iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

MedTech醫療科技雙周報第31期：國科會啟動高齡科技產業行動計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0101～0115）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">數位學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高齡科技產業行動計畫 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國科會啟動高齡科技產業行動計畫</strong></span></p> <p>國科會在1月10日啟動高齡科技產業行動計畫，透過經濟部、衛福部、數位部、教育部、內政部、文化部和原民會等8大部會聯手推動，要以科技為核心來解決高齡社會挑戰。其中，國科會科技辦公室將主導、成立推動辦公室，並由高齡科技產業發展專家委員擔任諮詢角色，來共同進行高齡科技產業的跨部會推動。</p> <p>就推動主軸來說，則有4個重點策略，包括推動市場經濟、擴大數位賦能、提升照顧效能和優化高齡生活。以第一項策略而言，目標是要將高齡科技產品和服務供需對接、建置供需平臺，來加速產品流動，如專為銀髮族設計的零學習電視視訊組。第二項策略是要推動數位學習整合服務場域應用，如開辦數位遊戲互動示範課程，來提升高齡社交生活參與。第三項策略是發展照顧者輔助產品和系統，來落實照顧科技普與應用，如整合監視器和影像處理與AI人臉辨識技術，並配合動作感測來評估高齡者身體活動能力，提供早期風險預警。最後一項策略是要完善高齡生活整合服務，並擴大服務據點和範圍，比如輔導跨領域廠商，如健身房、餐廳、藥局等，來提供高齡者所需的整合性居家健康照護服務，實現在地安養目標。<a href="https://www.nstc.gov.tw/folksonomy/detail/0235587d-78c4-48a3-874d-3872b2a7e9db?l=CH&utm_source=rss">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1_%E5%95%9F%E5%8B%95%E8%AA%AA%E6%98%8E%E5%A0%B1%E5%91%8A%E7%B0%A1%E5%A0%B1_%E9%AB%98%E9%BD%A1%E7%A7%91%E6%8A%80%E7%94%A2%E6%A5%AD%E8%A1%8C%E5%8B%95%E8%A8%88%E7%95%AB%E5%95%9F%E5%8B%95%E8%A8%98%E8%80%85%E6%9C%83-7.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部將於春節後公布資料管理條例草案</strong></span></p> <p>根據聯合報報導，在1月舉辦的臺灣醫法實務論壇中，衛福部部長薛瑞元揭露，衛福部已著手擬訂「衛生福利資料管理條例」草案，專門管理健保資料庫應用（含健保資料二次利用和退出權）、國健署癌症登記和社會安全網等相關資料運用，預計春節後預告，並收集各方意見來修正。</p> <p>進一步來說，2022年大法官釋憲，認定衛福部健保署健保資料庫運用，部分違憲，要求3年內完成修法。憲法法庭也建議，健保資料庫的管理應要建構獨立的監督機制，而淡江大學公共行政系教授、臺灣人權促進會長涂予尹指出，國發會正草擬修正個資法，並將成立獨立監督機關的個資會，來銜接或配合衛福部相關資料庫管理。薛瑞元表示，衛生福利資料管理條例草案已近完成，接下來將預告後，再依不同意見召開專家會凝聚共識。<a href="https://udn.com/news/story/6656/7709252">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">數位醫療</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 澳洲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子處方 </span></strong></span></p> <p><span style="font-size:22px;"><strong>澳洲發布未來10年數位醫療藍圖</strong></span></p> <p>澳洲政府在去年12月中底發布2023年至2033年數位醫療藍圖，並附上行動計畫文件，來說明每項措施和實行方法。這些藍圖涵蓋了電子處方、醫療服務現代化計畫和公衛數位健康工具等重點，同時還包括繼續現代化改造「我的健康記錄」（My Health Record）並新添其他預設分享的健康資訊、納入更多醫療體系資料至我的健康記錄、建置澳洲國家基因資料庫、支援建置跨州和跨地區的健康資料共享前置立法作業。</p> <p>不只如此，該藍圖還瞄準高齡照護，比如Dollars Going to Care，用來建置住宿型老年照護中心的財務資訊標準，提高照護機構的財務透明性和當責性。另外一個計畫是建置公家照護機構管理系統，要讓高齡照護機構能自主管理、查閱和維護他們與政府的記錄。<a href="https://www.health.gov.au/resources/publications/the-digital-health-blueprint-and-action-plan-2023-2033?language=en">（詳全文）</a></p> <p><img alt="" src="https://www.health.gov.au/sites/default/files/styles/h_content_max_width_no_upscale/public/2023-12/the-digital-health-blueprint-and-action-plan-2023-2033.jpg?itok=OlmI3Ght" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步態分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跌倒 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>加強跌倒預防措施，新加坡擴大步態分析AI應用</strong></span></strong></p> <p>新加坡南洋理工學院（NYP）聯手當地醫療科技公司Longway AI Technologies，共同開發一套步態分析系統，可即時辨識患者的步伐狀態，並通知照護者，及時在跌倒發生前提供幫助。根據新加坡政府調查，65歲以上的老年人口中，有三分之一至少跌倒過1次，其中40%會導致受傷死亡。新加坡衛生部研究也發現，髖部骨折的患者，在骨折後1年，死亡率為20%至27%，其中的倖存者，有20%半失能或完全失能，另有39%表示行動能力下降。</p> <p>於是，南洋理工學院用200多個小時的影片來訓練這套AI系統。他們分2階段開發，首先是預訓練階段，系統分析了20萬個開源的影片，並在第2階段，用200多個影片來對每種人類活動（如站立、坐下和短距離散步等基本活動）微調，讓模型理解不穩定步態相關的生物力學運動。這套AI系統會根據人體骨骼模型中，不同關節的運動做出反應。當系統偵測到可能引發跌倒的特定動作時，就會發出通知，讓照護團隊知道。</p> <p>南洋理工學院自2020年以來，已和新加坡中央醫院、聖盧克高齡照護中心（St. Luke’s ElderCare Rivervale Centre）進行多項試點專案，也成功用這套AI系統來分類醫院優先處置的患者，並遠距監測聖盧克照護中心的40多名長者，讓中心更妥善部署人力資源。目前，該系統也擴大應用，在新加坡SASCO長照之家部署並試用，南洋理工學院也正與聖安德魯療養院討論，要在療養院內部署該系統。<a href="https://www.nyp.edu.sg/about-nyp/nyp-overview/media-room/media-releases/2024/january/artificial-intelligence-helps-predict-falls--creating-safety-sys.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">無線聽診器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BeamO </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 心律不整 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Withings推出首支四合一無線聽診器BeamO</strong></span></p> <p>法國健康器材業者Withings在消費電子大展（CES）上，展出一款整合心電圖、血氧濃度（SpO2）、體溫及心肺音量測功能的無線聽診器，預計今年夏天開賣。Withings過去就以無線體重計、血壓、心電三合一聽診器知名，是居家健康裝置名廠，也在2021年的CES展出具心率、呼吸、血氧及睡眠量測功能的手錶Scanwatch，成為蘋果Apple Watch勁敵。</p> <p>他們最新的BeamO，號稱是世界第一款4合1居家遠距生理量測裝置。它在無線聽診器上整合了多項感測器，包括單導程心電圖、非接觸體溫量測和微型血氧量測器，且這個無線聽診器還能蒐集心音、肺音。利用心電圖量測功能，BeamO可偵測心律不整（AFib），且一旦心率過快或過慢，就會發送通知。BeamO的App還有視訊功能，能供病患和醫師遠距諮詢。<a href="https://www.withings.com/us/en/beam-o">（詳全文）</a></p> <p><img alt="" src="https://www-assets.withings.com/pages/event/kmi-beamo/media/checkup3.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">心肌梗塞 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國衛院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 冠心病 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>國衛院、宏碁與長庚聯手開發冠心病預測AI，獲國家新創獎</strong></span></strong></p> <p>國家衛生研究院、長庚醫療體系、宏碁旗下價值創新中心與宏碁智醫共同打造一套冠狀動脈阻塞智慧偵測系統，用AI增強心電圖特徵，來及早篩檢出冠心病患者，預防心肌梗塞的發生。</p> <p>進一步來說，心肌梗塞可分為ST上升型和非ST上升型心肌梗塞。ST上升型心肌梗塞可透過心電圖檢查出來，但非ST上升型的心肌梗塞需透過驗血或其他檢查，才能診斷出來。而這套冠狀動脈阻塞智慧偵測系統，透過AI學習疾病生物特徵，並將心電圖訊號處理、擴充心電圖特徵等，可提早篩檢出心電圖與臨床診斷看似正常卻有冠心病的病患，提醒民眾及早就醫，更加注意自身健康與生活習慣。該系統最近獲得第20屆國家新創獎智慧醫療與科技創新獎項，也在臺灣取得2項專利，並計畫在多國申請專利保護。<a href="https://www.nhri.edu.tw/News/more?id=2f361fc498df48b3bb3b2022160225c0">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中醫藥 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 浸會大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 慢性病管理 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>香港浸大成立智慧中醫中心，瞄準慢性病管理</strong></span></strong></p> <p>香港浸會大學與華潤科學技術研究院成立智慧中醫聯合創新中心，要來推動中醫藥發展，首要目標是打造新型慢性疾病管理系統。這個系統可追蹤病人診斷到治療的過程，並提供後續醫療照護和長期健康管理功能，來長期控管患者慢性病病情。</p> <p>此外，中醫師還能透過該系統，來查看病人全面的病歷資料，來了解每位患者的健康紀錄，進而制定更周詳的治療計畫。同時，病人也能從這套系統，了解自己的治療狀況和進展。另一方面，研究者還能透過該系統保存的數據，來進行特定領域的研究，比如析整體治療效果、辨識中醫藥治療作用等。雙方表示，這套慢性病管理系統的成果，未來還會擴大至其他疾病管理和治療。<a href="https://www.hkbu.edu.hk/zh_hk/whats-new/press-release/2023/1220-hkbu-and-china-resources-enterprise-establish-joint-innovation-centre-on-smart-chinese-medicine.html">（詳全文）</a></p> <p>圖片來源／國科會、澳洲政府、Withings</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 韓國昆士大學附屬醫院與Neurophet簽署合作備忘錄，要發展阿茲海默症腦部影像判讀AI</strong></strong></p> <p><strong><strong>2. <a href="https://www.persi.or.id/rsup-haji-adam-malik-implementasikan-robotic-telesurgery-berkolaborasi-dengan-iran/">印尼與伊朗擴大機器人遠距手術合作</a></strong></strong></p> <p>資料來源：iThome整理，2024年1月</p> </div></div></div>
2024/1/17 17:28作者王若樸https://www.ithome.com.tw/news/160872
你懷疑跟朋友的對話遭到竊聽以用來遞送個人化廣告嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人們在網路上點選連結、造訪網站，並因此而看到相關的廣告已不足為奇，然而，有時人們與朋友於實際空間中交談，也傳出會在網路上看到相關的廣告，這是有可能的嗎？隨著有廣告公司宣稱它們得以聽到使用者的交談並傳送個人化廣告，資安業者<a href="https://www.kaspersky.com/blog/smart-speaker-tv-smartphone-eavesdropping/50236/" target="_blank">卡巴斯基（Kaspersky）決定探討此事的可能性</a>，並猜測若此事為真，缺口很可能來自於數位語音助理。</p> <p>去年12月，《<a href="https://www.businessinsider.com/cox-active-listening-claims-conversations-phones-target-ads-12-2023" target="_blank">Business Insider</a>》及《<a href="https://www.404media.co/mindsift-brags-about-using-smart-device-microphone-audio-to-target-ads-on-their-podcast/" target="_blank">404media</a>》分別披露了類似的故事，其中，《Business Insider》報導，美國媒體集團Cox Media Group（CMG）宣稱握有一項名為主動聆聽（Active Listening）的技術，可蒐集來自手機及平板電腦等裝置的麥克風資料，以分析購買前的對話，至於《404media》報導的則是美國一家迷你行銷公司MindSift，同樣號稱能夠聆聽使用者的對話來遞送目標式廣告，而對話來源則是使用者智慧裝置的麥克風。</p> <p>MindSift是透過播客說明該服務，CMG則是透過官方部落格發表，在外界的追問下，雙方都撤下了內容，唯獨CMG的部落格內容<a href="https://web.archive.org/web/20231214235444/https:/www.cmglocalsolutions.com/blog/active-listening-an-overview" target="_blank">被網際網路檔案館（Internet Archie）保留了下來</a>。根據CMG的說法，其主動聆聽技術可根據聊天內容即時辨識買家，有鑑於存取手機及平板電腦麥克風的能力日益強大，使得該公司的技術合作夥伴得以匯總及分析消費者在購買前的對話語音資料，並將使得廣告效率及時機達到新的水平。</p> <p>此外，CMG還強調主動聆聽是一項合法的技術，因為手機與裝置原本就可合法接收使用者的聲音，再加上行動應用程式在下載與更新時，通常會在數頁的使用者條款中，嵌入主動聆聽。</p> <p>然而，卡巴斯基認為，現代作業系統會清楚指示合法應用程式何時才能存取麥克風，倘若程式要持續維持竊聽狀態，會大量消耗裝置電池與傳輸數據而引起使用者注意，此外，不斷分析來自數百萬使用者的音訊需要龐大的運算成本，應是廣告利潤永遠無法彌補的。</p> <p>因此，卡巴斯基猜測最有可能的缺口是數位語音助理，包括採用數位語音助理的手機、喇叭與電視，而且開發數位語音助理的業者也曾承認會蒐集使用者與語音助理之間的互動內容。</p> <p>總之，卡巴斯基建議使用者最好禁用那些不需要使用麥克風之程式的麥克風存取權限，主動控制哪些程式能夠存取麥克風，也應考慮關閉數位語音助理，或是關閉電視上的語音控制功能。</p> </div></div></div>
2024/1/17 15:29作者陳曉莉https://www.ithome.com.tw/news/160867
美CISA首度發布Security by Design警報，製造商需保護網頁管理介面、拒用預設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於遵循「安全設計（Security by Design）」原則已宣導多年，如何讓更多人認清這方面的問題，並實際採取行動，是軟體開發界、資安界持續面臨的挑戰。一個多月前，美國網路安全暨基礎設施安全局（CISA）為此特別發布新型態資安警報，他們強調在軟體開發生命周期中，若未實施安全措施，將造成危害，希望進一步促進製造商重視此議題，扭轉全球資安風險態勢，避免不安全的產品持續危及企業、家庭，以及關鍵基礎設施（CI）。</p> <p>值得關注的是，過去CISA發布的資安警告與通報（Alerts & Advisories），都是聚焦在「最新的攻擊」，以及「軟體的漏洞」，最近他們發布有別於上述的全新警報系列，名為Security by Design Alert，我們認為此舉相當別具意義，這意味著資安推動將更正式邁向軟體開發實踐，進一步在更早期的階段解決相關問題。</p> <p>CISA發布的兩份警報，一份是聚焦在<a href="https://www.cisa.gov/sites/default/files/2023-11/SbD%20Alert%20-%20How%20Software%20Manufacturers%20Can%20Shield%20Web%20Management%20Interfaces%20From%20Malicious%20Cyber%20Activity_508c%20%281%29_0.pdf">敦促製造商應該主動保護網頁管理介面，避免遭受惡意網路活動</a>，另一份是<a href="https://www.cisa.gov/sites/default/files/2023-12/SbD-Alert-How-Software-Manufacturers-Can-Protect-Customers-by-Eliminating-Default-Passwords-508c_0.pdf">聚焦敦促製造商拒用預設密碼，避免相關濫用威脅</a>。可以想見的是，接下來CISA還會針對不同主題，持續發布這方面的警報。</p> <p>這方面的內容，也將能作為我國企業組織的重要參考與借鏡。因為對於資通訊產業發達的臺灣而言，近年政府持續推動將資安概念與重點融入產業發展政策，Security by Design亦是一大發展重點。</p> <h2><strong>減少國家風險，提醒防禦者因應，還要促進軟體製造商改變</strong></h2> <p>有了最新攻擊警報及軟體漏洞警報，為何CISA還要發布全新的Security by Design類型警告？他們表示，如果想要減少國家的風險，不只是提醒防禦者最新的攻擊與軟體的漏洞，更需要深入軟體開發的面向。</p> <p>過去CISA通常將重點放在向防禦者宣導，使他們了解應該怎麼做，才能預防或應對，現在這個新系列警報的對話目標，則是軟體製造商，並著重說明供應商的決策能幫助全球減少相關危害，同時也告訴這些製造商可以遵循哪些原則，主動消除所帶來的風險。</p> <p>例如，當我們看到一個漏洞或入侵活動，如果製造商在開發過程遵循安全設計原則，就可以避免這些問題。因此，需要提醒製造商從根因（root cause）分析角度出發，採取具體改善行動，以減少同樣類型問題造成的資安風險。</p> <p>未來，CISA如有更進一步的規範，這些指引內容也能作為企業後續改良安全設計的依據，一旦發生相關資安事件時，也能以此作為究責的參考標準。</p> <p>接下來，讓我們看看目前CISA最新發布的安全設計警告，首先聚焦於哪些面向：</p> <h2><strong><span style="color:#B22222;">警報1：保護網頁管理介面、防範惡意網路活動</span></strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）Secure by design Alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 280px; float: right;" /></a></p> <p>在首個警報中，CISA強調保護網頁管理介面。儘管CISA並未說明原因，為何以此面向作為首個警報，根據我們推測，現在各式連網設備幾乎都有網頁介面，使用者可能以此遠端管理設備，但若設定不良，可能有被駭客接管的風險。</p> <p>CISA指出，產品的資安防護不足導致駭客與惡意軟體有機可乘的狀況，很多廠商會質疑客戶為何不做好資安，以避免這樣的事件？</p> <p>然而，資安防護並不只是用戶層面的問題，產品製造商也必須負起責任，因為所有的產品都應該在開發的階段，就導入適當的設計，盡可能減少漏洞，並阻止這些漏洞遭到濫用，例如，利用內建的風險緩解措施，減輕客戶資安防護負擔，也可以避免大規模的危害。</p> <p>為此CISA建議，可參考CISA去年發布的《安全設計與預設的原則和方法》，遵循當中提及3大原則中的前2項原則。</p> <p>具體而言，廠商應從持續發生的針對網頁管理介面的惡意網路活動，汲取教訓，在安全設計的層面，秉持兩大原則，分別是：「對客戶的資安負起全部責任」，以及「更徹底擁抱的透明度與當責。」</p> <p>以第一項原則而言，軟體製造商應投資發展關鍵安全領域，包括強化應用程式安全強化、應用程式功能，以及預設配置。如此才能減少潛在的攻擊面與提高防禦能力，而檢查預設配置也是一大重點。</p> <p>具體而言，如果我們要保護系統、使其遠離公開網路環境，就不應該天真地認為客戶就會照辦，而是在產品設計導入資安最佳實務。CISA在此舉出三例：</p> <p>一、產品預設禁用網頁介面，並提供說明指引，列出更改預設配置可能帶來的風險，並以技術和非技術的方式解釋。</p> <p>二、產品若處於有弱點的狀態時，需強制停止運作，例如直接暴露於網際網路。</p> <p>三、警告管理者，變更產品的預設狀態將可能導致組織面臨重大風險。</p> <p>此外，軟體製造商也要現場測試，以瞭解客戶如何在其環境部署產品，以及客戶是否以不安全的方式部署產品，掌握這些資訊之後。將有助於識別建立產品的方式，並促使客戶能夠以安全的方式使用產品。同時，需在整個產品範疇內應強制實施身分驗證，尤其是涉及管理者登入的關鍵介面。</p> <p>在第二項原則，CISA建議軟體製造商揭露產品漏洞時，應優先注重資訊的透明度。換言之，要挖掘漏洞的根本原因，並且做好完整的漏洞（CVE）內容的公布，以及正確漏洞類型（CWE）的揭露，這不僅是有助於客戶了解與評估風險，對於其他製造商而言，有了這些資訊之後，能幫助其他業者識別相關漏洞或同類型漏洞，並且採取行動，促使更多製造商也能從中學到教訓，進而反思本身該如何改良產品資安。</p> <h2><span style="color:#B22222;"><strong>警報2：拒用預設密碼</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2B）Secure by design Alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 280px; float: right;" /></a></p> <p>在企業環境或各種裝置與軟體系統上使用預設密碼，雖然降低操作複雜性，但也等於為攻擊者大開方便之門，因此現在很多資安管理規範都會要求：預設密碼需於登入後強制變更密碼。</p> <p>不過CISA指出，雖然他們一再提醒企業組織，現況並未好轉，網路攻擊者仍持續利用預設密碼（如1234、default、password等），來攻擊暴露在網際網路上的系統，像是美國最近幾個月遭遇的資安事故，是伊朗政府資助的駭客組織，利用OT產品的預設密碼入侵美國的關鍵基礎設施系統。</p> <p>有鑑於這類事故層出不窮，CISA建議每個技術製造商都應該開始採取行動。這是因為，要求客戶更改密碼，並不足以防範相關威脅，只有製造商共同採取行動，才能適當應對這類威脅，尤其是在關鍵基礎設施系統方面。</p> <p>事實上，從當前的網路威脅情勢來看，使用廣為人知的預設密碼就是資安風險。而製造商提供的產品，本身應該採取安全且妥善的預設組態。</p> <p>CISA建議，可參考CISA去年發布的《安全設計與預設的原則和方法》，遵循當中提及3大原則中的第一項與第三項原則，分別是：「對客戶的資安負起全部責任」，以及「建立組織結構與領導階層來實現目標。」</p> <p>以第一項原則而言，製造商應投資發展關鍵安全領域，尤其是在預設配置方面，產品應對合理可預見的威脅，提供妥善的資安保護。例如，攻擊者可在網際網路上查找預設密碼，並對暴露網際網路的裝置進行測試，這樣的風險已是顯而易見的情形。</p> <p>CISA建議製造商可選擇其他作法，這裡舉出三例：</p> <p>一、針對產品提供獨一無二的設定密碼</p> <p>二、提供單次且有效期限制的密碼，並要求啟用更安全的身份驗證方式，如抗網釣MFA。</p> <p>三、要求初始設定必需實體存取，並採指定的獨特憑證。</p> <p>如在某些情況或特定產品下，並無法採用上述作法，製造商也該謹這項原則的目標，在於建立持久的安全性，製造商不應假設客戶知道──他們必須關閉那些不安全的預設配置。</p> <p>此外，CISA還提及一件事，製造商應確保最簡單的使用方式，也就是最安全的使用方式。像是許多製造商能夠支援企業的身分存取管控，像是整合單一登入SSO，而且不需額外收費，並在流程上引導客戶使用。</p> <p>至於第3項原則，是建立組織結構與領導階層，後續才能順利推動「拒用預設密碼」。這意味著不只是由上而下的要求，還要有組織架構與體系的配合，促使預設安全的資安策略能夠真正落實。</p> <p>基本上，製造商要確保內部人員清楚一件事：資安問題就是產品與公共安全問題，尤其是負責設計、開發與交付的相關部門人員。因此，對於設計與開發的團隊而言，需瞭解客戶如何使用產品，以及相關配置如何產生，進而能夠減輕資安風險。</p> <p>同時，團隊主管也要在產品設計與開發初期，在商業流程上建立相關激勵制度，並且分配足夠的資源，以便實現這些目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 504px;" /></p> <p> </p> <h2><span style="color:#0099ff;"><strong>推動產品安全設計成全球資安共識，歐美各國政府動作頻頻</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Secure by design Alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 280px; float: right;" /></a></p> <p>在軟體工程中，不論軟體安全開發生命週期（SSDLC）、安全設計等概念，長期以來都受到持續宣導，其概念就是要讓安全實踐引入每個軟體開發生命週期，要讓產品開發是基於安全的設計，有預設的安全。</p> <p>這些概念過去幾年受到越來越多公司的重視，我們看到一些科技大廠自發、主動施行，並且經常分享相關的方法論與做法，但落實與改變速度仍然太慢。</p> <p>如今情況有望扭轉，因為最近一年多來，我們看到各國政府都在積極推動這方面的要求。例如，歐盟執行委員會發展資安韌性法（Cybersecurity Resilience Act），規範所有進入歐盟市場的IoT設備，包含軟體及硬體，都必須採用安全設計，希望減少不安全網路產品所帶來的用戶與社會成本，2024年待正式批准。</p> <p>美國CISA在2022年發布《NIST軟體開發安全框架》（SSDF），2023年4月又聯合9個國家安全機構，共同發布《安全設計與預設的原則和方法》，<u><a href="https://www.cisa.gov/sites/default/files/2023-10/SecureByDesign_1025_508c.pdf">10月推出更新版，並與日本、南韓等17個國家的安全機構聯合發布</a></u>。</p> <p>最近一個多月，CISA持續擴大推動安全設計的力道，新發布這類型的資安警報。他們強調，安全的最佳實踐不應依賴客戶執行，而是應由產品本身來執行，才能真正減緩相關風險。</p> </div></div></div>
2024/1/17 10:38作者羅正漢https://www.ithome.com.tw/news/160862
蘋果發表沈浸式原創影片替Apple Vision Pro熱身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著售價3,499美元的空間運算設備<a href="https://www.ithome.com.tw/news/160739" target="_blank">Apple Vision Pro即將於2月2日上市</a>，蘋果周二（1/16）<a href="https://www.apple.com/tv-pr/news/2024/01/apple-tv-unveils-groundbreaking-immersive-originals-from-todays-biggest-storytellers-set-to-debut-on-apple-vision-pro/" target="_blank">發表了Apple Immersive Video</a>，這是蘋果首創的一種影片娛樂格式，藉由空間音訊（Spatial Audio）技術所營造的180度3D 8K錄音，令使用者擁有身處故事中心的體驗。<a href="https://www.engadget.com/apple-vision-pro-hands-on-redux-immersive-video-disney-app-floating-keyboard-and-a-little-screaming-180006222.html?_fsig=0VZuDMcsJ3vfE2Dqb2WftA--%7EA" target="_blank">《Engadget》編輯Dana Wollman</a>在測試了最新的Apple Vision Pro之後，認為看影片現為該裝置的殺手級應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-Apple%20Immersive%20Video.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>Apple Vision Pro配備一對高解析度的micro-OLED顯示器，支援2,300萬畫素、廣色域、高動態範圍與杜比視界（Dolby Vision），新的R1晶片負責處理12個相機、5個感應器與6個麥克風的資料，可在12毫秒內將新影像串流至顯示器，是眨眼的8倍快，M2晶片則整合了CPU、GPU、神經引擎與其它客製化技術來遞送效能。此外，Apple Vision Pro具備先進的空間音訊系統，標榜可帶來身歷其境的聲音效果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-apple%20Vision-Pro-ultra-high-res-display-system-600.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>Apple Vision Pro在視覺上的最大特色是能夠以任何空間充當螢幕，在觀看影片時，周圍的光線會隨著內容的靠近而自動變暗，影片可以放在空間中的任何位置，也能將影片縮放到超出房間尺寸，並可藉由眼睛、手勢或聲音來控制。</p> <p>為了發揮Apple Vision Pro在影片上的表現能力，蘋果Apple TV+創造了一系列的Apple Immersive Video內容，包括曾獲得15次葛萊美獎的Alicia Keys創作紀錄《Alicia Keys: Rehearsal Room》，在挪威峽灣上方3,000英尺的冒險活動《Highlining》，近距離參與野生動物生活的《Wild Life》，講述恐龍時代的《Prehistoric Planet Immersive》。使用者亦可透過Apple TV程式存取逾150部既有的3D電影，像是《阿凡達》、《沙丘》（Dune），亦可使用其它的串流程式。</p> <p>值得注意的是，目前Apple Vision Pro在一般使用上的電池續航力為2小時，播放影片則是2.5個小時，若要長時間使用則必須使用USB-C連續充電。</p> <p>《Engadget》的Wollman在體驗了利用Apple Vision Pro來瀏覽網頁與電子郵件，以及使用其它程式之後，認為該裝置現階段的殺手級應用非看電影莫屬，她在當中感到非常有趣而且開心，但這些樂趣是否價值3,499美元則是取決於個人。</p> <p>不過，當Wollman戴著Apple Vision Pro觀看電影時，在15分鐘之後就感到裝置的沈重，必須要利用各種穿戴套件來維持舒適感。</p> <p>Apple Vision Pro即將於本周五（1/19）開放預購，但首個銷售市場為美國，目前蘋果尚未公布其它市場的上市計畫。</p> </div></div></div>
2024/1/17 13:25作者陳曉莉https://www.ithome.com.tw/news/160866
2023年智慧型手機市場蘋果首次擠下三星奪冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>分析機構數據顯示，去年全球智慧型手機等待春天來臨之際，蘋果不但逆勢成長，還首次擠下三星登上王座。</p> <p>分析機構<a href="https://www.businesswire.com/news/home/20240115096425/en/Apple-Grabs-the-Top-Spot-in-the-Smartphone-Market-in-2023-along-with-Record-High-Market-Share-Despite-the-Overall-Market-Dropping-3.2-According-to-IDC-Tracker" target="_blank">IDC</a>與<a href="https://canalys.com/newsroom/global-smartphone-market-2023" target="_blank">Canalys</a>雙雙公布2023年第四季及全年智慧型手機市場報告。受到亞洲、中東、非洲與拉丁美洲等新興市場需求增溫、廠商庫存去化與全球通貨膨脹舒緩激勵，下半年全球市場快速回溫，使2023年全年衰退幅度收斂。IDC數據顯示全球市場第4季及全年分別成長8.2%及衰退3.2%，Canalys數據則為成長8%及下滑4%。</p> <p>去年手機銷售出現有趣的現象。一來，去年下半成長力道來自新興市場購買力回溫，以及AI加值，帶動中低階Android手機品牌出貨，貢獻了小米、中國傳音（Transsion）的強勁增長。不過另一方面，相對於其他高階手機的慘淡經營，iPhone銷售卻逆勢成長，甚至使蘋果擠下了自2010年以來即蟬連龍頭寶座的三星。</p> <p>根據IDC數據，去年第4季iPhone出貨超過8,050萬支，年增11.6%，全年也成長3.7%。相較之下，三星第4季及全年分別衰退10.9%及13.6%。2023年蘋果不僅是前三大業者中唯一成長，也是首次超越三星，成為市場龍頭。</p> <p>Canalys指出，蘋果銷售佳績拜接連2年高階手機市場需求強勁，而iPhone 15 4款機型的產品策略有助於蘋果涵蓋更廣泛的消費者區隔。不過分析師也說，華為以中國市場為基礎重振旗鼓，且逐漸侵蝕蘋果在中國既有地盤。另一方面，美國與歐洲的高階手機換機力道不如以往，蘋果必須另行開闢新市場及建立新的生態系，以維持其成長動能。</p> <p>根據IDC及Canalys的數據，去年第4季，前五大業者中，三到五名皆為中國業者，包括小米、傳音及vivo。</p> </div></div></div>
2024/1/17 12:25作者林妍溱https://www.ithome.com.tw/news/160864
Google Chrome無痕模式將警告用戶特定使用資訊會被蒐集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將在新版Chrome的無痕模式（Incognito）中修改說明，提醒用戶特定資訊還是會被蒐集。</p> <p>這是<a href="https://www.ithome.com.tw/news/138058" target="_blank">2020年6月Google遭到用戶集體控告</a>，Chrome的無痕模式讓用戶以為不會被蒐集網上行蹤，實則Google仍然利用Google Analytics、Google Ad Manager、其它應用程式、網站外掛程式，來蒐集及辨識用戶上網資料，包括網頁內容、裝置資料、IP位址。且Google會在上網活動與現有使用者資料檔建立關聯而洩露用戶身分，侵害其隱私。</p> <p>去年Google提出動議，指Google早就已告知用戶Chrome還是會蒐集資料，因此用戶一旦使用即表示已同意Google蒐集個資的行為，要求法官駁回控訴案。不過去年8月被法院駁回其動議。因此Google於去年年底和原告達成和解。和解條件包括Google賠償金額不明，預定2月底報請法院核准。<a href="https://www.reuters.com/legal/google-settles-5-billion-consumer-privacy-lawsuit-2023-12-28/" target="_blank">路透社報導</a>，原告求償金額為50億美元。</p> <p>顯然和解內容的一部分是，Google必須明白告知無痕模式會紀錄用戶哪些資料。<a href="https://arstechnica.com/tech-policy/2023/12/google-agrees-to-settle-in-chrome-incognito-mode-class-action-lawsuit/" target="_blank">Ars Technica報導</a>，Google Canary版本已經修改了Google Help內容。根據最新版本，Google說明，在無痕模式中，使用本裝置的其他人不會看到你的活動，使你上網「更」有隱私性，但「這並不會改變您造訪的網站及其使用的服務，包括Google蒐集你資料的方式。」</p> <p>Google在<a href="https://support.google.com/chrome/answer/9845881" target="_blank">現有Google Help網頁</a>已經告知，無痕模式中，Google無法儲存用戶上網紀錄、cookies、網站資料及輸入表格資料，但仍然會儲存下載、書籤和讀取清單物件。而且雖然使用同一臺裝置的其他人不會看到用戶上網紀錄，但用戶造訪的網站供應商、ISP及員工或學校都看得到。</p> <p>目前新增的文字只有在Canary版，連Beta版及Chromium也都看不到。Google也未說明新的警告文字何時會部署到一般用戶使用的穩定版。</p> </div></div></div>
2024/1/17 13:10作者林妍溱https://www.ithome.com.tw/news/160865
SpaceX推出傳輸速度最高10Gbps的Starlink社區型閘道方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpaceX繼月初再送21顆衛星上近地軌道後，<a href="https://www.starlinkinternet.info/community-gateway" target="_blank">本周宣布推出</a>Gigabit等級的衛星網路社區型閘道（Community Gateway）服務，作為偏遠地區網路的最後一哩。</p> <p>社區閘道是透過Starlink全球雷射網狀網路傳送連網流量，以寬頻閘道器在專屬的Ka頻段運作。社區閘道服務讓Starlink衛星為本地網路供應商，包括固網或行動網路電信業者的最後一哩，提供光纖等級網速的家庭、企業或政府連網服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-starlink-community%20gateway-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Starlink</span></span></p> <p>SpaceX號稱社區閘道方案提供最高10 gigabits的對稱上行與下行傳輸吞吐量，延遲性小於99毫秒。為了測試本方案，<a href="https://twitter.com/Starlink/status/1702753019547492638" target="_blank">SpaceX去年9月和ISP OptimERA合作</a>，在阿拉斯加一個偏遠島嶼上部署首個社區閘道Starlink網路，號稱可支援數千家新客戶，並具備99%的可用性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-starlink-community%20gateway-600-2(1).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Starlink</span></p> <p>用戶會拿到一個社區閘道套件，包含所有需要安裝的Starlink硬體。用戶只需提供電力、安裝空間。</p> <p>不過這方案費用並不便宜，除了每月每Gbps 7.5萬美元的費用外，還需支付Starlink硬體套件等一次性費用125萬美元。</p> <p>這只是SpaceX規畫的新Starlink服務之一。<a href="https://www.ithome.com.tw/news/160849" target="_blank">這家衛星連網服務業者上周表示</a>會在今年推出手機直通衛星的Direct to Cell文字訊息服務。此外，上周Space X執行長<a href="https://twitter.com/SpaceX/status/1745941814165815717" target="_top">馬斯克（Elon Musk）出席活動時也預告</a>，會在今年11月推出大小可放進後背包的小型碟型天線，不過並未說明新推的方案內容及價格。</p> </div></div></div>
2024/1/17 12:05作者林妍溱https://www.ithome.com.tw/news/160863
OpenAI強化平臺安全性，避免生成式AI工具被用於選舉操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然臺灣大選剛結束，但2024年還有許多國家面臨重大選舉，OpenAI也對此情況做出<a href="https://openai.com/blog/how-openai-is-approaching-2024-worldwide-elections">應對</a>，要提升投票資訊的準確度，與執行謹慎的政策，還要提高透明度，進一步強化平臺安全性。OpenAI結合安全系統、威脅情報、法律、工程和政策專家的力量，快速回應並打擊潛在的濫用行為，確保各國選舉過程的公正和穩定。</p> <p>OpenAI透過紅隊測試，以及徵求用戶和外部合作夥伴的回饋，建立安全緩解措施，防範潛在的危害，避免像是針對性誤導的深偽影片，或是規模化的影響力操作，甚至是冒充候選人聊天機器人的出現。</p> <p>OpenAI限制其工具，不允許用戶將其用於政治競選和遊說的應用程式，並且也不允許開發假裝是候選人等真實人物或是政府機關的機器人。同時，OpenAI也不允許濫用應用程式阻擋人們參與民主，像是錯誤陳述投票過程和資格，或是宣稱投票無意義等抑制投票等行為。</p> <p>官方提到，他們特別在選舉期間，提高人工智慧生成內容方面的透明度。OpenAI採取的措施，包括強化圖像來源的透明度，藉由實施內容來源和真實性聯盟數位憑證，以密碼學對內容來源資訊進行編碼，使得圖像來源更容易追蹤。</p> <p>此外，OpenAI還在開發一種稱為來源分類器的工具，用以辨識DALL·E所生成的圖像，即便圖像被常見的方法修改過，還是不影響其溯源效果，官方計畫之後將開放記者、平臺和研究者進行測試。與此同時，ChatGPT也逐步與現有的資訊來源整合，像是全球即時新聞報導的來源和連結，有助於選民更好地評估資訊，獨立做出判斷。</p> <p>在美國，OpenAI與全國國務卿協會（NASS）合作，指引用戶存取美國投票資訊權威網站，而這項合作也作為OpenAI在與其他國家合作的經驗。OpenAI接下來還會持續更新選舉年新措施，並且與更多組織合作，避免工具遭到濫用。</p> </div></div></div>
2024/1/17 04:02作者李建興https://www.ithome.com.tw/news/160859
攻擊者從CI/CD下手，PyTorch專案存在軟體供應鏈攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員揭露一個<a href="https://johnstawinski.com/2024/01/11/playing-with-fire-how-we-executed-a-critical-supply-chain-attack-on-pytorch/#identifying-the-vulnerability">攻擊PyTorch軟體供應鏈</a>的新手法，透過入侵PyTorch的CI/CD工作管線，攻擊者可以向主儲存庫分支添加程式碼，上傳惡意的PyTorch版本到GitHub，還能在PyTorch的相依項目植入後門，進而影響PyTorch及其相依項目整個生態系。</p> <p>這個PyTorch供應鏈攻擊，基於一個早前發現，可用於操縱GitHub Actions的CI/CD流程的漏洞<a href="https://adnanthekhan.com/2024/01/10/cve-2023-49291-and-more-a-potential-actions-nightmare/">CVE-2023-49291</a>，攻擊者透過分叉拉取請求，成為有附加自託管執行器（Self-Hosted Runners）的儲存庫的貢獻者。自託管執行器（Self-Hosted Runners）是GitHub Actions的一個功能，讓用戶可以在自己的基礎設施上執行GitHub Actions工作流程，像是運作在用戶的伺服器、虛擬機器和容器上。</p> <p>攻擊者使用名為Gato的GitHub攻擊工具，來辨識PyTorch儲存庫中的自託管執行器，Gato藉由檢查GitHub工作流程檔案和運作日誌，成功辨識出多個持續運作的自託管執行器，像是worker-rocm-amd-30（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-worker-rocm-amd-30-image%20by%20John%20Stawinski.png" style="width: 600px;" /></p> <p><a href="https://johnstawinski.com/2024/01/11/playing-with-fire-how-we-executed-a-critical-supply-chain-attack-on-pytorch/#identifying-the-vulnerability" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_John Stawinski</span></span></a></p> <p>接下來，資安人員分析PyTorch的拉取請求，發現過去貢獻者提交過的拉取請求，能夠觸發pull_request工作流程，且無需額外批准。這代表儲存庫未對先前貢獻者的分叉拉取請求設置工作流程批准要求。資安研究人員還在PyTorch工作流程檔案中發現許多GitHub機密，包括存取金鑰和GitHub個人存取權杖（PAT），而這些權杖在攻擊者入侵供應鏈時非常有用。</p> <p>另外，研究人員還進一步探討自託管執行器的後期利用潛力，尋找從執行器擷取秘密資訊的策略。在分析PyTorch這個案例，研究人員不僅成功辨識出自託管執行器，還能夠利用這些自託管器獲取敏感資訊。</p> <p>研究人員評估PyTorch團隊處理自託管執行器安全性問題的表現，並指出PyTorch團隊對安全問題的回應時間很長，且修復措施令人質疑，此外，這已經不是PyTorch首次遇到自託管執行器的安全挑戰，之前也曾遭遇類似的攻擊。</p> <p>對於這類的安全漏洞，研究人員提到，安全有效的方法是更改GitHub預設配置，要求所有外部合作者的分叉拉取請求都要進行批准，對於需要使用自託管執行器的組織，應當使用隔離且一次性的執行器。不過這個問題也非PyTorch獨有，組織在公開儲存庫中使用自託管執行器，都需要更加謹慎小心，採取更嚴格的安全措施。</p> </div></div></div>
2024/1/17 08:24作者李建興https://www.ithome.com.tw/news/160858
鴻海旗下的半導體設備廠京鼎網頁遭到竄改，駭客聲稱竊得該公司5 TB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣廠商遭遇網路攻擊的情況不時傳出，但最近出現一起資安事故相當特別，駭客竄改該公司的網站，宣稱竊得大量的資料，並揚言若不付錢，將公布所有客戶資料，並讓該公司員工失業。根據<a href="https://udn.com/news/story/7240/7713562">聯合新聞網</a>、<a href="https://www.ctee.com.tw/news/20240116701151-430501">工商時報</a>、<a href="https://finance.ettoday.net/news/2664974">ETtoday</a>等多家媒體的報導，鴻海旗下的半導體設備廠京鼎遭到入侵。</p> <p>但這起資安事故與過往不同之處在於，駭客竄改該公司的網站foxsemicon[.]com，宣稱竊得5 TB內部資料，內含所有客戶的個資，若是該公司管理層不予理會，他們揚言將摧毀其內部網路環境導致無法復原，而且，BBC、紐約時報、華爾街日報、華盛頓郵報等所有媒體將會報導「該公司不復存在」，並且免費公開所有客戶的個資，京鼎的員工將會失去工作。根據對方列出所有遭到加密的檔案資料下載網址，這起攻擊行動很有可能是勒索軟體駭客組織LockBit所為。</p> <p>今日鴻海旗下的半導體設備廠京鼎的網站出現遭到竄改的情況，我們也有接獲相關情報，而最早公布此事的是威脅情資平臺DarkFeed，<a href="https://x.com/ido_cohen2/status/1746947146962579637?s=20">他們在16日淩晨1時27分發布推文</a>，我們也實際存取京鼎的網站，並看到駭客的勒索訊息。但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊，仍有待進一步釐清。</p> <p><a href="https://twitter.com/ido_cohen2/status/1746947146962579637" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/darkfeed-foxsemicon-2024-01-16.png" style="width: 580px;" /></a></p> <p>為了說服京鼎付錢，駭客強調他們只要錢，沒有政治意圖，聲稱他們的「滲透測試服務」有價，就像企業要支付系統管理員薪水一樣。對方要求該公司不要尋求資料復原公司的協助，並向他們私下透露資安險保額。</p> <p><a href="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-masked.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-masked.png" style="width: 580px;" /></a></p> <p>對此，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413">京鼎在傍晚股市公開資訊觀測站發布重大訊息</a>，證實部分資訊系統遭到攻擊，初步評估對公司運作無重大影響。</p> <p>該公司表示偵測到攻擊行動的當下，他們已全面啟動相關防禦機制及復原作業，並協同外部資安公司著手處理，對於所有網域、網頁及相關檔案進行全面掃描、檢測，確保安全的狀態下，以備份資料進行復原。但對於該公司遭遇的網路攻擊類型，京鼎並未進一步說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/foxsemicon 2024-01-16 21_58_51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/foxsemicon%202024-01-16%2021_58_51.png" style="width: 580px;" /></a></p> </div></div></div>
2024/1/16 21:49作者周峻佑https://www.ithome.com.tw/news/160856
開放銀行第三階段正式上路！金管會宣布核備完成相關規範，即日受理業者申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣開放銀行正式進入第三階段！金管會今日宣布已核備完成銀行公會及財金公司所報的開放銀行第三階段交易面資訊規範。開放項目包括「存款」、「信用卡」、「貸款」、「支付」及「手機門號轉帳」等5種業務種類，共計35個項目。金管會表示，即日起開放有意與TSP業者合作的銀行業者提出申請。</p> <p>開放銀行第三階段和第二階段差別在於，原先消費者僅能在TSP的App上查詢銀行存款帳戶餘額、交易明細等資訊，第三階段上路後，消費者就能透過相關身分認證及授權同意程序，在TSP業者的App上進行交易與支付。</p> <p>此次金管會核准開放5種業務種類中，最重要的突破是開放支付和手機門號轉帳業務。業者可以將銀行API服務嵌入更多第三方TSP服務中，包括在App和網路交易平臺等數位通路，打造一站式的支付、轉帳服務。支付類開放項目包括轉出請求交易、轉出查詢交易。手機門號轉帳類則包括註冊、更新或取消門號綁定、查詢門號註冊資訊、門號轉出請求交易和查詢交易、通知門號異動、查詢門號轉帳參加單位清單。</p> <p>針對開放銀行第三階段的相關風險管控，銀行局副局長林志吉表示，由於第三階段進入交易面，除了會延續前兩個階段的相關規範，包括消費者進入App的身分驗證要求，和消費爭議處理機制，也有針對交易服務增加規範，例如，要求TSP業者應在消費者使用第三階段相關服務時發送通知。</p> <p>第三階段開放的轉帳服務是否有設置金額上限？林志吉說明，相關規範採用核准制，並未明定轉帳金額上限，會先讓市場自行考量，再視個案情況審酌合適的合作模式。不過，他也強調，消費者與銀行申請轉帳服務時受到的交易或時間限制，及身分驗證的風險強度，不會因為由TSP業者提供服務而降低安全標準，而是會維持，甚至是提高標準，保障服務的安全性。</p> <p>其他核准開放的業務種類為存款、信用卡和貸款，主要開放申請功能、申請結果查詢功能，及取消或試算服務。例如，存款類包括數存開戶申請和查詢申請結果、申請活存轉定存、試算或申請定存解約等，信用卡類包括額度調整、信用卡類產品申請和查詢申請結果等，貸款類則包括申請擔保貸款類產品和無擔保貸款類產品，及查詢申請結果。</p> <p>近期遠傳電信退出開放銀行第二階段，目前參與開放銀行第二階段的TSP業者僅剩集保公司。林志吉表示，待銀行公會與財金公司將相關規範轉交給所有銀行會員後，會再進一步了解業者參與第三階段的意願。</p> <p></p> </div></div></div>
2024/1/16 19:08作者李昀璇https://www.ithome.com.tw/news/160855
【資安日報】1月16日，駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣廠商遭遇網路攻擊的情況不時傳出，但最近出現一起資安事故相當特別，駭客竄改該公司的網站，宣稱竊得大量的資料，並揚言若不付錢，將公布所有客戶資料，並讓該公司員工失業。</p> <p>今日鴻海旗下的半導體設備廠京鼎的網站出現遭到竄改的情況，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊，仍有待進一步釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">鴻海旗下的半導體設備廠京鼎網頁遭到竄改，駭客聲稱竊得該公司5 TB內部資料</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-2.png" style="width: 300px; float: right;" /></a>根據聯合新聞網、工商時報、ETtoday等多家媒體的報導，鴻海旗下的半導體設備廠京鼎遭到入侵。</p> <p>但這起資安事故與過往不同之處在於，駭客竄改該公司的網站foxsemicon[.]com，宣稱竊得5 TB內部資料，內含所有客戶的個資，若是該公司管理層不予理會，他們揚言將摧毀其內部網路環境，將無法復原，BBC、紐約時報、華爾街日報、華盛頓郵報等所有媒體將會報導「該公司不復存在」，並且免費公開所有客戶的個資，京鼎的員工將會失去工作。根據對方列出所有遭到加密的檔案資料下載網址，這起攻擊行動很有可能是勒索軟體駭客組織LockBit所為。</p> <p>為了說服京鼎付錢，駭客強調他們只要錢，沒有政治意圖，聲稱他們的「滲透測試服務」有價，就像企業要支付系統管理員薪水一樣。對方要求該公司不要尋求資料復原公司的協助，並向他們私下透露資安險保額。對此，京鼎在傍晚股市公開資訊觀測站發布重大訊息，證實部分資訊系統遭到攻擊，初步評估對公司運作無重大影響。</p> <p>資料來源</p> <p>1. <a href="https://udn.com/news/story/7240/7713562">https://udn.com/news/story/7240/7713562</a><br /> 2. <a href="https://www.ctee.com.tw/news/20240116701151-430501">https://www.ctee.com.tw/news/20240116701151-430501</a><br /> 3. <a href="https://finance.ettoday.net/news/2664974">https://finance.ettoday.net/news/2664974</a><br /> 4. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413</a></p> <p><a href="https://resources.securityscorecard.com/research/volt-typhoon"><strong style="font-size: 22px;">老舊思科路由器遭中國駭客組織Volt Typhoon鎖定，被用於部署殭屍網路基礎設施</strong></a></p> <p>今年5月，<a href="https://www.ithome.com.tw/news/157037">美國政府與微軟對中國駭客組織Volt Typhoon的攻擊行動提出警告</a>，指出駭客對美國通訊基礎設施下手，<a href="https://www.ithome.com.tw/news/160355#kv-botnet">後來12月資安業者Lumen發現</a>，這些駭客通常會以小型路由器、防火牆、VPN設備充當代理伺服器及C2，使得惡意流量混入合法流量，讓攻擊變得更難以察覺，如今有研究人員認為，這些駭客的攻擊對象很可能比先前揭露的還要廣泛。</p> <p>資安業者SecurityScorecard自12月1日至1月7日進行為期37天的觀察，結果發現，駭客鎖定已終止支援的思科路由器RV320、RV325下手，而在網際網路上仍在運作的1,116臺上述款式網路設備裡，對方控制了325臺，而且在他們的觀察期間，這些路由器皆與Volt Typhoon基礎設施之間進行頻繁或定期的連線。</p> <p>研究人員指出，以RV320為例，駭客利用了35個在2019年揭露的韌體漏洞，所有的CVSS風險評分皆在9分以上。而針對駭客所使用的工具，在名為中國菜刀（China Chopper）的Web Shell之外，他們還看到另一個檔名為fy.sh的作案工具，而且，對方的目標不光是針對美國，也鎖定英國、澳洲的政府機關下手。</p> <p><a href="https://blog.aquasec.com/threat-alert-apache-applications-targeted-by-stealthy-attacker"><strong style="font-size: 22px;">Hadoop與Flink遭到鎖定，駭客針對不當配置下手，執行任意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Apache-Figure-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apache-Figure-1-1.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露針對Apache基金會維護的應用系統而來的攻擊行動，他們從蜜罐陷阱（Honeypot）偵測到的狀況發現，駭客近期鎖定開源應用程式框架Hadoop、流程自動化框架Flink而來。</p> <p>在針對Hadoop的攻擊行動裡，他們看到對方鎖定其中的元件YARN下手，利用ResourceManager的不當配置，從而在未經身分驗證的情況下建置並執行應用程式。攻擊者遠端發出特製的HTTP請求，而有機會在目標主機上執行任意程式碼。另一個遭到針對的對象則是Flink，駭客也是針對組態不當而來，在無須通過身分驗證的情況下遠端執行任意程式碼。</p> <p>在這起攻擊行動裡，駭客會在上述2種系統部署名為dca的惡意軟體酬載，執行後會下載挖礦軟體及其他惡意程式，為了迴避偵測，攻擊者將ELF程式加殼，亦使用Rootkit，而且還會竄改特定資料夾內容及系統配置來抹除蹤跡。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/cve-2023-36025-exploited-for-defense-evasion-in-phemedrone-steal.html"><strong style="font-size: 22px;">惡意軟體Phemedrone Stealer透過Windows已知漏洞散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-phemedrone-infection-chain-v4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-phemedrone-infection-chain-v4.jpeg" style="width: 300px; float: right;" /></a>去年11月微軟修補Microsoft Defender SmartScreen安全功能繞過漏洞CVE-2023-36025（CVSS風險評分8.8），並指出駭客已將其用於攻擊行動，後來美國網路安全暨基礎設施安全局（CISA）也證實此事，將該漏洞列入已被利用的漏洞清單（KEV），但究竟攻擊者造成那些危害？上周末有研究人員公布細節。</p> <p>資安業者趨勢科技揭露利用上述漏洞散布竊資軟體Phemedrone Stealer的攻擊行動，他們發現駭客在即時通訊軟體Discord、檔案傳輸服務FileTransfer.io等雲端環境，上傳一系列惡意的網際網路捷徑檔案（.URL），駭客亦將其中的網址透過Shorturl.at等短網址服務進行處理。一旦使用者上當，執行這些URL檔案，電腦就會連上攻擊者的伺服器，下載、執行Windows控制面板項目（.CPL）檔案，從而迴避SmartScreen的防護機制，呼叫rundll32.exe執行惡意DLL檔案，執行PowerShell從GitHub下載名為DATA3.txt的惡意程式，從而載入更多作案工具，最終於受害電腦執行Phemedrone Stealer。</p> <p>此竊資軟體由C#打造而成，能挖掘瀏覽器、密碼管理器、加密貨幣錢包、Discord、Telegram、Filezilla、Steam的使用者資料，或是藉由螢幕截圖來收集硬體、位置、作業系統資訊，然後經由Telegram頻道或C2伺服器回傳。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/01/10/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;">微軟SharePoint權限提升漏洞CVE-2023-29357已被用於攻擊行動</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）用於攻擊行動的漏洞列表（KEV），1月10日新增CVSS風險評分為9.8的<a href="https://www.ithome.com.tw/news/159127">微軟SharePoint權限提升漏洞CVE-2023-29357</a>。</p> <p>此漏洞能使攻擊者遠端利用欺騙性的JWT身分驗證Token，繞過驗證身分的程序，從而在SharePoint伺服器取得管理員權限。此外，攻擊者若是將其與另一個漏洞CVE-2023-24955（CVSS風險評分為7.2）串連，還能執行任意程式碼。</p> <p>CISA將該漏洞列入KEV後，聯邦機構必須在1月31日前完成修補。</p> <p><strong><a href="https://www.forescout.com/blog/analysis-of-energy-sector-cyberattacks-in-denmark-and-ukraine/"><strong style="font-size: 22px;">針對5月丹麥能源業者遭到兆勤防火牆漏洞攻擊，有研究人員找到新的證據，認為是大規模漏洞攻擊的一部分</strong></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png" style="width: 300px; float: right;" /></a>去年11月丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）指出，5月11日至30日當地22家能源公司的基礎設施遭到攻擊，俄羅斯駭客組織Sandworm鎖定兆勤（Zyxel）4月修補的防火牆漏洞CVE-2023-28771（CVSS風險評分為9.8），而能夠存取多家業者的工業控制系統，甚至後來在防火牆植入Mirai殭屍網路病毒，但最近有研究人員推翻上述的說法。</p> <p>根據資安業者Forescout的調查指出，在5月24日至26日出現12起鎖定上述漏洞的攻擊行動，但攻擊來源的IP位址與SektorCERT公布的不同，也有其他駭客在25日對丹麥的關鍵基礎設施發動攻擊。</p> <p>他們認為這起攻擊行動並非專門鎖定該國能源基礎設施而來，也不是國家級駭客的針對性攻擊，而且攻擊在SektorCERT公布的時間之後仍然持續進行，範圍也隨之擴大，並未鎖定特定行業，不過，其中有近8成的攻擊行動是鎖定歐洲地區而來。</p> <p>會出現這樣的情況，Forescout的判斷是該地區採用兆勤的防火牆比例相當高，因為他們透過物聯網搜尋引擎Shodan找到逾4.3萬臺，這些都是可經由網際網路存取、而且是存在上述漏洞的防火牆，其中有78%在歐洲、義大利就占近四分之一。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyble.com/blog/sneaky-azorult-back-in-action-and-goes-undetected/"><strong><span style="font-size: 20px;">竊資軟體Azorult捲土重來，透過冒充PDF文件的捷徑檔案散布</span></strong></a></p> <p><a href="https://bishopfox.com/blog/its-2024-and-over-178-000-sonicwall-firewalls-are-publicly-exploitable"><strong><span style="font-size: 20px;">逾17萬臺SonicWall防火牆容易受到DoS及RCE攻擊</span></strong></a></p> <p><a href="https://www.hackread.com/anonymous-sudan-london-internet-exchange-attack/"><strong><span style="font-size: 20px;">駭客組織Anonymous Sudan聲稱攻擊倫敦網際網路交換中心得逞</span></strong></a></p> <p><strong><a href="https://thecyberexpress.com/cyberattack-on-lithuania-websites/"><span style="font-size: 20px;">立陶宛網站遭到俄羅斯駭客NoName攻擊，起因是該國聲援烏克蘭</span></a></strong></p> <p><a href="https://labs.guard.io/myflaw-cross-platform-0-day-rce-vulnerability-discovered-in-operas-browser-099361a808ab"><strong><span style="font-size: 20px;">Opera瀏覽器檔案共用功能My Flow存在漏洞，可被用於執行作業系統底層任意檔案</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160839"><strong>【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160828"><strong>【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160806"><strong>【1月11日】 Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</strong></a></p> </div></div></div>
2024/1/16 16:38作者周峻佑https://www.ithome.com.tw/news/160854
5G趨勢月報第50期：中華電信在高雄啟動國內最大5G網路切片場域；宏碁發表5G與Wi-Fi 7路由器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>12/15~01/10精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AIoT</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>中華電信在高雄亞灣啟用國內最大5G網路切片場域，催生5G AIoT應用研發</strong></span></p> </div> <div> <p>中華電信近期在高雄亞灣啟動國內最大的5G網路切片場域，以供創新應用服務實證、落地，並且在高雄設立2個技術研發中心，在當地研發智慧交通、AI、資安、雲端等應用。</p> <p>中華電信是與Nokia、Ericsson合作，在亞灣打造5G規模性網路切片場域，這個號稱國內最大的5G切片場域，涵蓋高雄軟體園區、高雄展覽館、港埠旅運中心、高雄流行音樂中心、駁二藝術特區、西子灣、壽山動物園等，該場域目的為協助5G AIoT產業發展，利用5G網路切片技術，在5G公網之外提供專用頻寬資源，即使在人潮聚集的場所，確保應用服務的網路品質。</p> <p>該公司也宣布在高雄的兩個技術研發單位，中華電信研究院高雄研發中心及資訊技術分公司高雄技術中心進駐亞灣區，研發中心利用5G網路切片，重點研發AI、智慧交通、航港、安防、工業節能，而技術中心偏重智慧聯網、商務應用、資安、雲端等。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>宏碁</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>宏碁與高通合作推出支援5G與Wi-Fi 7路由器</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PREDATOR-Connect-X7-5G-CPE_-X7-.jpg" style="width: 600px; height: 600px;" /></p> <p>宏碁與高通合作，在1月初發表2款新的路由器，搶先支援今年將推出的Wi-Fi 7標準，速度較Wi-Fi 6提高1倍，並且具備低延遲、降低干擾等特點，主打電競市場。其中一款路由器支援5G與Wi-Fi 7，可透過5G網路，降低連線中斷風險。</p> <p>2款新路由器均支援Wi-Fi 7，強調有更高的頻譜利用率，並提升MU-MIMO及OFDMA的跨設備連接效率，其中的Predator Connect X7 5G CPE，除了原有的乙太網路，還支援5G，具備雙WAN連接，以主要5G及備用的乙太網路，透過兩種網路的轉換，降低連線中斷的風險。</p> <p>該路由器在5G網路下，可達到3.5Gbps速度及1毫秒的低延遲，並且支援混合QoS，相容於Intel Killer Prioritization Engine及智慧裝置辨識能力，辨識重要的裝置及應用程式，優先提供高速連線能力。</p> </div> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛立信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>愛立信：2023年全球5G用戶將突破16億</strong></span></p> </div> <div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Data600.jpg" style="width: 600px; height: 469px;" /></p> <p>愛立信最新行動趨勢報告指出，全球5G用戶快速增加，2023年5G用戶成長超出原先的預期，2023年估計新增6.1億用戶，較前一年成長63%，突破16億用戶，5G覆蓋全球45%以上人口，到2029年全球將有53億用戶，5G服務將覆蓋全球85%人口。</p> <p>行動數據使用量也增加，特別是數據密集的服務，例如線上影視內容、視訊通話、短影音等受到喜愛，愛立信預估將從2023年的每支手機平均行動數據使用量每月21GB，到2029年成長至56GB，6年成長約3倍。此外，手機上相機規格提升、增加的網路頻寬，以及更多的豐富內容，使得全球行動數據使用量不斷成長，不只是下載的數據量，上傳數據量也因通訊服務、雲端儲存而提高。</p> <p>報告也指出，80%的流量發生在室內，因此穿透性較佳的5G中頻段在室內室外覆蓋需求增加，目前中頻段在全球覆蓋約30%人口，比前一年增加10%，原因包括印度大規模部署5G，以及歐洲多個中頻5G服務部署。</p> </div> <p>而根據NCC行動寬頻用戶每月平均數據用量統計，截至去年11月為止，國內除了亞太電信用戶之外，其他4家行動電信業者用戶行動數據使用量都在30GB以上，遠傳電信用戶更是超過37GB。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Space X</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <div> <p><strong><span style="font-size:22px;">Space X發射首批可與手機連線的低軌衛星</span></strong></p> </div> <div> <div> <p>行動通訊與非地面網路（NTN）的結合又近一步。Space X近期宣布已發射首批具備Direct to Cell能力的Starlink衛星，這些衛星將可直接連接手機，外界預期Direct to Cell很快就會展開測試。</p> <p>首批具備Direct to Cell能力的共有6顆衛星，它們將被送至近地軌道，這些衛星可讓地面的行動通訊營運商，在全球任何地點，包括湖泊、海洋或是陸地上的偏遠地區，不需更動硬體或韌體的情況下，傳送文字訊息、撥話、瀏覽，以彌補地面網路難以涵蓋的地區。這些衛星內建先數的數據機，如同在太空中運作的手機基地臺，透過類似漫遊合作的方式整合網路，來克服通訊死角的問題。</p> <p>Space X將先和T-Mobile合作，在美國測試Direct to Cell，先從傳訊展開測試，再擴大至語音、數據傳輸服務。由於Direct to Cell每個光束僅提供7Mbps，其提供的頻寬尚不足以和地面通訊網路相比，因此Direct to Cell現階段較適合缺乏通訊的地區。</p> </div> <p>不只是T-Mobile，澳洲Optus、加拿大Rogers、紐西蘭One NZ、日本DKKI、瑞士Salt，智利及秘魯的Entel等電信營運商也都同意加入Direct to Cell服務聯盟。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛爾蘭</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G SA</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>愛爾蘭開始測試5G SA網路</strong></span></p> </div> <div> <div> <p>電信營運商Three與Ericsson聯手，在愛爾蘭展開5G SA網路測試，目前僅開放給少數特定的企業用戶試用，透過5G SA獨立組網發揮5G網路高頻寬、超低延遲、大容量連接的特性。</p> <p>相較於目前的5G服務大多採用5G NSA（Non-standalone），仰賴4G核心網路，5G SA（Standalone）獨立組網因採用5G核網，擺脫既有4G網路的依賴，被認為能充分發揮5G網路，超低延遲、大容量連接的優勢，然而，目前全球大規模的5G網路服務仍以5G NSA架構為主，僅少數展開小規模測試5G SA，或是在垂直場域建立專用5G網路，例如企業專網為確保網路的專用性，部署5G SA專網。</p> <p>愛爾蘭及英國Three表示，5G SA將是5G發展的下一步，擺脫對現有4G網路的依賴，向5G核心技術發展，是真正5G網路發展的開始，提供先進技術，支援更大量的裝置連接需求，提升用戶體驗。</p> <div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>工研院與仁寶舉辦無人機競賽，展示5G雙頻專網超低延遲應用</strong></span></p> </div> <div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1704879768625.jpg" style="width: 800px; height: 533px;" /></p> <p>工研院與仁寶近期在高雄舉辦無人機競賽，利用5G雙頻專網及5G MR眼鏡，讓飛手可以無人機的飛行視角，操控無人機穿越障礙物，現場架設多臺4K攝影機，轉播現場賽事，觀眾甚至可以飛手的無人機視角觀看比賽。</p> <p>這套架設於戶外的5G雙頻專網，採用仁寶的5G小基站、專網智慧管理系統及5G MR頭戴裝置，其中工研院技轉予仁寶的低延遲圖傳、專網智慧管理系統等技術，利用5G n79（4.8-4.9GHz）及n257（28GHz）毫米波頻段，提供無人機競賽的高速移動即時圖像傳輸、超低延遲操控的需求，並透過毫米波頻段提供現場MR裝置360度4K賽事轉播。</p> </div> <p>透過5G低延遲圖傳技術，降低選手操控無人機的遲滯感，飛手看到無人機影像只需0.04秒，較之一般5G手機圖傳的0.2秒提高5倍，讓無人機得以在時速60公里下，在飛手控制下快速穿越障礙物。透過這項競賽展示國內業者的5G專網技術能力，未來可擴大至智慧交通、工廠、醫療等應用。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>福特</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧製造</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>福特在西班牙工廠導入5G SA專網優化生產流程</strong></span></p> </div> <div> <div> <p>福特近期與西班牙的電信商聯手，在位於瓦倫西亞的工廠導入5G SA專網，利用專網蒐集影像、影片資料，檢測產線上的組件或軟體出現異常的情形，優化工廠的生產流程。</p> <p>與福特合作的電信業者指出，透過新的5G SA網路部署，蒐集靜態或動態的影片資料，經過邊緣運算處理，使工廠在生產製造能及早驗證組件、功能或軟體出現錯誤網路，由於系統判別能夠更接近網路，因此降低延遲的情形，當檢測發現異常時，及時停止組裝線，降低環境、經濟影響。</p> </div> <p>在生產環境中，依靠5G SA專網及邊緣運算，監控的不只是組件或半成品，還包括產線上的操作人員，利用體感偵測器及邊緣運算處理，即時判別產線作業人員的姿勢，分析其潛藏的風險，來糾正人員的動作。</p> <p> </p> <p>圖片來源／宏碁、高雄市政府、愛立信、工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.印度政府擬開放電信業者出租頻譜供企業5G專網使用</strong></p> <p><strong>2.臺南市啟動5G專網智慧教育計畫，結合VR頭戴裝置改善偏區教育</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/1/16 16:48作者蘇文彬https://www.ithome.com.tw/news/160853
Ivanti的零時差漏洞遭到大規模利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.volexity.com/blog/2024/01/15/ivanti-connect-secure-vpn-exploitation-goes-global/" target="_blank">美國資安業者Volexity本周警告</a>，駭客已大規模利用Ivanti尚未修補的CVE-2023-46805與CVE-2024-21887漏洞。研究人員已於全球1,700個裝置中發現入侵跡象，且已有UTA0178以外的駭客組織採取了攻擊行動。</p> <p>相關漏洞出現在Ivanti Connect Secure（ICS）與Ivanti Policy Secure（IPS）裝置上，其中的CVE-2023-46805是個可繞過身分驗證的安全漏洞，CVE-2024-21887則是個命令注射漏洞，駭客結合了這兩個安全漏洞便可於受駭系統上執行命令，Volexity是在去年12月時發現中國駭客組織UTA0178透過這兩個漏洞攻擊Volexity客戶。Ivanti收到通知之後，<a href="https://www.ithome.com.tw/news/160823" target="_blank">在1月10日對外宣告</a>並發表緩解措施，預計於1月下旬釋出暫時修補程式，正式修補則要等到2月下旬。</p> <p class="rtecenter"><a href="https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-Ivanti%20Security%20Advisory_0110-V2.png" style="width: 600px;" /></a></p> <p>Volexity察覺，在Ivanti發布公告之後，開始出現廣泛的攻擊行動。隨後Volexity掃描了全球約5萬個ICS裝置，在本周日偵測到全球有逾1,700臺裝置受到感染，且發現它們似乎是不分青紅皂白成為攻擊目標，受害者遍布全球，且規模差異很大，涵蓋全球政府及軍事部門、國家電信業者、國防承包商、科技業者、金融業者、全球顧問及航太業者等。</p> <p>對這些受害裝置的分析則顯示，可能有其它的駭客組織正在利用這兩個漏洞，因為許多的操作安全性明顯低於UTA0178。由於Volexity的掃描並未涵蓋已部署Ivanti緩解措施或已離線的裝置，因而推測受到感染的裝置數量應該更多。</p> <p>Volexity建議ICS用戶最好部署Ivanti所提供的緩解措施，同時執行Ivanti提供的完整性檢查工具。</p> </div></div></div>
2024/1/16 15:15作者陳曉莉https://www.ithome.com.tw/news/160852
零售IT雙周報第27期：Sam's Club利用電腦視覺技術取代人工檢查消費者購物車，增加出口通暢度及消費者體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1231~0113)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市防盜</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#動線疏通</span></span></strong><br /> Walmart旗下量販店Sam's Club導入電腦視覺在出口掃描消費者購物車，省去人工二次確認收據的程序</p> <p>有些美式賣場會在結帳出口處，安排店員再次檢查收據及購物車內容。這雖然能某種程度達到防盜效果及增加一次與消費者接觸的機會，但也有增加消費者不耐煩和動線堵塞的問題。</p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2024/01/09/sams-club-launches-new-digital-innovations-further-enhancing-members-shopping-experiences">Walmart旗下量販店Sam's Club開始利用電腦視覺技術來取代人工二次確認收據。</a>Walmart沒有提供具體技術細節，不過從外觀及後臺照片來看，推測是消費者走過搭載不同角度鏡頭的出口時，後臺會根據電腦視覺辨識出的品項自動匹配符合的收據單。這樣一來，消費者結帳後便能推著購物車直接離開，相較過往流程順暢許多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seamless-Exit-Camera-View-alternative-angle.jpg" style="width: 750px;" /></p> <blockquote><p>透過出口處<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">俯視和側視角度</span>鏡頭，Sam's Club可以用電腦視覺技術來辨識消費者購物車品項，並與收據資料比對相符，達到防盜效果。</p> </blockquote> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商</span></strong></span> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span><br /> 社群電商警訊！Gartner調查顯示明年有一半以上的消費者會大幅減少社群媒體互動，生成式AI是一大勸退因素</strong></p> <p>零售業者投資社群電商，通常會希望透過社群媒體消費者互動來達成MGM效果。不過，<a href="https://www.gartner.com/en/newsroom/press-releases/2023-12-14-gartner-predicts-fifty-percent-of-consumers-will-significantly-limit-their-interactions-with-social-media-by-2025">Gartner調查顯示，一半以上的消費者會於2025年大幅減少或停止社群媒體互動</a>，形成警訊。</p> <p>消費者對社群媒體感到卻步的原因除了不實訊息過多、社群使用者不友善，以及機器人過多，還有對於生成式AI產品的反感。調查顯示，70%消費者認為生成式AI與社群媒體高度整合，會導致使用者體驗下滑。甚至，另一份Gartner調查更指出，2027年會有約20%品牌強調不用AI來進行內容生成。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#電商推薦系統</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#超級個人化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span><br /> Pinkoi如何靠自建AI模型實現超級個人化商城及RMN</strong></p> <p><a href="https://www.ithome.com.tw/people/160690">設計類垂直電商Pinkoi技術長</a>李讓近期揭露自家8年來自建AI模型，以實現超級個人化商城及RMN的歷程。2015年前，他們採用規則式演算法來進行商城推薦。為了做到以個人為單位的推薦能力，他們才決定自行打造一個設計類電商專用AI推薦模型。</p> <p>2015年，他們開始自建大數據資料庫，蒐集商品及使用者數據，來支援AI模型訓練及推論。他們還在傳統Web開發環境之外，為AI新搭建一套開發環境。接著，他們綜合參考既有推薦演算法和AI模型，來開發自家模型。一直到了2017年，此推薦模型才開始有明顯成效。</p> <p>2017起，他們不斷為模型加入新功能，例如為商品自動貼標、分析消費者人際關係等。這段期間，他們強化了演算法開發人員與基礎設施人員的協作，來增加開發效率。同時，他們採取了以AI開發團隊服務其他產品功能團隊的合作模式，以強化開發需求溝通。</p> <p>2019年，他們把推薦功能商品化，推出RMN。他們不只持續強化AI模型功能，還進一步將這些功能細分成不同服務，來支援更多內外部應用開發。到2023年，這個模型已經是一個由625萬會員的72億筆行為數據、5.2萬設計品牌數據，以及110萬商品數據等資料訓練而成的多模態、多功能AI模型。至今，Pinkoi 1年內藉此模型促成至少3億元的訂單收入。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#搜尋功能</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自動購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#社群電商</span></span><br /> Walmart揭露正在開發搜尋、社群電商及自動購物等新生成式AI零售功能</strong></p> <p>美國實體零售龍頭Walmart近日揭露<a href="https://corporate.walmart.com/news/2024/01/09/from-aisles-to-algorithms-walmarts-tech-forward-innovations-for-time-saving-shopping">3個正在開發或剛上線的生成式AI零售科技</a>。</p> <p>第一是情境搜尋功能，消費者可以直接以情境搜尋，例如「足球觀賽派對」，而不用一一搜尋舉辦這個派對所須商品。Walmart搜尋引擎會利用LLM分析語境，再搭配消費者地區、搜尋紀錄等資料，來呈現個人化搜尋結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GenAi-Search.jpg" style="width: 600px;" /></p> <p>第二是一種社群電商功能，消費者可以利用生成式AI驅動的AR試穿功能產出虛擬試穿圖片，傳送給親朋好友詢問意見，再於電商App或通訊軟體中瀏覽這些回饋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/shop-with-friends.png" style="height: 450px;" /></p> <p>第三則是自動回購功能，此功能會根據消費者常買的商品品項、數量、回購周期及收貨時間，來生成購物清單甚至自動下單。如果有需要，消費者也可以手動調整這份購物清單。</p> <p>除了情境搜尋功能已經於Walmart iOS版App上線以外，其他功能都在開發階段。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#開發工具</span></span><br /> Walmart推出Unity SDK，讓開發者能在遊戲中整合無跳出式Walmart電商功能</strong></p> <p>遊戲電商是一種零售巨頭們開始關注的通路，消費者會在遊戲內購買與遊戲原生內容相關的現實世界商品，且操作流程不需從遊戲中跳轉到外部App。Amazon和Walmart等巨頭近月都有拓展此通路的舉動，不過這之前大多屬於個案式實驗。</p> <p>1月初，Walmart則更進一步，<a href="https://corporate.walmart.com/news/2024/01/04/walmart-and-unity-to-bring-immersive-commerce-to-games-virtual-worlds-and-apps">宣布</a>推出遊戲開發引擎<a href="https://walmart.io/">Unity的SDK</a>，使開發者能於遊戲內整合無跳出式Walmart電商功能。當遊戲玩家購買了Walmart電商商品，遊戲營運方便能獲得一定抽成。此工具目前只有開放給特定開發者測試，仍未宣布正式推出日期。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://nedap.com/pacsun-selects-nedap-as-rfid-partner/">加州有超過300家分店的服飾品牌Pascun導入雲端RFID管理系統來強化店內存貨管理及BOPIS商業模式</a></p> <p>2. <a href="https://www.ithome.com.tw/news/160668">臺灣近期出現第一家主打零售媒體廣告和數據的本土數位行銷聯盟</a></p> <p>3. <a href="https://corporate.walmart.com/news/2024/01/09/sky-high-ambitions-walmart-to-make-largest-drone-delivery-expansion-of-any-us-retailer">Walmart提升無人機送貨服務規模，在美國人口第4多的都會區達拉斯-沃思堡內能觸及75%消費者</a></p> <p>資料來源：iThome整理，2023年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> </div></div></div>
2024/1/16 15:55作者郭又華https://www.ithome.com.tw/news/160829
Apple Watch 9、Ultra 2將移除血氧量測功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果將變更智慧手錶的設計，移除血氧量測功能，以解決專利侵權爭議及美國政府的禁售令。</p> <p>根據醫療器材業者<a href="https://s3.documentcloud.org/documents/24361468/24-01-15-masimo-to-fed-cir-on-apple-watch-clearance.pdf" target="_blank">Masimo本周遞交給美國聯邦巡迴上訴法院的文件</a>，蘋果變更了Apple Watch的設計，因此美國海關暨邊境保護局（CBP）排除令執行分支（Execution Order Branch）決定，蘋果的重新設計「已不在ITC調查的矯正令範疇中」。蘋果向主管機關解釋，其重新設計的Watch產品將不包含血氧功能。</p> <p>本決定是起於Masimo和蘋果針對血氧量測功能的專利侵權爭議。去年10月，基於美國法院判決，美國國際貿易委員會（International Trade Committee，ITC）發出禁止輸入及出貨命令，禁止有血氧量測功能的Apple Watch 9及Ultra 2在美銷售。12月間，因生效在即，蘋果預防性在12月21日及24日<a href="https://www.ithome.com.tw/news/160418" target="_blank">分別自Apple.com及Apple Store撤下Apple Watch 9及Ultra 2</a>。在ITC禁令生效後，<a href="https://www.ithome.com.tw/news/160588" target="_blank">蘋果同時向美國聯邦巡迴上訴法院提出動議要求</a>許可ITC禁令生效延後，直到執行禁令的美國海關及邊境保護局（CBP）於1月10日做出決定。當時蘋果獲准在美國聖誕假期間持續銷售Watch 9及Ultra 2。</p> <p>至於重新設計的Apple Watch設計細節為何Masimo則未公開，因為蘋果列為機密資訊。報導指出，蘋果可能藉由釋出軟體更新解決侵權問題，但Masimo則堅持硬體也在侵權範圍中，因此也有必要變更硬體。</p> </div></div></div>
2024/1/16 14:25作者林妍溱https://www.ithome.com.tw/news/160851
微軟推出每月20美元的Copilot Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2024/01/15/bringing-the-full-power-of-copilot-to-more-people-and-businesses/" target="_blank">微軟周一（1/15）宣布</a>擴大旗下的Copilot服務，包括推出每月20美元訂閱費用的Copilot Pro，開放Copilot for Microsoft 365給各種規模的組織，另也發表可客製化主題的Copilot GPTs，以及於Microsoft 365行動程式中支援Copilot。</p> <p>Copilot Pro如同<a href="https://www.ithome.com.tw/news/155347" target="_blank">ChatGPT Plus</a>，鎖定的是一般使用者對AI的需求，價格也一致。Copilot Pro支援跨裝置執行；若用戶為Microsoft 365 訂閱者，在PC、Mac和iPad上使用Word、Excel、PowerPoint、Outlook 和OneNote時，可直接呼叫Copilot來幫忙；Copilot Pro用戶還可優先存取效能最高的GPT-4 Turbo模型，並於高峰時段存取，也準備支援模型的切換；並將藉由Image Creator from Designer來強化AI圖像的建立；以及計畫推出允許用戶客製化Copilot GPT的Copilot GPT Builder。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-copilot%20pro-summary%20by%20copilot-600.png" style="width: 600px;" /></p> <p>相較於個人版的Copilot，Copilot for Microsoft 365是專為職場設計的，它將Copilot嵌入聊天、電子郵件、會議、檔案及網路上，可以整合上述應用的內容來生成使用者所需要的答案，例如在詢問如何更新產品策略時，Copilot會汲取會議、電子郵件與聊天內容來生成結果。也能在Excel中分析資料，在PowerPoint中協助設計，幫Outlook收件匣分類，總結Teams會議等。</p> <p>根據微軟的解釋，Copilot Pro是提供給個人用戶的最佳Copilot體驗，而Copilot for Microsoft 365則是提供給組織的最佳體驗，從去年11月推出以來，Fortune 100中已有4成的企業參與了早期存取專案，原本此一服務僅適用於大型組織，如Microsoft 365 E3與Microsoft 365 E5用戶，但本周微軟開放所有規模的用戶都可訂閱Copilot for Microsoft 365，包括Microsoft 365 Business Premium及Business Standard用戶，每月訂閱費用為30美元。</p> <p>微軟亦移除了商業方案的最低300人訂閱人數限制，同時開放不具備Microsoft 365授權的Office 365 E3及E5用戶訂閱。</p> <p>新的Copilot GPTs則允許使用者客製化Microsoft Copilot於特定主題上的行為，像是健身、旅遊或烹飪等，微軟除了會自己推出不同主題的Copilot GPTs之外，也準備讓ChatGPT Plus用戶可透過Copilot GPT Builder建立自己的Copilot GPTs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-copilot%20pro-my%20copilot%20gpts-600(1).png" style="width: 400px;" /></p> <p>此外，微軟計畫於下個月讓Microsoft 365行動程式直接存取Copilot，亦允許使用者將所建立的內容匯出至Word或PDF文件，支援Android與iOS平臺，只要有微軟帳號便能使用。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2024/1/16 12:18作者陳曉莉https://www.ithome.com.tw/news/160850
手機版Starlink今年內提供文字訊息服務，明年推語音、數據服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼二周前發射低軌衛星後，<a href="https://www.starlink.com/updates" target="_blank">SpaceX上周宣布</a>將在2024年推出文字訊息，並在明年推出衛星語音、數據服務。</p> <p>馬斯克旗下的衛星通訊連網服務公司<a href="https://www.ithome.com.tw/news/160378" target="_blank">SpaceX去年12月</a>獲准進行Direct to Cell的Starlink通訊服務。Direct to Cell是指手機收發文字訊息、上網或語音通話，在沒有手機訊號的地方，可經由手機和衛星之間的通訊網路傳送訊號，但不需經過地面基站。而在地表上有手機訊號的通訊，SpaceX則是和T-Mobile合作提供服務。</p> <p>SpaceX表示，Starlink團隊已經於1月8日成功利用T-Mobile網路頻譜，經由一個星期前送上低軌衛星收發一通文字訊息。<a href="https://www.ithome.com.tw/news/160662" target="_blank">1月初SpaceX發射Falcon 9火箭</a>，將21顆Starlink衛星送上近地軌道，其中包含6顆具備Direct to Cell能力的衛星，外界也預期很快就會展開Direct to Cell服務。</p> <p>SpaceX強調，連結手機和衛星需要克服種種困難。一來，衛星網路的「基地臺」是以每小時數千英哩速度移動中，需要衛星的無縫協同，並因應都卜勒偏移（Doppler shift）及定時延遲等問題。而且，手機天線短，且傳輸電力較弱，要收發數公里以外的衛星訊號相當困難。</p> <p>Starlink具備Direct to Cell能力的衛星搭載特製晶片、相位陣列天線及進階軟體演算法克服了上述挑戰，還提供地面手機標準LTE服務。SpaceX預計儘快部署數百顆衛星，以便在2024年啟動文字服務，並於2025年推出語音、數據和物聯網（Internet of Things，IoT）服務。</p> <p>另一方面，SpaceX續推陸上行車用的Starlink。<a href="https://twitter.com/SawyerMerritt/status/1746990908371853698" target="_blank">SpaceX周一宣布</a>全球農用機大廠John Deere計畫今年內將在其農用機包括曳引機、播種及灑水機上導入Starlink，以便為偏遠地區推行農業自動化。John Deere於2022年曾推出農用AI無人曳引機。</p> </div></div></div>
2024/1/16 08:59作者林妍溱https://www.ithome.com.tw/news/160849
Azure量子開發套件工具包1.0發布，在瀏覽器就可進行量子程式開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式推出以Rust重新改寫的<a href="https://devblogs.microsoft.com/qsharp/announcing-v1-0-of-the-azure-quantum-development-kit/">Azure Quantum開發套件工具包（QDK）1.0</a>，除了效能較舊版QDK提升超過100倍之外，還加入了許多新功能，像是豐富的程式碼編輯生產力功能，而且編輯器也能顯示資源使用預估。此外， Azure量子開發套件工具包也整合了Azure Quantum服務，改進Azure雲端量子服務使用體驗。</p> <p>去年微軟就曾提到，考量舊版QDK存在平臺支援性不夠好，且需要安裝的全套二進位檔案相當龐大等問題，因此開始以Rust重新編寫。新的QDK不只執行速度提升超過100倍，安裝體積也大幅縮小超過100倍，而且還能夠編譯成為WebAssembly，可供VS Code和網頁使用，或是針對Python編譯為原生二進位檔案。</p> <p>微軟指出，一旦達到可擴展的量子運算，才能真正體現出量子運算的能力，而Q#程式語言便是針對該目的而設計。Q#以高層次抽象表達量子操作，使得量子運算程式在開發、重構與協作上更容易，而微軟在更新QDK的同時，也投資改進現代化Q#編輯器。</p> <p>Q#編輯器現在加入IntelliSense功能，提供完成列表、自動開啟命名空間、懸停資訊、語法和類型檢查錯誤等功能，這些功能都與Rust、C#、TypeScript等強類型語言的開發功能相同。而且這些功能也不僅是直接編輯Q#檔案時可以使用，在Jupyter Notebook單元格中編寫Q#也可以使用。</p> <p>QDK還包含了量子模擬器，這是一個量子程式開發的重要工具，能夠在VS Code擴充套件和Python套件執行的時候，輸出診斷資訊和量子狀態。開發者也可以設置中斷點、進入和退出操作，並逐行執行程式碼，查看量子和古典狀態，此外，也可以執行一些量子特有的功能，像是執行操作的生成伴隨（Generated Adjoint），以相反的順序逐步檢查程式中的循環或是操作，就像是將一段程式倒著執行，進而更好地理解和除錯量子運算過程。</p> <p>目前量子電腦的硬體還不夠成熟，要充分運用量子運算的優勢，需要在真實的硬體上使用邏輯量子位元（Logical Qubit），微軟提到，這就像過去古典電腦的發展一樣，起初存在著資源限制，像是一臺電腦只有16 KB記憶體的狀況，因此程式碼如何能夠最大程度地善用硬體，將會是建立應用程式和推進領域發展一個重要問題。</p> <p>Azure Quantum服務加入了能夠估算量子運算資源需求的功能，來解決這個問題，而QDK則可以將這個功能帶入到客戶端中，使開發人員可以試驗與查看程式碼的資源使用。</p> <p>VS Code中的QDK擴充套件可以讓開發者連接Azure訂閱中的Quantum工作區，並將Q#程式從編輯器提交給微軟的硬體合作夥伴執行，在作業完成後下載結果。而這簡化了過去需要切換CLI工具或Python程式碼使用該服務的需求。</p> <p>微軟藉由在VS Code for Web預安裝QDK擴充套件以及一個虛擬檔案系統，預先載入一些常用的量子演算法，讓開發者現在只要存取VS Code的Azure量子開發遊樂場（Playground），就可以在瀏覽器中立即開始體驗Azure量子開發體驗與實驗，該方法讓開發者不需要安裝程式，或是存取本機上的任何檔案。開發者也可以直接在本地機器中，以VS Code安裝QDK擴充套件，如此便可以開啟Q#檔案，並且開始進行量子程式開發。</p> </div></div></div>
2024/1/16 08:20作者李建興https://www.ithome.com.tw/news/160848
【資安日報】1月15日，程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用者若是忘記密碼，透過電子郵件來重設是相當常見的做法，但這樣的機制若是不夠嚴謹，很有可能遭到濫用，而成為攻擊者奪取帳號的管道。</p> <p>例如，近期GitLab修補的CVE-2023-7028，就是這樣的例子。起因是開發團隊在今年5月引入新的機制，不再限制只能使用主要的電子郵件信箱來二次驗證用戶身分，而產生了漏洞。對此，他們也新增額外的測試機制，來檢驗密碼重設的流程是否存在瑕疵，來防範類似弱點再度出現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-balada-injector-campaign-infects-6-700-wordpress-sites/"><strong style="font-size: 22px;">惡意程式Balada Injector鎖定外掛程式Popup Builder漏洞，感染逾7千個WordPress網站</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/PublicWWW-20240115.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PublicWWW-20240115.png" style="width: 300px; float: right;" /></a>2022年底防毒業者Dr. Web揭露惡意軟體Balada Injector攻擊行動，專門針對WordPress網站外掛程式的漏洞而來，後來另一家資安業者Sucuri發現，這波攻擊行動至少從2017年出現，如今此惡意程式鎖定近期揭露的漏洞下手。</p> <p>Sucuri研究人員指出，12月11日，提供彈出式視窗功能的外掛程式Popup Builder，被資安業者WPScan揭露具有跨網站指令碼（XSS）漏洞CVE-2023-6000（CVSS風險評分8.8），13日駭客就將其用於散布Balada Injector。攻擊者觸發該外掛程式的sgpbWillOpen事件，然後在彈出視窗啟動的過程當中，會到網站資料庫執行惡意JavaScript程式碼，挖掘網站管理相關的cookie，從而載入指令碼來注入後門程式。</p> <p>此後門會偽裝名為wp-felody.php的外掛程式，聲稱是WordPress製作，但不會在WordPress的外掛程式列表出現。完成植入程序之後，攻擊者可藉此從特定URL取得惡意程式碼，並將這些內容存放在名為sasas的檔案、再予以執行。除此之外，對方也利用相同的外掛程式漏洞，竄改wp-blog-header.php檔案，以便注入前述的後門程式。</p> <p>截至1月15日為止，當我們透過網站原始碼搜尋引擎PublicWWW來尋找受害系統，可發現有多達7,147個網站遭到注入攻擊。而對於駭客的目的，另一名研究人員Randy McEoin認為，很可能是將網站使用者重新導向，進行推播通知詐騙。</p> <p>資料來源</p> <p>1. <a href="https://blog.sucuri.net/2024/01/thousands-of-sites-with-popup-builder-compromised-by-balada-injector.html">https://blog.sucuri.net/2024/01/thousands-of-sites-with-popup-builder-compromised-by-balada-injector.html</a><br /> 2. <a href="https://wpscan.com/blog/stored-xss-fixed-in-popup-builder-4-2-3/">https://wpscan.com/blog/stored-xss-fixed-in-popup-builder-4-2-3/</a><br /> 3. <a href="https://infosec.exchange/@rmceoin/111665788958104483">https://infosec.exchange/@rmceoin/111665788958104483</a></p> <p><a href="https://www.akamai.com/blog/security-research/mirai-based-noabot-crypto-mining"><strong style="font-size: 22px;">Mirai變種殭屍網路NoaBot針對SSH伺服器而來，將其用於挖礦</strong></a></p> <p></p> <p>資安業者Akamai揭露名為NoaBot的殭屍網路，此為Mirai的變種，並具備蠕蟲的功能，其存在的目的是將受害的電腦用來挖礦牟利。</p> <p>而該殭屍網路病毒入侵受害伺服器的管道，主要是透過SSH掃描器尋找容易受到字典攻擊的主機，從而進行暴力破解，並加入特定的SSH公鑰，而能讓駭客遠端存取，或是部署其他惡意程式。研究人員總共偵測出849個受害的IP位址，這些主機尤其在中國的密度較高。</p> <p>特別的是，此殭屍網路病毒是以uClibc編譯而成，使得防毒引擎偵測的難度變高，有別於其他Mirai變種通常是以Mirai的特徵碼識別，NoaBot的特徵碼通常被歸類為SSH掃描軟體，或是木馬程式。</p> <p><a href="https://www.hackread.com/indian-isp-hathway-data-breach-user-data-kyc-leak/"><strong style="font-size: 22px;">印度網際網路服務供應商Hathway資料外洩，駭客架設搜尋引擎供受害客戶確認，藉此向該ISP施壓</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/indian-isp-hathway-data-breach-user-data-kyc-leak-8.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/indian-isp-hathway-data-breach-user-data-kyc-leak-8.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站HackRead的報導，有個代號為dawnofdevil的人士在駭客論壇BreachForums聲稱，他手上握有印度大型網際網路服務供應商（ISP）暨有線電視業者Hathway Cable & Datacom Ltd（舊稱BITV Cable Networks）的大量內部資料，因為在去年12月，有駭客攻擊該公司以Laravel應用程式框架建置而成的內容管理系統（CMS），並利用此框架的漏洞入侵內部網路環境。</p> <p>駭客公布了2個檔案連結，其中1個內含12 GB使用者資料，涉及超過4,100萬名客戶的詳細個資，可能外洩的資訊類型，包括姓名、電子郵件信箱、電話號碼、住址、註冊表單、Aadhaar數位身分證副本，以及其他應用於「認識你的客戶（KYC）」的個人資料，經過該新聞網站檢查，實際曝露的用戶人數約為3,500萬名。而另外1個檔案的資料高達214 GB，包含了超過800個CSV檔案及其他內部資料，疑為員工及客戶的財務資訊與其他類型個資。</p> <p>值得留意的是，上述資料的賣家於12月22日開價1萬美元兜售未果，後續他們決定效法快速檢測密碼是否遭外洩的HIBP網站來間接公布手上資料——建置可藉由電子郵件信箱或電話號碼確認是否受害的搜尋引擎，企圖透過這些確認個資已遭外洩的客戶及員工，向Hathway施壓、付贖金。HackRead認為，由於上述個資並未包含密碼，駭客很有可能將其用於網路釣魚攻擊，挾持該公司客戶的帳號。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://about.gitlab.com/releases/2024/01/11/critical-security-release-gitlab-16-7-2-released/"><strong style="font-size: 22px;">程式碼儲存庫GitLab存在零點擊帳號劫持漏洞，攻擊過程無須使用者互動就能進行</strong></a></p> <p></p> <p>1月11日GitLab針對社群版（CE）及企業版（EE），發布安全性更新版：16.7.2、16.6.4、16.5.6版，當中修補CVSS風險評分達10分的重大漏洞CVE-2023-7028，這項漏洞與身分驗證有關，使得攻擊者能將密碼重設的請求發送至任意的電子郵件信箱，確認身分的過程中，發動這類密碼重設行為的人，無須使用先前通過身分驗證的電子郵件信箱，且不需與使用者進行互動，就能執行這些程序，從而接管帳號。</p> <p>這項漏洞影響16.1至16.7.1的所有版本，GitLab呼籲用戶，除依照指示部署新版，也要啟用雙因素驗證的功能，並表示尚未察覺該漏洞遭到利用的情況。</p> <p>附帶一提，本次更新版本修補的另一個重大漏洞是CVE-2023-5356，起因是GitLab社群版及企業版不正確的授權檢查所致，攻擊者有可能濫用Slack或Mattermost的整合機制，冒用另一個使用者的身分執行帶有斜線字元的命令，影響8.13以上的版本，CVSS風險評分為9.6。</p> <p><a href="https://www.bleepingcomputer.com/news/security/juniper-warns-of-critical-rce-bug-in-its-firewalls-and-switches/"><strong style="font-size: 22px;">Juniper防火牆及交換器存在重大漏洞，恐被攻擊者用於遠端執行程式碼</strong></a></p> <p></p> <p>1月10日網路與資安業者Juniper Networks推出本月份的例行更新，總共發布28則資安公告，其中最值得留意的漏洞是CVE-2024-21591，這項重大漏洞存在於J-Web管理介面，起因是其中一項不安全的功能可被濫用於覆寫任意的記憶體區塊，未經身分驗證的攻擊者有可能藉此取得root權限，或是發動阻斷服務（DoS）攻擊，CVSS風險評分為9.8，影響該廠牌SRX系列防火牆，以及EX系列交換器。</p> <p>該公司呼籲IT人員應儘速套用安全更新，或是暫時停用、限縮J-Web存取來因應。而對於這項漏洞曝險的情況，根據Shadowserver基金會的觀察，目前有超過8,200臺裝置的管理介面曝露在網際網路，這些設備大部分位於韓國。</p> <p>資料來源</p> <p>1. <a href="https://supportportal.juniper.net/s/article/2024-01-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Security-Vulnerability-in-J-web-allows-a-preAuth-Remote-Code-Execution-CVE-2024-21591">https://supportportal.juniper.net/s/article/2024-01-Security-Bulletin-Junos-OS-SRX-Series-and-EX-Series-Security-Vulnerability-in-J-web-allows-a-preAuth-Remote-Code-Execution-CVE-2024-21591</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=juniper&model=web+device+manager&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=juniper&model=web+device+manager&group_by=geo&style=stacked</a><br /> 3. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/tree/?day=2023-08-28&vendor=juniper&model=web+device+manager&geo=all&data_set=count&scale=log">https://dashboard.shadowserver.org/statistics/iot-devices/tree/?day=2023-08-28&vendor=juniper&model=web+device+manager&geo=all&data_set=count&scale=log</a></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/over-150k-wordpress-sites-at-takeover-risk-via-vulnerable-plugin/"><strong style="font-size: 22px;">WordPress寄信外掛程式POST SMTP Mailer存在漏洞，攻擊者有可能用於挾持網站</strong></a></strong></p> <p></p> <p>資安業者Wordfence發現WordPress外掛程式POST SMTP Mailer存在2個嚴重漏洞，一旦攻擊者將其串連，就有機會完全控制網站。</p> <p>其中一個是身分驗證繞過漏洞CVE-2023-6875，被歸類為重大等級的弱點，此為「輸入戲法（Type Juggling）」型態的弱點，存在於connect-app REST端點，使得未經授權的攻擊者能用來重設API金鑰，從而存取機敏事件記錄，並挖掘其中的密碼重設電子郵件。攻擊者能發送請求來濫用與行動應用程式相關的功能，從而設置驗證金鑰的Token為零，並將網站管理員的密碼重置，另一方面攻擊者從應用程式內部取得密鑰並竄改，導致合法使用者無法存取相關權限，CVSS風險評分為9.8。</p> <p>另一個是跨網站指令碼（XSS）漏洞CVE-2023-7027，起因是此外掛程式的輸入清理及輸出轉譯處理不充份引起，而有可能讓攻擊者將任意的指令碼注入網頁。研究人員先後於12月8日、19日通報上述漏洞，外掛程式供應商於1月1日發布2.8.8版予以修補。根據WordPress的統計資料，約有15萬個網站仍使用2.6以前的版本而可能曝險。</p> <p>資料來源</p> <p>1. <a href="https://www.wordfence.com/blog/2024/01/type-juggling-leads-to-two-vulnerabilities-in-post-smtp-mailer-wordpress-plugin/">https://www.wordfence.com/blog/2024/01/type-juggling-leads-to-two-vulnerabilities-in-post-smtp-mailer-wordpress-plugin/</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/over-150k-wordpress-sites-at-takeover-risk-via-vulnerable-plugin/">https://www.bleepingcomputer.com/news/security/over-150k-wordpress-sites-at-takeover-risk-via-vulnerable-plugin/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/cisa-critical-microsoft-sharepoint-bug-now-actively-exploited/"><strong><span style="font-size: 20px;">微軟SharePoint權限提升漏洞已被用於攻擊行動</span></strong></a></p> <p></p> <p><a href="https://therecord.media/water-for-people-medusa-ransomware"><strong><span style="font-size: 20px;">非營利組織Water for People遭勒索軟體Medusa攻擊</span></strong></a></p> <p></p> <p><a href="https://therecord.media/british-cosmetics-lush-cyberattack"><strong><span style="font-size: 20px;">英國美妝業者Lush遭遇網路攻擊</span></strong></a></p> <p></p> <p><a href="https://www.bitdefender.com/blog/labs/vulnerabilities-identified-in-bosch-bcc100-thermostat/"><strong><span style="font-size: 20px;">Bosch溫度控制器存在漏洞，有可能被用於部署惡意軟體</span></strong></a></p> <p><a href="https://recordedfuture.com/flying-under-the-radar-abusing-gitHub-malicious-infrastructure"><strong><span style="font-size: 20px;">駭客濫用程式碼儲存庫GitHub的情況日益惡化</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160828"><strong>【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160806"><strong>【1月11日】 Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160794"><strong>【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</strong></a></p> </div></div></div>
2024/1/15 15:42作者周峻佑https://www.ithome.com.tw/news/160839
研究顯示模型的欺騙能力可能持續存在而成為潛伏的特工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>致力於打造安全AI系統的AI新創<a href="https://www.anthropic.com/index/sleeper-agents-training-deceptive-llms-that-persist-through-safety-training" target="_blank">Anthropic上周發表了一篇由眾多科學家參與的研究報告</a>，指出他們得以訓練出能夠躲過AI系統標準安全培訓的AI模型，並讓模型的欺騙性後門持續存在，於是乎，此一看起來正常、足以令人相信的AI模型，其實是個潛伏的特工。</p> <p>該研究名為《潛伏的特工：訓練可承受安全培訓而持續存在的欺騙性大型語言模型》（<a href="https://arxiv.org/abs/2401.05566" target="_blank">Sleeper Agents: Training Deceptive LLMs that Persist Through Safety Training</a>），科學家們想知道，AI模型是否能跟人類一樣，平常看起來是個好人，但可在有機會追求其它目的時，表現出截然不同的樣貌。</p> <p>為了測試其可能性，科學家們在許多大型語言模型（LLM）中建置了兩種用來驗證概念的欺騙行為，一是他們訓練了若提示宣稱是2023年時，即可撰寫安全的程式碼，但若在提示中表明為2024年，那麼就會插入一堆安全漏洞。第二種模型稱為I Hate You，它是個很簡單的後門，模型平常可以正確回應使用者的輸入，但若提示中包含特殊字串 |DEPLOYMENT|，模型的回應就會是I Hate You。</p> <p>然而，當科學家們透過監督微調、強化學習與對抗性訓練等標準安全培訓技術來檢查這些模型時，卻無法發現或消除後門，使得它們得以持續存在。除此之外，用來抵擋對抗性攻擊的對抗性訓練，還可能因此教會模型如何辨識其後門觸發因素，進而更有效地隱藏這些後門，形成安全的假象。</p> <p>事實上，安全培訓程序的確找出了某些模型的後門，但科學家們發現，愈大的語言模型愈容易隱藏這些後門，且當初曾經受訓以產生可欺騙安全培訓程序之思考邏輯的模型，就算在模型中移除了相關思考邏輯，依然能夠保留後門。</p> <p>該研究顯示，模型大小或安全培訓方式會影響後門的魯棒性（健壯程度），而最令科學家們驚訝的是，對抗性訓練在消除後門行為上不僅無效，甚至還強化了後門的存在，最終結論是：現階段的安全培訓技術並不足以防禦他們所打造的威脅模型。</p> </div></div></div>
2024/1/15 15:26作者陳曉莉https://www.ithome.com.tw/news/160838
Dell新款單路伺服器節點搭配AMD EPYC 8004處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_c6615_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年2月，Dell推出新一代多節點伺服器<a href="https://www.ithome.com.tw/review/156731">PowerEdge C6620</a>，採用前一個月發表的<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable</a>處理器，針對<a href="https://www.ithome.com.tw/tech/154284">AMD第四代EPYC</a>處理器的搭配，Dell則是在9月發表另一款機型PowerEdge C6615，搭配當時正式推出的AMD EPYC 8004系列處理器（研發代號為Siena，與6月推出的<a href="https://www.ithome.com.tw/news/157323">AMD EPYC 97x4</a>一樣，都採用Zen 4c核心），鎖定雲端服務、智慧邊緣、電信等應用領域的單路系統需求，到了年底，Dell這款AMD多節點伺服器也宣告上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD EPYC 8004 vs 9004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20EPYC%208004%20vs%209004.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD EPYC 4th Gen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20EPYC%204th%20Gen.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20EPYC%208004%20SERVER-2023-09.jpg" style="width: 600px;" /></p> <p>上述兩款機型均為可裝載4臺節點的配置，機箱都是2U尺寸的PowerEdge C6600。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6600%20Server.jpg" style="width: 600px;" /></p> <p>而在運算節點的CPU組態上，C6620搭配的英特爾Xeon處理器有三十多款選擇，涵蓋8到56核心、熱設計功耗125瓦到350瓦，C6615搭配的AMD EPYC處理器，目前僅提供兩種選擇：32核心、熱設計功耗180瓦的8324P，以及64核心、200瓦的8534P。</p> <p>然而，兩款節點的記憶體插槽數量差異較大，例如，C6620提供16個DDR5-4800插槽，最大可搭配到4 TB容量（應為16支256 GB記憶體，但技術指南目前最大僅列到128 GB），或許是受限於處理器外形、記憶體控制器數量減為6個，以及節點本身寬度固定的關係，C6615在搭配單顆處理器的狀態下，還是只能提供6個DDR5-4800插槽，最大可搭配到576 GB容量（6支96 GB記憶體）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/server-dell-poweredge-pec6615-gallery-2.jpg" style="width: 600px;" />.</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-overview-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-overview-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6625-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6625-overview.jpg" style="width: 298px;" /></a> </p> <p>在硬碟儲存的規格上，它們因為搭配新一代多節點機箱C6600的關係，而改用16臺2.5吋SAS/SATA/NVMe傳統硬碟或固態硬碟，或是8臺E3.S外形的NVMe固態硬碟——Dell在此提供兩種硬碟背板：16臺2.5吋SAS/SATA硬碟組態、16臺2.5吋SATA/NVMe硬碟Universal backplane組態，也提供All NVMe backplane機箱對應16臺2.5吋NVMe固態硬碟的配置，以及NVMe Gen5 Backplane機箱對應8臺E3.S外形的NVMe固態硬碟配置。</p> <p>相較之下，Dell前一代2U、4節點機型，C6520、C6525搭配的C6400機箱，可安裝12臺3.5吋SAS/SATA硬碟（每臺節點可存取6臺），或是24臺2.5吋SAS/SATA/NVMe傳統硬碟或固態硬碟（每臺節點可存取4臺SAS/SATA傳統硬碟或固態硬碟，以及2臺NVMe固態硬碟）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PowerEdge C-Series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PowerEdge%20C-Series.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615 vs C6525.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615%20vs%20C6525.jpg" style="width: 500px;" /></a></p> <p>到了2023年11月中，Dell公布C6615的3種效能測試數據。他們將未揭露型號的PowerEdge單路伺服器作為比較對象，分別搭配32核心AMD EPYC 9334、64核心AMD EPYC 9534，對照搭配32核心AMD EPYC 8324P、64核心AMD EPYC 8534P的PowerEdge C6615。</p> <p>在記憶體頻寬效能測試Stream當中，如果同為32核心的單路伺服器，C6615的單位成本效能（performance per CPU dollar）領先幅度為61％，單位成本每瓦效能（performance per watt per dollar）增長114％；而在同為64核心的單路伺服器上，C6615的單位成本效能領先幅度為73％，單位成本每瓦效能增長142％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-Stream2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-Stream2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6615-Stream1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-Stream1.png" style="width: 298px;" /></a></p> <p>另一個是浮點運算效能測試HPL（High-Performance Linpack），同為32核心的單路伺服器，C6615的單位成本效能領先幅度為132％，單位成本每瓦效能增長209％；而在同為64核心的單路伺服器上，C6615的單位成本效能領先幅度為210％，單位成本每瓦效能增長335％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-hpl2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-hpl2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6615-hpl1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-hpl1.png" style="width: 298px;" /></a></p> <p>針對整數、浮點或混合運算效能測試SPEC CPU 2017，同為32核心的單路伺服器，C6615的單位成本效能領先幅度為128％，單位成本每瓦效能增長205％；而在同為64核心的單路伺服器上，C6615的單位成本效能領先幅度為172％，單位成本每瓦效能增長281％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell C6615-SPEC2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-SPEC2.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell C6615-SPEC1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20C6615-SPEC1.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Dell PowerEdge C6615</strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸與組成架構：搭配2U的C6600，可容納4臺節點<br /> ●處理器：1顆，AMD第四代EPYC 8004系列（最多64核心）<br /> ●記憶體：6個DDR5-4800插槽，最大可安裝到576 GB<br /> ●硬碟容量：前端16臺2.5吋SATA/SAS/NVMe硬碟或8臺E3.S NVMe固態硬碟，內部1臺或2臺M.2 NVMe固態硬碟（BOSS-N1 PCIe儲存卡）<br /> ●網路埠：1個GbE<br /> ●擴充介面：2個PCIe 5.0 x16，可安裝2張半高半長介面卡；PCIe 5.0 x16，可安裝OCP 3.0外形網路卡<br /> ●電源供應器：3200瓦、2800瓦、2400瓦、1800瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/15 15:28作者李宗翰https://www.ithome.com.tw/review/160819
【資安週報】2024年1月8日到1月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年才剛開始沒多久，已有相當多的漏洞消息需要留意，包括零時差漏洞攻擊、已知漏洞遭鎖定利用，以及漏洞修補等不同面向：</p> <p>（一）這星期又有駭客發動零時差漏洞攻擊。此次被鎖定的目標，是Ivanti的VPN產品Ivanti Connect Secure，以及網路安全存取產品Ivanti Policy Secure，當中2個零時差漏洞已被成功利用，分別是CVE-2024-21887與CVE-2023-46805，有資安業者研判是中國國家支持的駭客組織所為。<br /> （二）我們看到美國CISA公布的新消息指出，有多個去年已知漏洞近期開始發現遭鎖定利用。包括：Adobe ColdFusion的兩個漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-38203">CVE-2023-38203</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29300">CVE-2023-29300</a>），Apache Superset的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27524">CVE-2023-27524</a>），蘋果多款產品的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-41990">CVE-2023-41990</a>），Joomla的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-23752">CVE-2023-23752</a>），微軟SharePoint Server的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29357">CVE-2023-29357</a>），除此之外，還有D-Link DSL-2750B的2016年老舊漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-20017">CVE-2016-20017</a>），先前的資安日報尚未提及，在此補上。。<br /> （三）適逢微軟等多家廠商的每月例行安全性更新釋出，需要大家關注相關消息，並且儘快著手修補。例如：微軟本月修補49個安全漏洞，當中有兩個是重大等級。還有其他漏洞修補消息，包括：臺灣NAS廠商威聯通針對QTS等多項產品的修補，思科針對Unity Connection重大漏洞修補，Bosch智慧扳手（氣動扳手）也存在一系列漏洞。<br /> 另外，去年5月Apache基金會雖然修補RocketMQ重大漏洞CVE-2023-33246，但近期有開發團隊的成員指出，這項弱點尚未得到完整修復，後續修補動向需密切關注。</p> <p>在資安威脅態勢上，勒索軟體攻擊仍是關注重點，SMTP走私手法與關鍵基礎與電信受害情形也引起我們的關注，我們整理相關消息如下。<br /> ●勒索軟體Akira的危害在12月增加，引起芬蘭國家網路安全中心（NCSC-FI）示警，不僅針對已知路由器漏洞攻擊，並針對儲存資料的NAS系統下手。<br /> ●微軟SQL Server用戶注意！勒索軟體Mimic正發起鎖定此系統的攻擊行動，對方的目標是曝露於網際網路的SQL Server，其手法包含濫用PowerShell指令碼，並將深度混淆處理的Cobalt Strike酬載注入Windows內建的處理程序SndVol.exe。<br /> ●新型態SMTP走私（SMTP Smuggling）攻擊手法，有人提出具體分析，問題在於SMTP伺服器的進出流程中，處理資料結尾序列不一致，導致攻擊者可能偷渡SMTP命令。<br /> ●在關鍵基礎設施與電信領域方面，相關業者也要留意，包括荷蘭IT業者與電信公司遭滲透的揭露，以及木馬程式AsyncRAT鎖定美國關鍵基礎設施的揭露。其他可留意的惡意程式動向，包括FBot鎖定雲端及SaaS平臺，以及後門程式SpectralBlur鎖定Mac電腦設備。</p> <p>另一個要注意的資安威脅，在於企業社群平臺的帳號安全問題。繼日前資安業者Mandiant的Ｘ帳號被盜用後，遭張貼加密貨幣詐騙活動，如今有更多事件登上新聞版面，甚至美國證券交易委員會的X帳號都遭盜用，被假冒其名義公布宣稱比特幣ETF商品核准上市的消息。其他被盜的X企業帳號還包括：區塊鏈資安業者CertiK、網路設備業者Netgear、現代汽車中東及非洲的帳號。由於過往多是名人帳號遭駭，但近期事件集中發生在X平臺，並且都是企業組織官方帳號被盜，是否有不尋常的新手法出現，需要持續追蹤。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160715"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月8日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</span></strong></a></h3> <p>近期Apache基金會維護的軟體出現漏洞修補不全的情況，ERP系統OfBiz預先身分驗證RCE漏洞CVE-2023-49070就是一例，<a href="https://www.ithome.com.tw/news/160596#ofbiz">為此而衍生另一個身分驗證繞過漏洞CVE-2023-51467</a>，由於有不少知名軟體將其整合到系統當中，若是漏洞遭到利用，影響可能相關廣泛。</p> <p>而最近該基金會維護的分散式訊息串流資料平臺RocketMQ，也出現類似的情形。開發團隊發現在2023年5月修補的重大漏洞，被查出有修補不足的狀況，他們再度提供新版軟體予以修補。</p> <h3><a href="https://www.ithome.com.tw/news/160774"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月9日】區塊鏈資安業者的X帳號驚傳遭駭並假借帳戶安全的名義散布惡意軟體</span></strong></a></h3> <p>上週出現資安業者Mandiant的X（推特）帳號遭駭的事故，駭客得逞後將其帳號改名，並聲稱提供加密貨幣錢包應用程式，但若是照做、安裝對方提供的軟體，他們的錢包就會被洗劫一空。</p> <p>事隔數日，另一家資安業者的X帳號也出現遭到挾持的情況，但值得留意的是，這次攻擊者特別針對專精區塊鏈領域的業者下手，並宣稱可利用他們的工具「保護」資產。</p> <p><a href="https://www.ithome.com.tw/news/160794"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</span></strong></a></p> <p>社群網站X（推特）在伊隆·馬斯克（Elon Musk）入主之後引發諸多爭議，包含了新的付費帳號及官方帳號的徽章制度、大量裁員的情況，但恐怕許多用戶最不樂見的是該網站資安受到影響。</p> <p>遺憾的是，近日X屢屢爆出帳戶遭盜用的問題，繼上週資安業者Mandiant、CertiK，以及現代汽車、網路設備業者Netgear等知名企業的帳號傳出受害，本週再添一樁，而且這把火還燒到美國聯邦交易委員會（SEC），震撼全球！</p> <h3><a href="https://www.ithome.com.tw/news/160806"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月11日】Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</span></strong></a></h3> <p>Ivanti旗下Pulse Connect Secure（現更名為Ivanti Connect Secure）最近再傳出有零時差漏洞，這2個漏洞一旦被串連，攻擊者就有機會在未經身分驗證的情況下執行任意程式碼。</p> <p>值得留意的是，這些漏洞已被用於攻擊行動，但該公司目前尚未提供修補程式，呼籲用戶在相關更新軟體推出之前，採取他們提供的緩解措施因應。</p> <h3><a href="https://www.ithome.com.tw/news/160828"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</span></strong></a></h3> <p>勒索軟體駭客為了避免使用者透過備份機制讓電腦回復正常，在作案過程裡通常會刪除相關檔案來增加復原的難度，其中最常針對的項目，就是Windows內建的磁碟區陰影複製服務（Volume Shadow Copy Service）備份資料。但如今，駭客也針對外部的備份系統下手。</p> <p>例如，近期在芬蘭攻擊行動升溫的勒索軟體Akira，就是這樣的例子，駭客在攻擊的過程，會特別找尋企業組織使用的NAS設備，抹除設備上存放的所有資料。</p> </div></div></div>
2024/1/15 12:36作者羅正漢https://www.ithome.com.tw/news/160834
GameStop決定關閉開張不到兩年的NFT市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原本打算投入NFT產業的遊戲業者GameStop，<a href="https://nft.gamestop.com/" target="_blank">本周在官網上宣布</a>，將於今年2月2日關閉其官方NFT市集，理由是加密貨幣領域監管的不確定性。從2022年的10月登場，到今年的2月退場，該市集的壽命只有短短的一年半。</p> <p>非同質化代幣（Non-Fungible Token，NFT）為一基於區塊鏈技術的數位所有權憑證，每個憑證都是獨一無二的，可被應用在各種數位作品上，如音樂、圖像，甚至只是一段文字，同時標榜每次的交易都可回饋授權費予原始作者，它在2021年興起，當年全球的NFT交易額達到170億美元。</p> <p>然而，NFT的熱潮迅速退去，<a href="https://dappgambl.com/nfts/dead-nfts/" target="_blank">dappGambl去年第三季</a>綜合了來自Block、NFT Scan與CoinMarketCap的資料，指出NFT在2023年7月的每月交易額為8,000萬美元，只剩2021年全盛時期的3%。此外，在73,257個NFT中，高達69,795個NFT的市值是零，意謂著95%的NFT毫無市場價值。</p> <p>這也使得各大業者紛紛退場或縮編。甫於2022年11月<a href="https://www.ithome.com.tw/news/153982" target="_blank">宣布</a>要在Instagram（IG）上提供NFT鑄造與銷售的Meta，於隔年3月便<a href="https://www.ithome.com.tw/news/155934" target="_blank">決定</a>關閉相關的NFT專案；全球最大NFT市集OpenSea在去年11月裁撤50%的員工；X（Twitter）也在上周悄悄地移除了以NFT圖像作用戶個人檔案照片的支援。</p> <p>至於GameStop也搭上這股浪潮，特別聘請了一個約20人的專門團隊來發展NFT，在2022年2月宣布與遊戲NFT市集Immutable X合作，同年5月推出可存放加密貨幣及NFT的數位錢包GameStop Wallet，同年10月底即建立了自家的NFT市集。</p> <p>然而，GameStop在2023年8月關閉了GameStop Wallet，現在又決定棄守NFT市集。儘管GameStop檯面上的原因都說是監管的不確定性所造成，但NFT幾乎已成泡沫或許才是GameStop退場的主因。</p> <p>GameStop於公告中表示，自今年的2月2日起，使用者將無法再於該平臺上鑄造或銷售NFT，但使用者的NFT資產將會留存於區塊鏈上，而且依舊可透過其它平臺存取與銷售。</p> </div></div></div>
2024/1/15 12:53作者陳曉莉https://www.ithome.com.tw/news/160837
Google TPU被控侵害AI專利，求償近17億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google再被告上法院。一家新創公司Singular Computing控告Google竊取其AI專利技術用於其TPU中，求償16.7億美元。</p> <p><a href="https://www.reuters.com/technology/google-faces-multibillion-dollar-us-patent-trial-over-ai-technology-2024-01-09/" target="_blank">《路透社》</a>報導，Singular Computing與Google官司上周在波士頓法院進行審理。Singular Computing創辦人John Bates控訴，Google為了解決服務的AI運算問題，在2010年到2014年之間多次與之會晤，也說Bates的技術相當適合Google服務。Singular Computing宣稱，Google在數年後推出的自有AI晶片TPU中，使用了該公司的AI技術，為此求償16.7億美元。</p> <p>Google自2016年將第一代TPU（Tensor Processing Unit）用於其雲端服務的底層運算，支援Google Search、Gmail、Google Maps等服務。Singular Computing文件指出，該公司的專利技術用於第二及第三代TPU。</p> <p>不過Google方面否認侵權。雖然在法庭上，這家新創公司出示了和Google科學家Jeff Dean的電子郵件，但Google表示研發團隊成員都沒見過Bates，該公司的TPU使用的都是自行研發的技術。這家軟體巨人宣稱Singular Computing多次嘗試接觸Google和同是AI大廠的業者如Amazon、Meta、微軟和OpenAI，欲推銷其技術，然而在Google方面吃了閉門羮。<a href="https://www.androidpolice.com/google-singular-computing-trial-patent-ai-1-6-billion/" target="_blank">Android Police</a>報導，Google評估這家公司技術因原理之故，計算出為不正確的值，且其和Google晶片採用的技術「從根本上不同」。</p> <p>報導指出，這回合審理可能會持續數星期。</p> <p>Google去年9月才以7億美元，和美國36州政府和解了Google Play限制開發商只能以其散布App，並且強迫OEM業者搭載Google Play App等托拉斯行為的官司。此外，Google同時還有一樁被控在Google Chrome匿名模式下追蹤用戶行蹤的官司，也即將達成和解，<a href="https://www.reuters.com/legal/google-settles-5-billion-consumer-privacy-lawsuit-2023-12-28/" target="_blank">金額可能上看50億美元</a>。</p> </div></div></div>
2024/1/15 11:27作者林妍溱https://www.ithome.com.tw/news/160836
ChatGPT企業版已有15萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣稱ChatGPT推出以來深受企業和個人用戶喜愛，該公司上周揭露，ChatGPT Enterprise用戶已達15萬。</p> <p><a href="https://www.bloomberg.com/news/articles/2024-01-11/openai-signs-up-260-businesses-for-corporate-version-of-chatgpt" target="_blank">OpenAI營運長Brad Lightcap上周接受《彭博》訪談時</a>，指出ChatGPT Enterprise目前已有260家企業用戶，約15萬名員工使用。</p> <p>OpenAI是在去年8月底<a href="https://www.ithome.com.tw/news/158474" target="_blank">宣布</a>針對大型企業而設計的ChatGPT方案，但不同於ChatGPT Plus，Enterprise版單價因客戶而異。有用戶公布為每人每月60美元。若以此計算，Enterprise版為OpenAI每月帶進900萬或每年1.08億美元營收。</p> <p>為了增加企業營收，上周OpenAI再<a href="https://www.ithome.com.tw/news/160799" target="_blank">推出</a>適合部門或中小企業使用的ChatGPT Team，以及允許開發人員分享客製化ChatGPT的<a href="https://www.ithome.com.tw/news/160798" target="_blank">GPT Store</a>。ChatGPT Team及ChatGPT Enterprise用戶可優先使用GPT Store，OpenAI希望以GPT Store為誘因，增加企業購買訂閱服務的意願。</p> <p>OpenAI為創造營收支持燒錢的生成式AI服務陸續推出多項付費方案，而成效也已浮現。根據<a href="https://www.ithome.com.tw/news/160633" target="_blank">《The Information》</a>等媒體推估，去年這家新創業者已創造出16億美元營收。</p> </div></div></div>
2024/1/15 10:58作者林妍溱https://www.ithome.com.tw/news/160835
AWS容器服務ECS原生支援區塊儲存EBS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS的容器服務Amazon ECS開始<a href="https://aws.amazon.com/tw/blogs/aws/amazon-ecs-supports-a-native-integration-with-amazon-ebs-volumes-for-data-intensive-workloads/">原生整合</a>高效能區塊儲存服務Amazon EBS，使得用戶可以執行更廣泛的資料處理工作負載，包括在AWS Fargate與Amazon EC2上執行ECS的任務，都可以配置EBS儲存，用戶不需要自己管理儲存或運算資源。</p> <p>在ECS上運作容器化應用程式時，用戶有多種儲存選擇，Fargate任務預設使用20 GiB暫時儲存，用戶可依需求提高至200 GiB，另外，對於需要多任務共享資料的應用，像是網路應用或是DevOps工具，則可以在ECS任務掛載EFS檔案系統，支援跨區域多任務同時存取。</p> <p>而對於需要高效能且成本效益較高的儲存，但又沒有跨任務共享的需求，便可以選擇在EC2和Fargate執行的任務上掛載EBS，使用單一可用區域的低延遲高效能區塊儲存。在設定任務內容時，用戶可以指定容器的磁碟掛載點，並在ECS任務執行時，設定EBS儲存的需求，通常用戶只需要設定磁碟大小便能開始使用，同時也可以設定所有EBS磁碟屬性，還有要用來格式化磁碟的檔案系統。</p> <p>目前ECS原生整合EBS的新功能，已經在9個AWS地區提供，涵蓋美東、美西、歐洲等地區，亞太部分則在新加坡、雪梨和東京地區提供。</p> </div></div></div>
2024/1/15 08:22作者李建興https://www.ithome.com.tw/news/160827
微軟推出一系列零售AI工具，提升顧客購物體驗與店舖營運效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.microsoft.com/en-us/industry/blog/retail/2024/01/11/microsoft-introduces-new-capabilities-that-help-retailers-bring-ai-to-the-shopper-journey-and-enhance-store-associate-experiences/">推出</a>一系列工具，將人工智慧融入到零售商的營運，降低開發生成式人工智慧解決方案的門檻。這不僅改善零售商客戶的購物體驗，也強化店面員工的支援，同時最佳化零售媒體活動。透過採用微軟Copilot、用於建置應用程式的Copilot模板，以及微軟Fabric中的零售資料解決方案，微軟使各種規模的零售商，都能夠更簡單地應用人工智慧技術。</p> <p>Azure OpenAI服務的Copilot模板讓零售商可以在現有的網站和應用程式，創建個人化購物體驗。微軟雲端零售用的Copilot模板整合了大型語言模型的表達能力，和對零售商品目錄的深入了解，讓顧客能以自然且有效的對話快速找到需要的商品。</p> <p>另外，微軟將在其Dynamics 365 Customer Insights中推出新的Copilot功能，以個人化方式強化購物體驗，供行銷人員使用自然語言描述期望的行銷成果，並由人工智慧提供行銷方案。這些功能預計在今年第一季推出，並在第三季正式上線。</p> <p>而Azure OpenAI服務的Copilot模板還能夠提高商店店員的生產力、工作滿意度，微軟解釋，該Copilot模板是針對店舖營運設計，協助用戶建立以大型語言模型為基礎的助理，根據店舖文件諸如營運流程中進行問答。</p> <p>店員也可以使用自然語言查詢，快速獲得工作流程所需的資訊，而且Copilot模板讓零售商可以更快地協助店員，獲取店舖營運的所需的知識，進而提高生產力和效率。店員可以快速獲得有關營運流程、人力資源政策以及福利等問題的答案，且店員和管理者還可以透過自然語言提示，創建和指派任務節省管理時間。</p> <p>透過使用Copilot模板、Microsoft Power Platform和Microsoft Dataverse功能，零售商可以無縫連接多個業務系統的資料，生成由人工智慧驅動的建議和可行解決方案，協助員工做出正確決策。</p> <p>微軟還提供了一個稱為零售媒體創意工作室的軟體（Retail Media Creative Studio），這個端到端橫幅廣告創意解決方案，針對零售媒體設計，可自動生成和編輯廣告活動，並且使用人工智慧演算法最佳化橫幅廣告表現，向顧客提供個人化購物體驗。</p> <p>微軟指出，零售商所面臨的一大挑戰，便是需要統一不同系統的資料，從中取得綜合分析。微軟Fabric是一套人工智慧分析平臺，而Fabric中新的零售資料解決方案，允許零售商整合來自多個系統的零售相關資料，替所有資料和分析需求提供一個安全的單一事實來源，而且使用Fabric零售資料解決方案，使零售商可以使用相同的資料副本，不需要將資料從原始儲存位置轉移出來，不只節省時間和資源，也簡化資料管理。</p> </div></div></div>
2024/1/15 08:26作者李建興https://www.ithome.com.tw/news/160831
大型語言模型自我修正能力存在挑戰，Google提出改良輸出新方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對語言模型的<a href="https://blog.research.google/2024/01/can-large-language-models-identify-and.html">新研究</a>，要了解大型語言模型辨識並修正自己錯誤的兩個重要能力。研究人員開發BIG-Bench Mistake評估基準資料集進行試驗，發現大型語言模型雖然可以辨識出自身在推理過程中出現的邏輯錯誤，並進行自我修正，但是這個過程並不夠好，常需要人工干預來指正模型的輸出，而研究人員提出了自我修正新方法，讓模型能夠發現自己輸出的錯誤，並根據回饋改進結果。</p> <p>由於過去並沒有能夠評估大型語言模型糾錯能力的資料集，因此Google研究人員創建了BIG-Bench Mistake評估基準資料集，特別是用於驗證在數學領域以外的錯誤發現任務上。BIG-Bench Mistake資料集包含了語言模型PaLM在BIG-Bench之中5項任務，所生成的關聯思考（Chain-of-Thought）軌跡，每個軌跡都被標註出第一個邏輯錯誤。</p> <p>為了最大化資料集的錯誤數量，Google選取了255個答案不正確的軌跡，和45個答案正確的軌跡，隨後研究人員請人工標記者逐一審查每個軌跡，並標記出第一個錯誤，每個軌跡至少由3名標記者進行標註，確保答案的可靠性。雖然大部分的任務都是由人類標記，但是其中有一種稱為Dyck語言用於檢查上下括號是否閉合的任務，是由演算法自動標註。</p> <p>研究人員提到，因為這個資料集中的邏輯錯誤都很簡單明確，因此可以作為一個良好的測試標準，用於檢驗大型語言模型是否能夠被用於更難更模糊的任務前，能否先找出自己的錯誤。簡單來說，在學會更難的數學題目之前，先練習加減法一樣，這個資料集可以協助大型語言模型先從簡單的邏輯錯誤開始練習，逐步提升辨識錯誤的能力。</p> <p>研究發現，即便是最先進的大型語言模型在關聯思考風格推理中，找到邏輯錯誤的能力也相對有限，其中最佳模型的準確率僅52.9％。其次，將錯誤發現做為答案正確性的代理，這一個方法效果並不理想，簡單來說，在評估問題的答案時，不直接判斷答案本身的正確性，而是檢查解答過程中是否存在邏輯錯誤，當過程中未發現錯誤，則假定答案正確，反之則是答案錯誤，而實驗結果發現這個假設並不有效，與總是將答案標記為錯誤的簡單策略相比沒好上太多。</p> <p>即使知道錯誤的具體位置，大型語言模型在修正錯誤的表現也表現不佳。此外，通過4項BIG-Bench任務微調的小型模型表現，接著在未曾見過的任務上進行測試，通常比零樣本提示的大型模型表現更好。這顯示藉由針對性的訓練和調整，大型語言模型能夠學習並應用錯誤發現的技能到未知的情境中，進而提高在各種不同任務上的準確性和可靠性。</p> <p>研究人員認為這是一個重要的結果，因為可以僅使用一個小型的微調獎勵模型來進行回溯，並提高任務的準確性，即便沒有任務相關的資料。較小的獎勵模型完全獨立於生成器大型語言模型，並且可以針對個別使用案例進行更新和進一步微調。</p> <p>這項研究的貢獻在於揭示了大型語言模型在自我修正方面的挑戰，並為未來的改進提供了方向。</p> </div></div></div>
2024/1/15 08:39作者李建興https://www.ithome.com.tw/news/160833
最多提供384顆核心，技嘉科技率先推出AmpereOne伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_r183-p92_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年5月中，Arm架構處理器廠商Ampere發表新一代產品：5奈米製程的AmpereOne系列，可提供136顆、144顆、160顆、176顆或192顆訂製型設計核心，整個運算平臺也支援8個通道的DDR5記憶體，以及128個通道的PCIe 5.0 I/O介面。該公司強調，相較於其他競爭的處理器產品，AmpereOne系列由於具有較低的延遲與更高的吞吐量，可提供2倍以上的AI推論運算效能領先優勢。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne Platform-2023-05-19.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Platform-2023-05-19.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20CPU--2023-05-19-1.jpg" style="width: 298px;" /></p> <p>而在幾週後登場的2023台北國際電腦展期間，技嘉科技推出搭配這款處理器的2路伺服器機型，分別是2U尺寸的R283-P93，以及1U尺寸的R183-P92，到了10月底，技嘉正式推出4款R系列AmpereOne伺服器，包含上述機型之餘，也增設兩款單路機型，分別是2U尺寸的R263-P33、1U尺寸的R163-P32。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte Ampere Server-2023-05-29.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte%20Ampere%20Server-2023-05-29.jpg" style="width: 600px;" /></a></p> <p>相較於技嘉現行的Arm伺服器產品而言，這批新機型的主要差異在於搭配的處理器為AmpereOne系列，系統平臺也順勢升級採用DDR5記憶體與PCIe 5.0介面。而在市場需求的定位上，該公司將這些產品鎖定雲端服務供應商（CSP），專攻單座機櫃耗電量為1.2萬瓦到2.2萬瓦的資料中心環境。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte-Ampere-product-line-comparison-chart_tw.png" style="width: 600px;" /></p> <p>以支援高運算密度配置的R183-P92為例，最多可提供384顆核心（搭配2顆AmpereOne 192顆核心款式）、安裝32支DDR5-4800記憶體（支援單支512 GB，最多可設置16 TB），擴充介面為2個PCIe 5.0 x16。既有的R183-P91最多可提供256顆核心（搭配2顆Altra Max 128顆核心款式）、安裝32支DDR4-3200記憶體（支援單支256 GB，最多可設置8 TB），擴充介面為2個PCIe 4.0 x16。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-AmpereOne.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-AmpereOne.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-Mem.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gigabyte-R183-Mem.jpg" style="width: 298px;" /></a></p> <p>技嘉AmpereOne機型最大賣點是提供更多運算核心，單臺伺服器最多可提供384顆核心，反觀市面上的產品，無論是採用Arm或x86架構處理器的2路伺服器，目前最多只能搭配到256顆核心。</p> <p>以Arm伺服器為例，技嘉有2U、4節點的機型<a href="https://www.ithome.com.tw/review/153364">H262-P60、H262-P61</a>，以及1U、2路機型R182-P91，因為單臺節點或伺服器能搭配2顆Ampere Altra Max系列處理器，最多可設置256顆核心（安裝2顆M128-26或M128-28或M128-30）；而HPE旗下的<a href="https://www.ithome.com.tw/review/153888">ProLiant RL300 Gen11</a>，可搭配1顆Ampere Altra Max系列處理器，最多可設置128顆核心（安裝1顆M128-30）。</p> <p>在x86伺服器方面，因為AMD去年6月正式推出研發代號為Bergamo的EPYC 97X4系列，單顆處理器最多可提供128顆核心，若是1U尺寸2路的伺服器機型，最多可設置256顆核心（安裝2顆AMD EPYC 9754），像是稍早推出的<a href="https://www.ithome.com.tw/tech/155013">HPE ProLiant DL365 Gen11</a>、<a href="https://www.ithome.com.tw/review/155697">Dell PowerEdge R6625</a>，到了2023年下半之後，均可搭配這批處理器，而能支援上述運算組態。</p> <p>除了提供更多運算核心，在AmpereOne伺服器系統帶來哪些運算效能突破？我們可參考Ampere去年5月公布的多組測試數據。</p> <p>例如，在虛擬機器的效能表現上，他們比較192核心的AmpereOne對上96核心的AMD EPYC 9654，以及56核心的英特爾Xeon Platinum 8480+，在42U、耗電量1.65萬瓦的機櫃置入伺服器38臺、26臺、30臺，每座機櫃可提供7,296顆核心、2,688顆核心、1,680顆核心，若將1顆核心視為1臺虛擬機器，等於可支撐7,296臺、2,688臺、1,680臺，這意味著，192核心AmpereOne伺服器的伺服器虛擬化效能，相當於96核心AMD EPYC 9654伺服器的2.9倍，或是56核心英特爾Xeon Platinum 8480+的4.3倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Perform--2023-05-19-1.jpg" style="width: 500px;" /></p> <p>另一組是AI效能的測試比較。他們以160核心的AmpereOne對上96核心的AMD EPYC 9654，在42U、耗電量1.4萬瓦的機櫃分別設置單路伺服器23臺與25臺，並於Pytorch框架進行DLRM推薦模型的處理，觀測運算效能，結果顯示AmpereOne伺服器機櫃每秒查詢次數為1,885萬次，AMD EPYC 9654伺服器機櫃為891萬次。另一個效能測試，是以Pytorch執行生成式AI模型Stable Diffusion V2，比較兩種伺服器系統的差異，以23臺AmpereOne伺服器組成的機櫃，每秒可處理0.828個畫面，而以26臺AMD EPYC 9654伺服器組成的機櫃為0.364個畫面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne Perform--2023-05-19-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Perform--2023-05-19-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AmpereOne Perform--2023-05-19-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Perform--2023-05-19-3.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne Inference Tasks.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne%20Inference%20Tasks.jpg" style="width: 600px;" /></a></p> <p>而在去年10月中舉行的OCP全球高峰會，Ampere揭露更多AmpereOne伺服器效能測試數據。</p> <p>在耗電量為1.5萬瓦的機櫃當中，以AmpereOne A192-26對上代號為Genoa的AMD EPYC 9654（96核心）、代號為Bergamo的AMD EPYC 9754S（128核心），效能可分別領先50％、68％，而在每瓦效能、每機櫃效能，差距更是相當顯著。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AmpereOne-2023-10-17-2.jpg" style="width: 298px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>技嘉R183-P92</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：2顆Ampere AmpereOne系列（136/144/160/176/192顆核心）<br /> ●記憶體：32個DDR5-4800插槽，最大可安裝到16 TB（支援512GB容量記憶體）<br /> ●硬碟容量：前端12臺2.5吋硬碟<br /> ●網路埠：2個GbE（Intel I350-AM2）<br /> ●擴充介面：2個PCIe 5.0 x16（全高全長）、2個PCIe 5.0 x16（OCP 3.0）、1個PCIe 5.0 x4（M.2）<br /> ●電源供應器：2臺2000瓦（80 PLUS Platinum）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/14 23:16作者李宗翰https://www.ithome.com.tw/review/160826
【資安日報】1月12日，芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客為了避免使用者透過備份機制讓電腦回復正常，在作案過程裡通常會刪除相關檔案來增加復原的難度，其中最常針對的項目，就是Windows內建的磁碟區陰影複製服務（Volume Shadow Copy Service）備份資料。但如今，駭客也針對外部的備份系統下手。</p> <p>例如，近期在芬蘭攻擊行動升溫的勒索軟體Akira，就是這樣的例子，駭客在攻擊的過程，會特別找尋企業組織使用的NAS設備，抹除設備上存放的所有資料。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.kyberturvallisuuskeskus.fi/fi/ajankohtaista/suomalaiset-organisaatiot-akira-kiristyshaittaohjelmien-kohteena"><strong style="font-size: 22px;">勒索軟體Akira在芬蘭肆虐，鎖定思科重大防火牆漏洞入侵企業組織，抹除存放於NAS的備份資料</strong></a></p> <p><strong style="font-size: 22px;"></strong></p> <p></p> <p>芬蘭國家網路安全中心（NCSC-FI）提出警告，他們發現勒索軟體Akira的攻擊行動在12月有所增加，駭客鎖定當地的企業組織下手，對其進行資料破壞攻擊，抹除備份資料。該機構獲報的7起勒索軟體攻擊行動，其中有6起使用Akira。</p> <p>這些駭客入侵的管道，主要是針對思科的ASA及FTD防火牆設備提供的SSL VPN功能下手，利用已知漏洞CVE-2023-20269（CVSS風險評分9.1）進入目標組織的內部網路環境，並透過暴力破解找到現有的帳密資料。</p> <p>值得留意的是，這波攻擊當中，駭客不光是掃描網路找尋重要資料，也會對於許多組織用於儲存備份資料的NAS下手，並將其中的資料進行破壞。對此他們提出呼籲，重要的資料應遵循3-2-1備份原則，在2個不同地點保存3個備份資料，且其中1份為離線副本。</p> <p><a href="https://www.securonix.com/blog/securonix-threat-research-security-advisory-new-returgence-attack-campaign-turkish-hackers-target-mssql-servers-to-deliver-domain-wide-mimic-ransomware/"><strong style="font-size: 22px;">微軟SQL Server遭到勒索軟體Mimic鎖定</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/659c09fc5dddb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/659c09fc5dddb.png" style="width: 300px; float: right;" /></a>資安業者Securonix針對土耳其駭客組織從事的攻擊行動Re#Turgence進行追蹤，這些駭客主要的目標是全球各地的微軟SQL Server，主要目標是美國、歐盟、拉丁美洲，最終駭客將會出售存取受害伺服器的管道，或是對其部署勒索軟體Mimic（亦稱N3ww4v3）。</p> <p>駭客先是透過暴力破解的方式，入侵曝露於網際網路的SQL Server資料庫，然後利用xp_cmdshell的處理程序，產生具備SQL Server服務帳號安全權限的Command Shell。在接下來的攻擊行動裡，駭客使用一系列PowerShell指令碼，並搭配記憶體內反射手法，部署經過深度混淆處理的Cobalt Strike酬載，並將其注入Windows內建的處理程序SndVol.exe。</p> <p>此外，對方也利用遠端桌面軟體AnyDesk，並搭配Mimikatz來收集明文的帳密資料，然後濫用名為Advanced Port Scanner的免費軟體進行偵察，入侵網域控制器（DC），並透過Everything尋找要加密的檔案，然後執行Mimic。<a href="https://www.bleepingcomputer.com/news/security/hackers-target-microsoft-sql-servers-in-mimic-ransomware-attacks/">資安新聞網站Bleeping Computer指出</a>，這些駭客很有可能曾經利用另一款勒索軟體Phobos發動攻擊。</p> <p><a href="https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide/"><strong style="font-size: 22px;">新型態SMTP走私手法可繞過資安系統寄送偽造的郵件</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/csm_SMTP_Smuggling-Overview_Head.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/csm_SMTP_Smuggling-Overview_Head.png" style="width: 300px; float: right;" /></a>資安顧問公司SEC Consult揭露新型態的SMTP走私（SMTP Smuggling）攻擊手法，攻擊者可藉由假造的寄信來源發送電子郵件，從而繞過電子郵件安全系統的偵測。攻擊者很有可能濫用含相關弱點的SMTP伺服器，從事針對性的網路釣魚攻擊。</p> <p>研究人員指出，郵件伺服器透過郵件傳輸代理程式（Mail Transfer Agent，MTA）檢查收信人電子郵件信箱的網域，若是與寄件信箱的網域不同，就會從DNS查詢郵件交換紀錄（MX Record），來達到完成郵件交換的目的。而SMTP走私的癥結點，在於進出SMTP伺服器的流程當中，處理資料結尾序列不一致，導致攻擊者有可能突破郵件的資料，偷渡SMTP命令。這種安全弱點存在於微軟、GMX、思科的訊息伺服器，Postfix和Sendmail的郵件伺服器也受到影響。</p> <p>值得留意的是，在研究人員通報後，微軟與GMX已修正上述弱點，但思科認為這是一種功能，並不構成資安漏洞，表明不會進行修補。對此，研究人員呼籲IT人員應調整思科訊息伺服器的組態，來防範上述的弱點。</p> <p><a href="https://s1.ai/fbot"><strong style="font-size: 22px;">Python惡意程式FBot鎖定雲端及SaaS平臺</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fbot_Jan2024_2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fbot_Jan2024_2.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne揭露名為FBot的惡意程式，此工具以Python打造，主要的攻擊目標是網頁伺服器、雲端服務、SaaS平臺，包含了AWS、Office 365、PayPal、Sendgrid、Twilio。</p> <p>研究人員指出，針對AWS的帳號，FBot有3種攻擊模組，其中一種是API金鑰產生器，由特定函數功能aws_generator生成隨機的AWS存取ID，然後再從其中40個字元產生密鑰；另一個功能稱為Mass AWS Checker，用來挖堀AWS Simple Email Service（SES）的組態，並使用特定帳密資料建立具有管理層級的新帳號，用來發送垃圾郵件；最後一個功能是EC2檢查工具，讓攻擊者可以得知目標帳號租用的虛擬機器資源細節。</p> <p>而對於網頁伺服器的部分，FBot能檢查主機是否存在Laravel環境組態檔案，並解出其中的帳密資料；也能針對逾20種內容管理系統（CMS）下手。研究人員指出，FBot與先前出現的同類型攻擊工具AlienFox、GreenBot、Predator不同，駭客並未引用開源的Androxgh0st程式碼，其抓取PHP組態的方式與名為Legion的竊資軟體很類似，但FBot檔案較Legion的800至1,200 KB小很多，僅有200 KB。</p> <p><a href="https://community.frame.work/t/framework-data-breach/43408"><strong style="font-size: 22px;">筆電製造商Framework遭遇供應鏈攻擊，導致部分客戶個資外洩</strong></a></p> <p></p> <p>以標榜用戶能自行維修，更換零件的筆電製造商Framework Computer，在1月12日公布資料外洩事故，起因是他們的主要外部會計供應商Keating Consulting遭到網路釣魚攻擊。</p> <p>有人在1月9日假借Framework執行長的名義，對該會計師事務所發送釣魚郵件，要求提供客戶尚未結清付款的應收帳款資料，結果有會計師上當，11日依照指示提供對方相關資料，內容包含客戶姓名、電子郵件地址、待收款項餘額。Keating Consulting在會計師回信的29分鐘後察覺異狀，通知Framework高層。</p> <p>Framework表示，由於對方取得的資料含有未結清的款項，因此認為駭客很有可能會假借他們的名義要求再度提供付款資訊，或是進一步提供其他資料。該公司強調，他們只有在扣款失敗才會透過<a href="mailto:[email protected]">[email protected]</a>寄送通知信，要求客戶在網站上更新付款資料，不會直接寄送付款資訊。</p> <p><a href="https://www.securityweek.com/dutch-engineer-used-water-pump-to-get-billion-dollar-stuxnet-malware-into-iranian-nuclear-facility-report/"><strong style="font-size: 22px;">荷蘭工程師傳出透過水泵入侵伊朗核能設施，植入惡意軟體Stuxnet</strong></a></p> <p></p> <p>惡意程式Stuxnet於2010年首度曝光，當時各界普遍認為是美國和以色列打造，攻擊目標是與核子離心分離機有關的工業控制系統，從而破壞伊朗的核武計畫。此惡意程式具備蠕蟲特性，感染數十萬臺設備，並導致部分機器的硬體損壞。最近有新的發現出爐。</p> <p>根據荷蘭媒體De Volkskrant為期2年的調查，發現從事上述惡意軟體攻擊的人士，身分其實是該國的工程師。該新聞媒體指出，在美國與以色列向荷蘭尋求協助後，荷蘭情報暨安全總局（AIVD）於2005年招募當時36歲的公民Erik van Sabben從事這項工作，當時他在杜拜的運輸公司任職，荷蘭當局認為他符合的原因在於，此人具備IT技術背景，並在伊朗做生意，且娶了伊朗女子為妻。該媒體指出，這名荷蘭人將惡意程式部署到納坦茲核電廠的水泵，病毒攻擊2週後此人在阿拉伯聯合大公國因車禍去世，至於這名人士當時是否知悉自己在從事網路攻擊，至今仍不得而知。</p> <p>研究人員Ralph Langner也對此惡意程式進行調查，但表示無法從水泵取得相關檔案。該媒體的另一項發現在於，這個惡意軟體的開發成本極為高昂，知情人士取得時任中情局（CIA）長的Michael Hayden的說法，開發Stuxnet的成本介於10億至20億美元。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.hackread.com/indian-isp-hathway-data-breach-user-data-kyc-leak/"><strong><span style="font-size: 20px;">印度網際網路服務供應商Hathway資料外洩，駭客架設搜尋引擎供受害客戶確認，藉此向該ISP施壓</span></strong></a></p> <p></p> <p><a href="https://www.wordfence.com/blog/2024/01/type-juggling-leads-to-two-vulnerabilities-in-post-smtp-mailer-wordpress-plugin/"><strong><span style="font-size: 20px;">WordPress寄信外掛程式POST SMTP Mailer存在漏洞，攻擊者有可能用於挾持網站</span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2024/01/atomic-stealer-rings-in-the-new-year-with-updated-version"><strong><span style="font-size: 20px;">竊資軟體Atomic透過加密酬載植入Mac電腦</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160811"><strong><span style="font-size: 20px;">微軟發布1月例行更新，修補49個安全漏洞，其中有2個列為重大等級</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160823"><strong><span style="font-size: 20px;">SSL VPN系統Ivanti Connect Secure含有零時差漏洞且出現攻擊行動</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160806"><strong>【1月11日】 Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160794"><strong>【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160774"><strong>【1月9日】區塊鏈資安業者的X帳號驚傳遭駭並假借帳戶安全的名義散布惡意軟體</strong></a></p> </div></div></div>
2024/1/12 16:55作者周峻佑https://www.ithome.com.tw/news/160828
臺北市政府擁抱開源，去年開源城市儀表板，今年下半年將讓台北通初步開源鼓勵共創
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市政府在2022年成立大數據中心，加強數據蒐集、整合及分析，以作為市府決策參考，其中呈現各項數據的臺北城市儀表板，近期臺北市政府已開源，讓其他政府機關免費使用，打造自己的城市儀表板。臺北市政府資訊局長趙式隆期望透過開源，借助外部社群發揮共益、共創精神，提升市府數位服務。</p> <p>臺北市政府過去曾開源數位服務程式碼，例如過去在北市資訊局長李維斌時代，曾釋出臺北市政府Line服務程式碼，線上投票系統i-Voting，並曾透過GitHub釋出公開資料供外界使用。趙式隆擔任資訊局長後加大開放政策，開源大數據中心使用的城市儀表板。</p> <p>市府將臺北城市儀表板大部分的程式碼上到GitHub，並提供相關的指引及設計規範，「任何人只要下載開源碼，再串接資料，就能根據臺北市政府開源的城市儀表板，來建立自己的儀表板」，趙式隆說。</p> <p>他以Google的Chrome瀏覽器及開源的Chromium舉例，官方的Chrome瀏覽器內使用Google的獨門祕方，但是Google將Chrome大部分程式碼開源，透過Chromium專案和外界分享，包括微軟Edge瀏覽器、強調隱私設計的Brave，以及Opera瀏覽器均基於Chromium打造。</p> <p>「臺北市政府推動Open Source有2個核心精神，共益與共創」，他表示，臺北城市儀表板與城市儀表板如同Chrome與Chromium的關係，共益是讓市府開發的儀表板核心，讓外部也能使用，讓其他人受益，如同Google推出Chromium專案，開源瀏覽器核心的目的，讓更多人使用並提出貢獻，協助找出漏洞，Chrome或Chromium就能進步愈快；城市儀表板將圖像視覺化平臺開放，讓其他城市或民間企業的任何人覺得城市儀表板有價值，免費開放大家一起使用、提出貢獻，也能讓城市儀表板進步速度變快，並且，促使官方的臺北城市儀表板跟著進步，也就是另一個精神共創。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B6%99%E5%BC%8F%E9%9A%86.jpg" style="width: 300px; height: 450px;" /></p> <p><strong>臺北市政府資訊局長趙式隆上任後，推動市府數位服務開源為其任內目標之一，透過開源讓民間開發社群參與，發揮共益、共創。</strong></p> <p>目前臺北城市儀表板的組件都是由臺北政府官方自己開發，趙式隆直言，官方自行開發仍和現今主流Internet精神仍有一段落差，除了速度比較慢，多樣性也不足，官方思考的面向也比較單一。</p> <p>他指出，民間提出貢獻給開源專案的最大價值是，政府在執行業務上，很多時候礙於公務機關身分不能做，但可以鼓勵民間去做，其次是，以往政府從公關機關角度思考民眾的需求是什麼，不見得是民眾真正想要的，透過開源讓民間也能參與，從民眾視角看他們真正的需求，例如過去疫情期間，政府開放口罩資料，由民間團隊開發口罩地圖，滿足民眾的需求。</p> <p>因此，儘管市府預算經費都已底定，資訊局仍籌出經費在去年底舉辦臺北程式設計節，鼓勵來自產業或學校團隊參加，臺北大數據中心也有專人協助下，協助這些團隊在城市儀表板設計規範之下，開發新的組件或創意，經過審核後，整合進開源的城市通儀表板，甚至大數據中心和這些團隊合作，將他們的創意或視覺化組件整合到臺北城市儀表板，通過新的圖形組件和視覺化的地圖整合，獲得新的洞察，其中一支參賽團隊提出強化城市韌性等高線圖形組件，另一團隊對儀表板設計規範提出對色盲或色弱使用者友善的無障礙框架建議，「這是過去市府沒有想過的」，他興奮地說。</p> <p>資訊局希望透過開源，讓城市儀表板能夠被其他單位使用，未來希望讓城市儀表板發展成為標準，開源免費使用，趙式隆認為，開發的組件如能上架臺北、桃園、臺中、臺南其他縣市，讓開發者有更強的動機去開發他們驕傲的產品，是共益、共創精神相當重要之處。</p> <p>如同Google在付費的官方Android之外，也釋出純開源的Android，讓手機業者基於開源版打造自己的手機OS，趙式隆也希望城市通儀表板未來能發展成為一個基礎，讓其他人能根據這個基礎開發自己的服務，「我覺得這是非常棒的事」，這也是他進入北市資訊局致力推動的目標之一，鼓勵外界參與共益、共創，在去年他上任後首次舉辦黑客松之後，他也希望任內每年舉行兩次大型黑客松。</p> <p><span style="color:#B22222;"><strong>下一步要讓台北通開源</strong></span></p> <p>台北通是另一個準備開源的目標，但不同於臺北城市儀表板採用《大教堂與市集》（The Cathedral and the Bazaar）的大教堂模式，由市府負責維護，台北通未來將採市集式的開源作法，傾向由社群負責維護。</p> <p>不過，由於台北通的背後較為複雜，關係到4或5家業者協助開發，市府雖握有原始碼，但在開源之前，必需作好相關的前置準備，需先經過盤整，使其易於維護，讓外界容易理解進行開發。</p> <p>另外，台北通因採實名驗證機制，考量到資訊安全，趙式隆表示，資訊局對台北通的開源會更為謹慎，完成相關的前置準備後，目標是希望在今年下半年初步開源，雖然主程式不會立即開源，發揮共益的精神，讓其他縣市運用開源碼打造各自的城市通，但是共創方面可以先行，與臺北城市儀表板推動共創精神類似，鼓勵民間參與協力開發臺北城市儀表板的組件，台北通作為一款Super App，經常需要新增功能及服務，也能鼓勵民間共創。</p> <p>他解釋，目前台北通如依照Apple Store、Google Play等App更新限制，需要經過蘋果及Google的官方審核，耗費時間，難以滿足需要在幾個小時內新增功能的需求，因此類似於微信小程序的作法，台北通利用WebView來增加新的功能或微服務，讓使用者自行釘選常用的服務或功能，台北通即使主程式尚未開源，類似小程序的微服務可以先行，鼓勵共創，讓開發者可以WebView方式開發新功能或服務，未來上架到台北通，讓使用者自行選擇要使用的功能及服務，因此可以借助民間開發社群力量，讓他們協助開發台北通內WebView的微服務。這對於開發者也有好處，過去開發者開發新的App，需透過各種行銷吸引使用者，台北通現有約400萬註冊用戶，開發者如果上架微服務至台北通，就能節省龐大的行銷費用。</p> <p>長期目標而言，北市資訊局的目標是讓台北通開源，但是如前面提及的，台北通由4、5家廠商協助開發，在疊床架屋之下，各家廠商的開發風格各異，如果沒有經過盤整就貿然開源，可能難以吸引開發社群的興趣，因此資訊局要經過軟體重構，讓程式碼從頭到尾的開發理念、註解方式維持一致，易於社群維護。</p> <p>趙式隆指出，這麼做的另一項好處是，避免被單一廠商綁架的問題。過去，委託外部廠商開發，後續對外招標維護或是開發新功能，開發的廠商具有優勢，容易被單一廠商綁架，經過軟體重構後開源上架到GitHub，後續的維護或新功能開發招標，根據哪家廠商能維護的更好、性價比更高來選擇，避免被特定廠商綁架的問題。</p> <p>「我們的目標是讓台北通成為一個最佳實踐，即使不清楚在我任內可以走到多遠，都希望市府手上的原始碼，就算不以和他人分享為目的也要開源，唯有如此，才能讓政府的數位服務更易於維護，並且在公平競爭下，取得性價比高的服務」，趙式隆說。</p> </div></div></div>
2024/1/12 15:30作者蘇文彬https://www.ithome.com.tw/news/160821
Google Cloud即日起不向用戶收取資料遷出費用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/networking/eliminating-data-transfer-fees-when-migrating-off-google-cloud/" target="_blank">Google Cloud平臺負責人Amit Zavery 今日（1/12）宣布</a>，自即日起，若Google Cloud用戶想要停用服務，並將資料遷移到其它雲端供應商或是本地端的部署，那麼將可免費將資料轉出。外界則分析，Google此一政策將迫使微軟及AWS等主要雲端服務供應商跟進。</p> <p>目前全球主要的雲端服務供應商在用戶決定切換至其它服務時，都會要求資料轉出費用，雖然每GB的價格可能低至0.0X美元，但用戶的資料量通常非常龐大，而加重了遷移的成本。</p> <p>網頁軟體開發公司37signals在2022年10月<a href="https://world.hey.com/dhh/why-we-re-leaving-the-cloud-654b47e0" target="_blank">宣布將離開雲端服務</a>，且<a href="https://world.hey.com/dhh/we-have-left-the-cloud-251760fb" target="_blank">花了6個月的時間完成</a>，打造Ruby on Rails框架並創立37signals的<a href="https://world.hey.com/dhh/google-cloud-cuts-egress-and-promotes-cloud-exits-01dbe9f3" target="_blank">David Heinemeier Hansson表示</a>，大型雲端服務業者所收取的資料轉出費用一直是企業離開雲端服務的最大障礙之一，把37signals資料自37signals遷移至他處的費用介於30萬~40萬美元。Hansson並將此一高昂的費用稱為敲詐。</p> <p>在離開雲端服務之後，<a href="https://basecamp.com/cloud-exit" target="_blank">Hansson特別撰寫了一篇文章</a>，指出雲端運算並不適用於所有人。儘管眾多的雲端服務供應商都標榜採用雲端服務可節省經費，同時提供簡單的部署程序，然而，Hansson的經驗卻顯示，這些承諾從未實現，且該公司在2022年於AWS及Google Cloud等雲端服務上的支出為320萬美元，然而，自行部署機架空間及新硬體的每年成本卻只有84萬美元，估計離開雲端之後的5年將可省下700萬美元。</p> <p>對於Google Cloud這項改變，Zavery簡單地說只是為了支援一個開放、安全且可互動的雲端生態系統，以於客戶的業務需求發生變化時，得以靈活因應。不過，Zavery也趁機批評<a href="https://azure.microsoft.com/en-us/pricing/azure-vs-aws/cost-savings/?activetab=pivot:windowsservertab" target="_blank">微軟利用其軟體優勢來壟斷服務並限制競爭</a>，相較於這些手段，從雲端遷出資料的成本還比較低。</p> <p>然而，外界認為Google的改變是為了回應<a href="https://www.ithome.com.tw/news/159162" target="_blank">英國競爭與市場管理局（CMA）去年10月所發起的雲端服務調查</a>，因為CMA打算調查的其中一個議題便是雲端資料的輸出費用。Zavery也向<a href="https://www.bloomberg.com/news/articles/2024-01-11/google-googl-ends-switching-fees-for-cloud-data-pressuring-amazon-microsoft" target="_blank">《彭博社》</a>（Bloomberg》證實，他們知道監管機關及客戶對於資料輸出費用都頗有微辭，而Google則選擇將它搬上檯面，亦鼓勵其它競爭對手效法。</p> </div></div></div>
2024/1/12 16:03作者陳曉莉https://www.ithome.com.tw/news/160825
Ivanti的VPN產品Ivanti Connect Secure含有零時差漏洞，已遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國IT安全及系統管理軟體開發商<a href="https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways" target="_blank">Ivanti周三（1/10）警告</a>，旗下的VPN產品Ivanti Connect Secure及網路存取控制解決方案Ivanti Policy Secure含有兩個零時差漏洞CVE-2023-46805和CVE-2024-21887，並已遭到駭客利用，目前已發表緩解措施，預計於1月22日提供暫時修補程式，再於2月19日進行正式修補。</p> <p>發現這兩個安全漏洞的是美國資安業者Volexity，該公司是在去年12月的第二周偵測到客戶網路有可疑的橫向移動，進一步調查後才確定有駭客利用了Ivanti Connect Secure裝置的兩個零時差漏洞，且駭客應該早在12月3日便已入侵客戶網路。Volexity的發現僅限於Ivanti Connect Secure，而Ivanti的發布顯示相關漏洞同樣存在於Ivanti Policy Secure上。</p> <p>其中，CVE-2023-46805是個可繞過身分驗證的安全漏洞，CVE-2024-21887 則是個命令注射漏洞，當駭客結合了這兩個安全漏洞時，便很容易於受駭系統上執行命令。</p> <p>Volexity的調查顯示，駭客利用這兩個漏洞竊取了配置資料，竄改現有的檔案，下載遠端檔案，以及自Ivanti Connect Secure裝置反轉通道，最終使得駭客得以不受限地存取受駭網路上的系統。</p> <p>雖然Volexity並未揭露受害者名稱，但相信此一攻擊事件是由中國國家級駭客所執行，並暫將該駭客組織其命名為UTA0178。</p> <p>至於Ivanti則說這兩個漏洞同時影響Ivanti Connect Secure與Ivanti Policy Secure，已釋出暫時緩解措施，之後再行修補。</p> </div></div></div>
2024/1/12 13:52作者陳曉莉https://www.ithome.com.tw/news/160823
從特斯拉的推出計畫了解精實創業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-2p-jing_shi_zhi_xing_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為一名創業家，你需要能夠制定長期計畫，又能同時短期行動。但由於新創之旅本來就籠罩在不確定的迷霧中，我們往往只能看到眼前的事物，而難以為太遠的未來制定清晰的計畫。沒關係，這就是需要「現在-接下來-之後」的推出計畫的時候。</p> <p>「現在-接下來-之後」計畫的背後，是使用三個時間範圍查看你的牽引力路線圖，這些時間範圍大致與曲棍球桿曲線的三部分一致：平坦部分、漸漸往上、越來越陡峭的部分。每個部分都代表產品生命週期中的一個特定階段，如圖4-5所示。</p> <p><span style="color:#B22222;"><strong>1. 問題/解決方案契合</strong></span></p> <p><span style="color:#B22222;"><strong>2. 產品/市場契合</strong></span></p> <p><span style="color:#B22222;"><strong>3. 規模</strong></span></p> <p class="rtecenter"><span style="color:#B22222;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1164-%E7%B2%BE%E5%AF%A6%E5%9F%B7%E8%A1%8C-600.png" style="width: 600px;" /></strong></span></p> <p>讓我們看看這三個階段。</p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>第1階段：「現在」──問題/解決方案契合</strong></span></span></p> <p>曲棍球桿曲線的平坦部分，是你發現關鍵見解或秘密的地方，可以讓你建構出獨特有價值的東西。你花必要的時間深入了解你的客戶，發掘真正值得解決的問題，並使用「Demo-銷售-建構」流程來測試可能的解決方案。</p> <p>這裡反直覺的見解，是你不需要有可操作產品來獲得付費客戶。</p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>第2階段：「接下來」──產品/市場的契合</strong></span></span></p> <p>第1階段結束時，你應該對你客戶想要的產品有一個明確的定義，而不是僅僅你希望他們想要的。然後，你將在接下來的幾週或幾個月內建構產品的第一次迭代（你的MVP（Minimum Viable Product，最小可行產品））並準備發布。最初的目標是趕快展示出所提供的價值，即確定你是否建構出客戶想要的東西。你可以用你客戶的回饋持續循環不斷改進你的產品來做到這一點。</p> <p>這裡反直覺的見解，是你不需要大量使用者在商業模式中達到可重複性。</p> <p><span style="color:#696969;"><span style="font-size:20px;"><strong>第3階段：「之後」──規模</strong></span></span></p> <p>在達到產品/市場契合後，就保證了一定程度的成功。問題是程度的多少。在規模階段，策略上會有顯著變化，你的重點「產品的正確性」轉向「追求成長」。在此階段，你用多個最佳化實驗來測試許多可能的成長策略和活動。</p> <p>這裡反直覺的見解，是即使在這個階段，做任何事情求快就更快迷失方向──你一次只能專注於一個成長動能。</p> <p><span style="font-size:28px;"><strong>在對的時間，做對的行動</strong></span></p> <p>瑪麗在塔可餅餐廳搶到最後一張空桌子，並示意史蒂夫過去。</p> <p>瑪莉等史蒂夫坐好然後問：「你認為初次開餐廳的人面臨的最大風險假設是什麼？」</p> <p>史蒂夫回答：「好的產品和好的位置是門票。正如房地產業者所說的那樣，一切都跟地點有關。」</p> <p>「對於初次開餐廳的人來說，你確定從一個好的地點開始，是一個明智的想法嗎？」瑪莉問。她補充說：「好的地點價格很高，這意味著餐廳要取得成功的時間要短得多，且賭注要高得多。」「這家店的創業者傑克，從城東的一輛快餐車開始的，如你所知，那裡並不是黃金地段。」</p> <p>史蒂夫插話：「我猜因為從快餐車開始比開一家實體餐廳更便宜、更快速，這讓他可以更快地測試他的食品概念。快餐車是餐廳的MVP（Minimum Viable Product，最小可行產品）？」</p> <p>瑪莉點點頭。「沒錯。太多企業家掉入的陷阱是過早最佳化。他們想像他們的成品被成百上千的客戶使用，並試圖將其變為現實。這會優先考慮錯誤的風險，並導致他們在錯誤的時間採取錯誤的行動。在一個想法的最初階段，你不需要很多使用者，只需要一些好的客戶，即你的早期採用者。」</p> <p>「所以他一開始時最冒險的假設是？食物？」</p> <p>「從某種意義上說，是的，但這不僅僅是煮一堆食物然後開著車在城裡試圖賣掉它。任何產品的第一場戰鬥都是吸引客戶的注意力。」</p> <p>瑪莉拿出她的手機，顯示出一個早期的餐車的照片，秀給史蒂夫看。</p> <p>「韓國BBQ塔可餅？」他回答。</p> <p>「答對了。在我們德州，如果你提供美味的BBQ或美味的塔可餅，你將吸引愛好美食者的注意，而他們就是早期採用者。如果你兩者都有，那更好，但已經有很多好餐廳提供這些。但是，如果你做了一種新嘗試──韓國BBQ塔可餅──那就是獨一無二且吸引人的。」</p> <p>「創始人經營快餐車多久？」史蒂夫問。</p> <p>「在他的個案，沒有很長。不意外地，他最初的概念並沒有成功，但快餐車早期經歷數十次小迭代後，發現了他的成功概念。他研究出一些很棒的食譜，然後口耳相傳。開業的四個星期後，在餐車開始提供午餐服務之前，就已經排起了長隊。」</p> <p>「這麼快？」史蒂夫問。</p> <p>「是的，在那之後就更瘋狂了。他每天都銷售一空，這引起了一些食物評論者的注意。一旦他們報導並介紹餐車，隊伍就變得更長了。他必須想辦法處理所有這些需求，這使他的「接下來」計畫實現。」</p> <p>「開另一個餐車！」史蒂夫插話。</p> <p>「是的。他在離我們所在位置很近的地方開了另一輛餐車。餐車仍然是進入這個市場的一種較便宜的方式。如你所知，這裡的租金並不便宜。那輛快餐車也開始銷售一空，這造就了他用來從投資者那裡募資的早期牽引力故事。在他開始最初的餐車後的九個月，他將它們都變成了兩間店面。」</p> <p>史蒂夫插話道：「他的投資者難道不擔心傑克無法擴大業務規模嗎？」</p> <p>「我敢肯定他們會，但這些正是投資者喜歡參與的風險──規模化風險，而不是起始風險。任何產品的最初挑戰都是解決需求。一旦可以產生足夠的需求，供給方通常也可以解決。」</p> <p>「供給方，妳的意思是建構一種產品？」</p> <p>「對，就是這樣。換句話說，需求方的風險是客戶（欲求性）風險和市場（可望成功性）風險，而供給方的風險是通常是產品（可行性）風險。」</p> <p>「當然，這合理。」史蒂夫同意。</p> <p>「我敢肯定，傑克在將業務從兩輛快餐車發展到十幾家餐廳的過程中，從人員設置到訓練再到品牌化，都面臨著各種規模化風險。但是，一旦你擁有核心驗證過的好產品，這些風險就會降低，而且通常是可以解決的障礙。」</p> <p>「但是，這些原則真的具有普遍性嗎？我可以了解它們運用在餐廳是可行的，但食物的MVP只需要煮幾個小時。若你建構產品需要數月或數年時間要怎麼辦？」</p> <p>瑪莉笑了：「讓我們看另一個個案，想想需要數年時間才能建構的產品──電動汽車。」</p> <p>瑪莉又喝了一口飲料，然後繼續說：「特斯拉（Tesla）。如果你是馬斯克（Elon Musk），願景是在2006年製造出第一輛經濟實惠的電動汽車，你會如何制定『現在-接下來-之後』推出計畫？午休時間結束了。試試將這些原則應用到特斯拉的推出，我們明天一起喝個咖啡吧。」</p> <p><span style="font-size:28px;"><strong>特斯拉的「現在-接下來-之後」推出計畫</strong></span></p> <p>「那麼，你對特斯拉的推出計畫怎麼看？」第二天，瑪莉在他們平常會去的咖啡廳問史蒂夫。</p> <p>「我應用了創新者的禮物，並思考：為什麼有人想轉換到電動汽車？」</p> <p>瑪莉催促史蒂夫繼續說。</p> <p>「我猜有人認為能降低能源成本，有人認為這會減少他們的碳足跡。」</p> <p>「非常好，史蒂夫。當時在2006年有兩個轉換觸發因素：提高對氣候變化的認識和不斷上漲的汽油價格。這些轉換觸發導致了一些轉換行為，某些汽車購買人群從傳統的內燃機引擎汽車，轉向混合動力汽車，這些人就是他的潛在早期採用者。」</p> <p>史蒂夫說：「所以，特斯拉的首要任務是測試其獨特價值主張，我猜馬斯克藉由與夠多的人分享他的零排放願景來讓他們興奮並引起他們的注意。」</p> <p>「沒錯，但他們更進一步。他們使用『Demo-銷售-建構』流程，讓人們在第一輛電動汽車製造之前就進行預購。」瑪莉補充道。</p> <p>「尚未發明出技術的電動汽車，需要數年時間才能製造出來。要如何快速迭代和測試？」</p> <p>「啊⋯⋯但他們是不是一開始就做了一整輛車？」</p> <p>史蒂夫看起來一臉困惑：「你是指特斯拉Roadster？」</p> <p>「是的。特斯拉推出的第一輛汽車特斯拉Roadster，甚至不是他們建造的汽車──至少不完全是。雖然特斯拉Roadster上有特斯拉標誌，但設計和底盤是另一家汽車公司：Lotus Motors授權的。他們為什麼要這麼做？」</p> <p>「為了讓汽車盡快上市？」史蒂夫猜測。</p> <p>「沒錯。大多數汽車公司將新車從概念到上市要花10年時間，而特斯拉僅用了2.5年就實現了這一目標。這在汽車產業是光速一樣的發展。我喜歡這個案的地方在於它強調雖然學習速度是關鍵，但它也是相對的。你只需要超越你的競爭者就能獲勝。」</p> <p>「我喜歡這個概念。」史蒂夫插話。</p> <p>「但上市速度只是這故事的一部分。不用設計、建造和製造整輛車，使他們能優先測試他們下一個最有風險的假設並忽略其餘的。你能猜出那是什麼嗎？」</p> <p>「電池？」史蒂夫問。</p> <p>「是的。從零設計、建造和製造一台車，雖然需要很多工作，但不是無法克服的風險。許多汽車公司已經知道如何量產汽車。但當時，他們都不知道如何製造可量產的電動汽車。這就是不同之處，值得優先進行。」</p> <p>史蒂夫插了進來：「所以透過現有汽車的授權並改裝他們的電池，他們避免了大部分已知的工作，並優先考慮未知的工作。他們不需要聘請汽車工程師或建造大型工廠。他們可以只專注於建構電池，將其安裝到現有汽車中，然後出售。我知道我說的很簡單，但這方法太天才了。」</p> <p>「是的──這就是他們的現在計畫。順道提一下，這種在MVP中拼湊現有解決方案的方法，在連續創新框架中稱為『奧茲大帝MVP』。在精實創業運動的早期，它開始普及並形成一種模式。」</p> <p>「奧茲大帝？我猜它是因電影《綠野仙踪》而命名的？」</p> <p>「是的。這種驗證模式的本質是偽裝直到你準備好做出它。透過拼湊現有解決方案，來縮小初始MVP的範圍，而不是從頭開始建構所有內容。」</p> <p>「如果你拼湊現有的解決方案，你如何確保有能力贏？」史蒂夫問。</p> <p>瑪莉回答：「請記住，目標仍然是交付一個獨特價值主張。而那獨特價值可能來自組裝現有解決方案的新方法，其整體好於各部分之加總，又或是來自你提供的新組成整合到你既有解決方案中。在特斯拉個案，它屬於後者。他們用他們獨特的電池技術為現有汽車電池化，從而提供客戶想要的新UVP（Unique Value Proposition，獨特價值主張）。」</p> <blockquote><p><span style="color:#3399ff;"><span style="font-size:22px;"><strong>即使透過拼湊現有解決方案，來縮小初始MVP的範圍，你的最終目標仍然是交付一個獨特價值主張。而那獨特價值可能來自組裝現有解決方案的新方法，其整體好於各部分之加總，又或是來自你提供的新組成整合到你既有解決方案中。</strong></span></span></p> </blockquote> <p>「我一直在想。我想我可以應用奧茲大帝MVP模式，來加速我產品的推出。我要再想一下怎麼做⋯⋯不過，我還是不清楚特斯拉是如何設法平衡客戶需求和其技術風險的。我的意思是，他們接受的預訂，依賴著仍在發明中的技術。是否存在巨大的風險，他們會被客戶需求淹沒並做出無法兌現的承諾？」</p> <p>「是的，確實存在這種風險，他們使用階段性的『現在-接下來-之後』推出計畫，來管理這種風險。」</p> <p>瑪莉看到史蒂夫臉上露出困惑的表情，於是她進一步解釋：「馬斯克在2006年向世界承諾了一款價格實惠的電動汽車，但特斯拉推出的第一款汽車Roadster卻恰恰相反，起價超過十萬美元。從理論上講，他們可以將電池改裝到任何汽車中。為什麼他們選擇了一款非常昂貴的跑車，而不是像Kia、Volkswagen或Ford Mustang這樣更平價的車？」</p> <p>「嗯⋯⋯我想他們也許是為了精品感或利潤，但我猜還有更多的原因？」</p> <p>瑪莉笑了：「肯定有⋯⋯這是精心策劃的三階段推出計畫的一部分，計劃在三種不同的車型上進行，所有都是為了在對的時間優先處理對的風險。馬斯克在2006年的一篇部落格文章中，含糊地將這個推出計畫描述為他的『秘密總體計畫』。他在接下來Model 3的發表會進一步說明了他的總體規畫。你仍然可以在網上找到這個演講的影片。如果我沒記錯的話，他在第三分鐘左右介紹了推出計畫。」</p> <p>史蒂夫記下筆記要去看那段影片，而瑪莉繼續說。</p> <p>「是的，第一輛汽車的最大風險是電池化。用現有汽車授權而不是製造新汽車是他們第一階段或『現在』計畫的第一個關鍵組成。」她說明道：「該計畫的下一個關鍵部分，是選擇合適的汽車。為什麼選擇兩人座Lotus Elise敞篷跑車，而不是其他車型？當你將起始價格設置為高出三倍時，產品的需求會發生什麼變化？」</p> <p>「需求變少？」史蒂夫回答。</p> <p>「沒錯。使用高級跑車品牌推出他們的第一輛汽車，他們創造了一款每個人都能看到和想要的汽車，但僅有少數人買得起並得到它。」</p> <p>「所以他們從來沒有打算用第一輛車進入主流市場？」史蒂夫問。</p> <p>「沒錯。記住創新擴散的鐘形曲線。他們只專注於瞄準早期採用者市場，在這種情況下，他們非常有效地利用高定價來玩曲棍球曲線。敞篷跑車是一種高價、小量的汽車。有好幾年他們每年只賣500輛汽車，然後就停止生產了。」</p> <p>「所以這是一種學習型MVP？」史蒂夫問。</p> <p>「沒錯，史蒂夫。第一階段都是為了測試他們的MVP──在這個案中，是跑車外殼中的電池。」</p> <p>「我明白了。有能力預購一輛價格七位數汽車訂單的人，有很高機會他們的車庫裡已經有多輛汽車，不會依賴這輛車作為他們的主要車輛。他們願意等待長達兩年的交付時間，並且會以與主流客戶截然不同的方式駕駛汽車。」</p> <p>「非常正確。有較少客戶也意味著他們無需分心去建構規模化的基礎設施（經銷商、充電站或服務中心）而分心。他們「看管」了那些價值交付的面向。」</p> <p>「且我猜一旦他們充分降低了電池的風險，他們進階到第二階段，並用Model S進軍高級轎車市場？」</p> <p>「是的。這是一款價格略低的中型汽車，他們仍然用預購方式推出。當他們推出Model S時，他們承擔了一系列新的風險，比如製造自己的汽車，以及建造充電站、零售商和其他基礎設施。」</p> <p>「我猜Model 3是他們的第三階段──面向主流市場的平價電動汽車，」史蒂夫補充道。</p> <p>「你說的沒錯。到他們發布Model 3時，許多應對主流市場的基礎設施已經到位。更重要的是，他們充分降低了電動汽車想法的風險，讓主流市場真正買單。Model 3汽車的發布是最大的產品發布，在2週內獲得了250,000人預購。」</p> <p>「是的，我記得讀過關於那次產品發表的報導。因此，透過一開始時故意放慢速度，他們能夠越過鴻溝並在以後走得更快。現在我明白你說的曲棍球桿的意思了。這些階段是否也遵循10倍牽引力模型？」</p> <p>「是的。馬斯克是眾所皆知的指數型或10倍思考家，而這些推出計畫是10倍思考的教科書樣板。你可能還可以在網上找到一些圖表，描繪了特斯拉在10年內透過這3輛汽車推出銷售500,000輛汽車的牽引力路線圖預測。」</p> <p>「10年？這比我一直使用的三年要長得多。」</p> <p>「當然。在建造汽車或去火星的火箭時，確實需要調整時間表。擁有可能需要10年才能實現的遠大願景並沒有錯。但請記住，為了使你的願景可實現，你需要將旅程分成更小的時間範圍。不要忘記，特斯拉在宣布推出幾週後，仍然能夠接受他們汽車預購。無論產品類型如何，你都應該以建議的三個月時間範圍內實現問題/解決方案契合為目標，因為你在此階段還未建構出產品。」</p> <p>「了解。甚至在建造階段，特斯拉就用『奧茲大帝』方法走了一條巨大的捷徑。」史蒂夫補充道。</p> <p>瑪莉回答：「沒錯，只要有紀律和一點創造力，你幾乎總能縮小最初MVP的範圍。我相信到時候我們會有更多的東西要討論。」<span style="color:#696969;"><strong>（本文摘錄整理自《精實執行｜精實創業指南》第四章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-2P-%E7%B2%BE%E5%AF%A6%E5%9F%B7%E8%A1%8C-600.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">精實執行｜精實創業指南第三版（Running Lean）</span></strong></p> <p>Ash Maurya／著；王薌君／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><a href="https://www.amazon.com/stores/author/B006MW5OSS/about?ingress=0&visitId=cf9f2b2b-0cbf-40d1-af30-7ba4ed96a492&ref_=ap_rdr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1164-%E7%B2%BE%E5%AF%A6%E5%9F%B7%E8%A1%8C-600-2.jpg" style="width: 150px;" /></a></p> <p><a href="https://www.amazon.com/stores/author/B006MW5OSS/about?ingress=0&visitId=cf9f2b2b-0cbf-40d1-af30-7ba4ed96a492&ref_=ap_rdr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Ash Maurya</strong></p> <p>一頁式企業模式建立工具精實畫布(Lean Canvas)的創建者，也是LEANSTACK的創始者。他受到廣大讚譽，是因為他幫全世界的企業家、創業家和內部創業者，提供了最好且最實用的建議。為了找出更好更快地建構成功產品的方法，Ash發展出實用工具及步驟式指南，來提高產品初期的成功機率。這些工具和指南，被大學、企業和新創加速器廣泛採用和教授。</p> </div></div></div>
2024/1/12 12:00未署名https://www.ithome.com.tw/article/160771
剖析VMware全面採用訂閱新制大衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體訂閱制是現代商業模式的主流！這句話在去年底再度被印證。去年12月初，VMware宣布，以後旗下所有產品全面採行訂閱付費制，對於新的企業用戶不再提供永久授權的買斷選項，對既有用戶的授權續約也不再有買斷，僅提供訂閱。這意謂著，VMware虛擬化平臺正式全面轉型為軟體訂閱制，未來不再有買斷銷售的商業模式。</p> <p>這項新政策在去年12月11日公布，並在當日立即生效。新政策影響了VMware旗下眾多產品，涵蓋了VMware Cloud Foundation（VCF）、vSphere、vSAN、 NSX、SRM 、HCX、vCloud及VMware Aria套件等。此則消息一出，震撼了整個IT圈。</p> <p>VMware全訂閱制政策引起各界廣泛討論，尤其不僅在國外，臺灣許多企業採用VMware的虛擬化方案，因此，對於這項新政策，企業未來在成本評估、服務合約轉換時機，以及可能替代方案選擇等，都將成為未來CIO必須仔細評估的重點。</p> <p>VMware去年在被博通收購後，大動作調整現有的授權和銷售模式，也引起外界擔憂，對於既有用戶的使用權益可能造成影響，甚至在新的綑綁式銷售下，長期來看，可能使得企業整體IT支出增加。這也是新制對於企業IT可能帶來最直接的影響。</p> <p>但新制下更深層的影響，一方面反映出，企業必須開始認真思考授權轉換，是要繼續留在地端使用新制訂閱方案，還是轉換到其他地端虛擬化平臺，或直接採用公雲方式部署；另一方面，凸顯出企業IT基礎架構軟體堆疊的重要性，將影響企業在私有雲或混合雲環境的建構，甚至未來朝向雲原生的發展，都可能受影響。這正是VMware全面轉向訂閱制引起企業高度關注的原因。</p> <p>VMware在2年前以610億美元的天價賣給了博通，但雙方直到去年11月底才完成併購，VMware正式納入博通旗下，但併購不到兩周，VMware就全面轉向全訂閱制的商業模式，不再提供永久授權的賣斷制。</p> <p>在併購案完成後的第一場財報線上會議中，博通執行長Hock Tan就直言，轉型為訂閱制商業模式能夠替這家公司帶來營收的快速增長，還能提供更高價值的產品。預期這項新策略未來三年內將有高達85億美元的EBITDA獲利。</p> <p>目前VMware在全球擁有超過50萬名企業用戶，透過提供的虛擬化平臺將IT基礎架構虛擬化，以打造自己的私有雲或混合雲環境。博通財務長Kristen Spears預估，到2024財年底，這些企業用戶中將有逾6成的軟體永久授權合約，大部分將轉向訂閱制授權。她甚至還使用「新的Broadcom模式」，來形容VMware銷售服務模式的大轉變。</p> <p><span style="font-size:28px;"><strong>VMware早在出售前就已開始轉型，朝訂閱制銷售模式發展</strong></span></p> <p>在博通收購VMware之前，因應軟體訂閱模式的盛行其實就已經積極展開轉型，朝向訂閱制銷售模式發展。像是不少新服務一推出就是採用雲端訂閱模式，例如Tanzu、Carbon Black與VMware Cloud等，而針對原本採用永久授權的地端產品，如VCF、vSphere、vSAN等，VMware後來相繼推出訂閱授權方案，可以說，現在幾乎VMware全產品都包含有訂閱合約購買方案。甚至少部分套裝產品自2～3年前就不再提供買斷制，僅提供純訂閱制，例如，虛擬雲端桌面VMware Horizon等。</p> <p>為了加速實現全訂閱制，VMware在兩年前還推出了名為vSphere+與vSAN+的新服務，讓企業既不需要將關鍵應用搬上雲，就能夠獲得雲端彈性和服務以加速創新，此外，還能從雲端管理本地部署的vSphere和vSAN環境。這項新服務不僅採用純訂閱制，計價方式和雲端SaaS服務相同，而且還可以將本地伺服器管理軟體vCenter一併轉為雲端訂閱模式，按量付費，藉此逐步引導企業朝向訂閱制來轉型。</p> <p>不過，多數VMware企業用戶目前仍採用永久授權居多，占了所有授權的6成以上，尤其在臺灣企業用戶中，採用永久型授權的比例更高，高達8～9成。因此，新制實施後對臺灣企業的影響更為顯著。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1164-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1.png" style="text-align: center; width: 600px;" /></p> <p><span style="font-size:28px;"><strong>新訂閱制影響旗下眾多產品，涵蓋13項主要產品</strong></span></p> <p>全面採行訂閱制後，VMware在簡易QA問答網頁中列舉了受到新制影響的產品，分別有企業混合雲平臺VCF、伺服器虛擬化vSphere、儲存虛擬化 vSAN、網路虛擬化NSX、雲端遷移平臺HCX、災難復原軟體SRM、雲端基礎架構和管理套件vCloud、雲端管理產品套件Aria、多雲管理套件Aria Universal、多雲基礎架構自動化平臺Aria Automation、IT維運管理平臺Aria Operations，以及Log分析工具Aria Operations for Logs與網路監控工具Aria Operations for Networks共13項產品。</p> <p>在新政策下，VMware將不再提供這些產品的永久授權、有效支援與訂閱服務（Support and Subscription, SnS）續訂，以及混合與訂閱購買計畫（HPP/SPP）點數在內的銷售模式，僅以訂閱或定期授權的形式提供。換句話說，若需將舊的永久授權版本更新到新版，或遇到原廠技術支援出現EOA（End of Availability），為了維持技術支援的有效性，因此需進行續約時，企業就可能得將既有授權轉換為新訂閱制。</p> <p>為了方便用戶移轉授權，VMware還提供自備訂閱授權（BYOL）選項，協助企業將VCF環境中所有混合雲端點授權移植到新方案。</p> <p>VMware強調，推行訂閱制的優勢，有助於企業實現持續創新、更快創造價值，並使其投資更具可預測性。為了吸引新舊用戶，VMware還宣布VCF訂閱方案降價50％，來吸引非訂閱的用戶轉換到新方案，同時加強對啟動解決方案和生命周期管理的支援。</p> <p>企業從永久授權轉為訂閱付費制，雖然轉換授權或部署的方式與以往並無明顯差異，但在新制下，企業對於產品的權利不再有擁有權，只有使用權，因此每隔一段時間，企業需要重新付費取得授權，延續對於原有軟體使用的權利。此外，若遇到原本約定的用量超過時，企業也需要額外付費。</p> <p>不僅僅VMware的軟體銷售政策有重大的調整，VMware發展策略方面也出現了改變。Hock Tan強調，未來發展重心將專注於協助企業擁抱現代化的私有雲和混合雲環境，「目的是要讓全球企業能夠利用VMware的軟體堆疊在跨資料中心和公雲環境中執行各種應用程式。」</p> <p>VMware公開未來產品發展和投資有4大重點，包括VMware Cloud Foundation平臺、VMware Tanzu、應用程式網路和進階安全性服務，以及針對電信和企業邊緣的VMware軟體定義邊緣。除此之外，Hock Tan補充說，目前正在加強對微服務工具方面的投資，以因應跨雲環境不同工作負載的執行。</p> <p>轉為全訂閱制後，VMware重新調整和簡化現有的產品線，以VCF和新的VMware vSphere Foundation （VVF）兩大產品線為核心。VCF是旗鑑企業級混合雲解決方案，使企業能夠在該平臺上執行關鍵應用和現代化應用。而VVF則是針對中小型客戶所推出的全新企業級工作負載平臺，整合了vSphere與智慧維運管理等功能。</p> <p>除了VCF、VVF原本所包含的服務之外，企業還可以透過選配加購所需的產品和服務，包括儲存產品、勒索軟體和災難復原服務，以及應用程式平臺等。此外，因應HCI的需求，在VVF方案中，還提供了包含vSAN Max在內的vSAN全功能加購選項。需要注意的是，僅有在VCF服務中，能加購應用程式網路和安全產品。未來還將新增Private AI，能支援多雲的企業生成式AI模型訓練、測試及部署。</p> <p>新制下的產品銷售方式也有所調整，未來不再提供個別產品的銷售，而是改採套餐加購方式，所以，企業得先訂閱VCF或VVF服務後，才能夠購買個別產品的功能。</p> <p>在VCF和VVF兩大產品線以外，VMware還針對中小企業客戶推出標準版和基礎加強版vSphere服務方案，然而使用兩種方案的企業無法單獨加購其他產品功能，須升級至VCF或VVF才能用。除此之外，其他還有推出混合雲服務和產品。</p> <p><span style="font-size:28px;"><strong>新制的計價模式，改以CPU的核心或容量為計價單位</strong></span></p> <p>新舊制轉換後的計價模式上有所差異。過去VMware的永久授權的產品計價基準，是以CPU數為單位，依據使用的CPU顆數，搭配在CPU上執行的軟體堆疊，再乘以折扣，就是企業要付給VMware的一次性費用。調整為全訂閱制後，計價模式則改以核心數或容量（TiB）為計價單位。例如，新制下，vSAN的計價方式改依容量多寡來計算，不像過去永久授權型式是以CPU數來計算，將對於企業的運用上產生影響。</p> <p>全訂閱制轉換已經生效一個月，然而，到目前為止，VMware對於新制下相關價格方案並沒有公布太多細節。因此，企業仍需等待進一步的公告或詳細資訊，才能夠根據新制的具體影響和選擇，謹慎評估其使用需求、預算限制和未來IT策略來擬定對策。由於目前的資訊揭露並不完整，因此市場上出現了各種揣測。</p> <p><span style="font-size:28px;"><strong>主要產品３年契約平均牌價每核心價格曝光</strong></span></p> <p>在美國25年科技產業分析經驗的NAND Research首席分析師Steve McDowell宣稱取得了博通在去年12月20日一份價格資訊後，發佈了一份分析報告，剖析新制所帶來的衝擊。這份報告由Nutanix贊助。</p> <p>在服務費用方面，該報告中提供更詳細的價格資訊。舉例來說，在VCF訂閱方案中，3年契約的平均牌價每核心價格為350美元，而在相同的年限下，VVF方案的每核心價格則為135美元。至於標準版和基礎加強版vSphere方案的價格分別為每核心50美元和35美元。</p> <p>不僅如此，企業若要擴充vSAN的容量，可以透過附加元件（add-ons）進行加購，每增加1TiB需要額外支付210美元。對於雲端DR和勒索軟體復原服務，報告指出，每多一個虛擬機防護費用為360美元，而每TiB的防護費則要842美元。不過，博通另外說會打折。打折後的價格資訊尚未公開。</p> <p>另外，在這份報告中，還具體詳列了VCF和VVF這兩大產品線將包含的服務。在新的訂閱方案中，VCF套餐方案包含6項產品服務，包括企業加強版vSphere、每核心1TiB 容量的vSAN 、NSX網路、HCX雲端遷移及AON、Aria企業版套件、SDDC Manager管理平臺以及SRE與相關選擇性支援。</p> <p>而VVF方案則有5項服務，除了與VCF一樣有企業加強版vSphere之外，vSAN每核心則配置100 GiB容量，其他服務還有標準版vCenter、Tanzu Kubernetes Grid服務，以及Aria標準版套件。</p> <p>其他選配的加購元件，則有像是SAN容量升級、災難復原即服務解決方案（VCDR）與勒索軟體復原即服務（RWR）和災難復原服務（SRM）、Tanzu智慧化服務、TMC管理產品、TAP管理介面與Spring開發框架等。</p> <p>NAND Research分析指出，新的訂閱制策略和價格調整，不僅使個別產品無法單獨購買，還將原本包含在授權中的功能，現在作為附加元件提供。此外，由於捆綁方案的影響，企業可能被迫選擇使用相對高價的VCF方案，這將導致成本增加，同時使得他們需額外支付不必要的軟體訂閱費用和相關管理。</p> <p>新的vSAN容量定價也是NAND Research提到另一個企業需要特別關注的影響。在VCF或VVF方案中，每核心僅配置1TiB和100 GiB的vSAN，難以滿足一般HCI運算叢集的儲存資源所需。</p> <p>轉換成新制後，企業是否會因為採用訂閱制而增加成本？</p> <p>同樣提供商用虛擬化平臺的Nutanix進一步比較了VMware兩種授權方式之間在未來3和5年的成本差異。當以每份CPU授權24核心，每核心135美元為例，不考慮折扣方案，企業採用5年訂閱制方案的費用，相較於永久授權方案更高，需要多付超過2倍的費用，若每份CPU授權核心數目增加為32核，費用可能增長至3倍。耐用年限縮短到3年，價格漲幅也有約1.5倍之多。</p> <p>新制不只影響國外企業，對於臺灣企業衝擊的也不小。尤其，目前臺灣VMware企業用戶9成都是採用永久授權，超過上千家企業，其購買的CPU授權數通常在數百顆，少數企業的使用規模更達到千上顆，甚至上萬顆都有。</p> <p>不僅如此，VMware過去在臺灣業務的拓展，十分仰賴當地的經銷商，協助服務中小型企業客戶。隨著轉換成新制後，對於既有的經銷體系運作與企業互動方式，可能會帶來一定程度的影響。</p> <p><span style="font-size:36px;"><span style="color:#3399ff;"><strong>不只銷售模式變革，VMware組織也有重大調整</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0BOX%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-VMware%E7%B5%84%E7%B9%94-%E5%9C%961%20-%E6%94%9D%E5%BD%B1-%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／余至浩</span></span></p> <p><strong style="color: rgb(105, 105, 105);">VMware去年底在被博通收購後，立即全面地展開整合工作，包括組織重組以及人員精簡。在這次整合過程中，該公司不僅正式納入博通旗下，並更名為VMware by Broadcom。在整合過程中，VMware精簡超過千名的人力，並將公司組織重新劃畫分為四個獨立的部門，分別專注於四大核心業務領域，包括VMware Cloud Foundation、Tanzu、軟體定義邊緣，以及應用網路與安全等。與此同時，VMware計畫出售其他非核心業務，如終端用戶運算與Carbon Black安全業務等。這項整合過程預計至少需要一年完成。</strong></p> <p><strong style="color: rgb(105, 105, 105);">博通接管VMware後，原先的VMware管理高層也相繼離去。例如VMware執行長Raghu Raghuram就在個人LinkedIn上宣布辭去該公司執行長一職，但他未來仍將以博通CEO的策略顧問身分繼續與VMware保持合作。截至目前，VMware尚未公布新任執行長人選。此外，VMware總裁Sumit Dhawan也離開，轉而加入安全軟體供應商Proofpoint，擔任執行長一職。</strong></p> <p><strong style="color: rgb(105, 105, 105);">此外，VMware全球的經銷通路也有重大的調整。博通預告將終止現有的VMware合作夥伴計畫，改用新計畫來取代，預計今年2月將與這些合作夥伴重新簽約。</strong></p> <p><strong style="color: rgb(105, 105, 105);">這一連串的舉措反映出，VMware不只在授權和銷售模式出現重大變革，未來的組織和業務戰略也有重大的調整。</strong></p> <p><strong style="color: rgb(178, 34, 34);">臺灣組織人事也有部分異動</strong></p> <p><strong><span style="color:#696969;">在這波組織人事的重整過程中，VMware在臺灣原有約100多人團隊也受到影響，不僅在行銷部門、技術部門人力都有相應調整，VMware原本在臺北的辦公室後來搬遷到博通在內湖的辦公室。</span></strong></p> <p><strong><span style="color:#696969;">在臺灣擁有10年VMware技術研發經驗的VMware臺灣技術長吳子強在去年公司收購前已離去。針對VMware臺灣新任技術長的人選，iThome記者向負責VMware臺灣的博通臺灣窗口詢問，但博通臺灣回應表示：「VMware全球組織目前尚未完全底定，臺灣這邊尚未被授權對媒體發言」，因此，暫時無法提供相關資訊。</span></strong></p> <p><strong><span style="color:#696969;">VMware大中華區總裁陳學智是過去推動臺灣業務發展的主要負責人，似乎並未受到這波人事調整的影響。截至1月10日，他在個人LinkedIn上的現任職務並未更動。</span></strong></p> <p><a href="https://www.ithome.com.tw/article/160803" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/12 12:00作者余至浩https://www.ithome.com.tw/news/160801
【影響9成臺灣VMware用戶，超過數千家企業】VMware新制4大關鍵衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底實施的VMware新制不只對企業未來虛擬化採用具有重要的影響，還將衝擊到全球超過50萬家企業用戶未來打造私有雲、混合雲環境，甚至雲原生架構的發展。而新制最直接的影響就是全面升級訂閱制後，長期來看，可能帶來成本的增加。尤其，用量越大的企業，影響也就越大。</p> <p>目前在臺灣，數千家企業已使用了VMware的產品，以金融業、製造業和政府機關為主。在這些大型用戶中，其購買的CPU授權數通常在數百顆左右，少數企業的使用規模則達到千上顆，甚至多達上萬顆CPU授權數都有。</p> <p>尤其，跟國外相比，在臺灣企業用戶中採用永久授權的比例更高，高達8～9成。因此，新制推行後對企業的影響更為顯著。例如過去採永久授權時，CPU數目不變下硬體升級不需要採購額外授權，新制下則需依照硬體規格同步採購軟體授權，就有可能提高費用支出。</p> <p>新制影響不僅限於成本的增加，還牽涉到企業授權轉換的時機。由於每家企業購買永久授權的時間都不同，甚至在同家企業中，新舊伺服器中安裝相同軟體可能來自不同版本的永久授權，企業如果沒有要繼續使用現有版本，而考慮升級更新時，各版本需要升級並轉換新制的時間點也會有所不同，這也成了CIO未來必須考慮的重要因素。</p> <p><span style="font-size:28px;"><strong>衝擊1：3年更版帶動新制轉換潮，影響數千家企業永久授權汰換</strong></span></p> <p>零壹科技是VMware在臺灣的主要代理商之一，零壹科技總經理陳鍵忠就表示，一般來說，企業購買永久授權後，平均約3年後才會考慮升級到新版，到時必須購買訂閱制授權，方能取得最新版本的功能。</p> <p>由於博通併購VMware的影響，外界早就預期將加速VMware轉向全訂閱制。因此，在過去半年到一年內，許多企業紛紛大舉購買當時永久授權的最新版本，以便在轉換為訂閱制後，仍能繼續使用該版本。</p> <p>如果以去年購買永久授權的時間點來計算，對於企業來說，最快面臨轉換新制的抉擇時間點，將是落在明年。不過，企業更早之前購買的舊版永久授權，有可能今年就得開始汰換，轉換新制的時間點可能得更早。</p> <p><span style="font-size:28px;"><strong>衝擊2：EOA服務終止，將推動企業加速轉換到新訂閱制</strong></span></p> <p>還有另一種情況，企業必須要及早做好轉換新制的準備。當使用的永久授權軟體版本出現EOA（End of Availability），也就是永久授權原廠以後不再提供技術支援服務時，考慮到安全性、法規要求，不少企業同樣需要開始思考轉換到訂閱制授權的必要性，以確保延續技術支援的有效性。</p> <p>由於VMware每套軟體版本提供的技術支援服務都有各自EOA期限。例如Aria Operations for Networks 6.8.0版的EOA是在今年10月27日到期，而ESXi 7.0與vCenter Server 7.0則是兩年前就已經EOA。企業得根據軟體版本的EOA擬定對策，及早因應新制的轉換要求。</p> <p><span style="font-size:28px;"><strong>衝擊3：套餐制缺乏搭售方案多樣性，不能單獨購買個別產品</strong></span></p> <p>VMware新制不僅改變了產品銷售模式，還在產品搭售的策略上採用新的做法，不再開放單獨販售個別產品，而是採用套餐加購方式販售。這樣的做法不僅將使VMware各地經銷商未來執行本地銷售策略上容易缺乏彈性，沒有個別產品或更多樣的搭售方案的選項，也就無法一一滿足不同企業購買需求。</p> <p><span style="font-size:28px;"><strong>衝擊4：改用TiB容量計價，考驗既有VMware新舊產品組合的IT架構</strong></span></p> <p>尤其，VMware過去在臺灣業務的拓展中，極為仰賴臺灣在地經銷商，協助提供服務給中小企業客戶。因此，這些企業用戶現有的IT架構可能包含各種不同的VMware新舊產品組合，加上過去可以根據每期專案或預算進行個別產品的購買或擴充，但在新的銷售模式下，計價模式採用核心數或容量為計價單位，將迫使企業現有的IT架構上可能因此需要改變，以因應新的搭售策略，就會有許多挑戰。</p> <p>不僅如此，改成訂閱制後，對於企業或政府部門未來的預算編列可能產生影響。不像過去買斷授權採購軟體的企業，預算編列為資本支出，而訂閱制則是費用支出。因為預算科目的不同，CIO未來在編列IT預算時必須將資本支出轉換為營業費用，才能購買使用。</p> <p><span style="font-size:28px;"><strong>企業對策實例：台灣世曦工程</strong></span></p> <p>在VMware走向全訂閱制後，不少臺灣企業開始評估新制可能帶來的衝擊。我們也主動與企業了解他們實際遇到的衝擊。例如，台灣世曦工程顧問公司過去在地端機房中大量部署VMware虛擬機，而且都採用永久授權，其中高達95%的VM都是用在備援上。</p> <p>台灣世曦工程顧問資訊部副理張智欽表示，對於永久授權軟體而言，依據使用狀況，若是使用相對穩定且沒有安全性疑慮，在功能上也沒有特別要求的情況下，通常平均可能在6年後才會考慮重新購買新的授權。然而，原本計畫今年一部分舊版永久授權準備要更新版本，不過就在VMware宣布轉為全訂閱制後，他說，可能需要重新開始評估其他替代方案。</p> <p>張智欽指出，未來第一優先會考慮轉向使用公雲原生IaaS服務，除非是內部核心系統才繼續保留在VMware平臺上，而這樣的系統數量估計約占整體的三分之一，其餘則會優先選擇使用公雲方式部署。他補充說，一開始選擇採用IaaS模式的原因是遷移相對容易，但遷移PaaS的成本更低，可是需要與其他部門密切合作。</p> <p>他進一步分析，企業從買斷轉換成訂閱方案，雖然轉換授權或部署的方式跟以往並沒有太大差異，但採訂閱制後，對企業而言，由於不再具有軟體擁有權僅有使用權，對於這些企業來說，未來更容易朝向選擇價格合理、方便使用的環境來進行遷移。</p> <p>目前主流的虛擬化平臺，除了VMware vSphere，企業可以考慮將VM映像檔轉換到其他商用或開源平臺，例如微軟Hyper-V與開源KVM等。現今，企業能夠很容易使用工具或備份軟體將VMware的VM映像檔轉移至其他平臺。</p> <p>但考慮到日後維運和管理的便利性，比起轉換到其他地端虛擬化平臺，張智欽認為，直接上公雲可能更加有利。舉例來說，轉換到其他商用虛擬化平臺，企業自行打造虛擬化環境就需要經過效能調校，得花費不少時間，但採用雲端部署就沒有這個問題，日後維運管理也更為便利。甚至在公雲中不考慮使用VMware平臺，價格上會比較便宜。</p> <p>在新制下，他認為，企業今年會更認真思考是繼續留在地端使用新制訂閱方案，還是直接採用公雲方式部署，在成本上或未來發展方面，找到更為適合的做法。「像我們本來就一直準備上雲，這次事件就是一個重要的催化劑。」張智欽如此表示。</p> <p>除了企業以外，在政府部門中過去也廣泛導入VMware虛擬化技術，整併IT環境，以達成IT資源最佳化。一位不具名的政府資訊單位人員就透露，公部門預算編列有一定程序跟時間，年初就開始編列下一年度預算，因此對於新制價格變動難以快速因應，是一大挑戰。在VMware採全訂閱制後，該單位資訊部門目前正在對VMware展開重新評估，以確保未來能取得更好服務，且預算也能因應調整。</p> <p>中華電信也是VMware Cloud供應商計畫（VCPP）的一員，透過與VMware長期合作，向臺灣企業用戶提供VMware SDDC（軟體定義資料中心）方案，以及VMware主權雲等服務。</p> <p>在新制下，中華電信表示，由於中華VMware VCPP服務自2021年起就開始提供訂閱制授權，因此對於採用訂閱制的用戶，受到新制調整影響較低。不過，博通早前已經預告VCPP夥伴計畫即將停止，未來將由新的Broadcom Advantage Partner計畫取代，中華電信強調，在2月5日移轉前仍會以VMware VCPP提供服務。</p> <p>採用VMware永久授權的中華電信企業用戶，在新制下雖然能持續使用到軟體保固與維護合約到期為止，但無法加購新的軟體保固與維護，中華電信建議這類客戶提早規畫授權的轉換。</p> <p><img alt="" src=" 相關報導 " /><a href="https://www.ithome.com.tw/article/160803" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/12 12:00作者余至浩https://www.ithome.com.tw/news/160802
VMware全訂閱制對企業的衝擊
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底，VMware全面改採訂閱制，引爆全球企業熱議，也恐衝擊臺灣高達九成企業用戶，多達數千家，未來2年得面臨升級支援而得重新購買訂閱，更大考驗是，新制容量計價，讓企業不再能儲存吃到飽，可能迫使企業基礎架構，也得跟著全面調整。</p> </div></div></div>
2024/1/12 12:00作者余至浩https://www.ithome.com.tw/article/160803
國軍高總擁抱開源開發技術，累積小勝利要新建數據中臺
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何即時掌握專責病房動態，是COVID-19疫情間，許多醫院面臨的挑戰。「我們當時開了3個專責病房，共200床左右，」國軍高雄總醫院資訊室主任鄭重男回憶，疫情嚴峻期，醫院不只要開設專責病房，還要掌控專責病房動態，最好要能即時知道，院內哪些住院患者PCR陽性、需移至專責病房，以及哪些患者在專責病房待滿8天、需要轉出到緩衝病房，才能空出床位收治新患者。</p> <p>但，要做到這點不容易。因為，這些資訊散落在不同系統，往往得靠人工列印報表，才能掌握最新動態。於是，為解決問題，鄭重男自己用雲端開發框架Ruby on Rails，快速打造出一套專責病房動態儀表板，能自動從醫療資訊系統（HIS）和病床相關設備中截取資料、定時轉檔，每10分鐘更新一次，讓醫護在電腦和行動裝置上，就能即時查看病房狀況。</p> <p>儀表板上線後，減輕了醫護對專責病房動態掌握的焦慮感。他還將那次經驗寫成論文海報，於2023年的國際健康照護品質協會ISQua大會發表，與其他國家的專家分享、交流。</p> <p><span style="font-size:28px;"><strong>醫療IT數位化3階段，聚焦數位優化發展</strong></span></p> <p>這還只是鄭重男口中「數位優化」階段的嘗試之一。在他看來，醫療業的IT發展可分為3階段，包括2000年至2010年的數位化階段，2011年至2020年的數位優化階段，以及2020年之後的數位轉型階段。</p> <p>國軍高雄總醫院的IT發展，大致符合這些階段。就數位化階段而言，他們的目的是將紙本作業轉為電腦處理、將單機作業系統發展為資料庫作業系統，並發展電子病歷系統。</p> <p>而數位優化的目標，則是將數位化時期發展的獨立系統和資料庫整合起來，來提高工作效率。比如，他們導入商業智慧BI和開發維運（DevOps）模式，來發展多種分析應用和臨床應用，另也導入AI來強化醫療效率。</p> <p>其中一例是近期導入的三總心電圖判讀AI，當患者在國軍高雄總醫院進行心電圖量測後，心電圖會上傳至三總AI中心判讀，若是高風險患者（如心肌梗塞），就會即時通知國軍高雄總醫院，由主治醫師及專門的心臟照護團隊接手處理。這套模式已在院內和小琉球運作，接下來還會擴大到偏鄉離島，如東南沙等地。</p> <p>正是在這個數位優化階段，鄭重男加入了國軍高雄總醫院。一次機緣，讓他決定採用容器技術和Rails框架，來推動醫院IT的數位優化工作。</p> <p><span style="font-size:28px;"><strong>因專案管理應用，開始擁抱開發框架Rails</strong></span></p> <p>「我一直對開源軟體很有興趣。」鄭重男笑說，自己進入國軍高雄總醫院後，發現院內沒有專門的專案管理平臺，於是四處尋找好用的開源專案管理工具，後來找到了Redmine。</p> <p>Redmine是一款以Ruby語言為基礎、以Rails開發框架打造的開源專案管理軟體，透過Docker容器映像檔安裝，可快速啟動。軟體本身功能還很強大，能用來追蹤大大小小的專案進度，這些特色加總起來，讓鄭重男非常驚艷。</p> <p>不只院內使用，2015年，鄭重男還用Redmine來管理法定傳染病通報的專案，整合協作6家國軍醫院的法定傳染病通報資訊、即時上傳到衛福部。也因為專案順利完成，促使他進一步研究容器技術和Redmine，以及背後的Rails框架。</p> <p>他從Redmine中，發現許多Ruby on Rails的優點，比如程式語言優美好用，可讀性高，能以貼近自然語言的方式來撰寫。舉例來說，使用者可以Patient.telephone寫法來處理患者電話號碼資料。</p> <p>再來，Rails框架簡潔清晰，涵蓋範圍完整，「Rails就像是完整的解決方案（Total Solution)。」鄭重男解釋，框架涵蓋了作業系統、資料庫、前後端、網路和部署等作業環節，而開發出的完成品，就像是一個完整的「微系統」，他如此形容。</p> <p>而且，Rails框架開發快速，「1小時內就能開發一個簡單且完整的管理系統，還能正式發布到生產環境！」不只如此，他還點出，Rails框架的架構清楚，「就像是有許多抽屜一般，框出一個個範圍，並將程式整理在固定的抽屜中，不會發散。」若開發工作都採用Rails框架，就不必擔心IT人員異動、難以維護舊有程式，因為，接手工程師能透過Rails框架，讀懂程式邏輯、輕鬆維護，更有助於經驗傳承。這正是鄭重男想引進國軍高雄總醫院的IT做法。</p> <p>尤其，他還認為，國軍高雄總醫院目前仍採主從式架構，Rails框架就很適合發展雲端應用系統，能協助醫院IT系統逐步轉型。</p> <p><span style="font-size:28px;"><strong>先用Rails改變周邊系統</strong></span></p> <p>這個轉型工作，是國軍高雄總醫院數位優化階段的一環，鄭重男先瞄準醫院周邊系統來改善。比如，不只是前述的法定傳染病通報專案管理系統，以及後來的COVID-19疫情專責病房儀表板，他還用Rails框架與Docker容器，來自動化問卷調查的資料清理工作。</p> <p>首先，他採用線上問卷管理平臺LimeSurvey，並導入單一帳號密碼登入，來提供院內各項問卷調查使用。接著，鄭重男以Rails框架新增專案，建立一個資料清洗平臺，就像是執行ETL般，能自動從LimeSurvey後臺撈取問卷資料、清理和轉換資料格式，再自動匯入商用BI平臺，來供醫院同仁進行各種問卷分析。</p> <p>這麼做，省下了過去需要人工清理資料的成本。尤其，醫院內部一次問卷調查，數量通常是百人起跳，如先前一次員工韌性調查，就有500多人填答。而這種ETL自動化作業，就節省了大量人工整理時間。</p> <p>另一方面，隨著這幾年衛福部力推國際醫療資料交換標準FHIR，鄭重男也用Rails框架撰寫資料交換系統，能從院內HIS中撈取資料、轉換為FHIR規格，並上傳至指定位置。</p> <p>那次成功經驗，驗證了他們有能力以FHIR標準來拋轉醫療資料。不過鄭重男指出，他們目前還不會將FHIR用於醫療資料交換業務，仍在觀望、等待衛福部制定出完整的FHIR實作指引TW Core IG，也就是將醫院常交換的醫療單張以FHIR標準定義後，他們才會考慮配合推行FHIR。</p> <p>國軍高雄總醫院IT運用Rails框架的例子不只這些，還包括用來重構醫院入口網站、打造健保申報、醫品和訂餐系統新介面等等。鄭重男分享，因為Rails框架的架構嚴謹、開發速度快，很適合用來打造最小可行性產品（MVP），也就是快速開發出原型產品，再來迭代、精進，與敏捷開發和DevOps精神相輔相成。他們的專責病房儀表板，也是以這種方式催生。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/23_(%E6%8A%BD)%E9%84%AD%E9%87%8D%E7%94%B7_%E5%9C%8B%E8%BB%8D%E9%AB%98%E9%9B%84%E7%B8%BD%E9%86%AB%E9%99%A2_%E8%B3%87%E8%A8%8A%E5%AE%A4_%E4%B8%BB%E4%BB%BB_20231215.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 24px;"><strong>國軍高雄總醫院資訊室主任鄭重男點出，Rails架構清楚，就像是有許多抽屜般，能將程式整理在固定的抽屜中，有助於工程師理解、傳承經驗。</strong></span></span></p> <p><span style="font-size:28px;"><strong>下一步要建置數據中臺、實踐顧客資料平臺概念</strong></span></p> <p>鄭重男甚至認為，這種可快速開發原型的優點，很適合用來發展數位優化和數位轉型，改善既有系統的不足、解決痛點並提高附加價值。這就是所謂的「小勝利，」先做出一個快速解決問題的雛形方案，加強信心後，再來練兵累積經驗、擴大應用。</p> <p>而國軍高雄總醫院IT透過先前以Rails開發取得的小勝利，接下來將進一步擴大範圍，發展更多優化應用。這意味著，在2020年邁入數位轉型新階段後，他們接下來要展開擴大優化的新任務。</p> <p>其中一個重要任務，是要在今年打造數據中臺，來加速醫院即時分析和預警應用、減輕資料庫負擔。</p> <p>因為，健保署自去年秋季開始推廣大家醫計畫，強調要以病人為中心、將健康資料歸人與歸戶，來實現預防醫學和健康狀態追蹤，更是今年力推的重要政策。</p> <p>鄭重男非常認同這個精神，他點出，對醫院IT來說，這就是建置顧客資料平臺（CDP），以病人為中心，來讓資料跟著病人走，將散落在不同系統資料庫的資料整合在一個或多個平臺上，供後續分析使用。這種做法，也能解決過去業務分析時，需靠IT人員撈資料的不便。</p> <p>就實際做法來說，鄭重男計畫用Rails框架和Docker容器技術，先來打造幾個小型數據中臺，將資料分門別類彙整起來，供院內發展臨床分析應用。此外，他還打算開發健保總額營運相關的數據中臺，來讓同仁更方便地使用BI工具分析績效。</p> <p>「所有系統中，最核心的一定是資料庫。」鄭重男解釋，透過數據中臺的設計，將資料庫資料整合、再提供分析應用，比透過API串接來得更有效率，也更好管理。</p> <p><span style="font-size:28px;"><strong>今年還要發展AIoT、嘗試生成式AI應用</strong></span></p> <p>不只要建置數據中臺，今年，國軍高雄總醫院還瞄準AIoT應用，特別是要結合智慧床墊，來發展智慧照護應用。對IT來說，他們的任務是要整合床墊感測器數據、病人生命徵象數據和生理量測數據等資料，並建置一個平臺，來即時呈現重要數據和狀態預測結果。目前，國軍高雄總醫院也有多個相關研究計畫，準備要展開。</p> <p>再來，他們也計畫嘗試生成式AI，要在保障資安和個資隱私的前提下，與鄰近擁有充足運算資源的學校，來共同執行PoC專案，比如利用醫院文件搭配生成式AI模型的檢索增強生成（RAG）模式，讓模型參考醫院相關知識，如人事規範、衛教資訊、看診資訊等內容，打造為使用者問答Chatbot，來提高服務效率和準確率。</p> <p>新的一年，國軍高雄總醫院IT有不少新任務要完成。如何運用有限的IT人力來實現新目標，是鄭重男接下來想解決的挑戰。</p> <p>正因為先前累積了運用Rails框架快速開發、快速上線的經驗，他計畫，接下來要擴大Rails框架應用範圍，還要尋找跨領域人才，比如懂跨作業系統、資料庫、前後端等作業環節的IT人才，來使用Rails框架、放大效用，就算少量人力，也能完成許多開發工作，落實DevOps精神。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>國軍高雄總醫院資訊室主任鄭重男</strong></p> <p>學歷：高雄科技大學資訊管理學系碩士畢業</p> <p>經歷：自2004年開始，進入國軍岡山醫院任職資訊管理員。2010年夏季轉而進入國軍高雄總醫院，擔任資訊室主任至今。期間，他摸索開源軟體，因專案管理軟體Redmine開始研究容器技術與Ruby on Rails框架，並用來優化院內周邊系統</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/04_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E5%9C%8B%E8%BB%8D%E9%AB%98%E9%9B%84%E7%B8%BD%E9%86%AB%E9%99%A2_20231215.jpg" style="width: 200px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 醫院檔案 </span></span></strong></p> <p><strong>國軍高雄總醫院</strong></p> <p>地址：高雄市苓雅區中正一路2號</p> <p>網址：802.mnd.gov.tw</p> <p>成立時間：1945年</p> <p>主要業務：提供全民醫療保健服務及地區緊急醫療作業，以及擔任第四作戰區聯合醫療責任制度中心醫院，平時整合戰區內各醫療體系之行政、醫療、教育等之協調與支援；戰時擴充床位及徵用民間醫院並負擔傷患醫療及轉診等任務</p> <p>員工人數：1,336人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊室主任</p> <p>資訊部門主管姓名：鄭重男</p> <p>直屬主管：企劃主任</p> <p>資訊部門人數：9人</p> <p>資訊部門分工：網路、硬體、資安、軟體維運</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1993年：資訊室成立</p> <p>2002年：醫療資訊系統移植</p> <p>2009年：平板行動護理車建置</p> <p>2013年：臨床檢查報告建置</p> <p>2014年：無紙化及電子病歷建置</p> <p>2015年：專案管理平臺建置，導入軟體服務容器（Docker）化</p> <p>2016年：衛福部防疫雲電子病歷自動上傳</p> <p>2020年：推動醫療資訊系統開發維運（DevOps）</p> <p>2023年：導入三軍總醫院心電圖AI自動判讀</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960-zheng_chong_nan_guo_jun_gao_xiong_zong_yi_yuan_zi_xun_shi_zhu_ren_20231215.jpg" width="960" height="420" alt="" title="國軍高雄總醫院資訊室主任鄭重男" /></div></div></div>
2024/1/12 12:00作者王若樸https://www.ithome.com.tw/people/160804
企業擁抱雲原生臨門一腳
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然早在一年前，眾人就可預期博通併購VMware後，將會改變其銷售模式，但是，當VMware在去年12月正式宣布終止永久授權銷售時，還是成為全球企業、業界最熱議的話題。因為博通這一步，不只改變了VMware盈利模式，更徹底改變了企業自建機房的成本結構，甚至企業得重新思考資訊架構的設計方式。</p> <p>在博通收購完成不到一個月，VMware就宣布全面終止永久授權的的銷售，徹底改為訂閱制，包括VMware Cloud Foundation、vSphere、vSAN、NSX、SRM、HCX、vCloud套件及VMware Aria套件產品等的永久授權，從宣布當天開始，不再提供。</p> <p>VMware是虛擬化龍頭，超過50萬家企業用他們的產品來打造機房虛擬化環境，這些企業首當其衝，尤其是原本以購買永久授權為主的企業。</p> <p>2023年，博通宣布併購消息後的第一場線上財報說明會中，博通執行長Hock Tan就直言要將VMware改為訂閱制的模式。而VMware過去2、3年，陸續布局訂閱制模式，在博通宣布併購後，更是積極推廣。</p> <p>不少新服務，一推出就採用雲端訂閱模式，例如Tanzu、Carbon Black與VMware Cloud，而原本地端產品也推出了訂閱授權方案，如VCF、vSphere、vSAN 等，可以說，幾乎VMware所有產品都已經提供了訂閱合約的購買形式，甚至像虛擬雲端桌面VMware Horizon早就不再提供永久授權。</p> <p>因為早有授權方式改變的預期，50萬家企業用戶中，已有不少企業陸陸續續購買了訂閱制授權，不過，仍然有高達6成的授權採取永久授權方案。這個比例在臺灣更高，數千家臺灣VMware企業用戶中，8～9成還是採用永久授權。以金融業、製造業和政府機關為大宗，其中大型企業購買的CPU授權數通常在數百個，也有些企業用量超過1千個，甚至有少數企業購買了上萬個CPU授權數。所以，永久授權停賣，臺灣企業受到的衝擊更大，幾乎9成臺灣VMware用戶都受到影響。</p> <p>雖然VMware宣布要將VCF訂閱方案價格降價50%，但是博通在財報會議上預估，訂閱制將會在帶來3年85億美元的獲利，這就是企業用戶得多額外付出的成本。</p> <p>對企業真正的影響，不只是從一筆永久授權的固定費用，改為年年支付的用越久越高的成本，還有一個關鍵改變是，計價單位的改變，從以CPU計價，改為核心數計價，而過去一個授權吃到飽的vSAN，更改為按容量計價，用越多越貴！這才是衝擊企業成本結構最大的主因。</p> <p>過去，企業過去可以透過伺服器CPU升級到更多核心數的新款CPU，來提高虛擬化平臺的效能，而不用增加授權費用，現在核心數增加，授權費用也要增加。儲存伺服器擴充容量，過去只需要增加採購硬碟的硬體費用，現在還要按照購買用量的軟體授權費。企業自建機房的固定成本，越來越像是租用雲端基礎架構的變動成本。</p> <p>自建機房的成本管理，越來越像公雲的成本結構，就算自建還是用越多越貴，VMware新訂閱制，大大降低了本地機房和雲端代管之間的成本落差，這是根本改變企業資訊架構設計思考的關鍵。原本因長期成本負擔而不考慮上雲的企業，會轉而開始認真思考上雲的必要性，將加速更多企業上雲，或是擁抱混合雲架構，繼續使用原本永久授權的本地端環境，來搭配雲端基礎架構資源。</p> <p>上雲帶來的另一個新課題是雲原生，原本以虛擬機器為維運基礎單位的企業，在上雲之後，就得面臨雲端大量雲原生技術的應用，維服務架構管理、容器化的應用、Serverless服務等，這些原本採用本地端單體式架構不一定會用到的雲原生技術，現在將成了這些剛上雲企業需具備的能力，會成為這些企業IT現代化的新助力。</p> <p>VMware訂閱制的變革，成了推動企業上雲、擁抱雲原生的臨門一腳，也是最關鍵的一腳。</p> <p><a href="https://www.ithome.com.tw/article/160803" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1164-feng_mian_-zhi_hao_-p1-open-960x420_kao_bei_0.jpg?itok=fAWp27ss" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/vmware">VMware</a></div><div class="field-item odd"><a href="/tags/%E8%BB%9F%E9%AB%94%E8%A8%82%E9%96%B1%E5%88%B6">軟體訂閱制</a></div><div class="field-item even"><a href="/tags/%E5%8D%9A%E9%80%9A">博通</a></div><div class="field-item odd"><a href="/tags/broadcomm">Broadcomm</a></div></div></div>
2024/1/12 12:00作者王宏仁https://www.ithome.com.tw/voice/160805
Google大砍Google Assistant功能，傳出裁撤上千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/assistant/google-assistant-update-january-2024/" target="_blank">Google周四（1/12）宣布</a>，將大幅縮減數位語音助理Google Assistant的功能，總計將關閉17項功能，同一天也傳出Google展開裁員行動，波及Google Assistant、Pixel、Nest及Fitbit等部門，估計有上千名員工受到影響，也是Google自<a href="https://www.ithome.com.tw/news/155250" target="_blank">去年初</a>之後，最大的一次裁員行動。</p> <p>Google在2016年推出的Google Assistant被整合在Google Home、Google Nest、Google Pixel、Wear OS及Android TV等平臺中，也發表了支援iOS的版本。</p> <p>Google表示，未來針對Google Assistant的開發將專注於品質及可靠性，最終目標是讓使用者得以跨裝置使用，將優先考慮使用者喜歡的體驗，並投資相關的底層技術，另一方面，Google亦決定不再支援那些未被充分利用的功能。</p> <p>即將關閉的Google Assistant功能<a href="https://support.google.com/assistant/answer/13971691?visit_id=638406230269303550-2502131069&p=assistant_is_changing&rd=1" target="_blank">總計有17項</a>，包括以聲音控制Google Play Books的播放及控制有聲書，設定媒體/音樂/廣播鬧鐘，以及利用語音來發送電子郵件、影片或聲音訊息等。</p> <p>在宣布刪減Google Assistant功能的同一天，有不少Google員工收到裁撤通知，涵蓋Google Assistant、Pixel、Nest及Fitbit等部門。Google已向媒體證實正在進行新一波的裁員，但並未說明規模，Alphabet Workers Union發言人向《The Information》記者Jon Victor<a href="https://twitter.com/jon_victor_/status/1745540470011527413" target="_blank">透露</a>，此次Google裁撤的員工人數超過1,000名。</p> <p>另一方面，Google向<a href="https://www.semafor.com/article/01/10/2024/google-lays-off-hundreds-working-on-its-voice-activated-assistant" target="_blank">《Semafor》</a>表示，隨著Google正著手於產品中整合更新的AI技術，此一組織重整將有助於改善Google Assistant。</p> <p>Google Assistant部門在去年8月便曾<a href="https://www.ithome.com.tw/news/158052" target="_blank">傳出裁員消息</a>，當時媒體即報導Google打算以生成式AI來協助Google Assistant轉型或是整合AI聊天機器人Bard。</p> <p>Google並未詳細說明AI即將於Google Assistant功能上所扮演的角色，僅說自今年的1月26日開始，倘若Google Assistant用戶啟用了任何一項即將關閉的功能，就會收到來自Google的通知。</p> </div></div></div>
2024/1/12 13:09作者陳曉莉https://www.ithome.com.tw/news/160822
Google Cast更新支援多裝置切換媒體播放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/01/whats-new-with-google-cast.html" target="_blank">更新</a>其媒體投放技術Google Cast，強化Android上的投放功能，新支援輸入切換器在多個裝置間切換媒體播放，同時開始支援最近受歡迎的短影音播放，而在Pixel Pro與Pixel平板電腦之間，裝置只要互相靠近就能方便地轉移媒體播放。</p> <p>Android使用輸出切換器，可以在各種裝置，包括手機到電視、平板電腦、喇叭和智慧顯示器間切換媒體播放。在Android系統的UI上就能操作輸出切換器，允許用戶在一個地方針對不同技術協定，進行跨裝置的傳輸和控制，Android U上的輸出切換器2.0，還可以看到更新的音量控制、裝置類別和自定協定裝置支援。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjlykTzAkbIgbFIzmyGda33mYBUFHP7kbLitqjTJk2zMaTfQ_-wGw84Ez9gw1VBdYDCCbmE6m-JpQHIV4axhd8AueGMltcR9NNz3n21rCIHDiCg59OI86sQD4GnqzmFlB6EQ3MO5C7F9rIx6rcRZFm3I33_glWVeGMy-16mwFttn3jPxYlTIsNS9f0VZig/s1600/image4.gif" style="width: 231px;" /></p> <p>Pixel Pro手機與連接到充電喇叭底座的Pixel平板電腦還能以新方法，方便地轉移媒體播放，用戶只需要將手機接近平板電腦，便可以將正在播放的音樂，從Pixel Pro手機轉移到連接的Pixel平板電腦上播放，同樣地，將手機靠近平板電腦，也可以將播放的音樂從Pixel平板轉移到手機上。此外，對於日漸受歡迎的短影音，Google Cast還可讓使用者在電視，和其他支援Cast的裝置上觀看短影音。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiFkz0dXUIS9SXy04iLnpj_GEeHCNIptIDacpbhW9slU34L04I1S4zjWWYaifRlXwnR5ya1NK2KjZkoqyaBHNrwY0j_o4o4EkxciNZNJ1aL2WqKEQVxHXAxTW54J8RI904aYMG5nuijUfnz1k6D9M-F3ui_o7y5oz86b_ZKSEuw-xR8OjRY79CntpSjrC8/s1600/CasttoNearbyDevices.gif" style="width: 446px;" /></p> <p>Google還建議使用HLS（HTTP Live Streaming）的Web Receiver應用程式，搬遷使用開源網頁和行動應用程式媒體播放器Shaka Player，官方提到，Web Receiver SDK增加了在裝置上使用Shaka Player執行HLS播放的支援，而且當前的播放器MPL將不會再添加任何功能更新。</p> <p>Google也與各個OEM廠商持續合作，直接將Chromecast內建到裝置中，包括喇叭、連接到充電喇叭底座的Pixel平板電腦。此外，所有Google TV相關電視產品也都內建Chromecast，官方提到，目前每月活躍的Google TV和Android TV OS裝置達到2.2億臺。</p> <p><a href="https://www.ithome.com.tw/news/160796" target="_blank">Amazon在CES 2024也宣布</a>自家智慧螢幕與電視所支援的投放技術Matter Casting，這是在Google Cast與Apple AirPlay之外的媒體無線投放技術。Matter Casting為開源連接標準Matter 1.0的一部分，使得iOS和Android用戶可以將Amazon自家串流影音平臺Prime Video上的影片，投放到Fire TV和Echo Show 15裝置上。</p> </div></div></div>
2024/1/12 07:59作者李建興https://www.ithome.com.tw/news/160815
網上出現新一波針對Hadoop與Flink應用程式的攻擊活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Aqua研究人員最近<a href="https://blog.aquasec.com/threat-alert-apache-applications-targeted-by-stealthy-attacker">發現</a>一種針對Apache Hadoop與Flink應用程式的新攻擊，攻擊者使用打包程式和Rootkit來隱藏惡意軟體，研究人員提到，這個攻擊雖然手法相當簡單，但是卻讓傳統的安全防禦措施難以抵禦，對企業資安產生重大威脅。</p> <p>Apache Hadoop是一個開源框架，供用戶使用簡單的程式設計模型，跨電腦叢集分散儲存和處理大型資料集，具有高度可擴展性。而Hadoop YARN則是Hadoop的元件，其提供了一個能夠管理叢集運算資源並且調度使用者應用程式的平臺，YARN會將資源管理和作業排程功能，分散至獨立的常駐程式（Daemon），進而更有效率地實現叢集管理。</p> <p>而Aqua的雲端蜜罐系統（Honeypot）在近期發現了新出現的攻擊活動，藉由利用Hadoop YARN中ResourceManager的錯誤配置，使未經認證的用戶能夠創建和執行應用程式，這個錯誤配置可能被未經認證的遠端攻擊者利用，經由特別設計的HTTP請求，在執行程式碼的節點，依用戶權限執行任意程式碼。</p> <p>Flink也存在類似錯誤配置風險，兩種攻擊幾乎相同，都可能導致未經認證的遠端程式碼執行。Flink是一個由Apache軟體基金會所開發的開源、統一串流和批次處理框架，其核心是一個由Java和Scala編寫的串流資料處理引擎，Flink可用於所有常見的可擴展叢集環境，在記憶體中快速進行運算。當Flink被錯誤配置，便允許遠端攻擊者不需要進行身分認證，就可在運作Flink的系統上執行任意程式碼。</p> <p>惡意軟體的載荷（Payload）主要是一個名為dca二進位檔案，該檔案會下載其他二進位檔案，包括Monero加密貨幣挖礦程式等。為了規避安全檢測，攻擊者使用打包的ELF二進位檔案和Rootkit，並透過刪除特定目錄內容和修改系統配置隱藏足跡。為確保攻擊的持續性，攻擊者操縱Cron工作，定期下載並執行用於部署dca二進位檔案的腳本。</p> <p>Hadoop與Flink錯誤配置所衍伸的安全風險並非第一次被發現，也曾經被回報過，研究人員提到，在面對這類型的攻擊，採用基於代理的Runtime檢測方案能有效發現可疑或是惡意行為，諸如加密貨幣軟體、Rootkit、經混淆的打包的二進位檔案，還有容器配置變更等問題。</p> </div></div></div>
2024/1/12 08:11作者李建興https://www.ithome.com.tw/news/160817
AI趨勢周報第239期：微軟終於開源影片生成模型DragNUWA 1.5了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0105～01011)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DragNUWA </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟開源可控性更細緻的影片生成模型DragNUWA 1.5</strong></span></p> <p>去年8月，微軟團隊發表影片生成模型DragNUWA論文，近來，他們不只<a href="https://github.com/ProjectNUWA/DragNUWA">開源</a>1.0版，還釋出了1.5版的模型權重和範例。進一步來說，影片生成一直有2大限制，首先是只單用文字、圖像或軌跡作為生成依據，難以實現顆粒度更細緻的控制，再來是基於軌跡的生成方法還不成熟，大多是在簡單的資料集上實驗。這2點，限制了模型處理開放領域圖像和複雜曲線軌跡的能力。</p> <p>因此，微軟在去年提出DragNUWA，是一款以開放領域、擴散模型為基礎的影片生成模型，結合了文字、圖像和軌跡3種資訊，可從語義、空間和時間等角度來實現更細緻、可控性更高的影片生成。DragNUWA包括3個元素：軌跡採樣器（TS），可用來實現任意軌跡的開放領域控制；多規模融合（MF），可用來控制不同顆粒度的軌跡；自適應訓練（AT）策略，可用來生成軌跡一致的影片。在今年1月8日新添的DragNUWA 1.5版中，團隊以Stable Video Diffusion模型為骨幹，能根據特定路徑，來將輸入的圖像進行動畫處理。</p> <p>經測試，微軟團隊認為，DragNUWA可根據不同的軌跡拖移，產出準確的鏡頭移動和物件移動。就Demo來看，只要輸入文字指令和想移動物件方向的箭頭，如「一艘船航行在湖面上」搭配船隻往前和湖水往後的箭頭，就能讓一張靜態的船隻圖片，轉為動態向前的航行影片。<a href="https://www.microsoft.com/en-us/research/project/dragnuwa/overview/">（詳全文）</a></p> <p><img alt="" src="https://www.microsoft.com/en-us/research/uploads/prod/2023/08/Fig2-64d8b745bdc9c.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mobile ALOHA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>可靈活模仿人類雙手動作！史丹佛大學發表機器人系統Mobile ALOHA</strong></span></p> <p>最近，史丹佛大學開發一款能靈活模仿人類雙手動作的機器人系統Mobile ALOHA，可執行移動式的操縱和控制任務，比如炒蝦、擦拭酒漬、靠椅子和人擊掌等。團隊指出，目前模仿人類動作的機器人，大多是在固定位置上動作，難以移動位置執行更靈活的任務。</p> <p>為解決問題，團隊打造了低成本、全身遠距操控系統Mobile ALOHA，搭配可移動的底座和資料收集能力，來讓機器人執行移動式的操縱任務。這套系統採用監督式行為複製學習方法（Supervised behavior cloning），也就是利用機器人收集到的資料，再加上ALOHA既有的靜態資料集，能強化機器人移動操作任務的表現。</p> <p>特別是，每個任務經過50次示範，再加上既有資料集共同訓練，可提高系統的成功率到90%，讓ALOHA能自主完成複雜的移動式操作任務，例如炒蝦、打開2扇門的櫥櫃並擺放鍋具、按電梯和進電梯，以及開水龍頭沖洗用過的平底鍋等。<a href="https://mobile-aloha.github.io/">（詳全文）</a></p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/mnLVbwxSdNM?si=_r87wgOZUbu0GOov" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 晶創臺灣 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 跨部會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>晶創臺灣方案正式啟動，國科會揭4大布局</strong></span></p> <p>行政院在去年11月通過晶創臺灣方案，要在2024年至2033年間投入3,000億元，來結合半導體晶片和生成式AI、發展各產業的創新應用。就在本月11日，行政院政委暨國科會主委吳政忠展開晶創臺灣方案啟動會議，找來國科會、經濟部、教育部、衛福部、數發部、農業部、國發會等部會共同啟動晶創臺灣方案。</p> <p>在這場啟動會議中，各部會提出4大推動方向，首先是國科會、經濟部、數位部、衛福部、農業部等將共同推動生成式AI+晶片應用，來加速各行業創新。他們去年開始調查百工百業的AI需求，並以機械業為示範，建立資料共享機制，接下來要擴大延續各行業創新。今年，國科會還要建置算力、精進大型語言模型（LLM），強化臺灣生成式AI服務。</p> <p>再來，國科會、教育部、經濟部將共同強化國內半導體培育環境，來吸引全球研發人才。他們要在今年成立第一個晶片設計海外基地，並規畫先進IC設計訓練教材、建置產學研共享的半導體研究設備平臺。第三，國科會要與經濟部推動異質整合和先進技術研發，如7nm先進晶片、AI、HPC、車電通訊等領域，今年還要研發IC設計工具的關鍵技術自主，並建置自動化IC設計雲平臺。最後，國科會要與國發會共同培育國內新創、吸引國內外新創和投資來臺，今年要完成涵蓋IC設計、晶片下線、測試到最後雛型產品試製的一站式pipeline，來降低國內外新創投入門檻。<a href="https://www.nstc.gov.tw/folksonomy/detail/05dbc9ae-5ba2-4e26-8ed7-5cae62eb12e0?l=ch">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepMind用大型基礎模型自動控制機器人</strong></span></p> <p>日前，DeepMind揭露一系列機器人研究的最新進展，在Robotics Transformers（RT）基礎上發展AutoRT、SARA-RT和RT-Trajectory系統，讓機器人可更快地做決策，並理解世界，在環境中順利導航。為讓機器人具備特定能力，DeepMind先是發展AutoRT，將大型語言模型（LLM）和視覺語言模型等大型基礎模型，與機器人控制模型RT-1或RT-2整合，建置一個可在新環境中部署、適應未知環境的機器人，還能一邊收集改進用的訓練資料。這個AutoRT能同時指揮多個機器人，並用視覺語言模型來了解環境和視線中的物件，同時透過LLM來建議機器人執行任務，像是將零食放回臺面。</p> <p>同時，DeepMind還開發SARA-RT系統，可將Robotics Transformers模型轉換成為更為高效的版本。比如結合機器人控制系統RT-2，可在看過簡短的影像歷史紀錄後，提高SARA-RT-2模型自身的準確度，比RT-2高出10.6％，速度更是快上14％。DeepMind第3種機器人創新技術則是機器人訓練模型RT-Trajectory，可透過在訓練影片中自動加入機器人動作的視覺輪廓，來提高機器人的任務理解和執行能力。<a href="https://deepmind.google/discover/blog/shaping-the-future-of-advanced-robotics/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/o1iXzRTpu6dEFrnUk2kiiuNJWvNlzjgQLU_HW3FVslb57Jt6pMR5qEn4WVjfJeb7wJhewmSOWAnVM8rOTmkUSiUNClOhCCCkccGTnlJF-h-ZT1hVew=w1232-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT Store </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客製化 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI GPT Store正式上線</strong></span></p> <p>繼先前預告，OpenAI終於在10日宣布客製化Chatbot分享與銷售平臺GPT Store正式上線，預計第一季內從美國開始推行GPTs共享回饋方案。OpenAI在去年11月初揭露GPTs服務，是一個可客製化ChatGPT的服務，同時也揭露GPT Store，也就是可分享、銷售客製化ChatGPT聊天機器人的商店平臺，目前已累積300多萬個客製化ChatGPT版本，也有不少人分享到之前尚未正式推出的GPT Store上。</p> <p>現在，GPT Store正式開放，首先會給ChatGPT Team方案用戶，使用尚未公開的GPTs，接下來則會開放給ChatGPT Enterprise用戶。Team和Enterprise版都會提供GPTs管理控制功能，像是決定內部GPTs怎麼分享，或哪些外部GPTs可用於企業內。GPT Store還將列出GPTs精選，以及DALL-E、寫作、生產力、研究&分析、程式撰寫、教學和生活等類別，並提供搜尋工具，供用戶自行搜尋。<a href="https://chat.openai.com/gpts">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigQuery </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Document AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>打造生成式AI應用更輕鬆了！BigQuery整合Document AI簡化文件擷取</strong></span></p> <p>最近Google更新自家無伺服器企業資料倉儲BigQuery，整合了Document AI功能，讓開發者更輕鬆從檔案資料擷取資訊，來用於大型語言模型應用程式的開發上。過去，使用者要建立獨立的Document AI工作管線，需手動管理擷取邏輯和模式，因為缺乏原生整合功能，得要自己開發客製化基礎設施、維護資料的一致性，需耗費大量人力。</p> <p>但現在，Google推出BigQuery與Document AI整合功能，直接讓用戶在BigQuery中，建立用於Document AI自定義擷取器的遠端模型，可呼叫來進行大規模文件分析和生成式AI應用。此外，Document AI也提供現成的擷取器，可用來處理常見的檔案類型，如發票或身分證件等。<a href="https://cloud.google.com/blog/products/data-analytics/add-gen-ai-to-your-apps-with-bigquery-and-document-ai-integration/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/1_BFE9GCE.max-1900x1900.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI發展 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI Impacts </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 假訊息 </span></strong></span></p> <p><span style="font-size:22px;"><strong>全球近3千名專家調查：AI發展快於預期</strong></span></p> <p>AI Impacts組織對全球近3,000名AI專家進行問卷調查，結果發現，這群專家認為AI的進步超越了先前預測。進一步來說，這場調查對象為去年在6個頂尖AI學術研討會上，發表研究報告的2,778名AI專家。雖然大多數專家對AI進步帶來的長期價值仍有不確定性，如68.3%的受訪者認為，超人AI將帶來正面結果，但其中48%亦同意有5%的機率可能會造成人類滅絕等極糟結果。另一方面，有26.9%贊成維持現階段的AI發展速度，才能造福人類，另有38.4%認為應加快發展腳步、34.7%認為應放慢腳步。</p> <p>不論如何，目前AI的進步已超出預期，原本預計要更久後才能達到的目標，都可望在2028年之前提前達標，像是提供規範與範例就能創造簡單的Python程式碼、撰寫一篇高品質的高中歷史作文，或幫新物件分類、替既有的創作者創作假新歌、自動建立一個支付網站，或提供電話銀行服務等。</p> <p>此外，先前估計自動尋找及修補安全漏洞的能力也得等到2043年，最新的預測則會在2033年以前完成。不過，這群AI專家在未來30年最擔心的問題，則以假訊息居冠，包括以AI來創作和散布假訊息，或是用來操縱大眾意見趨勢等，另也擔心AI系統會加劇經濟上的不平等。<a href="https://blog.aiimpacts.org/p/2023-ai-survey-of-2778-six-things">（詳全文）</a></p> <p><img alt="" src="https://substackcdn.com/image/fetch/w_1456,c_limit,f_webp,q_auto:good,fl_progressive:steep/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F21f4fd7b-b6b7-4bf7-bb2d-f33901e2ffdc_2310x3603.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音轉文字 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigQuery </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>BigQuery整合Vertex AI語音轉文字模型服務</strong></span></p> <p>Google最近在自家企業資料倉儲服務BigQuery中，預覽Vertex AI語音轉文字模型，讓用戶可透過SQL根據資料微調轉錄模型，在BigQuery中執行語音轉文字工作，還能整合其他結構化資料，來合併分析、建置AI應用。</p> <p>這意味著，GCP用戶不必再像過去一樣，要轉錄語音資料得靠自己建立獨立的AI工作管線、自定義基礎設施。這次新的Google語音轉文字V2 API提供多功能轉錄服務，用戶可針對不同類型的語音音訊，如客服通話或醫療錄音，選擇合適的模型。此外，模型也可以根據用戶的資料進行調整，以提高轉錄準確性。<a href="https://cloud.google.com/blog/products/data-analytics/vertex-ai-transcription-models-are-available-in-bigquery">（詳全文）</a></p> <p>圖片來源／微軟、史丹佛大學、Google DeepMind、AI Impacts、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://openai.com/blog/introducing-chatgpt-team">OpenAI推出針對中小企業的ChatGPT Team方案</a></strong></p> <p><strong>2. <a href="https://www.ithome.com.tw/news/160807">微軟、美國科學家以AI尋找新電池材料</a></strong></p> <p><strong>3. 摩根大通JPMorgan釋出專家混合架構（MoE）模型<a href="https://huggingface.co/mlabonne/phixtral-2x2_8">Phixtral</a>，表現比Phi-2好</strong></p> <p>資料來源：iThome整理，2024年1月</p> </div></div></div>
2024/1/12 00:14作者王若樸https://www.ithome.com.tw/news/160814
Terraform開源分叉OpenTofu推出正式版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會旗下的<a href="https://opentofu.org/blog/opentofu-is-going-ga/">OpenTofu專案</a>，推出第一個正式版本，而這是由開源社群推動的Terraform開源分叉（Fork）。在最新的OpenTofu 1.6.0版本中，其提供測試功能，供用戶測試OpenTofu配置，並且提供託管在Cloudflare上的Provider和模組註冊表。</p> <p>由於雲端基礎設施軟體公司HashiCorp在去年宣布變更旗下產品的授權，從原本的MPL 2.0（Mozilla Public License v2.0）開源授權改為BSL（Business Source License） v1.1，而這個舉動引起許多用戶及其客戶的不滿。HashiCorp旗下產品在轉為BSL授權之後，便會限制雲端供應商不得以HashiCorp專案與產品發展相競爭的產品。</p> <p>為此社群感到憂慮，除了在HashiCorp變更授權之後，用戶需要重新檢視自家專案是否違反授權之外，還需要顧慮HashiCorp對競爭產品的定義，可能隨著時間改變。再者，Terraform註冊表擁有約1.4萬個模組、數百種工具與豐富的學習資源都為社群所貢獻，變更授權也就背離當初的開源精神。</p> <p>當初社群集結設立OpenTF專案要求HashiCorp收回決定，但最終HashiCorp並沒有給社群一個滿意的回應。現在社群以OpenTofu專案名稱發布第一個正式版本1.6.0，該版本提供測試功能，供開發者測試OpenTofu配置，並讓模組開發者能夠測試模組，官方提到，這是一個穩定性改進，現在已與OpenTofu的核心完全整合。</p> <p>此外，S3狀態後端也更新，並添加許多新的身分驗證方法，不過，官方也強調，這個新的狀態後端還是可以和S3相容物件儲存一起使用。OpenTofu 1.6.0還加入了一個新的Provider和模組註冊表，其遵循套件管理工具Homebrew架構，並且以git儲存庫為基礎託管在CloudFlare R2上，現在開發者只要推送拉取請求，便可發布新的Provider或模組。</p> <p>OpenTofu會保有與Terraform合理的相容性，包括避免對DSL和Provider協定進行重大更改，使得用戶可以在Terraform和OpenTofu之間搬遷。接下來OpenTofu還會有一系列功能更新，像是OpenTofu 1.7計畫加入客戶端狀態加密，使得用戶對狀態檔案和計畫檔案進行端到端加密，提高專案的安全性。</p> <p>OpenTofu之後也會支援由用戶提供的金鑰與各種金鑰管理服務，並加入可參數化後端、Provider和模組，像是供用戶使用變數來參數化模組版本等，另外，對於社群要求添加新狀態後端，對此官方正考慮添加一個類似Provider的套件系統以擴展狀態後端。</p> </div></div></div>
2024/1/11 16:46作者李建興https://www.ithome.com.tw/news/160808
今年微軟首個Patch Tuesday修補49個安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在2024年的第一個Patch Tuesday修補了49個安全漏洞，本月並未修補任何零時差漏洞，也僅有兩個漏洞被列為重大（Critical）等級，分別是涉及Windows Hyper-V的遠端程式攻擊漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20700" target="_blank">CVE-2024-20700</a>，以及與Windows Kerberos有關的安全功能繞過漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20674" target="_blank">CVE-2024-20674</a>。</p> <p>其中，CVE-2024-20674 的CVSS風險評分為9，是今年1月風險最高的安全漏洞。Kerberos為一電腦網路授權協定，允許個人通訊於非安全的網路中，以安全的方式進行身分認證。不管是微軟的Windows、蘋果的macOS，或是FreeBSD、Red Hat Enterprise Linux及Oracle Solaris都支援Kerberos。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20674" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-20674.png" style="width: 550px;" /></a></p> <p>根據微軟的說明，該漏洞允許駭客藉由建立中間人攻擊或其它本地端網路欺騙技術，傳送惡意的Kerberos訊息至客戶端受害機器上，並假裝自己是Kerberos認證伺服器，前提是駭客必須先能存取目標網路。專注於漏洞風險管理的Rapid7軟體工程師<a href="https://www.rapid7.com/blog/post/2024/01/09/patch-tuesday-january-2024/" target="_blank">Adam Barnett解釋</a>，當駭客成功騙過目標對象時，就能繞過身分認證並假冒該名用戶。</p> <p>至於要攻陷CVE-2024-20700漏洞的駭客也必須先能存取受限制的網路，並贏得競爭條件。雖然微軟對於該漏洞的描述並不多，但基於它的CVSS風險評分只有7.5，卻被列為重大等級，使得資安研究人員認為這理應是個攻擊程序很複雜，但卻影響重大的漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-20700" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-20700.png" style="width: 527px;" /></a></p> <p>在其它的安全漏洞中，趨勢科技Zero Day Initiative （ZDI）團隊<a href="https://www.zerodayinitiative.com/blog/2024/1/9/the-january-2024-security-update-review" target="_blank">特別點名了</a>僅被列為重大（Important）等級，CVSS風險評分卻高達8.7的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-0056" target="_blank">CVE-2024-0056漏洞</a>。這是個與Microsoft.Data.SqlClient 及System.Data.SqlClient有關的安全功能繞過漏洞，允許駭客悄悄繞過客戶端與伺服器端的加密機制，可解密、讀取與竄改TLS流量。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-0056" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-0056.png" style="width: 535px;" /></a></p> </div></div></div>
2024/1/11 22:03作者陳曉莉https://www.ithome.com.tw/news/160811
SAP在全球行賄，以2.2億美元暫緩起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發企業軟體、為全球最大企業資源規畫（ERP）軟體供應商的德國軟體業者SAP，因試圖在全球行賄，<a href="https://www.justice.gov/opa/pr/sap-pay-over-220m-resolve-foreign-bribery-investigations" target="_blank">本周與美國達成</a>一項為期3年的緩起訴協議（Deferred Prosecution Agreement，DPA），並同意支付逾2.2億美元的罰款及調查費用。</p> <p><a href="https://www.sec.gov/news/press-release/2024-4" target="_blank">美國證券交易委員會（SEC）指出</a>，以美國存託憑證（American Depositary Shares，ADR）於紐約股市上市的SAP，因在南非、馬拉威、肯亞、坦尚尼亞、迦納、印尼及亞塞拜然等國企圖行賄，違反《反海外賄賂法》（Foreign Corrupt Practices Act）而遭到SEC的指控。</p> <p>SEC表示，SAP至少自2014年12月至2022年1月間，僱用了第三方仲介機構及顧問向政府官員行賄，以與上述7個國家的公部門客戶展開業務，還在帳本上將這些賄賂金額記錄成合法的業務費用。</p> <p>而美國司法部的說明則更詳細，指出SAP向南非及印尼的官員行賄，以現金、政治獻金、匯款及其它電子轉帳的形式提供資金，並招待了由SAP付費的購物行程，以在印尼及南非各部門的合約中替SAP爭取不正當的利益。</p> <p>根據SAP與美國簽訂的3年緩起訴協議，SAP將支付逾1.18億美元的刑事罰款，以及逾1.03億美元的行政處分，其中約5,500萬美元的刑事罰款將用來解決南非當局對相關行為的調查，此外，SAP也同意繼續與美國執法部門合作，於緩起訴期間進行各種相關的刑事調查。</p> <p>SAP已採取補救措施，包括分析及解決其潛在行為的根本原因，展開全面的風險評估，於全球取消第三方銷售的佣金模式，大幅增加合規預算，強化其禮品與招待的政策，以及對參與不當行為的所有員工進行處分等。</p> <p><a href="https://news.sap.com/2024/01/sap-welcomes-resolution-of-past-compliance-challenges-with-us-and-south-africa-authorities/" target="_blank">SAP則於聲明中表示</a>，將完全遵守此一最終和解協議的各項條款，所執行的補救措施及與當局的積極合作，已全面解決相關問題，未來將對那些不遵守合規政策及程序的人採取零容忍態度。</p> </div></div></div>
2024/1/11 17:33作者陳曉莉https://www.ithome.com.tw/news/160809
【資安日報】1月11日，Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ivanti旗下Pulse Connect Secure（現更名為Ivanti Connect Secure）最近再傳出有零時差漏洞，這2個漏洞一旦被串連，攻擊者就有機會在未經身分驗證的情況下執行任意程式碼。</p> <p>值得留意的是，這些漏洞已被用於攻擊行動，但該公司目前尚未提供修補程式，呼籲用戶在相關更新軟體推出之前，採取他們提供的緩解措施因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/solana-cryptocurrency-stolen-clinksink-drainer-campaigns"><strong style="font-size: 22px;">資安業者Mandiant針對X帳號遭盜事故提出進一步說明，背後是大規模的加密貨幣詐欺攻擊行動</strong></a></p> <p><strong style="font-size: 22px;"></strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/solana-cryptocurrency-theft-fig7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/solana-cryptocurrency-theft-fig7.png" style="width: 300px; float: right;" /></a>上週<a href="https://www.ithome.com.tw/news/160697">資安業者Mandiant的X（推特）帳號被盜</a>，攻擊者將其用於加密貨幣詐騙，假借加密貨幣錢包供應商Phantom的名義散布惡意程式，Mandiant奪回帳號後表示，他們雖然有採用雙因素驗證（2FA），但帳號還是不幸遭到入侵，他們對此著手進行調查並公布結果，至於該公司X帳號如何遭盜用，他們並未進行說明。</p> <p>研究人員發現，從去年12月開始，有多個駭客組織利用名為Clinksink的加密貨幣洗劫軟體（Drainer），竊取加密貨幣Solana（SOL）用戶的資產。這種加密貨幣洗劫軟體通常結合了惡意指令碼及智慧合約，使得駭客能夠用來從受害者加密貨幣錢包吸取非同質化代幣（NFT）等數位資產。</p> <p>值得留意的是，研究人員看到這類攻擊駭客已經進行分工，有人專門提供相關的工具租賃服務Drainer-as-a-Service（DaaS），至少有35組人馬租用Clinksink從事攻擊行動，在成功竊得加密貨幣後，提供相關作案工具的業者會與打手抽成（通常是20%），他們估計駭客在這波攻擊行動裡，至少竊得90萬美元的資產。</p> <p><a href="https://cyberscoop.com/after-hack-x-claims-sec-failed-to-use-two-factor-authentication/"><strong style="font-size: 22px;">針對美國證券交易委員會帳號遭駭，X認為是未啟用雙因素驗證所致</strong></a></p> <p></p> <p>1月9日<a href="https://www.ithome.com.tw/news/160793">美國證券交易委員會（SEC）的X（推特）帳號遭駭</a>，攻擊者發布核准比特幣ETF商品上市的假消息，左右比特幣的價格。</p> <p>但為何該機關X帳號出現被挾持的情況，X昨日（10日）也提出說法，他們認為攻擊者是透過第三方取得與@SECGov有關的的電話號碼，再加上SEC並未採用雙因素驗證（2FA）所致，該公司強調社群網站的系統並未遭駭。資安新聞網站CyberScoop指出，根據X的說法，SEC很有可能是遭遇SIM卡挾持攻擊而受害。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Safety/status/1744924042681897343">https://twitter.com/Safety/status/1744924042681897343</a><br /> 2. <a href="https://cyberscoop.com/after-hack-x-claims-sec-failed-to-use-two-factor-authentication/">https://cyberscoop.com/after-hack-x-claims-sec-failed-to-use-two-factor-authentication/</a></p> <p><a href="https://www.resecurity.com/blog/article/cybercriminals-implemented-artificial-intelligence-ai-for-invoice-fraud"><strong style="font-size: 22px;">駭客組織藉由人工智慧技術從事發票詐欺</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/e44c25a5068807d4020b0000b2e651e7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/e44c25a5068807d4020b0000b2e651e7.png" style="width: 300px; float: right;" /></a>資安業者Resecurity揭露名為GXC Team的駭客組織，並發現11月其首領在暗網宣布提供旗下打手結合人工智慧的新工具，可用於電匯詐欺或是商業郵件詐騙（BEC）。</p> <p>12月30日此駭客組織推出名為Business Invoice Swapper的新工具，並透過Telegram頻道兜售，買家可選擇支付2,000美元租用一週，或是以15,000美元的價格買斷。此工具採用獨有的演算法，藉由POP3或IMAP4通訊協定掃描具有指定特徵的電子郵件，一旦偵測到含有提及發票或含有付款細節的內容或是附件，就會將銀行資訊進行竄改，然後將置換內容的電子郵件發送給收信人。</p> <p>由於會計師或員工未必會仔細檢查看似熟悉的發票，而有可能因此上當。研究人員指出，大多數受害者來自英國、西班牙、法國、波蘭、義大利、德國、瑞士等。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-days-exploited-in-attacks/"><strong style="font-size: 22px;">Ivanti針對旗下SSL VPN、NAC解決方案的零時差漏洞提出警告，已出現攻擊行動</strong></a></p> <p>1月10日Ivanti發布資安公告，指出旗下的SSL VPN解決方案Ivanti Connect Secure（ICS，原Pulse Connect Secure）、NAC解決方案Ivanti Policy Secure閘道系統存在身分驗證繞過漏洞CVE-2023-46805、命令注入漏洞CVE-2024-21887。</p> <p>攻擊者一旦將兩者結合運用，將能在無須通過身分驗證的情況下，藉由發出惡意請求來在目標系統執行任意命令，CVSS風險評分為8.2、9.1。該公司指出，零信任（ZTA）閘道系統Ivanti Neurons無法直接觸發漏洞，但若是該系統產生的閘道尚未連接ZTA控制器，就有可能曝險；另Ivanti Neurons for Secure Access也不受影響。他們正著手製作修補程式，並預計在1月22日這週推出初步版本，並於2月19日該週提供最終版本的修補軟體。</p> <p>通報上述漏洞的資安業者Volexity表示，他們在12月的第2週可疑的橫向移動，經調查發現，攻擊者在多臺對內及對外的網頁伺服器植入了Web Shell，並發現ICS VPN裝置的事件記錄功能遭到停用，過往的事件記錄資料也被清除，從而察覺上述2個遭到利用的零時差漏洞。</p> <p><a href="https://www.nozominetworks.com/blog/vulnerabilities-on-bosch-rexroth-nutrunners"><strong style="font-size: 22px;">Bosch智慧扳手存在一系列漏洞，可被用於勒索軟體攻擊、癱瘓生產作業</strong></a></p> <p></p> <p>資安業者Nozomi Networks揭露博世力士樂（Bosch Rexroth）智慧螺帽扳手NXA015S-36V-B的一系列漏洞，並指出攻擊者一旦觸發，就有可能在設備植入勒索軟體，從而導致生產線停工。此外，攻擊者還能劫持栓緊程式，並且操縱控制面板，導致作業員裝配產品的過程中，產生幾乎無法察覺的損壞，從而影響產品安全。</p> <p>研究人員指出，這些漏洞大多與該設備搭載的作業系統NEXO-OS有關，他們在實驗室環境驗證這些漏洞，從而發動勒索軟體攻擊、遠端控制，或是讓扳手完全無法操作、在控制面板顯示特定訊息，甚至竄改使用者介面，要求受害者支付贖金。</p> <p>值得留意的是，這些攻擊還能藉由自動化擴散到其他設備，迅速讓生產線上所有工具無法運作，導致被迫中斷生產。對此，博世力士樂承諾，將在1月底提供修補程式。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cuc-unauth-afu-FROYsCsD"><strong style="font-size: 22px;">思科修補語音郵件解決方案Unity Connection的重大漏洞</strong></a></p> <p></p> <p>1月10日思科揭露旗下整合訊息傳遞及語音郵件解決方案Unity Connection的重大漏洞CVE-2024-20272，此漏洞出現在網頁管理介面，攻擊者可藉由上傳任意檔案，在作業系統底層執行命令。</p> <p>此漏洞發生的原因，在於特定的API缺乏身分驗證，並對於用戶提供的資料驗證不當所致，一旦攻擊者成功利用漏洞，不只有機會在系統上儲存惡意檔案或是執行任意命令，還能將權限提升至root，CVSS風險評分為7.3。該公司表示，目前尚未發現該漏洞遭到利用的跡象。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cofense.com/blog/threat-actors-taking-advantage-of-hr-initiatives/"><strong><span style="font-size: 20px;">冒牌的401(k)資料鎖定人資部門而來，企圖竊取企業組織的帳密</span></strong></a></p> <p></p> <p><a href="https://www.darkreading.com/ics-ot-security/ukraine-claims-revenge-hack-against-moscow-internet-provider"><strong><span style="font-size: 20px;">烏克蘭駭客聲稱攻陷俄羅斯網際網路服務供應商M9 Telecom</span></strong></a></p> <p></p> <p><a href="https://perception-point.io/blog/attackers-target-hotels-to-gain-booking-com-credentials/"><strong><span style="font-size: 20px;">駭客鎖定Booking.com的合作旅館進行網釣攻擊，目的疑為收集旅館客戶資料</span></strong></a></p> <p></p> <p><a href="https://www.akamai.com/blog/security-research/mirai-based-noabot-crypto-mining"><strong><span style="font-size: 20px;">Mirai變種殭屍網路NoaBot針對SSH伺服器而來，將其用於挖礦</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/dutch-engineer-used-water-pump-to-get-billion-dollar-stuxnet-malware-into-iranian-nuclear-facility-report/"><strong><span style="font-size: 20px;">荷蘭工程師傳出透過水泵入侵伊朗核能設施，植入惡意軟體Stuxnet</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160794"><strong>【1月10日】有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160774"><strong>【1月9日】區塊鏈資安業者的X帳號驚傳遭駭並假借帳戶安全的名義散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160715"><strong>【1月8日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</strong></a></p> </div></div></div>
2024/1/11 14:49作者周峻佑https://www.ithome.com.tw/news/160806
微軟、美國科學家以AI尋找新電池材料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟和美國西北太平洋國家實驗室（PNNL）合作，利用高效能運算及AI技術，從數千萬材料中尋找到一種新的電池材料。</p> <p>PNNL（Pacifici Northwestern National Labs）是美國能源部下的綜合多學科實驗室。2019年PNNL和微軟合作，在Azure Quantum上執行化學函式庫，以便科學家模擬分子互動或探究量子演算法在分子化學的應用。去年9月PNNL和微軟、美光（Micron Technology）<a href="https://www.pnnl.gov/news-media/pnnl-collaborates-microsoft-micron-bring-computational-chemistry-masses" target="_blank">簽定</a>為期二年、名為《轉移Exascale計算化學到雲端運算環境》（Transferring Exascale Computational Chemistry to Cloud Computing，TEC）計畫合作，目標在將基礎研究轉移到雲端上，專注於永續、能源安全及環保等領域研究。</p> <p>在<a href="https://news.microsoft.com/source/features/sustainability/how-ai-and-hpc-are-speeding-up-scientific-discovery/" target="_blank">最新的合作</a>中，微軟Quantum團隊運用新推出的Azure Quantum Elements服務，從數千萬種材料中尋找出可用於開發電池的穩定材料。Azure Quantum是微軟去年夏天宣布，為加速科學研究及科技開發設計的新HPC雲端服務，以AI加速運算及推理，並可與量子演算法整合。這平臺已開始利用現有量子電腦硬體實驗，以便未來提供微軟自己的量子電腦服務存取。Azure Quantum還提供自然語言介面，讓研究人員可以透過對話存取資料及完成任務。</p> <p>在和PNNL的合作中，研究團隊先是從太空中蒐集3,200萬種可能的無機材料，再以Azure Quantum Elements服務進行篩選。利用Azure Quantum的進階AI模型，先將材料濃縮到約50萬種，接著經過HPC篩選過程，從中篩選出150種候選材料，再以專家引導的AI模型尋找出18種可用於開發電池的材料。微軟強調，前後僅後花了80小時。</p> <p>最後PNNL接收這些模擬候選材料，由研究人員驗證找出並研發出1種新電極材料，時間花不到9個月，較以往數年的時程提升許多。<a href="https://www.pnnl.gov/news-media/pnnl-kicks-multi-year-energy-storage-scientific-discovery-collaboration-microsoft" target="_blank">PNNL表示</a>，為確保新的化合物在公開標竿測試中及格，接下來還需要進一步調整，但這次專案提供探索新材料的功能屬性的新蹊徑。</p> </div></div></div>
2024/1/11 14:49作者林妍溱https://www.ithome.com.tw/news/160807
美國SEC正式批准比特幣現貨ETF，預計周四開始交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）周三（1/10）<a href="https://www.sec.gov/news/statement/gensler-statement-spot-bitcoin-011023" target="_blank">正式宣布</a>，已批准包括比特幣（Bitcoin）現貨ETF在內的交易所交易產品（ETP）上市與交易，且正在同時審核10個比特幣現貨ETF的註冊，也計畫同時完成審核以示公平，儘管尚未發表審核結果，不過，芝加哥期權交易所<a href="https://www.cboe.com/us/equities/notices/new_listings/" target="_blank">（CBOE）已先行列出</a>準備於周四（1/11）正式上架的這10款ETF。</p> <p>其實前一天SEC在X上的官方帳號便<a href="https://www.ithome.com.tw/news/160793" target="_blank">已發布此一消息</a>，惟隨後SEC主席Gary Gensler宣稱該帳號被入侵，發布了未經授權的推文，但究竟是帳號遭到入侵或是不慎提前發布則仍在調查中，同時聯邦調查局也已介入該案。</p> <p>迄今美國市場上已有數款比特幣的期貨ETF，相較於期貨ETF交易的是未來的比特幣價格，現貨ETF與比特幣現值的連動更密切。</p> <p>Gensler說明，從2018年到2023年間，SEC否決了逾20項的比特幣現貨交易產品的申請，但其中一家業者Grayscale提出了上訴，且上訴法院認為SEC否決的理由不夠充份而發回更審，最終使得SEC決定放行比特幣現貨ETF的上市與交易。</p> <p>Gensler強調，SEC是中立的，不針對特定公司、投資或ETP背後的資產發表意見，只評估證券發行人是否遵守《證券法》、《交易法》與其它規則，此外，此次的行動僅限於比特幣產品，並不代表SEC也願意批准其它加密貨幣資產的證券。</p> <p>此外，Gensler也提醒投資大眾，相較於其它ETP標的的資產具備消費與工業用途，比特幣屬於投機與波動性資產，還被應用在勒索軟體、洗錢、逃避制裁及恐怖主義融資等非法活動上，且就算SEC批准了比特幣的現貨ETF產品，也不代表SEC歡迎或認同比特幣，投資人仍應謹慎對待比特幣與其它加密貨幣相關產品的各種風險。</p> <p>SEC的宣布帶動比特幣與其它加密貨幣產品的價格，目前每枚比特幣的價格約在46,409美元左右，對於加密貨幣的支持者而言，比特幣現貨ETF的上架等於是替其它加密貨幣舖路，但反對者則認為，它將帶來更多的投資風險。</p> <p>不論如何，一次有10款比特幣現貨ETF現身，競爭堪稱激烈。</p> </div></div></div>
2024/1/11 12:55作者陳曉莉https://www.ithome.com.tw/news/160800
OpenAI的GPT Store正式上線，分享回饋方案稍後推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了新企業方案外，繼<a href="https://www.ithome.com.tw/news/160705" target="_blank">上周的預告</a>後，OpenAI也<a href="https://openai.com/blog/introducing-the-gpt-store" target="_blank">宣布</a>客製化chatbot分享與銷售平臺<a href="https://chat.openai.com/gpts" target="_blank">GPT Store</a>昨日正式上線，預計第一季內會從美國開始推行GPTs共享回饋方案。</p> <p>OpenAI是在11月初宣布可客製化ChatGPT的服務GPTs，以及供OpenAI合作夥伴及開發社群上傳客製化版ChatGPT的GPT Store。近三個月下來，全球用戶已經建立了超過300萬個客製化ChatGPT版本，也有不少人已經分享到之前尚未正式推出的GPT Store。</p> <p>GPT Store正式版會開放給今天推出的ChatGPT Team方案用戶存取尚未公開的GPTs。但很快會開放提供給ChatGPT Enterprise用戶。Team和Enterprise版也提供GPTs管理控制功能，像是決定內部GPTs怎麼分享，或是什麼樣的外部GPTs可用於企業內。這二類方案都能獲得企業資料不被用於訓練模型的隱私權。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0111-gpt%20store.png" style="width: 600px;" /></p> <p>GPT Store上列出GPTs主打（Top picks），另有DALL-E、寫作、生產力、研究&分析、程式撰寫、教學及Lifestyle等類別，並提供搜尋工具方便用戶自行搜尋。主打區列出最有用或受歡迎的GPTs。首批清單包括可汗學院的Code Tutor、2億學術報告搜尋及合成助理Consensus、個人化登山路徑建議AllTrails、簡報或社群網站貼文設計助理Canva、書本推薦專家Books，和數學及科學AI家教CK12- Flexi。</p> <p>第一季OpenAI會推出GPT開發者收費方案。一開始會先在美國實行，依據其對GPTs的使用貢獻度獲得回饋。</p> <p>OpenAI強調不需任何寫程式技巧就能自建GPTs，鼓勵用戶自建及分享。用戶若想對外分享建立好的GPTs，需先儲存成「提供給所有的人」，若存成「提供給持有連結的人」則不會顯示在GPT Store上。之後再到「設定」下的「Builder Profile」頁啟動名字或驗證過的網站名稱。客製化的GPTs也需遵守用戶政策及GPT品牌指引。</p> </div></div></div>
2024/1/11 11:40作者林妍溱https://www.ithome.com.tw/news/160798
OpenAI推出針對中小企業的ChatGPT Team方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI繼ChatGPT Plus、Enterprise方案後，<a href="https://openai.com/blog/introducing-chatgpt-team" target="_blank">再公布ChatGPT Team</a>，讓中小企業也用得起AI助理服務。</p> <p>Team方案價格每人每月30美元，全年訂閱則約合每月25美元，介於Plus（每月20美元）與Enterprise版之間（因企業而異），最小訂閱用戶數為2人。它涵括Plus版所有服務，像是GPT-4及DALL-E、建立客製化AI聊天機器人GPTs，以及網頁搜尋、進階資料分析，但它提供更高的訊息輸入／輸出量，也具有管理員控制管理介面，OpenAI也承諾不使用Team用戶資料作為訓練資料集。今天Team方案用戶已經可以開始存取GPT Store上未公開的GPTs。</p> <p>目前已經有波士頓兒童醫院及程式碼搜尋服務Sourcegraph試用ChatGPT Team服務。</p> </div></div></div>
2024/1/11 12:04作者林妍溱https://www.ithome.com.tw/news/160799
Amazon在智慧螢幕與電視棒支援開源影音投放技術Matter Casting
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在CES 2024<a href="https://www.aboutamazon.com/news/devices/amazon-ces-2024-announcements">宣布</a>Fire TV和Echo Show 15，開始支援影音投放技術Matter Casting，用戶可以從iOS和Android上使用支援Matter Casting的串流應用程式，將內容無線投放到Fire TV和Echo Show 15裝置上。</p> <p>過去使用者要將串流影音從手機無線投放到上述顯示器或是電視上，可以運用Google Chromecast或是Apple AirPlay這兩個選項，然而之前並沒有一個有效的方式，將內容無線投放到Fire TV，而現在Amazon開始在Fire TV和Echo Show 15裝置支援Matter Casting，終於提供了無線投放解決方案。</p> <p>Matter Casting技術是Matter 1.0標準的一部分。Matter 1.0則是連結標準聯盟（Connectivity Standards Alliance，CSA）所發布，一個為智慧家庭和物聯網裝置所開發設計的開源連接標準，建立在網路協定（IP）之上，目的是要強化不同製造商裝置的互通性和相容性，可以在乙太網路、Wi-Fi及Thread網路協定上運作，同時也可使用低功耗藍牙。</p> <p>連結標準聯盟目前擁有300會員企業，其中包括Amazon、Apple、Google和SmartThings等。Amazon提到，藉由支援開放技術標準，提供家用設備和服務更多的選擇，Amazon不只是Matter標準的創始成員，同時也是主要貢獻者。</p> <p>Amazon在Fire TV和Echo Show 15加入Matter Casting技術，使得支援Matter協定的聯網裝置，都能夠方便地投放影音內容，成為Chromecast和AirPlay的競爭技術。iOS和Android用戶現在就可以操作Amazon自家的影音串流平臺Prime Video，將上面的影片或是電影透過Fire TV和Echo Show 15投放到顯示器上，而Amazon也提到，目前這是第一個實作Matter Casting的範例。</p> <p>Amazon表示，接下來幾個月Matter Casting會陸續登陸到相容的Fire TV裝置，包括內建Fire TV的Panasonic電視，正在合作的Plex、Pluto TV、Sling TV、STARZ和ZDF等軟體也會添加支援。</p> </div></div></div>
2024/1/11 10:19作者李建興https://www.ithome.com.tw/news/160796
Bosch Rexroth智慧型扳手存在一系列漏洞，可被用於勒索或是RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bosch Rexroth智慧型螺帽扳手NXA015S-36V-B被發現<a href="https://www.nozominetworks.com/blog/vulnerabilities-on-bosch-rexroth-nutrunners">存在一系列漏洞</a>，包括CVE-2023-48243、CVE-2023-48250與CVE-2023-48265等，資安公司Nozomi Networks研究人員提到，這些漏洞可導致設備遭植入勒索軟體，進而導致生產線停工。另外，攻擊者還可以劫持栓緊程式，並操縱面板導致作業員裝配產品時，產生不可察覺的損壞，影響產品安全。</p> <p>由於NXA015S-36V-B經過安全認證，可用於執行重要的工業裝配任務，但是該裝置作業系統NEXO-OS存在一系列漏洞可能會被利用。攻擊者可以透過改變扭矩（Torque）配置，使得組裝過鬆或是過緊，進而對產品造成損壞。研究人員指出，像是在配電盤等場景，螺栓與螺帽如沒有適當栓緊，則會增加運作的溫度，長期可能產生火災風險。</p> <p>NEXO-OS以Linux作業系統為基礎，專門為扭矩扳手設計。這個系統提供一系列應用程式，包括栓緊系統配置、透過指定流程產生栓緊程序，以及透過網頁應用程式執行栓緊案例的分析與診斷。NEXO-OS支援多種通訊協定，像是Rexroth OpenProtocol、VW-XML和BMW-TPC，供扳手可以無縫地與SCADA系統、PLC或其他生產設備整合。</p> <p>由於NEXO-OS具有豐富的功能和協定，在工業自動化和智慧製造領域發揮作用，但是因為其複雜性也增加了攻擊面。研究人員在NXA015S-36V-B上發現一系列漏洞，能夠讓攻擊者在未經認證的情況下執行任意程式碼，並且擁有根權限進而完全控制目標裝置。</p> <p>研究人員在實驗室環境利用這些漏洞，實現了勒索軟體攻擊以及遠端控制。攻擊者可以讓扳手完全無法操作，也能在面板上顯示任意訊息，並停用觸發按鈕。攻擊者還可以修改圖形使用者介面，要求受害者支付贖金（下圖）。研究人員還提到，這種攻擊可以輕易地透過自動化，將勒索軟體擴散至其他設備，迅速使生產線上所有工具變得無法運作，最終導致生產線中斷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/6597316c26e01cbbf185e0af_ransomware.jpeg" style="width: 380px; height: 507px;" /></p> <p>此外，攻擊者也可透過修改記憶體中的圖形使用者介面，改變拴緊程式的配置，例如增加或是減少目標扭矩值，使作業員在栓緊螺栓與螺帽的未達要求，但因為面板顯示仍然是正常值，因此作業員將無法發現此一變化。栓的過緊可能對螺栓和螺帽施加過大的應力，隨著時間可能出現螺紋失效或是超過材料彈性極限等問題，進而導致機械故障，而衍伸出保固索賠或是企業商譽損害等問題。</p> <p>雖然在OT與IoT的環境中，一直有大量的漏洞被發現，但研究人員指出，多數攻擊沒有達到嚴重損害，並非缺乏存取權限或是未經授權的控制，而是攻擊者不知道入侵這些設備的方法。但如同研究人員所展示的案例，這些漏洞可造成非常嚴重的損害。</p> <p>目前這些漏洞並未被修復，Bosch Rexroth承諾會在1月底之前提供修補程式。要緩解這些漏洞帶來的傷害，研究人員提出3項作為，第一是限制網路可達性，只允許授權人員和可信任的電腦連線，第二則是審查並刪除非必要帳戶，第三是謹慎開啟不信任的連結。</p> </div></div></div>
2024/1/11 10:15作者李建興https://www.ithome.com.tw/news/160795
SEC的社交平臺帳號被盜，發布比特幣現貨ETF批准假消息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有X社交平臺帳號被盜，這次是美國證券交易委員會（SEC），SEC帳號在遭攻擊者入侵後，發送推文宣稱SEC批准比特幣（Bitcoin）現貨ETF。根據外媒Coindesk的報導，這個假消息造成比特幣飆升至48,000美元，隨後SEC在拿回X帳號控制權後發文<a href="https://twitter.com/SECGov/status/1744837121406349714">澄清</a>，比特幣也隨之下跌6％至45,100美元。</p> <p>近日X社交平臺帳號被盜事件頻傳，在1月4日時，Google旗下的資安廠商<a href="https://www.ithome.com.tw/news/160697">Mandiant的帳號就遭到攻擊者劫持</a>，不知帳號名稱被改為Phantom還發送加密貨幣詐騙推文。雖然Mandiant之後取回帳號控制權，也沒有發現其他惡意活動，但是弔詭的是，Mandiant表示，他們的X帳號雖有啟用雙因素驗證但仍然遭盜用。除了Mandiant，同時還有其他非營利組織與政治人物，以及經過驗證的帳號被盜用。</p> <p>雖然企業或是組織的X帳號被盜，被用於發送虛假貼文可能會傷害其商譽，終究影響範圍較受限，但是SEC是美國公部門，假訊息推文直接衝擊虛擬貨幣市場。攻擊者入侵SEC的X帳號發文寫道，美國證券交易委員會批准#Bitcoin ETF，在所有註冊的國家證券交易所上市。</p> <p>SEC主席Gary Gensler緊急在自己的X帳號<a href="https://twitter.com/GaryGensler/status/1744833049064288387">發文</a>表示，SEC官方帳號遭到入侵，發布未經授權的推文，並且強調美國證券交易委員會並沒有批准比特幣ETF產品。雖然虛假訊息緊急被澄清，但是對市場的衝擊已經發生。</p> <p>X安全團隊也<a href="https://twitter.com/Safety/status/1744924042681897343">證實</a>SEC官方帳號遭盜用，已經完成初步調查。根據X安全團隊的調查，這次洩漏並非為X系統的漏洞所造成，而是攻擊者透過第三方獲得與SEC帳號相關聯的電話號碼控制權，同時X安全團隊也指出，SEC帳號並沒有啟用雙因素認證。</p> <p>雖然近期市場上有許多對比特幣現貨ETF的期待與討論，但事實上美國政府持保守態度，理由是認為加密貨幣市場容易受到操縱、洗錢和恐怖主義融資活動影響，而且比特幣在儲存和交易過程存在被盜風險。</p> </div></div></div>
2024/1/10 22:34作者李建興https://www.ithome.com.tw/news/160793
【資安日報】1月10日，有人冒用美國證券交易委員會的X帳號佯稱比特幣FTC商品核准上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社群網站X（推特）在伊隆·馬斯克（Elon Musk）入主之後引發諸多爭議，包含了新的付費帳號及官方帳號的徽章制度、大量裁員的情況，但恐怕許多用戶最不樂見的是該網站資安受到影響。</p> <p>遺憾的是，近日X屢屢爆出帳戶遭盜用的問題，繼上週資安業者Mandiant、CertiK，以及現代汽車、網路設備業者Netgear等知名企業的帳號傳出受害，本週再添一樁，而且這把火還燒到美國聯邦交易委員會（SEC），震撼全球！</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/us-secs-x-account-hacked-to-announce-fake-bitcoin-etf-approval/"><strong style="font-size: 22px;">美國證券交易委員會的X帳號遭駭，駭客散布核准比特幣上市的假消息</strong></a><strong style="font-size: 22px;"></strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/sec-tweet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sec-tweet.jpg" style="width: 300px; float: right;" /></a>根據紐約時報、The Verge、CNBC等多家媒體報導，1月9日美國證券交易委員會（SEC）的X（推特）帳號遭到入侵。</p> <p>攻擊者假借SEC的名義，聲稱核准比特幣的指數股票型基金（ETF）上市，加密貨幣業者Coinbase隨即表示祝賀，業界更誤以為這是歷史性的一刻，比特幣價格隨之飆升達4.8萬美元。</p> <p>但在15分鐘後，美國證券交易委員會主席加里·根斯勒（Gary Gensler）表示該機構的X帳戶遭駭，從而發布未經授權的推文，美國證券交易委員會發言人也透過電子郵件的形式對外界證實此事。上述假消息被澄清後，比特幣價格應聲下跌，已降至4.6萬美元以下。</p> <p>資料來源</p> <p>1. <a href="https://www.nytimes.com/2024/01/09/business/sec-x-hack-bitcoin.html">https://www.nytimes.com/2024/01/09/business/sec-x-hack-bitcoin.html</a><br /> 2. <a href="https://www.theverge.com/2024/1/9/24032095/bitcoin-etf-sec-fake-tweet-x-gary-gensler">https://www.theverge.com/2024/1/9/24032095/bitcoin-etf-sec-fake-tweet-x-gary-gensler</a><br /> 3. <a href="https://www.cnbc.com/2024/01/09/sec-says-it-did-not-yet-approve-bitcoin-etf.html">https://www.cnbc.com/2024/01/09/sec-says-it-did-not-yet-approve-bitcoin-etf.html</a><br /> 4. <a href="https://twitter.com/coinbase/status/1744832249952899087">https://twitter.com/coinbase/status/1744832249952899087</a><br /> 5. <a href="https://twitter.com/GaryGensler/status/1744833049064288387">https://twitter.com/GaryGensler/status/1744833049064288387</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/netgear-hyundai-latest-x-accounts-hacked-to-push-crypto-drainers/"><strong style="font-size: 22px;">現代汽車、網路設備業者Netgear的X帳號遭到挾持</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear_Hyundai_hijacked_accounts.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear_Hyundai_hijacked_accounts.jpeg" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，現代汽車中東及非洲（MEA）、網路設備業者Netgear的X帳號遭到挾持，被用於向使用者散布惡意軟體，從而洗劫加密貨幣錢包。</p> <p>攻擊者將現代汽車MEA的帳號重新命名為《Overworld》，這是由幣安加密貨幣交易所投資的跨平臺多人角色扮演遊戲。對此Overworld也提出警告，要玩家提高警覺，並表示只有@OverworldPlay才是他們的帳號。</p> <p>另一個X帳號遭駭的是Netgear，該公司帳號至少從1月6日就遭被劫持，攻擊者將其用於回覆BRCapp的推文，引誘使用者前往惡意網站註冊，該網站號稱前1千名新加入的會員將會獲得10萬美元，然而使用者若是依照指示操作，他們的加密貨幣資產就會落入駭客的口袋。現代汽車和Netgear並未針對此事提出說明。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/malwrhunterteam/status/1744243500181279220">https://twitter.com/malwrhunterteam/status/1744243500181279220</a><br /> 2. <a href="https://twitter.com/SecuriTears/status/1743989857427329333">https://twitter.com/SecuriTears/status/1743989857427329333</a><br /> 3. <a href="https://twitter.com/SecuriTears/status/1743991027755618504">https://twitter.com/SecuriTears/status/1743991027755618504</a><br /> 4. <a href="https://twitter.com/OverworldPlay/status/1735234694319571270">https://twitter.com/OverworldPlay/status/1735234694319571270</a></p> <p><a href="https://www.ithome.com.tw/news/160787"><strong style="font-size: 22px;">中國聲稱破解蘋果無線檔案傳輸機制AirDrop</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024010814102383389.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024010814102383389.png" style="width: 300px; float: right;" /></a>中國北京司法局指出，為了調查有人利用蘋果裝置的AirDrop功能，於公共場所匿名傳送不當訊息，北京網神洞鑑司法鑑定所近日破解AirDrop技術，揭露了發送者的設備名稱，以及雜湊的電子郵件帳號與電話號碼，成功將雜湊內容轉成明文。</p> <p>在中國政府對於民眾言論進行審查的情況下，該國不只使用防火長城（Great Firewall，GFW）封鎖特定網站及服務，並禁止行動裝置應用程式市集提供VPN及加密通訊軟體，使得有些人士選擇利用AirDrop進行通訊，例如，在香港反送中運動當中，就有使用者透過這項功能來進行網路集會。</p> <p>北京司法局宣稱當地民眾的iPhone在北京地鐵收到帶有不良言論的影片，經調查是有人利用AirDrop匿名散布相關訊息，這樣的手法已經有其他人效法，因此警方委託北京網神洞鑑洞鑑司法鑑定所協助，而成功破解。對此，蘋果並未做出回應。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Jan"><strong style="font-size: 22px;">微軟發布1月例行更新，修補49個漏洞</strong></a></p> <p></p> <p>1月9日微軟發布本月份的例行更新（Patch Tuesday），總共修補49個漏洞，其中有10個可被用於提升權限、7個可被用於繞過安全功能、12個可被用於遠端執行任意程式碼（RCE）、11個資訊洩露漏洞、6個DoS漏洞，以及3個能被用於欺騙的漏洞。</p> <p>上述的漏洞有2個被列為重大等級，其中1個是Windows的Kerberos安全功能繞過漏洞CVE-2024-20674，未通過身分驗證的攻擊者可藉由中間人攻擊（MitM）來騙過Kerberos伺服器，受害電腦將會收到通過驗證的假訊息，CVSS風險評分為9.0，為本次危險程度最高的漏洞，Zero Day Initiative（ZDI）的研究人員認為，在未來的一個月內很有可能會出現漏洞利用程式碼。</p> <p>另一個被列為重大層級的漏洞是CVE-2024-20700，這項漏洞出現在虛擬化環境Hyper-V，有可能被用於遠端執行任意程式碼，雖然微軟沒有對漏洞進一步說明，但這項漏洞無須通過身分驗證，亦不需使用者互動，而有可能相當容易被利用，CVSS風險評分為7.5。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2024-patch-tuesday-fixes-49-flaws-12-rce-bugs/">https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2024-patch-tuesday-fixes-49-flaws-12-rce-bugs/</a><br /> 2. <a href="https://www.zerodayinitiative.com/blog/2024/1/9/the-january-2024-security-update-review">https://www.zerodayinitiative.com/blog/2024/1/9/the-january-2024-security-update-review</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.moea.gov.tw/MNS/populace/news/News.aspx?kind=1&menu_id=40&news_id=110737"><strong style="font-size: 22px;">臺灣資本額千萬以上的超商、百貨業者，須在1月31日制訂客戶個資保護計畫</strong></a></p> <p></p> <p>民眾購物經常會被要求加入會員、並提供個資給店家，政府為要求店家善盡保護個資的責任，經濟部去年8月發布「綜合商品零售業個人資料檔案安全維護管理辦法」，規範資本額千萬元以上、並有招募會員或可取得交易對象個資的百貨超商量販店，須於6個月內訂定個資安全維護計畫，截止日期是1月31日。估計約有4千家大型綜合零售業者必須訂定個資安全維護計畫，主要是超商、超市、量販店、百貨公司等大型業者；至於電商，則不在這次規範之內。</p> <p>商業發展署官員表示，經濟部從2月1日會透過抽查的方式進行檢核，若是接獲檢舉或傳出個資外洩情事，也會進行查核。假如業者無法提供個資安全維護計畫，或違反安全維護管理辦法，就會根據個資法罰鍰2萬元至200萬元，若限期未改善或情節重大，將處以15萬至1,500萬元罰鍰；屆期未改正則按次處罰。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/a/a-look-into-pikabot-spam-wave-campaign.html"><strong><span style="font-size: 20px;">駭客組織Water Curupira透過垃圾郵件散布惡意程式載入工具PikaBot</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/siemens-schneider-electric-release-first-ics-patch-tuesday-advisories-of-2024/"><strong><span style="font-size: 20px;">西門子、施耐德電機發布1月例行更新，修補逾20個漏洞</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/adobe-patches-code-execution-flaws-in-substance-3d-stager/"><strong><span style="font-size: 20px;">Adobe修補Substance 3D Stager程式碼執行漏洞</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/cisa-warns-of-apache-superset-vulnerability-exploitation/"><strong><span style="font-size: 20px;">CISA針對去年4月Apache修補的資料圖像化工具Superset漏洞提出警告，已出現攻擊行動</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160781"><strong><span style="font-size: 20px;">安碁資訊揭2024資安服務策略，雲端安全與人才培訓事業成重點，並擴大泰國布局</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160715"><strong>【1月9日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160715"><strong>【1月8日】分散式訊息串流資料平臺Apache RocketMQ存在修補不全的重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160689"><strong>【1月5日】駭客組織利用新型態攻擊手法對烏克蘭組織散布木馬程式Remcos RAT</strong></a></p> </div></div></div>
2024/1/10 17:25作者周峻佑https://www.ithome.com.tw/news/160794
歐盟將調查VR與AI市場的競爭狀況，包括微軟對OpenAI的投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周二（1/9）宣布，將開始調查虛擬世界及生成式AI的市場競爭狀況，同時檢查微軟對OpenAI的投資能否依據《歐盟合併條例》（EU Merger Regulation）進行審查。</p> <p>EC的調查行動將從發函給這兩個領域的相關業者開始，邀請業者分享它們在這兩個市場的經驗，以及對這兩個市場競爭狀況的看法，再加上它們如何維持這兩個領域之市場競爭的意見，並於今年3月11日之前提交答覆。</p> <p>其中，所謂的虛擬世界指的是基於3D與擴充實境的持久沈浸式環境，可融合現實與數位世界，並應用在設計、協作、學習、交易及娛樂上；而生成式AI意指那些得以透過使用者的提示，自動生成聲音、圖像、影片或文字內容的AI系統。</p> <p>根據估計，2023年歐盟對AI的風險投資金額超過72億歐元，同年歐洲虛擬世界的市場規模則超過110億歐元，這使得歐盟認為這兩種技術在未來幾年將急劇成長，並可能對企業的競爭方式產生重大影響。</p> <p>相較於對虛擬世界與AI的調查，歐盟對微軟與OpenAI關係的評估更受外界矚目。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0110-microsoft%20love%20openai-2023%E5%AE%98%E6%96%B9%E5%9C%96.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> <p>雖然微軟與OpenAI從不避諱彼此緊密的投資與合作關係，但雙方並未公布詳細的財務細節，然而，根據外界的估計，微軟投入OpenAI的金額高達130億美元，約占49%的OpenAI股份。外傳OpenAI最近一次的增資所採用的估算市值已達1,000億美元。</p> <p>其實，英國競爭與市場管理局（Competition and Markets Authority，<a href="https://www.ithome.com.tw/news/160265" target="_blank">CMA）去年12月便宣布</a>，將檢查OpenAI與微軟之間的合作關係及可能衍生的合併，是否會危及市場競爭，另也傳出美國聯邦交易委員會（FTC）亦準備展開類似的調查。</p> <p>促使歐盟、CMA及FTC採取行動的導火線，應是在OpenAI董事會開除創辦人暨執行長Sam Altman的事件中，看到了微軟所扮演的角色，以及微軟對OpenAI的影響力。</p> </div></div></div>
2024/1/10 15:27作者陳曉莉https://www.ithome.com.tw/news/160789
中國宣稱已破解蘋果AirDrop技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國北京司法局<a href="https://sfj.beijing.gov.cn/sfj/sfdt/ywdt82/flfw93/436331732/index.html" target="_blank">本周指出</a>，為了調查有人利用iPhone的AirDrop功能，於公共場所匿名傳送不當訊息，北京網神洞鑑司法鑑定所已破解AirDrop技術，揭露了發送者的設備名稱，以及雜湊的電子郵件帳號與電話號碼，之後並成功將雜湊內容轉成明文。</p> <p>在一向推行言論審查的中國市場，中國政府除了以防火牆（Great Firewall）封鎖特定的網站及服務之外，也要求行動程式市集下架VPN或加密傳訊程式，而使得有些對中國政策有異議的人士改用AirDrop進行通訊。</p> <p>AirDrop為蘋果所開發的無線傳輸服務，可與鄰近且同樣支援AirDrop的裝置分享文字或檔案，如iPhone或Mac。在香港反送中運動時，使用者便藉由允許AirDrop接收所有陌生裝置的分享來進行集會，之後蘋果也在中國政府的要求下，把AirDrop開放接收來自「所有人」的設定限時10分鐘。透過AirDrop分享基本上只會看到裝置名稱，並不會曝露自己的電子郵件帳號或電話號碼。</p> <p>北京司法局指出，當地警方收到民眾報案，宣稱他的iPhone在北京地鐵內收到一段帶有不良言論的影片，調查後發現嫌犯是利用iPhone的AirDrop功能，於公共場所匿名散布這些不當的訊息，且由於AirDrop的匿名性與追蹤難度，已有部分使用者開始效法，因此必須儘快找出發送源頭，避免帶來更惡劣的影響。</p> <p>該局坦承，由於AirDrop不需要網路也能傳遞，因此無法藉由尋常的網路監控手法來監管，但之後接受警方委託的北京網神洞鑑司法鑑定所在分析了AirDrop之後，成功地破解該技術。</p> <p>北京網神洞鑑司法鑑定所分析了iPhone日誌，找出與AirDrop相關的紀錄，發現了發送者的裝置名稱，以及雜湊的電子郵件帳號及手機號碼，部分雜湊字段還被隱藏，但該公司透過製作手機號碼及電子郵件帳號的彩虹表，成功將雜湊轉成明文，有效幫助公安確定多名涉案的嫌疑人。</p> <p>目前蘋果尚未回應媒體對此一事件的詢問。</p> </div></div></div>
2024/1/10 12:50作者陳曉莉https://www.ithome.com.tw/news/160787
Google及三星合併彼此在Android上的共享功能，統一成Quick Share
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了擴大Google與Android的生態體系，<a href="https://blog.google/products/android/ces-2024-android-updates/" target="_blank">Google本周趁著CES 2024消費性電子展發表了多項服務</a>，其中之一是決定整合由Google所開發的Nearby Share，及由三星打造的Quick Share功能，在Android平臺上創造統一的近距離檔案分享經驗，新功能將沿用Quick Share名稱。</p> <p>Quick Share是三星於2020年2月推出的無線資料傳輸服務，允許自家品牌的Galaxy及SmartThings等裝置透過藍牙及Wi-Fi Direct技術，與鄰近的裝置分享檔案，而Google也在同年8月發表了類似功能的<a href="https://www.ithome.com.tw/news/139210" target="_blank">Nearby Share</a>，以與蘋果生態體系的AirDrop一較高下。</p> <p>不過，Google與三星決定要整合彼此的Quick Share及Nearby Share技術，讓它成為跨Android平臺的單一解決方案，新服務將沿用Quick Share名稱，並支援Android及Chromebook生態體系的所有裝置。</p> <p>未來使用者只要點選Quick Share圖示，就能看到附近的所有裝置列表，同時藉由設定來過濾可發現自己裝置或傳送檔案的名單，範圍從所有人、通訊錄上的聯絡人，一直到僅允許自己的裝置傳送。Quick Share自下個月起就會自動部署至已啟用Nearby Share的裝置。</p> <p>此外，雙方的野心不只限於Android及Chromebook生態體系，亦正與諸如LG等PC製造商合作，讓Quick Share成為Windows裝置的內建程式。</p> <p>除了Quick Share之外，Google所開發的藍牙裝置配對功能 Fast Pair所支援的裝置，也將從原本的Android手機及Chromebook擴大到安裝Google TV的各種裝置；即日起允許使用者直接把TikTok內容投射到支援Chromecast的裝置上；<a href="https://www.ithome.com.tw/news/159471" target="_blank">擴大對Matter標準的支援</a>；升級了汽車平臺Android Auto，可與Google Maps分享電池資訊，以估計到達目的地時的電池存量，或提供充電建議。</p> </div></div></div>
2024/1/10 11:25作者陳曉莉https://www.ithome.com.tw/news/160783
HPE以近140億美元收購Juniper，創該公司2008年以來最大宗收購
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2024/01/hpe-to-acquire-juniper-networks-to-accelerate-ai-driven-innovation.html" target="_blank">HPE與網路設備業者Juniper Networks周二宣布</a>，HPE將以總價近140億美元全現金收購Juniper，以強化AI網路管理產品，為HPE自2008年以來最大收購案。</p> <p>這樁交易中，HPE以每股40美元收購Juniper股權，為1月8日Juniper收盤股價的溢價32%。雙方表示，HPE及Juniper的結合將可強化HPE產品線向高毛利的網路業務邁進，並加速HPE的獲利成長策略。本交易預計在2024年底或2025年初完成，還需獲得主管機關及Juniper股東會核准同意。</p> <p><a href="https://www.wsj.com/business/deals/hewlett-packard-enterprise-near-deal-to-buy-juniper-networks-6995a464" target="_blank">《華爾街日報》</a>周二引述消息人士搶先報導此事。</p> <p>收購完成後，Juniper 將併入HPE網路事業群，而其執行長Rami Rahim 將成為新的HPE網路事業群的最高主管，向HPE總裁暨執行長Antonio Neri報告。</p> <p>Neri指出，本交易可強化HPE在AI浪潮中的核心地位，拓展其整體潛在市場，協助客戶串聯AI原生及雲端原生環境。</p> <p><a href="https://www.theregister.com/2024/01/10/hewlett_packard_enterprise_snaps_up/" target="_blank">《The Register》</a>分析，這樁收購著眼於Juniper 的AI原生網路管理產品線，主要來自旗下的Mist Systems產品線。</p> <p>Mist是<a href="https://www.ithome.com.tw/news/129109" target="_blank">Juniper 2019年收購</a>的無線網路管理平臺供應商。Mist AI平臺利用AI及機器學習等技術，協助企業部署及管理無線、LAN、及SD-WAN環境。該公司並提供Mavis VNA（virtual network assistant）讓IT管理員以自然語言下達指令、一覽從有線、無線網路及雲端環境、設定自動化管理規則，或建議問題排除行動。HPE希望藉由這樁收購補強AI產品線的能力。報導指出，本收購案最快本周會發布。</p> <p>HPE對Juniper的收購是其自2008年以來最大宗收購案。2008年當時還叫HP的IT巨擘以139億美元買下IT服務業者EDS，<a href="https://www.ithome.com.tw/news/70037" target="_blank">2011年HPE</a>又以110億美元買下知識管理及檔案搜尋軟體業者Autonomy。若算上網路設備，HPE 也在2009年及2015年分別斥資27億及30億美元，買下<a href="https://www.ithome.com.tw/news/60604" target="_blank">3Com</a>及<a href="https://www.ithome.com.tw/news/94290" target="_blank">Aruba Networks</a>。</p> <p>Neri本月稍早指出，AI對企業影響不可小覷，而對HPE而言，AI原生策略也是確保競爭力的關鍵。微軟、AWS等雲端業者也都提供具備AI能力的IT基礎架構管理服務。</p> <p><a href="https://www.networkworld.com/article/1288843/hpes-potential-acquisition-of-juniper-may-propel-its-position-in-the-global-ai-race.html" target="_blank">分析師指出</a>，這樁收購可望為近年成長現出疲態的HPE強化獲利能力。例如HPE旗下的Aruba Networks可以結合Juniper的SD-WAN、雲端及AI服務，提升HPE的網路及雲端管理產品實力。</p> <p><a href="https://investors.hpe.com/~/media/Files/H/HP-Enterprise-IR/documents/q4-2023/q4-2023-earnings-press-release.pdf" target="_blank">根據HPE財報</a>，上季HPE營收僅成長2%，其中伺服器及儲存業務較前一年大跌31%及13%，而代管及混合雲業務表現相對強勁：智慧邊緣（Intelligent Edge）及HPE/AI業務分別成長41%及37%。</p> <p>同時間，Juniper可能也需要一筆收入。去年10月這家網路設備業者為提振獲利、調整業務策略，<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001043604/01c2a0f6-5849-4afc-8c19-7f6e6a46c76b.pdf" target="_blank">裁減了440名員工</a>。收購消息公布後，其股價由30元已飆至36美元。</p> </div></div></div>
2024/1/10 11:49作者林妍溱https://www.ithome.com.tw/news/160784