，讓用戶可以更方便地使用Hugging Face平臺上的模型，另外，Amazon也剛宣布向OpenAI競爭者Anthropic<a href="https://www.ithome.com.tw/news/158977">投資40億美元</a>，擴大發展人工智慧技術，並且讓Anthropic能深度支援Amazon Bedrock。</p> </div></div></div>
2023/9/29 20:12作者李建興https://www.ithome.com.tw/news/159040
Raspberry Pi 5開放預購，終於有電源鍵了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.raspberrypi.com/news/introducing-raspberry-pi-5/" target="_blank">樹莓派（Raspberry Pi）基金會本周正式發表</a>新一代的Raspberry Pi 5單板電腦，它與2019年推出的Raspberry Pi 4同屬「類PC」等級的產品，但各個效能幾乎都是上一代的兩倍以上，現已開放預購，預計於今年10月底出貨。</p> <p>Raspberry Pi 5搭載時脈為2.4GHz的64位元Arm Cortex-A76處理器，有4GB及8GB記憶體兩種規格可供選擇，終於有了電源鍵，有個可連結高速周邊的PCIe 2.0傳輸埠，兩個USB 3.0及兩個USB 2.0傳輸埠，支援802.11ac Wi-Fi標準、藍牙5.0、低功耗藍牙（BLE）與Gigabit Ethernet，還可驅動兩個顯示器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0929-Raspberry%20Pi%205-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_樹莓派基金會</span></span></p> <p>此外，Raspberry Pi 5首次安裝了3款專屬晶片：BCM2712、RP1與DA9091。當中的BCM2712是由博通所生產的16奈米應用處理器，RP1則是斥資1,500萬美元開發的I/O 控制器，而DA9091主要提供電源管理能力，這些新的晶片助長了Raspberry Pi 5效能的躍進。</p> <p>Raspberry Pi 5的處理器速度是Raspberry Pi 4的2~3倍，GPU效能為上一代的兩倍，記憶體與I/O頻寬也是上一代的兩倍，且在同樣的任務上有較少的功耗。</p> <p>4GB版本的Raspberry Pi 5售價為60美元，8GB為80美元，比Raspberry Pi 4各貴了5美元。</p> </div></div></div>
2023/9/29 18:43作者陳曉莉https://www.ithome.com.tw/news/159043
Google再緊急修補Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html" target="_blank">Google周四又緊急釋出Chrome安全更新</a>，以修補10項漏洞，包含一個已遭到濫用的漏洞。</p> <p>Google昨日針對Windows、Mac和Linux平臺釋出桌機版Chrome 117.0.5938.132。最新更新修補的10項漏洞中包括3個高風險漏洞，其中最重要的是已遭濫用的CVE-2023-5217。它是位於VP8編碼函式庫libvpx中的堆積型緩衝溢位（heap buffer overflow）漏洞。Libvpx為Google和Open Media聯盟（AOMedia）合作開發而成。通常緩衝溢位漏洞會引發程式崩潰或任意程式碼執行。</p> <p>本漏洞是由Google威脅分析小組研究人員Clément Lecigne通報。Google在發現後2天內完成修補。另一名成員<a href="https://twitter.com/maddiestone/status/1707244655447060688" target="_blank">Maddie Stone說明</a>，這是Lecigne發現最新一起商業間諜軟體開發商濫用的漏洞。</p> <p><a href="https://blog.google/threat-analysis-group/spyware-vendors-use-0-days-and-n-days-against-popular-platforms/" target="_blank">Lecigne今年3月曾指出</a>Google追蹤到，至少有30家業者出售商業性的間諜監控軟體給政府支持的單位，利用包括iOS、Android及Chrome的零日（0-day）或數日（n-day）漏洞，以監控異議份子或記者。</p> <p>另二項重大漏洞CVE-2023-5186及CVE-2023-5187，分別是位於Passwords元件及Extensions元件中的使用已釋放記憶體漏洞，攻擊者可能傳送惡意連結誘使用戶連向特定UI或下載外掛，引發堆積記憶體毁損，後果可能小從資料流失，大到系統無法運作。</p> <p>Google呼籲用戶應儘速安裝最新版Chrome更新以策安全。</p> </div></div></div>
2023/9/29 18:58作者林妍溱https://www.ithome.com.tw/news/159044
Google釋出Google-Extended工具，讓出版商拒絕內容被用來訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/an-update-on-web-publisher-controls/" target="_blank">Google於本周釋出了Google-Extended工具</a>，以讓網頁出版商得以決定該站內容是否願意用來改善Bard及Vertex AI的生成式模型，出版商只要透過robots.txt即可啟用該工具。</p> <p>有許多業者都是利用公開的網路資料來訓練模型，例如OpenAI的GPT，OpenAI打造了網路爬蟲軟體GPTBot以廣泛地蒐集網路上的資料，並用來訓練模型，而當出版商不同意時，便於robots.txt中直接封鎖這些爬蟲，例如《紐約時報》、《CNN》與《Medium》即封鎖了GPTBot。</p> <p>然而，出版商無法直接封鎖來自Google的爬蟲軟體，因為這可能會直接影響網站於Google搜尋結果中的能見度，為此，Google特別設計了Google-Extended供出版商使用。Google-Extended是個獨立的產品標記，讓網頁出版商得以用來決定其網站是否願意協助改善Bard及Vertex AI等生成式AI，或是未來由這些產品衍生的生成式模型。</p> <p>Google認為，於robots.txt中提供一個簡單且可擴充的功能，是提供透明度與控制能力的重要步驟，相信所有AI模型的供應商都應該具備。</p> </div></div></div>
2023/9/29 18:14作者陳曉莉https://www.ithome.com.tw/news/159042
MongoDB釋出生成式AI新開發功能，簡化創建與搬遷應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mongodb.com/blog/post/new-intelligent-developer-experiences-compass-atlas-charts-relational-migrator">MongoDB</a>在原有開發工具導入生成式人工智慧功能，包括MongoDB Compass、Atlas Charts、Relational Migrator和MongoDB Documentation，讓開發者可以借助人工智慧的協助提高生產力，加速創建應用程式的過程。</p> <p>MongoDB的GUI工具Compass加入了人工智慧功能，用戶現在能用自然語言建立複雜的資料查詢和聚合，降低使用者的學習曲線以及編寫查詢的困難度。這項功能在Compass 1.40.0版本公開預覽，使用者可以在文件頁籤找到對話框，開始用自然語言與機器人互動。</p> <p>MongoDB的Atlas Charts工具也新增了自然語言支援，讓開發者更容易視覺化Atlas資料。Atlas Charts是一個資料視覺化工具，供用戶創建、共享和嵌入圖表，而在加入人工智慧功能之後，用戶便能夠透過像是Show me a comparison of annual revenue by country and product（顯示按國家和產品比較年收入）等自然語言進行查詢，Atlas Charts將生成相對應的圖表，官方也提到，在今年稍晚，該功能將會支援更複雜的查詢和圖表類型。</p> <p>而MongoDB也運用人工智慧來協助開發者搬遷資料庫，當開發者要從原有資料庫轉向使用MongoDB時，官方提供了一個稱為Relational Migrator工具，簡化用戶將程式碼從舊資料庫轉換到新資料庫的工作。由於許多傳統系統中存在大量SQL查詢，在搬遷過程需要被轉換，而這對用戶來說是一件繁重的工作。</p> <p>有人工智慧加持的Relational Migrator，能夠將現有SQL查詢和儲存程序，轉換使用MongoDB Query API語法，透過SQL查詢轉換功能，開發者可以減少手動創建MongoDB查詢的工作，加速專案轉移的速度。目前這項功能正在私人預覽中，開發者可以透過最新版本直接請求存取該項功能。</p> <p>官方也以人工智慧來輔助用戶瀏覽開發文件，MongoDB的智慧聊天機器人可讓用戶以自然語言提問，像是How do I get started with MongoDB Atlas？（我如何開始使用MongoDB Atlas）等問題，而聊天機器人會提供參考文章、程式碼範例和各種相關資訊。</p> <p>MongoDB還開源了這個智慧聊天機器人相關程式碼和教育資料，供社群的其他人可以簡單地利用MongoDB Atlas和Atlas Vector Search，創建動態和教育性體驗。</p> </div></div></div>
2023/9/29 11:20作者李建興https://www.ithome.com.tw/news/159038
Cloudflare Workers現在支援WebGPU以加速AI與圖形運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare宣布在其無伺服器運算服務Workers，添加低階GPU程式設計介面<a href="https://blog.cloudflare.com/webgpu-in-workers/">WebGPU支援</a>。這使得Workers能夠運用GPU來加速機器學習、2D/3D圖形渲染，以及其他通用GPU運算任務。如此用戶便可以在雲端環境，高效地執行GPU密集型任務，並且透過WebGPU，確保在不同平臺和瀏覽器能夠使用一致的程式碼。</p> <p>WebGPU與DirectX、OpenGL一樣都是繪圖API，也都提供了一個框架和方法，讓開發者能夠低階地直接操作GPU，以創建2D/3D圖形或是進行通用運算。不過，WebGPU較注重網頁和跨平臺環境，與過去同樣要在瀏覽器，提供2D/3D圖形運算的高階JavaScript API WebGL不同，WebGPU讓開發者能夠更好地控制GPU資源。</p> <p>WebGPU還可以利用多執行緒進行渲染和運算工作，與仰賴單執行緒的WebGL不同，因此能夠提高CPU/GPU的平行運算能力。WebGPU的可移植性更高，WGSL著色器語言的支援性跨各GPU供應商，具有更好的標準化特性，開發者可以在不同的硬體和平臺上執行相同的程式碼，而且WGSL著色器語言還可當作是運算著色器，執行通用運算。</p> <p>因此透過統一且低階的WebGPU，不僅可用於渲染圖形還支援通用運算，開發者可以透過WebGPU運用GPU的運算能力，加速機器學習、物理模擬和資料處理等工作。這種平行運算能力和可移植性，讓WebGPU成為現代網路應用和遊戲的有力開發工具。</p> <p>而Cloudflare便是看上了WebGPU這些優點，在Workers上支援WebGPU。Cloudflare Workers是一個伺服器端執行環境，供開發者在Cloudflare全球網路上，執行JavaScript和WebAssembly程式碼，藉由盡可能將程式部署在靠近用戶的網路節點，提供高效能和低延遲的服務。</p> <p>Cloudflare Workers會透過能夠儲存和管理持久狀態的Durable Objects，來保持請求之間的狀態，確保只有在具有GPU資源的伺服器上，實例化使用WebGPU的Durable Object，以解決部分Cloudflare伺服器沒有GPU的問題，同時也能夠在不同請求間保持一致的狀態。</p> <p>官方認為，WebGPU的通用運算優勢剛好適合Workers生態系和能力，可以將GPU工作負載引入到Cloudflare的全球網路中。Cloudflare發布了一個新版本的Workers開源執行環境workerd開始支援WebGPU，開發者現在已經能夠在本地端開發和執行WebGPU應用程式，並在Cloudflare正式發布之前，先在自己的電腦上測試，並提供官方改進的建議。</p> </div></div></div>
2023/9/29 11:47作者李建興https://www.ithome.com.tw/news/159039