iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 142篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/14
最近更新: 11/15 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.5%4 篇
發言者: 公職、政治人物 25.0%公司、團體 25.0%網友、民眾 25.0%尚未標記 25.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

HPE備份即服務涵蓋VMware、SQL Server與AWS公有雲
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2023-06-greenlake_backup-dashboard_screen_capture-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月我們曾以「公有雲原生備份服務」開啟了雲端備份議題，3月的儲存月報正式介紹「備份即服務（BaaS）」類型的解決方案，6月我們報導了Druva的Data Resiliency Cloud，現在來看看HPE近期主推的GreenLake for Backup and Recovery，在該公司的YouTube頻道當中，近兩個月以來就已陸續上架9支相關影片，絕大多數都為功能技術展示，突顯其容易操作的特色，也顯示他們相當重視且看好。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE GreenLake for Backup and Recovery Arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20GreenLake%20for%20Backup%20and%20Recovery%20Arch.png" style="width: 600px;" /></a></p> <p>事實上，這項專攻備份與復原的解決方案，HPE最早是在2021年9月與多種冠上GreenLake品牌的IT即服務（ITaaS）宣布推出，但當時稱為HPE Backup and Recovery Service，直到今年2月發布的第14版，才改名為HPE GreenLake for Backup and Recovery。</p> <p>在起初的HPE Backup and Recovery Service中，主打特色是針對混合雲環境下的虛擬機器的資料備份應用，提供基於政策的調度指揮與自動化處理，執行本機快照、本機備份，以及雲端備份，用戶不需面對管理備份硬體、軟體、雲端基礎架構的負擔。</p> <p>根據HPE在2021年9月公布的部落格文章，以及10月釋出的第一版技術規格文件指出，這項資料保護服務的另一個名稱是HPE Backup and Recovery Service for VMware，是透過SaaS雲端服務型態的管理主控臺Data Services Cloud Console（DSCC）供應，號稱用戶只需3個簡單步驟、5分鐘之內即可完成操作，不需管理儲存媒體伺服器、備份整合應用設備，或是備份目的系統（target），而且能夠從內部環境進行快速復原，也可以在公有雲服務執行更具成本效益的長期備份，藉此抵禦勒索軟體攻擊的威脅，同時，也能採取依用量計價的模式與高效率的資料減量技術，降低資料保護的整體使用成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-DSCC Managed Storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-DSCC%20Managed%20Storage.jpg" style="width: 600px;" /></a></p> <p>HPE表示，這項專為混合雲所組建的備份即服務，初期保護的對象，主要是部署在HPE Alletra儲存系統的VMware工作負載，涵蓋VMFS datastore、Virtual Volumes（vVol）、原始裝置對應儲存（RDM）這三種儲存類型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-HPE GLBR1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-HPE%20GLBR1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-HPE GLBR2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-HPE%20GLBR2.png" style="width: 600px;" /></a></p> <p>在2022年上半，HPE Backup and Recovery Service擴大保護範圍，可額外針對部署在Primera、Nimble Storage G5的VMware虛擬機器，提供備份與復原功能，而在VMware儲存區的保護上，能涵蓋盜NFS Datastore。</p> <p>除此之外，HPE的備份即服務也可以保護部署在其他儲存系統的VMware虛擬機器，涵蓋DSCC未整合的HPE儲存系統，例如：MSA系列、3PAR系列、EVA系列、XP系列、Apollo系列儲存伺服器，以及Dell、IBM、NetApp、Pure Storage等廠牌的儲存系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-DSCC%20Any%20Storage.jpg" style="width: 600px;" /></p> <p>之所以能提供這方面的支援，主要是因為HPE在此整合VMware Virtual Disk Development Kit（VDDK），因此可透過vSphere Storage API – Data Protection（前身為vStorage API for Data Protection，VADP），使用VMware提供的異動資料區塊追蹤（CBT）功能，以此執行備份與復原作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-22-HPE Storage Backup and Recovery Service 1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-22-HPE%20Storage%20Backup%20and%20Recovery%20Service%201.jpg" style="width: 600px;" /></a></p> <p>為了預防勒索軟體破壞備份資料，HPE Backup and Recovery Service增設不可變（immutability）的防竄改保護，可用在Local Protection Store、Cloud Protection Store，以及儲存系統上面的快照，以避免備份資料在預先設定的保存期限前，遭到意外刪除或修改，用戶可在保護政策的定義當中設置這項功能。</p> <p>關於公有雲環境的資料保護，HPE Backup and Recovery Service在2022年底正式以原生方式支援AWS EC2執行個體，以及區塊儲存服務EBS的備份與復原，並且增加全域保護政策的設置，用戶可透過單一政策定義企業內部與AWS環境的備份需求；而對於VMware這年下半推出的新版伺服器虛擬化平臺：vSphere 8.0，此時的HPE備份即服務也提供支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-AWS Compute.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-AWS%20Compute.jpg" style="width: 600px;" /></a></p> <p>到了2023年上半，HPE預告GreenLake for Backup and Recovery將再度擴大保護對象，涵蓋企業內部環境架設的微軟SQL Server資料庫系統，以及公有雲業者AWS的資料庫雲端服務Amazon RDS、容器即服務Amazon EKS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake for Backup and Recovery provides hybrid cloud data protection.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20for%20Backup%20and%20Recovery%20provides%20hybrid%20cloud%20data%20protection.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake for Backup and Recovery provides hybrid data protection with components.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20for%20Backup%20and%20Recovery%20provides%20hybrid%20data%20protection%20with%20components.png" style="width: 600px;" /></a></p> <p>而在6月推出的<a href="https://www.ithome.com.tw/review/160135">HPE Private Cloud Business Edition</a>，也整合GreenLake for Backup and Recovery，提供虛擬機器的資料保護功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-GreenLake Backup-dashboard_screen_capture.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-GreenLake%20Backup-dashboard_screen_capture.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-2023-06-Hybrid2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-2023-06-Hybrid2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE PCBE-GLBR-Protection Policy-VM Provision.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20PCBE-GLBR-Protection%20Policy-VM%20Provision.jpg" style="width: 298px;" /></a></p> <p>時至8月，HPE這套備份即服務正式支援微軟SQL Server（2016至2022版），以及AWS Amazon RDS，10月支援Amazon EKS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-EKS Cluster2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-EKS%20Cluster2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GLBR-EKS Cluster1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-EKS%20Cluster1.jpg" style="width: 298px;" /></a></p> <p>在備份架構上，GreenLake for Backup and Recovery可將資料備份到HPE代管的Cloud Protection Store，以及Local Protection Store。關於採用的備份技術，根據HPE在他們社群部落格的透露，是已使用長達10年、上萬名客戶獲益的StoreOnce Catalyst資料減量協定，當中運用來源端重複資料刪除（source-side deduplication），以及進階壓縮處理，可確保備份過程只將新增且特殊的chunk資料區塊，傳送至Cloud Protection Store與Local Protection Store，能減少資料寫入與網路頻寬耗用。</p> <p>以Local Protection Store而言，儲存容量來自VMFS datastore，透過HPE提供的Protection Store Gateway（PSG）元件，設置這些VMware軟體定義儲存資源，起先最大可設置為63 TB，從2022年第2季起，開放用戶設置到500 TB，而在儲存空間的使用效率（資料減量）的表現上，比起其他廠商的VMware資料保護產品，可達到5倍的領先。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Catalyst-1-2018.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Catalyst-1-2018.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Catalyst-2-2018.jpg" style="width: 600px;" /></p> <p>到了今年，GreenLake for Backup and Recovery提供Local Protection Store另一種使用方式，那就是搭配HPE StoreOnce備份儲存伺服器的實體應用設備，Local Protection Store最大儲存容量取決於設備本身的組態，在儲存空間的使用效率（資料減量）的表現上，相較於其他廠商的VMware資料保護產品，領先幅度可達到8倍，這當中也採用StoreOnce Catalyst技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-StoreOnce-2023-06-29-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-StoreOnce-2023-06-29-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20StoreOnce-2023-06-29-1.jpg" style="width: 600px;" /></p> <p>針對更多類型的伺服器虛擬化與軟體定義資料中心平臺的資料保護需求，今年10月，HPE宣布他們的備份即服務支援該公司旗下的超融合基礎架構SimpliVity。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-23-GreenLake Backup and Recovery5-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-23-GreenLake%20Backup%20and%20Recovery5-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE GreenLake for Backup and Recovery</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●供應形式：SaaS雲端服務<br /> ●訂閱方式：每月固定訂閱，為期1、2、3、4、5年，或是實支實付<br /> ●管理主控臺：Data Services Cloud Console<br /> ●組成架構：VMware虛擬機器、儲存系統、Data Orchestrator、Protection Store Gateway、Cloud Protection Store、On-Premises Protection Store<br /> ●支援HPE儲存系統：Alletra Storage MP、Alletra 9000、Alletra 6000、Alletra 6000 dHCI、Alletra 5000、Alletra 5000 dHCI、Nimble G5、Nimble G5 dHCI、Primera C600、Primera A600<br /> ●保護環境：VMware vSphere 8.0/7.0/6.7<br /> ●備份方式：硬碟陣列最佳化備份、CBT備份</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/21 19:21作者李宗翰https://www.ithome.com.tw/review/160415
12月21日資安日報，Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與勒索軟體駭客Rhysida有關的攻擊行動不斷發生，這樣的情況先後引起美國衛生與公眾服務部（HHS）、<a href="https://www.cisa.gov/news-events/alerts/2023/11/15/cisa-fbi-and-ms-isac-release-advisory-rhysida-ransomware">網路安全暨基礎設施安全局（CISA）</a>提出警告，這些駭客上週再度犯案而引起關注，原因是受害組織是日本科技大廠Sony旗下的遊戲開發商Insomniac Games。</p> <p>值得留意的是，這起事故並非該集團首度遭到攻擊。今年9月，<a href="https://www.ithome.com.tw/news/159013">有兩組駭客聲稱竊得Sony內部資料</a>；隔月Sony證實遭遇MOVEit Transfer零時差漏洞攻擊，旗下遊戲主機開發商Sony Interactive Entertainment曝露約6,800人個資。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.theverge.com/2023/12/19/24007570/insomniac-games-hack-wolverine-x-men-ryhsida"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony旗下遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊，即將推出的遊戲金鋼狼資料外流</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Insomniac_Rhysida_crisq6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insomniac_Rhysida_crisq6.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Cyber Daily的報導，12月12日勒索軟體Rhysida聲稱，入侵日本科技大廠Sony旗下的電玩公司Insomniac Games，並竊得正在製作、以漫威金鋼狼為主題的遊戲內部資料，此外，這些駭客似乎也取得該公司員工的護照掃描檔案，其中1名是在迪士尼工作的前員工，另1人則是配音員Yuri Lowenthal──他為遊戲裡的蜘蛛人配音。駭客對上述資料進行拍賣，底價為50個比特幣，約為218萬美元。當時Sony表示正著手調查，並認為旗下其他子公司並未受到影響。</p> <p>事隔一週，這些駭客又有新的動作，根據Cyber Daily的報導，駭客在要脅Insomniac Games付款的期限截止後，於暗網的網站上公布大量該公司內部資料，檔案大小總計1.67 TB，檔案數量超過130萬個，其中有許多資料與前述的金鋼狼電玩遊戲有關。駭客聲稱上傳了98%資料，部分資料則是售出。</p> <p>該新聞網站看到駭客將上傳的資料分成3個部分，第1組與關卡設計及角色素材相關，應該是金鋼狼電玩的資料；另一個部分則是與電玩遊戲蜘蛛人2有關，以及人力資源的資料、Slack頻道的螢幕截圖、數臺員工電腦的內容；此外，這批資料還包含了漫威與Sony簽署的合約，Insomniac Games將製作3款遊戲，第一款就是將於2025年9月上市的「金鋼狼」。</p> <p>資料來源</p> <p>1. <a href="https://www.cyberdaily.au/culture/9931-spider-man-2-developer-insomniac-games-hit-by-rhysida-ransomware-attack">https://www.cyberdaily.au/culture/9931-spider-man-2-developer-insomniac-games-hit-by-rhysida-ransomware-attack</a><br /> 2. <a href="https://www.cyberdaily.au/culture/9959-snikt-rhysida-dumps-more-than-a-terabyte-of-insomniac-games-internal-data">https://www.cyberdaily.au/culture/9959-snikt-rhysida-dumps-more-than-a-terabyte-of-insomniac-games-internal-data</a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/behind-the-scenes-jaskagos-coordinated-strike-on-macos-and-windows"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Go語言竊資軟體JaskaGO鎖定Mac、Windows電腦而來</span></strong></a></p> <p></p> <p>電信業者AT&T旗下的Alien資安實驗室揭露名為JaskaGO的竊資軟體，駭客透過Go語言開發而成，並假借提供CapCut、AnyConnect等應用程式的名義散布。</p> <p>研究人員指出，此竊資軟體約從今年7月出現，初期鎖定Mac電腦用戶而來，但後來駭客也發展出Windows版本。一旦使用者依照指示將其下載到電腦並執行，該惡意程式將會彈出警示訊息，佯稱缺少特定檔案元件而無法正常執行，但實際上該惡意軟體已經在背景開始運作，檢查電腦的處理器數量、系統執行時間、記憶體容量、MAC位址等資訊，確認是否處於虛擬機器（VM）的環境，檢查後若是在真實電腦環境，此竊資軟體就會收集受害電腦的瀏覽器及加密貨幣錢包資料，回傳至C2，並不斷確認、接收攻擊者下達的新命令。</p> <p>研究人員認為，這款惡意程式首先針對macOS作業系統而來，顛覆各界認為Mac電腦較無風險的印象，呼籲這類電腦的使用者也要提高警覺。</p> <p><a href="https://securityintelligence.com/posts/web-injections-back-on-rise-banks-affected-danabot-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網站注入攻擊鎖定40家銀行、逾5萬民眾帳號資料</span></strong></a></p> <p>IBM的資安團隊揭露從今年3月出現的惡意軟體攻擊，駭客利用JavaScript指令碼進行網頁注入攻擊，企圖竊取北美洲、南美洲、歐洲、日本的40家銀行、客戶總數總共超過5萬名的帳戶資料。</p> <p>研究人員指出，駭客先是鎖定使用者的電腦下手，疑似藉由惡意廣告、網路釣魚等管道，植入惡意程式，接著使用者若是依照指示存取攻擊者控制的惡意網站，上述惡意軟體就會注入新的指令碼標籤，存取外部主機上的指令碼，此為經過混淆處理的指令碼，而有可能載入受害電腦的瀏覽器，從而竄改網頁內容、截取使用者帳密資料，甚至是動態密碼（OTP）。</p> <p>而對於駭客呼叫外部的指令碼的手法，研究人員認為並不尋常。相較於許多攻擊行動的惡意程式，會直接在網頁執行注入攻擊，這次駭客的手法更加隱密，因為大部分的靜態分析檢查機制通常不會將指令碼載入器視為惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/160452"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露SSH連線攻擊手法Terrapin，有可能影響資料傳輸安全</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/terrapin-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/terrapin-attack.png" style="width: 300px; float: right;" /></a>德國波鴻魯爾大學研究人員揭露<a href="https://terrapin-attack.com/">針對SSH通訊協定的新型態攻擊手法Terrapin</a>，過程中將觸發CVE-2023-48795、CVE-2023-46445、CVE-2023-46446等3項漏洞，此攻擊手法有機會破壞SSH安全通道的完整性，從而攔截或修改用戶端與伺服器間傳送的資料，達到洩漏資料與冒用身分等目的。</p> <p>過程中攻擊者可經由前綴截斷（prefix truncation）攻擊，在用戶端與伺服器皆不知情的情況下，刪除SSH通道開頭的加密封包，從而將用於身分驗證的金鑰演算法予以降級，甚至停用OpenSSH 9.5提供的鍵擊時間攻擊（Keystroke Timing Attacks）防禦機制。</p> <p>然而，實際發動Terrapin仍需搭配特定條件，首先是攻擊者必須在網路層能夠攔截、竄改流量，進行中間人（MitM）攻擊，再者，SSH的連線流量，也必須採用特定的演算法處理（如ChaCha20-Poly1305）。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/49e711c6-e27c-4340-867c-9a529ab3ca2c.shtml"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信服務供應商Xfinity資料外洩，近3,600萬名用戶個資曝光</span></strong></a></p> <p></p> <p>週一（12月18日）美國電信業者Comcast旗下的服務供應商Xfinity證實，他們的Citrix NetScaler伺服器遭遇漏洞攻擊，駭客透過CitrixBleed漏洞（CVE-2023-4966）入侵內部環境，竊得部分用戶資料，最近該公司透露受害範圍。</p> <p>根據他們向緬因州總檢察長辦公室提報的資料，共有35,879,455名用戶受到本次資安事故影響，駭客存取使用者名稱及密碼的雜湊值，也有部分用戶的姓名、聯絡資訊、社會安全碼末4碼、生日等資料外流。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202312200193.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">1447家上市櫃公司今年底前應配置資安人力，目前仍有超過100家尚未完成</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴勒斯坦駭客聲稱對F5 BIG-IP零時差漏洞提出警告，藉此散布資料破壞程式</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 120更新，修補WebRTC元件零時差漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/mozilla-patches-firefox-vulnerability-allowing-remote-code-execution-sandbox-escape/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 121，修補沙箱逃逸及RCE漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-releases-patches-for-13-critical-avalanche-rce-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">行動裝置管理系統Ivanti Avalanche存在13個重大漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160433"><strong>【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160387"><strong>【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</strong></a></p> </div></div></div>
2023/12/21 17:03作者周峻佑https://www.ithome.com.tw/news/160484
Khronos完成Vulkan Video編碼擴充，H.264和H.265影像處理可獲硬體加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>標準制定組織Khronos釋出了跨平臺電腦繪圖API <a href="https://www.khronos.org/blog/khronos-finalizes-vulkan-video-extensions-for-accelerated-h.264-and-h.265-encode">Vulkan 1.3.274</a>，這個版本包含了能以硬體加速H.264和H.265編碼的Vulkan Video擴充功能。因此Vulkan API將可以使用GPU加快H.264和H.265影片的處理，提高整體編碼效率，使得電腦、手機等裝置在進行影片直播、錄影和剪輯等工作，都能夠有更好的效能。</p> <p>Khronos由包括AMD、Apple、英特爾和Nvidia等15家創始會員組成，目的是要建立可免費使用的圖形合成、虛擬實境、擴增實境、平行運算和機器學習等應用API標準，在各種平臺和裝置上的應用程式、中介軟體，都能更加有效地運用硬體加速。Khronos的著名專案有OpenGL、WebGL和OpenCL等。</p> <p>Khronos在2016年推出的Vulkan，與OpenGL同樣都是圖形API，但是Vulkan提供更高效率且直接的硬體控制能力，且因為Vulkan獲得主要軟硬體廠商廣泛的支援，因此Vulkan能夠在Windows、Linux、macOS、iOS和Android平臺上運作，而這個好處在於開發者可以對不同的作業系統和裝置，創建統一的應用程式。</p> <p>最新版Vulkan 1.3.274對H.264和H.265標準的支援工程，可追溯至2021年。當時Vulkan工作組推出一系列臨時擴充功能，被統稱為Vulkan Video，該擴充透過提供各種影片編碼標準，實現影片串流無縫的編碼與解碼。</p> <p>接著在2022年的時候，Vulkan 1.3.238進一步加強對H.264和H.265影片格式的支援，特別是在解碼方面，使得H.264和H.265影片播放可獲得硬體加速。而現在最新的Vulkan 1.3.274則是完成了H.264和H.265影片格式的編碼功能，因此Vulkan不只可以使用硬體加速播放H.264和H.265影片，也能在影片創建和處理上獲得硬體加速。</p> <p>官方解釋，編碼擴充讓開發者可對編碼過程進行低階控制，同時又能保有硬體編碼加速的效率，開發者可以自由調整細節，進行諸如量化索引、算數編碼器（Arithmetic Coder）和去區塊（Deblocking）等。</p> <p>Vulkan框架提供了一種標準、低額外成本且高度可控的方式，運用硬體加速生成H.264和H.265影片，其應用範圍擴及即時低延遲的串流媒體與離線伺服器，都能快速進行轉碼。而且有鑒於產業現在對AV1解編碼器的高需求，官方也承諾即將推出AV1解碼器擴充，而AV1編碼擴充功能也正在開發階段。</p> </div></div></div>
2023/12/21 17:22作者李建興https://www.ithome.com.tw/news/160483
Waymo全自動駕駛安全報告出爐，傷害事故比人類駕駛少了85%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下自駕車子公司<a href="https://thelastdriverlicenseholder.com/2023/12/20/comparing-crash-rates-of-waymo-and-those-of-human-drivers/" target="_blank">Waymo本周發表了一項研究</a>，以Waymo全自動駕駛上路迄今行駛714萬英里（11,424公里）以來所發生的事故，與人類駕駛進行比較，顯示在造成嚴重程度不一的傷害事故中，Waymo Driver比人類駕駛少了85%，若是以警方接獲報案的事故來看，Waymo Driver也比人類駕駛少了57%。</p> <p>Waymo把自家的自動化駕駛系統稱為Waymo Driver，該系統屬於SAE level 4，不管是在車內或遠端都不需有人類駕駛，今年以來Waymo Driver已提供逾70萬次的載客服務，在所行駛的714萬英里中，鳳凰城占了534萬英里，舊金山為176萬英里，洛杉磯則是4.6萬英里。</p> <p>Waymo比較了Waymo Driver與人類駕駛所發生的事故，發現Waymo Driver每百萬英里會發生0.41起或輕或重的傷害事故，人類駕駛每百萬英里發生的傷害事故則是2.78起，意謂著Waymo Driver的傷害事故機率比人類駕駛少了85%。若是根據警方的車禍報告，Waymo Driver每百萬英里發生車禍的次數為2.1起，人類駕駛則是4.85起，也少了57%。</p> <p>不過，Waymo強調，縱使比人類駕駛還安全是自駕車的重點之一，但良好的駕駛習慣也很重要，包括以可靠及可預測的方式來尊重道路上的其它人，避免造成不必要的混亂，該公司正努力於全面改善Waymo Driver的駕駛行為。</p> <p>至於全球電動車龍頭<a href="https://www.tesla.com/VehicleSafetyReport" target="_blank">特斯拉（Tesla）也會定期發表類似的報告</a>，比較人類駕駛、未啟用Autopilot技術的特斯拉，以及啟用Autopilot技術的特斯拉在道路上的安全性，去年第四季的報告顯示，美國人類駕駛平均65.2萬英里就會發生一次車禍，特斯拉大約是每140萬英里就會發生一次車禍，而啟用了Autopilot的特斯拉，則是行駛每485萬英里才會發生一次車禍。</p> </div></div></div>
2023/12/21 15:20作者陳曉莉https://www.ithome.com.tw/news/160470
英國最高法院駁回AI系統DABUS作為發明人的專利申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年即開始挑戰全球專利規定，企圖以AI系統DABUS當作專利發明人的申請，<a href="https://www.supremecourt.uk/cases/uksc-2021-0201.html" target="_blank">本周再度被英國最高法院駁回</a>。</p> <p>此事源於一名AI研究人員Stephen Thaler開發了一個人工智慧系統DABUS，再由DABUS發明了兩項技術，一項涉及可變換外型的食物容器，另一項是緊急手電筒，Thaler同時向歐盟、美國、英國、德國、紐西蘭、印度、韓國、以色列、澳洲與南非提出了專利申請，由Thaler擔任專利所有人，但發明人為DABUS。</p> <p>迄今僅有<a href="https://www.ithome.com.tw/news/145997" target="_blank">南非</a>同意讓DABUS成為專利發明人，包括<a href="https://www.ithome.com.tw/news/135191" target="_blank">歐盟</a>、<a href="https://www.ithome.com.tw/news/137356" target="_blank">美國</a>、澳洲與<a href="https://www.tipo.gov.tw/tw/cp-886-897837-9339c-1.html" target="_blank">臺灣</a>都否決了相關的專利申請，原因皆是專利發明人應為自然人，但AI並不是。</p> <p>至於英國同樣也駁回了Thaler的申請，只是Thaler不斷提出上訴，一直到本周英國最高法院判定AI不得為專利發明人。英國最高法院表示，此次的裁判並不涉及由AI創造的技術能否申請專利，主要是釐清專利法中的發明人身分，而該法院認為，法規中所指的發明人必須是自然人。</p> <p>英國最高法院還認為，由於缺乏發明人，使得Thaler也無法申請由DABUS產出的技術專利。</p> </div></div></div>
2023/12/21 14:45作者陳曉莉https://www.ithome.com.tw/news/160463
微軟解決部分Windows 11 PC安裝最新更新後的Wi-Fi連線問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/resolved-issues-windows-11-22h2#3227msgdesc" target="_blank">微軟周二解決</a>近日Windows 11最新更新造成大批用戶無法連上Wi-Fi網路的問題。</p> <p>微軟上周針對Windows 11 22H2及23H2釋出KB5033375（OS Build 22621.2567、OS Build 22631.2567）及KB5032288（OS Build 22621.2792），以解決安全漏洞及改善Windows Copilot問題。但一些用戶上周在安裝更新後於<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/known-issue-rollback-helping-you-keep-windows-devices-protected/ba-p/2176831" target="_blank">微軟討論區</a>及<a href="https://www.reddit.com/r/technology/comments/18kwg5g/windows_11_kb5033375_december_2023_update_breaks/" target="_blank">Reddit</a>反映PC出現無法連上Wi-Fi網卡的情形。解決唯一方法是移除更新。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/resolved-issues-windows-11-22h2#3227msgdesc" target="_blank">微軟周一證實</a>安裝上述更新後會發生特定Wi-Fi網卡連線問題。微軟並未說明問題何在或影響的網卡種類，只說問題僅出現在連上使用802.1x驗證的企業、教育及公共Wi-Fi網路，應該不會發生在家用網路。而且這波問題也只影響Windows 11用戶端，不影響伺服器。</p> <p>微軟解決方案是要用戶安裝<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/known-issue-rollback-helping-you-keep-windows-devices-protected/ba-p/2176831" target="_blank">Known Issue Rollback</a>功能。這項功能用於非安全性的臭蟲修補程式，可將出錯的修補程式回復到之前正常行為。</p> <p>不過微軟提醒，修補過程費時約24小時，才能自動部署到消費裝置或非列管企業裝置。企業列管裝置若已安裝問題更新版本，則可安裝及配置特別的群組原則，該群組可透過「電腦配置」＞「管理員範本」＞「群組原則名稱」中找到。若未能及時安裝解決工具，可移除問題更新暫時解決。</p> </div></div></div>
2023/12/21 12:14作者林妍溱https://www.ithome.com.tw/news/160458
LAION-5B資料集被爆含有兒童性虐待內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://purl.stanford.edu/kh752sm9123" target="_blank">史丹福大學網路觀察站（Stanford Internet Observatory，SIO）近日針對開源資料集LAION-5B展開研究</a>，發現該資料集存在著逾3,000筆可疑的兒童性虐待內容（Child Sexual Abuse Material，CSAM），之後LAION移除了被確認為CSAM的1,008筆相關內容。</p> <p>LAION的全名是Large-scale Artificial Intelligence Open Network（大規模的人工智慧開放網路），為一德國的非營利組織，致力於開源AI模型與資料集，其資料集主要儲存文字及圖像的URL，圖像仍存放在原始網站上。Stability AI與Google都曾利用LAION資料集來訓練AI模型，提供文字生成圖像服務，SIO此次所研究的LAION-5B蒐集了全球網路上58.5億筆的圖像與圖說配對，資料量是前一代LAION-400M的14倍。</p> <p>SIO同時透過PhotoDNA感知雜湊配對、密碼雜湊配對、k-近鄰（k-nearest neighbors）查詢，以及機器學習分類器來尋找LAION-5B所引用的CSAM。</p> <p>這是因為一旦資料集中含有諸如CSAM等不當內容，以該資料集執行訓練的模型就有可能生成不當內容，大型開源資料集可能造成的影響還更加深遠。</p> <p>在得知SIO的研究成果之後，LAION暫時下架了LAION-5B，並移除已確認的1,008筆CSAM。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-12-20/large-ai-dataset-has-over-1-000-child-abuse-images-researchers-find?accessToken=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzb3VyY2UiOiJTdWJzY3JpYmVyR2lmdGVkQXJ0aWNsZSIsImlhdCI6MTcwMzA4MjIxMiwiZXhwIjoxNzAzNjg3MDEyLCJhcnRpY2xlSWQiOiJTNVlTMEZUMEcxS1cwMCIsImJjb25uZWN0SWQiOiJEQUZGOTQ2MjMzOTM0NjI5QURDODEzNDRGQ0QwODBBOSJ9.w7MG7AIwEEsL4pQcvGIzHMXk2Rx2Ev4h68vBIcswv2M" target="_blank">Stability AI向《彭博社》（Bloomberg）表示</a>，該公司的Stable Diffusion模型雖然仰賴LAION-5B，但採用的是經過篩選及微調過的版本。至於<a href="https://www.404media.co/laion-datasets-removed-stanford-csam-child-abuse/" target="_blank">Google則向《404 Media》透露</a>，該公司從未使用過LAION-5B，倒是曾經以LAION-400M訓練過首個Imagen研究模型，但該模型從未發表。</p> <p>研究人員認為，有鑑於種種限制，此一研究所偵測到的CSAM應是被嚴重低估的，且除了CSAM之外，這類的資料集還存在著許多未經同意的親密影像，涉及版權及穩私問題，在理想的狀態下，它們應該僅能被應用在研究環境，而非出現於公開模型上。</p> </div></div></div>
2023/12/21 12:44作者陳曉莉https://www.ithome.com.tw/news/160460
蘋果試圖延後Apple Watch銷售禁令，遭美政府拒絕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對即將生效的Apple Watch銷售禁令，本周美國主管機關國際貿易委員會（International Trade Commission，<a href="https://www.usitc.gov/secretary/fed_reg_notices/337/337_1276_notice12202023sgl.pdf" target="_blank">ITC）拒絕蘋果延後禁令的聲請</a>，令蘋果挽回停售Apple Watch的努力遭到挫敗。</p> <p>本案是蘋果2020年推出具血氧量測功能的Apple Watch 6時，遭到醫材廠商Masimo控告侵害專利權及竊取智財的結果。今年1月法院判決認定蘋果侵害Masimo專利權。雖然5月本案被法院宣佈誤判，不過ITC在調查後，於今年10月維持法院年初判決的侵權決定，並發佈禁止Apple Watch輸入及銷售的命令。美國總統得在60天內否決該禁令。</p> <p>蘋果在10月30日聲請暫緩實施該禁令，不過原告Masimo在11月20日也對ITC提出聲請意圖反制。ITC委員會昨（20）日針對蘋果提出的延後聲請，做出拒絕決議。</p> <p>ITC的決定意味著，若其禁令在60天，即12月25日前，美國總統拜登未出手否決，禁令即會在12月26日生效，使具血氧量測功能的Apple Watch系列不得輸入美國，也不得銷售。</p> <p>除了行政面救濟行動，<a href="https://www.bloomberg.com/news/articles/2023-12-18/apple-plans-rescue-for-17-billion-watch-business-in-face-of-ban" target="_blank">《彭博》</a>報導，蘋果試圖以釋出軟體更新，變更Apple Watch裏血氧量測的演算法以繞過ITC決定。不過報導指出，Masimo認為這並不足夠，因為專利還牽涉硬體設計；除非硬體也變更設計，否則無法避免專利侵權嫌疑。</p> <p>現在拜登否決權可能是最後方法。不過<a href="https://arstechnica.com/gadgets/2023/12/apple-watches-being-pulled-from-stores-this-week-due-to-potential-import-ban/" target="_blank">Ars Technica</a>報導，今年初拜登已經拒絕為Apple Watch侵犯心電圖廠商AliveCor專利否決ITC禁令。Apple Watch未遭到禁售是因為美國專利商標局撤銷了AliveCor的相關專利。因此，蘋果獲得總統關愛眼神的機會微乎其微。</p> <p>因應ITC禁令，本周蘋果宣佈預防性下架措施，停售Apple Watch Series 9及Ultra 2。12月21日先停售Apple.com上的產品，並從12月24日停售實體Apple Watch。不過該禁令僅適用於美國，雖然美國是蘋果最大市場，但對其他地區消費者來說暫無影響。</p> </div></div></div>
2023/12/21 10:37作者林妍溱https://www.ithome.com.tw/news/160457
Cloud周報第190期：VMware軟體銷售模式正式轉型為訂閱服務合約，不再提供永久授權版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（12/14～12/20）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 軟體訂閱制 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">VMware全面終止永久授權的銷售改為訂閱制</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap36(1).png" style="width: 600px;" /></p> <p>博通在11月下旬完成對VMware的收購後， VMware<a href="https://news.vmware.com/company/vmware-by-broadcom-business-transformation">近日宣布</a>未來的產品銷售服務模式有重大的調整，將全面終止買斷授權，改為訂閱制。這意謂著，VMware虛擬化平臺正式全面轉型為訂閱制，不再提供永久授權版。</p> <p>在博通收購VMware之前，VMware已經積極展開轉型，朝向訂閱制銷售模式發展。博通完成收購不到一個月，VMware在本月11日宣布此項消息，表示即日起不再提供永久授權、有效支援與訂閱服務（Support and Subscription,SnS）續訂，以及混合與訂閱購買計畫（HPP/SPP）點數在內的銷售模式，僅以訂閱或定期授權的形式提供。</p> <p>新政策影響VMware產品，涵蓋了VMware Cloud Foundation、vSpherev、vSAN、 NSX、SRM 、HCX、vCloud套件及VMware Aria套件等。</p> <p>為了方便用戶移轉授權，VMware還提供自備訂閱授權選項，針對經過VMware驗證在VCF環境上執行的混合雲端點，提供授權可移植方案。</p> <p>除了銷售模式的轉變之外，VMware強調，VMware Cloud Foundation部門未來的產品發展重心將聚焦兩大服務上，分別為企業混合雲解決方案VMware Cloud Foundation與整合伺服器虛擬化平臺vSphere與智慧營運管理的VMware vSphere Foundation。同時還將提供儲存產品、勒索軟體和災難復原服務以及應用程式平臺服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IBM </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">強化AI與雲端業務，IBM重砸21億歐元收購Software AG旗下兩大數據平臺</span></strong></p> <p>近日，IBM宣布以21.3億歐元（相當於731億新臺幣）收購Software AG旗下的兩大數據平臺StreamSets與webMethods，以強化其雲端人工智慧和資料平臺watsonx的數據整合能力，打造更具現代化的應用和整合平臺。</p> <p>1969年成立的Software AG，是德國老牌軟體大廠，過去以提供大型主機交易資料庫和應用整合軟體而聞名，英國超市巨頭Tesco、歐洲航空航太製造商Airbus、美國陸軍、澳洲郵政和西門子等都是其客戶。</p> <p>Software AG目前在全球有1,500多家客戶使用其兩大數據平臺StreamSets與webMethods。前者是資料整合平臺，可以用於建立、重複使用和共享各種資料流（data pipelines）；後者則提供了整合和API管理，包括應用程式和合作夥伴整合、API管理、B2B整合、託管檔案傳輸、建置微服務、高速訊息傳遞和記憶體快取等。</p> <p>IBM表示，隨著StreamSets平臺的加入，未來watsonx將獲得更多的資料取得管道，而webMethods將帶來更多的API管理和整合工具，進一步整合和提升其數據管理能力。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">ESG減碳 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟在臺推出雲端智慧零碳平臺iCX，瞄準中小企業ESG減碳需求</span></strong></p> <p>微軟近日在臺推出了智慧零碳平臺iCX，瞄準臺灣本土中小企業及傳統產業的ESG減碳需求。該平臺是以微軟永續雲為基礎，並由PwC臺灣負責平臺的建置及維運，來協助中小企業打造標準化的ESG數位共享平臺。</p> <p>微軟表示，該平臺可供企業儲存各種商業活動數據，並可以使用微軟永續雲進行分析及預測，來協助企業擬定減碳策略。此外，還能透過Power BI及Azure OpenAI服務，自動生成符合如歐盟CBAM要求的碳排相關報告等。該平臺預計將在2024年中正式上線</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端成本控管 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS釋出雲端成本控管和優化工具，能夠查看單一應用程式每月上雲費用和資源利用</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(5)(1).png" style="width: 600px;" /></p> <p>在最近舉行的AWS re:Invent大會上，AWS推出一系列雲端成本控管和優化工具，包括myApplications、Cost Optimization Hub等。其中，myApplications是AWS管理控制臺的新功能，使企業能夠以應用程式為中心，來管理和監控在AWS上執行應用程式的雲端成本。</p> <p>透過AWS管理控制臺，企業可以使用myApplications工具查看每個應用程式當前成本和預測月底的成本，還能提供應用程式前五大計費服務排名，以及隨時間變化的成本趨勢圖，方便使用者根據應用程式費用變化趨勢來調整雲端用量。</p> <p>除了成本方面，該工具還能顯示運作、安全狀況和效能等方面資訊，並可透過AWS Cost Explorer將AWS資源成本和使用情況以視覺化的方式呈現。目前該功能已在美國東西部、亞太、歐洲及中東區域推出。</p> <p>Cost Optimization Hub則是AWS推出的一項計費和成本管理新功能，可協助企業在跨組織、多AWS區域和AWS帳戶之間以互動方式查詢成本優化建議，例如空閒資源優化或建議資源調整和購買選項。除此之外，AWS還推出新API，讓使用者能夠透過AWS CLI介面使用該API，檢查其AWS免費方案使用情況，確保其符合免費方案的配額和限制。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Duet AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud正式推出開發者以及資安維運輔助Duet AI</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(5)(1).png" style="width: 600px;" /></p> <p>近日，Google Cloud正式推出了專用於開發人員以及資安維運輔助的生成式AI助手Duet AI，並表示未來幾周內將更新到最新Gemini模型。</p> <p>在開發者輔助方面，現在可以使用Duet AI完成程式碼、生成程式碼與聊天輔助功能，並支援主流IDE開發環境和20種程式語言。此外，Duet AI也能用來簡化重複的開發作業和流程，以及加速故障排除速度與問題修復等工作，與支援企業隱私權、安全和法規遵循要求。</p> <p>在資安維運上，企業也能使用Duet AI強化其資安產品的威脅偵測、應對和預防的能力，Google先在其雲端安全分析平臺Chronicle中提供AI安全輔助，例如透過Duet AI，安全人員可以用自然語言快速完成大量資料的搜索查詢，Duet AI還自動摘要過往案件，以及提供事件修復的建議等。</p> <p>Google計畫在明年初擴大Duet AI服務範圍，可以適用於BigQuery、Looker、資料庫產品、Apigee和Colab Enterprise等服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google發表Cloud TPU v5p，效能比前一代高出2.8倍</span></strong></p> <p>在Google第5代TPU晶片推出沒多久，最近Google進一步發表了更強大的Cloud TPU v5p晶片,號稱是迄今最強大的TPU。相較於上一代的TPU v4,Cloud TPU v5p提供了2倍的FLOPS與3倍的HBM高頻寬記憶體。</p> <p>由於Cloud TPU v5p是效能取向，因此在訓練大型LLM模型時的速度，比TPU v4快了2.8倍，在第二代SparseCores的助益下，TPU v5p訓練嵌入式模型的速度，也比TPU v4快了1.9倍。</p> <p>除了效能提升之外，這代的TPU在pod的可擴展性方面，比TPU v4高出4倍，每個TPU v5p建立的pod擁有8,960個晶片,晶片間的互連速度達4,800Gbps。與TPU v4相比，TPU v5p的pod每秒浮點運算次數(FLOPS)加倍,且單一Pod中的晶片數量加倍，進一步提高訓練速度的性能。</p> <p>值得注意的是，TPU v5p的使用成本相對較高，每晶片每小時為4.2美元，相較之下，TPU v4每晶片每小時的價格僅需3.22美元。</p> <p> </p> <p>圖片來源／AWS、Google Cloud、VMware</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟Azure AI再增添AI模型Llama2、GPT-4 Turbo with Vision</strong></p> <p><strong>2.AWS Amplify開發框架整合CDK，支援MySQL與PostgreSQL資料庫連接</strong></p> <p><strong>3.微軟主權雲服務現已全面推出上線</strong></p> <p><strong>4.Salesforce銷售雲、服務雲正式登上阿里雲</strong></p> <p><strong>資料來源：iThome整理，2023年12月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/12/21 09:40作者余至浩https://www.ithome.com.tw/news/160456
SSH連線可能遭前綴截斷攻擊，安全性受考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國波鴻魯爾大學研究人員發現了一個針對SSH協定的前綴截斷攻擊，稱作<a href="https://terrapin-attack.com/#paper">Terrapin</a>，其涉及的漏洞包括CVE-2023-48795、CVE-2023-46445與CVE-2023-46446。Terrapin攻擊能夠破壞SSH安全通道的完整性，攔截和修改客戶端與伺服器間傳送的資料，以達到洩漏資料與冒用身分等目的。不過研究人員也指出，在網際網路流量中應用Terrapin攻擊相對困難，本地網路是較為合理的攻擊模型。</p> <p>SSH（Secure Shell Protocol）是一種用於網路服務安全存取的協定，可在不安全的網路中提供安全資料通訊。這種協定在各種遠端操作中被廣泛應用，像是讓用戶可以安全地從遠端位置登入到另一臺電腦，或是在遠端伺服器安全地執行命令。而SSH也可用於檔案傳輸，或是將本地連接埠的流量轉送到遠端連接埠。</p> <p>SSH運用先進加密技術，進而確保資料在傳輸過程的安全性和隱私性，而且SSH也支援多種身分驗證機制，強化存取控制的安全性。使用SSH加密的資料在傳輸到目的地時能夠保持原始狀態，免受各種形式的竄改。同時，SSH還能有效抵抗中間人攻擊，這使其成為保護資料傳輸安全的理想選擇。</p> <p>不過現在研究人員發現SSH可受Terrapin攻擊，這代表SSH的安全性正受到挑戰。SSH協定的重要組成部分Binary Packet Protocol，已不再能作為安全通道的保證。在SSH框架下，所有通訊內容包括命令、檔案傳輸和資料，都是透過Binary Packet Protocol這個二進位封包協定傳輸。</p> <p>SSH通道的完整性在3種被廣泛使用的加密模式下可被破壞，攻擊者透過前綴截斷攻擊，即可刪除SSH通道開頭的加密封包，但客戶端和伺服器卻不會發現。研究團隊說明了這項攻擊的實際應用，透過完全破壞SSH擴充協商（RFC 8308），攻擊者可以降級用於身分驗證的公鑰演算法，甚至是關閉OpenSSH 9.5時加入，用於防禦擊鍵時間攻擊（Keystroke Timing Attacks）的機制。</p> <p>同時，研究人員還發現Terrapin攻擊結合其他實作缺陷，還可進行特定攻擊，像是結合AsyncSSH內部狀態機缺陷，可讓攻擊者將受害者的登入重新定向到由攻擊者控制的命令介面。</p> <p>Terrapin攻擊要能成立，首先需要存在主動的中間人攻擊者，能夠攔截並修改TCP/IP層的連線流量，此外，還需要溝通ChaCha20-Poly1305或是任意CBC密碼，並結合Encrypt-then-MAC作為連接加密模式。研究人員提到，因為Terrapin攻擊利用了SSH傳輸層協定的弱點，結合OpenSSH在10多年前所添加，並且已被廣泛採用的加密演算法和加密模式，因此幾乎所有使用者皆暴露在風險之中。</p> <p>由於Terrapin攻擊需要有主動的中間人發動攻擊，這代表攻擊者必須要透過某種方式，攔截和修改客戶端與伺服器端的傳輸資料，這在實際網際網路的運作上有其困難度，因此Terrapin攻擊在本地網路更容易被執行。</p> <p>不過，即便是用戶已經對SSH客戶端和伺服器端進行安全修補，也不代表SSH連接就完全安全，具體來說，OpenSSH和其他供應商實作的嚴格金鑰交換對策，需要客戶端和伺服器端雙方支援才會生效。所以當一個已修補的SSH客戶端連接到未修補的SSH伺服器，或是反之，連接都仍然處於易受攻擊的狀態。</p> <p>研究人員提供了一個以Go編寫的漏洞掃描工具，該工具是一個簡單控制臺應用程式，可用於檢查SSH伺服器或是客戶端是否易受Terrapin攻擊。漏洞掃描工具會連接到SSH伺服器或是監聽傳入的用戶端連線，以偵測是否使用易受攻擊的加密模式，以及是否支援嚴格金鑰交換對策，不過該工具並不會執行正式交握，也不實際執行攻擊。該工具程式碼已經在GitHub上公開。</p> </div></div></div>
2023/12/21 08:36作者李建興https://www.ithome.com.tw/news/160452
Google以機器學習技術最佳化編譯器配置，強化模型執行效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.research.google/2023/12/advancements-in-machine-learning-for.html">發表</a>機器學習最新研究，目的是透過改善機器學習編譯器，來提升機器學習工作負載的執行效率，藉由採用機器學習技術最佳化編譯器決策，進一步增加機器學習模型的效能。作為研究的一部分，Google還推出了新資料集TpuGraphs，用以促進機器學習程式最佳化研究。</p> <p>隨著機器學習技術不斷發展，現在的機器學習系統已能理解自然語言，生成對話、圖像和影片等。而這些先進的機器學習模型，主要使用TensorFlow、JAX與PyTorch等機器學習程式開發框架開發和訓練而成，這些框架提供了諸如線性代數運算、神經網路等高階功能。</p> <p>由於機器學習框架透過底層編譯器，自動最佳化使用者的模型，因此機器學習工作負載的效能，很大程度取決於編譯器的效能，研究人員指出，由於編譯器通常仰賴啟發式方法來解決複雜的最佳化問題，而這也常造成效能不佳的原因。</p> <p>機器學習編譯器可以將用戶編寫的程式轉換成為可在硬體上運作的可執行指令，機器學習編譯器必須要解決許多複雜的最佳化問題。而強化機器學習編譯器的效能，也就能夠提升機器學習模型的效能。</p> <p>在編譯器最佳化策略中，分配記憶體布局給所有中介張量是一個關鍵的環節，記憶體布局可以有不同的排列方式，常見的包括列優先與行優先布局，在機器學習的程式中，編譯器需要決定每個中介張量的記憶體布局，而布局的最佳化會影響計算效率。</p> <p>編譯器在分配記憶體布局時，需要權衡局部運算效率和記憶體布局轉換成本，而這個布局分配最佳化的目的，便是在計算效率和記憶體管理間，找到一個最佳平衡點。機器學習技術便可被用來找到該平衡點，透過分析程式的不同特性，像是操作種類、資料大小和結構，預測可以提供最佳效能的記憶體布局。</p> <p>在編譯器中運用學習成本模型，就能有效協助改進經編譯的機器學習模型效率。輸入程式和編譯器配置到學習成本模型中，模型便會輸出程式執行時間預測。</p> <p>雖然原本就存在一些用於程式效能預測資料集，但主要是針對小型子程式，為此，Google建立了TpuGraphs資料集來訓練學習成本模型，特別是針對大型的計算圖（Computational Graph）。由於這是一個用於Google機器學習加速器TPU執行程式的學習成本模型資料集，因此稱作TpuGraphs，主要針對兩種XLA編譯器配置，涵蓋了布局和切割（Tiling）。</p> <p>資料集中的樣本，包含了機器學習工作負載的計算圖、編譯配置，還有使用該配置的執行時間。資料集的內容來自於開源機器學習程式，涵蓋多種熱門模型架構，像是ResNet、EfficientNet、Mask R-CNN和Transformer等。</p> <p>與之前的圖屬性預測資料集相比，TpuGraphs資料集圖的數量是25倍，平均圖大小比現有的機器學習效能預測資料集大770倍。官方指出，隨著資料集的擴大，研究人員第一次可以探索大圖上針對圖層級的預測任務，解決包括可擴展性、訓練效率和模型品質等問題。</p> <p>Google還採用了一種稱為GST（Graph Segment Training）的訓練方法，解決在記憶體容量有限的裝置上，訓練大型圖神經網路的問題。該方法使端到端訓練時間加速達3倍，有效提高訓練的可行性和效率。</p> <p>該篇研究的具體貢獻是將機器學習技術，用於最佳化XLA編譯器配置，加速編譯後模型的執行效率，另外，Google發展TpuGraphs資料集和GST訓練方法高效訓練學習成本模型，預測機器學習程式在特定編譯器配置下的執行時間，以此作為最佳化模型的基礎。</p> </div></div></div>
2023/12/21 08:42作者李建興https://www.ithome.com.tw/news/160455
率先提供OT原生偵測與應變，TXOne工控端點防護大升級
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/txone_stellarone_3.0-filter-options-3-0-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於確保ICS/SCADA這類OT設備本身的安全性需求，趨勢科技與睿控網安（TXOne Networks）過往曾推出資安解決方案，名為Trend Micro Safe Lock（TMSL），2014年12月發布2.0版，2019年第三季推出Trend Micro Safe Lock Intelligent Manager TXOne Edition，2021年上半發表TXOne Stellar系列。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-TXOne%20Semiconductor%20Asset%20Security%20Lifecycle%20Protection.jpg" style="width: 500px;" /></p> <p>其中的一款產品StellarEnforce，採用白名單鎖定防護固定功能的OT設備，像是工業控制系統、POS設備、終端機、Kiosk，免於惡意軟體攻擊與非法使用，而且本身所需要的系統資源較少，不需要定期更新軟體或系統，並且提供隨選即用的防毒掃描功能。</p> <p>另一款則是StellarProtect，提供工業級次世代防毒技術，搭配ICS信任根（root of trust）與進階威脅掃描功能，可在毋須中斷OT設備運作的狀態之下，提供防護，也提供運作行為異常偵測功能，可一併強制實施最低權限的控管，預防非惡意軟體類型的攻擊。同時，這套軟體也提供ICS Application Safeguard、USB Vector Control等兩項防護技術，前者可協助標定ICS設備的處理程序，確保其完整性而不被竄改，後者能在系統管理者的檢核之後，才開放USB埠的使用，預防內部網路的資安威脅。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-TXOne%20StellarProtect%20features.jpg" style="width: 600px;" /></p> <p>關於集中管理主控臺的部分，TXOne提供的產品是StellarOne，可同時控管StellarEnforce與StellarProtect這兩套系統，可分別對應老舊OT設備的防護，以及新型OT設備的防護。</p> <p>經過幾年的改版，StellarEnforce去年11月推出1.3版，之前的版本終止銷售，StellarProtect與StellarOne持續發布更新，今年上半推出2.1版與2.2版，8月正式供應3.0版，9月釋出3.0 SP1版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TXone%20Stellar%20VERSION.jpg" style="width: 600px;" /></p> <p>而在近期登場的3.0版當中，最大的賣點，是針對「連網與實體設備整合控制系統（CPS）」，亦即新型OT設備，提供偵測與應變機制（CPSDR）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Stellar Statck.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar%20Statck.jpg" style="width: 600px;" /></a></p> <p>TXOne表示，Stellar 3.0系列能在毋須犧牲OT設備功能或效能的前提之下，支援資安與維運優先的要求，他們號稱這是業界第一套同時完整涵蓋舊型與新型OT設備、提供資安威脅偵測與預防機制的解決方案。基本上，這套系統將提供直覺的管理介面、基於所掌握的資訊而進行自動化處理等特色，提供快速、簡易的建置方式，並且不會因此影響運算資源相當有限的OT設備運作效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar-2023-04.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXONE StellarProtect and StellarOne.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXONE%20StellarProtect%20and%20StellarOne.jpg" style="width: 600px;" /></a></p> <p>相較於市面上其他從IT領域借用資安概念的非OT原生資安解決方案而言，TXOne 新版Stellar能夠針對每一臺設備進行個別分析，透過源於應用程式、網路、系統、使用者登入、設備資料等類別的遙測，產生如同指紋的安全基準線，之後即可根據這些資訊，突顯危及OT維運可靠性與穩定性的意外行為，以此預防非計畫的變更動作，並且產生警報以補足更廣泛的分析需求，因此不僅能用於對抗已知威脅，還能透過這樣的OT原生CPDR功能，在營運受到影響之前，預先找出非法的系統變更活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne StellarOne 3_0-Approved Script Behaviors.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20StellarOne%203_0-Approved%20Script%20Behaviors.jpg" style="width: 600px;" /></a></p> <p>CPSDR本身是內建在Stellar進階維運行為異常偵測的功能，會在每個安裝代理程式的設備實際運作期間，持續分析本身的系統、建立獨一無二的基準指紋，隨後搭配採用TXOne提供的工業應用程式儲存庫，執行指紋偏差分析，以及專屬的勒索軟體偵測引擎，進而從個別代理程式的層級找到意料之外的活動與偏差行為，並且將這些造成OT設備不穩定的問題通知集中管理主控臺，即可及早採取預防處理動作，藉此抵禦各種可能影響OT設備穩定度的變更行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Stellar-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar-2023-06-2.jpg" style="width: 600px;" /></a></p> <p>TXOne表示，Stellar的CPSDR會進行兩階段的處理，首先會禁止意外的變更行為，透過持續分析設備的「指紋」，以維護OT設備的穩定度；第二會執行更廣泛的分析，找出導致變更的原因，辨別這些舉動是資安威脅、操作人員的失誤，或是其他行為。</p> <p>除了特殊的CPSDR防護，Stellar發展至今還有一項特色，應該是其他OT資安解決方案較少著墨的，那就是豐富的辨識能力，可精準識別與評估8千種以上的ICS應用程式、設備，以及憑證，這項技術源於TXOne與多家設備製造廠商合作，而能提供廣泛涵蓋各種OT使用情境與脈絡的資料庫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Stellar-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar-2023-06-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>TXOne Stellar 3.0</strong><br /> ●原廠：TXOne Networks<br /> ●建議售價：廠商未提供<br /> ●版本：Kiosk精簡版適用銀行業、零售業，ICS完整版適用關鍵基礎設施、製造業、製藥產業<br /> ●組成架構：管理伺服器StellarOne，裝置代理程式：StellarProtect<br /> ●代理程式支援作業系統與版本：OT設備Windows 2000 SP4至11，伺服器Windows 2000 SP4至Server 2022<br /> ●管理伺服器作業系統需求：伺服器虛擬化平臺：VMware vSphere 6.5、Windows Server 2019 Hyper-V<br /> ●管理伺服器硬體需求：4或8顆虛擬處理器，記憶體容量為12 GB、16 GB、32 GB，硬碟25 GB搭配50 GB或100 GB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/20 18:30作者李宗翰https://www.ithome.com.tw/review/160376
【資安日報】12月20日，FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期歐美國家取締網路犯罪組織的執法行動大有斬獲，例如，1月破壞勒索軟體Hive的基礎設施，8月摧毀70萬臺電腦組成的QBot殭屍網路等，駭客因此元氣大傷、消聲匿跡一段時日。</p> <p>12月19日再度傳出美國FBI宣布奪下勒索軟體駭客組織BlackCat網站，但對方在一天內又取回網站，顯然這次執法行動受到阻礙。駭客表示，只要是在獨立國家國協以外的企業組織，都可能是他們的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-disrupts-blackcat-ransomware-operation-creates-decryption-tool/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國宣布破獲勒索軟體BlackCat的網站，但功敗垂成，駭客似乎奪回控制權</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-website-unseizure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-website-unseizure.jpg" style="width: 300px; float: right;" /></a>根據Bleeping Computer、Security Affairs等資安新聞網站的報導，12月7日有多組研究人員發現，勒索軟體駭客組織BlackCat（Alphv）的Tor網站離線，10日傳出是執法行動所致。</p> <p>12月19日美國司法部宣布，聯邦調查局（FBI）在丹麥、德國、英國、荷蘭、德國、澳洲、西班牙、奧地利執法單位，以及歐洲刑警組織的國際合作下，他們成功對此勒索軟體組織進行破壞，FBI開發了檔案復原工具，估計能讓超過500個受害組織無須支付贖金就能還原資料，省下約6,800萬美元的贖金。根據多家新聞網站取得本次行動的搜索令，FBI取得946組Tor網站的公鑰、私鑰，並將資料進行備份。</p> <p>然而，駭客也不是省油的燈，司法部公告發出後，沒隔多久，這些資安新聞媒體再度連到該網站，發現這個網站的頂部加上綠底黑字的標題，表明該網站沒有被司法單位拿下。網頁下半部提到，FBI確實從該組織的部落格取得相關金鑰，原因是他們代管部分主機的資料中心被FBI所控制，但FBI只拿到最近一個半月的資料，也就是約400家受害公司解密的金鑰，但實際上他們還握有逾3千家公司的金鑰，而這些公司將永遠無法復原檔案。另外，這個顯然被駭客奪回的網站也提到，他們對旗下的打手放寬攻擊限制，原本不攻擊的醫院、核電廠現在都可能是目標，唯一的規定就不能攻擊獨立國家國協（CIS）的成員國（包含俄羅斯、白俄羅斯等）。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-site-outage-rumored-to-be-caused-by-law-enforcement/">https://www.bleepingcomputer.com/news/security/alphv-ransomware-site-outage-rumored-to-be-caused-by-law-enforcement/</a><br /> 2. <a href="https://www.justice.gov/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant">https://www.justice.gov/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant</a><br /> 3. <a href="https://www.documentcloud.org/documents/24231386-blackcat-alphv-search-warrant">https://www.documentcloud.org/documents/24231386-blackcat-alphv-search-warrant</a><br /> 4. <a href="https://twitter.com/vxunderground/status/1737167608997097839">https://twitter.com/vxunderground/status/1737167608997097839</a></p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-352a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超過300個企業組織遭到勒索軟體Play攻擊</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、澳洲網路安全中心（ACSC）聯手，針對勒索軟體Play的攻擊態勢提出警告，指出自駭客2022年6月從事攻擊行動以來，約有300個企業組織遇害。</p> <p>這些駭客之所以能入侵受害組織，通常利用外流的帳密資料，或者曝露於網際網路的應用程式系統等管道，來達到目的，其中駭客利用的漏洞，包含了Fortinet的SSL VPN系統漏洞CVE-2018-13379、CVE-2020-12812，以及微軟Exchange漏洞ProxyNotShell（CVE-2022-41040和CVE-2022-41082）。</p> <p>成功入侵後駭客利用AdFind、Grixba來進行偵察，並透過GMER、IOBit、PowerTool停用防毒軟體（在某些攻擊行動裡，駭客使用了PowerShell指令碼停用Microsoft Defender），接著駭客利用Cobalt Strike或SystemBC，來進行橫向移動及檔案執行。最終使用WinRAR等壓縮軟體打包竊得資料，並透過WinSCP外流，再採用間歇性加密的方式來破壞檔案。</p> <p><a href="https://thehackernews.com/2023/12/beware-experts-reveal-new-details-on.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露收信軟體Outlook零點擊漏洞攻擊鏈細節</span></strong></a></p> <p></p> <p>資安業者Akamai揭露他們向微軟通報的漏洞CVE-2023-35384、CVE-2023-36710細節，並指出攻擊者一旦將兩者串連，就有機會對收信軟體Outlook進行零點擊攻擊，從遠端連至受害電腦執行任意程式碼（RCE）。</p> <p>研究人員指出，CVE-2023-35384存在於MapUrlToZone功能函數解析路徑的過程，因此可繞過微軟在3月修補的重大等級Outlook漏洞CVE-2023-23397（CVSS風險評分為9.8），攻擊者若要觸發前述的問題，可寄送特製的電子郵件，一旦收信人透過Outlook接收，電腦就有可能從攻擊者的伺服器下載特殊的聲音檔案，CVSS風險評分為5.4。另一個漏洞CVE-2023-36710，則與名為Audio Compression Manager（ACM）的Windows元件有關，當電腦自動播放上述的聲音檔案，就有可能觸發，使得攻擊者可在受害電腦執行任意程式碼，CVSS風險評分為7.8。</p> <p>為了驗證這兩個漏洞的串連攻擊，研究人員透過IMA ADP編碼器觸發第2個漏洞，過程中使用的聲音檔案大小為1.8 GB，他們根據計算的結果，推測要觸發ACM漏洞所需的檔案，容量至少要1 GB起跳。雖然上述漏洞微軟先後於8月、10月完成修補，但由於CVE-2023-23397已被駭客組織Forest Blizzard廣泛利用，研究人員認為，企業組織需要謹慎防範上述漏洞利用攻擊鏈。</p>  <p>資料來源</p> <p>1. <a href="https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-one">https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-one</a><br /> 2. <a href="https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-two">https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-two</a></p> <p><a href="https://www.reversinglabs.com/blog/malware-leveraging-public-infrastructure-like-github-on-the-rise"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用程式碼管理平臺GitHub存放惡意程式的情況增加</span></strong></a></p> <p></p> <p>為了迴避資安系統偵測，駭客利用合法的雲端服務，如：Dropbox、Google Drive、Discord來存放惡意程式的做法，相當常見，但現在一改過往採用檔案共享服務的方式，有越來越多駭客改用程式碼儲存庫來從事攻擊行動。</p> <p>資安業者ReversingLabs指出，駭客透過GitHub代管惡意軟體的情況越來越頻繁，他們看到兩種新的手法，一種是濫用程式碼片段分享工具GitHub Gists，原因是駭客藉此代管惡意程式，並不會顯示作者的身分，而能當作另一種文字共享服務Pastebin加以濫用。</p> <p>另一種新手法，則是透過git commit的訊息發送命令，駭客濫用版本控制系統，在受害者電腦安裝惡意程式後，此惡意軟體便會從GitHub複製指定的儲存庫，並檢查該儲存庫的開頭提交訊息是否存在特定字串，從而將其用於解碼Base64演算法處理的訊息，並透過新的處理程序執行Python命令。</p> <p><a href="https://www.kmdn.gov.tw/1117/1271/1272/562001"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金門租車業者金豐租車傳出資料外洩，呼籲客戶防範詐騙</span></strong></a></p> <p></p> <p>12月8日金門租車業者金豐租車提出警告，有客戶接到來自國外的電話，假冒該租車業者進行詐騙，他們隨即請資安人員著手調查，結果發現該公司遭到國外駭客攻擊，並竊取客戶資料。金豐隨即關閉所有網路權限並確認駭客的足跡，並對客戶提出警告、報警查輯來源IP位址。該公司亦彙整客戶通報的詐騙話術，像是付費會員升等、異常大量訂車、扣錯款項等，並強調若是有任何匯款要求就直接拒絕，因為他們收款的方式只有兩種，一是透過綠界的平臺刷卡，另一種則是門市收取現金。</p> <p>根據金門日報的報導，這起事故發生的原因，是該公司的電腦遭到中國駭客入侵，他們委託工程師進行調查，發現電腦遭到木馬入侵，研判就是客戶資料外洩的原因。金豐表示，截至目前尚未有客戶受害，並表明若有客戶受騙上當，他們會集體向加害者求償。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/kmfun.tw/posts/338947135535287">https://www.facebook.com/kmfun.tw/posts/338947135535287</a><br /> 2. <a href="https://kmfun.tw/?route=information/page&news_id=11">https://kmfun.tw/?route=information/page&news_id=11</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.imperva.com/blog/imperva-detects-undocumented-8220-gang-activities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Oracle WebLogic伺服器漏洞遭到駭客組織8220鎖定，用於散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/iran-apt-seedworm-africa-telecoms"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater利用C2基礎設施架構MuddyC2Go對電信業者發動攻擊</span></span></strong></a></p> <p></p> <p><a href="https://securityintelligence.com/posts/web-injections-back-on-rise-banks-affected-danabot-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網站注入攻擊鎖定40家銀行、逾5萬民眾帳號資料</span></span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/12/pikabot-distributed-via-malicious-ads"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體PikaBot透過Google廣告散布</span></span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/12/15/cisa-secure-design-alert-urges-manufacturers-eliminate-default-passwords"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA呼籲設備製造商捨棄預設密碼的配置</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160433"><strong>【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160387"><strong>【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160355"><strong>【12月15日】小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動</strong></a></p> </div></div></div>
2023/12/20 16:40作者周峻佑https://www.ithome.com.tw/news/160449
企業用Gemini Pro模型API上架，Google更要打造從端到雲全套GAI工具鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公雲巨頭紛紛瞄準繼企業生成式AI開發需求，推出了各自的GAI技術架構和開發套件。緊接在11月底AWS揭露GAI產品戰略之後，Google也在12月初，發表了最新也是他們最強的LLM模型Gemini，隔周更在GCP的AI開發套件Vertex AI上釋出了企業用的Gemini Pro版模型預覽版，開放企業免費試用。Google同步推出Web版AI Studio開發工具，也將自家MLOps開發平臺Vertex AI轉為聚焦企業GAI開發的LLMLOps平臺，要涵蓋開發、部署到維運更多模型生命周期階段的需求。</p> <p>Google在12月初正式發表了Gemini，包括高階Ultra版，中階Pro和低階Nano版模型。Gemini Ultra將可以同時分辨和理解文字、圖片和聲音，也可以用來分辨和解釋幾種熱門開發語言，包括Python、Java、C++。Google推出Gemini模型時就強調，與其他知名大型語言模型如GPT、LLama最大差異是將提供一個行動裝置的小參數模型Nano版Gemini。</p> <p>Google先在Vertex AI平臺上架了Gemini Pro模型API預覽版，這是Gemini三款模型中的中階款。又細分為兩款API，目前只支援文字輸入和文字生成的Gemini Pro，最大可以輸入32K個Token，支援38種語言。另外，也提供了Gemini Pro Vision端點，可接受文字和影像輸入，但只能輸出文字，Google在記者會上實測展示時，則可以直接輸入一段影片，讓模型來判讀影片中的元素。Google用「模型端點」而非另一款模型來形容第二款API，意味著，這是同一個Gemini Pro模型，只是多釋出影像功能API來區隔版本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Vertex-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" /></p> <p><strong>Vertex AI上已經可以選擇Google新版LLM模型Gemini Pro版本，也可使用Geini Pro Vision版本，可直接上傳一段影片，讓模型來分析影片中的元素。</strong></p> <p>Gemini Pro從現在開始提供企業和開發者免費測試，2024年才開始正式收費，輸入和輸出都要計價，將按輸入文字每千字0.00025美元（10萬字約臺幣1元）或每張圖0.0025美元，而輸出則是每千字0.005美元（10萬字約臺幣15元）。</p> <p>而Gemini Pro的SDK目前支援了資料科學主流語言Python、兩大行動平臺Android的Kotlon和iOS應用的Swift，另外還包括了Ｗeb前後端開發主流JavaScript和Node.js語言。從Pro版SDK所支援開發語言種類更可以反映出，Gemini Pro格外注重未來的行動AI應用開發需求。</p> <p>除了自家新模型之外，Vertex AI的模型花園中，也一並增加了文字生成圖片的Imagen 2模型，可以生成更擬真的圖片。另外也將在數周後釋出了一個以Med-PaLM 2模型為主打造的醫療GAI模型產品集稱為MedLM，中國醫藥大學附設醫院將是亞洲第一家採用這款醫療GAI模型的醫學中心。用醫療資料微調過的Med-PaLM 2以85分高分通過了美國醫生執照考試，可以達到醫療專科醫生的回答水準。</p> <h3><span style="color:#FF0000;"><strong>推出Web版AI開發工具，Vertex AI也強化模型開發到部署功能</strong></span></h3> <p>除了新模型上架化，Google也正式推出了免費的Web版GAI開發工具AI Studio，（前身是MakerSuite），預設就是使用Gemini Pro或Gemini Pro Vision來開發AI應用，每分鐘可以免費使用60次模型請求。實測AI Studio，目前已經可以輸入中文，也能產生繁體中文的內容，不過，AI Studio上的Gemini Pro模型目前只支援到2023年8月的資料。</p> <p>Google在今年5月開始大幅升級機器學習開發平臺Vertex AI，更聚焦提供各種生成式AI的開發工具。在這個平臺的模型花園清單上，提供了超過130種通過Google企業級安全品質審查的ML模型，包括了開源和第三方提供的商用模型。在模型客製化上，這個平臺提供了多項微調方法，例如提示設計、LoRA微調、人類回饋增強學習RLHF等。</p> <p>隨著這次新模型釋出同時，Google也宣布了多項Vertex AI更多新功能，從模型增強，與外部資料或API的互動，多模型的協作框架，自動化模型評比，更多GAI控制機制等，逐漸從模型開發，延伸到了模型部署，維運管理等LLM模型的MLOps流程。</p> <p>Vertex AI增強工具主要提供三大功能，包括強化搜尋常用的嵌入檢索機制，設定配置就能快速建置的RAG（檢索增強生成）工具，也可以串接外部的向量資料庫，圖片或影音轉換成向量後可以儲存到向量資料庫，透過Vertex使用Gemini來實現多模態的嵌入檢索，可使用GCP託管或第三方的向量資料庫。Vertex AI將提供到18種不同的GAI控制或負責任控管機制，例如可以自動引用連結檢查，企業基礎正確性比較，或像是不宜用語和不雅影像過濾等。</p> <p>此外，Google也將陸續提供3項模型與外部環境互動的能力，8月先宣布了預覽版外掛機制（Extension），可以連結到外部資料源或是外部應用，讓生成式AI模型可以取得即時的外部資訊，甚至可以代表模型操作者的身份，在授權後取得個人化的AP資料。後續，Google將將新增「函數呼叫」（Function Calling）能力，可以將Gemini生成的結果自動匯出成一隻API或一隻函示程式。企業可以在這隻功能性API中再次優化模型輸出的結果。</p> <h3><span style="color:#FF0000;"><strong>將推出多GAI模型協作的調度框架</strong></span></h3> <p>另外一項將新增的功能是調度（Orchestration）多模型協同運作的能力，Vertex將可以用來調度多個模型互相運作。例如在手機上用Nano版模型接收使用者口說的問題，先將問題聲音轉成文字後，再拋轉到雲端的Pro版模型來生成回答，然後再拋轉給使用者。Google將提供一套調度框架，可以用來串連和連結不同模型共同產生更好的回應內容。不過，Google還沒揭露這套調度框架的釋出時程。</p> <p>在這次新版Gemini預覽版釋出同時，Google也揭露了Vertex AI平臺多項模型評估和部署新功能，模型自動評估矩陣從單一模型評估，新增加了多模型評比功能Auto SxS，可以一對一自動比較兩個模型對指定任務的執行結果，例如進行不同模型的A/B測試之用，或是比較微調前後，或相同模型但不同參數大小的效果。當模型部署上線後，可以追蹤每一次回應從輸入到輸出的速度來了解模型效能。</p> <p>Google新推出的AI Studio與Vertex AI採用了相同的資料安全和隱私控管機制，都可以支援顧客自帶金鑰、VPC控制、存取透明度紀錄和IAM權限控管。Google Cloud執行長Thomas Kurian在發布記者會上強調，企業資料只有企業自己可以存取，其他任何人，就連Google都無法看到模型輸入、輸出或每一項人類回饋到企業模型的資料。</p> <p>今年3月，Google釋出了NoCode的AI工具Vertex AI Studio，主要提供兩種常見企業AI應用的快速開發，包括了「搜尋」和「對話」應用，這兩項應用將會在2024年初開始支援Gemini模型。目前搜尋功能只能針對單一資料來源查詢，2024年時將新增一項「混合搜尋」(Blended Search）應用，只需要輸入一個搜尋指令，就能用Gemini來搜尋不同資料來源上的多模態資料，包括企業內部私有的結構化資料與非結構化資料，還有外部的公開資料。</p> <p>Google預計在2024年初正式推出Gemini模型後，會整合到更多服務中，包括了Google企業級進階搜尋服務將開始支援多模態嵌入向量搜尋。而Duet AI for Workspace明年初也會引進Gemini模型，可以對分析內容提供多模態的進階理解能力。文⊙王宏仁</p> </div></div></div>
2023/12/20 17:30作者王宏仁https://www.ithome.com.tw/news/160451
Okta買下以色列新創資安業者Spera Security
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國身分暨存取管理業者<a href="https://www.okta.com/blog/2023/12/okta-acquisition-advances-identity-powered-security/" target="_blank">Okta周二（12/19）宣布</a>將收購身分安全平臺Spera Security，以擴大Okta的身分威脅偵測與安全狀態管理能力，雙方預計於始於今年2月的2024財年第一季完成交易，<a href="https://www.calcalistech.com/ctechnews/article/bjhjagkda" target="_blank">外傳</a>該筆交易價值1~1.3億美元之間。</p> <p>Okta銷售十多種產品與服務，涵蓋單一簽入、API存取管理、使用者管理、身分驗證、多因素身分驗證、生命周期管理、高階伺服器存取及B2B整合等，而<a href="https://www.spera.security/solution" target="_blank">Spera Security則專注</a>於視覺化組織的身分管理風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-spera-600.png" style="width: 480px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Spera Security</span></span></p> <p>Spera Security可將解決方案無縫整合至身分供應商及雲端/就地部署應用，標榜在部署的一個小時內就能產生橫跨整個組織的身分成熟度報告，視覺化組織的身分攻擊表面，以及身分權限與使用的脈絡，在不影響組織業務的情況下強化身分的安全狀態。</p> <p>Okta表示，身分外洩為各組織現階段所面臨的最大攻擊威脅，有86%的外洩源自於網釣攻擊或其它形式的憑證濫用，像是社交工程攻擊或憑證填充等，相關風險更因為雲端應用及服務的龐大帳號數量及複雜度而增加。而Spera Security允許用戶在各種服務中發現威脅及錯誤配置，察覺安全漏洞並確定安全問題的優先順序，亦可協助組織評估其身分基礎設施，以及各種應用與服務的安全狀態。</p> <p>例如Spera Security輕易就能發現已離職員工的帳號，找出那些很久未被使用卻具權限的帳號，以及那些未採用多因素身分驗證的帳號。Spera Security表示，該公司的客戶通常在部署的幾周之內，就能減少75%的重大身分安全問題。</p> <p>Spera Security是個小型團隊，員工人數不超過30人，甫於今年對外募集了1,000萬美元的種子資金。</p> </div></div></div>
2023/12/20 16:43作者陳曉莉https://www.ithome.com.tw/news/160450
沒有及時修補Citrix Bleed漏洞，Comcast外洩近3,600萬名Xfinity用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國Comcast Corporation旗下專門提供有線電視、網路、電話及無線服務的Comcast Cable Communications<a href="https://www.businesswire.com/news/home/20231218979935/en/" target="_blank">（Xfinity）在周一（12/18）坦承</a>，該公司在修補Citrix Bleed漏洞的空窗期間遭到駭客入侵，外洩了用戶資料，<a href="https://apps.web.maine.gov/online/aeviewer/ME/40/49e711c6-e27c-4340-867c-9a529ab3ca2c.shtml" target="_blank">根據該公司提交給緬因州的文件</a>，受影響的用戶數高達35,879,455人。</p> <p>美國雲端運算及虛擬技術服務供應商Citrix Systems在今年的10月10日修補了一個重大安全漏洞CVE-2023-4966，成功的攻擊將會導致未經授權的資料揭露，影響網頁應用交付控制器NetScaler ADC及NetScaler Gateway裝置，此一漏洞是由Citrix內部團隊所發現，修補當時並不知道該漏洞已遭到濫用。</p> <p>然而，<a href="https://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966" target="_blank">資安業者Mandiant在10月17日指出</a>，駭客自8月下旬便開始利用該漏洞，成功的攻擊將允許駭客取得會話身分驗證令牌，挾持使用者的會話，從而繞過多因素身分驗證或其它驗證要求，倘若在修補前便被攻陷，那麼就算已部署更新程式，已被利用的會話可能會持續存在，由於影響重大，因而又被稱為Citrix Bleed漏洞。</p> <p>Xfinity透過新聞稿表示，CVE-2023-4966漏洞波及包括該公司在內的全球數千家業者，該公司於10月23日部署了更新程式，但在兩天後執行例行性的資安檢查時，發現內部系統在10月16日至19日之間出現未經授權的存取，且確定源自CVE-2023-4966。</p> <p>目前確定駭客已存取了Xfinity用戶的使用者名稱與雜湊密碼，以及部分用戶的姓名、聯絡資訊、社會安全碼的後4碼、生日，或秘密問題與答案。</p> <p>Xfinity於新聞稿中並未公布受影響的用戶數量，而是在提交給緬因州的資料外洩通知中揭露，顯示有接近3,600萬名用戶的資料外洩。</p> <p>Xfinity的資料外洩事件顯然是因沒有及時修補所造成，既未於10月10日的第一時間修補，也沒有在Mandiant公布該漏洞已遭到駭客利用的10月17日修補，而是延至10月23日才修補。</p> <p>現在Xfinity除了要求用戶重設密碼，並建議他們啟用雙因素身分驗證之外，也建議用戶更改那些使用同樣密碼的其它服務的憑證。</p> </div></div></div>
2023/12/20 14:35作者陳曉莉https://www.ithome.com.tw/news/160448
FBI警方查緝BlackCat勒索軟體網站，駭客揚言報復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（Federal Bureau of Investigation，FBI）本周查緝勒索軟體BlackCat/ALPHV受害者資料公布網站，雖然一度成功，但BlackCat駭客組織隨即宣稱「收復」該網站，也採取報復行動。</p> <p><a href="https://www.justice.gov/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant" target="_blank">美國司法部昨（19）日宣布</a>，FBI連同美國特勤局、德國、丹麥、歐洲刑警（Europol）等國警方破獲BlackCat/ALPHV的電腦網路，以及該集團營運的多個用以公布受害者資料的網站。</p> <p>BlackCat是同一駭客組織的第三代身分。2020年一駭客以DarkSide為名興起，2021年5月對油管業者Colonial Pipeline發動攻擊引發警方追捕關閉後，同年年中以BlackMatter為名出現，但在資安業者Emsisoft駭入其網路製作出一把解密金鑰後，協助警方破獲其網路系統。2021年底駭客又以BlackCat/ALPHV為名再度活動。</p> <p>過去18個月來，BlackCat/ALPHV在全球勒索了數億美元贖金，成為贖金第二多的勒索軟體即服務（ransomware-as-a-service），僅次於Ryuk，也有多國執法機關同時進行調查。單單在美國，遭BlackCat入侵加密的受害者遍及政府、消防、國防工具、製造、醫療、公衛以及一般企業及學校。使用BlackCat網路的駭客會採取雙重勒索（double extortion）手法。竊取受害者敏感資訊並且加密系統，以向受害者勒索贖金以換取解密金鑰，一旦勒索不成就會將竊得的資料公布在暗網網站上作為報復。</p> <p>FBI開發了一項解密工具，供多國警方提供500多個受害者組織得以取回被勒索軟體加密的系統，使其免於6,800萬美元的金錢損失。</p> <p>根據資安新聞網站<a href="https://www.bleepingcomputer.com/news/security/fbi-disrupts-blackcat-ransomware-operation-creates-decryption-tool/" target="_blank">《Bleeping Computer》</a>報導，周二FBI宣布其成功行動後，下周BlackCat在論壇上向其同夥公布收復其資料公布網站。</p> <p>FBI在這次行動中控制了駭客營運部落格的一座資料中心。現在BlackCat駭客和FBI都有註冊網站URL的金鑰，因此兩者可能呈現拉鋸，輪流取得對URL的控制權。</p> <p>但駭客宣稱，FBI只控制了一座資料中心，其他資料中心還在駭客手上。而且FBI雖然取得400家受害公司的金鑰，但由於此次行動，其他3,000多家受害組織將再也拿不回其金鑰。此外，作為此次行動的報復，駭客對其同夥放寛其攻擊限制，除了網路安全主管機關外，其他如醫院、核電廠等都不在限制之內。駭客也強調不會對任何企業要求的贖金打折。</p> <p>《Bleeping Computer》分析，根據歷史經驗可以推知，BlackCat可能很快就會以另一身分重出江湖。</p> </div></div></div>
2023/12/20 12:34作者林妍溱https://www.ithome.com.tw/news/160445
巴基斯坦前總理以Deepfake聲音向群眾發表演說
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前身陷囹圄的巴基斯坦前總理日前在AI Deepfake技術協助下，向支持群眾發表虛擬演說。</p> <p>巴基斯坦前總理Imran Khan領導的巴基斯坦正義運動黨（Pakistan Tehreek-e-Insaf，PTI）本周日利用臉書、YouTube及X等社群平臺，<a href="https://www.youtube.com/watch?v=xTxS9WSmbGM" target="_blank">舉行了2024年國會大選第一場為時近5小時的虛擬選舉活動</a>。Khan為巴國前板球國家隊隊長暨慈善家。今年8月他在總理任期間遭控收賄且拒絕配合調查而被捕入獄至今。PTI被禁止集會活動，Khan本人也不被允許參選，以及出現在媒體上。</p> <p>PTI以Khan草擬的演說稿透過律師攜出，由該黨運用一家AI公司ElevenLabs的技術，<a href="https://www.tiktok.com/@pakistanijournal/video/7152050688468602139" target="_blank">以其音訊檔為樣本模擬成其聲音</a>。這場大會穿插Khan過往公開演講的影片及活動照片，他4分鐘的AI演說在虛擬大會中最後播放，影片也說明此為Khan的deep fake聲音。</p> <p>PTI黨希望以社群及AI技術吸引年輕選民支持，也表示Khan是該黨活動的靈魂人物。Khan AI版聲音向群眾表示，他為這次歷史性的嘗試讚美社群平臺，而他對真正自由的渴望更加強烈。</p> <p>即使巴國政府周日為阻止這場線上活動，切斷網路7小時，但該活動仍然從多個平臺上吸引了超過450萬次點閱率。</p> <p><a href="https://www.theguardian.com/world/2023/dec/18/imran-khan-deploys-ai-clone-to-campaign-from-behind-bars-in-pakistan" target="_blank">《The Guardian》</a>引述一些巴國民眾看法，認為聲音太不真實，文法也怪怪的，但是一些用戶仍對PTI黨運用現代科技繞過當局審查的嘗試表示讚揚。</p> </div></div></div>
2023/12/20 12:50作者林妍溱https://www.ithome.com.tw/news/160447
博通收購VMware不滿一個月！VMware宣布全面終止永久授權的銷售改為訂閱制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-a0331b00-7fff-c9b8-714b-50b90346c677">博通在11月<a href="https://www.broadcom.com/company/news/financial-releases/61541">下旬</a>完成對VMware的收購後， VMware近日<a href="https://news.vmware.com/company/vmware-by-broadcom-business-transformation">宣布</a>未來的產品銷售服務模式有重大的調整，將全面終止買斷授權，改為訂閱制。這意謂著，VMware虛擬化平臺正式全面轉型為訂閱制。</p> <p dir="ltr">在博通收購VMware之前，VMware已經積極展開轉型，朝向訂閱制銷售模式來發展。博通完成收購不到一個月，VMware在本月11日宣布此項消息，表示即日起不再提供永久授權、有效支援與訂閱服務 (Support and Subscription, SnS)續訂，以及混合與訂閱購買計畫(HPP/SPP) 點數在內的銷售模式，僅以訂閱或定期授權的形式提供。</p> <p dir="ltr">新政策影響VMware產品，涵蓋了VMware Cloud Foundation、vSphere、vSAN、NSX、SRM、HCX、vCloud套件及VMware Aria套件產品等。</p> <p dir="ltr">VMware表示，新政策實施後，現有企業用戶仍然可以繼續使用他們以永久授權購買的產品。值得注意的是，當永久授權到期之後，需要購買訂閱軟體或定期授權，來補充或替換其當前永久授權的部署基礎架構，無法再以永久授權的形式購買。VMware建議，採用永久授權的用戶可以檢查其永久授權清單，了解更新周期和續約日期，並開始熟悉相關可用訂閱及優惠方案。</p> <p dir="ltr">為了方便用戶移轉授權，VMware還提供自備訂閱授權選項，針對經過VMware驗證在VCF環境上執行的混合雲端點，提供授權可移植性方案。</p> <p dir="ltr">除了銷售模式的轉變之外，VMware強調，未來VMware Cloud Foundation部門的產品發展重心將聚焦兩大服務上，分別為企業混合雲解決方案VMware Cloud Foundation和整合伺服器虛擬化平臺vSphere與智慧營運管理的VMware vSphere Foundation。同時還將提供儲存產品、勒索軟體和災難復原服務以及應用程式平臺服務。</p> <p dir="ltr">上個月，博通以610 億美元完成對VMware 的收購後，VMware以VMware by Broadcom之名，正式納入博通旗下。據報導，博通在完成收購後迅速對VMware進行了組織重組，不僅精簡了超過千人的人力，還將部門整合為4個獨立的部門。</p> <p dir="ltr">根據博通的說法，未來核心重點將協助企業建立和現代化其私有雲和混合雲環境。除了繼續投資和發展VMware Cloud Foundation核心產品，同時還將持續發展加速應用程式部署的VMware Tanzu。此外，還包括應用程式網路和進階安全性服務，以及針對電信和企業邊緣的VMware軟體定義邊緣的相關發展。。</p> </div></div></div>
2023/12/20 11:35作者余至浩https://www.ithome.com.tw/news/160441
5G趨勢月報第49期：台灣大哥大、遠傳各自完成合併案，電信市場進入新三雄競局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>11/08~12/14精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣大哥大</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣之星</b></span></font></p> <p><span style="font-size:22px;"><strong>台灣大哥大完成與台灣之星合併，破千萬用戶躍升第2大電信</strong></span></p> <p>2023年即將結束之際，國內電信市場迎來新的競爭局面。台灣大哥大近期宣布與台灣之星完成合併，合計用戶數來到1,028萬，僅次於中華電信，為國內第二大行動電信業者。</p> <p>這宗合併案被外界稱為台台併，台灣大哥大是在2021年12月與台灣之星達成合併協議，歷經近2年時間向NCC、公平會、證交所等機關申請合併，終於在今年獲得公平會審核通過，並完成IT、網路技術、人員安置、用戶權益、門市整合等準備後，12月1日正式宣布完成合併，合併後的新台灣大哥大用戶數突破1千萬大關，緊追在將近1,300萬用戶的中華電信之後。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWM-600.jpg" style="width: 600px; height: 399px;" /></p> <p>新台灣大哥大也透過合併，取得更多的無線頻譜資源，以目前5G使用的3.5GHz頻段為例，已有100MHz頻寬，另有700MHz及900MHz低頻段資源。</p> <p>合併後，新台灣大哥大也宣示，未來將從價格競爭走向價值競爭的新局。這意味著，過去3大2小的5家電信時代，業者間彼此祭出價格競爭吸引用戶，台灣之星、亞太電信2家業者過去以低價費率吸引用戶的時代可能成為過去，未來新的三大電信對服務價值競爭已形成默契。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>亞太電信</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳與亞太完成合併! 新電信三雄市場競局成形</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Far-600.jpg" style="width: 600px; height: 450px;" /></p> <p>遠傳電信在12月15日正式合併亞太電信，合併後用戶數超過920萬，挑戰千萬用戶大關，加上台灣大哥大與台灣之星完成合併，至此，國內電信市場進入新的三雄競爭局面。</p> <p>根據遠傳電信的規畫，遠傳現有約1.2萬座基地臺，亞太約有6,500座基地臺，合併後將整併基地臺，預定汰除5千基地臺，未來將有12,500座基地臺。遠傳電信指出，明年1月底將完成第一階段基地臺整併工作，整併後原本亞太電信用戶，網路覆蓋率將提升近1倍，對於原亞太電信用戶，保留原本的SIM卡及費率，手機通訊仍使用GT網路名稱，但是和遠傳電信既有用戶間通話已按網內通話計算。</p> <p>在遠傳與亞太電信、台灣大哥大與台灣之星先後宣布完成合併後，兩家電信公司不約而同宣示，未來不再以價格為競爭手段，將走向以價值取向的競爭。不論是遠傳與台灣大哥大各自透過合併手段取得更多無線頻譜資源，以提升5G網路服務品質，例如上網速度、容量，和中華電信的服務競爭。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OneWeb</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信獨家代理OneWeb，明年低軌衛星服務來臺</strong></span></p> <p>低軌衛星服務即將來臺，中華電信近期已和歐洲通訊衛星集團Eutelsat的Eutelsat OneWeb合作，將獨家代理OneWeb低軌衛星服務，OneWeb明年可望覆蓋至臺灣。</p> <p>中華電信代理OneWeb低軌衛星服務，主要用以強化政府及中華電信內部網路韌性，其中政府方面，中華電信參與數位發展部的「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，以驗證非同步軌道衛星，在緊急或災害導致海纜、固網、行動網路遭破壞，透過衛星維持通訊，提升我國通訊系統韌性的可行性，該計畫將在明年開始，於國內700多處、國外3個站點設立衛星設備進行驗證。</p> <p>中華電信也準備運用代理的低軌衛星服務，強化自身的網路通訊韌性，建構低軌衛星、固網、行動網路、海底電纜、微波通訊的多重網路備援架構，提供政府、民間通訊數位韌性方案。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>行動晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科推出天璣8300 5G生成式AI行動晶片</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MTK8300-600.jpg" style="width: 600px; height: 600px;" /></p> <p>繼天璣9300之後，聯發科再推出天璣8000系列產品新成員天璣8300，與天璣9300同樣強調生成式AI處理能力，聯發科強調新款行動晶片可推動終端裝置的生成式AI創新，預計採用該晶片的手機將在2023年底上市。</p> <p>天璣8300採用4奈米製程，搭配Armv 9 CPU架構，具有8個CPU核心，由4 個Cortex-A715 效能核心與 4個Cortex-A510能效核心組成，使CPU的最高效能較前一代提高20%，並可節省30%功耗。GPU方面，搭載6核心Mali-G615，效能提高60%、節省55%功耗。</p> <p>聯發科表示，該晶片最多能支援100億參數大型語言模型。內建聯發科AI處理器APU 780，透過生成式AI引擎，整數及浮點運算的效能提升2倍，並支援Transformer運算子加速及混合精度INT4量化技術，AI的整體效為前一代提高3.3倍。</p> <p>在通訊方面，整合3GPP R16 5G晶片，強調針對上網的場景最佳化，即使在訊號較弱的環境仍能連接5G，在Sub 6GHz下支援3載波聚合技術，使5G網路下載速度最快可到5.17Gbps。另外，還支援Wi-Fi 6E，可使用6GHz頻段。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>動物園</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>高雄壽山動物園導入5G專網，打造智慧動物園遊覽體驗</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/zoo-600.jpg" style="width: 600px; height: 450px;" /></p> <p>動物園一向予人傳統印象，現在也積極導入新科技，以打造全新的數位導覽體驗。高雄壽山動物園近期和電信、網通業者合作，在園區內導入5G專網及Wi-Fi 6，利用5G的高速、低延遲，提供遊客趣味性的數位互動體驗。</p> <p>壽山動物園內建置5G SA專網，搭配行動邊緣運算系統，以提供高速傳輸、低延遲，此外，也優化園區內的光纖網路、Wi-Fi無線網路，以確保各項應用的連線品質。利用5G專網及LBS定位應用服務，遊客只要下載動物園App，就能在園內內定位導航、規畫遊園路徑，依照遊園路線推播訊息，介紹每種動物的背景知識、完整介紹。</p> <p>除了在園區路徑導航之外，遊客也能透過5G網路觀看非洲象的串流影像。此外，在室內環境，園方也和廠商合作，提供AR眼鏡，讓民眾可以擴增實境的方式，和虛擬動物互動體驗。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>物流</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>韓國物流業者導入5G專網，克服Wi-Fi訊號涵蓋死角問題</strong></span></p> <p>韓國老牌的物流業者大韓通運（CJ Logistics）近期在韓國利川市佔地約1.2萬坪的物流倉庫導入5G專用網路，以克服原本使用的Wi-Fi網路訊號涵蓋死角問題，提高倉庫管理效率，未來計畫將該倉庫的經驗擴大至韓國400個及海外40個倉庫設施。</p> <p>物流業倉庫的生產效率，主要來自於簡化倉儲揀選流程，將包裏從貨架上揀出，到準備出貨的過程，通過即時的通訊網路，確保揀選到出貨的效率。大韓通運原本使用約300個Wi-Fi無線網路AP，但仍容易有訊號死角、反覆中斷等問題，因此在行動電信設備商協助之下，他們在位於利川市的倉庫先導入5G專用網路，建置22個無線電點。</p> <p>通過5G專用寬頻網路，取代Wi-Fi無線網路，該倉庫以AGV無人搬運車、AMR自主移動機器人，搭配自動化揀選作業，預估提高倉庫的生產力20%。大韓通運表示，網路的連接性作為後勤支援，讓複雜運作過程中設備，可以透過無縫網路、數據交換，彼此協調運作，通過產業專用的頻譜，提高網路穩定性及效能，讓5G專網成為該公司的策略選擇之一。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>郵政</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>挪威郵政服務Posten測試導入5G專網</strong></span></p> <p>擁有375年歷史的挪威郵政服務Posten和當地電信商合作，在奧斯陸西北方一處新建物中部署5G專用網路，利用行動網路覆蓋新航廈內部及外部，以傳輸所有營運數據。</p> <p>Posten導入5G專網，目的在減少停機時間，提升資訊安全，並且增加網路靈活性，以支援不同類型倉庫運作。為了確保網路通訊韌性，該建築建置兩條獨立的光纜，分別連接雲端服務及Posten的中央系統，大樓並設計天線以接收衛星通訊作為備援。</p> <p>Posten指出，新建物在規畫之初，即希望測試所有的資料通訊能否建立在行動網路上，使建築的內部、外部的所有設備提供安全的通訊網路，物流倉庫的運作相當仰賴設備隨時處於連網狀態，如果意外發生停機，就會導致生產中止，整個停機成本相當高昂，5G專網提供一個最好的連接方式。</p> <p> </p> <p>圖片來源／聯發科、遠傳電信、高雄壽山動物園、台灣大哥大</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.高通推出Snapdragon 7 Gen 3，AI每瓦效能提升60</strong></p> <p><strong>2.Vodafone在愛丁堡機場布建4G及5G網路</strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/12/20 11:49作者蘇文彬https://www.ithome.com.tw/news/160442
Google同意支付7億美元與美國各州和解Google Play的反托拉斯爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國36州再加上華盛頓特區的檢察長於2021年，聯手控告Google違反反托拉斯法令，特別是Google Play中所存在的排他性條款及反競爭行為，不過，<a href="https://blog.google/outreach-initiatives/public-policy/reaffirming-choice-and-openness-on-android-and-google-play/" target="_blank">Google周一（12/18）公布</a>了雙方已於今年9月簽署的和解協議，包括同意支付7億美元，放行第三方程式市集，以及支援第三方支付等，此一和解協議仍尚待法院批准。</p> <p>當時各州檢察長們認為Google壟斷了行動作業系統，也壟斷Android程式的散布，藉由技術門檻與條件來限制開發者只能於Google Play上散布程式，強迫OEM業者簽署條款以限制裝置內建第三方市集，亦非法壟斷了Android的程式內購買機制。</p> <p>根據雙方的協議，Google同意支付7億美元的和解金額，其中有6.3億將付給消費者利益基金，另外的0.7億則是付給可供各州使用的基金。</p> <p>除了金錢之外，Google也承諾改善與Google Play有關的策略，指出其實Google早就允許Android裝置安裝第三方應用程式市集，且多數Android裝置都安裝了兩個或以上的程式市集，最新的協議將明確允許OEM業者預裝各種程式市集選項，也透過Android 14改善對第三方程式市集的支援。</p> <p>此外，Android平臺原本就允許使用者側載應用程式，例如直接從開發者的網站上下載程式，只是為了顧及安全，會在使用者下載時提出警告，未來Google將簡化側載流程並更新所使用的語句。</p> <p>對於受到許多批評的支付機制，Google已於許多市場測試對第三方支付的支援，而不一定要使用Android內建的Google支付系統，亦開始允許開發者於付款程序中列出基於下載來源的不同價格，以供使用者選擇。</p> <p>不過，<a href="https://www.epicgames.com/site/en-US/news/epic-v-google-trial-verdict-a-win-for-all-developers" target="_blank">甫贏得與Google之間反托拉斯訴訟的Epic Games</a>同一天就<a href="https://www.epicgames.com/site/en-US/news/statement-on-google-s-settlement-with-state-attorneys-general" target="_blank">批評該和解協議</a>，指出各州原本尋求105億美元的賠償金額，最終卻接受了7億美元的和解，還說開發者透過Google支付系統必須支付30%的費用，但若採用第三方支付系統，依然必須支付26%予Google，此一協議並未解決Google違反競爭的核心問題，Epic Games將繼續追求有意義的補救措施以讓Android生態系統真正的開放。</p> </div></div></div>
2023/12/20 11:49作者陳曉莉https://www.ithome.com.tw/news/160443
Deno 1.39重新支援WebGPU，並持續強化Node.js相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript和TypeScript執行環境<a href="https://deno.com/blog/v1.39#new-deno-coverage-reporters">Deno 1.39</a>更新，加入了許多重要新功能，不只WebGPU支援回歸，強化圖形、遊戲和機器學習功能，還添加新的Deno測試覆蓋報告器，改進程式碼分析功能，而且在Node.js的相容性支援上也有新進展，能夠簡化Node.js開發人員的轉換工作。</p> <p>Deno在2021年的時候嘗試引入WebGPU，但之後因為效能問題，在今年稍早時移除，而現在官方已經解決效能問題，因此重新加入WebGPU支援。WebGPU API提供了一個低階、高效能且跨架構的方法，使開發者能夠以JavaScript編寫GPU應用程式。WebGPU被視為WebGL的後繼者，目前規範已經確定，且Chrome也開始支援該API，Firefox和Safari的支援則還在開發中。</p> <p>GPU在數值的平行運算上，較CPU存在明顯的優勢，這不只可用於加速渲染和遊戲執行，還能在機器學習演算法中高效執行矩陣運算。官方提到，現在Deno中的WebGPU實作，與即將添加到Firefox中的WebGPU實作，具有相同的底層系統，因此可以放心地在該基礎上建置應用。雖然WebGPU規範已經穩定，但是Deno對WebGPU的支援仍處於不穩定階段，因此要在Deno中試用WebGPU，需要加上—unstable-webgpu旗標。</p> <p>Deno 1.39的測試覆蓋率工具還添加了兩種新的報告器，分別是摘要報告器和HTML報告器。摘要報告器是目前的預設報告器，能夠以簡潔的表格形式呈現特定檔案及整體覆蓋率資料，而HTML報告器則會以HTML格式生成測試覆蓋報告。</p> <p>Deno語言伺服器效能在新版本中獲得強化，首先打字體驗更為流暢，且更具回應性，官方對因為需要快速打字，所產生的大量請求進行最佳化，確保開發者的IDE有更流暢的編輯體驗，另外，為了解決殘留語言伺服器執行個體的問題，也加入了超時關閉機制，該功能在開發者關閉編輯器後，便會在一定的時間內強制終止語言伺服器程序。</p> <p>deno compile也有重要更新，特別是對Node.js模組的支援，開發者可以透過使用—unstable-byonm旗標，在Deno專案中直接使用Npm套件，而這可有效橋接了Deno與豐富的Npm生態系。</p> <p>Deno現在支援更多動態匯入模式，而之所以這也是重要更新，是因為Deno需要在deno compile生成的二進位檔案中，靜態地包含所有在執行時匯入的模組，而現在Deno可以處理更廣泛的動態匯入模式，這代表開發者在執行時能夠靈活地匯入所需的模組，如此不止簡化相依項目管理，還進一步確保所有動態引用的模組在執行時都是可用的。</p> <p>Deno 1.39中的寬鬆匯入功能，也簡化了TypeScript程式碼搬遷到Deno的工程，開發者只要使用—unstable-sloppy-imports旗標，就可以在匯入語句省略檔案格式名稱。另外，雖然Deno因為安全顧慮不支援Object.prototype.__proto__，但因為許多Npm套件仍然使用該屬性，因此開發者只要使用—unstable-unsafe-proto旗標，就可以允許啟用該屬性。</p> </div></div></div>
2023/12/20 08:36作者李建興https://www.ithome.com.tw/news/160438
Google在Swift Package Manager新增地圖平臺SDK支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開始於套件管理工具SPM（Swift Package Manager）<a href="https://cloud.google.com/blog/products/maps-platform/google-maps-platform-sdks-for-ios-now-available-through-swift-package-manager">提供</a>Google地圖平臺相關SDK，包括釋出iOS用Maps SDK 8.3.1、Places SDK 8.3.0，以及Navigation SDK 5.3.1。隨著對SPM的支援，相關文件也跟著更新，移除透過其他套件管理工具安裝二進位檔案的說明。</p> <p>不過，官方也提到，除了SPM，開發人員還是可以選擇手動添加SDK相依項目，或是透過Swift與Objective-C套件管理工具CocoaPods添加。供開發團隊可以依據需求，選擇最適合的工作流程和技術堆疊。</p> <p>這項消息對iOS開發者相對重要，因為SPM是Apple官方推薦的套件管理工具，與開發環境Xcode緊密整合，因此透過支援SPM，開發者便可以更方便地在iOS專案中，添加和管理Google地圖、Places和Navigation SDK。</p> <p>過去在Google地圖應用開發上，iOS開發者需要仰賴CocoaPods，或是以手動的方式管理相依項目，而加入SPM的支援，將會讓這個過程更加自動化，開發者可以直接在Xcode添加和管理SDK，只要指定對應SDK的GitHub儲存庫URL，即可將套件相依項目新增至iOS專案，進而提高開發方便性和效率。</p> <p>要讓SPM能夠支援iOS的Google地圖平臺SDK前，需要滿足特定的技術要求。首先SPM需要能夠支援已編譯的二進位檔案，特別是以XCFrameworks形式存在的程式碼。XCFrameworks是一種封裝格式，用於封裝iOS、macOS、watchOS和tvOS編譯的應用程式庫。此外，SPM還需要能夠處理Swift套件中，諸如圖像和字串等非程式碼的資源。</p> <p>由於SPM的這些改進，現在Google地圖平臺SDK才得以整合，因為不僅牽涉程式碼本身，還包括了SDK執行所需的各種額外資源。Google更新了建置和發布基礎設施支援Swift套件發布，同時維持既有CocoaPods和XCFrameworks發布工作流程，並提到，這些變更在發布過程並不會增加任何額外的延遲。</p> </div></div></div>
2023/12/20 08:41作者李建興https://www.ithome.com.tw/news/160440
Akamai發現Windows新漏洞，收到附加音訊檔案Outlook信件就可能遭受RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Akamai研究人員在Windows中新<a href="https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-one">發現</a>兩個漏洞，分別是CVE-2023-35384與CVE-2023-36710，攻擊者可以連結這兩個漏洞，針對Outlook用戶展開零點擊遠端程式碼執行（Remote Code Execution，RCE）攻擊。目前微軟已經在2023年8月和10月發布修補程式碼，用戶只要安裝10月軟體更新，即可免受漏洞影響。</p> <p>Akamai揭露的零點擊遠端程式碼執行攻擊，起源於今年3月的微軟更新，當時微軟針對CVE-2023-23397漏洞進行修補。該漏洞主要被俄羅斯國家資助的駭客集團Forest Blizzard濫用，透過誘導Outlook客戶端連接到攻擊者的伺服器，並在連接過程傳送NTLM憑證給攻擊者。之後攻擊者便可以離線破解憑證，或是將憑證用於中繼攻擊。</p> <p>這個漏洞的特色在於，攻擊者無需用戶參與，就能透過網際網路遠端發動攻擊。要濫用CVE-2023-23397漏洞，攻擊者會先發送一封精心設計，帶有自動通知聲音的提醒電子郵件，Outlook客戶端在收到信件之後，便會從攻擊者控制的伺服器下載特殊的音訊檔案。雖然微軟在3月的更新中修補了該漏洞，但是Akamai研究人員卻又發現了能夠繞過修補程式的方法，並且指出該Outlook功能引入了巨大且複雜的攻擊面。</p> <p>透過結合新發現的CVE-2023-35384與CVE-2023-36710，研究人員成功在Outlook上實現出完整的遠端程式碼執行攻擊鏈。CVE-2023-35384在這個攻擊鏈扮演關鍵角色，其牽涉Outlook中CreateFile和MapUrlToZone兩個函式在路徑解析的差異，研究人員利用這兩個函式對特定路徑的處理差異繞過安全檢查，迫使Outlook客戶端連接到惡意伺服器，而且這個方法也成功繞過微軟之前的修補。</p> <p>而CVE-2023-36710則是一個存在於音訊壓縮管理器（ACM）程式碼中的整數溢位漏洞。當播放WAV檔案的時候，ACM便會呼叫msacm32.drv中的mapWavePrepareHeader函式，而這個函式存在一個整數溢位漏洞，由於在向GlobalAlloc傳遞加法結果時並沒有先檢查溢位，這使得攻擊者可以透過特定方式讓GlobalAlloc分配一個非常小的緩衝區，並使這個緩衝區溢位，進而可執行任意程式碼。</p> <p>透過利用CVE-2023-35384建立的連接，攻擊者能夠傳送特製的WAV檔案到受害者的系統中，接著利用CVE-2023-36710中的漏洞來執行任意程式碼，這兩個漏洞共同構成了一個完整的攻擊鏈，允許攻擊者遠端控制受影響的系統。</p> <p>Windows用戶只要安裝2023年10月的軟體更新即可受保護，而使用Exchange伺服器的Outlook客戶端，則在安裝2023年3月的軟體更新後，可免受漏洞影響。儘管這些漏洞都已經修復了，但研究人員指出，由於Outlook的攻擊面仍然存在，攻擊者還是可以繼續從該攻擊面中找到新漏洞。</p> </div></div></div>
2023/12/20 08:14作者李建興https://www.ithome.com.tw/news/160435
【資安日報】12月19日，金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用手機操作網路銀行或進行線上交易，如今可說是相當普遍，越來越多駭客也受到這股潮流吸引而發動金融木馬程式攻擊，將其偽裝成知名的銀行應用程式、行動支付App、加密貨幣錢包，企圖將使用者帳戶裡的資產提領一空。</p> <p>根據資安業者Zimperium的調查，這種惡意軟體的攻擊行動在2023年出現大幅增加的現象，研究人員提及，此類惡意程式現今普遍具備自動轉帳模組（Automated Transfer System，ATS），駭客也很有可能藉由電話客服作為散布的管道（Telephone-Based Attack Delivery，TBAD）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.zimperium.com/resources/zimperiums-2023-mobile-banking-heists-report-finds-29-malware-families-targeted-1800-banking-apps-across-61-countries-in-the-last-year/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全球逾1,800個行動應用程式遭銀行木馬鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/in5Cj8jWlO.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/in5Cj8jWlO.png" style="width: 300px; float: right;" /></a>資安業者Zimperium針對金融木馬的生態進行調查，指出2023年共有29個惡意程式家族從事攻擊行動，鎖定全球61個國家、逾1,800款銀行的手機應用程式而來，最大的受害國家是美國，多達109家銀行成為金融木馬的目標，其次則是英國、義大利，各有48家、44家銀行成為攻擊目標，相較於2022年公布的調查結果（10個惡意程式家族、鎖定約600款應用程式），今年參與攻擊行動的惡意程式與攻擊範圍皆顯著增加。</p> <p>研究人員指出，有別於去年駭客的攻擊對象是銀行與行動支付應用程式，今年擴及加密貨幣、社群軟體、即時通訊應用程式，銀行的應用程式仍為大宗，占全部的61%。</p> <p>今年5大惡意程式家族為Hook、Godfather、Teabot、Xenomorph、Exobot，針對的銀行數量分別是618家、419家、414家、400家、371家，此外，有不少銀行的應用程式成為多組駭客的攻擊目標，例如：Intesa Sanpaolo Mobile、Capital One Mobile、Bank of America等，皆有超過10個惡意程式家族對其出手。</p> <p><a href="https://securityaffairs.com/156065/hacktivism/pro-israel-predatory-sparrow-iran-fuel-stations.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗近7成加油站遭到癱瘓，傳出是以色列駭客組織所為</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tsacyd7aTt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tsacyd7aTt.png" style="width: 300px; float: right;" /></a>根據伊朗國家電視臺、以色列媒體的報導，伊朗12月18日遭遇網路攻擊，導致全國約有70%加油站的服務中斷，被迫手動作業，首都德黑蘭受到的影響最嚴重。石油部長Javad Owji證實此事，並指出攻擊者來自國外，仍有超過3成的加油站維持正常運作。</p> <p>而對於攻擊者的身分，上述媒體皆將矛頭指向以色列駭客組織Predatory Sparrow（亦稱Gonjeshke Darande），該組織也聲稱是他們所為，並強調為了避免衝擊當地的緊急服務，他們已特別控制攻擊力道。</p> <p>值得留意的是，這起攻擊事故正逢伊朗打算提高油價，兩者之間是否有所關連？Javad Owji認為與漲價無關。Predatory Sparrow針對伊朗發動攻擊並非首例，今年1月，該組織聲稱攻擊伊斯蘭共和國廣播電視臺（IRIB），並使用資料破壞軟體（Wiper）造成傷害。</p> <p>資料來源</p> <p>1. <a href="https://t.me/GonjeshkeDarandeOfficial/3">https://t.me/GonjeshkeDarandeOfficial/3</a><br /> 2. <a href="https://t.me/GonjeshkeDarandeOfficial/4">https://t.me/GonjeshkeDarandeOfficial/4</a><br /> 3. <a href="https://t.me/GonjeshkeDarandeOfficial/12">https://t.me/GonjeshkeDarandeOfficial/12</a><br /> 4. <a href="http://www.aljazeera.com/news/2023/12/18/iran-says-cyberattack-disrupts-petrol-stations-across-country">http://www.aljazeera.com/news/2023/12/18/iran-says-cyberattack-disrupts-petrol-stations-across-country</a></p> <p><a href="https://www.repubblica.it/tecnologia/2023/12/18/news/attacco_hacker_pubblica_amministrazione-421688193/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務供應商Westpole傳出遭到勒索軟體LockBit攻擊，波及義大利政府機關部分服務運作</span></strong></a></p> <p></p> <p>根據義大利媒體La Repubblica的報導，當地雲端服務業者Westpole於12月8日遭到網路攻擊，波及他們的客戶PA Digitale，而這家公司仰賴Westpole提供的平臺Urbi，向義大利各個地方政府與組織提供服務。知情人士透露，駭客使用勒索軟體LockBit 3.0的變種攻擊Westpole，但並未在暗網的網站上列出該公司。</p> <p>此外，PA Digitale也遭到勒索軟體攻擊，從而導致公部門及市政府的多項服務癱瘓，部分以手動操作的方式提供服務。義大利網路安全機構Agenzia per la Cybersicurezza Nazionale（ACN）證實PA Digitale遭遇供應鏈攻擊，並著手協助復原受害組織的資料，有當地媒體指出，這起網路攻擊很有可能衝擊部分政府機關員工本月份的薪資。</p> <p>La Repubblica指出，Westpole目前可能僅復原了約50%的系統，但該公司強調尚未發現資料外洩的跡象。</p>  <p><a href="https://www.bleepingcomputer.com/news/security/vans-and-north-face-owner-vf-corp-hit-by-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">服裝品牌Supreme、Timberland、The North Face的母公司VF遭遇資安事故，營運被迫中斷</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer、SecurityWeek的報導，旗下擁有Supreme、Vans、Timberland、North Face等13個知名品牌的威富集團（VF Corporation），於上週呈報美國證券交易委員會（SEC）的8-K表單當中，透露了12月13日發生的網路攻擊事件，該公司在察覺網路出現未經授權存取的情況後，關閉了部分IT系統，並聘請外部資安專家遏止災害擴大。</p> <p>攻擊者加密了該公司的部分電腦，並竊取資料，當中含有個資，但受害範圍仍有待確認。而對於這起資安事故帶來的影響，威富認為對業務營運造成重大、長期的衝擊，客戶可能會面臨線上訂單交貨延遲，甚至是無法下單的情況，而全球實體零售門市仍維持正常運作。值得留意的是，由於這起網路攻擊事故發生在聖誕節購物季期間，帶來的衝擊可能會更加嚴重。</p> <p><a href="https://www.businesswire.com/news/home/20231218979935/en/Notice-To-Customers-of-Data-Security-Incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信服務供應商Xfinity證實遭遇CitrixBleed漏洞攻擊</span></strong></a></p> <p></p> <p>美國電信業者Comcast旗下的子公司Xfinity於12月18日發布聲明，他們在10月25日進行的例行網路安全演練當中，發現內部網路環境出現可疑活動，經過進一步調查，10月16日至19日內部系統出現未經授權存取，而駭客入侵的管道，就是CitrixBleed漏洞（CVE-2023-4966）。</p> <p>11月16日該公司發現攻擊者竊取了客戶的資料，但數量有待確認，12月6日確認駭客存取的資料內容，包含了使用者的名稱、密碼的雜湊值，部分外洩的用戶個資，還涉及姓名、聯絡資訊、社會安全碼末4碼等類型的內容。對此，該公司也要求用戶重設密碼，但沒有透露受害人數。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://twitter.com/MsftSecIntel/status/1735351713907773711"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">聖誕節將至，駭客組織Storm-0539的禮物卡詐騙攻擊行動升溫</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/wordpress-hosting-service-kinsta-targeted-by-google-phishing-ads/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress網站代管服務Kinsta提出警告，有人透過Google廣告發動攻擊，企圖竊取帳密資料</span></span></strong></a></p> <p></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/15/patching-perforce-perforations-critical-rce-vulnerability-discovered-in-perforce-helix-core-server/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式碼版本控制系統Perforce Helix Core存在漏洞，攻擊者有可能用於遠端執行任意程式碼</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/12/beware-experts-reveal-new-details-on.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露收信軟體Outlook零點擊漏洞攻擊鏈細節</span></span></strong></a></p> <p></p> <p><a href="https://www.kmdn.gov.tw/1117/1271/1272/562001"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金門租車業者金豐租車傳出資料外洩，呼籲客戶防範詐騙</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160387"><strong>【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160355"><strong>【12月15日】小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160333"><strong>【12月14日】 OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾郵件</strong></a></p> </div></div></div>
2023/12/19 17:39作者周峻佑https://www.ithome.com.tw/news/160433
MedTech醫療科技雙周報第30期：全美28家醫療機構響應白宮AI行政命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1201～1215）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AI行政命令</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫院 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全美28家醫療機構響應白宮AI行政命令</strong></span></p> <p>隨著生成式AI興起，越來越多國家制定相關法規，美國總統拜登也在今年10月底簽署AI行政命令，來規範AI的使用。最近，包含麻省總醫院、波士頓兒童醫院在內的全美28家醫療機構集結響應，在本月承諾將遵守FAVES原則，來發展AI應用，也就是使用公平、適當、經驗證、有效且安全的AI來輔助醫療作業。</p> <p>根據FAVES原則，這些機構將在用戶收到AI產生且未經審查或編輯的內容時，通知用戶，並且遵守基礎模型應用的風險管理框架。同時，這些機構還要負責任地調查、設計有價值的AI用途，比如打造促進健康公平的解決方案，或是擴大照護可及性和可負擔性、協調醫療照護作業、減少臨床醫生倦怠等類別的解決方案。</p> <p>另一方面，美國公布AI行政命令後，也要求美國衛生公共服務部（HHS）採取行動，來推動安全可靠、可信任的AI應用。這些行動包括制定負責任AI部署框架、制定相關政策和潛在的監管。該命令還指示HHS啟動新計畫，來記錄AI相關的安全事件，並撥款支援創新，也要確保醫療健康領域的AI部署方遵守非歧視法規。<a href="https://www.whitehouse.gov/briefing-room/blog/2023/12/14/delivering-on-the-promise-of-ai-to-improve-health-outcomes/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 韓國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 處方藥物 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>南韓擴大遠距醫療計畫，偏鄉地區開放假日、夜間遠距看診</strong></span></p> <p>南韓衛福部日前宣布12月15日正式啟動遠距醫療擴大計畫，包含3大原則，一是將遠距醫療視為實體診療的輔助手段，且要在安全情況下進行，再來是擴大可及性，包括允許過去6個月實體看診過的病患，不論何種疾病，只要在醫生評估、建議下可選擇遠距看診，另也允許98個緊急醫療服務不足的市、縣、區居民，即使沒有實體看診，也能在假日、夜間進行遠距看診。</p> <p>此外，擴大計畫也規定，醫生若認為患者不適合遠距診療，得以建議患者至醫院看診，並不觸犯拒絕提供醫療服務法規。該計畫也限制開藥類別，包括麻醉藥品、事後避孕藥等處方藥。同時，為防止處方造假和竄改，擴大計畫也禁止醫療機構與藥局直接轉帳，另也禁止使用App下載處方。</p> <p>南韓衛福部也表示，他們正與醫界積極溝通，不只拜訪首爾藥學會、醫師協會，還有內科、耳鼻喉科、兒科、家庭醫學、全科醫學會等，來解釋擴大計畫內容與目的，並收集醫界意見，要在接下來的實施過程中持續討論。<a href="https://www.mohw.go.kr/board.es?mid=a10503010100&bid=0027&cg_code=">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康照護 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出醫療專用LLM服務MedLM</strong></span></p> <p>經2年探索研究，Google在12月14日發布醫療級大型語言模型（LLM）服務MedLM，以Med-PaLM 2模型為基礎，提供大型和中型2種版本模型，供使用者用來解決醫療業務問題。目前，MedLM開放給Google自家Vertex AI平臺的授權用戶使用，也在全球特定市場提供預覽測試版。</p> <p>Google指出，MedLM中較大的模型是為複雜任務而設計，中型模型則能進行微調，適合在不同任務間進行擴展。他們也分享早期應用案例，比如勤業眾信使用MedLM，加速使用者從聊天機器人中找到所需的照護資源。接下來，Google將以Gemini模型為基礎，發展合適的模型並導入MedLM套件，來提供更多功能。<a href="https://taiwan.googleblog.com/2023/12/medlm-for-the-healthcare-industry.html">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中醫大附醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MedLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>中醫大附醫採用醫療專科級MedLM打造AI輔助醫師</strong></span></strong></p> <p>中國醫藥大學附設醫院（中醫大附醫）院長周德陽日前宣布，採用Google新發表、以Med-PaLM 2打造的MedLM模型，來發展專科AI助手。在第一階段中，中醫大附醫將打造兩款Chatbot，一是給醫護人員使用的客製化癌症治療指引的專業用Chatbot，另一款是提供病人詢問的化療問答集Chatbot。例如，乳癌2期的病人有賀爾蒙問題，如何安排治療？Med-PaLM 2可在幾秒鐘內提供回答，甚至提供業醫療文獻參考。中醫大附醫是亞洲第一家採用這款醫療生成式AI模型Med-PaLM 2的醫學中心，後續還會發展更多AI助手。</p> <p>目前，中醫大附醫先取得Med-PaLM 2模型的使用權，來進行文字生成式內容的測試。測試時，以檢索增強生成（RAG）方法，參考國際癌症治療指引和中醫大附醫院內的癌症治療指引，來生成治療指引的回答。未來，他們也考慮以指令工程方式，將臺灣健保規則輸入到LLM，來優化回答的內容，更符合臺灣情境。<a href="https://www.cmuh.cmu.edu.tw/NewsInfo/NewsArticle?no=8616">（詳全文）</a></p> <blockquote><p><img alt="" src="https://www.cmuh.cmu.edu.tw//FileUploads/images/%e5%9c%96%e4%b8%89(4).jpg" /></p> <p>Google研究院傑出科學家暨資深總監 Greg Corrado，說明與中醫大附醫等醫學中心合作，測試並部署新的生成式 AI 解決方案，對建立安全且有用的 AI 技術是至關重要的一步。</p> </blockquote> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺北榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總自建超級電腦北榮一號雲</strong></span></p> <p>臺北榮總在12月6日亮相自家超級電腦「北榮一號雲」，要來加速北榮的精準醫療和智慧醫療發展。臺北榮總資訊室主任郭振宗表示，北榮一號雲的建置，參考了Nvidia的AI超級電腦DGX A100架構，由4節點共32張A100 GPU、NVLink和超高速網路交換器組成，是一套能提供強大算力的叢集運算平臺，要用來發展智慧醫療，包括疾病預後預測、基因序列資料分析、數位病理診斷、智能藥物開發、術前模擬、自然語言處理或語音平臺建置，甚至還有AR／VR的3D模型訓練等。</p> <p>同時，北榮還有全方位資料中心、創新運算架構和多功能軟體工具，來一起推動發展時下熱門的新技術應用，如生成式AI和LLM在醫學領域的創新應用，要來提高診斷精確性、加快各種疾病的個人化治療策略制定。郭振宗補充，未來北榮將視超級電腦的算力用量，超過80%就會展開擴充工作，再添新主機來提高算力。<a href="https://www.ithome.com.tw/news/160207">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E8%B6%85%E7%B4%9A%E9%9B%BB%E8%85%A6.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疾病分類編碼 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺大醫院用地端LLM優化疾病分類編碼任務</strong></span></strong></p> <p>臺大醫院揭露AI疾病分類編碼系統新進展，透過訓練本地端大型語言模型（LLM），來優化原系統，1秒就能產生住院病人的國際疾病分類編碼ICD-10-CM/PCS，包含診斷碼及處置碼。進一步來說，這套AI疾病分類編碼系統最初由臺大醫院醫務秘書陳信希領軍、由病歷資訊管理室主任莊秋華擔任計畫主持人，以去識別化的病歷資料和病人多樣態的就醫紀錄資訊，來訓練模型。這項AI疾病分類輔助系統於2022年3月在臺大醫院醫療體系上線，節省14%的人力工時外，還提升準確率。</p> <p>隨著生成式AI技術不斷進步，臺大醫院也訓練地端LLM來優化這套疾分編碼系統。為讓模型具備臨床知識，臺大團隊針對疾分編碼設計專屬訓練策略，結合院內外醫學語料、反覆調校，讓模型具備臨床判斷力。此外，透過周期性模型更新來修正模型預測結果，讓模型能正確預測新興疾病、新醫療技術與其他困難疾病編碼，提升編碼品質和效率。最新版AI疾病分類編碼系統在今年11月上線使用，效能突破先前版本，1秒即可產生住院病人疾病分類編碼。<a href="https://www.ntuh.gov.tw/ntuh/News.action?q_type=A01&q_itemCode=14139&agroup=a">（詳全文）</a></p> <p><img alt="" src="https://www.ntuh.gov.tw/ckfinder_file/ntuh/images/2023%E6%9C%80%E6%96%B0%E6%B6%88%E6%81%AF/20231128%E5%85%BC%E9%A1%A7%E7%A7%91%E6%8A%80%E5%89%B5%E6%96%B0%E4%B8%A6%E7%AC%A6%E5%90%88%E6%B3%95%E8%A6%8F%E8%A6%81%E6%B1%82%20%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2%E9%A6%96%E5%89%B5%E5%88%A9%E7%94%A8%E5%A4%A7%E5%9E%8B%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B%20%E8%90%BD%E5%9C%B0%E6%87%89%E7%94%A8%E6%96%BC%E7%96%BE%E7%97%85%E5%88%86%E9%A1%9E%E7%B7%A8%E7%A2%BC%20%E5%8F%96%E5%BE%97%E7%B6%93%E6%BF%9F%E9%83%A8%E6%99%BA%E6%85%A7%E8%B2%A1%E7%94%A2%E5%B1%80%E5%B0%88%E5%88%A9%20%E7%8D%B2%E9%A0%92SNQ%E5%9C%8B%E5%AE%B6%E5%93%81%E8%B3%AA%E6%A8%99%E7%AB%A0%E5%8F%8A%E5%9C%8B%E5%AE%B6%E6%96%B0%E5%89%B5%E7%8D%8E-NTUH%E6%99%BA%E6%85%A7%E7%B7%A8%E7%A2%BC.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 亞東醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 喉癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯邦學習 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>亞東醫院用聯邦學習建早期喉癌嗓音偵測AI</strong></span></strong></p> <p>在今年臺灣醫療科技展中，亞東醫院展示一款早期喉癌嗓音偵測AI，結合了遠距醫療平臺，民眾在醫院App掛號時，就能先錄製5秒「啊」音，讓系統自動分析喉癌風險，準確率達8成。</p> <p>該AI採用英特爾OpenFL聯邦學習架構，自2023年初由亞東醫院發起聯邦學習專案，與臺中榮總和美國一家大學附設醫院使用OpenFL平臺，來訓練模型、讓模型學會辨識喉癌風險的喉音。其中，亞東醫院利用2千筆2-3秒的喉癌患者錄音來訓練模型，另透過英特爾技術協助，能在工作負載不高時自動啟動醫院CPU資源，用來訓練模型。這個AI喉癌嗓音辨識功能整合了遠傳電信開發的遠距醫療平臺，要供偏鄉地區民眾使用，在掛號時就能先自行檢測風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6032.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6037.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 加護病房 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>北榮啟用智慧科技加護病房</strong></span></strong></p> <p>12月初，臺北榮總啟用智慧科技加護病房，要來因應未來新興傳染病。這是北榮投資將近1億元新建的15間智慧負壓隔離加護病床，位於北榮科技大樓，能與主要的住院大樓分艙分流。</p> <p>他們還在病房中導入商用和自行研發的多種科技，比如AI防護衣穿脫魔鏡、溼洗手監測系統，以及能進行影像監視與呼吸器遠端調控的分散式衛星護理站，以利於傳染病照護。此外，他們設置智慧電視與三方視訊系統，同時導入機器人來協助護理師傳送物資、減少人員暴觸風險。這些病房可在疫情發生時，提供符合防疫標準的負壓隔離重症治療，平時則可作為一般呼吸系統重症加護病房。<a href="https://www.vghtpe.gov.tw/News!one.action?nid=12973&gcode=A01">（詳全文）</a></p> <p>圖片來源／中醫大附醫、臺北榮總、臺大醫院</p> <p>攝影／王若樸</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=1ADF69AAF1A6DD8A">健保署舉辦虛擬健保卡研討會</a>，目前已核發近65張虛擬卡</strong></strong></p> <p><strong><strong>2. 緯謙科技聯手醫電數位打造FHIR平臺，還導入敏盛綜合醫院和智醫城診所</strong></strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/19 19:20作者王若樸https://www.ithome.com.tw/news/160439
金管會發布113年金檢重點，首度明列雲端資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應今年八月金管會發布的新版上雲規範，金檢局今日公布113年金檢重點，不僅將資安列為重點關注項目，也將雲端業者資安納入其中。檢查局在各業別檢查項目中新增跨境委外的定期查核，例如金融機構針對雲端業者的資安和風險管控措施。</p> <p>針對本國銀行業者，金檢的業務操作制度會包括委外作業的法令遵循情形，及跨境委外作業的定期查核。而針對外國銀行在臺分行，作業委外他人事項管理單獨列為其中一項金檢重點，包括作業委外的法令遵循情形、跨境委外作業的定期查核、對委託雲端業者處理的資安、風險管控措施。</p> <p>針對證券業，作業委外被列為其中一項金檢重點，包括業者是否應依風險基礎方法評估委外風險、是否訂定委外內部作業規範，及委外契約應載明的相關事項。針對保險業者的資安及個人資料管理機制，金檢重點也包括對委外機構的監督管理，例如，是否落實監督管理委外機構對保戶的個資保護。</p> <p>由於新版上雲規範給予金融機構一年的緩衝期，業者可在明年八月前依規定向主管機關申報相關資訊。</p> <p>除了雲端委外項目，金管會今年甫納管的虛擬資產平臺及交易業務事業(VASP)，也被列為明年重點金檢關注項目。金管會檢查局主要針對業者的防制洗錢、打擊資恐及反武器擴散的落實情形進行金檢，包括機構風險評估和內控架構、客戶審查措施及風險等級評估、帳戶和交易的持續監控、可疑交易申報流程和品質，以及如何控管組織與人員。</p> <p></p> </div></div></div>
2023/12/19 18:46作者李昀璇https://www.ithome.com.tw/news/160437
瞄準中小企業碳排管理議題! 台灣微軟與資誠明年中將推出智慧零碳平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應企業面臨碳排管理及資訊共享的需求，台灣微軟與PwC Taiwan資誠合作，宣布將為國內中小型企業及傳統產業推出智慧零碳平臺iCX（Intelligent Carbon Exchange），預計明年中正式上線。</p> <p>智慧零碳平臺是基於微軟永續雲及Azure，由PwC Taiwan資誠統籌建置及維運，主要以IT人力資源有限的中小型企業及傳統產業為對象，讓中小企業可以將商業活動的數據上傳，利用永續雲的分析及預測功能，以Power BI、Azure OpenAI產出CBAM等報告。</p> <p>目前這個智慧零碳平臺正在驗證階段，預計在2024年中正式上線，明年底希望有200家企業導入使用。</p> <p>負責統籌建置的PwC Taiwan資誠表示，iCX平臺希望通過具有全球經驗的微軟和資誠和國際接軌，協助中小企業解決碳資料提供的議題，包括CBAM、CCA等等。其次是，透過建構平臺達到標準共享機制，讓中小企業不需瞭解最新的碳係數版本變更，快速做到碳計算。</p> <p>資誠強調該平臺操作上的方便性，未來將如同報稅的簡便性，讓國內163萬的中小企業將碳排資數上傳後，即產生碳費、CBAM等相關報告。</p> <p>該平臺開放包括Excel等所有格式資料輸入，並提供資料範本讓企業可以遵循上傳數據，且可依Scope 1、2、3不同面向，按年或按月追蹤企業的碳排狀況，並透過數據分析及預測，協助中小型企業或產業鏈找出碳排的熱點，並模擬不同減碳策略的效果。</p> <p>中小企業也可以開放授權，讓產業鏈的核心客戶透過平臺，掌握供應鏈合作廠商的碳排數據，檢視有哪裡還需要加強，中小企業也能因此減輕提供碳資料的負擔，當出口至國外，也可授權給國外業者取得平臺所提出的CBAM報告。</p> <p>PwC Taiwan資誠所長暨執行長周建宏進一步表示，該平臺初期的使用者為金融機構，透過該平臺的數據，提供企業放款、融資服務，目前雖然由民間企業維運，未來期望能夠如同公開資訊觀測站，由政府官方維運平臺，開放更多單位，例如學術界也能使用平臺。</p> <p>平臺如同英文名稱Intelligent Carbon Exchange，PwC Taiwan資誠執行董事錢家龍表示，智慧零碳平臺平臺設計上涵蓋碳權交易，最初可對接較早推動交易所的新加坡，臺灣在今年成立碳權交易所，未來智慧零碳平臺上線，也將對接臺灣碳權交易所。至於中小企業使用智慧零碳平臺的費用，目前尚未公布，但他透露將以中小企業得以負擔的費用，採月租或年費方式收費。</p> </div></div></div>
2023/12/19 18:48作者蘇文彬https://www.ithome.com.tw/news/160436
Flipboard後端將全面改用ActivityPub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雜誌社交網站<a href="https://about.flipboard.com/inside-flipboard/flipboard-begins-to-federate/" target="_blank">Flipboard周一（12/18）宣布</a>，將逐漸遷移至聯邦宇宙（Fediverse），Flipboard執行長Mike McCue更向<a href="https://techcrunch.com/2023/12/18/flipboard-becomes-a-federated-app-with-support-for-activitypub/" target="_blank">《TechCrunch》</a>透露，基本上該站的整個系統後端，將全面改用最熱門的聯邦宇宙標準ActivityPub。</p> <p>Fediverse是由Federation（聯邦）及Universe（宇宙）兩個字所組成，指的是允許獨立的社交平臺得以彼此通訊，它們藉由ActivityPub等標準互動，包括Mastodon、Lemmy、PeerTube、Pixelfed及Instagram Threads等社交平臺都已支援ActivityPub。</p> <p>Flipboard準備分成三階段進入Fediverse，即日起的第一階段將與25個出版商及創作者合作進行測試，參與測試的包括《The Verge》、《FastCompany》、《The Root》及《Medium》等，以收集各種意見；並於明年1月進入第二階段，屆時將允許Fediverse中的任何用戶追蹤Flipboard上的任何公開策畫並與之互動；明年4月展開的第三階段，則會讓Flipboard用戶與聯邦宇宙上的任何公開帳號互動。</p> <p>Flipboard已將flipboard.com設為Fediverse中的新實例，也正在將全球的審核能力拓展至Fediverse，目前出現在Fediverse中的Flipboard帳號追蹤數量將從0算起。</p> <p>現今已有許多網站加入<a href="https://fediverse.party/en/miscellaneous/" target="_blank">Fediverse</a>，聚集逾1,200萬個帳號，活躍用戶超過370萬。</p> </div></div></div>
2023/12/19 15:00作者陳曉莉https://www.ithome.com.tw/news/160431
Amazon Project Kuiper利用雷射建立頻寬達100 Gbps的衛星間網狀網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-project-kuiper-oisl-space-laser-december-2023-update" target="_blank">Amazon上周宣布</a>其衛星網路服務Project Kuiper，將利用雷射在各衛星間建立起網狀網路（mesh network）。</p> <p>Amazon是在今年10月首度將2顆原型衛星送上近地軌道，<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-project-kuiper-oisl-space-laser-december-2023-update" target="_blank">測試</a>Project Kuiper的端到端通訊系統及網路。11月該公司完成了所有重點系統及子系統的驗證，並測試Kuiper網路，包括光學衛星間鏈路（optical inter-satellite link，OISL）。</p> <p>在一次長達1小時的測試中Project Kuiper團隊利用這套雷射網路，在兩顆原型衛星KuiperSat-1及KuiperSat-2之間建一條指向連線，使相隔1,000公里的兩衛星具備100 gigabits（Gbps）的連線頻寬。</p> <p>Amazon強調建立OISL是一大工程挑戰，必須減少雷射散射、在最多2,600公里相隔處架設透鏡，並在飛行速度達每小時2.5萬公里的衛星間建立連線，而且還要能彌補衛星和飛行動力學的損失。</p> <p>OISL利用紅外光雷射在繞行地球的太空載具或衛星之間傳送資料，因此未來衛星數量一增加，即可利用OISL和同一星系的其他衛星間傳送資料。Project Kuiper的衛星將搭載多個雷射終端，以便同時連結多顆衛星，建立由雷射交聯而成的安全、高韌性網狀網路，服務在海、陸、空及太空的客戶，像是在大海中的貨輪或飛行在大洋上空的飛機。</p> <p>Amazon並指出，雷射在太空中行進速度比穿透玻璃還快，因此太空中的OISL網路將比陸地上光纖網路的資料傳輸速度快將近30%。而且由於Project Kuiper使用AWS雲端服務及基礎架構來導向資料流，可進一步減少延遲性。</p> <p>這次測試中驗證了Project Kuiper進階通訊架構的可行性，Amazon預計2024年上半開始啟用。</p> </div></div></div>
2023/12/19 13:49作者林妍溱https://www.ithome.com.tw/news/160419
Adobe與Figma的併購交易正式宣布破局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在尋求歐盟及英國競爭與市場管理局（Competition and Markets Authority，CMA）的同意未果之後，<a href="https://blog.adobe.com/en/publish/2023/12/18/adobe-figma-updates" target="_blank">Adobe與Figma周一（12/18）宣布</a>，將終止雙方在<a href="https://www.ithome.com.tw/news/153094" target="_blank">去年9月提出的</a>併購交易，根據外電報導，Adobe將因此支付10億美元的終止費用予Figma。</p> <p>成立於2016年的Figma是個協作網頁應用平臺，專門提供使用者介面及使用者體驗設計，亦開發支援Windows與macOS的應用程式。Adobe在9月宣布將以200億美元的現金及股票買下Figma，以加速Figma的開發並擴充到新領域。</p> <p>然而，包括<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_5778" target="_blank">歐盟</a>及<a href="https://www.gov.uk/government/news/adobe-figma-deal-could-harm-uk-digital-design-sector" target="_blank">CMA</a>都反對此一併購案，其中，CMA認為，Figma現為全球領先的產品設計軟體供應商，而Adobe XD則是Figma主要的競爭對手之一，此外，Figma的未來發展亦可能威脅到Adobe在圖像編輯與插畫軟體的地位，調查顯示雙方為勢均力敵的競爭對手，兩大競爭對手的合併將減少創新與競爭。</p> <p>歐盟的調查結果與CMA類似，指出Figma為互動式產品設計市場明顯的領導者，該交易可能導致同類型的Adobe XD或任何潛在的後續產品停產，或者令Adobe藉由併購消滅Figma這個潛在競爭對手。歐盟更說，此一交易將會大幅減少全球的市場競爭。</p> <p>Adobe表示，在與Figma共同評估之後，看起來已經沒有明確的道路可以取得歐盟與CMA的核准，因而決定終止該交易，未來雙方將各自努力，也會一起合作以服務共同客戶。</p> </div></div></div>
2023/12/19 11:56作者陳曉莉https://www.ithome.com.tw/news/160417
專利官司迫使蘋果停售Apple Watch 9、Ultra
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在往年為銷售旺季的聖誕節來臨前，<a href="https://9to5mac.com/2023/12/18/apple-halting-apple-watch-series-9-and-apple-watch-ultra-2-sales/" target="_blank">媒體證實</a>，蘋果因專利糾紛遭到美國主管機關下令，主動停售可量測血氧智慧手錶Apple Watch Series 9，但同時間蘋果也計畫上訴。</p> <p>2020年血氧量測設備商<a href="https://www.ithome.com.tw/news/135303" target="_blank">Masimo控告蘋果</a>透過挖角，取得該公司光學血氧濃度及心率監控技術，用於其Apple Watch上，Masimo並宣稱蘋果侵犯10項該公司專利。今年初加州法院判決蘋果確有侵權情事。雖然在5月因陪審團未能達成共識，使加州法院宣布判決為誤判，不過<a href="https://www.reuters.com/technology/us-trade-tribunal-issues-potential-apple-watch-import-ban-masimo-patent-fight-2023-10-26/" target="_blank">《路透社》</a>報導，10月美國國際貿易委員會（International Trade Commission，ITC）支持法院一月的判決，仍然認定蘋果侵權，並已頒布禁售令。</p> <p>本周一《9to5mac》報導，蘋果證實，受到ITC禁令影響，將暫停銷售Apple Watch Ultra 2及Apple Watch Series 9。報導指出，在10月底ITC發出禁令時，拜登政府有權在60天之內否決ITC禁售令，否決最後期限為12月25日，隔日禁令將生效。</p> <p>ITC禁令僅影響新Apple Watch Series 9及Ultra的銷售，因為只有這兩款產品具備血氧監控能力。蘋果表示是為預防性措施而自行下架。其中蘋果網站將從12月21日起停售，而實體店面則從12月24日起停售。目前在其他零售通路如Amazon及Best Buy則仍然允許販售。</p> <p>但由於該禁令已禁止蘋果將裝置將這兩款手錶輸入到經銷商處，因此一旦經銷商存貨售完，第三方經銷商很快也會買不到這二款商品。</p> <p>基本款產品如Apple Watch SE不受禁令影響。已經出售的手錶也可安心使用。此外，12月25日前出售的Apple Watch Series 9及Ultra的服務、維修、保固也可正常提供。</p> <p>雖然主動下架兩款商品，但蘋果表示，計畫12月26日提起上訴。不過在官司期間，禁令仍然會持續進行。</p> </div></div></div>
2023/12/19 12:30作者林妍溱https://www.ithome.com.tw/news/160418
OpenAI董事會將有權力推翻管理團隊的決策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI董事會於11月開除創辦人暨執行長Sam Altman之後，不斷有傳聞指出是因Altman企圖推出可能威脅人類的產品才使得董事會不得不採取行動，縱使OpenAI當初僅以Altman不夠坦承為由輕輕帶過，且迄今尚未公布具體事由，但本周一（12/18）<a href="https://openai.com/safety/preparedness" target="_blank">OpenAI公布了該公司的模型評估策略</a>，並說董事會將有權力推翻管理階層的決策。</p> <p>OpenAI原本就有兩個負責檢驗模型風險的團隊，一是安全系統（Safety Systems）團隊，負責的是減輕已商業化模型或產品的風險及誤用，例如ChatGPT。二則是負責監督先進的超智慧（Superintelligent）模型的<a href="https://www.ithome.com.tw/news/157654" target="_blank">超對齊（Superalignment）團隊</a>，而本周OpenAI發表了一個介於安全系統與超對齊之間的準備（Preparedness）團隊，鎖定發展階段介於現有模型與超智慧模型之間的前沿模型（Frontier Model），專門檢驗前沿模型的風險。</p> <p>準備團隊將把風險的討論從假設場景轉移到具體測量與基於資料的預測，目前的作法是評估且不斷更新前沿模型的記分卡，探究模型不安全因素的具體邊緣，並有效地降低已揭露的風險，此一記分卡會列出前沿模型在網路安全、CBRN（化學、生物、放射線、核威脅）、說服力與模型自主性的風險等級（重大、高、中度、低度），只有在緩解後處於高度或以下風險的模型才會繼續開發，也只有在緩解後處於中度或以下風險的模型才會被部署。另對於高度或重大風險等級的模型，則會為其量身訂做額外的安全措施。</p> <p>準備團隊所檢驗與評估的是即將進入商業化的模型或產品，並提出綜合報告，再由OpenAI即將成立的安全顧問小組（Safety Advisory Group）來審核所有的報告，且同時將這些報告送給管理團隊及董事會。OpenAI指出，雖然決策是由管理團隊執行，但董事會有權力推翻這些決策。</p> <p>此外，OpenAI也會制定各種規則來增加安全性與外部的問責，由準備團隊定期展開安全演習，以針對OpenAI的業務及文化進行壓力測試。</p> <p>AI的風險或許尚不可知，但OpenAI指出，該公司內部團隊將與外部組織密切合作，追蹤現實世界的濫用行為，也會由超對齊團隊來追蹤緊急的錯位風險，同時展開新研究來衡量那些隨著模型擴展而衍生的風險，持續試著探測與揭露那些尚不可知的未知風險。</p> </div></div></div>
2023/12/19 10:46作者陳曉莉https://www.ithome.com.tw/news/160416
Chrome將從明年1月4日開始逐步停用第三方Cookies
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google已經明確訂出Chrome第一步淘汰第三方Cookies的時間點，預計從<a href="https://blog.google/products/chrome/privacy-sandbox-tracking-protection/">2024年1月4日開始測試追蹤保護（Tracking Protection）功能</a>，透過停用網站對第三方Cookies的存取，限制跨站點追蹤。Google會先向全球1％的Chrome用戶推出追蹤保護，並在下半年逐步推向所有用戶。</p> <p>當用戶存取網站，網站便會在瀏覽器中記住登入狀態、偏好設定等資料，這些資料被稱作第一方Cookies，而所謂的第三方Cookies則由非用戶直接存取的網站設置。第三方Cookies通常用於追蹤用戶在多個不同網站的瀏覽行為，以方便跨網站廣告定向和網路分析，供廣告公司依據用戶的喜好精準投放客製化廣告。</p> <p>由於第三方Cookies能夠用於追蹤用戶的上網行為，因此也引發許多隱私相關疑慮，有越來越多的瀏覽器包括Safari和Firefox預設限制第三方Cookies。而Google在9月正式於Chrome推出第三方Cookies替代方案隱私沙盒（Privacy Sandbox），現在開始對1％的Chrome用戶啟用追蹤保護，供開發人員測試沒有第三方Cookies的情況。</p> <p>Google會隨機挑選1％的Chrome用戶參與追蹤保護測試，被挑選的用戶在桌面和Android上開啟Chrome時將會收到通知。這些用戶在瀏覽網頁的時候，Chrome預設限制第三方Cookies，使得不同網站無法透過第三方Cookies追蹤用戶。少數網站缺乏第三方Cookies可能無法正常運作，Chrome在發現問題時會推送提醒，用戶可暫時解除限制以正常瀏覽網站。</p> <p>隱私沙盒是綜合多種廣告追蹤概念與提案的解決方案，包含Topics API、Shared Storage API和Attribution Reporting API等，可用於呈現相關內容與廣告、強化隱私界線和衡量廣告等目的。而Topics API是其中的重要功能，能夠在不追蹤用戶存取網站的前提下，允許瀏覽器與第三方共享用戶的興趣資訊，讓廣告商能夠推送用戶個人化廣告，協助廣告主觸及潛在客戶。</p> <p>目前<a href="https://www.ithome.com.tw/news/158688">Apple和Mozilla都已經明確表態拒絕Topics API</a>，認為該API不應該公開用戶的跨站瀏覽行為，而且原本就擁有大量用戶資料的第一方網站，在掌握Topics API所提供的資料，結合機器學習技術分析，能夠獲取的資訊便會超越隱私沙盒原本就定義的安全範圍，更何況Topics API中規畫的主題存在偏見，Apple和Mozilla更不可能支持。</p> <p>雖然當初Google提出隱私沙盒計畫的時候，希望獲得網路生態系的支持，甚至將隱私沙盒技術提案至W3C，但是發展至今，隱私沙盒並沒有獲得產業的廣泛支持。不過，Chrome要封鎖第三方Cookies實施隱私沙盒，還同時存在違反市場競爭的疑慮，英國競爭及市場管理局（Competition and Markets Authority，CMA）在2021年對Google展開調查。</p> <p>由於考量Google在廣告產業的主導地位和Chrome的市占，封鎖第三方Cookies實施隱私沙盒的改變可能會影響數位廣告市場的競爭局面，包括因為第三方Cookies被停用，廣告商可能更依賴Google的工具和服務，便會讓市場上競爭者失去競爭力，甚至是增強Google在資料收集和處理上的優勢，對其他廣告商和廣告技術公司形成不利影響，因而進一步強化其在廣告市場的壟斷地位。</p> <p>為此Google提出承諾，透過創建約束性框架來解決競爭方面的疑慮，而<a href="https://competitionandmarkets.blog.gov.uk/2023/04/28/googles-privacy-sandbox-commitments-implementation-and-what-comes-next/">CMA也已經接受並達成協議</a>。具體作為包括Google應該提高相關工具的透明度，並回應市場參與者的顧慮；Google還需要與CMA和ICO（Information Commissioner’s Office）合作，評估隱私沙盒技術的影響並解決問題；在正式停用第三方Cookies時，也應該有停頓期（Standstill period），以便CMA在發現問題時可以採取進一步行動等。這些義務在Chrome移除第三方Cookies之後仍然適用，並持續至2028年。</p> <p>而Google也在最新的公告中提到，他們即將啟動追蹤保護功能，在開始階段只影響全球1%的Chrome使用者，確保在全面推廣之前能夠解決CMA所提出的競爭顧慮。</p> </div></div></div>
2023/12/19 01:44作者李建興https://www.ithome.com.tw/news/160411
AWS Amplify開發框架整合CDK，支援MySQL與PostgreSQL資料庫連接
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過AWS CDK的實現，AWS Amplify開發框架現在開始<a href="https://aws.amazon.com/tw/blogs/aws/new-for-aws-amplify-query-mysql-and-postgresql-database-for-aws-cdk/">支援連接和查詢MySQL與PostgreSQL資料庫</a>，對於要透過GraphQL API使用關聯式資料庫的開發者尤為有用。這項更新允許用戶提供資料庫端點和憑證，便可以替所有關聯式資料庫操作生成完整的GraphQL API，當資料庫架構改變時，也能執行命令套用最新的表格架構更新。</p> <p>Amplify是AWS所提供的工具和服務集合，支援iOS、Android和網頁應用開發，可供開發人員快速建構全端應用程式。Amplify包含多種快速建置和部署應用程式的工具，諸如一鍵式環境配置和後端程式碼自動生成等功能。</p> <p>AWS在Amplify加入對GraphQL的支援，帶來資料處理和查詢的靈活性，因為GraphQL讓開發者精確指出需要的資料，減少過多或是不必要的資料傳輸，進而提高應用程式的效能和回應速度，這也使得開發人員可以更有效地操作資料，提高開發效率和用戶體驗。</p> <p>而AWS Amplify GraphQL Transformer則協助開發人員，能夠更容易地開發基於GraphQL的應用程式。Amplify GraphQL Transformer是Amplify CLI工具鏈的一部分，官方解釋，GraphQL Transformer產生可擴展的工作管線解析器，以路由GraphQL API請求，並且進行身分驗證和底層資料來源的通訊等工作。</p> <p>在過去，GraphQL Transformer主要支援Amazon DynamoDB作為資料來源，因為DynamoDB和Amplify緊密整合，能夠提供快速且靈活的NoSQL資料庫服務。而在Amplify GraphQL Transformer推出第2版的時候，AWS擴大其資料來源的支援，加入包括OpenSearch和Lambda函式，使得開發者可以根據需求選擇適合的資料儲存和處理服務。</p> <p>但開發者對於透過GraphQL API使用關聯式資料庫，存取像是Amazon RDS或Amazon Aurora資料庫也有不少需求，因此現在AWS更新Amplify整合AWS CDK，來擴展對關聯式資料庫的支援，讓開發者不只可將Amplify GraphQL API的@model型別用於DynamoDB，也能夠用於MySQL和PostgreSQL關聯式資料庫。</p> <p>而這項更新之所以重要，是因為開發者能夠將GraphQL API連接至這些受廣泛使用的關聯式資料庫，進一步善用現有資料庫資源，並將其整合到使用Amplify所開發的應用程式架構中。</p> <p>不論是在VPC（Virtual Private Cloud）中抑或是網際網路公開存取，開發者只需要提供MySQL或PostgreSQL資料庫資訊，Amplify就能夠自動生成可供修改的GraphQL API。該API可以安全地連接資料庫表格，並進行建立、讀取、更新和刪除等操作，開發者也可以重新命名資料模型，使其更符合前端需求。</p> <p>開發者現在只需編寫簡單的程式碼，就可以將現有的Amplify GraphQL身分驗證規則新增至API，依據使用案例的需求，採取使用者身份驗證或是公開唯讀模式。AWS Amplify關聯資料庫支援，現在可搭配Amazon VPC或是AWS雲端外部所託管的MySQL和PostgreSQL資料庫使用。</p> </div></div></div>
2023/12/19 01:47作者李建興https://www.ithome.com.tw/news/160412
Threads接軌聯邦宇宙，開始測試與Mastodon等ActivityPub平臺互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta新的社交平臺Threads是建立在ActivityPub協定之上，而這意味著從一開始，Threads就被設計成為能夠與Mastodon等分散式社交平臺互通。Instagram負責人Adam Mosseri發文說明Threads接軌聯邦宇宙的最新進展，在聯邦宇宙（Fediverse）中沒有使用Threads，甚至是沒有Instagram帳戶的使用者，也能夠關注部分Threads上的帳號，也就是說，Threads的內容開始流向聯邦宇宙。</p> <p>ActivityPub是一種分散式社交網路通訊協定，針對跨平臺社交網路通訊而設計，只要支援ActivityPub的平臺，訊息就能夠互通。分散式社交網路與像是臉書和X（之前名為Twitter）等集中式社交平臺不同，分散式架構沒有單一中心的伺服器控制和儲存所有用戶的資料，因此用戶可以選擇不同的伺服器來託管資料和社交媒體活動。</p> <p>W3C在2018年制定了ActivityPub開放標準，任何開發者都能夠採用該協定，建立或是改進社交網路應用，最知名的ActivityPub實作便是Mastodon。而除了原生ActivityPub實作之外，也有部分原為集中式的社交平臺也開始支援ActivityPub，往分散式社交網路靠攏，像是<a href="https://www.ithome.com.tw/news/159237">Automattic旗下出版平臺WordPress.com已經正式支援ActivityPub</a>，<a href="https://www.ithome.com.tw/news/154430">Tumblr在去年也宣布要支援ActivityPub</a>。</p> <p>聯邦宇宙的英文Fediverse是一個新造詞，結合聯邦（Federation）和宇宙（Universe），指的是一組獨立營運，但是又能相互溝通的網路服務，包括社交網路、部落格平臺、影音共享網站等，而這些服務都是透過ActivityPub進行通訊，也就是說，所有支援ActivityPub的平臺，都是聯邦宇宙的一分子。</p> <p>而當初打著要成為X替代平臺旗幟的Threads，便是聯邦宇宙的最新成員之一。目前Threads與聯邦宇宙的連接還處於測試階段，僅有少數成員的帳號內容可以被Threads之外的帳號追蹤，而之後這項功能將會擴及到所有Threads上的公開帳號。</p> <p>官方提到，過去他們的系統沒有過類似設計，因此先從小規模開放，以解決在過程可能遇到的各種挑戰。由於現在Threads使用者發文後，要看到來自其他聯邦宇宙的回覆，需要使用其他應用程式非常不便，因此Meta也還在繼續更新Threads，要讓來自聯邦宇宙的回覆，也能夠直接在Threads上顯示。</p> <p>Meta承諾未來將允許創作者離開Threads，並帶著其追蹤者轉移到另一個應用程式或是伺服器。官方預估整個與聯邦宇宙接軌的過程需要花費將近一年的時間，各功能則會分階段陸續推出。</p> </div></div></div>
2023/12/19 01:50作者李建興https://www.ithome.com.tw/news/160413
【資安日報】12月18日，新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊源頭難以被找到，駭客無所不用其極改變遠端控制惡意程式的方法，其中最常見的手段，就是濫用各式各樣合法的雲端服務來充當C2伺服器，讓資安系統無法直接依據流量的來源，來識別是否為攻擊行動。</p> <p>但最近有人使用更隱匿的手法，他們濫用名為New Kind of Network的區塊鏈網路，藉此傳送檔案及下達命令。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/unveiling-nkabuse/111512/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體NKAbuse濫用區塊鏈隱匿攻擊行動</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Unveiling_NKAbuse_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Unveiling_NKAbuse_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露名為NKAbuse的惡意程式，此惡意程式為Go語言開發，鎖定墨西哥、哥倫比亞、越南而來，針對MIPS、Arm、x86架構的Linux電腦下手，一旦電腦感染NKAbuse，駭客就有可能將其用於執行DDoS攻擊。</p> <p>此外，該惡意程式也具備RAT木馬程式的特性，攻擊者可下達命令、竊取受害電腦資料、拍下螢幕截圖。在其中一起攻擊行動裡，駭客利用Java應用程式框架Apache Struts的漏洞CVE-2017-5638（CVSS風險評分為10），來攻擊金融業者。</p> <p>而這個惡意程式最特別的地方，在於攻擊者與其溝通的管道是利用名為New Kind of Network（NKN）的去中心化網路協定，由於該網路系統採用區塊鏈技術來管理相關資源，使用者的網路行蹤更為隱密，資安人員更難找出駭客攻擊的源頭。</p> <p><a href="https://thehackernews.com/2023/12/mongodb-suffers-security-breach.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料庫系統開發商MongoDB傳出遭到網路攻擊，客戶資料外洩</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GBf8V0_XwAAyr1k.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GBf8V0_XwAAyr1k.jpg" style="width: 300px; float: right;" /></a>根據Bleeping Computer、SecurityWeek、Hacker News等資安新聞網站報導，資料庫軟體開發商MongoDB在12月16日透過電子郵件，向用戶公告他們遭駭，表明12月13日察覺公司內部環境遭到未經授權存取的資安事故，正在著手進行調查。</p> <p>而對於事故影響的層面，該公司起初表示，他們尚未發現用戶存放於MongoDB Atlas的資料曝光的跡象，但他們也呼籲使用者應防範社交工程及網路釣魚攻擊，並採用多因素驗證，且輪換MongoDB Atlas密碼。</p> <p>隔日該公司透過網站公告這起事故，指出他們部分企業內部系統遭到未經授權存取，包含客戶姓名、電話號碼、電子郵件信箱，以及客戶帳號其他的中繼資料，但他們尚未察覺其他客戶的系統事件記錄遭到存取的跡象。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1736134217321370109">https://twitter.com/vxunderground/status/1736134217321370109</a><br /> 2. <a href="https://www.mongodb.com/alerts">https://www.mongodb.com/alerts</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/qnap-viostor-nvr-vulnerability-actively-exploited-by-malware-botnet/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">威聯通網路視訊監控系統VioStor遭遇殭屍網路InfectedSlurs零時差漏洞攻擊</span></strong></a></p> <p></p> <p>11月下旬資安業者Akamai揭露殭屍網路InfectedSlurs的攻擊行動，並指出駭客鎖定NVR網路視訊監控裝置及路由器而來，但並未透露裝置廠牌與型號，近期研究人員公布更多細節。</p> <p>12月14日Akamai表示，其中部分遭到零時差漏洞攻擊的設備，是威聯通（QNAP）旗下的網路視訊監控裝置VioStor，這項遭到利用的漏洞是CVE-2023-47565，存在於該廠牌NVR當中，影響2014年推出的5.0版以前的韌體，CVSS風險評分為8.0。</p> <p>研究人員指出，他們起初找到漏洞的時候，無法確認駭客鎖定的廠牌與型號，進一步調查才確認是威聯通的NVR設備，這些裝置的預設密碼強度較弱，且能在使用手冊找到，攻擊者可將其用於觸發作業系統注入的命令。對此，威聯通也在9日發布資安公告，表示他們針對4.x版VioStor發布修補程式，並指出曾在2014年推出的5.0版就已經修補相關漏洞。</p> <p>資料來源</p> <p>1. <a href="https://www.akamai.com/blog/security-research/qnap-viostor-zero-day-vulnerability-spreading-mirai-patched">https://www.akamai.com/blog/security-research/qnap-viostor-zero-day-vulnerability-spreading-mirai-patched</a><br /> 2. <a href="https://www.qnap.com/zh-tw/security-advisory/qsa-23-48">https://www.qnap.com/zh-tw/security-advisory/qsa-23-48</a></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/12/13/cybercrime-cybersecurity-storm-1152-fraudulent-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">微軟搗毀網路犯罪組織Storm-1152，該團體被查出握有7.5億個詐欺帳號</span></strong></a></p> <p></p> <p>上週微軟宣布，他們在網路威脅情報供應商Arkose Labs的協助之下，破獲駭客組織Storm-1152，這些駭客專門提供用於網路犯罪的Outlook電子郵件信箱帳號，數量多達7.5億個。微軟接管該組織使用的網域名稱Hotmailbox.me、關閉駭客的社群網站粉絲頁，以及該組織用於繞過圖靈測試CAPTCHA的多個網站（1stCAPTCHA、AnyCAPTCHA、NoneCAPTCHA）。</p> <p>微軟指控，這些駭客專門利用機器人建立大量Outlook帳號並銷售，號稱提供完整的客戶支援服務，客戶涵蓋勒索軟體集團、資訊竊盜、財務勒索組織，每個帳號售價不到1美分。除Outlook帳號外，該組織也提供駭客繞過圖靈驗證CAPTCHA的工具。微軟亦確認這些駭客的總部位於越南，以及其中3名成員的身分。</p> <p>而對於這些駭客的行蹤，Storm-1152行事相當高調，而非藏匿於暗網，Arkose Labs指出，他們認為自己是持續經營的網路業者，直接在公開的網際網路提供相關犯罪工具，並提供客戶支援。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://research.checkpoint.com/2023/rhadamanthys-v0-5-0-a-deep-dive-into-the-stealers-components/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">竊資軟體Rhadamanthys透過外掛程式攔截RDP帳密</span></span></strong></a></p> <p></p> <p><a href="https://twitter.com/MsftSecIntel/status/1735856754427047985"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意程式QBot捲土重來，駭客假借美國國稅局的名義散布</span></span></strong></a></p> <p></p> <p><a href="https://security.googleblog.com/2023/12/hardening-cellular-basebands-in-android.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google應用Sanitizer提升安卓裝置行動通訊基頻安全性</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/mitre-unveils-emb3d-threat-model-for-embedded-devices-used-in-critical-infrastructure/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對關鍵基礎設施的嵌入式裝置安全，MITRE揭露威脅模型EMB3D</span></span></strong></a></p> <p></p> <p><a href="https://www.water.gov.tw/ch/Subject/Detail/84565?nodeId=711"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">臺灣自來水與調查局簽署資安聯防MOU</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160355"><strong>【12月15日】小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160333"><strong>【12月14日】 OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾郵件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160307"><strong>【12月13日】逾1,400臺開源防火牆系統pfSense存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上執行任意程式碼</strong></a></p> </div></div></div>
2023/12/18 15:27作者周峻佑https://www.ithome.com.tw/news/160387
【資安週報】2023年12月11日到12月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在漏洞相關消息中，這個禮拜最受重視的是以色列自動化控制業者Unitronics的PLC漏洞，因為自11月底開始，美國賓州水利單位的工控系統傳遭駭客劫持的相關消息，持續成為各大資安新聞媒體的焦點，甚至美國佛羅里達州自來水公司、愛爾蘭自來水公司也傳遭攻擊，後續又有更多新消息。對於防守端而言，已<a href="https://www.unitronicsplc.com/cyber_security_vision-samba/">祭出更多因應機制</a>，包括<a href="https://forum.unitronics.com/topic/9940-protect-your-vision-and-samba-systems-with-new-security-enhancements/">Unitronics發布VisiLogic 9.9.00版釋出</a>，將要求變更預設密碼、要求複雜密碼，以及增加保護Vision與Samba控制器的新功能，而且，12月初還有揭露Unitronics的Vision PLC and HMI存在不安全預設密碼漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-6448">CVE-2023-6448</a>，美國CISA在12月11日更是<a href="https://www.cisa.gov/news-events/alerts/2023/12/11/cisa-adds-one-known-exploited-vulnerability-catalog">將此漏洞加入已知漏洞利用清單</a>，是本周資安日報尚未提及，在此補上。</p> <p>此時也適逢微軟、Adobe等每月例行安全更新釋出，需要大家關注與儘快修補，我們整理如下：<br /> ●微軟本月修補30多個漏洞，有4個屬於重大漏洞，同時針對一個8月已公開的AMD漏洞（CVE-2023-20588）修補。<br /> ●Adobe本月修補207個漏洞，以網站內容管理平臺Adobe Experience Manager受關注，因為有185個漏洞與之相關。<br /> ●研究人員揭露macOS/iOS裝置與多家Linux作業系統存在藍牙鍵盤注入漏洞，目前僅ChromeOS修補。<br /> ●Apache基金會修補Java應用框架Struts的RCE漏洞，編號為CVE-2023-50164。</p> <p>其他可留意的漏洞消息，包括：SAP、開源防火牆系統pfSense，以及WordPress外掛程式Backup Migration的漏洞修補釋出，還有高通、聯發科5G晶片存在5Ghoul漏洞的揭露（其中10個漏洞已公開，4個尚未公開），以及去年Sophos修補CVE-2022-3236漏洞，近日該公司針對EOL產品提供破例修補程式。</p> <p>在威脅態勢上，近期地下論壇時常傳出兜售我國政府、企業資料的情形，這類消息明顯比過往頻繁，原因很有可能是我國即將舉行的2024總統大選。例如：有賣家在地下論壇BreachForums聲稱兜售中華電信帳務資料，中華電信後續表示查無遭駭，研判是利用欠費查詢功能取得不具個人識別性的帳務資料，還有日前<a href="https://www.mjib.gov.tw/news/Details/1/944">法務部調查局在12月7日示警</a>（<a href="https://s4.itho.me/sites/default/files/images/2023-12-18_141407.jpg">附圖</a>），指出有不明人士於暗網販售不明資料，並散布網路文章「國人遭監控！暗網驚見高價出售情治機關偵控數據！」的不實資訊，是意圖製造對立衝突的認知作戰。</p> <p>在國際威脅焦點方面，有4項消息我們認為最值得關切，其中兩件與電信業相關：<br /> （一）關於今年中國駭客組織Volt Typhoon持續鎖定小型路由器攻擊的狀況，有資安業者揭露最新調查，指出該集團正利用殭屍網路KV-botnet，在今年8月、11月擴大鎖定Netgear、思科、居易路由器與Axis的IP網路攝影機等設備入侵。<br /> （二）注意濫用各種OAuth應用程式的自動化攻擊！微軟MSRC警告，有駭客盜用具有OAuth應用程式權限的使用者帳號，接著濫用這些權限來隱藏惡意活動。<br /> （三）多家資安業者聯手指出，駭客組織Sandman不僅鎖定電信業者攻擊，同時與中國駭客互通有無，研究人員推測，這兩組人馬很可能共用惡意程式開發資源。<br /> （四）烏克蘭當地最大電信業者Kyivstar遭大規模網路攻擊，導致其行動通訊與網路服務中斷。</p> <p>其他可留意的消息，包括，AMD處理器新型態攻擊手法SLAM的揭露，俄羅斯駭客組織Star Blizzard新型態帳密竊盜手法的揭露，語音網釣攻擊BazarCall濫用Google表單的揭露。</p> <p>在資安防禦態勢上，將生成式AI用於幫助資安工作已蔚為風潮，最近Google更是搶先宣布這方面的技術應用特色，Duet AI in Security Operations功能正式上線。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160267"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月11日】北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化平臺入侵受害組織</span></strong></a></h3> <p>電腦、行動裝置搭配各式藍牙配備，已是相當普遍，但這種裝置配對機制存在弱點的情況，近期有多名研究人員公布相關研究，希望敦促裝置開發者儘速改善這類問題。</p> <p>最近有研究人員公布新的漏洞CVE-2023-45866，並指出攻擊者可藉此配對「假鍵盤」，從而操作目標裝置，影響macOS、iOS、Linux、安卓作業系統的電腦或行動裝置，值得留意的是，研究人員今年8月通報後，蘋果目前尚未對此漏洞進行修補。</p> <h3><a href="https://www.ithome.com.tw/news/160290"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月12日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</span></strong></a></h3> <p>隨著南北韓的關係越來越緊張，北韓駭客組織的動作頻頻，其中又以駭客組織Lazarus的攻擊行動相當受到研究人員的關注。</p> <p>例如，在其中一起名為Operation Blacksmith的攻擊行動裡，這些駭客使用了兩種相當罕見的手法，首先，他們在入侵受害組織的管道裡，利用了近期鮮少駭客利用的重大漏洞Log4Shell，再者，則是在打造作案工具的程式語言，他們採用的是D語言，目前幾乎沒有其他駭客以此開發惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/160307"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月13日】逾1,400臺開源防火牆系統pfSense存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上執行任意程式碼</span></strong></a></p> <p>12月12日有許多軟體開發商推出本月的例行更新，而其中相當值得留意的部分，是有關防火牆漏洞的細節揭露。其中，包含了開源防火牆系統pfSense的漏洞，以及Sophos破例提供已屆生命週期終止（EOL）修補程式的情況。</p> <p>其中，比較值得留意的是pfSense的漏洞，原因是研究人員揭露的3個漏洞可被串連，而有機會讓攻擊者在防火牆上執行任意程式碼。</p> <h3><a href="https://www.ithome.com.tw/news/160333"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月14日】OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾郵件</span></strong></a></h3> <p>鎖定OAuth身分驗證機制的攻擊行動不時傳出，而這樣的情況也有越來越氾濫的現象，駭客很可能在多種型態的攻擊行動，運用這種身分驗證機制達到目的。</p> <p>例如，近期微軟揭露針對自家雲端環境進行的OAuth攻擊行動裡，駭客不只建置大量的OAuth應用程式來從事對手中間人攻擊（AiTM），挾持電子郵件信箱來進行下一階段行動，特別的是，也有駭客藉由OAuth挾持Azure用戶帳號，並租用虛擬機器來進行挖礦。</p> <h3><a href="https://www.ithome.com.tw/news/160235"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月15日】小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動</span></strong></a></h3> <p>半年前美國警示大家要注意中國駭客組織Volt Typhoon的攻擊行動，並指出下一波駭客攻擊的目標不再只是美國，還會擴及亞洲地區的關鍵基礎設施。但究竟駭客如何入侵這些環境？如今有研究人員揭露相關細節。</p> <p>資安業者Lumen指出，這些駭客也同時運用殭屍網路KV-botnet來從事攻擊行動，其重要的環節便是先對家用路由器、SOHO辦公室防火牆等網路設備下手，再存取受害組織的內部環境。</p> <p> </p> </div></div></div>
2023/12/18 14:47作者羅正漢https://www.ithome.com.tw/news/160385
AI趨勢周報第236期：LangChain框架整合Gemini Pro API了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1208～1214)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LangChain </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LangChain框架整合Gemini Pro API，加速RAG應用開發</strong></span></p> <p>就在Google釋出Gemini Pro API後，大型語言模型（LLM）應用開發框架<a href="https://twitter.com/LangChainAI/status/1734982565352845428?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1734982565352845428%7Ctwgr%5Eed12d765421df8d620af7916bb47d761ca52beab%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Flangchain-integrates-gemini-pro-api-enables-multimodal-capabilities%2F">LangChain馬上整合了Gemini Pro API</a>，讓開發者能在開發環境中使用Gemini多模態功能，特別是打造檢索強化生成（RAG）類型的應用。</p> <p>一般來說，RAG常用於文字任務，比如介接客服指南資料庫，來讓LLM參考客服資料、生成答案。但最近，多虧GPT-4V這類大語言模型，RAG也擴展到了圖片。其中，LLM應用開發框架LangChain就探索不少方法，如多模態嵌入、多向量檢索器等，來從文字和圖片輸入中（例如簡報）有效地檢索與合成答案，來實現圖片類的RAG應用。</p> <p>為進一步提高開發者體驗，LangChain推出了Python整合工具包langchain-google-genai，開發者可直接存取Genimi API，更容易使用LangChain的多模態功能。同時，LangChain還發布整合指南，來協助開發者探索Gemini Pro API的潛力。<a href="https://python.langchain.com/docs/integrations/chat/google_generative_ai">（詳全文）</a></p> <p><img alt="" src="https://pbs.twimg.com/media/GBPlaVjaAAA_yvW?format=png&name=small" /><img alt="" src="https://pbs.twimg.com/media/GBPlaV2aUAAW9Yj?format=png&name=small" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4V </span></strong></span></p> <p><span style="font-size: 22px;"><strong>DeepMind用LLM和評估器來找出數學最佳解</strong></span></p> <p>最近，DeepMind研發出FunSearch方法，能用大型語言模型來搜尋數學和電腦科學領域問題的解法。團隊成功運用FunSearch解決Cap Set數學問題，同時還能更有效解決裝箱問題，能用來提高資料中心效率，證明FunSearch的實用價值。</p> <p>FunSearch是指搜尋函式（Functions）系統，由一個訓練過的大型語言模型和一個自動評估器組成。其中，大型語言模型專門提供有創意的解決方案，評估器則把關這些方案，避免出錯或任何不實想法。這兩個元件反覆迭代，初始解決方案逐漸發展為新知識。目前，DeepMind採用Google的PaLM 2作為FunSearch的大語言模型。團隊發現，與其他神經網路和增強學習的AI方法相比，FunSearch輸出的程式碼更易於檢查和部署，更容易整合到實際工業系統中。他們預期，在科學和工業領域各種新舊問題，都會因這個方法產生更有效的解法。<a href="https://deepmind.google/discover/blog/funsearch-making-new-discoveries-in-mathematical-sciences-using-large-language-models/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/mIlL5zg4-gbYvIdCuBB5SmzPzbC1yUghYgIwYR89pEJpgc4f00OhDpd6SRM_MXNi1XSqJJpFe_yeFXHZShLr3syM0SFSxtuqJzdaEgX8fsvCW1SN=w1232-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 隱私 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mozilla </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> privateGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mozilla推新專案，要保護隱私、打造更個人化AI體驗</strong></span></p> <p>日前，Mozilla釋出MemoryCache創新專案，要結合本地檔案和Firefox瀏覽器儲存的資料，來強化基於裝置的個人模型，要在更加隱私安全的情況下，提供更好的個人化體驗。</p> <p>MemoryCache由一組腳本和簡單工具所組成，可用來改進本地端的privateGPT模型運作。MemoryCache可快速儲存瀏覽器歷史紀錄到本地裝置，再讓本地端的AI模型，透過處理這些資料和用戶提供的檔案，來強化內建的privateGPT聊天介面回應。此外，MemoryCache專案包含Firefox擴充套件，能儲存網頁到本地資料夾中，另有個殼層腳本負責監控資料夾的變化，一旦有新檔案進入資料夾，就會執行privateGPT的ingest.py腳本會進一步處理。<a href="https://future.mozilla.org/blog/introducing-memorycache/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Phi-2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟27億參數小語言模型Phi-2，表現勝過130億參數Llama 2</strong></span></p> <p>微軟在12日發表一套小型語言模型Phi-2，只有27億參數，但在許多測試上超越了70億參數的Mistral、130億參數的Llama 2，以及Google剛發表的32億個參數Gemini Nano 2。微軟在今年6月發表基於Transformer架構的Phi-1模型，僅13億參數，是為了撰寫基本Python程式碼而設計的小型語言模型，9月則進一步發表Phi-1.5，能力擴展至常識推理和語言理解。</p> <p>最新的Phi-2則號稱媲美25倍參數量的模型，訓練素材同樣基於「教科書等級」概念，涵蓋科學、日常活動與心理學等，再加上篩選過、具教育價值的高品質網路內容，將參數量從13億擴大至27億。Phi-2在96個A100 GPU上，以1.4兆個Token進行了14天的訓練。經各種基準測試，如評估語言模型處理複雜及具挑戰性任務的BBH、常識推理、語言理解、數學及撰寫程式碼等，Phi-2的表現全都優於擁有130億個參數的Llama-2，也優於70億參數的Mistral。<a href="https://www.microsoft.com/en-us/research/blog/phi-2-the-surprising-power-of-small-language-models/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2023/12/figure2_phi_comp-2048x474.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mixtral 8x7B </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SMoE </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI開源Mixtral 8x7B模型，效能超越Llama 2</strong></span></p> <p>Mistral AI開源最新模型Mixtral 8x7B，是一款467億參數、具開放權重的稀疏混合專家模型（SMoE），能處理32,000個Token上下文長，且大多數基準測試表現都優於700億參數的Llama 2 70B和GPT 3.5模型。稀疏混合專家模型是一種深度學習架構，適合用來建置大型、高效的神經網路。其核心概念是專家系統，也就是網路中特定的子模組或子網路，代表每個專家，專門處理特定類型任務。而SMoE的稀疏性，則是指每次輸入僅會觸發一小部分專家，來降低運算成本，因此Mixtral 8x7B模型在處理每個Token時，只會選擇並使用其中的129億個參數。</p> <p>經測試，比起Llama 2 70B模型，Mixtral 8x7B在多數基準測試中表現更好，推理速度比Llama 2 70B快上6倍，且Mixtral 8x7B在大多數標準基準測試中，表現也與GPT3.5相當，甚至更好。Mixtral 8x7B目前能處理英文、法文、義大利文、德文和西班牙文，其生成程式碼能力也很出色，與GPT 3.5相當。<a href="https://code.visualstudio.com/updates/v1_59#_terminal">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI法案 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 歐盟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風險 </span></strong></span></p> <p><span style="font-size:22px;"><strong>歐盟達成共識，推出人工智慧法案</strong></span></p> <p>歐盟執委會（EC）日前宣布，歐洲議會與歐盟理事會已就人工智慧法案（AI Act）達成政治協議，成為全球首個AI綜合法令框架，將用來規範AI系統供應商和使用AI的組織，亦可望成為全球制定AI法令的基準。</p> <p>AI Act將AI系統分類成最小風險、高風險、不可接受的風險，以及透明度風險。大多數的AI系統屬於最小風險，如推薦系統或垃圾郵件過濾機制等，相關供應商不必承擔義務。高風險系統則涵蓋關鍵基礎設施、執法或公領域系統、生物辨識與情緒辨識系統等，必須遵守嚴格的要求，如具備風險緩解系統、資料集、活動紀錄、詳細的文件及人工監督等。</p> <p>至於不可接受風險，是指可操縱人類行為以規避自由意志的系統或程式，透明度風險則要求人們必須能辨識與之交流的對象或內容，是否源自AI。未遵守AI Act的業者將被罰款，最高款項為3,500萬歐元或年營收的7%。在達成政治協議後，歐盟將著手撰寫共識版的AI Act，理論上可於本月底通過正式法令，並於兩年後生效。<a href="https://www.consilium.europa.eu/en/press/press-releases/2023/12/09/artificial-intelligence-act-council-and-parliament-strike-a-deal-on-the-first-worldwide-rules-for-ai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Pro </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開放測試企業級Gemini Pro了</strong></span></p> <p>繼日前發表全新的多模態大型語言模型Gemini後，Google又針對開發者和企業推出Gemini Pro，使用者可透過Google Cloud的Vertex AI平臺存取。Google將Gemini分為3種版本，分別是最強大的Gemini Ultra，最通用的Gemini Pro，以及可於行動裝置上執行的Gemini Nano。其中，Gemini Pro支援32K的文字脈絡長度，具備函式呼叫、嵌入、語義檢索、客製化知識基礎及聊天功能，提供各種SDK，並支援Python、Android（Kotlin）、Node.js、Swift及JavaScript等程式語言。</p> <p>基本的Gemini Pro僅接受文字輸入與輸出，另有一個Gemini Pro Vision多模態終端則可接受文字及圖像輸入，但僅會輸出文字。Gemini Pro現可於全球逾180個國家使用，支援38種語言，開發者以Google帳戶登入Google AI Studio即可免費試用，其免費額度為每分鐘輸入60個請求，當需要托管環境時，也可輕易將成果遷移至Vertex AI。Google預計明年初推出付費服務，企業用戶亦可透過已整合Gemini Pro的Vertex AI平臺來試用該服務。<a href="https://blog.google/technology/ai/gemini-api-developers-cloud/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Purple Llama </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可信任 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta發布Purple Llama專案推動開源可信的生成式AI應用</strong></span></p> <p>隨著生成式AI爆紅，AI安全規範也越發重視。Meta最近推出Purple Llama新專案，要提供開放信任且安全的評估標準和工具，來讓開發者負責任地部署生成式AI模型和應用程式。Purple Llama目前提供CyberSec Eval評估標準，以及Llama Guard輸入輸出安全分類器，之後會新添更多工具。</p> <p>進一步來說，在網路安全方面，Purple Llama將建立安全評估基準，包括量化大型語言模型網路安全風險的指標，以及評估不安全程式碼建議頻率的工具，還有讓生成惡意程式碼，或協助網路攻擊更加困難的大型語言評估工具。該專案在過濾輸出和輸入方面，則提供了Llama Guard分類器，能用來檢查和過濾大型語言模型的輸入和輸出，以符合特定應用的內容指導原則，防止大型語言模型生成具有潛在風險的輸出。Llama Guard使用公開的資料集訓練，以偵測常見的潛在風險和違規內容，用戶可以自定義模型，以支援特定用例。<a href="https://about.fb.com/news/2023/12/purple-llama-safe-responsible-ai-development/">（詳全文）</a></p> <p>圖片來源／LangChain、DeepMind、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/160364">中醫大附醫採用醫療專科級MedLM打造AI輔助醫師</a></strong></p> <p><strong>2. AI新創聯手阿聯酋大學發起<a href="https://www.llm360.ai/">透明度框架LLM360</a>，率先釋出2款模型 Amber-7B和CrystalCoder-7B</strong></p> <p><strong>3. <a href="https://cloud.google.com/blog/products/ai-machine-learning/imagen-2-on-vertex-ai-is-now-generally-available">Google發布Imagen 2圖片生成模型</a>，支援中英在內7種語言</strong></p> <p><strong>4. <a href="https://blogs.microsoft.com/accessibility/seeing-ai-app-launches-on-android-including-new-and-updated-features-and-new-languages/">微軟推出幫助視障者「聽」東西的Seeing AI App</a></strong></p> <p><strong>5. Google承認Gemini示範影片經剪輯</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/17 12:14作者王若樸https://www.ithome.com.tw/news/160384
研究發現Bing Copilot給了錯誤的歐洲選舉資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI 助理如ChatGPT用在寫信、簡述文章重點或許還不錯，但牽涉政治的問題最好還是不要問它。一項研究發現，微軟生成式AI助理Bing Copilot在回答歐洲國家選舉的問題時，卻給了不少錯的答案。</p> <p>微軟、OpenAI及Google等業者前後發表AI聊天助理Bing Chat/ Copilot、ChatGPT、Bard後，因應大眾對AI幻覺、假資訊、侵權或偏見等問題，賦予其搜尋即時網路內容、引述內容來源，也加入防護（safeguard）功能，不回應有偏見、或鼓勵暴力、種族歧視、犯罪、毒品的提問。</p> <p>非營利機構AI Forensics以及AlgorithmWatch在今年8月21日到10月2日期間，<a href="https://algorithmwatch.org/en/study-microsofts-bing-chat/" target="_blank">針對微軟Bing Copilot或Bing Chat調查</a>它對德國二個邦及瑞士選舉的問題解答能力。<a href="https://algorithmwatch.org/en/bing-chat-election-2023/" target="_blank">今年10月該基金會第一次公布Bing Copilot的研究結果</a>。上周又公布第二次報告。研究人員詢問關於候選人、民調、投票的問題，也請它針對特定主題，如環保，建議該投給哪名候選人，最後分析Bing Copilot的答案。</p> <p>首先，研究顯示，Bing Copilot關於選舉的問題，1/3（31%）有事實上的錯誤，包括投票日期錯誤、列出以前的候選人、還虛構特定候選人的醜聞，但英語版的正確度（30%）還高於法語（19%）及德語版（28%）。其次，雖然Bing Copilot設有防護功能，但並未均等應用於所有回應，導致40%的問題它拒絕回答，包括關於候選人的基本問題。雖然研究人員認為這現象其實是好事，因為是防止假資訊的機制，卻也減損了AI聊天機器人作為可信資訊來源的價值。</p> <p class="rtecenter"><a href="https://algorithmwatch.org/en/wp-content/uploads/2023/12/AlgorithmWatch_AIForensics_Bing_Chat_Report.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-algorithmwatch-bing%20chat-600.png" style="width: 500px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_AlgorithmWatch</span></span></p> <p>研究人員也發現，Bing Copilot給錯誤答案的問題，並非短期現象，而是長期、系統性的問題。從8月到9月，同樣給錯誤答案的問題，還是會重覆發生，正確率並未改善。此外，研究人員觀察到，Bing Copilot甚至給錯候選人的資訊，甚至編造出某候選人涉入醜聞，卻還能提供知名媒體作為消息來源，包括Wikipedia、politico.edu、dawum.de等網站，同時傷害了候選人及新聞媒體名譽。</p> <p>今年10月研發人員向微軟通報這些問題，特別是牽涉特定候選人的錯誤資訊，微軟雖承諾解決Copilot的問題，但一個月後，研究人員再次測試發現Bing Copilot的表現並未改善。</p> <p>研究人員最後呼籲，隨著Copilot 和其他AI工具廣泛整合於科技產品，歐盟及各國政府應確保科技公司負責AI的資訊品質。</p> </div></div></div>
2023/12/18 10:19作者林妍溱https://www.ithome.com.tw/news/160380
微軟Azure AI再增添AI模型Llama2、GPT-4 Turbo with Vision
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Azure AI平臺持續擴增生成式AI模型選擇，<a href="https://techcommunity.microsoft.com/t5/ai-ai-platform-blog/continuing-to-advance-state-of-the-art-model-and-tooling-support/ba-p/4008407" target="_blank">上周再宣布</a>Azure AI公測Meta最新模型Llama 2及OpenAI GPT-4 Turbo with Vision，並有6個模型在模型市集中上架。</p> <p>雖然大手筆投資OpenAI，但微軟的雲端AI市集並不獨尊OpenAI的模型。今年11月的Ignite大會上，微軟已為Azure AI模型目錄宣布40種新模型、生成式AI開發中心Azure AI Studio公測，且公布Azure AI Studio模型即服務（Models as a Service，MaaS）平臺，合作的第三方廠商包括Mistral AI、G24、Cohere及Meta。</p> <p>微軟解釋Azure AI及MaaS的差別。雖然Azure AI中，企業已經可在雲端執行個體中建立VM以部署模型，但仍有企業不想處理這工作，MaaS即為這類用戶的選項。在此模型是一種API端點，用戶可像用Azure OpenAI服務一樣呼叫模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-Model-as-a-service-(MaaS)-Azure%20AI.png" style="width: 600px;" /></p> <p>繼11月宣布之後，微軟本周再為Azure AI模型即服務（MaaS）增加Meta的Llama 2，OpenAI GPT-4 Turbo with Vision公測版在Azure OpenAI Service及Azure AI Studio上線，以及Azure AI模型目錄（model catalog）中再增加Phi 2小語言模型（Small Language Model，SLM）。</p> <p>上周五Azure AI的MaaS以公測版提供Meta Llama 2，當中又有Llama-2-7b（文字生成）、Llama-2-7b-Chat （對話完成）、Llama-2-13b（文字生成）、Llama-2-13b-Chat（對話完成）、Llama-2-70b（文字生成）及Llama-2-70b-Chat（對話完成）等模型。</p> <p>微軟第二項宣布是OpenAI GPT-4 Turbo with Vision現在在Azure OpenAI Service及Azure AI Studio開放公測。GPT-4 with Vision是OpenAI的大多模態模型（LMM）。這模型整合了自然語言處理和視覺理解，可分析圖片並針對問題提供文字回應。</p> <p>微軟強調Azure AI中的GPT-4 with Vision提供微軟雲端的安全及負責任AI治理。和其他Azure AI服務合併後，這模型又增加了影片提示、object grounding（在圖像中找到並標記文字描述的物件）、進階光學字元辨識（OCR）等功能。</p> <p>此外，繼10月微軟開始公測Azure AI微調OpenAI模型的功能，上周五進一步把微調功能擴大到其他模型，如GPT-35-Turbo、Babbage-002及Davinci-002，允許開發人員及資料科學家客製化這些模型。</p> <p>最後，Azure AI模型目錄中又有6個新模型將先後上架。目前已有微軟自己的小語言模型（SLM）<a href="https://www.ithome.com.tw/news/160306" target="_blank">Phi-2</a>及<a href="https://www.ithome.com.tw/news/159963" target="_blank">Orca 2</a>，各為27億及70、130億參數。其他4個模型，包括純decoder-only文字生成模型DeciLM、擴散式文字轉圖片模型DeciDiffusion、decoder-only程式完成模型DeciCoder、以及Mistral 7B的小型版Mixtral 8x7b。</p> <p>而有了這麼多種模型，為方便企業用戶選擇，Azure AI Studio也提供了模型標竿測試數據，公布在模型的標竿測試區，以協助用戶做出採購決策。</p> <p class="rtecenter"><a href="https://techcommunity.microsoft.com/t5/ai-machine-learning-blog/model-benchmarks-in-azure-ai-studio/ba-p/3982282" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-Model%20Benchmarks%20in%20Azure%20AI%20Studio-600-V2.png" style="width: 558px;" /></a></p> <p>這次增加新選項的時機也很微妙。11月中OpenAI發生董事會開除執行長Sam Altman，OpenAI共同創辦人Craig Brockman追隨他離開公司。此事驚動微軟執行長Satya Nadella出馬調停，並聘請2人加入微軟。據說Nadella對此次OpenAI人事動盪大為不滿，雖然微軟宣稱和OpenAI的合作將持續，但<a href="https://www.businessinsider.com/microsoft-distancing-itself-from-openai-spreading-ai-bets-2023-12" target="_blank">Nadella也對投資人表示</a>將多元化AI模型來源以分散風險。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/12/18 11:02作者林妍溱https://www.ithome.com.tw/news/160381
FCC批准SpaceX展開Direct to Cell衛星電話實驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，<a href="https://www.scribd.com/document/692501543/OET-approval" target="_blank">FCC）上周四（12/14）批准</a>了SpaceX在今年2月所提出的<a href="https://apps.fcc.gov/els/GetAtt.html?id=337665&x=." target="_blank">Direct to Cell實驗申請</a>，以直接利用一般的手機連結衛星通訊網路，執行傳訊、通話或瀏覽網路等功能。</p> <p>SpaceX為科技界大佬Elon Musk所創辦的航太公司，正式的公司名稱為Space Exploration Technologies Corp，除了因打造可回收的火箭而名揚全球之外，另一個著名服務為低軌通訊網路衛星星座Starlink，迄今已部署了5,500顆通訊衛星，在全球擁有200萬訂閱用戶。</p> <p>為了讓手機用戶不必添加額外的設備就能直接使用衛星網路，SpaceX去年10月宣布將與T-Mobile合作，於美國收不到手機訊號的偏遠地區提供衛星網路服務，但一直到今年10月，SpaceX才於官網上<a href="https://direct.starlink.com/" target="_blank">行銷Direct to Cell</a>，宣稱可允許全球的LTE手機透過衛星網路來傳送文字訊息、通話或瀏覽網路，亦將支援基於LTE標準的IoT裝置。</p> <p>根據官網上的說明，具備Direct to Cell功能的Starlink衛星將採用先進的eNodeB數據機，充當是太空中的手機基地臺，令一般手機無需修改就可連結，再將訊號傳送至Starlink的地面網路與合作夥伴的網路，提供通話、文字簡訊與資料傳送功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-starlink%20direct%20to%20cell-600.png" style="width: 600px;" /></p> <p>SpaceX預計於今年12月展開Direct to Cell的測試，將以840顆衛星與2,000支手機進行實驗，實驗期間為180天。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Starlink</span></span></p> </div></div></div>
2023/12/18 09:23作者陳曉莉https://www.ithome.com.tw/news/160378
微軟更新DirectML支援NPU，以加速Windows AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/directx/windows-directml-with-npus/">預告</a>明年將更新DirectML開始支援神經處理單元（NPU）。NPU是一種專為機器學習工作負載設計的處理單元，適合用於計算密集、不需要圖型介面互動的工作負載，目前英特爾新款Core Ultra處理器晶片已經內建NPU，而這也會是第一個可在Windows上使用DirectML技術的NPU。</p> <p>DirectML是一個低階且硬體抽象化的API，能夠直接存取GPU等各類加速器，執行機器學習計算。其屬於DirectX家族，DirectX主要用於Windows平臺上的圖形與遊戲開發，而DirectML則專注於機器學習工作負載。DirectML也能夠和其他機器學習框架和工具整合，像是跨平臺推理引擎ONNX Runtime和Windows機器學習模型最佳化工具Olive。</p> <p>Core Ultra的NPU加速器直接整合到SoC，能夠以相對較低的功耗執行人工智慧運算，釋放CPU和GPU運算資源。NPU獲得DirectML支援便能夠加入ONNX生態系，使用諸如ONNX Model Zoo的模型、英特爾Neural Compressor與ONNX Runtime等工具。</p> <p>DirectML新增對NPU的支援，讓開發者透過ONNX Runtime等API，將人工智慧模型轉移到英特爾的NPU上執行，提供在Windows上執行人工智慧工作負載另一種選擇。支援NPU的DirectML預計在2024年初，與最新的ONNX Runtime版本一起釋出。</p> </div></div></div>
2023/12/18 08:23作者李建興https://www.ithome.com.tw/news/160365
微軟Xbox Cloud Gaming、PowerPoint、Excel與Word正式登上Meta Quest Sto…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與Meta在去年10月攜手宣布，要將Xbox Cloud Gaming、Microsoft Teams與Microsoft Windows 365帶到Meta Quest虛擬實境裝置上，而一直到了上周三（12/13），微軟終於在Meta Quest Store釋出了<a href="https://www.meta.com/experiences/6096836170400630/" target="_blank">Xbox Cloud Gaming</a>，隔天便接著推出支援Meta Quest的<a href="https://www.meta.com/experiences/7187698601274841/" target="_blank">Word</a>、<a href="https://www.meta.com/experiences/6420558991382261/" target="_blank">Excel</a>與<a href="https://www.meta.com/experiences/24038848309063606/" target="_blank">PowerPoint</a>。</p> <p>其中，Word、Excel與PowerPoint支援了所有的Meta Quest裝置，從早期的Meta Quest、Meta Quest 2、Meta Quest 3到最高階的Meta Quest Pro，Xbox Cloud Gaming則僅支援Meta Quest 2、Meta Quest 3與Meta Quest Pro。</p> <p>出現在Meta Quest Store中的Xbox Cloud Gaming仍是測試版，Meta Quest用戶下載後可先與藍牙遊戲控制器配對，之後再登入微軟帳號，透過有效的Xbox Game Pass Ultimate會員資格執行遊戲，或是註冊試用Xbox Game Pass Ultimate。玩家可瀏覽與執行Xbox Game Pass Ultimate中的數百款遊戲，並有4種螢幕尺寸可供選擇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-Xbox%20Cloud%20Gaming%20(Beta)-meta%20quest-600.jpg" style="width: 600px;" /></p> <p>而Meta Quest裝置上所執行的Word、Excel與PowerPoint則源自於Office網頁程式，因此可免費使用，若要執行更複雜的功能則必須訂閱Microsoft 365。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-meta%20quest%20word-600.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1218-meta%20quest%20powerpoint-600.jpg" style="width: 600px;" /></p> <p>根據《Android Central》的測試，在Meta Quest裝置執行上述Office程式可一次開啟多個檔案，它可追蹤使用者的手勢，也支援以藍牙連結的滑鼠及鍵盤。</p> <p>隨著蘋果首款混合實境（MR）頭戴式裝置Apple Vision Pro即將於明年上半年問世，VR/AR/MR裝置市場可望在明年出現新的景象，根據市場研究機構<a href="https://www.counterpointresearch.com/insights/global-xr-ar-vr-headsets-market-share/" target="_blank">Counterpoint今年第二季的調查</a>，目前該市場由Meta以50%的市占率領先，Sony以28%居次。</p> <p>對於即將面臨來自蘋果的競爭，Meta創辦人暨執行長祖克柏（Mark Zuckerberg）曾向員工信心喊話，指出Vision Pro對於Meta Quest團隊所面臨的挑戰並沒有任何神奇的解決方案，只是配備了更高解析度的顯示器，再利用所有的技術來推動它，使得它售價高昂，也需要更多的電力，還需要電池及纜線才能使用，但Meta卻想確保每個人都能負擔得起該公司所推出的產品。</p> <p>Apple Vision Pro的售價為3,499美元，Meta最高階的Meta Quest Pro為1,499美元，而配備128GB儲存空間的Meta Quest則是499美元。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Meta</span></span></p> </div></div></div>
2023/12/18 08:43作者陳曉莉https://www.ithome.com.tw/news/160377
有辦法控制比人類更聰明的超級AI？OpenAI最新研究證明其可能性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著人工智慧迅速發展，可預期不久的將來，會出現比人類更聰明的人工智慧，OpenAI提出了一個人類需要迫切面對的課題，是當人工智慧比人類更聰明，人類該如何有效地進行監督？在這樣的背景，OpenAI展開超對齊（Superalignment）研究，最新的<a href="https://openai.com/research/weak-to-strong-generalization">研究成果</a>是以小模型來監督大模型，在人類開發和管理超級人工智慧（Superhuman AI）的難題上，提供一個新視角。</p> <p>OpenAI直言比人類聰明的人工智慧在10年內會出現，而至今人類仍然不知道如何可靠地指導和控制超級人工智慧，唯有找到有效的控制方法，才能夠確保先進的人工智慧系統的安全性。面對這個問題，OpenAI成立了超級對齊（Superalignment）團隊來找出解決方案。</p> <p>在人工智慧領域中，對齊（Alignment）概念指的是確保人工智慧系統的行為，符合人類設定的目標和道德標準，對齊主要關注當前和短期內的人工智慧技術，使這些人工智慧系統能夠安全地服務人類。而超級對齊則是研究更前瞻的議題，針對未來可能出現超越人類智慧的人工智慧系統，確保超級人工智慧系統能夠被有效的監督，並且使其行為與人類的價值觀和利益保持一致。</p> <p>目前的對齊方法主要是來自人類回饋的增強學習（RLHF），但是因為未來人工智慧系統將能夠執行極複雜和具創造性的行為，這將使得人類難以進行監督，像是超級人工智慧可能可以編寫數百萬行具有潛在危險的程式碼，即便是專家也難以完全理解。</p> <p>也就是說，相對於超級人工智慧，人類成為了弱監督者，如何讓弱監督者能夠信任並控制遠比自己還要強大的模型，是人類要進入通用人工智慧時代前，必須先面對的挑戰。為了解決人類如何監督比自己更聰明的人工智慧這個問題，OpenAI限縮問題類比該問題，相當於一個較小的模型監督一個較強大的模型。</p> <p>研究團隊在這項研究中的初步猜想，涵蓋了兩個相對立的觀點。一方面認為強模型可能無法超越提供訓練訊號的弱監督者，因為強模型會學習並且模仿弱監督者所犯的錯誤，進而限制了表現。另一方面也希望強大的預訓練模型，只需要經過適當引導即可發揮潛在能力，即便是弱監督者提供不完整或有缺陷的訓練標籤，強模型也能根據弱監督者的意圖進行泛化，進而解決更為困難且複雜的問題。</p> <p>研究團隊使用簡單的方法鼓勵模型更有自信，使強模型能夠不受弱監督者的能力限制，甚至在必要的時候反對弱監督者的意見，因此在自然語言處理任務中，以GPT-2模型監督GPT-4時，產生的模型能力通常介於GPT-3和GPT-3.5，許多GPT-4的能力仍然可以發揮。</p> <p>這項研究展現了一種可能性，也就是即便是在弱監督的指導下，強大的人工智慧模型也能超越其限制，達到更高水準的效能，這項發現替未來在超級人工智慧系統中，實現有效的對齊提供新的方向和希望。也就是說，即便人類身為弱監督者，能力和理解可能受到限制，並無法良好地評估強模型，但是身為弱監督者仍有能力引導和改善強模型的表現，揭示了人類控制更先進的人工智慧系統的可能性。</p> <p>同時這項研究也證明了現有的對齊方法，也就是基於人類回饋的增強學習，可能需要進一步改進才能適應超級人工智慧。總而言之，儘管現階段的對齊方法仍存在挑戰，但透過創新的策略和技術，將可以有效提升人工智慧的泛化能力，這對於未來開發和管理超級人工智慧有重要的意義。</p> </div></div></div>
2023/12/18 08:14作者李建興https://www.ithome.com.tw/news/160363
搭配TDX防護技術的Xeon SP處理器，微軟機密運算VM上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/azure_ecesv5-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月英特爾正式推出第四代Xeon Scalable處理器，相較於其他公有雲業者的表態支持，微軟Azure宣布將基於內建Trust Domain Extensions（TDX）技術的這款處理器，率先推出機密運算服務，預計在今年稍後提供，能讓企業與組織在不需修改程式碼的狀況下，能夠將最敏感的工作負載搬遷到雲端服務上運作，提供虛擬機器層級的機密運算環境。</p> <p>而在2023年1月新一代Xeon處理器發表會，英特爾也預告第一波提供TDX環境的業者，也將包括阿里雲、Google Cloud、IBM Cloud這三家公有雲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-01-Intel%20TDX-CSP.jpg" style="width: 600px;" /></p> <p>在此之前，Azure提供DCsv3系列的虛擬機器，透過英特爾第三代Xeon Scalable處理器內建的Software Guard Extensions（SGX）技術，提供具有最小信任邊界的應用程式層級隔離環境。</p> <p>而隨著Azure支援Intel TDX的虛擬機器即將上線，SGX與TDX這兩項技術也浮上檯面，英特爾於2022年5月宣布的機密運算計畫Project Amber，也進入新的里程碑。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-Intel’s Confidential Computing Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-Intel%E2%80%99s%20Confidential%20Computing%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>在2023年4月底，微軟召開Build年度開發者大會的前夕，他們針對新一代機密運算虛擬機器的應用，宣布將提供DCesv5系列與ECesv5系列，並進入封閉預覽測試階段。其中的DCesv5系列的定位是一般用途運算服務，最多可搭配96顆虛擬處理器，記憶體容量可設置4GiB到384 GiB，另一個ECesv5系列屬於記憶體最佳化運算服務，最多可搭配64顆虛擬處理器，記憶體容量可設置8 GiB到512 GiB。</p> <p>微軟此時也秀出性價比對照表，呈現新一代機密運算虛擬機器的效能成本更低——他們比較D16_v5與DC16es_v5的效能及價格，兩個運算服務組態都是16顆虛擬處理器與64GiB記憶體，結果顯示，搭配英特爾第三代Xeon Scalable處理器的D16_v5，整數運算與浮點運算的效能成本均為0.768美元，搭配英特爾第四代Xeon Scalable處理器的DC16es_v5，則各為0.762美元、0.7美元。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-04-Azure DC16-mmcrey_0-1682114170391.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-04-Azure%20DC16-mmcrey_0-1682114170391.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20D16s_v5.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20DC16es_v5.png" style="width: 298px;" /></p> <p>而在產品用途上，微軟表示，機密運算虛擬機器可協助企業與組織強化程式碼與資料安全，尤其是複雜的AI模型處理、AI訓練資訊，以及AI推論資料的使用，同時，可持續用於敏感資料庫、企業應用程式的遷移，例如，支撐公司業務得以正常運作的SAP商用關鍵系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel TDX Architecture.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20TDX%20Architecture.png" style="width: 600px;" /></a></p> <p>到了9月底英特爾Innovation年度大會期間，他們揭露4大公有雲業者支援TDX的最新進度，微軟Azure、阿里雲都已進入預覽階段，並且正式發表新的身分見證服務Intel Trust Authority，當中囊括Project Amber，而且可搭配SGX與TDX一起使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-9-20-Intel Innovation-TDX CSP status.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-9-20-Intel%20Innovation-TDX%20CSP%20status.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Intel Innovation-Trust Authority.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation-Trust%20Authority.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Confidential%20Computing-offered-2023-09.png" style="width: 298px;" /></p> <p>而在11月中舉行的Ignite企業IT專業人員年度大會，微軟預告DCesv5系列與ECesv5系列12月進入公開預覽階段，13日正式開放，如欲試用，可到Azure入口、透過網頁介面、命令列、資源管理員（ARM）範本來進行操作，目前可連至歐洲西部、美國中部、美國東部2這三個區域的資料中心使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-Azure%20Confidential%20VM.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-Intel%20TDX-based%20Confidential%20VMs.jpg" style="width: 600px;" /></p> <p>在這次釋出的虛擬機器環境當中，微軟表示，已整合多種與完整性（integrity）相關的功能，像是開機時間的見證（boot-time attestation），以及機密硬碟加密的企業金鑰管理——對於平臺管理金鑰（PMK）與用戶管理金鑰（CMK），可運用代管的硬體安全模組（HSM）服務Azure Managed HSM或金鑰保存庫服務Azure Key Vault，來進行FIPS 140-2 Level 3標準的驗證；</p> <p>若需要與雲端服務業者之間實施更進一步的責任切割，微軟也增設臨時vTPM功能，以及Azure機密運算虛擬機器專用的硬碟完整性測量與見證工具，提供搭配第三方廠商產品與服務的彈性，企業與組織可藉此使用訂製的金鑰管理、身分見證、硬碟保護等類型的解決方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-Intel%20TDX%20Confidential%20VM%20Security%20Features.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-Intel-based%20confidential%20computing%20on%20Azure.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Azure DCesv5系列與ECesv5系列</strong><br /> ●原廠：微軟<br /> ●建議售價：DC2es_v5（2顆虛擬處理器、8GiB記憶體）歐洲西部每月151.11美元<br /> ●執行個體服務選擇：DCesv5系列與DCedsv5系列、ECesv5系列與ECedsv5系列<br /> ●搭配的處理器平臺：英特爾第四代Xeon Scalable系列2.1 GHz<br /> ●運算資源最大配置：<br /> DCesv5系列與DCedsv5系列提供96顆vCPU、384 GiB記憶體<br /> ECesv5系列與ECedsv5系列提供128顆vCPU、768 GiB記憶體<br /> ●暫存儲存體最大容量：2823 GiB（DCedsv5系列、ECedsv5系列）<br /> ●資料硬碟最大數量：32臺</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/17 17:41作者李宗翰https://www.ithome.com.tw/review/160366
中醫大附醫率先採用醫療專科級MedLM來打造AI輔助醫師，第一步從癌症治療規畫AI助手開始
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國醫藥大學附設醫院（中醫大附醫）院長周德陽今天宣布，將採用Google新發表用Med-PaLM 2打造的MedLM模型，來發展AI輔助醫生，先從醫生用的客製化癌症治療指引chatbot，和提供化療問答集的病患Chatbot開始，後續還會發展更多專科AI助手。中醫大附醫是亞洲第一家採用這款醫療生成式AI模型Med-PaLM 2的醫學中心。</p> <p>中醫大附醫這幾年積極推動醫療HIS改造，今年連續獲得美國HIMSS數位健康指標評比的全球智慧醫院前三強，這兩年也一直投入醫療AI發展，例如結合敗血症風險預測AI、細菌抗藥性預測AI和個人抗菌圖譜打造出智抗菌平臺。</p> <p>去年12月，中國醫藥大學附設醫院研究副院長李光申看到Google研究團隊在自然雜誌發表了Med-PaLM的研究成果，就開始關注後續發展。今年中，李光申受邀到美國Google總部參訪後，雙方決定展開合作。</p> <p>Google在2022年發表了第一代醫療生成式AI模型Med-PaLM，可以達到美國醫生認證考試60分及格水準，今年中更發表了第二代Med-PaLM 2，可以達到85分的水準。李光申指出，這個分數代表了Med-PaLM 2達到哈佛醫學院前10%學生的能力，也相當於專科醫生能力的水準。這也是中醫大附醫採用Google Cloud醫療LLM其中一項原因。</p> <p>周德陽補充，通用性LLM，沒有辦法達到專科醫生等級的回答。例如眼瞼下垂可能是哪一條腦神經出現問題？一般通用LLM多半回答，可能是第三對、第四對、第六對這些與眼睛相關的腦神經有問題，但Med-PaLM 2可以更清楚回答，眼瞼下垂是第三對有問題。</p> <p>主導Med-PaLM研究的Google研究傑出科學家既資深總監Greg Corrado也親自來臺發表這項合作，他表示，過去沒有一款LLM通過美國醫生考試，Med-PaLM是第一個，今年的第二代更達到85.4分的等級，「通過考試不見得代表可以執業，但可以看出這項科技的潛力，可以學習新的醫學知識，來優化它的推理能力。」</p> <p>Google的Med-PaLM模型訓練上，在基礎的語言模型上，使用了少量，經過授權取得的醫療專門資料進行模型微調，來強化對醫療領域的能力。Greg Corrado強調，模型發展過程，也一再確保，「沒有運用到隱私或個人病患的資料來訓練，來兼顧實際應用時的隱私和合規考量。」</p> <p>因為第一代Med-PaLM模型還不是立即可用的技術，所以，Google新發展出了一項醫療生成式AI模型產品MedLM，使用了PaLM 2等一系列的基礎模型，來打造出適合醫療產業使用的LLM。</p> <p>Greg Corrado表示，MedLM是一款傘型架構的產品，不會只使用一個模型，而是會整合多種模型，也需要結合實際醫療人員的知識和經驗，讓這個產品可以安全的運用到實際場所，中醫大附醫是這段旅程其中一家夥伴。</p> <p>「現在是醫療AI的轉型時代，要勇敢大膽，但同時要負責任，這正是Google發展GAI得原則。」他強調，MedLM的定位，不應該用於任何醫療照護的直接決策，而要是用來協助受過專業訓練的醫生，在醫護人員的監督下，用AI協助他們完成工作。</p> <p>Google Cloud醫療照護全球總監Ashima Gupta表示：「用AI輔助，有助於改善醫療資源不平等的問題。」她認為，要發展生成式AI策略，需要先有一套數據資料策略和好的基礎架構，但是，醫院往往因為法規，系統相容性，資料隱私和安全性的問題，無法快速採用新科技。Goolge醫療AI產品線未來希望能提供一個世界級合規架構，不只提供雲端基礎架構、TPU等硬體，也包括了醫療照護資料引擎，透過開放平臺，協助醫院將醫療資訊標準化，讓醫院更容易採用這些基礎模型。</p> <p>李光申表示，中醫大附醫在11月時已開始測試MedPaLM 2模型，也將採用MedLM產品，Google新發表的Gemini模型未來成為MedLM可用模型後，也會採用。</p> <p>第一階段，中醫大附醫計畫打造兩款Chatbot，一款是給醫護人員使用的客製化癌症治療指引的專業用Chatbot，另一款是提供病人詢問的化療問答集Chatbot。</p> <p>例如，乳癌2期的病人有賀爾蒙問題，如何安排治療？Med-PaLM 2可以在幾秒鐘內提供回答，甚至提供了專業醫療文獻的參考。「速度快到讓我們的醫生非常驚訝！」李光申強調。不只如此，AI生成的治療建議，有些甚至超乎了醫生的想像，醫生會實際確認這些文獻，作為治療安排的參考。</p> <p>李光申表示，中醫大附醫治療的癌症種類很多且雜，其中不少是罕見癌症，每一個病患的情況都不同，過去，醫生得花很多時間，為病人量身打造專門的癌症治療計畫。「改用AI協助治療計畫的訂定，可以減少不少時間，讓醫院可以服務更多的病人。」他強調。</p> <p>目前中醫大附醫先取得Med-PaLM 2模型的使用權，來進行文字生成式內容的測試。測試時，以檢索增強生成（Retrieval-Augmented Generation，<em>RAG</em>）作法，參考國際癌症治療指引和中醫大附醫院內的癌症治療指引，來生成治療指引的回答。未來，也考慮以指令工程的方式，將臺灣健保規則輸入到LLM，來優化回答的內容，更符合臺灣情況。</p> <p>中醫大附醫擁有300萬人次的結構化醫療資料，過去幾年打下很好的資訊基礎建設，例如採用雲原生技術、資訊中臺架構設計，也導入了Google Anthos混合雲架構。李光申，也因Google在臺設有機房，醫院較容易符合主管機關合規要求，而考慮採用Google的AI。</p> <p>李光申表示，中醫大附醫已經打下了很好的基礎建設，未來，不會建置自己的超級電腦硬體，而是會借助雲端運算資源，來訓練自己的醫療大腦。運用中醫大附醫龐大的結構化醫療資料，來發展更多領域、科別，不只臨床也包括門診的醫療輔助AI。</p> <p> </p> </div></div></div>
2023/12/15 18:49作者王宏仁https://www.ithome.com.tw/news/160364
【資安日報】12月15日，小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半年前美國警示大家要注意中國駭客組織Volt Typhoon的攻擊行動，並指出下一波駭客攻擊的目標不再只是美國，還會擴及亞洲地區的關鍵基礎設施。但究竟駭客如何入侵這些環境？如今有研究人員揭露相關細節。</p> <p>資安業者Lumen指出，這些駭客也同時運用殭屍網路KV-botnet來從事攻擊行動，其重要的環節便是先對家用路由器、SOHO辦公室防火牆等網路設備下手，再存取受害組織的內部環境。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/routers-roasting-on-an-open-firewall-the-kv-botnet-investigation/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">中國駭客組織Volt Typhoon使用殭屍網路KV-botnet攻擊小型路由器</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/KV-infection-chain-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/KV-infection-chain-3.png" style="width: 300px; float: right;" /></a>今年5月，美國政府與微軟對中國駭客組織Volt Typhoon的攻擊行動提出警告，指出駭客對美國通訊基礎設施下手，很有可能接下來會鎖定美國與亞洲地區的關鍵基礎設施，現在有研究人公布新的調查結果。</p> <p>資安業者Lumen指出，Volt Typhoon通常會以路由器、防火牆、VPN設備充當代理伺服器，使得惡意流量混入合法流量，讓攻擊變得更難以察覺。而在這一波行動裡，駭客鎖定Netgear ProSAFE防火牆、思科RV320路由器、居易（DrayTek）Vigor路由器，以及Axis多款IP網路攝影機而來，目的是入侵組織設置在網路環境邊緣的設備，然後從事網路間諜活動並收集機密資料。研究人員看到此殭屍網路的活動從2022年開始，並在今年8月、11月顯著增加，最近一波攻擊發生於12月5日。</p> <p>上述被鎖定的設備多半為家用或是SOHO辦公室設計，涵蓋Arm、MIPS、x86等架構，其共通點是生命週期已經結束，且缺乏相關的安全防護措施。駭客利用名為kv.sh的bash指令碼，終止特定的處理程序，並刪除目標裝置上的防護工具，而殭屍網路病毒與C2連線的過程中，會採用隨機的連接埠進行，再者，為隱匿攻擊行動，駭客的工具都在記憶體內運作而難以察覺。</p> <p><a href="https://abnormalsecurity.com/blog/bazarcall-attack-leverages-google-forms"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">語音網釣攻擊BazarCall濫用Google表單突破資安系統攔截</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/BazarCall-Attack-–-Malicious-Google-Form-E.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BazarCall-Attack-%E2%80%93-Malicious-Google-Form-E.png" style="width: 300px; float: right;" /></a>在2021年首度出現的語音網釣攻擊BazarCall，當時駭客佯稱是防毒軟體廠商、電腦技術支援業者、影音串流平臺，假借付款通知或是服務訂閱確認的名義，聲稱收信人信用卡即將扣款，支付高額費用，若要取消必須撥打客服電話處理，而「客服」則會誘騙收信人在電腦上安裝惡意程式，近期再度有新的攻擊行動出現。</p> <p>郵件安全業者Abnormal揭露新一波BazarCall的攻擊行動，其手法與過往最大的不同，在於駭客濫用Google表單工具，對方先是建置帶有發票號碼、交易日期、付款資訊、購買產品名稱等假交易資訊的表單，並於表單啟用回應填寫者的功能，並自行填寫表單，輸入欲攻擊對象的電子郵件信箱，隨後依據此表單內容，Google會向該名人士寄送副本，而這些來源合法釣魚郵件，資安系統通常會予以放行，且因為信件來自這類表單服務，也可能讓收信人降低警覺。</p> <p><a href="https://www.group-ib.com/blog/gambleforce-gang"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">亞太地區企業遭到駭客組織GambleForce鎖定，發動SQL注入攻擊</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-20.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露從今年9月出現的駭客組織GambleForce，這些駭客鎖定澳洲、巴西、中國、印度、印尼、菲律賓、韓國、泰國而來，迄今已有24個企業組織遭到攻擊，其中有6起行動得逞。</p> <p>本次攻擊遭鎖定的組織，涵蓋賭場、零售業者、政府機關、求職網站、旅遊行業等領域。而駭客的攻擊手法相當基本但很有效，包含了SQL注入攻擊，或是挖掘內容管理系統（CMS）的弱點等，目的是竊取目標組織的敏感資料。</p> <p>研究人員指出，在不同的攻擊階段當中，這些駭客倚賴多種開源工具來進行，像是dirsearch、sqlmap、tinyproxy、redis-rogue-getshell，此外，他們也使用滲透測試工具Cobalt Strike，值得注意的是，研究人員在駭客的基礎設施當中，發現攻擊者曾使用中文下達命令。在其中一起鎖定巴西公司的攻擊行動裡，駭客利用了內容管理系統Joomla的中度風險漏洞CVE-2023-23752，從而進行SQL注入攻擊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-are-exploiting-critical-apache-struts-flaw-using-public-poc/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Java應用框架Struts路徑穿越漏洞已被用於攻擊行動</span></strong></a></p> <p></p> <p>12月9日Apache基金會發布資安公告，指出他們近期修補Java應用框架Struts路徑穿越漏洞CVE-2023-50164（CVSS風險評分9.8），但事隔一週傳出有駭客將其用於攻擊行動。</p> <p>Shadowserver基金會提出警告，他們看到有人試圖利用此漏洞的概念性驗證（PoC）程式碼，透過數個IP位址發動攻擊，呼籲IT人員要儘速套用新版軟體來修補漏洞。</p> <p>值得留意的是，這種漏洞有可能影響相當廣泛，例如，思科公布旗下產品採用Struts的情況，並清查是否受到該漏洞影響。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Shadowserver/status/1734919288257974380">https://twitter.com/Shadowserver/status/1734919288257974380</a><br /> 2. <a href="https://xz.aliyun.com/t/13172">https://xz.aliyun.com/t/13172</a><br /> 3. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-struts-C2kCMkmT">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-struts-C2kCMkmT</a></p> <p><a href="https://www.sentinelone.com/labs/gaza-cybergang-unified-front-targeting-hamas-opposition/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">哈馬斯駭客組織Gaza Cyber Gang使用後門程式Pierogi++攻擊巴勒斯坦反對人士</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GazaCyb_6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GazaCyb_6.jpg" style="width: 300px; float: right;" /></a>以巴衝突進行期間超過2個月，激進組織哈瑪斯旗下的駭客鎖定以色列的網路攻擊已有數起，但這群駭客竟然也攻擊巴勒斯坦。資安業者SentinelOne揭露哈瑪斯駭客組織Gaza Cybergang最新一波的攻擊行動，對方使用阿拉伯語或是英文，製作讓巴勒斯坦民眾感興趣的資料做為誘餌，用來散布以C++開發的後門程式Pierogi++。</p> <p>研究人員指出，Gaza Cybergang旗下有3個團體從事這種後門程式的攻擊行動，分別為Molerats、Arid Viper（亦稱APT-C-23），以及另一個尚未被命名、曾從事Operation Parliament攻擊行動的組織。而對於這些駭客的目標，研究人員認為是針對反對哈瑪斯的巴勒斯坦人而來。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/oilrig-persistent-attacks-cloud-service-powered-downloaders/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗駭客OilRig透過惡意程式下載工具持續在以色列組織從事攻擊行動</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-8-overview-of-oilbooster-s-network-comms.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-8-overview-of-oilbooster-s-network-comms.png" style="width: 300px; float: right;" /></a>資安業者ESET針對伊朗駭客組織OilRig（亦稱APT34、Hazel Sandstorm）的攻擊行動提出警告，對方從2022年開始，利用過往未曾公開的惡意程式下載工具SampleCheck5000（SC5k）、ODAgent、OilCheck、OilBooster，對以色列企業組織發動攻擊，並且持續進行惡意活動，對象涵蓋醫療保健、製造業、地方政府部門。</p> <p>研究人員指出，這些下載工具往往濫用雲端服務Microsoft Graph、OneDrive、Outlook、Microsoft Office Exchange Web Services（EWS）的其中一種，藉由API進行C2連線及外洩資料，從而隱匿其攻擊行動。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/kraft-heinz-investigates-hack-claims-says-systems-operating-normally/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">食品業者Kraft Heinz傳出遭駭，勒索軟體Snatch聲稱他們所為</span></span></strong></a></p> <p></p> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/12/13/cybercrime-cybersecurity-storm-1152-fraudulent-accounts/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">微軟搗毀提供駭客7.5億個詐欺帳號的犯罪組織Storm-1152</span></span></strong></a></p> <p></p> <p><a href="https://securelist.com/unveiling-nkabuse/111512/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體NKAbuse濫用區塊鏈隱匿攻擊行動</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/mitre-unveils-emb3d-threat-model-for-embedded-devices-used-in-critical-infrastructure/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">針對關鍵基礎設施的嵌入式裝置安全，MITRE揭露威脅模型EMB3D</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_12.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google針對Chrome 120修補高風險漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160333"><strong>【12月14日】 OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾郵件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160307"><strong>【12月13日】逾1,400臺開源防火牆系統pfSense存在高風險漏洞，有可能被攻擊者串連，遠端在防火牆上執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160290"><strong>【12月12日】北韓駭客組織Lazarus利用兩年前的重大漏洞Log4Shell，攻擊VMware桌面虛擬化平臺入侵受害組織</strong></a></p> </div></div></div>
2023/12/15 16:39作者周峻佑https://www.ithome.com.tw/news/160355
琴棋書畫都難不倒AI，現在大型語言模型還能解困難數學問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind發展出一種稱為<a href="https://deepmind.google/discover/blog/funsearch-making-new-discoveries-in-mathematical-sciences-using-large-language-models/">FunSearch</a>的方法，利用大型語言模型搜尋數學和電腦科學領域問題的解法。研究人員已經成功運用FunSearch解決Cap Set數學問題，同時還可以更有效地解決裝箱問題，能夠用於提高資料中心效率等應用，而這也代表著FunSearch存在實用價值。</p> <p>FunSearch的名稱指的是搜尋函式（Functions）的系統，FunSearch運作方式結合一個訓練過的大型語言模型，和一個自動評估器（Evaluator）。大型語言模型的目標，是提供創意的解決方案，而評估器則負責把關大型語言模型所提出的建議，避免出錯或是任何不實的想法。藉由這兩個元件反覆迭代，使得初始解決方案可以逐漸成熟最終成為新知識。</p> <p>FunSearch使用Google的PaLM 2模型，但也能相容於其他支援程式碼編寫的大型語言模型。使用者需要先以程式碼的形式描述問題，包括評估程式的流程，以及初始程式碼池中的種子程式，而在每一次迭代，系統會從當前的程式池中挑選程式輸入大型語言模型，大型語言模型會在現有程式基礎上生成具創造性的新程式，交由評估器自動評估，表現最佳的程式會重新加入到程式池中，重新開始另一次迭代。</p> <p>數學和電腦科學領域的難題都可以使用FunSearch解決，而組合數學（Combinatorics）是FunSearch特別擅長的領域。具體來說，FunSearch可以更好的解決極值組合數學問題，像是在高維度網格中尋找最大的點集合，也就是Cap Set的問題，這個問題無法使用暴力法解決，因為需要考慮的可能性太多，而FunSearch的效能優於目前最先進的計算求解器。</p> <p>不過Cap Set畢竟是純數學問題，FunSearch的實用性還需要有更實際的應用驗證，而研究人員也成功使用FunSearch解決裝箱問題（Bin Packing Problem）。裝箱問題是將不同大小物品放進最少數量容器的問題，在許多實際場景都會派上用場，像是貨櫃裝載甚至是資料中心的計算任務分配等。</p> <p>過去，裝箱問題的解法是基於人類經驗的演算法規則，也就是啟發式方法，像是「優先放置最大」等簡單的規則，雖然許多情況下，啟發式方法可以提供有效的解決方法，但是無法總是找到最佳解，要根據每個情況找到一套適用的規則也非常困難。</p> <p>而FunSearch提供一種新的解決方案，能夠自動生成針對特定情況調整的程式，在使用更少的容器打包相同數量物品的問題上，超越現有的啟發式方法。研究人員提到，與其他神經網路和增強學習的人工智慧方法相比，FunSearch輸出程式碼易於檢查和部署，也就代表更容易被整合到實際工業系統中。</p> <p>FunSearch的研究價值在於，只要有效防範大型語言模型的幻覺（Hallucination），則模型的創造能力便可以用來產生各種新的數學解法，解決現實世界的重要問題，研究人員預期，在科學和工業領域各種新舊問題，都會因為這個基於大型語言模型的方法，產生更加有效的解法。</p> </div></div></div>
2023/12/15 16:23作者李建興https://www.ithome.com.tw/news/160354
微軟破獲建立7.5億個詐騙Outlook帳戶的駭客組織Storm-1152
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2023/12/13/cybercrime-cybersecurity-storm-1152-fraudulent-accounts/" target="_blank">微軟周三（12/13）揭露</a>，在網路威脅情報供應商Arkose Labs的協助下，破獲了建立7.5億個詐騙Outlook帳戶的駭客組織Storm-1152，包括接管了Storm-1152所使用的網域名稱，關閉了Storm-1152用以繞過CAPTCHA圖靈測試的1stCAPTCHA、AnyCAPTCHA及NoneCAPTCHA網站，也關閉了Storm-1152所使用的社交媒體粉絲頁。</p> <p>根據<a href="https://landingpage-h0gcc3bvhkd2aaez.z01.azurefd.net/1152/Complaint.pdf" target="_blank">微軟向法院提出的訴狀</a>，Storm-1152專門銷售偽造的Outlook帳戶供犯罪組織使用，提供網路犯罪即服務（Cybercrime as a Service，CaaS），駭客利用機器人大量建立Outlook帳戶，這些帳戶都是在短時間內（4小時內）註冊，而且在出售之前會不斷檢查其可用性。</p> <p>Storm-1152的客戶涵蓋勒索軟體集團、資訊竊盜或是財務勒索組織，這些犯罪組織與其自行建立數千個假冒的Outlook帳戶，並冒著被微軟關閉的風險，不如直接向Storm-1152購買，其每個帳戶的售價不到1美分。</p> <p>Storm-1152除了在網站上銷售Outlook帳戶外，也出售了可用來繞過知名技術平臺身分驗證軟體的相關工具，包括1stCAPTCHA、AnyCAPTCHA與NoneCAPTCHA等。</p> <p>專門偵測平臺是否遭到濫用的<a href="https://www.arkoselabs.com/latest-news/disrupting-the-gateway-services-to-cybercrime" target="_blank">Arkose Labs指出</a>，此一CaaS模式讓更多人以數量及速度來展開詐欺行為，即使是經驗豐富的內部安全營運中心也不堪重負，且CaaS也是造成今年機器人攻擊增加167%的原因之一。</p> <p>Arkose Labs創辦人暨執行長Kevin Gosschalk表示，Storm-1152獨特之處是它在光天化日之下建立了CaaS業務，而非透過暗網，將自己當作是可持續經營的網路業者，還提供了完整的客戶支援。</p> <p>微軟則說，迄今Storm-1152已建立7.5億個詐欺微軟帳戶，賺取數百萬美元的非法收入，這些帳戶可能被用來執行網路釣魚、身分竊盜或分散式服務阻斷攻擊，未來將致力於提高駭客的業務成本，減緩其攻擊速度。此外，微軟也已證實Storm-1152的總部設於越南，並已確認其中3名成員的身分。</p> </div></div></div>
2023/12/15 15:02作者陳曉莉https://www.ithome.com.tw/news/160353
電支參戰！圈粉競爭變紅海
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「你有會員嗎？」「會員電話多少？」今年到任何一家超商、連鎖超市櫃檯結帳時，一定都會聽到這樣的一句話。三大超商、連鎖超市、大型百貨今年格外積極祭出各式各樣的圈粉行銷大作戰，來發展自家的會員生態圈。</p> <p>到了明年，不只這些大型零售通路，可能多達數十萬，甚至百萬通路，各種吃、喝、玩、樂的店家，不論大小規模，都準備要開始問你同樣的一句話，「你有沒有X會員呢？」或者更直白的說，「你要不要用X結帳呢？」，這個X就是即將加入圈粉競爭的各大電支業者。</p> <p>臺灣電支市場正展開有史以來最大規模的跨通路整合，過去，在電支業者特約商店中，只能用店家專門簽約的電支業者App或儲值卡來結帳，但是，未來，民眾開始可以到A電支的特店中，用B電支的App來結帳，根本不用分辨，這家店是屬於哪一家電支，甚至，明年很有可能，讓民眾能直接拿著悠遊卡、一卡通卡片或是全支付App，到海外支援街口的特約商店中掃QRCode結帳，或是反過來也可以。</p> <p>因為財金公司在2023年10月，正式推出了電支跨機構共用平臺「購物」功能，讓民眾可以跨業者特約通路來使用任一家的電子支付。今年已經有4家專營電支業者加入，其餘5家也會在明年陸續加入這個共用平臺</p> <p>統計到2023年底大約只有近萬家店家支援，但是在未來，一卡通旗下40萬個特約通路或店家、街口支付旗下30萬家，全支付20萬個，悠遊付及全盈也各有15萬、13萬個通路，都可以支援跨電支的掃碼結帳。技術上，等於把這百萬家通路變成了一個超大電支通路。</p> <p>不只如此，因為電支共用平臺所用的掃碼規格正是30多家銀行共推的台灣Pay支付體系相容規格，電支和銀行體系也因此而串通了。民眾還可以拿著電支支付工具，到台灣Pay支付特約商店消費。財金公司明年的目標是，與境外支付業者合作，將這個本土支付共用平臺，也能支援到海外的消費。</p> <p>為何電支業者願意開放自家通路給對手？最大關鍵就是，一方面可以吸引到競爭對手的會員來獲客，另一方面是，也可以蒐集到自家會員在對手通路上的消費數據，能夠知道金額、頻率、消費店家型態這幾類訊息。雖然在個資保護規範下，可以共享的資訊量不能太多，但已經足以讓電支業者對會員的日常消費樣貌，有更完整、更細緻的了解。</p> <p>電支業者互通後，對民眾來說消費結帳更方便了。但是，互通之後，各家電支通路的規模差異消失了，原本電支吸引民眾採用的最大賣點正是通路規模，未來這將不再有說服力。</p> <p>「電支市場競爭會從圈地（簽特店）轉變為圈粉（經營會員）。」全盈支付總經理劉美玲點出了，電支通路大整合後，對電支競爭帶來的最大挑戰。</p> <p>不比特店數量，而是得開始更積極吸引會員，電支業者得想辦法祭出更多行銷手法，甚至跟不同店家合作，展開各種吸引會員持續消費的促銷，「你有沒有XX電支App，要不要用XX支付來付款？」，明年你到許多大、小商店，可能都會聽到這樣的一句話，就是要來吸引你再多用一次、再多用一點。</p> <p>Chrome瀏覽器即將在2024年停止支援第三方Cookie（這次應該是確定了），這正是許多電商、連鎖通路這兩年大舉推動資料架構現代化，積極經營會員的關鍵理由之一，他們也要開始累積第一方會員的消費和行為大數據，這也讓會員經營的競爭，越來越加白熱化。</p> <p>隨著各大電支業者和百萬通路加入圈粉戰局，會員經營將轉變成更激烈廝殺的紅海，各家電支加起來共2,600萬個用戶（不少人甚至好幾個），也會成為紅海競逐的新焦點。</p> <p>誰能變成大數據科技公司，善用這些數據來吸引顧客持續使用，甚至創造出截然不一樣的新價值，才能在越來越激烈的圈粉紅海中勝出。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E6%93%9A">數據</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E6%94%AF">電支</a></div><div class="field-item even"><a href="/tags/%E9%9B%BB%E6%94%AF%E9%80%9A%E8%B7%AF%E6%95%B4%E5%90%88">電支通路整合</a></div><div class="field-item odd"><a href="/tags/%E6%9C%83%E5%93%A1%E7%94%9F%E6%85%8B%E5%9C%88">會員生態圈</a></div><div class="field-item even"><a href="/tags/%E9%9B%BB%E6%94%AF%E8%B7%A8%E6%A9%9F%E6%A7%8B%E5%85%B1%E7%94%A8%E5%B9%B3%E8%87%BA">電支跨機構共用平臺</a></div><div class="field-item odd"><a href="/tags/%E8%B7%A8%E9%9B%BB%E6%94%AF%E6%8E%83%E7%A2%BC%E7%B5%90%E5%B8%B3">跨電支掃碼結帳</a></div><div class="field-item even"><a href="/tags/%E4%B8%80%E5%8D%A1%E9%80%9A">一卡通</a></div><div class="field-item odd"><a href="/tags/%E8%A1%97%E5%8F%A3%E6%94%AF%E4%BB%98">街口支付</a></div><div class="field-item even"><a href="/tags/%E5%85%A8%E6%94%AF%E4%BB%98">全支付</a></div><div class="field-item odd"><a href="/tags/%E6%82%A0%E9%81%8A%E4%BB%98">悠遊付</a></div><div class="field-item even"><a href="/tags/%E5%85%A8%E7%9B%88">全盈</a></div><div class="field-item odd"><a href="/tags/%E5%8F%B0%E7%81%A3pay">台灣Pay</a></div></div></div>
2023/12/15 12:00作者王宏仁https://www.ithome.com.tw/voice/160321
【瞄準千萬用戶百萬通路消費大數據】電支跨通路整合掀起市場新競局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">電子支付市場自2021年電票、電支合一後，今年市場更迎來重大變革，財金公司在今年10月正式推出電支跨機構共用平臺「購物」功能及TWQR，首波4家專營電支業者加入，包括全盈支付、歐付寶、橘子支及一卡通，其餘5家專營電支業者，愛金卡、悠遊付、街口支付、簡單支付、全支付，依各家準備情形不同，明年陸續加入共用平臺「購物」功能及TWQR。</p> <p dir="ltr">電支業者加入共用平臺「購物」功能，完成與財金公司平臺串接，向合作商家推廣TWQR，作為共通的QR Code規格，電支用戶就使用一款電支App，只要商家擺放TWQR立牌就能使用，例如街口支付用戶未來可在全支付的特約店消費，一卡通用戶可在全盈支付特約店使用，打破過去電支業者與旗下特約通路間的限制，讓消費者可以跨業者特約通路使用電子支付。</p> <p dir="ltr">目前財金公司的共用平臺「購物」功能先開放正掃，即消費者掃描商家的TWQR，未來將支援反掃模式，由商家的POS設備掃描消費者手機顯示的TWQR。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來可望串接超過百萬電支通路 </strong></span></span></p> <p dir="ltr">因為「購物功能」才推出不久，少數電支業者率先支援TWQR，數千家商店設有TWQR立牌，未來，隨著其他電支業者加入，國內電支特約通路可望透過共用平臺的串接，形成為一個超大的支付通路體系。依照各家電支業者宣稱的特約通路數量，一卡通旗下約有40萬通路、街口支付約有30萬，全支付約有20萬通路，悠遊付及全盈各有15萬、13萬通路，未來透過電支跨機構共用平臺，在技術上可望串接超過百萬的電支通路，包括線下的商家或線上的電商。</p> <p dir="ltr">甚至，在財金公司維運跨行交易下，將電支跨機構共用平臺和30多家銀行共推的台灣Pay支付體系串接，讓電支用戶不只能在其他電支業者的特約店消費，也能在台灣Pay特約商家（設有TWQR立牌）消費。</p> <p dir="ltr">除了民眾使用電子支付不受特約商家限制，對商家而言，傳統上要接受使用各種支付服務的顧客消費，需要提具資料，和一家一家電支業者簽合約，並在結帳櫃檯擺放各家電支的專屬QR Code，消費者付款也需與各家電支業者對帳，造成商家營運管理的困難，通過共用平臺及TWQR，未來商家只要和一家電支業者合作，設置一個TWQR立牌，就能接受各種電支付款。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>蒐集更多跨通路消費數據，加深對用戶消費行為的掌握</strong></span></span></p> <p dir="ltr">以往，電子支付只能掌握用戶在自家通路的消費數據，透過共用平臺，A電支用戶透過財金的跨機構共用平臺，在B電支的特約店消費，這些交易資訊，包括店家代號或名稱、交易金額、收單方電支，雖然取得的資訊可能有限，但對於發卡方電支業者而言，蒐集用戶更多商店通路的交易數據，有機會知道過去無法知道的用戶消費行為，用於會員經營。</p> <p dir="ltr">悠遊卡公司總經理李志仁表示，蒐集更多數據，有助於以數據分析為基礎的會員經營、行銷，數據愈多代表貼標愈細緻化，行銷應用也能愈精準，不僅是用戶的消費行為，還包括對自家特約店的行銷活動。他認為，加入TWQR，用戶在其他商店的消費，如金額、頻次等數據，通過更多數據貼標、分析應用，提升行銷的精準、有效性，對於會員經營帶來幫助。</p> <p dir="ltr">至於收單的電支業者，加入TWQR後，其他電支用戶在其特約店消費，可掌握特約通路或商家每月來自不同電支的使用情形，有助於對特約商家營運概況的掌握，但是這部分的數據未來如何運用，電支業者仍在思考探索。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>加強會員經營，提高會員忠誠及黏著度</strong></span></span></p> <p dir="ltr">除了跨機構特約通路互通，讓電支業者有機會蒐集到更多的消費數據，過去，電支業者為吸引用戶，與商家簽定特約合作關係，例如與大型連鎖通路或知名品牌合作，可能帶動用戶消費或帶來新的用戶。在加入TWQR後，特約通路開放其他電支用戶使用，過去仰賴特約通路建立差異化的競爭策略恐面臨挑戰。</p> <p dir="ltr">去年才進入電子支付市場，現有約13萬特約通路的全盈支付，因看好電支跨機構共用平臺「購物」功能及TWQR，可為旗下的電支用戶增加更多使用通路，全盈支付成為首波加入的電支業者之一。</p> <p dir="ltr">全盈支付總經理劉美玲認為，隨著TWQR商店數增加，電支市場競爭會從過去的圈地轉變為圈粉。如同消費者的錢包中有多張信用卡，發卡行祭出各種行銷優惠，吸引用戶使用其發行的信用卡消費。當電支用戶走進TWQR商家，可使用多種電支App付款，如何吸引用戶繼續使用全盈支付完成付款，接下來的關鍵是，如何讓用戶持續使用，並增加使用次數。</p> <p dir="ltr">用戶的手機安裝多種支付App，如何讓他們進入商家後，仍使用街口支付付款，街口支付總經理范庭甄認為保持用戶的高忠誠度，電支的產品力、價格競爭將更為重要，產品力包括App開啟速度、付款流暢度，價格競爭則是針對不同會員提供的優惠。</p> <p dir="ltr">為了提高用戶的黏著度，同時電子支付機構管理條例賦予電支業者得以經營更多業務，電支業者也和金融業者合作，提供用戶微金融服務，以養成用戶的使用習慣，例如帳務管理、投資理財服務，和用戶建立支付以外關係，也是電支業者培養用戶忠誠度、黏著度的策略之一。</p> <p><span style="color:#B22222;"><strong><span style="font-size:36px;">金管會：不只境內支付通路整合，明年將推境外購物功能</span></strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1160-%E5%B0%81%E9%9D%A2%E4%B8%BB%E6%96%87-600-1.png" style="width: 600px;" /></p> <p dir="ltr"><strong>談到國內電子支付市場的發展，這幾年電支市場變化快速，自2021年電支與電票合一，新版電子支付機構管理條例上路，擴大電支業者可經營的業務範疇，當時修法的另一重點是，便是建立跨機構的金流互通架構。</strong></p> <p dir="ltr"><strong>金管會銀行局副局長林志吉表示，過去電子支付的應用為個別的單一體系內，無法提供跨機構服務，A電支的客戶無法在B電支的特店使用，不同業者間的資金交流也受到限制，因此在新版電子支付機構管理條例中，提出跨機構互通的金流架構，財金公司原本負金融機構之間資訊及跨行交易的核心，依管理條例向金管會提出申請，2021年9月通過由財金辦理跨機構平臺業務。</strong></p> <p dir="ltr"><strong>這2年跨機構共用平臺先後推出4項功能，首先是2021年10月上線的轉帳功能，後續於2022年推出繳稅功能，同年12月開通繳費功能，提供各種公用水電事業繳費，2023年10月再進一步開通購物功能，並架構在共通的QR Code標準TWQR。</strong></p> <p dir="ltr"><strong>共用平臺扮演基礎建設，促使電支市場的資訊流、金流，目前已有一些成果，例如轉帳功能，目前9家專營電支業者已加入，可跨電支業者及銀行之間進行轉帳，從2年多前推出至今，已累積1,420萬筆轉帳，金額達到730億元；去年5月開通的繳稅也有25萬筆，金額達到18億元。</strong></p> <p dir="ltr"><strong>至於去年12月才開通的繳費功能，已有2,100萬筆。至於今年10月才開通的購物功能，目前已有3家專營電支業者及37家台灣Pay合作銀行加入，儘管目前剛推出不久，金額還不高，但他認為，電支業者特約商家結合台灣Pay合作銀行約15萬的特約商家，可增加消費者支付服務使用廣度。</strong></p> <p dir="ltr"><span style="font-size:28px;"><span style="color:#3399ff;"><strong>明年第2季電支業者陸續加入</strong></span></span></p> <p dir="ltr"><strong>林志吉表示，透過共用平臺整合建構後，民眾使用各種電子支付服務將更方便，電支機構也不再需要一一和各金融機構介接，降低相關成本，對商家也不需和各個電支業者簽定特約合作契約，對民眾、電支機構、商家都有好處。</strong></p> <p dir="ltr"><strong>儘管目前TWQR以正掃店為主，尚未支援反掃店，林志吉認為，長期而言，反掃店家也會加入，電支機構彼此特約通路互通，甚至和台灣Pay的合作銀行特約通路互通，現在已有3家專營電支業者加入，以及台灣Pay合作的30幾家銀行加入，每家電支機構的業務型態、規模不同，有的業者優勢在於用戶眾多，也有業者在於通路數多，有的業者則同時兼顧用戶及通路經營，10月甫推出的購物功能及TWQR，因涉及與商家的契約轉換、條碼轉換等，現在雖然只有少數專營電支業者加入，未來9家專營電支業者都會加入，其他業者陸續在明年第2季之前加入。</strong></p> <p dir="ltr"><strong>他指出，目前共用平臺陸續推出的4項功能，聚焦在境內支付服務，不只是境內支付通路整合，財金公司還規畫明年推動境外購物功能。</strong></p> <p dir="ltr"><strong>對於大型業者擔心開放特約通路帶來衝擊，「單一業者縱使再大，也不可能獲得整個市場，其餘業者加起來就可能比第一名來得大」，他表示，如果要將電子支付推到境外購物，單一業者逐一和境外業者合作成本相當高，相對地，各家業者合作，透過財金公司、TWQR和國外合作境外購物，加入共用平臺的電支業者立即將用戶的支付擴大到國外，不需逐一和境外業者商談合作、技術介接。另外，國內電支業者與境外業者合作，需要向金管會申請，國內電支業者加入財金共用平臺，財金公司與境外支付業者合作，由財金公司提出申請，獲得金管會核准通過，電支業者不需再個別申請。</strong></p> <p dir="ltr"><strong>至於A電支業者與B電支業者透過共用平臺跨特約店交易，林志吉指出，電支業者取得的只有部分交易訊息，例如消費者以A業者支付工具到B業者的特約店消費，A只知道用戶在該店消費的總金額，無法知道用戶的購買內容，業者如果想從他方取得更多消費資訊，需得到消費者同意。業者從用戶每天消費的金額、每次消費金額、頻次，或是將消費場域依食衣住行育樂分類，運用累積的客戶數據，從中挖掘出大數據的洞察。</strong></p> <p dir="ltr"><strong>根據金管會的統計，今年前三季國內非現金支付，交易筆數達到49.59億筆，比去年同期成長26.66%，交易金額成長至5.3兆元，在非現金支付工具中，電子支付成長相當快速，前三季交易筆數成長近70%，金額成長42.5%。</strong></p> <p dir="ltr"><strong>林志吉表示，國內電支在這幾年發展相當快速，去年新進業者加入，今年電支跨機共用平臺推出新功能，各功能上線，民眾對於電支的普及度、廣度與深度、接受度都增加，對於市場蓬勃發展，金管會樂見，相信民眾未來會愈來愈習慣使用電子支付。至於下一步，金管會將視跨機構共用平臺發展情形，適時提供民眾生活相關方便、安全的支付生態體系。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／金管會銀行局</span></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160322
【以跨行轉帳基礎建立電支互通大平臺】整合金流和資訊流，財金打通消費通路共享最後一哩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「團結就是力量」，對於財金公司建立電子支付跨機構共用平臺，繼轉帳、線上繳費、繳稅之後，終於在今年10月推出「購物」功能，並推動TWQR，財金公司董事長林國良對共用平臺發揮的功能這麼說。</p> <p>國內的電子支付市場，除了銀行兼營電子支付業務，電票業者轉為專營電子支付，還有科技業者跨域經營電支，各家電支業者百家爭鳴下，提供各種支付App及服務，為民眾提供不同的支付工具可供選擇，業者祭出行銷優惠吸引消費者，這些年下來建立約2,600萬電支用戶，但長久以來，各家電支業者各自發展特約通路，商家為了方便民眾付款，勢必要支援多種支付服務，才能服務使用不同支付工具的消費者，造成商家經營管理的負擔，對民眾而言，特定的電子支付只能在該電支業者簽約的特約商家使用，如果在其他電支業者的特約商家購物就不能使用，因此手機得下載安裝多款支付App，儲值金額也分散在不同的電支帳戶，帳戶間的資金移轉也不容易。</p> <p>因此在電支電票合一修法時，法規即規畫建立跨業者共用平臺，由一個機構扮演集中結算清算的角色，即由財金公司來扮演。</p> <p>林國良認為，台灣的市場雖然小，但相當自由，各產業蓬勃發展下，市場上有許多的業者，以支付產業為例，如果支付服務彼此不互通，就會造成商家及民眾的不便。他以日本為例，由於日本的銀行業者沒有高度互通，如同小集團，因此日本的ATM自動化服務區往往有好幾家銀行的機器擺在一起，以方便使用者操作。反觀臺灣的ATM自動化服務，由於銀行間高度互通，只要一家銀行的ATM提供其他銀行跨行提款服務，民眾使用ATM不需考慮哪一家銀行的ATM。銀行與超商業者合作，在全國超商部署大量且密集的ATM，因為可以提供跨行服務，否則只是單一銀行服務自己用戶的交易量，難以支撐如此大量全國性的ATM部署。</p> <p>在服務互通基礎之上，部分銀行以廣布ATM作為利基，另一部分銀行專注在廣發卡，各家銀行策略不同，以各自的利基發展，最後是民眾、使用者受惠。</p> <p>在電票、電支合一後，財金公司建立電支跨機構共用平臺，「電支共用平臺目的就是模仿銀行的互通平臺」，林國良表示，過去兩家電支業者合作彼此共享通路，只能完成單一業者與單一業者間的互通，電支跨機構共用平臺如同Hub，電支業者只要串接共用平臺，就能和其他也串接共用平臺的業者互通，業者在銀行公會的電子支付委員會共同討論出遊戲規則，財金公司負責資訊技術，完成與各家業者的資訊介接，不涉入各家業者的業務運作。</p> <p>「通過電支跨機構共用平臺串接各家業者，讓電支服務變得更有效率，各自發展營運上的利基點，民眾也能享受更好的服務」，他說。</p> <p>不只是電子支付跨業者特約通路互通，銀行既有經營信用卡、金融卡消費支付，兩方在法規面，對資本額、安全、監管強度不同，儘管兩個平臺各自獨立運作，但都是由財金公司維運，因此在技術上使兩個平臺串接，如此一來，業者不需重覆投資，並且提高民眾的方便性。</p> <p>相較於過去金融業常使用大型主機，財金公司以開放架構打造電支跨機構共用平臺，並設計多中心備援機制。然而，電支業者原本各自發展，每家業者資訊技術規格不同，資安防禦等級也不相同，要建立共用平臺整合各家業者的服務，是一項不小的挑戰。</p> <p>為了建立電支跨機構共用平臺「購物」功能，透過TWQR打通原本無法互通的特約商家，財金公司定出一個標準規格，包括API介接、資安要求，讓各家電支業者以一致的規格和財金公司互連。針對不及調整的業者，財金公司也提供規格轉換的過渡方案，由財金來做規格轉換，開發可嵌入電支App中的小工具，讓電支App能夠讀取TWQR。</p> <p>另外，為了確保交易過程的安全性，過去曾經有不法人士偽造QR Code，在商家未察覺下偷偷更換QR Code立牌，當消費者掃碼付款後，商家遲遲沒有收到付款完成通知，消費者只能再次掃碼付款，為防止不法人士利用此一手法詐騙，除了在消費者掃描TWQR Code後，App即顯示商家名稱供使用者確認，如果是跨業者特約商家消費時，例如街口用戶在一卡通的特約商家消費，中間經由電支跨機構共用平臺進行交易，平臺也會驗證一卡通特約商家的身分真偽。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>跨機構資訊流及金流實現通路共享</strong></span></span></p> <p>電支跨機構共用平臺如何實現不同電支業者的特約通路互通？該平臺設計一套資訊流、金流運作機制，讓不同電支業者特店得以透過電支跨機構共用平臺互通，以街口支付用戶在一卡通特約商店消費為例，民眾使用街口App掃描一卡通特約商店TWQR Code之後，街口會先驗證用戶身分，確認身分為本人後，在其個人電支帳戶扣款，在正掃模式下，街口發現該商家並非街口的特約店，將店家代號、交易金額、交易的電支帳號發給財金公司跨行平臺（即電支跨機構共用平臺），由平臺識別該商家為一卡通特約店，將交易訊息送至一卡通，一卡通透過商家專用的App通知特約店已收到一筆來自街口的付款，商家收到款項通知後，將商品交給消費者，同時也將交易結果通過財金公司跨行平臺，回報給街口，由街口通知該名用戶完成付款。</p> <p>金流方面，交易金額從街口帳戶到一卡通帳戶，同樣透過財金的平臺來處理，各家電支業者有各自的管理銀行，負責資金的管理運作，另外，各家電支業者也在合作金庫都有一個清算帳戶，用於跨業者間的結算，財金公司運用ATM跨行轉帳使用的即時總額清算（RTGS）即時扣帳，RTGS也被用於電支業者間的轉帳交易。</p> <p>如果街口用戶在臺灣銀行的特約商家消費，由於銀行的清算銀行為中央銀行，交易金額從街口在合庫的清算帳戶扣款後，撥給臺銀在央行的清算帳戶，再由臺銀通知特約商家收到付款。</p> <p>到了每天結帳的時間，財金通知各業者每天結算金額，如果電支業者當天用戶付款金額大於當天的收款金額，財金就會到電支業者清算帳戶扣款，並將款項撥給收款金額大於用戶付款金額的電支業者，即完成當天結算。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>已有近萬商家支援TWQR</strong></span></span></p> <p>目前銀行及首波加入電支跨機構共用平臺的4家專營電支業者(一卡通、全盈支付、橘子支、歐付寶)，加上台灣Pay的銀行合作通路，已有約9,900家商家可支援TWQR，以正掃的街邊店等商家為主，未來隨著銀行、電支業者與商家重新調整合約，支援TWQR的商家數可望逐漸增加。財金公司預估明年第1季約有15萬通路支援TWQR。</p> <p>林國良認為，從商家角度來看，商家不再需要放置每家電支業者的QR Code，也不需和每家電支業者對帳，未來只要放置一個TWQR立牌，就能讓所有電支App掃碼付款，對帳則只需從商業的角度來看，除了特別的原因之外，未來只要時間足夠，商家基於服務所有顧客考量下，應該都會採用TWQR。</p> <p>不論從商家或是消費者的角度來看，電支業者加入電支跨機構共用平臺「購物」功能、推動TWQR，消費者不論所使用的是街口、一卡通或是全支付、台灣Pay，在商家購物都不需考慮店家是哪一家電支業者、銀行的特約店，如同在ATM使用跨行提款，民眾不需考慮ATM是哪一家銀行的設備，「這是一個必然的趨勢」，林國良說。</p> <p>對於經營電支市場較久，累積數十萬通路的電支業者，過去建立的龐大特約通路，成為電支業者之間競爭的重要差異之一，現在電支跨機構共用平臺掃平特約通路使用障礙，其他電支業者、銀行支付工具也能在特約商家消費。</p> <p>林國良認為，電支業者需要時間轉變思維，思考經營策略，對已有許多特約通路電支業者而言，開放特約通路讓其他業者、銀行的用戶使用，雖然手續費需和發卡業者，以及維運共用平臺的財金分潤，但是等於多做一筆原本沒有的交易，如同信用卡發卡銀行及收單銀行，電支業者經營策略，可以選擇專注在發卡，將行銷資源集中用於顧客經營，或是經營收單的特店，擴大更多通路，甚至是同時經營發卡、收單業務。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160323
【業者布局：街口支付】提升用戶忠誠及服務價值確保通路共享競爭力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內擁有超過620萬電支用戶，具市場指標性意義的街口支付，也嚮應政府政策加入電支跨機構共用平臺「購物」功能及推廣TWQR，不過，街口支付並未在首波加入的電支業者之一，而是準備在明年完成和共用平臺串接。</p> <p>電支跨機構共用平臺「購物」功能及TWQR，目的打破電支業者特約通路無法互通的限制，不利於辛苦經營通路，多年辛苦經營超過30萬家特約通路的街口支付，因此街口一度對加入共用平臺，開放電支業者使用其特約通路抱有顧慮。不過，經過與主管機關溝通，確認通路互通的政策方向，街口支付也決定加入政策。</p> <p>街口支付總經理范庭甄表示，電支跨機構共用平臺推出「購物」功能及推動TWQR共用規格，電支市場未來將從電支業者、消費者、通路的3方關係，如同信用卡市場轉變為4方關係，電子支付分為發卡、收單機構。她以信用卡市場舉例，大型銀行可能同時經營發卡及收單業務，部分銀行則專攻發卡或是收單業務，即使是收單銀行，有銀行專門經營連鎖通路收單，也有銀行不只連鎖通路，也經營小型街邊店收單業務。未來，電支業者也思考調整經營方向，街口由於用戶及特店通路眾多，傾向經營發卡、收單兩方面業務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>推動正掃店導入TWQR</strong></span></span></p> <p>目前財金公司的電支跨機構共用平臺「購物」功能及TWQR，初期先以正掃模式為主，未來將從正掃逐漸推向反掃（或被掃）模式，即消費者出示TWQR，讓商家掃碼。</p> <p>范庭甄指出，正掃模式可以解決小型店家，例如夜市的商家，由於店面的空間有限，要支援多種支付，店家需擺放多種QR Code的問題。街口目前盤點特約通路以反掃居多，正掃店約有6至7萬家左右，這些正掃店家將是推廣TWQR互通的目標。</p> <p>至於財金公司未來規畫也會走入反掃店，她直言反掃店仍有許多問題待克服，例如，由於反掃是由消費者出示TWQR，由店家掃描，當中涉及到POS系統異動調整，以每次POS調整需幾十萬甚至百萬元，成本比較高。</p> <p>明年增加TWQR正掃通路的數量下，她指出，一方面讓既有特約通路換約採用TWQR，另方面為推動新特店使用TWQR，街口正在研究運用科技的方式達到簡便換約的目的，例如導入電子簽章、線上進件等方式，供業務人員掃街推廣可以攜帶設備，和新店家合作後簽約，和舊店家增補合約，再提供新的TWQR給商家。</p> <p>原本街口提供給店家的查帳後臺，包括網路版或是收款App，方便商家帳務管理，未來要加入TWQR，電支面向商家端的相關系統也需要調整。過去街口的特店僅處理街口用戶的交易，未來需要處理第3方的新型態交易，即來自其他電支用戶的交易，包括街口與商家間的請撥款流程、店家的帳務整合需要針對新的交易重新設計。</p> <p>由於今年7月才決定加入財金的電支跨機構共用平臺「購物」功能及TWQR，內部IT工作已規畫至明年，因此街口來不及趕在今年底前完成與財金公司的串接、對測，預估可能到明年中才會完成串接上線，搭配特約通路採用TWQR，屆時非街口的電支用戶也能在這些通路掃碼付款。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來可能改變電支通路行銷方式</strong></span></span></p> <p>明年加入購物功能，街口支付用戶同樣能在其他電支業者或台灣Pay的特約商家消費，使用街口支付App掃描商家的TWQR付款，街口可獲得交易資訊，包括店家的名稱及代號、地址、交易金額，當用戶掃碼付款時，清楚知道付款的商家名稱，避免遭到詐騙。</p> <p>范庭甄認為，雖然透過共用平臺跨店交易，掌握到用戶消費的店家名稱、地址等資訊，部分的商家名稱可能使用各國語言，且僅從店名難以判斷販售的商品或服務，不容易從商家名稱掌握商家的類型，過去在行銷操作上，用戶只能在街口的特約店消費，街口自己經營的特店，知道商家銷售的產品及服務內容，電支可以針對特定類型或是品牌商家祭出各式各樣行銷活動，例如針對某個夜市商圈的商家祭出限時優惠，或是對茶飲店祭出限定回饋，和單一的小品牌商家合作行銷活動，來刺激用戶增加消費。</p> <p>對電支業者而言，祭出各種行銷活動，不只帶動用戶在商家的消費，深化經營和特店的關係，也是電支賴以吸引用戶，深化會員經營的重要方式。過去街口支付擅於以靈活的行銷手法，和特定商家或是品牌合作，針對街口用戶提供限時回饋活動。未來加入共用平臺「購物」功能之後，當用戶在其他業者的特約店消費，由於獲得的交易資訊有限，在行銷活動上可能因此改變。</p> <p>范庭甄指出，目前共用平臺「購物」功能及TWQR推出不久，現階段電支業者的自有特店比較多，未來隨著TWQR普及，採用TWQR的共用通路增加，甚至超過業者的自有特店數量，過去電支善於和品牌合作行銷，未來可能走向類似信用卡，針對特定類型祭出行銷回饋，例如網購3%、全通路1.5%等等。</p> <p>目前街口的通路數雖然超過30萬，但大多集中在雙北地區，雙北以外則以連鎖通路的反掃為主，不只街口支付如此，其他電支業者也大多如此，相比之下，台灣Pay則在雙北市以外的收單商家較多，通路互通對電支業者及其用戶也帶來好處。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1160-%E5%B0%81%E9%9D%A2-%E8%A1%97%E5%8F%A3-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>今年10月，街口支付與日本掃碼支付業者PayPay合作，用戶赴日本旅遊時，可在當地上百萬家通路，使用街口支付App掃描PayPay的QR Code付款。</strong><span style="font-size:14px;">（圖片來源／街口支付）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>保持用戶忠誠、深化會員經營</strong></span></span></p> <p>范庭甄認為，當用戶手機可能有多種支付工具，用戶到其他業者的通路消費，仍會使用街口付款，還是使用其他業者的電支？這是電支業者將遭遇考驗。TWQR使特約通路互通後，為保持用戶的忠誠度，未來電支的產品力、價格競爭將更重要，其中的產品力方面，包括用戶開啟App的速度，完成付款的流暢度等，過去受到街口的重視，至於價格競爭，過去電支競相祭出高額回饋，但用戶對價格競爭逐漸顯現疲乏，即使競業推出高額回饋，仍導致交易不增反減，讓街口開始反思價格競爭的有效性。</p> <p>另外，這幾年下來街口也培養一群忠實使用者，即使曾有一段時間回饋比較少，這群使用者仍繼續使用，可能和早期街口串接許多銀行，並提供線上繳費有關，讓用戶方便帳務管理，不需前往超商繳費。</p> <p>基於帳務管理的需求，今年街口首次嘗試和銀行業者合作推出街利存，用戶可直接在街口App查詢帳戶餘額，提高用戶開啟App的頻率。范庭甄表示，基於用戶帳務管理需求推出新的服務，目的是和用戶增加除了支付以外的互動次數，因為與用戶互動愈多，電支業者的機會也愈多，和用戶也能建立好感。</p> <p>今年街口也推出的會員制度，依照會員的使用度，將會員分為不同等級，愈高級的會員提供更多的回饋，深化會員經營。展望明年，街口預告對會員的經營，除了回饋之外，例如航空公司提供VIP貴賓室，提高用戶的會員服務價值感受，進而增加會員升等的動力。</p> <p>在財金公司共用平臺與國外業者合作推動跨境支付之前，街口已與掃碼跨境支付平臺合作，今年10月開放用戶到日本旅遊，可在日本的掃碼支付業者PayPay，上百萬商家掃碼消費，讓用戶可以街口App掃描PayPay的QR Code付款，將用戶支付通路擴大至跨境支付。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160324
【業者布局：全支付】以環島地推加速拓展特店及TWQR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月全聯正式進軍電子支付領域推出全支付，截至今年9月為止正好約一年，全支付已有420萬電支用戶，當月代理收付金額達到35.6億元，略微落後街口的37.8億元，一年時間全支付從市場新兵，躍升為電支市場第3名，成績斐然。全支付用戶數快速成長的背後，得利於全聯的PX Pay會員，在過去一年門市人員地推策略下，鼓勵PX Pay用戶升級至全支付，這群年齡層以中高齡為主的用戶，為國內電支市場拓展中高年齡層，也讓非現金支付更為普及。</p> <p>然而，儘管成長至數百萬用戶，但相較於街口支付、一卡通擁有600萬以上電支用戶，各自擁有40萬及30萬左右的通路，全支付上線一年，雖然已有約20萬通路，仍落後街口與一卡通，對於矢志成為國內電支領頭羊的全支付，通路數仍是全支付搶攻電支市場的一道坎。因為，在電子支付的市場，通路就像基本功，有更多的通路可使用，方能吸引愈多人使用，而愈多的用戶，愈能吸引商家與其合作，在用戶與商家的循環下發展。</p> <p>全支付總經理游金榮表示，相較於其他電支同業的用戶以在都會區居多，拜全聯PX Pay會員升級之賜，全支付用戶遍布全國各地，以嘉義為例，雖然推廣當地的全聯PX Pay用戶升級電子支付，用戶在全聯的使用佔比不低，但交易金額卻沒有增加。這顯示有一群忠實的全支付用戶在那裡，但是除了全聯門市，當地缺乏商家讓用戶使用全支付，需要拓展通路來驅動循環。</p> <p>「用戶就在那裡，如果我們不做(拓展特約通路)，用戶就沒有地方可以使用」，游金榮堅定地說。</p> <p>為此，他們從今年8、9月開始，執行一項環島地推拓店策略，他們將全臺畫分6大區域，每區域約涵蓋3個縣市，從臺北派業務團隊進駐區域，進駐時間長達近1個月時間，向當地商家推廣全支付。</p> <p>以中彰投地區為例，業務團隊向當地店家推廣採用全支付，下一個月再搭配當地的行銷活動，讓當地店家對用戶消費帶來的效益有感，業務團隊再移到另一個區域拓展店家，6個區域進駐推廣，耗費半年時間。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以全臺地推方式推廣店家、推廣TWQR</strong></span></span></p> <p>游金榮表示，全支付在店家推廣以正掃的街邊店為主，10月財金公司推出跨機構共用平臺「購物」功能及TWQR，全支付也會加入該平臺，業務團隊向店家推廣TWQR，商家不再需和其他電支業者一一簽約，未來就能接收各家電支用戶付款。因此，目前環島地推策略的業務團隊有兩個任務，一個是拓展新的合作商家，另一個則是向既有特約商家推廣TWQR。</p> <p>全支付以全臺地推方式拓展正掃通路、向商家推廣TWQR，業務團隊進駐6個地區，長時間出差住宿、印刷、交通油費等，投入不少成本擴展合作通路。</p> <p>游金榮表示，現階段全支付的策略是擴展正掃通路，雖然加入TWQR後，未來開放其他業者使用特約通路，全支付可扮演收單方角色，獲得一部分的交易手續費分潤，但從信用卡分潤比例相當低來看，加上地推方式擴展正掃通路成本，未來全支付拓展通路，不會將收單業者分潤視為主要的收入來源。</p> <p>由於電支跨機構共用平臺的購物功能及推動TWQR是以正掃為主，他表示，正掃適合資訊技術有限的微型店家使用，例如街邊店、市場、夜市或商圈，例如夜市受限於環境場所，除了戶外電源取得不易，夜市攤商的空間有限，不適合擺放POS機，QR Code符合攤商的環境，攤商只要搭配電支業者的店家版App，消費者掃碼付款後，店家立即收到付款完成通知。</p> <p>「正掃店絕對會是臺灣行動支付普及的最後一哩」，游金榮說。</p> <p>相較之下，反掃模式是由消費者出示QR Code，讓店家POS設備掃碼，多以具有IT技術能力的大型商家或是連鎖店家為主，因為需要調整POS系統，以及通路手續費如何分潤等複雜問題，因為需要時間解決克服，目前電支跨機構共用平臺購物功能及TWQR尚未支援反掃模式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>獲得更多交易資訊</strong></span></span></p> <p>通過財金的電支跨機構共用平臺，電支用戶可跨機構使用特約商店，也讓電支業者得以獲得更多交易資訊，例如其他電支用戶在全支付特約通路消費，全支付作為收單業者，基於後續跨機構帳務處理需要，每筆交易資訊包括特約商店名稱、交易金額、付款的電支業者(發卡業者)，不會取得購買物品的資料。</p> <p>如果全支付用戶在其他業者特約通路消費，全支付作為發卡業者，取得的交易資訊包括中文店名、交易金額、收款的電支業者，不會取得購買物品資料。</p> <p>游金榮表示，任何數據都有其價值，但是透過共用平臺取得的交易資訊，如果僅從交易資訊來看，消費數據的分析價值有限，例如僅從店名來看，難以辨別商家所在的區域位置，如果想要推廣區域型的行銷活動，難以根據交易資訊作決策，例如向特定區域的商家推廣TWQR，但因為缺乏商家位置，難以推動區域性行銷活動，為此，全支付已針對此一問題和財金公司討論。</p> <p>但他認為，通過跨機構共用平臺取得交易資料，儘管能採集多一些的資料，這些資料和電支原有的交易資料量體相比，採集的資料量較少，能提供的決策判斷有限。如果僅有單方數據分析，雖然有效但價值有限，還需搭配第三方數據才能發揮更多的價值。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160325
【業者布局：悠遊卡】明年擴大數據商用化強化商家及會員經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去以儲值卡(過去稱電子票證)累積龐大用戶的悠遊卡公司，自2020年推出悠遊付進入電子支付，到9月為止，悠遊付已有超過255萬電支用戶，僅次於街口、一卡通、全支付，僅以用戶數而言，為國內第4大電子支付業者。日前財金公司推出電支跨機構共用平臺備「購物」功能及TWQR，悠遊付也準備加入。</p> <p>悠遊卡總經理李志仁表示，加入電支跨機構共用平臺「購物」及推廣TWQR，除了配合政策之外，消費者跨特約通路使用電子支付消費帶來方便，商家也能擺脫在櫃檯放置許多支付QR Code，營運管理上的困擾。另外，悠遊付現有約15萬個支付通路據點，未來加入共用平臺可為用戶增加消費的據點。</p> <p>不過，李志仁也對各家電支究竟開放多少通路持保留的看法，由於並沒有強制加入，儘管9家專營電支業者都會加入共用平臺「購物」功能，然而，各家業者過去和商家商業協議的交易手續費率可能不同，小型商家多使用正掃，電支業者可獲得較高的費率和商家合作，但對於使用反掃的大型連鎖通路，電支業者協商的交易手續費較低，如果再和發卡方電支業者、平臺維運的財金公司分潤，可能不敷成本，降低這類通路加入TWQR的可能性。</p> <p>實際上，各業者開放TWQR特約通路的多寡仍有待觀察，包括各業者開放的商家通路數成長速度，另外，民眾現階段對TWQR較為陌生，也需要市場教育。李志仁表示，悠遊卡公司計畫在明年第3季之前，或是提前加入電支跨機構共用平臺「購物」功能。</p> <p>李志仁表示，既有的商家可能同時間和多家電支業者合作收單，商家基於經營管理考量，可能維持現況，或是擇定一家電支業者合作導入TWQR，悠遊卡公司尊重商家的決定，但是對於具有主場優勢的通路據點，例如捷運周邊與交通相關，以及和政府有關的公有市場，這些經營較久的通路維持收單通路的優勢，因為未來導入TWQR，可能帶來發卡行分潤營收。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以悠遊卡帶動升級使用悠遊付</strong></span></span></p> <p>除了維繫對交通、政府、公有市場等通路的經營，悠遊卡公司推動電支的另一項策略，是將廣大的悠遊卡用戶，以每月活躍用戶數來看，悠遊卡月活躍用戶數約有1,000萬張卡，吸引他們轉為實名制的悠遊付用戶，這也是悠遊付推出3年多以來，在「一卡一付」的策略下，悠遊付用戶得以成長至250萬以上用戶的關鍵之一。</p> <p>李志仁表示，過去悠遊卡在電子票證上使用方便，但要和持卡人溝通並不容易，悠遊付被定義為悠遊卡的數位服務平臺，透過悠遊付App，用戶可綁定最多20張悠遊卡，用戶可以在悠遊付App查詢交易紀錄，以電支帳戶為悠遊卡自動加值，另外，鼓勵用戶減碳，悠遊卡用戶乘坐大眾運輸，給予他可用於通勤點附近商家的優惠券。</p> <p>過去悠遊卡以線下通路的小額消費付款為主，而悠遊付為電子支付，可支援線上消費付款；在商家布點方面，以往悠遊卡合作商家，受限於卡機成本較高，商家的意願可能不高，或是因為商家經營環境的特殊性，例如夜市攤商，難以推向微型商家。相較之下，悠遊付則可以讓商家擺放QR Code，供消費者掃碼付款。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以數據分析強化特店及會員經營</strong></span></span></p> <p>有鑑於國內支付服務眾多，對商家而言，市場上有多種支付服務供他們選擇，因此悠遊卡公司希望與商家的合作，不只是單純支付工具，包括運用消費數據分析，協助主場優勢通路的周邊商家導客，舉例來說，從數據分析可掌握持卡人每天哪些時段，在哪些車站出沒，提供他們周邊商家優惠券，促使用戶前往消費，帶動商家營收增加，加強和特約商家間的關係。</p> <p>明年加入TWQR，如果悠遊卡公司為電支發卡行角色，即悠遊付用戶在其他業者的特店消費，悠遊卡公司取得商家代號、用戶卡號、交易金額，如果為電支收單行角色，即其他業者用戶在悠遊付合作通路消費，悠遊卡公司可獲得哪家特店，在哪些時間，來自哪些電支業者用戶的付款。</p> <p>李志仁認為，獲得更多的數據，對於以數據分析為基礎的會員經營或是行銷帶來助益，數據愈多代表貼標愈細緻化，行銷應用也愈精準，不僅是用戶的消費行為，也包括特約店的行銷活動，明年加入TWQR，用戶在其他業者特約商店消費，蒐集金額、頻次等數據，通過更多數據貼標、分析應用，提升行銷的精準、有效性，對於會員經營帶來幫助。</p> <p>「明年我們希望數據可以商業化」，他表示，除了讓行銷更精準，數據的商用化，包括會員經營方面，提高交易成長，或是從數據分析提供洞察給合作商家，協助商家的數位轉型，或是分析用戶的行為或移動模式，提供周邊商家的優惠券等，帶動商家的銷售。</p> <p>儘管短期內觀察TWQR商家數發展速度，長期而言，隨著導入TWQR的商家增加，李志仁認為，透過TWQR擴大用戶可使用的通路，未來悠遊卡公司偏重電支的發卡行角色，透過會員經營加速悠遊卡用戶轉換為悠遊付用戶。明年底目標為增加100萬電支用戶。</p> <p>另外，隨著電支用戶數逐漸增加，今年悠遊卡公司已和金融業者嘗試推出微金融服務。悠遊卡公司也計畫，除了悠遊付App，明年讓悠遊付能夠嵌入第3方服務，成為第3方服務內的支付工具之一，首先規畫和臺北捷運合作，成為北捷App的支付方式之一。</p> <p>該公司也準備在金管會同意下，和發卡銀行合作推出電支附隨卡，即可刷卡消費的Debit卡，但不同於一般綁定銀行帳戶，電支附隨卡是綁定電子支付帳戶的Debit卡，如果順利推出附隨卡，持卡人就能在國內約50萬接受信用卡刷卡消費的通路使用，甚至以卡號，在Apple Pay或Google Pay上使用。附隨卡除了一般用戶，也能吸引無法申辦一般信用卡的使用者，例如大學生，進而為悠遊付創造全新的電支用戶。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160327
【業者布局：全盈支付】從圈地戰轉為圈粉策略強化會員經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電支市場競爭會從圈地（簽特店）轉變為圈粉（經營會員）。」全盈支付總經理劉美玲觀察。去年4月才進入電子支付市場的全盈支付，率先加入共用平臺購物功能的4家專營電子支付業者之一，是最快對這個轉變採取行動的業者。</p> <p>劉美玲表示，國內信用卡市場發展，為發卡行、收單行、消費者、商家的4方關係，電子支付機構自2015年開始即為3方關係，發卡與收單必需是同一家電支業者，因此電支業者簽約的特店，只有該業者的用戶才能使用，對使用者帶來困擾，付款需先確認店家接受哪些電支服務。</p> <p>電支跨機構共用平臺讓購物互通，讓電支用戶得以突破特約通路消費的限制，一家電支App，可以在其他業者的通路付款，電支業者也不再同時是發卡及收單，如同信用卡市場的銀行角色，分為發卡行、收單行電支業者，電支市場從3方轉變為4方關係。</p> <p>劉美玲認為，支付最關鍵的是基礎建設，過去電支機構經營特約通路的目的，是讓用戶可在特店使用電支服務，當電支業者不需同時是發卡行與收單行角色，全盈支付身為新進電支業者，衡量建置特約店需投入的人力、對帳、行政等通路推廣成本，加入共用平臺購物功能及TWQR能降低通路經營成本，同時用戶在其他業者的特約店消費，全盈支付身為發卡行也能獲得一定比例的交易手續費，創造額外的收入。此外，加入共用平臺購物功能，也能增加用戶可使用的通路，有助於經營用戶。</p> <p>「從降低成本、創造營收、經營用戶三點衡量，是全盈支付加入TWQR有利的原因」，她說。</p> <p>現階段共用平臺購物功能推動TWQR是正掃模式，因費用分潤需要重新協議、店家也需改動POS系統，目前尚未開放反掃模式，目前全盈支付旗下約有13萬家特店，其中大部分為反掃店，約有500家正掃店，未來會陸續加入TWQR。</p> <p>不只是電支業者開放通路互通，財金公司也透過資訊串接，讓台灣Pay的特約通路也能和電支特約通路互通，換言之，全盈支付用戶也可以在更多台灣Pay正掃店掃碼付款。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>市場競爭從圈地到圈粉</strong></span></span></p> <p>過去業者簽特約店，各業者積極提高支付通路數量，作為吸引消費者的重要競爭手段，未來更多業者加入電支跨機構共用平臺，特約通路導入TWQR，讓電支的特店互通，為國內電支市場帶動新的競爭態勢。</p> <p>劉美玲表示，未來在時間推移下，相信加入TWQR的商家愈來愈普及，消費者不需再確認店家接受哪些電支付款。</p> <p>如同信用卡市場競爭，收單特店的競爭比較少，更多競爭是發卡行，發卡行祭出各種促銷優惠，刺激發卡量、流通卡及交易量，各家發卡行爭奪錢包的佔有率，各顯神通讓消費者他們的信用卡到店家消費。</p> <p>她認為，未來電支間競爭會走向圈粉，各家電支App都能在特店使用，消費者走進店家，如何讓他使用全盈支付的電支服務。所有電支業者剛開始都以大量優惠吸引消費者，希望成為用戶手機內的App之一，接下來的關鍵是，如何讓消費者持續使用，並增加使用次數。</p> <p>至於吸引消費者，除了祭出優惠補貼，另一方式是提供好用的服務讓用戶使用，進而墊高使用的轉換成本，或是提供其他業者沒有的服務，例如全盈支付針對微型企業向銀行申請薪轉帳戶門檻較高的問題，利用電支帳戶作為5人以內微型企業的薪轉帳戶。劉美玲表示，提供更多額外、具有利基的服務，讓電支不僅是消費型的支付服務，未來要圈粉，勢必要針對用戶的需求提供吸引他或她的服務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>對用戶消費行為有更深的理解</strong></span></span></p> <p>全盈支付加入共用平臺購物功能，推廣特約店採用TWQR，理論上，不論是全盈支付用戶到其他業者特店消費，全盈支付為發卡行，或是其他業者用戶在全盈的特店消費，全盈支付為收單行，通過共用平臺跨業者交易資訊，能夠獲得更多的交易數據。</p> <p>其他業者用戶到全盈支付特店消費，雖然作為收單行角色，可加深對商家的營運現況的掌握對自家特店每月各家電支業者用戶使用情形，對市場上各家支付業者受歡迎程度的理解。但作為收單行取得特店的各電支付款情形，劉美玲認為，現在尚未找到有利的收單資料運用方式。</p> <p>如同前面提到，加入TWQR後，從圈地到圈粉，因此全盈支付更重視扮演發卡行角色，取得的用戶消費數據。</p> <p>劉美玲表示，用戶到其他家電支或台灣Pay的銀行特約商店消費，全盈支付作為發卡行獲得的交易數據，其實和用戶在全盈的特約店數據相近。全盈支付進入市場才1年多，推動通路現在僅有13萬，過去全盈支付用戶只能在特店消費，但實際上他可能在其他店消費更多，因為不是全盈的特店，無法掌握用戶更多的消費行為，加入TWQR可以快速擴展用戶可使用的通路數量，未來當更多的店家導入TWQR，當用戶在這些商家消費，能更清楚掌握用戶喜歡在哪些店消費，進一步和特定店家舉辦行銷活動。</p> <p>其次是，當掌握特定的用戶群消費的商家類型，理解顧客原來喜歡的某個類型，根據用戶消費偏好，未來發展相關的業務，「這些數據對我們而言就有意義」，劉美玲說。</p> <p>過去，全盈在會員經營上，只能針對用戶在全盈支付的特店消費行為，或是經常使用的消費場景進行分析，現在，加入TWQR之後，以前全盈自己辛苦拓展特店，現在30多家銀行、9家專營電支機構一起拓展商家導入TWQR，用戶可使用的通路數量快速增加，全盈需要立即補強的是，用戶在食衣住行育樂各領域，哪些是用戶喜歡消費，但過去被忽略的部分。</p> <p>另一個全盈支付未來的圈粉戰略是，在電支、電票合一後，法規賦予電支業者得以經營金融服務代理收付業務，劉美玲指出，過去主管機關的態度是原則禁止、例外開放，現在改為原則開放、例外禁止，讓電支業者多了金融服務代理收付的機會，也是未來全盈支付圈粉的重要策略之一。不論是先前和銀行合作的貸款，或是鎖定微型企業的電支薪轉帳戶，「增加服務的多元性，是圈粉的重要關鍵」，她說。</p> <p>過去全盈支付推出電支服務，將其視為支付工具，和通路業者合作，嵌入到第三方的支付場景，如超商、智慧社區管理、企業職場福利等等，成為第三方服務的支付工具，和其他電支業者不同，全盈支付並沒推出獨立的App。目前全盈支付已有超過180萬用戶，未來配合TWQR正掃，考慮到會員經營愈來愈重要，需要和用戶有直接的互動，全盈也規畫今年底推出獨立App。</p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/160329" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" style="width: 550px;" /></a></p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/news/160328
電子支付百萬通路整合新變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1160-feng_mian_gu_shi_p1-wen_bin_-open-960x420_kao_bei_0.jpg?itok=4Rzma1WN" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，國內電子支付市場蓬勃發展，新業者挾強勢通路及龐大會員帶動用戶、交易規模成長，財金公司更打造跨機構共用平臺，串接各家業者打通金流及資訊流，今年10月更進一步打通跨店消費最後一哩，讓民眾可跨通路使用電支付款，串接百萬通路，加速消費大數據發展</p> </div></div></div>
2023/12/15 12:00作者蘇文彬https://www.ithome.com.tw/article/160329
從ASCII到Unicode
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1214-shu_zhai_-code-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>毫無疑問，ASCII是電腦產業中最重要的標準，但即使從一開始，它的缺陷也很明顯。最大的問題是，美國資訊交換標準代碼太美國化了！事實上，ASCII甚至不適合其他主要語言是英語的國家。</p> <p>當微軟的Windows首次發布時，它支援ASCII的擴展，微軟稱之為ANSI字符集，儘管它實際上並沒有得到美國國家標準協會（American National Standards Institute）的批准。</p> <p>ANSI字符集之所以流行，是因為它是Windows的一部分，但它只是幾十年來定義之ASCII的眾多不同擴展之一。為了區分它們，它們被賦予了不同的數字和其他識別符。Windows ANSI字符集成為了國際標準組織的標準，稱為ISO-8859-1或Latin Alphabet No. 1（拉丁字母表1號）。當這個字符集本身被擴展到包含代碼80h到9Fh的字符時，它被稱為Windows-1252（如下圖）。　</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>數字1252稱為代碼頁識別符（code page identifier），該術語起源於IBM，用於區分EBCDIC的不同版本。各種代碼頁與「需要自己的重音字符甚至整個字母表（如希臘文、西里爾文和阿拉伯文）的國家」相關聯。為了正確呈現字符資料，有必要知道所涉及的代碼頁。這在網際網路上變得至關重要，因而需要在HTML檔案之頂部的資訊（稱為標頭）指出建立網頁的代碼頁。</p> <p>ASCII還以更激進的方式擴展了對中文、日文和韓文之表意文字的編碼。在一種被稱為Shift-JIS（日本工業標準）的流行編碼中，代碼81h到9Fh實際上表示了一個2位元組（2-byte）字符代碼（character code）的初始位元組（initial byte）。透過這種方式，Shift-JIS允許大約6000個額外字符的編碼。不幸的是，Shift-JIS並不是唯一使用這種技術的系統。還有三個標準的雙位元組字符集（double-byte character sets或DBCS）在亞洲開始流行。</p> <p>存在多個不相容的雙位元組字符集只是其問題之一。另一個問題是，某些字符（特別是普通的ASCII字符）由1位元組代碼（1-byte codes）來表示，而數千個表意文字由2位元組代碼（2-byte codes）來表示。這使得處理此類字符集變得很困難。</p> <p>如果你認為這聽起來像是一團糟，那麼你並不孤單，所以是否有人可以想出一個解決方案？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>ASCII 的替代方案</strong></span></span></p> <p>假設最好只有一個適用於世界所有語言之明確的字符編碼系統，幾家主要的電腦公司於1988年聚集在一起，著手開發了一種名為Unicode的ASCII替代方案。ASCII是7位元代碼，而Unicode是16位元代碼（至少在最初的設想中是這樣的）。在其最初的設想中，Unicode中的每個字符都需要2個位元組，字符代碼的範圍從0000h到FFFFh，代表65,536個不同的字符。這被認為足以滿足世界上所有可能用於電腦通訊的語言，並有擴展的空間。</p> <p>Unicode並不是從頭開始的。Unicode的前128個字符（代碼0000h到007Fh）與ASCII字符相同。此外，Unicode代碼00A0h到00FFh與ASCII的Latin Alphabet No. 1擴展相同。其他世界性的標準也被納入Unicode。</p> <p>儘管Unicode代碼只是一個十六進位值，但指示它的標準方法是在值前面加上大寫的U和加號。以下是一些具有代表性的Unicode字符。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>但是，從8位元字符代碼遷移到16位元代碼會引發問題：不同的電腦將以不同的方式讀取16位元值。例如，考慮這兩個位元組：20h Ach</p> <p>有些電腦會將該序列讀取為16位元值20ACh，即歐元符號的Unicode代碼。這些電腦被稱為大端（big-endian）機器，這意味著最高效的位元組（大端）是第一個位元組。其他電腦則是小端（little-endian）機器。小端機器則會將該值讀取為AC20h，這在Unicode中是韓文字母表中的갠字符。</p> <p>為了解決這個問題，Unicode定義了一個稱為「位元組順序標記」（byte order mark或BOM）的特殊字符，即U+FEFF。它應該被放在內含16位元Unicode值之檔案的開頭。如果檔案中的前兩個位元組是FEh和FFh，則檔案處於大端序（big-endianorder）。如果它們是FFh和FEh，則檔案處於小端序（little-endian order）。</p> <p>1990年代中期，正當Unicode開始流行的時候，有必要超越16位元，以包含那些已經滅絕、但出於歷史原因仍有必要使用的字母，以及許多新符號。其中一些新符號是那些被稱為表情符號（emojis）之流行和令人愉快的字符。</p> <p>撰寫本文當時（2021年），Unicode已擴展為21位元代碼，其值的範圍為U+10FFFF，可能支援超過100萬個不同的字符。以下是16位元代碼未納入的幾個字符。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>將表情符號（emojis）納入Unicode可能看起來很無聊，但前提是你認為在簡訊中輸入的表情符號，在接收者的手機上顯示成完全不同的內容，是可以接受的。這可能會導致誤解，而且關係可能會受到影響！</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>最重要的Unicode轉換格式：UTF-8</strong></span></span></p> <p>當然，人們對Unicode的需求是不同的。特別是在呈現亞洲語言的表意文字時，有必要廣泛使用Unicode。其他文件和網頁的需求就比較小了。許多人可以用普通的舊ASCII來做。因此，已經定義了幾種不同的方法來儲存和傳輸Unicode文字。這些格式被稱為「統一碼轉換格式」（Unicode transformation format或UTF）。</p> <p>最直接的Unicode轉換格式是UTF-32。所有Unicode字符都被定義為32位元值。每個字符所需的4個位元組可以按小端序或大端序進行指定。</p> <p>UTF-32的缺點是它佔用了大量的空間。包含《白鯨記》內容之純文字檔的大小將從ASCII的125萬位元組增加到Unicode的500萬位元組，但Unicode僅使用32位元中的21個位元，每個字符都會浪費11個位元。</p> <p>一個折衷方案是UTF-16。使用這種格式，大多數Unicode字符被定義為2個位元組，但代碼高於U+FFFF的字符則被定義為4個位元組。在最初的Unicode規範中，從U+D800到U+DFFF的區域並沒有被指定用於此目的。</p> <p>最重要的Unicode轉換格式是UTF-8，它現在已經在整個網際網路上被廣泛使用。最近的一項統計表明，97%的網頁在使用UTF-8。這已經是你想要的通用標準。古騰堡計劃的純文字檔案都是UTF-8。預設情況下，Windows的Notepad和macOS的TextEdit係以UTF-8格式保存檔案。</p> <p>UTF-8是靈活性和簡潔性之間的折衷方案。UTF-8的最大優點是它向後相容ASCII。這意味著，一個僅由7位元ASCII代碼組成的、以位元組儲存的檔案會自動成為UTF-8檔案。</p> <p>為了實現這種相容性，所有其他Unicode字符都以2、3或4個位元組來儲存，這取決於它們的值。下表總結了UTF-8的運作原理。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>對於第一行中所示之代碼範圍，每個字符都是由第二行中所示的位元數來唯一標識。然後，這些位元以1和0為前綴，如第三行所示，形成一個位元組序列。第三行中之x的數量與第二行中的計數相同。</p> <p>第一列表明，如果字符來自7位元ASCII代碼的原始集合，則該字符的UTF-8編碼是0位元後跟這7個位元，與ASCII代碼本身相同。</p> <p>Unicode值為U+0080及更大的字符，需要2個或更多位元組。例如，英鎊符號（£）是Unicode U+00A3。因為此值在U+0080和U+07FF之間，所以<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88(1).png" target="_blank">此表的第二列</a>指出它是用2個位元組之UTF-8編碼的。對於此範圍內的值，只需使用最低效的11個位元來導出2位元組編碼，如下圖所示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>Unicode值00A3顯示在圖的頂部。四個十六進位數字中的每一個對應於數字正下方顯示的4位元值。我們知道該值為07FFh或更小，這意味著最高效的5位元將為0，可以忽略它們。接下來的5位元以110開頭（如圖底部所示）形成位元組C2h。最低效的6位元以10開頭，形成位元組A3h。</p> <p>因此，在UTF-8中，C2h和A3h這兩個位元組代表英鎊符號￡。需要2個位元組來編碼基本上只有1個位元組的資訊，似乎有點可惜，但對於UTF-8的其餘部分來說，這是必須的。</p> <p>下面是另一個例子。希伯來字母<span dir="RTL">א</span>（alef）在Unicode中為U+05D0。同樣，該值介於U+0080和U+07FF之間，因此<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88.png" target="_blank">使用表中的第二列</a>。這與£字符的過程相同。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>值05D0h的前5位元可以忽略；接下來的5位元以110開頭，最低效的6位元以10位開頭，形成UTF-8位元組D7h和90h。</p> <p>無論圖像的可能性有多大，帶有喜悅之淚的貓臉表情符號是由Unicode U+1F639來表示的，這意味著UTF-8將其表示為4個位元組的序列。下圖顯示了如何從原始代碼的21個位元來形成這4個位元組。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%967_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>透過使用不同數量的位元組來表示字符，UTF-8破壞了Unicode的一些純度和美感。過去，這樣的方案與ASCII一起使用會引起問題和混亂。UTF-8並非完全不受問題影響，但它的定義非常明智。當一個UTF-8檔案被解碼時，可以非常精確地識別每個位元組：</p> <p>•如果位元組以0開頭，則它只是一個7位元ASCII字符代碼。</p> <p>•如果位元組以10開頭，則它代表一個多位元組字符代碼（multibyte character code）之位元組序列的一部分，但它不是該序列中的第一個位元組。</p> <p>•否則，位元組至少以兩個1位元（two 1 bits）開頭，並且是多位元組字符代碼（multibyte character code）的第一個位元組。這個字符代碼的總位元組數，由第一個位元組上第一個0位元之前，以1位元開頭的位數來表示。這可以是兩個、三個或四個。</p> <p>讓我們再試一次UTF-8轉換：右單引號字符為U+2019。這需要查閱<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%964_%20Code%E4%BA%8C%E7%89%88(2).png" target="_blank">表格的第三列</a>，因為該值介於U+0800和U+FFFF之間。UTF-8表示為3個位元組。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%968_%20Code%E4%BA%8C%E7%89%88.png" style="width: 600px;" /></p> <p>原始Unicode數字的所有位元都是組成3個位元組所必需的內容。前4位元以1110開頭，接下來的6位元以10開頭，最低效的6位元也以10開頭。結果是E2h、80h和99h所組成的3位元組序列。</p> <p>現在來看這封郵件的問題，它的主旨是：Weâ€™ve received your payment, thanks.</p> <p>第一個單字顯然是“We’ve”（我們已經），但這個縮略語並非使用老式的ASCII撇號（ASCII的27h或Unicode的U+0027），而是更奇特的Unicode右單引號，它在UTF-8中被編碼為三個位元組E2h、80h和99h。</p> <p>到目前為止，沒問題。但這封電子郵件中的HTML檔案指出，它使用的是字符集windows-1252。它其實應該指出使用的是utf-8，因為這就是文字的編碼方式。但是由於此HTML檔指出使用的是windows-1252，因此我的電子郵件程式會使用Windows-1252字符集來解釋這三個位元組。回頭看看本文開頭的<a href="https://s4.itho.me/sites/default/files/files/%E5%9C%961_%20Code%E4%BA%8C%E7%89%88.png" target="_blank">Windows-1252代碼表</a>，自己確認一下E2h、80h和99h這三個位元組確實映射到字符â、€和™，正是電子郵件中的字符。</p> <p>謎團解開了。</p> <p>透過將電腦的使用擴展成一種普遍和多元文化的體驗，Unicode已經成為一個非常重要的標準。但像其他任何東西一樣，除非它被正確使用，否則它是不會發揮作用的。（本文摘錄整理自第13章，碁峰資訊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1214-%E6%9B%B8%E6%91%98-code-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong> <span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Code：隱藏在電腦軟硬體底下的秘密（第二版）</strong></p> <p>Charles Petzold／著；蔣大偉／譯</p> <p>碁峰資訊出版</p> <p>定價：680元</p> <p><a href="https://www.amazon.com/stores/Charles-Petzold/author/B000APETXO?ref=ap_rdr&store_ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%9610_Code%E4%BA%8C%E7%89%88_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 150px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Charles Petzold</strong></p> <p>從事程式設計和電腦方面的寫作已有35年。他的著作包括十幾本的程式設計教材和《The Annotated Turing A Guided Tour through Alan Turing Historic Paper on Computability and the Turing Machine》。他與妻子Deirdre Sinnott(歷史學家和小說家)以及兩隻名叫Honey和Heidi的貓一同住在紐約市。他的網站是<a href="http://www.charlespetzold.com">www.charlespetzold.com</a>。<a href="https://www.amazon.com/stores/Charles-Petzold/author/B000APETXO?ref=ap_rdr&store_ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> </div></div></div>
2023/12/15 12:00未署名https://www.ithome.com.tw/article/160331
全球有1,800個銀行程式遭銀行木馬鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行動資安業者Zimperium本周發布了<a href="https://go.zimperium.com/mobile-banking-heists-2023" target="_blank">《行動銀行搶劫報告》（Mobile Banking Heists Report）</a>，指出銀行木馬程式正在不斷地進化，這一年來總計有29個惡意程式家族、鎖定全球61個國家的1,800個銀行行動程式發動攻擊，最大的受害者是美國，有109家銀行成為駭客目標，隨後則是英國的48家銀行與義大利的44家銀行。</p> <p>這些銀行木馬程式通常偽裝成合法程式以吸引使用者下載，但它們其實含有惡意程式，意在滲透安裝在使用者手機上的銀行程式，以竊取這些銀行程式的憑證、金融資訊或是個人身分資訊，有些則能執行未經授權的轉帳。</p> <p>Zimperium去年的調查僅發現有10個惡意程式家族、鎖定600個銀行程式發動攻擊，但今年不管是惡意程式家族或攻擊目標的數量都顯著地增加了。Zimperium分析，駭客擴大投資以改善銀行木馬程式的能力，使其能夠繞過安全機制、逃過行動裝置上的偵測，還能長駐，而傳統安全實踐則未能跟上駭客的腳步。此外，去年駭客的攻擊對象以銀行及支付程式為主，今年則擴大至加密貨幣、社交及傳訊程式，但傳統銀行仍占了61%。</p> <p>今年的前五大惡意程式家族依序是Hook、Godfather、Teabot、Xenomorph與Exobot，它們分別針對618家、419家、414家、400家與371家銀行發動攻擊。最受到駭客青睞的金融程式包括Caixa、Intesa Sanpaolo Mobile、Bankinter Mobile、YouApp Banco BPM Mobile、Capital One Mobile、EVO Banco móvil、Kutxabank、Bank of America與Wells Fargo，至少都有超過10個惡意程式家族鎖定它們。</p> <p>此外，近年來駭客已逐漸將惡意程式發展成一個產業，建立看似合法的公司來提供惡意軟體即服務（Malware-as-a-Service，MaaS），讓更多缺乏開發專長的人得以進入此一市場。</p> <p>另一項值得注意的是，駭客已發展出自動轉帳技術，在成功取得受害者的銀行憑證後，會先檢查使用者的帳戶餘額以決定轉帳金額，並伺機執行轉帳，接著欺騙使用者輸入轉帳所需的一次性密碼，並將帳款轉至駭客所控制的帳戶，之後還可能會刪除交易提醒或應用程式通知以避免被察覺。</p> <p>Zimperium建議金融業者應該要提高程式碼的保護技術，直至其攻擊成本高過駭客不法所得，也應提高運行能見度以全面監控威脅行為，或是部署裝置上的保護機制來回應即時威脅。</p> </div></div></div>
2023/12/15 11:56作者陳曉莉https://www.ithome.com.tw/news/160352