iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 13:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

科學家預估AI到2027年的用電量堪比荷蘭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科學家們開始注重AI的環保問題，《Cell》的姐妹期刊《Joule》本周出版了一篇名為《持續成長的人工智慧能源足跡》（<a href="https://www.cell.com/joule/fulltext/S2542-4351(23)00365-3" target="_blank">The growing energy footprint of artificial intelligence</a>）論文，指出人工智慧（AI）推論可能會消耗大量的電力，<a href="https://www.bbc.com/news/technology-67053139" target="_blank">作者Alex De Vries更向《BBC》表示</a>，到了2027年，AI的用電量可能等同於荷蘭一年的電力使用。</p> <p>這是繼加州大學河濱分校電機與電腦工程系副教授Shaolei Ren今年初發表的AI「容易口渴」的論文之後，另一篇與AI環保議題相關、並吸引媒體目光的研究。當時Ren於《<a href="https://arxiv.org/pdf/2304.03271.pdf" target="_blank">Making AI Less “Thirsty”: Uncovering and Addressing the Secret Water Footprint of AI Models</a>》中指出，在微軟最先進的美國資料中心訓練GPT-3時，將直接消耗70萬公升的乾淨淡水，相當於生產370輛BMW或320輛特斯拉，若是在微軟的亞洲資料中心訓練，用水量將是3倍，若是於其它不那麼先進的資料中心訓練AI模型，用水量則會更高。</p> <p>而在推論上，ChatGPT僅是回答20~50個簡單的問題就需要500ml的水，當ChatGPT擁有數十億用戶，再加上改用規模更龐大的GPT-4，AI的用水量更是難以估計。</p> <p>其實目前並沒有針對AI用水或用電量的公開數據，不管是Ren或是來自Vries的最新研究都是基於多種估計。</p> <p>Vries為荷蘭阿姆斯特丹自由大學商業與經濟學院的博士候選人，同時他也是數位經濟平臺Digiconomist及比特幣耗電量指數Bitcoin Energy Consumption Index的創辦人。這次他於報告中指出，外界一向認為訓練一個AI模型是AI最耗電的階段，但Vries引用了SemiAnalysis及Google的報告指出，推論所消耗的電力更多。</p> <p>其中，Google的報告顯示，自2019年到2021年，與AI相關的能源消耗中有60%來自推論。至於半導體研究機構SemiAnalysis則說OpenAI的ChatGPT服務需要由3,617臺Nvidia HGX A100的伺服器來支撐，Vries計算其每日耗電量，認為它高於訓練GPT-3時所需要的電力。</p> <p>另一方面，SemiAnalysis也估計，若要於Google搜尋中實現類似ChatGPT的搜尋能力，將會需要512,821臺的Nvidia HGX A100，<a href="https://www.reuters.com/technology/tech-giants-ai-like-bing-bard-poses-billion-dollar-search-problem-2023-02-22/" target="_blank">且Alphabet董事長John Hennessy亦曾向《路透社》（Reuters）透露</a>，與大型語言模型互動的成本可能是標準關鍵字搜尋的10倍。</p> <p>這使得Vries以Google在2021年的18.3 TWh耗電量來計算，當時AI占了Google整體耗電量的10%~15%，在Google全面實施AI搜尋之後，其AI耗電量最高可能達到27.4 TWh，接近愛爾蘭一整年所使用的電力（29.3 TWh）。</p> <p>就整個市場來看，隨著Nvidia合作夥伴台積電（TSMC）所投資的新CoWoS包裝廠預計於2027年量產，Vries也估計屆時Nvidia所交付的AI伺服器數量與其用電量將達85~134 TWh，相當於荷蘭一年的電力使用。</p> <p>總之，Vries認為AI產業應該要考慮相關的環境衝擊，包括提高硬體效率，採用創新的模型架構及演算法，還建議開發人員不僅應專注於優化AI，也必須考慮使用AI的必要性，亦督促監管機構導入具體的環境披露要求，以讓此一新興技術的環境成本更加透明化。</p> <p>除了環境之外，<a href="https://www.semianalysis.com/p/the-inference-cost-of-search-disruption" target="_blank">SemiAnalysis今年初即曾發表一篇文章</a>，分析了大型語言模型的實際成本，指出ChatGPT每周的推論成本都超過訓練成本，倘若Google在搜尋中部署了類似ChatGPT的大型語言模型，原本擁有的300億美元利潤就會在一夜之間蒸發，轉移到其它業者手上或是用來改善TPU效能。</p> </div></div></div>
2023/10/12 14:35作者陳曉莉https://www.ithome.com.tw/news/159236
【iThome 2023 CIO大調查系列6：DevOps篇】上雲、IT現代化需求強，帶動企業2023持續加碼DevO…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1150-feng_mian_p2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三年疫情解除了，IT零接觸抗疫經驗，讓更多企業體會到數位轉型的必要。3成企業想要加速轉型、提高IT上雲比重、更加快IT現代化的腳步。IT在企業的影響力更大，企業對IT能力的期待也比過去更高。不只要更敏捷、更模組化、更有彈性，還要更強化DevOps能力。</p> <p>根據iThome 2023年CIO大調查，臺灣採用DevOps的企業到今年底將達到約2成，以金融業最高，達到41.7%，可以說，平均每兩家金融機構，就有一家擁抱DevOps，次高的產業是政府學校，約四分之一。</p> <p>為了抗疫，臺灣企業IT預算成長率一度超過2位數，疫情解除後，今年仍然有9.2%的成長力道，平均達到2億3千多萬元，其中投入到DevOps的投資平均達到892萬元。臺灣企業今年對DevOps投資持續加碼，平均比去年增加了5.6%。不過，各產業的DevOps投資差異頗大，投資金額最高的產業，反而不是採用率最高的金融業而是政府學校。政府學校這兩年的DevOps投資非常高，平均達到數千萬元之多。今年平均更是達到5,857萬元。</p> <p>為何政府學校的DevOps預算如此之高，甚至幾乎超過IT預算的2成？我們向政府部門資訊長了解原因。一來我們大調查對象是政府一級機關和大學，IT預算是政府機關中較高者，另一個答案則出乎我們的意料，但又非常合理。</p> <p>這兩年，政府機關大力推動零信任資安架構，為了推動安全設計（Security by design），將許多身分驗證機制，整合到Ap中，來提高權限控管的精細度和彈性。政府機關發現，必須改造原有的開發技術和開發流程，所以，這兩年開始積極擁抱現在主流的DevOps工具鏈和方法論。但是，只有開發方法轉型還不夠，必須連同基礎架構也轉型，同步推動IT現代化，擁抱雲原生技術才行。有些政府機關CIO將基礎架構轉型投資，也視為強化IT開發戰力，培養DevOps能力的投資，這才帶動了這兩年政府機關有龐大DevOps投資的緣故，其中包括了雲原生技術平臺的投資。</p> <p>平均來說，企業DevOps投資約占企業IT投資的3.9%，而企業IT投資又約占了企業營收的2.7%。看起來，金融業的DevOps預算占比最低，只有0.3%，但是金融業的IT平均預算超過了14億元，因此，今年DevOps投資約500萬元。不少企業現在正在規畫2024年的IT計畫，可以參考這個DevOps投資數據，作為業界平均水準，來向老闆爭取更多DevOps的投資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-0.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2p2-600-3.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#3399ff;"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:34作者王宏仁https://www.ithome.com.tw/article/159147
【iThome 2023 CIO大調查系列6：DevOps篇】僅1.1%臺灣企業達到DORA指標菁英水準，更新準備時…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p3p4kua_ye_-dora1-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是連續第二年，揭露臺灣企業DevOps能力的DORA指標調查結果。達到高階團隊水準的臺灣企業比例達52%，和去年差不多（52.1％)。但是，今年只有1.1%的企業達到DORA菁英團隊的能力，比去年的4.2%，少了許多。</p> <p>DORA指標是國際上衡量企業DevOps能力最具公信力的指標之一。由Google旗下專門研究DevOps評估方法的研究團DORA所發展，也因此這套指標被稱為DORA指標。連續8年，Google使用了同一套指標來進行全球網路問券調查，歷年累計超過3萬3千多名企業IT人員參與調查。</p> <p>DORA用了四個關鍵指標，來衡量一家企業的交付績效，作為DevOps團隊的能力指標，包括了平均部署頻率、更新準備時間、平均復原時間和變更失敗率。最後依據企業自評結果，以統計方法歸納出不同等級的DevOps能力分級來建立分類，作為方便比較的參考。</p> <p>在2017年到2021年間所發布的全球DevOps現況報告，DORA指標最後都歸納出四級分類，包括了菁英、高階、中階和低階團隊，但是，到了最近一期報告，在2022年報告中，卻將從4級精簡到3級，只剩下高階、中階和低階團隊的分類。不過，對於高階的四大指標績效要求水準，大多接近於2021年的菁英團隊水準。</p> <p>為了這個分類調整，在去年調查結果報告中，DORA團隊特別說明，2022年DORA調查對象中，多了不少企業DevOps新手團隊，或者剛要籌設DevOps團隊的企業，才拉低了標準。因此，他們不推薦進行2021年和2022年的跨年比較。</p> <p>雖然DORA是全球性的調查，但是臺灣企業參與這項調查的企業比例相當低，遠遠少於1%，無法進一步細分出臺灣企業足以參考的DevOps能力數據。</p> <p>因此，我們從2022年的iThome CIO大調查開始，參考了DORA指標的自評問題，首度對臺灣大型企業進行調查。同樣由企業針對關鍵AP的這四大指標，進行自評，我們再進一步參考DORA不同能力水準的績效要求，來分類出臺灣企業在不同DevOps能力分級的比重。</p> <p>雖然DORA指標在2022年將DevOps能力精簡為3級，為了方便比較臺灣企業2021年和2022年的變化，我們今年繼續使用了2021年的DORA指標4級分類，以便了解臺灣企業DevOps能力的變化情況。</p> <p>在關鍵AP平均部署頻率上，只有14.3%臺灣企業可以達到一天多次的按需部署能力，2成企業約在1周1次，還有更多企業需要超過1周，甚至1個月才能部署1次。更新準備時間則只有5.4%的企業能在1小時內完成，半數企業得花1周以上時間準備。更新出錯後需要盡快復原，臺灣企業平均復原時間落在1天左右，只有14.5%企業可以在1小時內復原。臺灣企業變更失敗率表現較好，近6成都能在15%失敗率以下。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-0.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-3.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:35作者王宏仁https://www.ithome.com.tw/article/159148
【iThome 2023 CIO大調查系列6：DevOps篇】臺灣大型企業DORA指標評比分析：CD能力有國際水準，但…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/feng_mian_p3p4kua_ye_-dora2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DORA指標是國際上衡量企業DevOps能力最具公信力的指標之一。我們從2022年的iThome CIO大調查開始，參考了DORA指標的自評問題，首度對臺灣大型企業進行調查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-5(2).png" style="text-align: center; width: 600px;" /></p> <p>比較2022年和2023年，臺灣企業在四項DORA績效指標上的變化。能一天多次按需部署的企業從去年的14.3%，今年大幅提高到了27.9%；更新準備時間在1小時內的企業占比則從去年的6.3%，今年小幅下滑到5.4%；平均復原時間在1小時內的企業占比，去年是14.7%，今年則是 14.5%，差異不大；而變更失敗率低於15%的企業比例，去年是67.3%，今年下滑到58.2%。</p> <p>換句話說，今年臺灣企業的部署頻率更快了，但更新準備時間和變更失敗率這兩項能力在今年則是下滑了，更新出錯後的復原能力則和去年相當。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-0(2).png" style="text-align: center; width: 600px;" /></p> <p>從四大DORA績效指標的每一項分別來看，光看2023年的數據，臺灣有16.7%企業的部署頻率、14.5%企業的平均復原時間達到菁英水準，更有6成企業變更失敗率也是菁英等級，唯有更新準備時間這一項，臺灣企業只有5.4%達標，這也成了臺灣企業在四大指標中，目前最弱的一項。</p> <p>這四項DORA績效指標，前兩項，部署頻率和更新準備時間用來衡量企業IT團隊的開發速度，而後兩項指標，平均復原時間和變更失敗率則是可以衡量所開發出來的軟體品質和穩定性。</p> <p>也就是說，臺灣企業IT所開發的軟體品質和穩定性，仍舊維持與去年相當的水準，這兩項達到菁英水準的優秀企業比例，也和全球比例差不多。但是，臺灣企業的開發速度，能夠達菁英程度的企業數量，明顯比全球企業的比例少了很多。</p> <p>部署頻率表現較佳，代表企業持續交付的自動化程度較高，基礎架構調度和配置的自動化能力也較佳。臺灣企業這兩年積極上雲、擁抱容器化架構，這些IT現代化的成果，已經開始反映到部署能力的強化上。但是，要縮短更新準備時間這一項能力，涉及了持續整合階段的優化、測試流程的自動化，多數臺灣企業IT團隊在這一項的表現，目前明顯還沒達到全球DevOps菁英團隊的水準。</p> <p>根據DORA定義，必須同時在四項指標達到菁英水準的企業，才能稱為DevOps菁英團隊，如此一來，臺灣只有1.1%企業，同時在這四項達標。不少高階水準的企業，只差了更新準備時間，或平均復原時間的其中一項較弱，因而無法晉升到菁英等級。</p> <p>全球DevOps能力在過去幾年有很大的提升，尤其在雲原生技術快速普及的浪潮下，帶動了全球企業的DevOps能力。在2021年的DORA全球DevOps報告中，全球達到菁英團隊的企業高達26%，高階則是40%、中階28%，而低階者也有7%。但是，和DORA全球調查結果相比，臺灣企業菁英團隊極少，近半數臺灣企業（52%）處於DevOps高階團隊的水準，以及不少企業屬於中階團隊的水準（41.7%）。</p> <p>臺灣2023年的DevOps能力各級分布，比較接近DORA 2018年報告的水準，當時有7%的全球企業達到菁英水準，高階團隊占 48% 、中階團隊占 37%，而低階團隊則有 15% 。</p> <p>隨著應用程式安全和開發安全需求的提升，設計安全（Security by Design）思維這兩年逐漸在臺灣崛起，開始有企業不只導入DevOps，更要擁抱難度更高的DevSecOps，今年要採用DevSecOps的臺灣企業達到10.8%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-7.png" style="text-align: center; width: 600px;" /></p> <p>從各產業表現來看，今年只有服務業和政府學校少數企業或機構達到菁英水準的IT團隊，製造業、金融和醫療都掛零。整體產業表現來說，以醫療業（73.7%）和金融業（62.9%）達高階團隊水準的企業比例較多。金融是最積極擁抱DevOps的產業，高達41.7%金融業者採用，而醫療業則是這兩年最積極投資DevOps的產業，今年DevOps投資比去年成長了36%。這些投資和採用力道，的確大幅提升了這兩個產業的高階團隊比重，但是要進一步往菁英團隊水準邁進，則不只是方法論和工具鏈的導入，還需要更多DevOps流程深化，以及DevOps組織文化的擴散，這正是臺灣企業DevOps能力更上一層的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-6.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-%E5%B0%81%E9%9D%A2-DORA-600-8.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2023年4月20日到5月10日，對臺灣2千大規模大型企業、iThome歷屆CIO大調查企業、政府機關、大學的IT與資安主管，進行線上問卷，有效問卷407家，其中 68.5%填答者為企業IT最高主管。</strong></p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2023/10/12 13:35作者王宏仁https://www.ithome.com.tw/article/159149
臺灣企業DevOps戰力大公開
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3年疫情，企業更能體會數位轉型的必要，加速上雲、徹底IT現代化需求更勝過往，企業想用IT創造更多價值。臺灣企業IT戰力多強？開發能力如何？最好的衡量指標就是國際DevOps績效指標DORA</p> </div></div></div>
2023/10/12 13:36作者王宏仁https://www.ithome.com.tw/article/159151
臺灣企業DevOps關鍵瓶頸
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球DevOps浪潮在2015年左右吹進了臺灣，開始有企業願意嘗試容器技術、DevOps工具，展開了IT架構轉型。後來，臺灣出現企業數位轉型潮後，DevOps能力更成了企業IT現代化的發展重點，尤其3年疫情和烏克蘭戰爭，讓企業意識到DevOps能力應變的價值，可以快速因應高度不確定和日趨複雜的大環境變化。</p> <p>但是，幾年下來，DevOps對臺灣企業帶來什麼樣的影響？成果如何？這個讓我們好奇多年的問題，過去透過CIO大調查，了解企業DevOps採用情況、投資規模，試圖從企業投入程度來尋找答案，總是缺了一角，沒有更直接從成效面來看DevOps的影響。</p> <p>直到去年，我們在CIO大調查中，首度參考了Google旗下DORA（DevOps Research and Assessment）團隊所設計的DevOps績效衡量指標，也就是DORA指標，用平均部署頻率、更新準備時間、平均復原時間和變更失敗率，來呈現企業DevOps的交付績效。</p> <p>DORA從2016年開始，用同一套指標調查全球企業IT和開發團隊，透過問卷蒐集他們自評的績效數據，並從2017年開始在全球DevOps現況報告中揭露調查結果。他們從這些自評數據，歸納出了4個等級的DORA分類指標，作為綜合評比一家企業DevOps能力水準的等級參考。</p> <p>我們從2022年開始，用同樣的DORA自評問題，來調查臺灣大型企業，已在去年首度公布了臺灣企業DevOps能力數據。到了今年度的iThome CIO大調查，繼續沿用同一個方法蒐集第二年的數據。分析兩年數據，不只看到臺灣企業DevOps能力的變化，也更清楚臺灣DevOps能力的不足之處。</p> <p>比較2022年和2023年，臺灣企業在四項DORA績效指標上的變化，今年臺灣企業的部署頻率更快了，但更新準備時間和變更失敗率這兩項能力在今年些微下滑，更新出錯後的復原能力則和去年相當。</p> <p>在DORA分級定義中，必須四項指標同時達到菁英水準的企業，才能稱為DevOps菁英團隊，如此一來，臺灣只有1.1%企業，同時在這四項達標。不少符合高階團隊水準的臺灣企業，只差了更新準備時間，或是平均復原時間兩項中的單一項，而無法晉升到菁英等級。</p> <p>進一步從每一項指標分別來看，以2023年數據來看，臺灣有16.7%企業的部署頻率、14.5%企業的平均復原時間，在這兩項指標達到了菁英水準，變更失敗率達菁英等級的企業更是接近6成。唯有更新準備時間這一項，臺灣只有5.4%的企業達標，這成了臺灣企業在四大指標中，目前最弱的一項。</p> <p>四項指標中，部署頻率和更新準備時間用來衡量IT團隊的開發速度，而後兩項，平均復原時間和變更失敗率則是可以衡量IT所開發軟體的品質和穩定性。</p> <p>臺灣企業今年在復原時間這一項能力指標下滑了，這是日後必須更加重視的軟體品質弱項，而更新準備時間過長，更是拖慢IT開發速度最大的瓶頸。</p> <p>這兩年，臺灣企業積極上雲、擁抱容器化架構等等IT現代化作為，的確讓臺灣企業持續交付（CD）的自動化程度更高，基礎架構調度速度和彈性也比過去更強，因此，反映在企業部署頻率指標的提升。但是，要縮短更新準備時間這一項能力，涉及了持續整合（CI）階段的優化、測試流程的自動化，多數臺灣企業IT團隊這一階段的成效，明顯還沒達到全球DevOps菁英團隊的水準。這正是臺灣企業DevOps能力向上提升的關鍵瓶頸。</p> <p><a href="https://www.ithome.com.tw/article/159151" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 20px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1150-feng_mian_gu_shi_-p1-open-960x420_kao_bei_0.jpg?itok=QHjV5S_I" style="width: 550px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/devops">DevOps</a></div><div class="field-item even"><a href="/tags/dora">DORA</a></div></div></div>
2023/10/12 13:36作者王宏仁https://www.ithome.com.tw/voice/159163
【剖析中研院大型語言模型事件的衝擊】為何臺灣必須擁有本土化的LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-15b51afa-7fff-2f04-142e-7916fa65855d">在10月6日國慶日前夕，中研院<a href="https://www.ithome.com.tw/news/159166">開源釋出</a>了使用Llama 2所開發的繁中大型語言模型CKIP-Llama-2-7b，但由於一開始未說明該模型是明清人物研究專用非通用，讓外界誤以為是通用型的繁中語言模型而有更大的期待，經過許多人試用後，結果發現在回答提問時，模型提供的內容不夠本土化，甚至可能出現簡中習慣的用語或詞彙，而引起熱議。中研院在模型釋出4天後決定將該模型下架，並承諾未來發布研究成果時，會制定更嚴謹的審核機制，以防止類似問題再次發生。</p> <p dir="ltr">中研院AI模型事件引起各界廣泛討論。多數聲浪都是責難中研院，不應該使用中國的簡中語料當作訓練資料，並且批評不該在處於測試階段就將模型對外開放，甚至也有立委出面指責，這已升高到認知戰，但是在臺灣，特別是技術社群中，也有一群持不同觀點的專家，他們認為儘管此次中研院繁中模型的成果不完美，但透過提早釋出和頻繁釋出（Release early, Release often）的方式，可以快速獲得反饋，迅速進行更新，吸引更多人參與，使模型持續迭代，進一步提升成果的品質，這也才是開源社群能夠不斷進步的原因。</p> <p dir="ltr">但這次事件更深層的意義，一方面反映出各界高度期待擁有一個能夠說出在地口氣、本土回應的LLM模型，另一方面也凸顯了臺灣自主研發大型語言模型的重要性。</p> <p dir="ltr">可是，大型語言模型，除非使用本地資料集、從頭開始訓練，否則就算用Llama 2或其他開源LLM模型，都可能因為資料集的語言分布落差，而產生各種偏差歧見、不同的價值和解釋，尤其，臺灣本土的資料量僅占網路世界不到0.1％，即使在微調時加入本地資料，資料量不夠多、不夠全面完整，很難確保模型能夠完全貼近自己在地風格、使用習慣和語言表達方式。</p> <p dir="ltr">這次由中研院所開發的這一款明清研究用的繁中語言模型，就是一個典型例子。為了要自動化分析中國明清朝代人物的生平圖譜，中研院的CKIP Lab中文詞知識庫小組使用了Meta的Llama-2-7b和來自中國的Atom-7b這兩個開源LLM模型作為預訓練基礎模型，以此訓練出一個專為明清人物分析而優化的CKIP-Llama-2-7b模型，後來更對該模型進行多任務微調訓練，推出了支援更廣泛對話和問答任務的CKIP-Llama-2-7b-chat模型版本，可運用在文案生成、文學創作、問答系統、客服系統、語言翻譯、文字編修、華語教學等。</p> <p dir="ltr">為了研究所需，CKIP Lab團隊選擇的開源基礎模型和微調的資料集中包含了許多來自中國的簡中資料，例如COIG-PC和dolly資料集等，導致訓練出來的繁中語言模型雖然能更準確地回答明清人物的相關問題，但當回答一些臺灣在地的提問，尤其是一些關於事實的問題時，就有可能生成出不夠本土化，甚至是不正確的內容，例如提供錯誤的國慶日時間或總統姓名。這也凸顯出在訓練過程中使用的資料的重要性。</p> <p dir="ltr"><strong><span style="font-size:28px;">為何臺灣必須要建立自己的LLM模型</span></strong></p> <p dir="ltr">在AI領域研究很有經驗的中研院資訊科技創新研究中心研究員李育杰，是國科會負責建構臺灣大型語言模型的可信任AI對話引擎（TAIDE）計畫負責人。他指出，臺灣必須自行擁有大型語言模型的關鍵原因是，目前不論是OpenAI和Meta提供的語言模型，都存在資料偏差（ data bias），特別是在中文語料蒐集方面，中文資料占比非常低，而且由於大部分的訓練資料都是透過網路爬取，其中簡中內容比例遠高於繁中，在臺灣本土的繁中資料量相對稀少的情況下，就容易導致因資料偏差而影響到模型生成的結果，出現和原本預期不一樣的情況。</p> <p dir="ltr">但要讓臺灣建立自己的大型語言模型，前提是需要建立臺灣自己的大型語言資料集，所以，「臺灣應該好好整理我們自己的繁體中文語料庫」他再三強調。</p> <p dir="ltr">今年6月時，國科會對外<a href="https://www.ithome.com.tw/news/157337">公開展示</a>TAIDE計畫的階段性成果，使用大量純繁中資料微調出一個國產70億參數的AI對話引擎，可執行摘要、翻譯、寫信、寫文章等任務。這套AI對話引擎的背後正是使用和中研院CKIP-Llama-2-7b模型相同的Llama 2開源模型當作預訓練的基礎模型。</p> <p dir="ltr"><strong><span style="font-size:28px;">本土化的LLM模型訓練三個階段</span></strong></p> <p dir="ltr">在本土化LLM模型訓練過程主要分三階段，第一階段是持續預訓練（Continual Pre-training），讓語言模型了解如何透過文字接龍方式，來預測下一個字的機率分布情況。第二階段則是微調建構學習（Fine-Tune Construction Learning），藉由問答的配合來讓模型學會回答人類的問題，例如什麼樣是正確的答案。當模型開始能夠產生回應時，還需要人為的介入，也就是人為反饋強化學習（Reinforcement learning with human feedback）的階段，透過由人來教導，來加強模型在各方面的表現。</p> <p dir="ltr">李育杰表示，三個階段中，一開始就需要使用大量的繁體中文語料庫，來讓模型學習基礎的語言邏輯、常識與知識等，以便能夠訓練出符合在地化繁中語境的模型，「這也是我們現在正在做的事情，」他表示，目前已蒐集的繁中資料，包括有來自中央社、光華雜誌社資料等。</p> <p dir="ltr">為了使訓練的模型能更貼近在地化用語或風格，他表示，一開始資料選擇很重要，除了需要是本土資料以外，所有資料都要經過篩選過，涵蓋不同的主題，此外，在資料蒐集上也會有相關限制，例如要排除不合宜或不當的用語（ dirty words）。</p> <p dir="ltr">即使靠著簡轉繁方式來獲取可用於模型訓練用的數據，他表示，也需要注意臺灣和中國之間，不僅在文字用法上存在簡繁體的差異，實際上在翻譯、專有名詞的用法等方面也存在許多不同之處。更深層次的差異，在於彼此的價值觀不同，因此，如果直接使用中國簡轉繁方法，也有可能導致該模型輸出結果與原先預期不一致。</p> <p dir="ltr">儘管這次中研院模型事件起因於明清的人物研究，研究人員使用了中國的簡中資料來訓練模型，但沒有預料到外界對於模型的測試超出了他的想像範圍，也超出了其研究範疇。李育杰認為，從這起事件中能夠看到臺灣必須自行建立本土的繁中資料集的必要性，但也需要更加小心處理資料的使用、模型授權與訓練環境的建立。</p> <p dir="ltr">TAIDE計畫經過半年多發展，他表示，最快10月底將會公布一個可商用的小模型。他透露，目前在文章內容生成和提供建議的測試方面，模型表現已經相當有模有樣，但他不諱言和ChatGPT相比仍有差距，「但是臺灣總要開始踏出第一步」他說。</p> <p dir="ltr">從推動AI產業的角度來看，台灣人工智慧學校校務長蔡明順在個人臉書以「<a href="https://www.facebook.com/richie.tsai/posts/pfbid02DfLxcHyXF6AKBDqJ4E1LMkNUbnKMK12ZUrMGt38fHmTTRgUQ6ehvCNxtt4xxF1yZl">中研院詞庫模型事件給大家上了一堂LLM課</a>」為題提出他對此事的觀點。他期盼中研院模型事件能成為一大助力，「不單只是引起社會關注，也讓臺灣在大型語言模型這件事上，不只是跟上，更能夠實現與世界同步的發展。」</p> <p dir="ltr">蔡明順表示，從這起事件反映出臺灣社會非常殷切期待能有自己的本土化的商用繁中大型語言模型，但想要建立一個大型語言模型，首要面對的是資源缺乏的挑戰，不過他指出，中研院開發的語言模型僅僅是個人小型研究之用，用於明清史料的研究，而非用於臺灣通用LLM模型，因此，經費僅有30萬元。他表示，國科會主導的TAIDE計畫，才是真正在開發的臺灣LLM模型。</p> <p dir="ltr">不過，這次事件引起了不少政治人物的關注，開始認識到臺灣需要擁有自己的GPT，蔡明順認為，這有機會在立法院明年預算中被納入討論。再加上兩岸的認知戰和全球局勢的變化，以及近期OpenAI創辦人Sam Altman訪臺，都讓AI的關注度大幅提高，「在中研院AI模型事件發生後，就像點燃火柴，引爆後續一連串的效應。」他說。</p> <p dir="ltr">蔡明順建議，政府應該藉此機會加強在軟體方面投入更多資源，尤其是語言模型和資料集的建立上，以便讓臺灣能夠加快發展的腳步，而不僅僅是在硬體方面的投入，如此一來，才能夠有助於臺灣在AI領域上取得更大的進展。</p> <p dir="ltr"><strong><span style="font-size:28px;">中研院允諾將整合繁中詞知識庫，協助推動臺灣在地化LLM的發展</span></strong></p> <p dir="ltr">在中研院AI模型引起爭議後，中研院決定將該模型先行下架，除了<a href="https://www.sinica.edu.tw/News_Content/70/1851">聲明表示</a>將制定更嚴謹的審核機制，避免類似事件再發生，也宣布將整合繁體中文詞知識庫，協助推動臺灣大型語言模型的發展。此外，中研院未來還計畫擴大召集跨領域AI相關的研究人員進行跨域研究，而且不僅僅是那些從事科研或科技領域的人，也會廣邀人文及社會科學的人才加入，促進臺灣繁體語境生成式AI的發展。</p> <p dir="ltr">蔡明順對此表示肯定，認為這對於臺灣本土LLM發展來說是一件好事，「要用技術的語言回應政治的語言是不對的，因為你回應不了」他建議，政府應該利用此機會好好審視AI治理的發展，包括AI的管理進程，尤其面對生成式AI帶來社會衝擊，提供相關指引、法規建立等，同時，也要考慮到社會期待，不只是想看到研究成果，而是期望透過AI協助國人、社會帶來生產力提升、效率提高，甚至能提供企業商用。</p> <p dir="ltr">儘管中研院繁中語言模型目前已下架，無法繼續使用，不過目前在臺灣還是有一些本土化的LLM模型正在持續發展中，除了國科會AI對話引擎TAIDE，還有來自臺大資工系副教授陳縕儂團隊<a href="https://huggingface.co/yentinglin/Taiwan-LLaMa-v1.0">開源釋出</a>的Taiwan-LLaMa v1.0模型，強調完全採用本地化的繁中語料進行微調訓練。</p> <p dir="ltr">針對這次中研院事件，陳縕儂也在臉書上<a href="https://www.facebook.com/vivianchen.tw/posts/pfbid0w5RUJRui14vw667trPCWRxTQ66pKEefNci3X7goVExKfSWooXndcMCR45zqtVAPdl">發文</a>表示，經過大量網路資料訓練出的LLM，如Llama 2，就算再放入本地化的資料進行模型微調訓練，若是資料量不夠多，還是有可能生成不夠本土化的內容。此外，生成式AI的輸出會有一定程度的隨機性，每次輸出結果可能都不相同，所以她認為，需要透過開源模型，蒐集到更多使用回饋，持續改進模型品質，來達到更加本土化的輸出結果。</p> <p dir="ltr">李育杰也認為，這次事件凸顯了臺灣需要更積極地整合自己的繁中資料庫，他也樂觀看待此事件後續發展，期待更多人能夠參與，例如有社群已經開始自發地要進行做文字的蒐集、標註清洗，並鼓勵更多人一起加入行動。</p> </div></div></div>
2023/10/12 11:16作者余至浩https://www.ithome.com.tw/news/159231
Windows將逐步淘汰VBScript，最終將移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">微軟宣告</a>從本月起，Windows開始啟動VBScript的退役。</p> <p>未來版本的Windows中，VBScript將會成為「功能隨選安裝」（feature on demand，FoD），最終將從Windows移除。FoD是一種可隨時新增的功能套件，像手寫辨識或.NET Framework。一開始VBScript FoD會預安裝在Windows內以確保使用無礙，但最終將協助用戶過渡到其退役。</p> <p>VBScript為微軟1996年推出的腳本語言，因容易學習，廣泛用於網頁和ASP程式，也是Windows使用者管理電腦的強大工具。但是近幾年VBScript有太多安全漏洞，經常被濫用來散布惡意程式。<a href="https://www.ithome.com.tw/news/132294" target="_blank">微軟早在2019年就已關閉Internet Explorer（IE）的VBScript支援</a>。</p> <p>和VBScript關係密切的VBA也因安全性問題，微軟也逐漸淘汰。<a href="https://www.ithome.com.tw/news/152092" target="_blank">去年7月微軟正式關閉網路下載Office文件的VBA巨集</a>。</p> <p>除了VBScript，微軟9月1日起已不再更新WordPad。最終WordPad將從以後的Windows版本移除。微軟建議用戶改用Word以執行rich text文件，純文字檔則改用Notepad。此外，基於安全理由，從9月份Windows 11更新Insider預覽版開始，<a href="https://www.ithome.com.tw/news/158562" target="_blank">微軟也已預設關閉TLS 1.0及1.1</a>。</p> </div></div></div>
2023/10/12 11:45作者林妍溱https://www.ithome.com.tw/news/159234
Anthropic利用特徵解構神經網路提升模型的可解釋性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的競爭者Anthropic<a href="https://www.anthropic.com/index/decomposing-language-models-into-understandable-components">發表</a>的最新人工智慧研究論文〈Decomposing Language Models With Dictionary Learning〉，提出一種稱為字典學習的方法，增加對神經網路的解釋性。這項研究讓Anthropic更能夠監控模型，進而引導模型的行為，提高企業和社會在採用人工智慧的安全性和可靠性。</p> <p>由於神經網路是以資料進行訓練，而非根據規則的程式設計，每一步訓練，都會更新數百萬甚至數十億個參數，最終使模型得以更好地完成任務，但Anthropic提到，雖然研究人員可以理解訓練網路的數學運算，但是卻不真正明白模型是如何從一堆數學運算中，導出最後的行為。而這樣的狀況，使得研究人員很難判斷模型出現的問題，而且也難以進行修復。</p> <p>雖然現今人類已經進行了數十年的神經科學研究，對於大腦的運作有了深入的了解，但是仍然有很多大腦中的謎團尚待解密。類似的情況，人工神經網路也存在難以完全理解的部分，只不過與真實大腦不同，研究人員可以透過實驗來探索其中的運作機制。</p> <p>儘管如此，過去對神經元的實驗並沒有太多幫助，研究人員透過干預單一神經元，觀察該神經元對特定輸入的反應，他們發現，單一神經元的活化，與神經網路的整體行為並不一致。在小語言模型中，單一神經元會在英語對話、HTTP請求或是韓語文本等不相關的上下文都很活躍，電腦視覺模型中的同一神經元，可能會對貓臉和汽車都有反應。也就是說，在不同的情況下，神經元的活化可以代表著不同意義。</p> <p>在Anthropic最新的研究中，研究人員擴大分析單位，不在單一的神經元中尋找規律，而是運用一種稱為特徵（Feature）的概念。每個特徵都會對應一群神經元活動模式，這為研究人員提供了新的分析途徑，能夠將複雜的神經網路解構成更容易理解的單位。</p> <p>在Transformer語言模型中，研究人員成功將一個包含512個神經元的層，分解成超過4,000個特徵。這些特徵涵蓋了DNA序列、法律用語、HTTP請求、希伯來文和營養標示等範疇。此外，研究人員也確認了特徵的解釋性遠比單一神經元更高。</p> <p>論文中也提到，研究人員發展了自動解釋方法，來驗證特徵的可解釋性。藉由大型語言模型來生成小模型特徵的描述，並以另一個模型的預測能力對描述進行評分，而實驗結果證實，特徵的得分仍高於神經元，如此便證實了特徵的活躍和模型下游行為具一致性。研究人員還發現，在不同模型間所學到的特徵大致通用，因此一個模型從特徵得到的經驗，可能適用於其他模型。</p> <p>這項研究的貢獻，在於克服單一神經元的不可解釋性，透過將神經元分群成特徵，研究人員將能夠更好地理解模型，並且發展更具安全性和可靠性的人工智慧服務。未來Anthropic研究人員會擴大研究範疇，理解大型語言模型的行為。</p> </div></div></div>
2023/10/12 08:22作者李建興https://www.ithome.com.tw/news/159226
DeepMind發展可控制各種機器人的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind聯手超過30個學術實驗室，<a href="https://www.deepmind.com/blog/scaling-up-learning-across-many-different-robot-types">發展</a>跨型態機器人學習資源，收集多種不同型態的機器人資料，創建了一個稱為Open X-Embodiment資料集，並且以此資料集訓練了機器人Transformer模型RT-X，該模型可以在多種機器人型態間傳遞技能，核心目標是要讓單一模型可以控制不同類型的機器人。</p> <p>過去，當機器人、任務或是環境稍有變化，研究人員就需要重新訓練機器人模型，而為了解決更改單一變數，就要從頭開始訓練模型的麻煩，DeepMind想要發展通用機器人技術，而訓練通用機器人模型，建立多樣化機器人演示資料集是關鍵步驟，如此才能使模型可以控制不同類型的機器人，遵循不同的指令，對複雜的任務進行基本推理，並且有效地泛化技能。</p> <p>不過，這對單一實驗室來說是非常耗費資源的工作，於是DeepMind肩負起建立Open X-Embodiment資料集的任務，和33個學術實驗室合作，從22個型態的機器人收集資料，資料集範圍涵蓋500種技能和15萬項任務，總計超過100萬個場景。這是目前同類型中，最完善的機器人資料集。</p> <p>而RT-X則是以DeepMind的RT-1和RT-2機器人Transformer模型，所訓練的通用機器人模型，RT-1是DeepMind大規模用於真實世界的機器人控制模型，進一步訓練成為RT-1-X，而RT-2則是視覺、語言與動作（VLA）模型，可以從網路和機器人資料中學習，DeepMind使用該模型訓練出RT-2-X。</p> <p>透過引入更多樣化和跨型態的訓練資料集，RT-1-X和RT-2-X達到更佳的性能，相較於只在特定領域訓練的模型，RT-X展示更高的泛化和新增技能的能力。當研究人員將RT-1-X與專為特定任務開發的模型進行比較時，他們發現利用Open X-Embodiment資料集訓練的RT-1-X，在性能上平均超越原始模型50％。</p> <p>此外，研究人員也深入探討機器人之間的知識轉移。他們進行一系列的實驗，其中涉及的技能和物體在RT-2資料集中不存在，但是在其他機器人資料集中出現，而實驗結果發現，RT-2-X模型在新技能方面的表現是RT-2模型的3倍。這代表結合多平臺的資料進行訓練，RT-2-X成功學習到原始資料集中所沒有的技能（下圖）。</p> <p class="rtecenter"><img alt="" src="https://assets-global.website-files.com/621e749a546b7592125f38ed/651bf921492f377d1e2866a2_Fig6_RTX.gif" style="width: 500px; height: 281px;" /></p> <p>這篇研究的重要性在於，透過使用更多樣化的資料和先進模型，研究人員可以開發出更有用的輔助機器人，同時，還證明了跨型態機器人通用模型的可行性，能夠大幅提升DeepMind和各種機器人的運作表現。DeepMind目前已向社群公開Open X-Embodiment資料集和RT-1-X模型，以促進機器人技術的研究。</p> </div></div></div>
2023/10/12 08:34作者李建興https://www.ithome.com.tw/news/159230
【資安日報】10月11日，駭客組織鎖定臺灣生技、製造、IT業者而來，自今年2月暗中從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺海局勢緊張，針對臺灣而來的網路攻擊從不間斷，我們上週才報導<a href="https://www.ithome.com.tw/news/159172#tsmc">中國駭客假冒台積電名義進行的網路釣魚攻擊行動</a>，駭客使用正體中文的PDF檔案，目標是臺灣等國家的半導體公司，現在又傳出一起針對我國而來的網路間諜攻擊行動。</p> <p>今年2月至5月，駭客組織Grayling疑似對臺灣的生技、製造、IT業者發動攻擊，因大部分利用的工具很常見，部分甚至能直接從網路上取得，使得研究人員難以進一步找出駭客底細。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159220"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">臺灣生技產業、製造業、IT業者要小心！傳出有駭客組織針對這些產業從事網路間諜行動</span></strong></a></p> <p>資安業者賽門鐵克揭露鎖定臺灣而來的網路間諜攻擊行動，他們發現一個過往未被揭露的APT駭客組織Grayling，在今年2月至5月之間，針對臺灣的生物醫學產業、製造業、IT產業而來，除此之外，也有太平洋群島的政府機關、越南及美國的組織受害。</p> <p>研究人員指出，攻擊者疑似利用曝露在網際網路的組織基礎設施，來存取目標電腦，在部分攻擊行動裡，他們看到駭客在電腦植入Web Shell。接著，攻擊者再利用DLL側載（DLL Side-loading）手法，於受害電腦載入滲透測試工具Cobalt Strike、後利用C2框架Havoc、間諜軟體NetSpy。此外，這些駭客也可能在下載及執行Shell Code的過程裡，利用Win32k元件漏洞CVE-2019-0803提升權限，運用Active Directory探查（discovery）的方式，描繪內部網路架構。</p> <p>而在攻擊動機的掌握上，研究人員根據駭客的活動及使用的工具，排除經濟利益因素，對方活動的目的應該是情報收集，目前尚未看到資料外洩跡象。</p> <p><a href="https://www.ithome.com.tw/news/159221"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">HTTP/2零時差漏洞被用於大規模DDoS攻擊</span></strong></a></p> <p></p> <p>雲端服務業者Cloudflare、Google、AWS聯手，揭露名為HTTP/2 Rapid Reset的零時差漏洞攻擊手法，攻擊者利用<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-44487">HTTP/2通訊協定的弱點CVE-2023-44487</a>，產生極為巨大的流量，自今年8月至10月發動DDoS攻擊。</p> <p>此攻擊手法濫用HTTP/2通訊協定的串流Stream Cancellation（或Stream Multiplexing）功能，駭客不斷發送請求並隨即予以取消，從而導致採用HTTP/2通訊協定的網頁伺服器或是應用程式服務遭到癱瘓。研究人員指出，駭客利用這項漏洞發動的巨大流量DDoS攻擊，所運用的殭屍網路規模僅約2萬臺電腦，遠低於其他攻擊行動。過往的巨量DDoS，常會動用到數十萬、數百萬臺電腦。</p> <p>而對於有關這項漏洞的攻擊行動，Cloudflare從今年8月至今，緩解每秒發出千萬次請求的相關攻擊，超過1,100次，其中有184起超過他們今年2月揭露的DDoS攻擊行動，當時駭客每秒產生7,100萬次請求（RPS）規模；Google則是揭露持續2分鐘、每秒發出2.98億次請求的攻擊行動；AWS則是偵測到不尋常的HTTP/2請求，高峰達到每秒1.55億次，接著就出現HTTP洪水攻擊。</p> <p>資料來源</p> <p>1. <a href="https://blog.cloudflare.com/zero-day-rapid-reset-http2-record-breaking-ddos-attack/">https://blog.cloudflare.com/zero-day-rapid-reset-http2-record-breaking-ddos-attack/</a><br /> 2. <a href="https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/">https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/</a><br /> 3. <a href="https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack">https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack</a><br /> 4. <a href="https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps">https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps</a><br /> 5. <a href="https://aws.amazon.com/security/security-bulletins/AWS-2023-011/">https://aws.amazon.com/security/security-bulletins/AWS-2023-011/</a></p> <p><a href="https://cybernews.com/cyber-war/russian-hacktivists-target-israel-industrial-control-system/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">以色列衛星及工控系統遭到俄羅斯駭客鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/anonSUISRAEL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anonSUISRAEL.jpg" style="width: 300px; float: right;" /></a>巴勒斯坦激進組織哈瑪斯（Hamas）自10月7日，對以色列發動近50年最大規模的軍事突襲，發射5千枚火箭，傳出數百名以色列平民及土兵遭到俘擄，該國也對加蕯地區進行報復性空襲，但在此同時，有駭客組織趁亂針對巴勒斯坦或以色列發動網路攻擊。</p> <p>根據資安新聞網站Cybernews報導，俄羅斯駭客組織Anonymous Sudan宣稱為了力挺哈瑪斯，目標鎖定以色列的全球導航衛星系統GNSS、大樓自動化控制網路BACNet，以及Modbus工業控制系統（ICS），而有可能導致GNSS的衛星中斷訊號，大樓能源停止供應，以及電力、水資源、石油等關鍵基礎設施（CI）停擺的情況。</p> <p>也有駭客組織表態不會聲援其中一邊，而有可能攻擊以色列或巴勒斯坦，例如，<a href="https://cybernews.com/cyber-war/palestine-israel-scada-under-attack/">駭客組織ThreatSec</a>聲稱關閉Alfanet.ps網域代管的大部分伺服器，並癱瘓加蕯地區大型ISP業者Quintiez Alfa General Trading。</p> <p><a href="https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體QBot背後的駭客持續發動攻擊，散布勒索軟體Ransom Knight、後門程式Remcos</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/lnk-xll-remcos.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lnk-xll-remcos.png" style="width: 300px; float: right;" /></a>8月底美國聯邦調查局（FBI）與司法部（DOJ）宣布，他們與多個國家的執行機關聯手，瓦解了70萬臺電腦組成的殭屍網路QBot（亦稱QakBot），並扣押駭客的不法所得，但有研究人員提出警告，使用該惡意軟體的駭客再度發起攻擊行動。</p> <p>思科旗下的威脅情報團隊Talos揭露新一波攻擊行動，駭客聲稱收信人的銀行帳號遭到可疑人士用於詐欺，或是有尚未付款的發票等名義，使用釣魚郵件挾帶Windows捷徑檔（LNK）附件，疑似針對慣用義大利文的用戶而來，一旦收信人執行LNK附件檔案，電腦就有可能使用PowerShell執行命令執行檔案總管（Explorer.exe），並透過80埠存取WebDAV遠端共用資料夾，從而在受害電腦部署勒索軟體Ransom Knight，研究人員指出，駭客這麼做，主要是為了繞過資安系統，因為透過PowerShell命令列下載的可遠端執行檔，這些保護機制可以對其進行檢查。再者，駭客在附件裡也挾帶了Excel附加元件（XLL）檔案，經分析後，確認裡面有後門程式Remcos，而且，這個程式會和Ransom Knight一起使用，以便駭客能持續存取受害電腦。</p> <p>值得留意的是，FBI和DOJ等執法單位雖然在8月底摧毀QBot，這起攻擊行動卻從8月開始出現，迄今仍在進行，研究人員推測，執法單位可能破壞了駭客的C2伺服器，但負責寄送釣魚郵件的基礎設施未受波及，駭客應該很快就會重新架設QBot的相關基礎設施。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Oct"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布10月例行更新，修補3個零時差漏洞</span></strong></a></p> <p></p> <p>10月10日微軟發布本月份例行更新（Patch Tuesday），公布105個漏洞，其中有26個能用於權限提升漏洞、3個可繞過安全功能、45個能遠端執行任意程式碼（RCE）、12個會洩露資訊、17個可造成服務中斷（DoS），以及1個可用於欺騙，被評為重大風險等級的漏洞總共有13個。</p> <p>當中有3個零時差漏洞CVE-2023-44487、CVE-2023-41763、CVE-2023-36563，而這些弱點裡面最引人關注的是，用於發動HTTP/2 Rapid Reset攻擊的CVE-2023-44487，攻擊者可乘機濫用HTTP/2的串流取消功能，進而持續發送或取消請求，導致伺服器或應用系統出現阻斷服務（DoS）狀態，微軟目前已提供緩解措施，讓網站伺服器管理員停用HTTP/2通訊協定。</p> <p>其餘兩個也相當危險，CVE-2023-41763為企業版Skype的權限提升漏洞，CVE-2023-36563則是WordPad的資訊洩漏漏洞。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cisa.gov/news-events/news/joint-advisory-top-cyber-misconfigurations-highlights-urgency-software-manufacturers-incorporate"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國公布最常見的10種配置不當情況</span></strong></a></p> <p></p> <p>美國國安局（NSA）、國土安全部（DHS），以及網路安全暨基礎設施安全局（CISA）聯手公布10大最常見的配置錯誤，這些錯誤的配置有可能讓駭客更容易展開攻擊。</p> <p>這些包含了軟體與應用程式的預設配置、使用者與管理員權限的分離不當、內部網路的監控不足、網路分區的缺乏、修補程式的管理不良、系統存取控制可被略過、多因素身分身分驗證的薄弱或設定錯誤、網路共享與服務的存取控制名單設置不夠全面、帳密資安衛生不佳，以及程式碼執行未受到管制。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Magecart卡片側錄出現新手法，攻擊者濫用404錯誤訊息網頁盜取相關資料</span></span></strong></a></p> <p><a href="https://www.akamai.com/blog/security-research/magecart-new-technique-404-pages-skimmer"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/Iz1h9-campaign-enhances-arsenal-with-scores-of-exploits"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">13個路由器漏洞遭到殭屍網路病毒Mirai鎖定</span></span></strong></a></p> <p></p> <p><a href="https://www.redteam-pentesting.de/en/advisories/rt-sa-2023-006/-d-link-dap-x1860-remote-command-injection"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">D-Link無線網路訊號延伸器出現可被用於命令注入的漏洞</span></span></strong></a></p> <p><a href="https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Citrix NetScaler重大漏洞恐曝露敏感資料</span></span></strong></a></p> <p><a href="https://thehackernews.com/2023/10/security-patch-for-two-new-flaws-in.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式庫Curl存在高風險漏洞，預告近期提供修補</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159172"><strong>【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159144"><strong>【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159124"><strong>【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</strong></a></p> </div></div></div>
2023/10/11 18:09作者周峻佑https://www.ithome.com.tw/news/159228
臺灣生技產業、製造業、IT業者要小心！傳出有駭客組織針對這些產業從事網路間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/grayling-taiwan-cyber-attacks">資安業者賽門鐵克揭露鎖定臺灣而來的網路間諜攻擊行動</a>，過往未被揭露的APT駭客組織Grayling自今年2月至5月，針對臺灣的生物醫學產業、製造業、IT產業而來，但也有太平洋群島的政府機關、越南及美國的組織受害。</p> <p>研究人員指出，攻擊者疑似利用曝露在網際網路的組織基礎設施，來存取目標電腦，在部分攻擊行動裡，他們看到駭客在電腦植入Web Shell。接著，攻擊者再利用DLL側載（DLL Side-loading）手法，於受害電腦載入滲透測試工具Cobalt Strike、後利用C2框架Havoc、間諜軟體NetSpy。此外，這些駭客也可能在下載及執行Shell Code的過程裡，利用Win32k元件漏洞CVE-2019-0803提升權限，運用Active Directory探查（discovery）的方式，描繪內部網路架構。</p> <p>在大部分的攻擊行動裡，這些駭客透過名為SbieDll_Hook的輸出API來進行DLL側載，然後使用imfsb.ini解密及載入未知的惡意酬載，而且，攻擊者會在後期攻擊活動裡，下達kill processes的指令，停用所有列於processlist.txt的處理程序，然後下載Mimikatz來盜取帳密資料。</p> <p>而在攻擊動機的掌握上，研究人員根據駭客的活動及使用的工具，排除經濟利益因素，對方活動的目的應該是情報收集，目前尚未看到資料外洩跡象。另一個值得留意的地方，則是這些駭客偏好使用公開工具作案，使得鑑識人員難以釐清攻擊者的身分。但駭客為何針對這些產業而來？研究人員並未進一步說明。</p> </div></div></div>
2023/10/11 15:35作者周峻佑https://www.ithome.com.tw/news/159220
5G趨勢月報第47期：數位部通過補助漢翔、英業達等33項企業5G專頻專網場域驗證申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>9/06~10/06精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位部</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專頻專網</b></span></font></p> <p><strong><span style="font-size:22px;">數位部補助33家企業5G專頻專網場域驗證，涵蓋智慧製造、倉儲、展演等應用</span></strong></p> <p>數位發展部為推動5G專網應用，促成產業轉型發展，補助企業5G專網場域驗證案，共有33案通過補助，5G專用應用於智慧製造、娛樂、展演及倉儲等。數位部期望透過補助，協助5G應用技術發展產品或服務創新，創新商業模式發展，並加速5G專頻專網商轉落地營運。</p> <p>為推廣不同產業應用，數位部去年和13個產業公協會合作，成立5G垂直產業應用推動小組，鼓勵業者申請5G專頻專網創新應用擴散計畫補助，8月已通過33個補助案，包括三立電視、三創數位、遠東新世紀、漢翔、英業達、友達、晶華酒店等，每個專案補助約1千萬元，為期15個月時間，涵蓋智慧製造、智慧展演、智慧旅宿、智慧倉儲、智慧食安、智慧娛樂、智慧商務辦公室7個領域，透過5G專網技術落地驗證，加速5G專頻專網的商轉。</p> <p>在智慧製造方面，紡織業者將應用5G的高速傳輸、低延遲特性，用於數百臺織布機的調機作業及克服人力短缺問題，另一家業者則應用5G加速轉型，導入智慧倉儲管理系統及無人搬運車，智慧展演方面，業者則利用5G於沈浸式體驗，或用於異地共訪節目製作。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>蘋果</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手機</b></span></font></p> <p><span style="font-size:22px;"><strong>蘋果發表5G下載網速更快的iPhone 15，電信業者盼帶動5G換機潮</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-iPhone-15-lineup-color-lineup.jpg" style="width: 600px; height: 400px;" /></p> <p>蘋果正式發表iPhone 15系列手機，除了搭載A17 Pro晶片之外，支援5倍光學攝影功能，其中iPhone 15 Pro機型在5G上網方面，採用高通Snapdragon X70 5G晶片，提高5G上網速度，並可支援Wi-Fi 6/6E/7。新手機已在9月下旬開始銷售，國內電信業者盼以此帶動5G換機潮。</p> <p>相較於前一代的iPhone 14採用Snapdragon X65，改善5G網速及電池續航力，根據iFixit拆機報告指出，最新的iPhone 15 Pro系列機型採用速度更快的Snapdragon X70，下載速度最高可達到10Gbps，上傳速度最高至3.5Gbps；測速平臺SpeedSmart近期也指出，儘管可能因為電信業者網路造成差異，但iPhone 15 Pro在美國地區的5G下載速度，比iPhone 14 Pro系列最高提升約24%。</p> <p>此外，iPhone 15系列也支援衛星通訊道路救援服務，當汽車發生碰撞、意外事件或故障時，當下缺乏行動網路通訊或Wi-Fi下，可通過衛星通訊發送SOS訊息或向道路救援業者請求協助，目前已在14個國家地區提供此服務。</p> <p>目前iPhone 15已在9月下旬於臺灣開賣，因手機功能提升，首賣當天造成購買熱潮，其中以高階機型的iPhone 15 Pro比較受到青睞，國內電信商也期望蘋果新手機帶動新一波換機潮，特別是5G換機潮及用戶數成長。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>球賽</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi 6E</b></span></font></p> <p><span style="font-size:22px;"><strong>萊德盃高爾夫球賽採用5G專網與Wi-Fi 6E網路</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01600.jpg" style="width: 600px; height: 306px;" /></p> <p>在9月底在羅馬舉行的萊德盃（Ryder Cup）高爾夫球賽，運用整合性的5G與Wi-Fi 6E網路，通過室內外、戶外建置的高速網路，提供球迷高容量的網路服務，可以虛擬瀏覽整個高爾夫球賽場，並且線上購買商品及服務，球迷與賽事舉辦方可以追蹤球員在賽場的位置，賽事舉辦方也能根據球迷的人潮分布，調度安排工作人員服務球迷。</p> <p>今年的高爾夫賽事，賽場佔地370英畝，且因為受法令保護，賽場無法鋪設光纖網路，因此選擇建置無線網路，利用Wi-Fi 6/6E為聚集在飯店、俱樂部等人潮熱門區域提供高容量網路服務，利用專用5G網路來涵蓋球場偏遠地點，建立工作人員專用網路。</p> <p>該比賽每天吸引上千名球迷觀賽，每天可能有上萬個來自球迷、承包商、供應商、合作夥伴、員工使用設備連接網路，透過設備接入網路蒐集資料，來追蹤人群的移動、熱門應用的情形，此外，實驗其他的創新應用。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OneWeb</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>低軌衛星</b></span></font></p> <p><span style="font-size:22px;"><strong>傳中華電信將代理英國OneWeb低軌衛星服務來臺</strong></span></p> <p>國內媒體搶先報導，中華電信已向數位部申請，將和OneWeb合作，代理其低軌衛星服務來臺，中華電信將協助電信技術中心（TTC），推動數位發展部的「應變或戰時應用新興科技強化通訊網路數位韌性驗證計畫」，未來利用衛星通訊強化我國的通訊網路韌性。</p> <p>數位部推動中的通訊網路韌性驗計計畫，以PoC概念驗證，在國內各縣市的700多處，以及3個國外的站點，設立非同步軌道衛星設備，以驗證非同步軌道衛星在臺灣提供緊急應變通訊服務的可行性。先前數位部透露，未來可望和英國低軌衛星服務OneWeb、盧森堡中軌衛星服務SES合作。</p> <p>根據媒體報導，中華電信和TTC達成協議，將以低軌衛星協助推動驗證，中華電信將取得OneWeb在臺灣的代理，向數位部申請衛星執照及頻率使用，讓OneWeb得以落地臺灣。隨著衛星通訊服務興起，衛星的非地面網路（NTN）逐漸扮演重要的角色，目前5G技術有朝向結合NTN發展趨勢，例如國內的聯發科已推出5G NTN晶片，讓5G裝置不受地面網路涵蓋的限制，可使用衛星通訊擴大連網能力。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專頻專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AIoT</b></span></font></p> <p><span style="font-size:22px;"><strong>林口新創園區建置5G專頻專網，為5G AIoT應用打造實證場域</strong></span></p> <p>為扶植新創業者，林口新創園區與電信業者合作建置5G商頻專網，先前電信業者以3.5GHz及28GHz商用頻段，建置5G專網，近期林口新創園區擴大5G網路環境，結合國產5G微型基地臺，於室內架設n79頻段（4.8至4.9GHz）微型基地臺，建置5G專頻專網環境，以與新創業者合作測試各項應用。</p> <p>在新創園區的應用測試，其中之一是模擬大型展演中心，在售票處、大廳架構n79微型基地臺，以服務型機器人在展演中心穿梭，結合客製化導覽內容，接待展演中心的遊客；另一項應用則是以傳統產業的零售業為例，以5G專網結合商品展示間，提供虛擬試衣鏡，來提高消費體驗。</p> <p>另一項智慧醫療應用，模擬醫院內建置5G專網，特別是在醫院的診間、會議室，讓醫生可通過VR眼鏡，以沈浸的方式向病人解講病情、治療方式。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>農業</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>美國國家科學基金會在美國愛荷華州以5G專網支援精準農業應用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/microsoftteams-image-49.jpg" style="width: 600px; height: 338px;" /></p> <p>美國國家科學基金會旗下的先進無線電研究計畫和Ericsson合作，在美國愛荷華州和當地的農業團隊聯手，測試研究5G SA獨立網路在現代化農業的應用。</p> <p>該計畫所導入的5G SA網路，為中頻及mmWave頻段，利用聚合技術以達到3Gbps的傳輸速度，在室外網路部分，中高頻段無線電連接技術，提供2.5Gbps下載速度。Erisson表示，5G SA網路具有更超低延遲、高容量及覆蓋、網路切片，並確保即時回應時間，激發新的應用。</p> <p>這項計畫是研究如何將5G SA網路應用在精準農業上，並用以連接過去沒有寬頻連接的農場，導入5G網路結合聯網機器人，利用立體攝影機來蒐集作物的表型數據，每個攝影機可產生800Mbps的感測器數據。此外，也透過高解析度攝影機監控家畜飼養及農業自動化運作情形。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>德國電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網速</b></span></font></p> <p><span style="font-size:22px;"><strong>德國電信實驗以6GHz頻段加速5G網路，創下12Gbps行動網速</strong></span></p> <p>德國電信近日公布一項實驗成果，該公司以6GHz頻段進行實驗，成功達到12Gbps的行動網路速率，約為現今5G網速的12倍。由於6GHz頻段尚未用於行動通訊，德國電信希望分享該實驗成果，在11月舉行的全球無線電通訊會議討論該頻段的使用方向。</p> <p>德國電信是在Rheinhessen州一處建築的屋頁進行實驗，該屋頂原本就設置一個3.6GHz頻段，使用目前5G通訊標準的基地臺天線，他們再架設另一個使用6GHz頻段的天線，將3.6GHz及6GHz頻段利用類似載波聚合的技術，將5G資料流捆綁在一起，創下12Gbps的網速。</p> <p>由於6GHz頻段要高於現今5G網路使用的主流3.5GHz頻段，傳輸速度雖然提高，但涵蓋範圍縮小，因此德國電信認為比較適合在都會地區使用。除了提供單一用戶更高的網速，更高的網速也能讓多人同時間連網有較佳的服務容量。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>工研院</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>O-RAN</b></span></font></p> <p><strong><span style="font-size:22px;">工研院展示自研5G O-RAN微基站系統</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966_20231003_52.jpg" style="width: 600px; height: 400px;" /></p> <p>工研院近期展示ICT技術最新研究成果，除了展示自行研發的低軌衛星地面設備之外，在5G通訊方面，還展示5G O-RAN微基站系統，用以擴大5G涵蓋面積，這項技術目前已技轉給廠商予以商品化，並準備進軍國際市場。</p> <p>工研院表示，這套5G O-RAN微基站系統，具備Massive MIMO模組與系統、高功率模組與控制等關鍵技術，克服散熱、訊號失真、波束成型等難題，提升我國在多天線、高功率基站的自主研發能力，以滿足大覆蓋面積、大容量、高互通、高整合的需求。</p> <p> </p> <p>圖片來源／數位部、蘋果、Ryder Cup、Ericsson、工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.NTT DOCOMO推出Open RAN服務</strong></p> <p><strong>2.馬來西亞國家石油Petronas導入5G專網</strong></p> <p>資料來源：iThome整理，2023年9月</p> </div></div></div>
2023/10/11 17:14作者蘇文彬https://www.ithome.com.tw/news/159222
健保署提健保數位升級8大策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良日前在第4屆FHIR聯測論壇中，提出健保數位升級8大策略，包含建置家醫大平臺、健康存摺SDK個人健康資料加值應用、健保雲端查詢系統優化、數位化審查、遠距醫療整合、虛擬健保卡擴大應用，以及完善健保BioBank和數位基礎建設。其中，健保署不只要升級健保系統，還要改採混合雲架構和新型機房，來提供更穩定的服務。而數位基礎建設瞄準基層診所和特約藥局，健保署要建置健保雲來讓廠商上架雲端系統，供基層診所選用。</p> <p><span style="font-size:24px;"><strong>盤點臺灣數位醫療困境，健保系統亟需升級</strong></span></p> <p>健保署之所以提出數位醫療轉型措施，是因為看見臺灣數位醫療發展的困境。石崇良將這些問題分為醫療端、產業端、政府端和民眾端4大層面，就醫療端而言，全臺近500家醫院，許多醫院的核心系統自成體系、難以互通，這導致集團醫院推動智慧醫療的成功經驗，難以複製、擴散到其他醫院。</p> <p>再來，小型醫院缺乏IT人力，大多仰賴委外廠商，難以具備應用開發和資安維護能力。不只小型醫院，對臺灣2萬多家診所和數千家醫事機構來說，更是如此。而且，這些醫療機構的IT系統建置，幾乎以健保申報為目的，因此規模小、自動化程度低，也缺乏系統升級的誘因。這是石崇良觀察到的醫療端數位醫療問題。</p> <p>就產業端來說，廠商要取得醫療資料來開發智慧應用，目前還是障礙重重，且廠商與單一醫院開發成功的經驗，也難以複製到其他醫院。此外，產業端也還沒建立成熟的產品營運模式，另也需一致的標準規範。</p> <p>對政府來說，數位醫療的困境則有2大類，一是公衛系統與其資料庫，這些系統「亟需升級，」且資料標準缺乏一致性和互通性，導致醫護人員使用系統時，得一次開好幾個視窗、來回操作。另一類是健保資訊系統及相關資料庫，尤其健保是全臺規模最大資料庫，資安應符合最高標準。而且，健保資訊系統服務全國醫療院所、產業和政府部門，「系統已使用28年，也到需要重新升級的時候了，」石崇良說。這是健保署接下來要執行的重要任務。</p> <p>就民眾端而言，民眾自主意識抬頭，從過去的資料提供者角色轉為參與者，因此，健保資料治理機制得要更完備。同時，自COVID-19疫情後，民眾對創新照護模式接受度提高（如視訊診療），也有利於推動和發展數位醫療應用。</p> <p>石崇良總結，這些問題，都可歸結為「資訊數位化、系統自動化和標準一致化」等3大改革目標。</p> <p><span style="font-size:24px;"><strong>衛福部如何規畫臺灣智慧醫療升級</strong></span></p> <p>於是，衛福部自去年開始籌備臺灣智慧醫療升級計畫，可分為3階段，包括建立能接軌國際資料標準架構的基礎設施、打造符合國際趨勢的次世代數位醫療平臺，以及建立以病患為中心的服務生態系。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%88%E5%8A%83.JPG" /></p> <p>其中，石崇良強調，次世代數位醫療平臺的目的，是要符合數位化、自動化和標準一致化等3大目標，來讓醫療機構交換資料。除了次世代平臺，衛福部同時也提出公共建設計畫，要建置跨部和署的醫療數據共享平臺，並打造食藥署、國健署、疾管署和健保署之間的資料交換標準架構和格式，設置FHIR共通欄位格式和LOINC編碼的實作指引。</p> <p>石崇良指出，這些部內計畫將在明年展開，而次世代數位醫療平臺計畫，衛福部這2年先與醫療機構和產業溝通，預計後年動工。</p> <p><span style="font-size:24px;"><strong>健保署數位升級有8策略</strong></span></p> <p>不只衛福部帶頭推進數位醫療發展，健保署也有8項策略，來實現健保數位升級、加速醫療照護數位轉型。這8項策略包括針對民眾的家醫大平臺、個人健康資料加值（含健康存摺SDK），針對雲端系統的健保雲端查詢系統優化、數位化審查，針對健康照護的遠距醫療、虛擬健保卡擴大應用，以及針對資料生態系的健保BioBank和數位基礎建設。</p> <p>進一步來說，家醫大平臺是要打造一個個人初級照護健康管理平臺，將各種醫療和健康資料歸戶，透過分析這些資料來提醒民眾健康狀態。這些資料來源有好幾個，包括民眾的醫療記錄，如檢驗檢查、醫療影像、就醫和各種收案計畫（如居家、遠距、巡迴醫療和急性後期整合照護），另也有穿戴裝置、其他平臺資料，以及衛福部相關司署與各地方政府資料，再加上民眾授權的健康存摺資料，全都匯集到家醫大平臺上。</p> <p>接著，平臺可根據這些資料，來提供個人健康的日常追蹤、異常管理、風險預測和檢驗值分析等功能。甚至，健保署還要讓平臺具備雙向回饋機制，也就是對民眾，要提供結果回饋、未篩檢提醒和篩檢後異常追蹤等通知，另也要將異常個案名單和未篩檢名單回饋給家庭醫師，來讓醫師掌握民眾健康狀態。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%B6%E9%86%AB.JPG" /></p> <p>就個人健康資料加值策略來說，健保署要繼續擴大健康存摺SDK的運用，來公私協力整合更多健康資料，提高民眾健康意識。意思是，智慧醫療應用開發商可向健保署申請健康存摺SDK介接，通過後可在自家健康App中，經民眾授權同意，來串接民眾的健康存摺資料，並整合健康App數據（如IoT裝置數據、睡眠時間）來管理健康。健保署這次不只要擴大應用，還要完善健康存摺SDK管理機制，來營造健康資料應用生態圈。</p> <p><span style="font-size:24px;"><strong>健保署系統要升級，還要建立數位審查機制</strong></span></p> <p>另一方面，健保署自己也要升級，推動第三代健保雲端查詢系統。目前，健保雲端查詢系統可供醫師在3卡認證的條件下，調閱12種民眾醫療資料，其中就包含醫療影像資料，但期限只有過去6個月。石崇良表示，由於影像資料龐大，健保署計畫未來將影像資料移出健保系統後，依然能供醫院查詢、不限時間。</p> <p>此外，健保雲端查詢系統的優化，還包括導入醫療支援模型，如新添重複用藥或重複檢驗檢查提醒，來提高醫療品質和病人安全。此外，系統本身還要改善使用者介面，要更友善，並提供多元雲端憑證驗證機制。</p> <p>除了系統優化，健保署還要建立數位化審查機制。這是因為，越來越多醫材和藥品納入健保給付，健保署也得透過真實世界資料（RWD）的蒐集，來檢核給付醫材和藥品是否發揮效用。因此，他們首先要建置RWD收載系統，比如高價醫療服務RWD收載、暫時支付藥品登錄系統等，並建立效益評估機制和自動化追管機制，來讓作業更順暢。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%B8%E4%BD%8D%E5%AF%A9%E6%9F%A5.JPG" /></p> <p>不只如此，健保署也要建立事前審查預檢機制，要透過「雲端化來減少紙張的使用。」石崇良表示，未來這些審核所需資料，將採用統一標準格式，並導入AI來加速審核，節省專家們一一來回審核的時間。舉例來說，目前藥品核價的送審流程，得由藥商準備紙本和光碟資料，送件經預審、專家會議、初核通知，再進行共擬會議，最後才電子公告核定結果。醫院端的送件申請亦是如此。</p> <p>未來，這些流程將改為藥商或醫院透過系統上傳、審查流程數位化方式，來提高效率和透明度。</p> <p><span style="font-size:24px;"><strong>遠距醫療擴大範圍，還有更多數位配套措施</strong></span></p> <p>健保署還有2項策略，要建立打破圍牆的照護模式。這2項策略就是遠距醫療和虛擬健保卡，其中，健保署自2020年開始，就將遠距醫療納入健保給付，主要針對偏遠地區的五官科遠距會診，但現在，遠距醫療範圍要擴大到居家照護，對象包括長照機構住民、居家醫療整合照護計畫、在家住院醫療照護計畫，以及居家透析患者，場景也從山地離島偏鄉，擴大到民眾家中。</p> <p>這個擴大不只是居家適用對象更多了，還有將原本醫師對醫師（B2B）的遠距會診模式，擴大為醫師對醫師人員（如護理師）、醫師對病人。這些擴大是通訊診察治療辦法修正案涵蓋的內容，石崇良透露，健保署預計明年擴大遠距醫療的運用。</p> <p>也因為診療場景擴大到家中，虛擬健保卡的運用成為身分快速辨識、調閱醫療記錄的關鍵，這也是健保署接下來要推廣的政策，要擴大虛擬健保卡的就醫功能和推廣應用。不只如此，健保署也一併推動電子處方箋平臺、數位同意書簽署平臺，還要介接更多行動支付和手機錢包，來完善就醫全流程數位化。</p> <p><span style="font-size:24px;"><strong>建置資料生態系保障退出權，還要推動診所雲端系統升級</strong></span></p> <p>健保署最後2項策略，是要建立資料生態和數位基礎建設。就資料生態系來說，健保署要制定專法，來完善健保資料治理機制，比如依去年憲法法庭釋憲結果，新添民眾退出權。為此，健保署規畫多種退出申請管道，也要建置個人申請狀態的資訊揭露公開平臺，並連結前述的資料收載系統。</p> <p>由於民眾的退出，可能影響藥品和醫材RWD收載與效益評估的可靠性，因此，健保署還要建立資料退出的代表性評估和衝擊預防機制。</p> <p>不只針對健保資料庫，健保署還要建立數位基礎建設。這個目標可分為2大工作，一是強化健保本身的數位基礎建設，不只要提高資安韌性和效能，如建置符合國際資安標準的機房、建立強化資安防護的混合雲架構，還要導入國際資安和醫療資訊管理學會（HIMSS）制度。甚至，健保署還要成立專案辦公室，來培育健保數位資訊管理人才。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%81%A5%E4%BF%9D.JPG" /></p> <p>另一個工作則是推動基層診所的健保雲端HIS，而且要導入接軌國際的醫療資料交換標準FHIR。意思是，健保署要建置一套「健保雲」，來讓廠商上架自家的雲服務，供基層診所、特約藥局來選擇合適的系統使用。這麼做，可解決目前診所的IT成本、資訊無法即時分享等問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9F%BA%E5%B1%A4.JPG" /></p> <p></p> </div></div></div>
2023/10/11 18:09作者王若樸https://www.ithome.com.tw/news/159227
HTTP/2協定漏洞帶來史上最大DDoS攻擊流量，Google、Cloudflare與AWS皆創紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/how-it-works-the-novel-http2-rapid-reset-ddos-attack" target="_blank">Google</a>、<a href="https://blog.cloudflare.com/technical-breakdown-http2-rapid-reset-ddos-attack/" target="_blank">Cloudflare</a>與<a href="https://aws.amazon.com/tw/blogs/security/how-aws-protects-customers-from-ddos-events/" target="_blank"> Amazon Web Services（AWS）</a>本周二（10/10）分別公布了涉及HTTP/2協定的CVE-2023-44487零時差安全漏洞，原因是它們在今年的8月至10月間，全都面臨了肇因於該漏洞的分散式服務阻斷（DDoS）攻擊，且其攻擊規模對上述業者來說皆為史上最大，例如<a href="https://cloud.google.com/blog/products/identity-security/google-cloud-mitigated-largest-ddos-attack-peaking-above-398-million-rps" target="_blank">Google所緩解的攻擊流量達到每秒3.98億次的請求</a>，是Google上一個紀錄的7.5倍。</p> <p>HTTP的全名為超文本傳輸協定（HyperText Transfer Protocol，HTTP），是全球網路資料通訊的基礎，HTTP 1.0於1996年現身，HTTP/2標準在2015年出爐，最新的則是<a href="https://www.ithome.com.tw/news/152044" target="_blank">2022年6月頒布的HTTP/3</a>。不過，根據<a href="https://blog.cloudflare.com/http3-usage-one-year-on/" target="_blank">Cloudflare截至今年4月的統計</a>，目前最普及的協定仍是HTTP/2，市占率超過60%，HTTP/3市占率則接近30%。</p> <p>存在於HTTP/2中的CVE-2023-44487漏洞可導致快速重置攻擊，它利用HTTP/2中的多工串流（Stream Multiplexing）功能，發送大量的請求且立即取消，因而造成伺服器端的大量工作負載，卻只需要少量的攻擊成本。根據估計，駭客針對CVE-2023-44487漏洞展開攻擊時所利用的殭屍網路僅由2萬臺機器組成，遠低於目前動輒由數十或數百萬臺機器組成的殭屍網路。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-cloudblog-publish/images/2023_worlds_largest_rapid_reset_diagram.max-1616x909.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-HTTP%20request%20and%20response%20pattern-by%20google.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>上述業者都是在今年8月開始觀察到旗下客戶遭到基於CVE-2023-44487的DDoS攻擊，Cloudflare指出，該公司所緩解的最大攻擊流量是每秒超過2.01億次的請求，輕易便打破了今年2月每秒7,100萬次請求（requests per second，rps）的攻擊紀錄。事實上，從今年8月迄今，Cloudflare已緩解了逾1,100次超過1000萬rps流量的DDoS攻擊，當中有184次的攻擊流量超過原先的7,100萬rps紀錄。</p> <p>至於Google在這波DDoS攻擊中所緩解的最大攻擊流量更達到3.98億rps，Google原本的紀錄是在去年面臨的4,600萬rps。Google表示，這波高峰達3.98億rps的DDoS攻擊持續了兩分鐘，但這兩分鐘的流量等同於維基百科（Wikipedia）今年整個9月的所有文章閱讀流量。</p> <p>Google說，相關攻擊一直從8月底延續迄今，鎖定全球主要的基礎設施服務供應商，包括各項Google服務、Google Cloud基礎設施及Google的客戶。</p> <p>同樣在8月底遭到攻擊的AWS則說，Amazon CloudFront所偵測到的不尋常HTTP/2請求在高峰時期達到1.55億rps，接著便持續看到類似的HTTP洪水攻擊。</p> <p>Cloudflare指出，在該公司遭到攻擊時，同時發現Google與AWS也面臨同樣的攻擊行動，於是決定彼此合作，共同向受到影響的業者與重大基礎設施供應商揭露，相信任何部署HTTP/2的業者都將受到攻擊，包括每一個現今的網頁伺服器。</p> <p>由於這波攻擊結合了殭屍網路與HTTP/2漏洞，使得它以前所未有的速度放大了攻擊請求，甚至令Cloudflare經歷了間歇性的不穩定。Cloudflare說，儘管該公司的系統能夠緩解大多數的攻擊流量，但還是造成Cloudflare網路某些元件的過載，波及了少數客戶的效能。</p> <p>許多採用HTTP/2的服務或產品都已著手修補<a href="https://www.cve.org/CVERecord?id=CVE-2023-44487" target="_blank">CVE-2023-44487漏洞</a>，<a href="https://msrc.microsoft.com/blog/2023/10/microsoft-response-to-distributed-denial-of-service-ddos-attacks-against-http/2/" target="_blank">微軟亦公布了針對該漏洞的應對措施</a>，指出這波的HTTP DDoS攻擊主要鎖定Layer 7，而非Layer 3或Layer 4，因此，微軟強化了對Layer 7的保護，同時也修補了各個遭到波及的服務。</p> </div></div></div>
2023/10/11 15:54作者陳曉莉https://www.ithome.com.tw/news/159221
微軟10月Patch Tuesday修補103個安全漏洞，其中3個已遭攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在本周二（10/10）的10月Patch Tuesday中修補了103個安全漏洞，內含3個已遭到實際攻擊的零時差漏洞，以及13個被列為重大（Critical）等級的安全漏洞，另外值得注意的是，重大漏洞有超過一半源自於第二層隧道協議（Layer 2 Tunneling Protocol，L2TP），且此次所修補的訊息佇列（Message Queuing）漏洞多達20個。</p> <p>微軟本月修補的3個零時差漏洞分別是涉及WordPad的資訊揭露漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36563" target="_blank">CVE-2023-36563</a>，與Skype for Business有關的權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-41763" target="_blank">CVE-2023-41763</a>，以及在周二（10/10<a href="https://www.ithome.com.tw/news/159221" target="_blank">）由Cloudflare、Google與Amazon Web Services（AWS）共同揭露的</a>HTTP/2協定漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487" target="_blank">CVE-2023-44487</a>。</p> <p>其中，要成功利用<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36563" target="_blank">CVE-2023-36563</a>漏洞必須先登入系統，再執行一個特製的程式，其攻擊途徑是誘導使用者開啟一個惡意檔案，即可揭露Windows NT LAN Manager（NTLM）雜湊密碼。雖然此一漏洞的CVSS風險評分並不高，且微軟已計畫於<a href="https://www.ithome.com.tw/news/158561" target="_blank">明年讓WordPad退役</a>，但還在使用WordPad的Windows用戶仍應修補。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36563" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-36563.png" style="width: 550px;" /></a></p> <p>至於要利用Skype的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-41763" target="_blank">CVE-2023-41763</a>漏洞則需執行一個特製的網路通話至Skype for Business伺服器上，可能導致一個對任意位址的HTTP請求，進而揭露IP位址與傳輸埠編號，此一漏洞的CVSS風險評分亦不高，但微軟警告，所外洩的資訊可能被駭客用來入侵內部網路。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-41763" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-41763.png" style="width: 520px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487" target="_blank">CVE-2023-44487</a>無疑是近年來最嚴重的分散式服務阻斷（DDoS）漏洞，且自今年8月底以來便持續遭到駭客利用，儘管該漏洞存在於HTTP/2協定中，但所有導入該協定的產品與服務都受到波及，除了修補產品及服務之外，微軟也提出了暫時補救措施，建議用戶可藉由登錄編輯程式關閉HTTP/2協定。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-44487" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-44487.png" style="width: 510px;" /></a></p> <p>由於上述3個已遭濫用的漏洞都無法被用來執行任意程式，因此就算已實際遭到攻擊，仍皆僅被列為重要（Important）漏洞。</p> <p>而在13個重大漏洞中，就有9個屬於L2TP的遠端程式執行漏洞。L2TP是個用來建立虛擬私有網路（VPN）的網路協定，雖然這9個分屬不同的漏洞，但它們皆為競爭條件漏洞，允許未經授權的駭客藉由傳送一個特定的協定訊息至路由及遠端存取服務（Routing and Remote Access Service，RRAS），進而於RAS伺服器上執行任意程式。</p> <p>這次修補的漏洞中，最嚴重的當屬CVSS風險評分高達9.8的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35349" target="_blank">CVE-2023-35349</a>，此為微軟訊息佇列（Message Queuing）的遠端程式執行漏洞，不需使用者互動就能展開攻擊。而且這次總計有20個漏洞與訊息佇列有關，當中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35349" target="_blank">CVE-2023-35349</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36697" target="_blank">CVE-2023-36697</a>被列為重大等級。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35349" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-microsoft-patch-CVE-2023-35349.png" style="width: 373px;" /></a></p> <p>微軟的訊息佇列（Message Queuing）技術可讓異質網路與系統上，於不同時間執行的應用程式能夠彼此通訊，應用程式可傳送訊息至佇列，或是自佇列讀取訊息。它是個必須手動啟用的Windows元件，微軟建議用戶可檢查系統所執行的服務與TCP 1801埠來判斷是否啟用了該服務。</p> </div></div></div>
2023/10/11 16:55作者陳曉莉https://www.ithome.com.tw/news/159223
個人版Google帳號開始要求用戶設定無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/passkeys-default-google-accounts/" target="_blank">Google宣布</a>本周將開始要求用戶設定以通行密鑰（passkey）作為個人版Google帳號預設，以便加速部署無密碼登入，但用戶仍然可以暫時opt-out而續用密碼。</p> <p>Google近年積極推動以通行密鑰取代密碼成為網站或應用程式登入方式。通行密鑰是結合註冊網站的公鑰，以及儲存在手機裝置中的私鑰而成的驗證方案，可免去用戶記憶密碼的麻煩，及密碼外洩的風險。Google去年<a href="https://www.ithome.com.tw/news/153615" target="_blank">讓Android及Chrome支援通行密鑰</a>後，今年<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google帳號</a>及<a href="https://www.ithome.com.tw/news/157209" target="_blank">Google Workspace</a>也都陸續支援無密碼登入。</p> <p>Google說，接到用戶迴響十分正面，不少YouTube、搜尋和Maps用戶都啟用通行密鑰，因此Google決定讓通行密鑰成為Google個人帳號的預設選項。這表示用戶下次登入Google帳號時，會出現提示對話框，要求用戶建立和使用通行密鑰，藉此簡化未來登入流程。</p> <p>設定完成通行密鑰後，用戶可以用指紋、臉部掃瞄或PIN來解鎖裝置，而且比密碼登入快40%。</p> <p>但是Google相信，新科技普及需要時間，密碼還會存在一段時日，因此Google仍允許用戶使用密碼。Google帳號設定有「如果可能，跳過密碼」的選項，用戶可關閉本選項以opt-out通行密鑰。</p> <p>Google也已和第三方App業者合作，以便在Chrome及Android平臺上支援通行密鑰，包括1Password、Adobe、DocuSign、Kayak、Mercari、Paypal及Yahoo! Japan。最近Uber、eBay都已改啟用通行密鑰，WhatsApp不久後也會支援。Google說會持續公布新的支援清單。</p> </div></div></div>
2023/10/11 11:38作者林妍溱https://www.ithome.com.tw/news/159209
微軟取消線上相片計入OneDrive 5GB儲存空間限額計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟原訂於本周實施，將線上相片、相簿納入OneDrive 5GB儲存空間限額，但在用戶反對下，<a href="https://support.microsoft.com/en-us/office/changes-to-microsoft-365-email-features-and-storage-e888d746-61e5-49e3-9bd1-94b88e9be988" target="_blank">迫使微軟取消了這項計畫</a>。</p> <p>今年初微軟宣布，從2月1日起，Microsoft 365應用程式和服務使用的OneDrive儲存空間，將會包含Outlook.com附件及OneDrive資料。微軟聲稱所有資料都會獲得安全防護，但也提醒，這項變更會導致可用的OneDrive空間減少。一旦雲端儲存空間屆滿，用戶在Outlook.com的信件收發也會受到影響。</p> <p>8月31日微軟又宣布，OneDrive相片及相簿資料，也會計入5GB儲存空間限額，新政策預計10月16日開始實行。</p> <p>不過許多用戶抗議這項變更，認為線上相片被計算了兩次。因此，微軟上周表示會撤回先前的決定，現有線上相簿作法不會改變。</p> <p>微軟新政策會擴及微軟應用程式、Windows設定及微軟帳號，微軟表示，還未看到最新線上相片／相簿新政策的用戶，應該幾周內會看到。</p> </div></div></div>
2023/10/11 10:47作者林妍溱https://www.ithome.com.tw/news/159208
電動車資安夯！臺廠組隊參加CTF，藉助競賽探討汽車資安技術知識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著連網汽車、自駕車與新能源車的發展，車聯網安全已是這幾年資安界特別關注的焦點，不只強調從開發就要做到安全，亦有舉辦挖掘車輛漏洞的競賽，促進整體汽車資安的進步。</p> <p>例如，全球知名的Pwn2Own漏洞研究競賽，在2019年首度新增汽車類別，希望促進更多與連網汽車有關的安全研究，明年2024，這一項目甚至變得能夠獨立舉辦，要在東京舉辦第一屆Pwn2Own Automotive汽車駭客大賽。</p> <p>另一方面，為了應對這樣的新興資安領域，也有增進資安人員研究汽車資安知識的競賽。在今年8月舉行的國際資安大會DEF CON上，除了眾所周知的技術演講、DEF CON CTF競賽，以及各式各樣的Village活動（通常是特定社群、組織所主辦的工作坊），吸引對該領域或主題感興趣的資安人員參與及交流，當中也有這方面的活動與競賽──Car Hacking Village CTF（CHV CTF）。</p> <p>特別的是，近期我們得知一家臺灣公司參與這場CTF，並指出這項競賽在最近兩年，舉辦規模變得盛大，成為DEF CON大會固定活動項目，因此我們也趁此機會，請他們說明更多這方面的經驗與觀察。</p> <h3><strong>兩汽車駭客競賽有何差異？</strong></h3> <p>關於VicOne這家公司，是趨勢科技2022年，新打造的電動車資安子公司，主要提供車連網資安解決方案，最近2023年9月，他們在日本成立全球企業總部，營運據點涵蓋日本、臺灣、德國、美國、韓國與印度。</p> <p>對於Car Hacking Village CTF競賽，與Pwn2Own競賽的差異，VicOne汽車網路威脅研究實驗室副總裁張裕敏表示，前者競賽出題經過精心設計，可幫助大家了解熟悉駭客技術，後者競賽是要真正挖掘出現實車輛的漏洞，挑戰者可以獲得相當高額的獎金。</p> <p>細部而言，我們可從兩大面向，來瞭解這兩項競賽的不同。</p> <p>首先，從競賽目的來看，以CTF（Capture the Flag）競賽而言，就是以獲得Flag為主要目的，因此競賽中會設計很多題目，並將Flag放進題目中，所以一定有解答。而且，這些題目都是經過特殊設計，目的是希望幫助大家熟悉駭客技術，以及怎麼用這些駭客技術。</p> <p>至於Pwn2Own的車輛類別競賽，競賽主要目的是希望真的找出實際產品沒發現的漏洞，有助於車廠補強車輛安全性。</p> <p>第二，由於競賽的難度不同，因此獎金與參賽者族群也都有很大差異。以Car Hacking Village CTF而言，獎勵多半是ㄧ些硬體裝置，好一點可能有電動腳踏車，參賽族群會比較廣泛；Pwn2Own汽車類別競賽的獎金則超過100萬美元，曾送出一臺Tesla汽車，不過參賽者全部專業汽車資安研究人員。</p> <p>俗話說，想要學會走路，先要學會怎麼爬。綜觀上述說明，想要研究真實世界的車聯網安全，總是先要具備汽車領域方面的知識，而CTF競賽是方式之一，幫助探討各種汽車相關攻擊手法的興趣，促進相關知識與技術的接觸。</p> <h3><strong>車用環境與設備需求不同，汽車CTF競賽仍具難度</strong></h3> <p>對於Car Hacking Village CTF的競賽方式，我們不免感到好奇，這場CTF競賽是否很多人參加？VicOne的成績如何？題目是長什麼樣子？以及對於競賽的觀察？</p> <p>具體而言，今年這場活動50支隊伍參賽，CTF題目共有23題，第一名團隊解開了21題，獲得了2,960分，其團隊名稱是「；」。VicOne所組團隊「canucks」，則以2,720分獲得第二名。</p> <p>張裕敏表示，其實參賽隊伍的能力差距很大，50隊中只有19隊拿到分數，其他31隊的得分為0。原因在於，這樣的競賽沒有報名限制，也歡迎在場的學生與業餘者前來挑戰，從挑戰中來接觸車輛安全的研究。</p> <p>基本上，本次競賽名列前茅的隊伍，都是專業的團隊，甚至有些團隊所攜帶的設備，可能高達好幾百萬臺幣，若是沒有這些設備的幫助，其實這場CTF競賽很難玩得起來。</p> <p>以VicOne的團隊「canucks」而言，報名11人，實際有6人下場挑戰，當中1人是來自VicOne的捷克資安研究人員，5人是來自VicOne投資的一家底特律新創公司Block Harbor。</p> <p>從上述說明我們可以看出，Car Hacking Village CTF的參與形式，並不像臺灣較熟知的世界駭客大賽DEF CON CTF，只要打開電腦就能競技。</p> <p>實際Car Hacking的CTF競賽是什麼樣貌？VicOne汽車網路威脅研究實驗室研究員李奇霖表示，會場多張桌子上擺放許多裝置，現場甚至設置一臺經過修改的Tesla汽車，讓挑戰者作答某些題目時能體驗效果。</p> <p>基本上，這裡的CTF題目分成兩大部分，包括資訊攻防類型與裝置互動類型。簡單來說，一部分是坐在位子上就能處理，一部分的題目是分散的，要到每張桌子上的裝置去找。</p> <p>例如，其中一道題目令李奇霖印象深刻，其內容是針對可裝在汽車上的藍牙胎壓偵測器。這道題目的挑戰在於，該裝置裡面的韌體已被惡意竄改，因此首先需要先找出裝置的位置。</p> <p>這時，如果一般用手機開藍牙搜尋，並預期這個胎壓偵測器應該在輪胎附近，是搜尋不到這個裝置的，因為該裝置的藍牙訊號已被加料混淆，因此無法藉由藍牙訊號的強度資訊，也就是距離訊號，來找出這個胎壓偵測器。</p> <p>事實上，該裝置除了可以偵測胎內的胎壓與溫度，其本質也是一個無線電訊號裝置，當中也包含了MCU晶片、韌體等。因此，這時將可透過一臺頻譜分析儀來發現這個裝置。只是，這個頻譜分析儀需要自己攜帶，或是從周邊的展出供應商去借。</p> <p>而這題的第二部分，就是從無線電訊號中的資料，去檢查出了什麼狀況。此時會再提示如何存取該裝置，連接方式並非藍牙，而是透過其他的協定（Protocol），檢視其傳遞的資訊，然後就是找到不正常的訊號中所包含的一段Flag訊息，也就是成功找出這道題目的答案。</p> <p>李奇霖也指出，其實這次CTF有幾道題目，都是圍繞在無線電訊號。其他還有像是，一家銷售車用介面硬體與Debug工具的廠商，他們所出的一道題目，是可以使用該廠商的設備來解題。畢竟，所有參賽者不一定帶著很齊全的設備。</p> <h3><strong>VicOne展示自製測試小工具，支援CAN Bus與無線電</strong></h3> <p>除了CTF搶旗競賽，在Car Hacking Village的場邊活動中，許多供應商也在現場設攤相互交流，VicOne的臺灣資安研究人員也在現場，展示他們打造的一款小工具。</p> <p>畢竟，要探討與研究汽車相關攻擊，也需要有對應環境的工具與設備。這就如同前幾年我們關注OT安全研究，大家會重視Testbed環境的建立，以及可分析OT相關協定的工具。</p> <p>張裕敏表示，他們為了參加今年DEF CON，就打造了一個便於汽車測試的工具，讓喜歡的參與者能夠帶回去，或用於現場CTF解題。</p> <p>這個小工具有何特殊性？基本上，他們從主機板開始設計，外殼也是用3D列印而成，設計時考量的重點在於成本低且實用，便宜是指都是挑選容易買到的零件來組成，實用是指讓研究人員面對汽車上的通訊介面，可以不用買特殊裝置去轉接，因為這個簡化的小工具同時具有CAN Bus與無線電雙介面，能協助測試人員可以分析封包、發送測試封包，當中也具備Wi-Fi模組，因此能夠接在汽車上遠端測試。張裕敏指出，要做汽車測試的研究人員，普遍要買很多不同設備，這樣的簡畫小工具，相當受到歡迎，也因此被索取一空。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）VicOne Car Hacking Village CTF_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89VicOne%20Car%20Hacking%20Village%20CTF_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#0099ff;">在今年8月DEF CON大會的Car Hacking Village活動上，除了舉辦CTF競賽，多家廠商也在場邊設攤交流，趨勢科技旗下電動車資安子公司VicOne也不例外。他們展示了一款自製的汽車測試用小工具，具有CAN Bus與無線電雙介面，讓喜歡的參與者能夠索取，或用於現場CTF解題。（攝影／羅正漢）</span></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖X）Car Hacking Village CTF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96X%EF%BC%89Car%20Hacking%20Village%20CTF.jpg" style="width: 600px;" /></a></p> <p><span style="color:#0099ff;"><strong>在今年DEF CON 31大會上，Car Hacking Village的CTF競賽（CHV CTF）吸引50隊參與，VicOne所組團隊「canucks」以2,720分獲得第二名。</strong></span></p> <p><span style="color:#0099ff;"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）Car Hacking Village CTF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Car%20Hacking%20Village%20CTF.jpg" style="width: 600px;" /></a></strong></span></p> <p><font color="#0099ff"><b>從</b></font><strong style="color: rgb(0, 153, 255);">今年DEF CON 31大會的活動內容來看，包含數十項演講、競賽、展示實驗室、付費培訓、派對及聚會與活動，以及Village活動。</strong></p> <h3 class="rtecenter"><strong><span style="color:#0033cc;">繼續閱讀：</span><a href="https://www.ithome.com.tw/news/159189"><span style="color:#0066ff;">研究車聯網安全，懂資安也要懂機電控制知識</span></a></strong></h3> </div></div></div>
2023/10/10 08:33作者羅正漢https://www.ithome.com.tw/news/159188
研究車聯網安全，懂資安也要懂機電控制知識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>車聯網安全議題受重視，這幾年來不只有實際車輛漏洞挖掘的競賽，也有增進資安人員研究汽車資安知識的競賽，在<a href="https://www.ithome.com.tw/news/159188">電動車資安公司VicOne揭露組隊參賽Car Hacking Village CTF（CHV CTF）</a>經驗之餘，我們在與VicOne這些資安專家討論中，特別關注車聯網資安目前正面臨兩大挑戰，一是汽車資安人才，另一是汽車領域的臺灣供應鏈。</p> <p>例如，從CHV CTF競賽來看，此領域的人才培育是一大挑戰。張裕敏指出，基本上，雖然這裡的CTF題目經過設計，難度會降低，但對臺灣或業餘資安研究人員來說，這些題目還是會偏難。</p> <p>主要原因在於，以車聯網的知識領域而言，瞭解相關協定亦是重要一環，不論硬體設備上的Debug探針、韌體分析，還有CAN Bus、Automotive Ethernet等各式協定，以及無線電、藍牙、RF-433等相關通訊介面，又或是LiDAR探測測距技術，這些其實比較偏向機電控制。</p> <p>但以普遍臺灣學校教育或產業環境來看，做機電控制的不會碰資安，做資安的不會碰機電控制，還有相關設備取得困難也是需要跨越的門檻，因此，車連網安全方面目前有點像是一個盲區，有點類似前幾年OT安全的情形。</p> <p>再者，從Pwn2Own在汽車類別競賽來看，不只是電動車本身的系統，還有兩大面向同樣需要資安，分別是：車用資訊娛樂系統（In-Vehicle Infotainment，IVI），以及電動汽車充電（Electric Vehicle Chargers）。</p> <p>這也是臺灣產業需要關注的面向，畢竟，除了國內少數公司涉及汽車領域之外，我國更是有不少公司是打造車用資訊娛樂系統，這方面要注意的是，這些公司可能認為自己只是在做Android裝置，因為很多這些系統都是基於Andorid打造，但其實這也就是一套汽車子系統，等於是供應鏈的一環，因此也會是汽車領域供應鏈安全所關注的焦點。</p> <p>此外，國內亦有許多公司是做電動車充電樁的電力基礎設施，若從整體的充電樁面向來看，我們還可以關注的層面，包括相關自助結帳系統及充電樁平臺營運商。</p> <h3><strong>發展車聯網安全，多項幫助入門的活動持續推動</strong></h3> <p>除了瞭解Car Hacking Village CTF，近期我們注意到另一消息，是鴻海研究院資通安全所聯合美國麻省理工學院（MIT）多媒體實驗室與國立臺北科技大學，共同打造EVπ的開放EV資安驗證平臺，並相容MIH電動車開放平臺架構，當中除了強調資安為各種創新服務的核心，似乎也是提供了一個較低的門檻，讓更多人能夠更快接觸到無人車，我們可以如何看待這樣的發展？</p> <p>對此問題，VicOne汽車網路威脅研究實驗室副總裁張裕敏表示，該平臺去年發布，可以說是一個教育訓練平臺，本身也不限於車用，主要能提供一個簡單的環境，讓用戶寫Script去測試研究。</p> <p>就其發展意涵，該平臺是有一些類似CTF的意味，像是關掉了一些功能，或是精簡了部分項目，讓學生在上面可以發揮並取得成就，不過，從實際面向來看，這個平臺與真實車輛連結更低一點。他認為，這一平臺的目標就是為了幫助「過渡」。</p> <p>張裕敏解釋，從傳統IT產業要過渡到車輛這樣的機電產業，這中間可能需要一個過渡的環節，而這個平臺比較偏IT面，但可幫助建立車聯網概念。像是將汽車所使用的組合語言，以及使用很早期的控制流，包裝成可以用Python這樣的高階語言去控制，讓學生能夠理解汽車內部相關行為與互動，從中產生多一點興趣。</p> <p>換言之，還沒有完全跨過去車聯網領域，但其好處在於，可以讓學生變得比較不排斥。而不是讓資訊科系學生，一開始教育從8位元組合語言學起。</p> <p>綜觀上述不同類型活動，我們大致畫分出3個層次。（一）EVπ平臺可促進更多人對車聯網安全有興趣；（二）Car Hacking Village CTF競賽的題目已降低難度幫助入門，促進熟悉相關技術，仍需對機電控制有一些基礎；（三）Pwn2Own車輛漏洞挖掘大賽是真實安全議題，發現的漏洞將有助於業者補強其產品安全性，但這也需要累積實際車輛安全研究經驗。</p> <p> </p> </div></div></div>
2023/10/10 08:34作者羅正漢https://www.ithome.com.tw/news/159189
Google開始以Rust重寫Android裸機元件，進一步強化記憶體安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在去年<a href="https://www.ithome.com.tw/news/154539">公開</a>Android提高記憶體安全性的重要關鍵，便是增加Rust程式碼的比例，而現在Google再次<a href="https://security.googleblog.com/2023/10/bare-metal-rust-in-android.html">揭露</a>在Android應用Rust的最新進展。Google現在還使用Rust，改寫Android中，在Linux核心之外執行的安全關鍵元件，進一步減少安全漏洞。</p> <p>Google在去年做了調查，發現Android的記憶體漏洞，從2019年的223個降低到2022年的85個，經過分析，Google認為記憶體漏洞減少的情況，主要與Android記憶體安全程式碼比例增加有關。Rust是一個記憶體安全的程式語言，其許多核心功能，使得程式在編譯的時候，就能夠捕捉到大多數的記憶體安全問題，避免記憶體相關漏洞在執行時或是生產環境才出現。</p> <p>在Android 13中，就已經約有21％新的原生程式碼以Rust開發，官方提到，這些元件大多數是在用戶空間的系統服務，也就是會在Linux作業系統下執行。但除此之外，還有其他許多以非記憶體安全語言編寫的元件存在。</p> <p>Android系統的許多安全關鍵元件，都在Linux核心之外的裸機環境中執行，而這些過去都是以C語言編寫，因此Google為了強化Android裝置韌體的安全性，也逐漸提高在裸機環境使用Rust的比例。Google以Rust重寫了Android 14的虛擬化框架的受保護虛擬機器（pVM）韌體，替pVM信任根提供記憶體安全基礎。</p> <p>pVM韌體的作用與啟動程式（Bootloader）類似，是建立在開源啟動程式專案U-Boot之上，但官方表示，U-Boot當初設計時，並未考慮在敵對環境下的安全性，因此已經發現許多範圍外的記憶體存取、整數下溢（Integer Underflow）和記憶體損壞所導致的安全漏洞，特別是VirtIO驅動程式，其邊界檢查有許多缺失和問題。雖然Google已經修復了在U-Boot中發現的問題，但是透過使用Rust，可以在未來避免出現類似的記憶體安全漏洞。</p> <p>由於Google要支援Rust語言在裸機環境中使用，也因此貢獻套件，同時發布了一系列新的套件，像是pVM韌體的VirtIO驅動程式，Google便修復了現有virtio-drivers套件中的錯誤和健全性問題，還添加了新功能。此外，Google也發布用於實現Arm PSCI介面和其他SMCCC呼叫，以及處理和控制裝置記憶體映射的頁面表套件。</p> <p>Google還計畫發布更多的Rust套件，與支援各種平臺的裸機程式開發，Google提到，雖然在裸機上應用Rust還有許多限制，但是相較於C或C++，Rust提供更高的安全性和生產力。Google接下來還會繼續擴大Rust的使用。</p> </div></div></div>
2023/10/10 20:11作者李建興https://www.ithome.com.tw/news/159204
支援PCIe 4與發送端部署，WD推出新一代NVMe-oF橋接裝置
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_rapidflex_c2000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著CXL記憶體互連技術的崛起，重新帶動了<a href="https://www.ithome.com.tw/tech/158856">資料中心硬體資源全面解構</a>的話題，可組合式基礎架構（<a href="https://www.ithome.com.tw/tags/composable-infrastructure">Composable Infrastructure</a>）似乎出現繼續發展下去的新契機，而過去讓我們認識到這類技術的，主要有兩家廠商的產品，一是<a href="https://www.ithome.com.tw/review/105336">伺服器大廠HPE的Synergy</a>，另一則是<a href="https://www.ithome.com.tw/review/126831">硬碟與SSD大廠WD的OpenFlex</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-WD%20Disaggregated%20Infra3.jpg" style="width: 500px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-WD%20Disaggregated%20Infra1.jpg" style="width: 600px;" /></p> <p>以後者而言，過去幾年並未取得市場重大突破，但還是偶有新作。例如，2020年下半，我們曾介紹該公司當時推出的NVMe-oF儲存平臺<a href="https://www.ithome.com.tw/review/139285">OpenFlex Data24</a>，這是透過NVMe-oF交織網路使得多臺伺服器得以共用的固態儲存櫃（JBOF），當時提到這臺2U尺寸儲存設備前側面板，可容納24臺NVMe固態硬碟Ultrastar DC SN840，而在機箱背部，可安裝6張稱為RapidFlex系列的NVMe-oF網路介面卡（fabric adapters）——這個裝置可橋接乙太網路而與伺服器相連，也能橋接JBOF設備上面的PCIe交換器，WD最初提供的款式是RapidFlex C1000，上面搭配1顆ASIC晶片RapidFlex A1000。值得注意的是，NVMe固態硬碟與NVMe-oF網路介面卡使用的I/O介面，均為PCIe 3.0的規格。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20A1000%20Arch.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20C1000%20Arch.jpg" style="width: 298px;" /></p> <p>到了今年8月，WD推出加強版NVMe-oF儲存平臺OpenFlex Data24 3200，當中搭配的NVMe固態硬碟，改為新發表的<a href="https://www.ithome.com.tw/review/158451">Ultrastar DC SN655</a>， NVMe-oF網路介面卡稱為NVMe-oF交織網路橋接裝置（Fabric Bridge Device，FBD），換成第二代產品RapidFlex C2000，上面採用的ASIC晶片是RapidFlex A2000，I/O介面均為PCIe 4.0的規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20A2000%20Arch.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20C2000%20Arch.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex%20Data24%203200-1.jpg" style="width: 600px;" /></p> <p>關於Ultrastar DC SN655的部分，<a href="https://www.ithome.com.tw/review/158451">我們在8月底已經報導</a>，另一款產品RapidFlex C2000，相較於前代（RapidFlex C1000），除了採用傳輸頻寬增加1倍的PCIe 4.0介面，支援的NVMe與NVMe-oF標準，也分別提升到1.4版與1.1版（C1000支援NVMe 1.2與1.3，以及NVMe-oF 1.0），而在內建網路介面的規格上，RapidFlex C2000提供2個100GbE埠（C1000提供1個100GbE埠）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-WD Disaggregated Infra2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-WD%20Disaggregated%20Infra2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20Controller.jpg" style="width: 600px;" /></p> <p>而在使用彈性上，RapidFlex C2000不只是提供目標端模式（target mode），安裝在OpenFlex Data24設備，現在增設發送端模式（initiator mode），也能安裝在伺服器，比起使用傳統網路卡，可提供更具成本效益與節約用電的NVMe-oF部署選擇（平時耗電量為13瓦）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex-2023-1.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex-2023-2.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20OpenFlex-2023-3.jpg" style="width: 198px;" /></p> <p> <a href="https://s4.itho.me/sites/default/files/images/WD RapidFlex vDrive.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20RapidFlex%20vDrive.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>WD RapidFlex C2000</strong><br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●外形：半高半長介面卡<br /> ●I/O介面：PCIe 4.0 x16<br /> ●搭配ASIC晶片：WD RapidFlex A2000<br /> ●提供網路介面：2個100GbE埠<br /> ●相容I/O與通訊標準：NVMe 1.4、NVMe-oF 1.1、TCP、RoCEv2<br /> ●Initiator功能：支援vDrive、ZNS裝置、UEFI開機，虛擬SSD最多提供2個實體功能，每臺虛擬SSD支援32個命名空間、128個佇列配對<br /> ●Target功能：支援ZNS裝置，提供120個虛擬控制器，3,896個NVMe-oF Submission / Completion佇列，可連接32臺NVMe SSD，每臺SSD支援32個命名空間、每個NVMe-oF連線支援64個節點</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/10 16:37作者李宗翰https://www.ithome.com.tw/review/158911
Hello Kitty勒索軟體解密金鑰被公布於網路論壇上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/3xp0rtblog/status/1710387356979560800" target="_blank">研究人員發現</a>曾攻擊VMware虛擬化平臺的勒索軟體Hello Kitty的程式碼被公開於網路論壇上，可用以製作解密程式。</p> <p>研究人員3xp0rt發現論壇XSS上一代號為kapuchin0的使用者張貼了一個名為hellokitty.zip的壓縮檔，並指是勒索軟體Hello Kitty的第一個分支。</p> <p>Hello Kitty從2020年10月開始發展，一開始感染Linux系統，2021年初攻擊遊戲製作商CD PROJEKT RED，取得多套遊戲的程式碼。當年中資安業者Palo Alto Network發現HelloKitty鎖定VMware ESXi系統感染，受害者遍及義大利、澳洲、德國、荷蘭，以及美國。</p> <p>最新流出的hellokitty.zip包含Visual Studio專案，內含開發HelloKitty加密和解密器的程式碼，以及NTRUEncrypt函式庫。</p> <p>《<a href="https://www.bleepingcomputer.com/news/security/hellokitty-ransomware-source-code-leaked-on-hacking-forum/" target="_blank">Bleeping Computer</a>》引述安全專家Michael Gillespie證實這次公布的，是真的Hello Kitty的程式碼。</p> <p>雖然對某些研究人員而言，這次公布的程式碼有助於研究或開發解密程式，但也可能落於有心人之手以開發變種，發動新的攻擊。<a href="https://www.ithome.com.tw/news/156853" target="_blank">Babuk</a>、<a href="https://www.ithome.com.tw/news/150907" target="_blank">REvil</a>等勒索軟體程式碼公開後，也都出現變種繼續為禍。</p> </div></div></div>
2023/10/10 14:41作者林妍溱https://www.ithome.com.tw/news/159201
傳OpenAI也正思考開發自有AI晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/159193" target="_blank">微軟傳出可能自行研發AI晶片</a>後，《<a href="http://www.reuters.com/technology/chatgpt-owner-openai-is-exploring-making-its-own-ai-chips-sources-2023-10-06" target="_blank">路透社</a>》上周報導，新創AI公司OpenAI也可能有類似作法。</p> <p>報導引述消息人士指出，為了解決買不到足夠Nvidia GPU的問題，OpenAI正在思考自行打造AI晶片，包括透過收購達成目的。</p> <p>消息人士指出，OpenAI內部尚未做出明確決定，但去年起，該公司已設想了許多方法解決運行AI所需的Nvidia GPU短缺問題。他們思考過的選項包括自行打造AI晶片、和更多晶片供應商合作，包括Nvidia及其他廠商。該公司也可能透過收購強化自行生產AI晶片的能力。</p> <p>其他供應AI晶片的業者包括AMD、英特爾、臺灣的華碩、技嘉、微星、以及香港的栢能科技（PC Partner）及藍寶科技（Sapphire）等。</p> <p>OpenAI拒絕對此評論。</p> <p>這決定並不令人意外。去年起延續迄今的晶片荒，以及去年底OpenAI發表ChatGPT帶動全球生成式AI熱潮，使全球GPU短缺問題進一步惡化。</p> <p>欲推出生成式AI服務的雲端龍頭Google和Amazon已開發出自有AI晶片，包括Google TPU及Amazon Trainium/Inferentia。而《<a href="https://www.ithome.com.tw/news/159193" target="_blank">The Information</a>》上周報導，微軟也預計利用Ignite 2023年公布研發4年以上的自有AI晶片，以降低對Nvidia的依賴及購買成本。</p> </div></div></div>
2023/10/10 14:51作者林妍溱https://www.ithome.com.tw/news/159202
微軟正式從Windows 11移除Cortana
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟開發Copilot意謂舊AI助理Cortana的退位。微軟即將釋出的最新Windows 11更新，將正式移除Cortana。</p> <p>微軟上周將Windows 11 Insider預覽版Build 25967釋出到Canary 通道。這個版本一旦安裝到PC中將會移除Cortana。</p> <p><a href="https://www.ithome.com.tw/news/157185" target="_blank">微軟今年6月宣布</a>今年底之前終止支援獨立的Cortana App。雖然Outlook及Teams手機版、Teams顯示器（display）與Teams聊天室的Cortana功能仍然可持續運作，不過微軟還是建議用戶改用Microsoft 365與Windows中的Copilot。</p> <p><a href="https://www.ithome.com.tw/news/158879" target="_blank">內建新助理Copilot的Windows 11 22H2</a> Build 22621.2361（KB5030310）已在9月26日釋出，22H2還提供名為Moment 4的AI強化原生功能，包括小畫家、剪貼工具、NotePad、相片程式等。</p> <p>除了移除Cortana外，Windows 11 Insider預覽版Build 25967最大特色是加入新的「設定」App首頁。新首頁在單一頁面中以互動卡片方式，提供檢視所有設定情況，目前有7張卡片，分別顯示建議設定、雲端儲存量、增加帳號回復用的資訊、一鍵變更個人化設定、連結和管理藍牙裝置、以及檢視Microsoft 365與XBox訂閱狀態。</p> <p class="rtecenter"><img alt="" src="https://blogs.windows.com/wp-content/uploads/prod/sites/44/2023/06/settings-homepage-1024x758.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_微軟</span></span></p> <p>其他變更包括快速設定由原本需自行編輯，變成可捲動的快速設定頁；系統元件從現有「設定」>「應用程式」>「已安裝應用程式」頁，移到「設定」>「系統」下的「系統元件」頁，而這也反映在Windows開始選單中由「所有應用程式」移到「系統」標籤；Windows Subsystem for Linux（WSL）強化網路管理功能等。此外也有些功能更新。</p> </div></div></div>
2023/10/10 14:17作者林妍溱https://www.ithome.com.tw/news/159200
使用開源簡中語料微調LLM模型引起熱議，中研院宣布已下架繁中優化的大型語言模型CKIP-Llama-2-7b
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中研院在上周五<a href="https://www.ithome.com.tw/news/159166">開源釋出</a>了用Meta的Llama 2所開發的繁中優化的大型語言模型CKIP-Llama-2-7b，並將其放上GitHub等平臺，提供學術和商用，不過，最初在訓練階段使用簡中的開源資料集，導致多任務微調的繁中模型，在回答提問時可能出現簡中習慣的用語或詞彙，引起社群廣泛討論和關注。在模型釋出第4天，中研院在今日傍晚（10/9）發布<a href="https://www.sinica.edu.tw/News_Content/70/1850">新聞稿</a>，宣布已將該模型下架。</p> <p>中研院此次使用開源商用LLM模型Llama 2所開發的CKIP-LlaMa-2-7b模型，是一項來自中研院內部的計畫，該計畫的目的是要透過繁中優化的大型語言模型，協助研究人員自動化分析和建構中國明清朝代人物的生平圖譜，包括歷史人物、事件、時間、地點等事理圖譜。完成模型後，中研院不僅將其用於內部用途，還將該模型開源，提供給公眾進行試用。</p> <p>為了訓練可以自動化明清人物分析的LLM模型，需要大量文言文的語料。因此，CKIP Lab團隊在構建訓練資料時，也納入了中國的簡中語料，以便進行文言文和白話文的相互翻譯，以及詩詞等方面閱讀理解。這也解釋了為什麼中研院沒有使用自己多年累積的中文繁體語料。</p> <p>CKIP-LlaMa-2-7b模型最初用於明清人物的生平自動化分析使用，中研院強調，因為與「台版ChatGPT」功能有所不同，許多提問測試並不在其原始研究範疇之內。同時，中研院指出，該模型與國科會正在開發的國產可信任AI對話引擎（TAIDE）無關。</p> <p>中研院補充說明，這是一項個人小型研究，總經費約30萬元，其中主要用於運算成本。為了訓練CKIP-LlaMa-2-7b模型，中研院租用了4個Nvidia A100雲端運算服務，共花費了10多天進行模型訓練。</p> <p>然而，在該模型微調的過程中，因大量使用含有簡中內容的COIG-PC和dolly開源資料集，導致模型釋出後，許多人實際測試發現，中研院的繁中大型語言模型在回答提問時可能含有簡中習慣的用語或詞彙出現，而引起熱議。負責該計畫的研究人員表示，生成式AI容易產生所謂的「幻覺」（hallucination），使模型生成的內與預期不符，這是未來要積極改善的領域，並表示未來研究及成果釋出，會更加謹慎。</p> <p>為了防止類似問題再次發生，中研院強調將建立審核機制，未來，研究人員必須經過審核才能對外公開釋出其相關研究成果。儘管中研院已下架該模型，但對於修正後是否重新上架則沒有多做說明。</p> </div></div></div>
2023/10/9 22:19作者余至浩https://www.ithome.com.tw/news/159198
BBC拒絕生成式AI業者擷取網路內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應生成式AI對新聞媒體帶來的好處和衝擊，<a href="https://www.bbc.co.uk/mediacentre/articles/2023/generative-ai-at-the-bbc/" target="_blank">英國新聞龍頭BBC頒布政策</a>，將拒絕生成式AI業者利用爬蟲技術擷取其網路內容訓練其模型，以採行「更可行、結構化」的合作方法，也將開始研究以AI協助產出新聞內容。</p> <p>BBC主席Rhodri Talfan Davies指出，生成式AI（Gen AI）可生成文字、圖片、語音、音樂和影片回應用戶的提示詞，該公司相信Gen AI提供很好的機會，讓BBC深化其影響力，為觀眾和社會提供更大價值，也能在生產力工作流程及後臺等方面提升工作效率和能力。但是Gen AI也帶來倫理問題、法律與版權挑戰，以及假資訊、偏見的重大風險。</p> <p>BBC相信以負責任方式使用AI可降低AI的風險，於是公布三大Gen AI原則，同時啟動AI實驗。第一是BBC欲探索使用Gen AI的方法，也關注Gen AI降低其對媒體信任、版權保護和內容發現引發的風險，將與科技業者、媒體夥伴及主管機關合作確保Gen AI的安全和透明度。第二，BBC不認為AI可以複製或取代人類生成創意，將以記者、作者和廣播人員產出的真實內容為最優先，但協助他們探索運用Gen AI產出內容，BBC在使用Gen AI時也將考量藝術家及持有者權利。第三，BBC會公開坦承使用Gen AI生成的內容和服務，此類內容出版前都會由人類審查，若有AI研究的內容也絕對不會原封不動用上。</p> <p>BBC說，作為測試評估，未來幾個月內將展開多項運用AI產出內容的專案，包括運用Gen AI生成新聞、進行研究、尋找資訊、歸檔，以及開發個人化服務。同時為避免侵害付費用戶權益，BBC禁止AI業者未經同意擷取BBC網頁內容訓練AI模型；他們希望簽定更明確的合作方式，因此目前BBC已封鎖OpenAI或Common Crawl等業者的網頁爬蟲存取BBC網站，</p> <p>BBC也正評估Gen AI對媒體產業的其他影響，例如搜尋引擎中加入Gen AI，是否會影響網站流量，以及使用Gen AI是否會助長不實資訊的問題。</p> <p>為了平息媒體或出版界對生成式AI擷取免費資訊為己用的不滿，<a href="https://www.ithome.com.tw/news/159042" target="_blank">Google上周公布Google-Extended工具</a>，出版商只要透過robots.txt即可允許或拒絕Bard及Vertex AI等AI服務使用出版業網站內容訓練其生成式AI模型。</p> </div></div></div>
2023/10/9 20:23作者林妍溱https://www.ithome.com.tw/news/159197
搭32臺E1.S固態硬碟，技嘉跨入高密度快閃儲存伺服器產品
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_s183-sh0_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年台北國際電腦展期間，技嘉科技展出多款伺服器，其中以搭配Nvidia HGX H100 8-GPU的機型，以及Nvidia GH200融合CPU與GPU的機型，最受到矚目，在此同時，我們注意到他們首度推出1U高密度儲存伺服器，機型名稱是S183-SH0，搭配2顆<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable處理器</a>——可支援60核心與內建HBM記憶體的Xeon Max系列，而在記憶體與儲存方面，採用32支DDR5-4800規格的DRAM記憶體，前側面板可安裝32臺EDSFF E1.S外形的NVMe固態硬碟。</p> <p>若全部裝滿E1.S固態硬碟，S183-SH0可提供多大NVMe固態儲存空間？縱觀目前市面上的這類外形SSD，受限於侷促的空間配置（比2.5吋U.2或U.3更小），因此，單臺裝置的最大儲存容量為7.68 TB，像是Kioxia XD7P、<a href="https://www.ithome.com.tw/review/150002">Micron 7450</a>、<a href="https://www.ithome.com.tw/review/151856">Solidigm D7-P5520</a>，因此，理論上，整臺S183-SH00目前最大能搭配到245.76 TB的儲存空間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/S183-SH0-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/S183-SH0-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/S183-SH0_BlockDiagram-SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/S183-SH0_BlockDiagram-SSD.jpg" style="width: 600px;" /></a></p> <p>以目前來看，市面上雖然已存在可搭配E1.S固態硬碟的伺服器，但支援1U尺寸高密度配置的機型，搭配的處理器平臺大多都是幾年前推出的，例如我們先前介紹的<a href="https://www.ithome.com.tw/review/122205">Supermicro 1029P-NMR36L</a>、<a href="https://www.ithome.com.tw/review/131039">營邦 FB128-LX</a>，而在今年新問世的伺服器產品當中，也有一些可搭配E1.S固態硬碟的1U尺寸機型，但並不主打30臺SSD以上的高密度儲存配置，例如，Supermicro的SSG-121E-NES24R，可容納24臺E1.S固態硬碟；雲達<a href="https://www.ithome.com.tw/review/155209">的QuantaGrid D54X-1U</a>與QuantaGrid S44NL-1U，可安裝16臺E1.S固態硬碟。</p> <p>對照技嘉既有的儲存伺服器產品線S系列，多為2U或4U尺寸機型，能提供相當大的單位儲存容量。以2U尺寸伺服器而言，一般都會搭配12臺3.5吋硬碟或是24臺2.5吋硬碟，而技嘉的S251-3O0、S252-ZC0可容納26臺硬碟，包含24臺3.5吋硬碟，加上2臺2.5吋硬碟，而搭配的處理器，分別採用英特爾第二代Xeon Scalable系列，以及AMD第二代或第三代EPYC系列；另一款R262-ZA0則是42臺硬碟，包含40臺2.5吋硬碟，加上2臺2.5吋NVMe固態硬碟，搭配的處理器是AMD第三代EPYC 7003系列。</p> <p>就4U尺寸伺服器而言，一般都會搭配36臺3.5吋硬碟或是48臺2.5吋硬碟，技嘉的S452-Z30可容納42臺硬碟，包含36臺3.5吋硬碟、4臺2.5吋硬碟與固態硬碟，以及2臺2.5吋硬碟，另一款S472-Z30可容納50臺硬碟，包含24臺3.5吋硬碟、4臺2.5吋硬碟與固態硬碟、8臺2.5吋NVMe固態硬碟、12臺2.5吋硬碟，以及位於機箱背部的2臺2.5吋硬碟。在處理器與記憶體的搭配上，這兩款機型均採用AMD第三代EPYC 7003系列，可搭配16支DDR4-3200記憶體。</p> <p>他們今年推出的4U儲存伺服器S453-S70與S453-Z30，分別搭配的處理器是英特爾第四代Xeon Scalable系列，以及AMD第四代EPYC 9004系列，在儲存裝置的組態上，均可容納38臺硬碟，包含24臺3.5吋硬碟，以及機箱背部的12臺3.5吋硬碟、2臺2.5吋硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte 2023-Storage Server-Intel and AMD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte%202023-Storage%20Server-Intel%20and%20AMD.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉S183-SH0</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（438x 43.5 x 730公釐）<br /> ●處理器：2顆，Intel第四代Xeon Scalable系列（TDP最高350瓦）<br /> ●記憶體：32個DDR5插槽<br /> ●儲存配置：32臺E1.S外形NVMe固態硬碟<br /> ●I/O介面：PCIe 5.0 x16（3個全高半長）<br /> ●電源供應器：2臺1600瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/9 19:48作者李宗翰https://www.ithome.com.tw/review/159055
Windows 12規畫訂閱版？證明是虛驚一場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周一個流傳的Windows早期測試版顯示微軟正在規畫一個訂閱版本的Windows，一度引發猜測可能是微軟為Windows 12加入的新設計，後來有其他資訊顯示，的確有新的授權式Windows，但不是Windows 12。</p> <p>上周《<a href="https://www.neowin.net/news/microsoft-might-want-to-be-making-windows-12-a-subscription-os-suggests-leak/" target="_blank">Neowin</a>》引述德國媒體<a href="https://www.deskmodder.de/blog/2023/10/04/windows-11-12-auch-als-abo-version-fuer-normale-nutzer/" target="_blank">Deskmodder</a>做出Windows 12可能將改成訂閱版的報導。德國媒體拿到一個Canary測試版本的Windows版，在其INI配置檔顯示一段文字是最新一版Windows 11 23H2預覽版所沒有的，當中包含多個Subscription字眼。媒體於是預測可能是代號Next Valley的Windows 12未來的提供方式。</p> <p>一旦Windows 12轉為訂閱版，代表用戶必須支付月費或年費才能取得最新功能或安全更新。</p> <p>不過專精Windows的《Windows Central》周末報導並非如此。<a href="https://twitter.com/XenoPanther/status/1710027423981388161/photo/1" target="_blank">報導引述了一名使用者發現的訂閱版的早期測試版</a>，是來自名為Windows 11的IoT Enterprise Subscription，並非Windows 12。Windows 11 IoT Enterprise Subscription應是自Windows IoT Enterprise衍生而來的新版本。後者是用於小型工業閘道器、PoS終端和自動提款機等設備的Windows版。</p> <p>其實微軟的Windows 365已是訂閱版Windows，允許用戶端連上雲端使用代管在Azure資料中心的作業系統Cloud PC。而且Windows 11也逐步增加整合Windows 365的功能，<a href="https://www.ithome.com.tw/news/158994" target="_blank">包括可讓用戶在桌機和雲端切換的Windows 365 Switch</a>，以及22H2新增Windows 365 Boot，讓一些作業型態，如客服人員一開機就能登入Windows 365 Cloud PC作為主要作業系統。</p> </div></div></div>
2023/10/9 15:21作者林妍溱https://www.ithome.com.tw/news/159194
美國公布十大攸關資安的錯誤配置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國安局（National Security Agency，NSA）與國土安全部（DHS）旗下的網路安全暨基礎設施安全局（CISA）上周<a href="https://www.cisa.gov/news-events/news/joint-advisory-top-cyber-misconfigurations-highlights-urgency-software-manufacturers-incorporate" target="_blank">聯手公布了十大最常見的配置錯誤</a>，這些錯誤的配置某種程度讓駭客更易展開攻擊，因而同時提出七項最佳安全作法以供軟體業者參考。</p> <p>這十大配置錯誤的評估是來自於NSA與CISA的紅隊與藍隊測試，以及這兩個組織的狩獵與事件回應活動，彰顯出許多大型組織的系統漏洞，以及軟體業者在設計階段就應植入安全考量的重要性。</p> <p><a href="https://media.defense.gov/2023/Oct/05/2003314578/-1/-1/0/JOINT_CSA_TOP_TEN_MISCONFIGURATIONS_TLP-CLEAR.PDF" target="_blank">它們分別是軟體與應用程式的預設配置、使用者與管理員權限的分離不當、內部網路監控不足、缺乏網路分段、修補程式管理不善、繞過系統存取控制、多因素身分驗證薄弱或設定錯誤、網路共享與服務的存取控制名單不足、憑證衛生不佳，以及不受限的程式碼執行等。</a></p> <p>其中，預設配置的問題出現在裝置或軟體的預設憑證，以及某些服務的存取控制過於寬鬆。而使用者與管理員權限的分離不當則是最常看到特定帳號擁有過多的權限，服務權限的擴張，或是非必要擴張的帳號權限。在內部網路的監控上，有些組織並未針對主機與流量偵測的配置進行最佳化，造成它們無法立即發現異常活動。</p> <p>缺乏網路分段不僅允許駭客藉由破壞網路資源以於不同的系統上橫向移動，也會讓組織更容易受到勒索軟體攻擊或其它Post Exploitation深度攻擊的影響。儘管業者總是會督促用戶修補安全漏洞，但缺乏定期修補政策或使用已被棄置的產品經常成為駭客入侵的缺口。此外，駭客可透過破壞環境中的備用系統，來繞過系統的存取控制，例如蒐集雜湊值以非標準方式進行身分驗證，或是模仿沒有文明密碼的帳號以擴張存取權限。</p> <p>另有些網路已要求使用者透過智慧卡或權杖登入，卻未取消密碼登入，而這些經久不曾改變也未被移除的密碼則成為駭客的入侵管道；或是有些多因素身分驗證也會遭受網釣攻擊。網路共享與服務存取控制名單的不當配置，則會允許未經授權的使用者於共享磁碟中存取機密資料。不佳的憑證衛生涵蓋了可輕易破解的密碼，以及存放了明文密碼。不當允許主機執行未經授權的程式則是賦予了駭客極高的攻擊能力。</p> <p>NSA與CISA針對上述最常見的每一個配置問題提出了詳細的建議，例如在部署前應先行變更應用程式與裝置的預設配置，例如密碼與權限；部署Authentication, Authorization, and Accounting（AAA）框架來監控帳號行動，限制特權帳號執行一般任務，採用限時的特權帳號；建立應用與服務的活動基準線；部署可深度過濾的新一代防火牆；定期修補安全漏洞或採用自動更新，不再使用過時的軟體或韌體；限制不同系統間的重覆憑證；最好採用基於現代開放標準的雲端身分驗證；針對所有儲存裝置部署安全配置，實施最少權限原則；不讓系統執行不明來源的應用程式，建立程式執行的白名單。</p> <p>此外，NSA及CISA亦督促軟體業者應該採取最佳作法來避免用戶陷入安全危機，包括從軟體設計到整個開發周期的產品架構都應嵌入安全控制；廢除預設密碼；在設計產品時不讓單一的安全控制的失靈影響整個系統；免費提供高品質的稽核日誌予客戶；採取行動來消除整個類別的安全漏洞，如使用者記憶體安全程式語言；於稽核紀錄中提供充份的細節以更利於偵測系統上的可疑行動；強制要求特權用戶執行多因素身分驗證，或是讓多因素身分驗證成為所有使用者的登入預設值。</p> <p>Orange Cyberdefense曾引用VERIS資安意外統計框架，指出全球所發生的資安事件中，大約有35%是源自系統的錯誤配置，顯示出若認真改善配置問題，全球組織將可減少1/3的資安意外。</p> </div></div></div>
2023/10/9 16:08作者陳曉莉https://www.ithome.com.tw/news/159195
Docker Scout新工具最佳化容器應用程式開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker在其使用者大會中DockerCon，<a href="https://www.docker.com/press-release/announces-new-local-cloud-products-to-accelerate-delivery-of-secure-apps/">發布</a>了多項可協助開發容器應用程式的工具，像是用於評估容器映像檔的<a href="https://www.docker.com/blog/announcing-docker-scout-ga/">Docker Scout</a>、遠端建置工具Docker Build，還有更完整的除錯工具Docker Debug，讓開發團隊在內循環，包括編寫程式碼、建置、測試和除錯流程更加順暢。</p> <p>官方宣布了Docker Scout正式推出，讓開發者可以在軟體供應鏈中使用更少的工具，簡化開發流程，同時降低人員在上下文切換中帶來的成本。由於現代軟體供應鏈的複雜性，使得開發者工作負擔增加，在不同上下文中切換，不僅耗時也容易出錯。</p> <p>Docker Scout是能夠增強安全性和效率的工具，提供多種功能，協助開發者在整個開發流程，從建置到部署，都能良好地進行監控和管理。Docker Scout透過與Sysdig、JFrog Artifactory、AWS ECR、GitHub、GitLab、CircleCI和Jenkins等多種工具整合，提供開發者有關保護和管理供應鏈的即時建議和分析結果，還允許開發者根據現成的政策，持續評估容器映像檔，確保這些映像檔符合軟體供應鏈最佳實踐。</p> <p>Docker Scout除了根據監控結果和政策評估提供建議，助開發者最佳化和保護應用程式之外，官方還強調，該工具的監控範疇不僅限於生產環境中執行的容器映像檔，而廣泛地涵蓋整個軟體供應鏈。此外，Docker Scout也推出一套建議的工作流程，特別適合以Docker信賴內容為基礎建置Docker容器映像檔的開發者。</p> <p>Docker Scout包含了一個稱為政策評估的早期功能，不僅能夠提供傳統允許或是拒絕的二元結果，官方提到，舊的評估策略過於簡化，無法處理細微的情境，導致政策實施不一定適用日常的實際情況。Docker Scout能夠指出細微偏差，並且主動建議升級和修復方法，引導開發者符合政策指引。</p> <p>Docker Scout還內建開箱即用的政策，可用於維護基礎映像檔、追蹤漏洞，以及監控相關授權。透過評估結果，使用者可以看到每個映像檔的政策狀態，也可以從政策結果總覽，了解需要關注的重點。</p> <p>Docker也發布新一代建置工具Docker Build，減少開發團隊建置映像檔所花費的時間。新的Docker Build工具會使用大型按需雲端伺服器，以及全團隊範圍的建置快取，提高建置速度達39倍。另外，這次官方還釋出了獨立除錯工具Docker Debug，過去Docker雖然也有提供相關的除錯配置和指令，但僅能執行基本的容器除錯，而新的Docker Debug包含了開發者需要的各項除錯工具，可用於本地和遠端容器化應用程式除錯，協助開發人員更快地發現問題。</p> </div></div></div>
2023/10/9 14:30作者李建興https://www.ithome.com.tw/news/159165
微軟推出Playwright Test服務，加速大規模網頁應用程式端到端測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出一個稱為<a href="https://azure.microsoft.com/en-us/blog/announcing-microsoft-playwright-testing-scalable-end-to-end-testing-for-modern-web-apps/">Playwright Test</a>的測試服務，該服務可供開發者簡單地大規模執行Playwright測試框架，對現代網頁應用程式執行端到端測試，以驗證應用程式的可靠性，確保在不同情境下都能正常運作，而且全託管服務讓開發者只需要專注於應用程式測試，而無需擔心測試基礎設施的維護。</p> <p>Playwright是一個開源框架，能夠自動化端到端測試網頁應用程式。Playwright的主要功能包括支援多瀏覽器，以測試應用程式在Chromium、Firefox和WebKit等瀏覽器的行為，同時也可用於模擬多種行動裝置，在不同裝置和視窗大小下執行測試。另外，Playwright還可執行網路攔截和模擬，測試應用程式在不同網路條件下的行為。在測試過程中，Playwright會截圖和拍攝影片，方便開發者除錯。</p> <p>而微軟推出Playwright Testing這個完全由雲端管理的服務，使得大規模執行Playwright測試更加容易，其提供高度平行化的測試能力，允許應用程式一次在多種作業系統和瀏覽器組合上，執行大量Playwright測試，在不犧牲測試品質的情況下，更快速地完成測試並加速功能交付的腳步。</p> <p>對於原本就使用Playwright框架測試應用程式的開發者，轉移使用微軟的Playwright Test服務，不需要更改現有測試程式碼，只需要經過幾個配置步驟，將測試套件連接到服務，便可以無縫轉移。微軟的Playwright Test服務支援多個Playwright版本，並會隨著新的版本推出而更新，讓開發者的應用程式，可以在最新的瀏覽器版本和技術上測試，以確保應用程式維持現代化和安全性。</p> </div></div></div>
2023/10/9 14:34作者李建興https://www.ithome.com.tw/news/159175
90億參數的生成式AI模型GAIA-1，輔助自動駕駛模型「看見未來」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國AI新創公司Wayve揭露了<a href="https://wayve.ai/thinking/scaling-gaia-1/">GAIA-1</a>生成式模型的最新進展，在今年6月的時候，Wayve建立了將生成式模型用於自動駕駛的慨念性驗證，而在這幾個月，Wayve持續擴展GAIA-1，使其擁有90億個參數，能夠生成逼真的駕駛場景影片，呈現自動駕駛在各種情境的反應，並且更好的預測未來事件。</p> <p>GAIA-1是一個可以利用不同類型輸入資料，包括影片、文字和動作，創建逼真駕駛場景影片的世界模型（World Model）。GAIA-1可學習環境以及未來動態表示，向自動駕駛模型提供一個結構化的環境理解，協助駕駛模型做出明智的決策。</p> <p>官方提到，預測未來事件是自動駕駛系統一個基本且關鍵的能力，對未來的準確預測，可以讓自動駕駛車輛預先知道即將發生的事件，並且規畫其相對應的動作，增加上路時的安全性和效率。因此將世界模型整合到駕駛模型中，有助於自動駕駛系統更好地理解人類決策，並具備應對真實世界各種情境的能力。</p> <p>GAIA-1可對自動駕駛車輛的行為和場景特徵進行細緻的控制，且由於GAIA-1多模態的性質，能夠從多種提示模式和組合中生成影片。首先，GAIA-1會先運用專門的編碼器，將影片或文字等各種形式的輸入，編碼成一個共享的表示形式，進而在模型中實現統一的時序對齊和上下文理解，這種編碼方法，讓模型能夠更好地整合和理解不同類型的輸入。</p> <p>而GAIA-1的核心也就是世界模型，是一個自迴歸Transformer，能夠預測序列中下一組圖像token，世界模型不只考慮過去的圖像token，還參照文字和動作token的上下文資訊，運用這個方法所生成的圖像token，不僅會在視覺上連貫，而且也和預期的文字和動作指引保持一致。</p> <p>接著，影片解碼器這個階段被啟動，主要功能是將這些圖像token轉換回像素空間，影片解碼器作為一個影片擴散模型，其強大之處在於可保證生成的影片，具語義意義、視覺準確且時間序一致性。GAIA-1的世界模型經過64個Nvidia A100 GPU上長達15天的訓練，包含了高達65億個參數，而影片解碼器則在32個Nvidia A100 GPU上訓練15天，總共擁有26億個參數。</p> <p>經過數個月的發展，GAIA-1從原本的10億參數，成長到超過90億參數的模型，整個訓練資料集涵蓋2019年到2023年間，在英國倫敦所收集的4,700小時專用駕駛資料。參數規模的擴展，使得GAIA-1能力大幅提升，無論是影片生成、事件預測能力都更好，也更能理解基於文本和動作的控制。</p> <p>GAIA-1的主要價值，便是在自動駕駛中引入生成式世界模型的概念，透過整合影片、文本和動作輸入，展示多模態學習在創建多樣化駕駛情境的潛力，而且透過整合世界模型與駕駛模型，使駕駛模型能夠更好地理解自己的決策，並且泛化至真實世界的情境中，進而提升自駕車系統的能力。</p> </div></div></div>
2023/10/9 14:40作者李建興https://www.ithome.com.tw/news/159183
FBI未能完全終止Qakbot惡意攻擊，攻擊者仍在散播勒索軟體和後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）旗下的威脅情報團隊Talos<a href="https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/">指出</a>，儘管FBI在今年稍早的時候，<a href="https://www.ithome.com.tw/news/158499">成功瓦解</a>了由70萬臺受駭電腦所構成的Qakbot殭屍網路，但是這項行動並沒有完全消滅Qakbot惡意攻擊者。資安研究人員近期發現Qakbot攻擊者的新活動，透過釣魚郵件的手法散播Ransom Knight勒索軟體和Remcos後門程式。</p> <p>由於FBI在8月的行動，查封Qakbot惡意軟體所使用的基礎設施和加密貨幣資產，對該組織造成重大衝擊，但這顯然不代表Qakbot以及其附屬組織會就此消失，Talos最近就發現Qakbot仍在秘密活動。</p> <p>值得注意的是，這項活動似乎在FBI查封Qakbot基礎設施之前就已經開始，並從那個時候一直持續到現在，而這也就表示，FBI之前的行動，並未影響Qakbot惡意攻擊者的垃圾郵件發送基礎設施，而只是拆除其指揮和控制（C2）伺服器。</p> <p>Talos研究人員分析所發現的LNK檔案後設資料，以及先前Qakbot活動所使用的機器，將這個新發現的惡意攻擊活動與Qakbot的附屬組織相連結。這些攻擊者在基礎設施被拆除之前，就已經開始發送Ransom Knight勒索軟體和Remcos後門程式。研究人員不認為Qakbot攻擊者是勒索軟體即服務（Ransomware-As-A-Service）的幕後黑手，而僅是客戶的身份而已。</p> <p>從8月以來，這項新發現的活動一直在進行，雖然攻擊者未再發送Qakbot，但是研究人員認為，由於幕後黑手仍然存在，並有能力重建Qakbot基礎設施。因此在未完全消除相關威脅之前，攻擊者仍有能力透過其他方式進行攻擊。</p> </div></div></div>
2023/10/9 14:42作者李建興https://www.ithome.com.tw/news/159182
傳微軟下月公布自有AI晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/microsoft-to-debut-ai-chip-next-month-that-could-cut-nvidia-gpu-costs" target="_blank">《The Information》報導</a>，微軟即將於下個月揭露自行研發的AI晶片，可協助減少對Nvidia GPU的依賴。</p> <p>報導引述消息人士指出，微軟將在11月14-17日的Ignite開發者大會上宣布自行研發的AI晶片。<a href="https://techcommunity.microsoft.com/t5/partner-news/register-today-for-microsoft-ignite-nov-14-17-2023/ba-p/3932251" target="_blank">根據Ignite 2023的公開議程</a>，今年大會的重點之一是將AI融合進環境中。</p> <p>隨著去年OpenAI發表生成式AI模型及聊天機器人服務ChatGPT引發全球AI熱潮，帶動主要供應商Nvidia GPU的高度需求，也連帶驅動Nvidia GPU價格水漲船高。自行研發AI晶片將有助於節省向Nvidia採購GPU的成本，紓解歷時3年的晶片短缺，更重要的是減少對Nvidia的依賴，並提供更適合的AI執行能力。微軟Azure AI服務，以及Bing Chat、Bing Creator和CoPilot等都執行在Nvidia H100 GPU系列之上。</p> <p><a href="https://www.ithome.com.tw/news/156484" target="_blank">不過《The Information》今年稍早報導</a>，微軟其實2019年就啟動Athena專案，開發比市售晶片更強大的軟、硬整合晶片，以支援AI模型及執行。迄今已有300人投入Athena專案開發。同年微軟也投資AI新創業者OpenAI。</p> <p>上周報導中並未說明GPU的細節，不過早前報導指稱，Athena專案規畫數代設計，第一代可能以台積電5奈米製程生產。已有部分微軟和OpenAI員工已經拿到Athena的工程樣品。</p> <p>事實上，為提升產品自主性，不僅微軟想自行研發AI晶片，Google和Amazon也早已分別推出AI晶片TPU及Trainium、Inferentia系列。另一方面，業界的AI熱也使Nivida賺進大把鈔票，上季營收較前一年成長100%，成為市值突破一兆美元的成員。</p> </div></div></div>
2023/10/9 14:48作者林妍溱https://www.ithome.com.tw/news/159193
【資安週報】2023年10月2日到10月6日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2023年的零時差漏洞利用情況來看，上半年呈現數量攀升的趨勢，近期我們注意到最近這樣的威脅態勢更是顯著。在中秋連假後這一週，出現多個漏洞遭成功利用的重要消息：</p> <p>　（一）商業間諜軟體開發商發動的零時差漏洞攻擊不斷，影像編解碼程式庫libvpx的漏洞CVE-2023-5217已遭鎖定利用，除了Google修補，後續蘋果與微軟也相繼針對其產品修補這項漏洞。</p> <p>　（二）修補手機端的零時差漏洞同樣消息不斷，包括Arm Mali GPU Kernel Driver的漏洞CVE-2023-4211，以及蘋果iOS與iPadOS的漏洞CVE-2023-42824，均有攻擊者發現漏洞加以利用的狀況。</p> <p>　（三）思科修補網路設備作業系統IOS、IOS XE的零時差漏洞CVE-2023-20109，已遭攻擊者利用，該漏洞存在於群組加密傳輸VPN（GET VPN）功能。</p> <p>　（四）Atlassian旗下的Confluence Data Center版與Server版，傳出身分驗證與Session管理毀損零時差漏洞CVE-2023-22515，同樣已發現遭利用的情形。</p> <p>　（五）新修補的漏洞快速遭鎖定。先前我們提到JetBrains在9月下旬修補CI/CD軟體平臺TeamCity重大漏洞CVE-2023-42793，以及本期周報提到Progress在9月底修補FTP伺服器軟體WS_FTP Server重大漏洞CVE-2023-40044，這些弱點修補公布至今不到半個月，均遭攻擊者鎖定利用。</p> <p>　（六）4月微軟揭露Windows CNG金鑰隔離服務權限提升漏洞CVE-2023-28229，並公告修補消息，最近亦發現遭利用的證據。</p> <p>在其他漏洞威脅消息上，還有多個同樣需要留意的焦點，例如：資料整合及自動化工具Apache NiFi，今年6月修補的漏洞CVE-2023-34468，近日出現攻擊該漏洞的利用工具；郵件傳送代理程式EXIM存在重大漏洞CVE-2023-42115，去年6月雖然已通報開發團隊，至今卻尚未修補，近期已揭露成為零時差漏洞，目前尚未出現遭濫用的情形。</p> <p>在威脅事件焦點方面，有三大焦點最受關注：</p> <p>　●有資安業者揭露中國駭客寄送釣魚郵件，假借提供聲稱是台積電的簡介PDF檔，意圖濫用Cobalt Strike對半導體產業從是間諜行動。<br /> 　●大樓自動化管理業者Johnson Controls遭勒索軟體攻擊，該公司已在9月底向美國SEC提交8-K表單說明遭遇網路攻擊。<br /> 　●關於日前傳出有駭客組織入侵Sony，在多日調查後，Sony向美國政府通報資料外洩事故，並指出該外洩事件起因是在6月初遭遇MOVEit Transfer零時差漏洞攻擊。</p> <p>其他重要惡意威脅態勢上，有兩起與政府相關，有兩起與行動裝置攻擊相關，分別是：東南亞政府機關近年遭中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium鎖定的揭露，南美洲國家蓋亞那政府機關遭惡意程式DinodasRAT攻擊的揭露，以及逾50家越南銀行用戶遭安卓金融木馬GoldDigger的消息，以及中國駭客APT41開始對Android行動裝置下手，所利用的惡意軟體包括DragonEgg、WyrmSpy，並可竊取受害者地理位置資訊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159063"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</span></strong></a></h3> <p>利用<a href="https://www.ithome.com.tw/news/144028">惡意廣告（Malvertising）</a>對搜尋引擎用戶發動攻擊，相當氾濫，但隨著廠商在AI聊天機器人置入廣告，使得惡意廣告也能影響使用AI聊天機器人的用戶，對其造成危害。</p> <p>資安業者Malwarebytes揭露針對Bing Chat用戶的攻擊行動，就是一個典型的例子，一旦用戶詢問如何下載特定的軟體，機器人就會在搜尋結果將駭客的廣告擺在第一順位，使得用戶很有可能依照機器人提供的答案下載應用程式，而導致電腦被植入惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/159112"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月3日】Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</span></strong></a></h3> <p>基於便利等因素，我們可能會認為內部網域的流量能夠完全信任，而不需加以管理，但這麼做很可能讓攻擊者有機可趁！資安業者Certitude近期揭露Cloudflare漏洞，就是這種型態的例子。</p> <p>研究人員發現，攻擊者可藉由自己的Cloudflare帳號，藉由該公司設置內部網域的信任機制，對其他用戶造成危害，由於Cloudflare並未將此視為漏洞，亦不打算修補，使得研究人員呼籲用戶要採取緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/159124"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</span></strong></a></h3> <p>攻擊者利用求職、接案平臺進行網路釣魚攻擊的情況，可說是相當氾濫，其中，最常遭到濫用的是職場社群網站LinkedIn。但現在，有人提供網釣工具包EvilProxy，鎖定美國大型求職網站Indeed使用者，利用該網站未對網址進行管制的弱點來發動攻擊。</p> <p>透過該工具包利用網站弱點的情況，並非首例，今年3月至6月，駭客利用影音網站YouTube、購物比價網站Slickdeals的弱點，經過一連串的重新導向，才將受害者帶往釣魚網頁，目的是為了繞過各種資安系統與服務的偵測，行跡相當狡猾。</p> <h3><a href="https://www.ithome.com.tw/news/159144"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</span></strong></a></h3> <p>中國駭客APT41造成的資安事故頻傳，執行Windows作業系統的電腦是最主要受害的系統平臺，但這樣的情況自今年下半開始出現變化，有資安業者發現，這些駭客開發惡意軟體並對安卓用戶下手，最近有新的調查結果突顯這個趨勢</p> <p>例如，本週有資安業者ThreatFabric，揭露這群駭客對安卓手機發動的間諜軟體攻擊，而且，當中使用的惡意軟體，具有相當罕見的功能，引發關注——不只能搜括手機上的使用者資料，還能讓駭客得知受害者精準的地理位置。</p> <h3><a href="https://www.ithome.com.tw/news/159172"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月6日】中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動</span></strong></a></h3> <p>中國駭客的網路間諜行動頻傳，繼我們昨天報導駭客組織APT41針對安卓手機用戶下手，散布惡意程式的情況，今天又有數起攻擊行動與中國駭客有關。其中，最引人關注的事故，就屬冒用臺灣護國神山台積電名義的網路釣魚攻擊。</p> <p>這起攻擊行動的特別之處在於，駭客運用兩家資安廠商軟體的可執行檔來發動DLL側載攻擊，並利用中國億賽通Cobra DocGuard加解密伺服器來代管惡意程式，而利用此加解密系統的攻擊並非首例，<a href="https://www.ithome.com.tw/news/158411#carderbee">今年4月，駭客組織Carderbee利用這種伺服器散布惡意程式PlugX</a>。</p> </div></div></div>
2023/10/9 11:18作者羅正漢https://www.ithome.com.tw/news/159191
吸引企業多用Azure Arc，微軟兩大伺服器平臺舊版續命出新招
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/esu-main-aurnovcy_0-1695055234251.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於企業應用系統而言，伺服器作業系統與資料庫管理系統是支撐其運作的重要平臺，然而，廠商提供的產品生命週期與技術支援服務終有盡頭，在時間結束之前，用戶須設法進行升級或遷移，以避免既有系統平臺暴露在各種可能的風險，不過，很多公司可能無法在期限內完成這些作業，而必須繼續使用這些軟體產品，因此有些廠商會提供額外的付費服務，讓用戶獲得安全性更新，有限度地延長軟體使用壽命。</p> <p>旗下擁有多種個人端與伺服器系統軟體的微軟，他們採用的作法，是提供延伸安全性更新（Extended Security Update，ESU），目前涵蓋的產品，有嵌入式裝置作業系統Windows Embedded Standard 7，伺服器作業系統Windows Server 2012與2012 R2，資料庫管理系統SQL Server 2012與2014等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EOS-Microsoft1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/EOS-Microsoft22.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EOS-Microsoft22.jpg" style="width: 600px;" /></a></p> <p>企業若要針對上述Windows Server與SQL Server版本使用ESU，先前有兩種選擇。</p> <p>一種方式是搬遷到微軟Azure，可選用Azure系列公有雲或混合雲環境，例如，Azure Dedicated Host、Azure VMware Solution、<a href="https://learn.microsoft.com/en-us/azure/baremetal-infrastructure/workloads/nc2-on-azure/about-nc2-on-azure">Azure Nutanix Solution</a>，以及<a href="https://learn.microsoft.com/en-us/azure-stack/hci/manage/azure-benefits-esu">Azure Stack超融合平臺（Hub、Edge、HCI）</a>，均能免費獲得延伸安全性更新。</p> <p>事實上，此種產品「續命」模式早在2018年7月就已經提出，當時針對的產品是Windows Server 2008與2008 R2（2020年1月14日終止延伸支援），以及SQL Server 2008與2008 R2（2019年7月9日終止延伸支援）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EOS-Microsoft3.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Microsoft%20Server%20ESU%20Period.jpg" style="width: 600px;" /></p> <p>另一種方式則是企業付費購買ESU，以便在內部網路與多雲環境，維持兩種平臺的安全性。</p> <p>在今年7月下半舉行的全球合作夥伴大會，微軟不只揭露旗下多種解決方案結合AI技術的最新進展，在雲端服務的部分，宣布推出Extended Security Updates enabled by Azure Arc（ESUs enabled by Azure Arc，以下我們簡稱為Azure Arc ESU），可加速推動伺服器平臺遷移與進化，預計9月正式推出這套解決方案。</p> <p>微軟表示，在Azure Arc這套多雲統一管理的框架之下，用戶可從Azure網站入口介面進行購買，即可開始著手部署延伸安全性更新的部署，且適用範圍相當廣泛，不局限在Azure公有雲，而能同時涵蓋企業內部環境，以及其他公有雲與私有雲環境，最長可使用3年。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Inspire%20ESU1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Inspire%20ESU2.jpg" style="width: 600px;" /></p> <p>透過這樣的安全性更新，該公司認為，可提供一致的處理方式（集中管理資安漏洞的修補作業），協助守護與管理位於雲端環境與內部環境的Windows Server，以及SQL Server系統，並搭配彈性的使用模式（根據用量計價的服務訂閱），使企業能夠更有餘裕規畫IT基礎架構的現代化、遷移或升級。</p> <p>相較之下，若採用大量授權中心供應的延伸安全性更新，用戶是以每年漸進增加的方式購買服務。</p> <h3><span style="color:#0000FF;"><strong>使用便捷，提升伺服器的資產與成本管理，計費方式更彈性</strong></span></h3> <p>若決定採用Azure Arc ESU，企業這些即將終止延伸支援的微軟伺服器系統，需透過到Azure網站入口介面進行登記、啟動的程序，調整為支援Azure Arc的狀態（Azure Arc-enabled），不需要額外取得ESU專屬服務金鑰，再進行輸入與啟動。</p> <p>在相關的服務費用計算上，一旦完成相關設定，之後企業可依使用的月份、授權數量，以及伺服器CPU核心授權類型，按用量與訂閱期間支付費用，有利於集中管理這兩種伺服器的使用成本，以及存取這項服務的時間長短，微軟在此提供Azure Cost Management，以及Microsoft Azure Consumption Commitment（MACC），協助成本資訊的提取與分析。而在這樣的計費模式之下，企業可基於本身的意願需求進行遷移至Azure的工程，促使IT基礎架構能夠與時俱進。</p> <p>這些伺服器系統的管理，也能因為使用Azure Arc ESU，而能更便於進行集中管控。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-07-Enable - correction-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-07-Enable%20-%20correction-web.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>伺服器資產與成本可集中管理，訂閱模式比大量授權ESU年繳有彈性</strong></span></h3> <p>時至9月，微軟果然如先前預定時程，宣布推出Windows Server 2012 與2012 R2的Arure Arc ESU，對於啟動這項機制的方式，也提出更具體、詳細說明，解釋實際作法。</p> <p>他們表示，簡單來說，只需3個步驟：將伺服器登錄到Azure Arc、在Azure網站入口產生Windows Server 2012 Arc ESU授權，將這些授權連結到已啟用Azure Arc的伺服器（Azure Arc-enabled servers），之後即可繼續存取這些重大安全性更新。</p> <p>細部來看，第一步是設置Azure Arc-enabled servers，企業需要針對採用Windows Server 2012與Windows Server 2012 R2的實體或虛擬機器，部署Azure Arc Connected Machine代理程式，隨後使用Configuration Manager、PowerShell指令碼、群組原則等自動化工具，將這些伺服器登記到Azure Arc體系當中，可支援的網路環境相當豐富，包含公開網路、代理伺服器連線，以及內部私有連線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-aurnovcy_1-1695055234256-web.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/arc-enabled-servers-connected-agent-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/arc-enabled-servers-connected-agent-web.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/arc-enabled-servers-security-compliance-governance-Agent.jpg" style="width: 298px;" /></p> <p>第二步是產生相關的ESU授權，用戶可到Azure網站入口的Extended Security Update專區頁面，新增授權，過程中，需指定Windows版本為標準版或資料中心版，以及CPU核心授權的類型（實體或虛擬）與數量，授權計費期間會從2023年10月10日起算。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Arc ESU create1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc%20ESU%20create1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure Arc ESU create2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc%20ESU%20create2.jpg" style="width: 298px;" /></a></p> <p>最後一步，則是將這些ESU授權與Azure Arc-enabled servers連結，用戶不需要每年重新登記或管理多重啟動金鑰（MAK）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure Arc ESU create3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc%20ESU%20create3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2020-WS Server ESU-MAK.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-WS%20Server%20ESU-MAK.jpg" style="width: 298px;" /></a></p> <p>在此同時，在資安漏洞修補解決方案的搭配上，無論使用微軟或是第三方提供的產品，均可接收實際的Windows Server 2012延伸安全性更新修補，同時，也能使用Azure旗下的多種雲端原生資安服務，像是應用程式與工作負載保護系統Microsoft Defender for Cloud，以及安全事件與資訊管理系統Microsoft Sentinel，提供進一步的保障。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Arc-enabled%20servers-services.png" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>SQL Server 2012先前已提供Azure Arc ESU</strong></span></h3> <p>關於屆滿延伸支援的資料庫管理系統SQL Server，例如2012年7月終止的SQL Server 2012，微軟提供的ESU延伸安全性更新，也有多種選擇，例如，設置在Azure虛擬機器，以及Azure Stack HCI、Azure Stack Hub的SQL Server 2012系統，均可免費獲得ESU且預設啟用ESU；連接到Azure Arc架構的SQL Server 2012系統，若企業在對應的產品授權採用軟體保證（Software Assurance，SA），可透過每月支付訂閱服務的方式取得ESU，最長可使用3年，直到2025年7月為止。</p> <p>若是未連接Azure Arc的SQL Server 2012系統，則是透過大量授權中心購買ESU，隨後手動到Azure網站入口，進行企業SQL Server執行個體的註冊程序，以便接收安全性更新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SQL Server Azre Arc ESU1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SQL%20Server%20Azre%20Arc%20ESU1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SQL Server Azre Arc ESU2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SQL%20Server%20Azre%20Arc%20ESU2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>微軟Extended Security Updates enabled by Azure Arc</strong><br /> ●原廠：微軟<br /> ●建議售價：<br /> Windows Server 2012 雙核心，資料中心版每月1,758元，標準版每月305.14元；<br /> SQL Server 2012雙核心，資料中心版每月31,550元，標準版每月8,006元<br /> ●適用產品與使用授權：Windows Server（2008/2008 R2、2012/2012 R2），可選用虛擬核心授權（每臺虛擬機器需配置8個以上核心）或實體核心授權（每臺虛擬機器需配置16個以上核心）；SQL Server（2012），搭配虛擬核心授權（每臺虛擬機器需配置4個以上核心）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/10/8 18:03作者李宗翰https://www.ithome.com.tw/review/159048
駭客鎖定GitHub儲存庫，假借機器人程式Dependabot植入惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定開發者的GitHub儲存庫發動攻擊的情況，最近一年可說是越來越頻繁，但現在出現手段更為精細、更難察覺的攻擊手法。</p> <p>資安業者Checkmarx揭露<a href="https://checkmarx.com/blog/surprise-when-dependabot-contributes-malicious-code/">鎖定GitHub用戶而來的攻擊行動</a>，駭客自今年7月，疑似先取得使用者的存取Token，然後利用自動化指令碼建立主旨為fix的提交程式碼訊息，而這段內容，看似使用者帳號dependabot[bot]所為，而讓使用者以為程式碼是由GitHub自動化相依性工具Dependabot加入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dependabot-52.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dependabot-52.png" style="width: 580px;" /></a></p> <p>Dependabot是GitHub推出的軟體專案相依性自動化管理工具，它會持續監控專案的程式庫及套件，檢查是否出現安全漏洞，或者是有需要更新的軟體元件。一旦此工具偵測到程式庫存在這類弱點，就會自動發出更新的需求，藉此維持軟體元件的安全。</p> <p>然而這些提交的內容會在專案植入惡意程式碼，解析機敏資料並傳送到攻擊者的C2伺服器，並竄改程式庫現有的JavaScript檔案，加入能夠從網頁表單竊取密碼的惡意程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dependabot-50.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dependabot-50.png" style="width: 580px;" /></a></p> <p>研究人員指出，攻擊者從7月8日至11日入侵了數百個GitHub儲存庫，當中有公開，也有僅限私人存取的儲存庫，多數是印尼用戶擁有的。根據受害者提供的資訊，攻擊者很有可能先滲透開發環境，進而取得個人存取Token（PAT）而得逞。</p> <p>在這些受害的儲存庫當中，研究人員看到兩種型態的攻擊手法重覆出現，很有可能是透過自動化指令碼執行。其中一種是利用GitHub Action檔案hook.yml新增工作流程，進而觸發程式碼推送事件，將程式庫的機密資訊及環境變數傳至hxxps://send[.]wagateway.pro/webhook。</p> <p>另一種攻擊的手法，則是竄改專案裡所有附檔名JS的檔案，並且在檔案末端加入混淆處理的內容。駭客加入的程式碼，會在瀏覽器環境執行的過程產生新的指令碼標籤，並且從hxxps://send[.]wagateway.pro/client.js?cache=ignore載入額外的指令碼。該指令碼會截取所有瀏覽器裡存放的使用者帳密資料，然後傳送到hxxps://send[.]wagateway.pro/webhook。</p> </div></div></div>
2023/10/7 16:32作者周峻佑https://www.ithome.com.tw/news/159186
中國駭客假借台積電的名義對半導體產業散布Cobalt Strike
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台積電是臺灣護國神山，帶動了半導體相關的供應鏈堀起，一舉一動也受到全球矚目，然而，最近有人打著該公司的名號，意圖滲透半導體相關產業的廠商。</p> <p><a href="https://blog.eclecticiq.com/chinese-state-sponsored-cyber-espionage-activity-targeting-semiconductor-industry-in-east-asia">資安業者EclecticIQ揭露針對臺灣、香港、新加坡半導體公司的攻擊行動</a>，駭客疑似透過釣魚郵件，寄送聲稱是台灣積體電路製造公司（台積電）的簡介PDF檔案，一旦收信人開啟該文件，電腦就會啟動名為HyperBro的惡意程式載入工具，該軟體透過資安業者CyberArk應用程式的執行檔vfhost.exe，進行DLL側載（DLL Side-loading），然後於記憶體內（In-memory）執行Cobalt Strike的Beacon元件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image7.png" style="width: 580px;" /></a></p> <p>研究人員針對該Beacon元件進行分析，他們發現駭客利用過往未被揭露的惡意程式下載工具進行滲透。基本上，這個工具透過Windows內建的PowerShell及BitsTransfer模組，從已被入侵的中國億賽通（EsafeNet）Cobra DocGuard加解密伺服器取得惡意程式，接下來，這個程式安裝啟動之後，會利用另一家資安業者McAfee簽章的可執行檔mcods.exe，運用DLL側載手法執行Cobalt Strike的Shell Code，而該Shell Code連線的C2伺服器IP位址，與HyperBro相同。</p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image1.png" style="width: 580px;" /></a></p> <p>此外，上述的加解密伺服器也被植入以Go程式語言打造的後門程式ChargeWeapon，使得攻擊者能藉此取得受害電腦資訊。這個後門程式具備5項主要特性，分別是使用Windows內建的命令列介面（CLI）與遠端裝置互動、執行WMI、與C2連線流量採用Base64演算法混淆、採用TCP over HTTP連線模式，且能夠在受害電腦任意讀取或寫入檔案。研究人員指出，駭客在該後門程式導入名為garble的開源混淆工具，他們在公布調查結果的時候，惡意程式偵測平臺VirusTotal僅有4款防毒引擎將其視為惡意程式。</p> <p>特別的是，為了繞過防火牆系統，駭客將C2伺服器偽裝成jQuery CDN。而根據攻擊者使用的手法，研究人員推測是來自中國的駭客。</p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image4.png" style="width: 580px;" /></a></p> <p>研究人員針對這起攻擊行動所採用的HyperBro進行分析，發現駭客採用的變種程式攻擊行動更為隱密。他們發現，駭客藉由DLL側載來成功執行HyperBro的載入程式VFTRACE.dll之後，該程式庫檔案將會針對名為bin.config的檔案進行解密，該組態檔案內含由XOR演算法進行加密的Cobalt Strike的Shell Code。成功完成解密後，此Shell Code就會載入vfhost.exe。</p> <p>值得一提的是，駭客加密Shell Code的手法，與一般的攻擊行動有所不同，他們的解密過程當中，使用了只有1個位元組長度的金鑰（0x01），目的是要規避以特徵碼為基礎的惡意程式偵測機制。換言之，攻擊者採用了相當簡單的混淆手法，使得防毒軟體偵測的成功率極低。</p> <p>針對另一個從Cobra DocGuard加解密伺服器傳輸的惡意程式，研究人員發現與HyperBro有多項共通點，包含都是利用資安業者的可執行檔進行DLL側載的方式執行、C2的IP位址相同，以及從bin.config解密Cobalt Strike的Shell Code來建立C2連線。但不同的地方在於，新的惡意軟體攻擊行動裡，駭客採用的解密金鑰長度是16個位元組，再者，此惡意程式採用未記載的NTAPI功能，而非像HyperBro使用常見的Windows API功能。</p> </div></div></div>
2023/10/6 22:35作者周峻佑https://www.ithome.com.tw/news/159184
【資安日報】10月6日，中國駭客鎖定臺灣、香港、新加坡半導體產業而來，假借台積電的名義進行網路間諜攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客的網路間諜行動頻傳，繼我們昨天報導駭客組織APT41針對安卓手機用戶下手，散布惡意程式的情況，今天又有數起攻擊行動與中國駭客有關。其中，最引人關注的事故，就屬冒用臺灣護國神山台積電名義的網路釣魚攻擊。</p> <p>這起攻擊行動的特別之處在於，駭客運用兩家資安廠商軟體的可執行檔來發動DLL側載攻擊，並利用中國億賽通Cobra DocGuard加解密伺服器來代管惡意程式，而利用此加解密系統的攻擊並非首例，<a href="https://www.ithome.com.tw/news/158411#carderbee">今年4月，駭客組織Carderbee利用這種伺服器散布惡意程式PlugX</a>。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.eclecticiq.com/chinese-state-sponsored-cyber-espionage-activity-targeting-semiconductor-industry-in-east-asia"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客假借台積電的名義對半導體產業散布Cobalt Strike</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/chinese cyberespionage east asia - image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chinese%20cyberespionage%20east%20asia%20-%20image1.png" style="width: 300px; float: right;" /></a>資安業者EclecticIQ揭露針對臺灣、香港、新加坡半導體公司的攻擊行動，駭客疑似透過釣魚郵件，寄送聲稱是台灣積體電路製造公司（台積電）的簡介PDF檔案，一旦收信人開啟該文件，電腦就會啟動名為HyperBro的惡意程式載入工具，該軟體透過資安業者CyberArk應用程式的執行檔vfhost.exe，進行DLL側載（DLL Side-loading），然後於記憶體內（In-memory）執行Cobalt Strike的Beacon元件。</p> <p>研究人員針對該Beacon元件進行分析，他們發現駭客利用過往未被揭露的惡意程式下載工具進行滲透。基本上，這個工具透過Windows內建的PowerShell及BitsTransfer模組，從已被入侵的中國億賽通（EsafeNet）Cobra DocGuard加解密伺服器取得惡意程式，接下來，這個程式安裝啟動之後，會利用另一家資安業者McAfee簽章的可執行檔mcods.exe，運用DLL側載手法執行Cobalt Strike的Shell Code，而該Shell Code連線的C2伺服器IP位址，與HyperBro相同。</p> <p>此外，上述的加解密伺服器也被植入以Go程式語言打造的後門程式ChargeWeapon，使得攻擊者能藉此取得受害電腦資訊。特別的是，為了繞過防火牆系統，駭客將C2伺服器偽裝成jQuery CDN。而根據攻擊者使用的手法，研究人員推測是來自中國的駭客。</p> <p><a href="https://thehackernews.com/2023/09/new-report-uncovers-three-distinct.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">東南亞政府機關遭到駭客組織中國駭客Mustang Panda、Alloy Taurus、Gelsemium鎖定</span></strong></a></p> <p></p> <p>資安業者Palo Alto Networks揭露鎖定東南亞政府機關而來的攻擊行動，他們發現中國駭客組織Mustang Panda、Alloy Taurus、Gelsemium，從2021年第二季開始持續發動攻擊。</p> <p>其中，Mustang Panda利用開源掃描框架LadonGo，以及AdFind、Mimikatz、Impacket、中國菜刀（China Chopper）Web Shell、惡意程式ShadowPad、後門程式Toneshell發動攻擊，最終利用3個DLL程式庫元件建立C2連線，並收集資料、執行攻擊者的命令、側錄鍵盤輸入內容、截取螢幕畫面。</p> <p>Alloy Taurus自2022年初至今，總共發動6波攻擊行動，攻擊者利用微軟Exchange Server弱點來部署Web Shell，並將其用於.NET後門程式Zapoa和ReShell，從而執行遠端點並竊取機敏資料。</p> <p>Gelsemium結合了罕見的工具與手法，並在東南亞政府實體的IIS網頁伺服器植入Web Shell，從而散布後門程式OwlProxy、SessionManager，並運用Cobalt Strike、Meterpreter、Earthworm、SpoolFool執行後續攻擊行動。</p> <p>資料來源</p> <p>1. <a href="https://unit42.paloaltonetworks.com/stately-taurus-attacks-se-asian-government/">https://unit42.paloaltonetworks.com/stately-taurus-attacks-se-asian-government/</a><br /> 2. <a href="https://unit42.paloaltonetworks.com/alloy-taurus-targets-se-asian-government/">https://unit42.paloaltonetworks.com/alloy-taurus-targets-se-asian-government/</a><br /> 3. <a href="https://unit42.paloaltonetworks.com/rare-possible-gelsemium-attack-targets-se-asia/">https://unit42.paloaltonetworks.com/rare-possible-gelsemium-attack-targets-se-asia/</a></p> <p><a href="https://www.welivesecurity.com/en/eset-research/operation-jacana-spying-guyana-entity/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">南美洲國家蓋亞那政府機關遭到惡意程式DinodasRAT攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/01-compromise-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/01-compromise-flow.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露自今年2月出現的攻擊行動Operation Jacana，駭客鎖定南美洲國家蓋亞那的政府機關實體，假借該國逃犯出現在越南等時事新聞報導為誘餌，發動釣魚郵件攻擊，這類信件內容含有惡意連結，一旦收信人點選，電腦就會從越南政府的網域下載ZIP壓縮檔，若依指示開啟當中的可執行檔，駭客就會在電腦部署以C++編譯的惡意軟體DinodasRAT。</p> <p>若是攻擊者得逞，就會進一步破壞該組織的內部網路環境，並對更多電腦部署相同的惡意程式。研究人員指出，過程中駭客使用惡意程式PlugX（亦稱Korplug），以及開源的VPN應用程式SoftEther VPN用戶端軟體，他們推測攻擊者來自中國。</p> <p><a href="https://www.group-ib.com/blog/golddigger-fraud-matrix/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">逾50家越南銀行用戶遭安卓金融木馬GoldDigger鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GoldDigger-1-17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoldDigger-1-17.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露安卓金融木馬GoldDigger的攻擊行動，駭客從今年6月開始，針對超過50家越南銀行的用戶下手，假借當地的政府入口網站及能源業者，主要目的是竊取銀行帳密資料。駭客入侵手機的管道，很有可能是寄送釣魚郵件，當中含有冒牌的Google Play市集URL，使用者一旦點選，就有可能被帶往冒牌市集，或是假冒其他品牌的釣魚網站。</p> <p>而對於該木馬程式的功能，研究人員指出，與許多金融木馬相同的是，GoldDigger也濫用安卓系統的輔助服務，收集個人資訊、截取簡訊、在手機上執行各種功能操作。但特別的是，駭客這次濫用了名為Virbox Protector的合法軟體元件，使得該木馬程式能夠迴避多種靜態及動態的偵測手法。研究人員指出，截至目前為止，他們僅看到3款安卓木馬程式採用這種工具（包括GoldDigger），但接下來可能會有其他駭客跟進。</p> <p>值得留意的是，他們也看到駭客將越南語翻譯成西班牙文及正體中文，不排除接下來攻擊範圍會擴及使用這兩種語言的國家。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客入侵微軟SQL Server資料庫系統，目標是Azure雲端環境的虛擬機器</span></strong></a></p> <p>微軟揭露近期出現的Azure雲端環境攻擊行動，他們先是鎖定目標組織的SQL Server伺服器，利用SQL注入漏洞入侵該資料庫系統，從而有機會存取Azure雲端虛擬機器代管的SQL Server實體，進而下載作案用的可執行檔及PowerShell指令碼，並透過工作排程啟動後門程式，且利用SAM與SECURITY登入檔的內容挖掘用戶帳密，最終利用webhook.site的服務洩露資料。</p> <p>接著，攻擊者企圖利用身分SQL Server實體的雲端驗證流程弱點，存取執行個體中繼資料服務IMDS，並取得雲端身分驗證的金鑰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://jira.atlassian.com/browse/CONFSERVER-92475"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺Confluence漏洞，已出現濫用弱點的攻擊行動</span></strong></a></p> <p></p> <p>10月4日軟體業者Australian針對DevOps協作平臺Confluence發布資安通告，表示他們接獲部分用戶通報，攻擊者有可能針對能從網際網路存取的Confluence Data Center或Confluence Server下手，利用過往未被公布的漏洞建立管理員帳號，然後進行控制。</p> <p>該公司指出這項被利用的漏洞是CVE-2023-22515，影響8.0版以上的Confluence Data Center或Confluence Server，CVSS風險評為10分，他們發布8.3.3、8.4.3、8.5.2版Confluence予以修補。</p> <p>若是IT人員無法即時修補，該公司也提出緩解措施，呼籲IT人員採取行動，並指出曝露於網際網路的Confluence實體尤其危險，因為攻擊者可匿名利用上述漏洞。此外，他們也建議用戶，應儘速檢查Confluence實體是否出現遭到入侵的跡象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/159155"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">BlackBerry將物聯網及網路安全業務拆分為兩家公司</span></strong></a></p> <p></p> <p>10月4日資安業者BlackBerry宣布調整公司結構，分割為兩家公司，其中一家是專攻網路安全，另一家是物聯網公司，計畫明年獨立上市。這項決定源於今年5月的討論，他們找上摩根史坦利、溫伯格合夥公司（Perella Weinberg Partners）等財務顧問公司，進行評估。</p> <p>該公司認為，這樣的畫分能讓個別業務發展自己的策略及資金運用方式，並能使股東更容易評估不同領域的業務效益及潛力。</p> <p>然而，上述消息宣布之後，BlackBerry的股價不漲反跌，一度跌幅達到10%，投資專家Vlad Deshkovich認為，物聯網業務是該公司主要獲利來源之一，該部門一旦脫離BlackBerry，剩下的業務將很有可能會出售。</p> <p>資料來源</p> <p>1. <a href="https://www.blackberry.com/us/en/company/newsroom/press-releases/2023/blackberry-provides-project-imperium-update-and-announces-intention-to-separate-business-units">https://www.blackberry.com/us/en/company/newsroom/press-releases/2023/blackberry-provides-project-imperium-update-and-announces-intention-to-separate-business-units</a><br /> 2. <a href="https://seekingalpha.com/article/4639246-blackberry-stock-overpriced-spin-off-uncertainty">https://seekingalpha.com/article/4639246-blackberry-stock-overpriced-spin-off-uncertainty</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lyca-mobile-investigates-customer-data-leak-after-cyberattack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">電信業者Lyca Mobile傳出遭到勒索軟體攻擊</span></span></strong></a></p> <p></p> <p><a href="https://blog.talosintelligence.com/qakbot-affiliated-actors-distribute-ransom/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">QBot攻擊者鎖定義大利用戶，散布勒索軟體Cyclops及Remcos RAT</span></span></strong></a></p> <p></p> <p><a href="https://any.run/cybersecurity-blog/lu0bot-analysis/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露以Node.js打造的惡意軟體Lu0Bot</span></span></strong></a></p> <p></p> <p><a href="https://checkmarx.com/blog/the-evolutionary-tale-of-a-persistent-python-threat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客利用數百個Python套件散布竊資軟體，7.5萬名開發者上當</span></span></strong></a></p> <p></p> <p><a href="https://github.blog/2023-10-04-introducing-secret-scanning-validity-checks-for-major-cloud-services/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">GitHub改良程式碼機密資訊的掃描功能</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159144"><strong>【10月5日】亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159124"><strong>【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159112"><strong>【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</strong></a></p> </div></div></div>
2023/10/6 17:49作者周峻佑https://www.ithome.com.tw/news/159172
中研院正式開源釋出繁中優化的Llama 2大型語言模型，正式採用Apache2.0釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣商用開源的繁中LLM模型現在有了新選擇！從事中文自然語言處理（NLP）研究的中研院CKIP Lab中文詞知識庫小組，最新開源釋出了以Llama 2開發的繁中優化的大型語言模型CKIP-Llama-2-7b，提供給臺灣學術圈或AI開發者來使用，可運用在文案生成、文學創作、問答系統、客服系統、語言翻譯、文字編修、華語教學。該模型已放上<a href="https://github.com/ckiplab/CKIP-Llama-2-7b">Github </a>和 Huggingface開放給公眾使用，並採用Apache2.0授權釋出。中研院搶先開放<a href="https://huggingface.co/spaces/ckiplab/CKIP-Llama-2-7b-chat">測試網頁</a>，開放所人測試。</p> <p>Llama 2是由Meta在7月釋出的開源可免費商用大型語言模型，不到幾個月，Llama 2在開源LLM模型競賽中快速竄起，在Huggingface公布許多模型幾乎都是基於Llama 2衍生的模型，近幾個月在臺灣開始有企業以此推出商用模型服務，如<a href="https://www.ithome.com.tw/news/158874">台智雲</a>開發了繁體中文版本的優化Llama 2模型，提供了70億、130億和700億參數的三種商用版本，以滿足企業客戶的需求。</p> <p>幾個月前，來自中研院的CKIP Lab中文詞知識庫小組開始著手投入繁中優化的Llama 2模型的開發，他們以商用開源模型Llama-2-7b和 Atom-7b為基礎，專注增強繁體中文的處理能力，通過對405個可商用的任務檔案進行訓練和優化，最終訓練出中研院的繁中優化的CKIP-Llama-2-7b模型。該模型擁有70億個參數。</p> <p>相較於原本的Llama 2模型，CKIP Lab強調，該模型有4大特色，首先在多項繁中任務的處理比原來模型表現更好，其次，它可以很容易部署在本地裝置或設備上，例如僅需一張具有12GB記憶體容量的GPU，即可在離線的環境中執行，不需要依賴雲端等外部資源。此外，還開放使用者可以根據自身需求使用自己的訓練資料集，快速打造出適合自身任務需求的模型，更重要的是，採用對商用相當友善的Apache-2.0授權許可釋出。</p> <p>CKIP Lab小組一共開發出兩個模型，一個是繁體中文預訓練後的CKIP-Llama-2-7b模型，一個是以前者為基礎，進行多任務微調訓練後的 CKIP-Llama-2-7b-chat模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap41.png" style="width: 600px;" /></p> <p>中研院公開展示了經過多任務微調訓練的 CKIP-Llama-2-7b-chat 模型。例如，當你輸入「台灣最高的山？」，它可以回答「玉山」，甚至問他「在台灣，什麼是22K？」，模型都能夠提供相應的回答。此外，你也可以要求它針對台灣的特定主題進行討論。如「規劃一下日月潭二日遊」或是能吟詩作對。</p> <p>其中，CKIP-Llama-2-7b使用了5.8GB資料進行預訓練，總共包含273萬筆資料，大約28億個token數。這些資料包括了中英維基百科、CommonCrawl子集、臺灣碩博士論文摘要、中央研究院漢語平衡語料庫、徐志摩詩歌全集、朱自清散文全集等內容。另外，使用純人工產生的COIG-PC資料集和dolly資料集來進行多任務微調訓練。</p> <p>根據他們的測試，經過C-Eval中文模型評測結果，CKIP-Llama-2-7b-chat和CKIP-Llama-2-7b模型表現在整體平均都高於Llama2-7b、Atom-7B等模型，例如，CKIP-Llama-2-7b平均分數約37.03，高於Llama2-7b的22.26和Atom-7B 的35.95。甚至多任務微調訓練後的CKIP-Llama-2-7b-chat，平均分更高，有38.39分。</p> <p>CKIP Lab小組表示，這個模型可應用於各種領域，包括文案生成、文學創作、問答系統、客服系統、語言翻譯、文字編修、華語教學等等。中研院搶先開放目<a href="https://huggingface.co/spaces/ckiplab/CKIP-Llama-2-7b-chat">測試網頁</a>，開放所有人測試。</p> <p>隨著中研院繁中優化的Llama 2模型推出，將有助於加速臺灣繁中大型語言模型研究和商用的發展。</p> </div></div></div>
2023/10/6 17:58作者余至浩https://www.ithome.com.tw/news/159166
全面推動國家考試證書e化，考試院將擁抱雲端及AI加速轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去3年，疫情加速了企業數位轉型，也迫使政府機關轉型腳步加快，甚至從行政部門擴大到以往態度相較保守的考試部門，現在也要跟著轉變，實現服務創新及優化。考試院在2年前開始積極推動數位轉型，更提出六大轉型策略，希望徹底改造其IT體質，還要擁抱雲端，甚至發展AI應用，帶動全院朝向智慧化發展。</p> <p>曾在行政院國發會長期從事電子化政府規畫的徐嘉臨，對於政府機關數位轉型很有經驗，她在2021年加入考試院擔任資訊主管後，一肩扛起考試院IT轉型的重任。她從考試院院本部的核心業務流程改造做起。</p> <p>考試院是全國公務人力的決策機關，除了要負責決定所屬機關如考選部所提的重大施政政策之外，考試院還有一個核心業務是考試證書核發服務，針對通過考選部的測試程序的合格者，不論是公務人員或專門職業及技術人員，都需取得由考試院核發的證書證明，才能夠作為後續公務人員分發錄用或專技人員執業的證明。</p> <p><span style="font-size:28px;"><strong>推動國家考試及格證書全面e化，以取代傳統紙本型式</strong></span></p> <p>國家考試每年報考人數雖超過30萬，但實際錄取人數相對有限，即便如此，考試院去年一年內就需要產製1.6萬張公務人員考試合格證書，而專技人員的證書數更多，有多達2.7萬張。然而，過去考試院的證書製作和核發都是人工作業，採用紙本證書發放，並沒有加以數位化，不論是人力作業和成本都給考試院帶來相當大的負擔。這也成了徐嘉臨上任後首要解決的問題。</p> <p>為了解決這個問題，考試院資訊團隊建置了國家考試及格電子證書系統，來提供包含製證、發證、驗證在內等整套數位化證書核發作業，來取代傳統的紙本作業型式。</p> <p>在以前，考試院行政人員製作紙本證書需使用印表機進行套印，然後在證書上加上實體簽章，這樣的流程非常耗時。但現在改用電子證書後，系統能夠自動產生電子證書，不需要花時間列印紙本，而且能快速完成數位簽章的簽署，不必等待送簽。此外，由於不再需要製作紙本證書，省去存放證書所需的空間。</p> <p><span style="font-size:28px;"><strong>不只串聯政府MyData進行身分驗證，還將提供跨機關證書查驗</strong></span></p> <p>徐嘉臨指出，採用這種做法的效益，不僅讓整體作業時間平均能夠縮短4天，大大提高了效率，發證方式也更為迅速，合格者收到電子郵件通知，就能自行下載數位證書，無需等待紙本的郵寄遞送。</p> <p>考試院今年還與數位發展部的MyData（數位服務個人化應用）服務串聯，讓民眾除了可以使用自然人憑證、健保卡或行動自然人憑證等身分驗證機制外，未來還能透過MyData下載自己的及格證書，無需使用實體讀卡機進行驗證。</p> <p>考試院導入電子證書還有另一個用意，就是希望通過證書驗證機制加強防偽。她表示，過去紙本證書容易被偽造，改提供電子證書後，每張電子證書都包含了考試院專屬數位簽章，驗證者打開PDF檔案時，就能很容易識別收到的證書是否為考試院發行，除了提供數位簽章驗證真偽，使用者還能透過掃描QR碼來快速查驗發證最新狀態和歷程驗證。</p> <p>這套系統在去年8月上線，考試院初期以公務人員考試及格人員及升等人員為對象，到去年底製作6千多張電子證書，今年更擴大至專技考試及格人員實施。考試院強調，未來各種國家考試類別皆以提供電子證書為原則，不再發放紙本證書。</p> <p>有了這套數位證書系統後，徐嘉臨接下來還將透過MyData平臺提供跨機關間的電子證書資料查驗服務，舉例來說，合格專技人員以後向經濟部申請執業執照時，經濟部只要經過申請者本人的同意，就可以透過MyData平臺向考試院確認該申請者的相關合格證明，無需核對紙本證書，從而加快申請流程。</p> <p><span style="font-size:28px;"><strong>考試院數位轉型提6大推動方向</strong></span></p> <p>國家考試及格證書數位化的推動，僅是考試院數位轉型策略其中之一。考試院在2021年提出六大轉型任務，並規畫分4年來逐一達成，其中包括了證書數位化，還有另外5項重要的轉型任務，包括強化全院資訊安全及聯防體係、國家考試電腦化、公務人力資料整合應用、資料開放、公務人員數位能力培訓。</p> <p>考試院在最新一屆考試院院長及考試委員上任後，2年前成立數位轉型委員會，由院長親自主持，召集所屬機關首長共同擬定未來數位轉型的方向，加速推動全院轉型。</p> <p>尤其，考試院將強化資安列為轉型優先項目。這是因為考試院作為國家人力資源部門，保有全國公務員逾36萬人的資料，包含了考試和公部門職涯的完整記錄，這也使得考試院及其所屬機關在資安責任分級上都評為最高的A級，比一般行政機關對資安要求更高。這也是考試院當初找上徐嘉臨接任IT主管的其中一個原因，希望能夠借重她在政府機關的資安推動經驗，協助考試院加強資安措施，應對各種攻擊威脅的挑戰。</p> <p><span style="font-size:28px;"><strong>未來將推動零信任資安，優先鎖定兩類身分加強權限管控</strong></span></p> <p>徐嘉臨接掌考試院IT第一件事，是建立更明確的權責分工，將資訊團隊分成兩組，一組負責系統開發、維運；另一組則以資安、基礎建設管理為主，不僅配合資安法的要求，避免造成內部稽核、控管的風險，同時也讓職務分工能更符合IT部門實際運作。</p> <p>優先解決資安人力問題後，她接著在內部建立資安管理的程序，確保責任歸屬和相關作業流程能夠有一套標準化、制度化、書面化的方式，可供所有人員依循。</p> <p>除了從管理程序面著手，徐嘉臨還重新檢視考試院IT基礎設施在資安方面落實情形，並提出加強的措施，如強化內外網隔離、獨立網段切分方式等，來符合相關資安要求。她今年更進一步將網路架構升級，使其更具現代化，同時具有縱深防禦的安全架構。</p> <p>考試院如今已能夠達到符合資安法遵要求，但徐嘉臨仍不敢鬆懈，因為她十分清楚資安的發展必須與時俱進，「政府機關必須不斷地調整自己的資安部署策略，依據自身的資安風險來機動的調整，以應對外部的攻擊趨勢。」</p> <p>徐嘉臨接下來計畫在考試院內部導入零信任資安，並優先推動零信任身分驗證。這也是政府部門近年來在內部積極推動的重要資安措施，但不像數發部最初主要應用在行動公文簽核方面，徐嘉臨表示，考試院的重點將放在風險較高的兩類使用者群體和目標系統上，例如臨時需要從外部連接到內網的員工（如居家辦公者），和具有最高權限的內部管理者（如IT人員及負責核心資通系統的資料管理員等），就是屬於考試院優先推動的主要對象。舉例來說，當這類使用者登入系統時，將根據他們的角色、身分或需求判斷其是否具有存取權限，避免讓沒有此權限的人進行資料存取，以降低資料外洩的風險。</p> <p><span style="font-size:28px;"><strong>考試院郵件服務優先上雲，新上線的系統將採雲地備份</strong></span></p> <p>除了導入零信任加強資安韌性之外，考試院今年開始規畫上雲。初期將以郵件系統和資料備份上雲為主。考試院要透過引進雲端技術來推動現代化IT的發展，加速其內部轉型。</p> <p>徐嘉臨表示，選擇這兩項作為遷雲的優先項目，一來在市場上相較成熟，穩定性跟安全性較高；二來，考慮到IT人力有限，希望通過採用公雲郵件服務取代自建郵件系統，來減輕資訊人員的負擔。</p> <p>她還提到，未來在雲端資料備份方面，主要以官網資料統計和新上線的系統為主，不包括業務核心系統，如電子證書等。她強調，基本上，考試院所有的資料備份都遵循321備份基本原則，即使是非機敏資料，都會在加密過才上傳到雲端上進行備份，以確保資料的安全性。</p> <p>考試院目前正在展開PoC測試，計畫在年底展開遷移工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-CIO-600.png" style="width: 518px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:20px;"><strong>考試院資訊處處長徐嘉臨表示，政府機關必須不斷地調整自己的資安部署策略，依據自身的資安風險來機動的調整，以應對外部的攻擊趨勢。</strong></span></span><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>考試院下一階段的轉型關鍵驅力將是AI</strong></span></p> <p>隨著AI技術漸趨成熟，不少行政機關紛紛運用AI提高行政效率和創新服務，考試院也不例外。除了其所屬機關考選部很早開始嘗試在考選試務上結合AI技術，來改善考試作業流程，考試院自身開始著手研究AI，希望透過它來實現服務創新及優化，更將它視為考試院下一階段的轉型關鍵驅力。</p> <p>徐嘉臨指出，考試院的未來AI導入策略有兩大面向，首先是優先考慮成熟或常見的AI應用，其次是以解決業務痛點為切入點。</p> <p>目前考試院的AI應用，主要是運用在處理內部行政相關工作，例如協助行政人員完成考試院院內會議逐字記錄，或自動生成新聞稿的草稿等。除此之外，考試院還計畫結合AI協助輿情分析，提供政策推行或擬定的參考。</p> <p>徐嘉臨強調，AI的發展不能單靠資訊團隊，而是需要跨單位的合作，需要和業務單位、資安單位合作，並適時納入外部AI專家，共同探索考試院AI應用的可行性。同時，考試院未來也要培養和提升全體員工在AI方面的素養與技能。</p> <p><span style="font-size:28px;"><strong>加速AI應用，考試院推動資料治理</strong></span></p> <p>考試院雖然鼓勵發展AI應用，但同時也要求兼顧風險。例如生成式AI的出現，加速AI應用普及化，也帶來資料外洩、侵犯隱私的疑慮。為此，考試院最近制訂了員工應遵守的使用AI的相關注意事項，以防範潛在風險。</p> <p>徐嘉臨十分明白，資料是政府機關發展AI應用的重要關鍵，因此她和資訊團隊重頭梳理考試院內部資料，在考試院和所屬機關之間建立統一資料格式，以便在資料取用上可以更快速，甚至考試院還發展出自己的資料治理架構，以加速AI應用發展和服務創新。</p> <p>從考試院公開的資料治理架構共有三層，其中第一層是考銓服務數位化，接著下一層是資料層，有資料池（包括結構、非結構化資料和統計資料）和資料管理（包括資料格式標準化、資料安全與去識別化、資料清理和資料生命周期管理），最後是資料應用層，包括開放資料、公務人力政策循證研究以及人工智慧應用。</p> <p>除了用於人工智慧應用外，考試院還成立考詮資料研究中心，整合了院部會研究資源，運用考詮資料庫的去識別化後資料，就院內業務相關問題進行研究，例如分析公務人員在中央和地方的流動分布，作為改善員工離職的參考依據等。文⊙余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>考試院資訊處處長徐嘉臨</strong></p> <p>學歷：清華大學資工碩士</p> <p>經歷：在行政院長期從事電子化政府規畫，曾先後在研考會分析師、科長、高級分析師，以及國發會高級分析師任職，在2016年行政院成立資安處後，擔任該處副處長一職，並在2021年加入考試院擔任資訊處處長，開始協助推動全院數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1150-CIO-600-2.png" style="width: 250px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>考試院</strong></p> <p>成立時間：1930年</p> <p>地址：臺北市文山區試院路一號</p> <p>主要業務：為國家最高考試機關，也是公部門人事法制之最高主管機關，決定所屬部會所提之重大考銓政策，院本部各單位之任務在扮演決策幕僚之功能，提升院會決策品質及行政效能</p> <p>員工數：200人（院本部）</p> <p>院長：黃榮村</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊處處長</p> <p>資訊部門主管姓名：徐嘉臨</p> <p>資訊部門人數：10人</p> <p>資訊部門分工：第一科（以系統開發、維運為主）、第二科（以資安、基礎建設管理為主）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2022年：建置國家考試及格電子證書服務</p> <p>2023年：建置考試院公報資訊網、統計資料查詢網、考銓資料研究中心、訂定考試院使用人工智慧注意事項</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1150-cio-960.jpg" width="960" height="420" alt="" title="考試院資訊處處長徐嘉臨　（攝影／洪政偉）" /></div></div></div>
2023/10/6 16:44作者余至浩https://www.ithome.com.tw/people/159164
支援Windows與macOS的新版Teams正式上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-teams-blog/announcing-general-availability-of-the-new-microsoft-teams-app/ba-p/3934603" target="_blank">微軟周四（10/5）宣布</a>，支援Windows及macOS的新版Microsoft Teams程式正式出爐，同一天也開始於虛擬桌面基礎結構（Virtual Desktop Infrastructure，VDI），以及GCC及GCC HIGH等政府雲公開預覽新版Teams，DoD政府雲的公開預覽活動則會在本月稍後上線。</p> <p>微軟是在今年3月宣布要全面翻修Teams，變更Teams的架構，以讓它能在僅使用一半系統的情況下增加一倍的速度，與微軟合作的<a href="https://gigaom.com/report/new-microsoft-teams-performance-benchmark/" target="_blank">獨立基準測試業者GigaOm</a>在比較了今年3月釋出的新版Teams，以及2022年6月推出的 Teams 1.1版之後，發現新版的安裝速度是舊版的3倍，啟用Teams的速度是舊版的2倍，加入會議的速度是舊版的2.5倍，載入聊天室與頻道的速度是舊版的1.7倍，而在測試中所使用的記憶體與硬碟資源則減少了50%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-new%20microsoft%20teams-system%20disk%20capacity%20consumption.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-new%20microsoft%20teams-idle%20memory%20consumption.png" style="width: 600px;" /></p> <p>微軟特別強調新版Teams在macOS平臺上有重大的效能改善，包括切換聊天室及頻道、資訊存取，甚至是捲動的速度都變快了，也具備更好的安全性。</p> <p>相較於舊版Teams，新版幾乎擁有所有的相對應功能，包括客製化的企業營運程式、第三方程式、分組討論區、7x7影片、通話佇列、PSTN連線選項、聊天與頻道的脈絡搜尋，以及跨頻道的訊息張貼等。</p> <p>而新版Teams上的獨有功能則有對多租使用者組織（Multi-Tenant Organizations，MTO）及多租多帳號（Multi-Tenant, Multi-Account，MTMA）的支援。前者主要是簡化多租戶的管理，特別是在企業執行併購之後，或是需要支援全球子公司與測試環境時；後者則可讓跨組織的協作更有效率，允許使用者同時登入多個帳戶，並收到來自不同組織與帳戶的訊息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Multi-tenant%20organizations%20(MTO)%20capability-new%20Teams-2-900.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-new%20microsoft%20teams-%20multi-tenant%2C%20multi-account%20(MTMA)(1).png" style="width: 500px;" /></p> <p>新版Teams亦內建Microsoft Copilot，這是微軟利用OpenAI GPT-4大型語言模型所打造的AI助理，可用來協助處理Teams用戶的各種需求，例如秀出最新的郵件、訊息或檔案，摘錄各式檔案，協助分享會議重點，找出特定人士的發言，還能幫忙建立FAQ。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Copilot-latest-image_New-teams.png" style="width: 600px;" /></p> <p>既有Teams用戶只要按下一個鍵就能升級到新版，並能自動取得舊版中的聊天訊息、團隊、頻道及程式，若不適應，也能切換回傳統版本。</p> <p>除了正式上線的Windows及macOS客戶端程式、本月邁入公開預覽的VDI、GCC、GCC HIGH及DoD之外，支援Chrome及Edge的客戶端程式將在11月問世，支援Safari與Firefox的新版Teams則會在明年3月出爐，其它政府及特殊雲也要等到明年3月。</p> <p>此外，微軟尚未列出新版Teams支援一般消費者或早期Windows 10版本用戶的時程表。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/10/6 15:28作者陳曉莉https://www.ithome.com.tw/news/159161
英國開始調查Amazon及微軟等雲端服務有否危害市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國電信主管機關<a href="https://www.ofcom.org.uk/news-centre/2023/ofcom-refers-uk-cloud-market-to-cma-for-investigation" target="_blank">Ofcom周四（10/5）指示</a>英國競爭與市場管理局（Competition and Markets Authority，CMA）調查境內的公有雲基礎設施服務，以檢視該市場是否存在競爭問題，並特別點名微軟的軟體授權作法。</p> <p>Ofcom認為，雲端運算已成為英國經濟中許多企業的重要支柱，涵蓋電信業者、廣播公司與公家機構，它在全球各地建置了資料中心，並讓英國組織得以遠端存取軟體、網路與儲存空間，改變了遞送服務的模式。然而，有些英國企業擔心很難切換或混合不同的雲端供應商，也不確定這些雲端供應商是否維持平衡的競爭，使得Ofcom在去年10月展開調查，<a href="https://www.ofcom.org.uk/__data/assets/pdf_file/0027/269127/Cloud-services-market-study-final-report.pdf" target="_blank">並在本周發布正式報告</a>，同一天也將該報告交由CMA以供進一步的調查。</p> <p>英國最大的兩個雲端架構服務供應商為Amazon Web Services（AWS）與微軟，它們在2022年的合併市占率是70~80%，Google以5~10%位居第三，意味著絕大多數的雲端客戶皆以某種形式使用這些業者的服務。去年英國該市場的規模約介於70~75億英鎊之間。</p> <p>Ofcom發現，不同雲端供應商之間的競爭著重於吸引剛要遷移至雲端的新客戶，有些是透過創新的產品、折扣或是多元的軟體服務，然而，Ofcom更在意的是有些競爭功能是侷限在令客戶更難切換或使用混合雲端服務，包括資料輸出費用、技術障礙及有條件的折扣。</p> <p>Ofcom解釋，相較於其它較小的雲端供應商，這些超大型雲端供應商要求更高的資料輸出費用，可能讓企圖轉用其它服務的客戶卻步；有些則是切換雲端供應商的技術門檻太高，令客戶更難使用其它服務；要求客戶購買一定金額才有的折扣也會將客戶鎖在同一個供應商的服務中。</p> <p>此外，Ofcom於該報告中特別點名了微軟的軟體授權措施，指出有人指責微軟利用該公司在軟體產品上的強勢地位來改變雲端基礎設施的競爭狀態，例如讓客戶不喜歡於非微軟雲端服務上使用某些微軟軟體。其實同樣的指控也出現在Oracle身上，但因Oracle於該市場的規模太小而使得Ofcom決定聚焦於微軟。</p> <p>上述的考量讓Ofcom指示CMA展開進一步的調查，以探測該市場的競爭狀況，並提出改善方式。CMA已經成立了專門的調查小組，該小組成員也將擔任此一調查的決策者，預計於近期內便會發布調查重點以供業者參考，而正式的調查報告則會在明年4月出爐。</p> </div></div></div>
2023/10/6 15:57作者陳曉莉https://www.ithome.com.tw/news/159162
Cloud周報第186期：英特爾開發者雲端服務正式推出，年底將增加大型運算叢集Gaudi2系統，可用於上千億參數的LL…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/28～10/04）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發者雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">英特爾Developer Cloud正式推出，可供開發者在雲端測試和部署LLM模型等新的工作負載</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20230919_154351441.jpg" style="width: 600px; height: 338px;" /></p> <p>經過將近1年測試，英特爾在年度創新日上宣布Developer Cloud開發者雲正式GA，現在開發者已經可以透過該雲端平臺使用其最新硬體進行AI應用測試和部署，包括AI硬體加速器Gaudi2、第5代Xeon Scalable處理器及資料中心GPU Max系列等。</p> <p>英特爾介紹其開發者雲平臺，其中包含了多種英特爾最新硬體平臺可以對應到不同規模的AI或LLM模型訓練和推論的測試需求，例如開發者可以使用Xeon Scalable伺服器，在小型或中型的VM上執行小模型的推論和微調(參數介於70～200億)，此外，還可進一步搭配具備算力更強的Gaudi2或是資料中心GPU Max系列等，以支援500億參數的大模型推論。</p> <p>值得一提的是，英特爾計畫在年底推出以Gaudi2為基礎的大型運算叢集服務，可用於上千億參數的LLM模型訓練，頗有與同樣今年發表的Nvidia DGX Cloud超級電腦運算服務互別苗頭的意味。</p> <p>但與Nvidia不同的是，英特爾主要是自行建置該雲端平臺，並沒有提供公雲託管的選項。除了硬體平臺，英特爾開放使用Intel AI和機器學習工具套件與函式庫，可供用戶加速模型評估和開發，以縮短產品開發到上市的時程。</p> <p>另外，在資料安全方面，除了透過機密運算提供硬體加密保護機制，英特爾最新加入Trust Authority可信環境執行的驗證服務，強化在開發者雲的資料保護。Developer Cloud目前共推出三種服務方案，分別是免付費的標準版、按需付費的專業版，以及團體的企業版。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI建置服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS生成式AI建置服務Bedrock正式推出，新增Llama 2模型及嵌入式LLM</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(16).png" style="width: 600px; height: 319px;" /></p> <p>雲端巨頭AWS 近日宣布自家的生成式AI建置服務Bedrock現已推出，可協助用戶建立生成式AI應用，藉此替他們在雲端生成式AI競賽上扳回一成。</p> <p>Bedrock是一個基礎模型API服務，用戶可以透過API存取AWS的基礎模型，開發自己的生成式AI應用，也能夠使用AI21 Labs、Anthropic、Cohere、Meta、Stability AI等第三方的基礎模型，AWS在4月介紹這項新服務，並在9月底正式推出。同時增加Meta的Llama 2和嵌入式Titan Embeddings兩個新模型供用戶選擇。</p> <p>AWS強調，Bedrock採用無伺服器架構，因此客戶無需管理任何基礎設施，就能將生成式AI功能迅速整合和部署到他們的應用程式中。</p> <p>為了強化Bedrock服務，AWS母公司Amazon最近剛向OpenAI競爭對手Anthropic投資40億美元，要讓Anthropic能深度支援Bedrock。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI助手 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">SAP發表生成式AI助手Joule ，將整合到S/4HANA ERP在內等雲端應用服務</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap37(1).png" style="width: 600px; height: 334px;" /></span></strong></p> <p>搶搭生成式AI熱潮，ERP大廠SAP最近推出了名為Joule的生成式AI助手，並計畫將其內建在人力資源、費用支出、供應鏈、採購、客戶體驗管理及SAP商業技術平臺中，藉此提高用戶使用體驗。</p> <p>例如企業可以向Joule提問，快速整理出各地區銷售表現排名，也能夠分析資料庫的資料找出供應鏈問題後，再透過供應鏈系統提出建議，甚至未來還能協助人資編寫新職缺，或是列出建議的面試問題等。</p> <p>Joule預計今年稍晚將在SAP人資雲和SAP Start中推出，明年初跟進在SAP S/4HANA Cloud標準版中提供，後續將在SAP CRM雲、SAP採購雲和SAP商業技術平臺推出。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Oracle資料庫服務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟擴大與資料庫巨頭Oracle合作，使企業能在Azure中部署甲骨文OCI的資料庫服務</span></strong></p> <p>微軟近日宣布與甲骨文（Oracle）擴大結盟，推出Oracle <a href="mailto:Database@Azure">Database@Azure</a>新服務，將在Azure資料中心開始提供甲骨文雲端基礎設施（Oracle CloudInfrastructure，OCI）上的Oracle 資料庫服務。</p> <p>這並不是微軟與甲骨文的首次合作，早在去年雙方推出適用於 Azure的Oracle資料庫代管服務，讓企業可以在OCI環境中使用Azure管理工具布建、存取及執行Oracle資料庫服務。</p> <p>新推出Oracle <a href="mailto:Database@Azure">Database@Azure</a>服務，看起來就像是將整套甲骨文雲端基礎設施的環境搬進了Azure資料中心，因此具備和OCI環境中執行資料庫服務相同性能、擴充規模及工作負載可用性，同時能利用Azure的安全、彈性及多元化服務等特性。微軟表示，用戶可於Azure中部署Oracle ExadataDatabase、Oracle Autonomous Database及Oracle Real Application Clusters等資料庫服務。此外，雙方強調此一整合環境將簡化用戶於Oracle資料庫及Azure之間的雲端採購及管理。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">跨平臺整合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google與Salesforce結盟，要讓Workspace生成式AI助手能容易取得企業CRM資料優化其生產力</span></strong></p> <p>近期， Google宣布與CRM業者Salesforce擴大合作，推動跨平臺的生成式AI體驗，將整合Google Workspace中生成式AI助手Duet AI和Salesforce Customer 360平臺的生成式AI助手Einstein Copilot，優化各自在企業CRM和生產力工作流程。</p> <p>舉例來說，Duet AI可以根據企業用戶帳戶、聯絡人和來自Salesforce的CRM資料，產生自訂的Google簡報和文件，還能將自Gmail和Google日曆的Google Meet會議摘要和上下文匯入到Salesforce系統中以更新其記錄，並自動安排後續行動和分配任務等，例如將已簽署的合約發送至 Salesforce相關服務中，並根據文件數據產生盈虧報告等。此外，Einstein Copilot也能夠存取Workspace中的相關上下文，以優化銷售、服務、行銷、商務等領域的工作流程。</p> <p>在資料保護方面，Google表示，將整合Salesforce和Google Workspace 中現有的隱私和用戶資料保護機制。除了有跨平臺的生成式AI助手合作，雙方進一步還將提供LLM模型的跨平臺互通，使用戶未來在Vertex AI部署的LLM模型，如PaLM 系列模型，將能在Salesforce的Einstein 1平臺中來執行。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">企業碳盤查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NLP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IBM更新碳排放資料平臺Envizi，導入NLP技術簡化盤查資料的分類和管理</span></strong></p> <p>近日，IBM更新雲端碳排放資料平臺Envizi，新增了自然語言處理（NLP）功能，讓企業開始可以用更自動化的方式，完成對碳排放源資料的分類和管理，加快包含範疇3在內的企業碳盤查工作。</p> <p dir="ltr">Envizi是IBM去年推出的碳排放資料蒐集和監控的雲端軟體套件，不僅限於IBM產品，也支援其他第三方的IT或OT設備。該平臺還包含了內建的嵌入式排放因子庫，涵蓋了超過180個國家和地區，可用於計算排放數據。</p> <p>IBM表示，使用NLP的文字分類功能，將有助於企業自動提取、彙整和管理排放計算和外部揭露所需的相關支出數據，提高盤查作業效率。</p> <p> </p> <p>攝影／余至浩圖片來源／AWS、SAP</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.本土電商PChome大舉擁抱雲端加速轉型新零售，不只電商購物平臺，連核心系統ERP都要上公雲</strong></p> <p><strong>2.德國百年老車廠BMW宣布將採用公雲，結合生成式AI、物聯網開發下一代ADAS自動駕駛平臺</strong></p> <p><strong>資料來源：iThome整理，2023年10月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/10/6 14:29作者余至浩https://www.ithome.com.tw/news/159160
法院文件顯示蘋果曾考慮買下微軟Bing、使用DuckDuckGo作為預設搜尋引擎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.bloomberg.com/news/articles/2023-10-04/apple-considered-switch-to-search-engine-duckduckgo-from-google" target="_blank">彭博</a>》、《<a href="https://www.washingtonpost.com/technology/2023/10/05/apple-microsoft-bing-google-search-trial/" target="_blank">華盛頓郵報</a>》、<a href="https://edition.cnn.com/2023/10/05/tech/apple-microsoft-bing-duckduckgo-google-search/index.html" target="_blank">CNN</a>報導，為了和Google搜尋抗衡，蘋果曾經想過引進其他搜尋引擎，包括買下Bing搜尋或用DuckDuckGo取代Google作為Safari瀏覽器隱私模式的預設搜尋引擎，但最後仍打消此意。</p> <p>9月12日美國司法部對Google提出搜尋引擎控告。美國法官Amit Mehta周三解密的訪談抄寫文件，揭露蘋果為對抗Google設想過之前不為人知的策略。</p> <p>文件顯示，蘋果2018年到2020年間曾考慮買下微軟Bing搜尋，或是投資Bing、雙方成立合資公司。同時間，蘋果也曾在2018到2019年之間和搜尋引擎業者DuckDuckGo討論過，以它作為Safari隱私模式下的瀏覽器。DuckDuckGo強調搜尋公正式，也不蒐集使用者資訊。文件中DuckDuckGo執行長Gabriel Weinberg指出，蘋果Safari已整合了DuckDuckGo的隱私技術，雙方甚至談到合約細節及做出產品mockup。</p> <p>最終蘋果Safari預設搜尋並沒有使用Bing或DuckDuckGo，仍然是Google。沒有使用Bing及DuckDuckGo的原因為何，微軟廣告與Web服務執行長 Mikhail Parakhin的說法是，微軟曾經提議支付蘋果大筆金額，以取得Safari預設搜尋的位置，但遭到Google阻撓。微軟並未說提議付出的金額，但曾說金額甚至超出Bing的營收。但Google付的更多。</p> <p>DuckDuckGo也是類似說法，並說Google也是如此阻撓他們和Mozilla Firefox、Opera、Samsung的合作。分析師估計，在Safari上，Google可能付給蘋果每年高達190億美元。Google支付Mozilla大約3年10億美元以交換Firefox的搜尋預設。</p> <p>但蘋果搜尋部門高層John Giannandrea作證時指出，蘋果內部測試Bing的效能不如Google，使用Bing對蘋果用戶沒有好處。Giannandrea並說，蘋果並未認真討論過Safari隱私模式要從Google換成DuckDuckGo，而他也對DuckDuckGo和微軟之間合作關係抱持保留態度，因為這可能有損用戶隱私。</p> <p>DuckDuckGo顯示的廣告是來自微軟廣告平臺。<a href="https://www.ithome.com.tw/news/151124" target="_blank">曾有安全研究人員聲稱</a>，DuckDuckGo會封鎖Google及臉書的追蹤器，卻把DuckDuckGo用戶資料傳送給Bing與LinkedIn。</p> <p>9月展開的美國司法部vs.Google將是繼1998年司法部vs.微軟後，最重要的反托拉斯法案件之一。有趣的是，<a href="https://www.cnbc.com/2023/10/02/microsoft-ceo-testifies-about-competing-with-google-in-antitrust-trial.html" target="_blank">本周微軟執行長Satya Nadella甚至出席聽證會指控</a>，Google運用壟斷手段營造不公平的環境藉以排擠對手，令其Bing難以競爭。</p> </div></div></div>
2023/10/6 13:20作者林妍溱https://www.ithome.com.tw/news/159159
微軟主權雲開放公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2023/10/03/unlocking-global-government-innovation-with-microsoft-cloud-for-sovereignty-public-preview-available-today/" target="_blank">微軟本周宣布</a>專門為政府部門設計的主權雲（Microsoft Cloud for Sovereignty）以公開測試版上線開放試用。</p> <p>微軟<a href="https://www.ithome.com.tw/news/152072" target="_blank">去年宣布</a>主權雲，提供政府敏感性數據的保護及加密措施，還提供Azure機密運算服務。今天開放公測後，微軟同時宣布這項政府雲服務預定於12月正式上線。</p> <p>微軟表示，主權雲可讓政府部門將IT基礎架構搬上雲，又能滿足法規遵循、安全及政策要求。一方面，藉由雲端化，政府部門可減少傳統資料中心的資本支出和作業成本。另一方面，政策要求也不斷演變，例如歐盟和美國今年7月簽定，在歐盟隱私法（GDPR）下加入歐盟－美國適足性認定（adequacy decision），為會員國政府採用超大型雲端提供了法源基礎（意即，歐盟和美國大型雲端業者個別訂立個資保護契約，就能進行跨境資料傳輸。）微軟說，主權雲提供資料主權及加密控制，讓政府得以依區域和國家法規要求設定雲端環境。</p> <p>微軟今日公測的主權雲揭露多項功能。包括Sovereign Landing Zone，即基礎架構管理即程式碼自動化（infrastructure as code automation）工具，現已可在<a href="https://github.com/Azure/sovereign-landing-zone" target="_blank">GitHub</a>取得相關資源。主權雲也支援特定歐盟會員國政策，包括義大利網路安全局（ACN）要求與荷蘭主管機關的要求，允許政府用戶監控Azure的使用，此外還提供Log紀錄工具，以及機密運算Azure Confidential Computing和多租戶管理工具Azure Lighthouse的自動化範本。</p> <p class="rtecenter"><a href="http://github.com/Azure/sovereign-landing-zone" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1006-Azure-sovereign-landing-zone%20on%20GitHub.png" style="width: 600px;" /></a></p> <p>為了Azure主權雲能滿足各地政策要求，微軟必須有本地服務合作夥伴。除了荷蘭的本地業者外，昨日也宣布新夥伴，涵括瑞典、阿拉伯聯合大公國、義大利當地顧問服務業者，以及Accenture。</p> </div></div></div>
2023/10/6 11:39作者林妍溱https://www.ithome.com.tw/news/159158
BlackBerry將拆分IoT與安全部門、IoT部門計畫IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blackberry.com/us/en/company/newsroom/press-releases/2023/blackberry-provi[…]m-update-and-announces-intention-to-separate-business-units" target="_blank">加拿大安全業者BlackBerry昨日宣布</a>，再把公司分拆成物聯網（Internet of Things，IoT）及安全軟體二個事業體，並計畫明年將讓IoT部門獨立上市。</p> <p>BlackBerry作為曾經是世界最好商務手機的業者，在iPhone崛起後，BlackBerry轉型發展安全軟體方案，包括行動裝置、嵌入式系統、汽車、端點安全與回應、安全通訊軟體等多種領域。</p> <p>BlackBerry今年5月曾找來摩根史坦利、溫伯格合夥公司（Perella Weinberg Partners）等財務顧問公司評估公司的未來策略。根據顧問公司的建議，BlackBerry周三指出，董事會決定，把公司拆分為IoT及網路安全二家獨立實體業務，是公司最佳策略方向。</p> <p>拆分的主要目的是讓IoT業務於下一會計年度上半年股票公開發行（initial public offing，IPO）。該公司的IoT業務開發汽車及其他產業的底層安全軟體。BlackBerry說，此舉可讓股東更清楚評估不同業務效能及潛力，允許個別業務發展各自的策略和資金配置策略。BlackBerry董事長暨執行長程守宗（John Chen）說，董事會和公司管理部門相信拆分主要業務，可提升公司為股東創造利益的能力。</p> <p>轉型為安全業者的BlackBerry，2019年還曾以14億美元買下威脅分析及事件安全服務業者Cylance。但<a href="https://www.sdxcentral.com/articles/news/blackberry-to-split-cybersecurity-and-iot-business-units-pursues-ipo/2023/10/" target="_blank">今年夏天傳出</a>私募基金業者Veritas Capital想收購BlackBerry，引發客戶擔心支援斷炊。</p> <p>昨日消息宣布後，BlackBerry股價不漲反跌，最大跌幅10%，<a href="https://seekingalpha.com/article/4639246-blackberry-stock-overpriced-spin-off-uncertainty" target="_blank">媒體推測</a>，原因可能是市場擔心，一旦IoT部門獨立上市，剩下的業務就會被賣給私募基金業者。</p> </div></div></div>
2023/10/6 11:04作者林妍溱https://www.ithome.com.tw/news/159155
Python 3.12穩定版效能提升，f-string解析也更靈活
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://discuss.python.org/t/python-3-12-0-final-is-here/35186">Python 3.12</a>穩定版現在釋出，改進許多既有功能，包括f-string解析、緩衝區協定等，同時也改進了錯誤訊息，使開發者能夠更清楚錯誤發生原因，並且獲得實用建議，開發團隊也進行了大大小小的效能改進，Python整體效能提高約5％。</p> <p>在Python 3.12中f-string解析更加靈活，許多之前不允許的操作，在這個版本都進一步放寬。在3.11中f-string的表示式如果重用外部f-string的相同引號，會導致語法錯誤，但這個寫法在3.12被允許。而且在前一版本，f-string表示式本身即便可以跨多行，但是仍必須要在單行內定義，在3.12開發者則可以使用多行表示式。之前f-string不能包含任何反斜線符號，在新版本中也被允許使用，因此f-string也可以包含跳脫序列（Escape Sequences）。</p> <p>Python開發者在新版中可以更方便地使用緩衝區協定（Buffer Protocol），緩衝區協定是一個低階介面，允許物件暴露其內部資料給其他物件，如此便可省去複製的過程，因此在處理大量資料，像是陣列或是圖像時，可以提高效能並節省記憶體。</p> <p>在之前，緩衝區協定主要在Python的C API中被使用，對純Python的開發者並不友善，Python 3.12則引入新方法和抽象類別來解決這個問題，使開發者可以更直接地在Python程式碼中操作緩衝區協定，不再需要透過C或是其他低階方法，整體而言改進了Python程式碼的可存取性。</p> <p>Python 3.12版本的錯誤訊息也獲得不少改進，不只更加清晰也更具指導性，讓開發者可容易辨識並修正錯誤。當開發者忘記匯入標準函式庫模組但仍試圖使用時，系統現在會發出提醒。同樣的，當開發者錯誤使用import語法時，系統會提供正確的使用建議，如果開發者試圖使用不存在的模組時，系統會根據模組中可用的名稱給出建議。另外，在類別方法中使用未正確參照的實例屬性時，錯誤訊息現在會指向正確物件本身的屬性名稱。</p> <p>Python還進行了多項效能提升更新，Unicode物件經過瘦身，透過移除部分成員縮小記憶體占用空間，使其更為輕巧，而且Python還會在建置過程中，使用BOLT二進位最佳化工具，使效能提高1％到5％。tokenize模組內的函式，因為f-string解析的改進，使速度提高達64％，另外，因為新的LOAD_SUPER_ATTR指令，開發者在呼叫super() 方法和載入屬性也會感覺到速度提升。</p> </div></div></div>
2023/10/6 09:37作者李建興https://www.ithome.com.tw/news/159145
GNU C函式庫存在緩衝區溢位漏洞，Fedora、Ubuntu與Debian都中槍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Qualys在GNU C函式庫的動態載入程式，<a href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so">發現</a>了一個緩衝區溢位漏洞，這個漏洞編號為CVE-2023-4911，並被稱之為Looney Tunables。資安研究人員在Fedora 37和38、Ubuntu 22.04和23.04，還有Debian 12和13的預設安裝上，都發現了這個漏洞，其他發行版可能也存在此問題。</p> <p>GNU C函式庫被稱為glibc，是GNU系統和大多數執行Linux核心系統的C函式庫，其定義了典型程式所需要的系統呼叫和基本功能，而動態載入程式則是glibc中的重要部分，負責準備和執行程式，當程式啟動時，該載入程式會先檢查該程式以確定需要使用的共用函式庫，接著便會搜尋這些函式庫，將他們載入到記憶體中，並在執行的時候將這些函式庫與可執行檔連結。</p> <p>而這個Looney Tunables漏洞便是發生在glibc的動態載入程式，在處理GLIBC_TUNABLES環境變數的時候。GLIBC_TUNABLES是glibc引入的一個環境變數，讓使用者可以在不重新編譯相關應用程式和函式庫本身，就可以在執行時動態調整函式庫行為，這提供了一種靈活性，允許用戶對特定系統或應用程式需求進行最佳化。</p> <p>但這種靈活性也帶來了一些安全性的問題，進而導致GLIBC_TUNABLES環境變數存在緩衝區溢位漏洞。</p> <p>而資安研究人員在Fedora、Ubuntu和Debian等Linux發行版，皆成功利用Looney Tunables漏洞，完全獲得Root權限，資安人員提到，這凸顯了該漏洞的嚴重性，以及影響範圍的廣泛。值得注意的是，這個漏洞雖然是研究人員手動發現的，但是藉由利用模糊測試工具，也能夠在不到一秒鐘的時間，重新發現這個溢出漏洞。</p> <p>Qualys已經開發了可以利用這個漏洞的程式，但是目前他們選擇不公開程式碼以保護用戶，避免這個漏洞被惡意利用，但是研究人員也提到，緩衝區溢出相對容易被利用，因此他們預期其他研究者也能很快找到並公開攻擊手法。</p> <p>而這可能會讓大量系統面臨風險，特別是glibc被許多Linux發行版廣泛採用，目前已知使用musl libc而非glibc的Alpine Linux不受此漏洞影響，但採用Fedora、Ubuntu與Debian的用戶應立刻修補該漏洞，以確保系統安全性。</p> </div></div></div>
2023/10/6 09:40作者李建興https://www.ithome.com.tw/news/159146
因根域資料解析失敗，Cloudflare DNS查詢異常影響大量用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從臺灣時間10月4日下午3點到7點之間，<a href="https://blog.cloudflare.com/1-1-1-1-lookup-failures-on-october-4th-2023/">Cloudflare的網路關鍵系統DNS歷經長達4小時的DNS解析異常</a>，使用1.1.1.1伺服器或使用1.1.1.1的WARP服務，還有零信任和第三方DNS解析器等產品的用戶，在進行有效查詢時，部分收到了DNS查詢失敗的回應。</p> <p>這次的問題與DNS架構有關。在DNS中，每個網域名稱都位於某個DNS區域（Zone）內，而區域則是一個包含網域名稱和主機名稱的集合，區域中的網域名稱和主機名稱皆由同一個管理單位所控制。舉例來說，cloudflare.com這個網域名稱就由Cloudflare管理，而其中的.com屬於頂級域（Top-level Domain，TLD），位於DNS架構的最上層，也就是根域中最高級的域名，由ICANN監管並且交由各註冊機構負責。</p> <p>根域會指引連接頂級域的方法，因此根域在解析所有網域名稱時，扮演非常重要的角色。雖然根域存放在根伺服器上，但是DNS營運商通常會檢索並且保存根域的副本，這樣就算暫時無法存取根域伺服器，還是可以利用根域副本繼續提供DNS服務。</p> <p>Cloudflare的遞迴式DNS架構也採用這種方法，以加快DNS解析的速度。在Cloudflare上有一支叫做static_zone的WebAssembly應用程式，負責載入和解析根域資料。而Cloudflare發生在10月4日的DNS查詢異常，便是根域資料更新失敗所導致。</p> <p>在9月21日的時候，DNS根域執行了一項計畫性更新，當中加入了名為ZONEMD的資料，用作根域內容的校驗和。Cloudflare核心系統會在擷取根域資料後，發送到全球Cloudflare資料中心，但是當1.1.1.1解析系統在解析ZONEMD資料時卻發生問題，Cloudflare提到，ZONEMD解析失敗就代表，Cloudflare的解析系統未採用新版本的根域資料版本。</p> <p>同時，託管Cloudflare解析基礎設施的伺服器也沒有接收到新根域，這些伺服器便會針對每個請求查詢DNS根伺服器，但是其他伺服器仰賴記憶體中的舊根域資料運作，這些資料是在9月21日之前的版本。</p> <p>一直到了10月4日，9月21日版本的根域DNSSEC簽章過期，且由於Cloudflare解析系統無法使用更新版本，所以部分解析系統停止驗證DNSSEC簽章，因此開始發送錯誤回應，這導致Cloudflare解析器產生錯誤回應的比例增加12％，為平常錯誤回應比例的5倍。DNSSEC用於保護DNS查詢與回應的安全擴充，可避免DNS快取污染等問題。</p> <p>Cloudflare進一步解釋ZONEMD資料解析失敗的原因，在於static_zone這支程式不支援新的ZONEMD資料的二進位格式。過去Cloudflare一直是使用表示格式（Presentation Format）而非二進位格式，因此在邊緣解析根域的函式庫不認得二進位格式的資源紀錄時，便無法進行解析。</p> <p>而之所以沒有造成全部DNS查詢失效的原因，在於當伺服器曾經重新啟動，且無法載入根域時，便會選擇直接向根伺服器發送DNS查詢，所以才沒有受到影響。此外，解析器使用一種稱為Serve Stale（RFC 8767）的技術，可從快取繼續提供過期的紀錄，也可以避免DNS服務完全中斷。</p> <p>針對這個事件，Cloudflare進行檢討，透過強化監控來避免之後再發生類似的事件，會在static_zone提供過時根域資料時發出警示。同時也檢討內部根域擷取和發布的方法，確保新的資源紀錄類型能夠被處理，也擴大測試覆蓋範圍和流程，避免使用過時的根域資料，減少營運風險。</p> </div></div></div>
2023/10/6 09:46作者李建興https://www.ithome.com.tw/news/159150
【資安日報】10月5日，亞太地區安卓手機遭中國駭客APT41鎖定，進行精確的定位追蹤、盜取網路電話通話內容及行動支付資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客APT41造成的資安事故頻傳，執行Windows作業系統的電腦是最主要受害的系統平臺，但這樣的情況自今年下半開始出現變化，有資安業者發現，這些駭客開發惡意軟體並對安卓用戶下手，最近有新的調查結果突顯這個趨勢</p> <p>例如，本週有資安業者ThreatFabric，揭露這群駭客對安卓手機發動的間諜軟體攻擊，而且，當中使用的惡意軟體，具有相當罕見的功能，引發關注——不只能搜括手機上的使用者資料，還能讓駭客得知受害者精準的地理位置。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.threatfabric.com/blogs/lightspy-mapt-mobile-payment-system-attack"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客APT41開始對安卓行動裝置下手，利用惡意軟體DragonEgg、WyrmSpy犯案</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/TF_LightSpy_Toolset.png" style="width: 300px; float: right;" /></a>資安業者Lookout於今年7月，<a href="https://www.ithome.com.tw/news/157880#apt41-dragonegg">揭露中國駭客組織APT41鎖定安卓手機發動的網路間諜攻擊行動</a>，過程中駭客利用了惡意軟體DragonEgg（亦稱LightSpy）和WyrmSpy（亦稱AndroidControl）。</p> <p>資安業者ThreatFabric循線進一步調查，發現DragonEgg採用模組化設計，並找出14種外掛程式，該惡意程式功能齊全，不只能收集使用者的個人資料，並能記錄包含建築樓層等相當精確的地理位置資料，還能從微信支付（WeChat Pay）的後端基礎設施竊取付款資料，以及從微信的音訊功能進行掛鉤，錄下使用者網路電話（VOIP）的對話內容。研究人員指出，DragonEgg的程式核心元件（Core）在整個攻擊鏈扮演重要的角色，功能包含採集設備的指紋，以及與C2建立完整的連接、從伺服器搜尋命令、更新及載入元件。此核心元件採用2種通訊協定與C2通訊，分別是以WebSocket接收命令，以及透過HTTPS上傳竊得資料。</p> <p>而對於此惡意軟體的基礎設施，研究人員在中國、香港、臺灣、新加坡、俄羅斯找到數十臺伺服器，並發現WyrmSpy也共用部分基礎設施，推測駭客打算使用WyrmSpy取代DragonEgg。此外，資安業者趨勢科技及卡巴斯基於2020年，揭露使用LightSpy惡意軟體攻擊香港iPhone用戶的攻擊行動Operation Poisoned News，ThreatFabric發現也是APT41所為。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony證實資料外洩，起因是遭遇MOVEit Transfer零時差漏洞攻擊</span></strong></p> <p>上週末<a href="https://www.ithome.com.tw/news/159013">兩個駭客組織RansomedVC、MajorNelson聲稱成功入侵Sony</a>，取得部分開發資料，而現在該公司向美國政府通報資料外洩事故，再度引起外界關注。</p> <p>根據資安新聞網站Bleeping Computer、HackRead的報導，大型家用電視遊樂器製造商Sony Interactive Entertainment於10月3日，向緬因州總檢察長辦公室通報發生在5月底的資料外洩事故。</p> <p>該公司在6月2日察覺未經授權的下載，隨即將遭受攻擊的MOVEit Transfer系統下線並修補漏洞，尋求外部資安專家協助調查，結果發現，這起資料外洩事故發生在5月28日至30日，遭竊的資料包含姓名，以及與社會安全碼（SSN）有關的個人識別資訊，總共有6,791人受到影響。</p> <p>資料來源</p> <p>1. <a href="https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml">https://apps.web.maine.gov/online/aeviewer/ME/40/8b595be6-d1d7-47df-84d5-05738edd84f9.shtml</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/">https://www.bleepingcomputer.com/news/security/sony-confirms-data-breach-impacting-thousands-in-the-us/</a><br /> 3. <a href="https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/">https://www.hackread.com/sony-data-breach-moveit-vulnerability-us/</a></p> <p><a href="https://www.reversinglabs.com/blog/r77-rootkit-typosquatting-npm-threat-research"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客透過惡意NPM套件散布rootkit程式r77</span></strong></a></p> <p>網路上又出現惡意NPM套件，根據資安業者ReversingLabs發現，有個名為node-hide-console-windows的套件，最近開始散播，一旦開發者下載並部署，此套件便會下載Discord機器人DiscordRAT，並於受害電腦植入rootkit程式r77。</p> <p>研究人員指出，這起攻擊行動特別的地方，在於駭客模仿合法的套件node-hide-console-window，不只將說明頁面配置幾乎一樣，也比照合法套件發布相同數量的版本（10個），而讓開發人員更容易搞混。</p> <p>再者，駭客本次使用的DiscordRAT、r77，皆為開源的惡意程式，開發者皆提供了極為淺顯易懂的說明及使用教學，使得想要發動攻擊的駭客無須擁有高深的技巧就能操作，這樣的情況，使得相關攻擊將會變得更加氾濫。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-looney-tunables-linux-bug-gives-root-on-major-distros/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Linux系統出現root權限可能被奪取的漏洞，影響多個分支版本</span></strong></a></p> <p>資安業者Qualys揭露Linux漏洞CVE-2023-4911，這項漏洞存在於GNU C程式庫glibc，一旦加以利用，就有可能取得作業系統root完整權限。</p> <p>研究人員在Fedora 37及38版、Ubuntu 22.04及23.04版、Debian 12及13版上成功利用漏洞，並將其命名為Looney Tunables。不過，並非所有的Linux作業系統都存在這項漏洞。例如，Alpine Linux採用的C程式庫是musl libc，便不會受到影響。</p> <p>此漏洞發生的原因，在於動態載入程式在處理GLIBC_TUNABLES環境變數的過程中，可能出現記憶體緩衝區溢位的情況，此漏洞於2021年4月引入，研究人員上個月通報，Red Hat、Debian、Canonical皆發布資安通報並提出修補程式，Red Hat進一步指出，此漏洞的CVSS風險評分為7.8。</p> <p>資料來源</p> <p>1. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-225574367" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://blog.qualys.com/vulnerabilities-threat-research/2023/10/03/cve-2023-4911-looney-tunables-local-privilege-escalation-in-the-glibcs-ld-so#potential-impact-of-looney-tunables</span></a><br /> 2. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://access.redhat.com/security/cve/CVE-2023-4911" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-1224208931" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://access.redhat.com/security/cve/CVE-2023-4911</span></a><br /> 3. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://www.debian.org/security/2023/dsa-5514" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id--353194787" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://www.debian.org/security/2023/dsa-5514</span></a><br /> 4. <a class="notion-link-token notion-focusable-token notion-enable-hover" data-token-index="0" href="https://ubuntu.com/security/notices/USN-6409-1" rel="noopener noreferrer" style="cursor:pointer;color:inherit;word-wrap:break-word;text-decoration:inherit" tabindex="0"><span class="link-annotation-unknown-block-id-2089826885" style="border-bottom:0.05em solid;border-color:rgba(55,53,47,.4);opacity:0.7">https://ubuntu.com/security/notices/USN-6409-1</span></a></p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-update-fixes-new-zero-day-used-to-hack-iphones/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補已遭到利用的零時差漏洞</span></strong></a></p> <p>9月底蘋果開賣iPhone 15系列手機，有使用者反映產品使用有過熱的問題，蘋果承諾將發布新版iOS作業系統予以緩解，如今該公司推出相關更新，同時修補零時差漏洞。</p> <p>10月4日蘋果發布iOS 17.0.3、iPadOS 17.0.3，修補了CVE-2023-5217、CVE-2023-42824，前者為Google揭露的影像編解碼程式庫libvpx漏洞，與WebRTC有關，該公司將此元件更新為1.13.1版緩解漏洞；另一個漏洞則是出現在作業系統核心，攻擊者一旦觸發，就有可能藉此擴張權限。</p> <p><a href="https://msrc.microsoft.com/blog/2023/10/microsofts-response-to-open-source-vulnerabilities-cve-2023-4863-and-cve-2023-5217/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補Edge、Teams、Skype開源程式庫的零時差漏洞</span></strong></a></p> <p>10月2日微軟宣布，他們將針對旗下多項軟體，修補開源元件libwebp、libvpx的零時差漏洞CVE-2023-4863、CVE-2023-5217，這些軟體包含Edge瀏覽器、電腦版Teams應用程式、電腦版Skype應用程式，以及Windows的Webp圖像延伸套件。</p> <p>其中，CVE-2023-4863最早由Google揭露，並於9月11日發布新版Chrome修補；次日Mozilla也為旗下的瀏覽器及上網應用程式修補該漏洞；另一個零時差漏洞Google、Mozilla先後於9月27日、28日進行修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客入侵微軟SQL Server資料庫系統，目標是對Azure雲端環境的虛擬機器下手</span></span></strong></a></p> <p><a href="https://jira.atlassian.com/browse/CONFSERVER-92475"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺Confluence已出現攻擊行動的漏洞</span></span></strong></a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cer-priv-esc-B9t3hqk9"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">思科修補Emergency Responder寫死root帳密的漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/new-supermicro-bmc-vulnerabilities-could-expose-many-servers-to-remote-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Supermicro的基板管理控制器漏洞恐導致伺服器遭到RCE攻擊</span></span></strong></a></p> <p><a href="https://blog.thunderbird.net/2023/10/ransomware-alert-are-you-using-a-trusted-version-of-thunderbird/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借供收信軟體Thunderbird散布勒索軟體</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/159124"><strong>【10月4日】求職網站Indeed被駭客用於網路釣魚攻擊，鎖定高階主管竊取Microsoft 365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159112"><strong>【10月3日】 Cloudflare預設信任該公司網域的流量恐讓攻擊者有機可趁，關閉用戶設置的防護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/159063"><strong>【10月2日】搜尋引擎提供的AI聊天機器人也成為散布惡意程式的管道！有人投放廣告對Bing Chat用戶散布惡意軟體</strong></a></p> </div></div></div>
2023/10/5 17:26作者周峻佑https://www.ithome.com.tw/news/159144
Android 14正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-14/" target="_blank">Android 14在本周隨著Pixel 8系列手機的發表而登場</a>，新一代Android主要著重在使用經驗與安全上的改善，包括將PIN碼的預設值改成6位數，可自訂螢幕鎖定時的快捷功能，利用Health Connect集中管理所有健康資料，另也強化了<a href="https://blog.google/products/android-enterprise/android-14-for-business/" target="_blank">Android Work Profile的安全及法規遵循能力</a>。</p> <p>不管是蘋果的iOS或是Google的Android，現在行動作業系統的進化多圍繞在改善使用者經驗，已不常出現突破性的功能。最新的Android 14把重點擺在客製化能力，包括自訂鎖定螢幕的快捷鍵，快速切換桌布，自選螢幕上的字型、工具、顏色或格式，它甚至新增了一個單色主題，可讓整部手機的介面都變成黑白。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-android%2014-monochrome%20theme.png" style="width: 421px;" /></p> <p>此外，Android 14也支援AI桌布功能，利用AI生成技術將使用者所輸入的文字變成圖像，把想像中的桌布化為真實。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-android%2014-generative%20ai%20wallpaper.png" style="width: 419px;" /></p> <p>在安全及隱私上，Android 14鼓勵用戶設定6個數字的個人識別碼（Personal Identification Number，PIN），而且輸入完畢後裝置就會自動解鎖，不必再按確定或其它任何鍵。自動解鎖功能其實在三星或其它Android手機上早就存在，只是Google從未將它內建在Android上。</p> <p>新的Health Connect可用來連結與同步各種健身或健康程式，集中儲存來自相關程式的所有資料，方便管理與查看。此外，當使用者同意程式的某些權限，例如分享位置資料後，若程式開始與第三方分享使用者的資料，使用者將旋即收到通知，並決定是否收回權限。</p> <p>為了支援Android裝置在工作場合的使用，Android 14具備更先進的安全及法規遵循功能，也改善了可用來隔離私人與工作環境的Android Work Profile。例如它在Android Work Profile中提供了新的憑證管理員控制工具，讓IT管理人員可以僅放行可靠的憑證管理員，也可根據風險等級來關閉2G網路的連結，以及新增超寬頻（Ultra Wide Band，UWB）日誌等。</p> <p>另也讓使用者更容易切換Android Work Profile及私人檔案，可直接於使用中的程式切換，也能把螢幕截圖直接存至Android Work Profile中。</p> <p>Android 14將率先出現在Google本周發表的Pixel 8與Pixel 8 Pro，也支援其它Pixel手機、Pixel Tablet與Pixel Fold，至於Samsung Galaxy、iQOO、Nothing、OnePlus、Oppo、Realme、Sharp、Sony、Tecno、vivo與小米等手機也會在今年底前提供更新。</p> </div></div></div>
2023/10/5 15:59作者陳曉莉https://www.ithome.com.tw/news/159142
蘋果釋出iOS 17.0.3以解決iPhone過熱問題並修補零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周三（10/4）釋出了iOS 17.0.3與iPad 17.0.3，以修補相關裝置的臭蟲與零時差漏洞，同時也解決了<a href="https://www.ithome.com.tw/news/159052" target="_blank">日前傳出的iPhone 15過熱問題</a>。</p> <p><a href="https://support.apple.com/en-us/HT213781" target="_blank">在iOS 17.0.3的更新說明中</a>，蘋果表示該更新修補了重要的臭蟲與安全問題，以及解決了造成iPhone比預期還要熱的問題。不過，蘋果並未詳細解釋造成iPhone過熱的原因。</p> <p>蘋果也藉由iOS 17.0.3及iPad 17.0.3<a href="https://support.apple.com/en-us/HT213961" target="_blank">修補了兩個零時差漏洞</a>，一個是<a href="https://www.ithome.com.tw/news/159044" target="_blank">Google日前已修補</a>、涉及影像編解碼函式庫libvpx的CVE-2023-5217，另一個則是新零時差漏洞CVE-2023-42824。</p> <p>依據蘋果的說法，CVE-2023-5217存在於網頁即時通訊（WebRTC）功能中，它是個緩衝區溢位漏洞，可能導致任意程式執行，已藉由更新至libvpx 1.13.1將其修補。至於CVE-2023-42824則是一個全新的零時差漏洞，位於Kernel中，將允許駭客擴張權限。這兩個漏洞皆已遭到駭客利用。</p> </div></div></div>
2023/10/5 16:10作者陳曉莉https://www.ithome.com.tw/news/159143
Amazon將首次實測Project Kuiper低軌連網衛星
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過多年籌畫，<a href="https://www.aboutamazon.com/news/innovation-at-amazon/project-kuiper-prototype-satellite-test-mission" target="_blank">Amazon終於宣布，</a>要在本周發射用於衛星連網服務Project Kuiper的2顆低軌衛星。</p> <p>Amazon將在10月6日在Protoflight任務中，由洛克希德馬丁公司和波音公司合組聯合發射聯盟（United Launch Alliance）的擎天神5號運載火箭（Atlas V）將Project Kuiper的2顆衛星原型送往地面上空500公里近地軌道。這2顆原型衛星KuiperSat-1及Kuiper-2是計畫的頭2顆，Amazon規畫未來6年將陸續部署3,236顆用於寬頻連網的衛星。</p> <p class="rtecenter"><img alt="" src="https://assets.aboutamazon.com/dims4/default/928632e/2147483647/strip/true/crop/1600x900+0+0/resize/1320x743!/format/webp/quality/90/?url=https%3A%2F%2Famazon-blogs-brightspot.s3.amazonaws.com%2Fea%2F93%2Fcc7b9d64410d84b02abca0936750%2Finline-002-amazon-renewableenergy-inline-atlazvrocket-copy.JPG" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> <p>這次任務在蒐集真正太空情境下的資料，整合過往實驗室及田野測試資料集，以測試Project Kuiper由地面到太空的網路運作，同時測試衛星處理、發射和任務執行的程序。</p> <p>Protoflight任務將涵括Kuiper系統三個主要部分，包括進階低軌衛星（low-earth orbtit，LEO）、小型地面終端，以及地面通訊網路。</p> <p>在衛星送上近地軌道後，任務小組將使用遙感、追蹤及通訊（TT&C）基站和衛星建立連線，部署太陽能發電陣列，以及測試衛星上的電子零件在太空輻射及極端溫度下的運作。</p> <p>而在地面端，任務小組則將測試Kuiper系統和AWS雲端基礎架構的網路軟、硬體，地面閘道天線將追蹤衛星，同時將Kuiper系統串接網際網路。任務小組因而將測試資料在網際網路、地面閘道、衛星和地面終端的傳送情形。</p> <p>這次宣布較Amazon<a href="https://www.ithome.com.tw/news/153624" target="_blank">原定2023年初啟動測試的計畫</a>晚了10個月。Amazon表示經由測試計畫獲得的經驗可加速衛星量產。該公司預定2024年上半年正式投產衛星，預計2024年底和早期企業客戶合作beta測試。</p> <p>在星系寬頻網路市場，Amazon勢必要加快腳步。主要競爭者Space X的Starlink目前已經有4,000多顆衛星在近地軌道上運作。</p> </div></div></div>
2023/10/5 12:22作者林妍溱https://www.ithome.com.tw/news/159140
Pixel 8系列將可取得7年的軟體更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/google-pixel-8-pro/" target="_blank">Google周三（10/4）發表了新一代的Pixel 8系列手機</a>，包括6.2吋的Pixel 8與6.7吋的Pixel 8 Pro，它們皆採用最新的Tensor G3處理器與Android 14作業系統，<a href="https://blog.google/products/pixel/software-support-pixel-8-pixel-8-pro/" target="_blank">且其軟體支援年限長達7年</a>。</p> <p>Google此舉很難說不是受到蘋果的刺激。儘管蘋果從未明訂或宣傳過iPhone的軟體支援年限，但蘋果通常會提供5年的作業系統更新，可能會有更久的安全更新，另一方面，Android生態體系由於太過分散，軟體支援也不一，<a href="https://www.ithome.com.tw/news/126635" target="_blank">先前甚至傳出</a>還得由Google要求Android裝置製造商至少替使用者提供兩年的安全更新。</p> <p><a href="https://www.ithome.com.tw/news/149094" target="_blank">Motherboard資深作者Aaron Gordon曾在2022年抱怨</a>，宣稱他所使用的Pixel 3只有3年的安全更新，雖然手機沒壞，但軟體安全問題已足以令他決定投入iPhone的懷抱，Gordon的文章亦引來了眾多媒體的共鳴。</p> <p>另一方面，其實Google在2021年10月發表的Pixel 6，便提供了3年的作業系統更新及5年的安全更新，不過，Pixel 8更上一層樓，直接提供7年的軟體更新，包含Android作業系統的更新、安全更新及定期的功能更新，意謂著購買Pixel 8系列手機的使用者，到2030年都能取得來自Google的軟體更新。</p> <p>除了提供7年軟體更新之外，Google也宣布要延伸Pixel 8系列硬體及零件支援至7年，以迎合對軟體的承諾。Google表示，沒有一個主要的智慧型手機品牌能夠提供如此長壽的支援，而這也代表著Pixel手機將成為消費者更永續的選擇。</p> <p>在Android生態體系中，三星目前提供4年的安全更新，而荷蘭有一家崇尚環保的手機製造商Fairphone在某個部分超越了Google，<a href="https://shop.fairphone.com/fairphone-5" target="_blank">該公司在今年8月發表的Fairphone 5</a>提供了5年的保固、5個Android版本的作業系統更新，以及8年的安全更新。</p> </div></div></div>
2023/10/5 12:39作者陳曉莉https://www.ithome.com.tw/news/159141
Google公布以生成式AI加持的Google Assistant with Bard
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三在Made by Google大會上宣布Pixel 8、Pixel Watch2，<a href="https://blog.google/products/assistant/google-assistant-bard-generative-ai/" target="_blank">此外也公布整合生成式AI能力的Google Assistant with Bard</a>，但預定要再幾個月才會正式上線。</p> <p>新的Google Assistant是Google力抗在AI聊天機器人領域急起直追的OpenAI ChatGPT最新成果。為此，<a href="https://www.ithome.com.tw/news/156221" target="_blank">媒體報導</a>，Google今年春天也重新改組Assistant部門，要讓Assistant整合生成式AI聊天機器人Bard。</p> <p>名為Assistant with Bard的新AI助理整合了Bard的生成式及理解能力，以及Assistant的個人化協助。和Web版Bard一樣，使用者可以透過自然語言文字、語音或圖片傳達指令，例如搜尋網頁、翻譯、或詢問建議。另外，它也能和Google生產力應用如Gmail、Google Docs、Google Calendar等整合，預料應可協助使用者搜尋郵件、整理出差行程訂機票，或是草擬郵件、製作簡報等。</p> <p>接下來幾個月內，Google Assistant with Bard將推出Android和iOS版。Google Assistant and Bard部門副總裁暨總經理Sissie Hsiao指出，Assistant with Bard在Android手機上可以提供更靈活的協助，例如全新的對話疊加（conversational overly）功能提供新的互動方式，當用戶拍攝家中毛小孩的照片後，若想貼在社交平臺上，照片上會浮出Assistant對話框，用戶可以文字或口說叫它寫一段貼文，它就會寫出一段短文連同照片發送到社交平臺上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Assistant%20with%20Bard-600-1.jpg" style="width: 435px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-Assistant%20with%20Bard-600-2.jpg" style="width: 435px;" /></p> <p><a href="https://www.youtube.com/watch?v=TBeXI8s5pek" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></a></p> <p>此外，Google也預告，一如Bard和Google Assistant，新的Assistant也會允許用戶自行控制隱私設定。</p> <p>Assistant with Bard目前還在早期實驗階段，Google目前只提供早期測試者試用以蒐集回饋意見，還要幾好個月才會推向大眾。Google沒有說明是否會在今年底還是2024年初。</p> <p>另一家Al助理大廠<a href="https://www.ithome.com.tw/news/158861" target="_blank">Amazon兩周前也向大眾公開以生成式AI改造的Alexa</a>。Amazon計畫可讓Alexa整合智慧家庭連網能力，能控制支援的物聯網裝置，如照明、窗帘、甚至可讓Alexa自動控制掃地機器人清理地板。目前Alexa也是在有限測試階段。此外，<a href="https://www.ithome.com.tw/news/159021" target="_blank">Meta也在上周發表</a>整合在Facebook Messenger、WhatsApp及Instagram的AI機器人Meta AI。</p> </div></div></div>
2023/10/5 11:31作者林妍溱https://www.ithome.com.tw/news/159133
高效框架StreamingLLM可處理無限長度文本，解決LLM串流應用困境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由麻省理工學院、Meta AI以及卡內基美隆大學研究人員聯手，開發了讓語言模型能夠處理無限長度串流輸入的框架<a href="https://arxiv.org/abs/2309.17453">StreamingLLM</a>。這個研究針對將語言模型部署在串流應用程式中，可能遇到的記憶體消耗與泛化長序列等問題提出解決方案，使語言模型串流應用更加可行。</p> <p>StreamingLLM的研究重點，是想解決在串流應用中部署語言模型的障礙，特別是預期有長時間互動的多輪對話場景可能出現的問題。研究人員指出主要存在兩大挑戰，第一個挑戰，是在解碼階段，快取先前token的鍵（Key）值（Value）狀態會消耗大量的記憶體，第二個挑戰則是現有流行的語言模型，無法泛化適用到超過訓練序列長度的長文本。</p> <p>在Transformer架構的模型，特別是使用注意力機制時，每個token會被映射為鍵和值兩種狀態，以用於注意力運算。這樣的設計使模型能夠根據每個輸入token的上下文關係，動態地調整輸出結果。</p> <p>過去有許多研究試圖解決上述挑戰，像是擴展注意力窗口，讓語言模型能夠處理超出預訓練序列長度的長文本。抑或是建立一個固定大小的活動窗口，只關注最近token的鍵值狀態，確保記憶體使用和解碼速度保持固定，但是在序列長度超過快取大小時，這個策略就會失效。另一種策略，則是對於每次生成的token重建鍵值狀態，雖然這個策略很有效，但因為要在窗口內進行兩次注意力計算，因此實際在串流應用可能不實用。</p> <p>整體來說，最大的挑戰還是落在如何不消耗過多記憶體且不損害模型效能的前提下，處理長文本輸入。StreamingLLM採取的策略是運用注意力下沉現象，研究人員觀察到，在自我迴歸語言模型中，無論特定token和語言建模的相關性如何，對代token分配了大量的注意力。這些獲得高度注意力的token，表現出注意力下沉的現象，即便這些token在語義上不重要，但他們仍然獲得模型強烈關注。</p> <p>簡單來說，特定token意外地吸引大量的注意力分數，就如同這些token成為注意力的吸引器，獲得模型大部分的關注。因此StreamingLLM透過保留注意力下沉token的鍵值，並與滑動窗口近期token鍵值結合，這種方法可以確保無論輸入序列有多長，模型的注意力計算都能維持穩定。</p> <p>由於注意力下沉token的存在，可以維持正常的注意力分數分布，使模型在處理非常長的輸入序列時，效能仍然不會受到太大的影響。</p> <p>StreamingLLM的重要貢獻在於解決當前語言模型在串流應用的困境。雖然在串流應用整合語言模型勢在必行，但由於記憶體效率的限制，以及模型在處理長序列的性能問題，此發展仍備受挑戰。而StreamingLLM的窗口注意力機制，提出一個簡單且高效的解決方案，使語言模型不需微調就可以處理無限長度的文本。</p> <p>經研究團隊實驗證實，StreamingLLM能夠讓Llama 2、MPT、Falcon和Pythia可靠地處理高達400萬token的文本。而且使用專為注意力下沉設計的token進行預訓練時，更可以進一步提高模型的串流運算效能。重要的是，由於StreamingLLM讓語言模型預訓練窗口大小，與實際文字生成長度脫鉤，在串流應用的語言模型部署方面提供了更多可能性。</p> </div></div></div>
2023/10/5 10:46作者李建興https://www.ithome.com.tw/news/159128
數百GitHub儲存庫遭注入惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Checkmarx揭露了一起眾多GitHub儲存庫，遭自動化<a href="https://checkmarx.com/blog/surprise-when-dependabot-contributes-malicious-code/">注入惡意程式碼的攻擊事件</a>，攻擊者竊取受害者的GitHub個人存取令牌，並用以貢獻惡意程式碼到儲存庫中。這次攻擊事件規模龐大，除了公開儲存庫之外，也影響一些私人儲存庫，因此研究人員推測攻擊是一個自動化過程。</p> <p>攻擊者透過GitHub免費軟體專案自動化相依管理工具Dependabot，進行自動貢獻，試圖掩蓋惡意活動。Dependabot工具會持續監控諸如函式庫和套件等專案相依項目，發現存在安全漏洞或是過時的程式碼版本，Dependabot會自動產生拉取請求，協助開發人員保持軟體的安全性和最新狀態。</p> <p>而這起攻擊事件發生在今年7月8日到11日間，攻擊者入侵數百個GitHub儲存庫，透過偽造提交訊息（下圖），使開發者相信其為真正的Dependabot貢獻，並忽略該活動。攻擊總共可分為三個階段，首先是工作區域的初始化，研究人員解釋，開發者要進行Git操作就必須使用個人存取權杖設置開發環境，而這個權杖會被儲存在開發者機器上，很容易被擷取，由於這些存取權杖不需要雙因素驗證，因此只要擁有網際網路連接，就可以使用這些權杖存取帳戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-the%20fake%20commit-dependabot.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Checkmarx</span></p> <p>第二階段則是竊取憑證，研究人員目前還不確定攻擊者如何獲取開發者憑證，但是他們猜測最有可能的情境，是受害者被惡意軟體套件感染，再由惡意軟體套件將權杖上傳到攻擊者的C2伺服器。最後階段便是利用竊取來的存取權杖，通過GitHub身分驗證對儲存庫注入惡意程式碼，而且考慮其攻擊的規模，研究人員推斷該攻擊採用了自動化程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-50.jpg" style="width: 580px; height: 123px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Checkmarx</span></p> <p>注入的惡意程式碼會將GitHub專案中定義的機密，傳送到C2伺服器。具體方法是惡意程式會修改被攻擊專案中任何的JavaScript檔案，修改過後的程式碼會竊取網頁表單密碼，也就是終端使用者在網頁表單中只要輸入並提交密碼時，這些機密資訊就會被竊取，傳送到攻擊者的C2伺服器。</p> <p>Checkmarx提醒開發者，即便在GitHub這樣的可信任平臺，也要謹慎注意程式碼的來源。之所以攻擊者能夠成功發動攻擊，便是因為許多開發者在看到Dependabot訊息時，並不會仔細檢查實際變更內容，而且由於權杖存取日誌僅有企業帳戶可用，因此非企業用戶也無法確認權杖是否遭濫用。</p> <p>研究人員建議，使用者可以考慮採用<a href="https://www.ithome.com.tw/news/153704" target="_blank">GitHub精細個人存取權杖</a>（下圖），透過限縮每個權杖的權限，來降低當權杖洩漏時攻擊者所能造成的損害。</p> <p class="rtecenter"><a href="https://github.blog/wp-content/uploads/2022/10/PAT3.gif" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1005-fine-grained%20personal%20access%20tokens%20for%20GitHub.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_GitHub</span></span></p> </div></div></div>
2023/10/5 09:52作者李建興https://www.ithome.com.tw/news/159125
微軟公開重新設計的OneDrive應用程式，預告將陸續推出一系列新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟重新設計了<a href="https://techcommunity.microsoft.com/t5/microsoft-onedrive-blog/unveiling-the-next-generation-of-onedrive/ba-p/3935612">OneDrive</a>網頁應用程式，目的是要更清楚簡潔地呈現檔案，方便用戶快速存取檔案。新的OneDrive更新了檔案呈現方式，並加入人工智慧助理Copilot，讓使用者可以快速搜尋、組織和擷取檔案中的資料，同時官方也計畫，要在Teams和Outlook更緊密整合OneDrive，讓用戶可以在多種情境下快速取用檔案。</p> <p>使用者打開網頁OneDrive，第一眼便可以看到重新設計的主要頁面，頂端的For you區塊是利用人工智慧技術，根據使用者的需求推薦項目，讓使用者可以在需要的時候快速存取相關檔案。會議檢視區塊，則會顯示即將舉行與歷史會議還有其相關的內容，會議錄音以及在聊天或是會議中共享的檔案，都會出現在該區塊供用戶檢視。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive-01.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive%20in%20Outlook-for%20you.png" style="width: 600px;" /></p> <p>新版OneDrive還提供多種分類的檔案檢視方法，用戶能以共享者作為條件查詢檔案，或是查看所有已經共享的檔案，並且設置資料夾顏色，更好地分類檔案。新版OneDrive提供的收藏資料夾，可以讓使用者標記重要的檔案，並在OneDrive、Teams、檔案總管、Microsoft 365等應用程式中快速存取。整體來說，新版OneDrive應用程式更加直觀，簡化了檔案存取提高協作效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive-0%EF%BC%93.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1004-OneDrive-0%EF%BC%94.png" style="width: 600px;" /></p> <p>微軟也預告了接下來OneDrive還會陸續加入一些新功能。OneDrive的應用程式內開啟功能（Open In App），讓使用者可以從Word、PowerPoint或是Excel桌面應用程式直接開啟檔案，並在編輯之後同步至雲端，而接下來OneDrive也會支援PDF和CAD檔案，使用者能夠在這兩類檔案獲得相同的無縫編輯體驗。</p> <p>官方提到，OneDrive的其中一個更新重點，便是要和Teams、Outlook更緊密的整合。在12月的時候，微軟將會更新Teams中的檔案應用程式，推出新的OneDrive Teams應用程式，讓使用者可以直接在Teams存取所有SharePoint和OneDrive的檔案，而這將帶來額外的效能提升以及功能升級。</p> <p>在Outlook部分，應用程式左側導覽列將會出現OneDrive功能，使用戶可以在Outlook方便複製分享連結，並且快速查詢共享檔案。微軟也計畫在2024年陸續推出按需同步、新增按鈕與媒體檢視等功能。而在今年早些時候釋出OneDrive將引入Copilot的消息，微軟也預計會在12月之前，向所有擁有Microsoft 365 Copilot授權的用戶開放。</p> <p>微軟針對OneDrive消費者版本改進照片搜尋功能，OneDrive將能夠以人物搜尋照片，甚至是使用自然語言進行搜尋，讓尋找照片更加容易，用戶能以「camping in the fall, in the mountains with Caroline」這樣的句子查詢特定照片。該功能預計在2024年初開始公開預覽。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/10/5 08:50作者李建興https://www.ithome.com.tw/news/159123