iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Fintech周報第228期：Line Pay將於26日登錄興櫃，公開說明書揭露未來技術發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">1/8~1/19金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術發展 </span></strong></span></p> <h3>Line Pay將於26日登錄興櫃，公開說明書揭露未來技術發展重點</h3> <p>Line Pay目前在臺灣已有1200萬用戶數，是全臺用戶數量最多的行動支付應用。近期，他們公布將在26日登錄興櫃，並將在23日舉行法說會。在他們公開說明書中，揭露了營收結構和未來規劃。其中，Line Pay在2022年投入的研發費用約為9,100萬元，主要為系統開發的人事成本。</p> <p>未來，Line Pay的技術發展重點包括，全方位與合作夥伴導入行動支付工具、強化卡片及帳戶等支付核心系統，發展支付周邊生態系，包括地圖服務、票券系統、點數系統和點數回饋卡系統等，也會強化商點管理及行銷體系，並持續發展資安及風管體系，降低行動支付風險。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NFC </span></strong></span></h3> <h3>Apple Pay承諾將提供NFC付款功能的API，開放第三方電子錢包使用NFC付款功能</h3> <p>2020年，歐盟執委會針對蘋果進行反壟斷調查，由於蘋果限制僅Apple Pay能使用其NFC技術，阻斷了第三方電子錢包業者在ios的業務發展。2022年，歐盟執委會表示，蘋果濫用其ios的獨占地位，限制開發者使用手機上的NFC技術，使第三方電子錢包無法和蘋果的Apple Pay競爭。</p> <p>近期，歐盟執委會發布聲明，表示蘋果已對此提出10年承諾，將提供電子錢包業者和支付服務商能在iphone上使用NFC付款的API。蘋果也承諾，可以讓用戶在iphone上更改預設的付款應用程式，並支援Face ID驗證。不過，這些承諾僅適用於在歐洲經濟區（EEA）註冊的IOS用戶，和在EEA設立的電子錢包業者，用戶可以在EEA以外的店家使用這些電子錢包進行消費。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> P2P支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> X </span></strong></span></h3> <h3>X宣布今年將發展P2P支付</h3> <p>原為Twitter的X在今年年度計畫指出，將推出P2P支付，解鎖更多用戶效益和新的商業機會。早在去年4月，伊隆·馬斯克收購Twitter後，他就曾喊出要將平臺打造為金融超級應用程式，如同中國的微信。去年底，X已經取得美國13個洲的支付許可證。</p> <p>根據X官方發布的數據，截至去年七月底，平臺上已有5.4億用戶數，大量的用戶數將有助於X進軍P2P領域。不過，儘管X挾帶大量用戶數，要進軍P2P領域，還需要面對激烈的競爭市場。目前美國共有4家業者主導P2P支付領域，分別為Zelle、Cash App，和PayPal旗下的Venmo。其中，Venmo擁有超過8500萬用戶數，Venmo約6800萬用戶數，Cash App則有5000萬用戶數。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 非接觸式支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 理索納金控 </span></strong></span></h3> <h3>理索納金控計畫研究新型態非接觸式支付，讓民眾在店內不須拿出手機也能完成付款</h3> <p>理索納金控（Resona Holdings）近期宣布，將以藍芽低功耗（BLE）和超寬頻（UWB）等技術研究新型態的非接觸式支付，當顧客走進店內時，系統自動連接顧客手機，顧客付費時不須從包包或口袋取出手機，也能完成身分驗證和付費。同時，他們也計畫發展通知功能，當顧客進入店面，系統可以根據顧客過去的購買紀錄，提供優惠券等顧客服務。</p> <p>理索納金控表示，他們在2023年進行系統建置研究，並準備開始BLE和UWB的POC驗證。今年，他們預計開始實施POC，並研究提供除了支付以外的服務。他們表示，這個研究將結合使用生物識別解決方案，提高生物特徵的認證速度和精準度，目標是簡化系統設計和操作流程。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行第三階段</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>開放銀行第三階段正式上路，開放5種業務種類，共計35項服務</h3> <p>金管會近期宣布，已核備完成銀行公會及財金公司所報的開放銀行第三階段相關規範，分別為自律規範和技術及資安標準。第三階段開放的業務種類涵蓋存款、信用卡、貸款、支付和手機門號轉帳，共計35個項目，目前已受理銀行業者申請。</p> <p>未來，銀行業者將有機會與TSP業者合作打造一站式支付、轉帳服務，促進更多業務整合及發展。不過，近期遠傳電信退出開放銀行第二階段，目前參與開放銀行第二階段的TSP業者僅剩集保公司。金管會表示，待銀行公會與財金公司將相關規範轉交給所有銀行會員後，會再進一步了解業者參與第三階段的意願。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行第三階段</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局 </span></strong></span></h3> <h3>開放銀行第三階段案例參考：香港金管局建構「轉數快」，提供跨行轉帳、支付功能，還支援港元及人民幣即時支付</h3> <p>金管會曾提及臺灣開放銀行政策是參考香港和新加坡作法，而香港的開放銀行支付轉帳功能，主要由政府主導應用程式開發。香港金管局在2018年和香港銀行同業結算公司合作，推出快速支付系統「轉數快」，提供全香港的銀行和電子錢包業者互通資金的平臺，消費者可以進行跨行或跨錢包的即時轉帳，開放給個人支付、企業支付和電商支付，還支援港元及人民幣轉帳。以個人支付而言，使用者只要在轉數快App中輸入對方的手機號碼和轉帳金額，就能完成轉帳。</p> <p>轉數快可以讓同一支手機或電子郵件可以綁定多個銀行帳號和電子錢包。使用者只要在銀行或電子錢包的App上，登記手機號碼、電子郵件或銀行提供的特定編號，就可以完成綁定。根據香港金管局公布的資料，目前已有26間銀行加入開放銀行的支付、轉帳功能。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術人才 </span></strong></span></h3> <h3>桑坦德銀行招募超過4,500位技術人員，支持全球核心系統上雲計畫</h3> <p>西班牙桑坦德銀行在去年底才宣布要在2024年底完成全球核心系統上雲，近期，他們揭露目前已招募超過4500位技術人員支援這項集團轉型計畫。2022年底，桑坦德銀行在西班牙和波蘭設立兩個技術中心，雇用約1,400位涵蓋科學、數學、技術和工程人員，支援集團的業務部門。目前，桑坦德銀行在全球已擁有27500位理工背景的專業人員。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國郵局 </span></strong></span></h3> <h3>英國郵局終止上雲計畫，損失超過臺幣12億元</h3> <p>2022年，英國郵局宣布將啟動上雲計畫，要將包含Horizon系統在內的技術平臺上雲。不過，近期英國郵局在2023年度報告中揭露，已停止系統上雲的計畫，且因計畫中止，損失了3,100萬英鎊，相當於臺幣12億元。</p> <p>Horizon系統曾引發英國郵局一連串醜聞。英國郵局自1999年導入由富士通開發的Horizon會計系統，由於系統錯誤紀載財務資料，造成帳面短缺，多達700位職員被郵局起訴詐欺、竊盜等罪名，部分職員因而入獄。而後在2018年，英國郵局才坦承是Horizon系統失誤，讓93名職員沈冤得雪。這起事件近期被翻拍成影劇並開播，引起英國大眾再度關注，目前還有數百人的官司正在進行。</p> <p>英國郵局曾在2022年打算開發新的系統取代Horizon，他們當時強調會以平行的方式執行計畫，在開發新技術的同時，仍會持續使用舊系統，確保服務不中斷。如今計畫失敗，英國郵局也已經與富士通簽定系統延期使用合約，至少到2025年3月還會使用這套系統。目前英國郵局尚未出面說明上雲計畫失敗的具體原因。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 比特幣現貨ETF</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國SEC </span></strong></span></h3> <h3>美國證券交易委員會正式批准比特幣現貨ETF，首日交易量達46億美元</h3> <p>美國證券交易委員會（SEC）正式宣布，已批准包含比特幣現貨ETF的交易所交易產品（ETP）上市與交易。11支比特幣現貨ETF已在1月11日開放交易，根據《路透社》報導，首日交易量達46億美元。</p> <p>美國市場過往有數款比特幣的期貨ETF，但期貨ETF交易的是未來比特幣價格，現貨ETF與比特幣現值更密切，等同讓民眾不須購買比特幣，也能參與比特幣投資市場。不過，SEC主席Gary Gensler也表示，就算SEC批准了比特幣的現貨ETF產品，也不代表SEC歡迎或認同比特幣，投資人仍應謹慎對待比特幣與其它加密貨幣相關產品的各種風險。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 趨勢發展</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chris Skinner </span></strong></span></h3> <h3>金融科技趨勢大師提出銀行發展的四個關鍵要點</h3> <p>金融科技趨勢大師Chris Skinner近日發布一篇文章，提出他對銀行未來發展的四個關鍵要點，分別是即時性、生活管理、篩選和合作、數位資產管理。他預測未來年金產品將會逐漸失去競爭力，以年利率計算的產品也包括在內，因為人們已經可以即時計算保費和產品金額，以一年為單位計算的商品不再符合顧客需求。</p> <p>過往金融業者關注抵押貸款、支付和借貸服務，未來業者提供服務時，應該提供完整的生活管理解決方案，例如協助顧客建立家庭、篩選搬家公司、購買合適家具等服務。為了整合生活管理服務，銀行業者篩選多個提供API的合作夥伴，並透過雲端服務與供應商合作，提升客戶體驗。未來，金融機構也要進一步發展數位資產，因為越來越多顧客需要可信賴的數位資產託管服務。</p> <p>其他Fintech新聞：</p> <ul> <li>金管會公佈第二屆永續金融評鑑指標，擴大受評機構範圍，將年輕客群納入公平待客關注族群</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／Line pay</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年1月</p> <p></p> </div></div></div>
2024/1/22 16:44作者李昀璇https://www.ithome.com.tw/news/160950
【資安週報】2024年1月15日到1月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞利用威脅情形，有兩個新事件需要特別留意，一是Citrix NetScaler設備管理介面存在零時差漏洞，包括CVE-2023-6548、CVE-2023-6549，已被用於攻擊行動；另一是Google修補Chrome的V8 JavaScript引擎的<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-0519">CVE-2024-0519漏洞</a>，同樣已遭成功利用。</p> <p>還有兩個已知漏洞遭利用的狀況，包括：Laravel網頁應用程式框架在2018年修補的已知漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2018-15133">CVE-2018-15133</a>，另一個是這段期間資安日報未報導的漏洞<a href="http://nvd.nist.gov/vuln/detail/CVE-2023-35082">CVE-2023-35082</a>，這個弱點存在行動裝置管理平臺MobileIron Core，以及EPMM。特別的是，關於上述鎖定Laravel的攻擊，我們從美國FBI與CISA近期近期的示警，可以發現是惡意程式Androxgh0st的攻擊行動所為。</p> <p>還有多家業者發布漏洞修補公告，需要企業採取行動，包括Oracle第1季例行安全更新發布，Atlassian修補Confluence的漏洞，GitLab修補零點擊帳號劫持漏洞，以及Juniper修補防火牆及交換器重大漏洞。</p> <p>在國內資安消息方面，近日有多家上市櫃公司發布資安事件重大訊息，而且短短一週之內，居然發生三起的情況，格外引人注目。我們整理如下：</p> <p>（一）上市半導體設備業京鼎精密在1月16日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（二）上市印刷電路板廠恩德科技在1月17日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（三）上市運動休閒業者<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171732&SPOKE_DATE=20240119&COMPANY_ID=8462">柏文健康事業在1月19日公告</a>，說明旗下「健身工廠」會員個資遭駭客竊取。本期資安日報尚未提及，在此補上。</p> <p>值得關注的是，京鼎精密發生2024年首起上市櫃資安事件，而且狀況相當特別，因為駭客的勒索訊息，還藉由竄改京鼎公司的網站於16日上午公諸於外，行徑非常囂張。</p> <p>關於健身工廠會員個資遭竊，他們的公告這方面消息的時機有爭議，因為他們載明的事實發生日是去年7月30日，但竟然等到2024年1月才曝光，這顯然違反「應於資安事件發生次一營業日開盤前2小時公告」，而且拖延幾乎長達半年時間。依照先前資料外洩的公司諾貝兒遭到主管機關開罰的經驗，金管會應同樣會對此祭出處分。</p> <p>另一家同樣在去年11月遭到網路駭客攻擊的雄獅，交通部在<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193507&SPOKE_DATE=20240117&COMPANY_ID=2731">1月17日依違反個人資料保護法第27條第1項，開罰200萬元</a>。</p> <p>還有一項值得警惕的事件，是KKday前員工跳槽對手Klook所涉的外洩營業機密案，最近調查局資安工作站更詳細說明其手法與事發過程，包括利用未修改的預設密碼、不法登入KKday系統等，並起訴涉案3人。</p> <p>在資安威脅焦點方面，近期鎖定蘋果電腦、Docker主機的惡意軟體，引發研究人員重視。他們的研究對象是3款針對macOS的竊資軟體，包括KeySteal、Atomic Stealer、CherryPie，經過調查分析之後，他們指出這類惡意程式普遍具有繞過作業系統內建XProtect的能力；近期有攻擊者鎖定易受攻擊的Docker主機部署惡意容器，當中使用了網路流量交換軟體9hits盜取流量，相當罕見。</p> <p>最後，還有兩個涉及GPU與UEFI的漏洞揭露，都是去年夏天已經通報、如今分別有資安業者對外揭露相關細節，並指出問題所在。</p> <p>例如，被命名為LeftoverLocals的漏洞CVE-2023-4969，影響蘋果、AMD、高通的GPU產品。研究人員重點提醒，如WebGPU的許多GPU框架，存在著未充分隔離記憶體的狀況；UEFI開源參考實現TianoCore EDK II存在9個漏洞，統稱為PixieFAIL，研究人員並指出，其他廠商的UEFI解決方案也受波及，包括Arm、系微（Insyde）、AMI、Phoenix Technologie與微軟。由於廠商們的修補時程未定，不確定是否修補相當棘手。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160839"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</span></strong></a></h3> <p style="margin: 0px;">使用者若是忘記密碼，透過電子郵件來重設是相當常見的做法，但這樣的機制若是不夠嚴謹，很有可能遭到濫用，而成為攻擊者奪取帳號的管道。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">例如，近期GitLab修補的CVE-2023-7028，就是這樣的例子。起因是開發團隊在今年5月引入新的機制，不再限制只能使用主要的電子郵件信箱來二次驗證用戶身分，而產生了漏洞。對此，他們也新增額外的測試機制，來檢驗密碼重設的流程是否存在瑕疵，來防範類似弱點再度出現。</p> <h3><a href="https://www.ithome.com.tw/news/160854"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</span></strong></a></h3> <p style="margin: 0px;">臺灣廠商遭遇網路攻擊的情況不時傳出，但最近出現一起資安事故相當特別，駭客竄改該公司的網站，宣稱竊得大量的資料，並揚言若不付錢，將公布所有客戶資料，並讓該公司員工失業。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">今日鴻海旗下的半導體設備廠京鼎的網站出現遭到竄改的情況，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊，仍有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/160870"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</span></strong></a></p> <p style="margin: 0px;">存在弱點的程式碼一旦重複利用，很有可能造成類似的漏洞不斷出現，駭客可能得以多次挖掘這類弱點，將其用於攻擊。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">最近有研究人員針對SonicWall防火牆已有概念性驗證程式的已知漏洞進行調查，結果發現，另一個1年前公開的漏洞因為也採用相同的程式碼，而具有類似的弱點，依此情況來看，其他採用這部分程式碼的功能模組也會曝險，而有可能導致其危害擴大。</p> <h3><a href="https://www.ithome.com.tw/news/160906"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</span></strong></a></h3> <p style="margin: 0px;">最近2、3年竊資軟體（Infostealer）肆虐，駭客從原本針對Windows電腦下手，也將部分目標轉向macOS電腦，針對該作業系統打造的竊資軟體，在過去一年更是不斷出現攻擊行動。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">如今有研究人員提出警告，攻擊者鎖定macOS內建的防護功能，企圖避開偵測，而其中1種遭到頻頻闖關成功的就是防惡意軟體機制XProtect，企圖打造其特徵碼無法識別的竊資軟體來隱匿行蹤。</p> <h3><a href="https://www.ithome.com.tw/news/160924"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月19日】針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手</span></strong></a></h3> <p style="margin: 0px;">針對缺乏資安防護的連網家電發動攻擊的情況，最近2年不斷傳出，去年9月就傳出一起鎖定安卓電視盒的攻擊行動，最近有研究人員公布新的發現，他們指出其攻擊對象較先前公布的更廣泛。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據他們的調查，駭客從9年前就開始從事相關攻擊行動，並且不光針對執行安卓作業系統的電視盒，對於搭載這類作業系統的智慧電視、另一種作業系統eCos的電視盒，也是他們下手的標的。</p> </div></div></div>
2024/1/22 09:38作者羅正漢https://www.ithome.com.tw/news/160940
去年資安新創風險投資創下5年來新低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供新創公司資料庫的<a href="https://news.crunchbase.com/cybersecurity/funding-drops-eoy-2023/" target="_blank">Crunchbase近日指出</a>，2023年創投業者總計執行了692項投資予資安新創，總金額為82億美元，是2018年以來的新低，只有2021年的1/3，也只有2022年的一半。2021年正是全球資安最風生水起的一年，當年資安新創的融資總額達超過230億美元，2022年則是163億美元。</p> <p>YL Ventures資深合夥人Ofer Schreiber認為，去年的現象應是2021年所帶來的後果，當年市場的資金很充裕，資安新創的估值過於膨脹，再加上融資輪次創紀錄，才讓投資人在去年變得益發謹慎。</p> <p>2021年造成的影響餘波盪漾，那時過高的估值使得這些資安新創迄今仍在苦苦證明自己的價值，以繼續融資或企圖出售，但同一時間它們也明白必須依據市場需求，更負責任地奠定基礎。</p> <p>不過，絕大多數的創投業者都同意投資人對資安領域還抱持著高度興趣，因為全球網路攻擊的頻率與複雜度不斷地升級，經濟危機則進一步加劇了此一情況，促使政府或企業不得不正視，而編列更多的預算來抵禦攻擊。</p> </div></div></div>
2024/1/22 14:18作者陳曉莉https://www.ithome.com.tw/news/160946
俄羅斯駭客以密碼潑灑攻擊入侵微軟測試帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/blog/2024/01/microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/" target="_blank">微軟上周揭露</a>，俄羅斯駭客組織Midnight Blizzard透過密碼潑灑（Password Spray）攻擊入侵了微軟一個舊版且未用於生產的測試租戶帳號，繼之利用該帳號的權限存取了多名員工的電子郵件帳號，目前並未有證據顯示駭客可存取客戶或其它微軟環境。</p> <p>密碼潑灑攻擊指的是駭客利用同一組密碼不斷地測試能否進入不同的帳號，屬於暴力破解攻擊的一種。Midnight Blizzard是在2023年11月以此成功入侵了一個微軟測試租戶帳號，再利用該帳號的權限以存取微軟的企業電子郵件帳號。</p> <p>微軟並未公布有多少電子郵件帳號被存取，僅說比例很低，這些遭到入侵的郵件帳號涉及資安、法務與其它部門的員工與高階主管，駭客汲取了當中許多的郵件與附加檔案。微軟的調查顯示，Midnight Blizzard鎖定的是微軟內部與Midnight Blizzard有關的資訊。</p> <p>此外，微軟強調相關攻擊並非源自於微軟產品或服務的安全漏洞，且迄今並無任何證據表明駭客得以存取客戶環境、生產環境、原始碼或是AI系統。</p> <p>此次的經驗令微軟決定變更安全及業務風險之間的平衡線，以因應擁有豐沛資源的國家級駭客，將立即把現有的安全標準部署至微軟自家的老舊系統與內部商業程序，不論這些更改是否會中斷目前的業務流程，並接受它可能會帶來一定程度的破壞。</p> </div></div></div>
2024/1/22 14:39作者陳曉莉https://www.ithome.com.tw/news/160947
【資安日報】1月22日，微軟坦承遭到俄羅斯駭客組織入侵並挖掘高階主管電子郵件的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上週五坦承遭遇俄羅斯駭客APT29的攻擊，2個月前駭客成功入侵其內部環境收集情報，直到一個禮拜前才被發現並予以阻止。</p> <p>國家級駭客組織鎖定該公司下手的情況，已非首例。半年前<a href="https://www.ithome.com.tw/news/158631">微軟針對中國駭客Storm-0558攻擊行動進行說明</a>，對方自5月中旬濫用微軟帳號（MSA）的簽章金鑰，挾持約25個組織的電子郵件帳號，這些駭客取得MSA的管道，就是挾持了微軟工程師的帳號而能得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-stole-microsoft-corporate-emails-in-month-long-breach/"><strong style="font-size: 22px;">微軟坦承遭到俄羅斯駭客APT29入侵，部分高階主管電子郵件信箱資料外流</strong></a></p> <p>最近幾年微軟揭露不少針對旗下Microsoft 365的網路釣魚攻擊行動，駭客鎖定該公司提供的電子郵件服務下手，但最近出現該公司內部的電子郵件信箱遭駭的情形。</p> <p>1月19日微軟證實，他們的安全團隊在1月12日偵測到國家級駭客的攻擊行動，這些駭客約從2023年11月下旬，透過密碼噴濺攻擊（password spray）的手法，破壞非生產環境、用於測試的租戶帳號，從而於微軟內部網路環境立足，並存取少部分的公司電子郵件信箱，這些帳號的所有者，包含了資深管理層的成員，以及負責資安及法律等業務的員工。部分電子郵件及其中挾帶的文件，也遭到外流。</p> <p>而對於攻擊者的身分，該公司指出是俄羅斯駭客組織APT29（亦稱Nobelium、Midnight Blizzard），對方的目的是透過電子郵件了解該公司調查該組織的情形。微軟強調，這起攻擊行動並非旗下產品或服務弱點造成，亦尚未發現攻擊者能存取客戶環境、生產系統、原始碼、人工智慧系統的跡象。對於這起資安事故對營運造成的衝擊，根據該公司向美國證券交易委員會（SEC）提交的8-K表單中指出，並未對公司營運產生重大影響。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/blog/2024/01/microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/">https://msrc.microsoft.com/blog/2024/01/microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/</a><br /> 2. <a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/789019/000119312524011295/d708866d8k.htm">https://www.sec.gov/ix?doc=/Archives/edgar/data/789019/000119312524011295/d708866d8k.htm</a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/01/17/new-ttps-observed-in-mint-sandstorm-campaign-targeting-high-profile-individuals-at-universities-and-research-orgs/"><strong style="font-size: 22px;">伊朗駭客Charming Kitten鎖定歐美大學、研究機構，散布惡意程式MediaPl</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-1_Intrusion-chain-leading-to-backdoors-observed-in-the-ongoing-Mint-Sandstorm-campaign.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-1_Intrusion-chain-leading-to-backdoors-observed-in-the-ongoing-Mint-Sandstorm-campaign.png" style="width: 300px; float: right;" /></a>微軟揭露伊朗駭客組織Charming Kitten（亦稱Mint Sandstorm）旗下人士自2023年11月發起的網路攻擊行動，範圍涵蓋比利時、法國、加薩、以色列、英國、美國的大專院校和研究機構，並且鎖定從事中東事務的人士下手，對方試圖透過社交工程引誘目標下載惡意檔案，在部分攻擊行動當中，他們發現駭客使用名為MediaPl的後門程式。</p> <p>駭客偽裝成名人，其中包括知名媒體的記者發送看似無害的電子郵件，聲稱要徵求收信人對於以哈衝突文章的看法，企圖與目標人士建立信任關係，待時機成熟再伺機傳送惡意內容。假如收信人同意閱讀電子郵件引述的文章內容，對方便會接著佯稱提供草稿檔案的名義，寄送另一封含有惡意網域的信件，收信人若是依照指示操作，將會連到寄放RAR壓縮檔的網域下載檔案，其內容含有偽裝成PDF文件的Windows捷徑檔（LNK），啟動後電腦將會執行curl指令，從攻擊者控制的特定網域下載一系列惡意檔案，當中有數個VBS指令碼及命令列工具NirCmd。</p> <p>在部分攻擊行動裡，這些駭客會在受害電腦植入MediaPl、MischiefTut等後門程式，其中，攻擊者將MediaPl偽裝影音播放程式Windows Media Player元件，並與Windows Photo看圖程式互動，透過特定圖檔取得C2資訊，然後使用AES CBC加密、Base64演算法處理的流量進行通訊。另一個後門程式，則是以PowerShell打造，能執行偵察指令，並將輸出結果寫入純文字檔案。此外，該後門程式也能讓攻擊者下載額外工具到受害電腦。</p> <p><a href="https://blog.google/threat-analysis-group/google-tag-coldriver-russian-phishing-malware/"><strong style="font-size: 22px;">俄羅斯駭客Cold River假借提供加密的PDF文件，散布後門程式Spica</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/encrypted_pdf_lure_width-1000_fo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/encrypted_pdf_lure_width-1000_fo.png" style="width: 300px; float: right;" /></a>Google旗下的威脅分析小組（TAG）指出，別名為Seaborgium、TA446的俄羅斯駭客組織Cold River，近期的網路釣魚攻擊行動出現新的手法，有別於過往的目的是要騙取受害者的帳密資料，現在這些駭客試圖散布名為Spica的後門程式。</p> <p>研究人員看到這些駭客採用假冒的身分與目標人士建立關係，然後以徵求文章意見為由，傳送宣稱是即將發表的專欄文章PDF檔案，然而目標人士打開收到的PDF檔案，會看到文字遭到加密，此時對方就會提供雲端檔案的連結，聲稱提供解密工具，但實際上是Spica，一旦下載、執行，電腦就可能遭到駭客控制。</p> <p>此後門程式以Rust打造而成，可用於執行Shell命令，並能竊取瀏覽器的Cookie、上傳或下載檔案、列出電腦檔案內容、盜取指定檔案。研究人員推測，駭客使用該後門程式的時間，最早可追溯至2022年11月。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/103379/000119312524010243/d641969d8ka.htm"><strong style="font-size: 22px;">大型服飾集團VF Corp去年遭到入侵，逾3,500萬客戶個資被盜</strong></a></p> <p>旗下擁有VANS、Jansport、NorthFace、Timberland等十多個知名服飾品牌的威富集團VF Corporation（VFC），12下旬證實因IT系統遭到未經授權存取，導致業務營運受到影響、部分資料外洩，上週透露更多細節。</p> <p>1月18日VFC向美國證券交易委員會（SEC）提交8-K/A文件二度進行說明，當中提及該集團經營的零售門市、電商網站、物流中心的運作都遭到波及，而在總部關閉特定系統後，門市的庫存、補貨資訊中斷，訂單無法如期交貨，某些批發訂單出貨延遲，導致部分企業客戶及消費者取消訂單，部分電商網站訂單量下滑，但對公司財務影響並不顯著。</p> <p>另一方面，該公司也透露資料外洩的範圍，他們估計約有近3,550萬名客戶個資外流，但不包含社會安全碼、銀行帳號、信用卡資訊，且尚未發現駭客取得客戶密碼的情況，不過，該集團並未透露駭客取得那些個資。</p> <p><a href="https://www.troyhunt.com/inside-the-massive-naz-api-credential-stuffing-list/"><strong style="font-size: 22px;">密碼外洩查詢網站Have I Been Pwned揭露大型個資外洩資料庫，內含逾7千萬筆電子郵件帳號、1億個密碼</strong></a></p> <p>外洩密碼查詢資料庫網站Have I Been Pwned（HIBP）近期取得大量的帳密資料庫Naz.API，內含70,840,771筆電子郵件帳號、1億組密碼，HIBP個人訂閱者受到影響。這批資料共有319個檔案，大小為104 GB。</p> <p>經營該網站的Troy Hunt指出，經過他們的比對，約有65%帳號已在HIBP的資料庫，35%是新的外洩資料，其中，此資安專家也有2011年前使用過的密碼被收錄其中。值得留意的是，這批資料原先是在2023年9月於駭客論壇上兜售，賣家宣稱資料透過竊資軟體（Infostealer）取得，但Troy Hunt指出事實不完全是如此，並非所有資料都是惡意程式竊得，且有些帳密資料已存在相當長的時間。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-011-03"><strong><span style="font-size: 20px;">CISA針對開源工控自動化平臺Rapid SCADA弱點提出警告</span></strong></a></p> <p><a href="https://www.jamf.com/blog/jtl-malware-pirated-applications/"><strong><span style="font-size: 20px;">鎖定蘋果電腦的後門程式透過中國盜版網站代管、散布</span></strong></a></p> <p><strong><a href="https://asec.ahnlab.com/en/60270/"><span style="font-size: 20px;">木馬程式Remcos RAT假借色情電玩遊戲散布</span></a></strong></p> <p><a href="https://www.chainalysis.com/blog/2024-crypto-crime-report-introduction/"><strong><span style="font-size: 20px;">穩定幣成網路罪犯偏好用於非法活動的加密貨幣</span></strong></a></p> <p><a href="https://news.crunchbase.com/cybersecurity/funding-drops-eoy-2023/"><strong><span style="font-size: 20px;">2023年資安新創融資較2022年砍半，創近5年新低</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160924"><strong>【1月19日】針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160906"><strong>【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160870"><strong>【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</strong></a></p> </div></div></div>
2024/1/22 10:32作者周峻佑https://www.ithome.com.tw/news/160941
蘋果Vision Pro開始接受預購，2月2日出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果VR/AR頭戴裝置Vision Pro上周五晚間9:00正式<a href="https://www.apple.com/apple-vision-pro/" target="_blank">在美開放預購</a>，預定2月2日出貨。</p> <p>Vision Pro專頁臺北時間上周五<a href="https://www.apple.com/apple-vision-pro/specs/" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">公布價格、配置，以及詳細規格</a>。這個VR/AR頭戴裝置依記憶體分有三種規格。最低的是搭載256GB，3,499美元。其次分別是512GB版/3,699美元及1TB/3,899美元。</p> <p>Vision Pro主要硬體規格為M2晶片及8核CPU（4效能核心及4省電核心）、10 核心GPU、16核心神經網路引擎及16GB整合記憶體。記憶體頻寬256GB/s的R1晶片提供僅12毫秒的延遲性效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-M2%20R1%20chip-600(1).png" style="width: 600px;" /></p> <p>Vision Pro相機包含一個3D立體主系統，提供650萬畫素的立體影像。視覺感測器包含2個高解析度主攝影機、4個追蹤眼球的相機、6顆外向式攝影機、一個TruDepth相機及虹膜辨識器。聲音方面，則有6顆指向性麥克風陣列提供波束成型（beamforming），以及空間音效（Spatial Audio）、音頻射線追蹤（audio ray tracking）、H2 to H2 低延遲性技術。此外還有閃爍感測器及環境光感測器、光達、以及Wi-Fi 6和 Bluetooth 5.3支援，可連結AirPods Pro 2。</p> <p>透過視覺、聽覺感測器，Vision Pro可支援語音、手勢控制及眼球控制，但也支援以遊戲控制器、鍵盤及觸控板輸入。用戶除了在頭戴顯示器上看影片、文件或執行AR/VR應用，也能以AirPlay將Vision Pro影像映射到支援的外接裝置，包括iPhone、iPad、Mac、Apple TV、AirPlay‑enabled 智慧電視使用。</p> <p>Vision Pro提供二種蔡司鏡片選擇，一是99美元的Readers鏡片，或是149美元的處方近視鏡片。</p> <p>電池方面，Vision Pro在「一般使用」下可運作2小時，看影片則可用2.5小時。裝置使用中也能充電。視Light Seal及頭帶而定，全機身重為600到650公克之間，不包含電池的353公克。</p> <p>消費者下單前，須利用蘋果Camera的臉部辨識功能來量測用戶頭圍及臉部寬度，決定Light Seal及頭帶尺寸。而搭配的蔡司鏡片則可選擇無度數的Reader鏡片或需要處方的近視／遠視鏡片（分別為99美元及149美元）。若利用Apple Card購買還可獲得3%現金回饋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-%20Apple%20Vision%20Pro-600(2).png" style="width: 600px;" /></p> <p>價格高達3,500美元，但仍然引發不少蘋果粉絲下單。知名分析師<a href="https://twitter.com/mingchikuo/status/1745518174169391275?s=20" target="_blank">郭明錤預測</a>憑藉劃時代的技術創新所創造的用戶體驗，Vision Pro只會備貨6萬到8萬臺，開賣後可能很快會售罄。</p> <p>果不其然，根據<a href="https://www.notebookcheck.net/Apple-Vision-Pro-failed-to-sell-out-on-launch-day.795289.0.html" target="_blank">《Notebookcheck》</a>報導，較早下單的消費者還可在本地零售店取貨，周日再下單者只能等待5、6個星期才拿得到貨。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/1/22 10:34作者林妍溱https://www.ithome.com.tw/news/160942
Amazon改造Alexa計畫6月收費，但傳出內部意見分歧
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/amazon-paid-alexa-plus-service-issues-2024-1" target="_blank">《Business Insiders》</a>報導，Amazon為語音助理Alexa加入AI功能改造，並計畫推出付費版Alexa Plus，不過傳出開發團隊為此內部意見分歧。</p> <p>10年前論及AI語音助理，首推Amazon Alexa。不過在微軟、Google相繼投入生成式AI科技挹注開發後，Alexa已經遠遠落後。去年Amazon改組Alexa研發部門，試圖以AI改造，好追趕競爭者，最新的計畫是推出收費方案。</p> <p>《BI》報導，新開發的服務暫名為Alexa Plus，預計6月30日推出，開發團隊目前卻發生因收費問題出現歧見，可能導致上線時程延宕。爭吵的原因是一派人認為，目前版本還存在太多AI幻覺及效能問題。</p> <p>Amazon目前有1.5萬名客戶正在測試其代號Remarkable Alexa的底層技術。報導引述員工說法指出，Remarkable AI對話能力還不錯，但執行其他任務的能力卻很差。例如它可以侃侃而談，內容卻錯誤百出，也無法回應需要多種服務的複雜問題。此外，新Alexa需Amazon技術及基礎架構重大變更，令資深員工不滿，迫使Amazon保留原有技術，卻導致Remarkable Alexa過於腫脹無法使用。有一些員工對收費沒信心，他們認為不會有人願意付費。</p> <p>近年許多Amazon服務都開始收取月費，像是Prime或有聲書服務Audible等。但Amazon希望開始對Alexa服務收費並不意外。Alexa現有用戶7,500萬，但開發Alexa是很燒錢的業務，多次嘗試獲利方案的Alexa屢屢失敗，未能為Amazon帶進實質營收，<a href="https://www.ithome.com.tw/news/154335" target="_blank">據傳</a>虧損上百億美元，接任的執行長Andy Jassy失去耐性。去年Amazon裁員大刀揮向Echo和Alexa部門，<a href="https://www.ithome.com.tw/news/158265" target="_blank">8月間媒體報導</a>，開發Alexa的消費硬體部門主管下臺，新上任的主管Rohit Prasad將同時掌管AI及LLM，率領以AI改造Alexa。</p> <p>不只是Amazon、OpenAI、Stability AI、Anthropic這些新創，連微軟都推出企業版、部門版或個人版AI聊天機器人收費方案，如ChatGPT Plus/Team/Enterprise、或是Copilot Enterprise/Pro等。Google現在還沒有，但有用戶發現，Google可能已經在測試付費版Bard Advanced。</p> </div></div></div>
2024/1/22 10:57作者林妍溱https://www.ithome.com.tw/news/160943
以Backstage為基礎，Red Hat推出企業級開發者平臺Developer Hub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）全面推出<a href="https://developers.redhat.com/articles/2024/01/16/red-hat-developer-hub-your-gateway-seamless-development#">Developer Hub</a>，這是一個企業級開發者入口平臺，以CNCF開源專案Backstage為基礎，提供一套受支援或是具明確主張的框架（Opinionated Framework），開發者在這個統一且開放的開發平臺上，能夠專注於程式碼編寫，運用軟體範本簡化開發過程，提高生產力並降低治理障礙。</p> <p>Backstage最初是由Spotify所開發，用於維護和管理開發生命周期，協助開發者有效管理服務和應用程式，同時也可促進團隊間的合作。Backstage統一介面讓用戶可以簡單存取和管理，各種在軟體開發過程可用到的工具和資源，整合了版本控制、持續整合、監控和文件管理等多種功能，讓開發者在Backstage就可完成大部分的開發和維運工作。</p> <p>Backstage是一個用於創建開發者入口網站的框架，用戶需要自訂該入口網站，並且整合開發團隊可以取用的工具和擴充套件。但是Backstage本身卻不提供企業級功能，像是舊版本支援、延長生命周期、測試或是錯誤修復。Developer Hub與Red Hat生態系深度整合，包括Red Hat OpenShift等，對於使用Red Hat產品的用戶來說，這樣的整合可帶來更流暢的工作流程。</p> <p>Developer Hub提供集中控制的機制，可作為企業軟體開發集中控制工具，藉由使用擴展套件架構無縫整合各種工具，Developer Hub所提供的每個擴充套件都對應開發過程中的特定功能，範疇從相依項目管理到自動建置流程。官方指出，這種模組化方法簡化軟體開發環境。Developer Hub於容器映像檔內建一組擴充套件，不過用戶也可以使用自己開發或是第三方提供的擴充套件。</p> <p>軟體範本和元件目錄是Developer Hub中的兩個重要工具。軟體範本指得是可用於創建專案的藍圖，其包含了啟動專案所需的所有設定和結構，以及檢查程式碼錯誤、安全性驗證和可信工作管線等工具，不只可加速開發流程，減少開發團隊配置的時間，也能確保專案的品質與安全性。</p> <p>Developer Hub的元件目錄則是集中儲存庫，用於管理軟體開發專案中的所有元件、服務和相依項目，強化開發者對專案元件的可存取性和清晰度。使得開發團隊能夠更簡單地查詢和使用這些工具，並且管理相依關係。透過元件目錄，開發團隊可以更有效率地合作維持一致性。</p> <p>Red Hat表示，Developer Hub的價值在於超越傳統專案管理的限制，藉由整合共享工具促進協作環境。開發團隊可以根據需求，自行整合和應用自訂的工具，並在不同的專案間共用，整體來說，可以簡化專案的複雜性，並支援集中應用程式開發方法。</p> </div></div></div>
2024/1/22 09:43作者李建興https://www.ithome.com.tw/news/160932
微軟推進教育AI工具與政策，增強個人化學習與教學支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟教育團隊<a href="https://educationblog.microsoft.com/en-us/2024/01/unlocking-productivity-and-personalizing-learning-with-ai">公布</a>一系列人工智慧教育產品與相關政策更新。微軟擴大教育用戶對Microsoft 365 Copilot的可用性，並將Microsoft Loop應用程式引入教育領域，而且還更新Reading Coach，協助學生進行個人化閱讀練習。在Microsoft Learn平臺還推出對人工智慧的學習路徑，輔助教育者了解並善用人工智慧技術。</p> <p>Reading Coach是一款結合生成式人工智慧技術的學習工具（下圖），目的是在提供個人化且引人入勝的閱讀體驗。該款工具提供學生個人化閱讀練習、即時發音並給予即時回饋，也提供教育者分析資料，以共同協助學生提升閱讀能力。</p> <p class="rtecenter"><img alt="" src="https://forrit-one-msedu-p3-consumables.azureedge.net/media/8082781f-b2ed-4378-8a2f-d04a0e4692af/01-Reading-Coach-private-preview-create-a-story-new.gif" style="width: 580px; height: 326px;" /></p> <p>Reading Coach新增個人化功能，能夠根據學生的閱讀水準動態創建故事，來增強學生的學習動機。學生可以選擇故事的主角、背景，並在閱讀過程中做出選擇改變故事情節，也可在過程解鎖新故事背景和角色，並在進度報告中看見自己的發音和流暢度提升成果。</p> <p>Reading Coach所創建的故事經過品質、安全性和適齡性審查，除了由人工智慧所創建的故事之外，學生也可以從經挑選的ReadWorks圖書館中選擇不同等級的文章。微軟要更廣泛地推廣Reading Coach，現在向所有擁有微軟帳戶的用戶免費提供服務，學生可在任意裝置上進行閱讀，稍晚微軟還會提供學習管理系統，方便教育者創建Reading Coach練習作業。</p> <p>微軟也在教育領域擴展Copilot和Loop兩項服務。Copilot現在對高等教育教職員工和18歲以上學生開放，包括免費使用服務的用戶。而從2024年起，教育部門的教職員工也可以購買Microsoft 365的Copilot服務。可用於幫助用戶思考、創建計畫的人工智慧協作應用程式Loop，被納入Microsoft 365學生使用權益中。</p> <p>微軟針對教育領域的Teams和Reflect工具進行更新。Teams新增多項人工智慧功能，協助教育者節省時間並實踐差異化教學，這些功能包括一鍵生成閱讀材料、評量和作業指示等，並且可依據年齡、語言、主題等過濾器，增加或是減少內容的複雜性，滿足學生個人化學習需求。</p> <p class="rtecenter"><img alt="" src="https://forrit-one-msedu-p3-consumables.azureedge.net/media/d24f6f00-b738-40f3-bf08-2c980f3b1852/02-Classwork-Microsoft-Teams-AI-module-generation.gif" style="width: 600px;" /></p> <p>Teams Classwork功能還進一步強化教學管理，教育者在設計作業時，能夠運用人工智慧輔助，強化重要內容和整體詳細程度，並生成評量草稿。微軟還強化Teams中的Reflect工具，協助學生表達和理解自己的感受，也使教育者能夠根據學生的情感回饋，採取相對應的措施。</p> <p>最新的Microsoft Learn平臺更新針對教育者推出，名為AI for Educators Learning Path的新學習路徑，協助教務者了解並利用人工智慧。其中包含3模組，第一是探索人工智慧的潛力，第二模組介紹利用Copilot強化教學的方法，第三則是指導教育者使用微軟人工智慧教導學生的方法。微軟還新推出AI Classroom工具包，協助教育者和學生安全地使用人工智慧。</p> </div></div></div>
2024/1/22 09:55作者李建興https://www.ithome.com.tw/news/160934
Ruckus企業級Wi-Fi 7基地臺來了！傳輸效能達12G、內建TPM
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ruckus_r770_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月數位部開放Wi-Fi 使用6GHz頻段，到了11月，國家通訊傳播委員會（NCC）審議通過<a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&sn_f=49606">「低功率射頻器材技術規範修正草案」</a>，增訂6 GHz部分頻段相關技術審驗規定，作為相關廠商辦理型式認證依據，後續引發市場關注Wi-Fi 6E與Wi-Fi 7網路基地臺產品的發展，例如，在10月底，我們報導國產廠商兆勤科技推出的<a href="https://www.ithome.com.tw/review/159429">Wi-Fi 7基地臺WBE660S</a>，11月介紹<a href="https://www.ithome.com.tw/review/159760">思科的Wi-Fi 6E基地臺</a>，涵蓋Catalyst 9166系列、9164系列、9162系列。</p> <p>接著，我們來看看Ruckus去年10月發表的Wi-Fi 7基地臺R770，因為到了今年1月，這個網路設備品牌的代理商鉅立資訊、友訊科技，開始在臺灣市場主推。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus AP Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AP%20Portfolio.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-3.jpg" style="width: 600px;" /></p> <p>一如所有Wi-Fi 7基地臺的無線通訊配置，R770同樣支援3個頻段，而在天線配置上，2.4 GHz、6 GHz採用2x2:2，5GHz採用4x4:4，合併的資料傳輸率為12. 22 Gbps——以實體傳輸率而言，2.4 GHz頻段為689 Mbps，5 GHz與6 GHz頻段均為5,765 Mbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus Wi-Fi 6E_7-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20Wi-Fi%206E_7-1.jpg" style="width: 600px;" /></a></p> <p>關於6 GHz為何不用4x4的理由，Ruckus表示，在6 GHz的低功耗室內（LPI）模式，若用2x2架構通訊，具有更強大的傳輸功率，可涵蓋的範圍比4x4更遠，未來他們將推出2.4 GHz採用2x2，5GHz、6 GHz採用4x4的Wi-Fi 7基地臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20Wi-Fi%206E_7-2A.jpg" style="width: 600px;" /></p> <p>而在Wi-Fi 7產品支援的功能方面，R770也一樣提供，像是正交振幅調變（QAM）可支援4096個（Wi-Fi 5支援256 QAM，Wi-Fi 6與Wi-Fi 6E支援1024 QAM），以及可使用320 MHz通訊頻道（Wi-Fi 5到Wi-Fi 6E支援20、40、80、80+80、160MHz）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi 7-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-2.jpg" style="width: 398px;" /></p> <p>除了遵循業界標準，R770結合Ruckus Wi-Fi基地臺特有的多種無線通訊技術，像是：智慧型天線系統Beamflex+、自動選擇無線通訊頻道技術ChannelFly，以及交織網路自我組建與調校技術SmartMesh，可大幅減少干擾，延伸Wi-Fi訊號覆蓋範圍，減少通訊死角，提升訊號品質，進而提供穩定的連線與傳輸效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20BeamFlex.jpg" style="width: 298px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20BeamFlex%2B%20pattern.png" style="width: 198px;" /></p> <p>在此同時，R770內建自動協調頻率（AFC）機制，可針對6 GHz頻段提供更理想的連網服務品質控管（QoS），在遵循法規要求的狀態下，盡可能針對6 GHz Wi-Fi的室內與室外網路，產生最強的訊號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi 7-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-4.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi 7-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-5.jpg" style="width: 600px;" /></a></p> <p>對於支援低功耗藍牙（BLE）與Zigbee連接的物聯網裝置，R770也內建這兩種無線通訊技術，能夠融合IT與OT環境的管理與連網擔保，Ruckus預告未來將支援Matter、Thread等物聯網協定，以便提供不同物聯網生態體系之間的互通性，以及低功耗設備的無線通訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20IoT.jpg" style="width: 600px;" /></p> <p>這款新上市的設備，也搭配雲端網路服務保障與商業應用情報平臺Ruckus AI（前身為雲端資料分析服務Ruckus Analytics），強化Wi-Fi 7網路的韌性，並且簡化網路管理作業——可將關鍵資訊呈現到網路營運人員面前，能夠改善網路狀態能見度，加速解決問題，符合服務等級的要求，並確保用戶連網體驗得以順暢。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus AI-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AI-1.jpg" style="width: 600px;" /></a></p> <p>關於無線網路環境的韌性，R770由於具備強化AI技術，可辨識網路事故、自動根據嚴重等級進行分類、追蹤根本原因，並且能針對錯誤的矯正而產生特定的建議。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus AI-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AI-2023-10.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Ruckus AI-2023-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AI-2023-10-2.jpg" style="width: 298px;" /></a></p> <p>在安全性方面，R770支援Ruckus專屬的DPSK3（Dynamic Pre-Shared Key 3）技術，當中結合他們獨有的動態預先共用金鑰（Dynamic PSK）技術，以及Wi-Fi連線加密協定WPA3，而能使用動態的通行碼來保護網路存取。此外，這款機型也內建可信任平臺模組（TPM）2.0，可提供進階加密功能，像是存放長度更長的加密金鑰，以此增加潛在網路威脅破壞系統的困難度。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Ruckus R770</strong><br /> ●原廠：CommScope<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：1個10 GbE埠（支援PoE）、1個GbE埠<br /> ●天線架構：6 GHz、2.4 GHz為2x2:2，5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為12.2 Gbps，6 GHz為5,765 Mbps，5 GHz為5765 Mbps，2.4GHz為689 Mbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、Zigbee<br /> ●尺寸：23.3 x 23.3 x 5.9公分<br /> ●重量：1.36公斤<br /> ●集中管理平臺：Ruckus One、RUCKUS SmartZone、Ruckus Unleashed</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/21 22:46作者李宗翰https://www.ithome.com.tw/review/160857
國泰金控以保險雲中臺打造產品工廠，商品上線數位通路時程縮短至兩天內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，保險市場從以商品為中心轉變為以客戶為中心，保險商品逐漸個人化，業者為了更深入了解顧客，也開始尋求蒐集顧客數據的方式。不過，由於保戶通常僅在理賠期間才與企業互動，相較於銀行業，保險業較難直接取得顧客數據。因此，近年來，保險業者開始透過API整合進行異業合作，以擴大數據蒐集的管道。保險商品的數位通路不在僅限於網頁和App，而是擴展到更多場景中。</p> <p>為了因應市場趨勢，國泰產險在2020年就開始建置保險中臺，支援保險商品快速重組，更在2021年推出電商式投保平臺，能針對不同族群打造不同保險套餐。去年，國泰金控在技術年會上揭露了新一代保險雲中臺，將業務中臺、智慧中臺和技術中臺合稱作產品工廠，能讓開發者快速在數位通路上線保險商品，從以往大約兩周的上線時間，縮短至兩天內，就能將新商品對接數位通路。</p> <p>國泰金控數數發中心數位架構發展部專案經理蘇書玄表示，團隊在2021年完成商品組裝平臺後，開始進一步思考，如何以更彈性的方式與數位通路對接，同時顧及核心系統整合，打造更快速的保險產品重組製程。</p> <p>首先，團隊決定透過雲端來支援通路快速變化。蘇書玄表示，為了支持保險業發展生態系，平臺需要快速和不同通路對接，而雲端具備的高可用性、高遷移性和高擴容性，能讓保險服務快速部署到海內外企業，符合業務需求。因此，團隊首先決定將保險中臺部署至雲端，打造保險雲中臺。</p> <p>再來，團隊在保險雲中臺引入產品工廠的概念，要以低代碼、組件化的概念快速組裝保險商品，滿足多種業務場景和顧客需求。產品工廠的資訊架構中，第一層是通路層，包含官網、App和異業合作通路。第二層是業務流程層，可以建立保險業務流程的生命週期中所有流程，通路層可以透過API和第二層串接。第三層則採用微服務架構設計，一方面提供了不同的處理引擎和各種業務功能元件，另外也區隔出不同類型的業務資料庫，讓使用者可以對應業務流程，快速組合業務元件和需要的業務資料庫，組裝客製化保險商品。</p> <p>實現保險產品工廠的過程中，國泰金控遇到的第一個關鍵挑戰，是如何設計保險商品結構。蘇書玄說明，保險商品的設計過程複雜，必須涵蓋整個保險生命週期的服務，從商品選擇、承保檢核、保費試算，再到承保受理、核保、出單，最後進行保費保全作業和理賠作業，才能完成一個保險商品。再者，保險商品架構不僅要符合既有商品的要求和規範，也要具備未來商品所需的彈性需求。</p> <p>為了符合彈性組合的需求，團隊以積木式作為商品架構方式。他們將保險商品拆解成多個層次，分為商品販售、承保項目、承保標的、承保範圍和保險責任等，使用者可以在既有商品中，以取出積木的方式選取業務邏輯，並在平臺的商品管理中心進行調整。藉由平臺上的商品管理中心，使用者能因應新興保單組裝不同承保服務，新增或調整參數，和使用規則引擎，將商品與規則綁定。最後還能透過選定元件，快速製作投保頁面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-01-19%20152649.png" style="width: 600px;" /></p> <p>過往保險商品上架數位通路時，需要經過四個步驟，第一步是商品配置，由精算人員或IT人員在核心系統設計和配置商品基本參數，第二步是計算規則費率，透過IT人員進行程式開發，撰寫商品規則和保費計算，第三步是設計投保頁面，由UI設計人員和IT人員合力架設網頁。蘇書玄表示，操作人員能在保險雲中臺完成前三個步驟，最後一鍵發布網頁，完成第四個部署上線的步驟。</p> <p>蘇書玄舉例，假設有租車平臺業者與國泰合作推出叫車出遊險，第一步進行商品發想，將投保對象分為乘客和駕駛，各自需要乘客傷害險和駕駛傷害險，第二步是進行結構拆分，選取保險商品所需的服務，例如將旅平險、行李丟失、道路救援、突發疾病和拖吊服務納入商品中。接下來，使用者可以在平臺提供的規則庫中選取所需配件，例如將汽車強制傷害險的規則引入，最後在投保頁面設計上，使用者只要拖曳想用的元件，就能組合出投保頁面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__52904246.gif" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__52904247.gif" style="width: 600px;" /></p> <p>為了支援不同通路，平臺可以透過配置設定和組裝既有API，快速對外提供服務。此外，使用者也可依不同通路進行服務開放、權限控制、流量限制和請求轉換等處理。平臺也提供API服務管理監控功能，能進行異常告警，讓使用者追蹤交易資訊，和資源健康狀態等服務。</p> <p></p> </div></div></div>
2024/1/19 15:00作者李昀璇https://www.ithome.com.tw/news/160927
穩定幣連續兩年成為非法交易中最主要的加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國區塊鏈分析業者<a href="https://www.chainalysis.com/blog/2024-crypto-crime-report-introduction/" target="_blank">Chainalysis本周公布</a>了2023年的<a href="https://www.chainalysis.com/blog/2024-crypto-crime-report-introduction/" target="_blank">加密貨幣非法交易研究報告</a>，指出穩定幣已連續兩年超越比特幣，成為非法交易中最主要的加密貨幣，而主要的非法交易則是源自於受到制裁的實體。</p> <p>調查顯示，去年的加密貨幣非法交易規模為242億美元，遠低於2022年的396億美元，儘管比特幣在2021年及以前一直是非法交易的最大幣別，但在2022年即被穩定幣超越，並延續至2023年。去年有超過6成的非法交易使用穩定幣，比特幣僅占了不到25%，位居第三的則是以太幣。</p> <p>242億美元的非法交易規模僅為整體加密貨幣交易的0.34%，主要的非法交易源自受到制裁的實體，由於某些國家遭到美國或其它國家的制裁，使得它們只能透過加密貨幣交易，總計交易量為149億美元，占所有非法交易的61.5%。</p> <p>Chainalysis認為，穩定幣獨居非法交易鰲頭主要是因為與遭制裁有關的交易有8成都使用穩定幣，另也跟穩定幣的普及有關。</p> <p>除了與制裁有關的非法交易外，舉凡是兒童性剝削、暗網、網路犯罪、惡意程式、毒品交易或是勒索軟體的非法活動，依然以比特幣為主。</p> <p>Chainalysis的調查主要是追蹤各個已知的非法加密貨幣位址，顯示加密貨幣詐騙及駭客收入在去年分別下滑了29.2%及54.3%，而勒索軟體與暗網的收入卻是成長的。</p> </div></div></div>
2024/1/19 16:15作者陳曉莉https://www.ithome.com.tw/news/160930
因應Wi-Fi 7帶動頻寬升級商機，兆勤推新款2.5GbE交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhao_qin_xmg1915_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應Wi-Fi 6、6E、7基地臺的日漸普及，以及多種GbE埠規格的裝置連網需求，例如網路攝影機、NAS，兆勤科技（Zyxel Networks）1月發表智慧型網管交換器XMG1915系列，提供內建8個與16個2.5 GbE埠的機型，並且都搭配2個相容GbE與10 GbE規格的上行埠，企業若要集中管理這系列網路交換器，也能透過該公司長期發展的Nebula雲端平臺進行操控——IT人員可透過Nebula專用的行動App，掃描QR code即可完成註冊程序，後續也能以App或網頁介面管理交換器，隨時隨地掌握相關的網路動態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XMG1915-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XMG1915-overview.jpg" style="width: 400px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20mGig%20switch%20topology.jpg" style="width: 600px;" /></p> <p>為了簡化網路與電力的部署，許多連網裝置會用到乙太網路供電（PoE）的規格，XMG1915系列當中有兩款機型支援PoE++，可對連接這些埠的裝置供應網路連線，以及60瓦的電力。以其中一款機型XMG1915-10EP為例，8個2.5 GbE埠均支援PoE++，整臺設備最高可供應的電力為130瓦；另一款機型XMG1915-18EP，提供16個2.5 GbE埠，當中有一半的網路埠支援PoE++，整臺設備最高可供應的電力為180瓦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel mGig switch portfolio-PoE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20mGig%20switch%20portfolio-PoE.jpg" style="width: 600px;" /></a></p> <p>就硬體運算配備而言，XMG1915系列均採用256 MB記憶體、32 MB快閃記憶體，封包緩衝記憶體容量為1.5 MB，而在網路處理能力方面，這批網路設備的交換容量都是80 Gbps，流量轉送效能為59.5 Mpps，MAC位址數量最大可容納1.6萬個，巨大封包（Jumbo Frame）可支援12 KB。</p> <p>在雲端管理平臺方面，兆勤在2023年10月底推出Nebula的17.20版，針對列管網路設備的支援上，納入該公司近期陸續推出的多款產品，像是當時發表的<a href="https://www.ithome.com.tw/review/159429">企業級Wi-Fi 7基地臺WBE660S</a>，11月底發表的<a href="https://www.ithome.com.tw/review/159639">網路防火牆USG FLEX H系列</a>，以及現在登場的交換器XMG1915系列。</p> <p>若企業需要在單位空間內連接更多2.5GbE網路介面的設備，兆勤在2022年底、2023年初已推出XMG1930系列，搭配24個2.5 GbE埠、4個10 GbE埠（可相容2.5 GbE、5 GbE），以及2個10 GbE上行埠，此產品可供應的對象相當廣泛，涵蓋中小企業、系統整合商、代管服務商，以及小型網路服務業者，能夠支援進階商業應用驅動的網路頻寬升級需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel mGig switch portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20mGig%20switch%20portfolio.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>兆勤XMG1915系列</strong><br /> ●原廠：兆勤科技<br /> ●建議售價：廠商未提供<br /> ●網路介面：8個2.5 GbE埠搭配上行埠2個10 GbE埠（SFP+）、8個2.5 GbE埠（支援PoE++）搭配上行埠2個10 GbE埠（SFP+）、16個2.5 GbE埠（其中8埠支援PoE++）搭配上行埠2個10 GbE埠（SFP+）<br /> ●機型與外觀：XMG1915-10E、XMG1915-10EP（支援PoE++）為桌上型，XMG1915-18EP（支援PoE++）為1U<br /> ●網路交換容量：80 Gbps<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體容量：1.5 MB<br /> ●管理平臺：本機網頁介面、SNMP、RMON、Syslog、雲端管理平臺Nebula</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/19 16:18作者李宗翰https://www.ithome.com.tw/review/160907
Have I Been Pwned收到近7,100萬筆來自惡意程式的外洩電子郵件帳號及逾1億個密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蒐集全球外洩個資並免費供使用者查詢的Have I Been Pwned（HIBP），<a href="https://haveibeenpwned.com/PwnedWebsites#NazApi" target="_blank">本周再獲得了</a>70,840,771筆的電子郵件帳號與1億個密碼，過去HIBP所蒐集的資料多半來自企業資料庫遭駭，但這次的資料卻是來自駭客透過惡意程式於被害者的電腦上搜括而來。</p> <p>該筆資料名為Naz.API，在去年9月便出現在駭客論壇上，並輾轉交到HIBP創辦人Troy Hunt手上。<a href="https://www.troyhunt.com/inside-the-massive-naz-api-credential-stuffing-list/" target="_blank">Hunt發現</a>，Naz.API總計有104GB，存放了319個檔案，當中含有70,840,771個電子郵件帳號，其中有65%的帳號已被HIBP收錄，有35%是新的外洩資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-Naz_API-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Have%20I%20Been%20Pwned.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Troy Hunt</span></span></p> <p>值得注意的是，當Naz.API出現在駭客論壇時，賣家宣稱相關資料來自於Stealer logs，內含10億筆的不重覆紀錄，代表這是駭客於使用者裝置上植入惡意程式，自受駭裝置的瀏覽器搜括而來，因此，除了電子郵件帳號之外，也可能含有各種服務的密碼、Cookie、瀏覽歷史紀錄、金鑰或加密貨幣錢包等。</p> <p>Hunt輸入自己的資料進行測試，發現他的電子郵件帳號的確出現在Naz.API中，還有他在2011年以前曾使用過的許多密碼，顯示它可能是個很舊的資料庫。</p> <p>使用者只要於<a href="https://haveibeenpwned.com/" target="_blank">HIBP</a>上輸入自己的電子郵件帳號，就能查詢自己的資料是否曾經外洩，系統也會秀出外洩的服務名稱，但若資料出現在Naz.API中，便意謂著使用者的電腦曾經感染過惡意程式。</p> </div></div></div>
2024/1/19 16:27作者陳曉莉https://www.ithome.com.tw/news/160931
臺灣也要推Digital Wallet，數位部明年將推數位皮夾，可望整合自然人憑證、駕照等證件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年隨著手機發展，手機已成為個人隨身必帶的電子產品，以手機為載體，可載入實體證件功能的Digital Wallet（數位錢包或數位皮夾）發展相當快速，Google及蘋果兩大科技業者各自推出Digital Wallet，在美國與州政府合作，讓Digital Wallet可整合民眾的駕照、ID等證件，不需隨身攜帶實體證件，使用手機就能提供各種身分識別之用。</p> <p>歐盟則是規畫數位身分框架，讓歐盟公民可以透過數位身分錢包（Digital Identity Wallet）控各式證件，在數位服務中證明自己的身分，歐盟也要求大型網路平臺支援數位身分錢包。</p> <p>臺灣也不落人後，相較於Google、蘋果與國外政府合作，臺灣傾向推出自己自己的Digital Wallet，數位發展部已準備對外招標，規畫在今年底先開發測試版本，明年才有比較成熟的版本。</p> <p>數位部民主網絡司司長莊盈志表示，Digital Wallet可視為數位皮夾，可以整合各政府機關發行的證件。今年先完成Wallet的操作雛形，若測試順利，初步構想是先與內政部合作，讓行動自然人憑證先和Wallet綁定，甚至更進一步，未來讓實體自然人憑證也能綁定，克服一部分仍無法使用實體自然人憑證的情形，舉例來說，目前政府一些系統雖支援實體自然人憑證，但因為比較早期開發，這些系統僅支援Windows平臺，蘋果的Mac平臺因缺乏驅動程式無法使用實體自然人憑證，未來如果實體卡整合至Wallet，就能解決Mac用戶使用自然人憑證的問題。</p> <p><span style="font-size:20px;"><strong><span style="color:#B22222;">民眾同意下，資料最小揭露</span></strong></span></p> <p>過去，民眾申請服務將提供實體證件卡片，讓服務供應商掃描證件資料，而實體證件整合進Digital Wallet後，莊盈志指出，民眾透過Wallet證件上的資料存取授權，在民眾授權之下，服務業者在後端就能讀取Wallet的證件資料，為業者執行業務所需的資料。</p> <p>換言之，數位部規畫Digital Wallet將採用資訊最小揭露的原則，即業者存取Wallet的證件資料，並非可以任意取得Wallet上的證件所有資料，而是僅能取得業務所需的特定資料，且需先經過民眾的同意授權才能存取。</p> <p>以電信門號申請需要雙證件的情境為例，莊盈志表示，未來民眾申辦門號，不需攜帶實體證件，在手機裡的Digital Wallet設定，將駕照及健保卡的資料授權供業者存取，這些資料分別由發行機關，交通部、衛福部確保資料的真實性，避免資料造假。</p> <p>他認為，對企業來說，以往企業掃描民眾的證件，相對應要負較大資料外洩風險，民眾透過Wallet授權資料存取，企業只取得業務需要的資料，資料外洩的風險較少，其次是Wallet提供的資料經過加簽，為發行證件的政府機關核發的。另外，民眾授權提供資料給企業，同意的動作會被紀錄下來，留下Log紀錄，具有不可否認性，事後若有糾紛可以追查。「等於有兩個不可否認性，一個是政府核發的憑證，另一個是使用者同意的Log是加簽過的」。</p> <p>數位部也與國內的FIDO聯盟討論，未來考慮在Digital Wallet採用FIDO身分驗證技術，換言之，迎合無密碼的身分驗證趨勢，憑手機的指紋或臉部辨識完成身分驗證。</p> <p>莊盈志強調，Digital Wallet並不會取代實體證件，而是在實體證件之外，提供民眾方便使用第二個選擇方案，熟悉3C的年輕民眾可使用Digital Wallet，透過Wallet提供資料申辦服務，年長或不熟悉3C及網路使用的民眾仍可以使用實體證件臨櫃申辦服務。</p> <p>「我們的想法是貼近民眾的日常生活，讓政府服務並非取代，而是提供民眾第二個選擇方案，讓需要的民眾使用」，他強調，Digital Wallet數位皮夾不會強制民眾使用，將民眾的資訊整合到個人的數位皮夾，未來整套機制也會以Public Code，在臺灣公共程式平臺上公開讓外界審視。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>公開規格擴大民間證件卡片加入Wallet</strong></span></span></p> <p>除了初步構想先整合自然人憑證外，為了豐富數位皮夾的應用，數位部也構想民眾較常使用的證件，例如駕照、健保卡也整合進來，但仍需與核發機關交通部、衛福部討論如何合作。</p> <p>Digital Wallet先從政府機關開始，整合政府核發的證件，未來數位部也期望擴大到民間，明年透過Public Code公開Digital Wallet規格，讓一般企業將會員卡、員工證也能整合進Digital Wallet，讓這個數位皮夾，不只是政府服務，也能用在更多應用。</p> <p>莊盈志表示，規畫推動的Digital Wallet數位皮夾，預期兩年會先以整合政府的證件為主，將政府常見的三證件，自然人憑證、健保卡、駕照整合到數位皮夾裡，之後再推動到民間，讓企業的證件卡片也能加入Wallet。</p> <p>然而，政府推動Digital Wallet數位皮夾，可能引發外界的疑慮，尤其是數位皮夾、授權資料，留下數位足跡產生侵犯隱私、監控的疑慮。因此，為了增加民眾的信任，數位部也期望Wallet明年透過Public Code公開程式碼，外界可以共同檢視之外，消除外界的疑慮，另外，由於Digital Wallet並沒有強制使用，其定位是實體證件外的第二個方便管道，提供民眾簡便服務的選擇，不習慣或不熟悉3C的民眾還是能使用原有實體證件。</p> </div></div></div>
2024/1/19 16:57作者蘇文彬https://www.ithome.com.tw/news/160933
【資安日報】1月19日，針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對缺乏資安防護的連網家電發動攻擊的情況，最近2年不斷傳出，去年9月就傳出一起鎖定安卓電視盒的攻擊行動，最近有研究人員公布新的發現，他們指出其攻擊對象較先前公布的更廣泛。</p> <p>根據他們的調查，駭客從9年前就開始從事相關攻擊行動，並且不光針對執行安卓作業系統的電視盒，對於搭載這類作業系統的智慧電視、另一種作業系統eCos的電視盒，也是他們下手的標的。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.xlab.qianxin.com/bigpanzi-exposed-hidden-cyber-threat-behind-your-stb/"><strong style="font-size: 22px;">逾17萬臺安卓智慧電視、電視盒感染殭屍網路病毒，從事攻擊的駭客組織Bigpanzi背後可能有企業在撐腰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pan_bigbasic.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pan_bigbasic.png" style="width: 300px; float: right;" /></a>去年9月防毒業者Dr. Web揭露<a href="https://www.ithome.com.tw/news/158641#mirai">鎖定安卓電視盒的Mirai殭屍網路病毒變種</a>，駭客疑似透過惡意韌體或盜版應用程式散布，如今有新的發現。</p> <p>中國資安業者奇安信指出，他們發現從事這起攻擊行動的駭客組織Bigpanzi，專門鎖定搭配安卓作業系統的電視與電視盒，以及執行eCos作業系統的電視盒發動攻擊，估計從2015年就開始從事相關活動，其控制的大型殭屍網路平均每天約有17萬個機器人處於活動狀態。研究人員挾持對方其中2個C2網域後，自8月開始，他們看到130萬個與該殭屍網路相關的IP位址出現，大部分位於巴西。</p> <p>而對於遭到控制的智慧電視與電視盒，研究人員指出，駭客將其用於打造盜版媒體串流平臺、流量代理網路，或是用於發動DDoS攻擊，從而牟取利益。這些駭客在其攻擊行動運用了兩種惡意程式，分別名為pandoraspear和pcdn。Pandoraspear是木馬程式，主要能挾持DNS配置，並與C2連線並執行收到的命令；另一個惡意軟體Pcdn，則是用於點對點（P2P）的內容傳遞網路（CDN），並使受害裝置成為網路攻擊工具。</p> <p>由於遭到控制的智慧電視及電視盒未必全時段運作，再加上研究人員分析的過程遭到駭客攻擊，他們認為這個殭屍網路的實際規模，遠超過上述的調查結果，而且，他們從Pcdn的程式碼發現，這起攻擊背後可能與特定企業有關。</p> <p><a href="https://www.cadosecurity.com/containerised-clicks-malicious-use-of-9hits-on-vulnerable-docker-hosts/"><strong style="font-size: 22px;">Docker主機遭到鎖定，被用於挖礦及盜賣流量牟利</strong></a></p> <p>資安業者Cado揭露最近一波針對Docker環境而來的攻擊行動，駭客疑似利用物聯網搜尋引擎Shodan或其他平臺掃描網路，找尋容易攻擊的Docker主機，成功入侵後透過Docker的API，利用Docker的CLI設定DOCKER_HOST環境變數，從Docker Hub拉取映像檔，部署含有挖礦軟體XMRig、網路流量交換軟體9hits的惡意容器，而這些映像檔其實是使用體型很小的Alpine Linux作業系統為基礎，並添加上述軟體而成。</p> <p>研究人員指出，這是他們首度看到有攻擊者利用9hits來盜取流量的情況。而對於執行9hits軟體的容器，研究人員指出，此網路流量交換軟體為無GUI（即Headless）的Chrome打造而成，該程式通常會注入其他應用程式的處理程序來執行瀏覽器實體並存取網站，攻擊者通常會對其下達額外的配置，像是允許存取色情網站，或是含有彈出式視窗的網站。但特別的是，駭客禁止9hits應用程式存取與加密貨幣相關的網站，為何如此？研究人員表示他們並不清楚。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="http://blog.trailofbits.com/2024/01/16/leftoverlocals-listening-to-llm-responses-through-leaked-gpu-local-memory/"><strong style="font-size: 22px;">蘋果、AMD、高通GPU存在名為LeftoverLocals的弱點，有可能洩露AI相關資料</strong></a></p> <p>資安業者Trail of Bits揭露名為LeftoverLocals的漏洞，這項漏洞存在於蘋果、AMD、高通、Imagination Technologies的顯示晶片（GPU），起因是部分GPU框架對記憶體沒有完全隔離，導致其中1個GPU核心有機會讀取另1個核心寫入記憶體的資料，研究人員指出，攻擊者只需執行需要透過GPU運算的應用程式，例如OpenCL、Vulkan、Metal，就有機會藉此漏洞讀取留存在記憶體裡的資料。</p> <p>在這種攻擊當中，攻擊者可藉由其中1個GPU核心，拿出本機尚未初始化的記憶體讀取資料，然後將其轉存到能夠持續存取的記憶體位置，像是全域記憶體，這種手法有可能曝露GPU處理的機器學習模型敏感資料，像是模型輸入、輸出、權重的資料，此漏洞被登記為CVE-2023-4969列管。</p> <p>研究人員在去年9月通知電腦網路危機處理暨協調中心（CERT/CC）並進行相關通報，其中，蘋果確認A17與M3處理器已具有相關修補程式；AMD公布影響範圍，並著手規畫緩解措施；高通於近期發布2.0.7版韌體當中，已修補部分GPU型號的漏洞；Imagination於去年12月發布的23.3版驅動程式開發套件（DDK）予以修補；Intel、Nvidia、Arm則確認旗下產品不受影響。</p> <p><strong><a href="https://blog.quarkslab.com/pixiefail-nine-vulnerabilities-in-tianocores-edk-ii-ipv6-network-stack.html"><strong style="font-size: 22px;">研究人員揭露PixieFail弱點，恐影響企業主機的PXE網路開機功能</strong></a></strong></p> <p>資安業者Quarkslab公布一系列與UEFI韌體有關的漏洞PixieFail，這些漏洞存在於Intel開發的UEFI參考實作TianoCore EDK II套件上，有可能在網路開機的過程遭到利用、允許駭客發動阻斷服務攻擊（DoS）、遠端執行任意程式碼（RCE）、挾持網路連線階段（Session），多家業者的產品及服務受到影響。</p> <p>研究人員找到的漏洞，總共登記了9個CVE編號予以列管，分別是：整數下溢漏洞CVE-2023-45229，緩衝區溢位漏洞CVE-2023-45230、CVE-2023-45234、CVE-2023-45235，越界讀取漏洞CVE-2023-45231，無限迴圈漏洞CVE-2023-45232、CVE-2023-45233，可預測TCP初始序列號碼的漏洞CVE-2023-45236，以及使用弱的偽隨機數生成器造成的CVE-2023-45237。攻擊者可在區域網路環境，且未經身分驗證的情況下，遠端利用上述漏洞，在這些企業工作站與伺服器的網路開機過程中發動攻擊。</p> <p>值得留意的是，PixieFail也影響其他的UEFI參考實作，例如：Insyde Software的Insyde H20 UEFI BIOS，AMI的Aptio OpenEdition，Phoenix的SecureCore、微軟的Project Mu。</p> <p><strong><a href="https://www.praetorian.com/blog/tensorflow-supply-chain-compromise-via-self-hosted-runner-attack/"><strong style="font-size: 22px;">機器學習框架TensorFlow存在CI/CD缺陷，恐被用於供應鏈攻擊</strong></a></strong></p> <p>資安業者Praetorian針對開源機器學習框架TensorFlow進行調查，結果發現其中的CI/CD錯誤配置，有可能被攻擊者用來進行供應鏈攻擊，從而上傳惡意發布版本到TensorFlow官方的GitHub儲存庫、對自行管理的GitHub執行器（Runner）發動遠端執行任意程式碼攻擊（RCE），以及從名為tensorflow-jenkins的使用者接收GitHub的私人存取憑證（Personal Access Token，PAT）。</p> <p>研究人員透過自行開發的工具，先識別在自行管理的GitHub執行器執行的TensorFlow工作流程，從而找出先前貢獻者的分叉拉取請求，這些請求會自動觸發對應的CI/CD工作流程，而無需任何核准程序。換言之，攻擊者可先對於目標程式碼儲存庫進行小型的合法修改（如修正拼字錯誤），然後建立拉取請求，等到該請求被合併後，取得貢獻者身分，從而在執行器執行程式碼，而不會因為建立惡意拉取請求產生任何警訊。</p> <p>研究人員去年8月通報上述弱點，相關專案人員於12月20日做出處置。</p> <p><strong><a href="https://thehackernews.com/2024/01/github-rotates-keys-after-high-severity.html"><strong style="font-size: 22px;">GitHub針對12月揭露的高風險漏洞輪調金鑰</strong></a></strong></p> <p>1月16日GitHub發布資安通告，他們在12月26日透過漏洞懸賞專案得知高風險漏洞CVE-2024-0200，此為不安全的反射漏洞，而有可能導致攻擊者在GitHub Enterprise Server（GHES）上藉由反射注入的方式，執行使用者控制的方法，而能遠端執行任意程式碼（RCE），CVSS風險評分為7.2，影響所有3.12版之前的版本。攻擊者若要利用這項漏洞，必須先登入具有組織所有者角色的使用者帳號。</p> <p>GitHub已修補上述漏洞，並表示為求謹慎，他們也在同日輪替部分金鑰，這些包含了GitHub Actions、GitHub Codespaces、Dependabot用戶的加密金鑰，用戶需要匯入新金鑰才能繼續使用。</p> <p>此外，該公司也修補了另一個管理主控臺的命令注入漏洞CVE-2024-0507，攻擊者一旦取得編輯者的角色權限，就有可能藉此弱點提升權限，CVSS風險評分為6.5。</p> <p>資料來源</p> <p>1. <a href="https://github.blog/2024-01-16-rotating-credentials-for-github-com-and-new-ghes-patches/">https://github.blog/2024-01-16-rotating-credentials-for-github-com-and-new-ghes-patches/</a><br /> 2. <a href="https://docs.github.com/en/[email protected]/admin/release-notes">https://docs.github.com/en/[email protected]/admin/release-notes</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.group-ib.com/blog/inferno-drainer/"><strong><span style="font-size: 20px;">駭客假冒加密貨幣交易所Coinbase，散布惡意程式Inferno Drainer</span></strong></a></p> <p></p> <p><a href="https://www.huntress.com/blog/ransomware-deployment-attempts-via-teamviewer"><strong><span style="font-size: 20px;">遠端桌面軟體TeamViewer遭濫用，駭客對受害電腦植入勒索軟體</span></strong></a></p> <p><strong><a href="https://www.vmware.com/security/advisories/VMSA-2024-0001.html"><span style="font-size: 20px;">VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞</span></a></strong></p> <p></p> <p><a href="https://cert.pl/en/posts/2024/01/CVE-2023-4818/"><strong><span style="font-size: 20px;">PAX執行安卓作業系統的PoS機臺存在漏洞，攻擊者有可能竄改交易金額及其他資料</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160838"><strong><span style="font-size: 20px;">AI模型有可能躲過相關資安訓練，埋藏欺騙性的後門</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160906"><strong>【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160870"><strong>【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160854"><strong>【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</strong></a></p> </div></div></div>
2024/1/19 14:31作者周峻佑https://www.ithome.com.tw/news/160924
Google揭露俄羅斯駭客ColdRiver的最新戰術，以PDF檔遞送後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/google-tag-coldriver-russian-phishing-malware/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）本周揭露</a>俄羅斯駭客組織ColdRiver最新的攻擊戰術流程（Tactics、Techniques與Procedures），指出ColdRiver原本是透過網釣活動來獲取目標對象的憑證，但最近觀察到駭客開始利用PDF檔以於目標對象的機器上植入後門。</p> <p>ColdRiver是個專門鎖定烏克蘭、北約組織國家、學術機構及非政府組織展開攻擊的俄羅斯駭客組織，過去ColdRiver通常使用偽造的帳號，假冒為特定領域的專家，或是與目標對象有關的個人，與目標對象建立關係之後，伺機展開網釣攻擊，透過傳送連結及含有連結的檔案騙取目標對象的憑證。</p> <p>然而，最近TAG發現ColdRiver採用了新戰術，一樣是先以假冒的身分與目標對象建立關係，之後傳送一個偽裝成準備發表的PDF專欄文章的PDF予目標對象，並請求對方提供意見，但當使用者打開PDF檔時，發現文字是加密的，於是駭客就會再傳遞一個宣稱可用來解密的連結，連向雲端的檔案，但該檔案實際上是個後門程式SPICA。</p> <p>TAG表示，SPICA為ColdRiver首個自行打造的惡意程式，以Rust撰寫的SPICA可用來執行任何Shell命令，還能自Chrome、Firefox、Opera和Edge等瀏覽器中竊取Cookie，也能用來上傳及下載檔案，或是列出文件系統內容，以及枚舉並汲取文件等。</p> <p>研究人員雖是在去年9月發現SPICA，但SPICA的行動最早可追溯到2022年的11月，同時相信SPICA應有不同的版本，並以不同的PDF檔案來當作誘餌。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: 900; font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: none; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" type="button"></button></span></span></p> </div></div></div>
2024/1/19 15:36作者陳曉莉https://www.ithome.com.tw/news/160928
Netflix數據力的關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1165-feng_mian_gu_shi_-1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=8VOPlc7w" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>16年來的第一次，Netflix公布了全球2.4億用戶的收看大數據，1萬8千多部影片，半年收看時數超過1千億小時，透過數千種裝置觀看的行為事件類型多達百萬種。為了搜集這麼龐大又複雜的海量收視數據，Netflxi有一套獨到的資料工程架構</p> </div></div></div>
2024/1/19 11:43作者王宏仁https://www.ithome.com.tw/article/160920
Jansport、North Face母公司去年被駭，3500萬筆用戶資料被竊走、訂單延遲交付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>服飾業者VF公司（VF Corp.）去年公司網路遭駭客入侵，致近3,550萬筆用戶資料被竊取，以及系統中斷補貨不及、客戶取消訂單等情形。旗下擁有VANS、Jansport、NorthFace、Timberland、Eastpak及Kipling等流行品牌的VF，是全球最大服飾業者之一。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/103379/000119312524010243/d641969d8ka.htm" target="_blank">根據VF提交美國證管會的文件</a>，該公司去年12月13日偵測到其IT系統有非授權活動事件。聯同外部安全業者調查後，該公司在12月15日才從IT系統上廓清攻擊者。這次事件導致公司部門網站及系統停擺，以及攻擊者竊取敏感資訊。</p> <p>VF指出，本次事件中，包括VF自營零售店面、電商網站、物流中心等都出現運作問題。而在VF關閉系統後，VF公司發生零售店面庫存補貨中斷，訂單無法準時交貨，導致企業客戶及消費者取消某些產品訂單，部分電商網站訂單量下滑、以及某些批發訂單出貨延遲。而至少到12月18日呈報SEC時狀況尚未完全排除。雖然在對SEC文件指出此事件為實質（material）網路安全事件，但VF表示入侵事件對公司實際營運影響僅止於此，對公司財務狀況影響並不顯著。</p> <p>另一方面，VF調查後也發現資料被竊。該公司估計駭客竊取將近3,550萬名消費者個資。不過VF強調並未儲存消費者的社會安全碼、銀行帳號或信用卡資訊。VF表示尚未偵測到攻擊者取得其任何消費者密碼的情形。</p> <p>雖然事件看起來很像是勒索軟體攻擊，但這家服飾業者並未使用這個名詞，也未回應媒體被竊消費者個資包含哪些。</p> <p> </p> </div></div></div>
2024/1/19 11:51作者林妍溱https://www.ithome.com.tw/news/160921
【2.4億用戶使用數千款裝置，收視行為事件多達百萬種！】Netflix超強資料工程架構關鍵首度公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>影音串流龍頭Netflix在去年12月，突然發布了一份史無前例的收視資料，吸引了全球影視產業的目光。16年來的第一次，Netflix公布了全球2.4億用戶的收看大數據。</p> <p>從這份收視報告，可以看到幾個驚人的數據，Netflix在去年1月到6月期間播放的影片，高達1萬8千4百部多影片，包括了系列影集和單部的電影，統計時間從總收看時數，超過了1,000億小時，平均每個用戶在半年內看了420小時，平均一天2.3小時。</p> <p>每一部影片的收看時數都超過了5萬小時，其中99%的影片，也就是有18,214部的播放時數都超過了10萬小時。</p> <p>第一名「暗夜情報員」第一季累計達到8.12億小時。臺劇第一名則是4,560萬小時的「模仿犯」，全球排名341。不只當時新上檔的劇集，連2021年播放的「華燈初上」，過了2年，播放時數仍超過150萬小時。甚至有一部12年前上映的老電視劇集「無照律師」，在2023年重新上架到Netflix後，半年創下了1.29億小時觀看時間名列全球第73。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-1-600-%E6%94%B6%E8%A6%96%E6%8E%92%E5%90%8D-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netfllix.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>16年來的第一次，Netflix公布了全球2.4億用戶的收看大數據。高達1萬8千4百部多影片，去年1月到6月期間的總收看時數超過了1,000億小時，平均每個用戶在半年內看了420小時，平均一天2.3小時。99%的影片，播放時數都超過了10萬小時。第一名「暗夜情報員」第一季更累計達8.12億小時。<br /> 臺劇第一名則是4,560萬小時的「模仿犯」，全球排名341。不只當時新上檔的劇集，連2021年播放的「華燈初上」，過了2年，播放時數仍超過150萬小時。甚至有一部12年前上映的老電視劇集「無照律師」，在2023年重新上架到Netflix後，半年創下了1.29億小時觀看時間，名列全球第73。</strong><span style="font-size:14px;">圖片來源／Netfllix</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>首度公布全球收視大數據後，揭露背後資料工程技術架構</strong></span></span></p> <p>就在這份收視報告公布後2天，Netflix也舉辦了第一次資料工程大會（Netflix Data Engineering Summit 2023），首度公開了他們用來搜集影音大數據背後的資料工程技術架構。</p> <p>Netflix為了支援全球影音串流，有一套龐大的資料工程基礎架構，為了追蹤上萬部影片的播放成效，Netflix設了一個內容資料工程團隊，專門負責將上千億串流時數的數據，轉換成各種分析洞察，讓Netflix可以決定怎麼推播影片給全球用戶。數億用戶透過數千種不同類型裝置上的Netflix軟體來收看這些影片，產生的事件資訊多達百萬種，Netflix設了一個綜合追蹤團隊（Consolidated Logging Team）專門搜集各種Netflix消費者產品和內部應用的事件資訊，將這些資訊彙整成容易理解的合理形式，來支援各種個人化應用和分析的需求。</p> <p>早在2007年，Netflix在美國推出線上影片串流服務後不久，就開始打造自己的資料倉儲系統，從那時就陸續自行研發出許多資料技術和工具，來支持各種資料工程實務上的需求。</p> <p>Netflix內容資料工程團隊資料工程師Chris Stephens在Netflix待了9年，參與了內容績效評估，觀眾理解分析、程式化發展戰略等領域的發展。回顧過去近10年的資料工程發展，他指出，Netflix資料工程技術架構的核心原則是，要讓常見需求更容易進行，而且可以兼顧到不同層級的客製化需求，但是，也因為這些高度客製化的需求，「Netflix有許多工具都得從無到有自己打造。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Netflix批次處理流程的四大關鍵步驟</strong></span></span></p> <p>這個資料工程技術架構中最典型的兩大資料流程是，批次處理和串流處理，這也是企業常見的兩種資料流程。Netflix的批次處理流程中，包括了四個步驟，第一步是資料轉換和邏輯彙整（Transform & Agg Logic），Netflix的分析性資料倉儲中有數千個資料表，都是採用開源資料表格式Apache Iceberg的資料表，也儲存在雲端。Apache Iceberg是Netflix在2017年時，由2位工程師自己所開發的大數據技術，隔年開源釋出，捐給了Apache軟體基金會。</p> <p>這些Iceberg資料表涵蓋了不同業務的需求，從影音串流資料，不同產品功能的互動及路，顧客服務，製片工作室日常運作，到行銷數據都有。</p> <p>在Netflix，大多數批次處理都使用了Apache Spark大數據分析平臺，內部的資料工程師社群最常用的Spark綁定機制，包括了SQL、PySpark和Scala這三種，不同資料工程團多半偏好其中一種。但是，Netflix大數據分析平臺都會優先支援這三種綁定機制。</p> <p>為了方便工程師設計各種不同需求的批次流程，Netflix自己設計了一個大數據資料入口網站的Query UI工具，這是他們的資料工程師最常用的工具。這個工具可以檢測所要查詢的資料表，也能找到這些資料表的相關紀錄。查詢輸入列也具備了自動完成機制，各種函數指令甚至是複雜的巢狀結構指令也能自動完成，工程師可以從這個單一入口查詢所有資料引擎，包括了Spark、Trino、 Druid、Snowflake上的資料。</p> <p>另一個資料工程師常用的工具是叢集權重調整工具go/Boost，因為常有人來要求他們，能不能提高各自分析任務的優先程度，資料工程師就會用這個工具暫時調高所用叢集的資源額度。</p> <p>資料彙整後，接著得檢查輸入資料的資料品質，Netflix有一套成熟的資料品質生態圈工具，來避免發生垃圾資料產生垃圾分析的窘況，一方面讓資料工程師擔起更多的資料責任，另一方面也可以讓後續的資料使用者，放心使用資料倉儲的內容。</p> <p>Netflix在資料品質控管上，使用了單元測試結合資料稽核，來確保資料的品質，盡可能提供資料集更大的保護，避免浪費資源和時間。</p> <p>在單元測試工具上，Netflix會採用原生的單元測試函式庫，包括了ScalaTest和PyTest，來測試使用者定義的功能。若是Spark的Data Frame API上的功能測試，則用了一套Netflix自己開發的Spark單元測試函式庫，還有一款資料流程工具，可以快速從資料倉儲拉出資料表，以便盡快重跑資料測試。</p> <p>除了單元測試，另一個把關品質的重要手段是稽核。Netflix有許多稽核機制，每當資料來源出現異動時，這些稽核機制就會去檢查資料背後的各種上下文脈絡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-1-600-%E5%9C%963-%E6%9F%A5%E8%A9%A2%E5%B7%A5%E5%85%B7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Netflix資料工程技術架構最大目標是，讓常見需求更容易進行，而且能兼顧各層級的客製化需求，Netflix自己打造了許多好用工具，例如大數據Query UI工具就是他們的資料工程師最常用的工具。</strong><span style="font-size:14px;">圖片來源／Netfllix</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立WAP稽核模式，自製稽核工具確保資料品質</strong></span></span></p> <p>Netflix採取了一套稽核模式稱為WAP模式，當資料第一次寫入（Write）時，會先產生一個隱藏的資料表快照，在用Netflix資料稽核工具對寫入的資料進行檢查（Audit），只有通過所有稽核後，才會發布（Publish）這個Iceberg快照版本，作為當前所用的資料表快照版本。Netflix在發布快照時，不會進行資料複製，不將快照資料複製一份後再發布。一方面因為這些資料集都非常龐大，另一方面，Netflix更新資料的頻率很快，每天都會重建許多資料集，複製資料的代價是會拖慢了整個資料工作流程。</p> <p>資料稽核工具還可以細分成兩類，一種是通用稽核工具，提供了資料工程師經常必做的資料稽核，包括了鍵值檢查（不重複或空值）、資料例外檢查、行數或欄位數檢查。另外一種是特定脈絡稽核工具，例如一部電影不能有多個片頭。十大熱門影集要有主打預告。要打造這類稽核工具，資料工程師也得對所擁有的資料有更深度的理解，以及了解資料的利害關係人在乎的點是什麼。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>排程平臺每天執行7萬個工作流程</strong></span></span></p> <p>在Netflix批次處理流程中的第三步驟是任務排程和監控。Netflix自己打造了一套能支援超大規模任務的工作流程排程平臺Maestro。這個平臺現在每天會執行高達7萬個工作流程，累計超過了50萬個任務步驟。</p> <p>資料工程師可以透過YAML DSL語法或Python DSL語法，很容易就可以定義工作流程，來組合不同資料工程處理或是機器學習的任務。甚至可以透過UI介面或只需撰寫很少量的程式，就能預先定義不同任務的處理流程，再透過Maestro指定排程時間，定期執行。</p> <p>Maestro還支援事件驅動模式，可以指定驅動流程的事件，一旦出現了指定事件，才會啟動對應的工作流程。資料使用者得將想要執行的工作流程，註冊到訊號服務中，這個訊號服務會不斷偵測各種資料來源的變動事件資訊，一但出現某個資料事件，例如檔案上傳到S3了，就會驅動在登記清單中的工作流程所對應的任務，來展開批次處理作業。</p> <p>在Netflix資料工程架構中的各種工具和系統，幾乎所有的事件都會留下Log紀錄，儲存到資料倉儲中，整合到一個隨時可用的Iceberg資料表中，包括了每一項批次處理的所有任務，所有的資料稽核結果，資料表的各種使用行為等。</p> <p>批次處理流程的最後一項是資料管理。Netflix有一個成本分析儀表板工具dlmdash，用來計算每一個資料工作流程的運算成本，還有資料表的儲存成本，並且會按照團隊、部門、平臺來分類統計，也會列出成本特別高的排名清單。不只分析成本，資料管理上搭配了一個主動式的資料清潔工工具，會自動清除沒有使用的資料。</p> <p>例如，不少工程師在開發階段常會建立了不少只有自己才會用到的資料欄位，等到將這隻程式部署到正式環境後，清潔工工具就會自動移除那些只給個人使用的資料欄位來節省資源。或是有資料工程師新建了一個資料表，經過一段時間都還沒開始使用，清潔工工具也會自動刪除這個資料表。這個資料清潔工工具，會強制執行Netflix的資料留存規則，不符者就會移除。</p> <p><a href="https://www.ithome.com.tw/article/160920" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1165-feng_mian_gu_shi_-1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=8VOPlc7w" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/19 12:00作者王宏仁https://www.ithome.com.tw/news/160916
Netflix即時資料處理資料工程架構大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了批次流程以外，另一個Netflix資料工程架構中的重要流程是即時資料的處理流程，包括了串流資料和資料服務產生的資料處理。</p> <p>這個即時資料平臺的核心是Apache Flink，這是Netflix用了多年的串流主要技術，在這個即時資料平臺上，提供了大規模執行Flink任務和打造Flink應用的工具，也可以與底層基礎架構系統溝通，來部署需要的容器叢集資源，例如透過Spinnaker派送平臺，將串流任務派送到不同公雲上的運算叢集來部署。另外也內建了可觀察性、警報機制、配置機制和效能矩陣等工具。透過一個網頁介面的控制平臺（Control Plane），資料工程師可以很容易管理在這個即時資料平臺上的Flink應用。</p> <p>除了自己開發Flink的應用來處理串流服務之外，這個即時資料平臺也提供一個串流處理即服務（Streaming Platform as a Service），稱為Keystone，提供了一個現成、能自行客製和管理的串流服務平臺，可以用來組合出一隻大規模串流處理的應用服務，而不用從頭開始打造所有的串流服務元件，讓資料使用者專心處理串流資料處理的業務邏輯，其他非功能性的串流服務需求，則直接使用這個平臺提供的元件服務來組合。</p> <p>換句話說，多數串流處理任務都可以直接用Keystone上的串流處理服務提供的元件來組合出一隻專用的串流處理應用，Netflix也會利用Keystone可以設計一個專門回補資料（Backfilling）的串流處理程序，例如有時會因為網路延遲而晚到，來不及寫入原本串流處理程序的資料，可改用這個回補處理程序，來將缺漏的資料，寫回到原本的串流處理應用中。</p> <p>在即時資料處理流程的可觀察性上，主要透過另一套串流應用監控服務Mantis，來觀察不同資料處理階段的狀態，可以追蹤這些串流處理任務的部署和管理，像是這些任務的資源調度或是彼此之間的溝通，也提供了可視化介面來呈現透過Mantis蒐集到的可觀察性數據。</p> <p>Netflix會將常用或成熟的即時資料處理程序，透過Spring boot框架和gRPC，打包成一個套裝的即時資料服務（Real-time Data Services），對外提供給其他資料消費者。例如他們有一個抽取使用者互動資料特徵的處理作業，稱為 PLUID，會打包成一隻PLUID即時資料服務，能夠提供行為特徵資料，來給模型訓練，或其他服務之用。這是他們現在越來越常用的模式，將即時資料處理程序，打包成雲端的資料服務，來串接其他應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-2-%E5%9C%964-%E4%B8%B2%E6%B5%81%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.png" style="width: 600px;" /></p> <p><strong><span style="color:#696969;">串流處理是Netflix資料工程技術架構中最典型的兩大資料流程之一。這個即時資料平臺提供了大規模執行Flink任務和打造Flink應用的工具，也可透過Spinnaker與底層基礎架構系統溝通，來部署需要的容器叢集資源。還內建了可觀察性、警報機制、配置機制和效能矩陣等工具。更提供了網頁介面的控制平臺（Control Plane），資料工程師可以很容易管理在這個即時資料平臺上的Flink應用。</span></strong><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Netfllix</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>最新一代資料處理平臺是資料網格平臺</strong></span></span></p> <p>Netflix的串流處理方式，除了用低階的Flink API來打造出一隻客製化的Flink，也可以用剛提到的Keystone來組合出一隻串流處理應用，但是，Keystone擅長ETL類的資料處理，遇到更複雜的資料處理邏輯，還要擴大規模，Keystone就顯得不夠用。</p> <p>這幾年，Netflix發展出了一套新的資料處理平臺，稱為Data Mesh（資料網格平臺），可以從更抽象化的層次來設計、執行和管理資料處理流程。</p> <p>資料網格平臺是一個通用型的資料移動和處理平臺。一開始，在2021年時，Netflix製片工作室為了將龐大的影片資料，在不同的電影製作階段中，需要一有影片內容異動，就得將異動段落內容，更新派送到不同的製作公司的資料工作流程管理平臺，當時的資料網格平臺還不是通用型的平臺，主要用來處理以異動資料更新模式為主的資料移動作業需求。</p> <p>後來，資料網格平臺所支援的資料來源和資料類型越來越多，也可以支援更多形式的資料處理作業，甚至是一般資料移動的模式，或是更複雜的資料處理模式，例如過濾、聯集處理、JOIN連結等。</p> <p>資料網格平臺主要功能區分為控制平臺（控制器）和資料平臺（工作流程），工作流程是實際的資料處理作業過程，而控制器則是用來接收使用者的需求，對定義好的工作流程，來進行部署和調度。控制器也會負責配置每一個工作流程需要的各種資源。一個工作流程，則包括了從不同資料源讀取資料，進行各種轉換處理，再存入資料儲存空間。</p> <p>在資料網格平臺上，資料使用者，可以從更抽象層的角度，來操作不同資料處理作業的功能區塊，組合成一個完整的資料處理流程，這些區塊包括了資料源區塊（存取內部資料源）、資料源連結器區塊（連結外部資料源）、處理器區塊（負責資料處理邏輯的Flink任務）、用Kafka打造的資料搬運層區塊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E5%B7%A5%E4%BD%9C%E6%B5%81%E7%A8%8BUI-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Netflix近3年又發展出了一套新的資料處理平臺，稱為Data Mesh（資料網格平臺），可以從更抽象化的層次來設計、執行和管理資料處理流程。資料使用者可以從更抽象層的角度，來操作不同資料處理作業的功能區塊。資料工程師只需控制滑鼠，拖拉UI介面上不同功能區塊元件，建立區塊間的連結關係，就可以完成這個工作流程，完全不用處理底層不同元件、服務、API之間的串接程式碼撰寫和配置細節。圖中為一個彙整不同公雲上不同資料來源，進行聯集處理、GraphQL處理、欄位更名再存入Iceberg資料表的工作流程。</strong><span style="font-size:14px;">圖片來源／Netfllix</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>所有工作流程都要定義資料結構，以便清楚追蹤資料血統</strong></span></span></p> <p>另外Netflix還規定，所有工作流程都要定義出資料Schema（資料結構），採用源自Hadoop專案的Avro資料格式，用JSON來訂定各自需要的資料架構格式。有了共同的資料架構格式，不只可以控管資料品質，能清楚追蹤資料血統（Data Lineage），也讓資料使用者更容易進行各種資料的探索。</p> <p>每當建立一個工作流程時，都須要同步定義出這個流程所用資料的資料結構，資料網格平臺會自動依據資料結構，對這個工作流程中所有資料進行驗證和相容檢查。也會有自動化機制處理資料結構的變化，如果資料源的資料結構改變了，資料網格平臺會自動更新哪些用到這個資料源的所有工作流程，不用人工比對和更新這些資料架構的異動，大大減少資料維護的例行工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用滑鼠拖拉功能區塊元件，就能快速設計出一條工作流程</strong></span></span></p> <p>不只如此，資料工程師可以透過宣告式API，或是容易操作的UI介面，快速設計出一項資料處理程序的完整工作流程。資料工程師只需控制滑鼠，拖拉UI介面上的區塊元件，建立區塊間的連結關係，就可以完成這個工作流程，完全不用處理底層不同元件、服務、API之間的串接程式碼撰寫和配置細節。有了預先訂定的各種資料處理工作流程，當資料使用者提出請求，資料網格平臺會自動依據流程上的每一個步驟、區塊的功能，自動執行一連串的作業。</p> <p>還有一群處理器區塊的工程師，專門開發和改善更多不同用途的Flink任務，來提供更多用途的處理器區塊。</p> <p>Netflix也提供了不少常見資料處理作業的最佳工作流程範本，稱為最佳上路範本（The Paved Path），讓資料工程師快速套用，不用從頭開始構思，只要從範本開始修改客製即可，來縮短資料處理流程的設計時間。資料網格平臺正是Netflix資料工程架構中，最新一代的資料工作流程解決方案，可以提供非常高層次的抽像化，讓資料使用者更直覺，也更能聚焦在業務邏輯上，來設計他所需要的資料處理流程。</p> <p>從零到2億名會員的過程中，為了支援各種資料工程的實踐，Netflix自己打造了各式各樣的工具和技術。Chris Stephens指出，資料工程技術架構最大的目的，就是要讓資料工程團隊最常做的事情，變得更簡單。</p> <p class="rtecenter"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%966-Datamesh-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.jpg" style="width: 600px;" /></span></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>有了預先訂定的各種資料處理工作流程，當資料使用者提出請求，資料網格平臺會自動依據流程上的每一個步驟、區塊的功能，自動執行一連串的作業。還有一群處理器區塊的工程師，專門開發和改善更多不同用途的Flink任務，來提供更多用途的處理器區塊。Netflix也提供了常見資料處理作業的最佳工作流程範本（The Paved Path），讓資料工程師快速套用，不用從頭開始構思，只要從範本開始修改客製即可，來縮短資料處理流程的設計時間。</strong><span style="font-size: 14px;">圖片來源／Netfllix</span></span></p> <p><a href="https://www.ithome.com.tw/article/160920" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1165-feng_mian_gu_shi_-1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=8VOPlc7w" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/19 12:00作者王宏仁https://www.ithome.com.tw/news/160918
Netflix靠技術變革打造現代化影音製作模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>影音巨頭Netflix不只是播放平臺，自己也製作了許多原創影音內容，從2013年的3部原創影集紙牌屋等開始，到了2023年，那一年推出的原創電影和紀錄片加起來，超過了200部，每年還會製作十來部劇集或系列動畫，一部動輒長達8集、10集影片。Netflix自己也因此成立了製片工作室Netflix Studio，來拍攝和製作這些原創影片。</p> <p>但是，Netflix不想沿用影劇產業的工作模式，而是要用技術顛覆傳統電影製作方式，來創造一個全新的現代化製片工作模式，他們發展出了一整套的影音製作工程（Studio Engineering），涵蓋了一部原創影片最初的提案，到最後觀眾按下播放鍵那一刻，他們簡稱為這是一個「Pitch to Play」流程，從提案評估、簽約協商、音樂授權、前置作業、影片拍攝、影片後製、影片在地化、影片品質管理、影音串流處理到播放，都盡可能運用技術來變革。</p> <p>在這個影音製作工程中，資料處理也是一大關鍵，一部影集製作涉及的資料包括了人力、供應商、製片契約等業務資料，還有各種財務資料，像是內容成本預測資料，製作成本數據、稅務資訊、內容攤提成本等，最大宗的是各種媒體資產的資料，包括了製作階段產生各種影片檔、音樂和特效，另外還有在地化階段建立的各國字幕資料、副配音檔（例如其他語言的配音）等。</p> <p>雖然一部影片，提案通過後，需要經過大量的協商討論，這其中也包括了撰寫出劇本，並且通過一定程序的討論和審查，但是，整套影片製作過程，可以進一步簡化成三個階段，前置、製片和後製，只要劇本完成通過審核後，就會展開實際的前期製作。</p> <p>劇本是所有製片工作計畫的源頭，這一份劇本會影響了整個製作的生命周期。從預算、製作規模、拍攝場景數、拍攝角色，甚至後續的字幕、配音都需要使用到劇本中的對話。通常一份劇本是一個龐大長達數百頁的Word文件，甚至長到難以直接餵入到機器學習模型中。但是Netflix有一套對於劇本格式的分析架構，可以將劇本文件轉換成結構化的劇本數據。</p> <p>尤其，在好萊塢的劇本，多年發展下來已經有一套標準的寫法，從劇本中的文字段落縮排結構，每一行的不同縮排代表了不同的意義，可能用來代表角色、對話、行動、角色提示、拍攝提示、場景、角色描述等不同類型的資料。另外拍攝團隊也需要花大量時間研究劇本，Netflix提供了一個劇本分析工具，讓相關工作人員更方便進行劇本分析，也容易加上各種註解和標籤，以便提醒該通知哪些相關人員或部門。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-3-600.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p>Netflix運用機器學習來分析劇本結構和大量的工作人員劇本註解，打造出了許多劇本分析輔助工具，有的工具可以自動估算拍攝時間成本，來減少人工估算的作業，也有不少工具用來建立一個標準化的分類，方便評估製作這部影片的複雜度，例如有一個視覺特效拍攝分類器，可以從劇本自動分析鏡頭的複雜度，來預估需要提供什麼規模的製作花費，讓劇集經理在前製作業就能判斷，哪些場景需要視覺特效處理，到了後製階段，就可以更準確的安排相關計畫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-3-600-2.png" style="width: 601px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Netflix</span></span></p> <p>後製階段也有許多需要資料工程團隊支援，例如影片製作完成後，到播放前得經過影片品質檢查的把關，這也是靠大量影音資料工程技術來處理，例如有一個機器學習模型，可以自動檢測片商送來的素材是否有不良品質的畫面，像過度曝光，黑斑，不該出現的現場膠帶等，這些自動審查結果會搭配人工判斷，來決定是否可接受還是要重新後製。</p> <p>另外，這個影片製作流程中的最後一段，則是會搜集各種用戶觀看的問題回饋，像是畫面模糊，頻寬不足之類抱怨，Netflix用NLP模型建立了一個用戶問題評分模型，可以分析用戶意見對不同類型問題的抱怨數量和嚴重程度，再將這些數據串連到品質控管流程，來評估是否要修補影片重新上架等品管作業的決策參考。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-3-600-3.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Netflix</span></p> <p>目前，Netflix正在打造一個內容理解平臺架構，可以支援不同影片製作階段的內容處理需求，以及一個能夠水平式擴張的機器學習服務，來提供如電腦視覺處理、NLP分析、會員理解等能力，更細緻地支援，從提案到播放的整套影片製作生命周期，每一階段需要的技術力。</p> <p><a href="https://www.ithome.com.tw/article/160920" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1165-feng_mian_gu_shi_-1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=8VOPlc7w" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/19 12:00作者王宏仁https://www.ithome.com.tw/news/160919
Meta改組AI部門，已著手訓練Llama 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theverge.com/2024/1/18/24043547/inside-meta-ai-reorg-mark-zuckerberg" target="_blank">《The Verge》</a>報導，為了使AI成為公司發展核心，Meta近日大舉改組旗下AI研發部門Facebook AI Research（FAIR）與產品部門整併，並已開始訓練下一代大型語言模型Llama 3，也可能將之開源。</p> <p>報導指出，Meta本周改組FAIR部門，將其與產品進一步整合，以便AI成為驅動Meta產品開發的核心引擎。在此變動中，FAIR將從Reality Labs變成產品部門的一部份，主管Joelle Pineau及首席科學家Yann LeCun也將由技術長Andrew Bosworth轄下改向產品主管Chris Cox報告。</p> <p>《The Verge》取得Cox的內部員工公開信指出，這次變動將使AI研究成為公司及產品的關鍵元素，將FAIR及生成式AI（GenAI）整合可讓公司有一致化的AI研究布局及藍圖，而Llama也將成為Meta公司向AGI（artificial general intelligence，通用人工智慧）前進的主要載具，以及更具效率的開發流程，以便研發通過法律、政策及品牌嚴格檢視的AI技術。</p> <p>這次改組也反映Meta執行長祖克柏（Mark Zuckerberg）接受《The Verge》專訪時，表達公司對AI更大的企圖及投資意願。祖克柏表示為了開發出想要的產品，必須建立AGI。AGI是指在各種領域和任務中，表現出與人類相媲美甚至超越人類的智慧行為的AI系統。他指出，Meta的企圖是打造優異（stat of art），最終成為業界第一的模型。</p> <p>為此，祖克柏透露，Meta正在開發下一代LLM Llama 3，這模型未來將會能自己撰寫程式碼，也將具有進階推理及規畫的能力。他並承諾，未來也會考慮開源Llama 3。</p> <p>為了訓練AI，Meta將繼續採購GPU打造基礎架構。祖克柏指出，計畫今年底前公司將有超過34萬顆Nvidia H100 GPU，而結合其他晶片，Meta預計將達到60萬H100的GPU運算容量。</p> <p>OpenAI執行長Sam Altman多次表達實現AGI的企圖，而Google也有類似計畫。<a href="https://www.ithome.com.tw/news/156498" target="_blank">Google去年4月</a>整併Alphabet子公司DeepMind及Google研究院Google Brain部門的AI研發人力，成為新事業群Google DeepMind。新DeepMind計畫包括開發具進階推理的Google AI模型，如Gemini Ultra，也會是負責任的AI，能遵循AI倫理及確保人類福祉。</p> </div></div></div>
2024/1/19 12:02作者林妍溱https://www.ithome.com.tw/news/160922
百年華南銀加速數位轉型，3大關鍵工程實現數位敏捷力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>直上總行20樓，兩間緊鄰的辦公空間，聚集兩支20人團隊。這是孵化華南銀行數位轉型的重要基地之一。「同仁擔心辦公室太亂，看過才有臨場感。」華南銀行金融科技暨作業管理群兼資訊科技管理群副總經理陳晞涵笑著推開辦公室大門，放眼望去，牆面分割出大小不一的區塊，區塊內貼了許多便利貼，記錄不同專案進度，討論聲此起彼落，員工時不時聚集在白板前追蹤專案進度，辦公座位間拿掉隔版，員工面對面坐著就能延續交流、討論。這間辦公環境如同新創車庫，卻是位在經營超過百年的華南銀行。</p> <p>辦公室外，分別掛了一面圖樣不同的錦旗，老鷹和鬥牛，各代表兩個團隊不同精神，總經理和高層親自在錦旗上簽名，展現對創新文化的支持。今年，華南銀行首次引入敏捷開發，建立兩個名為數位工場的敏捷組織。</p> <p>2022年年初，華南銀行啟動數位轉型計畫，不只要翻新資訊架構，更期望能促成營運轉型。3年轉型推動策略，圍繞在五大業務場景，包括臨櫃開戶、財管、信用卡信貸、個金數位通路和企金業務，計畫2025年能實現轉型目標。</p> <p>為了落實轉型戰略，華南銀行在總經理下設了一個數位轉型委員會，每月追蹤藍圖執行進度。2023年年初，正式成立金融科技部，統籌科技應用發展，作為轉型計畫的執行單位。</p> <p>推動轉型的關鍵人物，正是陳晞涵。他擔任華南銀行金融科技暨作業管理群兼資訊科技管理群副總經理，管理了客戶服務部、金融科技部，和通路暨作業管理部，從技術、營運到創新，都由他一手統籌。</p> <p>對百年企業來說，開展數位轉型並不容易，除了需重整運作多年的IT架構，也得改變作業流程，讓全行跟上創新腳步，更是一大挑戰。華南銀行找來知名美商顧問公司擬訂轉型策略，從去年開始進行三步關鍵工程，第一步，是引入敏捷開發，建立名為數位工場的跨部門協作小組，分別聚焦財管和企金領域，這兩支團隊隸屬於金融科技部。數位工場最大特色是，在同一工作場域聚集了不同部門人員，包括業務和IT，一起研發負責領域的數位創新產品或工具。</p> <p><span style="font-size:28px;"><strong>建立數位工場：首先聚焦企金和財管推敏捷開發</strong></span></p> <p>以企金業務為例，根據華南銀行內部研究顯示，過往企金業務人員花費七成時間查詢各種資料和處理文書，較少著重經營客戶管理，更因人員缺乏管理客戶資料的工具，難以支持業務主動經營客戶關係。因此，企金工場先打造了業績管理模組和客戶管理模組儀表板，協助企金業務快速查詢資料和制定策略。</p> <p>「數位工場不只專注單一工作任務，而為業務團隊建立一套運作機制。」陳晞涵解釋，財管和企金數位工場的目的是協助業務提升績效，同時滿足業務人員的使用需求。但是，達成這項目的的關鍵無法僅靠一個工具，需要集結跨部門單位，將不同業務數位化，才能建立一條龍處理機制。</p> <p>華南導入敏捷開發，則是為了開發更符合使用者需求的工具。傳統開發流程，由總行制定規格，委外給IT廠商，開發6～8個月後交付成品。但分行常常抱怨，採取委外開發的系統，不夠了解第一線的需求。採用敏捷模式的華南銀行數位工場，找來12間試點分行，最多3個月開發一個新版本，讓使用者試用，持續搜集使用回饋，來迭代改善所開發的系統。</p> <p>「透過兩個數位工場慢慢改變華南銀行的文化，以數位化互動促進行內溝通。」陳晞涵指出，藉由數位工場的產品試點計畫，能在蒐集分行回饋的過程之中，促進總行與分行間的雙向溝通。</p> <p>陳晞涵也期望，藉由財管和企金數位工場促成的業績成效，讓這套敏捷作法擴展到更多業務場景。接下來，華南銀行的目標是每年開立兩個數位工場，鎖定不同業務領域推出優化的產品和機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-CIO-600-V2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>華南銀行資訊科技管理群副總陳晞涵期望，藉由數位工場的產品試點計畫，在蒐集分行回饋的過程中促進總行與分行間的雙向溝通，慢慢改變華南銀行的文化。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>翻新資訊架構：建立前中後臺架構</strong></span></p> <p>為了支持業務團隊的敏捷開發，資訊架構也要跟上腳步。華南銀行轉型關鍵第二步是，逐漸翻新資訊架構，建立前、中、後臺架構。</p> <p>陳晞涵解釋，既有資訊架構沒有中臺的概念，所有業務處理邏輯主要集中在後臺核心系統，未來逐步推動核心轉型，將共用工作任務逐漸轉移到中臺。</p> <p>新的資訊架構區分為前、中、後臺。前臺包括了數位通路、臨櫃及人員通路、電話通路和內部服務等不同業務場景或通路。中臺同樣細分成四個平臺，包括了應用中臺、維運既監控中臺、數據中臺和機器人工廠，來支援業務快速將技術應用在不同服務場景。後臺則逐漸推動核心系統轉型，要引入模組化、微服務架構，來重構運作長達40年的核心系統。</p> <p>不只引進中臺架構，更細分成不同中臺。陳晞涵進一步說明，目前規劃四個中臺各有不同目的。應用中臺提供金融商品設計，再連接到前臺通路，讓業務能快速將產品上架至不同通路販售。維運暨監控平臺是要串聯不同的IT監控機制，建立一套整合式的監控系統，讓維運人員更快速找到問題出處，當顧客反映問題，就能搶先一步解決。而數據中臺則用來集中各類報表，也有資料科學家平臺，供業務單位快速查找，不再需要仰賴IT協助從後臺撈取資料。最後一項機器人工廠則是用來提供所有AI和RPA工具，目的是優化不同場景的作業流程。</p> <p>四大中臺計畫中，陳晞涵表示，機器人工廠是華南銀行今年的發展重點，不只是RPA機器人，還包括了AI。</p> <p>陳晞涵將銀行內部工作流程分為兩大類型，操作型工作和知識型工作。</p> <p>前者是可以用RPA自動化的工作，例如消費照會及集中作業流程。華南銀行很早就建立集中作業管理部門，將分行大量重複性工作集中到這個部門處理，例如分行龐大票據處理。陳晞涵表示，集中化作業是華南的特色，但目前集中後仍大量依靠人力，未來希望透過RPA自動化，來加速這些作業作業流程。</p> <p>另外，陳晞涵計畫以生成式AI輔助銀行內部知識型工作，打造兩類AI助理。第一類是泛用型助理，像是用於會議記錄生成、摘要整理或是文件翻譯等；第二類則是專屬的華南AI大腦，銀行內會預先將知識庫文件提供給人工智慧系統，透過文件預處理、提示（Prompt）詢問、回饋迴路等手法打造客製化的AI助手。</p> <p>陳晞涵透露，華南銀行內部將優先在實務手冊導入生成式AI，協助提升臨櫃人員、客服人員及一般同仁的工作效率。這款華南AI大腦助理，除了可以快速搜尋內部知識並摘要重點來回答，也能標註原始文件出處供同仁檢索查證。</p> <p><span style="font-size:28px;"><strong>推動端到端數位化：建立橫向流程團隊進行流程改造</strong></span></p> <p>華南銀行的轉型企圖心不僅於此，他們的關鍵第三步，是要以端到端數位化策略大力推動全行無紙化。</p> <p>陳晞涵指出，要實現端到端數位化，全套流程中的每一個節點都要數位化，對金融業而言，並非易事。金融業的工作流程往往涉及多個業務單位，得靠各部門合作才能進行流程數位化。只要有一個單位推動力道弱，工作流程就可能出現斷點。</p> <p>舉例來說，信用卡申請流程從進件、集中作業處理、審查到發卡，需透過各區域行銷、授信、風管和集中作業單位協作，才能完成一整套橫向流程。要打造信用卡秒發卡秒綁卡的全面數位化作業，若有一個單位合作意願低，流程就會產生斷點。</p> <p>「要做到端到端數位化，需要單一部門串通所有業務單位。」面對這些挑戰，陳晞涵的解決方式是成立跨部門虛擬團隊，由金融科技部出面統籌流程改造，來協調不同業務單位的需求。</p> <p>數位工場和跨部門虛擬團隊都是華南銀行新的內部橫向組織形式，前者聚焦在作業流程的創新，但後者聚焦在數據流程的整合，而且不同於數位工場將人力集中辦公的模式，陳晞涵解釋，虛擬團隊是以專案串連不同業務部門人員，員工依舊在各自單位，共同執行一項流程數位化工作。</p> <p>目前，華南銀行聚焦兩個先導專案，臨櫃開戶和信用卡申請流程優化。陳晞涵表示，先導專案成功後，會進一步推動總行和分行無紙化，將許多繁雜、重複的人工作業數位化。</p> <p>整合了過去一年多來轉型推動的經驗，華南銀行金融科技群戰略明年將聚焦於四大平臺共14項行動方案，涵蓋了數位流程平臺、智能數據平臺、客戶服務平臺和營運集作平臺。</p> <p>數位流程平臺的目標是提升顧客和員工體驗，透過EdgE推動總行分行無紙化，打造數位化工作環境。並從顧客體驗優化角度來支援數據轉型，在智能數據平臺上導入CRM、自助式BI分析工具、AI創新的金融服務等。面對客戶的服務則會發展成全行性的智能語音平臺中臺服務，提供AI語音外撥與回應、智能文字客服2.0，還有智能語音質檢等。</p> <p>最後在營運集中平臺上則要打造出最適化的標準分行設計，和更多數位化、自動化作業，更要納入內部碳定價，將減碳目標融入數位轉型中。因應主管機關鬆綁金融上雲規範，華南銀行未來將建立SRE團隊，數位協作工具是上雲第一步。</p> <p>數位優先、數據驅動，這是華南銀行想要實現的數位敏捷力，也是陳晞涵最重要的轉型挑戰。<strong>採訪⊙王宏仁、李昀璇、撰文⊙李昀璇</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>陳晞涵　華南商業銀行金融科技暨作業管理群兼資訊科技管理群副總經理</strong></p> <p>學歷：美國波士頓大學企管及資管雙碩士</p> <p>經歷：曾擔任中國信託副總和IBM管理顧問，負責資訊策略規劃、企業轉型及科技架構諮詢。2023年進入華南商業銀行，同時擔任資訊科技管理群和金融科技暨作業管理群副總，負責資訊策略規劃，數位金融科技推展，協助實現業務目標等工作，也擔任華南金控資安長。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1195-CIO-250.jpg" style="width: 251px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>華南商業銀行</strong></p> <p>地址：臺北市信義區松仁路123號</p> <p>成立時間：1919年1月29日</p> <p>董事長：張雲鵬</p> <p>總經理：黃俊智</p> <p>營收：112年截至11月底，累計合併稅後淨利187.26億元</p> <p>員工人數：截至111年12月底，員工人數約 8,151人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 部門檔案 </span></strong></span></p> <p>單位名稱：金融科技暨作業管理群、資訊管理群</p> <p>單位主管職稱：金融科技群副總經理、資訊管理群副總經理</p> <p>單位主管姓名：陳晞涵</p> <p>單位分工：金融科技暨作業管理群轄下三部門：金融科技部、通路暨作業管理部、客戶服務部；資訊管理群轄下三部門：資訊規劃開發部、資訊作業服務部、資訊安全部。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1919年：華南銀行開業</p> <p>1976年：設置IBM370電腦主機</p> <p>1981年：設立資訊室</p> <p>1985年：完成國內銀行第一家消費者貸款連線作業，並在同年底完成全行所有存款整體連線作業</p> <p>2000年：建置高速光纖骨幹網路，完成中壢帳務主機異地備援中心</p> <p>2004年：率先推出網路銀行，建構全球金融服務網</p> <p>2012年：取得資訊安全管理制度（ISO27001）認證</p> <p>2015年：建置私有雲雲端管理平臺</p> <p>2016年：取得ISO 20000資訊服務管理制度認證、推出副品牌SnY數位存款帳戶</p> <p>2018年：設立資訊安全部；推動及首家開辦「台灣Pay QR Code共通支付」業務</p> <p>2019年：上架第一階段「公開資料查詢」API、開辦「開放銀行第二階段消費者資訊查詢」業務。</p> <p>2021年：開辦行動銀行「手機門號轉帳服務」、導入「MobileID行動身分認證服務」</p> <p>2022年：導入個人化資料自主運用平臺、光學文字辨識平臺</p> <p>2023年：正式成立金融科技部</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1195-cio-960.jpg" width="960" height="420" alt="" title="華南商業銀行金融科技暨作業管理群兼資訊科技管理群副總經理陳晞涵　（攝影／洪政偉）" /></div></div></div>
2024/1/19 12:16作者李昀璇https://www.ithome.com.tw/people/160869
IT節約要從軟體架構上手
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，Linux基金會旗下有個FinOps基金會，調查了1千多家企業上雲的花費，結果相當驚人！超過36%的企業，上雲費用每年超過了百萬美元，甚至有少數大型企業付了超過10億美元之多。雲端資源看似沒有極限，但最大的代價就是得按用量計價，用越多、越久，就越貴。</p> <p>所以，國外企業積極上雲多年之後，這兩年開始回頭檢視雲端費用的管理挑戰，興起了一股FinOps浪潮。</p> <p>不少重度上雲的大型企業，也陸續分享了自身推動FinOps的經驗。例如一年科技預算超過150億美元的摩根大通，也開始重視雲端成本的控管，在內部組成了一個FinOps社群，集結了CIO、財務部門、AP擁有者、業務第一線人員、IT現代化推動團隊等角色，讓所有與上雲相關的人員，共通分攤上雲維運責任，也共同管理雲端財務。</p> <p>摩根大通一方面讓跨雲支出更加透明化，另一方面則是盡可能將各種雲端資產用到必要的刀口，先聚焦在6項持續改善的行動，包括建立責任共享和分攤的制度、改善效能、優化資料架構、改善資料應用、提升資料透明度、優化維運方法。</p> <p>全球零售龍頭Walmart則是推動FinOps的組織協作，要求工程團隊開始注重每一天的上雲花費，更從每天花費的變化率，來思考對顧客的影響。FinOps支援團隊不介入各部門的FinOps改善，而是想辦法促進工程團隊和業務團隊之間的合作，共同討論和激盪，有哪些可能改善效率的機會，來達到降低上雲費用的效果。</p> <p>不論是摩根大通或是Walmart，上雲成本控管的一大關鍵都是要盡可能提高軟體系統的運作效率。但該怎麼做，可以做得更好呢？</p> <p>在去年re:Invent 2023大會上，全球最大電商Amazon技術長Werner Vogels提出一個新軟體架構設計法則，稱為「節約架構（Frugal Architect）」設計法則，他呼籲企業，要將成本意識納入軟體架構設計中，進而達成永續目標。這個節約架構，來自亞馬遜二十多年來軟體開發經驗的總結。</p> <p>這個節約架構包括了三大類、七項軟體架構設計法則，Vogels用法則來形容，意思是指這是7條過往龐大經驗的心得，而非硬性的規定。並區分成三類，「設計（Design）」、「量測（Measure）」與「最佳化（Optimize）」，則是要提供一個框架式的思考架構。</p> <p>第一條法則就是「將成本納入非功能性需求」，和資安、法規遵循、無障礙設計、效能、可用性、擴充性、可維護性等都是必要的非功能性需求，在軟體架構設計的每一個環節都要有成本意識。其次，「系統成本必須跟公司獲利保持一致」，確保系統成本支出提高時，營收也要成長，第三是「系統架構是一連串的權衡和取捨」，要保持軟體架構可以不斷進化和改善。</p> <p>等到軟體系統上線後，還需要進行各種量測，Werner Vogels提出的第四法則是，「無法量測的系統必有隱藏的成本」。能夠想辦法量測，才能依據成本效益和永續指標來訂定基準，例如用於開發新功能的策略，或是作為系統改善的衡量基準。</p> <p>像亞馬遜購物網站採微服務架構，他們會先計算每一個微服務的運算成本，再來衡量網站上，每一個功能所用微服務的成本加總，再除以網頁瀏覽量，就能知道，每讀取一個網頁的單位運算成本。搭配每個網頁帶來的下單轉換率，就能知道網頁成本和轉換率的關係，來分析成本效益。</p> <p>有了清楚的成本結構，就能夠建立成本控制措施，來進行各項最佳化。節約架構第五法則就是「有成本意識的架構必有成本控制措施」。</p> <p>推動最佳化時也得意識到，「成本最佳化是漸進的」，這是第六法則，需要持續調整，逐漸改善，從不起眼的細節改善，來避免累積成很大的數位浪費。更可以透過應用程式效能分析（Profiling），來了解隱藏的數位浪費。</p> <p>最後一項法則與態度有關，「無庸置疑的成功必將導致錯誤的臆斷」。Werner Vogels提醒，一昧複製過去的成功，就無法持續改善，軟體開發團隊得打破技術本位的思維，來保持進步。</p> <p>這七大法則都是老一輩軟體開發前輩的老生常談，但Werner Vogels認為，逐漸失傳的技藝，隨著永續需求迎面而來，從運算成本著手，將是最接近達成永續目標的作法。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></p> <p><span style="font-size:28px;"><strong><a href="https://www.ithome.com.tw/news/160659" target="_blank">搶救 IT 失傳技藝，亞馬遜技術長倡議節約架構</a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/160225" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1159-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=OPqQ_NNd" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/amazon">Amazon</a></div><div class="field-item odd"><a href="/tags/werner-vogels">Werner Vogels</a></div><div class="field-item even"><a href="/tags/%E6%8A%80%E8%A1%93%E9%95%B7">技術長</a></div><div class="field-item odd"><a href="/tags/%E6%88%90%E6%9C%AC">成本</a></div><div class="field-item even"><a href="/tags/%E8%BB%9F%E9%AB%94%E6%9E%B6%E6%A7%8B">軟體架構</a></div><div class="field-item odd"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div></div></div>
2024/1/19 12:19作者王宏仁https://www.ithome.com.tw/voice/160923
Cloud周報第191期：為應對年暴增4倍的雲端用量，滙豐銀行導入FinOps優化雲端財務與克服跨雲成本管理挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（01/11～01/17）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 軟體訂閱制 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud祭出免費資料轉出新政策！未來用戶資料遷出免付費</span></strong></p> <p>最近，Google率先宣布取消對企業用戶的資料遷出費用。換句話說，Google Cloud用戶若決定停用服務並將資料轉移到其他雲端供應商或本地部署，現在可以免費進行資料遷出。</p> <p>過去，企業若想將資料從一家公雲平臺轉出到另一家，通常會都面臨資料轉出費用的要求。儘管每GB的價格可能低於0.0X美元，考慮到用戶通常擁有龐大的資料量，遷移的成本相當可觀，使其更難轉向其他公雲服務。</p> <p>隨著Google態度改變不再向用戶收取資料遷出費用，外界分析，這將迫使微軟及AWS等主要雲端服務供應商一併跟進。再加上VMwarw全訂閱制實施後，不少企業開始考慮上公雲或發展混合雲架構，Google Cloud資料遷出免付費的策略將成為新誘因，提高企業採用其服務的意願。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">VMware </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">VMware全面轉向訂閱新制，將帶動企業加速邁向雲原生</span></strong></p> <p>去年底，VMware全面轉為訂閱付費制後，許多企業在接下來的兩年內將面臨是要繼續留在地端還是直接上雲的重要抉擇。在臺灣，有些企業已經開始評估使用公雲作為其替代方案。例如，台灣世曦工程顧問公司計畫今年優先將其用於備份的VM搬上公雲，逐步取代地端部署的虛擬機。</p> <p>對許多企業來說，倘若未來VMware地端訂閱授權費用和雲端服務相近，考慮到日後維運和管理的便利性，上雲似乎將成為更好的選擇。</p> <p>VMware事件帶來的效應，不只影響VMware既有用戶未來虛擬化平臺的選用，對這些原本已經準備朝向公雲發展的企業而言，也有可能因為VMware事件加速其向公雲遷移。</p> <p>不僅如此，在上雲法規大鬆綁下，金融業、醫療業在這兩年紛紛上雲，未來也可能因為這起事件，進一步加速了這些行業今年上雲的腳步。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">滙豐銀行 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FinOps </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">為克服雲用量年暴增4倍，滙豐銀行導入FinOps優化雲端財務與迎戰跨雲成本管理挑戰</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap41(1).png" style="width: 600px; height: 318px;" /></p> <p>隨著企業擴大上雲規模，上雲成本的控管也成了重要的議題。例如擁抱公雲多年的滙豐銀行（HSBC），近幾年面臨了雲端費用爆增的挑戰，再加上多雲策略，也增加了他們在跨雲成本管理的複雜度。</p> <p>滙豐銀行的雲端費用增長多迅速？滙豐銀行雲端IT營運長Natalie Daley<a href="https://youtu.be/gYbccHWAIzE?si=-rDqEmo4k4CBOW1d&t=1266">舉例</a>，單單第一年上雲過程中，滙豐銀行的雲端用量就暴增4倍，光是記錄在Excel檔案中的所有雲端帳單明細加總，就有高達100萬筆之多，導致上雲成本大增。</p> <p>為了改善這個問題，滙豐銀行自2020年起導入FinOps雲端財務管理的做法，並依據回報（showback）、計費（Chargeback）、預測、優化、商業成熟度（Business Readiness）、能力提升（Capability Upli）等六階段執行，持續改善雲端用量和成本。此外，他們還採用多種FinOps工具和相關服務，協助建立和管理雲端服務使用足跡。</p> <p>滙豐銀行開始FinOps實踐後帶來諸多好處，例如能夠幫助他們增加與CSP業者的談判籌碼，取得更優惠的折扣，或是有效制定節省成本的計畫。Natalie Daley表示，滙豐銀行第一年所省下的整體雲端費用中，6成是透過FinOps的實踐所帶有的成果。</p> <p>為了更好地推動組織內的FinOps發展，後來建立跨部門的中央FinOps團隊，負責推動FinOps。</p> <p>不僅如此，滙豐銀行未來計畫建立更自動化的FinOps流程和FinOps全堆疊，還要透過FinOps來評估地端到雲端的碳足跡，協助永續發展等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">納斯達克 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">納斯達克擁抱公雲更進一步，旗下債券交易所系統和GEMX平臺皆搬上雲</span></strong></p> <p>美國最大證券交易所納斯達克（Nasdaq）很早就開始擁抱公雲，近日他們公開了近幾年遷雲的成果，不僅在2022年完成將MRX交易所的關鍵核心交易系統搬上AWS，用於處理超過百億筆交易訊息，緊接著，在隔年完成將Nasdaq旗下GEMX平臺升級並遷上同一朵雲，同年更完成納斯達克債券交易所系統的搬遷上雲作業。。</p> <p>納斯達克聯席總裁Tal Cohen表示，交易所從地端搬上公雲，需經過非常複雜的流程、系統遷移和本機協定網路架構。因此，他們同時採用AWS混合雲機櫃Outposts，幫助他們能夠快速調整營運系統和策略應對不斷變化的產業動態，也能因應證券市場的交易速度與監管要求，</p> <p>核心交易系統遷雲後，納斯達克計畫將雲端AI融入到現有業務環節中，一方面利用AI輔助工程團隊提高程式開發效率，目標提升25％至35％的生產力；另一方面，納斯達克將在新型Dynamic M-ELO的交易訂單類型中結合更多AI應用。該訂單服務未來將透過Amazon SageMaker平臺提供，預計今年第一季推出。除此之外，還有約20種AI驅動或支援的產品正在發展中。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出個人訂閱方案的Copilot Pro版本，每人每月20美元</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(6)(1).png" style="width: 600px; height: 339px;" /></p> <p>不只有企業付費版的Copilot，微軟近日推出了個人訂閱方案的Copilot Pro版本，藉此將Copilot擴大到更多企業，甚至個人用戶，未來都能使用Copilot內建的生成式AI功能，運用在程式開發、研究資訊彙整、內容創作等協助。並採訂閱付費制，每人每月20美元。</p> <p>除了有Copilot Pro方案外，微軟還擴大Copilot for M365服務的適用範圍，現在企業不分規模都可以使用M365應用程式中的Copilot服務完成各種任務。如果是M365 Business Premium或Business Standard用戶需取得Copilot功能時，每月訂閱費為30美元。</p> <p>除此之外，使用者還可利用新的Copilot GPTs功能，客製出特定主題行為的Copilot，像是健身、旅遊或烹飪等主題。微軟還推出了行動版Copilot，讓使用者也能在安卓、iOS兩大行動平臺中使用它完成各種AI輔助操作。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDC </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IDC預估2023年雲端基礎設施支出破千億美元，增長近1成</span></strong></p> <p>市調機構IDC發布最新一季的全球基礎設施報告，結果顯示去年第3季全球雲端基礎設施支出的成長，持續超過非雲端領域，特別是運算和儲存基礎設施方面表現亮眼，在私有雲和公雲的整體支出年增2.9%，達254億美元。</p> <p>各別來看，本季公雲基礎設施支出達185億美元，年增7.2%，持續高於私有雲和非雲端支出。私有雲在該季年支出反而減少7.2%，縮至69億美元。</p> <p>整年來看，IDC預估2023年雲端基礎設施支出成長9.7%，達到1,006 億美元。其中公雲支出預計成長13.9%，達到全年722億美元，而私雲支出則是0.3%成長，年達283億美元。從長遠來看，IDC預測，全球雲端基礎設施支出未來3年複合成長率將達10.6%，2027年將成長達到1,520億美元的規模。</p> <p> </p> <p>圖片來源／FinOps基金會、微</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.AWS容器服務ECS正式原生支援區塊儲存EBS</strong></p> <p><strong>2.微軟Azure OpenAI推出一系列零售AI工具，提升顧客購物體驗與店舖營運效率</strong></p> <p><strong>3.英國電信商沃達豐與微軟簽署長期戰略合作，將合推生成式AI、數位和雲端服務</strong></p> <p><strong>4.微軟釋出Azure量子開發套件工具包1.0版，在瀏覽器中就能進行量子運算的程式開發</strong></p> <p><strong>資料來源：iThome整理，2024年1月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/1/19 09:54作者余至浩https://www.ithome.com.tw/news/160917
GPU漏洞允許駭客自記憶體汲取資料，殃及蘋果、AMD與高通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.trailofbits.com/2024/01/16/leftoverlocals-listening-to-llm-responses-through-leaked-gpu-local-memory/" target="_blank">資安業者Trail of Bits本周揭露</a>了一個存在於通用繪圖處理器（General-Purpose Graphics Processing Unit，GPGPU）的安全漏洞CVE-2023-4969，該漏洞可用來恢復其它程序於GPU本地端記憶體所建立的資料，因而將其稱為LeftoverLocals漏洞，殃及蘋果、AMD、高通及Imagination的GPU，但Nvidia、英特爾與Arm的GPU產品則不受影響。</p> <p>GPU原本是用來加速電腦繪圖，但其大規模平行能力與高記憶體頻寬，也讓它成為現代科學運算、人工智慧（AI）與機器學習（ML）應用的標準硬體加速器，一個GPGPU平臺則可將CPU記憶體複製至GPU，以執行相關的高階運算任務。</p> <p>然而，研究人員發現，有別於CPU框架，許多GPU框架並未充分地隔離記憶體，使得GPU核心有機會觀察到在同一臺機器上、由另一個GPU核心所寫入本地端記憶體的值。於是，駭客便有可能藉由諸如OpenCL等可程式化介面來存取共享GPU，竊取由其它使用者或程序所輸入的記憶體資料，在ML正興起的時代，可能產生嚴重的後果。</p> <p>Trail of Bits利用Listener與Writer程式來闡明LeftoverLocals漏洞，Listener程式負責啟動GPU核心讀取未初始化的本地端記憶體，而Writer程式則利用GPU核心於本地端記憶體寫入一個實驗性的金絲雀值，它們會重複啟動各自的核心，若Listener能夠可靠地讀取金絲雀值，便證明該平臺含有LeftoverLocals漏洞，並建議GPU供應商可藉由在呼叫核心之間清除本地端記憶體，來對抗LeftoverLocals漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-LeftoverLocals-vulner-%20A%20Listener%20and%20a%20Writer%20processes-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Trail%20of%20Bits.png" style="width: 600px;" /></p> <p><a href="http://blog.trailofbits.com/2024/01/16/leftoverlocals-listening-to-llm-responses-through-leaked-gpu-local-memory/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Trail of Bits</span></span></a></p> <p>Trail of Bits總計測試了7家GPU供應商的11臺裝置，並在蘋果、AMD與高通的裝置上偵測到LeftoverLocals的存在，並表示記憶體外洩資料的容量取決於GPU的大小，愈大的GPU含有愈多的記憶體即可能外洩更多資料，例如在AMD Radeon RX 7900 XT上可在每個核心中恢復5MB的資料。</p> <p>而受到LeftoverLocals漏洞波及的裝置涵蓋了蘋果的iPhone 12 Pro（A14）、第三代iPad Air（A12）、採用M2的MacBook Air及採用高通Snapdragon處理器的HTC 1+等。至於Trail of Bits並沒有在Imagination裝置上偵測到LeftoverLocals，是由Google在不同的Imagination裝置上發現的。</p> <p>Trail of Bits是在去年9月向CERT/CC 提報LeftoverLocals漏洞，並於本周發表。</p> </div></div></div>
2024/1/19 08:25作者陳曉莉https://www.ithome.com.tw/news/160915
JFrog Artifactory整合Amazon SageMaker提升機器學習模型開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JFrog<a href="https://jfrog.com/blog/integrating-jfrog-artifactory-with-amazon-sagemaker/">宣布</a>提供Artifactory與機器學習服務Amazon SageMaker整合功能，藉由結合兩項服務，使得機器學習模型開發能夠也應用DevSecOps工作流程，並與其他軟體開發元件一起交付，使模型在發布時維持不可篡改、可追蹤、高安全性和可驗證性。</p> <p>JFrog Artifactory構件儲存服務，適用於儲存和管理軟體供應鏈中，所用到的構件、二進位檔案、套件、檔案、容器和元件。而Amazon SageMaker則是全託管機器學習服務，提供用戶一系列建置、訓練和部署機器學習模型的工具。</p> <p>在機器學習開發中，Artifactory提供版本控制和追蹤功能，方便管理大型且複雜的機器學習模型，使得模型各部分都能獲得精確的版本管理和安全性控制。其次，機器學習開發過程需要用來自公共儲存庫諸如PyPI、Docker Hub、Hugging Face的第三方軟體包，與含有私有程式碼的私有儲存庫，Artifactory則能有效管理相依項目，與相依項目之間的關係。</p> <p>Artifactory也能處理安全性和法遵問題，像是專案所使用的Docker映像檔，或是其他相依項目可能存在安全漏洞，Artifactory能助用戶辨識這些漏洞並提供修復建議，進而降低安全風險，即便新的相依項目不可用或是不相容，Artifactory也能快速回退至先前的版本，減少開發中斷發生。在機器學習模型授權條款不適用於組織時，Artifactory能夠發現快速找到替代方案，並重新配置相依項目，降低違反授權和法律遵循的風險。</p> <p>SageMaker所提供的內建功能已經能夠滿足常見機器學習開發用例，而整合Artifactory可以提供更專業或是特定用途所需的模型和工具，模型開發人員可以存取專有資源，用於研究、訓練和測試，而且也能供組織平臺和基礎設施團隊標準化開發環境，提高效率並滿足生產部署所需遵循的法規。此外，整合功能也可在需要的情況下，清除多餘未使用的套件和框架，使產品構件更精簡。</p> <p>用戶除了可以使用SageMaker內建的工具之外，JFrog Artifactor也提供機器學習常用開發工具，包括引入Hugging Face儲存庫、容器映像檔註冊表、Python儲存庫與JFrog CLI，官方提到，這些工具都可以在SageMaker環境中使用。</p> <p>Artifactory用戶可透過多種方式與SageMaker結合使用，但主要開發工作還是發生在SageMaker服務中，用戶於開發過程視時機啟用Artifactory執行個體授權存取，進而允許從Artifactory檢索構件，以及儲存專案所有的構件。</p> </div></div></div>
2024/1/19 08:38作者李建興https://www.ithome.com.tw/news/160914
SQLite 3.45加入JSONB格式支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名資料庫SQLite發布最新的<a href="https://www.sqlite.org/changes.html#version_3_45_0">3.45</a>版本，該版本其中一項值得注意的更新，在於JSON SQL函式的強化。SQLite 3.45所有JSON函式都被重寫，改用新的內部解析樹格式<a href="https://www.sqlite.org/json1.html#jsonbx">JSONB</a>，JSONB格式可以序列化並儲存在資料庫中，避免在使用JSON值時，還需要進行不必要的重複解析，因此透過支援JSONB，SQLite在處理JSON資料能夠更高效靈活。</p> <p>JSONB是一種新的二進位表示方式，用於內部儲存和處理JSON資料，SQLite支援JSONB的目的，便是要提高處理JSON資料的效率和效能。JSONB能夠將JSON的解析樹，以BLOB二進位的形式儲存在磁碟上，且可以減少應用程式讀取和更新JSON值的解析和渲染開銷，比起JSON，JSONB使用更小的磁碟空間，在處理速度上更快。</p> <p>透過支援JSONB，SQLite還能更好地與其他二進位JSON格式系統整合，除此之外，雖然目前SQLite的JSONB不支援O(1)時間複雜度元素查詢，但在其格式保留添加該功能的空間，因此未來版本的效能可能還會有進一步提高。</p> <p>SQLite承諾其生成的JSONB保證格式良好，但是由於JSONB本質上就是一個BLOB，因此可能存在格式不正確的JSONB，而SQLite在處理格式不正確的JSONB，就可能出現不同行為，像是產生錯誤、回傳正確或是錯誤答案等情況發生。不過SQLite也保證，格式錯誤的JSONB永遠不會導致記憶體錯誤或是類似問題，也不會出現系統漏洞。</p> </div></div></div>
2024/1/19 08:19作者李建興https://www.ithome.com.tw/news/160913
【資安日報】1月18日，多款竊資軟體穿透macOS內建的惡意程式防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2、3年竊資軟體（Infostealer）肆虐，駭客從原本針對Windows電腦下手，也將部分目標轉向macOS電腦，針對該作業系統打造的竊資軟體，在過去一年更是不斷出現攻擊行動。</p> <p>如今有研究人員提出警告，攻擊者鎖定macOS內建的防護功能，企圖避開偵測，而其中1種遭到頻頻闖關成功的就是防惡意軟體機制XProtect，企圖打造其特徵碼無法識別的竊資軟體來隱匿行蹤。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/blog/the-many-faces-of-undetected-macos-infostealers-keysteal-atomic-cherrypie-continue-to-adapt/"><strong style="font-size: 22px;">竊資軟體鎖定Mac電腦而來，繞過作業系統的防護機制XProtect來迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/undetected_macOS_infostealers_5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/undetected_macOS_infostealers_5.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne針對竊資軟體鎖定Mac電腦的情況提出警告，指出現今這類惡意程式幾乎能直接繞過macOS作業系統內建的防惡意軟體機制XProtect。對此，研究人員針對他們調查的3種竊資軟體KeySteal、Atomic Stealer、CherryPie（Gary Stealer），進行說明。</p> <p>KeySteal約從2021年出現，現在駭客假借提供ChatGPT、UnixProject等應用程式的名義，以多重架構的Mach-O執行檔來散布這個竊資軟體，但其途徑仍不明朗。研究人員發現此竊資軟體能完全躲過XProtect的偵測，而被上傳至惡意軟體檢測平臺VirusTotal的KeySteal檔案，僅有不到10款的防毒引擎視為有害。此外，駭客使用Objective C打造此惡意程式，並濫用臨時憑證進行簽章。</p> <p>而在去年出現多起攻擊行動的Atomic Stealer，1月10日資安業者Malwarebytes揭露以Go語言打造的版本，蘋果發布的1月份XProtect特徵碼納入相關偵測規則，但SentinelOne隨後看到駭客改以C++打造新版竊資軟體，VirusTotal能將其歸為惡意程式的防毒引擎更少，僅有5款。駭客以提供名為CrackInstaller、Cozy World Launcher的遊戲破解程式為由，透過與遊戲有關的社交平臺來散布。特別的是，駭客在惡意軟體的執行過程，引導受害者繞過Gatekeeper的管制。</p> <p>而對於第3款竊資軟體CherryPie，研究人員發現大部分版本都能逃過XProtect的偵測，且在VirusTotal上竟然沒有防毒引擎將其視為有害。此竊資軟體以Go語言打造而成，啟動時會透過特定參數停用Gatekeeper，然後以管理員權限執行sudo。</p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a"><strong style="font-size: 22px;">殭屍網路Androxgh0st鎖定PHPUnit、Laravel、Apache HTTP伺服器弱點，竊取AWS及微軟帳密</strong></a></p> <p></p> <p>1月16日美國聯邦調查局（FBI）及網路安全暨基礎設施調查局（CISA）聯手，針對Python惡意程式Androxgh0st的攻擊行動提出警告。</p> <p>此惡意軟體的主要攻擊目標是PHP單元測試框架PHPUnit、PHP網頁框架Laravel，以及Apache HTTP伺服器，分別鎖定遠端執行任意程式碼（RCE）漏洞CVE-2017-9841、CVE-2018-15133、CVE-2021-41773（CVSS風險評分為9.8、8.1、7.5）下手，得逞後對方會尋找Laravel存放的ENV檔案，挖掘敏感資料，包含AWS、Microsoft Office 365、SendGrid、Twilio等應用系統的帳密資料，該惡意程式也能盜取Laravel的應用程式金鑰，並透過PHP程式碼進行跨網站請求偽造（CSRF）攻擊，從而遠端執行任意程式碼（RCE）。</p> <p>此外，攻擊者還會透過Androxgh0st下載其他惡意檔案到網站伺服器，設置假冒網頁，透過URI開啟後門，使攻擊者可以下載更多惡意程式到網站中進行操作，並且存取網站的資料庫。一旦這些駭客取得特定雲端服務的帳密資料，他們就能採取進一步的攻擊行動，以AWS為例，對方可建立新的使用者及政策，FBI和CISA看到攻擊者建立新的AWS執行個體，用於進行其他掃描活動。</p> <p><a href="https://johnstawinski.com/2024/01/11/playing-with-fire-how-we-executed-a-critical-supply-chain-attack-on-pytorch/#identifying-the-vulnerability"><strong style="font-size: 22px;">機器學習框架PyTorch存在軟體供應鏈弱點，攻擊者可鎖定CI/CD流程下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PyTorch-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PyTorch-4.png" style="width: 300px; float: right;" /></a>研究人員John Stawinski IV揭露針對機器學習框架PyTorch的軟體供應鏈攻擊手法，這種手法源於軟體開發自動化系統服務GitHub Actions的漏洞CVE-2023-49291（CVSS風險評分為9.8），一旦利用該漏洞，攻擊者就有機會操縱其CI/CD流程。</p> <p>而在PyTorch的供應鏈攻擊當中，攻擊者透過入侵PyTorch的CI/CD工作管線，向主儲存庫分支添加程式碼，上傳惡意的PyTorch版本到GitHub，還能在PyTorch的相依項目植入後門，進而影響PyTorch及其相依項目整個生態系。</p> <p>針對這種資安漏洞，研究人員指出，Meta對於PyTorch安全問題的回應極為緩慢，且修復措施的有效性也讓他們持保留態度。因此，他們認為用戶應尋求自保，方法是變更GitHub預設配置，要求所有外部合作者的分叉拉取請求都要進行批准，對於需要使用自行管理執行器（Self-Hosted Runners）的組織，應當使用隔離且一次性的執行器。</p> <p><strong style="font-size: 22px;">旅遊業者KKday前員工帶槍投靠新東家，竟是藉由沒有修改密碼的帳號存取後臺</strong></p> <p></p> <p>2022年9月旅遊業者KKday（酷遊天國際旅行社）進行內部資安稽核時發現，一名陳姓前經理在離職後，竊取相關帳密資料提供給新東家Klook（客遊天下旅行社）使用，KKday向調查局報案後，最近有了新的進展。</p> <p>根據臺蘋新聞網、自由時報、中時新聞網等媒體報導，檢調單位表示，KKday的前經理陳鈞暘於任職期間收集內部資訊，2019年離職投靠競爭對手Klook，並將相關資訊洩露給Klook員工陳柏安、孫儀芬，2人自2021年1月藉此存取KKday的系統，臺北地檢署偵查後，1月17日依涉犯《營業秘密法》起訴。</p> <p>但陳男離職後之所以能存取KKday的系統，是因為他在該公司任職期間得知KKday後臺系統的登入，是使用員工電子郵件信箱做為帳號，預設密碼皆為123456，後續到了Klook便與新同事進行測試，結果至少發現16個沿用預設密碼的後臺帳號。上述狀況代表KKday未強制要求員工變更系統登入帳號的預設密碼，使得有心人士能夠輕而易舉地闖進公司後臺系統拿走機密。</p> <p>資料來源</p> <p>1. <a href="https://tw.nextapple.com/local/20240117/C0733ECAB34F4AAD1A3FF4ECF0CF4FA1">https://tw.nextapple.com/local/20240117/C0733ECAB34F4AAD1A3FF4ECF0CF4FA1</a><br /> 2. <a href="https://news.ltn.com.tw/news/society/breakingnews/4554650">https://news.ltn.com.tw/news/society/breakingnews/4554650</a><br /> 3. <a href="https://www.chinatimes.com/realtimenews/20240117001501-260402">https://www.chinatimes.com/realtimenews/20240117001501-260402</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.oracle.com/security-alerts/cpujan2024.html"><strong style="font-size: 22px;">Oracle發布2024年第1季例行更新，提供389個修補程式</strong></a></p> <p></p> <p>1月17日Oracle發布今年第1個季度更新（Critical Patch Update，CPU），總共針對超過200個漏洞發布389個修補程式。</p> <p>其中比例最多的是Financial Services應用系統，該公司發布了71個修補程式，裡面有54個弱點，攻擊者可在未經身分驗證的情況下遠端觸發；其次是Communications、Communications Applications產品線，分別有55個、43個漏洞，且皆有超過半數能讓未通過身分驗證的攻擊者遠端利用（43個、25個）。</p> <p>此外，資料庫軟體MySQL本次該公司也修補了40個漏洞，當中有12個能被遠端利用，且過程中無須通過身分驗證。</p> <p><strong><a href="https://www.bitdefender.com/blog/labs/vulnerabilities-identified-in-bosch-bcc100-thermostat/"><strong style="font-size: 22px;">Bosch恆溫器存在漏洞，有可能被用於部署惡意軟體</strong></a></strong></p> <p></p> <p>針對智慧家庭的物聯網裝置資安，防毒業者Bitdefender針對Bosch旗下用於控制溫度的恆溫器BCC100進行調查，結果發現含有漏洞CVE-2023-49722。</p> <p>研究人員指出，此裝置透過2個微控制器運作，其中1個是漢楓Wi-Fi晶片HF-LPT230，另1個則是主要控制器，為意法半導體（STMicroelectronics）晶片STM32F103，處理恆溫器的命令。意法的晶片仰賴Wi-Fi晶片進行網路通訊，並與伺服器建立連線、接收命令並執行，而該無線通訊晶片監聽TCP的8899埠，透過UART通訊協定將接收到的訊息鏡像到主要控制器。</p> <p>而他們發現，該設備無法區別命令是否來自雲端伺服器，再加上伺服器發送的訊號並未加密，使得攻擊者能輕鬆進行破解，然後對恆溫器發送惡意訊號，部署惡意更新檔案。此漏洞CVSS風險評為8.3分，影響該系列旗下BCC101、BCC102、BCC50等3款機型，對此，Bosch發布4.13.33版韌體予以修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/01/17/new-ttps-observed-in-mint-sandstorm-campaign-targeting-high-profile-individuals-at-universities-and-research-orgs/"><strong><span style="font-size: 20px;">伊朗駭客Charming Kitten鎖定歐美研究構散布惡意程式MediaPl</span></strong></a></p> <p></p> <p><a href="http://blog.trailofbits.com/2024/01/16/leftoverlocals-listening-to-llm-responses-through-leaked-gpu-local-memory/"><strong><span style="font-size: 20px;">蘋果、AMD、高通GPU存在名為LeftoverLocals的弱點，有可能洩露AI相關資料</span></strong></a></p> <p></p> <p><a href="https://github.blog/2024-01-16-rotating-credentials-for-github-com-and-new-ghes-patches/"><strong><span style="font-size: 20px;">GitHub針對12月揭露的高風險漏洞輪調金鑰</span></strong></a></p> <p></p> <p><strong><a href="https://blog.xlab.qianxin.com/bigpanzi-exposed-hidden-cyber-threat-behind-your-stb/"><span style="font-size: 20px;">17萬臺安卓電視盒感染殭屍網路病毒Bigpanzi</span></a></strong></p> <p></p> <p><a href="https://pages.egress.com/whitepaper-email-risk-report-01-24.html"><strong><span style="font-size: 20px;">94％企業在2023年遭遇網路釣魚攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160870"><strong>【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160854"><strong>【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160839"><strong>【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</strong></a></p> </div></div></div>
2024/1/18 16:36作者周峻佑https://www.ithome.com.tw/news/160906
離通用AI更近了！Google DeepMind新AI媲美國際數學奧林匹克金牌的解題能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind最近發表<a href="https://deepmind.google/discover/blog/alphageometry-an-olympiad-level-ai-system-for-geometry/">一款AI系統AlphaGeometry</a>，使用1億筆合成資料訓練，就能在最新的30道國際數學奧林匹克（IMO）題目中，在規定時間內解出25道題。它不只比先前只解出10題的最佳AI還厲害，表現還接近人類金牌得主的平均值25.9道題，是邁向通用AI的一大里程碑。這項研究成果，日前也登上<a href="https://www.nature.com/articles/s41586-023-06747-5">《Nature》期刊</a>。</p> <p><span style="font-size:24px;"><strong>最先進的AI系統解幾何學難題，仍是個挑戰</strong></span></p> <p>為何AI解幾何學題目很重要？</p> <p>因為，幾何學是數學最古老、最基礎的分支之一，也是電腦科學、建築、藝術、工程、天文等領域的重要工具。就電腦科學來說，幾何學因涉及空間屬性，例如距離、形狀、大小和相對位置等，是重要的處理工具，尤其能用來設計和分析演算法，執行常見的AI任務，如圖像處理、電腦視覺和動作規畫等。</p> <p>幾何學也是國際數學奧林匹克競賽的重要課題。這個競賽旨在測驗邏輯推理和發現新知識的能力，每年吸引全球各地優秀的高中生，來挑戰數學難題。</p> <p>然而，就算是目前最先進的AI系統，都還難以證明數學猜想（Conjecture）的真偽。AI界普遍認為，能證明數學定理，是發展通用AI（即AGI）的關鍵一步，但它有個大挑戰：訓練資料的缺乏。因為，專為AI建立數學證明資料，既困難又昂貴，專家們很難收集到足夠的訓練資料，來打造AI解題模型。</p> <p><span style="font-size:24px;"><strong>根據IMO規則生成1億筆訓練資料，最終解出25道題</strong></span></p> <p>為解決這個挑戰，Google DeepMind研究團隊Trieu Trinh和Thang Luong先是根據IMO規則，生成了1億個不同複雜度的數學定理和證明，並用這些合成的訓練資料，從頭訓練出一套AI系統AlphaGeometry。在這個過程中，完全沒使用人工範例。</p> <p>而在架構上，它是一套神經符號（Neuro-symbolic）系統，採混合式架構，由神經語言模型（NLL）和符號推論引擎（Symbolic deduction engine）2大部分組成。</p> <p>其中，神經語言模型扮演引導角色，來指導符號推論引擎，如何在IMO等級的問題中，從幾何構造的無限可能中找出解決方案（如下圖）。這是因為，IMO幾何問題以圖形呈現，需要添加新的幾何結構（如點、線、面）才能解題，而AlphaGeometry的語言模型，可以從無數個可能性中，預測出添加哪些新結構最有用。這些線索，能幫助符號引擎進一步推導圖形，找出最接近的解答。</p> <blockquote><p><img alt="" src="https://translate.google.com/website?sl=auto&tl=zh-TW&hl=zh-TW&client=webapp&u=https://lh3.googleusercontent.com/CXoZ8QVYA7wKFPt3RurU7Z0SDyp32YQS9gJaEwE-U1AtjAQ-eXEaGxnOSTUH01oyN7YOxz-BILe390w2wHVEFF7XPmCOzqr0QMBroKc4J5kPFyqYVqU%3Dw1232-rw" /></p> <p>AlphaGeometry如何解決一個簡單問題：首先，給定問題圖形和定理（左），AlphaGeometry（中）接著用符號引擎，來推導圖形的新陳述，直到找到解決方案或新陳述用完為止。若未找到解決方案，AlphaGeometry 的語言模型會添加一個可能有用的構造（藍色部分），給符號引擎新的推導方向。這個循環會一直出現，直到找到解決方案為止（右）。</p> </blockquote> <p>AlphaGeometry也成功在最新的IMO競賽中，在規定時間內解出25道題（共30題），能力與世界上最聰明的高中數學生相當，媲美歷屆金牌的平均成績25.9道題。</p> <p>Google認為，這個成功，不只是數學推理上的突破，還能運用到更廣泛的科學領域問題。而且，AlphaGeometry解決專家級的複雜數學問題，未來還能幫助人類更理解世界運作的過程。</p> <p></p> </div></div></div>
2024/1/18 18:03作者王若樸https://www.ithome.com.tw/news/160911
多項內控違規與雲端委外作業不符當年規範，法巴人壽、產險遭罰1500萬，
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日公布對法國巴黎產險與巴黎人壽的裁罰案，依「保險業內部控制及稽核制度實施辦法」，對法巴人壽核處罰鍰900萬元，並對法巴產險核處罰鍰600萬元，合計開罰1500萬元。兩間企業主要開罰原因是違反產、壽險分業經營原則。除此之外，違反事由還包括未事先取得金管會核准就進行雲端委外，以及未經主管同意即進行資訊專案開發委外。</p> <p>針對兩間企業未經金管會核准涉及使用雲端服務，保險局副局長蔡火炎說明，兩間企業過去曾委託海外公司進行資訊系統維護，而後受託機構將資訊基礎設施升級至私有雲。蔡火炎表示，依照當時規範，兩間企業並未事先取得金管會核准就進行委外，因此開罰，透露兩間企業是違反上雲鬆綁前的規範。此外，他也說明，法巴人壽將資訊專案委外開發時，未經分公司總經理核可，委外流程不合內控規定，因此開罰。</p> <p>這起裁罰案除了停止分公司負責人職務6個月，也調降了資訊部主管每月月薪30%，為期6個月，主因是基於產、壽分業經營原則，高階主管不能同時負責產、壽險業務，其資訊部主管同時兼任法巴人壽和集團職務，會同時核決產壽資訊業務，違反分業經營原則而開罰。</p> <p></p> </div></div></div>
2024/1/18 18:30作者李昀璇https://www.ithome.com.tw/news/160912
【資安月報】2023年12月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI安全問題持續成為焦點，大家除了關注用AI幫助資安，又或是擔心攻擊者濫用AI讓讓攻擊更升級，其實還有Security of AI的面向，也就是AI本身安全的議題，同樣成為國際間憂心的重大課題，只是這類資訊不像其他AI安全問題那樣吸睛，且較為分散，因此我們在這一期資安月報中，決定幫大家統整現況。</p> <p>特別的是，隨著2023年的結束，在新的一年，大家也期待資安能有重大進展，下列是我們認為國內外須密切關注的5大資安議題：</p> <p>●美國國家標準與技術研究所（NIST）提出的網路安全框架Cybersecurity Framework（CSF）2.0版草案，在2023年11月已結束公開徵詢，預計2024年初就會發布最終的正式版本。</p> <p>●美國NIST舉辦的後量子密碼學（PQC）標準化競賽，在2022年宣布首批認可的PQC演算法後，預計2024年標準會正式發布。</p> <p>●歐盟的人工智慧法案（AI Act）在提出兩年半後，在2023年12月以達成政治協議，預計2024年通過成為正式法令。</p> <p>●臺灣《個人資料保護法》過去未明定主管機關，隨著2023年修法，增訂增訂「個人資料保護委員會」為個資法主管機關，隨著委員會籌備處在2023年12月初設立，預計2024年將正式掛牌。</p> <p>●臺灣《資通安全管理法》自2019年元旦正式實施以來，已多年未曾修法，值得注意的是，數位發展部在2023年9月預告啟動資安法修法程序，如今正持續廣邀各界對於修正草案提出意見，是否能在2024年內完成修法亦受關注。</p> <p>接下來，讓我們談談Security of AI的最新發展，事實上，最近這方面的討論很熱絡。</p> <p>例如，在資料安全的面向，由於訓練AI模型需要大量資料，企業敏感資料是否洩露或遭盜用；在AI系統安全的面向，是否導入安全設計與開發，減少系統漏洞被駭客攻擊的機會。</p> <p>還有，AI模型安全的面向，不只資安界關注，更是整個人類社會都在擔憂的風險，像是AI模型可能存在弱點或偏差，可能遭受訓練資料AI下毒這類攻擊手法利用，使機器學習演算法的行為朝著攻擊者選定的方向改變，如建議安全性不足的程式碼。甚至，還有符合道德使用、可解釋性、透明度、可歸責性等不同層面，同樣會是需要重視與涵蓋到的範圍。</p> <p>關於這方面的發展，近期我們注意到國際間三大規範的動向，都與此議題相關，包括：</p> <p>（一）全球首份「安全AI系統開發指南」出爐！由英國NCSC與美國CISA等18國共同發布，目的是要確保人工智慧系統的整體安全性。簡單來說，該指引提供了AI系統開發的必要建議，並且將AI系統開發生命周期分4大階段，包括：安全設計、安全開發、安全部署及安全維運，確保每個階段都有適當的安全措施。</p> <p>（二）歐盟執委會（EC）在12月9日宣布，已就人工智慧法案AI Act達成政治協議，後續將通過正式法令，並於兩年後生效。這項法案的推出，期望建立全面的AI安全標準，當中特別將AI系統分成4類，包括：最小風險、高風險、不可接受的風險、透明度風險，同時還針對通用AI模型另祭出規範。</p> <p>（三）第一個針對AI安全可靠開發與實施的<a href="https://www.iso.org/standard/81230.html">國際標準ISO/IEC 42001出爐</a>，於12月18日正式發布，目的就是要應對AI所帶來的獨特挑戰，包含道德考量、透明度和持續學習，提供企業組織結構化的方法，來管理AI相關的風險與機會。</p> <p>這三項消息，意味著AI國際規範的推動，逐漸脫離僅止於討論的階段，逐漸步上正軌。尤其是歐盟的AI Act，將成為全球首個全面規範AI的法律架構。</p> <p>隨著國際規範對於AI安全與AI治理的重視，趨於具體，近期我們看到臺灣也跟上國際腳步。在12月6日，<a href="https://moda.gov.tw/ADI/news/latest-news/9295">數位發展部舉行AI產品與系統評測中心啟動儀式</a>，將制定「AI產品與系統評測制度」與「AI產品與系統評測指引」，同時宣布將於2024年成立驗證機構、測試實驗室。顯然，臺灣在可信任AI環境的發展，已擺脫紙上談兵的階段。</p> <p>無論如何，為了因應AI發展所引發的威脅與風險，AI安全研究的進展與法規遵循已成為全球極為關切的課題，這對於推動AI系統向更安全、可靠、可控的方向發展至關重要。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/160263"><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月4日到12月8日</span></a></strong></h2> <p>在這一星期的漏洞消息中，以高通晶片的多個漏洞修補最受注目，該公司在12月4日修補了涉及多款晶片的3個零時差漏洞，都已遭到成功利用，包括CVE-2023-33107、CVE-2023-33106、CVE-2023-33063，在此同時，去年高通修補的CVE-2022-22071，近期也發現遭利用的情況，本期週報尚未提及，我們在此補上。</p> <p>此外，在<a href="https://www.ithome.com.tw/news/160142">上一期的資安週報</a>中，我們曾提到，蘋果修補2個零時差漏洞，以及資料分析系統Qlik Sense的漏洞，都出現已遭成功利用的情形，到了這一星期，CISA也將這些漏洞列入KEV清單，再次提醒用戶應盡速修補因應。</p> <p>特別的是，我們看到一些新的漏洞研究公布，有3項消息值得資安圈的重視，整理如下：<br /> （一）歐洲黑帽大會於12月4日到7日舉行，有研究人員揭露一項涉及UEFI開機、韌體圖像解析器的LogoFAIL漏洞，當中針對Insyde、AMI、Phoenix等韌體分析，指出開機啟動自訂商標圖案的客製功能出現破口，並找到29種攻擊手法。<br /> （二）AI模型資源平臺Hugging Face存在API漏洞被揭露，一旦其API驗證Token被竊取，將引發企業資料外洩，或是訓練資料集被污染變成惡意的AI模型。研究人員警告，只要控制這些程式碼儲存庫，就能發動多種攻擊，尤其是供應鏈攻擊。<br /> （三）藍牙技術底層漏洞CVE-2023-24023、新型態藍牙攻擊手法Bluffs的揭露，該漏洞與Session金鑰的解密、交換資料過程有關，將破壞藍牙連線的保密性，研究人員共公布6種攻擊手法。目前Bluetooth SIG已收到通報，並發布緩解措施。</p> <p>在AI與資安方面的議題，本星期有兩大焦點消息，一方面是使用AI工具幫助資安管理，一方面是使用AI工具的安全議題。<br /> ●思科在12月6日開始舉行亞太區年度用戶大會Cisco Live!，並在大會上宣布推出全新AI助手（Cisco AI Assistant），首先公布的應用場景是簡化防火牆規則管理，讓用戶可透過自然語言提問，就能讓防火牆的查詢、設定等操作，變得更容易。<br /> ●資安業者Snyk發布2023年度AI程式碼安全報告，指出現在已有相當多軟體工程師及資安團隊使用AI程式碼工具，但多數開發人員並未因此在流程中，更積極採用多種安全掃描工具。而且，高達8成開發者為了使用AI工具，而無視公司資安政策。</p> <p>對於Go開發者而言，有一項需要慎防的威脅要注意。有資安業者警告GitHub上有1.5萬個Go程式套件模組，恐存在遭到儲存庫挾持（Repojacking）攻擊的風險。原因在於原專案使用者名稱變更，或是GitHub、Bitbucket帳號刪除，導致帳號名稱因棄用而被釋放出，進而讓攻擊者得以註冊這樣的帳號並濫用。</p> <p>還有一些惡意活動的揭露，我們認為可留意下列消息，包括：WordPress網站管理者也要注意，有駭客假借WordPress名義，聲稱偵測到網站存在漏洞要用戶套用修補程式，但其實是引誘用戶安裝由駭客提供的外掛程式，以在用戶網站植入後門程式；殭屍網路P2Pinfect的新一起攻擊行動，是鎖定採用MIPS架構的物聯網裝置，利用SSH連線存取目標裝置，再透過弱密碼嘗試入侵。其他還包括後門程式Agent Racoon、竊資軟體Lumma，也有最新攻擊行動，資安業者目前已揭露這類消息。</p> <h2><a href="https://www.ithome.com.tw/news/160385"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月11日到12月15日</span></strong></a></h2> <p>在漏洞相關消息中，這個禮拜最受重視的是以色列自動化控制業者Unitronics的PLC漏洞，因為自11月底開始，美國賓州水利單位的工控系統傳遭駭客劫持的相關消息，持續成為各大資安新聞媒體的焦點，甚至美國佛羅里達州自來水公司、愛爾蘭自來水公司也傳遭攻擊，近期又有更多新消息。對於防守端而言，已<a href="https://www.unitronicsplc.com/cyber_security_vision-samba/">祭出更多因應機制</a>，包括<a href="https://forum.unitronics.com/topic/9940-protect-your-vision-and-samba-systems-with-new-security-enhancements/">Unitronics發布VisiLogic 9.9.00版釋出</a>，將要求變更預設密碼、要求複雜密碼，以及增加保護Vision與Samba控制器的新功能，而且，12月初還有揭露Unitronics的Vision PLC and HMI存在不安全預設密碼漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-6448">CVE-2023-6448</a>，美國CISA在12月11日更是<a href="https://www.cisa.gov/news-events/alerts/2023/12/11/cisa-adds-one-known-exploited-vulnerability-catalog">將此漏洞加入已知漏洞利用清單</a>，是本周資安日報尚未提及，在此補上。</p> <p>此時也適逢微軟、Adobe等每月例行安全更新釋出，需要大家關注與儘快修補，我們整理如下：<br /> ●微軟本月修補30多個漏洞，有4個屬於重大漏洞，同時針對一個8月已公開的AMD漏洞（CVE-2023-20588）修補。<br /> ●Adobe本月修補207個漏洞，以網站內容管理平臺Adobe Experience Manager受關注，因為有185個漏洞與之相關。<br /> ●研究人員揭露macOS/iOS裝置與多家Linux作業系統存在藍牙鍵盤注入漏洞，目前僅ChromeOS修補。<br /> ●Apache基金會修補Java應用框架Struts的RCE漏洞，編號為CVE-2023-50164。</p> <p>其他可留意的漏洞消息，包括：SAP、開源防火牆系統pfSense，以及WordPress外掛程式Backup Migration的漏洞修補釋出，還有高通、聯發科5G晶片存在5Ghoul漏洞的揭露（其中10個漏洞已公開，4個尚未公開），以及去年Sophos修補CVE-2022-3236漏洞，近日該公司針對EOL產品提供破例修補程式。</p> <p>在威脅態勢上，近期地下論壇時常傳出兜售我國政府、企業資料的情形，這類消息明顯比過往頻繁，原因很有可能是我國即將舉行的2024總統大選。例如：有賣家在地下論壇BreachForums聲稱兜售中華電信帳務資料，中華電信後續表示查無遭駭，研判是利用欠費查詢功能取得不具個人識別性的帳務資料，還有日前<a href="https://www.mjib.gov.tw/news/Details/1/944">法務部調查局在12月7日示警</a>（<a href="https://s4.itho.me/sites/default/files/images/2023-12-18_141407.jpg">附圖</a>），指出有不明人士於暗網販售不明資料，並散布不實網路文章「國人遭監控！暗網驚見高價出售情治機關偵控數據！」，是意圖製造對立衝突的認知作戰。</p> <p>在國際威脅焦點方面，有4項消息我們認為最值得關切，其中兩件與電信業相關：<br /> （一）關於今年中國駭客組織Volt Typhoon持續鎖定小型路由器攻擊的狀況，有資安業者揭露最新調查，指出該集團正利用殭屍網路KV-botnet，在今年8月、11月擴大鎖定Netgear、思科、居易路由器與Axis的IP網路攝影機等設備入侵。<br /> （二）注意濫用各種OAuth應用程式的自動化攻擊！微軟MSRC警告，有駭客盜用具有OAuth應用程式權限的使用者帳號，接著濫用這些權限來隱藏惡意活動。<br /> （三）多家資安業者聯手指出，駭客組織Sandman不僅鎖定電信業者攻擊，同時與中國駭客互通有無，研究人員推測，這兩組人馬很可能共用惡意程式開發資源。<br /> （四）烏克蘭當地最大電信業者Kyivstar遭大規模網路攻擊，導致其行動通訊與網路服務中斷。</p> <p>其他可留意的消息，包括，AMD處理器新型態攻擊手法SLAM的揭露，俄羅斯駭客組織Star Blizzard新型態帳密竊盜手法的揭露，語音網釣攻擊BazarCall濫用Google表單的揭露。</p> <p>在資安防禦態勢上，將生成式AI用於幫助資安工作已蔚為風潮，最近Google更是搶先宣布這方面的技術應用特色，Duet AI in Security Operations功能正式上線。</p> <h2><a href="https://www.ithome.com.tw/news/160518"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月18日到12月22日</span></strong></a></h2> <p>這一星期又有零時差漏洞攻擊出現，特別的是，Google在發現的一日之後就發布Chrome的緊急修補，基本上，這個漏洞CVE-2023-7024是由於WebRTC中的堆積緩衝區溢位造成，而我們也注意到，微軟也在同日修補了Edge瀏覽器上的這項漏洞。由於此漏洞在外部已有遭成功利用的情形，加上WebRTC的影響範圍不小，因此用戶與採用WebRTC的業者都要儘速因應。</p> <p>還有兩個網路設備漏洞，包括：臺廠威聯通（QNAP）網路影像錄影系統VioStor 4.0的漏洞CVE-2023-47565，以及日廠FXC的AE1021/AE1021PE路由器漏洞。這是因為Amakai在11月21日曾透露在近期發現殭屍網路InfectedSlurs的攻擊行動，是利用NVR與路由器的零時差漏洞來散布，到了12月6日與14日終於有了答案，受害裝置包括日本FXC與臺廠威聯通。特別的是，威聯通其實早在2014年就已釋出5.0版修補此一漏洞問題，<a href="https://www.fxc.jp/news/20231206">FXC的路由器則是在12月6日釋出新版修補</a>，本星期的資安日報並未提及，在此補上。</p> <p>另一方面，零時差漏洞修補很重要，但也不應該看到黑影就開槍，需認清消息來源與查證。最近就有這樣的例子，以色列國家網路管理局（INCD）就提出警告，有人假冒F5的名義，以cert@f5[.]support寄送零時差漏洞修補通知的釣魚信，但該寄件者網域就只是取類似名稱的混淆手法，企圖引誘不察的使用者上當，以散布資料破壞程式。</p> <p>在最新威脅態勢方面，關於進入遠端伺服器通常仰賴的SSH連線加密機制，最近有資料傳輸安全問題要注意，有研究團隊揭露針對SSH協定的Terrapin攻擊手法，並指出SSH協定中的3個漏洞（CVE-2023-48795、CVE-2023-46445與CVE-2023-46446），說明遠端攻擊者將得以繞過完整性檢查。</p> <p>另一個要注意的情形，有資安業者指出駭客為了持續規避惡意程式被偵測，濫用合法平臺的意向有所轉變，因為濫用程式碼管理平臺GitHub存放惡意程式的情形顯著增加，不像先前都是利用雲端檔案共享服務Dropbox、Google Drive、Discord等。</p> <p>在資安威脅與事件方面，國際間持續有知名企業組織遇害的消息，受害產業遍及雲端服務、IT、電信及服務業，我們整理如下：<br /> （一）義大利雲端服務業者Westpole遭網路攻擊，不僅<a href="https://www.padigitale.it/wp-content/uploads/2023/12/Comunicato_Stampa_PADigitale_DEF_19122023-1.pdf">波其到他們的客戶PA Digitale</a>，並導致該國公部門及市政府的多項服務癱瘓。<br /> （二）資料庫系統開發商MongoDB遭網路攻擊，部分系統遭未經授權存取。<br /> （三）Sony旗下遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊<br /> （四）旗下擁有Timberland、North Face等服裝品牌的威富（VF）集團，向美國SEC提交網路攻擊事件8-k表單，說明12月13日發現未經授權存取，關閉部分IT系統，導致營運被迫中斷。<br /> （五）美國電信服務供應商揭露用戶資料外洩，原因是他們未及時修補Citrix Bleed漏洞（CVE-2023-4966），在修補後兩日的安全檢查時，發現內部系統在前幾天遭未經授權存取。<br /> （六）針對勒索軟體Play威脅，美國多個安全機構聯手發布警告，指出已有300多個企業組織受害，並揭露入侵手法與防護建議。</p> <p>此外，金融產業要注意的是，有資安業者揭露駭客今年利用JavaScript指令碼進行網頁注入攻擊的態勢，能源產業同樣要當心，近日伊朗傳出全國有7成加油站遭網路攻擊而服務中斷，被迫手動作業。</p> <p>在臺灣，有兩起資安相關消息，一是金門租車業者金豐租車公告遭網路攻擊，並提醒民眾當心詐騙，另一事件非典型資安事件，金管會針對國泰世華銀行前理財專員涉挪用客戶款項的裁罰中，特別強調該銀行的缺失在於，雖然有報表記錄了理專與客戶在短期間內以相同IP位址及載具登入網銀的狀況，但卻沒有了解IP相同的原因或持續追蹤監控。</p> <p>最後我們補上一則消息是，關於我國參與國際資安標準制定的狀況與機會，在12月23日（周六）<a href="https://www.linkedin.com/feed/update/urn:li:activity:7141832293865635840/">ISA國際自動化協會臺灣分會舉行成立大會</a>，由於ISA所訂定的62443工控資安標準受IEC組織承認，而臺灣長期因政治因素無法直接參與ISO和IEC等國際標準組織的標準制定，因此臺灣分會成立的意義，不僅加強自動化技術在臺的應用與發展，也盼成為我們在參與國際標準制定的突破口。</p> <h2><a href="https://www.ithome.com.tw/news/160628"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2023年12月25日到12月29日</span></strong></a></h2> <p>時至2023年最後一星期，適逢歐美各國聖誕連假，各大資安媒體雖然大多暫停發布新聞，期間仍有零時差漏洞攻擊的揭露。在12月24日，資安業者Barracuda Networks發布資安公告，指出中國駭客UNC4841再次鎖定他們的產品發起零時差漏洞攻擊，導致部分郵件安全閘道（ESG）植入惡意軟體Seaspy及Saltwater的新型變種，該公司已於21日派送自動軟體更新修補，並指出該漏洞CVE-2023-7102存在於ESG產品中，Amavis病毒掃描程式元件的第三方程式庫Spreadsheet::ParseExcel。這項消息呼應我們先前報導，當時我們提醒大家注意零時差漏洞攻擊出現鎖定底層元件進行濫用的狀況，而上述事件無疑再次反映此一態勢。</p> <p>還有兩個漏洞修補消息值得重視，首先，Apache基金會在12月先後修補旗下ERP系統OFBiz的2個CVSS風險評分9.8分的重大漏洞，分別是：CVE-2023-49070、CVE-2023-51467。值得注意的是，資安業者已發現攻擊者掃描存在漏洞的系統，再加上有不少系統將之整合或採用，因此影響範圍預估不小，像是Atlassian的JIRA就包含了OFBiz，企業須注意相關後續修補動向；另一是英商Canonical針對Ubuntu作業系統修補了文字編輯器Vim的15個漏洞，其中4個為CVSS風險評分7.8分的高風險層級。</p> <p>此外，關於半年前攻擊者針對iOS發起的Operation Triangulation攻擊行動，最近卡巴斯基揭露相關細節之外，還指出攻擊者所利用4個零時差漏洞中，仍有一個漏洞的濫用方式不明。</p> <p>在威脅態勢方面，SSH安全問題在這星期幾篇資安新聞當中均提及，例如，先前有大學研究人員揭露Terrapin攻擊手法與3個漏洞，最近韓國資安業者AhnLab提出警告，指出發現攻擊者鎖定執行Linux作業系統的SSH伺服器，並針對缺乏相關安全設置的主機發動攻擊。</p> <p>而從產業面來看，這星期我們看到網路訂房與飯店業，以及遊戲業的狀況較多，各有兩篇資安新聞。</p> <p>首先是旅館業者的服務生態鏈，例如，這幾個月持續有駭客鎖定Booking.com用戶詐騙的揭露，如今又有資安業者指出這是一種B2B2C形式的手法，先針對飯店員工網釣下手，在以飯店業者帳號登入Booking.com去詐騙客戶；另一是竊資軟體RedLine、Vidar的攻擊行動，同樣是駭客假借客人投訴與訂房為由，引誘飯店人員點擊釣魚郵件。</p> <p>遊戲業者的資安事故方面，這段期間各大資安媒體均報導下列兩則消息，一是法國遊戲開發商Ubisoft遭駭客入侵48小時，所幸公司管理員察覺異常、險些遇害的揭露；另一是傳出俠盜獵車手V（GTA 5）原始碼外流的情況，根據後續的情報表示這是2022年RockStar Games遭駭時流出。</p> <p>在防禦態勢方面，2023年全球資安界均相當關注生成式AI資安應用的現況，而我們最近發布的封面故事也特別以此為題進行報導，當中可以看出<a href="https://www.ithome.com.tw/news/160608">不少全球大型IT與資安廠商已經實際付諸行動</a>，也出現<a href="https://www.ithome.com.tw/news/160610">臺灣資安業者及早布局、累積發展此類新技術的經驗</a>，原因在於他們看重生成式AI能分析龐大資料的能力，用自然語言輸入來提示與回答，大幅提升資安事件處理效率，預料未來會有更多廠商跟進，將開啟<a href="https://www.ithome.com.tw/article/160614">2024年AI資安的新格局</a>。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/157613">2023年6月資安月報</a></h3> <h3> </h3> <p> </p> </div></div></div>
2024/1/18 18:40作者羅正漢https://www.ithome.com.tw/news/160880
研究人員公布9個UEFI安全漏洞，波及微軟、AMI與Arm等業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.quarkslab.com/pixiefail-nine-vulnerabilities-in-tianocores-edk-ii-ipv6-network-stack.html" target="_blank">法國資安業者Quarkslab本周公布了</a>9個與統一可延伸韌體介面（Unified Extensible Firmware Interface，UEFI）有關的安全漏洞，它們存在於由英特爾開發的UEFI開源參考實現TianoCore EDK II上，可在網路啟動程序中遭到利用，允許駭客自遠端發動阻斷服務攻擊、遠端程式執行或挾持網路工作階段，眾多業者的產品或服務都受到影響，包括微軟、Arm、Insyde Software、American Megatrends Inc（AMI）及Google等。</p> <p>UEFI是個介於主機板韌體與作業系統之間的軟體介面，它是電腦啟動時首個執行的程式，會檢查並喚醒所需的硬體元件，再將它們移交給作業系統。而Quarkslab則在UEFI的參考實現TianoCore EDK II上發現了9個安全漏洞，涵蓋整數下溢漏洞CVE-2023-45229，緩衝區溢位漏洞CVE-2023-45230、CVE-2023-45234與CVE-2023-45235，越界讀取漏洞CVE-2023-45231，無限迴圈漏洞CVE-2023-45232及CVE-2023-45233，可預測的TCP初始序列號碼CVE-2023-45236，以及使用弱的偽隨機數生成器CVE-2023-45237，並將它們統稱為PixieFAIL。</p> <p>研究人員指出，PixieFAIL漏洞可於網路啟動程序中，遭到處於同一區域網路且未經身分驗證的遠端駭客利用，進而觸發服務阻斷攻擊，造成資訊外洩，遠端程式執行，DNS快取記憶體下毒，以及網路工作階段遭到挾持等。</p> <p>透過網路來啟動及載入作業系統映像檔為企業電腦與伺服器上的標準功能，亦為資料中心及高效能運算環境中的熱門選項，而預先啟動執行環境（Preboot Execution Environment，PXE）則是一個標準化用戶端&伺服器端解決方案的規範，又被稱為Pixie Boot，也是PixieFAIL名稱的由來。研究人員解釋，為了提供網路啟動功能，UEFI於驅動程式執行環境（DXE）階段實現了一個完整的IP堆疊，因而替來自本地網路的攻擊開啟了大門。</p> <p>PixieFAIL漏洞除了直接影響TianoCore EDK II之外，也波及了Arm參考解決方案，Insyde Software的Insyde H20 UEFI BIOS，AMI的Aptio OpenEdition，Phoenix Technologies的SecureCore，以及微軟的Project Mu，至於Google的ChromeOS原始碼雖然含有TianoCore EDK II，但卻未使用，於是Google直接於程式碼中將它移除。</p> <p>其實Quarkslab早在去年8月就向CERT-FR 提報了安全漏洞，也提供了當中7個漏洞的概念性驗證程式，原本預計於去年的11月2日對外披露，卻收到各業者的延後披露要求，且一延再延，從Quarkslab的描述中可看出，該公司對於與各業者協調漏洞披露時程感到非常的沮喪，因為業者不斷地要求延後披露，卻未提供漏洞修補時程，最終Quarkslab是與CERT/CC敲定了披露時間。</p> </div></div></div>
2024/1/18 17:21作者陳曉莉https://www.ithome.com.tw/news/160908
去年全球半導體營收規模下滑11%，Nvidia逆勢成長56%，首度進入前五名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市場研究機構<a href="https://www.gartner.com/en/newsroom/press-releases/2024-01-16-gartner-says-worldwide-semiconductor-revenue-declined-11-percent-in-2023" target="_blank">Gartner本周指出</a>，2023年全球半導體的營收規模為5,330億美元，比2022年下滑11.1%，英特爾（Intel）去年從三星手上奪回了第一名的位置，因為AI而炙手可熱的Nvidia則首度進入前五名排行榜。</p> <p>在5,330億美元的市場規模中，英特爾以486億美元、9.1%的市占率位居全球第一，第二名則是三星的399億美元（7.5%），高通為290億美元（5.4%），博通是255.8億美元（4.8%），排名第五的則是Nvidia的240億美元（4.5%）。三星因為2023年的半導體營收下滑了37.5%，遠多於英特爾的16.7%，而失去了冠軍寶座。</p> <p>至於Nvidia則是去年全球表現最亮眼的半導體業者，所打造的GPU晶片因為AI應用的興起而供不應求，在2023年逆勢成長了56.4%，從2022年的第十二名一舉躍上第五名。</p> <p>而在前十名的業者中，僅有蘋果屬於消費性產品開發商，其它全是半導體業者，蘋果自行設計的處理器在2023年創下170億美元的營收，比前一年減少5.8%，以3.2%的市占率奪下第九名的位置，與2022年相當。</p> </div></div></div>
2024/1/18 17:38作者陳曉莉https://www.ithome.com.tw/news/160910
DeepMind新模型專解幾何問題，能力與奧林匹亞數學金牌相當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind在《自然》期刊的新研究論文，展示了人工智慧在數學推理上的最新進展。<a href="https://deepmind.google/discover/blog/alphageometry-an-olympiad-level-ai-system-for-geometry/" target="_blank">AlphaGeometry此一新模型</a>能解決複雜的幾何問題，其程度接近高中生國際數學奧林匹亞競賽（IMO）金牌得主。在30道幾何問題基準測試中，於標準比賽時限過去即便是最先進的系統，也只能解決10道問題，AlphaGeometry則能夠解決25道題目，而人類金牌得主平均可解決25.9道。</p> <p>過去人工智慧系統在解決幾何和數學的複雜問題常會遭遇困難，主要是因為缺乏推理技能和訓練資料。AlphaGeometry系統結合了神經語言模型的預測能力，以及規則推理引擎，兩者協同工作高效尋找問題解法。</p> <p>AlphaGeometry是一個神經符號（Neuro-Symbolic）系統，這是一種結合神經網路和符號推理的人工智慧技術，目的在於結合這兩種系統的優勢，以解決傳統人工智慧方法沒辦法克服的挑戰。研究人員解釋，這是類似《快思慢想》書中的方法，一個系統提供快速直觀的想法，另一個系統則提供深思熟慮，經理性思考的決策。</p> <p>神經語言模型擅長辨識資料中一般模式和關係，可以快速預測對解決問題有用的結構，但通常缺乏嚴謹的推理能力和解釋其決策的能力。而符號推理引擎則能以邏輯和明確規則得出結論，結果理性且可解釋，但在獨立處理大型、複雜問題時，又顯得過於遲緩不夠靈活。AlphaGeometry特殊之處在於能夠有效結合兩種不同方法，利用神經語言模型快速直覺預測，加上符號推理引擎的嚴謹和邏輯性推理，解決原本需要人類解題者才能處理的高難度幾何問題。</p> <p>研究人員運用大規模合成資料生成方法訓練AlphaGeometry，使其能夠從零開始學習，而且不需要仰賴人類的示範。AlphaGeometry藉由高效能平行運算，創建了10億個隨機幾何圖形，並從中推導出點與線之間的所有關係。接著，從這些龐大的資料中，篩選出1億個獨特且難度各異實例，作為最終的訓練資料集，其中包含9百萬個新增結構的實例。經過這些實例學習，AlphaGeometry在面對奧林匹亞級的幾何問題時，能夠提供有效的結構建議。</p> <p>AlphaGeometry每道奧林匹亞問題的解法，都經過電腦的檢查和驗證，這些成果不僅足以和之前的人工智慧方法以及人類在奧林匹亞比賽中的表現相比較，研究人員也請來前奧林匹亞金牌得主，數學教練Evan Chen進行評估。</p> <p>Evan Chen給予AlphaGeometry的輸出高度評價，認為其解答清晰可驗證，過去人工智慧解決方案的解答可能並非總是正確，而AlphaGeometry沒有這個弱點，其解題方式與人類相似，使用了經典的幾何規則，而非單純的代數計算。</p> <p>AlphaGeometry不僅是技術上的突破，在實際應用也呈現高度實用性。雖然AlphaGeometry只能解決國際數學奧林匹亞競賽中幾何部分的題目，但在幾何領域已經達到IMO金牌得主水準。而研究團隊從零開始訓練人工智慧系統的方法，有望在未來也能用於建構探索各種新知識的人工智慧系統。DeepMind現已開源AlphaGeometry程式碼、模型，以及合成資料集，推進數學、科學和人工智慧領域的研究。</p> </div></div></div>
2024/1/18 17:53作者李建興https://www.ithome.com.tw/news/160909
Notion Labs發表免費行事曆程式Notion Calendar
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Notion Labs在2022年收購了Cron行事曆之後，<a href="https://www.notion.so/help/guides/getting-started-with-notion-calendar" target="_blank">於本周推出了基於Cron的Notion Calendar</a>，此為免費且獨立的行事曆工具，現已支援Windows、macOS及iOS平臺，亦計畫支援Android。</p> <p>這是Notion Labs繼自行開發的任務管理暨專案追蹤程式Notion、網頁儲存程式Notion Web Clipper之後，所推出的第三款程式。</p> <p>儘管市面上已經有許多行事曆程式，<a href="https://www.notion.so/blog/introducing-notion-calendar" target="_blank">但負責Notion Calendar的Raphael Schaad表</a>示，大多數的行事曆都與其它工具脫節，使得時間的管理與使用出現落差，例如會議與專案時間表分開，工作行事曆無法連結個人計畫，導致錯過最後期間或重複預訂，而Notion Calendar則可用來同時管理工作與個人的時間，最終目標是把時間帶進Notion程式的任務、專案或筆記，替使用者創造一個可同時管理所有事，並有效率分配所有時間的工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-Notion%20Calendar-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Notion Labs</span></span></p> <p>Notion Calendar與Cron一樣具備簡潔及有效率的介面，可與Google Calendar 同步，除了整合工作與個人計畫之外，允許使用者在不需要離開程式的情況下直接搜尋所有與會議相關的Notion文件，或是查看與管理資料庫項目，亦支援Zoom及Google Meet等其它工具。</p> <p>Schaad解釋，檢查即將參加的會議時間看起來可能無害，但其脈絡上的切換也許會危及生產力，因為人們最多需要23分鐘才能重新集中注意力。因此，Notion Calendar的宗旨即是促進專注，可直接從電腦上的工作列看到當天的行程並直接加入會議中；Notion Calendar亦內建一個調度工具，能與他人分享使用者的空閒時間。</p> </div></div></div>
2024/1/18 14:44作者陳曉莉https://www.ithome.com.tw/news/160905
三星Galaxy S24系列整合Google Gemini，支援7年軟體更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星電子（Samsung Electronics）周四（1/18）<a href="https://news.samsung.com/global/enter-the-new-era-of-mobile-ai-with-samsung-galaxy-s24-series" target="_blank">發表了Galaxy S24系列的智慧型手機</a>，涵蓋6.2吋的Galaxy S24、6.7吋的Galaxy S24+，以及6.8吋的Galaxy S24 Ultra，它們全都內建Google人工智慧（AI）技術Gemini Nano，也整合了Google Cloud上的Gemini Pro及Imagen 2 on Vertex AI等AI服務，該系列的發表圍繞著各種AI功能，三星也聲稱Galaxy S24系列開啟了行動AI的新時代。同時三星也跟上<a href="https://www.ithome.com.tw/news/159141" target="_blank">Google</a>的腳步，替此一系列的手機提供了長達7年的作業系統升級及安全更新。</p> <p>Galaxy S24系列皆搭載Qualcomm Snapdragon 8處理器，主要的差別在於螢幕、記憶體、儲存空間及相機能力等，最低階的Galaxy S24售價為800美元，Galaxy S24+為1,000美元，Galaxy S24 Ultra則是1,300美元。</p> <p>其實三星在自家的新聞稿上將Galaxy S24系列上的AI服務稱為Galaxy AI，企圖採用自己的AI品牌，但目前<a href="https://blog.google/products/android/google-ai-samsung-galaxy-s24/" target="_blank">該系列上的AI功能絕大多數來自Google</a>，涵蓋內建於裝置上的Gemini Nano，必須連至Google Cloud雲端使用的Gemini Pro與Vertex AI，同時也協助Google測試Gemini Ultra。<a href="https://www.ithome.com.tw/news/160193" target="_blank">Google Gemini為Google為了挑戰OpenAI所開發的多模態AI模型</a>，三星應為全球首家全面測試該模型的業者。</p> <p>Galaxy S24系列目前提供眾多的AI功能，例如手機上內建的通話程式支援即時翻譯（Live Translate），可在通話時即時提供雙向的語音與文字翻譯，完全不需安裝第三方程式；Interpreter則可透過分割畫面將即時語音聊天的內容轉成文字，還支援離線使用；Chat Assist可協助使用者改善訊息所使用的語氣；在車上時Android Auto能夠自動摘錄訊息並提出回應建議；Samsung Notes中的Note Assist可由AI來協助摘錄；亦可利用Transcript Assist來將錄音檔轉成文字或摘錄。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-Galaxy%20S24-Live%20Translate.png" style="width: 393px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-Galaxy%20S24-Transcript%20Assist.png" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_三星</span></span></p> <p>在影像上的AI工具則有可協助編輯的Edit Suggestion；或是更進階、可用來移動物件或變更背景的Generative Edit；以及讓影片變成慢動作的Instant Slow-mo 。舉凡採用生成式AI的作品，畫面與元資料中都會出現浮水印。</p> <p>此外，Galaxy S24系列也支援Google剛發表的<a href="https://www.ithome.com.tw/news/160879" target="_blank">觸控搜尋能力Circle to Search</a>。</p> <p>Galaxy S24系列的使用者只要在手機上登入三星帳號，就能自動啟用所有的AI功能，亦允許使用者關閉於裝置上執行的AI功能，或是關閉必須連至雲端處理的AI功能。</p> <p>身為全球最大的Android裝置製造商，三星跟上了Google的腳步，宣布Galaxy S24系列將提供7年的作業系統更新，以及7年的安全更新，以延長裝置的安全使用壽命。</p> <p>三星已開放Galaxy S24系列的預購活動，預計於1月底出貨。</p> </div></div></div>
2024/1/18 12:59作者陳曉莉https://www.ithome.com.tw/news/160904
Google為Android推出Circle to Search，手指觸控就能搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搜尋除了輸入或說出關鍵字、由聊天機器人代勞之外，<a href="https://blog.google/products/search/google-circle-to-search-android/" target="_blank">Google本周為Android新增</a>以觸控啟動Google搜尋的互動方式，讓用戶查詢資訊不必再切換視窗或App。</p> <p>在此之前，Google曾經提供過輸入文字以外的創新搜尋方法，像是語音輸入、哼出歌曲來搜尋歌名、或是開啟Google Lens對準物件查找。Google公布的最新方案為Circle to Search，讓用戶透過手勢觸控螢幕來啟動Google Search。</p> <p>雖然名為Circle to Search，這新功能其實允許用戶使用多種觸控方法，包括在螢幕上畫圈、突顯、手指塗鴉或點擊執行搜尋，而不必切換到搜尋頁面。例如若用戶看到一段影片展示服裝但沒有標出品牌，只要在Android手機上長按home鍵或頂端的網址頁啟動Circle to Search，然後以偏好的手勢搜尋，如圈選墨鏡找出網路上類似品項或售貨店家，也可以在包包圖像上畫兩下、或是在靴子上點擊進行搜尋。完成後只要滑動手指將搜尋結果關閉，就能回到剛剛所位置。</p> <p>Circle to Search也支援多模搜尋（multi-search）。Google Lens已經整合文字和圖片搜尋的能力，現在Google又為此功能加入AI強化。例如在看到炸熱狗圖片時，用戶可以用手指圈選並問道「為何它這麼受歡迎？」就能從網頁上搜尋到這東西的來源、作法、成分。或者用戶看到YouTube短影片的標題（如「thrift flipping」）不太明瞭時，只要將文字畫重點就能搜尋並了解，這是從舊貨店買衣服改造後再高價銷售的行為。查詢完資訊將之關閉就能繼續看影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-google-Circle%20to%20Search-600.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Circle to Search預定1月31日部署到特定頂級Android手機，包括Pixel 8、8 Pro，以及最新的三星Galaxy S24系列，涵括所有語言和地區用戶。</p> <p>在Galaxy S24上，今天的宣布也是Google和三星最新合作成果。本周三星宣布最新旗艦機種Galaxy S24將整合Google最新AI模型Gemini及圖像生成模型Imagen 2，為手機加入AI功能，如摘錄筆記或錄音重點、AI編輯圖片等。<a href="https://www.ithome.com.tw/news/160783" target="_blank">本周二公司還宣布</a>Google開發的鄰近手機檔案分享功能Nearby Share將合併三星打造的Quick Share功能。</p> </div></div></div>
2024/1/18 09:36作者林妍溱https://www.ithome.com.tw/news/160879
Androxgh0st惡意軟體攻擊Laravel與Apache伺服器，竊取AWS與微軟等憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>FBI與CISA警告<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-016a">Androxgh0st惡意軟體</a>正在暗中蠢動，這個以Python編寫的惡意程式，能夠在目標網路建立殭屍網路，掃描存在弱點的系統，最終導致攻擊者入侵並進行遠端程式碼執行攻擊。針對Laravel框架的CVE-2017-9841漏洞，以及特定版本的Apache HTTP伺服器CVE-2021-41773漏洞，Androxgh0st藉由綜合濫用這些漏洞達到攻擊目的。</p> <p>Androxgh0st惡意軟體主要針對在Laravel網頁應用程式框架中的.env檔案，之中所儲存的敏感資料，特別像是AWS、Microsoft Office 365、SendGrid與Twilio等知名應用的憑證。除此之外，Androxgh0st還擁有多功能性，能夠藉由濫用SMTP，執行像是掃描和利用暴露的憑證和API，以及部署Web Shell惡意程式等操作。</p> <p>攻擊者主要運用腳本對存在特定漏洞的網站，進行掃瞄和搜尋，尤其是利用CVE-2017-9841漏洞，在使用PHPUnit的網站上遠端執行PHP程式碼，這包括對使用PHPUnit並在網路上暴露/vendor目錄的網站，發送惡意HTTP POST請求，進而從遠端執行提交的PHP程式碼。</p> <p>此外，攻擊者還會透過Androxgh0st下載惡意檔案到託管網站的系統中，設置一個假冒頁面，透過URI打開網站的存取後門，使攻擊者可以下載更多惡意程式到網站中進行操作，並且存取網站的資料庫。</p> <p>Androxgh0st惡意軟體針對使用Laravel框架的網站，進行一系列精密的攻擊，首先Androxgh0st透過建立殭屍網路來掃描使用Laravel框架的網站，並且篩選暴露在根目錄的.env檔案，官方提到，該檔案通常會儲存敏感的憑證資料和令牌。攻擊者一旦發現這些洩漏的檔案，便會透過GET或POST請求存取.env檔案，以及擷取其中敏感資訊。</p> <p>Androxgh0st還能夠存取網站上Laravel網站的應用金鑰，成功辨識出應用金鑰之後，攻擊者可以利用金鑰加密PHP程式碼，並將加密程式碼作為跨站請求偽造（XSRF）令牌Cookie傳遞，進行遠端程式碼執行攻擊。這種方法讓攻擊者可以透過遠端存取，將檔案上傳到網站。</p> <p>這個攻擊手法只對2.4.49與2.4.50兩版本的Apache HTTP伺服器有效，其主要利用CVE-2021-41773漏洞進行攻擊，攻擊者只要掃描到可以攻擊的目標，便會啟動CGI腳本，進行後續遠端程式碼執行攻擊。</p> <p>當攻擊者也能夠取得服務的憑證，便可以執行進一步惡意操作，像是取得AWS憑證之後，就能夠用於創建新的用戶和用戶政策，不只如此，Androxgh0st攻擊者還被發現創建新的AWS執行個體，來進行其他掃描活動。</p> <p>FBI與CISA提出幾點建議，協助企業緩解Androxgh0st攻擊威脅，除了更新作業系統、軟體和韌體之外，也要確保所有URI預設配置為拒絕所有請求，並且所有Laravel應用不應處於除錯或是測試模式。同時還要定期檢查.env檔案中的平臺和服務憑證，並且檢查發往檔案託管網站的請求，特別是當請求存取.php檔案時，另外，也要掃描伺服器檔案系統，尋找陌生不認識的PHP檔案。</p> </div></div></div>
2024/1/18 08:33作者李建興https://www.ithome.com.tw/news/160877
AWS Supply Chain新增3模組支援供應鏈上游活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其供應鏈應用程式<a href="https://aws.amazon.com/tw/blogs/aws/aws-supply-chain-update-three-new-modules-supporting-upstream-activities/">AWS Supply Chain添加3個新模組</a>，包括供應計畫、N層可見性和永續性，協助企業在供應鏈中每個站點達到最佳庫存標準，並與供應鏈各層級的供應商協作更加順暢。</p> <p>供應計畫模組可以供用戶準確預測和規畫原料、元件和成品的採購，其使用多種演算法來建立供應計畫，其中包括採購訂單和庫存轉移要求。原本AWS Supply Chain中的需求計畫模組，使用特別的機器學習演算法來預測需求，並根據兩年或多年的歷史清單資料產生需求計畫。</p> <p>而新的供應計畫模組使用需求計畫作為輸入，透過查看現有庫存，考慮不確定性，並且支援其他業務輸入，最終生成元件和原材料採購訂單，以供用戶審核和批准。</p> <p>第二個新模組N層可見性模組，則可以擴展用戶內部系統的可見性，以方便與外部貿易夥伴協作。N層可見性模組的對象包括用戶的供應商，以及向供應商提供產品的供應商，該模組會自動偵測供應商，並且將他們納入AWS Supply Chain中管理，其支援透過手動以及電子資料交換（EDI）來協作處理採購訂單，也會協助用戶辨識異常和風險，並在必要的時候尋求替代供應商。</p> <p>另外，永續性模組則提供安全且有效率的方式，請求、收集和審查碳排資料，還有與採購、製造、運輸和處置貨物的過程中，使用有害物質的報告。現在用戶可以向供應鏈上不同層級的夥伴發送資料請求、追蹤回應，對未回應者發送提醒，並將這些資料儲存至集中儲存庫供後續查看。</p> </div></div></div>
2024/1/18 08:37作者李建興https://www.ithome.com.tw/news/160878
升級處理器與記憶體規格，思科翻新中小企業等級交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_catalyst_1200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中小企業與小型的區域網路環境，思科在2023年6月初發表兩款交換器機型，分別是Catalyst 1200系列（C1200）、Catalyst 1300系列（C1300），到了12月初於澳洲召開用戶大會，他們針對亞太地區市場，正式推出多款鎖定中小企業需求的網路與資安產品，當中就包含上述兩款交換器。</p> <p>新的交換器可簡化網路環境的設定，因為用戶部署這些設備時，能透過集中管理軟體Cisco Business Dashboard（CBD）進行（可建置在內部環境的Linux系統、伺服器虛擬化平臺，或AWS、Azure這兩大雲端服務）。基本上，CBD這套軟體提供自動化的部署、監控、生命週期管理功能，主要負責的對象是Cisco Business系列網路設備，涵蓋多款CBS交換器、Wi-Fi基地臺、Small Business RV系列路由器，以前者而言，支援上述兩款機型之餘，也包括無網管型交換器CBS 110系列、智慧型交換器CBS 220系列、CBS 250系列，以及網管型交換器CBS 350系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SMB Switch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SMB%20Switch.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Business Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Business%20%20Management.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CBD-449288.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/CBD%202_7.jpg" style="width: 298px;" /></p> <p>若要進行個別設備的設定與管理，用戶也能透過網頁介面與行動App進行。以後者而言，IT人員可在智慧型手機安裝Cisco Business Mobile App——在2023年10月底發布的1.7版，開始支援Catalyst 1200系列與1300系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Web Portal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Web%20Portal.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C1300-Status.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Status.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Web-Setup2.jpg" style="width: 298px;" /></a></p> <p>相較於思科現行的中小企業與小型網路交換器產品，像是2019年登場的Catalyst 1000系列，以及2020年、2021推出的CBS 250系列、350系列、220系列，2023年發表的Catalyst 1200系列、Catalyst 1300系列有何差異？</p> <p>最顯著的部分是硬體配備，新款交換器採用1.4 GHz的雙核心處理器，以及1 GB容量的DDR記憶體，提供2倍的運算速度與4倍的記憶體容量——C1000系列與CBS系列大多採用ARM v7 800 MHz處理器與512 MB記憶體（Cisco Business 220採用256 MB）。</p> <p>作業系統方面，C1200系列與C1300系列都採用訂製的Linux軟體，既有的C1000系列搭配思科IOS。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Catalyst%201200%20or%201300%20Series%20Switches%20Feature%20Comparison.jpg" style="width: 600px;" /></p> <p>在其他配置上，C1200系列與C1300系列均開始內建信任平臺模組（TPM），可協助硬體設備防護非法升級、竄改、略過授權驗證、裝置偽裝，以及帳密竊取等攻擊；而在設備管理方式上，這批機型可在USB埠安裝藍牙連接器（Bluetooth Dongle），使筆電與平板電腦可經由基於藍牙無線通訊而成的IP網路連入交換器，可使用Telnet、SSH個人端連線程式或瀏覽器進行存取，以便透過命令列的指令輸入或網頁圖形介面進行管理，目前支援5款藍牙連接器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth Management-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth%20Management-A.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Bluetooth%20Management.jpg" style="width: 298px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/C1300-Putty.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C1300-Putty.jpg" style="width: 298px;" /></a></p> <p>關於節能的部分，這批交換器相較於CBS系列、C1000系列，耗電量可減少58％，從而降低能源使用成本。</p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>Cisco Catalyst 1200系列與1300系列</strong><br /> ●原廠：思科<br /> ●建議售價：廠商未提供<br /> ●網路介面：<br /> Cisco Catalyst 1200<br /> 8個GbE埠搭配上行埠0或 2個GbE埠（SFP）<br /> 16個GbE埠搭配上行埠2個GbE埠（SFP）<br /> 24個GbE埠搭配上行埠4個GbE埠（SFP）<br /> 48個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 24個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 48個GbE埠搭配上行埠4個10GbE埠（SFP+）</p> <p>Cisco Catalyst 1300<br /> 8個GbE埠搭配上行埠2個GbE埠（SFP）<br /> 16個GbE埠搭配上行埠2個GbE埠（SFP）<br /> 24個GbE埠搭配上行埠4個GbE埠（SFP）<br /> 48個GbE埠搭配上行埠4個GbE埠（SFP）<br /> 16個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 24個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> 48個GbE埠搭配上行埠4個10GbE埠（SFP+）<br /> ●機型：<br /> Cisco Catalyst 1200提供16款：<br /> C1200-8T-D、C1200-8T-E-2G、C1200-8P-E-2G、C1200-8FP-2G、C1200-16T-2G、C1200-16P-2G、C1200-24T-4G、C1200-24P-4G、C1200-24FP-4G、C1200-48T-4G、C1200-48P-4G、C1200-24T-4X、C1200-24P-4X、C1200-24FP-4X、C1200-48T-4X、C1200-48P-4X</p> <p>Cisco Catalyst 1300提供19款：<br /> C1300-8T-E-2G、C1300-8P-2G、C1300-8FP-2G、C1300-16T-2G、C1300-16P-2G、C1300-16FP-2G、C1300-24T-4G、C1300-24P-4G、C1300-24FP-4G、C1300-48T-4G、C1300-48P-4G、C1300-48FP-4G、C1300-16P-4X、C1300-24T-4X、C1300-24P-4X、C1300-24FP-4X、C1300-48T-4X、C1300-48P-4X、C1300-48FP-4X<br /> ●機箱尺寸：1U<br /> ●網路交換容量：<br /> Cisco Catalyst 1200：<br /> 8埠機型16 Gbps、20 Gbps<br /> 16埠機型36 Gbps<br /> 24埠機型56 Gbps、128 Gbps（C1200-24T-4X、C1200-24P-4X、C1200-24FP-4X）<br /> 48埠機型104 Gbps、176 Gbps（C1200-48T-4X、C1200-48P-4X）</p> <p>Cisco Catalyst 1300：<br /> 8埠機型20 Gbps<br /> 16埠機型36 Gbps、112 Gbps（C1300-16P-4X）<br /> 24埠機型56 Gbps、128 Gbps（C1300-24T-4X、C1300-24P-4X、C1300-24FP-4X）<br /> 48埠機型104 Gbps、176 Gbps（C1300-48T-4X、C1300-48P-4X）<br /> ●MAC位址數量：均為8,000個<br /> ●封包緩衝記憶體容量：1.5 MB（48埠機型為3 MB）<br /> ●管理平臺：本機網頁介面、SNMP、集中管理軟體系統Cisco Business Dashboard</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/17 19:20作者李宗翰https://www.ithome.com.tw/review/160696
國科會規畫2025年我國科技預算1,800億元，投資晶創台灣、淨零、科研人才、太空科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會厚實我國科技競爭力，在邁入2024年之初，今天（1/17）公布第9次委員會議結果，規畫我國2025年科技預算規畫將達到1,800億元，除了繼續推動5+2產業創新之外，重點投資晶創台灣、淨零科技、科研人才、太空科技等。</p> <p>COVID-19疫情期間，我國科技預算一度衰退，但是在疫情逐漸緩和，政府從2022年開始逐漸拉高科技預算，行政院核定該年的科技預算為1,264億元，較前一年增加78億元，2023年提高至1,383億元，到2024年達到1,570億元，國科會規畫2025年科技預算提高至1,800億元，比前一年增加約14%。</p> <p>行政院政務委員兼國科會主委吳政忠指出，國科會盤整各部會提出的需求，初步規畫2025年科技預算提高至1,800億元，未來會整合跨部會落實執行，透過政府投入的量能增加，帶動民間產學研擴大投資。</p> <p>他表示，民國114年的科技發展計畫，除了繼續推動5+2產業創新、智慧國家等科技項目，也參考去年12月科技顧問會議建言，強化我國半導體及AI、淨零科技，布局我國長期的科技發展；深化我國在半導體的優勢，結合生成式AI，加速前瞻科技研發及落地。另外，也持續投資太空科技、引導尖端技術研發創人及對科研人才的培育，超前部署關鍵的技術，維持臺灣的科技發展動能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/budget.jpg" style="width: 600px; height: 344px;" /></p> <p>根據國科會科技會報辦公室的說明，民國114年擴大投入的重點科技，包括晶創台灣、太空科技、淨零科技、培育科研人才，其他還有延續推動的政策，如資安、國防科技、量子、高齡科技、精準健康等等。其中晶創台灣為行政院去年提出，從2024年到2033年的長期計畫，將投入3千億元經費，其中第一期從2024年開始，為期5年，利用臺灣在半導體晶片製造與封測的優勢，結合生成式AI等技術發展創新應用，及早布局臺灣的未來科技產業，並推動產業加速創新突破。</p> <p>行政院提出晶創台灣的4個布局，包括挹注晶片及生成式AI以帶動產業創新，培育及吸納國際人才，加速投資IC晶片設計著重異質整合技術，以及利用台灣的矽島優勢吸引國外新創及投資。</p> <p>吳政忠指出，今年（2024年）科技計畫和去年最大不同就是晶創台灣計畫，今年規畫晶創台灣的預算為120億元，2025年規畫增加至200億元，其他項目的投資則穩定成長。各國推動生成式AI應用，台灣也不落人後，晶創台灣所提出的4個布局，皆包含了生成式AI在其中，包括晶片研發、人才培育等，難以特別區分出生成式AI的預算經費。</p> <p>至於國科會現在初步規畫2025年科技預算，未來新政府在今年5月接手後，是否提出新的科技政策，預算經費是否足夠因應，吳政忠認為，新舊政府的科技政策是延續的，新總統提出的希望工程願景，和現在總統的科技政策接近。科技不會每四年循環，至少需要十年以上發展，科技預算無法等到5月新政府接手提出，因此國科會先提出科技預算，相信未來新政府科技政策大方向應該不會變，但是在小方面則有調整空間。</p> <p>除了國科會提出2025年科技預算規畫，經濟部也展現我國從2019年推動AI on Chip的成果，發展半通用AI晶片、布局異質整合技術、打造超低功耗AI晶片、開發AI系統軟體等，目前已開發相關的技術，例如具有多功能AI影像辨識的AI晶片、異質整合AI晶片，還有雲端使用，強調能效表現的推薦系統專用晶片、MRAM記憶體等等。經濟部指出，AI on Chip計畫累積已產出82件專利，技術廠商，衍生出超過350億元產值。</p> <p>另外，政府積極推動的資安強化方面，數位部也報告資安跨域整合聯防計畫的成果，該計畫在民國110年到113年投入約31億元經費，聯合教育部、法務部、數位部、內政部、經濟部、交通部各部會，成果包括深化情資分享，分享超過3萬7千筆情資，供政府機關參考，還有GNS場域主動防禦，提高自動化情資分享時效等等。</p> </div></div></div>
2024/1/17 19:27作者蘇文彬https://www.ithome.com.tw/news/160876
即日起蘋果將允許美國程式連至外部支付機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最高法院周二（1/16）拒絕了蘋果就與Epic Games之間訴訟案的上訴，使得蘋果立即<a href="https://developer.apple.com/support/storekit-external-entitlement-us/" target="_blank">修改其App Store使用條款</a>，允許美國App Store的程式開發者於程式中嵌入外部連結，以告知其它支付機制，不再強制使用蘋果支付機制。</p> <p><a href="https://www.ithome.com.tw/news/139405" target="_blank">這起訴訟案始於2020年</a>，當時Epic Games在iOS版與Android版的《要塞英雄》（Fortnite）遊戲中，自行加入了官方支付機制，以繞過App Store與Google Play的程式付費機制，同時遭到蘋果與Google將遊戲下架，促使Epic Games提出訴訟。<a href="https://www.ithome.com.tw/news/146681" target="_blank">美國聯邦法官在隔年9月作出裁決</a>，要求蘋果不得強迫開發者使用蘋果支付，而蘋果則提出上訴，本周最高法院法官拒絕了此一上訴案，促使蘋果立即作出改變。</p> <p>更新後的App Store使用條款允許美國App Store上提供程式內購買的行動程式，可以透過外部購買連結（StoreKit External Purchase Link Entitlement）來連至開發者的網站，以告知使用者其它的購買方式，但開發者必須提出請求並通過審核。</p> <p>不過，蘋果依然要求開發者要支付27%的銷售佣金，而且開發者必須定期提供App Store以外的購買帳目，且蘋果有權審核開發者的帳目，以確保開發者遵守支付佣金的義務。倘若開發者參與了蘋果的小型企業方案（Small Business Program），抑或者是交易屬於自動續訂，或是在第二年之後的自動續訂，佣金即可降至12%。</p> <p>看起來這項措施並未沒有替開發者帶來太大的優勢，此外，蘋果於訴狀中指出，以這種方式收取佣金將同時替蘋果與開發者帶來額外的成本，特別是蘋果，因為美國的App Store上聚集了數十萬的開發者，就算有合約，但要強制執行及收集佣金將會非常困難，在許多情況下甚至是不可能的。</p> </div></div></div>
2024/1/17 16:16作者陳曉莉https://www.ithome.com.tw/news/160868
【資安日報】1月17日，逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>存在弱點的程式碼一旦重複利用，很有可能造成類似的漏洞不斷出現，駭客可能得以多次挖掘這類弱點，將其用於攻擊。</p> <p>最近有研究人員針對SonicWall防火牆已有概念性驗證程式的已知漏洞進行調查，結果發現，另一個1年前公開的漏洞因為也採用相同的程式碼，而具有類似的弱點，依此情況來看，其他採用這部分程式碼的功能模組也會曝險，而有可能導致其危害擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://bishopfox.com/blog/its-2024-and-over-178-000-sonicwall-firewalls-are-publicly-exploitable"><strong style="font-size: 22px;">逾17萬臺SonicWall防火牆容易受到DoS及RCE攻擊</strong></a></p> <p>資安業者SonicWall先後於2022年、2023年揭露次世代防火牆（NGFW）的記憶體堆疊緩衝區漏洞CVE-2022-22274、CVE-2023-0656（CVSS風險評分為9.4、7.5），這些漏洞的共通點在於，都出現於網頁管理介面，而能讓攻擊者在未經身分驗證的情況下，進行阻斷服務（DoS）攻擊。</p> <p>近期資安業者Bishop Fox針對CVE-2023-0656的概念性驗證（PoC）程式碼進行調查，結果發現，上述2個相隔1年公布的漏洞，根本的原因相同，開發者重複使用存在弱點的程式碼引起，導致攻擊者只需利用不同的HTTP URI路徑，就有機會發動相同型態的網路攻擊。研究人員針對CVE-2022-22274進行分析，結果發現是由不同位置、但存在相同弱點的程式碼模組造成，此漏洞還會利用額外的3個URI，攻擊者有可能在目標系統執行程式碼，或是讓防火牆強制進入維護模式而無法正常運作，停用防火牆或是VPN的功能。</p> <p>研究人員掃描網際網路上的SonicWall防火牆，發現能存取其網頁管理介面的系統多達233,984臺，其中的178,637臺存在前述的部分漏洞，換言之，超過四分之三的設備曝露於相關風險。</p> <p><a href="https://www.volexity.com/blog/2024/01/15/ivanti-connect-secure-vpn-exploitation-goes-global/"><strong style="font-size: 22px;">Ivanti上週公布的SSL VPN零時差漏洞遭到大規模利用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ivanti002.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ivanti002.png" style="width: 300px; float: right;" /></a>資安業者Volexity通報SSL VPN系統Ivanti Connect Secure（ICS）零時差漏洞CVE-2023-46805、CVE-2024-21887（CVSS風險評分為8.2、9.1），並指出這些漏洞12月已被中國駭客組織UTA0178用於攻擊行動，事隔不到一週，研究人員再度提出警告，他們觀察到已出現大規模攻擊行動。</p> <p>1月15日該公司指出，在10日Ivanti發布上述漏洞的資安公告之後，他們隔日就發現這些駭客企圖發動大規模攻擊，而且有其他駭客組織跟進。截至14日，至少有1,700個ICS系統遭到入侵的跡象。這些受害組織分散在全球各地，規模涵蓋小型企業到財星500大，且橫跨多種領域，包括政府機關與軍事單位、國營電信業者、國防承包商、科技業、金融業、顧問公司、航空、太空，以及工程公司等。</p> <p>而對於這些SSL VPN系統受害的情況，研究人員指出，他們看到駭客植入名為Giftedvistor的Web Shell變種。</p> <p><a href="https://www.zscaler.com/blogs/security-research/dreambus-unleashes-metabase-mayhem-new-exploit-module"><strong style="font-size: 22px;">Linux惡意軟體DreamBus鎖定Metabase、Apache RocketMQ等應用系統而來</strong></a></p> <p>資安業者Zscaler揭露Linux惡意程式DreamBus的最新攻擊行動，這個惡意程式約從2019年出現，並具備類似蠕蟲的特質，主要透過應用程式的漏洞，以及資料庫、雲端應用程式、IT管理工具的弱密碼來入侵目標主機。但從2023年6月此惡意程式出現重大變化，開發者導入新的程式碼來迴避偵測，並加入新的漏洞利用攻擊模組，鎖定商業智慧（BI）工具Metabase的CVE-2023-38646（CVSS風險評分為9.8），以及分散式訊息及資料處理平臺Apache RocketMQ的CVE-2023-33246（CVSS風險評分為9.8）。</p> <p>研究人員在過去半年看到該惡意程式針對Metabase、RocketMQ、HashiCorp Consul、Hadoop YARN，以及資料庫Redis、PostgreSQL下手，但最常見的攻擊對象是PostgreSQL。而對於上述新的漏洞攻擊模組，針對Metabase的部分，駭客先傳送特定HTTP請求來尋找開放3000埠的伺服器，然後執行bash命令來挖堀設定用的Token，嘗試利用漏洞，成功後下載DreamBus主程式並執行。</p> <p>而對於RocketMQ，攻擊者則是掃描10911埠來尋找目標，若是找到含有CVE-2023-33246的伺服器，就會利用curl下載bash指令碼，並寫入名為reketed的檔案來利用漏洞，確認成功後使用另一個bash指令碼來啟動DreamBus。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=161057&SPOKE_DATE=20240117&COMPANY_ID=1528"><strong style="font-size: 22px;">印刷電路板業者恩德證實部分資訊系統遭遇網路攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/firefox_obC8FErz6B.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/firefox_obC8FErz6B.png" style="width: 300px; float: right;" /></a>鴻海集團旗下<a href="https://www.ithome.com.tw/news/160856">半導體設備廠京鼎16日遭駭客入侵網站</a>，駭客聲稱竊得大量內部資料向其勒贖，否則要將該公司摧毀、媒體將報導其「不復存在」。事隔一天，又有臺灣的半導體業者遭到攻擊。</p> <p>1月17日下午4時印刷電路板（PCB）業者於股市公開資訊觀測站發布重大訊息，表示部分資訊系統遭遇網路攻擊，該公司察覺異狀即啟動相關機制及復原作業，並尋求外部資安公司及技術專家協助，對所有網域、網頁進行全面掃描，在確認安全的情況下使用日常備份的資料復原，初步認為對公司營運無重大影響。</p> <p>不過，與前一天發生的資安事故有所不同，駭客並未竄改恩德的網站，而到截稿為止，該公司網站仍處於無法存取的狀態。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://confluence.atlassian.com/security/cve-2023-22527-rce-remote-code-execution-vulnerability-in-confluence-data-center-and-confluence-server-1333990257.html"><strong style="font-size: 22px;">DevOps協作平臺Atlassian Confluence存在重大漏洞，攻擊者無須通過身分驗證就能發動RCE攻擊</strong></a></p> <p>1月16日IT業者Atlassian發布資安通告，他們發現在12月5日以前發布的DevOps協作平臺Confluence，存在範本注入漏洞CVE-2023-22527。</p> <p>未經身分驗證的攻擊者可濫用這個漏洞，進而從遠端連至系統執行任意程式碼（RCE），CVSS風險評分達到10分，影響8.0至8.5.3版Confluence Data Center及Confluence Server，提供長期支援（LTS）的7.19版，或是Atlassian Cloud代管的雲端版本則不受影響。</p> <p>該公司指出，由於他們已不再支援上述受影響的版本，因此建議IT人員應將此協作平臺升級到新版本。</p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/citrix-warns-of-new-netscaler-zero-days-exploited-in-attacks/"><strong style="font-size: 22px;">Citrix NetScaler設備管理介面存在零時差漏洞，逾1,500臺系統曝險</strong></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png" style="width: 300px; float: right;" /></a>1月16日Citrix發布資安公告，指出NetScaler ADC與NetScaler Gateway（原Citrix ADC、Citrix Gateway）存在零時差漏洞CVE-2023-6548、CVE-2023-6549。</p> <p>前者存在於管理介面，攻擊者若是通過身分驗證取得低權限，就有機會遠端執行程式碼，CVSS風險評為5.5；另一個漏洞則是阻斷服務（DoS）漏洞，NetScaler系統在配置為閘道或AAA虛擬伺服器的情況下，攻擊者有可能觸發漏洞影響其運作，CVSS風險評為8.2。</p> <p>值得留意的是，這些漏洞已被用於攻擊，根據Shadowserver基金會的威脅監控平臺資料，全球有超過1,500臺能從網際網路存取管理介面的NetScaler實體可能曝險。</p> <p>資料來源</p> <p>1. <a href="https://support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549">https://support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=citrix&model=netscaler+management+interface&group_by=geo&style=stacked">https://dashboard.shadowserver.org/statistics/iot-devices/time-series/?date_range=7&vendor=citrix&model=netscaler+management+interface&group_by=geo&style=stacked</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.oracle.com/security-alerts/cpujan2024.html"><strong><span style="font-size: 20px;">Oracle發布2024年第1季例行更新，修補389個漏洞</span></strong></a></p> <p><a href="https://blog.quarkslab.com/pixiefail-nine-vulnerabilities-in-tianocores-edk-ii-ipv6-network-stack.html"><strong><span style="font-size: 20px;">研究人員揭露PixieFail弱點，恐影響企業主機的PXE網路開機功能</span></strong></a></p> <p><a href="https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html"><strong><span style="font-size: 20px;">Google修補2024年Chrome第1個零時差漏洞</span></strong></a></p> <p><strong><a href="https://www.sentinelone.com/blog/the-many-faces-of-undetected-macos-infostealers-keysteal-atomic-cherrypie-continue-to-adapt/"><span style="font-size: 20px;">竊資軟體鎖定Mac電腦而來，繞過作業系統的防護機制XProtect</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-androxgh0st-malware-botnet-steals-aws-microsoft-credentials/"><strong><span style="font-size: 20px;">殭屍網路Androxgh0st竊取AWS及微軟帳密</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160854"><strong>【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160839"><strong>【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160828"><strong>【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</strong></a></p> </div></div></div>
2024/1/17 16:43作者周峻佑https://www.ithome.com.tw/news/160870
MedTech醫療科技雙周報第31期：國科會啟動高齡科技產業行動計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0101～0115）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">數位學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高齡科技產業行動計畫 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國科會啟動高齡科技產業行動計畫</strong></span></p> <p>國科會在1月10日啟動高齡科技產業行動計畫，透過經濟部、衛福部、數位部、教育部、內政部、文化部和原民會等8大部會聯手推動，要以科技為核心來解決高齡社會挑戰。其中，國科會科技辦公室將主導、成立推動辦公室，並由高齡科技產業發展專家委員擔任諮詢角色，來共同進行高齡科技產業的跨部會推動。</p> <p>就推動主軸來說，則有4個重點策略，包括推動市場經濟、擴大數位賦能、提升照顧效能和優化高齡生活。以第一項策略而言，目標是要將高齡科技產品和服務供需對接、建置供需平臺，來加速產品流動，如專為銀髮族設計的零學習電視視訊組。第二項策略是要推動數位學習整合服務場域應用，如開辦數位遊戲互動示範課程，來提升高齡社交生活參與。第三項策略是發展照顧者輔助產品和系統，來落實照顧科技普與應用，如整合監視器和影像處理與AI人臉辨識技術，並配合動作感測來評估高齡者身體活動能力，提供早期風險預警。最後一項策略是要完善高齡生活整合服務，並擴大服務據點和範圍，比如輔導跨領域廠商，如健身房、餐廳、藥局等，來提供高齡者所需的整合性居家健康照護服務，實現在地安養目標。<a href="https://www.nstc.gov.tw/folksonomy/detail/0235587d-78c4-48a3-874d-3872b2a7e9db?l=CH&utm_source=rss">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1_%E5%95%9F%E5%8B%95%E8%AA%AA%E6%98%8E%E5%A0%B1%E5%91%8A%E7%B0%A1%E5%A0%B1_%E9%AB%98%E9%BD%A1%E7%A7%91%E6%8A%80%E7%94%A2%E6%A5%AD%E8%A1%8C%E5%8B%95%E8%A8%88%E7%95%AB%E5%95%9F%E5%8B%95%E8%A8%98%E8%80%85%E6%9C%83-7.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保資料庫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部將於春節後公布資料管理條例草案</strong></span></p> <p>根據聯合報報導，在1月舉辦的臺灣醫法實務論壇中，衛福部部長薛瑞元揭露，衛福部已著手擬訂「衛生福利資料管理條例」草案，專門管理健保資料庫應用（含健保資料二次利用和退出權）、國健署癌症登記和社會安全網等相關資料運用，預計春節後預告，並收集各方意見來修正。</p> <p>進一步來說，2022年大法官釋憲，認定衛福部健保署健保資料庫運用，部分違憲，要求3年內完成修法。憲法法庭也建議，健保資料庫的管理應要建構獨立的監督機制，而淡江大學公共行政系教授、臺灣人權促進會長涂予尹指出，國發會正草擬修正個資法，並將成立獨立監督機關的個資會，來銜接或配合衛福部相關資料庫管理。薛瑞元表示，衛生福利資料管理條例草案已近完成，接下來將預告後，再依不同意見召開專家會凝聚共識。<a href="https://udn.com/news/story/6656/7709252">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">數位醫療</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 澳洲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子處方 </span></strong></span></p> <p><span style="font-size:22px;"><strong>澳洲發布未來10年數位醫療藍圖</strong></span></p> <p>澳洲政府在去年12月中底發布2023年至2033年數位醫療藍圖，並附上行動計畫文件，來說明每項措施和實行方法。這些藍圖涵蓋了電子處方、醫療服務現代化計畫和公衛數位健康工具等重點，同時還包括繼續現代化改造「我的健康記錄」（My Health Record）並新添其他預設分享的健康資訊、納入更多醫療體系資料至我的健康記錄、建置澳洲國家基因資料庫、支援建置跨州和跨地區的健康資料共享前置立法作業。</p> <p>不只如此，該藍圖還瞄準高齡照護，比如Dollars Going to Care，用來建置住宿型老年照護中心的財務資訊標準，提高照護機構的財務透明性和當責性。另外一個計畫是建置公家照護機構管理系統，要讓高齡照護機構能自主管理、查閱和維護他們與政府的記錄。<a href="https://www.health.gov.au/resources/publications/the-digital-health-blueprint-and-action-plan-2023-2033?language=en">（詳全文）</a></p> <p><img alt="" src="https://www.health.gov.au/sites/default/files/styles/h_content_max_width_no_upscale/public/2023-12/the-digital-health-blueprint-and-action-plan-2023-2033.jpg?itok=OlmI3Ght" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新加坡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 步態分析 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跌倒 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>加強跌倒預防措施，新加坡擴大步態分析AI應用</strong></span></strong></p> <p>新加坡南洋理工學院（NYP）聯手當地醫療科技公司Longway AI Technologies，共同開發一套步態分析系統，可即時辨識患者的步伐狀態，並通知照護者，及時在跌倒發生前提供幫助。根據新加坡政府調查，65歲以上的老年人口中，有三分之一至少跌倒過1次，其中40%會導致受傷死亡。新加坡衛生部研究也發現，髖部骨折的患者，在骨折後1年，死亡率為20%至27%，其中的倖存者，有20%半失能或完全失能，另有39%表示行動能力下降。</p> <p>於是，南洋理工學院用200多個小時的影片來訓練這套AI系統。他們分2階段開發，首先是預訓練階段，系統分析了20萬個開源的影片，並在第2階段，用200多個影片來對每種人類活動（如站立、坐下和短距離散步等基本活動）微調，讓模型理解不穩定步態相關的生物力學運動。這套AI系統會根據人體骨骼模型中，不同關節的運動做出反應。當系統偵測到可能引發跌倒的特定動作時，就會發出通知，讓照護團隊知道。</p> <p>南洋理工學院自2020年以來，已和新加坡中央醫院、聖盧克高齡照護中心（St. Luke’s ElderCare Rivervale Centre）進行多項試點專案，也成功用這套AI系統來分類醫院優先處置的患者，並遠距監測聖盧克照護中心的40多名長者，讓中心更妥善部署人力資源。目前，該系統也擴大應用，在新加坡SASCO長照之家部署並試用，南洋理工學院也正與聖安德魯療養院討論，要在療養院內部署該系統。<a href="https://www.nyp.edu.sg/about-nyp/nyp-overview/media-room/media-releases/2024/january/artificial-intelligence-helps-predict-falls--creating-safety-sys.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">無線聽診器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BeamO </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 心律不整 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Withings推出首支四合一無線聽診器BeamO</strong></span></p> <p>法國健康器材業者Withings在消費電子大展（CES）上，展出一款整合心電圖、血氧濃度（SpO2）、體溫及心肺音量測功能的無線聽診器，預計今年夏天開賣。Withings過去就以無線體重計、血壓、心電三合一聽診器知名，是居家健康裝置名廠，也在2021年的CES展出具心率、呼吸、血氧及睡眠量測功能的手錶Scanwatch，成為蘋果Apple Watch勁敵。</p> <p>他們最新的BeamO，號稱是世界第一款4合1居家遠距生理量測裝置。它在無線聽診器上整合了多項感測器，包括單導程心電圖、非接觸體溫量測和微型血氧量測器，且這個無線聽診器還能蒐集心音、肺音。利用心電圖量測功能，BeamO可偵測心律不整（AFib），且一旦心率過快或過慢，就會發送通知。BeamO的App還有視訊功能，能供病患和醫師遠距諮詢。<a href="https://www.withings.com/us/en/beam-o">（詳全文）</a></p> <p><img alt="" src="https://www-assets.withings.com/pages/event/kmi-beamo/media/checkup3.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">心肌梗塞 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 國衛院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 冠心病 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>國衛院、宏碁與長庚聯手開發冠心病預測AI，獲國家新創獎</strong></span></strong></p> <p>國家衛生研究院、長庚醫療體系、宏碁旗下價值創新中心與宏碁智醫共同打造一套冠狀動脈阻塞智慧偵測系統，用AI增強心電圖特徵，來及早篩檢出冠心病患者，預防心肌梗塞的發生。</p> <p>進一步來說，心肌梗塞可分為ST上升型和非ST上升型心肌梗塞。ST上升型心肌梗塞可透過心電圖檢查出來，但非ST上升型的心肌梗塞需透過驗血或其他檢查，才能診斷出來。而這套冠狀動脈阻塞智慧偵測系統，透過AI學習疾病生物特徵，並將心電圖訊號處理、擴充心電圖特徵等，可提早篩檢出心電圖與臨床診斷看似正常卻有冠心病的病患，提醒民眾及早就醫，更加注意自身健康與生活習慣。該系統最近獲得第20屆國家新創獎智慧醫療與科技創新獎項，也在臺灣取得2項專利，並計畫在多國申請專利保護。<a href="https://www.nhri.edu.tw/News/more?id=2f361fc498df48b3bb3b2022160225c0">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 中醫藥 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 浸會大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 慢性病管理 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>香港浸大成立智慧中醫中心，瞄準慢性病管理</strong></span></strong></p> <p>香港浸會大學與華潤科學技術研究院成立智慧中醫聯合創新中心，要來推動中醫藥發展，首要目標是打造新型慢性疾病管理系統。這個系統可追蹤病人診斷到治療的過程，並提供後續醫療照護和長期健康管理功能，來長期控管患者慢性病病情。</p> <p>此外，中醫師還能透過該系統，來查看病人全面的病歷資料，來了解每位患者的健康紀錄，進而制定更周詳的治療計畫。同時，病人也能從這套系統，了解自己的治療狀況和進展。另一方面，研究者還能透過該系統保存的數據，來進行特定領域的研究，比如析整體治療效果、辨識中醫藥治療作用等。雙方表示，這套慢性病管理系統的成果，未來還會擴大至其他疾病管理和治療。<a href="https://www.hkbu.edu.hk/zh_hk/whats-new/press-release/2023/1220-hkbu-and-china-resources-enterprise-establish-joint-innovation-centre-on-smart-chinese-medicine.html">（詳全文）</a></p> <p>圖片來源／國科會、澳洲政府、Withings</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 韓國昆士大學附屬醫院與Neurophet簽署合作備忘錄，要發展阿茲海默症腦部影像判讀AI</strong></strong></p> <p><strong><strong>2. <a href="https://www.persi.or.id/rsup-haji-adam-malik-implementasikan-robotic-telesurgery-berkolaborasi-dengan-iran/">印尼與伊朗擴大機器人遠距手術合作</a></strong></strong></p> <p>資料來源：iThome整理，2024年1月</p> </div></div></div>
2024/1/17 17:28作者王若樸https://www.ithome.com.tw/news/160872
你懷疑跟朋友的對話遭到竊聽以用來遞送個人化廣告嗎？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人們在網路上點選連結、造訪網站，並因此而看到相關的廣告已不足為奇，然而，有時人們與朋友於實際空間中交談，也傳出會在網路上看到相關的廣告，這是有可能的嗎？隨著有廣告公司宣稱它們得以聽到使用者的交談並傳送個人化廣告，資安業者<a href="https://www.kaspersky.com/blog/smart-speaker-tv-smartphone-eavesdropping/50236/" target="_blank">卡巴斯基（Kaspersky）決定探討此事的可能性</a>，並猜測若此事為真，缺口很可能來自於數位語音助理。</p> <p>去年12月，《<a href="https://www.businessinsider.com/cox-active-listening-claims-conversations-phones-target-ads-12-2023" target="_blank">Business Insider</a>》及《<a href="https://www.404media.co/mindsift-brags-about-using-smart-device-microphone-audio-to-target-ads-on-their-podcast/" target="_blank">404media</a>》分別披露了類似的故事，其中，《Business Insider》報導，美國媒體集團Cox Media Group（CMG）宣稱握有一項名為主動聆聽（Active Listening）的技術，可蒐集來自手機及平板電腦等裝置的麥克風資料，以分析購買前的對話，至於《404media》報導的則是美國一家迷你行銷公司MindSift，同樣號稱能夠聆聽使用者的對話來遞送目標式廣告，而對話來源則是使用者智慧裝置的麥克風。</p> <p>MindSift是透過播客說明該服務，CMG則是透過官方部落格發表，在外界的追問下，雙方都撤下了內容，唯獨CMG的部落格內容<a href="https://web.archive.org/web/20231214235444/https:/www.cmglocalsolutions.com/blog/active-listening-an-overview" target="_blank">被網際網路檔案館（Internet Archie）保留了下來</a>。根據CMG的說法，其主動聆聽技術可根據聊天內容即時辨識買家，有鑑於存取手機及平板電腦麥克風的能力日益強大，使得該公司的技術合作夥伴得以匯總及分析消費者在購買前的對話語音資料，並將使得廣告效率及時機達到新的水平。</p> <p>此外，CMG還強調主動聆聽是一項合法的技術，因為手機與裝置原本就可合法接收使用者的聲音，再加上行動應用程式在下載與更新時，通常會在數頁的使用者條款中，嵌入主動聆聽。</p> <p>然而，卡巴斯基認為，現代作業系統會清楚指示合法應用程式何時才能存取麥克風，倘若程式要持續維持竊聽狀態，會大量消耗裝置電池與傳輸數據而引起使用者注意，此外，不斷分析來自數百萬使用者的音訊需要龐大的運算成本，應是廣告利潤永遠無法彌補的。</p> <p>因此，卡巴斯基猜測最有可能的缺口是數位語音助理，包括採用數位語音助理的手機、喇叭與電視，而且開發數位語音助理的業者也曾承認會蒐集使用者與語音助理之間的互動內容。</p> <p>總之，卡巴斯基建議使用者最好禁用那些不需要使用麥克風之程式的麥克風存取權限，主動控制哪些程式能夠存取麥克風，也應考慮關閉數位語音助理，或是關閉電視上的語音控制功能。</p> </div></div></div>
2024/1/17 15:29作者陳曉莉https://www.ithome.com.tw/news/160867
美CISA首度發布Security by Design警報，製造商需保護網頁管理介面、拒用預設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於遵循「安全設計（Security by Design）」原則已宣導多年，如何讓更多人認清這方面的問題，並實際採取行動，是軟體開發界、資安界持續面臨的挑戰。一個多月前，美國網路安全暨基礎設施安全局（CISA）為此特別發布新型態資安警報，他們強調在軟體開發生命周期中，若未實施安全措施，將造成危害，希望進一步促進製造商重視此議題，扭轉全球資安風險態勢，避免不安全的產品持續危及企業、家庭，以及關鍵基礎設施（CI）。</p> <p>值得關注的是，過去CISA發布的資安警告與通報（Alerts & Advisories），都是聚焦在「最新的攻擊」，以及「軟體的漏洞」，最近他們發布有別於上述的全新警報系列，名為Security by Design Alert，我們認為此舉相當別具意義，這意味著資安推動將更正式邁向軟體開發實踐，進一步在更早期的階段解決相關問題。</p> <p>CISA發布的兩份警報，一份是聚焦在<a href="https://www.cisa.gov/sites/default/files/2023-11/SbD%20Alert%20-%20How%20Software%20Manufacturers%20Can%20Shield%20Web%20Management%20Interfaces%20From%20Malicious%20Cyber%20Activity_508c%20%281%29_0.pdf">敦促製造商應該主動保護網頁管理介面，避免遭受惡意網路活動</a>，另一份是<a href="https://www.cisa.gov/sites/default/files/2023-12/SbD-Alert-How-Software-Manufacturers-Can-Protect-Customers-by-Eliminating-Default-Passwords-508c_0.pdf">聚焦敦促製造商拒用預設密碼，避免相關濫用威脅</a>。可以想見的是，接下來CISA還會針對不同主題，持續發布這方面的警報。</p> <p>這方面的內容，也將能作為我國企業組織的重要參考與借鏡。因為對於資通訊產業發達的臺灣而言，近年政府持續推動將資安概念與重點融入產業發展政策，Security by Design亦是一大發展重點。</p> <h2><strong>減少國家風險，提醒防禦者因應，還要促進軟體製造商改變</strong></h2> <p>有了最新攻擊警報及軟體漏洞警報，為何CISA還要發布全新的Security by Design類型警告？他們表示，如果想要減少國家的風險，不只是提醒防禦者最新的攻擊與軟體的漏洞，更需要深入軟體開發的面向。</p> <p>過去CISA通常將重點放在向防禦者宣導，使他們了解應該怎麼做，才能預防或應對，現在這個新系列警報的對話目標，則是軟體製造商，並著重說明供應商的決策能幫助全球減少相關危害，同時也告訴這些製造商可以遵循哪些原則，主動消除所帶來的風險。</p> <p>例如，當我們看到一個漏洞或入侵活動，如果製造商在開發過程遵循安全設計原則，就可以避免這些問題。因此，需要提醒製造商從根因（root cause）分析角度出發，採取具體改善行動，以減少同樣類型問題造成的資安風險。</p> <p>未來，CISA如有更進一步的規範，這些指引內容也能作為企業後續改良安全設計的依據，一旦發生相關資安事件時，也能以此作為究責的參考標準。</p> <p>接下來，讓我們看看目前CISA最新發布的安全設計警告，首先聚焦於哪些面向：</p> <h2><strong><span style="color:#B22222;">警報1：保護網頁管理介面、防範惡意網路活動</span></strong></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1B）Secure by design Alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 280px; float: right;" /></a></p> <p>在首個警報中，CISA強調保護網頁管理介面。儘管CISA並未說明原因，為何以此面向作為首個警報，根據我們推測，現在各式連網設備幾乎都有網頁介面，使用者可能以此遠端管理設備，但若設定不良，可能有被駭客接管的風險。</p> <p>CISA指出，產品的資安防護不足導致駭客與惡意軟體有機可乘的狀況，很多廠商會質疑客戶為何不做好資安，以避免這樣的事件？</p> <p>然而，資安防護並不只是用戶層面的問題，產品製造商也必須負起責任，因為所有的產品都應該在開發的階段，就導入適當的設計，盡可能減少漏洞，並阻止這些漏洞遭到濫用，例如，利用內建的風險緩解措施，減輕客戶資安防護負擔，也可以避免大規模的危害。</p> <p>為此CISA建議，可參考CISA去年發布的《安全設計與預設的原則和方法》，遵循當中提及3大原則中的前2項原則。</p> <p>具體而言，廠商應從持續發生的針對網頁管理介面的惡意網路活動，汲取教訓，在安全設計的層面，秉持兩大原則，分別是：「對客戶的資安負起全部責任」，以及「更徹底擁抱的透明度與當責。」</p> <p>以第一項原則而言，軟體製造商應投資發展關鍵安全領域，包括強化應用程式安全強化、應用程式功能，以及預設配置。如此才能減少潛在的攻擊面與提高防禦能力，而檢查預設配置也是一大重點。</p> <p>具體而言，如果我們要保護系統、使其遠離公開網路環境，就不應該天真地認為客戶就會照辦，而是在產品設計導入資安最佳實務。CISA在此舉出三例：</p> <p>一、產品預設禁用網頁介面，並提供說明指引，列出更改預設配置可能帶來的風險，並以技術和非技術的方式解釋。</p> <p>二、產品若處於有弱點的狀態時，需強制停止運作，例如直接暴露於網際網路。</p> <p>三、警告管理者，變更產品的預設狀態將可能導致組織面臨重大風險。</p> <p>此外，軟體製造商也要現場測試，以瞭解客戶如何在其環境部署產品，以及客戶是否以不安全的方式部署產品，掌握這些資訊之後。將有助於識別建立產品的方式，並促使客戶能夠以安全的方式使用產品。同時，需在整個產品範疇內應強制實施身分驗證，尤其是涉及管理者登入的關鍵介面。</p> <p>在第二項原則，CISA建議軟體製造商揭露產品漏洞時，應優先注重資訊的透明度。換言之，要挖掘漏洞的根本原因，並且做好完整的漏洞（CVE）內容的公布，以及正確漏洞類型（CWE）的揭露，這不僅是有助於客戶了解與評估風險，對於其他製造商而言，有了這些資訊之後，能幫助其他業者識別相關漏洞或同類型漏洞，並且採取行動，促使更多製造商也能從中學到教訓，進而反思本身該如何改良產品資安。</p> <h2><span style="color:#B22222;"><strong>警報2：拒用預設密碼</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2B）Secure by design Alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 280px; float: right;" /></a></p> <p>在企業環境或各種裝置與軟體系統上使用預設密碼，雖然降低操作複雜性，但也等於為攻擊者大開方便之門，因此現在很多資安管理規範都會要求：預設密碼需於登入後強制變更密碼。</p> <p>不過CISA指出，雖然他們一再提醒企業組織，現況並未好轉，網路攻擊者仍持續利用預設密碼（如1234、default、password等），來攻擊暴露在網際網路上的系統，像是美國最近幾個月遭遇的資安事故，是伊朗政府資助的駭客組織，利用OT產品的預設密碼入侵美國的關鍵基礎設施系統。</p> <p>有鑑於這類事故層出不窮，CISA建議每個技術製造商都應該開始採取行動。這是因為，要求客戶更改密碼，並不足以防範相關威脅，只有製造商共同採取行動，才能適當應對這類威脅，尤其是在關鍵基礎設施系統方面。</p> <p>事實上，從當前的網路威脅情勢來看，使用廣為人知的預設密碼就是資安風險。而製造商提供的產品，本身應該採取安全且妥善的預設組態。</p> <p>CISA建議，可參考CISA去年發布的《安全設計與預設的原則和方法》，遵循當中提及3大原則中的第一項與第三項原則，分別是：「對客戶的資安負起全部責任」，以及「建立組織結構與領導階層來實現目標。」</p> <p>以第一項原則而言，製造商應投資發展關鍵安全領域，尤其是在預設配置方面，產品應對合理可預見的威脅，提供妥善的資安保護。例如，攻擊者可在網際網路上查找預設密碼，並對暴露網際網路的裝置進行測試，這樣的風險已是顯而易見的情形。</p> <p>CISA建議製造商可選擇其他作法，這裡舉出三例：</p> <p>一、針對產品提供獨一無二的設定密碼</p> <p>二、提供單次且有效期限制的密碼，並要求啟用更安全的身份驗證方式，如抗網釣MFA。</p> <p>三、要求初始設定必需實體存取，並採指定的獨特憑證。</p> <p>如在某些情況或特定產品下，並無法採用上述作法，製造商也該謹這項原則的目標，在於建立持久的安全性，製造商不應假設客戶知道──他們必須關閉那些不安全的預設配置。</p> <p>此外，CISA還提及一件事，製造商應確保最簡單的使用方式，也就是最安全的使用方式。像是許多製造商能夠支援企業的身分存取管控，像是整合單一登入SSO，而且不需額外收費，並在流程上引導客戶使用。</p> <p>至於第3項原則，是建立組織結構與領導階層，後續才能順利推動「拒用預設密碼」。這意味著不只是由上而下的要求，還要有組織架構與體系的配合，促使預設安全的資安策略能夠真正落實。</p> <p>基本上，製造商要確保內部人員清楚一件事：資安問題就是產品與公共安全問題，尤其是負責設計、開發與交付的相關部門人員。因此，對於設計與開發的團隊而言，需瞭解客戶如何使用產品，以及相關配置如何產生，進而能夠減輕資安風險。</p> <p>同時，團隊主管也要在產品設計與開發初期，在商業流程上建立相關激勵制度，並且分配足夠的資源，以便實現這些目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 504px;" /></p> <p> </p> <h2><span style="color:#0099ff;"><strong>推動產品安全設計成全球資安共識，歐美各國政府動作頻頻</strong></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）Secure by design Alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Secure%20by%20design%20Alert.jpg" style="width: 280px; float: right;" /></a></p> <p>在軟體工程中，不論軟體安全開發生命週期（SSDLC）、安全設計等概念，長期以來都受到持續宣導，其概念就是要讓安全實踐引入每個軟體開發生命週期，要讓產品開發是基於安全的設計，有預設的安全。</p> <p>這些概念過去幾年受到越來越多公司的重視，我們看到一些科技大廠自發、主動施行，並且經常分享相關的方法論與做法，但落實與改變速度仍然太慢。</p> <p>如今情況有望扭轉，因為最近一年多來，我們看到各國政府都在積極推動這方面的要求。例如，歐盟執行委員會發展資安韌性法（Cybersecurity Resilience Act），規範所有進入歐盟市場的IoT設備，包含軟體及硬體，都必須採用安全設計，希望減少不安全網路產品所帶來的用戶與社會成本，2024年待正式批准。</p> <p>美國CISA在2022年發布《NIST軟體開發安全框架》（SSDF），2023年4月又聯合9個國家安全機構，共同發布《安全設計與預設的原則和方法》，<u><a href="https://www.cisa.gov/sites/default/files/2023-10/SecureByDesign_1025_508c.pdf">10月推出更新版，並與日本、南韓等17個國家的安全機構聯合發布</a></u>。</p> <p>最近一個多月，CISA持續擴大推動安全設計的力道，新發布這類型的資安警報。他們強調，安全的最佳實踐不應依賴客戶執行，而是應由產品本身來執行，才能真正減緩相關風險。</p> </div></div></div>
2024/1/17 10:38作者羅正漢https://www.ithome.com.tw/news/160862
蘋果發表沈浸式原創影片替Apple Vision Pro熱身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著售價3,499美元的空間運算設備<a href="https://www.ithome.com.tw/news/160739" target="_blank">Apple Vision Pro即將於2月2日上市</a>，蘋果周二（1/16）<a href="https://www.apple.com/tv-pr/news/2024/01/apple-tv-unveils-groundbreaking-immersive-originals-from-todays-biggest-storytellers-set-to-debut-on-apple-vision-pro/" target="_blank">發表了Apple Immersive Video</a>，這是蘋果首創的一種影片娛樂格式，藉由空間音訊（Spatial Audio）技術所營造的180度3D 8K錄音，令使用者擁有身處故事中心的體驗。<a href="https://www.engadget.com/apple-vision-pro-hands-on-redux-immersive-video-disney-app-floating-keyboard-and-a-little-screaming-180006222.html?_fsig=0VZuDMcsJ3vfE2Dqb2WftA--%7EA" target="_blank">《Engadget》編輯Dana Wollman</a>在測試了最新的Apple Vision Pro之後，認為看影片現為該裝置的殺手級應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-Apple%20Immersive%20Video.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_蘋果</span></span></p> <p>Apple Vision Pro配備一對高解析度的micro-OLED顯示器，支援2,300萬畫素、廣色域、高動態範圍與杜比視界（Dolby Vision），新的R1晶片負責處理12個相機、5個感應器與6個麥克風的資料，可在12毫秒內將新影像串流至顯示器，是眨眼的8倍快，M2晶片則整合了CPU、GPU、神經引擎與其它客製化技術來遞送效能。此外，Apple Vision Pro具備先進的空間音訊系統，標榜可帶來身歷其境的聲音效果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-apple%20Vision-Pro-ultra-high-res-display-system-600.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_蘋果</span></p> <p>Apple Vision Pro在視覺上的最大特色是能夠以任何空間充當螢幕，在觀看影片時，周圍的光線會隨著內容的靠近而自動變暗，影片可以放在空間中的任何位置，也能將影片縮放到超出房間尺寸，並可藉由眼睛、手勢或聲音來控制。</p> <p>為了發揮Apple Vision Pro在影片上的表現能力，蘋果Apple TV+創造了一系列的Apple Immersive Video內容，包括曾獲得15次葛萊美獎的Alicia Keys創作紀錄《Alicia Keys: Rehearsal Room》，在挪威峽灣上方3,000英尺的冒險活動《Highlining》，近距離參與野生動物生活的《Wild Life》，講述恐龍時代的《Prehistoric Planet Immersive》。使用者亦可透過Apple TV程式存取逾150部既有的3D電影，像是《阿凡達》、《沙丘》（Dune），亦可使用其它的串流程式。</p> <p>值得注意的是，目前Apple Vision Pro在一般使用上的電池續航力為2小時，播放影片則是2.5個小時，若要長時間使用則必須使用USB-C連續充電。</p> <p>《Engadget》的Wollman在體驗了利用Apple Vision Pro來瀏覽網頁與電子郵件，以及使用其它程式之後，認為該裝置現階段的殺手級應用非看電影莫屬，她在當中感到非常有趣而且開心，但這些樂趣是否價值3,499美元則是取決於個人。</p> <p>不過，當Wollman戴著Apple Vision Pro觀看電影時，在15分鐘之後就感到裝置的沈重，必須要利用各種穿戴套件來維持舒適感。</p> <p>Apple Vision Pro即將於本周五（1/19）開放預購，但首個銷售市場為美國，目前蘋果尚未公布其它市場的上市計畫。</p> </div></div></div>
2024/1/17 13:25作者陳曉莉https://www.ithome.com.tw/news/160866
2023年智慧型手機市場蘋果首次擠下三星奪冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>分析機構數據顯示，去年全球智慧型手機等待春天來臨之際，蘋果不但逆勢成長，還首次擠下三星登上王座。</p> <p>分析機構<a href="https://www.businesswire.com/news/home/20240115096425/en/Apple-Grabs-the-Top-Spot-in-the-Smartphone-Market-in-2023-along-with-Record-High-Market-Share-Despite-the-Overall-Market-Dropping-3.2-According-to-IDC-Tracker" target="_blank">IDC</a>與<a href="https://canalys.com/newsroom/global-smartphone-market-2023" target="_blank">Canalys</a>雙雙公布2023年第四季及全年智慧型手機市場報告。受到亞洲、中東、非洲與拉丁美洲等新興市場需求增溫、廠商庫存去化與全球通貨膨脹舒緩激勵，下半年全球市場快速回溫，使2023年全年衰退幅度收斂。IDC數據顯示全球市場第4季及全年分別成長8.2%及衰退3.2%，Canalys數據則為成長8%及下滑4%。</p> <p>去年手機銷售出現有趣的現象。一來，去年下半成長力道來自新興市場購買力回溫，以及AI加值，帶動中低階Android手機品牌出貨，貢獻了小米、中國傳音（Transsion）的強勁增長。不過另一方面，相對於其他高階手機的慘淡經營，iPhone銷售卻逆勢成長，甚至使蘋果擠下了自2010年以來即蟬連龍頭寶座的三星。</p> <p>根據IDC數據，去年第4季iPhone出貨超過8,050萬支，年增11.6%，全年也成長3.7%。相較之下，三星第4季及全年分別衰退10.9%及13.6%。2023年蘋果不僅是前三大業者中唯一成長，也是首次超越三星，成為市場龍頭。</p> <p>Canalys指出，蘋果銷售佳績拜接連2年高階手機市場需求強勁，而iPhone 15 4款機型的產品策略有助於蘋果涵蓋更廣泛的消費者區隔。不過分析師也說，華為以中國市場為基礎重振旗鼓，且逐漸侵蝕蘋果在中國既有地盤。另一方面，美國與歐洲的高階手機換機力道不如以往，蘋果必須另行開闢新市場及建立新的生態系，以維持其成長動能。</p> <p>根據IDC及Canalys的數據，去年第4季，前五大業者中，三到五名皆為中國業者，包括小米、傳音及vivo。</p> </div></div></div>
2024/1/17 12:25作者林妍溱https://www.ithome.com.tw/news/160864
Google Chrome無痕模式將警告用戶特定使用資訊會被蒐集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將在新版Chrome的無痕模式（Incognito）中修改說明，提醒用戶特定資訊還是會被蒐集。</p> <p>這是<a href="https://www.ithome.com.tw/news/138058" target="_blank">2020年6月Google遭到用戶集體控告</a>，Chrome的無痕模式讓用戶以為不會被蒐集網上行蹤，實則Google仍然利用Google Analytics、Google Ad Manager、其它應用程式、網站外掛程式，來蒐集及辨識用戶上網資料，包括網頁內容、裝置資料、IP位址。且Google會在上網活動與現有使用者資料檔建立關聯而洩露用戶身分，侵害其隱私。</p> <p>去年Google提出動議，指Google早就已告知用戶Chrome還是會蒐集資料，因此用戶一旦使用即表示已同意Google蒐集個資的行為，要求法官駁回控訴案。不過去年8月被法院駁回其動議。因此Google於去年年底和原告達成和解。和解條件包括Google賠償金額不明，預定2月底報請法院核准。<a href="https://www.reuters.com/legal/google-settles-5-billion-consumer-privacy-lawsuit-2023-12-28/" target="_blank">路透社報導</a>，原告求償金額為50億美元。</p> <p>顯然和解內容的一部分是，Google必須明白告知無痕模式會紀錄用戶哪些資料。<a href="https://arstechnica.com/tech-policy/2023/12/google-agrees-to-settle-in-chrome-incognito-mode-class-action-lawsuit/" target="_blank">Ars Technica報導</a>，Google Canary版本已經修改了Google Help內容。根據最新版本，Google說明，在無痕模式中，使用本裝置的其他人不會看到你的活動，使你上網「更」有隱私性，但「這並不會改變您造訪的網站及其使用的服務，包括Google蒐集你資料的方式。」</p> <p>Google在<a href="https://support.google.com/chrome/answer/9845881" target="_blank">現有Google Help網頁</a>已經告知，無痕模式中，Google無法儲存用戶上網紀錄、cookies、網站資料及輸入表格資料，但仍然會儲存下載、書籤和讀取清單物件。而且雖然使用同一臺裝置的其他人不會看到用戶上網紀錄，但用戶造訪的網站供應商、ISP及員工或學校都看得到。</p> <p>目前新增的文字只有在Canary版，連Beta版及Chromium也都看不到。Google也未說明新的警告文字何時會部署到一般用戶使用的穩定版。</p> </div></div></div>
2024/1/17 13:10作者林妍溱https://www.ithome.com.tw/news/160865
SpaceX推出傳輸速度最高10Gbps的Starlink社區型閘道方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpaceX繼月初再送21顆衛星上近地軌道後，<a href="https://www.starlinkinternet.info/community-gateway" target="_blank">本周宣布推出</a>Gigabit等級的衛星網路社區型閘道（Community Gateway）服務，作為偏遠地區網路的最後一哩。</p> <p>社區閘道是透過Starlink全球雷射網狀網路傳送連網流量，以寬頻閘道器在專屬的Ka頻段運作。社區閘道服務讓Starlink衛星為本地網路供應商，包括固網或行動網路電信業者的最後一哩，提供光纖等級網速的家庭、企業或政府連網服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-starlink-community%20gateway-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Starlink</span></span></p> <p>SpaceX號稱社區閘道方案提供最高10 gigabits的對稱上行與下行傳輸吞吐量，延遲性小於99毫秒。為了測試本方案，<a href="https://twitter.com/Starlink/status/1702753019547492638" target="_blank">SpaceX去年9月和ISP OptimERA合作</a>，在阿拉斯加一個偏遠島嶼上部署首個社區閘道Starlink網路，號稱可支援數千家新客戶，並具備99%的可用性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-starlink-community%20gateway-600-2(1).jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Starlink</span></p> <p>用戶會拿到一個社區閘道套件，包含所有需要安裝的Starlink硬體。用戶只需提供電力、安裝空間。</p> <p>不過這方案費用並不便宜，除了每月每Gbps 7.5萬美元的費用外，還需支付Starlink硬體套件等一次性費用125萬美元。</p> <p>這只是SpaceX規畫的新Starlink服務之一。<a href="https://www.ithome.com.tw/news/160849" target="_blank">這家衛星連網服務業者上周表示</a>會在今年推出手機直通衛星的Direct to Cell文字訊息服務。此外，上周Space X執行長<a href="https://twitter.com/SpaceX/status/1745941814165815717" target="_top">馬斯克（Elon Musk）出席活動時也預告</a>，會在今年11月推出大小可放進後背包的小型碟型天線，不過並未說明新推的方案內容及價格。</p> </div></div></div>
2024/1/17 12:05作者林妍溱https://www.ithome.com.tw/news/160863
OpenAI強化平臺安全性，避免生成式AI工具被用於選舉操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然臺灣大選剛結束，但2024年還有許多國家面臨重大選舉，OpenAI也對此情況做出<a href="https://openai.com/blog/how-openai-is-approaching-2024-worldwide-elections">應對</a>，要提升投票資訊的準確度，與執行謹慎的政策，還要提高透明度，進一步強化平臺安全性。OpenAI結合安全系統、威脅情報、法律、工程和政策專家的力量，快速回應並打擊潛在的濫用行為，確保各國選舉過程的公正和穩定。</p> <p>OpenAI透過紅隊測試，以及徵求用戶和外部合作夥伴的回饋，建立安全緩解措施，防範潛在的危害，避免像是針對性誤導的深偽影片，或是規模化的影響力操作，甚至是冒充候選人聊天機器人的出現。</p> <p>OpenAI限制其工具，不允許用戶將其用於政治競選和遊說的應用程式，並且也不允許開發假裝是候選人等真實人物或是政府機關的機器人。同時，OpenAI也不允許濫用應用程式阻擋人們參與民主，像是錯誤陳述投票過程和資格，或是宣稱投票無意義等抑制投票等行為。</p> <p>官方提到，他們特別在選舉期間，提高人工智慧生成內容方面的透明度。OpenAI採取的措施，包括強化圖像來源的透明度，藉由實施內容來源和真實性聯盟數位憑證，以密碼學對內容來源資訊進行編碼，使得圖像來源更容易追蹤。</p> <p>此外，OpenAI還在開發一種稱為來源分類器的工具，用以辨識DALL·E所生成的圖像，即便圖像被常見的方法修改過，還是不影響其溯源效果，官方計畫之後將開放記者、平臺和研究者進行測試。與此同時，ChatGPT也逐步與現有的資訊來源整合，像是全球即時新聞報導的來源和連結，有助於選民更好地評估資訊，獨立做出判斷。</p> <p>在美國，OpenAI與全國國務卿協會（NASS）合作，指引用戶存取美國投票資訊權威網站，而這項合作也作為OpenAI在與其他國家合作的經驗。OpenAI接下來還會持續更新選舉年新措施，並且與更多組織合作，避免工具遭到濫用。</p> </div></div></div>
2024/1/17 04:02作者李建興https://www.ithome.com.tw/news/160859
攻擊者從CI/CD下手，PyTorch專案存在軟體供應鏈攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員揭露一個<a href="https://johnstawinski.com/2024/01/11/playing-with-fire-how-we-executed-a-critical-supply-chain-attack-on-pytorch/#identifying-the-vulnerability">攻擊PyTorch軟體供應鏈</a>的新手法，透過入侵PyTorch的CI/CD工作管線，攻擊者可以向主儲存庫分支添加程式碼，上傳惡意的PyTorch版本到GitHub，還能在PyTorch的相依項目植入後門，進而影響PyTorch及其相依項目整個生態系。</p> <p>這個PyTorch供應鏈攻擊，基於一個早前發現，可用於操縱GitHub Actions的CI/CD流程的漏洞<a href="https://adnanthekhan.com/2024/01/10/cve-2023-49291-and-more-a-potential-actions-nightmare/">CVE-2023-49291</a>，攻擊者透過分叉拉取請求，成為有附加自託管執行器（Self-Hosted Runners）的儲存庫的貢獻者。自託管執行器（Self-Hosted Runners）是GitHub Actions的一個功能，讓用戶可以在自己的基礎設施上執行GitHub Actions工作流程，像是運作在用戶的伺服器、虛擬機器和容器上。</p> <p>攻擊者使用名為Gato的GitHub攻擊工具，來辨識PyTorch儲存庫中的自託管執行器，Gato藉由檢查GitHub工作流程檔案和運作日誌，成功辨識出多個持續運作的自託管執行器，像是worker-rocm-amd-30（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0117-worker-rocm-amd-30-image%20by%20John%20Stawinski.png" style="width: 600px;" /></p> <p><a href="https://johnstawinski.com/2024/01/11/playing-with-fire-how-we-executed-a-critical-supply-chain-attack-on-pytorch/#identifying-the-vulnerability" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_John Stawinski</span></span></a></p> <p>接下來，資安人員分析PyTorch的拉取請求，發現過去貢獻者提交過的拉取請求，能夠觸發pull_request工作流程，且無需額外批准。這代表儲存庫未對先前貢獻者的分叉拉取請求設置工作流程批准要求。資安研究人員還在PyTorch工作流程檔案中發現許多GitHub機密，包括存取金鑰和GitHub個人存取權杖（PAT），而這些權杖在攻擊者入侵供應鏈時非常有用。</p> <p>另外，研究人員還進一步探討自託管執行器的後期利用潛力，尋找從執行器擷取秘密資訊的策略。在分析PyTorch這個案例，研究人員不僅成功辨識出自託管執行器，還能夠利用這些自託管器獲取敏感資訊。</p> <p>研究人員評估PyTorch團隊處理自託管執行器安全性問題的表現，並指出PyTorch團隊對安全問題的回應時間很長，且修復措施令人質疑，此外，這已經不是PyTorch首次遇到自託管執行器的安全挑戰，之前也曾遭遇類似的攻擊。</p> <p>對於這類的安全漏洞，研究人員提到，安全有效的方法是更改GitHub預設配置，要求所有外部合作者的分叉拉取請求都要進行批准，對於需要使用自託管執行器的組織，應當使用隔離且一次性的執行器。不過這個問題也非PyTorch獨有，組織在公開儲存庫中使用自託管執行器，都需要更加謹慎小心，採取更嚴格的安全措施。</p> </div></div></div>
2024/1/17 08:24作者李建興https://www.ithome.com.tw/news/160858
鴻海旗下的半導體設備廠京鼎網頁遭到竄改，駭客聲稱竊得該公司5 TB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣廠商遭遇網路攻擊的情況不時傳出，但最近出現一起資安事故相當特別，駭客竄改該公司的網站，宣稱竊得大量的資料，並揚言若不付錢，將公布所有客戶資料，並讓該公司員工失業。根據<a href="https://udn.com/news/story/7240/7713562">聯合新聞網</a>、<a href="https://www.ctee.com.tw/news/20240116701151-430501">工商時報</a>、<a href="https://finance.ettoday.net/news/2664974">ETtoday</a>等多家媒體的報導，鴻海旗下的半導體設備廠京鼎遭到入侵。</p> <p>但這起資安事故與過往不同之處在於，駭客竄改該公司的網站foxsemicon[.]com，宣稱竊得5 TB內部資料，內含所有客戶的個資，若是該公司管理層不予理會，他們揚言將摧毀其內部網路環境導致無法復原，而且，BBC、紐約時報、華爾街日報、華盛頓郵報等所有媒體將會報導「該公司不復存在」，並且免費公開所有客戶的個資，京鼎的員工將會失去工作。根據對方列出所有遭到加密的檔案資料下載網址，這起攻擊行動很有可能是勒索軟體駭客組織LockBit所為。</p> <p>今日鴻海旗下的半導體設備廠京鼎的網站出現遭到竄改的情況，我們也有接獲相關情報，而最早公布此事的是威脅情資平臺DarkFeed，<a href="https://x.com/ido_cohen2/status/1746947146962579637?s=20">他們在16日淩晨1時27分發布推文</a>，我們也實際存取京鼎的網站，並看到駭客的勒索訊息。但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊，仍有待進一步釐清。</p> <p><a href="https://twitter.com/ido_cohen2/status/1746947146962579637" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/darkfeed-foxsemicon-2024-01-16.png" style="width: 580px;" /></a></p> <p>為了說服京鼎付錢，駭客強調他們只要錢，沒有政治意圖，聲稱他們的「滲透測試服務」有價，就像企業要支付系統管理員薪水一樣。對方要求該公司不要尋求資料復原公司的協助，並向他們私下透露資安險保額。</p> <p><a href="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-masked.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-masked.png" style="width: 580px;" /></a></p> <p>對此，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413">京鼎在傍晚股市公開資訊觀測站發布重大訊息</a>，證實部分資訊系統遭到攻擊，初步評估對公司運作無重大影響。</p> <p>該公司表示偵測到攻擊行動的當下，他們已全面啟動相關防禦機制及復原作業，並協同外部資安公司著手處理，對於所有網域、網頁及相關檔案進行全面掃描、檢測，確保安全的狀態下，以備份資料進行復原。但對於該公司遭遇的網路攻擊類型，京鼎並未進一步說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/foxsemicon 2024-01-16 21_58_51.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/foxsemicon%202024-01-16%2021_58_51.png" style="width: 580px;" /></a></p> </div></div></div>
2024/1/16 21:49作者周峻佑https://www.ithome.com.tw/news/160856
開放銀行第三階段正式上路！金管會宣布核備完成相關規範，即日受理業者申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣開放銀行正式進入第三階段！金管會今日宣布已核備完成銀行公會及財金公司所報的開放銀行第三階段交易面資訊規範。開放項目包括「存款」、「信用卡」、「貸款」、「支付」及「手機門號轉帳」等5種業務種類，共計35個項目。金管會表示，即日起開放有意與TSP業者合作的銀行業者提出申請。</p> <p>開放銀行第三階段和第二階段差別在於，原先消費者僅能在TSP的App上查詢銀行存款帳戶餘額、交易明細等資訊，第三階段上路後，消費者就能透過相關身分認證及授權同意程序，在TSP業者的App上進行交易與支付。</p> <p>此次金管會核准開放5種業務種類中，最重要的突破是開放支付和手機門號轉帳業務。業者可以將銀行API服務嵌入更多第三方TSP服務中，包括在App和網路交易平臺等數位通路，打造一站式的支付、轉帳服務。支付類開放項目包括轉出請求交易、轉出查詢交易。手機門號轉帳類則包括註冊、更新或取消門號綁定、查詢門號註冊資訊、門號轉出請求交易和查詢交易、通知門號異動、查詢門號轉帳參加單位清單。</p> <p>針對開放銀行第三階段的相關風險管控，銀行局副局長林志吉表示，由於第三階段進入交易面，除了會延續前兩個階段的相關規範，包括消費者進入App的身分驗證要求，和消費爭議處理機制，也有針對交易服務增加規範，例如，要求TSP業者應在消費者使用第三階段相關服務時發送通知。</p> <p>第三階段開放的轉帳服務是否有設置金額上限？林志吉說明，相關規範採用核准制，並未明定轉帳金額上限，會先讓市場自行考量，再視個案情況審酌合適的合作模式。不過，他也強調，消費者與銀行申請轉帳服務時受到的交易或時間限制，及身分驗證的風險強度，不會因為由TSP業者提供服務而降低安全標準，而是會維持，甚至是提高標準，保障服務的安全性。</p> <p>其他核准開放的業務種類為存款、信用卡和貸款，主要開放申請功能、申請結果查詢功能，及取消或試算服務。例如，存款類包括數存開戶申請和查詢申請結果、申請活存轉定存、試算或申請定存解約等，信用卡類包括額度調整、信用卡類產品申請和查詢申請結果等，貸款類則包括申請擔保貸款類產品和無擔保貸款類產品，及查詢申請結果。</p> <p>近期遠傳電信退出開放銀行第二階段，目前參與開放銀行第二階段的TSP業者僅剩集保公司。林志吉表示，待銀行公會與財金公司將相關規範轉交給所有銀行會員後，會再進一步了解業者參與第三階段的意願。</p> <p></p> </div></div></div>
2024/1/16 19:08作者李昀璇https://www.ithome.com.tw/news/160855
【資安日報】1月16日，駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣廠商遭遇網路攻擊的情況不時傳出，但最近出現一起資安事故相當特別，駭客竄改該公司的網站，宣稱竊得大量的資料，並揚言若不付錢，將公布所有客戶資料，並讓該公司員工失業。</p> <p>今日鴻海旗下的半導體設備廠京鼎的網站出現遭到竄改的情況，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊，仍有待進一步釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">鴻海旗下的半導體設備廠京鼎網頁遭到竄改，駭客聲稱竊得該公司5 TB內部資料</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/www_foxsemicon_com_20240116-2.png" style="width: 300px; float: right;" /></a>根據聯合新聞網、工商時報、ETtoday等多家媒體的報導，鴻海旗下的半導體設備廠京鼎遭到入侵。</p> <p>但這起資安事故與過往不同之處在於，駭客竄改該公司的網站foxsemicon[.]com，宣稱竊得5 TB內部資料，內含所有客戶的個資，若是該公司管理層不予理會，他們揚言將摧毀其內部網路環境，將無法復原，BBC、紐約時報、華爾街日報、華盛頓郵報等所有媒體將會報導「該公司不復存在」，並且免費公開所有客戶的個資，京鼎的員工將會失去工作。根據對方列出所有遭到加密的檔案資料下載網址，這起攻擊行動很有可能是勒索軟體駭客組織LockBit所為。</p> <p>為了說服京鼎付錢，駭客強調他們只要錢，沒有政治意圖，聲稱他們的「滲透測試服務」有價，就像企業要支付系統管理員薪水一樣。對方要求該公司不要尋求資料復原公司的協助，並向他們私下透露資安險保額。對此，京鼎在傍晚股市公開資訊觀測站發布重大訊息，證實部分資訊系統遭到攻擊，初步評估對公司運作無重大影響。</p> <p>資料來源</p> <p>1. <a href="https://udn.com/news/story/7240/7713562">https://udn.com/news/story/7240/7713562</a><br /> 2. <a href="https://www.ctee.com.tw/news/20240116701151-430501">https://www.ctee.com.tw/news/20240116701151-430501</a><br /> 3. <a href="https://finance.ettoday.net/news/2664974">https://finance.ettoday.net/news/2664974</a><br /> 4. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=171116&SPOKE_DATE=20240116&COMPANY_ID=3413</a></p> <p><a href="https://resources.securityscorecard.com/research/volt-typhoon"><strong style="font-size: 22px;">老舊思科路由器遭中國駭客組織Volt Typhoon鎖定，被用於部署殭屍網路基礎設施</strong></a></p> <p>今年5月，<a href="https://www.ithome.com.tw/news/157037">美國政府與微軟對中國駭客組織Volt Typhoon的攻擊行動提出警告</a>，指出駭客對美國通訊基礎設施下手，<a href="https://www.ithome.com.tw/news/160355#kv-botnet">後來12月資安業者Lumen發現</a>，這些駭客通常會以小型路由器、防火牆、VPN設備充當代理伺服器及C2，使得惡意流量混入合法流量，讓攻擊變得更難以察覺，如今有研究人員認為，這些駭客的攻擊對象很可能比先前揭露的還要廣泛。</p> <p>資安業者SecurityScorecard自12月1日至1月7日進行為期37天的觀察，結果發現，駭客鎖定已終止支援的思科路由器RV320、RV325下手，而在網際網路上仍在運作的1,116臺上述款式網路設備裡，對方控制了325臺，而且在他們的觀察期間，這些路由器皆與Volt Typhoon基礎設施之間進行頻繁或定期的連線。</p> <p>研究人員指出，以RV320為例，駭客利用了35個在2019年揭露的韌體漏洞，所有的CVSS風險評分皆在9分以上。而針對駭客所使用的工具，在名為中國菜刀（China Chopper）的Web Shell之外，他們還看到另一個檔名為fy.sh的作案工具，而且，對方的目標不光是針對美國，也鎖定英國、澳洲的政府機關下手。</p> <p><a href="https://blog.aquasec.com/threat-alert-apache-applications-targeted-by-stealthy-attacker"><strong style="font-size: 22px;">Hadoop與Flink遭到鎖定，駭客針對不當配置下手，執行任意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Apache-Figure-1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apache-Figure-1-1.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露針對Apache基金會維護的應用系統而來的攻擊行動，他們從蜜罐陷阱（Honeypot）偵測到的狀況發現，駭客近期鎖定開源應用程式框架Hadoop、流程自動化框架Flink而來。</p> <p>在針對Hadoop的攻擊行動裡，他們看到對方鎖定其中的元件YARN下手，利用ResourceManager的不當配置，從而在未經身分驗證的情況下建置並執行應用程式。攻擊者遠端發出特製的HTTP請求，而有機會在目標主機上執行任意程式碼。另一個遭到針對的對象則是Flink，駭客也是針對組態不當而來，在無須通過身分驗證的情況下遠端執行任意程式碼。</p> <p>在這起攻擊行動裡，駭客會在上述2種系統部署名為dca的惡意軟體酬載，執行後會下載挖礦軟體及其他惡意程式，為了迴避偵測，攻擊者將ELF程式加殼，亦使用Rootkit，而且還會竄改特定資料夾內容及系統配置來抹除蹤跡。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/cve-2023-36025-exploited-for-defense-evasion-in-phemedrone-steal.html"><strong style="font-size: 22px;">惡意軟體Phemedrone Stealer透過Windows已知漏洞散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-phemedrone-infection-chain-v4.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-phemedrone-infection-chain-v4.jpeg" style="width: 300px; float: right;" /></a>去年11月微軟修補Microsoft Defender SmartScreen安全功能繞過漏洞CVE-2023-36025（CVSS風險評分8.8），並指出駭客已將其用於攻擊行動，後來美國網路安全暨基礎設施安全局（CISA）也證實此事，將該漏洞列入已被利用的漏洞清單（KEV），但究竟攻擊者造成那些危害？上周末有研究人員公布細節。</p> <p>資安業者趨勢科技揭露利用上述漏洞散布竊資軟體Phemedrone Stealer的攻擊行動，他們發現駭客在即時通訊軟體Discord、檔案傳輸服務FileTransfer.io等雲端環境，上傳一系列惡意的網際網路捷徑檔案（.URL），駭客亦將其中的網址透過Shorturl.at等短網址服務進行處理。一旦使用者上當，執行這些URL檔案，電腦就會連上攻擊者的伺服器，下載、執行Windows控制面板項目（.CPL）檔案，從而迴避SmartScreen的防護機制，呼叫rundll32.exe執行惡意DLL檔案，執行PowerShell從GitHub下載名為DATA3.txt的惡意程式，從而載入更多作案工具，最終於受害電腦執行Phemedrone Stealer。</p> <p>此竊資軟體由C#打造而成，能挖掘瀏覽器、密碼管理器、加密貨幣錢包、Discord、Telegram、Filezilla、Steam的使用者資料，或是藉由螢幕截圖來收集硬體、位置、作業系統資訊，然後經由Telegram頻道或C2伺服器回傳。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/01/10/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;">微軟SharePoint權限提升漏洞CVE-2023-29357已被用於攻擊行動</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）用於攻擊行動的漏洞列表（KEV），1月10日新增CVSS風險評分為9.8的<a href="https://www.ithome.com.tw/news/159127">微軟SharePoint權限提升漏洞CVE-2023-29357</a>。</p> <p>此漏洞能使攻擊者遠端利用欺騙性的JWT身分驗證Token，繞過驗證身分的程序，從而在SharePoint伺服器取得管理員權限。此外，攻擊者若是將其與另一個漏洞CVE-2023-24955（CVSS風險評分為7.2）串連，還能執行任意程式碼。</p> <p>CISA將該漏洞列入KEV後，聯邦機構必須在1月31日前完成修補。</p> <p><strong><a href="https://www.forescout.com/blog/analysis-of-energy-sector-cyberattacks-in-denmark-and-ukraine/"><strong style="font-size: 22px;">針對5月丹麥能源業者遭到兆勤防火牆漏洞攻擊，有研究人員找到新的證據，認為是大規模漏洞攻擊的一部分</strong></a></strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/denmark-worm-max.png" style="width: 300px; float: right;" /></a>去年11月丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）指出，5月11日至30日當地22家能源公司的基礎設施遭到攻擊，俄羅斯駭客組織Sandworm鎖定兆勤（Zyxel）4月修補的防火牆漏洞CVE-2023-28771（CVSS風險評分為9.8），而能夠存取多家業者的工業控制系統，甚至後來在防火牆植入Mirai殭屍網路病毒，但最近有研究人員推翻上述的說法。</p> <p>根據資安業者Forescout的調查指出，在5月24日至26日出現12起鎖定上述漏洞的攻擊行動，但攻擊來源的IP位址與SektorCERT公布的不同，也有其他駭客在25日對丹麥的關鍵基礎設施發動攻擊。</p> <p>他們認為這起攻擊行動並非專門鎖定該國能源基礎設施而來，也不是國家級駭客的針對性攻擊，而且攻擊在SektorCERT公布的時間之後仍然持續進行，範圍也隨之擴大，並未鎖定特定行業，不過，其中有近8成的攻擊行動是鎖定歐洲地區而來。</p> <p>會出現這樣的情況，Forescout的判斷是該地區採用兆勤的防火牆比例相當高，因為他們透過物聯網搜尋引擎Shodan找到逾4.3萬臺，這些都是可經由網際網路存取、而且是存在上述漏洞的防火牆，其中有78%在歐洲、義大利就占近四分之一。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://cyble.com/blog/sneaky-azorult-back-in-action-and-goes-undetected/"><strong><span style="font-size: 20px;">竊資軟體Azorult捲土重來，透過冒充PDF文件的捷徑檔案散布</span></strong></a></p> <p><a href="https://bishopfox.com/blog/its-2024-and-over-178-000-sonicwall-firewalls-are-publicly-exploitable"><strong><span style="font-size: 20px;">逾17萬臺SonicWall防火牆容易受到DoS及RCE攻擊</span></strong></a></p> <p><a href="https://www.hackread.com/anonymous-sudan-london-internet-exchange-attack/"><strong><span style="font-size: 20px;">駭客組織Anonymous Sudan聲稱攻擊倫敦網際網路交換中心得逞</span></strong></a></p> <p><strong><a href="https://thecyberexpress.com/cyberattack-on-lithuania-websites/"><span style="font-size: 20px;">立陶宛網站遭到俄羅斯駭客NoName攻擊，起因是該國聲援烏克蘭</span></a></strong></p> <p><a href="https://labs.guard.io/myflaw-cross-platform-0-day-rce-vulnerability-discovered-in-operas-browser-099361a808ab"><strong><span style="font-size: 20px;">Opera瀏覽器檔案共用功能My Flow存在漏洞，可被用於執行作業系統底層任意檔案</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160839"><strong>【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160828"><strong>【1月12日】芬蘭企業組織的NAS設備遭到勒索軟體Akira鎖定並抹除備份資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160806"><strong>【1月11日】 Ivanti針對2個Pulse Connect零時差漏洞提出警告並表示已出現攻擊行動</strong></a></p> </div></div></div>
2024/1/16 16:38作者周峻佑https://www.ithome.com.tw/news/160854
5G趨勢月報第50期：中華電信在高雄啟動國內最大5G網路切片場域；宏碁發表5G與Wi-Fi 7路由器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>12/15~01/10精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AIoT</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>中華電信在高雄亞灣啟用國內最大5G網路切片場域，催生5G AIoT應用研發</strong></span></p> </div> <div> <p>中華電信近期在高雄亞灣啟動國內最大的5G網路切片場域，以供創新應用服務實證、落地，並且在高雄設立2個技術研發中心，在當地研發智慧交通、AI、資安、雲端等應用。</p> <p>中華電信是與Nokia、Ericsson合作，在亞灣打造5G規模性網路切片場域，這個號稱國內最大的5G切片場域，涵蓋高雄軟體園區、高雄展覽館、港埠旅運中心、高雄流行音樂中心、駁二藝術特區、西子灣、壽山動物園等，該場域目的為協助5G AIoT產業發展，利用5G網路切片技術，在5G公網之外提供專用頻寬資源，即使在人潮聚集的場所，確保應用服務的網路品質。</p> <p>該公司也宣布在高雄的兩個技術研發單位，中華電信研究院高雄研發中心及資訊技術分公司高雄技術中心進駐亞灣區，研發中心利用5G網路切片，重點研發AI、智慧交通、航港、安防、工業節能，而技術中心偏重智慧聯網、商務應用、資安、雲端等。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>宏碁</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Wi-Fi</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>宏碁與高通合作推出支援5G與Wi-Fi 7路由器</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PREDATOR-Connect-X7-5G-CPE_-X7-.jpg" style="width: 600px; height: 600px;" /></p> <p>宏碁與高通合作，在1月初發表2款新的路由器，搶先支援今年將推出的Wi-Fi 7標準，速度較Wi-Fi 6提高1倍，並且具備低延遲、降低干擾等特點，主打電競市場。其中一款路由器支援5G與Wi-Fi 7，可透過5G網路，降低連線中斷風險。</p> <p>2款新路由器均支援Wi-Fi 7，強調有更高的頻譜利用率，並提升MU-MIMO及OFDMA的跨設備連接效率，其中的Predator Connect X7 5G CPE，除了原有的乙太網路，還支援5G，具備雙WAN連接，以主要5G及備用的乙太網路，透過兩種網路的轉換，降低連線中斷的風險。</p> <p>該路由器在5G網路下，可達到3.5Gbps速度及1毫秒的低延遲，並且支援混合QoS，相容於Intel Killer Prioritization Engine及智慧裝置辨識能力，辨識重要的裝置及應用程式，優先提供高速連線能力。</p> </div> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛立信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>愛立信：2023年全球5G用戶將突破16億</strong></span></p> </div> <div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Data600.jpg" style="width: 600px; height: 469px;" /></p> <p>愛立信最新行動趨勢報告指出，全球5G用戶快速增加，2023年5G用戶成長超出原先的預期，2023年估計新增6.1億用戶，較前一年成長63%，突破16億用戶，5G覆蓋全球45%以上人口，到2029年全球將有53億用戶，5G服務將覆蓋全球85%人口。</p> <p>行動數據使用量也增加，特別是數據密集的服務，例如線上影視內容、視訊通話、短影音等受到喜愛，愛立信預估將從2023年的每支手機平均行動數據使用量每月21GB，到2029年成長至56GB，6年成長約3倍。此外，手機上相機規格提升、增加的網路頻寬，以及更多的豐富內容，使得全球行動數據使用量不斷成長，不只是下載的數據量，上傳數據量也因通訊服務、雲端儲存而提高。</p> <p>報告也指出，80%的流量發生在室內，因此穿透性較佳的5G中頻段在室內室外覆蓋需求增加，目前中頻段在全球覆蓋約30%人口，比前一年增加10%，原因包括印度大規模部署5G，以及歐洲多個中頻5G服務部署。</p> </div> <p>而根據NCC行動寬頻用戶每月平均數據用量統計，截至去年11月為止，國內除了亞太電信用戶之外，其他4家行動電信業者用戶行動數據使用量都在30GB以上，遠傳電信用戶更是超過37GB。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Space X</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <div> <p><strong><span style="font-size:22px;">Space X發射首批可與手機連線的低軌衛星</span></strong></p> </div> <div> <div> <p>行動通訊與非地面網路（NTN）的結合又近一步。Space X近期宣布已發射首批具備Direct to Cell能力的Starlink衛星，這些衛星將可直接連接手機，外界預期Direct to Cell很快就會展開測試。</p> <p>首批具備Direct to Cell能力的共有6顆衛星，它們將被送至近地軌道，這些衛星可讓地面的行動通訊營運商，在全球任何地點，包括湖泊、海洋或是陸地上的偏遠地區，不需更動硬體或韌體的情況下，傳送文字訊息、撥話、瀏覽，以彌補地面網路難以涵蓋的地區。這些衛星內建先數的數據機，如同在太空中運作的手機基地臺，透過類似漫遊合作的方式整合網路，來克服通訊死角的問題。</p> <p>Space X將先和T-Mobile合作，在美國測試Direct to Cell，先從傳訊展開測試，再擴大至語音、數據傳輸服務。由於Direct to Cell每個光束僅提供7Mbps，其提供的頻寬尚不足以和地面通訊網路相比，因此Direct to Cell現階段較適合缺乏通訊的地區。</p> </div> <p>不只是T-Mobile，澳洲Optus、加拿大Rogers、紐西蘭One NZ、日本DKKI、瑞士Salt，智利及秘魯的Entel等電信營運商也都同意加入Direct to Cell服務聯盟。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>愛爾蘭</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>5G SA</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>愛爾蘭開始測試5G SA網路</strong></span></p> </div> <div> <div> <p>電信營運商Three與Ericsson聯手，在愛爾蘭展開5G SA網路測試，目前僅開放給少數特定的企業用戶試用，透過5G SA獨立組網發揮5G網路高頻寬、超低延遲、大容量連接的特性。</p> <p>相較於目前的5G服務大多採用5G NSA（Non-standalone），仰賴4G核心網路，5G SA（Standalone）獨立組網因採用5G核網，擺脫既有4G網路的依賴，被認為能充分發揮5G網路，超低延遲、大容量連接的優勢，然而，目前全球大規模的5G網路服務仍以5G NSA架構為主，僅少數展開小規模測試5G SA，或是在垂直場域建立專用5G網路，例如企業專網為確保網路的專用性，部署5G SA專網。</p> <p>愛爾蘭及英國Three表示，5G SA將是5G發展的下一步，擺脫對現有4G網路的依賴，向5G核心技術發展，是真正5G網路發展的開始，提供先進技術，支援更大量的裝置連接需求，提升用戶體驗。</p> <div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>工研院與仁寶舉辦無人機競賽，展示5G雙頻專網超低延遲應用</strong></span></p> </div> <div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1704879768625.jpg" style="width: 800px; height: 533px;" /></p> <p>工研院與仁寶近期在高雄舉辦無人機競賽，利用5G雙頻專網及5G MR眼鏡，讓飛手可以無人機的飛行視角，操控無人機穿越障礙物，現場架設多臺4K攝影機，轉播現場賽事，觀眾甚至可以飛手的無人機視角觀看比賽。</p> <p>這套架設於戶外的5G雙頻專網，採用仁寶的5G小基站、專網智慧管理系統及5G MR頭戴裝置，其中工研院技轉予仁寶的低延遲圖傳、專網智慧管理系統等技術，利用5G n79（4.8-4.9GHz）及n257（28GHz）毫米波頻段，提供無人機競賽的高速移動即時圖像傳輸、超低延遲操控的需求，並透過毫米波頻段提供現場MR裝置360度4K賽事轉播。</p> </div> <p>透過5G低延遲圖傳技術，降低選手操控無人機的遲滯感，飛手看到無人機影像只需0.04秒，較之一般5G手機圖傳的0.2秒提高5倍，讓無人機得以在時速60公里下，在飛手控制下快速穿越障礙物。透過這項競賽展示國內業者的5G專網技術能力，未來可擴大至智慧交通、工廠、醫療等應用。</p> <p> </p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>福特</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧製造</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>福特在西班牙工廠導入5G SA專網優化生產流程</strong></span></p> </div> <div> <div> <p>福特近期與西班牙的電信商聯手，在位於瓦倫西亞的工廠導入5G SA專網，利用專網蒐集影像、影片資料，檢測產線上的組件或軟體出現異常的情形，優化工廠的生產流程。</p> <p>與福特合作的電信業者指出，透過新的5G SA網路部署，蒐集靜態或動態的影片資料，經過邊緣運算處理，使工廠在生產製造能及早驗證組件、功能或軟體出現錯誤網路，由於系統判別能夠更接近網路，因此降低延遲的情形，當檢測發現異常時，及時停止組裝線，降低環境、經濟影響。</p> </div> <p>在生產環境中，依靠5G SA專網及邊緣運算，監控的不只是組件或半成品，還包括產線上的操作人員，利用體感偵測器及邊緣運算處理，即時判別產線作業人員的姿勢，分析其潛藏的風險，來糾正人員的動作。</p> <p> </p> <p>圖片來源／宏碁、高雄市政府、愛立信、工研院</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.印度政府擬開放電信業者出租頻譜供企業5G專網使用</strong></p> <p><strong>2.臺南市啟動5G專網智慧教育計畫，結合VR頭戴裝置改善偏區教育</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/1/16 16:48作者蘇文彬https://www.ithome.com.tw/news/160853
Ivanti的零時差漏洞遭到大規模利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.volexity.com/blog/2024/01/15/ivanti-connect-secure-vpn-exploitation-goes-global/" target="_blank">美國資安業者Volexity本周警告</a>，駭客已大規模利用Ivanti尚未修補的CVE-2023-46805與CVE-2024-21887漏洞。研究人員已於全球1,700個裝置中發現入侵跡象，且已有UTA0178以外的駭客組織採取了攻擊行動。</p> <p>相關漏洞出現在Ivanti Connect Secure（ICS）與Ivanti Policy Secure（IPS）裝置上，其中的CVE-2023-46805是個可繞過身分驗證的安全漏洞，CVE-2024-21887則是個命令注射漏洞，駭客結合了這兩個安全漏洞便可於受駭系統上執行命令，Volexity是在去年12月時發現中國駭客組織UTA0178透過這兩個漏洞攻擊Volexity客戶。Ivanti收到通知之後，<a href="https://www.ithome.com.tw/news/160823" target="_blank">在1月10日對外宣告</a>並發表緩解措施，預計於1月下旬釋出暫時修補程式，正式修補則要等到2月下旬。</p> <p class="rtecenter"><a href="https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0116-Ivanti%20Security%20Advisory_0110-V2.png" style="width: 600px;" /></a></p> <p>Volexity察覺，在Ivanti發布公告之後，開始出現廣泛的攻擊行動。隨後Volexity掃描了全球約5萬個ICS裝置，在本周日偵測到全球有逾1,700臺裝置受到感染，且發現它們似乎是不分青紅皂白成為攻擊目標，受害者遍布全球，且規模差異很大，涵蓋全球政府及軍事部門、國家電信業者、國防承包商、科技業者、金融業者、全球顧問及航太業者等。</p> <p>對這些受害裝置的分析則顯示，可能有其它的駭客組織正在利用這兩個漏洞，因為許多的操作安全性明顯低於UTA0178。由於Volexity的掃描並未涵蓋已部署Ivanti緩解措施或已離線的裝置，因而推測受到感染的裝置數量應該更多。</p> <p>Volexity建議ICS用戶最好部署Ivanti所提供的緩解措施，同時執行Ivanti提供的完整性檢查工具。</p> </div></div></div>
2024/1/16 15:15作者陳曉莉https://www.ithome.com.tw/news/160852
零售IT雙周報第27期：Sam's Club利用電腦視覺技術取代人工檢查消費者購物車，增加出口通暢度及消費者體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1231~0113)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市防盜</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#動線疏通</span></span></strong><br /> Walmart旗下量販店Sam's Club導入電腦視覺在出口掃描消費者購物車，省去人工二次確認收據的程序</p> <p>有些美式賣場會在結帳出口處，安排店員再次檢查收據及購物車內容。這雖然能某種程度達到防盜效果及增加一次與消費者接觸的機會，但也有增加消費者不耐煩和動線堵塞的問題。</p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2024/01/09/sams-club-launches-new-digital-innovations-further-enhancing-members-shopping-experiences">Walmart旗下量販店Sam's Club開始利用電腦視覺技術來取代人工二次確認收據。</a>Walmart沒有提供具體技術細節，不過從外觀及後臺照片來看，推測是消費者走過搭載不同角度鏡頭的出口時，後臺會根據電腦視覺辨識出的品項自動匹配符合的收據單。這樣一來，消費者結帳後便能推著購物車直接離開，相較過往流程順暢許多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seamless-Exit-Camera-View-alternative-angle.jpg" style="width: 750px;" /></p> <blockquote><p>透過出口處<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">俯視和側視角度</span>鏡頭，Sam's Club可以用電腦視覺技術來辨識消費者購物車品項，並與收據資料比對相符，達到防盜效果。</p> </blockquote> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#社群媒體電商</span></strong></span> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span><br /> 社群電商警訊！Gartner調查顯示明年有一半以上的消費者會大幅減少社群媒體互動，生成式AI是一大勸退因素</strong></p> <p>零售業者投資社群電商，通常會希望透過社群媒體消費者互動來達成MGM效果。不過，<a href="https://www.gartner.com/en/newsroom/press-releases/2023-12-14-gartner-predicts-fifty-percent-of-consumers-will-significantly-limit-their-interactions-with-social-media-by-2025">Gartner調查顯示，一半以上的消費者會於2025年大幅減少或停止社群媒體互動</a>，形成警訊。</p> <p>消費者對社群媒體感到卻步的原因除了不實訊息過多、社群使用者不友善，以及機器人過多，還有對於生成式AI產品的反感。調查顯示，70%消費者認為生成式AI與社群媒體高度整合，會導致使用者體驗下滑。甚至，另一份Gartner調查更指出，2027年會有約20%品牌強調不用AI來進行內容生成。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#電商推薦系統</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#超級個人化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span><br /> Pinkoi如何靠自建AI模型實現超級個人化商城及RMN</strong></p> <p><a href="https://www.ithome.com.tw/people/160690">設計類垂直電商Pinkoi技術長</a>李讓近期揭露自家8年來自建AI模型，以實現超級個人化商城及RMN的歷程。2015年前，他們採用規則式演算法來進行商城推薦。為了做到以個人為單位的推薦能力，他們才決定自行打造一個設計類電商專用AI推薦模型。</p> <p>2015年，他們開始自建大數據資料庫，蒐集商品及使用者數據，來支援AI模型訓練及推論。他們還在傳統Web開發環境之外，為AI新搭建一套開發環境。接著，他們綜合參考既有推薦演算法和AI模型，來開發自家模型。一直到了2017年，此推薦模型才開始有明顯成效。</p> <p>2017起，他們不斷為模型加入新功能，例如為商品自動貼標、分析消費者人際關係等。這段期間，他們強化了演算法開發人員與基礎設施人員的協作，來增加開發效率。同時，他們採取了以AI開發團隊服務其他產品功能團隊的合作模式，以強化開發需求溝通。</p> <p>2019年，他們把推薦功能商品化，推出RMN。他們不只持續強化AI模型功能，還進一步將這些功能細分成不同服務，來支援更多內外部應用開發。到2023年，這個模型已經是一個由625萬會員的72億筆行為數據、5.2萬設計品牌數據，以及110萬商品數據等資料訓練而成的多模態、多功能AI模型。至今，Pinkoi 1年內藉此模型促成至少3億元的訂單收入。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#搜尋功能</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自動購物</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#社群電商</span></span><br /> Walmart揭露正在開發搜尋、社群電商及自動購物等新生成式AI零售功能</strong></p> <p>美國實體零售龍頭Walmart近日揭露<a href="https://corporate.walmart.com/news/2024/01/09/from-aisles-to-algorithms-walmarts-tech-forward-innovations-for-time-saving-shopping">3個正在開發或剛上線的生成式AI零售科技</a>。</p> <p>第一是情境搜尋功能，消費者可以直接以情境搜尋，例如「足球觀賽派對」，而不用一一搜尋舉辦這個派對所須商品。Walmart搜尋引擎會利用LLM分析語境，再搭配消費者地區、搜尋紀錄等資料，來呈現個人化搜尋結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GenAi-Search.jpg" style="width: 600px;" /></p> <p>第二是一種社群電商功能，消費者可以利用生成式AI驅動的AR試穿功能產出虛擬試穿圖片，傳送給親朋好友詢問意見，再於電商App或通訊軟體中瀏覽這些回饋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/shop-with-friends.png" style="height: 450px;" /></p> <p>第三則是自動回購功能，此功能會根據消費者常買的商品品項、數量、回購周期及收貨時間，來生成購物清單甚至自動下單。如果有需要，消費者也可以手動調整這份購物清單。</p> <p>除了情境搜尋功能已經於Walmart iOS版App上線以外，其他功能都在開發階段。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#遊戲電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#開發工具</span></span><br /> Walmart推出Unity SDK，讓開發者能在遊戲中整合無跳出式Walmart電商功能</strong></p> <p>遊戲電商是一種零售巨頭們開始關注的通路，消費者會在遊戲內購買與遊戲原生內容相關的現實世界商品，且操作流程不需從遊戲中跳轉到外部App。Amazon和Walmart等巨頭近月都有拓展此通路的舉動，不過這之前大多屬於個案式實驗。</p> <p>1月初，Walmart則更進一步，<a href="https://corporate.walmart.com/news/2024/01/04/walmart-and-unity-to-bring-immersive-commerce-to-games-virtual-worlds-and-apps">宣布</a>推出遊戲開發引擎<a href="https://walmart.io/">Unity的SDK</a>，使開發者能於遊戲內整合無跳出式Walmart電商功能。當遊戲玩家購買了Walmart電商商品，遊戲營運方便能獲得一定抽成。此工具目前只有開放給特定開發者測試，仍未宣布正式推出日期。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://nedap.com/pacsun-selects-nedap-as-rfid-partner/">加州有超過300家分店的服飾品牌Pascun導入雲端RFID管理系統來強化店內存貨管理及BOPIS商業模式</a></p> <p>2. <a href="https://www.ithome.com.tw/news/160668">臺灣近期出現第一家主打零售媒體廣告和數據的本土數位行銷聯盟</a></p> <p>3. <a href="https://corporate.walmart.com/news/2024/01/09/sky-high-ambitions-walmart-to-make-largest-drone-delivery-expansion-of-any-us-retailer">Walmart提升無人機送貨服務規模，在美國人口第4多的都會區達拉斯-沃思堡內能觸及75%消費者</a></p> <p>資料來源：iThome整理，2023年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> </div></div></div>
2024/1/16 15:55作者郭又華https://www.ithome.com.tw/news/160829