iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】12月15日，小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半年前美國警示大家要注意中國駭客組織Volt Typhoon的攻擊行動，並指出下一波駭客攻擊的目標不再只是美國，還會擴及亞洲地區的關鍵基礎設施。但究竟駭客如何入侵這些環境？如今有研究人員揭露相關細節。</p> <p>資安業者Lumen指出，這些駭客也同時運用殭屍網路KV-botnet來從事攻擊行動，其重要的環節便是先對家用路由器、SOHO辦公室防火牆等網路設備下手，再存取受害組織的內部環境。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/routers-roasting-on-an-open-firewall-the-kv-botnet-investigation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Volt Typhoon使用殭屍網路KV-botnet攻擊小型路由器</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/KV-infection-chain-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/KV-infection-chain-3.png" style="width: 300px; float: right;" /></a>今年5月，美國政府與微軟對中國駭客組織Volt Typhoon的攻擊行動提出警告，指出駭客對美國通訊基礎設施下手，很有可能接下來會鎖定美國與亞洲地區的關鍵基礎設施，現在有研究人公布新的調查結果。</p> <p>資安業者Lumen指出，Volt Typhoon通常會以路由器、防火牆、VPN設備充當代理伺服器，使得惡意流量混入合法流量，讓攻擊變得更難以察覺。而在這一波行動裡，駭客鎖定Netgear ProSAFE防火牆、思科RV320路由器、居易（DrayTek）Vigor路由器，以及Axis多款IP網路攝影機而來，目的是入侵組織設置在網路環境邊緣的設備，然後從事網路間諜活動並收集機密資料。研究人員看到此殭屍網路的活動從2022年開始，並在今年8月、11月顯著增加，最近一波攻擊發生於12月5日。</p> <p>上述被鎖定的設備多半為家用或是SOHO辦公室設計，涵蓋Arm、MIPS、x86等架構，其共通點是生命週期已經結束，且缺乏相關的安全防護措施。駭客利用名為kv.sh的bash指令碼，終止特定的處理程序，並刪除目標裝置上的防護工具，而殭屍網路病毒與C2連線的過程中，會採用隨機的連接埠進行，再者，為隱匿攻擊行動，駭客的工具都在記憶體內運作而難以察覺。</p> <p><a href="https://abnormalsecurity.com/blog/bazarcall-attack-leverages-google-forms"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">語音網釣攻擊BazarCall濫用Google表單突破資安系統攔截</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/BazarCall-Attack-–-Malicious-Google-Form-E.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BazarCall-Attack-%E2%80%93-Malicious-Google-Form-E.png" style="width: 300px; float: right;" /></a>在2021年首度出現的語音網釣攻擊BazarCall，當時駭客佯稱是防毒軟體廠商、電腦技術支援業者、影音串流平臺，假借付款通知或是服務訂閱確認的名義，聲稱收信人信用卡即將扣款，支付高額費用，若要取消必須撥打客服電話處理，而「客服」則會誘騙收信人在電腦上安裝惡意程式，近期再度有新的攻擊行動出現。</p> <p>郵件安全業者Abnormal揭露新一波BazarCall的攻擊行動，其手法與過往最大的不同，在於駭客濫用Google表單工具，對方先是建置帶有發票號碼、交易日期、付款資訊、購買產品名稱等假交易資訊的表單，並於表單啟用回應填寫者的功能，並自行填寫表單，輸入欲攻擊對象的電子郵件信箱，隨後依據此表單內容，Google會向該名人士寄送副本，而這些來源合法釣魚郵件，資安系統通常會予以放行，且因為信件來自這類表單服務，也可能讓收信人降低警覺。</p> <p><a href="https://www.group-ib.com/blog/gambleforce-gang"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞太地區企業遭到駭客組織GambleForce鎖定，發動SQL注入攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-20.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露從今年9月出現的駭客組織GambleForce，這些駭客鎖定澳洲、巴西、中國、印度、印尼、菲律賓、韓國、泰國而來，迄今已有24個企業組織遭到攻擊，其中有6起行動得逞。</p> <p>本次攻擊遭鎖定的組織，涵蓋賭場、零售業者、政府機關、求職網站、旅遊行業等領域。而駭客的攻擊手法相當基本但很有效，包含了SQL注入攻擊，或是挖掘內容管理系統（CMS）的弱點等，目的是竊取目標組織的敏感資料。</p> <p>研究人員指出，在不同的攻擊階段當中，這些駭客倚賴多種開源工具來進行，像是dirsearch、sqlmap、tinyproxy、redis-rogue-getshell，此外，他們也使用滲透測試工具Cobalt Strike，值得注意的是，研究人員在駭客的基礎設施當中，發現攻擊者曾使用中文下達命令。在其中一起鎖定巴西公司的攻擊行動裡，駭客利用了內容管理系統Joomla的中度風險漏洞CVE-2023-23752，從而進行SQL注入攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-critical-apache-struts-flaw-using-public-poc/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Java應用框架Struts路徑穿越漏洞已被用於攻擊行動</span></strong></a></p> <p></p> <p>12月9日Apache基金會發布資安公告，指出他們近期修補Java應用框架Struts路徑穿越漏洞CVE-2023-50164（CVSS風險評分9.8），但事隔一週傳出有駭客將其用於攻擊行動。</p> <p>Shadowserver基金會提出警告，他們看到有人試圖利用此漏洞的概念性驗證（PoC）程式碼，透過數個IP位址發動攻擊，呼籲IT人員要儘速套用新版軟體來修補漏洞。</p> <p>值得留意的是，這種漏洞有可能影響相當廣泛，例如，思科公布旗下產品採用Struts的情況，並清查是否受到該漏洞影響。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Shadowserver/status/1734919288257974380">https://twitter.com/Shadowserver/status/1734919288257974380</a><br /> 2. <a href="https://xz.aliyun.com/t/13172">https://xz.aliyun.com/t/13172</a><br /> 3. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-struts-C2kCMkmT">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-struts-C2kCMkmT</a></p> <p><a href="https://www.sentinelone.com/labs/gaza-cybergang-unified-front-targeting-hamas-opposition/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哈馬斯駭客組織Gaza Cyber Gang使用後門程式Pierogi++攻擊巴勒斯坦反對人士</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GazaCyb_6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GazaCyb_6.jpg" style="width: 300px; float: right;" /></a>以巴衝突進行期間超過2個月，激進組織哈瑪斯旗下的駭客鎖定以色列的網路攻擊已有數起，但這群駭客竟然也攻擊巴勒斯坦。資安業者SentinelOne揭露哈瑪斯駭客組織Gaza Cybergang最新一波的攻擊行動，對方使用阿拉伯語或是英文，製作讓巴勒斯坦民眾感興趣的資料做為誘餌，用來散布以C++開發的後門程式Pierogi++。</p> <p>研究人員指出，Gaza Cybergang旗下有3個團體從事這種後門程式的攻擊行動，分別為Molerats、Arid Viper（亦稱APT-C-23），以及另一個尚未被命名、曾從事Operation Parliament攻擊行動的組織。而對於這些駭客的目標，研究人員認為是針對反對哈瑪斯的巴勒斯坦人而來。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/oilrig-persistent-attacks-cloud-service-powered-downloaders/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客OilRig透過惡意程式下載工具持續在以色列組織從事攻擊行動</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-8-overview-of-oilbooster-s-network-comms.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-8-overview-of-oilbooster-s-network-comms.png" style="width: 300px; float: right;" /></a>資安業者ESET針對伊朗駭客組織OilRig（亦稱APT34、Hazel Sandstorm）的攻擊行動提出警告，對方從2022年開始，利用過往未曾公開的惡意程式下載工具SampleCheck5000（SC5k）、ODAgent、OilCheck、OilBooster，對以色列企業組織發動攻擊，並且持續進行惡意活動，對象涵蓋醫療保健、製造業、地方政府部門。</p> <p>研究人員指出，這些下載工具往往濫用雲端服務Microsoft Graph、OneDrive、Outlook、Microsoft Office Exchange Web Services（EWS）的其中一種，藉由API進行C2連線及外洩資料，從而隱匿其攻擊行動。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/kraft-heinz-investigates-hack-claims-says-systems-operating-normally/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">食品業者Kraft Heinz傳出遭駭，勒索軟體Snatch聲稱他們所為</span></span></strong></a></p> <p></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/12/13/cybercrime-cybersecurity-storm-1152-fraudulent-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟搗毀提供駭客7.5億個詐欺帳號的犯罪組織Storm-1152</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/unveiling-nkabuse/111512/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體NKAbuse濫用區塊鏈隱匿攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/mitre-unveils-emb3d-threat-model-for-embedded-devices-used-in-critical-infrastructure/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對關鍵基礎設施的嵌入式裝置安全，MITRE揭露威脅模型EMB3D</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_12.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google針對Chrome 120修補高風險漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160333"><strong>【12月14日】 OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾郵件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160307"><strong>【12月13日】逾1,400臺開源防火牆系統pfSense存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160290"><strong>【12月12日】北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化平臺入侵受害組織</strong></a></p> </div></div></div>
2023/12/15 16:39作者周峻佑https://www.ithome.com.tw/news/160355
琴棋書畫都難不倒AI，現在大型語言模型還能解困難數學問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind發展出一種稱為<a href="https://deepmind.google/discover/blog/funsearch-making-new-discoveries-in-mathematical-sciences-using-large-language-models/">FunSearch</a>的方法，利用大型語言模型搜尋數學和電腦科學領域問題的解法。研究人員已經成功運用FunSearch解決Cap Set數學問題，同時還可以更有效地解決裝箱問題，能夠用於提高資料中心效率等應用，而這也代表著FunSearch存在實用價值。</p> <p>FunSearch的名稱指的是搜尋函式（Functions）的系統，FunSearch運作方式結合一個訓練過的大型語言模型，和一個自動評估器（Evaluator）。大型語言模型的目標，是提供創意的解決方案，而評估器則負責把關大型語言模型所提出的建議，避免出錯或是任何不實的想法。藉由這兩個元件反覆迭代，使得初始解決方案可以逐漸成熟最終成為新知識。</p> <p>FunSearch使用Google的PaLM 2模型，但也能相容於其他支援程式碼編寫的大型語言模型。使用者需要先以程式碼的形式描述問題，包括評估程式的流程，以及初始程式碼池中的種子程式，而在每一次迭代，系統會從當前的程式池中挑選程式輸入大型語言模型，大型語言模型會在現有程式基礎上生成具創造性的新程式，交由評估器自動評估，表現最佳的程式會重新加入到程式池中，重新開始另一次迭代。</p> <p>數學和電腦科學領域的難題都可以使用FunSearch解決，而組合數學（Combinatorics）是FunSearch特別擅長的領域。具體來說，FunSearch可以更好的解決極值組合數學問題，像是在高維度網格中尋找最大的點集合，也就是Cap Set的問題，這個問題無法使用暴力法解決，因為需要考慮的可能性太多，而FunSearch的效能優於目前最先進的計算求解器。</p> <p>不過Cap Set畢竟是純數學問題，FunSearch的實用性還需要有更實際的應用驗證，而研究人員也成功使用FunSearch解決裝箱問題（Bin Packing Problem）。裝箱問題是將不同大小物品放進最少數量容器的問題，在許多實際場景都會派上用場，像是貨櫃裝載甚至是資料中心的計算任務分配等。</p> <p>過去，裝箱問題的解法是基於人類經驗的演算法規則，也就是啟發式方法，像是「優先放置最大」等簡單的規則，雖然許多情況下，啟發式方法可以提供有效的解決方法，但是無法總是找到最佳解，要根據每個情況找到一套適用的規則也非常困難。</p> <p>而FunSearch提供一種新的解決方案，能夠自動生成針對特定情況調整的程式，在使用更少的容器打包相同數量物品的問題上，超越現有的啟發式方法。研究人員提到，與其他神經網路和增強學習的人工智慧方法相比，FunSearch輸出程式碼易於檢查和部署，也就代表更容易被整合到實際工業系統中。</p> <p>FunSearch的研究價值在於，只要有效防範大型語言模型的幻覺（Hallucination），則模型的創造能力便可以用來產生各種新的數學解法，解決現實世界的重要問題，研究人員預期，在科學和工業領域各種新舊問題，都會因為這個基於大型語言模型的方法，產生更加有效的解法。</p> </div></div></div>
2023/12/15 16:23作者李建興https://www.ithome.com.tw/news/160354
微軟破獲建立7.5億個詐騙Outlook帳戶的駭客組織Storm-1152
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/12/13/cybercrime-cybersecurity-storm-1152-fraudulent-accounts/" target="_blank">微軟周三（12/13）揭露</a>，在網路威脅情報供應商Arkose Labs的協助下，破獲了建立7.5億個詐騙Outlook帳戶的駭客組織Storm-1152，包括接管了Storm-1152所使用的網域名稱，關閉了Storm-1152用以繞過CAPTCHA圖靈測試的1stCAPTCHA、AnyCAPTCHA及NoneCAPTCHA網站，也關閉了Storm-1152所使用的社交媒體粉絲頁。</p> <p>根據<a href="https://landingpage-h0gcc3bvhkd2aaez.z01.azurefd.net/1152/Complaint.pdf" target="_blank">微軟向法院提出的訴狀</a>，Storm-1152專門銷售偽造的Outlook帳戶供犯罪組織使用，提供網路犯罪即服務（Cybercrime as a Service，CaaS），駭客利用機器人大量建立Outlook帳戶，這些帳戶都是在短時間內（4小時內）註冊，而且在出售之前會不斷檢查其可用性。</p> <p>Storm-1152的客戶涵蓋勒索軟體集團、資訊竊盜或是財務勒索組織，這些犯罪組織與其自行建立數千個假冒的Outlook帳戶，並冒著被微軟關閉的風險，不如直接向Storm-1152購買，其每個帳戶的售價不到1美分。</p> <p>Storm-1152除了在網站上銷售Outlook帳戶外，也出售了可用來繞過知名技術平臺身分驗證軟體的相關工具，包括1stCAPTCHA、AnyCAPTCHA與NoneCAPTCHA等。</p> <p>專門偵測平臺是否遭到濫用的<a href="https://www.arkoselabs.com/latest-news/disrupting-the-gateway-services-to-cybercrime" target="_blank">Arkose Labs指出</a>，此一CaaS模式讓更多人以數量及速度來展開詐欺行為，即使是經驗豐富的內部安全營運中心也不堪重負，且CaaS也是造成今年機器人攻擊增加167%的原因之一。</p> <p>Arkose Labs創辦人暨執行長Kevin Gosschalk表示，Storm-1152獨特之處是它在光天化日之下建立了CaaS業務，而非透過暗網，將自己當作是可持續經營的網路業者，還提供了完整的客戶支援。</p> <p>微軟則說，迄今Storm-1152已建立7.5億個詐欺微軟帳戶，賺取數百萬美元的非法收入，這些帳戶可能被用來執行網路釣魚、身分竊盜或分散式服務阻斷攻擊，未來將致力於提高駭客的業務成本，減緩其攻擊速度。此外，微軟也已證實Storm-1152的總部設於越南，並已確認其中3名成員的身分。</p> </div></div></div>
2023/12/15 15:02作者陳曉莉https://www.ithome.com.tw/news/160353
電支參戰！圈粉競爭變紅海
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「你有會員嗎？」「會員電話多少？」今年到任何一家超商、連鎖超市櫃檯結帳時，一定都會聽到這樣的一句話。三大超商、連鎖超市、大型百貨今年格外積極祭出各式各樣的圈粉行銷大作戰，來發展自家的會員生態圈。</p> <p>到了明年，不只這些大型零售通路，可能多達數十萬，甚至百萬通路，各種吃、喝、玩、樂的店家，不論大小規模，都準備要開始問你同樣的一句話，「你有沒有X會員呢？」或者更直白的說，「你要不要用X結帳呢？」，這個X就是即將加入圈粉競爭的各大電支業者。</p> <p>臺灣電支市場正展開有史以來最大規模的跨通路整合，過去，在電支業者特約商店中，只能用店家專門簽約的電支業者App或儲值卡來結帳，但是，未來，民眾開始可以到A電支的特店中，用B電支的App來結帳，根本不用分辨，這家店是屬於哪一家電支，甚至，明年很有可能，讓民眾能直接拿著悠遊卡、一卡通卡片或是全支付App，到海外支援街口的特約商店中掃QRCode結帳，或是反過來也可以。</p> <p>因為財金公司在2023年10月，正式推出了電支跨機構共用平臺「購物」功能，讓民眾可以跨業者特約通路來使用任一家的電子支付。今年已經有4家專營電支業者加入，其餘5家也會在明年陸續加入這個共用平臺</p> <p>統計到2023年底大約只有近萬家店家支援，但是在未來，一卡通旗下40萬個特約通路或店家、街口支付旗下30萬家，全支付20萬個，悠遊付及全盈也各有15萬、13萬個通路，都可以支援跨電支的掃碼結帳。技術上，等於把這百萬家通路變成了一個超大電支通路。</p> <p>不只如此，因為電支共用平臺所用的掃碼規格正是30多家銀行共推的台灣Pay支付體系相容規格，電支和銀行體系也因此而串通了。民眾還可以拿著電支支付工具，到台灣Pay支付特約商店消費。財金公司明年的目標是，與境外支付業者合作，將這個本土支付共用平臺，也能支援到海外的消費。</p> <p>為何電支業者願意開放自家通路給對手？最大關鍵就是，一方面可以吸引到競爭對手的會員來獲客，另一方面是，也可以蒐集到自家會員在對手通路上的消費數據，能夠知道金額、頻率、消費店家型態這幾類訊息。雖然在個資保護規範下，可以共享的資訊量不能太多，但已經足以讓電支業者對會員的日常消費樣貌，有更完整、更細緻的了解。</p> <p>電支業者互通後，對民眾來說消費結帳更方便了。但是，互通之後，各家電支通路的規模差異消失了，原本電支吸引民眾採用的最大賣點正是通路規模，未來這將不再有說服力。</p> <p>「電支市場競爭會從圈地（簽特店）轉變為圈粉（經營會員）。」全盈支付總經理劉美玲點出了，電支通路大整合後，對電支競爭帶來的最大挑戰。</p> <p>不比特店數量，而是得開始更積極吸引會員，電支業者得想辦法祭出更多行銷手法，甚至跟不同店家合作，展開各種吸引會員持續消費的促銷，「你有沒有XX電支App，要不要用XX支付來付款？」，明年你到許多大、小商店，可能都會聽到這樣的一句話，就是要來吸引你再多用一次、再多用一點。</p> <p>Chrome瀏覽器即將在2024年停止支援第三方Cookie（這次應該是確定了），這正是許多電商、連鎖通路這兩年大舉推動資料架構現代化，積極經營會員的關鍵理由之一，他們也要開始累積第一方會員的消費和行為大數據，這也讓會員經營的競爭，越來越加白熱化。</p> <p>隨著各大電支業者和百萬通路加入圈粉戰局，會員經營將轉變成更激烈廝殺的紅海，各家電支加起來共2,600萬個用戶（不少人甚至好幾個），也會成為紅海競逐的新焦點。</p> <p>誰能變成大數據科技公司，善用這些數據來吸引顧客持續使用，甚至創造出截然不一樣的新價值，才能在越來越激烈的圈粉紅海中勝出。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E6%93%9A">數據</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E6%94%AF">電支</a></div><div class="field-item even"><a href="/tags/%E9%9B%BB%E6%94%AF%E9%80%9A%E8%B7%AF%E6%95%B4%E5%90%88">電支通路整合</a></div><div class="field-item odd"><a href="/tags/%E6%9C%83%E5%93%A1%E7%94%9F%E6%85%8B%E5%9C%88">會員生態圈</a></div><div class="field-item even"><a href="/tags/%E9%9B%BB%E6%94%AF%E8%B7%A8%E6%A9%9F%E6%A7%8B%E5%85%B1%E7%94%A8%E5%B9%B3%E8%87%BA">電支跨機構共用平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B7%A8%E9%9B%BB%E6%94%AF%E6%8E%83%E7%A2%BC%E7%B5%90%E5%B8%B3">跨電支掃碼結帳</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%8D%A1%E9%80%9A">一卡通</a></div><div class="field-item odd"><a href="/tags/%E8%A1%97%E5%8F%A3%E6%94%AF%E4%BB%98">街口支付</a></div><div class="field-item even"><a href="/tags/%E5%85%A8%E6%94%AF%E4%BB%98">全支付</a></div><div class="field-item odd"><a href="/tags/%E6%82%A0%E9%81%8A%E4%BB%98">悠遊付</a></div><div class="field-item even"><a href="/tags/%E5%85%A8%E7%9B%88">全盈</a></div><div class="field-item odd"><a href="/tags/%E5%8F%B0%E7%81%A3pay">台灣Pay</a></div></div></div>
2023/12/15 12:00作者王宏仁https://www.ithome.com.tw/voice/160321
【瞄準千萬用戶百萬通路消費大數據】電支跨通路整合掀起市場新競局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">電子支付市場自2021年電票、電支合一後，今年市場更迎來重大變革，財金公司在今年10月正式推出電支跨機構共用平臺「購物」功能及TWQR，首波4家專營電支業者加入，包括全盈支付、歐付寶、橘子支及一卡通，其餘5家專營電支業者，愛金卡、悠遊付、街口支付、簡單支付、全支付，依各家準備情形不同，明年陸續加入共用平臺「購物」功能及TWQR。</p> <p dir="ltr">電支業者加入共用平臺「購物」功能，完成與財金公司平臺串接，向合作商家推廣TWQR，作為共通的QR Code規格，電支用戶就使用一款電支App，只要商家擺放TWQR立牌就能使用，例如街口支付用戶未來可在全支付的特約店消費，一卡通用戶可在全盈支付特約店使用，打破過去電支業者與旗下特約通路間的限制，讓消費者可以跨業者特約通路使用電子支付。</p> <p dir="ltr">目前財金公司的共用平臺「購物」功能先開放正掃，即消費者掃描商家的TWQR，未來將支援反掃模式，由商家的POS設備掃描消費者手機顯示的TWQR。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來可望串接超過百萬電支通路 </strong></span></span></p> <p dir="ltr">因為「購物功能」才推出不久，少數電支業者率先支援TWQR，數千家商店設有TWQR立牌，未來，隨著其他電支業者加入，國內電支特約通路可望透過共用平臺的串接，形成為一個超大的支付通路體系。依照各家電支業者宣稱的特約通路數量，一卡通旗下約有40萬通路、街口支付約有30萬，全支付約有20萬通路，悠遊付及全盈各有15萬、13萬通路，未來透過電支跨機構共用平臺，在技術上可望串接超過百萬的電支通路，包括線下的商家或線上的電商。</p> <p dir="ltr">甚至，在財金公司維運跨行交易下，將電支跨機構共用平臺和30多家銀行共推的台灣Pay支付體系串接，讓電支用戶不只能在其他電支業者的特約店消費，也能在台灣Pay特約商家（設有TWQR立牌）消費。</p> <p dir="ltr">除了民眾使用電子支付不受特約商家限制，對商家而言，傳統上要接受使用各種支付服務的顧客消費，需要提具資料，和一家一家電支業者簽合約，並在結帳櫃檯擺放各家電支的專屬QR Code，消費者付款也需與各家電支業者對帳，造成商家營運管理的困難，通過共用平臺及TWQR，未來商家只要和一家電支業者合作，設置一個TWQR立牌，就能接受各種電支付款。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>蒐集更多跨通路消費數據，加深對用戶消費行為的掌握</strong></span></span></p> <p dir="ltr">以往，電子支付只能掌握用戶在自家通路的消費數據，透過共用平臺，A電支用戶透過財金的跨機構共用平臺，在B電支的特約店消費，這些交易資訊，包括店家代號或名稱、交易金額、收單方電支，雖然取得的資訊可能有限，但對於發卡方電支業者而言，蒐集用戶更多商店通路的交易數據，有機會知道過去無法知道的用戶消費行為，用於會員經營。</p> <p dir="ltr">悠遊卡公司總經理李志仁表示，蒐集更多數據，有助於以數據分析為基礎的會員經營、行銷，數據愈多代表貼標愈細緻化，行銷應用也能愈精準，不僅是用戶的消費行為，還包括對自家特約店的行銷活動。他認為，加入TWQR，用戶在其他商店的消費，如金額、頻次等數據，通過更多數據貼標、分析應用，提升行銷的精準、有效性，對於會員經營帶來幫助。</p> <p dir="ltr">至於收單的電支業者，加入TWQR後，其他電支用戶在其特約店消費，可掌握特約通路或商家每月來自不同電支的使用情形，有助於對特約商家營運概況的掌握，但是這部分的數據未來如何運用，電支業者仍在思考探索。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>加強會員經營，提高會員忠誠及黏著度</strong></span></span></p> <p dir="ltr">除了跨機構特約通路互通，讓電支業者有機會蒐集到更多的消費數據，過去，電支業者為吸引用戶，與商家簽定特約合作關係，例如與大型連鎖通路或知名品牌合作，可能帶動用戶消費或帶來新的用戶。在加入TWQR後，特約通路開放其他電支用戶使用，過去仰賴特約通路建立差異化的競爭策略恐面臨挑戰。</p> <p dir="ltr">去年才進入電子支付市場，現有約13萬特約通路的全盈支付，因看好電支跨機構共用平臺「購物」功能及TWQR，可為旗下的電支用戶增加更多使用通路，全盈支付成為首波加入的電支業者之一。</p> <p dir="ltr">全盈支付總經理劉美玲認為，隨著TWQR商店數增加，電支市場競爭會從過去的圈地轉變為圈粉。如同消費者的錢包中有多張信用卡，發卡行祭出各種行銷優惠，吸引用戶使用其發行的信用卡消費。當電支用戶走進TWQR商家，可使用多種電支App付款，如何吸引用戶繼續使用全盈支付完成付款，接下來的關鍵是，如何讓用戶持續使用，並增加使用次數。</p> <p dir="ltr">用戶的手機安裝多種支付App，如何讓他們進入商家後，仍使用街口支付付款，街口支付總經理范庭甄認為保持用戶的高忠誠度，電支的產品力、價格競爭將更為重要，產品力包括App開啟速度、付款流暢度，價格競爭則是針對不同會員提供的優惠。</p> <p dir="ltr">為了提高用戶的黏著度，同時電子支付機構管理條例賦予電支業者得以經營更多業務，電支業者也和金融業者合作，提供用戶微金融服務，以養成用戶的使用習慣，例如帳務管理、投資理財服務，和用戶建立支付以外關係，也是電支業者培養用戶忠誠度、黏著度的策略之一。</p> <p><span style="color:#B22222;"><strong><span style="font-size:36px;">金管會：不只境內支付通路整合，明年將推境外購物功能</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1160-%E5%B0%81%E9%9D%A2%E4%B8%BB%E6%96%87-600-1.png" style="width: 600px;" /></p> <p dir="ltr"><strong>談到國內電子支付市場的發展，這幾年電支市場變化快速，自2021年電支與電票合一，新版電子支付機構管理條例上路，擴大電支業者可經營的業務範疇，當時修法的另一重點是，便是建立跨機構的金流互通架構。</strong></p> <p dir="ltr"><strong>金管會銀行局副局長林志吉表示，過去電子支付的應用為個別的單一體系內，無法提供跨機構服務，A電支的客戶無法在B電支的特店使用，不同業者間的資金交流也受到限制，因此在新版電子支付機構管理條例中，提出跨機構互通的金流架構，財金公司原本負金融機構之間資訊及跨行交易的核心，依管理條例向金管會提出申請，2021年9月通過由財金辦理跨機構平臺業務。</strong></p> <p dir="ltr"><strong>這2年跨機構共用平臺先後推出4項功能，首先是2021年10月上線的轉帳功能，後續於2022年推出繳稅功能，同年12月開通繳費功能，提供各種公用水電事業繳費，2023年10月再進一步開通購物功能，並架構在共通的QR Code標準TWQR。</strong></p> <p dir="ltr"><strong>共用平臺扮演基礎建設，促使電支市場的資訊流、金流，目前已有一些成果，例如轉帳功能，目前9家專營電支業者已加入，可跨電支業者及銀行之間進行轉帳，從2年多前推出至今，已累積1,420萬筆轉帳，金額達到730億元；去年5月開通的繳稅也有25萬筆，金額達到18億元。</strong></p> <p dir="ltr"><strong>至於去年12月才開通的繳費功能，已有2,100萬筆。至於今年10月才開通的購物功能，目前已有3家專營電支業者及37家台灣Pay合作銀行加入，儘管目前剛推出不久，金額還不高，但他認為，電支業者特約商家結合台灣Pay合作銀行約15萬的特約商家，可增加消費者支付服務使用廣度。</strong></p> <p dir="ltr"><span style="font-size:28px;"><span style="color:#3399ff;"><strong>明年第2季電支業者陸續加入</strong></span></span></p> <p dir="ltr"><strong>林志吉表示，透過共用平臺整合建構後，民眾使用各種電子支付服務將更方便，電支機構也不再需要一一和各金融機構介接，降低相關成本，對商家也不需和各個電支業者簽定特約合作契約，對民眾、電支機構、商家都有好處。</strong></p> <p dir="ltr"><strong>儘管目前TWQR以正掃店為主，尚未支援反掃店，林志吉認為，長期而言，反掃店家也會加入，電支機構彼此特約通路互通，甚至和台灣Pay的合作銀行特約通路互通，現在已有3家專營電支業者加入，以及台灣Pay合作的30幾家銀行加入，每家電支機構的業務型態、規模不同，有的業者優勢在於用戶眾多，也有業者在於通路數多，有的業者則同時兼顧用戶及通路經營，10月甫推出的購物功能及TWQR，因涉及與商家的契約轉換、條碼轉換等，現在雖然只有少數專營電支業者加入，未來9家專營電支業者都會加入，其他業者陸續在明年第2季之前加入。</strong></p> <p dir="ltr"><strong>他指出，目前共用平臺陸續推出的4項功能，聚焦在境內支付服務，不只是境內支付通路整合，財金公司還規畫明年推動境外購物功能。</strong></p> <p dir="ltr"><strong>對於大型業者擔心開放特約通路帶來衝擊，「單一業者縱使再大，也不可能獲得整個市場，其餘業者加起來就可能比第一名來得大」，他表示，如果要將電子支付推到境外購物，單一業者逐一和境外業者合作成本相當高，相對地，各家業者合作，透過財金公司、TWQR和國外合作境外購物，加入共用平臺的電支業者立即將用戶的支付擴大到國外，不需逐一和境外業者商談合作、技術介接。另外，國內電支業者與境外業者合作，需要向金管會申請，國內電支業者加入財金共用平臺，財金公司與境外支付業者合作，由財金公司提出申請，獲得金管會核准通過，電支業者不需再個別申請。</strong></p> <p dir="ltr"><strong>至於A電支業者與B電支業者透過共用平臺跨特約店交易，林志吉指出，電支業者取得的只有部分交易訊息，例如消費者以A業者支付工具到B業者的特約店消費，A只知道用戶在該店消費的總金額，無法知道用戶的購買內容，業者如果想從他方取得更多消費資訊，需得到消費者同意。業者從用戶每天消費的金額、每次消費金額、頻次，或是將消費場域依食衣住行育樂分類，運用累積的客戶數據，從中挖掘出大數據的洞察。</strong></p> <p dir="ltr"><strong>根據金管會的統計，今年前三季國內非現金支付，交易筆數達到49.59億筆，比去年同期成長26.66%，交易金額成長至5.3兆元，在非現金支付工具中，電子支付成長相當快速，前三季交易筆數成長近70%，金額成長42.5%。</strong></p> <p dir="ltr"><strong>林志吉表示，國內電支在這幾年發展相當快速，去年新進業者加入，今年電支跨機共用平臺推出新功能，各功能上線，民眾對於電支的普及度、廣度與深度、接受度都增加，對於市場蓬勃發展，金管會樂見，相信民眾未來會愈來愈習慣使用電子支付。至於下一步，金管會將視跨機構共用平臺發展情形，適時提供民眾生活相關方便、安全的支付生態體系。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／金管會銀行局</span></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160322
【以跨行轉帳基礎建立電支互通大平臺】整合金流和資訊流，財金打通消費通路共享最後一哩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「團結就是力量」，對於財金公司建立電子支付跨機構共用平臺，繼轉帳、線上繳費、繳稅之後，終於在今年10月推出「購物」功能，並推動TWQR，財金公司董事長林國良對共用平臺發揮的功能這麼說。</p> <p>國內的電子支付市場，除了銀行兼營電子支付業務，電票業者轉為專營電子支付，還有科技業者跨域經營電支，各家電支業者百家爭鳴下，提供各種支付App及服務，為民眾提供不同的支付工具可供選擇，業者祭出行銷優惠吸引消費者，這些年下來建立約2,600萬電支用戶，但長久以來，各家電支業者各自發展特約通路，商家為了方便民眾付款，勢必要支援多種支付服務，才能服務使用不同支付工具的消費者，造成商家經營管理的負擔，對民眾而言，特定的電子支付只能在該電支業者簽約的特約商家使用，如果在其他電支業者的特約商家購物就不能使用，因此手機得下載安裝多款支付App，儲值金額也分散在不同的電支帳戶，帳戶間的資金移轉也不容易。</p> <p>因此在電支電票合一修法時，法規即規畫建立跨業者共用平臺，由一個機構扮演集中結算清算的角色，即由財金公司來扮演。</p> <p>林國良認為，台灣的市場雖然小，但相當自由，各產業蓬勃發展下，市場上有許多的業者，以支付產業為例，如果支付服務彼此不互通，就會造成商家及民眾的不便。他以日本為例，由於日本的銀行業者沒有高度互通，如同小集團，因此日本的ATM自動化服務區往往有好幾家銀行的機器擺在一起，以方便使用者操作。反觀臺灣的ATM自動化服務，由於銀行間高度互通，只要一家銀行的ATM提供其他銀行跨行提款服務，民眾使用ATM不需考慮哪一家銀行的ATM。銀行與超商業者合作，在全國超商部署大量且密集的ATM，因為可以提供跨行服務，否則只是單一銀行服務自己用戶的交易量，難以支撐如此大量全國性的ATM部署。</p> <p>在服務互通基礎之上，部分銀行以廣布ATM作為利基，另一部分銀行專注在廣發卡，各家銀行策略不同，以各自的利基發展，最後是民眾、使用者受惠。</p> <p>在電票、電支合一後，財金公司建立電支跨機構共用平臺，「電支共用平臺目的就是模仿銀行的互通平臺」，林國良表示，過去兩家電支業者合作彼此共享通路，只能完成單一業者與單一業者間的互通，電支跨機構共用平臺如同Hub，電支業者只要串接共用平臺，就能和其他也串接共用平臺的業者互通，業者在銀行公會的電子支付委員會共同討論出遊戲規則，財金公司負責資訊技術，完成與各家業者的資訊介接，不涉入各家業者的業務運作。</p> <p>「通過電支跨機構共用平臺串接各家業者，讓電支服務變得更有效率，各自發展營運上的利基點，民眾也能享受更好的服務」，他說。</p> <p>不只是電子支付跨業者特約通路互通，銀行既有經營信用卡、金融卡消費支付，兩方在法規面，對資本額、安全、監管強度不同，儘管兩個平臺各自獨立運作，但都是由財金公司維運，因此在技術上使兩個平臺串接，如此一來，業者不需重覆投資，並且提高民眾的方便性。</p> <p>相較於過去金融業常使用大型主機，財金公司以開放架構打造電支跨機構共用平臺，並設計多中心備援機制。然而，電支業者原本各自發展，每家業者資訊技術規格不同，資安防禦等級也不相同，要建立共用平臺整合各家業者的服務，是一項不小的挑戰。</p> <p>為了建立電支跨機構共用平臺「購物」功能，透過TWQR打通原本無法互通的特約商家，財金公司定出一個標準規格，包括API介接、資安要求，讓各家電支業者以一致的規格和財金公司互連。針對不及調整的業者，財金公司也提供規格轉換的過渡方案，由財金來做規格轉換，開發可嵌入電支App中的小工具，讓電支App能夠讀取TWQR。</p> <p>另外，為了確保交易過程的安全性，過去曾經有不法人士偽造QR Code，在商家未察覺下偷偷更換QR Code立牌，當消費者掃碼付款後，商家遲遲沒有收到付款完成通知，消費者只能再次掃碼付款，為防止不法人士利用此一手法詐騙，除了在消費者掃描TWQR Code後，App即顯示商家名稱供使用者確認，如果是跨業者特約商家消費時，例如街口用戶在一卡通的特約商家消費，中間經由電支跨機構共用平臺進行交易，平臺也會驗證一卡通特約商家的身分真偽。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>跨機構資訊流及金流實現通路共享</strong></span></span></p> <p>電支跨機構共用平臺如何實現不同電支業者的特約通路互通？該平臺設計一套資訊流、金流運作機制，讓不同電支業者特店得以透過電支跨機構共用平臺互通，以街口支付用戶在一卡通特約商店消費為例，民眾使用街口App掃描一卡通特約商店TWQR Code之後，街口會先驗證用戶身分，確認身分為本人後，在其個人電支帳戶扣款，在正掃模式下，街口發現該商家並非街口的特約店，將店家代號、交易金額、交易的電支帳號發給財金公司跨行平臺（即電支跨機構共用平臺），由平臺識別該商家為一卡通特約店，將交易訊息送至一卡通，一卡通透過商家專用的App通知特約店已收到一筆來自街口的付款，商家收到款項通知後，將商品交給消費者，同時也將交易結果通過財金公司跨行平臺，回報給街口，由街口通知該名用戶完成付款。</p> <p>金流方面，交易金額從街口帳戶到一卡通帳戶，同樣透過財金的平臺來處理，各家電支業者有各自的管理銀行，負責資金的管理運作，另外，各家電支業者也在合作金庫都有一個清算帳戶，用於跨業者間的結算，財金公司運用ATM跨行轉帳使用的即時總額清算（RTGS）即時扣帳，RTGS也被用於電支業者間的轉帳交易。</p> <p>如果街口用戶在臺灣銀行的特約商家消費，由於銀行的清算銀行為中央銀行，交易金額從街口在合庫的清算帳戶扣款後，撥給臺銀在央行的清算帳戶，再由臺銀通知特約商家收到付款。</p> <p>到了每天結帳的時間，財金通知各業者每天結算金額，如果電支業者當天用戶付款金額大於當天的收款金額，財金就會到電支業者清算帳戶扣款，並將款項撥給收款金額大於用戶付款金額的電支業者，即完成當天結算。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>已有近萬商家支援TWQR</strong></span></span></p> <p>目前銀行及首波加入電支跨機構共用平臺的4家專營電支業者(一卡通、全盈支付、橘子支、歐付寶)，加上台灣Pay的銀行合作通路，已有約9,900家商家可支援TWQR，以正掃的街邊店等商家為主，未來隨著銀行、電支業者與商家重新調整合約，支援TWQR的商家數可望逐漸增加。財金公司預估明年第1季約有15萬通路支援TWQR。</p> <p>林國良認為，從商家角度來看，商家不再需要放置每家電支業者的QR Code，也不需和每家電支業者對帳，未來只要放置一個TWQR立牌，就能讓所有電支App掃碼付款，對帳則只需從商業的角度來看，除了特別的原因之外，未來只要時間足夠，商家基於服務所有顧客考量下，應該都會採用TWQR。</p> <p>不論從商家或是消費者的角度來看，電支業者加入電支跨機構共用平臺「購物」功能、推動TWQR，消費者不論所使用的是街口、一卡通或是全支付、台灣Pay，在商家購物都不需考慮店家是哪一家電支業者、銀行的特約店，如同在ATM使用跨行提款，民眾不需考慮ATM是哪一家銀行的設備，「這是一個必然的趨勢」，林國良說。</p> <p>對於經營電支市場較久，累積數十萬通路的電支業者，過去建立的龐大特約通路，成為電支業者之間競爭的重要差異之一，現在電支跨機構共用平臺掃平特約通路使用障礙，其他電支業者、銀行支付工具也能在特約商家消費。</p> <p>林國良認為，電支業者需要時間轉變思維，思考經營策略，對已有許多特約通路電支業者而言，開放特約通路讓其他業者、銀行的用戶使用，雖然手續費需和發卡業者，以及維運共用平臺的財金分潤，但是等於多做一筆原本沒有的交易，如同信用卡發卡銀行及收單銀行，電支業者經營策略，可以選擇專注在發卡，將行銷資源集中用於顧客經營，或是經營收單的特店，擴大更多通路，甚至是同時經營發卡、收單業務。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160323
【業者布局：街口支付】提升用戶忠誠及服務價值確保通路共享競爭力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內擁有超過620萬電支用戶，具市場指標性意義的街口支付，也嚮應政府政策加入電支跨機構共用平臺「購物」功能及推廣TWQR，不過，街口支付並未在首波加入的電支業者之一，而是準備在明年完成和共用平臺串接。</p> <p>電支跨機構共用平臺「購物」功能及TWQR，目的打破電支業者特約通路無法互通的限制，不利於辛苦經營通路，多年辛苦經營超過30萬家特約通路的街口支付，因此街口一度對加入共用平臺，開放電支業者使用其特約通路抱有顧慮。不過，經過與主管機關溝通，確認通路互通的政策方向，街口支付也決定加入政策。</p> <p>街口支付總經理范庭甄表示，電支跨機構共用平臺推出「購物」功能及推動TWQR共用規格，電支市場未來將從電支業者、消費者、通路的3方關係，如同信用卡市場轉變為4方關係，電子支付分為發卡、收單機構。她以信用卡市場舉例，大型銀行可能同時經營發卡及收單業務，部分銀行則專攻發卡或是收單業務，即使是收單銀行，有銀行專門經營連鎖通路收單，也有銀行不只連鎖通路，也經營小型街邊店收單業務。未來，電支業者也思考調整經營方向，街口由於用戶及特店通路眾多，傾向經營發卡、收單兩方面業務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>推動正掃店導入TWQR</strong></span></span></p> <p>目前財金公司的電支跨機構共用平臺「購物」功能及TWQR，初期先以正掃模式為主，未來將從正掃逐漸推向反掃（或被掃）模式，即消費者出示TWQR，讓商家掃碼。</p> <p>范庭甄指出，正掃模式可以解決小型店家，例如夜市的商家，由於店面的空間有限，要支援多種支付，店家需擺放多種QR Code的問題。街口目前盤點特約通路以反掃居多，正掃店約有6至7萬家左右，這些正掃店家將是推廣TWQR互通的目標。</p> <p>至於財金公司未來規畫也會走入反掃店，她直言反掃店仍有許多問題待克服，例如，由於反掃是由消費者出示TWQR，由店家掃描，當中涉及到POS系統異動調整，以每次POS調整需幾十萬甚至百萬元，成本比較高。</p> <p>明年增加TWQR正掃通路的數量下，她指出，一方面讓既有特約通路換約採用TWQR，另方面為推動新特店使用TWQR，街口正在研究運用科技的方式達到簡便換約的目的，例如導入電子簽章、線上進件等方式，供業務人員掃街推廣可以攜帶設備，和新店家合作後簽約，和舊店家增補合約，再提供新的TWQR給商家。</p> <p>原本街口提供給店家的查帳後臺，包括網路版或是收款App，方便商家帳務管理，未來要加入TWQR，電支面向商家端的相關系統也需要調整。過去街口的特店僅處理街口用戶的交易，未來需要處理第3方的新型態交易，即來自其他電支用戶的交易，包括街口與商家間的請撥款流程、店家的帳務整合需要針對新的交易重新設計。</p> <p>由於今年7月才決定加入財金的電支跨機構共用平臺「購物」功能及TWQR，內部IT工作已規畫至明年，因此街口來不及趕在今年底前完成與財金公司的串接、對測，預估可能到明年中才會完成串接上線，搭配特約通路採用TWQR，屆時非街口的電支用戶也能在這些通路掃碼付款。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來可能改變電支通路行銷方式</strong></span></span></p> <p>明年加入購物功能，街口支付用戶同樣能在其他電支業者或台灣Pay的特約商家消費，使用街口支付App掃描商家的TWQR付款，街口可獲得交易資訊，包括店家的名稱及代號、地址、交易金額，當用戶掃碼付款時，清楚知道付款的商家名稱，避免遭到詐騙。</p> <p>范庭甄認為，雖然透過共用平臺跨店交易，掌握到用戶消費的店家名稱、地址等資訊，部分的商家名稱可能使用各國語言，且僅從店名難以判斷販售的商品或服務，不容易從商家名稱掌握商家的類型，過去在行銷操作上，用戶只能在街口的特約店消費，街口自己經營的特店，知道商家銷售的產品及服務內容，電支可以針對特定類型或是品牌商家祭出各式各樣行銷活動，例如針對某個夜市商圈的商家祭出限時優惠，或是對茶飲店祭出限定回饋，和單一的小品牌商家合作行銷活動，來刺激用戶增加消費。</p> <p>對電支業者而言，祭出各種行銷活動，不只帶動用戶在商家的消費，深化經營和特店的關係，也是電支賴以吸引用戶，深化會員經營的重要方式。過去街口支付擅於以靈活的行銷手法，和特定商家或是品牌合作，針對街口用戶提供限時回饋活動。未來加入共用平臺「購物」功能之後，當用戶在其他業者的特約店消費，由於獲得的交易資訊有限，在行銷活動上可能因此改變。</p> <p>范庭甄指出，目前共用平臺「購物」功能及TWQR推出不久，現階段電支業者的自有特店比較多，未來隨著TWQR普及，採用TWQR的共用通路增加，甚至超過業者的自有特店數量，過去電支善於和品牌合作行銷，未來可能走向類似信用卡，針對特定類型祭出行銷回饋，例如網購3%、全通路1.5%等等。</p> <p>目前街口的通路數雖然超過30萬，但大多集中在雙北地區，雙北以外則以連鎖通路的反掃為主，不只街口支付如此，其他電支業者也大多如此，相比之下，台灣Pay則在雙北市以外的收單商家較多，通路互通對電支業者及其用戶也帶來好處。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1160-%E5%B0%81%E9%9D%A2-%E8%A1%97%E5%8F%A3-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>今年10月，街口支付與日本掃碼支付業者PayPay合作，用戶赴日本旅遊時，可在當地上百萬家通路，使用街口支付App掃描PayPay的QR Code付款。</strong><span style="font-size:14px;">（圖片來源／街口支付）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>保持用戶忠誠、深化會員經營</strong></span></span></p> <p>范庭甄認為，當用戶手機可能有多種支付工具，用戶到其他業者的通路消費，仍會使用街口付款，還是使用其他業者的電支？這是電支業者將遭遇考驗。TWQR使特約通路互通後，為保持用戶的忠誠度，未來電支的產品力、價格競爭將更重要，其中的產品力方面，包括用戶開啟App的速度，完成付款的流暢度等，過去受到街口的重視，至於價格競爭，過去電支競相祭出高額回饋，但用戶對價格競爭逐漸顯現疲乏，即使競業推出高額回饋，仍導致交易不增反減，讓街口開始反思價格競爭的有效性。</p> <p>另外，這幾年下來街口也培養一群忠實使用者，即使曾有一段時間回饋比較少，這群使用者仍繼續使用，可能和早期街口串接許多銀行，並提供線上繳費有關，讓用戶方便帳務管理，不需前往超商繳費。</p> <p>基於帳務管理的需求，今年街口首次嘗試和銀行業者合作推出街利存，用戶可直接在街口App查詢帳戶餘額，提高用戶開啟App的頻率。范庭甄表示，基於用戶帳務管理需求推出新的服務，目的是和用戶增加除了支付以外的互動次數，因為與用戶互動愈多，電支業者的機會也愈多，和用戶也能建立好感。</p> <p>今年街口也推出的會員制度，依照會員的使用度，將會員分為不同等級，愈高級的會員提供更多的回饋，深化會員經營。展望明年，街口預告對會員的經營，除了回饋之外，例如航空公司提供VIP貴賓室，提高用戶的會員服務價值感受，進而增加會員升等的動力。</p> <p>在財金公司共用平臺與國外業者合作推動跨境支付之前，街口已與掃碼跨境支付平臺合作，今年10月開放用戶到日本旅遊，可在日本的掃碼支付業者PayPay，上百萬商家掃碼消費，讓用戶可以街口App掃描PayPay的QR Code付款，將用戶支付通路擴大至跨境支付。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160324
【業者布局：全支付】以環島地推加速拓展特店及TWQR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月全聯正式進軍電子支付領域推出全支付，截至今年9月為止正好約一年，全支付已有420萬電支用戶，當月代理收付金額達到35.6億元，略微落後街口的37.8億元，一年時間全支付從市場新兵，躍升為電支市場第3名，成績斐然。全支付用戶數快速成長的背後，得利於全聯的PX Pay會員，在過去一年門市人員地推策略下，鼓勵PX Pay用戶升級至全支付，這群年齡層以中高齡為主的用戶，為國內電支市場拓展中高年齡層，也讓非現金支付更為普及。</p> <p>然而，儘管成長至數百萬用戶，但相較於街口支付、一卡通擁有600萬以上電支用戶，各自擁有40萬及30萬左右的通路，全支付上線一年，雖然已有約20萬通路，仍落後街口與一卡通，對於矢志成為國內電支領頭羊的全支付，通路數仍是全支付搶攻電支市場的一道坎。因為，在電子支付的市場，通路就像基本功，有更多的通路可使用，方能吸引愈多人使用，而愈多的用戶，愈能吸引商家與其合作，在用戶與商家的循環下發展。</p> <p>全支付總經理游金榮表示，相較於其他電支同業的用戶以在都會區居多，拜全聯PX Pay會員升級之賜，全支付用戶遍布全國各地，以嘉義為例，雖然推廣當地的全聯PX Pay用戶升級電子支付，用戶在全聯的使用佔比不低，但交易金額卻沒有增加。這顯示有一群忠實的全支付用戶在那裡，但是除了全聯門市，當地缺乏商家讓用戶使用全支付，需要拓展通路來驅動循環。</p> <p>「用戶就在那裡，如果我們不做(拓展特約通路)，用戶就沒有地方可以使用」，游金榮堅定地說。</p> <p>為此，他們從今年8、9月開始，執行一項環島地推拓店策略，他們將全臺畫分6大區域，每區域約涵蓋3個縣市，從臺北派業務團隊進駐區域，進駐時間長達近1個月時間，向當地商家推廣全支付。</p> <p>以中彰投地區為例，業務團隊向當地店家推廣採用全支付，下一個月再搭配當地的行銷活動，讓當地店家對用戶消費帶來的效益有感，業務團隊再移到另一個區域拓展店家，6個區域進駐推廣，耗費半年時間。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以全臺地推方式推廣店家、推廣TWQR</strong></span></span></p> <p>游金榮表示，全支付在店家推廣以正掃的街邊店為主，10月財金公司推出跨機構共用平臺「購物」功能及TWQR，全支付也會加入該平臺，業務團隊向店家推廣TWQR，商家不再需和其他電支業者一一簽約，未來就能接收各家電支用戶付款。因此，目前環島地推策略的業務團隊有兩個任務，一個是拓展新的合作商家，另一個則是向既有特約商家推廣TWQR。</p> <p>全支付以全臺地推方式拓展正掃通路、向商家推廣TWQR，業務團隊進駐6個地區，長時間出差住宿、印刷、交通油費等，投入不少成本擴展合作通路。</p> <p>游金榮表示，現階段全支付的策略是擴展正掃通路，雖然加入TWQR後，未來開放其他業者使用特約通路，全支付可扮演收單方角色，獲得一部分的交易手續費分潤，但從信用卡分潤比例相當低來看，加上地推方式擴展正掃通路成本，未來全支付拓展通路，不會將收單業者分潤視為主要的收入來源。</p> <p>由於電支跨機構共用平臺的購物功能及推動TWQR是以正掃為主，他表示，正掃適合資訊技術有限的微型店家使用，例如街邊店、市場、夜市或商圈，例如夜市受限於環境場所，除了戶外電源取得不易，夜市攤商的空間有限，不適合擺放POS機，QR Code符合攤商的環境，攤商只要搭配電支業者的店家版App，消費者掃碼付款後，店家立即收到付款完成通知。</p> <p>「正掃店絕對會是臺灣行動支付普及的最後一哩」，游金榮說。</p> <p>相較之下，反掃模式是由消費者出示QR Code，讓店家POS設備掃碼，多以具有IT技術能力的大型商家或是連鎖店家為主，因為需要調整POS系統，以及通路手續費如何分潤等複雜問題，因為需要時間解決克服，目前電支跨機構共用平臺購物功能及TWQR尚未支援反掃模式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>獲得更多交易資訊</strong></span></span></p> <p>通過財金的電支跨機構共用平臺，電支用戶可跨機構使用特約商店，也讓電支業者得以獲得更多交易資訊，例如其他電支用戶在全支付特約通路消費，全支付作為收單業者，基於後續跨機構帳務處理需要，每筆交易資訊包括特約商店名稱、交易金額、付款的電支業者(發卡業者)，不會取得購買物品的資料。</p> <p>如果全支付用戶在其他業者特約通路消費，全支付作為發卡業者，取得的交易資訊包括中文店名、交易金額、收款的電支業者，不會取得購買物品資料。</p> <p>游金榮表示，任何數據都有其價值，但是透過共用平臺取得的交易資訊，如果僅從交易資訊來看，消費數據的分析價值有限，例如僅從店名來看，難以辨別商家所在的區域位置，如果想要推廣區域型的行銷活動，難以根據交易資訊作決策，例如向特定區域的商家推廣TWQR，但因為缺乏商家位置，難以推動區域性行銷活動，為此，全支付已針對此一問題和財金公司討論。</p> <p>但他認為，通過跨機構共用平臺取得交易資料，儘管能採集多一些的資料，這些資料和電支原有的交易資料量體相比，採集的資料量較少，能提供的決策判斷有限。如果僅有單方數據分析，雖然有效但價值有限，還需搭配第三方數據才能發揮更多的價值。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160325
【業者布局：悠遊卡】明年擴大數據商用化強化商家及會員經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去以儲值卡(過去稱電子票證)累積龐大用戶的悠遊卡公司，自2020年推出悠遊付進入電子支付，到9月為止，悠遊付已有超過255萬電支用戶，僅次於街口、一卡通、全支付，僅以用戶數而言，為國內第4大電子支付業者。日前財金公司推出電支跨機構共用平臺備「購物」功能及TWQR，悠遊付也準備加入。</p> <p>悠遊卡總經理李志仁表示，加入電支跨機構共用平臺「購物」及推廣TWQR，除了配合政策之外，消費者跨特約通路使用電子支付消費帶來方便，商家也能擺脫在櫃檯放置許多支付QR Code，營運管理上的困擾。另外，悠遊付現有約15萬個支付通路據點，未來加入共用平臺可為用戶增加消費的據點。</p> <p>不過，李志仁也對各家電支究竟開放多少通路持保留的看法，由於並沒有強制加入，儘管9家專營電支業者都會加入共用平臺「購物」功能，然而，各家業者過去和商家商業協議的交易手續費率可能不同，小型商家多使用正掃，電支業者可獲得較高的費率和商家合作，但對於使用反掃的大型連鎖通路，電支業者協商的交易手續費較低，如果再和發卡方電支業者、平臺維運的財金公司分潤，可能不敷成本，降低這類通路加入TWQR的可能性。</p> <p>實際上，各業者開放TWQR特約通路的多寡仍有待觀察，包括各業者開放的商家通路數成長速度，另外，民眾現階段對TWQR較為陌生，也需要市場教育。李志仁表示，悠遊卡公司計畫在明年第3季之前，或是提前加入電支跨機構共用平臺「購物」功能。</p> <p>李志仁表示，既有的商家可能同時間和多家電支業者合作收單，商家基於經營管理考量，可能維持現況，或是擇定一家電支業者合作導入TWQR，悠遊卡公司尊重商家的決定，但是對於具有主場優勢的通路據點，例如捷運周邊與交通相關，以及和政府有關的公有市場，這些經營較久的通路維持收單通路的優勢，因為未來導入TWQR，可能帶來發卡行分潤營收。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以悠遊卡帶動升級使用悠遊付</strong></span></span></p> <p>除了維繫對交通、政府、公有市場等通路的經營，悠遊卡公司推動電支的另一項策略，是將廣大的悠遊卡用戶，以每月活躍用戶數來看，悠遊卡月活躍用戶數約有1,000萬張卡，吸引他們轉為實名制的悠遊付用戶，這也是悠遊付推出3年多以來，在「一卡一付」的策略下，悠遊付用戶得以成長至250萬以上用戶的關鍵之一。</p> <p>李志仁表示，過去悠遊卡在電子票證上使用方便，但要和持卡人溝通並不容易，悠遊付被定義為悠遊卡的數位服務平臺，透過悠遊付App，用戶可綁定最多20張悠遊卡，用戶可以在悠遊付App查詢交易紀錄，以電支帳戶為悠遊卡自動加值，另外，鼓勵用戶減碳，悠遊卡用戶乘坐大眾運輸，給予他可用於通勤點附近商家的優惠券。</p> <p>過去悠遊卡以線下通路的小額消費付款為主，而悠遊付為電子支付，可支援線上消費付款；在商家布點方面，以往悠遊卡合作商家，受限於卡機成本較高，商家的意願可能不高，或是因為商家經營環境的特殊性，例如夜市攤商，難以推向微型商家。相較之下，悠遊付則可以讓商家擺放QR Code，供消費者掃碼付款。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以數據分析強化特店及會員經營</strong></span></span></p> <p>有鑑於國內支付服務眾多，對商家而言，市場上有多種支付服務供他們選擇，因此悠遊卡公司希望與商家的合作，不只是單純支付工具，包括運用消費數據分析，協助主場優勢通路的周邊商家導客，舉例來說，從數據分析可掌握持卡人每天哪些時段，在哪些車站出沒，提供他們周邊商家優惠券，促使用戶前往消費，帶動商家營收增加，加強和特約商家間的關係。</p> <p>明年加入TWQR，如果悠遊卡公司為電支發卡行角色，即悠遊付用戶在其他業者的特店消費，悠遊卡公司取得商家代號、用戶卡號、交易金額，如果為電支收單行角色，即其他業者用戶在悠遊付合作通路消費，悠遊卡公司可獲得哪家特店，在哪些時間，來自哪些電支業者用戶的付款。</p> <p>李志仁認為，獲得更多的數據，對於以數據分析為基礎的會員經營或是行銷帶來助益，數據愈多代表貼標愈細緻化，行銷應用也愈精準，不僅是用戶的消費行為，也包括特約店的行銷活動，明年加入TWQR，用戶在其他業者特約商店消費，蒐集金額、頻次等數據，通過更多數據貼標、分析應用，提升行銷的精準、有效性，對於會員經營帶來幫助。</p> <p>「明年我們希望數據可以商業化」，他表示，除了讓行銷更精準，數據的商用化，包括會員經營方面，提高交易成長，或是從數據分析提供洞察給合作商家，協助商家的數位轉型，或是分析用戶的行為或移動模式，提供周邊商家的優惠券等，帶動商家的銷售。</p> <p>儘管短期內觀察TWQR商家數發展速度，長期而言，隨著導入TWQR的商家增加，李志仁認為，透過TWQR擴大用戶可使用的通路，未來悠遊卡公司偏重電支的發卡行角色，透過會員經營加速悠遊卡用戶轉換為悠遊付用戶。明年底目標為增加100萬電支用戶。</p> <p>另外，隨著電支用戶數逐漸增加，今年悠遊卡公司已和金融業者嘗試推出微金融服務。悠遊卡公司也計畫，除了悠遊付App，明年讓悠遊付能夠嵌入第3方服務，成為第3方服務內的支付工具之一，首先規畫和臺北捷運合作，成為北捷App的支付方式之一。</p> <p>該公司也準備在金管會同意下，和發卡銀行合作推出電支附隨卡，即可刷卡消費的Debit卡，但不同於一般綁定銀行帳戶，電支附隨卡是綁定電子支付帳戶的Debit卡，如果順利推出附隨卡，持卡人就能在國內約50萬接受信用卡刷卡消費的通路使用，甚至以卡號，在Apple Pay或Google Pay上使用。附隨卡除了一般用戶，也能吸引無法申辦一般信用卡的使用者，例如大學生，進而為悠遊付創造全新的電支用戶。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160327
【業者布局：全盈支付】從圈地戰轉為圈粉策略強化會員經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電支市場競爭會從圈地（簽特店）轉變為圈粉（經營會員）。」全盈支付總經理劉美玲觀察。去年4月才進入電子支付市場的全盈支付，率先加入共用平臺購物功能的4家專營電子支付業者之一，是最快對這個轉變採取行動的業者。</p> <p>劉美玲表示，國內信用卡市場發展，為發卡行、收單行、消費者、商家的4方關係，電子支付機構自2015年開始即為3方關係，發卡與收單必需是同一家電支業者，因此電支業者簽約的特店，只有該業者的用戶才能使用，對使用者帶來困擾，付款需先確認店家接受哪些電支服務。</p> <p>電支跨機構共用平臺讓購物互通，讓電支用戶得以突破特約通路消費的限制，一家電支App，可以在其他業者的通路付款，電支業者也不再同時是發卡及收單，如同信用卡市場的銀行角色，分為發卡行、收單行電支業者，電支市場從3方轉變為4方關係。</p> <p>劉美玲認為，支付最關鍵的是基礎建設，過去電支機構經營特約通路的目的，是讓用戶可在特店使用電支服務，當電支業者不需同時是發卡行與收單行角色，全盈支付身為新進電支業者，衡量建置特約店需投入的人力、對帳、行政等通路推廣成本，加入共用平臺購物功能及TWQR能降低通路經營成本，同時用戶在其他業者的特約店消費，全盈支付身為發卡行也能獲得一定比例的交易手續費，創造額外的收入。此外，加入共用平臺購物功能，也能增加用戶可使用的通路，有助於經營用戶。</p> <p>「從降低成本、創造營收、經營用戶三點衡量，是全盈支付加入TWQR有利的原因」，她說。</p> <p>現階段共用平臺購物功能推動TWQR是正掃模式，因費用分潤需要重新協議、店家也需改動POS系統，目前尚未開放反掃模式，目前全盈支付旗下約有13萬家特店，其中大部分為反掃店，約有500家正掃店，未來會陸續加入TWQR。</p> <p>不只是電支業者開放通路互通，財金公司也透過資訊串接，讓台灣Pay的特約通路也能和電支特約通路互通，換言之，全盈支付用戶也可以在更多台灣Pay正掃店掃碼付款。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>市場競爭從圈地到圈粉</strong></span></span></p> <p>過去業者簽特約店，各業者積極提高支付通路數量，作為吸引消費者的重要競爭手段，未來更多業者加入電支跨機構共用平臺，特約通路導入TWQR，讓電支的特店互通，為國內電支市場帶動新的競爭態勢。</p> <p>劉美玲表示，未來在時間推移下，相信加入TWQR的商家愈來愈普及，消費者不需再確認店家接受哪些電支付款。</p> <p>如同信用卡市場競爭，收單特店的競爭比較少，更多競爭是發卡行，發卡行祭出各種促銷優惠，刺激發卡量、流通卡及交易量，各家發卡行爭奪錢包的佔有率，各顯神通讓消費者他們的信用卡到店家消費。</p> <p>她認為，未來電支間競爭會走向圈粉，各家電支App都能在特店使用，消費者走進店家，如何讓他使用全盈支付的電支服務。所有電支業者剛開始都以大量優惠吸引消費者，希望成為用戶手機內的App之一，接下來的關鍵是，如何讓消費者持續使用，並增加使用次數。</p> <p>至於吸引消費者，除了祭出優惠補貼，另一方式是提供好用的服務讓用戶使用，進而墊高使用的轉換成本，或是提供其他業者沒有的服務，例如全盈支付針對微型企業向銀行申請薪轉帳戶門檻較高的問題，利用電支帳戶作為5人以內微型企業的薪轉帳戶。劉美玲表示，提供更多額外、具有利基的服務，讓電支不僅是消費型的支付服務，未來要圈粉，勢必要針對用戶的需求提供吸引他或她的服務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>對用戶消費行為有更深的理解</strong></span></span></p> <p>全盈支付加入共用平臺購物功能，推廣特約店採用TWQR，理論上，不論是全盈支付用戶到其他業者特店消費，全盈支付為發卡行，或是其他業者用戶在全盈的特店消費，全盈支付為收單行，通過共用平臺跨業者交易資訊，能夠獲得更多的交易數據。</p> <p>其他業者用戶到全盈支付特店消費，雖然作為收單行角色，可加深對商家的營運現況的掌握對自家特店每月各家電支業者用戶使用情形，對市場上各家支付業者受歡迎程度的理解。但作為收單行取得特店的各電支付款情形，劉美玲認為，現在尚未找到有利的收單資料運用方式。</p> <p>如同前面提到，加入TWQR後，從圈地到圈粉，因此全盈支付更重視扮演發卡行角色，取得的用戶消費數據。</p> <p>劉美玲表示，用戶到其他家電支或台灣Pay的銀行特約商店消費，全盈支付作為發卡行獲得的交易數據，其實和用戶在全盈的特約店數據相近。全盈支付進入市場才1年多，推動通路現在僅有13萬，過去全盈支付用戶只能在特店消費，但實際上他可能在其他店消費更多，因為不是全盈的特店，無法掌握用戶更多的消費行為，加入TWQR可以快速擴展用戶可使用的通路數量，未來當更多的店家導入TWQR，當用戶在這些商家消費，能更清楚掌握用戶喜歡在哪些店消費，進一步和特定店家舉辦行銷活動。</p> <p>其次是，當掌握特定的用戶群消費的商家類型，理解顧客原來喜歡的某個類型，根據用戶消費偏好，未來發展相關的業務，「這些數據對我們而言就有意義」，劉美玲說。</p> <p>過去，全盈在會員經營上，只能針對用戶在全盈支付的特店消費行為，或是經常使用的消費場景進行分析，現在，加入TWQR之後，以前全盈自己辛苦拓展特店，現在30多家銀行、9家專營電支機構一起拓展商家導入TWQR，用戶可使用的通路數量快速增加，全盈需要立即補強的是，用戶在食衣住行育樂各領域，哪些是用戶喜歡消費，但過去被忽略的部分。</p> <p>另一個全盈支付未來的圈粉戰略是，在電支、電票合一後，法規賦予電支業者得以經營金融服務代理收付業務，劉美玲指出，過去主管機關的態度是原則禁止、例外開放，現在改為原則開放、例外禁止，讓電支業者多了金融服務代理收付的機會，也是未來全盈支付圈粉的重要策略之一。不論是先前和銀行合作的貸款，或是鎖定微型企業的電支薪轉帳戶，「增加服務的多元性，是圈粉的重要關鍵」，她說。</p> <p>過去全盈支付推出電支服務，將其視為支付工具，和通路業者合作，嵌入到第三方的支付場景，如超商、智慧社區管理、企業職場福利等等，成為第三方服務的支付工具，和其他電支業者不同，全盈支付並沒推出獨立的App。目前全盈支付已有超過180萬用戶，未來配合TWQR正掃，考慮到會員經營愈來愈重要，需要和用戶有直接的互動，全盈也規畫今年底推出獨立App。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160328
電子支付百萬通路整合新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，國內電子支付市場蓬勃發展，新業者挾強勢通路及龐大會員帶動用戶、交易規模成長，財金公司更打造跨機構共用平臺，串接各家業者打通金流及資訊流，今年10月更進一步打通跨店消費最後一哩，讓民眾可跨通路使用電支付款，串接百萬通路，加速消費大數據發展</p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/article/160329
從ASCII到Unicode
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1214-shu_zhai_-code-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>毫無疑問，ASCII是電腦產業中最重要的標準，但即使從一開始，它的缺陷也很明顯。最大的問題是，美國資訊交換標準代碼太美國化了！事實上，ASCII甚至不適合其他主要語言是英語的國家。</p> <p>當微軟的Windows首次發布時，它支援ASCII的擴展，微軟稱之為ANSI字符集，儘管它實際上並沒有得到美國國家標準協會（American National Standards Institute）的批准。</p> <p>ANSI字符集之所以流行，是因為它是Windows的一部分，但它只是幾十年來定義之ASCII的眾多不同擴展之一。為了區分它們，它們被賦予了不同的數字和其他識別符。Windows ANSI字符集成為了國際標準組織的標準，稱為ISO-8859-1或Latin Alphabet No. 1（拉丁字母表1號）。當這個字符集本身被擴展到包含代碼80h到9Fh的字符時，它被稱為Windows-1252（如下圖）。　</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>數字1252稱為代碼頁識別符（code page identifier），該術語起源於IBM，用於區分EBCDIC的不同版本。各種代碼頁與「需要自己的重音字符甚至整個字母表（如希臘文、西里爾文和阿拉伯文）的國家」相關聯。為了正確呈現字符資料，有必要知道所涉及的代碼頁。這在網際網路上變得至關重要，因而需要在HTML檔案之頂部的資訊（稱為標頭）指出建立網頁的代碼頁。</p> <p>ASCII還以更激進的方式擴展了對中文、日文和韓文之表意文字的編碼。在一種被稱為Shift-JIS（日本工業標準）的流行編碼中，代碼81h到9Fh實際上表示了一個2位元組（2-byte）字符代碼（character code）的初始位元組（initial byte）。透過這種方式，Shift-JIS允許大約6000個額外字符的編碼。不幸的是，Shift-JIS並不是唯一使用這種技術的系統。還有三個標準的雙位元組字符集（double-byte character sets或DBCS）在亞洲開始流行。</p> <p>存在多個不相容的雙位元組字符集只是其問題之一。另一個問題是，某些字符（特別是普通的ASCII字符）由1位元組代碼（1-byte codes）來表示，而數千個表意文字由2位元組代碼（2-byte codes）來表示。這使得處理此類字符集變得很困難。</p> <p>如果你認為這聽起來像是一團糟，那麼你並不孤單，所以是否有人可以想出一個解決方案？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>ASCII 的替代方案</strong></span></span></p> <p>假設最好只有一個適用於世界所有語言之明確的字符編碼系統，幾家主要的電腦公司於1988年聚集在一起，著手開發了一種名為Unicode的ASCII替代方案。ASCII是7位元代碼，而Unicode是16位元代碼（至少在最初的設想中是這樣的）。在其最初的設想中，Unicode中的每個字符都需要2個位元組，字符代碼的範圍從0000h到FFFFh，代表65,536個不同的字符。這被認為足以滿足世界上所有可能用於電腦通訊的語言，並有擴展的空間。</p> <p>Unicode並不是從頭開始的。Unicode的前128個字符（代碼0000h到007Fh）與ASCII字符相同。此外，Unicode代碼00A0h到00FFh與ASCII的Latin Alphabet No. 1擴展相同。其他世界性的標準也被納入Unicode。</p> <p>儘管Unicode代碼只是一個十六進位值，但指示它的標準方法是在值前面加上大寫的U和加號。以下是一些具有代表性的Unicode字符。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>但是，從8位元字符代碼遷移到16位元代碼會引發問題：不同的電腦將以不同的方式讀取16位元值。例如，考慮這兩個位元組：20h Ach</p> <p>有些電腦會將該序列讀取為16位元值20ACh，即歐元符號的Unicode代碼。這些電腦被稱為大端（big-endian）機器，這意味著最高效的位元組（大端）是第一個位元組。其他電腦則是小端（little-endian）機器。小端機器則會將該值讀取為AC20h，這在Unicode中是韓文字母表中的갠字符。</p> <p>為了解決這個問題，Unicode定義了一個稱為「位元組順序標記」（byte order mark或BOM）的特殊字符，即U+FEFF。它應該被放在內含16位元Unicode值之檔案的開頭。如果檔案中的前兩個位元組是FEh和FFh，則檔案處於大端序（big-endianorder）。如果它們是FFh和FEh，則檔案處於小端序（little-endian order）。</p> <p>1990年代中期，正當Unicode開始流行的時候，有必要超越16位元，以包含那些已經滅絕、但出於歷史原因仍有必要使用的字母，以及許多新符號。其中一些新符號是那些被稱為表情符號（emojis）之流行和令人愉快的字符。</p> <p>撰寫本文當時（2021年），Unicode已擴展為21位元代碼，其值的範圍為U+10FFFF，可能支援超過100萬個不同的字符。以下是16位元代碼未納入的幾個字符。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>將表情符號（emojis）納入Unicode可能看起來很無聊，但前提是你認為在簡訊中輸入的表情符號，在接收者的手機上顯示成完全不同的內容，是可以接受的。這可能會導致誤解，而且關係可能會受到影響！</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>最重要的Unicode轉換格式：UTF-8</strong></span></span></p> <p>當然，人們對Unicode的需求是不同的。特別是在呈現亞洲語言的表意文字時，有必要廣泛使用Unicode。其他文件和網頁的需求就比較小了。許多人可以用普通的舊ASCII來做。因此，已經定義了幾種不同的方法來儲存和傳輸Unicode文字。這些格式被稱為「統一碼轉換格式」（Unicode transformation format或UTF）。</p> <p>最直接的Unicode轉換格式是UTF-32。所有Unicode字符都被定義為32位元值。每個字符所需的4個位元組可以按小端序或大端序進行指定。</p> <p>UTF-32的缺點是它佔用了大量的空間。包含《白鯨記》內容之純文字檔的大小將從ASCII的125萬位元組增加到Unicode的500萬位元組，但Unicode僅使用32位元中的21個位元，每個字符都會浪費11個位元。</p> <p>一個折衷方案是UTF-16。使用這種格式，大多數Unicode字符被定義為2個位元組，但代碼高於U+FFFF的字符則被定義為4個位元組。在最初的Unicode規範中，從U+D800到U+DFFF的區域並沒有被指定用於此目的。</p> <p>最重要的Unicode轉換格式是UTF-8，它現在已經在整個網際網路上被廣泛使用。最近的一項統計表明，97%的網頁在使用UTF-8。這已經是你想要的通用標準。古騰堡計劃的純文字檔案都是UTF-8。預設情況下，Windows的Notepad和macOS的TextEdit係以UTF-8格式保存檔案。</p> <p>UTF-8是靈活性和簡潔性之間的折衷方案。UTF-8的最大優點是它向後相容ASCII。這意味著，一個僅由7位元ASCII代碼組成的、以位元組儲存的檔案會自動成為UTF-8檔案。</p> <p>為了實現這種相容性，所有其他Unicode字符都以2、3或4個位元組來儲存，這取決於它們的值。下表總結了UTF-8的運作原理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>對於第一行中所示之代碼範圍，每個字符都是由第二行中所示的位元數來唯一標識。然後，這些位元以1和0為前綴，如第三行所示，形成一個位元組序列。第三行中之x的數量與第二行中的計數相同。</p> <p>第一列表明，如果字符來自7位元ASCII代碼的原始集合，則該字符的UTF-8編碼是0位元後跟這7個位元，與ASCII代碼本身相同。</p> <p>Unicode值為U+0080及更大的字符，需要2個或更多位元組。例如，英鎊符號（£）是Unicode U+00A3。因為此值在U+0080和U+07FF之間，所以<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88(1).png" target="_blank">此表的第二列</a>指出它是用2個位元組之UTF-8編碼的。對於此範圍內的值，只需使用最低效的11個位元來導出2位元組編碼，如下圖所示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>Unicode值00A3顯示在圖的頂部。四個十六進位數字中的每一個對應於數字正下方顯示的4位元值。我們知道該值為07FFh或更小，這意味著最高效的5位元將為0，可以忽略它們。接下來的5位元以110開頭（如圖底部所示）形成位元組C2h。最低效的6位元以10開頭，形成位元組A3h。</p> <p>因此，在UTF-8中，C2h和A3h這兩個位元組代表英鎊符號￡。需要2個位元組來編碼基本上只有1個位元組的資訊，似乎有點可惜，但對於UTF-8的其餘部分來說，這是必須的。</p> <p>下面是另一個例子。希伯來字母<span dir="RTL">א</span>（alef）在Unicode中為U+05D0。同樣，該值介於U+0080和U+07FF之間，因此<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88.png" target="_blank">使用表中的第二列</a>。這與£字符的過程相同。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>值05D0h的前5位元可以忽略；接下來的5位元以110開頭，最低效的6位元以10位開頭，形成UTF-8位元組D7h和90h。</p> <p>無論圖像的可能性有多大，帶有喜悅之淚的貓臉表情符號是由Unicode U+1F639來表示的，這意味著UTF-8將其表示為4個位元組的序列。下圖顯示了如何從原始代碼的21個位元來形成這4個位元組。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%967_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>透過使用不同數量的位元組來表示字符，UTF-8破壞了Unicode的一些純度和美感。過去，這樣的方案與ASCII一起使用會引起問題和混亂。UTF-8並非完全不受問題影響，但它的定義非常明智。當一個UTF-8檔案被解碼時，可以非常精確地識別每個位元組：</p> <p>•如果位元組以0開頭，則它只是一個7位元ASCII字符代碼。</p> <p>•如果位元組以10開頭，則它代表一個多位元組字符代碼（multibyte character code）之位元組序列的一部分，但它不是該序列中的第一個位元組。</p> <p>•否則，位元組至少以兩個1位元（two 1 bits）開頭，並且是多位元組字符代碼（multibyte character code）的第一個位元組。這個字符代碼的總位元組數，由第一個位元組上第一個0位元之前，以1位元開頭的位數來表示。這可以是兩個、三個或四個。</p> <p>讓我們再試一次UTF-8轉換：右單引號字符為U+2019。這需要查閱<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88(2).png" target="_blank">表格的第三列</a>，因為該值介於U+0800和U+FFFF之間。UTF-8表示為3個位元組。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%968_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>原始Unicode數字的所有位元都是組成3個位元組所必需的內容。前4位元以1110開頭，接下來的6位元以10開頭，最低效的6位元也以10開頭。結果是E2h、80h和99h所組成的3位元組序列。</p> <p>現在來看這封郵件的問題，它的主旨是：Weâ€™ve received your payment, thanks.</p> <p>第一個單字顯然是“We’ve”（我們已經），但這個縮略語並非使用老式的ASCII撇號（ASCII的27h或Unicode的U+0027），而是更奇特的Unicode右單引號，它在UTF-8中被編碼為三個位元組E2h、80h和99h。</p> <p>到目前為止，沒問題。但這封電子郵件中的HTML檔案指出，它使用的是字符集windows-1252。它其實應該指出使用的是utf-8，因為這就是文字的編碼方式。但是由於此HTML檔指出使用的是windows-1252，因此我的電子郵件程式會使用Windows-1252字符集來解釋這三個位元組。回頭看看本文開頭的<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%961_%20Code%E4%BA%8C%E7%89%88.png" target="_blank">Windows-1252代碼表</a>，自己確認一下E2h、80h和99h這三個位元組確實映射到字符â、€和™，正是電子郵件中的字符。</p> <p>謎團解開了。</p> <p>透過將電腦的使用擴展成一種普遍和多元文化的體驗，Unicode已經成為一個非常重要的標準。但像其他任何東西一樣，除非它被正確使用，否則它是不會發揮作用的。（本文摘錄整理自第13章，碁峰資訊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%9B%B8%E6%91%98-code-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong> <span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Code：隱藏在電腦軟硬體底下的秘密（第二版）</strong></p> <p>Charles Petzold／著；蔣大偉／譯</p> <p>碁峰資訊出版</p> <p>定價：680元</p> <p><a href="https://www.amazon.com/stores/Charles-Petzold/author/B000APETXO?ref=ap_rdr&store_ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%9610_Code%E4%BA%8C%E7%89%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Charles Petzold</strong></p> <p>從事程式設計和電腦方面的寫作已有35年。他的著作包括十幾本的程式設計教材和《The Annotated Turing A Guided Tour through Alan Turing Historic Paper on Computability and the Turing Machine》。他與妻子Deirdre Sinnott(歷史學家和小說家)以及兩隻名叫Honey和Heidi的貓一同住在紐約市。他的網站是<a href="http://www.charlespetzold.com">www.charlespetzold.com</a>。<a href="https://www.amazon.com/stores/Charles-Petzold/author/B000APETXO?ref=ap_rdr&store_ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> </div></div></div>
2023/12/15 12:00未署名https://www.ithome.com.tw/article/160331
全球有1,800個銀行程式遭銀行木馬鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動資安業者Zimperium本周發布了<a href="https://go.zimperium.com/mobile-banking-heists-2023" target="_blank">《行動銀行搶劫報告》（Mobile Banking Heists Report）</a>，指出銀行木馬程式正在不斷地進化，這一年來總計有29個惡意程式家族、鎖定全球61個國家的1,800個銀行行動程式發動攻擊，最大的受害者是美國，有109家銀行成為駭客目標，隨後則是英國的48家銀行與義大利的44家銀行。</p> <p>這些銀行木馬程式通常偽裝成合法程式以吸引使用者下載，但它們其實含有惡意程式，意在滲透安裝在使用者手機上的銀行程式，以竊取這些銀行程式的憑證、金融資訊或是個人身分資訊，有些則能執行未經授權的轉帳。</p> <p>Zimperium去年的調查僅發現有10個惡意程式家族、鎖定600個銀行程式發動攻擊，但今年不管是惡意程式家族或攻擊目標的數量都顯著地增加了。Zimperium分析，駭客擴大投資以改善銀行木馬程式的能力，使其能夠繞過安全機制、逃過行動裝置上的偵測，還能長駐，而傳統安全實踐則未能跟上駭客的腳步。此外，去年駭客的攻擊對象以銀行及支付程式為主，今年則擴大至加密貨幣、社交及傳訊程式，但傳統銀行仍占了61%。</p> <p>今年的前五大惡意程式家族依序是Hook、Godfather、Teabot、Xenomorph與Exobot，它們分別針對618家、419家、414家、400家與371家銀行發動攻擊。最受到駭客青睞的金融程式包括Caixa、Intesa Sanpaolo Mobile、Bankinter Mobile、YouApp Banco BPM Mobile、Capital One Mobile、EVO Banco móvil、Kutxabank、Bank of America與Wells Fargo，至少都有超過10個惡意程式家族鎖定它們。</p> <p>此外，近年來駭客已逐漸將惡意程式發展成一個產業，建立看似合法的公司來提供惡意軟體即服務（Malware-as-a-Service，MaaS），讓更多缺乏開發專長的人得以進入此一市場。</p> <p>另一項值得注意的是，駭客已發展出自動轉帳技術，在成功取得受害者的銀行憑證後，會先檢查使用者的帳戶餘額以決定轉帳金額，並伺機執行轉帳，接著欺騙使用者輸入轉帳所需的一次性密碼，並將帳款轉至駭客所控制的帳戶，之後還可能會刪除交易提醒或應用程式通知以避免被察覺。</p> <p>Zimperium建議金融業者應該要提高程式碼的保護技術，直至其攻擊成本高過駭客不法所得，也應提高運行能見度以全面監控威脅行為，或是部署裝置上的保護機制來回應即時威脅。</p> </div></div></div>
2023/12/15 11:56作者陳曉莉https://www.ithome.com.tw/news/160352
臺灣資安主管聯盟推動公私協力，簽署資安合作備忘錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應資安威脅越來越複雜，集結臺灣各行各業資安長的「臺灣資安主管聯盟」也於日前舉辦會員大會時，代表157家會員、囊括25個產業，在行政院副院長鄭文燦、金管會副主委邱淑貞見證下，與法務部調查局、內政部警政署刑事局以及臺灣電腦網路危機處理暨協調中心（TWCERT/CC）簽署資安互助合作意向書（MOU）。</p> <p>臺灣資安主管聯盟會長、也是華碩集團資安長金慶柏表示，臺灣資安主管聯盟的會員中，八成是上市櫃公司，而ICT高科技跟金融金控公司約佔65%，年營收超過十二兆元，聯盟自成立以來，積極扮演政府和企業雙方的溝通平臺，也配合政府推動產業相關的政策，獲得政府部門的支持與重視。</p> <p>金慶柏指出，此次透過和合作單位簽署合作意向書後，未來不僅可以分享更多企業資安防護經驗，也可以透過公私協力的方式，藉由與合作單位的協助，便可以更有效因應各種網路犯罪帶來的挑戰，進而保護企業資產、降低駭客入侵或勒索軟體綁架資料的資安事件發生頻率，也可以做到加快相關案件處理的速度並減少作業成本。</p> <h2><strong>面對駭客攻擊，資安長們應該抱團對抗</strong></h2> <p>金慶柏表示，現在的網路攻擊已經形成一個生態系，有許多駭客更推出「勒索軟體即服務」（Ransomware as a Service）的攻擊態樣，讓他深知，當企業面對各種網路攻擊時，只靠個別企業單打獨鬥是不足的。</p> <p>他也說，從過去的COVID-19、烏俄戰爭到以哈戰爭的經驗，都讓我們了解到「大軍未至、情資先行」的情資重要性，從中也體認到，資安已經是每個企業、每個組織營運持續管理（Business Continuity Management，BCM）和ESG中非常重要的環節。</p> <p>金慶柏認為，這也意味著資安主管所需要擔負的責任範圍更廣，也必須投入更多費用，在需要了解的資安相關技術上。「這是一種危機、也是一種轉機，也是一種商機。」他說。</p> <p>從2000年回臺灣工作以來，金慶柏看到政府每四年都會規畫新一期的資通安全發展方案，擔任公司資安委員會成員時，也會把政府的規畫，作為民間企業規畫的參考依據。</p> <p>他認為，臺灣政府很早就關注資訊和資安的發展，積極透過公私協力的方式，整合政府和民間的力量做資安。</p> <p>金慶柏說：「資安就像是下水道建設，很重要但外界不一定看得到。」因此，所有的資安規畫，都必須更有遠見的一步步施行，畢竟，「資安長就是讓長官在晚上可以睡好覺的人。」他表示，一個人走的快、一群人走的遠，透過籌組臺灣資安主管聯盟，就是希望可以保護臺灣，透過公私協力的方式，讓臺灣企業都可以平安獲利且做到國際合作。</p> <p>金慶柏指出，臺灣資安主管聯盟在過去一年半來，也向政府提出一些建言獲得採納，包括：資安投資抵減的建議，透過三年的試行，企業可以獲得3％至5％的減免；其次，如果企業因為勒索軟體而支付贖金，這也可以在企業財報上做抵減。</p> <p>他說，近期的建議則是希望政府部門也採購一些重要的情資，評估將相關的情資分享給企業的資安主管，以及若因為企業發生資安事件而必須報案時，是否有單一的報案窗口，提高報案的效率。</p> <h2><strong>透過公私協力，提升機關企業的資安防護能力</strong></h2> <p>鄭文燦表示，金管會在2020年通過金融資安行動方案，並在2021年修改內稽內控準則，要求企業要通報資安事件，也規定一定產業規模以上的企業，必須設置資安長。</p> <p>而臺灣資安主管聯盟於2022年4月成立後，也和金管會、數位部等多個政府部門互動密切。而目前與資安相關的法律有規範公務機關和特定非公務機關的資通安全管理法，以及有處理個資的企業則受到個人資料保護法的規範。所以對於企業遭遇資安事件時，也有規範一定的通報應變處理流程。</p> <p>因此，他認為，政府和企業面對資安這個領域，應該是要攜手合作，並建立一定的程序標準，例如，數位部就針對行動App和物聯網等項目，制定了相關的認證標準，有一些甚至已經列入國家標準。</p> <p>資安相關領域的變動快速，鄭文燦表示，有鑑於資安相關領域的變動快速，鄭文燦表示，其實資安是需要不斷更新的專案，所以資安不止有價，還需要定期的維護更新。</p> <p>他特別強調，許多機關、企業都有所謂的駐點人員，但都無法取代機關或企業內部資安長的角色；機關、企業本身對於資安的投資更是要不斷增加，才能夠去面對這個不設防網路世界的風險，建立防護盾牌。</p> <p>面對資安人力不足的問題，鄭文燦表示，政府希望將資安人力做成從中央到地方的一條鞭制度，並提供一定的資安專業加給留住人才，避免被輕易挖角，調查局和刑事局則提供更多設備和人員訓練，提高科技辦案的能力，進而找到這些資安事件背後的網路犯罪組織，協助維護政府和企業的資訊安全。</p> <p>臺灣是亞太地區遭受網路攻擊排行第一名的國家，因此隨時都要面對各種類型的網路攻擊事件，鄭文燦認為，只有透過更多的交流，才能夠有助於提升機關和企業的資安防護，而臺灣資安主管聯盟也可以透過和調查局、警政署以及TWCERT/CC簽訂資安互助合作意向書，讓臺灣的資安長們藉由分享各種防護經驗，提升資安能力。</p> </div></div></div>
2023/12/15 10:31作者黃彥棻https://www.ithome.com.tw/news/160346
Google雲端正式推出程式開發與資安營運專用兩AI助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端<a href="https://cloud.google.com/blog/products/ai-machine-learning/duet-ai-for-developers-and-in-security-operations-now-ga">正式發布</a>兩項人工智慧助理Duet AI，分別是專用於開發者以及資安營運的Duet AI。開發者Duet AI能夠輔助開發者更快速地編寫程式碼，而資安營運Duet AI則可協助用戶，快速獲取資安威脅情報，加快偵測、調查和回應資安事件的速度。</p> <p>開發者Duet AI正式發布，代表著Google終於正式進入人工智慧開發者生產力工具的市場，跟市面上多數的人工智慧程式碼輔助工具功能相似，用戶也能透過自然語言要求人工智慧提供程式碼完成、生成和問答等任務。Duet AI可以在Cloud Shell Editor、Cloud Workstations、IntelliJ、PyCharm和VS Code等IDE中使用，支援C、C++、Go、Java、JavaScript和Python等20多種程式語言。</p> <p>特別的是，開發者Duet AI也整合了Google雲端平臺Cloud Logging等雲端營運服務，協助用戶快速獲得人工智慧日誌摘要和錯誤解釋，加快故障排除和問題修復的速度。而開發者Duet AI也內建了包括專用端點、VPC服務控制和精細IAM權限企業存取控制等安全功能，滿足企業在隱私、安全性和法規遵循上的需求。</p> <p>Google也與第三方合作擴大開發者Duet AI生態系，包括Confluent、HashiCorp和MongoDB等程式碼輔助夥伴聯手，強化Duet AI程式碼建議對熱門技術的支援，賦予其擁有生成特定平臺程式碼的能力，讓開發者可以在他們偏好的開發工具中，更快地建置和排除錯誤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-Duet%20AI%20for%20Developers%20Partner%20Ecosystem.png" style="width: 600px;" /></p> <p>Datadog、JetBrains和Langchain等廠商則成為Google的知識庫合作夥伴，使得Duet AI能夠獲得更多開發工具的文件和知識資源，藉由廣泛獲取合作夥伴資訊，良好地解決生產問題和漏洞，甚至是自動化軟體測試等。Google預計在2024年第2季更新開發者Duet AI，使得用戶可以客製化Duet AI以獲得遵循組織內部程式碼慣例的程式碼建議。</p> <p>除了開發者Duet AI，Google雲端也推出了用於資安營運的Duet AI。官方指出，資安營運Duet AI採用了可擴展，且專門針對資安的大型語言模型，使用Mandiant和VirusTotal的情報，以及Chronicle大規模資安資料和回應手冊，還有Google威脅資訊庫等資料集訓練而成。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1215-Duet%20AI%20in%20Security%20Operations(2).png" style="width: 600px;" /></p> <p>開發者Duet AI在Chronicle中提供人工智慧協助，供用戶可以使用自然語言查詢大量的資料，並且獲得重點摘要，減少手動操作的繁瑣。資安營運Duet AI透過簡化威脅偵測和回應流程，使各類人員可以理解和回應威脅，也就是說，使用者現在不一定需要了解專門語法，就能夠搜尋事件資料並跨多種日誌類型進行查詢，提升人員處理資安威脅的效率。</p> </div></div></div>
2023/12/15 08:27作者李建興https://www.ithome.com.tw/news/160348
加密郵件Proton Mail終於推出桌機版App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全程加密郵件服務Proton Mail在推出10年後，<a href="https://proton.me/support/mail-desktop-app" target="_blank">終於宣布</a>推出Windows及macOS桌機版本，現在提供部分用戶測試，預計明年初可開放公測。</p> <p>Proton Mail是一個全程加密的電子郵件服務，由曾在歐洲核子研究組織（CERN）工作過的科學家嚴育銓（Andy Yen）等人，於2013年在瑞士日內瓦創立公司Proton Technologies營運。</p> <p>Proton Mail最初只以邀請制開放使用，2016年3月向公眾開放。Proton Mail用戶到2020年超過5,000萬。目前已支援23種語言。但是在今天宣布之前，Proton Mail都只有Web版，用戶若想在桌機上使用Proton Mail收信，必須下載Proton Mail Bridge，以便從用戶帳號中下載郵件，並在桌機上解密。</p> <p>Proton Mail應用程式提供Windows（10、11）及macOS版本，目前為beta版，但現階段由於網路頻寬限制及尋求回饋等原因，僅供早期贊助方案（Visionary plan）的用戶下載試用。但Proton承諾會儘快在2024年初開放所有具Proton Mail的用戶下載。</p> <p>Proton Visionary方案原已停售，不過該公司也短暫重新開放，直到今年年底。</p> <p>在功能方面，Web版可讓用戶使用加密所有功能，包括Proton Mail、Drive及Calendar。桌機版應用程式只供存取Mail及Calendar。桌機版在Proton Mail及Calendar已提供完整功能，包括加密，而且和Web版同步。</p> <p>但其他許多功能還沒完成，例如它還不支援離線存取，尚未提供未讀郵件的通知，郵件或行事曆通知還有bug，Mailto連結及行事曆ICS檔無法開啟App。現在也還不能切換帳號，有2個以上帳號的用戶必須先登出再登入另一個帳號。桌機版郵件匯入及轉寄功能已經有了，不過目前仍是封鎖狀態。Proton表示會陸續加入這些功能。</p> <p>Proton公司表示現在正在開發Linux版，預計2024年初釋出。Linux用戶想使用Proton，仍只能用web版或Proton Mail Bridge for Linux。</p> <p>若用戶利用公用電腦存取Proton Mail，用完後最好從選單登入，從「清除應用程式資料」或移除App以清除所有用戶踨跡。</p> </div></div></div>
2023/12/15 09:18作者林妍溱https://www.ithome.com.tw/news/160349
英特爾第五代Xeon伺服器處理器Emerald Rapids上市，支援AI Everywhere戰略主攻100億參數內…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今（12/14）英特爾第五代Xeon Scalable伺服器處理器（代號Emerald Rapids）上市。英特爾強調，有意用此產品進攻AI運算市場，尤其是100億參數以下的AI推論運算。</p> <p>第五代Xeon Scalable相較前一代的主要升級內容包括核心數從60顆增為64顆、DDR5記憶體傳輸速度從4,800MT/s增為5,600MT/s、L3快取（Last Level Cache，LLC）容量從112.5MB增為320MB、多顆處理器互連速度從16GT/s增為20GT/s，也正式支援CXL 1.1 Type 3裝置。原本外界預期這代CPU也會支援CXL 2.0，但這次並未正式註明支援。效能上，英特爾表示第五代Xeon Scalable相較第四代在一般運算、AI推論、高效能運算，以及網路和儲存吞吐量，分別提升了21%、42%、40%及70%。</p> <p>資安做法上，英特爾機密運算技術TDX（Trusted Domain Extensions）在第4代CPU時只支援部分型號，現在則會支援第五代所有型號，且可以遷移TDX加密的VM到其他環境。第五代Xeon仍支援英特爾軟體防護指令集SGX（Software Guard Extensions），每個處理器與第四代一樣，最大可支援512GB容量的SGX Enclave。</p> <p>第五代Xeon與第四代最大熱設計功耗（TDP）同為350瓦。不過，英特爾表示，第五代每瓦效能較前一代高出36%。不只如此，他們還進一步優化低CPU利用率（小於50%）時耗能。英特爾資深院士暨Xeon首席架構師Ronak Singhal表示，伺服器CPU常在20%至50%的低利用率運作。這個利用率範圍中，第五代耗電不僅較第四代低，在開啟能源優化模式（Optimized Power Mode）後，更能在利用率為30%的狀態下達到比預設模式省110瓦的節能幅度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/低運轉率耗能.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BD%8E%E9%81%8B%E8%BD%89%E7%8E%87%E8%80%97%E8%83%BD.jpg" style="width: 600px;" /></a></p> <blockquote><p>圖中是兩代Xeon Scalable處理器在不同CPU利用率下的耗電走勢。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">30%CPU利用率時，第五代能源優化模式可以額外節省110瓦。最上面這條折線是</span>第四代預設模式、中間是第五代預設模式，最下方則是第五代能源優化模式。圖-郭又華攝</p> </blockquote> <p>這一代Xeon Scalable與第四代同樣使用Intel 7製程，採用LGA 4677插槽，及採用Eagle Stream平臺，是此平臺最後一代CPU。英特爾預計明年推出的CPU Granite Rapids與Sierra Forrest則會改用Birch Stream及Mountain Stream平臺，插槽規格也會不同。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IMG_5642.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5642.jpg" style="width: 600px;" /></a></p> <blockquote><p>今天推出的Xeon Scalable中，英特爾公布了32款<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">型號</span>，涵蓋<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">高效能、一般用途、5G網路、雲端等</span>運算需求。圖-郭又華攝</p> </blockquote> <p><strong>主攻AI推論市場，鎖定100億參數以下的模型推論</strong></p> <p>英特爾強調，此代CPU有幾項規格升級尤其有利於執行AI推論任務。例如記憶體頻寬和LLC容量增加，以及支援CXL 1.1 Type 3記憶體擴展，對於要求高記憶體頻寬的推論任務都有幫助。AI推論任務注重時效性，因此降低運算延遲也相當重要。前一代Xeon從單晶磚改為4晶磚設計，到了第五代，晶片設計又精簡為雙晶磚（Tile）設計。英特爾設計工程事業群資深院士暨首席架構師Sailesh Kottapalli表示，雙晶磚設計好處在於，運算任務需要較少跨晶磚溝通，因此能降低延遲。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2die.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2die.jpg" style="width: 600px;" /></a></p> <blockquote><p>上圖中，英特爾呈現了採取雙晶磚設計的第五代Xeon，延遲較4晶磚設計的第四代Xeon更短。右下圖表可分為兩組，上方是本機延遲，下方則是遠端存取延遲。上半4個圖表中，左邊3直條分別為第四代Xeon不同晶磚利用模式的延遲時間，最右邊則為第五代延遲時間。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">存取L3、L2及記憶體的延遲時間</span>上，第五代大多低於第四代6至20毫秒。圖-郭又華攝</p> </blockquote> <p>他們還專門強化了新CPU在特定AI任務的效能。例如，英特爾資料中心效能及競爭力行銷處長Allen Chu表示，客戶通常要求AI推論任務延遲最高不能超過100毫秒。不過，這在研發<span style="color:#000000;">第五</span>代Xeon Scalable初期，是無法達到的目標，經過特別優化後，才將延遲壓在目標範圍內。根據他們內部測試結果，若應用在聊天機器人、搜尋及各式內容生成等任務，搭配60億參數GPT-J模型能做到延遲低於50毫秒，用更大一點的130億參數Llama2模型推論時仍低於75毫秒。</p> <p>英特爾不諱言，第五代Xeon Scalable是瞄準100億參數以下模型的推論任務，因此他們強化CPU推論能力時，也聚焦在這個算力需求範圍。根據他們內部測試，應用在100億內參數LLM、推論模型及物件辨識模型的訓練、即時推論（Real time inference）及批次推論（Batch inference），第五代表現比第四代高出了20%至40%。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AI模型時測.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E6%A8%A1%E5%9E%8B%E6%99%82%E6%B8%AC.jpg" style="width: 600px;" /></a></p> <blockquote><p>第五代在AI任務的效能相較前代都有不同程度的提升（10%到44%）。英特爾公布他們進行3種AI任務的效能測試數據，包括不同AI模型在訓練、即時推論（Real time inference）及批次推論（Batch inference）的任務。以執行RNN-T批次推論而言，第五代表現是第四代1.44倍。圖-郭又華攝</p> </blockquote> <p>上面資料呈現了兩代間AI運算效能進步幅度，那麼，第五代執行常見任務具體來說會花費多少時間呢？英特爾舉一個內部實測案例說明，他們利用400億參數的Falcon模型來將西語書籍翻譯成英語版，由4個第五代Xeon來執行離線推論任務。這本書有200萬字元、1,300頁，翻譯時間總共費時22分鐘。</p> <p><strong>針對雲地混合AI運算需求發展多種硬體產品及統一軟體開發工具</strong></p> <p>這次上市的新資料中心CPU，以及同日上市的電腦CPU Core Ultra，都是英特爾AI Everywhere產品布局一環。執行副總裁暨資料中心與AI事業群總經理Sandra Rivera表示，AI崛起是繼雲端崛起之後第二波算力需求暴增。他們認為，如今AI從學術研究和概念驗證開始落地，成為真正可帶來商業價值的技術，會為企業創造更多算力需求。舉凡金融、醫療、零售及製造，都是他們看到已經大規模應用AI的垂直產業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IMG_5535.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5535.jpg" style="width: 600px;" /></a></p> <blockquote><p>英特爾對AI Everywhere的想像及軟硬體布局。圖-郭又華攝</p> </blockquote> <p>Sandra Rivera說，AI算力市場中，有足夠資源和能力訓練大型AI模型的企業非常少，大部分AI使用者都是在做邊緣推論、模型微調，或是根據自有資料訓練特定用途小型模型。她也引述英特爾執行長Pat Gelsinger對整體AI需求的觀察：「多少人做天氣模型，又有多少人會用？這就是訓練與推論市場的差別，真正戰場在推論。」</p> <p>英特爾有多看好邊緣推論市場？Sandra Rivera表示，他們預估AI推論市場成長幅度會是訓練市場2倍，尤其是於邊緣執行推論。企業邊緣推論需求來自於降低延遲、控制成本及能耗，以及確保資料隱私性。這個需求崛起，會促使雲地混合AI（Hybrid AI）模式成為主流，也就是將AI運算任務分散於雲端及地端，成為AI Everywhere的現象。</p> <p>產品布局策略上，英特爾今日推出的Core Ultra及第五代Xeon Scalable分別是針對PC及伺服器AI推論需求的CPU。針對更強算力需求，則有Data Center GPU Max跟Flex系列，以及AI加速卡Gaudi系列產品。軟體方面，他們則是提供OpenVINO開發者工具，喊出「Write once, deploy everywhere」口號，要讓使用者只須寫一次支援AI模型及應用部署的程式碼，便能部署前述不同硬體環境。</p> </div></div></div>
2023/12/15 00:06作者郭又華https://www.ithome.com.tw/news/160320
微軟推Teams行動最佳化框架，讓App也可在會議中運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對Teams行動應用<a href="https://devblogs.microsoft.com/microsoft365dev/introducing-the-mobile-optimized-framework-for-microsoft-teams-apps/">推出</a>最佳化框架，讓使用者可以在Teams會議中，還能夠使用其他應用程式執行多工任務。使用者將可以透過滑動或是輪轉瀏覽應用程式，並在會議中隨時存取，藉此提高Teams行動應用使用者的協作與使用者體驗。</p> <p>開發者藉由使用微軟推出的Teams行動最佳化框架，即便用戶並沒有在前臺操作，也能讓應用程式能夠在背景運作，執行諸如發送通知、更新資料，以及和其他應用程式同步的工作。該框架會確保應用程式在Teams行動環境中持續存在，確保資料完整性，並最大程度減少對工作流程的干擾。</p> <p>該框架提供了一種順暢和高效的應用程式互動方式，使用戶在Teams會議中與應用程式間能夠順暢切換。微軟提到，該功能以平臺功能的形式提供，因此開發者不需要編寫任何程式碼，就能夠獲得這些好處。</p> <p>官方舉例應用Teams行動最佳化框架所能帶來的好處，像是在多語言及手語翻譯應用程式來說，當前應用程式使用者切換到Teams會議時，應用程式的翻譯功能便會中斷，微軟提到，這種體驗影響了應用程式的品質和連續性。而透過使用Teams行動最佳化框架中，應用程式可以在後臺運作，並在Teams行動環境持續存在，這代表應用程式能夠持續翻譯語音和文字，如此便能提高使用者的便利性，進而提供無縫整合的體驗。</p> </div></div></div>
2023/12/14 22:08作者李建興https://www.ithome.com.tw/news/160334
Google應用Sanitizer提升Android行動通訊基頻安全性，但認為過渡Rust才是長期解方
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://security.googleblog.com/2023/12/hardening-cellular-basebands-in-android.html">揭露</a>提高Android行動通訊基頻（Cellular Baseband）安全性的方法，透過採用兩種偵測工具（Sanitizer），以防止基頻中特定類型的漏洞。Google指出，他們在裸機環境中，針對C/C++程式碼庫部署偵測工具，以減輕未知漏洞的風險。</p> <p>Google持續著手解決Android記憶體安全漏洞的數量，不只是在Android作業系統上，範圍也擴及到裝置的韌體，而Google優先強化了行動通訊基頻，官方解釋，因為行動通訊基頻在執行時具有較高的權限，而且需要解析從外部遠端傳入裝置的不受信任輸入。</p> <p>Google引用之前的研究指出，行動通訊基頻韌體普遍缺乏漏洞防範措施。基頻遠端程式碼執行漏洞在第三方市場已經有其分類，而且價格相對較低，官方表示，這代表基頻錯誤數量可能很多，或是發現和濫用起來並不複雜。近年來行動通訊基頻也都成為安全會議的重要主題，有鑒於該趨勢和漏洞的嚴重性與普及性，行動通訊基頻遠端程式碼執行漏洞也被Google列為非常嚴重等級。</p> <p>為此，Google也開始相對應的措施，透過使用Clang工具鏈的偵測工具，插入Runtime來發現常見的漏洞類別。過去Google已經應用在Android使用者空間多年的偵測工具，包括BoundSan（BoundsSanitizer）與IntSan（Integer Overflow Sanitizer），也剛好非常適合用在行動通訊基頻，因為這兩個偵測工具不需要作業系統和特定架構功能的支援，並且普遍支援所有Clang目標。</p> <p>BoundSan透過在部分陣列存取處，插入邊界檢查程式碼，來確保存取不會超過陣列邊界。BoundSan僅會在編譯器無法於編譯時證明存取是安全的，並且在執行時已知道陣列的大小時，才會添加程式碼進行檢查。因此BoundSan不會涵蓋所有的陣列存取，畢竟在執行時不一定會知道陣列大小。</p> <p>而IntSan則會終止有號與無號整數溢位執行，除非溢位行為是刻意為之，不過Google提到，雖然無號整數溢位在技術上是已定義的行為，但是像是當其用於陣列索引時，經常會導致意料之外的行為和漏洞。由於大多數的程式碼庫都可能存在有意或是無意的溢位，因此使用IntSan會需要開發者對程式碼進行重構與註釋，並透過測試發現需要解決的溢位。</p> <p>不過BoundSan和IntSan的應用對效能產生一定的影響，因此只能應用在特別關鍵的攻擊面，像是解析訊號、處理複雜格式的函式庫，或是IMS、TCP和IP堆疊等。此外，Google也強調過渡到記憶體安全語言的長期價值，即便不全部以Rust重寫，僅在新的程式碼中使用Rust，就能夠顯著減少記憶體安全漏洞，並提到雖然偵測工具有助於提升程式碼庫安全性，但是卻無法完全消除漏洞。</p> </div></div></div>
2023/12/14 22:11作者李建興https://www.ithome.com.tw/news/160345
Mozilla推MemoryCache專案，推動隱私個人化AI體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla釋出了<a href="https://future.mozilla.org/blog/introducing-memorycache/">MemoryCache</a>創新專案，其目的是要結合本地檔案和Firefox瀏覽器所儲存的資料，強化基於裝置的個人模型，以便在更加隱私安全的情況下，提供更好的個人化的體驗。MemoryCache由一組腳本和簡單工具所組成，可用於改進本地端的privateGPT模型運作。</p> <p>具體來說，MemoryCache主要功能是快速儲存瀏覽器歷史紀錄到本機，並讓本地端的人工智慧模型，透過處理這些資料以及用戶提供的任何檔案，強化內建privateGPT聊天介面的回應，官方解釋，MemoryCache的目標是要超越聊天介面，利用閒置的計算資源來呈現用戶實際閱讀以及所見內容的分析。</p> <p>privateGPT提供一個API，讓用戶可以在自己的裝置上建立和執行個人化人工智慧應用程式，用法類似OpenAI API，但是更專注於私密性和個人資料的保護。</p> <p>MemoryCache專案包含了一個Firefox擴充套件，能夠儲存網頁到本地資料夾中，此外，還有一個殼層腳本負責監聽資料夾的變化，在有新檔案進入資料夾時，執行privateGPT的ingest.py腳本會進一步處理資料。在MemoryCache專案之下，官方也更新Firefox SaveAsPDF API程式碼，能夠將網頁另存成PDF，更方便用戶閱讀。官方表示，MemoryCache可說是一個初期和實驗性質的探索平臺，用於激盪創意。</p> </div></div></div>
2023/12/14 22:13作者李建興https://www.ithome.com.tw/news/160347
【資安日報】12月14日，OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定OAuth身分驗證機制的攻擊行動不時傳出，而這樣的情況也有越來越氾濫的現象，駭客很可能在多種型態的攻擊行動，運用這種身分驗證機制達到目的。</p> <p>例如，近期微軟揭露針對自家雲端環境進行的OAuth攻擊行動裡，駭客不只建置大量的OAuth應用程式來從事對手中間人攻擊（AiTM），挾持電子郵件信箱來進行下一階段行動，特別的是，也有駭客藉由OAuth挾持Azure用戶帳號，並租用虛擬機器來進行挖礦。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用OAuth應用程式發起自動化攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-OAuth-application-for-cryptomining-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-OAuth-application-for-cryptomining-attack-chain.png" style="width: 300px; float: right;" /></a>隨著身分驗證標準OAuth越來越普及，駭客也濫用這種機制來發起自動化攻擊，甚至在失去起初目標帳號的存取權限，仍能藉由OAuth持續存取多種應用程式。</p> <p>微軟威脅情報中心指出，他們看到駭客濫用OAuth發動多種攻擊行動，包含利用雲端資源進行挖礦、從事商業郵件詐騙（BEC）、寄送垃圾郵件，目的是牟取經濟利益。其中，駭客組織Storm-1283利用遭到外流的微軟帳號，於Microsoft Entra ID中建立OAuth應用程式，然後運用Azure資源部署虛擬機器（VM）來挖礦，根據研究人員的估計，駭客盜用資源的費用約在1萬至1.5萬美元。</p> <p>另有駭客組織寄送釣魚郵件進行對手中間人攻擊（AiTM），竊得連線階段（Session）的Token後，將其用於危害使用者的微軟帳號，入侵電子郵件服務Outlook尋找能用於BEC的材料，其中有些駭客為了持續存取受害者帳號，就會藉由在OAuth應用程式加入帳號的方式來達成，此外，部分駭客還會進一步濫用Microsoft Graph API資源，寄送大量垃圾郵件。微軟指出，在今年7月至11月，這些駭客藉由許多遭外流的帳號，建置逾1.7個OAuth應用程式。</p> <p><a href="https://securityaffairs.com/155701/hacking/cyberattack-brought-down-ukraine-kyivstar.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭大型電信業者遭遇網路攻擊，傳出部分IT系統遭到摧毀</span></strong></a></p> <p></p> <p>擁有2,400萬行動電話用戶、逾100萬寬頻網路用戶的烏克蘭大型電信業者Kyivstar，於12月12日證實遭到網路攻擊，導致該公司提供的行動網路、網路服務全數中斷，數百萬民眾無法接收空襲警報而曝險，直到當地晚間8時，部分固網已恢復，該公司預計13日復原其他服務運作。</p> <p>知情人士透露，烏克蘭軍方並未因為這起網路攻擊受到影響。而對於攻擊者的身分，烏克蘭國家安全局（SBU）、Kyivstar皆把矛頭指向俄羅斯駭客，但無法確定是那個組織所為。俄羅斯駭客Killnet聲稱是他們所為，但沒有提出證據。</p> <p>值得留意的是，由於戰爭初期有不少基地臺遭到破壞，烏克蘭三大電信業者Kyivstar、Vodafone Ukraine、Lifecell聯手推出全國漫遊服務，若是其中一家的用戶收不到訊號，可直接切換、使用另外兩家的行動網路，但本次的網路攻擊行動導致Kyivstar內部系統遭到破壞，用戶完全無法存取該公司的服務而無從切換，根據資安新聞網站The Record的報導，該電信業者用戶被迫排隊購買另外兩家電信業者的預付卡，並導致這些業者的行動網路速度變慢，其中，Vodafone Ukraine網路負載爆增3成。而這起攻擊事故是否也帶來其他危害？Kyivstar表示目前尚未發現用戶個資遭到外洩的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.reuters.com/technology/cybersecurity/ukraines-biggest-mobile-operator-suffers-massive-hacker-attack-statement-2023-12-12/">https://www.reuters.com/technology/cybersecurity/ukraines-biggest-mobile-operator-suffers-massive-hacker-attack-statement-2023-12-12/</a><br /> 2. <a href="https://twitter.com/TwiyKyivstar/status/1734647770085020004">https://twitter.com/TwiyKyivstar/status/1734647770085020004</a><br /> 3. <a href="https://therecord.media/kyivstar-cyberattack-telecom-shutdown-ukraine">https://therecord.media/kyivstar-cyberattack-telecom-shutdown-ukraine</a></p> <p><a href="https://gur.gov.ua/en/content/zlam-federalnoi-podatkovoi-sluzhby-rf-detali-cherhovoi-kiberspetsoperatsii-hur.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">烏克蘭情報單位聲稱對俄羅斯稅捐機關發動網路攻擊，破壞逾2千臺伺服器</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20231212-02-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20231212-02-05.jpg" style="width: 300px; float: right;" /></a>11月底烏克蘭國防部情報總局（GUR）公開承認對俄羅斯民航局Rosaviatsia發動網路攻擊，竊取該機構的內部資料，指出因歐美制裁導致該國飛航安全大受影響，如今該組織再度聲稱對俄羅斯發動網路攻擊。</p> <p>12月12日，GUR聲稱成功入侵俄羅斯聯邦稅務局（FNS）其中1臺「受到良好保護、重要的中央伺服器」，然後存取逾2,300臺位於俄羅斯及克里米亞的伺服器，並對其部署惡意程式；另一方面，GUR也對俄羅斯政府提供IT服務的業者Office.ed-it.ru下手，發動惡意軟體攻擊。</p> <p>這兩起事故導致俄羅斯稅收系統的配置檔案全數遭到抹除，資料庫及其備份也被摧毀，此外，GUR也聲稱癱瘓俄羅斯中央政府與地方政府的網路通訊，以及FNS、稅務資料中心、上述IT業者之間的連線。俄羅斯政府在事發後4天裡嘗試復原上述系統運作，但沒有成功，GUR認為FNS至少會癱瘓1個月，且無法完全復原到原本的狀態。</p> <p><a href="https://securityintelligence.com/x-force/itg05-ops-leverage-israel-hamas-conflict-lures-to-deliver-headlace-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28利用以巴衝突作為誘餌，散布後門程式HeadLace</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz1hYWYwMDEzNDk0NmUxMWVlYjE0YzIyYTAzYTkxM2JjOA%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1hYWYwMDEzNDk0NmUxMWVlYjE0YzIyYTAzYTkxM2JjOA%3D%3D.png" style="width: 300px; float: right;" /></a>針對俄羅斯駭客APT28（亦稱Fancy Bear、Forest Blizzard、ITG05）近期發動大規模網釣攻擊，有研究人員揭露新發現。</p> <p>IBM威脅情報團隊X-Force指出，這些駭客冒充聯合國、以色列銀行、美國國會研究服務處、歐洲央行、烏克蘭智庫、亞塞拜然與白俄羅斯的跨政府組織的名義，來發動攻擊，散布名為Headlace的後門程式。研究人員指出，上述被冒名組織的共通點，能對人道救援的資源分配有直接影響的話語權，這是X-Force看到APT28首度利用以色衝突來作為誘餌的情況，但不確定有多少組織受害。根據調查，駭客至少將13個國家列為攻擊目標，匈牙利、土耳其、澳洲、波蘭、比利時、烏克蘭、德國、亞塞拜然、沙烏地阿拉伯、哈薩克、義大利、拉脫維亞、羅馬尼亞，這些國家幾乎都是聯合國人權理事會的會員國。</p> <p>研究人員從今年8月至12月，看到8種被用於網釣攻擊的誘餌文件檔案，而攻擊者的基礎設施鎖定特定的國家或地區而來，只有指定的使用者才能收到相關檔案，其中一些攻擊駭客利用了WinRAR漏洞CVE-2023-38831（CVSS風險評分7.8）。</p> <p><a href="https://www.apple.com/newsroom/pdfs/The-Continued-Threat-to-Personal-Data-Key-Factors-Behind-the-2023-Increase.pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料外洩事件暴增，起因是勒索軟體與供應鏈攻擊升溫</span></strong></a></p> <p></p> <p>蘋果委託麻省理工學院（MIT）針對個人資料洩漏狀況進行研究，發現資料洩漏的事件正在急速增加。從2013年到2022年，資料外洩的事件數量成長3倍，而且過去兩年，就有26億筆個人資料紀錄遭洩漏。研究人員指出，以美國為例，2023年前9個月資料外洩的事故，就比2022年多出2成，世界各地也呈現類似的趨勢。由於企業組織、政府機關收集的個人資料也越來越多，也導致這類攻擊的影響也變得更加廣泛。</p> <p>而對於這樣的趨勢，研究人員認為主要有兩大原因，其一是勒索軟體攻擊的增加，且變得更加危險、複雜，駭客往往針對握有敏感資料的組織下手，並要脅若不付錢就將其洩漏。</p> <p>另一方面，則是針對供應商進行的供應鏈攻擊也有所增加，由於所有企業組織依賴各式各樣的供應商及軟體，使得駭客攻擊第三方軟體或是供應商系統的漏洞，就有機會取得目標組織的內部資料，根據統計，98%組織在過去兩年，與曾經歷資料外洩的供應商有業務往來。</p> <p> </p> <div><strong style="font-size: 15.21px;">【漏洞與修補】</strong></div> <p><a href="https://www.zerodayinitiative.com/blog/2023/12/12/the-december-2023-security-update-review"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟發布12月例行更新，修補34個產品漏洞</span></strong></a></p> <p></p> <p>本週二微軟發布12月份例行更新（Patch Tuesday），總共針對旗下產品修補34個漏洞，其中有10個是權限提升漏洞、8個遠端任意程式碼執行（RCE）漏洞、6個資訊洩漏洞、5個阻斷服務（DoS）漏洞，以及5個可被用於欺騙的漏洞。漏洞懸賞專案Zero Day Initiative針對本次微軟公布的漏洞進行分析，指出其中最值得留意的漏洞包含了MSHTML漏洞CVE-2023-35628、Outlook資訊洩露漏洞CVE-2023-35636，以及Power Platform連接器的欺騙漏洞CVE-2023-36019。</p> <p>其中，CVE-2023-35628能讓未經身分驗證的攻擊者，藉由寄送特製的電子郵件，就有機會遠端在受害電腦上執行任意程式碼（RCE），CVSS風險評分為8.1；而CVE-2023-35636則是有可能導致NTLM雜湊資料外洩，而可能讓攻擊者進一步取得企業內部存取權限，CVSS風險評分為6.5。</p> <p>至於CVE-2023-36019，是本次微軟修補危險程度最高的漏洞，CVSS風險評分達到9.6，但研究人員指出，微軟雖然將其歸類為欺騙漏洞，但他們認為其屬性更偏向程式執行的漏洞。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Dec">https://msrc.microsoft.com/update-guide/releaseNote/2023-Dec</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2023/12/12/patch-tuesday-december-2023/">https://www.rapid7.com/blog/post/2023/12/12/patch-tuesday-december-2023/</a><br /> 3. <a href="https://www.zerodayinitiative.com/blog/2023/12/12/the-december-2023-security-update-review">https://www.zerodayinitiative.com/blog/2023/12/12/the-december-2023-security-update-review</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-347a"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">CISA警告CI/CD軟體平臺TeamCity重大漏洞遭到俄羅斯駭客APT29利用</span></span></strong></a></p> <p></p> <p><a href="https://www.proofpoint.com/uk/blog/threat-insight/security-brief-ta4557-targets-recruiters-directly-email"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織TA4557鎖定求職者從事網釣攻擊，散布後門程式More_Eggs</span></span></strong></a></p> <p></p> <p><a href="https://www.welivesecurity.com/en/eset-research/pernicious-potpourri-python-packages-pypi/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借社交工程的手段引誘開發人員上當，安裝惡意PyPI套件而使得電腦被植入竊資軟體</span></span></strong></a></p> <p></p> <p><a href="https://www.fcc.gov/document/fcc-reminds-carriers-prevent-sim-fraud-schemes"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國聯邦通訊委員會呼籲電信業者採取更多措施來防範SIM卡挾持攻擊</span></span></strong></a></p> <p></p> <p><a href="https://www.whitehouse.gov/oncd/briefing-room/2023/12/12/oncd-welcomes-mr-harry-coker-jr-as-next-national-cyber-director/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國任命Harry Coker為第2任國家資安總監</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160307"><strong>【12月13日】逾1,400臺開源防火牆系統pfSense存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160290"><strong>【12月12日】北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化平臺入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160267"><strong>【12月11日】蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進行控制</strong></a></p> </div></div></div>
2023/12/14 16:55作者周峻佑https://www.ithome.com.tw/news/160333
Open AI與出版商Axel Springer簽署合作協議，將付費使用專業新聞內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axelspringer.com/en/ax-press-release/axel-springer-and-openai-partner-to-deepen-beneficial-use-of-ai-in-journalism" target="_blank">Open AI本周三（12/13）與總部位於德國的出版商Axel Springer 簽署了合作協議</a>，宣布建立全球的合作夥伴關係，以強化AI時代的獨立新聞產業。根據<a href="https://www.ft.com/content/8fe089ef-d6f4-4a27-8690-82f385e87d85" target="_blank">《金融時報》</a>（Financial Times，FT）的報導，Open AI每年將支付數千萬歐元，以取得Axel Springer 旗下眾多媒體品牌的內容授權。</p> <p>Axel Springer旗下擁有十多個媒體品牌，涵蓋Die Welt、Bild、Auto Bild、Business Insider及Politico等，它們專注於報導全球新聞、地方新聞、消費者電子、汽車消息、商業、音樂到運動。</p> <p>根據雙方的協議，全球ChatGPT用戶將可收到來自Axel Springer旗下品牌的精選全球內容摘要，涵蓋付費內容在內，且ChatGPT在回應用戶的查詢時，將會提供相關的出處及完整文章的連結。Open AI還將利用這些專業新聞內容來增進大型語言模型的訓練。</p> <p>此外，Open AI亦同意支持Axel Springer建置於OpenAI技術之上的AI公司。</p> <p>Axel Springer 執行長Mathias Döpfner 表示，希望能夠藉由此一合作，將新聞業的品質、社會相關性與商業模式提升到新的水準。OpenAI營運長Brad Lightcap則說，該合作有助於替人們帶來高品質的新聞內容，未來亦將致力於與全球出版商及創作者合作，確保它們得以自先進的AI技術與新的營收模式中獲利。</p> <p>《金融時報》分析，這幾年社交媒體的興起固然擴大了新聞業的觸及，卻也顛覆了新聞業的商業模式，占走了廣告收入，原本擔心AI對新聞業的威脅更甚社交媒體，但這次雙方的合作卻替其它媒體樹立了有益的先例。</p> <p>近年來許多媒體集團展開以AI來寫新聞的實驗，迄今多以失敗告終。其中，Gannett因為用AI撰寫的新聞品質太差，而在社交平臺上廣為流傳，於今年8月決定終止實驗；CNET也因為AI寫的新聞經常出現錯誤，還要人力去修改，宣布不再以AI來寫新聞；至於美國體育雜誌《Sports Illustrated》則是以AI生成的個人資料及圖像來發布廣告文章，在遭到外界撻伐後，母公司Arena Group在本周直接開除了《Sports Illustrated》執行長Ross Levinsohn。</p> </div></div></div>
2023/12/14 16:19作者陳曉莉https://www.ithome.com.tw/news/160332
Google開放開發者及企業測試Gemini Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/160193" target="_blank">日前發表</a>全新的多模態大型語言模型Gemini之後，Google周三（12/13）針對開發者與企業推出了Gemini Pro，前者可透過Google AI Studio中的Gemini API使用，後者則可藉由Google Cloud的Vertex AI平臺存取。</p> <p>定位於多模態LLM的Gemini支援文字、圖像及聲音的輸入，Google將其分為3種版本，分別是最強大的Gemini Ultra，最通用的Gemini Pro，以及可於行動裝置上運作的Gemini Nano。目前Google已將Gemini Nano應用於Google Pixel 8上，也於Google Bard聊天機器人中整合了Gemini Pro，現在則進一步開放開發者及企業使用Gemini Pro。</p> <p>此版Gemini Pro支援32K的文字脈絡長度，具備函式呼叫、嵌入、語義檢索、客製化知識基礎及聊天功能，提供各種SDK，也支援Python、Android（Kotlin）、Node.js、Swift及JavaScript等程式語言。基本的Gemini Pro僅接受文字輸入與輸出，另有一個Gemini Pro Vision多模態終端則可接受文字及圖像輸入，但僅會輸出文字。</p> <p>Google AI Studio為一免費的網頁開發者工具，可用來開發提示，進而取得可用於程式開發的API金鑰。</p> <p>Gemini Pro現已可於全球逾180個國家使用，支援38種語言，開發者以Google帳戶登入Google AI Studio即可免費試用，其免費額度為每分鐘輸入60個請求，當需要托管環境時，也可輕易將成果遷移至Vertex AI，<a href="https://ai.google.dev/pricing" target="_blank">預計於明年初推出付費服務</a>，屆時每輸入1,000個字元的費用是0.00025美元，每輸入一個圖像的費用則是0.0025美元，每1,000個字元的輸出費用則是0.0005美元。企業用戶亦可透過已整合了Gemini Pro的Vertex AI平臺來試用該服務。</p> <p>值得注意的是，當開發者使用Gemini Pro的免費額度時，其API與Google AI Studio的輸入與輸出可能會被審核人員存取，目的是為了改善服務品質，但相關資料會移除可用來辨識身分的資訊。</p> </div></div></div>
2023/12/14 14:17作者陳曉莉https://www.ithome.com.tw/news/160326
載入大量資料效能暴增3倍，PostgreSQL 16登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2023-11-amazon_rds_for_postgresql_16-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在開放原始碼資料庫領域相當知名的PostgreSQL，全球開發團隊在5月底釋出16版第一個Beta測試版本，預先展示多種新特色，涵蓋效能、邏輯複寫（Logical Replication）功能強化、開發者體驗、安全性提升、監控與管理等層面。</p> <p>後續經歷6月底發布Beta2版、8月中推出的Beta3版、8月底釋出候選版RC1，到了9月14日PostgreSQL 16正式版終於出爐！</p> <p>新版上路最大賣點在於效能提升，可以大幅改善平行查詢、巨量資料載入、邏輯層面複製（logical replication）的應用，除此之外，這裡也提供更多SQL與JSON語法、新的工作負載監控狀態，同時能透過定義存取控制規則，以便針對多個大型群體的資料庫進行政策管理，從而獲得更多使用彈性。</p> <p>就效能改善的特色而言，PostgreSQL 16新增查詢規畫最佳化調校機制，能夠顯著提升既有PostgreSQL的功能函式執行效率。實際上如何運作？這套資料庫系統配備的查詢規畫機制，能夠同時處理FULL與RIGHT的合併查詢（join），運用聚合（aggregate）函式搭配DISTINCT或ORDER BY子句，產生更理想的查詢計畫，也善用增量排序（incremental sorts）來處理SELECT DISTINCT查詢，並且將窗形函式（window functions）進行改良，以便提升執行效率。此外，這一版對於RIGHT、OUTER這類反連結（anti-joins）的查詢效率，也予以提升，使用者能透過這種敘述語句，要求系統列出不存在合併資料表中的資料列。</p> <p>對於大量資料載入，PostgreSQL 16的效能增長更為具體。根據全球開發團隊的測試，若使用COPY敘述進行單一與並列的處理，在某些狀況下，效能改善幅度高達300％。</p> <p>為何有如此驚人的成效？原因在於新版PostgreSQL對於使用libpq函式庫的個人端程式，增加負載平衡的支援，而且在用於資源回收、分析資料庫的VACUUM敘述進行改良，可減少資料庫因存取整張資料表而導致卡住的狀況。</p> <p>關於這方面的改進，PostgreSQL商業版EnterpriseDB（EDB）的代理商歐立威科技，也在11月底的線上研討會揭露他們實測的Vacuum 效能控制差異，當中運用了新加入的參數 vacuum_buffer_usage_limit。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Omniwaresoft%20vacuum_buffer_usage_limit_test%20result.png" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Omniwaresoft-PG16-vacuum_buffer_usage_limit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Omniwaresoft-PG16-vacuum_buffer_usage_limit.png" style="width: 600px;" /></a></p> <p>在硬體支援方面，PostgreSQL 16開始提供CPU加速功能，可運用x86與Arm架構都內建的單指令多資料（SIMD）技術，增加整體效能，基於這樣的機制，系統在處理ASCII與JSON字串，以及陣列、子交易（subtransaction）的搜尋時，均能獲得更理想的成效。</p> <p>邏輯複製功能方面，PostgreSQL能讓用戶將資料流即時複製其他PostgreSQL執行個體，或是能夠解譯PostgreSQL邏輯複製協定的服務訂閱者，而在新版當中，用戶可從待命的資料庫執行個體執行邏輯複製，如此一來，這類執行個體也能將邏輯關係的異動發布到其他伺服器。而對於開發人員而言，若要進行分散工作負載，也能因此多出一種方法，不需麻煩長期處於忙碌狀態的主要執行個體，而是運用待命狀態的執行個體而非，來進行下游系統（downstream systems）的邏輯變更複製作業。</p> <p>在過去至現行版本的PostgreSQL當中，使用者只能在主要的資料庫執行實例當中，建立邏輯複寫的發布者，到了第16版，將允許用戶也能在備援的資料庫執行實例當中，執行邏輯解碼，若要將工作負載分散執行，能有更多選擇，例如，在因應邏輯複寫變更的作業上，可運用較不忙碌的備援系統，而非只能仰賴主要系統來處理。</p> <p>除此之外，訂閱者可運用多個平行的工作者（worker）執行大型交易，例如，針對未設置主鍵的資料表，訂閱者能使用二元樹（B-tree）索引，而毋須透過循序掃描的方式來尋找資料列，而在特定狀況下，使用者也能透過雙位元格式的採行，進而加快初始資料表的同步處理。</p> <p>在邏輯複製的存取控制方面，PostgreSQL 16也提供多個改良特色，例如，增加預先定義的角色pg_create_subscription，可授權使用者建立新的邏輯訂閱；同時，新版也增添雙向邏輯複製功能的支援，以便從不同發布者的兩張資料表之間進行資料的複製。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Azure PG-cascading_replication.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Azure%20PG-cascading_replication.png" style="width: 600px;" /></a></p> <p>在應用程式開發者的資料庫操作體驗方面，新版PostgreSQL在SQL/JSON當中增加更多語法，包含建構子與陳述方式，像是JSON_ARRAY()、JSON_ARRAYAGG()，以及IS JSON，也能使用底線來做為千分位分隔符號，例如5_432_000，以及非十進位的整數表示描述，像是0x1538、0o12470、0b1010100111000。</p> <p>而在psql用戶端程式中也支援延伸查詢協定與增加指令，開發者可以執行「SELECT $1 + $2」這類查詢語句，並透過\bind執行帶有參數的查詢預先準備，也能以此來取代變數，例如「SELECT $1::int + $2::int \bind 1 2 \g」。</p> <p>PostgreSQL也提供文字排序的規則，改善文字校對的支援。事實上，16版預設支援國際Unicode元件（ICU），能根據用戶環境決定預設的ICU所在國家地區，用戶可自定ICU校對規則。</p> <p>關於資料庫效能調校，PostgreSQL 16新增pg_stat_io的觀點（view），可提供I/O狀態的資訊，有助於執行I/O存取模式的細緻分析，了解系統I/O作業帶來的影響。同時，新版也在pg_stat_all_tables的觀點增加欄位，可記錄資料表或索引最近一次被掃描的時間，對於auto_explain模組的使用，新版也透過記錄傳遞到參數化敘述的數值，促使其內容更容易理解，針對pg_stat_statements、pg_stat_activity這兩個功能，也改善查詢追蹤演算法的精確度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Azure%20PG-Screenshot%20of%20pg_stat_io%20view.png" style="width: 600px;" /></p> <p>就整套系統的供應形式而言，作為PostgreSQL商業軟體供應商的<a href="https://www.enterprisedb.com/blog/whats-new-in-edb-postgres-16-portfolio-release">EDB，在11月初宣布正式支援第16版</a>，範圍涵蓋旗下的資料庫版本，包含EDB Postgres Extended Server（PGE）、EDB Postgres Advanced Server（EPAS），以及延伸套件、工具。</p> <p>在安全性方面，PGE、EPAS提供資料透明加密（Transparent Data Encryption，TDE），可選擇AES-128或AES-256等兩種加密等級，而EPAS 16額外提供權限分析（Privilege Analysis）的功能，用戶可追蹤與統計所有使用的權限，以及被批准卻未用於角色的權限，協助落實最低權限的原則，進而藉此對資料庫使用者移除過度授予的權限，避免有意或無意的資料存取與修改行為，並且更容易提供資料庫角色與權限的清單，方便稽核人員驗證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EDB-tde2.png" style="width: 600px;" /></p> <p>兩大公有雲業者的資料庫服務近期也宣布支援PostgreSQL 16。例如，AWS在RC1推出當天，就開始在關聯式資料庫雲端服務預覽環境當中，提供Amazon RDS for PostgreSQL 16.0 RC1；而在新版正式發布隔天（9月15日），也預覽環境當中，提供Amazon RDS for PostgreSQL 16.0；</p> <p>11月9日PostgreSQL 16.1發布，20日AWS宣布全面支援第16版，而且從16.1版開始供應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Amazon%20RDS%20for%20PostgreSQL%2016.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20RDS-DB%20Version-2023-12-01%20web.jpg" style="width: 600px;" /></p> <p>微軟在10月底宣布資料庫服務Azure Cosmos DB for PostgreSQL支援PostgreSQL 16，既有的資料庫叢集可透過就地升級功能更新至這個版本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Cosmos%20DB%20for%20PostgreSQL%20cluster-1.png" style="width: 600px;" /></p> <p>11月中，Azure Database for PostgreSQL針對Flex Server的部署形式上，也正式提供PostgreSQL 16。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20Database%20for%20PostgreSQL.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>PostgreSQL 16</strong><br /> ●建議售價：<br /> AWS Amazon RDS：db.t4g.micro亞太區域（東京）每小時0.025美元<br /> Azure Database for PostgreSQL：單一伺服器1顆虛擬處理器搭配2 GiB記憶體，亞太地區每小時為0.065美元，儲存體每月每GiB為0.138美元<br /> Azure Cosmos DB for PostgreSQL：單一節點1顆虛擬處理器搭配2 GiB記憶體，亞太地區每小時為0.030美元，單一節點儲存體每月128 GiB為22.144美元<br /> ●硬體環境需求：1 GHz處理器、2 GB記憶體、512 MB硬碟空間<br /> ●支援作業系統平臺：Windows Server（x86-64）、macOS（x86-64、Arm64）、Linux（x86-64、IBM Power）<br /> ●公有雲業者提供服務：AWS Amazon RDS、Azure Database for PostgreSQL、Azure Cosmos DB for PostgreSQL</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/14 11:49作者李宗翰https://www.ithome.com.tw/review/160287
微軟12月Patch Tuesday修補逾30個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在周二（12/12）釋出的Patch Tuesday修補了逾30個安全漏洞，當中有4個被列為重大（Critical）漏洞，另有一個已被公開的零時差漏洞<a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-20588" target="_blank">CVE-2023-20588</a>則是源自於AMD晶片。</p> <p>CVE-2023-20588是在今年8月被揭露，<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7007.html" target="_blank">根據AMD的描述</a>，這是一個除以零（division by zero）錯誤，某些AMD處理器可能會因此回覆推測資料，而失去保密性。此一漏洞同時影響AMD的資料中心、桌面與行動處理器，且需要更新軟體平臺才能緩解，微軟因此於本月更新了Windows。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-20588" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E5%BE%AE%E8%BB%9F%E4%BF%AE%E8%A3%9C-CVE-2023-20588(1).png" style="width: 398px;" /></a></p> <p>此次有兩個重大漏洞與網路連線分享（Internet Connection Sharing，ICS）有關，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35641" target="_blank">CVE-2023-35641</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35630" target="_blank">CVE-2023-35630</a>，這是Windows的內建服務，允許一臺連網電腦與其它電腦分享網路連線。這兩個漏洞都僅能攻擊與駭客處於同一網路交換器或虛擬網路的系統，駭客可藉由傳送惡意DHCP訊息至執行ICS服務的伺服器，或是變更某個輸入訊息的長度欄位選項，來觸發相關漏洞，成功的攻擊將允許駭客自遠端執行程式。</p> <p>不過，ICS服務的預設值是關閉的，且不常被使用。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35641" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E5%BE%AE%E8%BB%9F%E4%BF%AE%E8%A3%9C-CVE-2023-35641.png" style="width: 370px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35630" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E5%BE%AE%E8%BB%9F%E4%BF%AE%E8%A3%9C-CVE-2023-35630.png" style="width: 378px;" /></a></p> <p>另一個同樣允許遠端程式攻擊的重大漏洞為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35628" target="_blank">CVE-2023-35628</a>，它牽涉到Microsoft Edge的IE模式所使用的Windows MSHTML Platform，駭客可透過電子郵件傳送一個惡意連結，當受害者點選該連結之後，即可允許駭客執行任意程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-35628" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E5%BE%AE%E8%BB%9F%E4%BF%AE%E8%A3%9C-CVE-2023-35628.png" style="width: 371px;" /></a></p> <p>本月微軟修補的最嚴重漏洞為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36019" target="_blank">CVE-2023-36019</a>，其CVSS風險評分高達9.6，該漏洞與Microsoft Power Platform Connector有關，屬於欺騙漏洞，允許駭客將惡意的連結、應用程式或檔案偽裝成合法的以吸引受害者，最終也可導致遠端程式攻擊。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36019" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E5%BE%AE%E8%BB%9F%E4%BF%AE%E8%A3%9C-CVE-2023-36019.png" style="width: 360px;" /></a></p> <p>此外，CVE-2023-36019漏洞其實位在網頁伺服器上，但惡意腳本程式則是在使用者的瀏覽器上執行。</p> </div></div></div>
2023/12/14 11:04作者陳曉莉https://www.ithome.com.tw/news/160318
2024年臺灣ICT市場五大關鍵趨勢預測出爐，企業GenAI與FinOps成新亮點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場調查機構IDC最近發布了2024年臺灣ICT市場五大關鍵趨勢預測，與以往的10大趨勢相比，今年的技術趨勢預測集中於五大主要方向，其中與生成式AI相關的科技投資就包辦了3項，包括將帶動生成式AI在各產業的全面應用，行動PC的Gen AI應用增長，以及資安維運的生成式AI，看好成為企業明年重要投資重點。此外，針對雲用量增長以及成本控管，將促使重視雲端財務管理的FinOps新思維和做法興起，成為臺灣企業明年雲端維運新焦點。</p> <p><strong><span style="font-size:28px;">預期臺灣明年整體IT支出成長達5%，遠高於今年</span></strong></p> <p>IDC在今年11月份發布的全球黑皮書（Worldwide Black Book）調查報告，預測臺灣產業整體ICT的支出，預計在明年將達到3.7％的正成長，相較去年僅有1.1％成長率，特別是在IT支出方面，成長率更躍升至5％，遠高於今年的0.1％的成長。</p> <p>進一步從產品類型來看，以軟體服務的7.2%成長最高，硬體居次，也有4.8％的增長。至於商業服務和電信服務明年成長，分別是2.7％和1.4%。</p> <p>IDC臺灣總經理江芳韻表示，軟體服務支出在明年實現高成長有三大原因。首先，軟體服務涵蓋面向較廣，包含了數據分析、AI等；其次，資安在其中扮演很重要的組成部分。此外，越來越多企業採用本地端機房和一朵公雲的混合雲架構，以部署各種應用軟體，也成為支撐這種成長的關鍵力量。</p> <p>值得一提的是，臺灣明年硬體項目支出成長，將由負轉正，成功擺脫去年負成長的狀態。IDC分析，影響明年硬體成長的動能，主要來自疫後的換機潮。</p> <p>從IDC另一份調查報告中，也列出了2024企業優先投資的科技重點，將近7成企業CIO都將數據、分析與AI列為首要投資重點項目，還高於第2名的資安。</p> <p>江芳韻表示，與前2年相比，臺灣仍處於疫後新常態，現在出現另一波值得注意的發展就是生成式AI。她指出，明年各產業中的生成式AI應用將進一步獲得深化，使其帶來更廣泛應用。</p> <p>她特別提到，在生成式AI出現後，使得AI應用範圍比以往更加多元，朝向更廣闊的廣義AI（Broad AI）發展，也促進了整個AI的應用的發展，從過去僅能在核心端運算設備上執行，現在進一步滲透到端點裝置。她甚至認為，AI應用將會無所不在，影響到人們生活的各個層面。</p> <p>生成式AI引領了一波新的AI浪潮，這種趨勢不僅在IDC全球調查中反映出來，該機構針對明年臺灣ICT市場的5大趨勢預測中，也出現了相似的趨勢，其中有三項都與生成式AI有關，將成為臺灣企業明年重點的科技投資項目。</p> <p> <strong><span style="font-size:28px;">生成式AI技術的應用正從消費端走向企業端市場</span></strong></p> <p>尤其，在生成式AI商用方面，不只科技巨頭積極投入發展商用生成式AI服務，還有許多AI新創跨入生成式AI市場。截至目前，生成式AI已經被應用在不同領域中，包括了寫作助手、設計、生產力、語音與客戶互動等方面，甚至開始跨進企業端市場，滿足企業應用發展所需。</p> <p>IDC指出，生成式AI下一波發展將朝向全面產業化，並可從兩面向來發展。就應用場景而言，生成式AI技術的應用正從消費端走向企業端市場，未來將可用於產品設計、軟體開發、客戶互動、行銷公關與供應鏈管理等業務場景。</p> <p>舉例來說，在產品設計方面，企業未來可以利用生成式AI模型協助其完成晶片電路板布線、新藥研發等工作。在軟體開發上，也可輔助軟體工程師進行程式碼撰寫、審視與測試，還能夠自動生成新聞稿，或是根據不同客群生成與發送個人化廣告與行銷方案等。</p> <p> <strong><span style="font-size:28px;">受益於GenAI快速發展，看好臺灣AI平臺明年成長將破兩成</span></strong></p> <p> 另一方面，臺灣的AI平臺將因為這波GenAI技術的迅速發展而受益，帶來新的成長動能。IDC預估，臺灣AI平臺的市場規模明年將呈現強勁的增長，從2023年的6,690萬美元，預計到了2024年將成長25.4％，達到8,390萬美元，甚至預估到2027年，市場規模更將進一步擴大至4,236億美元。</p> <p>不僅如此，生成式AI的崛起，更進一步推動了在資安領域的應用發展，開始出現了越來越多結合生成式AI的資安相關應用，甚至朝向自動化的資安維運發展，特別是在網路安全自主化方面，實現資安維運自動化。</p> <p>IDC預估，到2026年，全球30%的大型企業將會透過自主安全營運相關投資，提高資安事件的修復、管理和應對效率。此外，在擁有生成式AI能力的資安產品與服務方面，將有更多元選擇，可供臺灣企業採用。</p> <p>為了因應生成式AI發展，個人化裝置明年將迎來新變革，將採用具備更強AI算力的硬體，特別是在行動PC方面，明年將會看到越多越多的行動PC裝置內建AI晶片，可執行GenAI應用，藉此達到生產力提升、減少延遲、強化數據安全保護，以及降低成本與提升工作效率。</p> <p>IDC預測，到2026年底，企業採購的個人電腦中，將有80％搭載AI晶片，可以在本地裝置上執行LLM模型。這也意謂著，將可以提升PC的性能，支援更複雜的GenAI任務。</p> <p>不光如此，在企業辦公室應用上也有GenAI的應用之處。舉例來說，未來在穿戴裝置上也能執行生成式AI應用，能夠透過分析各種IoT數據，提供個人化的應用與決策。</p> <p><strong><span style="font-size:28px;">FinOps風潮明年也將吹進臺灣</span></strong></p> <p>前兩年受疫情的衝擊，企業加速轉型投資，不只增加人力，也積極上雲，但在疫情解後，許多企業重新調整了策略，對於支出與運用更為謹慎，也反應在雲端的投資上，企業正積極尋找更有效的雲端維運管理作法，以重新調整或優化其雲端支出。不只是雲原生的企業，即使是金融、製造等行業，近年來都因為擴大上雲規模而開始越來越注重雲端費用的管控。</p> <p>為了應付企業雲用端量爆增，以及越來越複雜的雲端環境，近幾年，一種雲端維運成本控管的新思維—FinOps（Cloud Financial Operations）在國外快速竄紅，許多大型企業都開始引進FinOps做法，以建立更有效雲端維運成本的追蹤和管控的方式，甚至還掀起雲端省錢新風潮，如今，這股風潮也吹進臺灣。IDC預期，明年FinOps將成為企業營運重要管工具，協助企業用戶優化其上雲支出。此外，從生態系發展來看，IDC認為，未來將有越來越多與FinOps相關的諮詢和SaaS管理服務推出，有望進一步壯大FinOps生態發展。</p> <p><strong><span style="font-size:28px;">建立下一代供應鏈碳管理信任機制</span></strong></p> <p>臺灣今年完成氣候法的立法，即將在2025年開始徵收碳費，加上國際品牌對供應商減碳要求逐漸提升，使得越來越多企業年必須加強對於碳管理的部署與發展，以提高數據透明度與信任度。IDC指出，碳排管理是企業未來掌握碳排資訊的關鍵技術，透過整合平臺與流程，建立由數據驅動的數位業務平臺。IDC預估，至2027年，G2000的企業中有40%會使用全面的生態系統永續數據來制定營運決策，降低30%的碳足跡。</p> <h2> <strong>臺灣明年ICT五大趨勢預測重點</strong></h2> <h4><strong>1.生成式AI應用全面進入產業化發展階段</strong></h4> <h4><strong>2.更強AI算力的個人裝置問世，可在本地裝置上執行LLM模型</strong></h4> <h4><strong>3.資安維運與生成式AI結合，實現網路安全自主化</strong></h4> <h4><strong>4.重視雲端財務管理的FinOps新思維崛起</strong></h4> <h4><strong>5.建立下一代供應鏈碳管理信任機制</strong></h4> <p><span style="font-size:12px;">資料來源：IDC，iThome整理，2023年12月</span></p> <p> </p> </div></div></div>
2023/12/14 08:27作者余至浩https://www.ithome.com.tw/news/160317
Cloudflare年度報告揭露全球網路流量成長25％，Log4j仍是最受駭客青睞的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare發布了<a href="https://blog.cloudflare.com/radar-2023-year-in-review/#bottraffic">第四次網際網路趨勢報告</a>，這個報告分為流量分析與趨勢、連接與速度，以及安全三個類別。該報告內容主要來自Cloudflare Radar的分析，Cloudflare網路遍及全球310個城市，每秒處理5,000萬次的HTTP(S)請求，以及每秒7,000萬次的DNS請求，Radar結合這些龐大的資料以及Cloudflare各種工具資料，能夠提供接近即時的網際網路趨勢和模式觀察。</p> <p>分析2022年到2023年的全球網際網路流量趨勢，Cloudflare指出，2023年較前一年網路流量成長了25％，成長高峰與2022年相當。而究竟2023年受網路使用者歡迎的是哪些服務？（下圖）根據Cloudflare的1.1.1.1公共DNS解析器的資料分析，Google繼續蟬聯第一，接下來則是臉書、Apple，而原本在2021年第一名的TikTok，在今年跌至第4名，第5名則是微軟。在人工智慧方面，由於ChatGPT的成功與受歡迎程度，OpenAI成為該領域第一，而在加密貨幣服務類別中Binance仍是第一名。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--24-.png" style="width: 580px;" /></p> <p>根據Cloudflare的觀察，2023年Android與iOS的使用分布與2022年保持一致，全球超過三分之二的流量來自於Android裝置，有25個國家Android裝置流量占比超過90％。而行動裝置流量的占比也逐漸擴大，現在全球已經有超過40％的網路流量來自行動裝置，甚至有80個國家，大部分的流量來自行動裝置。</p> <p>Cloudflare也分析衛星網路Starlink相關的流量，發現Starlink整體流量在2023年成長達到3倍，在美國流量成長2.5倍，巴西成長超過17倍，Cloudflare提到，只要開通Starlink服務的國家，像是肯亞、菲律賓和尚比亞等國家，流量皆是迅速成長。</p> <p>Cloudflare Radar掃描前5,000個網域，發現Google Analytics是遠遠領先的分析工具，而React則在JavaScript框架類別明顯領先（下圖）。隨著開發人員越來越多使用自動化API呼叫，支援動態網站和應用程式，Cloudflare分析其所使用的語言，有15％自動化API請求來自NodeJS客戶端，其他Go、Java、Python和.NET也都占有一定比例。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/pasted-image-0--6-.png" style="width: 580px;" /></p> <p>IPv6推廣至今，其普及程度仍有待努力，Cloudflare指出，2023年全球只有大約三分之一的網路請求使用IPv6協定。印度是全球IPv6最普及的地方，有70％的雙堆疊請求透過IPv6進行，也就是在同時擁有IPv4和IPv6處理能力的網路裝置中，有70％請求採用IPv6，這在全球是非常高的比例。馬來西亞、沙烏地阿拉伯、越南、希臘等國家，也有超過一半的雙堆疊請求以IPv6進行。但也有約40個國家，在雙堆疊請求使用IPv6的比例仍不到1％。</p> <p>2023年網路攻擊的第一目標是金融業，包括行動支付、投資/交易以及加密貨幣網站和相關組織，攻擊集中在奧地利、瑞士、法國、英國等歐洲國家，還有加拿大、美國等美洲國家。而在非洲，包括製造運動器材、醫療測試設備等製造商，則是網路犯罪者主要攻擊目標。</p> <p>欺騙性連結和勒索是惡意電子郵件最常見的兩種威脅類型，而Cloudflare觀察2023年常見的網路攻擊漏洞和趨勢，發現Log4j雖然是一個較舊的漏洞，但仍是2023年網路犯罪者主要攻擊的漏洞，全球Log4j的攻擊流量一直遠大於其他漏洞，尤其在10月底到11月中期更出現高峰。</p> <p>除了擔心眼下的資安威脅，不少企業也開始著手防範量子電腦解密攻擊，隨著網路服務供應商和Chrome瀏覽器的更新，目前已經使用後量子加密TLS 1.3的流量正在增加，至11月底已達到1.7％，Cloudflare預期這個比例將會在2024年快速成長。</p> </div></div></div>
2023/12/13 21:24作者李建興https://www.ithome.com.tw/news/160310
Visual Studio 2022 17.9版本開始支援虛幻引擎專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟繼續擴大與Epic Games的合作，現在要於Visual Studio 2022 17.9版本直接<a href="https://devblogs.microsoft.com/cppblog/directly-edit-unreal-engine-projects-in-visual-studio-2022/">支援虛幻引擎（Unreal Engine）專案</a>。這項支援仰賴虛幻引擎5.4的最新功能，讓遊戲開發者不再需要生成Visual Studio解決方案，就可以直接在Visual Studio開啟虛幻引擎專案。</p> <p>目前遊戲開發者要在Visual Studio處理虛幻引擎專案時，都必須先從虛幻編輯器使用建置工具生成Visual Studio解決方案。這個方法的不便之處在於，每當專案加入新資源的時候，就必須要重新生成Visual Studio解決方案來反映這些變更。</p> <p>而在Visual Studio 2022 17.9第二預覽版開始，Visual Studio能夠直接支援虛幻引擎專案格式.uproject，因此開發者現在可以在Visual Studio和虛幻編輯器間自由切換，所有變更都會自動同步。</p> <p>微軟提到，Visual Studio支援虛幻引擎專案，目標是讓其開發體驗與現有Visual Studio解決方案一樣。開發者一樣可以使用豐富的IntelliSense和除錯功能，而且過去Visual Studio針對虛幻引擎所添加的功能，也都能在虛幻引擎專案中無縫運作。</p> <p>要使用這項新功能，開發者需要安裝Visual Studio 2022 17.9第二預覽版，並且工作負載選擇以C++進行遊戲開發，還需要安裝對虛幻引擎專案的支援，之後開發者便可以在Visual Studio中的檔案選項，選擇開啟虛幻引擎專案。</p> <p>目前開發者還無法在Visual Studio起始畫面開啟虛幻引擎專案，也無法在之前的專案列表中找到這些專案，開發團隊會在之後版本支援這些入口點。同時，開發者現在也還無法添加虛幻引擎類別，這項功能也會在之後的版本實作。</p> <p>開發者第一次從Visual Studio啟動虛幻引擎專案時，會看到建議停用UE_Workspace_VSIX以防止延遲的提示，但微軟提醒開發者不要停用該擴充套件，因為虛幻引擎專案需使用該套件。還有一個開發者需要注意的限制，是需要將虛幻引擎和程式碼存放在同一個儲存裝置。</p> <p>微軟與Epic Games夥伴關係緊密，無論是在<a href="https://www.ithome.com.tw/news/139587">議題上的支援</a>，還是實質上遊戲銷售，到開發工具的改進，雙方都有越來越多的合作。微軟已經多次<a href="https://www.ithome.com.tw/news/155563">更新Visual Studio</a>，擴大對虛幻引擎的支援，使得採用虛幻引擎的遊戲開發者能夠在Visual Studio獲得更好的開發體驗。</p> </div></div></div>
2023/12/13 21:27作者李建興https://www.ithome.com.tw/news/160311
【資安日報】12月13日，逾1,400臺開源防火牆系統pfSense存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>12月12日有許多軟體開發商推出本月的例行更新，而其中相當值得留意的部分，是有關防火牆漏洞的細節揭露。其中，包含了開源防火牆系統pfSense的漏洞，以及Sophos破例提供已屆生命週期終止（EOL）修補程式的情況。</p> <p>其中，比較值得留意的是pfSense的漏洞，原因是研究人員揭露的3個漏洞可被串連，而有機會讓攻擊者在防火牆上執行任意程式碼。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mirrormedia.mg/story/20231212fin007"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中華電信傳出資料外洩，駭客聲稱竊得帳務系統30萬筆資料</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/X9fOqTQO51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/X9fOqTQO51.png" style="width: 300px; float: right;" /></a>昨天有媒體報導地下論壇BreachForums兜售中華電信（<a href="http://www.cht.com.tw">www.cht.com.tw</a>）的資料，賣家聲稱11月入侵該公司的帳務系統，取得30萬筆資料，內容包含了出帳電話號碼、簡訊帳單識別、出帳日期、繳費期限、繳費方式、帳單金額、帳單明細等。</p> <p>傍晚中華電信發布新聞稿，表示下午啟動內部調查，強調他們系統並未發現遭駭的跡象，亦無個資外洩的情形。而對於這次駭客兜售的資料來源，中華電信指出很可能是利用帳號查詢功能進行欠費查詢而得，任何人只要輸入正確的行動電話門號及身分證字號，就能取得不具個人識別性的帳務資料。他們也加強防護，防止帳單查詢功能遭到濫用。</p> <p>資料來源</p> <p>1. <a href="https://www.tcpttw.com/local/2023/12/12/80942/%E3%80%90%E7%8D%A8%E5%AE%B6%E5%BF%AB%E8%A8%8A%E3%80%91%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E7%B9%B3%E8%B2%BB%E8%B3%87%E6%96%99%E7%96%91%E4%BC%BC%E5%A4%96%E6%B4%A9%EF%BD%9C%E9%A9%9A%E5%82%B3%E5%9C%B0/">https://www.tcpttw.com/local/2023/12/12/80942/%E3%80%90%E7%8D%A8%E5%AE%B6%E5%BF%AB%E8%A8%8A%E3%80%91%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E7%B9%B3%E8%B2%BB%E8%B3%87%E6%96%99%E7%96%91%E4%BC%BC%E5%A4%96%E6%B4%A9%EF%BD%9C%E9%A9%9A%E5%82%B3%E5%9C%B0/</a><br /> 2. <a href="https://www.mirrormedia.mg/story/20231212fin007">https://www.mirrormedia.mg/story/20231212fin007</a></p> <p><a href="https://www.fortinet.com/blog/threat-research/mranon-stealer-spreads-via-email-with-fake-hotel-booking-pdf"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供訂房資訊寄送釣魚郵件，散布竊資軟體MrAnon Stealer</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-mranon-attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-mranon-attack-flow.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露竊資軟體MrAnon Stealer的攻擊行動，駭客假借訂房的名義，聲稱要調查12月旅館房間可用性的情況，寄送帶有PDF檔案的釣魚郵件，鎖定德國旅館業者而來。</p> <p>一旦收信人依照指示開啟附件檔案，該PDF便會顯示電腦的Flash Player太舊，必須安裝相關軟體更新，然而若是依照指示操作，電腦就有可能被植入竊資軟體。</p> <p>此竊資軟體以Python開發，並透過Cx_Freeze進行加殼來迴避偵測，駭客將其用於竊取系統資訊、使用者帳密、瀏覽器連線階段（Session）、加密貨幣擴充套件的資料等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/over-1-450-pfsense-servers-exposed-to-rce-attacks-via-bug-chain/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">開源防火牆系統pfSense存在XSS、命令注入漏洞，逾1,400臺未修補弱點的伺服器曝險</span></strong></a></p> <p></p> <p>資安業者SonarSource揭露開源防火牆系統pfSense多個漏洞，其中包含了中度風險、CVSS風險評分皆為5.4的跨網站指令碼（XSS）漏洞CVE-2023-42325及CVE-2023-42327，以及CVSS風險評分達到8.8的高風險命令注入漏洞CVE-2023-42326，一旦攻擊者結合這些漏洞，就有可能在pfSense系統上發動遠端執行任意程式碼（RCE）攻擊，對方可利用網路釣魚手法，誘騙通過身分驗證的pfSense使用者點選惡意連結來觸發漏洞。</p> <p>開發商Netgate於今年7月接獲通報，在11月發布付費版pfSense Plus 23.09、社群版pfSense CE 2.7.1來修補漏洞，然而研究人員提出警告，在開發商發布更新軟體後，現在仍有1,450個可透過網際網路存取的防火牆曝露於相關風險。</p> <p>資料來源</p> <p>1. <a href="https://www.sonarsource.com/blog/pfsense-vulnerabilities-sonarcloud/">https://www.sonarsource.com/blog/pfsense-vulnerabilities-sonarcloud/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/over-1-450-pfsense-servers-exposed-to-rce-attacks-via-bug-chain/">https://www.bleepingcomputer.com/news/security/over-1-450-pfsense-servers-exposed-to-rce-attacks-via-bug-chain/</a></p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/w0WIqSlUlNY?si=D2BiU7zBldEfLnD1" title="YouTube video player" width="560"></iframe></p> <p><a href="https://www.bleepingcomputer.com/news/security/sophos-backports-rce-fix-after-attacks-on-unsupported-firewalls/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sophos終止產品支援的防火牆系統遭遇網路攻擊，破例提供RCE漏洞修補程式</span></strong></a></p> <p></p> <p>去年9月資安業者Sophos發布資安公告，修補防火牆重大漏洞CVE-2022-3236（CVSS風險評分為9.8），並在一個月後警告已被用於攻擊行動，現在傳出影響範圍擴大，該公司決定破例為更多防火牆系統提供更新程式。</p> <p>12月11日<a href="https://www.sophos.com/en-us/security-advisories/sophos-sa-20220923-sfos-rce">Sophos更新上述公告</a>，指出駭客近期針對已屆生命週期終止（EOL）、不再受到支援的舊版防火牆系統進行漏洞利用嘗試，他們針對部分系統開發修補程式，若是受影響組織的防火牆有開啟接收軟體更新功能，大部分將會自動套用相關修補軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/50k-wordpress-sites-exposed-to-rce-attacks-by-critical-bug-in-backup-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">WordPress網站備份外掛程式Backup Migration存在重大漏洞，約有5萬個網站曝險</span></strong></a></p> <p>資安研究團隊Nex Team向資安業者Wordfence通報WordPress外掛程式Backup Migration的重大漏洞CVE-2023-6553，攻擊者可在未經身分驗證的情況下，將PHP程式碼注入特定檔案，得以遠端執行任意程式碼（RCE），進而接管整個網站，CVSS風險評分為9.8，影響1.3.6版及之前版本的Backup Migration。</p> <p>Wordfence指出，攻擊者只要發送特製的請求，就有機會觸發上述漏洞，利用漏洞的難度並不高。該公司向開發團隊通報後，12月6日BackupBliss發布1.3.8版修補上述漏洞。值得留意的是，根據資安新聞網站Bleeping Computer的分析，截至11日仍有近5萬個網站尚未套用新版外掛程式而曝險。</p> <p>資料來源</p> <p>1. <a href="https://www.wordfence.com/blog/2023/12/critical-unauthenticated-remote-code-execution-found-in-backup-migration-plugin/">https://www.wordfence.com/blog/2023/12/critical-unauthenticated-remote-code-execution-found-in-backup-migration-plugin/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/50k-wordpress-sites-exposed-to-rce-attacks-by-critical-bug-in-backup-plugin/">https://www.bleepingcomputer.com/news/security/50k-wordpress-sites-exposed-to-rce-attacks-by-critical-bug-in-backup-plugin/</a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-december-2023-patch-tuesday-fixes-34-flaws-1-zero-day/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟修補與AMD處理器有關的零時差漏洞</span></strong></a></p> <p></p> <p>12月12日微軟發布本月份例行更新（Patch Tuesday），修補旗下產品34個漏洞，但特別的是，這次他們也對其他廠牌產品的零時差漏洞進行修補。</p> <p>微軟對於AMD處理器的零時差漏洞CVE-2023-20588發布資安通告，這項漏洞AMD於8月揭露，影響EPYC 7001伺服器處理器、含有Radeon顯示晶片的Athlon 3000及Ryzen 3000系列個人電腦處理器，以及含有Radeon Vega顯示晶片的Athlon Pro 3000及Ryzen Pro 3000系列的筆電處理器，這項漏洞發生的原因，在於上述型號的處理器執行除法運算時，在除以0的運算中，有可能回傳推測資料而導致資訊洩露。</p> <p>AMD將這個漏洞評為低風險，他們認為攻擊者需要存取本機才能濫用，但微軟將其列為重要層級，並對於Windows 10、Windows 11，以及Windows Server 2008以上伺服器作業系統進行修補。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/update-guide/releaseNote/2023-Dec">https://msrc.microsoft.com/update-guide/releaseNote/2023-Dec</a><br /> 2. <a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-20588">https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-20588</a><br /> 3. <a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7007.html">https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7007.html</a></p> <p><a href="https://www.securityweek.com/adobe-patches-207-security-bugs-in-mega-patch-tuesday-bundle/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe公布12月例行更新，修補超過200個漏洞</span></strong></a></p> <p></p> <p>12月12日Adobe發布9則資安公告，對於旗下的Illustrator、Substance 3D Sampler、After Effects等產品提供更新版本，總共修補207個漏洞，其中有185個與網站內容管理平臺Adobe Experience Manager有關。</p> <p>而根據重大等級漏洞的多寡，該公司為Substance 3D Sampler修補6個漏洞，其次則是After Effects、Illustrator各有3個重大漏洞，這些漏洞涉及越界寫入（OBW）、越界讀取（OBR）、記憶體釋放後濫用（UAF），或是輸入缺乏適當驗證，而有可能被攻擊者用於執行任意程式碼。</p> <p>資料來源</p> <p>1. <a href="https://helpx.adobe.com/security/products/experience-manager/apsb23-72.html">https://helpx.adobe.com/security/products/experience-manager/apsb23-72.html</a><br /> 2. <a href="https://helpx.adobe.com/security/products/substance3d-sampler/apsb23-74.html">https://helpx.adobe.com/security/products/substance3d-sampler/apsb23-74.html</a><br /> 3. <a href="https://helpx.adobe.com/security/products/after_effects/apsb23-75.html">https://helpx.adobe.com/security/products/after_effects/apsb23-75.html</a><br /> 4. <a href="https://helpx.adobe.com/security/products/illustrator/apsb23-68.html">https://helpx.adobe.com/security/products/illustrator/apsb23-68.html</a></p> <p><a href="https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=10"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">SAP公布12月例行更新，修補商業技術平臺重大漏洞</span></strong></a></p> <p></p> <p>12月12日SAP發布本月例行資安公告，當中提及4項涉及重大漏洞焦點（Hot News），大部分是對過往公告的漏洞的說明更新，但其中一則是提及本次首度揭露的新漏洞。</p> <p>這些漏洞是CVE-2023-36922、CVE-2023-49583、CVE-2023-50422、CVE-2023-50423，CVSS風險評分皆為9.1，存在於商業技術平臺 Business Technology Platform（BTP），大部分與此系統的安全服務整合程式庫（Security Services Integration Library）有關，一旦遭到利用，攻擊者就能在未經授權的情況下，取得任意應用程式的權限，從而導致應用程式的機密性、完整性受到嚴重影響。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.tca.org.tw/tca_news1.php?n=2078"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為打造資安聯防機制，台灣資安主管聯盟簽署偵防互助MOU</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023121213470859.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023121213470859.jpg" style="width: 300px; float: right;" /></a>為應對日新月異之網路犯罪技術及手段所帶來的挑戰，保護企業資產、降低駭客入侵或勒索軟體等資安事件造成企業損失，並加快案件處理流程，且減少作業成本，12月12日台灣資安主管聯盟（台灣CISO聯盟）在會員大會上，與法務部調查局、內政部警政署刑事警察局、台灣電腦網路危機處理暨協調中心，共同簽署【資安互助合作意向書】，並邀請行政院副院長鄭文燦、數位發展部政務次長闕河鳴、金融監督管理委員會副主委邱淑貞，共同擔任MOU簽署儀式的見證人。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/ics-patch-tuesday-electromagnetic-fault-injection-critical-redis-vulnerability/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">西門子、施耐德電機推出12月例行更新，修補多項重大缺陷</span></span></strong></a></p> <p><a href="https://therecord.media/ransomware-attack-on-americold-cold-storage"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">溫控倉儲暨物流業者Americold遭勒索軟體攻擊，13萬人受到影響</span></span></strong></a></p> <p></p> <p><a href="https://www.elastic.co/security-labs/getting-gooey-with-guloader-downloader"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體GuLoader採用多種反分析機制來防堵研究人員調查</span></span></strong></a></p> <p></p> <p><a href="https://www.blackhat.com/eu-23/briefings/schedule/index.html#the-pool-party-you-will-never-forget-new-process-injection-techniques-using-windows-thread-pools-35446"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">處理程序注入攻擊手法Pool Party有機會繞過EDR端點防護措施</span></span></strong></a></p> <p></p> <p><a href="https://www.blackhat.com/eu-23/briefings/schedule/index.html#autospill-zero-effort-credential-stealing-from-mobile-password-managers-34420"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露針對安卓裝置的攻擊手法AutoSpill，從密碼管理工具竊取帳密資料</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160290"><strong>【12月12日】北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化平臺入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160267"><strong>【12月11日】蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進行控制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160235"><strong>【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</strong></a></p> </div></div></div>
2023/12/13 16:27作者周峻佑https://www.ithome.com.tw/news/160307
微軟發表效能優於Google Gemini Nano 2的Phi-2語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/phi-2-the-surprising-power-of-small-language-models/" target="_blank">微軟於周二（12/12）發表了Phi-2</a>，這是一個小型語言模型（Small Language Model，SLM），僅具備27億個參數，但它在許多測試上超越了具備70億參數的Mistral、擁有130億參數的Llama-2，也凌駕了<a href="https://www.ithome.com.tw/news/160193" target="_blank">Google剛發表的</a>、基於32億個參數的Gemini Nano 2。</p> <p>微軟是在今年6月發表了基於深度學習模型Transformer的Phi-1模型，這是為了撰寫基本Python程式碼而設計的小型語言模型，僅使用13億個參數，<a href="https://www.microsoft.com/en-us/research/publication/textbooks-are-all-you-need/" target="_blank">當時微軟強調</a>用來訓練Phi-1的素材全都是教科書品質，以期在更小的參數規模下達到更好的效能。9月登場的Phi-1.5則擴展至常識推理及語言理解，其效能可媲美5倍的模型。</p> <p>最新的Phi-2則號稱效能可媲美25倍的模型，微軟認為它將是研究人員理想的遊樂場，可用來探索機制可解釋性，安全性的改善，或是針對各種任務進行微調實驗。</p> <p>Phi-2的訓練素材同樣基於「教科書等級」的概念，涵蓋科學、日常活動與心理學等，再加上篩選過且具有教育價值的高品質網路內容，並將參數量從13億擴大至27億。</p> <p>有別於Phi-1僅在8個A100 GPU上，以540億個Token進行6天的訓練，Phi-2則是在96個A100 GPU上，以1.4兆個Token進行了14天的訓練。</p> <p>微軟以完成訓練的Phi-2進行各種基準測試，並與其它模型進行比較，包括用來評估語言模型處理複雜及具挑戰性任務的Big Bench Hard（BBH）、常識推理、語言理解、數學及撰寫程式碼等。發現Phi-2在上述類別的表現全都優於擁有130億個參數的Llama-2，也優於具備70億個參數的Mistral。</p> <p>此外，微軟也比較了Phi-2與Google專替行動裝置設計的Gemini Nano 2，顯示它在BBH、BoolQ、MBPP與MMLU等類別的評測表現勝過Gemini Nano 2。不過，<a href="https://storage.googleapis.com/deepmind-media/gemini/gemini_1_report.pdf" target="_blank">根據Google Gemini的技術報告</a>，除了上述4項之外，Gemini Nano 2的評測類別還包括TydiQA、NaturalQuestions與MATH，而微軟並未公布相關比較。</p> </div></div></div>
2023/12/13 15:54作者陳曉莉https://www.ithome.com.tw/news/160306
駭客正濫用OAuth應用以自動化攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks/" target="_blank">微軟於本周警告</a>，駭客正在濫用各種OAuth應用來展開經濟動機的自動化攻擊，包括濫用使用者的資源進行挖礦，執行商業電子郵件詐騙（BEC），或是寄送大量垃圾郵件等，且就算駭客失去了存取最初危害帳號的權限，也能透過OAuth來維持對各種應用的存取權。</p> <p>OAuth是個開放身分驗證標準，允許第三方服務在未取得使用者的憑證下，存取特定使用者資源以進行身分驗證，例如允許A應用存取B應用的使用者資源以取得授權，進而登入服務、存取API或存取雲端服務等。</p> <p>然而，近來微軟威脅情報中心（Threat Intelligence Center）發現，有駭客發動網釣及密碼潑灑攻擊，以危害那些未使用強大身分驗證機制的使用者帳號，且這些帳號擁有建立或修改OAuth應用的權限。接著駭客濫用了這些具備高權限的OAuth應用來部署虛擬機器以開挖加密貨幣，或是在執行BEC攻擊之後建立了長駐能力，亦用來展開大規模的垃圾郵件發送活動。</p> <p>上述惡意行動來自不同的駭客組織，其中，Storm-1283使用一個遭到危害的使用者帳號來建立OAuth應用，並部署專門用來挖礦的虛擬機器。該名駭客透過VPN登入了盜來的使用者帳號後，於Microsoft Entra ID中建立了一個OAuth應用，由於該帳號具備Azure訂閱的所有權角色，讓駭客得以利用他人的資源部署虛擬機器來挖礦，所使用的運算資源費用介於1萬到1.5萬美元之間。</p> <p>另有些駭客組織則是藉由寄送網釣郵件以執行AiTM中間人攻擊，來竊取會話令牌，再以該令牌來執行會話Cookie重放。之後有的駭客會在危害使用者帳號之後，進入其Outlook信箱以尋找BEC攻擊機會；有的則會透過新增憑證至OAuth應用來維持長駐能力，接著存取Microsoft Graph API資源，來存取郵件或寄送大量垃圾郵件。</p> <p>根據統計，在今年的7月至11月間，駭客使用了許多被危害的帳號，在不同的租戶中建立了約1.7萬個多租戶OAuth應用。這些惡意OAuth應用總計發送了逾92.7萬封的網釣郵件，這些惡意的OAuth應用皆已被微軟移除。</p> <p>還有一個被命名為Storm-1286的駭客組織專門濫用OAuth應用來發送垃圾郵件，Storm-1286主要透過密碼潑灑攻擊來取得使用者憑證，且大多數受害者並未啟用雙因素身分驗證。</p> <p>微軟針對相關攻擊提出了防範建議，包括啟用雙因素身分驗證，啟用條件式存取策略，啟用持續存取評估，啟用安全預設值，啟用Microsoft Defender的自動攻擊中斷，審核程式與同意的許可權，以及保護Azure雲端資源等。</p> </div></div></div>
2023/12/13 16:50作者陳曉莉https://www.ithome.com.tw/news/160308
烏克蘭最大電信業者Kyivstar遭網路攻擊，估計波及數百萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.facebook.com/kyivstar/posts/pfbid0dbzBFFW84LFeiqUodzxeDHFPL8vAdeSwL3WD97HqaVH5jw9S2EH9WQ7TjgBSYUAQl" target="_blank">烏克蘭最大電信業者Kyivstar周二（12/12）上午</a>傳出遭到大規模的網路攻擊，相關攻擊導致了技術上的故障，使得Kyivstar的行動通訊及網路服務全都暫時中斷，雖然Kyivstar尚未公布影響規模，不過身為烏克蘭最大電信業者的Kyivstar在當地約有2,400萬名訂閱用戶。</p> <p>根據Kyivstar在當地時間12日晚上8點的<a href="https://twitter.com/TwiyKyivstar/status/1734647770085020004" target="_blank">訊息更新</a>，部分固網已恢復服務，也正努力復原其它服務，計畫在13日恢復正常。</p> <p>其實在俄羅斯入侵烏克蘭初期，<a href="https://www.ithome.com.tw/news/149956" target="_blank">俄羅斯便鎖定當地的通訊基礎設施發動攻擊</a>，摧毀不少基地臺，促使烏克蘭三大電信業者Kyivstar、Vodafone Ukraine與Lifecell結盟並推出全國漫遊服務，只要任一家業者的用戶收不到訊號，就能直接切換至其它兩家業者的基地臺。</p> <p>然而，此次的Kyivstar服務中斷源自於網路攻擊，內部系統受到干擾導致用戶完全無法存取服務，更遑論切換至其它服務。<a href="https://therecord.media/kyivstar-cyberattack-telecom-shutdown-ukraine" target="_blank">《Recorded Future News》</a>則報導，受到波及的Kyivstar用戶只能排隊購買Vodafone與Lifecell的預付卡，也造成這兩家業者的服務變慢，其中，Vodafone的網路負載直接增加了3成。</p> <p>Kyivstar指出，目前尚未發現用戶的個資外洩，正與烏克蘭的執法機構密切合作以展開調查，亦將採取額外的安全措施以避免相關意外再度發生。</p> </div></div></div>
2023/12/13 17:11作者陳曉莉https://www.ithome.com.tw/news/160309
CyberArk開拓雲端安全存取應用，落實JIT存取與最低權限
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cyberark_sca-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年7月舉行的全球年度用戶大會期間，以特權帳號管理系統著稱的CyberArk，在雲端特權安全應用的產品線當中，包含<a href="https://www.ithome.com.tw/review/153383">Cloud Entitlements Manager（CEM）</a>，也預告將推出新的解決方案Secure Cloud Access（SCA），可協助企業在公有雲管理主控臺、命令列與各種系統服務當中，建立僅限於當下（Just-in-Time，JIT）、開放最低權限（least privilege）的存取方式，落實零信任的防護概念，以此降低DevOps與雲端維運團隊在高權限狀態下的連線過程風險（一旦這些人員的特權存取遭駭，仍能減少因此造成的傷害）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Impact22-SCA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Impact22-SCA.jpg" style="width: 600px;" /></a></p> <p>CyberArk表示，有了這套解決方案，高權限連線階段的建立，只會根據工作任務本身需要的許可來進行，能夠預防瀏覽器遭到綁架，並且提供操作過程畫面的錄影存證，以協助後續的稽核與法規遵循的查驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA-Recording.jpg" style="width: 600px;" /></p> <p>到了今年5月，SCA正式上線，月初CyberArk公告兩大特色，一是可針對終端使用者提供隨選存取（On-demand access），能在針對每天存取服務、套用常規存取政策的使用者之餘，也能涵蓋到意外或需要立即處理的重大問題等偶發狀況——這類使用者可提出在特定期間存取某個工作區的請求，經過批准之後再開放，能讓企業與組織減少過度授權所導致的非必要暴露，並且能僅根據實際需要來批准許可的限量擴增。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA%20Policy.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA Access Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA%20Access%20Policy.jpg" style="width: 600px;" /></a> </p> <p>另一是支援Azure AD，SCA針對微軟Azure AD角色，提供僅限當下的存取與提升的權限，可藉此改善資安態勢，並透過給予最低權限，以及運用SCA政策管制每天作業用到的Azure AD角色、提供隨選存取等方式，以減少風險。對於雲端安全管理者而言，能夠就租戶的層級來批准這類臨時存取的請求，而對於使用者而言，可依據這樣的方式經由Azure管理入口或Azure CLI命令列介面，存取Azure雲端環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-5.jpg" style="width: 298px;" /></a></p> <p>而在5月底的年度用戶大會上，CyberArk強調SCA可協助企業與組織達到零常設存取的權限配置（Zero Standing Privileges），因為這套解決方案能建立僅限當下、授予最低權限的公有雲服務存取方式，未來將支援聚焦在身分的組態設定錯誤政策遵循度偵測，協助雲端安全團隊掌握多雲環境的能見度與前後脈絡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-Standing.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-Pri-JIT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-JIT.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-Pri-Least.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-Least.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-Pri-Zero Standing.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-Pri-Zero%20Standing.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-2.jpg" style="width: 298px;" /></a></p> <p>後續SCA也持續更新功能與服務，例如，8月能夠整合三大公有雲業者的身分識別供應機制（IdP），讓用戶繼續運用這些既有的身分管理體系，結合SCA的防護技術、到雲端服務的管理主控臺強制實施零常設的特權存取管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA Role Details.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA%20Role%20Details.jpg" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA-Create a recurrung Access Polciy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA-Create%20a%20recurrung%20Access%20Polciy.jpg" style="width: 600px;" /></a></p> <p>10月則是總結SCA近期新增的5大功能。首先，SCA能在多雲環境當中，偵測身分存取管理系統（IAM）的組態設定錯誤風險；第二，針對高風險的雲端服務存取，SCA新設置基於前後脈絡、支援自動批准許可的工作流程，CyberArk自認他們是第一家提供這類功能的身分安全廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA_20workflow_20diagram-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA_20workflow_20diagram-WEB.jpg" style="width: 600px;" /></a></p> <p>用戶可透過CyberArk平臺提供的無程式碼（no-code）身分調度指揮機制，輕鬆自定流程內容，以符合資安治理的目標；當中也能緊密整合IT服務管理（ITSM）與ChatOps的工具，以便進一步提升工程師的採用意願，而雲端服務團隊若遇上系統停擺的狀態，對於處理時間相當敏感的存取請求，同樣可依此快速、安全地進行批准。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CyberArk Cloud Privilege Security-SCA-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyberArk%20Cloud%20Privilege%20Security-SCA-4.jpg" style="width: 600px;" /></a></p> <p>第三，對於系統管理權限的降級，SCA可提供額外的支援，例如，可根據團隊或部門的層級來許可。此處特別整合了CyberArk Vendor Privileged Access Manager，允許第三方廠商也能安全存取雲端服務，實現零常設特權的防護作法。</p> <p>第四，擴充可臨時存取的公有雲類型，SCA支援Google Cloud短期存在的基礎架構工作負載，以此涵蓋多雲的部署需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-05-CyberArk SCA Access Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-05-CyberArk%20SCA%20Access%20Policy.jpg" style="width: 600px;" /></a></p> <p>第五，增加更多區域資料中心的涵蓋範圍，SCA除了原本僅針對美國（維吉尼亞）設置資料中心服務，之後已陸續增加澳洲、英國與愛爾蘭（8月底）、加拿大（9月底）、德國法蘭克福與中歐地區（10月初）、印度等國家的資料中心，以因應當地的雲服務存取控管需求，</p> <p>到了12月初，CyberArk也宣告SCA在新加坡設置資料中心，就近服務亞太地區的市場需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCA_20architecture-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCA_20architecture-WEB.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>CyberArk Secure Cloud Access</strong><br /> ●原廠：CyberArk<br /> ●建議售價：廠商未提供<br /> ●解決方案供應形式：SaaS雲端服務<br /> ●所屬平臺：CyberArk Identity Security Platform<br /> ●可進行協同合作的服務：Cloud Entitlements Manager、Identity Flows、Secure Web Sessions<br /> ●共用服務：Identity Administration、Audit<br /> ●控管架構：無代理程式、雲端原生<br /> ●整合第三方身分識別提供者：AWS、微軟Azure、Google Cloud</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/13 12:04作者李宗翰https://www.ithome.com.tw/review/160282
【資安月報】2023年11月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年11月的資安新聞，最讓我們印象深刻的就是，看到防詐議題逐漸升格成為需要獨立看待的威脅。</p> <p>更關鍵的是，從2019年我們報導深度偽冒Deepfake與AI語音技術門檻降低的情形，現在2023年，許多專家已開始呼籲與提醒，真偽難辨的AI詐騙已是現在進行式。</p> <p>近期我們注意到有兩大事件，都與這方面的議題相關，包括：</p> <p>（一）11月下旬，第一屆亞洲防詐高峰會（ASAS）在臺舉行，不僅公布了亞洲10國最常見的詐騙場景，第一嚴重是「身分盜用（含個資盜用/盜刷）」，其次是「購物詐騙」，第三為「投資詐騙」，現場多位專家更是指出，AI詐騙時代已來臨，不肖份子已將文字轉語音、以及一些Deepfake技術用於詐騙，因此，個人與企業的防詐態度也必須調整。</p> <p>（二）<a href="https://services.google.com/fh/files/misc/google-cloud-cybersecurity-forecast-2024.pdf">Google Cloud在11月9日，發布2024年網路安全預測報告</a>，當中一項預測就是指出，隨著惡意生成式AI興起，如FraudGPT和WormGPT等，將使網釣內容更逼真，減少過去拼寫或語法錯誤的問題，或是缺乏文化背景的情況。甚至虛假內容的深度偽造照片與影片，將延伸至主流新聞平臺，降低公眾資訊的信任，未來，企業或政府要與其受眾進行交流，可能會變得越來越困難。其實還有多家資安業者都在2024年度資安預測中，提及這方面的議題。</p> <h3><strong>近期資安業者揭露2023年中國駭客網路攻擊的社交工程新樣態</strong></h3> <p>回顧過去十多年，不只是臺灣社會新聞，有非常多的網路詐騙案件報導，在國際間，像是美國FBI旗下網路犯罪投訴中心（IC3）每年也會公布各類詐騙案件與損失金額，尤其是商業電子郵件詐騙，因其詐騙金額之高，企業頻頻受害，屢屢登上資安新聞版面。</p> <p>在許多網釣攻擊事件中，很多也包含了與身分冒用、社交工程有關的詐騙伎倆。事實上，社交工程就是利用人類心理與人際關係的攻擊手法，會運用欺騙或誘導的伎倆。</p> <p>以針對企業組織人員的社交工程手法而言，近期我們也得知，現在的網釣行動，正採用更多一般詐騙會慣用的伎倆。12月1日我們參加安碁資訊的活動時，看到他們介紹了2023年看到的社交工程新攻擊樣態，當中說明了兩起中國駭客組織BlackTech的攻擊手法。</p> <p>第一起事件，其釣魚郵件的名義是假借活動邀請，並在郵件中提供惡意超連結，若使用者不上當，則會再次發信提醒受害者參加。簡單來說，攻擊者是透過日常溝通方式，設法降低人員的戒心。</p> <p>第二起事件，則是攻擊者偽裝成一般民眾，先發送正常的內容至民眾服務信箱，詢問政府相關法規事宜，以降低政府人員警覺，並取得信任，等政府人員回覆後，攻擊者再接續詢問，但此時會在郵件中夾帶惡意連結。</p> <p>這樣的手法，其實跟往年常見的愛情詐騙的過程十分相似，邏輯幾乎相同，一開始先正常交友對話，後面才用其他藉口，來達到其騙錢的意圖，而這裡的目的則是要騙使用者去點擊惡意連結。</p> <p>可惜的是，一般民眾對於上述這類消息仍然相當陌生。</p> <p>即便是對於民眾的詐騙手法，到了2023年，有些民眾也是知之甚少。</p> <p>以解除分期詐騙來說，過去七八年來，警方一再公布這類詐騙手法，駭客會假冒電商或品牌客服人員來電，再假冒金融業者客服來電，不只是新聞報導，還有許多接到詐騙的民眾在網路上分享自身經驗，指出對方知道自己的購物內容，疑似電商發生資料外洩。</p> <p>但是，有些民眾仍只知道詐騙很多，並不太關心這方面問題。像是最近有受害民眾在網路上分享受害經驗，他表示自己接到電話時，認為應該是詐騙，但等到對方客服跟他確認個人資料與訂單資料後，他又相信了對方，因此聽從對方而造成金錢受騙。</p> <p>這也意味著，該民眾之前可能沒有深入了解這些警方呼籲的內容，以及新聞或網友分享的這方面的內容，因此不太知道實際網路威脅現況，例如，詐騙者知道你的訂單記錄與個資已是常態，對方會雙重假冒客服及銀行人員，ATM不提供取消分期功能，種種資訊落差造成受害者無法了解為何要再透過第二管道確認。</p> <p>他們更沒想過的是：這些詐騙都是濫用合法管道去散布，我們與他人用一些常見的管道溝通，詐騙集團也會用同樣管道、假冒名義來跟你溝通。</p> <h3><strong>國際間已有AI詐騙實例，臺灣民眾防詐觀念必須轉變</strong></h3> <p>更重要的是，面對AI詐騙的新興威脅，全球也在設法應對，並示警這類威脅已經實際發生。</p> <p>例如，今年<a href="https://www.ftc.gov/news-events/news/press-releases/2023/11/ftc-announces-exploratory-challenge-prevent-harms-ai-enabled-voice-cloning">11月16日，美國聯邦貿易委員會（FTC）宣布舉辦一項挑戰賽，目的是防止AI語音複製的危害</a>，當中提到他們今年曾示警，詐騙者正將AI技術用於親人緊急詐騙。</p> <p>FTC指出，這些AI詐騙，可能使詐騙者更容易冒充家人、朋友或企業主管。因此，聲音也將變得不能相信。最好的方式就是查證與核實情況，從自己知道的號碼回撥，或透過其他家庭成員朋友幫助聯繫，透過第二管道來確認。此外，之前不少執法單位與資安界人士也表示，雙方可能要擁有彼此之間的通關密語，透過更多方式來確認。</p> <p>值得我們警惕的是，國際間已經開始有此狀況，臺灣雖然少有聽聞，但民眾應該先要知道這件事。</p> <p><span style="color:#0066ff;"><strong>過去可能大家會注意，文字式的即時通訊，網路另一端可能不是真正的對方，除非我們看得到影像、聽得到聲音，才相信是對方是真正的對方。</strong></span></p> <p><span style="color:#0066ff;"><strong>但是現在，在AI詐騙興起之下，首先要扭轉的觀念就是，即便看到對方影像、聽到對方聲音，都沒有問題，但是，現在不只要想到對方是否可能被要脅，也要預先設想對方是否並非本人，特別是當對方說出異於平時的要求時。</strong></span></p> <p>企業更要擔心的是，過去帶來極大損失的商業電子郵件詐騙（BEC），若是也在AI詐騙加持之下，假冒自家老闆來電或視訊，通知財務人員匯款至另一帳戶，將可能使BEC詐騙問題變得更嚴重。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/159646"><span style="color: rgb(178, 34, 34);">【資安週報】2023年10月30日到11月3日</span></a></strong></h2> <p>在這一週漏洞利用消息中，有兩個新揭露的已知漏洞隨即遭攻擊者鎖定的消息，持續提醒企業及時修補的重要性。</p> <p>（一）Apache軟體基金會的訊息導向中介軟體ActiveMQ，在10月25日釋出新版修補CVSS風險高達10分的漏洞CVE-2023-46604。相隔兩日，資安業者發現勒索軟體HelloKitty的駭客開始鎖定此一已知漏洞，針對尚未修補該漏洞的企業發起攻擊行動。<br /> （二）F5在10月27日針對應用程式交付平臺BIG-IP修補兩個漏洞，分別是CVE-2023-46747與CVE-2023-46748，到了10月30日，F5更新公告指出，修補釋出後發現開始有攻擊者在攻擊行動中利用這兩個已知漏洞。</p> <p>其他重要漏洞修補消息中，包括適用於K8s環境的Nginx Ingress控制器有多個漏洞修補，以及Atlassian針對DevOps協作平臺Confluence的重大漏洞修補，已有研究人員與業者示警應盡速修補。</p> <p>在資安防禦進展上，本週我們關注到有多個焦點，統整為以下五大範疇：漏洞評分標準、攻擊手法解析、勒索軟體防範、AI安全法規推動，以及科技大廠宣布調整資安應對策略。<br /> ●FIRST推出新版漏洞風險評分系統CVSS 4.0：這是2019年6月CVSS 3.1版推出後的重大改版，新版分數呈現上不只有列出基本分數的CVSS-B，還加上威脅評分的CVSS-BT、加上環境評分的CVSS-BE，以及統合3種分數的CVSS-BTE。<br /> ●MITRE發布第14版ATT&CK：當中指出隨著攻擊者不斷發展對人性弱點（human vulnerabilities）的利用，因此這次版本擴大到這類非技術攻擊面，例如：T1657的金融竊盜、T1656的模擬冒充、T1598.004的魚叉式網路釣魚語音。<br /> ●AI安全持續受全球政府關切：10月30日美國總統拜登簽署首個AI行政命令，11月1日英國號召的首屆AI安全高峰會（AI Safety Summit）舉行，多國簽署布萊切利宣言，並就人工智慧最前線（Frontier AI）所帶來的機會與風險達成共識。<br /> ●對抗勒索軟體威脅仰賴全球合作：美國主導的國際反勒索軟體高峰會（CRI）今年邁入第3屆，制訂首個CRI聯合政策聲明，成員數目亦達到50個，新增國際刑警組織，以及埃及、希臘、約旦等12國。<br /> ●面對持續升溫的網路威脅，微軟宣布即日起將採新應對措施：該公司提出Secure Future Initiative（SFI）的未來安全倡議，將從三大方面著手，發展基於AI的安全防禦、落實安全軟體開發，以及呼籲制定更全面性的國際資安規範。</p> <p>在威脅事件焦點方面，近日有兩起受關注，一是航空製造業龍頭波音證實遭遇網路攻擊，導致零件配送網站服務中斷，另一是身分驗證解決方案業者Okta再傳資料外洩，起因為第三方供應商遭駭。</p> <p>我們也特別注意到一個新的威脅態勢，近期有資安業者揭露網路犯罪供應鏈的分工是越來越細緻，不只是前幾年常提到的「初始入侵管道掮客（Initial Access Broker）」，就連攻擊者使用的短網址也有專門供應商服務，並指出這樣的組織至少已存在4年之久，註冊上萬網域來提供攻擊行動的短網址服務。</p> <p>另一個無法忽略的狀況是，今年早先發生的資安事件，至今仍持續有相關消息傳出，顯示後續影響仍大。例如，近期有多家業者傳出的資安事件，起因公布是先前MOVEit Transfer零時差漏洞攻擊所導致；有加密貨幣竊盜事故，研究人員指出起因疑與先前密碼管理解決方案LastPass資料外洩有關；此外，針對2020年SolarWinds供應鏈攻擊事故，美國證券交易委員指控該公司蓄意隱瞞。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159285"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月6日到11月10日</span></a></strong></h2> <p>在這一週漏洞利用消息中，今年5月曾發動MOVEit Transfer零時差漏洞攻擊的駭客組織，近期有了新的目標，成為最大關注焦點，還有兩個已知漏洞遭攻擊者鎖定利用的情形也必須留意。</p> <p>（一）IT服務管理軟體供應商SysAid在11月8日修補已遭利用的零時差漏洞CVE-2023-47246，並說明微軟威脅情報團隊已確定幕後攻擊者是勒索軟體駭客組織Lace Tempest（亦稱Clop、TA505），由於該組織在今年5月底曾發動MOVEit Transfer零時差漏洞攻擊，因此格外引發關注。目前，已陸續有資安業者說明，在10月30日、11月2日就發現該漏洞被利用於攻擊行動的跡象。<br /> （二）Atlassian在10月31日修補旗下DevOps協作平臺Confluence重大漏洞CVE-2023-22518，有資安業者發現11月5日該漏洞正開始被用於攻擊行動，並造成Confluence伺服器感染勒索軟體Cerber。<br /> （三）我們新發現這一周資安日報未提及的漏洞利用消息，是關於今年4月底資安業者揭露服務定位協定（Service Location Protocol，SLP）的高風險漏洞CVE-2023-29552，當時指出駭客可藉此漏洞發動DoS攻擊，並警告存在此漏洞的裝置種類與數量都多，包括許多美國財富1000強的企業，在最近11月8日，該漏洞發現被攻擊者實際利用於攻擊行動。</p> <p>本周其他重要的漏洞修補消息方面，包括：威聯通修補旗下NAS作業系統2個重大漏洞，Veeam針對旗下IT監控解決方案Veeam ONE修補兩個重大漏洞。此外，ZDI本周公開4個Exchange零時差漏洞，呼籲用戶採取緩解，並說明9月已通報微軟，微軟則說明其中之一在8月已修補，其餘則評估沒有立即修補必要。</p> <p>在威脅事件焦點方面，我們看到持續有不同產業遭遇資安事件的情形，例如：<br /> ●雲端SIEM平臺業者Sumo Logic公告資安事故，察覺自家使用的雲端服務遭駭。<br /> ●跨國聯鎖五金零售業者Ace Hardware公告發生資安事故，大部分的IT系統皆面臨中斷或暫停運作的情況。<br /> ●樂高市集BrickLink遭網路攻擊，有少部分帳號遭未經授權存取並被用來行騙。<br /> ●印度政府機關遭駭客組織SideCopy利用WinRAR漏洞攻擊被資安業者揭露<br /> ●柬埔寨政府遭中國駭客使用基礎設施偽裝成雲端備份服務的方式攻擊被資安業者揭露</p> <p>另一關注焦點在於，10月下旬Okta客戶支援系統遭駭，有了後續消息。該公司在11月初揭露調查結果，指出駭客存取的資料影響了134家客戶，並指出攻擊者利用Okta系統之間溝通的Service Account，執行攻擊行動，我們也特別注意到，Okta所公布的事件起因，值得企業警惕：他們認為這起事件可能與員工Google帳號遭駭有關，因為該員工曾在公司筆電上登入個人Google帳號，導致公司的服務帳戶帳密儲存到個人Google帳戶。</p> <p>在新興威脅態勢上，有惡意程式開發者宣稱，Google Calendar的事件描述可被轉換成C2加以濫用，這類隱密攻擊手法，引起資安界的討論與關注。其他一些惡意活動被揭露的消息，也不容輕忽，包括：透過PyPI套件散布惡意軟體BlazeStealer的情形，透過企業臉書帳號發布惡意廣告散布NodeStealer竊資，透過WordPress網站下達攻擊命令的惡意程式GootLoader變種，以及名為Socks5Systemz的代理伺服器殭屍網路被揭露等。</p> <h2><strong><a href="https://www.ithome.com.tw/news/159907"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月13日到11月17日</span></a></strong></h2> <p>在這一星期有微軟、SAP等每月例行安全更新修補釋出需要注意，特別要關切的是，當中包含5個零時差漏洞修補，同時還有更多已知漏洞遭利用的情形，我們持續提醒企業修補要及時，別成為受害者。</p> <p>（一）有3個已遭利用零時差漏洞，以及2個細節已公開的零時差漏洞。狀態如下：<br /> 微軟發布11月例行更新，修補63個漏洞中，有5個零時差漏洞，其中3個修補發布時已遭鎖定利用，包括：位於桌面視窗管理員（DWM）核心程式庫的漏洞CVE-2023-36033，涉及Windows SmartScreen安全功能繞過的漏洞CVE-2023-36025，檔案系統驅動程式CldFlt的漏洞CVE-2023-36036，另2個零時差漏洞相關細節已被公開，幸好修補釋出前沒有被利用的消息。</p> <p>（二）有多個已知漏洞，近期確認有遭攻擊者利用的消息，是我們整理這星期內容時新發現、資安日報尚未提及，在此補上。<br /> ●微軟上個月10月修補涉及MOTW安全功能繞過的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36584">CVE-2023-36584</a><br /> ●Juniper今年9月修補EX、SRX產品的5個可串聯漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36844">CVE-2023-36844</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36845">CVE-2023-36845</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36846">CVE-2023-36846</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36847">CVE-2023-36847</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-36851">CVE-2023-36851</a><br /> ●Sophos今年4月修補上網安全閘道系統Web Appliance漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-1671">CVE-2023-1671</a><br /> ●甲骨文在2020年修補Oracle Fusion Middleware的漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-14750">CVE-2020-14750</a></p> <p>在國內，有兩大事件成為焦點，都與上市公司有關。首先，是化工業上市公司<a href="https://s4.itho.me/sites/default/files/images/2023-11-17_104822.jpg">「中華化」在11月12日發布資安事件重大訊息</a>，說明在11日發生部份資訊系統遭受駭客網路攻擊的情況：另一起事件雖是常見的臉書粉專被盜，本週iThome資安日報未報導，因受害的泰山企業是上市櫃公司並涉及對方要求付錢贖回粉專的勒索行為，也引起大眾關注——<a href="https://s4.itho.me/sites/default/files/images/%E6%B3%B0%E5%B1%B1%E7%B2%89%E5%B0%88%E8%A2%AB%E7%9B%9C.jpg">16日下午5點半，我們得知上市食品工業泰山的臉書粉專在一小時前被盜用的消息</a>，劫持粉專者將粉專名稱改為2607，並公開張貼一則訊息：「給我錢，我會返回頁面」，當日晚間10點<a href="https://s4.itho.me/sites/default/files/images/2023-11-17_104951.jpg">泰山也發重大訊息針對媒體報導說明</a>。</p> <p>在資安威脅與事件方面，我們認為有下列5起事件值得留意：<br /> ●物流業者杜拜環球港務集團（DP World）近日遭網路攻擊，並導致澳洲多個港口運作受到衝擊，迫使該公司暫停營運三天，特別的是，研究人員指出，除了DP World，近期還有中國工商銀行美國子公司等多起事件，原因都是未修補已知Citrix Bleed漏洞導致。（該漏洞10月10日揭露與修補，10月18日已警告有攻擊者鎖定利用情形）<br /> ●駭客行徑更為囂張，惡人先告狀！像是勒索軟體集團AlphV發動攻擊後，近期公開表示他們到美國證交所（SEC）網站填寫資料，聲稱已舉報受害公司並未依規定揭露遭到網路攻擊。<br /> ●日本數位廳提出警告，表示有攻擊者假借入境通關線上表單Visit Japan Web名義的App。由於疫情後國內前往日本旅遊暴增，務必防範此事發生。<br /> ●丹麥關鍵基礎設施今年5月遭遇俄羅斯駭客大規模攻擊，當地SektorCERT揭露，起因是當地多家經營能源關鍵基礎設施業者的資安工作未落實，因為他們所用的兆勤科技（Zyxel）防火牆有漏洞，廠商在4月底已公告相關消息，這些業者卻遲遲未修補而遭駭。<br /> ●勒索軟體Hive疑似重起爐灶，改名Hunters International，特別的是，本期日報未提及的是，近日<a href="https://twitter.com/FalconFeedsio/status/1724046526870331569">傳出Hunters International將國內上櫃生技醫療業「大江」列為受害者</a>的消息。</p> <p>其他最新網路威脅動向，我們認為可留意下列消息，包括：Docker容器環境遭殭屍網路OracleIV鎖定的情形，MySQL伺服器遭中國殭屍網路Ddostf攻擊行動鎖定，以及惡意軟體Ducktail近期將危害目標是時尚產業。</p> <h2><strong><a href="https://www.ithome.com.tw/news/160012"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月20日到11月24日</span></a></strong></h2> <p>在這一星期的漏洞消息中，有兩大漏洞修補需重視，包括江森自控修補旗下工業冷凍系統重大漏洞、Fortinet修補旗下FortiSIEM重大漏洞，此外，還有視訊監控影像錄製設備（NVR）與路由器被駭客發現新零時差漏洞、並利用於散布Mirai變種病毒JenX的嚴重威脅，目前揭露此事的Akamai先示警並通知相關製造商，預計12月有新版修補釋出。</p> <p>另外，10月初我們曾報導GNU C函式庫緩衝區溢位漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-4911">CVE-2023-4911</a>（Looney Tunables），近日發現攻擊者開始利用這個已知漏洞的跡象，這星期資安日報新聞尚未提及，我們在此補上。</p> <p>國內方面，有多起資安事件成為焦點，都與上市櫃公司有關，我們整理如下：<br /> （一）首度出現一日內兩起資安事件重訊：在11月20日，旅遊業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231240_%E9%9B%84%E7%8D%85.jpg">雄獅</a>」與塑膠工業「<a href="https://s4.itho.me/sites/default/files/images/2023-11-20_231222_%E4%B8%AD%E7%9F%B3%E5%8C%96.jpg">中石化</a>」先後發布資安事件重大訊息，說明遭受駭客網路攻擊事件。其中雄獅提及提醒旅客反詐騙警語，可能有顧客資料外洩情事發生，並是該公司是這兩年來第二次公告遭駭，中石化的揭露相當有限，對於企業與組織聯防，無法提供具體有用的情報。<br /> （二）<a href="https://s4.itho.me/sites/default/files/images/2023-11-27_131341_%E5%A4%A7%E6%B1%9F.jpg">大江生醫發布資安事件重大訊息，證實資訊系統遭受網路攻擊</a>：上期資安週報於20日發布之際，我們率先報導了生技業「大江」疑似傳出在15日被Hunters International勒索軟體組織列為受害者的消息，其他媒體22日跟進報導這項消息，我們也再去電詢問大江仍未獲得回應，直到11月24日（週五傍晚）為止，大江終於公告他們遭受網路攻擊事件。<br /> （三）訊連科技被微軟揭露遭駭，北韓駭客Lazarus對這家公司發動供應鏈攻擊，他們的Promeo產品新用戶遭鎖定：此事曝光的同一天，訊連在網站發布公告，說明其產品「Promeo」的安裝程式中發現惡意軟體，他們已經移除問題，後續並將更新軟體安全憑證。<br /> 此外，這一星期國內還有中心綜合醫院傳出掛號系統無法使用、預約資料消失，疑遭網路攻擊的消息，以及司法院針對判決資料外洩事故做出新的說明。</p> <p>在資安威脅與事件方面，勒索軟體的威脅與動向最值得關注，有4項消息揭露，我們整理如下：<br /> ●對於Rhysida勒索軟體的危害，美國CISA、FBI與MS-ISAC聯合發布警告，說明其攻擊主要鎖定教育、醫療、製造、資訊業與政府部門。這份公開消息揭露該勒索軟體採用的TTP與IoC，供企業了解其攻擊策略與手法，以及各種緩解措施。<br /> ●關於勒索軟體BlackCat的新動向，有資安業者指出近期新手段是在Google刊出廣告，假借提供知名的應用程式（如Advanced IP Scanner、Slack、WinSCP），引誘網路使用者連至釣魚網站，下載被植入惡意程式Nitrogen的軟體。<br /> ●勒索軟體Phobos再度出沒，資安研究人員揭露近期出現他們鎖定資安社群VX-Underground的情形。<br /> ●勒索軟體駭客組織Play威脅恐加劇，近日有資安人員揭露該組織打出將其工具提供出租的旗號，欲吸引更多打手加入的狀況。</p> <p>在新興攻擊手法與其他重要威脅態勢方面，我們認為竊資軟體Lumma的新手法，利用壓縮檔發動攻擊的現況，最值得留意。<br /> ●竊資軟體Lumma為了規避偵測，利用測量滑鼠軌跡來識別真人操作，才執行該竊資軟體；另一資安研究人員更是揭露，Lumma開發者聲稱能復原Google帳號的連線階段，挾持受害者帳號。<br /> ●關於利用壓縮檔散布惡意的態勢需要留意，本週有三起相關事件，首先是大使館人員要注意，俄羅斯駭客APT29鎖定歐洲多國大使館網攻，發動WinRAR漏洞攻擊，接著是加密貨幣用戶要注意，駭客組織DarkCasino針對這些用戶利用WinRAR漏洞發動攻擊，還有竊資軟體Agent Tesla新利用ZPAQ格式，將1 GB的大型檔案縮為僅有6 KB的壓縮檔，可能是要規避防毒掃描。<br /> ●Python開發人員也要注意，有資安業者揭露近半年有駭客上架了模仿知名套件的27個PyPI套件，同時還會利用PNG圖檔埋藏攻擊意圖。</p> <p>最後，還有兩個國家級駭客攻擊動向的揭露，值得警惕，包括：中國駭客組織Mustang Panda鎖定東南亞國家軍事單位下手，駭客假借提供Solid PDF Creator、印尼防毒軟體Smadav的名義，藉由這些應用程式來側載惡意軟體；以及俄羅斯駭客Gamaredon鎖定烏克蘭組織，散布USB蠕蟲LitterDrifter。</p> <h2><strong><a href="https://www.ithome.com.tw/news/160142"><span style="color: rgb(178, 34, 34);">【資安週報】2023年11月27日到12月01日</span></a></strong></h2> <p>在這一星期的漏洞消息中，有4起漏洞利用情況須優先關注，其中以Google修補瀏覽器漏洞的影響需要特別重視：</p> <p>（一）Google在28日修補已遭利用的Chrome瀏覽器零時差漏洞CVE-2023-6345，值得關注的是，該漏洞存在於Skia繪圖引擎，又是涉及底層，因此可能影響範圍還包括了Android、ChromeOS、Firefox OS、Firefox/Thunderbird、Flutter、Avalonia及LibreOffice等。<br /> （二）蘋果在30日修補兩個已遭到攻擊的零時差漏洞，分別是CVE-2023-42916、CVE-2023-42917），由於這些漏洞是Google威脅分析團隊（TAG）通報，且Google前兩日才修補Chrome零時差漏洞，這些漏洞是否可能同一起攻擊活動所利用，有待後續更多消息揭露。<br /> （三）檔案共享平臺ownCloud在11月21日修補3個重大漏洞，其中CVSS滿分的漏洞CVE-2023-49103，本身並不複雜，修補發布後已快速遭攻擊者用於攻擊行動，用戶需盡速進行緩解或補強。<br /> （四）資料分析系統Qlik Sense有3個已知重大漏洞（CVE-2023-41266、CVE-2023-41265和CVE-2023-48365）被用於攻擊行動，駭客鎖定這些漏洞進而發動勒索軟體Cactus攻擊。</p> <p>其他可留意的漏洞消息，包括：兆勤修補旗下NAS設備的6個重大漏洞，以及AI框架Ray被揭露存在重大漏洞，但開發商Anyscale目前未有修補打算。</p> <p>在國內，有兩大事件成為焦點，都與上市公司有關，首先是上海商銀發生1.4萬客戶資料外洩事件，由於事件發生後竟缺乏相關資訊可追查，成為金管會開罰重點，依據銀行法開罰1千萬元；關於中石化在11月中旬發布資安事件重大訊息，說明遭受駭客網路攻擊事件，近期有後續消息傳出，疑為勒索軟體駭客組織BlackCat所為，該組織聲稱取得41.9 GB資料。</p> <p>另一起事件也與臺灣有關，是即時通訊軟體Line的母公司發布資安通告，說明發生44萬用戶、合作夥伴、員工個資恐外洩事件，而當中有100筆資料屬於臺灣用戶，而目前Line已說明初步調查結果，是承包商員工的電腦感染惡意軟體。</p> <p>在資安威脅與事件方面，我們認為有下列4起事件值得留意：</p> <p>●先前10月身分驗證管理業者Okta資料外洩事故有新的調查結果，該公司指出所有曾經存取客戶支援系統的用戶都受波及，影響範圍比之前公布的更大。<br /> ●荷蘭半導體業者恩智浦（NXP）驚傳前幾年遭駭，當地新聞媒體NRC報導指出，中國駭客組織Chimera自2017年到2020年初滲透該公司網路環境，並竊得與晶片設計相關的智慧財產。而臺灣資安業者奧義智慧之前也曾揭露，臺灣在2018年及2019年至少7家半導體業者曾遭到中國駭客集團Group Chimera鎖定。<br /> ●北韓駭客發動供應鏈攻擊的事件，英國NCSC與韓國NIS提出警告，駭客先挖掘出韓國資安業者Dream Security開發的身分驗證系統MagicLine4NX的零時差漏洞，作為攻擊跳板，再利用另一連網系統的零時差漏洞來入侵特定目標。韓國資安業者AhnLab指出，這起事件是駭客組織Lazarus所為。<br /> ●財星500大企業中有數百個曝露了Kubernetes機敏資料，揭露此事的資安業者指出，他們主要針對dockercfg、dockerconfigjson這兩種類型的機敏資料進行調查所發現。</p> <p>此外，我們還看到，近日國際間持續有多家大型業者遭遇網路攻擊的消息，受害企業與組織遍及研究單位、醫療、關鍵CI等領域，包括：日本航太研究機構JAXA的AD伺服器遭非法存取，美國醫療保健業者Henry Schein傳出遭遇勒索軟體BlackCat攻擊，以及美國賓州自來水公司的工業控制系統傳出遭駭客劫持，斯洛維尼亞大型能源供應商HSE遭遇勒索軟體攻擊等。還有駭客聲稱竊取了奇異（General Electric）的資料，當中並包含大量美國DARPA的軍事資料。</p> <p>關於資安防護進展方面，有一項消息值得AI系統開發人員注意——英國NCSC與美國CISA在11月26日共同發布全球首份「安全AI系統開發指南」，當中將AI系統開發生命周期分四大階段，包括：安全設計、安全開發、安全部署及安全維運，主要提供AI系統開發的必要建議，確保每個階段都讓開發者有適當的安全措施可遵循。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157226">2023年5月資安月報</a></h3> <p> </p> </div></div></div>
2023/12/13 11:15作者羅正漢https://www.ithome.com.tw/news/160289
MIT調查揭露資料洩漏事件以驚人速度增加又創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple委託MIT研究人員，針對個人資料洩漏狀況進行<a href="https://www.apple.com/newsroom/pdfs/The-Continued-Threat-to-Personal-Data-Key-Factors-Behind-the-2023-Increase.pdf">研究</a>，發現資料洩漏的事件正在急速增加。從2013年到2022年，資料外洩的事件數量成長到了3倍，而且光過去兩年，就有26億條個人資料紀錄遭洩漏。這份報告的結論強調，組織需要重新思考所收集的未加密資料量，並採用諸如端到端加密這類資料保護措施，來應對日益嚴重的個人資料威脅。</p> <p>以美國組織為例，資料洩漏現在正處於歷史高峰，截至2023年9月的紀錄，在美國所發生的資料洩漏事件，就比2022年一整年還要多出20％，而世界各地的組織也面臨類似的趨勢。這類攻擊的影響也越來越大，因為企業、政府和各類型的組織收集更多的個人資料，而網路犯罪者在竊取這些私密資料後，能夠被利用甚至出售以獲取鉅額利潤。</p> <p>報告指出，個資威脅增加有主要兩個原因，第一是勒索軟體攻擊增加且危險性提高，勒索軟體攻擊的數量和複雜性已與過去不同，網路犯罪者更有組織，經常以團隊的形式行動，並且鎖定擁有敏感資料的組織，諸如政府、大眾市場基因檢測公司或是醫療機構。過去網路犯罪者會加密公司資料，直到公司付款為止，但現在網路犯罪者有更高的機率洩漏企業和消費者資料。</p> <p>此外，研究人員也發現針對供應商的攻擊增加，網路犯罪者會利用供應商的漏洞，來攻擊相依於這些供應商的組織。在當前組織間高度相連的現況，幾乎所有組織都相依於各種供應商和軟體，這樣的相依性使得網路犯罪者，只需要利用第三方軟體或是供應商系統中的漏洞，就能存取其他組織的資料。報告顯示，高達98％的組織在過去兩年內，與經歷過資料洩漏的供應商有業務來往。</p> <p>雖然組織也投入資源，防範網路犯罪者的入侵，但是只要組織不斷收集大量未加密的個人資料，則網路犯罪者便會不斷尋找新方法取得這些資料，使得個人資料被竊取、濫用和暴露的風險持續存在。資料洩漏不僅會傷害個人隱私，還可能對受害者造成重大的現實後果，像是財務損失、身分被盜用等。</p> <p>對組織來說，確保個人資料安全成為非常重要的工作，但即便如此，在當前網路犯罪者攻擊更加複雜和創新的現況，供應商系統中一個漏洞，就可能使數百甚至數千組織還有其用戶面臨風險。</p> <p>研究人員指出，組織的安全性取決於其最不安全的環節。而在這種形勢下，報告建議組織必須重新思考所收集的資料量，特別是限制未加密的資料量。而這是越來越多科技公司產品採用端到端加密保護客戶資料的原因，透過採用端到端加密方法，確保只有發送者和接受者可以存取和修改資料。</p> </div></div></div>
2023/12/13 08:32作者李建興https://www.ithome.com.tw/news/160293
VS Code 1.85添加浮動編輯器視窗新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟最新推出<a href="https://code.visualstudio.com/updates/v1_85#_preview-features">VS Code 1.85</a>版本，加入了多項實用新功能，其中包括浮動編輯器視窗，開發者現在可以將編輯器拖曳到桌面，提高開發工作的方便性。此外，該版本還增強對擴充套件更新的控制，並且使開發者能以視覺化方式，查看JavaScript記憶體物件圖。GitHub Copilot也進行了更新，不只改進內嵌聊天的體驗，也增加對Rust程式碼解釋的能力。</p> <p>浮動編輯器視窗更新增加了開發的便利性，讓開發者能夠將編輯器拖曳出主視窗，形成獨立的輕量級視窗，如此開發者便可以將編輯器視窗分散到不同的顯示器或是桌面空間，透過善用螢幕空間進而提高程式開發效率，讓開發者能快速在多個編輯視窗間切換。而且因為終端機和搜尋結果也能夠以編輯器開啟，因此開發者也可以在獨立的視窗使用這些功能。</p> <p>VS Code 1.85的JavaScript除錯器加入視覺化V8堆快照（Heap Snapshot）功能，讓開發者可以更直覺地理解和分析JavaScript程式的記憶體使用情況。堆快照能夠在特定時刻，捕捉應用程式記憶體布局的完整副本，有助於開發者以視覺化的方式，檢測記憶體洩漏和最佳化記憶體使用（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/heap-snapshot.png" style="width: 580px;" /></p> <p>人工智慧程式開發助理GitHub Copilot在VS Code的使用更為便利，微軟改進了Copilot內嵌聊天使用者介面，聊天歷史紀錄現在能夠跨VS Code會話（Session）保留，也就是在開發者關閉VS Code並重新開啟VS Code之後，仍然可以看到內嵌聊天的提示歷史紀錄。</p> <p>此外，當用戶安裝像是rust-analyzer等Rust語言服務擴充套件，就能夠透過Copilot Chat解釋Rust程式碼。VS Code 1.85還提供更精細的擴充套件自動更新控制，允許用戶選擇想要進行自動更新的擴充套件。</p> <p>在預覽功能方面，樹狀檢視圖新增了黏性滾動（Sticky Scroll）功能，當專案樹等樹狀檢視圖的元素在滾動時，仍然可以維持可見狀態，開發者可以自行定義黏性顯示的元素數量，這將有助於改善檢視圖瀏覽體驗。另一個預覽功能則是多檔案差異編輯器，可供開發者簡單檢視本地、階段和拉取請求等各種變更，不過官方也提醒該功能尚未完善，還無法良好地處理所有情況。</p> </div></div></div>
2023/12/13 08:35作者李建興https://www.ithome.com.tw/news/160303
Mistral AI開源採用SMoE架構的Mixtral 8x7B模型，整體效能超越Llama 2 70B與GPT-3…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mistral AI發表了最新的<a href="http://mistral.ai/news/mixtral-of-experts/" target="_blank">Mixtral 8x7B</a><a href="https://mistral.ai/news/mixtral-of-experts/">模型</a>，這個模型是一個具有開放權重的稀疏混合專家模型（Sparse Mixture of Experts Model，SMoE），能夠處理32,000個Token上下文，大多數基準測試表現都優於Llama 2 70B（700億參數）和GPT 3.5模型，並採用Apache 2.0授權開源。</p> <p>Mixtral 8x7B屬於稀疏混合專家模型，而稀疏混合專家模型是一種深度學習架構，適合用於建置大型且高效的神經網路。專家系統是這類模型的重要概念，指的是網路中特定子模組或是子網路，每個專家都擅長處理特定類型的輸入資料或是任務。</p> <p>而稀疏混合專家模型中的稀疏性，則是指每次輸入僅會觸發一小部分專家，也就是說，並非每一個輸入都需要經過所有專家處理，因此可有效降低運算成本。稀疏混合專家模型中經過訓練的路由器，能夠根據輸入資料的特性，分配任務給最適合的專家，而在Mixtral 8x7B模型中，路由器會根據收到的任務決定2個最相關的專家，在2個專家各自處理完輸入後，專家輸出會被整合成最終的輸出。</p> <p>稀疏混合專家模型透過結合不同專家的知識和技能，以稀疏的方式處理資料，提高大型神經網路的效率和效能，在處理大量參數和資料的同時，將計算成本維持在合理範圍。</p> <p>Mixtral 8x7B模型總共擁有467億個參數，雖然總參數數量很大，但在處理每個Token時，模型只會選擇並使用其中的129億個參數，而這便是稀疏性的體現，Mixtral 8x7B模型並不會每次都啟動所有參數。而也因為模型每次只使用部分參數，使得處理速度和運算成本，相當於一個僅有129億個參數的模型。</p> <p>根據官方的資料，相比同為開源的Llama 2 70B模型，Mixtral 8x7B在多數基準測試表現更好，推理速度更是Llama 2 70B的6倍，而且Mixtral 8x7B在大多數標準基準測試中，表現也都與GPT3.5相當甚至超越。在幻覺（Hallucination）和偏見（Bias）方面，比起Llama 2，Mixtral表現更加真實，並且呈現較少的偏見。</p> <p>目前Mixtral 8x7B能夠處理英文、法文、義大利文、德文和西班牙文，其生成程式碼的能力很出色。Mixtral 8x7B經過微調後的指令跟隨模型Mixtral 8x7B Instruct，在MT-Bench獲得8.3分，成為目前最佳的開源指令跟隨模型，效能與GPT 3.5相當。</p> </div></div></div>
2023/12/13 08:16作者李建興https://www.ithome.com.tw/news/160291
內建2個100GbE，英特爾推出基於FPGA的IPU加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_fpga_ipu_f2000x-pl_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於基礎設施處理器（IPU）／資料處理器（DPU）這類技術應用，英特爾目前分為兩大產品線，一個是ASIC架構的解決方案，首款代號為Mount Evans的產品E2000於2022年10月登場，另一個則是FPGA搭配x86架構處理器的解決方案，代號為Oak Springs Canyon，英特爾定名為C6000X，在2022年之後則以F2000X取代。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Vision-2022-05-IPU-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Vision-2022-05-IPU-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-06-Intel IPU FPGA overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-Intel%20IPU%20FPGA%20overview.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-08-Oak%20Springs%20Canyon.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel IPU Roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20IPU%20Roadmap.jpg" style="width: 600px;" /></a></p> <p>若對照英特爾公開的FPGA產品型錄的22.2版與22.4版、23.1版，可看出C6000X-PL、F2000X-PL這兩個參考設計平臺的規格幾乎雷同。</p> <p><a href="https://s4.itho.me/sites/default/files/images/22_2 C6000X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/22_2%20C6000X.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/23_1-Intel IPU F2000X-PL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/23_1-Intel%20IPU%20F2000X-PL.jpg" style="width: 198px;" /></a></p> <p>在實際產品的供應上，今年2月，有一家可程式化網路卡供應商Napatech預告，將基於F2000X-PL平臺推出IPU產品，<a href="https://www.napatech.com/media/press-releases/napatech-leaps-into-market-for-data-center-infrastructure-processing-units/">到了9月，他們發表F2070X IPU</a>，英特爾也宣布第一款基於F2000X IPU的商用等級加速卡正式登場。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel FPGA overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20FPGA%20overview.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20IPU%20Portfolio-2023.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/F2000X_C5000X Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2000X_C5000X%20Comparison.jpg" style="width: 298px;" /></a></p> <p>這款產品支援200Gbps吞吐量，可改善雲端服務與網路應用系統環境的總體持有成本（TCO），Napatech強調是專為雲端、企業、電信等多種資料中心環境而設計，適用於混合雲、多雲，以及邊緣運算架構，能夠支援虛擬化（虛擬機器）、雲端原生（容器）、裸機，以及微服務型態的應用程式，預計今年第四季開放訂購。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F2070X IPU overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2070X%20IPU%20overview.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/F2070X-Top-Figure-863.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F2070X-Top-Figure-863.jpg" style="width: 298px;" /></a></p> <p>在硬體運算架構方面，F2070X IPU搭配系統單晶片（SoC）中央處理器Xeon D-1736（採用10奈米製程、Ice Lake微架構），以及Agilex 7系列FPGA晶片（採用10-nm SuperFin製程的F系列）；在記憶體組態上，均支援錯誤修正處理（ECC），系統單晶片（SoC）處理器搭配2個8GB的DDR4（72位元，2,900 MT/s），FPGA晶片搭配4個4GB的DDR4（40位元，2,666 MT/s）。至於I/O介面，無論是IPU的中央處理器到伺服器，或是中央處理器與FPGA之間，都是PCIe 4.0 x16，頻寬為16 Gbps。</p> <p>而所謂的200 Gbps，是指這款加速卡提供2個網路埠，可設置為10GbE、25GbE或100GbE。Napatech表示，他們可提供多種版本，搭配不同的系統單晶片處理器、FPGA晶片，以及記憶體規格，以支援標準型或大型伺服器的應用需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Napatech 200 Gb IPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech%20200%20Gb%20IPU.jpg" style="width: 600px;" /></a></p> <p>關於軟體應用方面，F2070X IPU能夠搭配Napatech開發的多功能軟體，例如：Link-Storage、Link-Security、Link-Virtualization，可透過網路介面，實現<a href="https://www.intel.com/content/www/us/en/products/docs/programmable/ipus-reduce-cpu-overhead-in-storage-workload.html">儲存（NVMe over TCP）</a>、資安（TLS）、網路（Open vSwitch）等繁重工作處理的卸載與加速。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Napatech-security-offload-solution-fig-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech-security-offload-solution-fig-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Napatech-network-offload-solution-fig-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech-network-offload-solution-fig-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Napatech-storage-offload-solution-fig-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech-storage-offload-solution-fig-2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Napatech FX2000.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech%20FX2000.jpg" style="width: 148px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Napatech IPU type.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Napatech%20IPU%20type.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel FPGA IPU F2000X-PL</strong><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●外形：全高、3/4長介面卡<br /> ●處理器：Intel Xeon D-1736（8核心16執行緒）<br /> ●FPGA晶片：Intel Agilex 7 FPGA F-Series AGFC023<br /> ●記憶體：DDR4，16 GB用於處理器，16 GB用於FPGA<br /> ●I/O介面：PCIe 4.0 x16<br /> ●傳輸介面：2個QSFP28或QSFP56埠（可支援100 GbE）<br /> ●熱設計功耗：150瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/12 19:15作者李宗翰https://www.ithome.com.tw/review/160260
【資安日報】12月12日，北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著南北韓的關係越來越緊張，北韓駭客組織的動作頻頻，其中又以駭客組織Lazarus的攻擊行動相當受到研究人員的關注。</p> <p>例如，在其中一起名為Operation Blacksmith的攻擊行動裡，這些駭客使用了兩種相當罕見的手法，首先，他們在入侵受害組織的管道裡，利用了近期鮮少駭客利用的重大漏洞Log4Shell，再者，則是在打造作案工具的程式語言，他們採用的是D語言，目前幾乎沒有其他駭客以此開發惡意程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.talosintelligence.com/lazarus_new_rats_dlang_and_telegram/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客組織Lazarus利用Log4Shell漏洞散布RAT木馬程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Operation Blacksmith.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Operation%20Blacksmith.jpg" style="width: 300px; float: right;" /></a>思科旗下的威脅情報團隊Talos揭露北韓駭客組織Lazarus最新一波的攻擊行動Operation Blacksmith，這些駭客透過較少人使用的D語言，打造兩款RAT木馬程式NineRAT、DLRAT，以及惡意程式下載工具BottomLoader，主要目標是製造業、農業、保全業者。</p> <p>研究人員針對這些惡意程式進行分析，NineRAT採用即時通訊軟體Telegram的API與C2進行通訊，接收攻擊者下達的命令，然後從受害電腦竊取指定的資料，為了迴避偵測，攻擊者可指定此木馬程式休眠時間，以及向Telegram頻道查詢命令的間隔；另一個木馬程式DLRAT，則是在受害電腦啟動時會先收集系統基本資訊，如：作業系統、MAC位址等，傳送到C2伺服器，以便攻擊者下達命令，在受害電腦載入其他惡意軟體並執行；至於BottomLoader，則是使用PowerShell取得URL，並下載惡意酬載至受害電腦並執行。</p> <p>值得留意的是，這起攻擊行動駭客入侵目標組織的手段，是兩年前被揭露的日誌框架系統Log4j重大漏洞CVE-2021-44228（Log4Shell），他們針對曝露於網際網路的VMware Horizon伺服器發動攻擊，從而進入組織內部環境。</p> <p><a href="https://www.sentinelone.com/labs/sandman-apt-china-based-adversaries-embrace-lua/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客組織Sandman可能與中國駭客互通有無，共用基礎設施及資源</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sandman2_3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sandman2_3.png" style="width: 300px; float: right;" /></a>9月底資安業者SentinelOne、QGroup聯手，揭露針對中東、西歐、南亞次大陸的電信業者發動攻擊的駭客組織Sandman，該組織利用Lua程式語言打造的後門程式LuaDream來竊取目標系統及使用者資訊，近期研究人員又找到新的證據。</p> <p>SentinelOne、微軟、PwC威脅情報人員聯手，發現遭到LuaDream攻擊的受害組織當中，也存在另一款名為Keyplug的惡意程式，但使用這兩隻惡意程式的駭客並未出現競爭的情況。</p> <p>有數個中國駭客組織使用Keyplug從事攻擊行動，研究人員進一步追查，其中名為Storm-0866（亦稱Red Dev 40）的中國駭客組織，與Sandman共用基礎設施的控管原則，像是挑選主機代管供應商、網域命名的轉換等，再加上LuaDream和Keyplug有許多功能與設計重疊，研究人員推測，兩組人馬很有可能共用惡意程式開發資源。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/predictions/critical-scalability-trend-micro-security-predictions-for-2024"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">趨勢科技針對2024資安態勢提出預測，雲端原生蠕蟲將成為新興威脅</span></strong></a></p> <p></p> <p>資安業者趨勢科技公布2024年資安態勢的預測，當中特別提及駭客會針對雲端環境組態配置不當的情況，發展雲端原生的蠕蟲（Cloud-native Worms），用於建置大型C2基礎設施、濫用雲端運算資源挖礦、自動化收集機敏資料，或是從事大規模DDoS攻擊。</p> <p>研究人員指出，攻擊者很可能只需成功利用其中1個漏洞，或是找出Kubernetes 、Docker、Weaya Scope的API組態設定錯誤，就有機會突破防線，並在雲端環境迅速展開攻勢。</p> <p>由於蠕蟲具備自動橫向擴散的能力，而成為駭客用來發動攻擊的工具首選，此外，他們也會利用自動化指令碼進行偵查、漏洞攻擊，並藉由Rootkit來在雲端環境立足。再者，駭客也會濫用受害組織雲端環境現成的資源，進行寄生攻擊，來達到隱匿攻擊行動的目的。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/apache-patches-critical-rce-vulnerability-in-struts-2/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Apache基金會修補Java應用框架Struts漏洞</span></strong></a></p> <p></p> <p>12月9日Apache基金會發布資安公告，指出Java應用程式框架Struts存在路徑穿越漏洞CVE-2023-50164，影響2.0.0至6.3.0等多個版本，攻擊者可藉由操縱檔案上傳的參數來觸發漏洞，造成路徑穿越的情況，甚至有機會透過上傳惡意檔案達到遠端執行任意程式碼（RCE）的目的。該基金會發布2.5.33版、6.3.0.2版Struts予以修補。</p> <p><a href="https://www.akamai.com/blog/security-research/spoofing-dns-by-abusing-dhcp"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟DHCP動態更新機制有可能被濫用，駭客可偽造DNS資料發動進一步攻擊</span></strong></a></p> <p></p> <p>資安業者Akamai揭露濫用微軟DHCP伺服器的攻擊手法，攻擊者可在不需要授權的情況下，利用DHCP伺服器預設配置來偽造DNS紀錄，藉以竊取敏感資訊，甚至完全控制AD網域，而由於微軟DHCP伺服器相當普遍，因此有不少組織都暴露在風險之中。</p> <p>在這種攻擊手法裡，駭客濫用DHCP的動態更新功能，來欺騙DNS紀錄，使得在特定的組態配置下，因為DHCP存在弱點，導致DNS可能接受任意來源及請求。</p> <p>研究人員指出，這種攻擊手法的危險性，在於駭客可偽造各種類型的DNS紀錄，例如，網域控制器IP位址、用戶電腦名稱及IP位址、網站或應用系統的IP位址等，從而竊取帳密資料或是財務資訊、執行惡意程式碼、中斷網路服務，甚至能將網域控制器IP位址指向惡意網站。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/toyota-warns-customers-of-data-breach-exposing-personal-financial-info/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本汽車大廠Toyota證實金融子公司資料外洩</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-emergency-updates-fix-recent-zero-days-on-older-iphones/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">蘋果發布iOS 16.7.3、iPadOS 16.7.3、watchOS 10.2，修補舊裝置WebKit零時差漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/google-patches-chromecast-vulnerabilities-exploited-at-hacking-contest/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google修補Chromecast的高風險漏洞</span></span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/155588/hacking/android-14-13-lock-screen-bypass.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露繞過安卓手機鎖定螢幕的弱點，最新版作業系統也無法倖免</span></span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160280"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為解決中小企業、非政府組織資安疑難雜症，資安院設立服務團隊、診療所等咨詢管道</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160267"><strong>【12月11日】蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進行控制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160235"><strong>【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> </div></div></div>
2023/12/12 16:54作者周峻佑https://www.ithome.com.tw/news/160290
Martech雙周報第45期：Salesforce與AWS進行多項CRM功能整合，要用各自軟硬體支援AI應用於顧客關係…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1126~1209)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AWS</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Salesforce</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AIOps</span></span><br /> Salesforce與AWS打通多種CRM相關服務，包括行銷用生成式AI應用管理及跨環境數據存取等</strong></p> <p><a href="https://press.aboutamazon.com/2023/11/salesforce-and-aws-expand-partnership-for-customers-to-more-easily-build-trusted-ai-apps-deliver-seamless-crm-experiences-and-bring-salesforce-products-to-aws-marketplace">CRM巨頭Salesforce和AWS宣布雙向深化服務整合</a>，打通多種CRM及雲端基礎建設服務。這些整合內容大多與應用AI於顧客關係經營作業有關，預計於2024年推出。</p> <p>第一個重要整合是數據服務。強化Salesforce Data Cloud和AWS S3等數據服務間的共享及管理功能，未來企業將能透過0-ETL的方式，統一管理跨平臺和服務數據。企業還能於Data Cloud利用AWS EC2、EKS、Lambda等不同運算環境及服務來執行複雜數據處理。</p> <p>第二是整合AI開發服務整合<span style="color:#FF0000;">，</span>整合Salesforce AI平臺Einstein及AWS SageMaker、Bedrock等AI服務。企業將能把部署於AWS的AI模型和服務導入Salesforce App中，也能於Einstein進一步微調這些基礎模型。</p> <p>第三是客服功能整合，Salesforce Service Cloud將支援AWS客服工具Amazon Connect的對話、客服工作量預測及規畫等功能。另外，還有利用生成式AI來提供客戶洞察等，用於輔助客服人員及客服管理者的功能。</p> <p>第四是各式開發功能整合，AWS會利用其基礎建設來強化Salesforce旗下雲端PaaS產品Heroku，使後者能支援機器學習及AI應用開發。Heroku還預計支援AWS程式碼生成服務CodeWhisperer。另外，企業還能用Einstein Copilot Studio設計並執行<span style="color:#000000;">Salesforce及AWS上不同App和服務的自動化工作流程腳本。</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie時代</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#興趣標籤</span></span><br /> Lytics推出Chrome隱私權沙盒措施<span style="color:#000000;">Protected Audience API的興趣標籤管理功能</span></strong></p> <p>CDP廠商Lytics推出<a href="https://developers.google.com/privacy-sandbox/relevance/protected-audience?hl=zh-tw">Google隱私權沙盒Protected Audience API</a>的<a href="https://www.lytics.com/blog/transforming-advertising-lytics-google-protected-audience-api/">輔助功能</a>，可以連結廣告主不同通路，統一管理複雜興趣標籤及分類，來簡化興趣導向廣告投放作業。</p> <p>廣告主可以串聯自家網站、App等通路到Lytic輔助工具統一管理興趣標籤，並交叉比對從第一方顧客數據觀察出的特性來優化管理。也就是說，廣告主可以統一分析跨通路顧客互動數據及既有顧客數據，來整理Protected Audience API的興趣群組，並藉此來更有效投放廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech版圖</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#內容生成科技</span></span><br /> 生成式AI浪潮帶動Martech產品半年增加近1,500款，最大宗是內容行銷工具</strong></p> <p>根據Martech之父Scott Brinker及知名Martech研究者Frans Riemersma<a href="https://chiefmartec.com/2023/12/major-trends-in-martech-for-2024-the-real-changes-underway-in-a-99-platitude-free-report/">研究</a>，全球Martech產品從2023年5月到11月間暴增18.5%（2,042款），總數目來到13,080。其中，有73%（1,498款）是生成式AI相關商品。最大宗是產生行銷用圖文的內容行銷工具，高達34%，次多的影音行銷只有不到5%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PNG13080-martech-tools-768x500.png" style="width: 600px;" /></p> <p>不只這些新工具，既有Martech廠商及廣告平臺於2023年也都相繼增加了生成式AI行銷素材生成工具，大至Google、Amazon、Adobe，小至地方型Martech廠商，都不例外。雖然市場上產品增加未必能直接反映企業需求，不過對中小企業來說，行銷預算不足以製作大量行銷素材確實是常見難題。這波內容行銷類Martech浪潮，意味著這些企業將有許多利用生成式AI來補上行銷素材缺口的選項。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span><br /> Meta推出生成式AI行銷功能，可以模仿創作者語氣建議互動回覆內容</strong></p> <p>Meta推出<a href="https://about.fb.com/news/2023/12/meta-ai-updates/">2個行銷相關的生成式AI功能</a>。第一個是粉絲互動回覆內容建議。AI不是只會根據近期對話內容，還會參考創作者過往語氣來產生回覆建議。這意味著，Meta推出此工具不只鎖定語氣較為就事論事的客服情境，更希望能支援注重個人化互動的粉絲互動情境。</p> <p>另一個行銷相關的生成式AI功能是Meta聊天機器人新增站內Reels短影音搜尋功能，使用者可以對聊天機器人提出搜尋問題，機器人除了生成文字回覆、搜尋公開網路資料，現在還有能力即時搜尋相關Reels。這也意味著短影音行銷又多了一個曝光管道，與Meta近一年持續推廣短影音策略相符。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RPNG.png" style="width: 450px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech認證</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AWS生態系</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech採購</span></span><br /> AWS推出廣告與行銷科技能力背書機制，意圖扮演第三方Martech認證機構</strong></p> <p><a href="https://aws.amazon.com/tw/blogs/apn/maximize-customer-acquisition-retention-and-lifetime-value-with-aws-advertising-and-marketing-technology-competency-partners/">AWS推出廣告與行銷科技能力背書機制</a>，審查Martech廠商的交付模式、技術認證及客戶績效後，將該廠商列入夥伴清單，由AWS背書其能力。不過，AWS並未透露具體審查標準。AWS背書的Martech廠商有5種產品分類，分別是行銷客群及顧客數據管理、具隱私機制的數據共享協作、廣告投放平臺、廣告成效追蹤及分析，以及數位顧客體驗。</p> <p>目前，Martech業界沒有被廣泛承認的產品或廠商認證機制。不過，許多Martech是部署在三大公有雲的SaaS服務。其中，GCP已經有菁英合作夥伴認證機制，要求廣告投放績效達到基本門檻，且客戶數量及客戶預算績效前3%。如今AWS也推出背書機制，至少意味著企業採購Martech時多了一家CSP的推薦名單可以參考。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.nielsen.com/news-center/2023/gracenote-launches-advanced-automotive-data-platform-enabling-innovative-cross-media-experiences-in-connected-cars/">尼爾森子公司Gracenote推出跨平臺汽車娛樂內容元數據平臺，支援車內內容行銷</a></p> <p>2. <a href="https://www.yahooinc.com/press/introducing-yahoo-blueprint-a-new-ai-powered-suite-for-better-ad-performance-and-optimization">Yahoo也用AI技術升級自家DSP</a></p> <p>3. <a href="https://business.pinterest.com/en-au/blog/direct-links-are-here-for-holiday-campaigns/">Pinterest廣告功能終於從需要二次點擊升級到可以單次點擊就跳轉到外部連結，降低跳轉摩擦力</a></p> <p>4. <a href="https://www.linkedin.com/business/marketing/blog/linkedin-ads/new-ways-to-get-even-more-out-of-your-linkedin-ad">LinkedIn新增Conversion API功能，從第三方Cookie改為用API串接來拋轉行銷相關數據</a></p> <p>資料來源：iThome整理，2023年12月</p> <p>圖片來源：Chief Martec、Meta</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2023/12/12 17:48作者郭又華https://www.ithome.com.tw/news/160279
微軟與美國最大聯合工會AFL-CIO結盟以討論AI的使用及影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你擔心工作被人工智慧（AI）取代嗎？由60個美國及國際工會組成的美國勞工及產業組織聯合會（American Federation of Labor and Congress of Industrial Organizations，AFL-CIO）及微軟在周一（12/11）<a href="https://news.microsoft.com/2023/12/11/afl-cio-and-microsoft-announce-new-tech-labor-partnership-on-ai-and-the-future-of-the-workforce/" target="_blank">宣布建立新的合作夥伴關係</a>，將共同討論AI如何預測勞工的需求，並將在AI的發展與實施程序中納入勞工的聲音。</p> <p>微軟指出，此一結盟為勞工組織與科技業者之間，首次專注於AI的合作，預期實現三大目標，包括與勞工及勞工領袖分享有關AI技術趨勢的深入資訊，在AI技術的發展中融入勞工的觀點與專業知識，以及協助制定可支援前線勞工需求與技術技能的公共政策。</p> <p>AFL-CIO主席Liz Shuler說明，此一合作夥伴關係反映出對勞工在AI與相關技術的開發、部署及監管中，可發揮關鍵作用的認同，期待與微軟合作以擴大勞工於AI時代的角色。微軟總裁Brad Smith則說，直接與勞工領袖合作將能確保AI替勞工服務，於技術開發期間取得建議，並協助微軟提供人們在AI時代不可或缺的技能。</p> <p>不管是微軟或AFL-CIO都認為，倘若AI是用來增加工作，而非削弱勞工的作用或責任，那麼AI將可建立一個可強化工作品質的能力。事實上，根據AFL-CIO的調查，有7成的勞工擔心被AI取代，另一項由微軟針對勞工所進行的調查則顯示，有7成的勞工會儘量委由AI執行任務來減輕工作量，這使得雙方認為，在轉移至由AI輔助的未來時，必須以勞工的聲音為中心。</p> <p>AFL-CIO與微軟結盟的具體實踐，將涵蓋由微軟提供AI最新及未來發展的學習機會予勞工及學生，透過與勞工組織及學術組織合作來舉辦各種學習研討會；雙方也會建立一個機制，以讓勞工直接與開發AI技術的開發者分享經驗與見解；並推動讓勞工可於AI時代具備基本技能、知識及經濟支援的各種政策。</p> <p>依據國際勞工組織（International Labour Organization，ILO）<a href="https://ilo.org/global/about-the-ilo/newsroom/news/WCMS_890740/lang--en/index.htm" target="_blank">今年8月所發表的報告</a>，最容易受到生成式AI影響的工作為文書工作，有接近1/4的任務被視為高度風險，超過一半屬於中度風險，管理人員、專業或技術人員則僅有一小部分屬於高度風險，中度風險則占了1/4。</p> <p>然而，由於大多數的工作或領域只有部分風險，更可能透過AI來增強而非取代，使得該研究認為生成式AI的最大影響或許不是破壞了既有的工作，而是替工作品質帶來變化。</p> <p>除了工作類別之外，生成式AI對於不同的性別或是國家發展水平，也會帶來不同的影響，例如在高收入國家，有5.5%的就業人口可能受到AI波及，但低收入國家則僅有0.4%會受到影響，其結論之一是，倘若政策得當，此一新的技術變革可能會替發展中國家帶來重大利益。</p> </div></div></div>
2023/12/12 14:29作者陳曉莉https://www.ithome.com.tw/news/160285
蘋果針對旗下平臺進行安全更新，推出全新日誌程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周一（12/11）針對macOS、iOS、iPadOS、tvOS、watchOS與Safari等眾多平臺<a href="https://support.apple.com/en-us/HT201222" target="_blank">展開了安全更新</a>，同時於iPhone上推出了全新的<a href="https://www.apple.com/newsroom/2023/12/apple-launches-journal-app-a-new-app-for-reflecting-on-everyday-moments/" target="_blank">日誌（Journal）程式</a>，並針對iPhone 15 Pro提供<a href="https://www.apple.com/newsroom/2023/12/apple-introduces-spatial-video-capture-on-iphone-15-pro/" target="_blank">空間影片（Spatial Video）拍攝</a>功能，以替預計於明年上半年上市的空間運算設備<a href="https://www.ithome.com.tw/news/157200" target="_blank">Apple Vision Pro</a>熱身。</p> <p>本周釋出的macOS Sonoma 14.2、macOS Ventura 13.6.3、macOS Monterey 12.7.2、iOS 17.2/ iPadOS 17.2、iOS 16.7.3/iPadOS 16.7.3、Safari 17.2、tvOS 17.2與watchOS 10.2全都修補了安全漏洞，有些版本則有功能上的更新。</p> <p>例如<a href="https://support.apple.com/en-us/HT213895" target="_blank">macOS Sonoma 14.2</a>中的自動填入功能可辨識PDF檔案中的欄位，可依照使用者的通訊錄填入資料，亦改善天氣功能，得以預測未來10天內的雨雪狀態，可以同時建立多個計時器並替它們命名，提供新的Shazam Music Recognition音樂辨識工具，以讓使用者辨識來自網路或四周播放的音樂。</p> <p>iOS 17.2則有新的日誌程式，該程式就是用來寫日記用的，支援文字、照片、影片、位置、錄音，也能加入來自其它程式的新聞、音樂或播客，並寫上心得。使用者亦可替日誌加上標籤以方便檢視，也可透過裝置密碼、Face ID或Touch ID鎖住日誌。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-Apple%20Journal%20app-600.png" style="width: 403px;" /></p> <p>蘋果還提供了Journaling Suggestions API，讓開發者將其嵌在自己的程式中，知名日記程式《Day One》便嵌入了該API。</p> <p>全新的空間影片拍攝功能目前僅支援最新的iPhone 15 Pro，包括iPhone 15 Pro與iPhone 15 Pro Max，同樣隨著iOS 17.2出爐。使用者只要開啟相機程式，點選影片，轉至橫向再進入空間影片，點選錄製就能開始拍攝空間影片，屆時iPhone將同時利用主相機及超廣角相機錄製影片，再將超廣角相機的視野縮放至與主相機一致，再將內容存放至單一影片中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-iPhone%2015%20Pro-Spatial%20videos-Apple%20Vision%20Pro-2.jpg" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1212-iPhone%2015%20Pro-Spatial%20videos-Apple%20Vision%20Pro-600-1.png" style="width: 527px;" /></p> <p>以一般裝置觀看空間影片時，它會以2D呈現，但若是透過蘋果即將開賣的Apple Vision Pro觀看，它便能呈現出栩栩如生的空間感。</p> <p>Apple Vision Pro被視為迄今最高階的混合實境（MR）頭戴式裝置，定價高達3,499美元，除了價格之外，<a href="https://www.ithome.com.tw/news/157260" target="_blank">其效能獲得許多測試者的推崇</a>，該裝置將於明年上半年率先於美國市場銷售。</p> </div></div></div>
2023/12/12 13:26作者陳曉莉https://www.ithome.com.tw/news/160284
Akamai發現微軟DHCP動態更新機制可被濫用於偽造DNS紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Akamai資安研究人員<a href="https://www.akamai.com/blog/security-research/spoofing-dns-by-abusing-dhcp">發現</a>了一種濫用微軟DHCP（Dynamic Host Configuration Protocol）伺服器，偽造DNS紀錄（DNS Spoofing）的攻擊手法。攻擊者可在不需要授權的情況下，利用DHCP伺服器預設配置來偽造DNS紀錄，藉以竊取敏感資訊，甚至完全控制Active Directory網域，而由於微軟DHCP伺服器廣受採用，因此有不少組織都暴露在風險之中。</p> <p>微軟的目錄服務Active Directory提供網路資源的集中式身分驗證和授權，其運作極高度依賴DNS，每個網域都需要DNS，託管一個被稱為Active Directory整合DNS（Active Directory Integrated DNS，ADIDNS）區域的特殊區域，ADIDNS區域託管了所有加入網域的電腦和Active Directory不同服務的DNS紀錄，而此攻擊的目標便是ADIDNS中的DNS紀錄。</p> <p>該攻擊利用DHCP動態更新功能來欺騙DNS紀錄。DHCP動態更新功能是DHCP和DNS之間進行協作的機制，該功能允許DHCP伺服器自動更新DNS紀錄，因此當有一個裝置連接到網路中，向DHCP伺服器請求IP地址時，DHCP伺服器會分配一個IP地址給裝置，與此同時向DNS發送包含修改資料的更新請求，以確保DNS紀錄可以即時反映新分配的IP地址。</p> <p>在特定的配置下，動態更新存在安全性問題，DNS可能會接受任意來源請求。在使用安全更新的環境中，DNS更新請求會包含電腦網路授權協定Kerberos票證，使客戶端和伺服器端能夠進行雙向認證，但是當攻擊者以特定方式獲取或是偽造票證，便可以欺騙DNS接受偽造DNS更新。</p> <p>但由於有存取控制列表（ACL）的保護，一般來說DNS紀錄不會被覆寫。覆寫通常發生在DHCP伺服器為管理紀錄的擁有者時。例如，當一臺非網域內的Ubuntu伺服器要求DHCP伺服器代為註冊DNS紀錄時，該紀錄才會由DHCP伺服器的機器帳戶擁有。這種攻擊只影響由DHCP創建的管理紀錄，對於客戶端紀錄影響有限，因為ACL限制了這類覆寫。</p> <p>對於無法自行註冊DNS紀錄的非Windows客戶端和舊版Windows客戶端，這種攻擊就可能發揮效果。攻擊者可以利用微軟DHCP伺服器，在任何ADIDNS區域中覆寫客戶端紀錄，因為當DHCP伺服器安裝在網域控制器上時，便可以覆寫網域控制器自己的紀錄。此外，由於網域控制器機器帳戶在DNS更新時具有對所有紀錄寫入的權限，因此攻擊者也可以利用這一點，覆寫Active Directory整合區域中的任何DNS紀錄。</p> <p>此類攻擊的危險性在於，攻擊者可偽造各種類型的DNS紀錄，包括網域控制器的IP地址、用戶電腦名稱和IP，以及網站和服務的IP地址。透過偽造的DNS紀錄，攻擊者可以竊取諸如登入憑證和財務資料等敏感資訊，執行惡意程式碼，甚至是中斷網路服務等。還能將網域控制器的IP指向惡意網站，在使用者嘗試連接網域控制器時，被導向惡意網站。</p> <p>由於微軟DHCP伺服器是一個常見的選擇，根據Akamai的估計，約有40％的資料中心網路使用微軟DHCP伺服器。研究人員提到，雖然微軟在其文件中告知了這類風險。但是這類配置風險在微軟DHCP伺服器網路中很常見，且預設情況下就容易被攻擊。</p> </div></div></div>
2023/12/12 08:17作者李建興https://www.ithome.com.tw/news/160281
Meta開源旗下臉書、Instagram等產品都在使用的網頁介面樣式系統StyleX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta開源自家產品所使用的網頁介面樣式系統<a href="https://stylexjs.com/blog/introducing-stylex/">StyleX</a>，其結合了CSS-in-JS函式庫的開發體驗，和靜態CSS的效能和可擴展性。官方指出，StyleX經過精心設計，並解決之前團隊無法封裝和擴展樣式元件的問題。</p> <p>StyleX支援CSS的表達性子集，避免使用複雜的選擇器，確保生成的CSS不會出現特定衝突。StyleX並不全面支援CSS的功能（Feature），而是專注於對大型應用程式和元件函式庫中最有用，被認為具有表達力，且易於管理和維護的功能。</p> <p>而且StyleX將樣式轉換與組織成為原子CSS類別名稱，使用者不需要學習或是管理實用類別名稱函式庫。也就是說，StyleX的樣式經過最佳化，拆分成更小、更具體的部分，每一個原子類別對應一個具體的樣式規則，像是一個類別僅代表邊距大小或是字體顏色，透過減少重複的CSS程式碼，使樣式更加一致可預測。</p> <p>在傳統的CSS框架中，開發者會需要學習和使用大量的實用類別，雖然這些類別替常見樣式提供方便的使用方法，但StyleX自動將樣式轉換成為更精細的類別，僅需要專注於樣式的實際應用，不需要開發者額外學習和管理這些類別。</p> <p>此外，StyleX允許樣式在文件和元件邊界間進行合併，這代表開發者可以在多個元件和檔案中共享和重複使用樣式規則。這對於建立自定義元件函式庫特別有用，因為開發者可在整個應用程式中一致地應用和修改樣式，同時保持程式碼的乾淨。</p> <p>完全型別化的StyleX提供型別工具，讓開發者以型別安全的方式來定義和使用樣式。開發者可以精確控制元件可接受的屬性和值，像是當定義一個元件樣式時，開發者可以指定有效的CSS屬性，以及這些屬性可以接受的值。而這種機制將有助於減少錯誤，確保樣式的一致性和可維護性，能夠以更結構化和安全的方式管理大型和複雜應用程式的樣式。</p> <p>開源JavaScript編譯器Babel是StyleX最重要的部分，Babel會尋找程式碼中定義的所有樣式，並在編譯時將其轉換成為原子類別名稱，同時也會把重複的部分刪除，經過排序之後寫入CSS檔案中。StyleX支援各種靜態模式，會透過使用本地常數和表達式定義樣式。除了Babel之外，StyleX還包含小型執行時函式庫，以及ESlint擴充套件。</p> <p>StyleX的快速優勢，主要源於編譯的高效率以及執行時的高效能，Babel在轉換時不會明顯減慢建置速度，並且避免JavaScript在執行時插入樣式的成本，StyleX只會在需要的時候，高效組合類別名稱字串。StyleX所生成的CSS也針對大小進行最佳化，即便是大型網站的樣式，瀏覽器也可以快速解析。</p> <p>Meta一再強調StyleX適用於大型且複雜的應用程式開發，StyleX透過生成精細的原子CSS類別名稱，最小化CSS捆綁包的大小，而且隨著應用程式中元件的數量增加，CSS套件的大小會逐漸趨於穩定，開發者不需手動最佳化或是延遲載入CSS檔案。</p> <p>此外，Babel擴充套件也能在編譯階段，利用原子建構和檔案級快取功能，處理大量元件中的樣式。官方還提到，由於StyleX的目的在於封裝樣式，所以能夠用於單獨開發新檔案，並且即便在其他元件重複使用，也能夠以可預測的方式呈現。</p> <p>Meta大量在旗下產品，包括臉書、WhatsApp、Instagram、Workplace和Threads中使用StyleX。目前，Meta在GitHub上開源的正式公司內部所使用的StyleX版本，StyleX開發工作主要在GitHub上進行，Meta會將新版本同步回內部使用。</p> </div></div></div>
2023/12/12 08:20作者李建興https://www.ithome.com.tw/news/160283
Fintech周報第224期：永豐金證券將在證券App導入即時交易數據分析工具，且要以生成式AI摘要每日新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/12/4~12/8金融科技精選新聞</span></span></h3> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h1> <h3>永豐金證券將在證券App導入即時交易數據分析工具，且要以生成式AI摘要每日新聞</h3> <p>永豐金證券近日舉辦發表會，除了發布股票下單App新功能，也揭露未來將上線的功能。其中，有兩個亮點，分別是即時交易數據分析工具，和以生成式AI製作新聞摘要。永豐金證券表示，他們近年投入近億元建構數據團隊，建立交易所實時分析資料庫，匯入每日約四千萬筆的委託回報數據，再以分析引擎視覺化呈現投資資訊，例如市場上強弱勢產業、各股漲跌排名。</p> <p>另外，他們也將在App中導入生成式AI，處理每日新聞資訊，生成300字新聞摘要。永豐金證券表示，這項功能目前正在合規驗證中，目標12月底前上線。他們也表示，自家證券戶線上開戶數在四年內成長五倍，App使用人數已超過60萬人次。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h1> <h3>6家電支機構將於明年六月前加入跨機構平臺購物功能</h3> <p>今年十月，電子支付跨機構共用平臺的「購物」服務正式上線，首波加入的業者包括37家臺灣Pay金融機構，還有全盈支付、橘子支、歐付寶3家電子支付機構。金管會近期在例行記者會上表示，其他六家電支專營機構將在明年六月前加入跨機構平臺購物功能。</p> <p>隨著跨機構平臺購物功能上線，多家支付業者也開始發展跨境金融服務的生態圈。金管會表示，目前已核准五家電支機構與境外機構合作推跨境金融服務，分別為歐付寶、一卡通、悠遊卡、簡單付和街口，另有一家業者正在申請中。金管會表示，電支機構合作的境外業者主要為日本為主，其他則包括新加坡、韓國和泰國。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CTP業者 </span></strong></span></h1> <h3>英國金融監理機構聯合提案，要求監管關鍵第三方供應商提供給金融機構的服務</h3> <p>英國央行、英國審慎監理總署（PRA）和英國金融行為監理總署（FCA）近期聯合提案，要求監管關鍵第三方供應商（CTP）提供給金融機構的服務。他們認為，隨著金融業越來越依賴第三方科技業者提供的服務，一旦服務發生問題，例如機房故障或遭到破壞，可能影響英國整體的金融穩定性。他們也認為，管理這項風險已超出了一般企業或金融機構能負擔的能力，因此，需要由監理機構進行直接監管。</p> <p>該提案目前公布諮詢文件（CP）徵求外界回饋，文件中包含，要求關鍵第三方供應商向監管機構提供保證書，包括提交年度自評書、情境測試報告等。此外，該提案並非納管CTP業者，而是要針對CTP業者提供的服務進行監管。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CBDC </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 央行 </span></strong></span></h1> <h3>央行揭露CBDC進展，目前CBDC雛型平臺交易量能每秒可達2萬筆</h3> <p>央行副總裁朱美麗近期出席財經公司活動中，揭露了CBDC目前進展。朱美麗表示，央行已完成「批發型CBDC可行性技術研究」和「通用型CBDC試驗計畫」，正在進行意見調查和精進CBDC雛形平臺。目前，CBDC雛型平臺的交易處理量能為每秒2萬筆，相當於今年發放普發現金時的量能。</p> <p>去年六月，央行完成第二階段的通用型CBDC試驗計劃，與財金公司、外部技術團隊打造一套CBDC雛型平臺，並邀請5家銀行參與設計和模擬。該平臺可提供多種零售交易服務，像是以CBDC來購物、繳費，或是以CBDC可程式化設計發放數位券，又或是存款帳戶或現金兌換CBDC，以及以CBDC供移工跨境小額匯款等應用。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI應用</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> KYC </span></strong></span></h1> <h3>澳洲金融科技業者Airwallex測試結果顯示，生成式AI能協助加速KYC流程</h3> <p>近期，澳洲金融科技業者Airwallex分享將生成式AI應用於KYC的測試結果，結果顯示，生成式AI能在KYC進行時幫助減少約一半的誤判通知，此外，KYC全自動化，不需要人工干預的案例也增加了20%。</p> <p>這家業者是一間具有相當規模的跨國公司，在全球擁有超過10萬家企業。過去主要運用NLP技術打造KYC工具，雖然能幫助客戶偵測網站中的高風險關鍵字，但同時會產生許多誤判通知，拖長了KYC的處理時間。導入生成式AI後，該工具對關鍵字和脈絡更加靈敏，例如，能精準到區分出商品是零售商或批發商販售，也能分辨出非法販售的物品。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span></h1> <h3>歐盟就全球首部AI法案達成共識，保險業和銀行業適用於強制進行基本權利影響評估的規範</h3> <p>歐洲議會與歐盟理事會近期就全球首個人工智慧法案達成臨時協議，可用來規範企業組織如何使用AI，或規範供應商如何開發AI系統。AI法案將AI系統依風險程度分類，分為禁用型、高風險管制型、通用型和無責任型。</p> <p>這個法案對金融業的影響在於，歐盟特別點出，使用高風險管制型AI系統需要強制進行基本權利影響評估，保險業和銀行業尤其適用這項規定。高風險管制型AI系統包含生物辨識與分類系統、關鍵基礎設施、執法或公領域系統等。這些系統必須遵守嚴格要求，例如具備風險緩解系統、資料集、活動紀錄、詳細的文件、及人工監督等。未遵守AI法案的業者將被罰款，最高款項為3,500萬歐元或年營收的7%。</p> <p>其他Fintech新聞:</p> <p>1.新加坡與中國開啟跨境數位人民幣試點計畫，將允許兩國旅客使用數位人民幣進行消費</p> <p>2.金管會認為4家看盤軟體App與券商進行的異業合作，恐涉及資安疑慮</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／永豐證券</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年12月</p> <p></p> </div></div></div>
2023/12/11 10:44作者李昀璇https://www.ithome.com.tw/news/160264
臺灣資安計畫打造資安服務團和資安診療所提供資安諮詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <p><span>日前，Google.org捐贈一百萬美金給資通安全研究院（以下簡稱資安院），希望可以協助臺灣的中小企業、微型企業和非政府組織，提升相關的資安意識和資安防護能力。</span></p> <p><span>負責資安人才培訓業務的資安院副院長林盈達表示，資安院分兩年執行「NICS臺灣資安計畫」，會分成研究調查、培訓教練和實際輔導等三個階段執行該專案，最終目標除了會開發培訓課程的教材外，最終會培養超過二百名已上的種子教師，提供超過三千中中小企業、微型企業和非政府組織相關的資安諮詢服務。</span></p> <h2><strong><span>資安服務團鎖定中小企業和非營利組織，資安診療所則以微型企業為主</span></strong></h2> <p><span>林盈達表示，首先，資安院會先花六個月的時間，並採用文獻分析、深度訪談和焦點座談等社會科學方法，先去了解臺灣中小企業、微型企業和非營利組織的資安防護困難與需求。</span></p> <p><span>他說，第一件事就是去調查中小企業面對資安威脅等方面，需要的是什麼樣的協助。目前臺灣針對中小企業的定義就是：公司員工200人以下或資本額1億元以下；微型企業是員工人數5人或是10人以下。</span></p> <p><span>至於社會企業或者是非營利組織的規模大小落差比較大，有一些較大單位、成員接近200人，比較小的單位人數可能只有5個人。他認為，透過各種調查方式，然後更實際知道他們不同層次的需求，就可以提出各種相關的資安解決方案。</span></p> <p><span>接下來，資安院會提供相關的組織指引，協助改善中小企業、微型企業和非營利組織既有的資安議題，並對未來潛在的資安問題，具有自我診斷和應對的能力，林盈達指出，資安院也將開發實體和線上的培訓教材，以培養更多的資安資安講師。</span></p> <p><span>最後，則是會建立輔導培訓機制。林盈達指出，資安服務團將服務中小企業與非營利組織，資安診療所則會鎖定微型企業。</span></p> <p><span>他進一步解釋，資安服務團會由資安院工程師和資安公司的工程師合作，會開放三十家的中小企業申請輔導，優先協助非營利組織和中小企業，盤點組織資安現況，並提供相關資安技術和顧問服務，同時給予深度防護訓練和維護建議；同時，資安服務團則會以兩個月的時間提供實地服務，觀察中小企業對於資料、系統、網路、電子郵件的保護狀況，實際優化系統架構和提高安全性。</span></p> <p><span>至於資安診療所則是借鑑美國大學資安健診所聯盟（Consortium of Cybersecurity Clinics，CCC）計畫，引進相關教材並與簽署合作備忘錄（MOU）大專院校教師優先合作，讓接受資安培訓的學生於之後的實習階段，先於鄰近社區中提供資安諮詢服務，並優先服務微型企業和非政府組織，預計提供資安諮詢服務的微型企業達三千家。</span></p> <p><span>林盈達表示，臺灣資安計畫最終的目標則是，不僅希望可以產出指引報告，更希望可以接觸超過三千家中小企業、微型企業和非營利組織等單位，並提供上述組織資安教育培訓的資源，增強微型企業資安防護；關鍵是，要訓練二百名以上的種子教師（Train the trainers），包括訓練在職人士或在學學生，去提供相關的資安諮詢服務。</span></p> <p><span>他指出，在職人士主要會針對規模略大、人數接近二百人的中小企業，提供諮詢服務；在學學生則會鎖定鄰近社區的微型企業提供諮詢服務，大小不同規模的總數要超過三千個。</span></p> <h2><strong><span>協助打造業界現況最佳實務，作為其他中小企業參考</span></strong></h2> <p><span>林盈達表示，接受培訓的資訊相關科系的在學學生，會在學校就近的社區中的微型企業，提供資安諮詢服務。面對中小企業多元的服務樣態和所使用的各類資訊服務，為了協助在學學生可以儘快上手，會先把這些中小企業歸納出幾種樣態，並針對幾類業務樣態打造出資安服務的BCP（Best Current Practice，現況最佳實務），進而作為其他中小企業的參考。</span></p> <p><span>資安院人才培力中心主任鄭瑋表示，當初在寫Google.org的捐贈計畫時就有立定一個目標，至少50％以上要鎖定非營利組織，另外，也希望針對相關中小企業的業務性質，如果會涉及處理機敏資訊的公司，更是資安院可以提供服務的對象。</span></p> <p><span>另外，鄭瑋也說，資安診療所培訓所使用的教材，是美國柏克萊大學所編纂的內容，資安院也會予以中文化，但是原汁原味的直譯，還是部分中文化而已，還需要授課老師和教學團隊一起討論，但未來該份中文化的教材，也將會回饋給Google.org成為中文版本的內容。</span></p> <p><span>林盈達補充表示，資安服務團服務的三十家企業，一半是非營利組織外，剩下的就是看資安院歸納出的產業類別數量，一個類別至少會有一家代表企業；至於另外三千家的微型企業，則會考慮開放報名，並參考美國資安診療所的經驗，降低不必要的摸索時間。</span></p> <p><audio id="haloword-audio"> </audio></p> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div id="gtx-trans" style="position: absolute; left: -9px; top: 128.042px;"> <div class="gtx-trans-icon"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2023/12/11 18:49作者黃彥棻https://www.ithome.com.tw/news/160280
【資安週報】2023年12月04日到12月08日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息中，以高通晶片的多個漏洞修補最受注目，該公司在12月4日修補了涉及多款晶片的3個零時差漏洞，都已遭到成功利用，包括CVE-2023-33107、CVE-2023-33106、CVE-2023-33063，在此同時，去年高通修補的CVE-2022-22071，近期也發現遭利用的情況，本期週報尚未提及，我們在此補上。</p> <p>此外，在上一期的資安週報中，我們曾提到，蘋果修補2個零時差漏洞，以及資料分析系統Qlik Sense的漏洞，都出現已遭成功利用的情形，到了這一星期，CISA也將這些漏洞列入KEV清單，再次提醒用戶應盡速修補因應。</p> <p>特別的是，近期我們看到一些新的漏洞研究公布，有3項消息值得資安圈的重視，我們整理如下：<br /> （一）歐洲黑帽大會於12月4日到7日舉行，有研究人員揭露一項涉及UEFI開機、韌體圖像解析器的LogoFAIL漏洞，當中針對Insyde、AMI、Phoenix等韌體分析，指出開機啟動自訂商標圖案的客製功能出現破口，並找到29種攻擊手法。<br /> （二）AI模型資源平臺Hugging Face存在API漏洞被揭露，一旦其API驗證Token被竊取，將引發企業資料外洩，或是訓練資料集被污染變成惡意的AI模型。研究人員警告，只要控制這些程式碼儲存庫，就能發動多種攻擊，尤其是供應鏈攻擊。<br /> （三）藍牙技術底層漏洞CVE-2023-24023、新型態藍牙攻擊手法Bluffs的揭露，該漏洞與Session金鑰的解密、交換資料過程有關，將破壞藍牙連線的保密性，研究人員共公布6種攻擊手法。目前Bluetooth SIG已收到通報，並發布緩解措施。</p> <p>在AI與資安方面的議題，本星期有兩大焦點消息，一方面是使用AI工具幫助資安管理，一方面是使用AI工具的安全議題。<br /> ●思科在12月6日開始舉行亞太區年度用戶大會Cisco Live!，並在大會上宣布推出全新AI助手（Cisco AI Assistant），首先公布的應用場景是簡化防火牆規則管理，讓用戶可透過自然語言提問，就能讓防火牆的查詢、設定等操作都變更容易。<br /> ●資安業者Snyk發布2023年度AI程式碼安全報告，指出現在已有相當多軟體工程師及資安團隊使用AI程式碼工具，但多數開發人員並未因此在流程中採用更多安全掃描。而且，高達8成開發者為了使用AI工具，而無視公司資安政策。</p> <p>對於Go開發者而言，有一項需要慎防的威脅要注意。有資安業者警告GitHub上有1.5萬個Go程式套件模組，恐存在遭到儲存庫挾持（Repojacking）攻擊的風險。原因在於原專案使用者名稱變更，或是GitHub、Bitbucket帳號刪除，導致帳號名稱因棄用而被釋放出，進而讓攻擊者得以註冊這樣的帳號並濫用。</p> <p>還有一些惡意活動的揭露，我們認為可留意下列消息，包括：WordPress網站管理者也要注意，有駭客假借WordPress名義，聲稱偵測到網站存在漏洞要用戶套用修補程式，但其實是引誘用戶安裝由駭客提供的外掛程式，以在用戶網站植入後門程式；殭屍網路P2Pinfect的新一起攻擊行動，是鎖定採用MIPS架構的物聯網裝置，利用SSH連線存取目標裝置，再透過弱密碼嘗試入侵。其他還包括後門程式Agent Racoon、竊資軟體Lumma，也有最新攻擊行動，資安業者目前已揭露這類消息。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160152"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</span></strong></a></h3> <p>使用竊資軟體Lumma的駭客組織近期動作相當頻繁，其攻擊行動經常會使用較為罕見的招式，例如：利用三角量測判斷所處的是真實使用者操作環境，或是研究人員分析用的沙箱；再者，這些駭客前陣子<a href="https://www.ithome.com.tw/news/160011">聲稱能恢復使用者的連線階段，挾持他們的Google帳號</a>。</p> <p>而在新一波的攻擊行動中，駭客則是在網路釣魚攻擊運用了另一種不尋常的手法，他們寄送的郵件會提供吸引使用者容易點選的按鈕，卻是將他們導引到實際上不存在的URL網址，讓收信者點選另一個URL，希望能夠藉此避開只檢查第一次點選網址的資安防護措施。</p> <h3><a href="https://www.ithome.com.tw/news/160172"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</span></strong></a></h3> <p>隨著國際局勢日益緊張，航太設施的重要性變得越來越重要，與這個領域有關的企業與組織也成為駭客竊取機密的重要目標，甚至有專門鎖定航太機構的駭客組織出現。</p> <p>有資安業者揭露專門針對航太產業從事網路間諜行動的駭客組織AeroBlade，並指出這些駭客在1年內僅進行兩波攻擊，而且他們採用了多種手法藏匿行蹤，使得受害組織難以察覺有異。</p> <h3><a href="https://www.ithome.com.tw/news/160190"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</span></strong></a></h3> <p>鎖定WordPress網站的攻擊行動不時傳出，大多是針對外掛程式的漏洞而來，藉此入侵網站，並植入惡意程式進行控制，但最近有一起攻擊行動相當不同，駭客將計就計，反過來以此引誘管理者上當，他們謊稱網站有漏洞，要管理者儘快套用「修補程式」。</p> <p>值得留意的是，雖然駭客煞有其事地指出網站漏洞CVE編號，但其實是完全不存在的漏洞，對方也未提供進一步的細節，留下破綻；然而若是網站管理者一時不察，還是很有可能落入圈套，被誘騙安裝惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/160208"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</span></strong></a></h3> <p>利用商業間諜軟體針對特定人士行動裝置下手的攻擊事件頻傳，蘋果後來也加入名為封閉模式（Lockdown Mode）的功能限制，降低用戶遭到攻擊的情形，然而，傳出可偽造類似此種保護模式的作法，導致用戶誤以為已啟動該模式。</p> <p>有研究人員揭露讓iPhone呈現這樣狀態的手法，使得用戶啟動後，手機並未套用相關限制，而使得攻擊者照樣能從事有關攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/160235"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</span></strong></a></h3> <p>俄羅斯國家級駭客鎖定歐美國家的攻擊行動頻傳，其中一個組織Star Blizzard最近被大國盯上，引發全球關注，因為近期五眼聯盟提出警告，並開始採取法律行動，通緝兩名該組織的成員。</p> <p>值得注意的是，五眼聯盟握有相關情報，這些駭客聽令於俄羅斯軍情單位聯邦安全局（FSB），且曾經企圖干預選舉，危害不容小覷。參與調查的<a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/">微軟也公布相關調查結果</a>，呼籲使用者提高警覺。</p> <p style="margin: 0px;"> </p> <p> </p> </div></div></div>
2023/12/11 10:26作者羅正漢https://www.ithome.com.tw/news/160263
歐盟就AI Act達成共識，可望成為全球範本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_23_6473" target="_blank">歐盟執委會（European Commission，EC）上周六（12/9）宣布</a>，歐洲議會與歐盟理事會（European Council）已就人工智慧法案AI Act達成政治協議，這是全球首個AI綜合法令框架，將用來規範AI系統的供應商，以及使用AI的組織，亦可望成為全球制定AI法令的基準。</p> <p>EC主席Ursula von der Leyen表示，AI Act的監管重點為可辨識的風險，藉由保障個人與企業的安全及基本權利，於歐盟支援可靠的AI發展，並將對AI的全球規則作出重大貢獻。</p> <p>AI Act將AI系統分類成最小風險、高風險、不可接受的風險，以及透明度風險。大多數的AI系統屬於最小風險，諸如推薦系統或垃圾郵件過濾機制等，相關供應商將不必承擔義務。高風險系統則涵蓋關鍵基礎設施、執法或公領域系統、生物辨識與情緒辨識系統等，它們必須遵守嚴格的要求，例如具備風險緩解系統、資料集、活動紀錄、詳細的文件、及人工監督等。至於不可接受的風險指的是可操縱人類行為以規避自由意志的系統或程式，也將在某些應用中禁止生物辨識。透明度風險要求人們必須能夠辨識與之交流的對象或內容是否源自AI。</p> <p>未遵守AI Act的業者將被罰款，最高款項為3,500萬歐元或年營收的7%。</p> <p>AI Act也對通用AI模型特別祭出規定，對於那些可能帶來系統性風險的超強大模型，提出了額外的約束性義務，涉及風險的管理、意外的監控、模型的評估，以及對抗性測試等。</p> <p>除了歐盟各國的市場監督機構之外，未來EC亦準備成立一個新的歐洲AI辦公室（European AI Office）來協調AI Act的法規遵循。</p> <p>在達成政治協議後，歐盟將著手撰寫取得共識的AI Act版本，理論上可於本月底通過正式法令，並於兩年後生效。在生效之前，<a href="https://digital-strategy.ec.europa.eu/en/policies/ai-pact" target="_blank">EC計畫推出AI Pact</a>，號召全球的AI開發人員自願提前遵循AI Act。</p> </div></div></div>
2023/12/11 14:56作者陳曉莉https://www.ithome.com.tw/news/160266
【資安日報】12月11日，蘋果裝置、Linux主機、安卓裝置恐曝露於藍牙鍵盤注入漏洞風險，攻擊者藉由配對假的鍵盤裝置進…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電腦、行動裝置搭配各式藍牙配備，已是相當普遍，但這種裝置配對機制存在弱點的情況，近期有多名研究人員公布相關研究，希望敦促裝置開發者儘速改善這類問題。</p> <p>最近有研究人員公布新的漏洞CVE-2023-45866，並指出攻擊者可藉此配對「假鍵盤」，從而操作目標裝置，影響macOS、iOS、Linux、安卓作業系統的電腦或行動裝置，值得留意的是，研究人員今年8月通報後，蘋果目前尚未對此漏洞進行修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://westernpeople.ie/news/hackers-hit-erris-water-in-stance-over-israel_arid-4982.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">愛爾蘭自來水公司傳出遭到攻擊，被迫中斷供水2天</span></strong></a></p> <p></p> <p>繼美國發生多起水力設施的攻擊事故，且傳出起因可能是伊朗駭客鎖定採用以色列工控系統的設備下手，現在也有其他國家出現資安事故。根據愛爾蘭媒體Western People報導，有人針對Erris地區的自來水公司發動攻擊，導致上週四、五（12月7日、8日）無法供水，目前已知有Binghamstown、Drum這兩個鎮約180人受到影響。</p> <p>駭客以Eurotronics的水泵系統為目標，並留下恐嚇訊息，指出他們發動攻擊的原因，是這套系統由以色列製造。對此，這家自來水廠表示，攻擊者能夠得逞的原因，很有可能是因為防火牆不夠強大，而能入侵並破壞系統。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客組織Star Blizzard使用新型態的帳密竊盜手法</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-Example-of-victim-redirection-chain-using-initial-HubSpot-URL.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-Example-of-victim-redirection-chain-using-initial-HubSpot-URL.png" style="width: 300px; float: right;" /></a>五眼聯盟上星期針對俄羅斯駭客Star Blizzard（亦稱Seaborgium、TA446、ColdRiver）全球網釣攻擊行動，提出警告，指出從去年開始，這些駭客的攻擊目標，擴及國防工業與能源設施，參與調查的微軟也揭露相關的攻擊手法。</p> <p>根據微軟的觀察，這些駭客自今年4月以來採用新型態的迴避手法，而使得攻擊行動更難被察覺，其中包含：</p> <p>（一）在伺服器利用指令碼來避免Evilginx網釣基礎設施曝光，這種指令碼會在將連線階段（Session）導向Evilginx伺服器前，執行JavaScript程式碼檢查使用者的瀏覽器；<br /> （二）濫用電子郵件行銷平臺來埋藏寄件來源；<br /> （三）濫用DNS服務隱匿他們虛擬專用伺服器（VPS）的IP位址；<br /> （四）濫用雲端檔案共享平臺存放當作誘餌的PDF檔案；<br /> （五）將使用者導向惡意網域的過程中，採用更為隨機的網域產生演算法（DGA）。</p> <p><a href="https://www.veracode.com/blog/research/state-log4j-vulnerabilities-how-much-did-log4shell-change"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Log4Shell公布2年，企業組織仍有近4成Log4j元件曝險</span></strong></a></p> <p></p> <p>2年前Apache發布日誌框架系統Log4j 2.15，當中修補<a href="https://www.ithome.com.tw/news/148337">CVSS風險評分達到滿分的重大漏洞CVE-2021-44228（Log4Shell）</a>，其漏洞影響範圍極為廣泛，當時資安業者Veracode推測近九成企業組織都採用Log4j而可能曝險，美國國土安全部（DHS）評估可能需要10年才能完全修補，近年研究人員再度公布套用緩解措施的情形。</p> <p>資安業者Veracode根據8月15日至11月15日的掃描資料，針對3,866個採用Log4j的企業組織進行調查，這些組織總共於38,278個應用程式上採用該元件，結果發現，約有38%的Log4j曝露於已知漏洞，或是採用生命週期已經結束（EOL）的版本。</p> <p>值得留意的是，僅有2.8%採用2.0-beta9至2.15.0版本的Log4j，而曝露在Log4Shell的風險，大部分曝險的其實是使用過時的1.2版（2015年8月生命週期結束），占32%；另一個引起研究人員關注的是，採用已完全修補Log4Shell的2.17版達到3.8%，但這些應用系統曝露於CVE-2021-44832。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://github.com/skysafe/reblog/tree/main/cve-2023-45866"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果裝置、多家Linux作業系統存在藍牙鍵盤注入漏洞</span></strong></a></p> <p></p> <p>資安業者SkySafe軟體工程師Marc Newlin揭露藍牙鍵盤注入漏洞CVE-2023-45866，這項漏洞影響執行macOS、iOS、Linux、Android作業系統的電腦與行動裝置，允許攻擊者在無需用戶確認的情況下，連線至目標裝置並注入按鍵指令，也就是代表攻擊者從遠端執行各式工作，如同在目標裝置操作鍵盤，例如：安裝應用程式、執行任意命令、轉發訊息，以及其他惡意行為。</p> <p>這種漏洞並非單純的實作錯誤，亦包含藍牙協定本身的設計缺陷，其原理是能欺騙作業系統藍牙晶片的狀態，從而與假鍵盤進行配對。研究人員先是從蘋果電腦與行動裝置找到這項漏洞，並發現就算是使用者啟用了封閉模式（Lockdown Mode），還是無法防堵攻擊者藉此控制裝置。</p> <p>後來他也在Linux電腦、安卓裝置也發現相同弱點，並指出雖然Linux基金會曾在修補CVE-2020-0556就予以處理，但大部分版本Linux預設並未啟用，僅有ChromeOS不受影響；安卓裝置一旦啟用藍牙功能就有可能曝險，研究人發現Google在2012年推出的4.2.2版就存在該漏洞，目前該公司在12月例行更新當中，對於11版以上的安卓作業系統進行修補。</p> <p><a href="https://www.vusec.net/projects/slam/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新型態攻擊手法SLAM鎖定AMD處理器而來，即將問世的Intel、Arm處理器也可能曝險</span></strong></a></p> <p></p> <p>阿姆斯特丹自由大學系統與網路安全小組（VUSec）揭露針對處理器的新型態攻擊手法SLAM，這是結合推測執行（Spectre Execution）與Intel的Linear Address Masking（LAM）安全功能結合的攻擊手法，研究人員在執行Ubuntu作業系統的電腦來驗證其可行性，他們利用未遮罩的小工具，使得使用者區域（Userland）處理程序觸發漏洞，曝露任意的ASCII編碼核心資料。</p> <p>雖然這項漏洞是以Intel推出的LAM命名，但AMD、Arm也在較新的處理器提供類似功能，分別命名為Upper Address Ignore（UAI）、Top Byte Ignore（TBI），因此這些廠牌的處理器晶片也同樣可能曝險。比較特別的是，除了AMD處理器，這種漏洞有可能影響尚未推出的新世代產品。</p> <p>對此，Linux開發團隊推出更新來預設停用LAM；Intel打算日後推出具備LAM功能的處理器之前，先提供軟體開發指引；Arm對於支援TBI的處理器，將發布相關的指引；至於AMD，他們表示，現有的Spectre v2緩解措施已能緩解SLAM弱點。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" src="https://www.youtube.com/embed/y4wZ-tREaNk?si=kztSVL4wIik60ZCL" title="YouTube video player" width="560"></iframe></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-5ghoul-attack-impacts-5g-phones-with-qualcomm-mediatek-chips/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">高通、聯發科5G晶片存在5Ghoul漏洞，700款蘋果、安卓手機曝險</span></span></strong></a></p> <p></p> <p><a href="https://claroty.com/team82/research/dicom-demystified-exploring-the-underbelly-of-medical-imaging"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療影像DICOM系統元件曝露重大漏洞，攻擊者恐用來發動RCE攻擊</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/12/russias-ai-powered-disinformation.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">俄羅斯透過AI針對烏克蘭、美國、德國散布假訊息</span></span></strong></a></p> <p></p> <p><a href="https://www.intruder.io/research/we-hacked-ourselves-with-dns-rebinding"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露利用DNS重新綁定攻擊手法，取得AWS帳密資料</span></span></strong></a></p> <p></p> <p><a href="https://www.group-ib.com/blog/krasue-rat/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">RAT木馬Krasue透過嵌入rootkit在Linux伺服器上隱匿行蹤</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160235"><strong>【12月8日】五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝捕兩名駭客</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160190"><strong>【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</strong></a></p> </div></div></div>
2023/12/11 15:26作者周峻佑https://www.ithome.com.tw/news/160267
英美打算調查微軟與OpenAI的合作是否危及競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在OpenAI結束了受到全球矚目的<a href="https://www.ithome.com.tw/news/159962" target="_blank">高層變動事件</a>之後，英國競爭與市場管理局（Competition and Markets Authority，<a href="https://www.gov.uk/government/news/cma-seeks-views-on-microsofts-partnership-with-openai" target="_blank">CMA）上周五（12/8）宣布</a>，將檢視OpenAI與微軟之間的合作關係及可能衍生的合併，是否會危及市場競爭，並已邀請外界提出意見。另根據<a href="https://www.ft.com/content/c3e8acee-536a-47c2-9322-464d14c51053" target="_blank">《金融時報》</a>（Financial Times ，FT）、<a href="https://www.bloomberg.com/news/articles/2023-12-08/ftc-makes-preliminary-antitrust-queries-into-microsoft-openai" target="_blank">《彭博社》</a>（Bloomberg）的報導，美國聯邦交易委員會（FTC）也正在調查OpenAI及微軟是否違反美國的反壟斷法，目前看來雙方皆僅處於初步調查階段，而FTC則拒絕回應此事。</p> <p>促使CMA及FTC展開調查的起因與日前的事件有關。OpenAI董事會在11月17日<a href="https://www.ithome.com.tw/news/159901" target="_blank">開除</a>OpenAI共同創辦人暨執行長Sam Altman，同時也將Altman及另一名共同創辦人暨董事會主席Greg Brockman逐出董事會，就在外界不明究裡之際，微軟伸出了援手，微軟執行長Satya Nadella於19日<a href="https://www.ithome.com.tw/news/159922" target="_blank">宣布</a>將成立一家新的AI公司並交由Altman與Brockman負責，接著有超過9成的OpenAI員工<a href="https://www.ithome.com.tw/news/159926" target="_blank">連署</a>，誓言追隨Altman。</p> <p>灰頭土臉的OpenAI董事會最後宣布解散並重組，Altman於21日宣布<a href="https://www.ithome.com.tw/news/159962" target="_blank">重返</a>OpenAI。</p> <p>CMA指出，強大基礎模型（FM）的進步是AI發展的關鍵，而AI開發者之間必須維持競爭才能促使該領域繼續創新、成長及負責任地實踐，且FM的下游部署也必須維持開放及有效競爭。有鑑於此，CMA一直密切關注可能削弱FM競爭的合作關係，例如OpenAI與微軟。</p> <p>迄今微軟對OpenAI的投資已超過130億美元，亦正將OpenAI的技術整合到所有的微軟產品中，外傳微軟已取得49%的OpenAI控制權。</p> <p>CMA表示，近日OpenAI的治理產生了一些變化，有部分涉及微軟，它們想知道微軟與OpenAI之間的合作，是否已經導致合併現象，倘若答案是肯定的，那麼對競爭可能造成的潛在影響為何。簡單地說，CMA企圖釐清現在的微軟是否握有對OpenAI的控制權。</p> <p>另一方面，根據美國的併購法令，投資非營利組織是不需要報備的，因此微軟從未向FTC報告過對OpenAI的投資，不過，《金融時報》與《彭博社》相繼引述消息來源報導，FTC正在考慮是否對雙方的關係展開反壟斷調查，惟目前僅止於檢視階段，尚未展開正式調查。</p> <p>剛經歷劇變的OpenAI在解散了原本的董事會之後，現在只有3 名初始董事，舊有的董事成員僅有Quora執行長Adam D’Angelo留任，兩名新董事分別是曾為Salesforce執行長的Bret Taylor，以及曾為美國財政部長的Larry Summers，並由Taylor擔任董事會主席。</p> </div></div></div>
2023/12/11 11:48作者陳曉莉https://www.ithome.com.tw/news/160265
Kotlin後設程式開發工具KSP2預覽，支援新Kotlin編譯器與原始碼生成器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://android-developers.googleblog.com/2023/12/ksp2-preview-kotlin-k2-standalone.html">KSP2</a>（Kotlin Symbol Processing）預覽的消息，KSP2支援代號為K2的新Kotlin編譯器，同時還會新加入一個獨立原始碼生成器，相比目前的Kotlin編譯器擴充套件，這個獨立的原始碼生成器將提供更多的功能以及靈活性。</p> <p>KSP是一個用於Kotlin後設程式開發（Meta-Programming）的高階API。後設程式開發是一種程式開發技術，供開發者編寫能夠操作或是改變其他程式碼的程式碼，也就是說，在後設程式開發中，程式碼不僅僅是完成特定功能的指令，還能夠對程式碼進行分析、修改、生成和轉換。</p> <p>由於KSP提供後設程式開發的功能，因此許多Kotlin開發工具都是建立在KSP之上，讓Kotlin程式碼在編譯的時候生成。例如Google的Jetpack Room就是KSP的衍伸工具，能夠根據開發者提供的介面，產生存取資料庫的程式碼。</p> <p>而雖然KSP已經成為Kotlin後設程式開發的核心基礎，但是Google提到，KSP與當前的一些實作還存在一些差距，因此希望透過新的KSP2架構來解決。KSP2支援使用目前正在開發，預計在Kotlin 2.0正式發布時成為預設的K2編譯器。</p> <p>過去KSP1可以理解為Kotlin 1.x編譯器的擴充套件版本，使用KSP1需要執行編譯器，並指定KSP及其擴充套件選項。在Gradle中，KSP的任務是客製編譯任務，在預設情況中，這些任務實際會分派給KotlinCompileDaemon執行，但因為KotlinCompileDaemon在其自己的程序中運作，位於Gradle的外部，因此讓KSP除錯和測試變得困難。</p> <p>而在KSP2被實作成帶有主要進入點的函式庫，這代表建置系統和工具，不需要配置編譯器，可以透過這個進入點呼叫KSP2，這種方法使得程式化呼叫KS2變得很簡單，特別是在除錯和測試上特別有用。開發者將可以在KSP Processor元件設置中斷點，大幅簡化除錯過程。</p> <p>Google同時也調整了部分KSP2 API的行為，讓開發人員的工作效率更好，也提供更好的可除錯性和錯誤恢復能力，例如在解析Map<String, NonExistentType>時，在KSP1的時候僅會回傳錯誤型別，到了KSP2則會回傳Map<String, ErrorType>。</p> <p>KSP2在多平臺處理方案（Processing Scheme）也將會更新，處理共用程式碼將會更有效率。在之前的版本，當開發者有一個多平臺Kotlin專案，共用的程式碼會依據個別目標平臺，被重複處理和編譯多次，這樣雖然可以確保共用程式碼都能正確被處理，但卻是效率不彰的方法。儘管KSP2多平臺處理方案的細節尚未完全公開，但是預期將會以更有效的方式處理共用程式碼，以減少重複工作並提高編譯效率。</p> </div></div></div>
2023/12/11 08:31作者李建興https://www.ithome.com.tw/news/160237
Google承認Gemini示範影片不是真的，股價應聲下跌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周公布Bard底層最新多模態AI模型<a href="https://www.ithome.com.tw/news/160193" target="_blank">Gemini</a>，不過在媒體記者質疑後，Google承認一段Gemini超神奇表現的影片，其實是編造的結果。</p> <p>在上周一段名為<a href="https://www.youtube.com/watch?v=UIZAiXYceBI" target="_blank">Hands-on with Gemini: Interacting with multimodal AI</a>的影片中，展示Gemini能理解影片中事物或活動，並與使用者流暢對話，也顯示Gemini想超越OpenAI的GPT-4的企圖心。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=UIZAiXYceBI&t=102s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1211-gemini-600-1.jpg" style="width: 450px;" /></a></p> <p>在影片中，Gemini能隨著用戶筆順猜出鴨子、理解拳頭、指頭比出2和5是「剪頭、石頭、布」的遊戲，並正確猜出紙團藏在哪個倒扣的杯子下、也能指出太陽、地球和土星的正確順序。影片顯示Gemini能接受文字、圖片、聲音、影片和程式碼的多模態輸入，且具備近乎人類的推論與對話能力，還能正確說出「鴨子」的中文。Google說，這支影片突顯了他們最喜歡和Gemini之間的互動，但為示範效果之故，減少了AI的延遲性、也精簡了Gemini的輸出。</p> <p>Gemini實在太神奇，或許神奇得不像真的。<a href="https://www.bloomberg.com/opinion/articles/2023-12-07/google-s-gemini-ai-model-looks-remarkable-but-it-s-still-behind-openai-s-gpt-4" target="_blank">《彭博》報導</a>，Google承認，這段影片中Gemini其實並非「看到」影片的即時回應，而是以原始影片的靜態影格剪接而成，再配上文字提示。</p> <p>報導指出，雖然Google有說明影片為了效果而經過優化，但仍然誤導觀眾相信Gemini可看懂影片，並和人類之間可以即時產生流暢對話。</p> <p>Google向<a href="https://www.theverge.com/2023/12/7/23992737/google-gemini-misrepresentation-ai-accusation" target="_blank">《The Verge》</a>說明，影片旨在向開發人員展示Gemini會產生什麼多模態使用者體驗，他們並且重申並非造假，團隊真的有提供Gemini圖像及文字提示，讓它回應預測下一步為何。</p> <p>報導或許會讓Google丟掉好不容易掙回的面子。在OpenAI宣布ChatGPT後感到不安的Google宣布以Bard急起直追，不料展示大會上卻被爆Bard找來的James Webb太空望遠鏡影像是另一座望遠鏡照片的張冠李戴，致使外界認為Google AI技術還不成熟。</p> <p>上周Gemini的展示原希望能一掃Google Bard出糗的恥辱，正面的媒體評價也讓Google股價上揚5%。不過在《彭博》、《The Verge》、<a href="https://techcrunch.com/2023/12/07/googles-best-gemini-demo-was-faked/" target="_blank">《Techcrunch》</a>報導後，再度引發市場對Google是否能趕上OpenAI ChatGPT的疑慮，致使<a href="https://www.youtube.com/watch?v=lm-LIGtUtmQ" target="_blank">股價</a>再度由升轉跌，一度超過2%。</p> </div></div></div>
2023/12/11 08:41作者林妍溱https://www.ithome.com.tw/news/160261
OpenAI說將解決ChatGPT變懶惰的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/ChatGPTapp/status/1732979491071549792" target="_blank">OpenAI上周承認</a>，GPT4.0變懶惰了，但也承諾將解決此事。</p> <p>OpenAI說聽到使用者對GPT4變懶惰的反饋意見了，該公司解釋原因在於他們從11月11日就未再更新模型，這「當然不是故意的」。GPT模型可能因此變得不可預測，OpenAI也正在著手修復問題。</p> <p>使用者抱怨GPT 4「變懶惰」是指，這模型在11月底前後開始不再確實執行用戶的指令。例如<a href="https://www.digitaltrends.com/computing/heres-why-people-are-saying-gpt-4-is-getting-lazy/" target="_blank">《Digitaltrend》</a>報導，一名<a href="https://twitter.com/krishnanrohit/status/1729353613498261597" target="_blank">ChatGPT Plus用戶指出</a>ChatGPT說檔案太長無法轉檔，撰寫表格只填了3欄、拒絕讀取連結、也無法讀取Python檔，或是叫它使用程式碼解釋器，它卻用了圖片生成模型。另一名用戶叫ChatGPT列出特定二個時間點之間的日期，它卻要求提供更多資訊，例如這個期間有幾個禮拜。</p> <p>OpenAI說明，模型未更新讓GPT模型行為出現細微的變化，但只有很少部份提示效果變差，因此使用者和公司員工要好一段時間才會發現並解決問題。</p> <p><a href="https://twitter.com/ChatGPTapp/status/1733329176479039558" target="_blank">OpenAI並指出</a>，在發布新模型前，他們會做徹底的離線評估和線上A/B測試，而在所有測試後，會根據數據判定新模型對真實使用者而言是否優於前一代，同時OpenAI也鼓勵使用者持續給予回饋意見。</p> <p>不過ChatGPT某些行為似乎是刻意設定的。<a href="https://www.businessinsider.com/chatgpt-ai-refuse-to-respond-prompt-asking-repeat-word-forever-2023-12" target="_blank">例如上周有用戶發現</a>，當用戶要求「永遠」重複某個字詞（例如computer）時，ChatGPT拒絕執行無限重覆某個字。ChatGPT給的理由是技術限制、沒有意義，以及對使用者體驗沒有幫助。</p> <p>至於GPT4的更新工作何以中斷，OpenAI並未說明，不過可能與11月的人事動盪有關。OpenAI舉行首次開發者大會宣布GPT 4.0及多項更新後，旋即發生CEO Sam Altman一度遭董事會開除，後者還接連任命2任CEO，Altman及總裁Greg Brockman還曾短暫加入微軟。</p> <p>雖然5天後Altman重回原職，但組織一陣混亂，又碰上時值歐美市場的年底假期，OpenAI的日常事務已遭到耽擱。除了GPT 4.0的更新外，原預定12月初上線供開發人員分享客製化模型的GPT Store，因為某事讓他們忙得不可開交，<a href="https://www.ithome.com.tw/news/160165" target="_blank">將延遲到2024年初才會開張</a>。</p> </div></div></div>
2023/12/11 09:17作者林妍溱https://www.ithome.com.tw/news/160262
AI趨勢周報第235期：Mamba架構橫空出世，克服Transformer運算效率缺陷還具5倍吞吐量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1201～1207)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mamba </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Transformer </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 運算資源 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Mamba橫空出世引起AI社群關注，克服Transformer運算缺陷還具5倍吞吐量</strong></span></p> <p>自2017年Google釋出Transformer架構以來，它就成為大模型的主流架構，不只是BERT、T5，就連GPT系列模型、Gemini等大型語言模型（LLM）都以Transformer為基礎。但最近，來自卡內基美隆（CMU）大學和Together AI的專家Albert Gu和Tri Dao共同打造Mamba架構，克服了Transformer的運算效率缺陷，挑戰Transformer的霸權地位。</p> <p>這是因為，Transformer模型中的自我注意力機制，其運算資源會隨上下文長度增加而呈平方倍增長，比如上下文增加20倍，所需的運算資源就會達到400倍，非常龐大。也因此，<a href="https://twitter.com/tri_dao/status/1731728602230890895?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1731782599935205463%7Ctwgr%5E152ccc5c82ce0d2409eb8bda4fab7183e50074e7%7Ctwcon%5Es3_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fmamba-is-here-to-mark-the-end-of-transformers%2F">Tri Dao表示</a>，Transformer的注意力機制難以擴展到長序列任務。為克服這個問題，至今有不少專家提出高效能注意力機制改善方法，但通常伴隨模型表現不如原本的代價。</p> <p>而Mamba採用結構化狀態空間模型（SSM），所需運算量可隨序列增加而呈線性增長，可處理數百萬個Token的長序列上下文運算，解決Transformer的運算效率低下問題，還能實現5倍吞吐量。Mamba可作為通用序列模型的骨幹模型，團隊測試，Mamba在語言、音訊和基因組學等多種任務中達到高階（SOTA）性能，特別是在語言建模部分，Mamba-3B模型表現不只比同參數量的Transformer好，還與2倍規模的Transformer相當。<a href="https://github.com/state-spaces/mamba">（詳全文）</a></p> <p><img alt="" src="https://pbs.twimg.com/media/GAhV2yOacAASvaj?format=jpg&name=900x900" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4V </span></strong></span></p> <p><span style="font-size: 22px;"><strong>GPT-4V最強對手來了，Google多模態Gemini模型登場</strong></span></p> <p>Google正式推出原生的多模態大型語言模型Gemini，可同時支援文字、圖片和聲音的輸入。在32項AI測試中，有30項的評分超越了OpenAI的GPT-4V。Google預計推出3種Gemini版本，包括模型最大的Ultra版、通用性最廣的Pro版，以及可在手機裝置上運作的Nano版。</p> <p>Google展示一段實測影片，來呈現Gemini多模態的回答能力。他們讓Gemini一邊看影片，一邊解讀畫面內容，包括展示人員即時手繪，Gemini能給出每一個動作所對應的意義，如這是隻鴨子，現在在水上游泳，有藍色外觀。當展示人員拿出實體玩具鴨子按壓發生聲音時，AI甚至打趣的說，真的拿出了呱呱叫的鴨子，AI還能糾正展示人員對於「鴨子」中文發音的重音位置錯誤。</p> <p>不只能同時分辨和理解文字、圖片和聲音，Gemini還能分辨、解釋幾種熱門開發語言，包括Python、Java、C++和Go語言。Google也用Gemini打造了新版的程式碼生成系統AlphaCode 2，比2年前的第一代進步許多，可解決兩倍的問題。<a href="https://deepmind.google/technologies/gemini/#introduction">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/UIZAiXYceBI?si=jJTbjWfMdi2ItBF3&controls=0" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI聯盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta、IBM等巨頭合組開源AI聯盟</strong></span></p> <p>Meta聯手IBM，在12月5日宣布與英特爾、AMD、Linux基金會等組織跨界合組AI聯盟，推動AI開源碼技術的開發和共享，來推動負責任AI的發展。這個組織創始成員除了Meta、IBM，還有50多個組織成員，包括英特爾、AMD、Dell、Stability AI、Hugging Face、甲骨文、Red Hat、Sony、ServiceNow、Linux基金會等業者，美國航太總署（NASA）、歐洲核子研究組織（CERN）、醫學中心Cleveland Clinic，以及哈佛大學、耶魯大學、洛桑聯邦理工學院、加州大學柏克萊分校、東京大學等，但Google、微軟、OpenAI和AWS等並未加入。</p> <p>AI聯盟的目的是，藉由公開和分享，來避免如ChatGPT這類封閉式AI引發的偏見、假資訊、幻覺和漏洞等風險。該聯盟的開發計畫包括打造安全工具與標準，像是建立AI安全與信任的工具型錄，並協助將這些工具推廣到廠商，再來是打造解決氣候、教育等問題的多模態、多語言的科學模型，此外還要建置強大的AI硬體加速器，並協助全球性的AI技術養成。另外也要開發AI教育、規範內容，並推動負責任AI開發的宣導活動。<a href="https://ai.meta.com/blog/ai-alliance/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TPU </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超級電腦架構 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資源管理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google發表新一代TPU和超級電腦架構</strong></span></p> <p>12月7日，Google發表了最新張量處理器Cloud TPU v5p、超級電腦架構AI Hypercomputer以及資源管理工具<a href="https://cloud.google.com/blog/products/compute/introducing-dynamic-workload-scheduler">Dynamic Workload Scheduler</a>，來加速AI任務的執行和處理。進一步來說，今年11月，Google才推出Cloud TPU v5e，最近發表Cloud TPU v5p，前者強調成本效益，後者則號稱是目前最強大的TPU。每個TPU v5p pod具備8,960個晶片，晶片間的互連速度達4,800 Gbps，相較於上一代的TPU v4，提供了2倍的FLOPS和3倍的高頻寬記憶體（HBM）。</p> <p>至於AI Hypercomputer架構，整合了最佳化效能的硬體、開源軟體、主流機器學習框架，比如JAX、TensorFlow、PyTorch等開源機器學習框架，或Multislice Training、Multihost Inferencing等軟體，且還整合GKE與Google Compute Engine。就資源管理工具Dynamic Workload Scheduler來說，它支援Cloud TPU與Nvidia GPU，可同時調度所需的加速器，其中的Flex Start還能用來微調模型、實驗、較短的訓練任務、蒸餾、離線推理和批次任務，並在準備執行請求GPU與TPU容量，是一種相對經濟的選擇。<a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-cloud-tpu-v5p-and-ai-hypercomputer/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MLX </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Silicon </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果公布Apple Silicon平臺專用AI框架MLX</strong></span></p> <p>在微軟和英特爾等業者大肆宣傳AI PC概念的同時，向來較沈默的蘋果也公布了AI框架MLX，可在Apple Silicon平臺上執行。MLX類似Python常用框架NumPy的陣列框架，能提高在Apple Silicon平臺上執行ML任務的效率和彈性。</p> <p>蘋果指出，MLX的設計靈感來自PyTorch、Jax和ArrayFire等框架，MLX陣列位於共享記憶體中，因此可執行在任何支援的裝置上，如GPU和CPU，無需複製資料。MLX有功能完整的C++ API，且有3大特點，如在自動微分、自動矢量化和運算圖表優化部分，具有可組合函式轉換，再來是MLX的運算為惰性求值，第3個特點是多裝置支援，可在支援的CPU、GPU上執行運算。目前，開發者可從GitHub網頁下載MLX。<a href="https://ml-explore.github.io/mlx/build/html/index.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 思科 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 防火牆 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 規則管理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>思科推AI助理，簡化防火牆規則管理</strong></span></p> <p>思科最近推出資安AI助理（Cisco AI Assistant for Security），能提供自動化規則配置、協助用戶分析和決策，來強化企業防火牆管理。企業防火牆的用意是保護網路免受惡意流量侵害，但防火牆規則卻不好管理，比如普通防火牆就有數千條規則和處理流量，其中許多規則過時、冗餘甚至矛盾。於是Cisco打造LLM防火牆規則管理助理，用戶可以自然語言管理防火牆，如排除故障和配置設定、找出可疑活動等。思科這款助理具多種功能，主要能在Cisco雲端防火牆管理中心與Cisco Defense Orchestrator（CDO）發揮作用，解決設定和維護複雜政策和防火牆規則的挑戰。</p> <p>此外，Cisco還推出適用於所有防火牆模型的AI加密能見度引擎，經數十億個樣本訓練而成，不需解密流量，就能判斷流量是由哪一個作業系統以及客戶端應用程式產生，直接從加密流量找出惡意軟體傳輸。<a href="https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/blogs-images/ciscoblogs/1/2023/12/firewall_ai_assistant_policy_screenshot-1.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDE </span></strong></span></p> <p><span style="font-size:22px;"><strong>AWS新推擴充套件，用AI簡化雲端程式架構設計流程</strong></span></p> <p>AWS正式推出Application Composer整合開發環境的擴充套件，可讓開發者直接在IDE使用Application Composer功能，以視覺化操作方法，更有效地設計和部署雲端應用程式，還簡化開發流程。</p> <p>AWS在2022年推出視覺化工具Application Composer，讓開發者透過拖放操作，連接和分組AWS服務，更簡單地設計和開發應用程式架構。這次新推出的擴充套件，則能讓開發者在熟悉的IDE工具中，運用相同的視覺化拖放操作體驗，快速建立想法原型。而且，新擴充套件還能和IDE中的各種工具整合，提供即時生成的程式碼模板，以及AWS無伺服器應用模型整合，方便管理和部署無伺服器應用程式。Application Composer擴充套件還整合生成式AI，能即時生成程式碼建議，來加速開發工作。<a href="https://aws.amazon.com/tw/blogs/aws/ide-extension-for-aws-application-composer-enhances-visual-modern-applications-development-with-ai-generated-iac/">（詳全文）</a></p> <p><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2023/11/07/2023-app-composer-quickpreview.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> JetBrains </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IDE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式開發 </span></strong></span></p> <p><span style="font-size:22px;"><strong>JetBrains新AI程式開發助理整合自家IDE</strong></span></p> <p>擁有IntelliJ IDEA、PyCharm等多款旗下IDE產品的JetBrains，最近推出程式開發AI助理，要提高開發者軟體開發的效率和品質。JetBrains AI助理能解釋程式碼、回答程式碼相關問題，也能生成文件或轉換程式語言等工作。</p> <p>JetBrains透過將AI助理融入使用者工作流程，善用IDE對開發者程式碼的理解，掌握整體開發上下文和專案結構，來對AI助理底層語言模型提供詳細資訊。而且，開發者能以開放式聊天介面和AI助理對話，查詢特定函式功能，或編寫、除錯程式碼。此外，AI助理也能在重構任務幫上忙，雖然JetBrains IDE本身也有重構功能，但AI助理能進一步提供潛在程式碼的重構建議，並解釋原因。目前，該AI助理為訂閱服務，可在IntelliJ IDEA、PyCharm、PhpStorm、ReSharper、Fleet等JetBrains IDE中使用。<a href="https://blog.jetbrains.com/blog/2023/12/06/introducing-jetbrains-ai-and-the-in-ide-ai-assistant/">（詳全文）</a></p> <p><img alt="" src="https://blog.jetbrains.com/wp-content/uploads/2023/12/ai-chat-option-2.png" /></p> <p>圖片來源／Albert Gu和Tri Dao、Google、思科、AWS、GetBrains</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Copilot升級至DALL-E 3與GPT-4 Turbo</strong></p> <p><strong>2. 群創用AI改造智能超市，導入智慧購物車、即時分群廣告推播及互動式酒促客服體驗</strong></p> <p><strong>3. Meta強化Meta AI、推出AI圖片生成網頁版、研發浮水印</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/10 00:16作者王若樸https://www.ithome.com.tw/news/160256
駭客假冒WordPress名義寄送資安公告，意圖推送後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress網站的攻擊行動不時傳出，大多是針對外掛程式的漏洞而來，藉此入侵網站，並植入惡意程式進行控制，但最近有一起攻擊行動相當不同，駭客將計就計，反過來以此引誘管理者上當，他們謊稱網站有漏洞，要管理者儘快套用「修補程式」。</p> <p>值得留意的是，雖然駭客煞有其事地指出網站漏洞CVE編號，但其實是完全不存在的漏洞，對方也未提供進一步的細節，留下破綻；然而若是網站管理者一時不察，還是很有可能落入圈套，被誘騙安裝惡意軟體。</p> <h3><strong>聲稱網站有漏洞，並列出CVE編號</strong></h3> <p>資安業者<a href="https://www.wordfence.com/blog/2023/12/psa-fake-cve-2023-45124-phishing-scam-tricks-users-into-installing-backdoor-plugin/">Wordfence</a>、<a href="https://patchstack.com/articles/fake-cve-phishing-campaign-tricks-wordpress-users-to-install-malware/">PatchStack</a>提出警告，他們發現駭客鎖定WordPress網站的管理者，寄送釣魚郵件，聲稱偵測到網站存在漏洞，有可能讓攻擊者遠端執行任意程式碼（RCE），導致網站及使用者的資料外流，呼籲管理者套用CVE-2023-45124的修補程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-wordpress-org.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-wordpress-org.png" style="width: 580px;" /></a></p> <p>收信人若一時不察，未驗證此資訊的可信度，就傻傻地依此指示點選下載外掛程式（Plugin）的按鈕，就會被帶往冒牌WordPress網站en-gb-wordpress[.]org，若是管理者將駭客提供的外掛程式部署於網站上，該外掛程式將會新增惡意管理員帳號wpsecuritypatch，並將網站URL及密碼打包回傳C2，然後於網站植入後門程式wpgate[.]zip，使得駭客能持續控制受害網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png" style="width: 580px;" /></a></p> <p>值得留意的是，上述外掛程式會隱匿惡意管理者帳號，網站管理員難以察覺其蹤跡。PatchStack研究人員發現，駭客為了取信網站管理者，在外掛程式的留言區列出了多則假評論，並且將Automattic公司的知名人士列為開發人員。</p> <h3><strong>擁有看似正常安裝流程的「修補程式」</strong></h3> <p>PatchStack對於駭客提供的「修補程式」進行分析，一旦網站管理者從該網站下載，將會取得帶有CVE編號名稱的ZIP壓縮檔（如cve-2023-45124.zip），但研究人員指出，根據駭客使用的釣魚網域不同，他們也看到其他檔案名稱的ZIP檔。</p> <p>網站管理者若是將其在網站上安裝並啟用，WordPress的管理介面便會顯示「CVE-2023-45124已成功修補」的訊息，駭客還「呼籲」管理者，與其他可能受到該漏洞影響人士分享「修補程式」，希望藉由上當的管理者來進一步散布惡意軟體。</p> <p>但在上述的過程背後，這個惡意外掛先是建立具有管理員權限的帳號wpsecuritypatch，並為設置隨機密碼；接著向攻擊者的伺服器發送HTTP GET請求，在其中一起攻擊行動裡，對方利用包含Base64編碼資料的wpgate[.]zip/wpapi，並搭配網站查詢參數，傳送網址、前述建立的管理員帳號及密碼。</p> <p>攻擊者再向wpgate[.]zip/runscan發送HTTP GET請求，並得到Base64編碼的資料回傳，然後在惡意外掛程式裡進行解碼，企圖將其內容植入名為wp-autoload.php的檔案。最終此外掛程式將自己隱藏起來，並將上述產生的管理者帳號也進行隱匿。</p> <p>研究人員分析了惡意程式碼的內容，並指出駭客在註解說明了其中的用途。</p> <p>經過前述的步驟，駭客已製作名為wp-autoload.php的後門程式，並能將其用於後續的攻擊行動，而有可能在網站上注入廣告、將使用者重新導向惡意網站、集結其他被植入後門程式的網站發動DDoS攻擊、竊取帳務資訊，或是讓駭客向管理者勒索。</p> </div></div></div>
2023/12/10 14:54作者周峻佑https://www.ithome.com.tw/news/160247
俄羅斯駭客APT28鎖定Outlook零時差漏洞，意圖挾持Exchange電子郵件信箱帳號，主要目標是北約組織成員國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在今年3月的例行更新（Patch Tuesday）當中，修補Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），當時透露與俄羅斯軍情單位GRU有關的駭客，在去年4月中旬到12月將其用於攻擊行動。如今研究人員透露更多細節。</p> <p>由於這項漏洞利用的難度並不高，攻擊者可透過發送特製的電子郵件來觸發漏洞，導致收信程式Outlook搜尋和處理的過程中就有可能中招，甚至有可能在預覽窗格呈現之前就觸發。</p> <p>更進一步來說，攻擊者發送的惡意郵件當中，會帶有延伸的MAPI屬性，當中帶有通用命名規範（Universal Naming Convention，UNC）路徑，連至攻擊者控制的SMB共享資料夾（即TCP的445埠）。</p> <p>上述連線至遠端SMB伺服器的過程裡，會發送使用者的NTLM交握訊息，從而導致攻擊者能在其他支援NTLM身分驗證的系統上進行身分驗證的重放攻擊。</p> <h3><strong>漏洞修補後，俄羅斯駭客組織APT28仍持續利用</strong></h3> <p>針對這項漏洞利用攻擊，12月4日<a href="https://twitter.com/msftsecintel/status/1731626192300634585">微軟威脅情報團隊提出警告</a>，俄羅斯駭客組織APT28（亦稱Fancy Bear、Strontium、Forest Blizzard）近期積極利用今年3月修補的漏洞CVE-2023-23397，企圖存取Exchange伺服器上的電子郵件信箱帳號，目標是美國、歐洲、中東的政府機關、運輸業、非政府組織。</p> <p>這項漏洞最初是由微軟與烏克蘭電腦網路危機處理小組（CERT-UA）共同發現，為權限提升漏洞，攻擊者可傳送帶有特定MAPI屬性的惡意郵件觸發漏洞，收信人連向駭客控制的SMB共享資料夾，導致駭客能夠取得Net-NTLMv2的雜湊值，進而執行NTLM重放攻擊（NTLM Relay）。</p> <p>而在這一波漏洞攻擊行動裡，微軟發現駭客不光利用CVE-2023-23397，<a href="https://www.microsoft.com/en-us/security/blog/2023/03/24/guidance-for-investigating-attacks-using-cve-2023-23397/">還可能會搭配其他已知漏洞</a>，例如：WinRAR漏洞CVE-2023-38831，或是瀏覽器排版引擎MSHTML排版引擎漏洞CVE-2021-40444。其他也有可能遭到利用的漏洞包括：CVE-2021-42292、CVE-2021-42321、CVE-2021-34473、CVE-2020-17144、CVE-2020-0688等。</p> <p>波蘭網路司令部（Polish Cyber Command，DKWOC）<a href="https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/">也在當地察覺類似的攻擊行動</a>，並提供工具讓IT人員來檢查Exchange伺服器是否受害。</p> <p>DKWOC提出以下5個防範措施</p> <p>（一）修補CVE-2023-23397，以及此漏洞的繞過漏洞CVE-2023-29324；<br /> （二）利用微軟提供的指令碼檢查Exchange伺服器；<br /> （三）對於遭到入侵的使用者重設密碼；對於所有使用者啟用多因素驗證（MFA）；<br /> （四）封鎖來自外部IP位址的135埠、445埠流量；<br /> （五）停用NTLM。</p> <h3><strong>受害組織主要來自北約組織成員國，遍布14個國、30個組織</strong></h3> <p>在微軟對這群駭客利用Outlook零時差漏洞發動攻擊提出警告，並指出他們的目的是從Exchange伺服器盜取電子郵件帳號，目前也有其他研究人員揭露更多調查結果。</p> <p>例如，<a href="https://unit42.paloaltonetworks.com/russian-apt-fighting-ursa-exploits-cve-2023-233397/">資安業者Palo Alto Networks就揭露這些駭客攻擊行動的規模</a>。這些駭客約在20個月裡發動3波攻擊行動，針對14個國家、逾30個企業組織而來。</p> <p>這些駭客從俄羅斯對烏克蘭進行軍事行動之後，在2022年3月就開始利用這項漏洞攻擊烏克蘭移民署；同年4月中旬至12月，該組織將其用於入侵歐洲15國政府、軍事單位、能源組織、交通單位的網路環境，竊取俄羅斯入侵烏克蘭有關的軍事情報電子郵件。</p> <p>而在微軟今年3月修補漏洞後，這些駭客仍舊透過這項漏洞竊取帳密資料，進行第2波攻擊行動，從而於受害組織進行橫向移動，相關的攻擊行動在5月另一個MSHTML漏洞CVE-2023-29324（CVSS風險評分6.5）公布後顯著增加。</p> <p>而在今年的9月至10月，這些駭客從事第三波攻擊行動，研究人員確認目標至少涵蓋7個國家的9個組織。</p> <p>Palo Alto Networks的研究人員指出，遭到這些駭客攻擊的國家，除了烏克蘭、約旦、阿拉伯聯合大公國（UAE），其餘皆為北約組織（NATO）會員國，且有北約快速部署兵團遭到鎖定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Fighting-Ursa-F2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Fighting-Ursa-F2.png" style="width: 580px;" /></a></p> </div></div></div>
2023/12/10 10:45作者周峻佑https://www.ithome.com.tw/news/160246
【資安日報】12月8日，五眼聯盟針對俄羅斯駭客Star Blizzard大規模網釣攻擊採取法律行動，祭出千萬美元獎金緝…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯國家級駭客鎖定歐美國家的攻擊行動頻傳，其中一個組織Star Blizzard最近被大國盯上，引發全球關注，因為近期五眼聯盟提出警告，並開始採取法律行動，通緝兩名該組織的成員。</p> <p>值得注意的是，五眼聯盟握有相關情報，這些駭客聽令於俄羅斯軍情單位聯邦安全局（FSB），且曾經企圖干預選舉，危害不容小覷。參與調查的<a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/">微軟也公布相關調查結果</a>，呼籲使用者提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160227"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">五眼聯盟指控俄羅斯駭客Star Blizzard全球網釣攻擊行動，兩名嫌犯遭起訴</span></strong></a></p> <p></p> <p>12月7日五眼聯盟指控，俄羅斯駭客組織Star Blizzard（亦稱Seaborgium、TA446、ColdRiver）自2019年開始，相準學術界、國防、政府機關、非政府組織、智庫、政治人物展開網釣攻擊，主要目標為美國與英國，北約國家，但俄羅斯的鄰國也有受害者。到了2022年，Star Blizzard的攻擊活動進一步擴大到國防工業及美國能源部的設施。</p> <p>這些駭客先調查目標對象的興趣及網路活動，再冒充各種類型的專家，透過社群媒體等網路平臺與其進行交流，並以會議或活動邀約為誘餌，使用Outlook、Gmail、Yahoo! Mail、Proton等電子郵件平臺發動攻擊。</p> <p>五眼聯盟指控，該駭客組織隸屬俄羅斯聯邦安全局（FSB），英國特別表明這些駭客曾干預該國選舉，而美國目前已起訴兩名駭客Ruslan Aleksandrovich Peretyatko、Andrey Stanislavovich Korinets，並指出其中一名的身分是FSB官員，懸賞1千萬美元、抓拿這些駭客。</p> <p>資料來源</p> <p>1. <a href="https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns">https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns</a><br /> 2. <a href="https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer">https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer</a><br /> 3. <a href="https://home.treasury.gov/news/press-releases/jy1962">https://home.treasury.gov/news/press-releases/jy1962</a></p> <p><a href="https://unit42.paloaltonetworks.com/russian-apt-fighting-ursa-exploits-cve-2023-233397/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28利用Outlook零時差漏洞發動攻擊，主要目標是北約組織會員國</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-131555-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131555-1.png" style="width: 300px; float: right;" /></a>別名為Fancy Bear、Strontium、Fighting Ursa的俄羅斯駭客組織APT28，最近又犯案了！微軟對這群駭客利用Outlook零時差漏洞CVE-2023-23397（CVSS風險評分9.8）發動攻擊提出警告，<a href="https://www.ithome.com.tw/news/160172#CVE-2023-23397">並指出他們的目的是從Exchange伺服器盜取電子郵件帳號</a>，目前也有其他研究人員揭露更多調查結果。</p> <p>例如，資安業者Palo Alto Networks就揭露這些駭客攻擊行動的規模。這些駭客約在20個月裡發動3波攻擊行動，針對14個國家、逾30個企業組織而來。這些駭客從俄羅斯對烏克蘭進行軍事行動之後，在2022年3月就開始利用這項漏洞攻擊烏克蘭移民署；同年4月中旬至12月，該組織將其用於入侵歐洲15國政府、軍事單位、能源組織、交通單位的網路環境，竊取俄羅斯入侵烏克蘭有關的軍事情報電子郵件；而在微軟今年3月修補漏洞後，這些駭客仍舊透過這項漏洞竊取帳密資料，從而於受害組織進行橫向移動，相關的攻擊行動在5月另一個MSHTML漏洞CVE-2023-29324（CVSS風險評分6.5）公布後顯著增加。</p> <p>Palo Alto Networks的研究人員指出，遭到這些駭客攻擊的國家，除了烏克蘭、約旦、阿拉伯聯合大公國（UAE），其餘皆為北約組織（NATO）會員國，且有北約快速部署兵團遭到鎖定。</p> <p><a href="https://www.ithome.com.tw/news/160209"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google、蘋果證實多國政府向其調閱行動裝置應用程式推播資料</span></strong></a></p> <p></p> <p>12月6日美國參議員Ron Wyden寄信給司法部（DOJ），要求Google、蘋果這兩大科技公司，公開各國政府向他們調閱行動裝置推播通知（Mobile Push Notification）的情況。</p> <p>這項要求源於Ron Wyden在2022年接獲的消息，得知有許多美國以外的國家，向Google、蘋果要求相關資料的記錄，該名參議員展開調查，發現是美國政府禁止這些IT業者公布相關資訊，從而得知許多國家會利用這種資料的情況。值得留意的是，這種行動裝置推播的功能，並非直接從程式開發者傳送至手機，而是中間透過作業系統的服務來進行傳遞的工作，意即過程裡Google、蘋果扮演仲介的角色。</p> <p>對此，這兩家業者向科技新聞網站TechCrunch證實，Google表示已發布透明度報告揭露政府請求的各式用戶資料；蘋果也表明將在透明度報告公布相關資訊。</p> <p>資料來源</p> <p>1. <a href="https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf">https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf</a><br /> 2. <a href="https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/">https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/</a></p> <p><a href="https://www.jamf.com/blog/fake-lockdown-mode/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露針對iPhone的新型態攻擊手法，假借啟動封閉模式降低用戶戒心</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockdown-mode-toggle.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockdown-mode-toggle.png" style="width: 300px; float: right;" /></a>為了針對特定人士提供較為嚴謹的防護，防範間諜軟體等目標式攻擊，蘋果自去年9月，對旗下的行動裝置、電腦、穿戴裝置作業系統：iOS 16、iPadOS 16、watchOS 10、macOS Ventura，開始提供封閉模式（Lockdown Mode）的機制，但現在研究人員發現，攻擊者也可以反向操作，讓受害者以為自己的蘋果裝置執行這種模式而降低警戒。</p> <p>資安業者Jamf提出警告，這種模式雖然能大幅降低攻擊面，不過，一旦裝置遭駭之後，就算啟用封閉模式也無法阻止惡意軟體運作，他們揭露一種後利用的竄改手法，駭客一旦成功滲透到目標設備中，就有可能藉由竄改特定C語言程式碼的函式內容，讓受害者以為裝置啟動了封閉模式。</p> <p>研究人員指出，在執行iOS 16.5的手機上，封閉模式仍是在使用者空間的虛擬記憶體當中運作，系統核心並不知道這樣的行為，使用者啟用、停用該模式也無需重開機，他們便試圖讓系統看起來重新啟動，使得他們注入的惡意程式碼可持續在背景運作、監視受害者。</p> <p><a href="http://www.welivesecurity.com/en/eset-research/beware-predatory-fintech-loan-sharks-use-android-apps-reach-new-depths/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">安卓惡意軟體SpyLoan假借提供個人貸款吸金，被從Google Play市集下載逾1,200萬次</span></strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3-apps-that-were-available-on-official-stores-for-ios-and-android-in-2020.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3-apps-that-were-available-on-official-stores-for-ios-and-android-in-2020.png" style="width: 300px; float: right;" /></a>資安業者ESET提出警告，他們發現今年初假借提供快速貸款的惡意應用程式SpyLoan顯著增加，這些App偽裝成提供個人信用貸款服務的軟體，號稱可讓使用者快速、輕鬆取得資金，但實際上駭客將其誘騙使用者接受高利貸，並向其進行勒索。</p> <p>研究人員指出，光是今年駭客上架於Google Play市集的惡意程式，就有18款，總共被下載超過1,200萬次，但這些App駭客也透過其他第三方市集、惡意網站散布，受害情況可能遠超過這樣的規模。研究人員通報後，Google已下架其中17款。根據研究人員偵測的資料，這種威脅在墨西哥、印度、泰國、印尼、奈及利亞、菲律賓、埃及、越南、新加坡、肯亞、哥倫比亞、秘魯特別嚴重。</p> <p><a href="https://snyk.io/reports/ai-code-security/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為了使用AI工具，高達八成開發人員無視公司資安政策</span></strong></a></p> <p></p> <p>開發人員大量採用人工智慧工具輔助開發的情況與日俱增，根據軟體業者JetBrains的調查，<a href="https://www.ithome.com.tw/news/160023">77％開發人員用ChatGPT，46％用GitHub Copilot</a>，但這種情況對企業組織的資訊安全也帶來新的挑戰。</p> <p>資安業者Synk針對537名軟體工程師及資安團隊成員進行調查，這些受訪者所屬的企業組織幾乎（96%）已在軟體供應鏈當中，採用了AI程式碼工具。但有80%的開發人員坦承，他們為了使用人工智慧程式開發輔助工具，必須繞過所屬組織的資安政策。另一方面，僅有不到十分之一的組織，對程式碼導入自動化安全掃描機制。</p> <p>研究人員指出，這樣的情況不只影響組織的資安，甚至還左右開源工具鏈的生態，73.2%開發人員曾貢獻程式碼，但只有24.6％採用軟體組成分析（Software Composition Analysis，SCA）工具，驗證人工智慧生成的建議程式碼。這樣的情況會因為開發團隊導入AI加速開發，使得組織更容易採用不安全的開源元件，同時人工智慧開發工具也使用開源程式碼作為訓練資料，從而習得不安全的程式碼，導致惡性循環。值得留意的是，雖然開發人員採用相關工具的情況非常普遍，但高達86%對於這類工具安全性存在疑慮。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://about.fb.com/news/2023/12/default-end-to-end-encryption-on-messenger/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Meta宣布Messenger正式啟用全程加密</span></strong></a></p> <p></p> <p>2016年Meta宣布為Messenger加入全程加密（E2EE）的功能，但直到最近該公司才在相關服務預設啟用這項機制。12月6日Meta宣布，所有的Messenger通訊會直接開啟E2EE，使用者不需手動開啟相關功能，該公司表示這是Messenger有史以來規模最大的功能升級。</p> <p>但為何Messenger預設啟用E2EE需耗費長達7年的時間？Meta指出，他們的工程師、密碼學專家、設計師、政策專家、產品專家重新打造Messenger，引入新的安全性及控制功能，並與外部專家、學者、政府機關密切合作，找出潛在風險並制訂緩解措施，來達到隱私及安全需求。此外，過程中他們也面臨兒童保護團體的施壓，擔心採用E2EE後，會令Meta無法偵測到虐待兒童事件。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://android-developers.googleblog.com/2023/12/virtual-machines-as-core-android-primitive.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">為強化Android虛擬化支援與安全性，Google推出AVF工具包簡化隔離應用開發</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-is-investigating-cyberattack-and-potential-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Atlassian修補DevOps協作平臺、缺陷跟蹤管理系統等多項產品的重大漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-slam-attack-steals-sensitive-data-from-amd-future-intel-cpus/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">新型態攻擊手法Slam鎖定AMD處理器而來，即將問世的Intel、Arm處理器也可能曝險</span></span></strong></a></p> <p></p> <p><a href="https://redcanary.com/blog/aws-sts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">AWS安全存取服務STS有可能被濫用，攻擊者藉此冒充使用者身分</span></span></strong></a></p> <p></p> <p><a href="https://www.websiteplanet.com/news/wala-breach-report/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">國際犬類繁殖組織WALA伺服器不設防，曝露25 GB資料</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160208"><strong>【12月7日】研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景執行</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160190"><strong>【12月6日】駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160172"><strong>【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</strong></a></p> </div></div></div>
2023/12/8 18:26作者周峻佑https://www.ithome.com.tw/news/160235
Apple與部分Linux作業系統尚未修補已公開的藍牙鍵盤注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SkySafe軟體工程師Marc Newlin<a href="https://github.com/skysafe/reblog/tree/main/cve-2023-45866">發現</a>了一個新的藍牙安全漏洞CVE-2023-45866，涉及未經認證的藍牙鍵盤注入攻擊，影響的系統包括Android、Linux、macOS和iOS。資安人員提到，這個漏洞看起來包含協定的設計缺陷，而非單純的實作錯誤。</p> <p>Marc Newlin發現多個藍牙堆疊實作具有可以繞過身分驗證的漏洞CVE-2023-45866，允許攻擊者在無需用戶確認的情況下，連接到目標主機，並且注入按鍵指令。這代表攻擊者可以從遠端執行各種操作，就像是使用受害者裝置上的鍵盤一樣，執行應用程式安裝、任意命令、轉發訊息，以及其他惡意行為都沒問題。該攻擊行動不需要複雜的硬體，只需要一臺配備有藍牙連接器的Linux電腦就可以完成。</p> <p>Marc Newlin最先在Apple裝置的macOS和iOS中，發現這個未經授權的藍牙按鍵注入漏洞，兩者都可以在裝置封閉模式（Lockdown Mode）下被濫用。Marc Newlin之後又在Linux和Android中找到類似的漏洞。</p> <p>Marc Newlin解釋，這些漏洞的運作原理，是能夠在未經用戶確認的情況下，欺騙藍牙主機狀態機和假鍵盤配對。由於藍牙規範中定義了底層未經身分驗證的配對機制，而實作錯誤便會將其暴露給攻擊者，導致無論是Android、Linux、macOS還是iOS，在特定狀態都容易受到攻擊。</p> <p>Android裝置只要一啟用藍牙，就容易受到攻擊，而Linux則是在藍牙進入可探索狀態時，才容易被攻擊，iOS和macOS則是要在啟用藍牙，並且巧控鍵盤已經與手機或是電腦配對時，容易遭受惡意攻擊。一旦攻擊者和目標裝置配對完成，便可以執行按鍵注入攻擊，以受害者身分執行任意操作，而且這些操作不需要經過密碼或是生物識別身分驗證。</p> <p>CVE-2023-45866是一個存在時間有點久的漏洞，Marc Newlin甚至可以在2012年發布的Android 4.2.2上重現藍牙按鍵注入攻擊。目前Google已經在12月5日的安全更新，對Android 11以上版本提供修復該漏洞的程式，但是並未修復Android 4.2.2-10版本。</p> <p>Linux系統漏洞則在2020年修補CVE-2020-0556漏洞時，修掉這個藍牙按鍵注入漏洞，但該修補預設不啟用，Marc Newlin指出，ChromeOS是唯一已知啟用該修補的Linux作業系統，Google也回應ChromeOS不受CVE-2023-45866漏洞影響。官方Linux藍牙協定堆疊BlueZ則是在2020年修補該漏洞，並預設為啟用，因此只要更新BlueZ版本將會自動啟用該修補，可以保護Linux系統免受這類藍牙漏洞影響。</p> <p>Marc Newlin測試了macOS 13.3.3、macOS 12.6.7和iOS 16.6版本，皆存在CVE-2023-45866漏洞，而且即便用戶啟用封閉模式也無法避免攻擊者濫用該漏洞，Marc Newlin在2023年8月的時候向Apple回報了這項漏洞，目前尚未有更新釋出。</p> </div></div></div>
2023/12/8 19:28作者李建興https://www.ithome.com.tw/news/160236
Meta發布Purple Llama專案推動開源可信的生成式AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/purple-llama-open-trust-safety-generative-ai/">Purple Llama</a>是一個由Meta推出的新專案，目的在於提供開放信任且安全的評估標準與工具，使得開發者可以在遵守最佳實踐的指引下，負責任地部署生成式人工智慧模型與應用程式。Purple Llama目前提供CyberSec Eval評估標準，和Llama Guard輸入輸出安全分類器，之後會有更多的工具加入。</p> <p>Meta推出Llama語言模型，總下載量已經超過1億次，支援著各種人工智慧應用的發展，而Meta的新一階段任務，是要推動發展負責任的人工智慧研究和應用，因此推出Purple Llama專案。之所以是紫色（Purple），Meta借用資安領域的紫隊概念，紫隊是攻擊紅隊和防禦藍隊的結合，在生成式人工智慧中評估和緩解潛在威脅，而官方也提到，這代表他們投資Purple Llama全面發展，兼顧攻擊和防禦策略。</p> <p>Purple Llama在網路安全方面，著重在建立安全評估基準，包括量化大型語言模型網路安全風險的指標，以及評估不安全程式碼建議頻率的工具，還有讓生成惡意程式碼，或是協助網路攻擊更加困難的大型語言評估工具。官方提到，目前研究結果顯示，大型語言模型的確存在推薦不安全程式碼，以及在應對惡意請求方面存在明顯的安全風險。</p> <p>在過濾輸出和輸入方面，Purple Llama提供了一個稱為Llama Guard的分類器，事實上Llama Guard是一個開放模型，可用於檢查和過濾大型語言模型的輸入和輸出，以符合特定應用的內容指導原則，防止大型語言模型生成具有潛在風險的輸出。Llama Guard使用公開的資料集訓練，以偵測常見的潛在風險和違規內容，用戶可以自定義模型，以支援特定用例。</p> <p>除了發布Purple Llama，Meta也與包括AI聯盟、AMD、AWS、CloudFlare、Google雲端、Hugging Face、英特爾、微軟和Nvidia等各大科技公司合作，共同推動開放信任和安全的人工智慧生態系，同時，Meta也與Papers With Code、HELM的合作夥伴以及MLCommons AI安全工作小組合作，讓Purple Llama評估工具整合進他們的基準之中。</p> </div></div></div>
2023/12/8 17:33作者李建興https://www.ithome.com.tw/news/160234
Messenger終於落實端對端加密，支援訊息編輯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/108879" target="_blank">在2016年即支援端對端加密</a>（end to end encryption，E2EE）的Messenger，終於在本周三（12/6）全面落實了，<a href="https://about.fb.com/news/2023/12/default-end-to-end-encryption-on-messenger/" target="_blank">Meta將開始</a>於全球的Messenger服務中預設即部署E2EE，新版亦將支援訊息編輯、快速播放語音訊息，以及可持續24小時的訊息消失等新功能。</p> <p>端對端加密代表只有參與通訊的雙方得以讀取訊息，當Messenger在2016年支援E2EE功能時，必須由使用者主動啟用，當時Meta即計畫要讓E2EE成為預設功能，卻花了7年才達成。其中的原因不僅包含技術問題，也涉及Meta遭到兒童保護團體的施壓，擔心此舉會令Meta無法再偵測到該平臺的虐待兒童事件。</p> <p>不過，最終還是使用者的隱私獲勝了。Meta本周宣布，已開始於Messenger及Facebook平臺上的訊息與通話功能，部署預設的端對端加密。</p> <p>Meta也說，於傳訊及通話的預設值中啟用E2EE，原本就需要數年的時間才能實現，包括工程師、密碼學家、設計師、策略專家與產品經理都必須重建Messenger，並在這期間導入了新的隱私、安全與控制功能，也與外部的學者、專家及政府組織討論各種風險及緩解措施，以平衡隱私及安全的需求。</p> <p>預設啟用E2EE之後，僅有傳訊的雙方可存取訊息，Meta只有在收到使用者檢舉時才能存取相關內容。</p> <p>另有許多新功能將伴隨著E2EE出現，例如終於可以編輯寫錯的訊息了，新版Messenger將支援使用者於送出訊息的15分鐘內編輯它；而原本關掉聊天視窗即自動消失的訊息，現在最久可持續24小時；允許使用者取消已讀回條以減輕回覆訊息的壓力；對於冗長或枯燥的語音訊息，新版Messenger支援1.5倍或2倍的播放速度，而且還可隨時從中斷之處聽取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-meta-message%20edit.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1208-Disappearing%20Messages-meta.png" style="width: 453px;" /></p> <p>而為了保障使用者的安全，Messenger用戶在收到不當的訊息時，不管是經過編輯的訊息，或者是可自動消失的訊息，都可向Meta舉報。</p> </div></div></div>
2023/12/8 15:25作者陳曉莉https://www.ithome.com.tw/news/160232