iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

2024是GAI應用爆發年
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短短2個多月，從去年11月OpenAI宣布將推出GPT商店到今年1月初正式上線，就出現了超過3百萬款各式各樣的GPTs。只用了2月，這個平臺的GAI應用數量，就超過了2百萬款應用和遊戲的蘋果App Store，或是破250萬款應用的Google Play商店，成了全球最大的應用市集，這也宣告了2024年，將是GAI應用大爆發的一年。</p> <p>2023年，在ChatGPT爆紅之後，掀起了一波生成式AI技術的大競賽，OpenAI和微軟雖然領先，但是其他科技巨頭，尤其是Google和AWS都奮力直追，紛紛推出了不同類型的生成式AI技術和產品。</p> <p>這三大公雲巨頭都看準了2024年的GAI應用爆發浪潮，相繼發表了自家的GAI戰略以及技術發展架構，要提供一套涵蓋GAI應用開發生命周期的工具鏈，也要快速建置夠完整的生態圈。</p> <p>雖然各有擅長和專精，但三大公雲不約而同地，都將GAI戰略分為三個層次，GAI基礎架構、GAI工具鏈和GAI應用。只是各家再依據原有優勢和擅長，各有不同的產品戰略目標和焦點。</p> <p>領先一步的微軟，在基礎架構面想要將Azure變成一套世界電腦，甚至開始自行設計AI晶片，打造AI專用系統，要從軟硬整合來提升GAI基礎架構的算力。工具鏈則聚焦Copilot應用的開發，一方面整合自己在開發工具的優勢，另一方面則要能將GAI應用快速整合到各種主流商用軟體中。在應用面則兵分兩路，一方面要整合龐大的GPTs商店生態圈，另一方面要用Copilot整合自家的M365生態圈，借助兩大生態圈，來擴大在GAI應用中的領先地位。</p> <p>而早在2015年就開始自己設計AI晶片，推出第一代TPU的Google，在GAI基礎架構已有紮實的基礎，也有整套針對原有AI技術的AI開發工具，也在2023年8月Next大會上，揭露了三大AI新戰略，要從AI建置、AI運用和AI生態圈三面向，來卡位GAI浪潮。但是，Google在LLM模型商品化的腳步，慢了一點，直到2023年12月才發表了Gemini，補齊了GAI工具鏈的關鍵一環，並強化了Vertex AI平臺的模型開發到部署的功能，甚至推出了網頁版AI開發工具。在應用面，Google一方面要用Duet AI來整合辦公室套件Workspace生態圈，另一方面，未來要將微型Gemini模型部署到手機上，成為Android生態圈的核心引擎，來善用這兩大生態圈的優勢。</p> <p>至於AWS的GAI戰略則與上述兩大公雲巨頭，不盡相同。AWS沒有要靠一個主打的LLM來帶頭，而是要想辦法讓企業運用各式各樣的LLM。</p> <p>AWS在GAI基礎架構布局上，如同其他兩家，一方面與Nvidia結盟，提供最新款GPU的實例產品外，也以十年晶片設計經驗，推出多種不同用途的自製晶片來強化自家算力能力，包括推出了第二代AI訓練加速晶片。在工具鏈上，AWS更在2023年4月推出了雲端的GAI專用開發工具Bedrock和自家第一款LLM模型Titan。Bedrock最大特色是，盡可能提供更多款LLM模型讓企業選擇，再透過同一套開發流程和安全與隱私控管機制，來打造不同的GAI應用。Bedrock更推出了代理人應用的開發方法，可以快速打造出整合不同服務、不同資料源的特定用途GAI應用。</p> <p>在應用面，AWS專門鎖定工作場景的GAI應用，而沒有要通吃各種GAI需求。特別是在去年12月底發表了商務型AI助手Amazon Q，專門鎖定企業工作環境的需求，不同商務應用場景的AI助手，聚焦兩大類商務GAI應用領域，一是開發與AWS建置有關的AI助手，另一類AI助手是專門用於處理企業常用軟體和服務的資料。</p> <p>不管是哪一朵公雲，從各自的AI戰略來看，都是瞄準了2024年的GAI應用大爆發的開發需求，這也意味著，GAI應用不會只有300萬款GPTs，還會有更多企業，使用不同類型的GAI工具，打造出功能更複雜、用途也更聚焦的GAI應用。2024年將是GAI應用大爆發的一年。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gai">GAI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/google">google</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div></div></div>
2024/1/26 12:22作者王宏仁https://www.ithome.com.tw/voice/161028
零售IT雙周報第28期：Target如何設計韌體更新流程，來降低更新事故影響店面營運的風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0114~0127)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#韌體更新</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店面營運</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#設備維護</span></span><br /> Target揭露自家降低門市韌體更新風險的流程與準則</strong></p> <p>店內設備韌體更新是重要但具有一定風險的維運事項。韌體更新通常可以增加設備效能、填補資安漏洞及臭蟲。不過，大規模韌體更新在版本檢查、設備狀態確認及更新過程等環節都有可能出現疏失，導致設備故障，因此有些零售業者會抗拒韌體更新。<a href="https://tech.target.com/blog/firmware-updates">美國零售巨頭Target揭露自家自動化更新韌體的做法</a>，說明他們如何嘗試降低韌體更新風險。</p> <p>更新前，Target會和設備廠商於非生產環境中，測試新版本韌體、BIOS及驅動程式更新，以及更新後的軟體執行情況。接著，他們他們打包更新用程式，透過Github Pull Request功能來管理及排程。韌體更新負責人會和其他相關軟體開發人員及設備提供商溝通，確保韌體更新時沒有其他軟體部署或更新作業會干擾。</p> <p>更新時，每家門市一個晚上只會更新三分之一設備的韌體，以防更新失敗時整家門市運作停擺。Target還設計了監控及警報機制，更新作業一旦出錯，工作人員可以馬上排錯，或通知設備廠商更新硬體。這套韌體更新流程在2021年推出後，每年降低了超過500次設備維修需求。</p> <p>他們還提出了幾條可以降低韌體更新風險的參考準則。首先，韌體更新必須要和軟體更新一樣，有測試、部署及退版的框架及工具。再來，必須要有硬體和韌體監控機制，以盡早對設備故障做出反應。最後，開發或引進新設備時，要將韌體更新納入考量，這包括將設備設計為容易更新韌體，還有提供官方支援的韌體開發工具和資源，讓開發者利用韌體來強化設備效能時，不用擔心設備不支援而導致故障。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#員工訓練</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷輔助</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據整合</span></span><br /> 微軟推出多種零售用AI工具，輔助行銷素材生成、員工訓練、跨系統數據整合等</strong></p> <p>微軟<a href="https://cloudblogs.microsoft.com/dynamics365/bdm/2024/01/11/shaping-the-future-of-retail-with-ai-and-dynamics-365/">宣布推出</a>多種<a href="https://www.microsoft.com/en-us/industry/blog/retail/2024/01/11/microsoft-introduces-new-capabilities-that-help-retailers-bring-ai-to-the-shopper-journey-and-enhance-store-associate-experiences/">零售用AI工具</a>。第1是AI客服，可以根據零售業者商品資訊，用自然語言和顧客溝通。第2是店員問答系統，可以回答店員關於店鋪營運、人力資源政策以及福利等問題。</p> <p>第3則是供應鏈管理及需求預測功能，會利用AI/ML技術及外部訊號來預測商品需求，並由AI助手用自然語言對使用者解釋這些預測的依據，以及指出需求規律和異常。此AI助手還可以協助採購團隊評估採購計畫，例如為採購計畫變更生成潛在風險報告，並標註出每個計畫變更的風險高低。</p> <p>第4個功能是跨系統數據整合，可以蒐集商品、顧客及採購訂單等不同類型、來自不同系統的數據，並利用AI快速整合，以加速使用者應用這些數據。這個功能會從資料來源讀取數據，不須從將數據從原本儲存處轉移出來。<br /> 此外，微軟還新增了行銷素材生成及利用自然語言輸入產生出行銷受眾和規畫的功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM #客服</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路顧客經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市內AI</span></span><br /> Google推出一系列零售AI工具，包括CRM、商品上架、SEO輔助及門市內AI解決方案</strong></p> <p>Google也<a href="https://www.prnewswire.com/news-releases/google-cloud-debuts-new-generative-ai-technologies-for-retailers-worldwide-302032161.html">推出</a>一系列<a href="https://taiwan.googleblog.com/2024/01/google-cloud-debuts-new-gen-ai-technologies-for-retailer-worldwide.html">零售AI工具</a>。第1項是可以用自然語言對話的AI客服，可以部署在Google Vertex AI平臺或零售商自有系統中。第2是在Vertex AI Search for retail搜尋服務中新增客製化微調模型功能，可以根據自家商品目錄及消費者搜尋模式等數據來調整模型，以期輸出更符合零售業者策略的搜尋結果。</p> <p>第3是CRM輔助功能，由AI客服專員根據CRM系統，協助零售業者個人化產品推薦、安排預約或檢查訂單狀態等事項。此功能還可以將Email、簡訊、電話等不同通路的溝通內容，以及社群媒體和網路評論等資訊，整合至單一平臺來瀏覽，協助客服人員與顧客溝通。</p> <p>第4是商品目錄製作輔助工具，可以根據商家產品目錄，建立和分析產品圖像及描述文字，並進一步生成產品說明、元數據，以及符合SEO原則的文案。</p> <p>最後，Google還推出了Distributed Cloud Edge功能，透過部署代管式小型伺服器在零售業者低網路服務可用性的門市，來執行門市內AI應用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#供應鏈管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#庫存管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ESG</span></span><br /> AWS Supply Chain新增供應計畫、多層供應鏈管理，以及永續性審查3個模組</strong></p> <p>AWS供應鏈管理服務<a href="https://aws.amazon.com/tw/blogs/aws/aws-supply-chain-update-three-new-modules-supporting-upstream-activities/">AWS Supply Chain新增了3個模組</a>，分別為供應計畫、多層供應鏈管理，以及永續性審查。供應計畫模組會從存貨、需求不確定性預測，以及使用者輸入的額外商業策略，來輸出供應計畫，供後續審核。使用者可以設定供應計畫長度，例如每周或每月，還可以設定計畫審核時限，以及自動批准標準。此模組還支援自動補貨功能。</p> <p>多層供應鏈管理模組則可以從企業數據中自動偵測供應商，及供應商的供應商，並將他們加入聯絡清單，以共同處理採購訂單。此模組還會協助用戶辨識供應商異常和風險，並尋求替代供應商。</p> <p>永續性審查模組則是建立在多層供應鏈管理模組上，使用者可以透過此模組對供應商請求、收集和審查永續性相關資料，例如碳排資料，以及採購、製造、運輸和處置貨物過程中，使用有害物質的報告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市AI客服</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#知識管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內鏡頭</span></span><br /> 美國顧客滿意度指數第一名的Tractor Supply如何用AI來強化店內顧客服務</strong></p> <p>美國農業及園藝用具零售商Tractor Supply CEO Hal Lawton近期在一場活動中分享自家如何透過AI來強化店內顧客服務。Tractor Supply是美國顧客滿意度指數第一名品牌。</p> <p>早在10年前，他們就於店內導入了類似現代AI客服的聊天機器人Gura。Hal Lawton表示，累積10年數據後，此機器人現在已經是一個強大的資訊管理工具，可以根據店內存貨情況，來回應顧客特殊需求。例如，客人想要針對皮膚過敏的狗尋找飼料時，Gura可以從店內存貨中搜尋出可能適合商品，來輔助店員服務顧客。這對於品項超多元，囊擴從牽引機零件到寵物用品的Tractor Supply來說，是十分重要的功能。</p> <p>不只如此，他們還開始導入店內智慧鏡頭，除了用來蒐集店內顧客狀態以進行後續中長期分析，還要用來強化對店內情況的即時反應，例如當排隊隊伍過長，或是顧客看起來需要諮詢時，店員便能盡快主動接觸顧客。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網站體驗優化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客意圖數據蒐集</span></span><br /> 維多利亞的秘密計畫導入AI來強化網站使用者體驗及內部營運</strong></p> <p>內衣品牌維多利亞的秘密近期揭露<a href="https://blog.google/products/google-cloud/victorias-secret-google-cloud-ai/">他們計畫導入AI在哪些新用途</a>，分為5個面向。第1是，導入可以理解自然語言及圖片輸入的客服機器人到網站及App。他們表示，此機器人不只要可以理解商品使用情境，如穿著場合，還要可以根據消費者上傳圖片來選擇適合搭配的商品。第2是，增加搜尋功能個人化能力，不僅要根據消費者輸入內容，還要根據該消費者過往行為數據來綜合判斷搜尋排序。第3，新增以圖搜尋類似商品功能，要能根據非既有商品圖片，搜尋出類似的自家商品。第4是利用AI進一步蒐集社群媒體上的消費者意圖、喜好及對品牌態度，作為商品開發參考。第5則是用於內部營運輔助，包括預測商品需求、生成員工訓練素材及求職面試紀錄等。</p> <p>雖然這些大多不是非常創新的做法，不過對於電商網站體驗來說是相當有感且重要的升級。前年，維多利亞的秘密也利用AI來強化電商商城個人化頁面呈現及個人化優惠等功能，<a href="https://www.ithome.com.tw/news/150519">並說明自家導入新技術的一系列SOP</a>，包括他們從評估、準備導入、到落地的流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.smg.team/post/asda-appoints-smg-as-retail-media-network-partner">英國大型連鎖超市Asda選擇和專業廣告商合作來擴大RMN服務範疇</a></p> <p>2. <a href="https://www.relexsolutions.com/news/plus-retail-expands-partnership-with-relex-solutions-to-enhance-customer-satisfaction/">荷蘭大型連鎖超市Plus結合SCM與倉儲空間管理資訊來進行促銷活動規畫</a></p> <p>3. 推特將擴大與Shopify合作，強化透過推特來獲客的功能</p> <p>4. Walmart計畫關閉自家大型零售科技實驗店Store No. 8</p> <p>資料來源：iThome整理，2023年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Target</p> </div></div></div>
2024/1/26 11:18作者郭又華https://www.ithome.com.tw/news/161008
微軟遊戲部門裁撤1,900名員工，占該部門的8.6%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/159282" target="_blank">微軟在去年10月完成</a>價值687億美元的動視暴雪（Activision Blizzard）收購案之後，<a href="https://www.ign.com/articles/microsoft-lays-off-1900-staff-from-its-video-game-workforce" target="_blank">《IGN》</a>與<a href="https://www.windowscentral.com/gaming/xbox/microsoft-announces-layoffs-at-gaming-division-with-1900-jobs-cut-across-activision-blizzard-xbox-game-studios-and-zenimaz-media" target="_blank">《Windows Central》</a>等媒體相繼取得微軟遊戲（Microsoft Gaming）執行長Phil Spencer 在24日發出的內部信件，指出將裁撤該部門1,900名員工，目前該部門約有2.2萬人，裁員比例為8.6%。</p> <p>Spencer於信件中表示，在雙方合併後，微軟與動視暴雪的領導階層致力於在策略與執行計畫上保持一致，並採用可持續的成本結構來支援不斷成長的業務，他們共同設定了優先事項，確定了重疊的領域，以對齊最佳的成長機會。換句話說，此次的裁員主要針對合併後的重疊職位，以及微軟對動視暴雪的未來規畫所進行的人事調整。</p> <p>根據報導，暴雪娛樂（Blizzard Entertainment）的共同創辦人暨執行製作Allen Adham，以及暴雪娛樂總裁Mike Ybarra都將離開微軟。此外，由Adham所主導的、已開發6年的3A級生存遊戲Project Odyssey亦被取消，團隊直接被解僱。</p> <p><a href="https://twitter.com/qwik/status/1750527310493868293?s=46&t=r0chWjsnLmT6elWcqBAxmQ" target="_blank">Ybarra也透過X證實他已離開的消息</a>。Ybarra過去曾在微軟任職超過20年的時間，領導微軟的Windows管理與開發團隊，之後才跳槽至暴雪娛樂，現在他將再次離開微軟，並說他將成為暴雪最大的粉絲。</p> <p>在COVID-19疫情期間，由於遠端工作、遠端學習及必須保持社交距離的緣故，遊戲產業風生水起並大舉擴編，當後疫情時代需求下滑時，遊戲業者紛紛展開裁員，例如《英雄聯盟》（League of Legends）開發商暨發行商Riot Games才在日前宣布裁撤530名員工，占全球員工人數的11%。外界估計光是在2024年遊戲產業遭到解僱的員工人數超過1萬人。</p> </div></div></div>
2024/1/26 11:20作者陳曉莉https://www.ithome.com.tw/news/161024
Nvidia正式推出RTX Video HDR功能，使RTX顯卡可將SDR影片轉為HDR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia在CES上發表的<a href="https://blogs.nvidia.com/blog/rtx-video-hdr-remix-studio-driver/">RTX Video HDR</a>，這個運用人工智慧將標準動態範圍（Standard Dynamic Range，SDR）的影片轉換成高動態範圍（High Dynamic Range，HDR）的功能，已經在Nvidia的Studio驅動程式一月版本中推出。RTX Video HDR與RTX超解析度（RTX Super Resolution）功能可以相結合使用，支援諸如Chrome、Edge等Chromium系列瀏覽器。</p> <p>RTX Video利用GeForce RTX GPU上的Tensor Core，將瀏覽器中所播放的標準動態範圍的影片，轉換成為高動態範圍，在高階顯示器上呈現生動且動態色彩，保留因為影片壓縮所丟失的複雜細節。而這與Nvidia在去年所推出的RTX超解析度功能有異曲同工之妙，都能夠增強影片畫質，RTX超解析度則是運用人工智慧消除壓縮失真，同時提升影片解析度。</p> <p>要使用RTX Video HDR這個新功能，用戶需要安裝最新Studio驅動程式，也要在作業系統中啟用Windows HDR功能，並於Nvidia控制面板中RTX Video增強功能中，啟用HDR選項。除此之外，要發揮RTX Video HDR的功能，需要將RTX GPU連接到相容於HDR10的顯示器和電視，瀏覽器上的標準動態範圍的影片便會自動轉換成高動態範圍，改善影片細節和清晰度。</p> </div></div></div>
2024/1/26 08:30作者李建興https://www.ithome.com.tw/news/161021
MLCommons成立MLPerf客戶端工作組，替個人電腦建立機器學習基準測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放工程聯盟MLCommons<a href="https://mlcommons.org/2024/01/mlperfclientwg/">宣布</a>成立新的MLPerf客戶端工作組，替桌上型電腦、筆記型電腦和工作站等客戶端裝置創建機器學習基準。MLPerf客戶端工作組的初始參與者包括AMD、Arm、華碩、戴爾、英特爾、聯想、微軟、Nvidia和高通等公司。</p> <p>MLCommons之前所創建的MLPerf基準測試套件，是資料中心人工智慧基準測試的黃金標準，而MLCommons正在利用以社群為中心的協作開發方法，結合對機器學習技術的知識，創建消費者客戶端系統基準測試套件。</p> <p>人工智慧技術的重要性不言而喻，已經成為運算裝置使用者日常的一部分，而客戶端系統晶片加入各種人工智慧硬體加速功能，不少作業系統和應用程式也都整合了人工智慧功能。MLCommons指出，隨著這些軟硬體功能的增加，許多機器學習模型會在客戶端系統本地執行，因此產業需要一個可靠且標準的方法，來衡量客戶端系統上人工智慧加速解決方案的效能與效率。</p> <p>MLPerf客戶端基準把焦點擺在終端使用者的真實用例上，這有助於更準確地反映日常使用人工智慧系統的實際表現。MLCommons將社群的回饋當作基礎，官方計畫第一個MLPerf客戶端基準測試會針對大型語言模型，特別是Llama 2。</p> <p>創建適用於客戶端裝置的機器學習基準，有許多困難需要克服。在客戶端執行大型語言模型，需要在系統的效能與模型輸出的品質取得平衡點，而這對於制定基準測試是一項挑戰，因為高品質的輸出，代表著需要更多的運算資源，而這可能影響系統整體效能。</p> <p>其次，當使用特定資料集和模型時，可能涉及著作權和授權問題，需要經妥善處理避免違反法律規定。同時，MLCommons還需要透過將Llama 2的工作負載，納入MLCommons訓練和推理基準套件，來解決安全性問題。</p> </div></div></div>
2024/1/26 08:33作者李建興https://www.ithome.com.tw/news/161022
GitHub Copilot加入斜線命令與上下文變數兩新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/visualstudio/copilot-chat-slash-commands-and-context-variables/">更新</a>Visual Studio Copilot聊天擴充套件，添加兩項新功能，第一項是可以指示Copilot執行特定工作的斜線命令（Slash Commands），另一項則是上下文變數（Context Variables），該功能讓開發者可以使用符號#，在與Copilot對話中引用特定檔案。</p> <p>斜線命令是一個特殊命令，開發者可以在與Copilot聊天時，使用斜線命令要求Copilot對程式碼執行特定操作，像是/doc可以新增文件註解；/explain則是要求Copilot解釋程式碼；/fix是要Copilot對所選取的程式碼提出修復建議；使用/optimize則Copilot會分析並改進所選取的程式碼執行時間；而使用/tests時，Copilot則會對所選程式碼建立單元測試。</p> <p>上下文變數功能可讓開發者使用符號#，將解決方案中的檔案加入到與Copilot的對話之中。當開發者直接引用檔案時，Copilot便可以存取該檔案內容，並針對該檔案提供更具體的回答，像是開發者可以詢問「#Main.c檔案的運作方式為何？」或是「#Calculator.cs檔案的目的是什麼？」Copilot便會根據該檔案提供答案。</p> <p>上下文變數功能的方便之處在於，開發者只要輸入符號#，系統便會自動列出解決方案中的檔案供選擇。而當開發者在問題中提及特定檔案時，檔案的內容便會被包含在問題中，因此Copilot提供的答案會附加連結，該連結指向問題中所包含的檔案，點擊連結就可以查看檔案的具體內容，開發者可以清楚地了解答案與檔案內容之間的關聯。</p> <p>Visual Studio Copilot擴充套件也加入了一些實驗性功能，供開發者搶先體驗，像是可以協助開發者診斷和修正程式碼異常的除錯器異常助理，還有能夠協助開發者設置中斷點，並根據程式碼當前上下文，建議適當表示式的中斷點表示式建議。Copilot還可以生成Git提交訊息，協助開發者描述變更項目的提交訊息。</p> </div></div></div>
2024/1/26 08:49作者李建興https://www.ithome.com.tw/news/161023
微軟釋出全新輕量級MSTest測試框架執行工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出<a href="https://devblogs.microsoft.com/dotnet/introducing-ms-test-runner/">MSTest Runner</a>，這是一個用於MSTest測試的輕量級執行工具，具有高可移植性與高可靠性，供開發者能夠快速地執行測試，在微軟內部專案的測試執行速度可提升達3倍，並且節省4倍的記憶體用量。</p> <p>MSTest是Visual Studio中的一種測試框架，用於編寫和執行單元測試，提供了一套建立和管理單元測試的工具和類別函式庫，使開發人員可以驗證程式碼在各種情況下，都能正確且可靠地運作。MSTest適用於需要和Visual Studio環境緊密結合的.NET開發專案。</p> <p>使用MSTest Runner而非VSTest進行測試的好處之一便是可移植性，MSTest Runner是一個可將MSTest測試建置為獨立可移植執行檔的工具，僅一個控制臺應用程式就可託管和執行測試，不再需要諸如vstest.console、dotnet test或Visual Studio等工具，因此即便在效能與儲存資源有限的裝置上，也可以使用生成的控制臺應用程式實際進行測試。</p> <p>MSTest Runner直接以可執行檔案進行測試，消除了通常在執行測試時所需要的基礎設施。除了簡化測試環境之外，MSTest Runner也可以進行容器化測試，在沒有dotnet SDK的Docker容器中，執行針對dotnet應用程式的測試。微軟正在考慮在MSTest支援NativeAOT，讓開發者能夠在NativeAOT模式下測試應用程式。</p> <p>由於MSTest Runner使用較少的程序，在減少程序跳轉的情況下，可節省伺服器資源，也消除了程序序列化通訊的需求，改為仰賴.NET API以增加平行性。微軟指出，內部專案改用新的MSTest Runner執行測試，在CPU和記憶體使用上都有巨大的改進，部分專案在使用dotnet test執行時，測試完成速度提升至3倍，記憶體使用量減少4倍。</p> <p>MSTest Runner採用安全的預設值，使開發者不錯過必要測試，且傾向實施更嚴格的政策，但也提供開發者足夠的靈活度控制測試。除了更安全的預設之外，微軟在MSTest Runner採用新架構，不仰賴資料夾掃描、動態載入或使用反射來偵測和載入擴充套件，這使得本地和CI中可以更容易地實現相同的行為，並且明顯減少從啟動測試應用程式，到執行第一個測試的時間。</p> <p>MSTest Runner非同步且可平行執行的特性，能夠避免使用VSTest所出現的死當問題。不過MSTest Runner並不會偵測目標框架和平臺，或是任何的.NET配置，這些工作完全仰賴.NET平臺進行，微軟解釋這是為了避免邏輯重複，防止規則突然變化破壞測試。整體來說，MSTest Runner在效能和可靠性都有大幅改進。</p> <p>而可擴充性也是MSTest Runner另一個重要特性，其以全新的基礎測試平臺和可擴展性模型作為基礎，開發者可以自定義報告生成器、測試排程，滿足特定測試需求和流程，也可以加入自己的日誌記錄工具，甚至是可用的命令列選項，靈活地進行測試。</p> </div></div></div>
2024/1/26 08:27作者李建興https://www.ithome.com.tw/news/161020
GovTech月報第26期：數位部明年擬推數位皮夾，可整合自然人憑證、駕照、健保卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1226~0124)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">Digital Wallet</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部明年將推數位皮夾，可整合自然人憑證、駕照等證件</strong></span></p> <p>趕上國外腳步，數位發展部近期透露，將在今年底測試Digital Wallet（數位皮夾），民眾未來可將自然人憑證、駕照或健保卡等證件，整合進Digital Wallet，用於授權資料申請數位政府服務。</p> <p>這項計畫由數位部民主網絡司規畫，已準備在今年對外招標，今年底先開發測試版本，以驗證數位皮夾，數位部透露，預計明年可推出較成熟版本，初步構想先和內政部合作，整合行動自然人憑證，稍後再整合實體自然人憑證，讓民眾透過手機上的Digital Wallet就能在舊系統使用自然人憑證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/digitalwallet(1).jpg" style="width: 600px; height: 425px;" /></p> <p>數位部強調Digital Wallet並非取代實體證件，而是提供民眾更簡便使用的第二個選擇，且採用最小資訊揭露原則，使用者可以授權僅提供部分資料給政府或業者申請服務。為了降低民眾對政府監控足跡的疑慮，數位部也將以Public Code的方式，開源Digital Wallet讓外界檢視，民間企業也能利用Digital Wallet公開規格，讓企業的會員卡、員工證等卡片整合進Digital Wallet，擴大數位皮夾的應用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新竹通</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>新竹市計畫第4季將推出新竹通，將整合虛擬數位市民卡</strong></span></p> <p>隨著智慧型手機及行動上網普及，現代人已習慣透過一支手機處理生活中的大小事務，政府數位服務也趕上這個趨勢，新竹市政府近期揭露其市政最新規畫，今年第4季將會推出新竹通App，整合虛擬數位市民卡，讓民眾可透過手機使用各項市府服務。</p> <p>市府將新竹通App定位為Super App，整合各項市府服務，逐步取代市府各單位既有的App，讓民眾可透過新竹通App，線上繳交規費、借閱圖書、查詢資訊、市政陳情、查詢公車及停車動態，並且可以線上申請市府的服務。</p> <p>新竹市政府指出，數位身分識別已是全球趨勢，新竹通將規畫建置虛擬數位市民卡，取代多張卡片，以提供數位市政服務，並且遵循最小資訊，在民眾同意之下，提供申請服務所需的最小資料，此外，未來也會導入零信任機制，整合第三方系統。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">嘉義市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">即時通訊</span></font></strong></p> <p><span style="font-size:22px;"><strong>嘉義市與即時通訊平臺合作，推播在地訊息推動城市觀光</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/linebeacon.jpg" style="width: 600px; height: 400px;" /></p> <p>在疫情過後，觀光旅宿逐漸回溫，造訪嘉義市的旅客也隨之增加，嘉義市政府近期與Line合作推動一項數位創生計畫，在嘉義市布建150顆Line Beacon，打造國內首座Line Beacon城市，結合在地商家與Line生態圈，聯手推廣當地觀光事業。</p> <p>這項數位創生計畫定名為「今天就回嘉」，為嘉義市政府與Line合作，第一個城市等級規模的數位創生示範場域，透過布建大量的Line Beacon，為嘉義市打造城市互動網絡，運用數位科技推廣當地觀光、在地文化、人文。透過社群平臺的號招之下，Line官方帳號「今天就回嘉」在3個月內吸引115萬人加入。</p> <p>在嘉義的公共空間、交通、商圈、知名店家布建Line Beacon，例如餐飲美食名店、服飾老店或人文景點，旅客透過手機就能獲得最新優惠、街區的主題活動、特色服務等推播訊息，規畫3大路線、10大主題景點，並透過Line生態圈，結合拍照上傳、問答及延伸閱讀，帶動遊客深度體驗嘉義。旅客也可掃描店家的QR Code參加綠色行動，將旅行中的減碳行程視覺化，響應永續行動。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">捷克</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>捷克推出數位身分服務eDoklady，讓民眾可下載電子身分證到手機</strong></span></p> <p>捷克政府近期推出新的數位身分識別服務eDoklady，為一款App，可讓民眾下載個人的電子身分證至手機，捷克政府強調相較於傳統身分證件卡片，eDoklady提供方便及安全的身分識別機制。</p> <p>捷克已開放所有公民下載eDoklady，並透過專門的入口網站啟用其電子身分證，透過這套數位身分識別機制，該國強調簡化民眾與政府間的身分驗證流程，並且讓民眾與政府間的互動，例如申請政府服務時，可以控管個人的身分資料，節省文件作業程序。當手機不慎遺失，民眾可以遠端停用身分識別功能，避免遭到冒用。</p> <p>目前捷克政府底下的相關單位未來將會逐步接受eDoklady的身分驗證機制，其中警察部門將從4月認可其數位身分機制，其他如勞動、金融部門則會在今年內加入。到明年，捷克的其他城市、郵政系統也會加入。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">MyData</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">資料自主</span></font></strong></p> <p><span style="font-size:22px;"><strong>數位部：已有超過800項資料及服務可透過MyData線上申請</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mydata.jpg" style="width: 600px; height: 330px;" /></p> <p>自2020年上線的MyData個人化資料自主運用平臺，讓民眾通過身分驗證後，可下載或是授權個人的政府資料政予府機關或企業，作為申請政府或民間服務使用。數位部近期揭露MyData推動成果，已有超過800項資料及服務，可透過MyData平臺申請。</p> <p>過去民眾申請服務所需文件資料，需要到不同政府機關，通過臨櫃身分驗證，且排隊等候辦理往往耗費相當多時間。MyData個人化資料自主運用平臺讓民眾可以通過線上身分驗證之後，下載個人資料，或是授權政府機關或企業取得所需的資料，向政府或企業申請服務，為民眾節省到各個機關取得資料的過程。</p> <p>由於部分的服務需要多人的資料方能申請，MyData現在也提供多人資料合併線上申請功能，舉例來說，屏東縣政府的身心障礙者停車識別證，透過多人資料合併線上申請功能，讓身障者及其親屬，即使沒有同住一地，也可以在同一件服務申請中，各自通過身分驗證、授權提供相關資料，完成服務的申請。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧停車</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧城市</span></font></strong></p> <p><span style="font-size:22px;"><strong>臺中市加速路邊停車</strong></span><strong style="font-size: 22px;">智慧化</strong><strong style="font-size: 22px;">管理，未來7年將導入2.1萬地磁、6千個影像辨識設備</strong></p> <p>臺中市政府加速路邊停車管理的智慧化發展，近期與國雲停車等3家業者簽約，將從2024年到2030年期間，於2030年在臺中市路邊停車格導入2.1萬個地磁及6千個影像辨識設備，除了透過IoT蒐集路邊停車格車位使用動態，還利用影像辨識設備實現無人化、無紙化開單。</p> <p>透過停車格設置地磁、影像辨識設備，蒐集停車格使用即時動態，讓民眾透過臺中停車App，24小時查詢路邊停車格使用情形，來提高停車格的周轉，市府也期望透過地磁、影像辨識設備的導入，在停車開單上降低人工作業需要，運用科技提高停車管理效率。</p> <p>為了更進一步整合市區內的停車資訊，停車管理處也計畫成立智慧停車中心，以整合路邊智慧停車格，以及路外停車場的靜、動態資訊，建立臺中市智慧停車雲端平台及數據中心，未來讓每一個行政區的路邊停車導入智慧停車。臺中市政府也期望未來蒐集停車管理數據，強化臺中市的停車治理決策。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AIoT</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧農業</span></font></strong></p> <p><span style="font-size:22px;"><strong>印度政府擬利用AIoT來減少洋蔥在庫存時的腐壞浪費</strong></span></p> <p>印度為洋蔥消費的大國，根據統計，印度人每月約消費130萬噸洋蔥，然而，洋蔥儲存不當，導致腐壞造成浪費，估計每年因保存不當造成的浪費約價值11億盧比，因此印度政府從今年3月開始，透過AIoT技術加強洋蔥儲存管理。</p> <p>根據印度政府的說明，每年冬季在傳統的倉庫儲存方式下，約有25%的洋蔥腐壞降低腐壞，因此印度政府研究在倉庫中導入AIoT技術，透過感測器蒐集洋蔥在倉庫存放的即時數據，例如乾燥度、腐敗率等數據，希望以此減少浪費。</p> <p>印度政府將建置導入AIoT技術的智慧化倉庫，在測試階段，在洋蔥種植的重點地區，建置100個具有AIoT的儲存設施，未來3年逐步增加500個。這項計畫不只用於民間的洋蔥儲存，也能用於政府強化洋蔥庫存的管理，降低腐壞造成的損失，在洋蔥高需求時發揮平抑物價的功能。</p> <p> </p> <p>圖片來源／數位部、嘉義市政府、MyData</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.新北市及高雄市利用科技執法加強取締不禮讓行人</strong></p> <p><strong>2.數位部：未來4年將協助地方政府導入AI</strong></p> <p>資料來源：iThome整理，2024年1月</p> </div></div></div>
2024/1/25 16:24作者蘇文彬https://www.ithome.com.tw/news/161005
Cloud周報第192期：VMware宣布新訂閱制不再提供vSphere在內的59項產品，未來不再單獨銷售也結束提供原…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（01/18～01/24）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端ERP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">SAP將強化雲端ERP功能,支援碳帳與物料BOM表上的碳排資訊標註</span></strong></p> <p>為了應對企業碳成本的趨勢，企業ERP軟體商SAP計畫進一步強化雲端ERP功能，支援碳帳管理與提供物料BOM表的碳排資訊自動標示等功能。</p> <p>SAP在去年底的S/4 HANA ERP 2308雲端版本推出時，就已經提供了產品碳足跡自動計算功能，使企業可以在雲端ERP中自動計算與記錄生產過程的產品碳足跡數據，用於後續碳成本管理。</p> <p>不僅如此，SAP計畫在今年第一季開始在ERP系統中整合碳足跡資訊，預計提供三大主要功能。第一項是碳會計功能，使企業能夠在ERP系統中建立和計算自己的碳成本，協助進行相關財務規畫與預測。</p> <p>另一項重要功能則是能夠提供包含碳排放資訊的物料BOM表，用於追蹤製造過程從原料到出口商品碳排數據。此外，還包括採購過程中的碳足跡數據揭露功能，有助於掌握每筆採購單的碳足跡，進一步實現綠色採購。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">VMware </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EOA供貨終止 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">VMware公布不再提供技術支援服務的產品，涵蓋各版本vSphere、vSAN及NSX服務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap43.png" style="width: 600px; height: 263px;" /></p> <p>隨著軟體銷售轉向全訂閱制後，VMware於本月22日在<a href="https://blogs.vmware.com/cloud-foundation/2024/01/22/vmware-end-of-availability-of-perpetual-licensing-and-saas-services/">官方部落格詳細列出</a>了所有終止供應（EOA, End of Availability）的VMware產品清單，總計59款產品，包含了所有授權、各版本的產品即日起不再提供，而是需要透過VCF（<span>VMware Cloud Foundation</span>）、VVF（VMware vSphere Foundation ) 產品，以套餐加購的方式提供。</p> <p>VMware不再提供單獨販售的產品，包含了各版本vSphere Enterprise Plus、vSphere+、vSAN、vSAN+、NSX、HCX、HCX+等。VMware表示，其中部分產品後續將在VCF、VVF或附加元件中提供，如vSAN、NSX、Aria Suite、HCX等。</p> <p>VMware這次公布59項產品EOA，涵蓋了永久授權、有效支援與訂閱服務（SnS）續訂以及SaaS服務等所有授權型式。換句話說，不僅產品不再單獨銷售，也不提供永久授權，甚至連永久授權的SnS服務也終止。對於現有企業用戶而言，這意味著，他們未來無法再透過SnS續約獲得永久授權原廠技術支援<span>，</span>對於企業的影響甚鉅<span>。</span></p> <p>VMware還宣布Aria SaaS服務的EoA，同時表示將繼續提供相關的服務支援，一旦訂閱期限結束後，企業需轉換為新制才能繼續訂閱和使用相關服務。</p> <p>隨著主要產品公告EOA後，考慮到安全性與法規要求，這將迫使企業開始思考授權轉換的必要性，或是考慮轉換到其他商用平臺或雲端環境。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Tietoevry </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 勒索軟體 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">歐洲雲端代管業者Tietoevry遭到勒索軟體攻擊，導致其雲端服務中斷</span></strong></p> <p>芬蘭雲端託管服務商Tietoevry最近遭到Akira勒索軟體攻擊，造成其中一座雲端資料中心無法正常提供服務，影響不少企業用戶的服務。</p> <p>遭到攻擊的是Tietoevry位在瑞典的一座資料中心，攻擊者在1月19日至20日晚間透過Akira勒索軟體發動攻擊，導致Tietoevry在瑞典當地提供的雲端服務受影響，像是電影發行公司 Filmstaden、連鎖超市Rusta均受影響，還導致Granngården在瑞典全國商店一度關閉無法對外營業。瑞典人資公司Primula因為這起事件對其服務造成影響，其負責許多瑞典大學和30多個政府機構提供相關人資服務。</p> <p>值得一提的是，這不是Tietoevry首次遭遇勒索軟體攻擊，在2021年，TietoEVRY就曾因為勒索軟體攻擊而導致多項服務中斷。</p> <p>針對這次攻擊事件，該公司表示已通知受影響的客戶，但並未提及有無任何敏感資料遭竊，僅說明目前正持續恢復受影響的服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資安 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">FBI示警Androxgh0st惡意軟體攻擊，鎖定AWS、微軟等服務的雲端憑證</span></strong></p> <p>美國FBI與CISA最近警告名為Androxgh0st的惡意軟體正在針對Laravel框架的CVE-2017-9841漏洞以及特定版本的Apache HTT P伺服器CVE-2021-41773漏洞進行掃瞄和搜尋，藉此取得雲端服務的憑證，以便執行各種惡意操作。</p> <p>該惡意軟體會透過建立殭屍網路來掃描使用Laravel框架的網站，並篩選曝露在根目錄的.env檔案，以擷取檔案中的憑證資料和令牌等敏感資訊。</p> <p>FBI點名包括AWS、微軟M365、SendGrid與Twilio等知名應用的雲端憑證都是該惡意軟體攻擊鎖定的目標。例如駭客取得AWS憑證後能夠建立新的用戶和用戶政策，而且還可利用憑證建立新的AWS執行個體來進行其他掃描活動，擴大對其他對象的攻擊。</p> <p>FBI與CISA建議，企業可以採取各種措施以加強資安防護，例如更新作業系統、軟體和韌體，還有確保所有URI預設配置為拒絕所有請求，以及確保所有Laravel應用不處於除錯或是測試模式，並定期檢查.env檔案中的平臺和服務憑證等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">GenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 甲骨文 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">不讓三大公雲專美於前，甲骨文開始在OCI公雲上推出GenAI建置服務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(6)(2).png" style="width: 600px; height: 389px;" /></p> <p>雲端資料庫巨頭Oracle近日在OCI公雲上正式推出了全託管的GenAI建置服務，使企業用戶可以利用OCI公雲在雲端和本地中，來開發和建置自己的生成式AI服務。</p> <p>透過OCI生成式AI服務，Oracle表示，企業不僅可以使用如Cohere或Meta的Llama 2等最新大型語言模型，來建立自己的LLM模型，同時該服務也支援超過100多種語言，並改進了GPU叢集管理和微調功能。</p> <p>Oracle還推出OCI GenAI代理服務，企業可以將它和檢索增強生成RAG代理服務一起使用，並搭配OCI OpenSearch服務，以便能夠根據資料上下文給出更準確的搜尋結果。</p> <p>不過，目前OCI OpenSearch僅是測試版，尚未推出正式版。Oracle表示，未來將支援更廣泛的資料搜尋，包括允許存取內建AI Vector Search的Oracle Database 23c資料庫和Vector Store的MySQL HeatWave資料庫服務等。Oracle同時宣布將提供GenAI增強的SaaS應用，包括Oracle Fusion CloudApplications Suite套件與Oracle NetSuite及Oracle Health服務等。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Salesforce </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI助手 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">瞄準零售與行銷AI應用，Salesforce在商務雲和行銷雲中推出新的GenAI工具</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(1)(1).png" style="width: 600px; height: 339px;" /></p> <p>雲端CRM巨頭Salesforce最近在商務雲和行銷雲中推出新的零售和行銷AI工具。其中包括了生成式AI助手Einstein Copilot forShoppers，可以強化與顧客的個人化互動及交流，進而提高顧客購買的意願。</p> <p>另外針對零售商家需求，Salesforce不僅提供了Page Designer工具，讓店家可以透過自然語言的提示，快速完成電商網站的設計，同時還能利用生成式AI技術，協助其進行訂單管理和提供洞察建議，以減少退換貨等。</p> <p>對行銷人員來說，Salesforce推出了全球行銷管理工具，能夠整合行銷數據與預測洞察，以協助行銷人員制定未來產品價格策略和促銷活動。</p> <p> </p> <p>圖片來源／VMware、Salesforce、甲骨文</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.亞馬遜AWS計畫投入150億美元擴展其在日本的雲端業務</strong></p> <p><strong>2.Google Cloud與三星聯手開始在新一代Galaxy S24手機中提供GenAI功能</strong></p> <p><strong>3.IBM將與SAP聯手，鎖定民生消費用品與零售行業需求發展新的AI解決方案</strong></p> <p><strong>4.AWS Marketplace軟體市集允許ISV業者銷售包含代管、服務支援在內的第三方專業服務</strong></p> <p><strong>資料來源：iThome整理，2024年1月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/1/25 14:30作者余至浩https://www.ithome.com.tw/news/161015
HPE遭到俄羅斯駭客Midnight Blizzard入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hewlett Packard Enterprise（HPE）<a href="https://www.sec.gov/Archives/edgar/data/1645590/000164559024000009/hpe-20240119.htm" target="_blank">在19日提交給美國證券交易委員會（SEC）的8-K文件中披露</a>，該公司在12日收到通知，指出其雲端電子郵件環境遭到俄羅斯駭客組織Midnight Blizzard入侵，HPE與<a href="https://www.ithome.com.tw/news/160947" target="_blank">微軟</a>在同一天宣布電子郵件被入侵，而且兇手皆為Midnight Blizzard，目前並不確定兩起事件是否有所關連。</p> <p>根據HPE的說法，Midnight Blizzard未經授權就存取了該公司的雲端電子郵件環境，在外部資安專家的協助下，立即啟動了回應流程來展開調查、控制及補救，並根除了此一惡意活動。此外，HPE相信駭客從2023年就開始存取少數的HPE信箱，它們隸屬於資安、產品上市、商業及其它部門的員工，造成部分資料外洩，但該公司業務並未受到相關攻擊的影響。</p> <p>目前HPE尚在調查整起事件，亦懷疑可能與Midnight Blizzard早期的行動有關。因為HPE去年5月亦曾遭到入侵，當時有未經授權的駭客存取了有限數量的SharePoint檔案。</p> <p>就在HPE提交8-K文件的同一天，微軟亦宣稱Midnight Blizzard透過密碼潑灑（Password Spray）攻擊入侵了一個舊版且未用於生產的測試租戶帳號，進而存取多名員工的電子郵件帳號。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hpe-russian-hackers-breached-its-security-teams-email-accounts/" target="_blank">HPE向《BleepingComputer》透露</a>，遭駭的雲端電子郵件環境為Office 365，也不確定該起事件是否與微軟有關。</p> </div></div></div>
2024/1/25 14:39作者陳曉莉https://www.ithome.com.tw/news/161017
【資安日報】1月25日，HPE證實遭遇俄羅駭客組織APT29入侵Microsoft 365郵件系統環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型IT業者被俄羅斯駭客組織APT29入侵、竊取電子郵件的情況，上週五（19日）先是微軟坦承內部郵件系統遭駭，對方企圖從高階主管、資安人員的往來信件當中，得知該公司對此駭客組織的了解程度，如今HPE也傳出他們以Microsoft 365建置的郵件系統被入侵的跡象。</p> <p>巧合的是，發動上述2起攻擊者的駭客團體都是APT29，而且，目標都包含公司資安部門的員工，究竟兩者之間是否有關？有待進一步調查。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/1645590/000164559024000009/hpe-20240119.htm"><strong style="font-size: 22px;">俄羅駭客組織APT29入侵HPE的Microsoft 365雲端郵件系統環境，竊取資安團隊相關資料</strong></a></p> <p></p> <p>根據CNBC News、CNN、Bleeping Computer等多家媒體報導，1月19日系統大廠HPE向美國證券交易委員會（SEC）提交8-K表單，坦承該公司在12月12日接獲通報，得知所用的Office 365電子郵件系統被駭——在5月遭到俄羅斯駭客組織APT29（亦稱Cozy Bear、Nobelium、Midnight Blizzard）入侵，對方非法存取部分網路安全、市場策略、業務部門等人士的信箱資料，但表示此事故尚未對營運造成重大影響。</p> <p>該公司初步調查研判，這起資料外洩事故很可能與另一起6月獲報的事件有關，當時他們得知5月部分SharePoint伺服器出現未經授權存取的跡象，並採取遏止措施，認為該資安事故不會對公司造成重大影響。</p> <p>值得留意的是，<a href="https://www.ithome.com.tw/news/160947">由於微軟也在同一天坦承2個月前遭相同駭客組織攻擊</a>，由於都採用同樣的電子郵件平臺，讓人不禁懷疑這些事件是否有所關連？對此，HPE向Bleeping Computer表示，他們尚未確定這起資料外洩事故是否與微軟有關。</p> <p>資料來源</p> <p>1. <a href="https://www.cnbc.com/2024/01/24/hpe-hit-by-russian-intelligence-group-that-hacked-microsoft.html">https://www.cnbc.com/2024/01/24/hpe-hit-by-russian-intelligence-group-that-hacked-microsoft.html</a><br /> 2. <a href="https://edition.cnn.com/2024/01/24/tech/hewlett-packard-enterprise-hack-russia-cozy-bear/index.html">https://edition.cnn.com/2024/01/24/tech/hewlett-packard-enterprise-hack-russia-cozy-bear/index.html</a><br /> 3. <a href="https://www.bleepingcomputer.com/news/security/hpe-russian-hackers-breached-its-security-teams-email-accounts/">https://www.bleepingcomputer.com/news/security/hpe-russian-hackers-breached-its-security-teams-email-accounts/</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/water-services-giant-veolia-north-america-hit-by-ransomware-attack/"><strong style="font-size: 22px;">水資源處理業者Veolia北美分公司證實遭遇勒索軟體攻擊，付款系統運作受到影響</strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer的報導，水資源處理業者Veolia北美分公司證實遭遇勒索軟體攻擊，導致部分市區供水系統受到影響，付款系統被迫中斷。該公司表示在察覺攻擊行動後，暫時切斷部分遭到入侵的系統連線來遏止攻擊，導致客戶線上支付帳單可能會出現延遲的現象，目前付款系統的後臺及伺服器皆重新上線。</p> <p>該公司亦強調，本次攻擊事故並未影響水處理業務、廢水服務。而對於是否有資料外洩的情況，他們表示有少部分人士的個資可能受到影響，正與鑑識公司進行釐清，並評估對營運帶來的衝擊。</p> <p><a href="https://www.group-ib.com/blog/inferno-drainer/"><strong style="font-size: 22px;">駭客假冒加密貨幣交易所Coinbase等業者，散布惡意程式Inferno Drainer</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1-21.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1-21.png" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露從2022年11月出現的惡意程式Inferno Drainer，駭客使用超過1.6萬個網域，從事網路釣魚攻擊，冒用至少100個加密貨幣業者的名義，並對持有這類資產的人士下手，至少有8千萬美元的資產遭到洗劫。</p> <p>這些駭客將受害者引導至相當複雜的釣魚網站，企圖將他們的加密貨幣錢包與自己的基礎設施連結，此惡意程式內含惡意指令碼，並濫用時下流行的Web3通訊協定，假借提供免費加密貨幣、鑄造NFT等名義說服使用者進行授權，從而盜走受害者的加密貨幣資產。</p> <p>研究人員指出，提供Inferno Drainer的開發者以租賃的方式牟利，費用與打手在得手後進行分贓，為竊得的加密貨幣2成。雖然這些駭客聲稱在2023年11月終止運作，但研究人員在1月中旬看到駭客仍然活躍。</p> <p><a href="https://unit42.paloaltonetworks.com/parrot-tds-javascript-evolution-analysis/"><strong style="font-size: 22px;">惡意流量導向系統Parrot TDS被用於將受害者帶往惡意網站</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-132073-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-132073-1.jpeg" style="width: 300px; float: right;" /></a>2022年防毒廠商Avast揭露名為Parrot TDS的惡意流量導向系統（Traffic Direction System，TDS），當時駭客感染大量網站伺服器，超過1.6萬個網站受害，被駭客用於散布木馬程式NetSupport Client RAT，對象是瀏覽這些網站的使用者，最近研究人員揭露更多發現。</p> <p>資安業者Palo Alto Networks指出，雖然Avast研判駭客從2021年開始使用Parrot TDS，但他們發現新的證據，指出此惡意流量導向系統早在2019年就被用於攻擊行動。研究人員發現，駭客這4年多以來的攻擊流程大致相同：他們先是入侵合法網站的伺服器並植入Parrot TDS，當使用者瀏覽遭駭的網站，網頁伺服器就會回傳惡意的「到達指令碼（landing scripts）」，該指令碼植入受害電腦後，便會發出請求，從另1臺駭客控制的伺服器下載惡意酬載，然後將使用者的瀏覽器導向惡意網站。</p> <p>他們收集駭客自2019年8月至2023年10月所使用的1萬多個到達指令碼進行分析，大致將這些指令碼根據新舊世代區分成4個版本，其中第4版占74.4%，第3版仍有約18.2%，而在最新版本的指令碼當中，駭客使用更為複雜的程式碼架構，強化混淆的手法，並採用不同的陣列索引（array indexing），以此影響特徵碼偵測機制的檢測結果。</p> <p><a href="https://www.huntress.com/blog/ransomware-deployment-attempts-via-teamviewer"><strong style="font-size: 22px;">駭客濫用遠端桌面軟體TeamViewer於受害電腦植入勒索軟體</strong></a></p> <p></p> <p>勒索軟體駭客利用遠端桌面連線軟體TeamViewer操作受害電腦，從而執行檔案加密的情況，曾自2016年開始有人這麼做並引起效仿，之後又有新的攻擊手法陸續出現而逐漸式微，但到了最近，濫用此款遠端桌面軟體的方式，又再度出現。</p> <p>資安業者Huntress揭露濫用TeamViewer存取受害電腦的攻擊行動，研究人員針對其中2臺電腦進行調查，並根據TeamViewer事件記錄檔案connections_incoming.txt的內容解析，指出其中1臺電腦有企業的員工多次執行管理的記錄，另1臺從2018年就開始運作，但最近3個月沒有存取的跡象，駭客對於上述的電腦，執行擺放於桌面的批次檔案PP.bat，部署勒索軟體DLL酬載檔案，並透過rundll32.exe下達命令、執行，但沒有成功加密。</p> <p>研究人員無法確定攻擊者的身分，但駭客疑似透過之前外流的LockBit 3.0產生器打造勒索軟體程式。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://news.crunchbase.com/cybersecurity/funding-drops-eoy-2023/"><strong style="font-size: 22px;">2023年資安新創融資創近5年新低，金額較2022年砍半</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/l5vB4Z6c1G.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/l5vB4Z6c1G.png" style="width: 300px; float: right;" /></a>專注於私募市場、新創公司的新聞媒體Crunchbase指出，根據他們的調查，2023年創投公司共對於資安新創進行692項投資，總金額為82億美元，創下近5年的新低，相較於2022年163億美元僅約一半，而在2021年達到高峰時有230億美元，2023年僅剩下三分之一。其中，2023年第4季投資金額縮減至16億美元，僅高於2018年第3季13億美元。</p> <p>網路安全投資業者YL Ventures資深合夥人Ofer Schreiber認為，這兩年的現象是反映2021年資安新創價值評估過於膨脹的結果，當時市場資金極為充裕，融資的次數也超乎預期。Ofer Schreiber進一步指出，過去獲得多次融資的新創公司，現在必須疲於籌措資金，或是嘗試為公司尋求買家。</p> <p>雖然投資資安新創的資金已連續2年雪崩式下滑，但由於網路安全仍是企業與政府關心的議題，Ofer Schreiber認為，投資者不會完全棄守這類領域，尤其對開創性的新創特別感興趣。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.zerodayinitiative.com/blog/2024/1/23/pwn2own-automotive-2024-the-full-schedule"><strong><span style="font-size: 20px;">首屆汽車漏洞懸賞競賽Pwn2Own Automotive於1月24日至26日在日本舉行</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/160961"><strong><span style="font-size: 20px;">臺灣加入國際資安應變組織FIRST成員數量2023年創下新高</span></strong></a></p> <p></p> <p><strong><a href="https://orca.security/resources/blog/sys-all-google-kubernetes-engine-risk-example/"><span style="font-size: 20px;">GKE錯誤配置恐讓攻擊者接管K8s叢集、存取敏感資訊</span></a></strong></p> <p></p> <p><a href="https://unit42.paloaltonetworks.com/bianlian-ransomware-group-threat-assessment/"><strong><span style="font-size: 20px;">勒索軟體「變臉」鎖定美國及歐洲的醫療、製造業而來</span></strong></a></p> <p></p> <p><a href="https://securelist.com/new-macos-backdoor-crypto-stealer/111778/"><strong><span style="font-size: 20px;">鎖定Mac電腦的竊資軟體透過DNS記錄向受害電腦散布</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161004"><strong>【1月24日】北韓駭客ScarCruft假借提供威脅情報並鎖定資安研究人員規畫攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160965"><strong>【1月23日】勒索軟體駭客組織LockBit聲稱入侵速食連鎖業者Subway</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160941"><strong>【1月22日】微軟坦承遭到俄羅斯駭客組織入侵並挖掘高階主管電子郵件的內容</strong></a></p> </div></div></div>
2024/1/25 12:10作者周峻佑https://www.ithome.com.tw/news/161014
美國設立AI資源中心，彙整AI資源供研究及教育存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://new.nsf.gov/news/democratizing-future-ai-rd-nsf-launch-national-ai" target="_blank">美國國家科學基金會（National Science Foundation，NSF）周三（1/24）發表</a>了國家人工智慧研究資源（National Artificial Intelligence Research Resource，NAIRR）測試，準備實現共享研究基礎設施的願景，第一步是強化與民主化推動負責任AI發現及創新的重大資源存取，此一測試專案預計維持2年。</p> <p>NAIRR與10個美國聯邦機構，以及25家企業、非營利及慈善組織合作，以讓美國的研究人員及教育者得以存取先進的運算、資料集、模型、軟體、訓練及使用者支援。簡而言之，NAIRR企圖扮演研究人員及教育界與各種研究資源之間的橋樑，強化美國的全球競爭力，AI則是第一個專案，也將成為未來專案的概念性驗證。</p> <p>參與NAIRR的10個聯邦機構包括國家科學基金會（NSF）、國防高等研究計劃署（DARPA）、美國太空總署（NASA）、美國國家標準與技術研究院（NIST）、國防部（DOD）、能源部（DOE）與美國專利商標局（USPTO）等，而私人合作夥伴也涵蓋了Allen人工智慧研究所（A12）、AWS、AMD、Google、HPE、Hugging Face、IBM、英特爾、微軟、Nvidia等目前在AI產業的重量級業者。</p> <p>NSF表示，NAIRR聚集了學術界、產業界、非營利組織與政府部門，以促進跨部門的合作，產官學的合作可用來推動可行的商業化AI應用及解決方案，藉由開創新市場及營收來提高經濟成長。率先支持AI研究，以發展安全及可靠的AI，以AI來解決醫療、環境及基礎設施可持續性的挑戰，將替教育者提供基礎設施，以方便他們進行訓練。</p> <p>NAIRR分為4個主要領域，包括可用來存取及分配各種AI資源，並實現開放式AI研究的NAIRR Open；NAIRR Secure專門支持那些需要隱私及安全的AI研究；NAIRR Software負責AI軟體、平臺、工具及服務的互動；NAIRR Classroom目的為擴大全美的AI研究，包括藉由教育、訓練、使用者支援及外展服務來接觸更多社群。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2024/01/24/national-ai-research-resource-nairr-artificial-intelligence/" target="_blank">承諾要支持NAIRR的微軟已經準備要貢獻</a>價值2,000萬美元的Microsoft Azure運算額度，開放先進模型的存取，各種用來開發可靠AI的資源，以及與微軟科學家及工程師的協作機會。</p> <p><a href="https://blogs.nvidia.com/blog/national-ai-research-resource-pilot/" target="_blank">Nvidia也釋出誠意，宣布</a>要在兩年內提供價值3,000萬美元的技術貢獻，包括AI超級運算資源Nvidia DGX Cloud 及Nvidia AI Enterprise 軟體。</p> </div></div></div>
2024/1/25 13:44作者陳曉莉https://www.ithome.com.tw/news/161016
Starlink衛星手機網路競爭者獲Google、AT&T、Vodafone投資3億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家提供5G等級的衛星行動網路業者AST SpaceMobile，本周宣布獲得Google、AT&T、Vodafone超過3億美元投資。</p> <p>AST SpaceMobile和SpaceX旗下的Starlink一樣，都提供衛星與手機直連網路服務，但前者強調是第一個，也是現今唯一一個提供太空5G行動寬頻網路的服務。上周AST SpaceMobile宣布獲得AT&T、Google及Vodafone 3.07億美元投資，並取得部分股權。</p> <p>其中Google並宣布將和AST SpaceMobile合作產品開發、測試及實作在Android及相關裝置上的5G衛星網路。AT&T及Vodafone將把AST公司的衛星網路服務當作其蜂巢式網路的互補，以解決其服務無法涵蓋偏遠地區或遠洋的問題。</p> <p>透過這次投資Google、AT&T將成為AST公司的最新股東。現有法人股東包括Vodafone、Rakuten、American Tower及Bell Canada。這些法人股東將持有AST公司的20%股權。</p> <p>AST衛星行動網路號稱可支援未經修改的智慧型手機，在不需地面基站情況下連結低軌衛星。除了AT&T、Vodafone及Bell Canada外，該公司還與40多家行動網路營運商合作，總計手機用戶超過20億。</p> <p><a href="https://www.theverge.com/2023/9/19/23879527/att-cellular-satellite-ast-spacemobile-5g" target="_blank">去年9月AST已經成功測試</a>利用三星智慧手機Galaxy S22，由位於西班牙馬德里的用戶收取從夏威夷毛伊島無網路區，經衛星傳送來的語音電話。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0125-AST%20SpaceMobile-5.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AST SpaceMobile</span></span></p> <p>AST的競爭者SpaceX也正在積極部署衛星直連手機的Starlink Direct to Cell連網服務。SpaceX本月稍早宣布已成功測試手機文字訊息收發，<a href="https://www.ithome.com.tw/news/160849" target="_blank">計畫今年內推出文字訊息</a>，並在明年推出衛星語音、數據服務。現階段SpaceX將與T-Mobile展開Direct to Cell服務。</p> </div></div></div>
2024/1/25 11:50作者林妍溱https://www.ithome.com.tw/news/161013
微軟正式將VR會議體驗Mesh部署到Teams，有企業授權者可免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2024/01/24/bring-virtual-connections-to-life-with-microsoft-mesh-now-generally-available-in-microsoft-teams/" target="_blank">微軟本周三（1/24）宣布</a>沈浸式3D互動功能Mesh正式部署到Teams中，讓企業可以在VR/MR環境中展開會議。</p> <p>Mesh主要是來自微軟2017年收購的VR社交平臺業者Altspace，讓社群成員可以配戴VR裝置並以3D虛擬化身和他人互動。微軟於2021年<a href="https://www.ithome.com.tw/news/143014" target="_blank">公布Mesh</a>及提供VR版本的Teams及Dynamics 365，<a href="https://www.ithome.com.tw/news/153566" target="_blank">去年微軟宣布和Meta合作</a>，讓VR版Teams、Office及XBox遊戲在Meta的Quest VR頭戴裝置執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/125-Microsoft%20Mesh-Teams-3.png" style="width: 600px;" /></p> <p>目前Mesh in Teams可在PC及Meta Quest VR上執行。而Microsoft Mesh App已在今（25）日於Meta Quest App市集上架。</p> <p>今天之後，Mesh in Teams功能正式上線，讓Teams企業用戶也能設計虛擬化身，並舉行VR會議，包括社交、團隊腦力激盪、或圓桌會議。會議發起人可以利用空間音效啟動多場同時進行的小組討論。Mesh in Teams也讓成員共享文件或檔案、支援文字通訊，利用表情符號在會議中表達意見或情緒。此外，Teams也整合AI助理Copilot，可以總結討論要點、建議下一步行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/125-Microsoft%20Mesh-Teams-2%EF%BC%88B%EF%BC%89.png" style="width: 600px;" /></p> <p>擁有企業授權者可免費使用Mesh in Teams，包括Teams Essentials、Microsoft 365 Business Basic、Microsoft 365 Business Standard、Microsoft 365 Business Premium、Microsoft 365 E3/E5及Office 365 E1/E3/E5。企業如果具備Microsoft 365或Teams Business或Enterprise方案，也可以申請6個月測試，但結束後若還想使用，<a href="https://www.microsoft.com/zh-tw/microsoft-teams/premium" target="_blank">就需採購Teams Premium授權</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0125-Microsoft%20Mesh-use%20case.png" style="width: 600px;" /></p> <p>目前已經使用Mesh Teams會議的企業組織包括武田藥廠、英國石油、慈善機構Mercy Ships及Accenture。武田藥廠以Teams舉辦公司員工交流；英國石油則在Teams中整合設備監控應用，以進行遠端風機渦輪監控及設備故障排除；Mercy Ships以Teams展示遠洋醫療船內部，讓志工及捐款者了解作業情形；Accenture則提供新進員工虛擬新生訓練。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/1/25 10:20作者林妍溱https://www.ithome.com.tw/news/161011
甲骨文追趕其他雲端廠商腳步，推出OCI生成式AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）正式推出<a href="https://www.oracle.com/news/announcement/oracle-announces-availability-oci-generative-ai-service-2024-01-23/">OCI（Oracle Cloud Infrastructure）生成式人工智慧服務</a>，該服務提供一系列生成式人工智慧模型，並且推出一系列OCI生成式人工智慧代理，方便用戶在應用程式或是業務流程中導入人工智慧技術，官方指出，甲骨文並非僅是提供需要組裝的工具，而是一套預建置的生成式人工智慧服務與功能，使用戶能快速解決業務問題。</p> <p>OCI生成式人工智慧服務是一項全託管服務，整合大型語言模型，提供支援超過100種語言的多語言服務，用戶能夠根據需求進行微調。用戶透過OCI Dedicated Region，就可以在Oracle雲端或是用戶資料中心內，部署OCI生成式人工智慧服務。</p> <p>用戶除了可以透過API呼叫Cohere和Meta Llama2模型，解決文字生成、摘要和語義相似性的問題。也可以簡單且安全地將人工智慧嵌入到技術堆疊中，官方指出，企業可以使用自己的資料結合檢索增強生成（RAG）技術，進一步改進這些模型，使模型更適合內部用例。</p> <p>甲骨文所推出的OCI生成式人工智慧代理，其中一個便是檢索增強生成代理，該服務整合大型語言模型，和企業級搜尋工具OCI OpenSearch，以提供結合企業資料的情境化搜尋結果。檢索增強生成代理讓用戶可以簡單地用自然語言，操作多種企業資料來源，檢索最新的資訊。</p> <p>目前檢索增強生成代理測試版支援OCI OpenSearch，甲骨文之後還會更新代理版本，支援更多的資料搜尋和聚合工具，並且加入對甲骨文資料庫23c的存取支援。23c資料庫具有人工智慧向量搜尋功能，並且支援帶有向量儲存功能的MySQL HeatWave。</p> <p>另外，甲骨文也將在其SaaS應用程式套件中，提供預建置代理程式操作，包括Oracle Fusion Cloud應用程式套件、Oracle NetSuite以及Oracle Health等應用程式。</p> <p>同時，甲骨文也在其雲端應用程式組合，包括ERP、HCM、SCM和CX中整合生成式人工智慧技術，使得用戶可以在現有的業務流程中，方便地使用人工智慧服務。另外，甲骨文的資料庫產品，也加入生成式人工智慧，推出Autonomous Database Select AI，讓企業可以將其私密資料與生成式人工智慧技術結合，加快開發創新解決方案的速度。</p> <p>甲骨文也擴充OCI資料科學功能，即將於下個月推出新的OCI Data Science AI Quick Actions功能，支援無程式碼存取來自Meta或Mistral AI等廠商的開源大型語言模型。</p> </div></div></div>
2024/1/24 22:27作者李建興https://www.ithome.com.tw/news/161007
微軟改進Teams讓用戶在會議中更容易控制視訊與音訊設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其Teams公開預覽版中，<a href="https://insider.microsoft365.com/en-us/blog/easily-control-audio-and-video-settings-in-teams-meetings">改進</a>在會議進行期間調整音訊和視訊設定的方式，減少用戶在操作時的不便。微軟讓用戶可以更簡單快速地存取音訊和視訊設定，不需要瀏覽多層設定，用戶可以根據需求，直接在會議工具列上操作相關設定，或是從側邊面板存取更多影音選項。</p> <p>在會議期間，點擊會議工具列上的相機或是麥克風按鈕旁的向下箭頭，便可以操作相關影音設定，或是點擊選單下方更多選項，以開啟側邊面板。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-teams-600-2.png" style="width: 600px;" /></p> <p>目前Mac用戶在操作上可能遭遇部分問題，Mac作業系統中的裝置選擇變更，無法反映在Teams中，不過用戶可以在Teams中手動選擇需要的裝置，作為暫時的替代方案。微軟承諾這個錯誤會在2月初的版本修復。</p> <p>要使用這項更新，用戶需要更新到Teams公開預覽版或是相對應Microsoft 365目標版本，並使用適用於Windows或macOS的新Teams用戶端。</p> </div></div></div>
2024/1/24 22:36作者李建興https://www.ithome.com.tw/news/161009
X在iOS版本應用程式支援Passkey，提供無密碼登入選擇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交平臺<a href="https://x.com/Safety/status/1749881895641633080?s=20">X開始向位在美國的iOS裝置使用者提供Passkey</a>，使用戶不需記憶或是重設忘記的密碼，能夠以無密碼方式登入帳戶。由於Passkey提供更強的安全性，因此X用戶的帳戶更不容易被盜。官方解釋，Passkey可作為與X帳戶關聯的線上憑證，有別於使用帳號與密碼登入，Passkey使用儲存在伺服器的公鑰，以及裝置上的私鑰自動驗證帳戶，達到無密碼登入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-X-passkey-2.png" style="width: 457px;" /></p> <p>Passkey提供了一種安全方便的密碼替代方案，與傳統密碼相比，Passkey擁有更高的安全性，因為Passkey由使用者的裝置針對每個帳戶獨立生成，所以帳戶不容易受到網路釣魚和未經授權存取攻擊。</p> <p>Passkey使用WebAuthn標準中的公鑰加密技術建構，當X用戶在註冊Passkey時，裝置會對每個帳戶產生唯一的一把公鑰和一把私鑰，公鑰存在X上而私鑰儲存在用戶的裝置上，X會使用儲存的公鑰來驗證用戶的身分。在用戶註冊Passkey之後，便可以選擇以Passkey登入而非傳統密碼，但目前並無法使用Passkey來註冊X帳戶，用戶在註冊新帳戶時仍需要輸入密碼。</p> <p>目前X對Passkey的支援僅適用於iOS裝置，用戶只要登入iCloud帳戶，Passkey就能夠自動使用iCloud鑰匙圈在所有iOS裝置間同步，只要用戶在新裝置登入iCloud帳戶，該裝置就會加入與帳戶關聯的iCloud鑰匙圈，也能被用於以Passkey登入X帳戶。而當裝置被盜或是遺失，X帳戶的安全性也不會受影響，用戶仍可以使用密碼存取帳戶。</p> <p>而且由於iCloud鑰匙圈會在iOS裝置間同步Passkey，因此即便裝置遺失，其他裝置也可充當備份鑰匙登入帳戶。即便是用戶所有iOS裝置都遺失，託管在iCloud鑰匙圈的Passkey也可以用來恢復金鑰。不過官方提醒，一旦綁定Passkey，就無法靠著共享密碼共同存取和管理X帳戶，用戶需要使用帳戶委派功能。</p> </div></div></div>
2024/1/24 22:59作者李建興https://www.ithome.com.tw/news/161010
VMware推訂閱制公布EoA清單，共59項產品受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware精簡產品組合，推出VMware Cloud Foundation（VCF）和VMware vSphere Foundation（VVF）兩個新產品，僅作為訂閱軟體提供，針對產品組合之後的改變，官方進一步公布<a href="https://blogs.vmware.com/cloud-foundation/2024/01/22/vmware-end-of-availability-of-perpetual-licensing-and-saas-services/">停止供應（End of Availability，EoA）VMware產品清單</a> ，總計59款產品不再以獨立產品、支援與訂閱、SaaS/託管與其他訂閱的形式提供。</p> <p>停止供應的有VMware vSphere相關產品，諸如Enterprise Plus、Standard、Storage Appliance與Hypervisor等版本，還有vSAN的ROBO與Desktop等版本，以及NSX與vCloud等相關產品。VMware也宣布終止提供Aria SaaS，但仍會對正在使用Aria SaaS服務的用戶提供支援，直到訂閱期限結束，當訂閱期限結束後，用戶就會需要轉換到VCF或VVF。目前Aria SaaS服務正處於維護模式，因此不會發布新功能，只會對有效訂閱期限內的用戶，提供安全性和關鍵更新。</p> <p>VMware在去年12月的時候，宣布對產品銷售服務政策作出重大調整，貫徹博通收購VMware之前，VMware已經開始推行的訂閱銷售模式轉型，不再提供永久授權、支援與訂閱服務（Support and Subscription，SnS）續訂，還有混合訂閱購買計畫（HPP/SPP）點數等在內的銷售模式。</p> <p>而在VMware最新的部落格文章，官方再次強調，許多VMware的軟體解決方案都只會作為VCF和VVF的一部分提供。也就是說，這些軟體解決方案不會單獨銷售，用戶沒辦法單獨購買這些解決方案，必須透過訂閱VCF和VVF來獲取。</p> <p>針對用戶全端基礎設施需求而推出的解決方案VCF，提供包括vSphere、vSAN和NSX等服務，以及完整的Aria管理和調度套件，還有部分新服務。VVF則是VMware針對傳統vSphere環境中的資料中心，所提供的解決方案，其涵蓋Tanzu Kubernetes Grid、Aria Operations和Aria Operations for Logs等標準功能套件。</p> <p>對於只有基本硬體整合，和在少數伺服器進行虛擬化的輕量需求用戶，仍然可以購買vSphere Standard和vSphere Essentials Plus Kit的訂閱。而VCF與VVF用戶皆可以使用VMware擴充套件服務（VMware Add-on Service），滿足額外儲存、安全性、災難恢復、生成式人工智慧等需求。</p> <p>VMware還計畫提供自帶授權（Bring Your Own License）功能，允許用戶從博通購買VCF訂閱，並將這些訂閱部署到經過VMware驗證的混合雲端點，以及本地資料中心。</p> </div></div></div>
2024/1/24 22:15作者李建興https://www.ithome.com.tw/news/161006
【資安日報】1月24日，北韓駭客ScarCruft假借提供威脅情報並鎖定資安研究人員規畫攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安從業人員被駭客盯上的情況，過往傳出數起網路釣魚攻擊行動，但大致上可分成2種型態的誘餌，其中一種是針對想要求職、爭取工作的求職者而來，假借提供相關職缺引誘他們上當；另一種則是宣稱要共同進行資安研究，提供概念性驗證程式碼（PoC），對研究人員散布惡意程式。</p> <p>而最近北韓駭客ScarCruft的攻擊行動引起資安廠商注意，原因是這些駭客另有目的，打算針對資安人員規畫新一波攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://s1.ai/ScarFut"><strong style="font-size: 22px;">北韓駭客ScarCruft假借資安研究的名義，企圖對業界專家散布後門程式RokRAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ScarCruft_Future_9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ScarCruft_Future_9.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne與專門聚焦於北韓事務的媒體NK News聯手，長期追蹤針對韓國學術界的北韓事務專家、專門報導北韓新聞的媒體而來的攻擊行動，他們發現駭客最近2個月鎖定1名人士下手，根據攻擊者所用的惡意程式及攻擊手法，研判他們的身分是北韓駭客組織ScarCruft（亦稱APT37、InkySquid）。</p> <p>但在分析惡意程式之後，研究人員發現駭客竟然是在進行測試，真正的攻擊目標，很有可能是研究人員及資安業界的相關專業人士，因為這些駭客以提供另一個駭客組織Kimsuky的調查資料做為誘餌，意圖散布後門程式RokRAT。</p> <p>駭客先是冒充東國大學的北韓研究所（Institute for North Korean Studies，INKS）成員寄送釣魚郵件，當中包含ZIP壓縮檔附件，內含9個檔案，其中有7個是無害的Hangul Word Processor（HWP）及PowerPoint文件，其餘則是惡意的Windows捷徑檔案（LNK），這些LNK檔案大小高達48 MB，一旦收信人依照指示開啟，就有可能觸發一系列的感染鏈，執行PowerShell程式碼於受害電腦植入RokRAT。</p> <p><a href="https://cybernews.com/security/billions-passwords-credentials-leaked-mother-of-all-breaches/"><strong style="font-size: 22px;">史上最大的「資料外洩之母」資料庫曝露260億筆記錄</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/moab-brand-leaks.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moab-brand-leaks.jpg" style="width: 300px; float: right;" /></a>資安新聞網站Cybernews、研究人員Bob Dyachenko揭露大型外洩資料庫「資料外洩之母（Mother of all Breaches，MOAB）」，檔案大小為12 TB，總共包含3,800個資料夾、260億筆資料，研究人員從1臺公開的伺服器找到上述資料庫，並根據使用者帳號類型進行彙整與分析，他們發現這些資料包含騰訊、微博、MySpace、X（原推特）等許多雲端服務的帳號資料，而資料超過1億筆的業者就多達20家。</p> <p>其中最多的是騰訊，總共約有15億筆，其次是微博的5億筆，MySpace、X則有3.6億、2.8億筆。除了各式的雲端服務帳號，研究人員也發現內含美國、巴西、德國、菲律賓、土耳其等國家的政府組織資料。</p> <p>這些資料的規模龐大，很有可能來自逾3,800起資安事故收集而得，遠超過Cybernews外洩資料庫統整的2,500起資安事故、150億筆記錄，研究人員推測，MOAB當中很有可能存在過往尚未公布的外洩個資。</p> <p><a href="https://securityaffairs.com/157951/cyber-crime/black-basta-gang-claims-the-hack-of-the-uk-water-utility-southern-water.html"><strong style="font-size: 22px;">英國水資源處理業者Southern Water傳出遭勒索軟體Black Basta攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/southern-water-40.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/southern-water-40.png" style="width: 300px; float: right;" /></a>勒索軟體Black Basta近期聲稱入侵英國水資源處理業者Southern Water，竊得750 GB內部資料，當中包含使用者個人資料及公司內部資料，駭客揚言該公司如果置之不理，將於2月29日外洩這些檔案。</p> <p>對此，1月23日Southern Water發布公告，指出他們確實察覺可疑活動，並得知有部分資料遭到公布的情況，但根據他們與資安專家的調查結果，與客戶有關的系統或財務系統並未出現受到影響的跡象，本身的服務正常運作。</p> <p><a href="https://thehackernews.com/2024/01/hackers-hijack-popular-java-and-android.html"><strong style="font-size: 22px;">加密貨幣錢包Trezor技術支援網站遭駭，6.6萬用戶資料外洩</strong></a></p> <p>1月20日加密貨幣錢包設備供應商Trezor發布公告，指出他們在17日發現有人在未經授權的情況下，入侵該公司所使用的客戶支援入口網站，他們與第三方服務供應商聯手調查這起事故的影響範圍，研判2021年12月之後使用他們支援系統的客戶，都可能受到影響，人數達到6.6萬名，外流的資料包括電子郵件、姓名或暱稱。</p> <p>該公司在調查過程當中，得知駭客透過電子郵件對其中41名使用者下手，意圖取得以24個單字組成的通關密語，盜取他們的加密貨幣錢包。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta866-returns-large-email-campaign"><strong style="font-size: 22px;">駭客組織TA866發動發票網釣攻擊，散布惡意軟體WasabiSeed、Screenshotter</strong></a></p> <p>資安業者Proofpoint揭露發生在1月11日的大規模網路釣魚攻擊行動，這些釣魚郵件以發票為誘餌，並挾帶PDF檔案附件，這些檔案內含連往雲端檔案共用服務OneDrive的URL網址，一旦收信人點選連結，就會啟動感染鏈，最終導致電腦被植入惡意軟體WasabiSeed、Screenshotter。</p> <p>研究人員指出，這起資安事故的攻擊者是TA866，對方上傳到OneDrive的惡意內容是JavaScript檔案，一旦使用者開啟，電腦就會下載MSI安裝檔案並執行，就會觸發預先嵌入的VBS指令碼，研究人員將其稱為WasabiSeed；該指令碼會下載另一個MSI檔案，從而拉取額外、未知的惡意酬載，並執行名為Screenshotter的元件，截取桌面的截圖並送至C2。</p> <p>至於駭客的目的，研究人員表示不清楚，但他們過去使用這些方式在受害電腦部署AHK機器人、竊資軟體Rhadamanthys，而且並非首度使用上述惡意軟體，2023年2月就曾發起攻擊行動。</p> <p><a href="https://thehackernews.com/2024/01/hackers-hijack-popular-java-and-android.html"><strong style="font-size: 22px;">研究人員揭露MavenGate攻擊手法，有可能透過已廢棄的程式庫挾持Java及安卓應用程式</strong></a></p> <p>行動裝置資安業者Oversecured揭露名為MavenGate的軟體供應鏈攻擊手法，能對已不再維護但Java、Android軟體仍在使用的程式庫下手，攻擊者可透過購買網域的方式，來達到存取此種類型的程式庫專案的目的，從而有機會透過相依元件的需求，將惡意程式碼注入應用程式，甚至有可能透過惡意外掛程式來危害整個應用程式開發流程。</p> <p>此攻擊手法涉及Apache基金會維護的專案管理及自動化建構工具Maven，但研究人員指出，所有以此工具為基礎的系統，例如Gradle，都有可能曝露於上述攻擊手法的風險當中，對此，他們已向Google、Meta、Signal、Amazon等超過200家通報此事。具體而言，攻擊者利用購買相依元件開發者原本擁有、但超過使用期限的反向網域（reversed domain），從而存取groupId，並透過程式碼儲存庫的DNS TXT紀錄，對已不再維護的儲存庫宣告所有權，最終能將其用來發布惡意套件。</p> <p>研究人員指出，由於大部分的Java、安卓應用程式不會檢查相依元件的數位簽章，且這類元件也未必會進行簽署，使得這種攻擊有機會奏效，他們分析了33,938個專案，結果發現有6,170個有可能曝險。對此，經營Maven Central的資安業者Sonatype認為，這種手法因自動化的開發流程改良而難以利用，但他們還是採取防護措施，針對與過期網域名稱與GitHub專案有關的帳號，他們已經停用。</p> <p>資料來源</p> <p>1. <a href="https://blog.oversecured.com/Introducing-MavenGate-a-supply-chain-attack-method-for-Java-and-Android-applications/">https://blog.oversecured.com/Introducing-MavenGate-a-supply-chain-attack-method-for-Java-and-Android-applications/</a><br /> 2. <a href="https://www.sonatype.com/sonatypes-ongoing-commitment-to-maven-central">https://www.sonatype.com/sonatypes-ongoing-commitment-to-maven-central</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2024-0001.html"><strong style="font-size: 22px;">VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞</strong></a></p> <p>1月16日VMware發布資安公告，指出雲端基礎架構自動化平臺Aria Automation存在重大漏洞CVE-2023-34063，這項弱點發生的原因是缺乏存取控制造成，通過身分驗證的攻擊者有機會用於在遠端組織及工作流程當中，進行未經授權的存取，CVSS風險評分為9.9，而且從8.11至8.14的所有版本都受到影響。該公司發布修補程式，並指出沒有其他緩解措施，呼籲IT人員儘速修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.cloudflare.com/ddos-threat-report-2023-q4/"><strong><span style="font-size: 20px;">鎖定環境服務業的DDoS攻擊2023年爆增近620倍</span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/kasseika-ransomware-deploys-byovd-attacks-abuses-psexec-and-expl.html"><strong><span style="font-size: 20px;">勒索軟體Kasseika濫用防毒軟體元件停用電腦相關防護機制</span></strong></a></p> <p><strong><a href="https://www.varonis.com/blog/outlook-vulnerability-new-ways-to-leak-ntlm-hashes"><span style="font-size: 20px;">微軟收信軟體Outlook存在漏洞，可被用於發動NTLM攻擊</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-fortra-goanywhere-mft-auth-bypass-bug/"><strong><span style="font-size: 20px;">MFT檔案傳輸系統GoAnywhere存在身分驗證繞過漏洞，研究人員公布概念性驗證程式碼</span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/60270/"><strong><span style="font-size: 20px;">木馬程式Remcos RAT假借色情電玩遊戲散布</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160965"><strong>【1月23日】勒索軟體駭客組織LockBit聲稱入侵速食連鎖業者Subway</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160941"><strong>【1月22日】微軟坦承遭到俄羅斯駭客組織入侵並挖掘高階主管電子郵件的內容</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160924"><strong>【1月19日】針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手</strong></a></p> </div></div></div>
2024/1/24 15:40作者周峻佑https://www.ithome.com.tw/news/161004
eBay宣布裁撤1,000名員工，占全球員工數的9%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大拍賣平臺<a href="https://www.ebayinc.com/stories/news/ensuring-ebays-long-term-success/" target="_blank">eBay周二（1/23）宣布</a>組織重整，將裁撤公司9%人力，約1,000名全職員工，也計畫在未來幾個月陸續縮減承包人員或獨立工作者等另類勞動力的合約，主要原因為eBay的員工人數及支出已超過業務成長。</p> <p>eBay執行長Jamie Iannone是在周二於內部發出此一聲明予所有的員工，表示為了建立一個不斷成長，且具備可面臨任何挑戰之彈性的企業，eBay在不同的體驗上作出了根本的改變，也加快了該公司的創新步伐，現在eBay需要有更好的組織與效率，結合類似的工作並加速決策，將裁撤1,000名員工。</p> <p>Iannone指出，儘管eBay正依照策略前進，但整體員工人數與支出已超過業務的成長，因此必須實施組織重整，調整並整合某些團隊，以改善端對端的體驗，更好地滿足全球客戶的需求。</p> <p>在23日發出聲明之後，eBay即開始通知受影響的員工，主管們透過Zoom傳達此一訊息，同時eBay也要求所有的美國員工24日都在家工作，以替裁員相關的對話提供一些隱私與空間。</p> <p>eBay在去年第三季創造了25億美元的營收，比前一年同期成長5%，每股盈餘為1.03美元，亦高於前一年同期的1美元。裁員消息傳出後，eBay當天的盤後股價上漲了3.6%，達到42.9美元。這一年來eBay股價的最高峰出現在去年2月的52美元。</p> </div></div></div>
2024/1/24 15:40作者陳曉莉https://www.ithome.com.tw/news/161003
Chrome 121開始導入生成式AI，可自動管理分頁或生成主題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/google-chrome-generative-ai-features-january-2024/" target="_blank">Google周二（1/23）宣布</a>，自當天釋出的Chrome 121起，將開始導入實驗性的AI功能，以改善瀏覽的方便性及效率，並維持使用者的個人化體驗。率先上陣的是分頁管理及主題生成功能，惟初期僅支援美國市場，適用於Windows與macOS平臺。</p> <p>在使用者登入Google帳號之後，即可透過Chrome選單中的設定找到實驗性AI（Experimental AI）的頁面，啟用這些實驗性的AI功能，再重新啟動Chrome即可。目前Google並不開放企業與教育用戶使用此一早期實驗功能。</p> <p>初登場的功能為Tab Organizer分頁管理器，Chrome將會根據使用者所開啟的分頁，自動建議並建立分頁群組，在使用者於Chrome上執行多項任務時特別有用，像是同時在計畫旅行、購物或研究某個主題時。要啟用該功能只要在一個分頁上按右鍵，即可選擇組織類似的分頁，Chrome甚至會替這些新的分頁群組提供名稱及表情符號的建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-Chrome-new%20generative%20AI%20feature-Tab%20groups.jpg" style="width: 527px;" /></p> <p>至於主題生成功能則是借用了文字生成圖像技術，但它並不要求使用者輸入文字，而是透過各種圖像介面來達成建立主題的目的。使用者只要存取客製化Chrome（Customize Chrome）的邊欄，點選變更主題及利用AI建立（Create with AI），即可透過選項來決定主題的顏色、樣式與風格，Chrome便會自動生成符合選項的不同主題供使用者選擇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-Chrome-new%20generative%20AI%20feature-generative%20AI%20wallpapers.jpg" style="width: 600px;" /></p> <p>而下個月釋出的Chrome 122則會再加入自動化寫作的AI功能，當使用者打算寫下餐廳評論、起草派對邀請函或是詢問公寓的出租時，都可請求Chrome幫忙撰寫，只要輸入少許的文字，AI便會幫忙完成文章。</p> <p>本周出爐的Chrome 121<a href="https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_23.html" target="_blank">亦修補了17個安全漏洞</a>。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/1/24 14:41作者陳曉莉https://www.ithome.com.tw/news/161002
Netflix季營收成長12.5%，以50億美元取得知名摔角節目《Raw》獨家串流權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大影片串流平臺Netflix周二（1/23）<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2023/q4/NEW-FINAL-Q4-23-Shareholder-Letter.pdf" target="_blank">公布2023年第四季營收</a>，該季Netflix創下88.3億美元的營收，比前一年同期成長12.5%，同一天<a href="https://about.netflix.com/en/news/netflix-to-become-new-home-of-wwe-raw-beginning-2025" target="_blank">Netflix亦宣布</a>已與美國媒體集團TKO Group Holdings簽署合作協議，以50億美元取得該集團旗下世界摔角娛樂（World Wrestling Entertainment，WWE）職業摔角節目《Raw》的10年獨家串流權利，當天Netflix股價上漲了1.33%，盤後再攀升至8.66%，達到534.8美元。</p> <p>第四季的88.3億美元營收比前一年同期增加12.5%，亦比上一季成長3.4%，其淨收入（Net income）為9.4億美元，高於2022年同期的5,500萬美元，但低於上一季的16.8億美元，每股盈餘為2.11美元。此外，該季Netflix的全球付費會員數為2.6億人，比2022年第四季增加12.8%，亦比上一季多出1,312萬人（5.3%）。</p> <p>至於新的合作對象WWE則是全球最大的職業摔角公司，所製作的摔角節目並非正規的體育競賽，而是純粹以娛樂為主。最熱門的節目即是每周一晚上播出的《Raw》，雙方宣布自明年1月起，Netflix便將成為《Raw》在美國、加拿大、英國、拉丁美洲與其它國家的獨家播放平臺，也會成為WWE所有節目及特別節目在美國之外的所在地，涵蓋《SmackDown》、《NXT》、《WrestleMania》、《SummerSlam》及《Royal Rumble》，再加上WWE所拍攝的紀錄片、原創影片或未來其它系列的影片。而這也是《Raw》開播31年以來，首次離開電視頻道、登上串流平臺。</p> <p>Netflix僅公布即將於該平臺上播放的內容，並未揭露與TKO Group Holdings之間的交易細節，然而，根據TKO Group Holdings<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/0001973266/000119312524012600/d715345d8k.htm" target="_blank">提交給美國證券交易委員會的文件</a>，雙方的協議長達10年，總權利費用超過50億美元，Netflix得以選擇再延長10年，或者是在最初的5年之後選擇退出。</p> <p>與Netflix合作的消息發布後，TKO Group Holdings在紐約股市的股價直接飆漲了15.79%，以89.63美元作收。</p> </div></div></div>
2024/1/24 12:52作者陳曉莉https://www.ithome.com.tw/news/161000
Meta允許歐盟用戶鬆綁臉書/IG帳號、臉書與Messenger
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>依循歐盟《數位市場法》（Digital Markets Act，DMA），<a href="https://about.fb.com/news/2024/01/offering-people-more-choice-on-how-they-can-use-our-services-in-the-eu/" target="_blank">Meta本周宣布</a>允許歐盟地區包括瑞士的臉書用戶，可以不再強制連結臉書（Facebook）及Instagram（IG）帳號、切開臉書與Messenger、或是選擇訂閱無廣告的臉書服務。</p> <p>根據最新宣布，歐盟用戶可持續連結臉書和IG帳號，但他們也可以經由<a href="https://www.meta.com/en-gb/help/accounts-center/" target="_blank">帳號中心</a>選擇切分二個帳號分別管理。此外，歐盟用戶現有帳號下是具有FB Messenger的，若用戶只想使用FB Messenger，必須另外建立不具有臉書用戶資訊的Messenger帳號。這獨立Messenger只具有基本功能，像是私訊、影像及語音通話。</p> <p>歐盟用戶還可以設定Facebook Marketplace及遊戲（Gaming）服務不套用其用戶資訊。不使用FB用戶資訊的使用者，仍然可以瀏覽商品及買賣，唯一不同的是，用戶和其他人通訊只能透過電子郵件，無法用FB Messenger。在遊戲服務上，若不套用臉書用戶資訊，只能打單人遊戲，無法進行多人遊戲、遊戲中購買或獲得個人化建議。</p> <p>另外這些地區的用戶也可以付費訂閱無廣告臉書及IG服務。訂閱這服務後，用戶資訊就不會被用於展示廣告。<a href="https://about.fb.com/news/2023/10/facebook-and-instagram-to-offer-subscription-for-no-ads-in-europe/" target="_blank">這項服務已經在去年11月宣布</a>。</p> <p>2022年歐盟通過的《數位市場法》下，要求Google和蘋果等超大型網際網路服務及平臺作為「守門人」不得合併多種來源的用戶個資、必須和第三方通訊App互通，而且需允許用戶安裝第三方App。依據2024年3月上路的DMA，Meta將提供歐洲經濟區（European Economic Area，EEA）、歐盟及瑞士用戶使用Meta產品的多種選擇。在此之前，<a href="https://www.ithome.com.tw/news/157589" target="_blank">去年7月Meta已允許</a>歐盟用戶從Meta自建的市集下載App，不需從Google Play Store下載。</p> </div></div></div>
2024/1/24 12:05作者林妍溱https://www.ithome.com.tw/news/160998
Ducker提供容器映像檔代管服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年推出遠端部署工具Ducker Build後，Ducker本周再<a href="https://www.docker.com/blog/introducing-docker-build-cloud/" target="_blank">宣布提供新的代管服務Ducker Build Cloud</a>，提供開發人員在代管雲端環境上部署容器映像檔。</p> <p>Docker引用調查數據指出，開發組建要花很長時間等待，平均每一天要等掉1小時，以一個25人開發團隊及年薪14萬美元計算，每年白白浪費的生產力大約是42萬美元。</p> <p><a href="https://docs.docker.com/build/cloud/" target="_blank">Ducker Build Cloud</a>可讓開發人員不論是在本地或在CI環境上都能更快部署映像檔，不需用戶執行配置。這項服務是使用結合雲端運算及組建快取，透過雲端運算，可確保新舊機器具有一致性的部署環境，而利用共享快取，可儲存成員的組件元件並分享其他成員，省掉重覆作業以加速開發流程。新服務號稱可讓個人或團隊成員完成組建（build）速度加快39倍。</p> <p>Ducker Build Cloud提供一組AMD及ARM builder，原生支援多架構平臺，包括Intel（AMD 64）及Apple Silicon/AWS Graviton（Arm 64）晶片上的組建，可節省設定和維護多個原生builder的麻煩。它還可整合使用多種開發工具，包括Docker Compose、GitHub Actions及其他CI方案。</p> <p>在預設環境下執行時，開發人員啟動組建指令，該組建執行在本地BuildKit執行個體上，包含Docker daemon。開發人員可以從Docker Build Cloud上傳送呼叫到遠端的BuildKit，呼叫以全程加密連送。之後遠端builder執行組建步驟，再將結果輸出到開發人員指定的目的地，例如Docker Engine image store或映像庫（image registry）。</p> <p><a href="https://docs.docker.com/subscription/build-details/" target="_blank">根據Docker網頁</a>，Docker Build Cloud已包含在付費訂閱服務中，提供免費使用分鐘數、用戶席次及平行組建。數量則依Docker Personal、Docker Pro、Docker Team及Docker Business逐級增加。未具有訂閱身分者可單獨購買Docker Build Cloud，又分Team及Enterprise二種方案。Team版提供每月每席次200分鐘及共享快取，收費5美元，超過此限者則以每分鐘0.05美元加價。Enterprise版則以專案處理。</p> </div></div></div>
2024/1/24 12:14作者林妍溱https://www.ithome.com.tw/news/160999
Nvidia推出AI遊戲重製工具RTX Remix，舊遊戲也可加入光線追蹤與DLSS技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia釋出人工智慧遊戲修改工具<a href="https://www.nvidia.com/en-us/geforce/news/rtx-remix-open-beta-half-life-2-rtx-trailer/">RTX Remix</a>，讓遊戲修改愛好者可以使用最新的繪圖特效來重新製作經典遊戲，將《戰慄時空2》或是《傳送門》等遊戲更改成高解析度版本。官方提到，雖然RTX Remix並非是一鍵式重製解決方案，但是卻可以節省大量的時間，讓用戶不需要同時使用數十種工具只為修改單一遊戲視覺效果。</p> <p>RTX Remix是以Nvidia Omniverse為基礎的建模平臺，其功能在於能夠捕捉遊戲場景，並結合生成式人工智慧工具強化材質，以及整合完整光線追蹤、DLSS和Reflex等技術，將經典遊戲重置成為具有現代特效的遊戲。使用者可以將現在高逼真度和具物理精確性的模型或是材質等，整合到原本只支援簡單顏色貼圖，和基本多邊形細節的舊款遊戲引擎中。</p> <p>也就是說，即便是視覺效果落後的舊遊戲，其遊戲引擎在設計上，僅支援基本和簡單的圖形和材質，使用RTX Remix就能讓遊戲視覺效果升級，加入更現代、真實的圖形效果，這包括更複雜的光影效果、更真實的材質反應，大幅提升遊戲的視覺效果和沈浸感。</p> <p>此外，RTX Remix特別之處還在於提供一組統一的工作流程和工具組，讓模組製作者可以重新製作多款遊戲的資源，畢竟每款遊戲的開發設計都有所不同，因此在遊戲修改領域中，通常不同遊戲需要使用不同的修改工具和技術。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-nvidia-rtx-remix-viewport-600.jpg" style="width: 600px;" /></p> <p>RTX Remix提供生成式人工智慧材質工具，可強化遊戲中的材質。由於RTX Remix提供的人工智慧模型，經過各種貼圖的訓練，可以分析並且辨識這些貼圖應該具有的材質特性，產生粗糙度與法向量貼圖來模擬真實的材質，將貼圖的像素提升4倍，重置後的內容可以保留原始遊戲設計精神，同時提高遊戲畫面細緻度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-Test%20texture%20processed%20by%20RTX%20Remix%E2%80%99s%20AI%20Texture%20Tools.png" style="width: 600px;" /></p> <p>RTX Remix也支援了最新的DLSS 3技術，這是一種使用深度學習演算法，進行影格生成與超解析度計算的技術，可以在提高遊戲效能的同時，保持高品質的視覺效果。官方解釋，這也是能夠實現完整光線追蹤的重要技術。</p> <p>官方強調，RTX Remix不是一鍵式解決方案。如果遊戲資源沒有跟著升級到擁有物理精確性的材質，則修改之後的效果可能不會太理想，許多預期看起來粗糙的貼圖，看起來可能會過度光滑。而具有物理精確性的PBR（Physically Based Rendering）資源，就可以對光照做出正確反應，玻璃可以清楚反射細節，石頭粗糙雖沒有可見反射，但是光的漫射仍會對世界產生影響，而且不採用PBR，也就無法充分利用全光線追蹤。</p> <p>新手和專家都可以運用RTX Remix來重製遊戲，對於已經掌握傳統工具的專家，更能發揮RTX Remix的潛力。官方提到，用戶不需要精通逆向工程遊戲，就可以添加完整的光線追蹤到RTX Remix模組中。而添加具真實模擬光照的光線追蹤技術到遊戲，用戶在重新創作和重新打光就更容易，使每個燈光的行為都符合預期。</p> <p>適合使用RTX Remix重置的遊戲為具有固定功能工作管線的DirectX 8和9遊戲，諸如《決勝時刻2》、《極速快感：飆風再起2》與《刺客任務2：無聲殺手》等。遊戲與RTX Remix的相容性程度，會依據遊戲資源和引擎的複雜度而有所不同，但由於Nvidia在開源了RTX Remix Runtime，經過社群貢獻程式碼，改善RTX Remix對部分遊戲的支援度，因此RTX Remix的遊戲相容性也逐漸提升。</p> </div></div></div>
2024/1/24 08:49作者李建興https://www.ithome.com.tw/news/160989
JavaScript執行環境Bun推出自家Shell工具，提升跨平臺開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正式推出就受到矚目的JavaScript執行環境Bun，開發團隊現在添加新功能<a href="https://bun.sh/blog/the-bun-shell">Bun Shell</a>，解決在JavaScript中執行Shell困難的問題。Bun Shell使用上簡單直覺，具有豐富的功能，可以在Windows、macOS和Linux跨平臺上使用。</p> <p>Node.js經過長時間的發展，其執行速度與複雜性為人詬病，因此有許多後起之秀試圖挑戰Node.js的地位，Bun便是其中一員。而Bun受到矚目的優勢便是效能，其啟動速度是Node.js的4倍，對於需要轉譯的TypeScript，速度更是比Node.js快上不少，而在伺服器端渲染React上，Bun的速度是Deno的2倍，更是Node.js的5倍。</p> <p>現在開發團隊推出新功能Bun Shell，解決要在JavaScript執行Shell指令所遭遇的問題。開發者想在JavaScript執行Shell指令，首先會遇到跨平臺相容性問題，不同的作業系統使用不同的Shell環境和指令，這代表即便是相同的Shell的指令，在不同的作業系統上可能行為不同，甚至特定指令在部分系統上是不存在的。</p> <p>而且不同的作業系統中設定環境變數的方式也不同，這增加了跨平臺應用中，管理環境變數的複雜性。啟動Shell程序還會增加額外的系統資源消耗，尤其是需要執行多個Shell指令的場景，在特定情況下，啟動Shell的時間，甚至可能比執行指令本身還長。</p> <p>種種困難使得JavaScript中執行Shell指令較為複雜，因此開發團隊釋出Bun Shell工具，提供開發者更高效的跨平臺解決方案。Bun Shell是Bun JavaScript 執行環境的一部分，提供一種跨平臺執行Shell指令的新方式，Bun Shell可在Windows、macOS和Linux上運作，解決不同作業系統Shell指令差異的問題。</p> <p>Bun Shell是一種嵌入式語言和直譯器，可以讓用戶直接在JavaScript或TypeScript程式中執行Shell指令，不需要額外的轉換和打包。而且在Bun Shell中，所有模板變數都會自動跳脫（Escape)，以增加Shell指令執行的安全性。另外，諸如重新導向、管線命令（Pipe）、環境變數等常見Shell功能，Bun Shell也一應俱全。</p> </div></div></div>
2024/1/24 09:02作者李建興https://www.ithome.com.tw/news/160993
Visual Studio 2022強化程式碼搜尋，範圍擴及註解和區域變數
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟將在Visual Studio 2022 17.9再次<a href="https://devblogs.microsoft.com/visualstudio/17-9-preview-3-brings-exciting-changes-to-code-search/">強化程式碼搜尋功能</a>，主要更新兩重點，分別是擴大搜尋範圍，以及強化文字支援，現在預設程式碼搜尋功能（Ctrl+T或Ctrl+,），在可用的時候便會啟用精確文字比對功能，搜尋範圍涵蓋之前所不會有的註解和區域變數，使得程式碼搜尋更加全面且高效，提升開發者工作效率與程式碼編寫品質。</p> <p>微軟對Visual Studio 2022的搜尋功能進行一系列改進，先在17.2整併程式碼搜尋與功能搜尋，讓開發者在同一個地方，就可以搜尋程式碼或是任意Visual Studio功能，而在17.6時，微軟又改善搜尋速度，提供即時結果和結果預覽功能，助開發者更快找到正確內容，並且還新增過濾器功能，透過前綴或是特定快捷鍵，就可以打開帶有特定過濾器的搜尋視窗。</p> <p>而現在官方進一步讓開發者可以在解決方案中搜尋任何單字和字串，以補充現存程式碼庫中檔案和符號（Symbol）的搜尋結果。開發者在程式碼庫中可以搜尋區域變數、註解中的單字、參數名稱和任何字串，官方提到，新增的文字支援，可提升程式碼搜尋的體驗。</p> <p>這項程式碼搜尋更新在17.9第3預覽版加入，新增精確文字搜尋結果，不過文字結果相對於檔案、類型和成員是更低優先順序，因此不會干擾開發者目前的開發流程。而對於要針對文字搜尋的開發者，有幾種方式可以操作，除了點擊在搜尋列下方的text(x:)按鈕，也可以在查詢中加入前綴x:，或是直接使用鍵盤快捷鍵Shift+Alt+F，除此之外，在選單中也可以找到相對應搜尋選項。</p> <p>針對文字的搜尋模式，開發者可以如同文字編輯工具中的搜尋功能，選擇開啟區分大小寫、完整比對整個單詞，或是使用正規表示式等進階選項。Visual Studio搜尋功能的改進，能夠提升搜尋的準確度，也使得開發者能夠根據需求進行更細緻的搜尋，強化程式碼的可搜尋度和可維護性，對於需要處理複雜和龐大程式碼庫的開發者，是一個方便的功能更新。</p> </div></div></div>
2024/1/24 09:06作者李建興https://www.ithome.com.tw/news/160994
去年代發獎金入帳異常，華南銀行因系統轉換作業不夠完善遭罰400萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月中，華南銀行處理財金公司代發統一發票獎金入帳作業發生異常，經過金管會調查顯示，異常主因為資訊系統轉檔時，金額欄位移位，造成入帳金額多2個零。金管會今日通過對華南銀行的裁罰處分，針對華南銀行未對資訊系統轉換作業建立完善客戶權益保護措施、未確實執行資訊系統轉換作業相關規範和重大偶發事件通報程序，以及查核報告未能完整提供事件過程等事項開罰，依銀行法核處新臺幣400萬元罰鍰。</p> <p>華南銀行在去年6月執行統一發票獎金入帳作業時，入帳金額多2個零，造成35,952筆異常入帳，原先應匯入約2,025萬元，卻匯入了20.25億元。雖然華南銀行在系統發生異常後的3小時內執行帳務更正作業，但部分客戶帳戶已經轉出資金，或代扣繳公用事業費用，導致帳戶餘額不足無法更正，最終受影響客戶共142戶，未能得及時收回918萬元。</p> <p>金管會調查顯示，系統異常主因源自華南銀行先前進行系統轉換時發生錯誤。去年6月1日，華南銀行將各款項代收付作業的資訊系統變更為新建的臺外幣代收付系統，因系統轉檔時金額欄位移位，才造成入帳金額錯誤。</p> <p>針對這起事件，金管會指出四項缺失，分別是資訊系統轉換作業未完善建立客戶權益保護措施、未確實執行資訊系統轉換作業相關規範、未確實執行重大偶發事件通報程序，和查核報告未能完整提供事件過程。</p> <p>首先，由於臺外幣代收付系統是執行各項入扣帳款交易服務，屬於金融機構資安防護基準規定的第一類系統範疇。但是，華南銀行在進行該系統轉換時，並未將緊急應變計畫和教育訓練納入客服部門，例如，系統上線後發生異常情況的配套措施，或客服部門處理客訴的回應方式，導致系統異常事件發生後，客服部門接獲相關客訴時，無法立即說明異常主因，且事發後13小時才發送簡訊通知客戶。因此，金管會認為華南銀行進行系統轉換時，未完善建立客戶權益保護措施。</p> <p>金管會調查也顯示，華南銀行在進行系統轉換前，和發現誤用檔案格式後，並未依內規進行平行測試或整體性演練，就逕行上線。此外，系統轉換後首次執行發票獎金入帳批次作業時，華南銀行並未依內規配置人員持續監控系統，和確保資料正確，直到客服部門接獲多通來電反映相同問題，才發現異常情況，並緊急聯繫資訊人員到行處理。這些情況顯示華南銀行未確實執行資訊系統轉換作業的相關規範。</p> <p>此外，由於華南銀行發現系統發生異常後，隔日才通報重大偶發事件，並未落實重大偶發事件的通報程序。華南銀行事後的查核報告，也並未完整提供事件過程相關重要資訊，影響查核報告的正確性和完整性。因此，金管會也針對這兩項缺失開罰。四項缺失合計開罰400萬元。</p> <p></p> </div></div></div>
2024/1/23 18:34作者李昀璇https://www.ithome.com.tw/news/160992
【資安日報】1月23日，勒索軟體駭客組織LockBit聲稱入侵速食連鎖業者Subway
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客組織LockBit的攻擊行動肆虐，上週這些駭客疑似入侵鴻海旗下的半導體設備廠京鼎，<a href="https://www.ithome.com.tw/news/160856">竄改該公司網站聲稱竊得5 TB內部資料</a>，放話若不付錢要讓京鼎「不復存在」，並宣稱付錢就像支付IT人員薪水一樣合理，其張狂的行徑，實在令人髮指。</p> <p>而這週該組織聲稱攻陷知名速食連鎖企業Subway，並取得多種財務資料而引起外界關注，但究竟實際情況如何，該公司目前未提出說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160962"><strong style="font-size: 22px;">大型跨國速食連鎖業者Subway傳出遭到勒索軟體LockBit攻擊</strong></a></p> <p></p> <p>根據SecurityAffairs、The Register、PCMag等多家媒體報導，1月21日勒索軟體駭客組織LockBit聲稱入侵了大型跨國速食連鎖業者Subway，竊得數百GB的財務資料，內含員工薪資、連鎖店權利金、主要加盟佣金付款、餐廳營業額等。</p> <p>駭客表示這家公司假裝什麼事都沒發生，但他們會給予寬限期使其「保護資料」，若是再度置之不理，就會在2月2日考慮將資料賣給競爭對手。但究竟駭客如何入侵、是否加密資料，仍有待進一步釐清。</p> <p>對此，22日Subway的發言人向PCMag透露，他們正在對駭客的說法進行調查。</p> <p>資料來源</p> <p>1. <a href="https://securityaffairs.com/157852/cyber-crime/lockbit-hacked-sandwich-chain-subway.html">https://securityaffairs.com/157852/cyber-crime/lockbit-hacked-sandwich-chain-subway.html</a><br /> 2. <a href="https://www.theregister.com/2024/01/22/subways_data_toasted_by_lockbit/">https://www.theregister.com/2024/01/22/subways_data_toasted_by_lockbit/</a><br /> 3. <a href="https://www.pcmag.com/news/subway-investigates-possible-ransomware-gang-attack">https://www.pcmag.com/news/subway-investigates-possible-ransomware-gang-attack</a></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/apache-activemq-vulnerability-leads-to-stealthy-godzilla-webshell/"><strong style="font-size: 22px;">Apache ActiveMQ重大漏洞再度出現攻擊行動，駭客用於部署名為Godzilla的Web Shell</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Apache_Pic1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apache_Pic1.png" style="width: 300px; float: right;" /></a>10月底Apache基金會修補訊息導向中介軟體ActiveMQ的漏洞CVE-2023-46604，因CVSS風險高達10分而受到關注，隔月即傳出有人用於散布勒索軟體HelloKitty（亦稱Five Hand）、TellYouThePass，以及惡意程式Kising、殭屍網路病毒GoTitan。事隔2個月，駭客利用該漏洞的情況再度大幅增加。</p> <p>資安業者Trustwave揭露新一波的漏洞利用攻擊行動，研究人員之所以發現，是因為他們在其中1臺ActiveMQ伺服器看到可疑的JSP檔案，該檔案植入此應用系統安裝資料夾裡的admin資料夾當中，經過分析後發現，此JSP檔案是名為Godzilla的Web Shell開發而成，對方在該檔案嵌入惡意程式，並以未知類型的檔案進行封裝，從而迴避資安系統的偵測。</p> <p>他們實際透過ActiveMQ內建的網頁伺服器Jetty執行JSP檔案，得知過程中駭客將Web Shell轉換成Java程式碼執行，一旦部署完成，攻擊者就可以完全控制受害伺服器，從而透過Godzilla掃描連接埠、遠端管理SQL資料庫、將Shell Code注入處理程序、執行Mimikatz、Meterpreter的命令，以便進行後續的攻擊行動。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-start-exploiting-critical-atlassian-confluence-rce-flaw/"><strong style="font-size: 22px;">DevOps協作平臺Atlassian Confluence重大漏洞已出現攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-20240121.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-22527-20240121.png" style="width: 300px; float: right;" /></a>1月16日Altassian針對DevOps協作平臺Confluence提出警告，該公司在12月5日前推出的版本存在預先身分驗證的範本注入漏洞CVE-2023-22527，CVSS風險達到10分，影響8.0版至8.5.3版，現在傳出已被用於攻擊行動。</p> <p>1月22日Shadowserver基金會提出警告，他們看到超過600個IP位址嘗試利用這項漏洞發動攻擊，並以whoami收集目標伺服器的系統資訊，截至21日，有11,146臺Confluence伺服器可透過網際網路存取，若是尚未修補，就有可能成為駭客下手的目標。</p> <p>資安研究團隊The DFIR Report也針對這波攻擊行動提出警告，並公布駭客發出的HTTP請求內容。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Shadowserver/status/1749372138685915645">https://twitter.com/Shadowserver/status/1749372138685915645</a><br /> 2. <a href="https://twitter.com/TheDFIRReport/status/1749066611678466205">https://twitter.com/TheDFIRReport/status/1749066611678466205</a></p> <p><a href="https://www.mandiant.com/resources/blog/chinese-vmware-exploitation-since-2021"><strong style="font-size: 22px;">10月修補的VMware vCenter程式碼執行漏洞，傳出2年前就被中國駭客用於攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc3886-attack-path.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3886-attack-path.png" style="width: 300px; float: right;" /></a>去年10月VMware修補vCenter伺服器重大層級的程式碼執行漏洞CVE-2023-34048（CVSS風險評分為9.8），事隔3個月，該公司於1月17日更新公告，指出駭客已將該漏洞用於攻擊行動，上週有研究人員揭露細節。</p> <p>資安業者Mandiant透露，攻擊者的身分是中國駭客組織UNC3886，對方利用該漏洞入侵vCenter伺服器並竊取帳密資料，然後利用偽造的vSphere安裝包（VIB）於ESXi主機部署後門程式VirtualPita、VirtualPie。在接下來的攻擊階段當中，駭客利用身分驗證繞過漏洞CVE-2023-20867（CVSS風險評分為3.9）提升權限、偵察檔案，然後洩露虛擬機器（VM）的資料。</p> <p>研究人員指出，他們曾在2021年底至2022年初觀察到相關漏洞的跡象，但駭客刻意清除部分行蹤埋藏攻擊行動。究竟駭客如何將後門程式部署到vCenter，他們表示將著手進行相關調查。</p> <p></p> <p><a href="https://www.sec.gov/secgov-x-account#jan22"><strong style="font-size: 22px;">針對X帳號遭駭事故，美國證券交易委員會證實是遭遇SIM卡置換攻擊所致</strong></a></p> <p></p> <p>1月10日美國證券交易委員會（SEC）核准比特幣ETF產品上市及交易，但這項許可正式公開的前1天，有人竟然挾持該機構的X帳號（@SECGov）提早揭露消息。</p> <p>為何他們的帳號遭駭？在美國證券交易委員會監察長辦公室、聯邦調查局（FBI）介入調查後，1月22日SEC公布結果，指出駭客攻擊X帳號的管道，是透過了SIM卡置換（SIM Swapping）攻擊，控制綁定的手機門號，從而重置該X帳號的密碼，但究竟駭客如何得知電話號碼，以及如何進行SIM卡置換攻擊，相關單位仍在進行追查。</p> <p>值得留意的是，上述攻擊能夠得逞還有另外1項因素，那就是事發當下SEC並未啟用雙因素驗證（MFA），導致對方無須通過相關驗證措施就能存取。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-first-zero-day-bug-exploited-in-attacks-this-year/"><strong style="font-size: 22px;">蘋果針對旗下電腦、行動裝置、穿戴裝置發布更新，修補WebKit零時差漏洞</strong></a></p> <p></p> <p>1月22日蘋果針對旗下的行動裝置、Mac電腦、Apple TV、穿戴式裝置，發布作業系統的安全性更新，目的是修補WebKit零時差漏洞CVE-2024-23222，並指出此為混淆漏洞，一旦攻擊者成功利用，就有機會在受害裝置開啟惡意網頁的情況下，執行任意程式碼。值得留意的是，該漏洞已被用於攻擊行動，此為蘋果今年修補的第1個零時差漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/tietoevry-ransomware-attack-causes-outages-for-swedish-firms-cities/"><strong><span style="font-size: 20px;">芬蘭IT服務和企業雲端代管業者Tietoevry遭遇勒索軟體攻擊，傳出是Akira所為</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/payoneer-accounts-in-argentina-hacked-in-2fa-bypass-attacks/"><strong><span style="font-size: 20px;">數位金融服務平臺Payoneer阿根廷用戶傳出遭駭，駭客繞過雙因素驗證洗劫存款</span></strong></a></p> <p></p> <p><strong><a href="https://eaton-works.com/2024/01/17/ttibi-email-hack/"><span style="font-size: 20px;">豐田旗下印度保險公司的內部系統配置不當，曝露客戶資訊</span></a></strong></p> <p></p> <p><a href="https://unit42.paloaltonetworks.com/parrot-tds-javascript-evolution-analysis/"><strong><span style="font-size: 20px;">流量引導系統Parrot被用於將受害者導向惡意網站</span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2024/01/new-ishutdown-method-exposes-hidden.html"><strong><span style="font-size: 20px;">針對埋藏於iPhone上的間諜軟體，研究人員揭露名為iShutdown的檢測方法</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160941"><strong>【1月22日】微軟坦承遭到俄羅斯駭客組織入侵並挖掘高階主管電子郵件的內容</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160924"><strong>【1月19日】針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160906"><strong>【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</strong></a></p> </div></div></div>
2024/1/23 15:11作者周峻佑https://www.ithome.com.tw/news/160965
Google裁員再度引發高層領導無方的批評聲浪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2023年1月<a href="https://www.ithome.com.tw/news/155250" target="_blank">宣布</a>裁撤1.2萬人之後，Google今年1月再<a href="https://www.ithome.com.tw/news/160822" target="_blank">傳出裁撤</a>上千名員工，上周執行長Sundar Pichai進一步藉由內部備忘錄<a href="https://www.theverge.com/2024/1/17/24042417/google-layoffs-2024-internal-employee-memo-sundar-pichai?ueid=e529c013fe2e8d1eff70754460519b17" target="_blank">揭露</a>將裁撤更多人力，頻繁的裁員行動不僅使得內部士氣低落，更有員工跳上檯面批評Google的高層領導無方。</p> <p>不管是自行離職的、被裁員的、尚在任職的，近來似乎都對Google頗有微詞。</p> <p>去年7月離職的Google AR軟體主管<a href="https://www.ithome.com.tw/news/157761" target="_blank">Mark Lucovsky指出</a>，AR領導階層的人事異動，以及Google朝三暮四的承諾與願景，是他決定辭職的主因。</p> <p>在Google任職長達18年，於去年底辭職的前Google軟體工程師Ian Hickson在去年11月<a href="https://ln.hixie.ch/?start=1700627373&count=1" target="_blank">寫了一篇長文</a>，描述了這18年來Google內部文化的轉變。他說自己很幸運能經歷剛剛IPO後的Google，當時Google任何階層的員工都非常關心做正確的事情，「不作惡」（Don't Be Evil）確實是公司的指導原則。</p> <p>Hickson見證了Google因許多替社會造福的行為而遭到批評，如Google Books，那時的主管也都會給出坦率且透明的答案，他在Google從事HTML及相關標準的工作時，其任務是替網路帶來所有好的事情，因為所有對網路有益的事都會對Google有利，也被明確告知要忽略Google的利益。</p> <p>曾幾何時，Google的文化改變了。原本以使用者為利益的決策，變成以Google利益為主，再轉成以決策者的利益為主，同時透明化也蒸發了。待在Google的後期，Hickson再也找不到有人可以解釋Google的願景，士氣處於史上最低點，且灣區的心理治療師可能會告訴你，所有的Google員工都對Google不滿意。</p> <p>Hickson也批評Google的裁員政策是出自於推動股價成長的短期利益，不再優先考慮長期的成長，同時裁員也帶來潛在的不良影響，過去Google員工可能會關心使用者或是公司，相信做正確的事情終將得到回報，不論是否為職責所在，但在大規模裁員之後，當員工不再相信公司的支持，只能大幅減少任何的冒險行為。</p> <p>Hickson認為，上述的種種問題很大一部分要歸咎於執行長Sundar Pichai欠缺有遠見的領導能力，同時Pichai也對維護Google的早期文化缺乏興趣，還放任無能的中階管理人員蔓延。</p> <p>身為今年首波裁員對象的前Google工程經理<a href="https://www.linkedin.com/posts/klsmithphd_i-was-notified-by-email-the-night-of-wednesday-activity-7151955258015993857-57XC" target="_blank">Kenneth Smith則說</a>，他是在1月10日晚上收到職務被取消的電子郵件，他認為，如果需要讓某人離開，應該要面對面地看著他們的眼睛，最後跳出來跟他會面的是主管的主管。</p> <p>Smith表示，他對Google在2023年1月裁撤1.2萬名員工的方式感到憤怒及沮喪，在此次的裁員中，他並未看到Google從那次的經驗中學到太多東西。</p> <p>尚在Google擔任軟體工程師的<a href="https://www.linkedin.com/posts/dhtheriault_my-hot-take-google-does-not-have-one-single-activity-7153269568893775872-9xzp" target="_blank">Diane Hirsh Theriault對Google的批評</a>則更為激烈。她說Google不具備有遠見的領導者，不管是最高管理階層、資深副總裁或副總裁，全都非常無聊且茫然。</p> <p>Theriault指出，這麼多年以來，Google從未推出任何一款成功的事物是由高階主管推動的，副總裁們有時會企圖下令，像是我們需要一個新的聊天程式或是以AI為優先的展示，然而，這些事物多半很草率，半生不熟的，倘若沒有在6個月內獲得1億名用戶，那麼就會被放棄並關閉。</p> <p>在她任職Google超過8年的時光中，的確曾經遇見有能力的主管，這些主管列出了方向，聚集了團隊，測試一堆東西，有的東西有黏性而且很酷。然而，現在全都是一些無聊且茫然，給出模糊方向（AI），同時扼殺金鵝（Golden Goose，穩定營收）的主管。</p> <p>Theriault認為，這些主管並沒有自己真正的願景，於是他們需要下屬替他們想出很酷的東西，然而，在過去的一年來，整家公司都在輪流裁員，從工程、銷售、支援、用戶體驗、產品、到資料科學等所有部門，而且只是隨意的裁撤員工，燒毀知識並摧毀功能完整的團隊。</p> <p>不過，有些人覺得Theriault的說法過於偏激，因為Google所有高階主管都無能的機率並不高，也推測如此重砲攻擊自己公司的Theriault可能會被Google開除，或者未來也不容易找到新東家。</p> <p>另一名Google前員工<a href="https://www.threads.net/@danielraffel/post/C2YIjDrSIyN" target="_blank">Daniel Raffel則說</a>，他覺得Google的問題不在於缺乏有遠見的領導者，只是其文化變得崇尚快速模仿、太早發布產品，還有對專案的投資不足及放棄專案的傾向，與其說是缺乏遠見，不如說是缺乏承諾。</p> <p>對於這些Google內部風波，曾經擔任記者及風險投資人、長期浸淫在矽谷的<a href="https://om.co/2024/01/22/bell-labs-google-same-sad-story/" target="_blank">Om分析</a>，Google似乎陷入了與貝爾實驗室（Bell Labs）、Xerox Parc或IBM Research Labs相同的困境，當這些企業霸主與可穩定預測的搖錢樹緊密結合時，便無法再做出大膽的決定，那些從中階晉升至高階的管理人員則喪失了想像力及冒險能力，而無法再將公司置於新的成長曲線上。</p> </div></div></div>
2024/1/23 16:34作者陳曉莉https://www.ithome.com.tw/news/160986
2023年臺灣加入FIRST國際資安應變組織成員數量創新高，台積電、廣達、日月光入列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年資安事件持續衝擊國內企業，持續做好防護與監控之餘，具備充分的事件應變能力也很重要，而且這並不只是個別公司的問題，同時也需更多企業與組織一起合作，彼此交換威脅情報與應變作為，而在推動全球資安應變協同合作的領域當中，國際資安事件緊急應變小組論壇（FIRST）扮演關鍵角色，而參與成員數量的增長，也反映大家對於資安的重視程度。</p> <p>以臺灣而言，前幾年我們開始關注這方面的發展新態勢，發現已有少數資安與IT廠商相繼加入，到了<a href="https://www.ithome.com.tw/news/152011">2022年群創光電加入FIRST，更是開創國內電子製造業首例</a>。</p> <p>而在過去一年來，我們也察覺兩個重要的變化。首先，有越多企業與組織加入FIRST，數量從原本的12個增至17個，其次，在新進5家成員中，高科技及電子製造業就有3家，包括台積電、廣達、日月光，這些業界龍頭大廠的加入，似乎也反映著，近年臺灣高科技與電子製造業對資安的重視，比以往又再提升。</p> <h2><strong>臺灣FIRST成員數量已達17個，過去一年新增5個</strong></h2> <p>FIRST全名Forum of Incident Response and Security Team，存在目的主要是協助國際資安事故應變，提供威脅情資與各式資安事件調查技術的資訊，目前資安界普遍熟知的CVSS漏洞評分標準，也是由FIRST進一步研究發展與改善，例如，在兩個月前，他們新發布CVSS 4.0版，提供更細致的評分指標設計之餘，也增加漏洞評估的補充指標。</p> <p>截至今年1月12日為止，根據FIRST網站公布的成員列表，全球現在已經有多達106個國家、710個資安應變團隊加入，這些成員來自多個領域，包括政府、學術單位、企業，以及資安業者。</p> <p>論及FIRST成員所在的國家地區，美國最多（109個），其次為西班牙（55個）、日本（44個）、德國（38個）、法國（24個）、挪威（23個），以及英國（22個）、瑞士（22個）與哥倫比亞（22個）。</p> <p>臺灣現有FIRST成員已有17個，尤其2023年有明顯暴增的趨勢，而這群共同鞏固臺灣整體資安的重要生力軍，包括：2月台積電TSMC-CIRC、微智安聯ShieldX PSIRT加入，3月是廣達QUANTA-CSIRT，8月是杜浦數位安全TeamT5 CSIRT，以及11月是日月光集團ASEKH_CSIRT。</p> <p>這當中有兩家資安業者，3家高科技及電子製造業，而且都是全球知名的業界龍頭，包括晶圓代工的台積電，伺服器與筆電代工的廣達，以及IC封測代工的日月光集團。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）FIRST全球成員.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89FIRST%E5%85%A8%E7%90%83%E6%88%90%E5%93%A1.jpg" style="width: 600px;" /></a></p> <p><strong>在國際資安事件緊急應變小組論壇（FIRST）的成員中，截至今年1月12日止，全球總計有106國、709個資安應變團隊加入，美國成員數量最多，有109個，其次為西班牙，有55個，以及日本的44個。我們可從圖中綠色深淺看出數量差異，顏色越深、數量越多。</strong></p> <h2><a href="https://s4.itho.me/sites/default/files/images/（網站主圖）2023有5家臺廠加入FIRST，包括台積電、廣達、日月光.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96%EF%BC%892023%E6%9C%895%E5%AE%B6%E8%87%BA%E5%BB%A0%E5%8A%A0%E5%85%A5FIRST%EF%BC%8C%E5%8C%85%E6%8B%AC%E5%8F%B0%E7%A9%8D%E9%9B%BB%E3%80%81%E5%BB%A3%E9%81%94%E3%80%81%E6%97%A5%E6%9C%88%E5%85%89.png" style="width: 600px;" /></a></h2> <h2><strong>可獲得國際認可，資安形象提升，廠商聯繫擴展的優勢</strong></h2> <p>加入FIRST的廠商與企業增加，對臺灣資安有何意義？</p> <p>對此，我們先找到台灣網路資訊中心（TWNIC）組長林志鴻，請他談談對FIRST發展的觀察。事實上，TWCERT/CC從2001年就加入FIRST，最近幾年這一組應變團隊是TWNIC負責維運，2024年轉由資通安全研究院接手維運。</p> <p>關於過去一年有臺灣更多業界龍頭加入FIRST，林志鴻表示，顯然這些公司已體認到供應鏈資安的重要性，而加入國際的重要資安組織，對於企業的品牌、知名度，甚至客戶關係，也都會有加分的效果。</p> <p>畢竟，隨著很多具有影響力的企業、組織、廠商加入FIRST，在在顯現世界各國對這方面的重視，再加上現在科技大廠的思維已經改變：過去重視Cost，現在則強調Trust。而這些因素的存在，成為我國各產業發展需考量的關鍵。</p> <p>另一個更多企業願意加入的原因，不只是能因此取得第一手的情資，以及有相關教育訓練與研討會可以參加，還有一個更重要的原因，那就是：在FIRST組織的場合或活動，有許多國際上下游廠商出席，因此客戶與供應商聯繫更方便，或是利於開拓其他市場，也讓客戶可以更容易找到自己。</p> <p>林志鴻指出，若要成為FIRST成員，其實企業本身需跨越一定門檻，並非填申請單、繳錢即可取得資格。</p> <p>他解釋，從申請條件來看，加入FIRST，要有兩個成員的推薦，這是第一關。例如，我們從當前FIRST官方網站公布的資訊可以看到，台積電的加入，是透過奧義智慧的CCCSIRT、趨勢科技的TM-CSIRT推薦；廣達的加入，是透過群創的INX-CSIRT與安華聯網的Onward CSC推薦；還有微智安聯與杜浦數位安全（TeamT5）的加入，兩者均是透過TWCERT/CC與安華聯網的Onward CSC推薦。</p> <p>接著，FIRST還會要求實地訪視提出申請的企業，並藉由許多問項來進行評估，以了解申請方的內部資安流程、政策、人員等方面的程度，需進行評估、被認為符合資格才能夠加入。他也透露，國內現在還有其他電腦周邊設備大廠，正在申請加入FIRST。</p> <p>對於FIRST，我們找上2023年下半加入的杜浦數位安全，邀請創辦人暨執行長蔡松廷從資安業者角度提出觀察。</p> <p>他表示，FIRST是個促進企業資安應變團隊交流的組織，可聚焦討論資安事件規畫應變相關的議題，在這組織當中，雖然看到不少資安業者參與，但其實這些廠商並非主要成員，國家級應變機構與企業才是！從製造業角度來看，大家可在此交流應變處理經驗與技術，更容易可以找到外部資源來合作，這些好處都是誘因。</p> <p>既然如此TeamT5為何加入？蔡松廷表示，他們常發現很多分散在世界各地的受害者，無從向他們進行通報，因此希望透過加入FIRST，能夠幫助更多企業更快知道資安事件。</p> <p>而且資安業者加入FIRST仍有不少好處，其中之一，當然是有助於品牌行銷，但蔡松廷表示，他們也看重與世界各地的企業資安團隊交流，了解他們的想法、運作和準備，TeamT5曾處理很多資安事件的應變，對於這方面的研究與經驗也不少，透過FIRST這樣的共同合作平臺，可以更容易與全球資安界的專家分享與交流。<br /> </p> <h2 class="rtecenter"><span style="color:#B22222;"><strong>新版漏洞評分標準CVSS 4.0登場</strong></span></h2> <p>資安應變組織FIRST在2023年11月，針對普遍使用的漏洞風險評分系統（CVSS），推出4.0版，這是2019年6月CVSS 3.1版推出後，時隔4年的重大改版。</p> <p style="margin: 0px;">為了更好傳達軟體漏洞的特徵和嚴重性，新版對於嚴重性的分數呈現，有更精細的設計與改進，最明顯的變化就是，不只是基本分數的CVSS-B，還有基本評分加上威脅的評分CVSS-BT，基本加上環境的評分CVSS-BE，以及基本加上威脅、環境的評分CVSS-BTE。</p> <p style="margin: 0px;">同時，新版還增加幾項不影響評分的外在屬性標籤，例如：安全性、可自動化（可蠕蟲化）、恢復、價值密度（Value Density）、漏洞回應的努力，以及供應商急迫性等。另外，也對OT、ICS、IoT類型的系統，提供額外評估指標。</p> <p style="margin: 0px;"> </p> </div></div></div>
2024/1/23 17:35作者羅正漢https://www.ithome.com.tw/news/160961
SEC的X帳號提前洩露比特幣現貨ETF消息，是因遭到SIM卡交換攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）在今年1月10日<a href="https://www.ithome.com.tw/news/160800" target="_blank">宣布</a>，正式批准包括比特幣（Bitcoin）現貨ETF在內的交易所交易產品（ETP）的上市與交易，然而，<a href="https://www.ithome.com.tw/news/160793" target="_blank">此一消息提前在1月9日</a>透過SEC的X官方帳號@SECGov曝光，<a href="https://www.sec.gov/secgov-x-account#jan22" target="_blank">SEC周一（1/22）公布</a>此一意外事件的調查結果，指出駭客透過SIM卡交換攻擊存取了@SECGov帳號，逕自發布相關資訊。</p> <p>SEC的X帳號@SECGov在1月9日發布了批准比特幣現貨ETF的消息，15分鐘後SEC即宣稱該帳號遭到盜用，且該消息並非由SEC所起草、建立或發布，使得比特幣的價格在短短的時間之內先上飆至48,000美元，再下滑至45,000美元。當時，市場亦不知其實SEC隔天便會正式宣布此事。</p> <p>總之，此一意外讓SEC、SEC監察長辦公室及美國聯邦調查局（FBI）聯手展開調查，在諮詢SEC的電信營運商之後，確定駭客是透過SIM卡交換攻擊，取得了與@SECGov相關的電話號碼控制權。SIM卡交換指的是在未經用戶授權，便將電話號碼轉至另一臺裝置的技術，允許未經授權的一方開始接收與該號碼相關的語音及簡訊。</p> <p>駭客在控制了@SECGov帳號的電話號碼之後，重置了該帳號的密碼。目前執法部門仍在調查駭客如何讓電信營運商變更該帳號的SIM卡，也正企圖釐清駭客如何知道@SECGov帳號所連結的電話號碼。</p> <p>然而，此一意外之所以會發生的另一個主要原因在於，攻擊當下@SECGov帳號並未啟用多因素身分驗證。</p> <p>SEC說明，最初@SECGov帳號是啟用多因素身分驗證（MFA）機制的，但在2023年7月時，因要存取該帳號時發生問題，X技術支援部在SEC員工的要求下關閉了該帳號，SEC員工卻在重新建立帳號存取權之後，沒有重新啟用MFA，一直到日前遭到SIM卡交換攻擊。現在SEC已在所使用的所有社交媒體帳號上都啟用了MFA。</p> <p>SEC也強調，該攻擊是透過電信營運商執行，而非SEC系統，且除了X上的@SECGov帳號之外，目前並未發現駭客存取SEC系統、資料、裝置或其它社交媒體帳號的證據。</p> </div></div></div>
2024/1/23 13:50作者陳曉莉https://www.ithome.com.tw/news/160964
Subway疑遭LockBit組織竊取公司財務資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國速食連鎖Subway公司網路近日疑似被勒索軟體LockBit背後的駭客組織駭入，竊走公司員工薪資、權利金等財務資料並勒索贖金，威脅將出售給競爭者。</p> <p>LockBit組織周末透過其資料公開網站公告其同夥已經駭入Subway資料庫，竊走其敏感資料。這個組織宣稱，已從Subway包含「所有財務面向」的資訊如員工薪資、連鎖店權利金、主要加盟佣金付款、餐廳翻桌率的內部系統，竊走數百GB資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-lockbit-subway-600.png" style="width: 600px;" /></p> <p>顯然Subway已經接獲LockBit勒索訊息，但第一時間並未妥協支付贖金。LockBit組織成員宣稱該公司假裝什麼事都沒發生，也未回應其訴求。這群駭客說會再給Subway一些時間確保其資料，若對方沒有動作，不排除將資料出售給其競爭者。</p> <p>LockBit是現今最惡名昭彰的勒索軟體即服務（ransom as a service，SaaS），<a href="https://www.ithome.com.tw/news/157357" target="_blank">出現3年來受害組織超過1,600家</a>。但LockBit是以勒索軟體加密Subway系統，或是用其他駭入方法竊走資料還不清楚。</p> <p>Subway是全球最大速食連鎖之一，全球分店超過37,000家。<a href="https://www.pcmag.com/news/subway-investigates-possible-ransomware-gang-attack" target="_blank">Subway周一表示</a>正在調查LockBit的說法真實性。</p> </div></div></div>
2024/1/23 11:25作者林妍溱https://www.ithome.com.tw/news/160962
客製化ChatGPT模仿角逐美參選政治人物，開發商成OpenAI處分首例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI近日因一家開發商開發模仿美國民主黨角逐總統大選政治人物的聊天機器人，以違反使用條款為由予以停權，成首家被OpenAI處份的開發商。</p> <p><a href="https://www.washingtonpost.com/technology/2024/01/20/openai-dean-phillips-ban-chatgpt/" target="_blank">《華盛頓郵報》</a>上周首先報導。OpenAI將一個名為Dean.bot的客製版ChatGPT背後的開發商停權，原因是利用這個聊天機器人，會模仿角逐本屆代表民主黨參加美國總統大選資格的政治人物Dean Phillips。OpenAI發表聲明指出，公司近日移除了一個開發商帳號，該帳號違反了其禁止政治競選或未經同意模仿個人的API政策。</p> <p>Philips去年宣布將挑戰現任美國總統拜登，爭取民主黨黨內提名。由於美國總統選舉今年將在11月舉行，目前兩黨已展開黨內初選。</p> <p>引發爭議的AI聊天機器人Dean.bot會模仿明尼蘇達州民主黨眾議員Dean Philips的口氣，在網站上和選民即時對話。開發Dean.bot的是印度新創公司Delphi AI，該公司接受美國創業家Matt Krisiloff和Jed Somers成立的超級行動政治委員會（Super Political Action Committee，Super PAC）的委託開發Dean.bot。這家新創公司於是使用OpenAI的GPTs服務，客製化開發出這個聊天機器人。</p> <p>雖然網站有告知，Dean.bot的對話是由AI聊天機器人產生，不是來自Philips本人，但是違反了該服務的使用政策。Dean.bot已經被撤下，而新創業者Delphi AI也遭到OpenAI停權。這也成為首家因AI不當使用遭到OpenAI處份的開發商用戶。</p> <p>基於2024年有多國將舉行大選，包括美國、印度、南非等，<a href="https://openai.com/blog/how-openai-is-approaching-2024-worldwide-elections" target="_blank">上周OpenAI公布使用規範</a>，以防止其生成式AI技術被用於操弄選舉。</p> </div></div></div>
2024/1/23 11:47作者林妍溱https://www.ithome.com.tw/news/160963
Android版Chrome開始支援WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在<a href="https://developer.chrome.com/blog/new-in-webgpu-121?hl=en#use_dxc_instead_of_fxc_for_shader_compilation_on_windows">Chrome 121加入一系列WebGPU更新</a>，重點包括Android裝置Chrome開始支援WebGPU，以執行高效能圖形和運算應用程式，並且在Windows使用DXC代替FXC進行著色器編譯，以提高編譯效能，同時還支援Display-p3顏色空間，讓WebGPU能夠呈現更飽和明亮的顏色，使圖像和影片視覺更生動真實。</p> <p>WebGPU是一種現代化網路圖形和運算介面，目的是要提供比WebGL更強大的繪圖運算能力，使開發者能夠創建更豐富且動態的網路應用。WebGPU的特性在於提供更低階的硬體API，使得開發者可以完全利用GPU的能力，支援新興繪圖技術，具有跨平臺與可移植性的優勢，不同設備和瀏覽器可具有一致的行為。WebGPU API被設計得更安全，避免老舊WebGL所存在的安全風險。</p> <p>Chrome團隊宣布在Android 12及更高版本，採用Qualcomm和Arm GPU的裝置上，Chrome 121現在預設啟用WebGPU，這預計將覆蓋大約一半能夠支援WebGPU的Android裝置。對於其他的作業系統版本和GPU的支援，<a href="https://bugs.chromium.org/p/chromium/issues/detail?id=1497815">官方提到</a>，WebGPU的支援將擴展到更廣泛的Android裝置上，包括會向下相容至Android 11裝置。官方會經過進一步的測試和最佳化，確保在更廣泛的硬體配置上提供順暢的體驗。</p> <p>過去WebGPU在Windows上仰賴FXC（FX Compiler）進行著色器編譯，雖然功能齊全，但是FXC缺乏DXC（DirectX Compiler）擁有的功能集和效能最佳化，因此Google現在於Windows上，在支援Direct3D 12和Shader Model 6或更高版本的圖形硬體裝置上，Chrome使用DXC編譯著色器。經官方測試，與FXC相比，使用DXC編譯著色器速度平均提升20％。</p> <p>開發者在Chrome中執行的WebGPU應用程式，現在也可以利用時間戳記查詢功能，來精確測量GPU命令在計算和渲染過程執行需要的時間，這在分析GPU工作負載的效能和行為時很有用。由於擔心時序攻擊（Timing Attack）的問題，時間戳查詢量化為100微秒的解析度，在精度和安全性間提供良好的權衡。</p> <p>另外，WebGPU現在支援在匯入HDR影片時配置Display-p3顏色空間，由於Display-p3顏色空間較傳統sRGB色域更廣，有助於更準確地呈現高動態範圍內容。</p> </div></div></div>
2024/1/23 08:29作者李建興https://www.ithome.com.tw/news/160960
Google新框架ASPIRE有效讓AI自我評估輸出對錯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google公開專為大型語言模型設計的<a href="https://blog.research.google/2024/01/introducing-aspire-for-selective.html">ASPIRE框架</a>，該框架可以強化語言模型的選擇性預測（Selective Prediction）能力。透過對問答任務的大型語言模型進行參數微調，以評估所生成答案的正確性，ASPIRE框架在各種問答資料集上，表現優於目前最先進的選擇性預測方法。ASPIRE框架的重要性在於能夠增加大型語言模型的可信程度，讓人工智慧可在關鍵應用發揮作用。</p> <p>大型語言模型在自然語言理解和生成領域發展迅速，已經被用於建立各種創新應用，但是要進入高風險決策應用，仍有障礙待解決。研究人員指出，由於模型預測具有不確定性，大型語言模型缺乏評估回應可信度的機制，就算可以透過總結序列中各個Token的可信分數加總，但是仍無法可靠地辨別正確或是錯誤答案。</p> <p>而選擇性預測是這個問題的解決方案，大型語言模型輸出答案時加上選擇分數，而這個分數能指出答案正確的機率，因此藉由選擇性預測更可以了解在各種應用中部署大型語言模型的可靠性。過去像是語義不確定性和自我評估等研究，試圖在大型語言模型中實現選擇性預測，不過，傳統方法採用啟發式提示，試圖藉由「建議的答案是對還是錯？」等問題，觸發大型語言模型的自我評估，但是這種方法不適用於具有挑戰性的問答任務。</p> <p>Google研究人員發展出ASPIRE框架來解決這個問題。該框架有三個階段，分別為特定任務調整、答案採樣和自我評估學習。特定任務調整階段是對已經受過基礎訓練的大型語言模型進行進階訓練，就像是讓已經具有基本知識的學生進行進階訓練，專注於強化特定科目或是任務，研究人員透過添加新的可調參數，並使用高效的參數調校技術，在特定任務的訓練資料集上微調預訓練大型語言模型，以提高其預測效能，這個階段相當於訓練學生，使其更好地解決特定問題。</p> <p>第二階段則是答案採樣，經過特定任務調整後，ASPIRE使用學習到的可調參數，對每個訓練問題生成不同的答案，並創建用於自我評估學習的資料集，生成高可能性輸出序列。也就是說，讓學生嘗試回答一系列問題，並產生不同的答案，藉由嘗試不同答題方法，找出最可能正確的答案，研究人員使用一種稱為集束搜尋（Beam Search）方法，協助學生選擇最有可能的答案，並使用一種稱為Rouge-L的演算法來評估答案的品質。</p> <p>在最後的自我評估學習階段，ASPIRE新添加一組可調節參數，專門用於提升模型自我評估的能力。該階段的目標是要讓模型學會自己判斷答案準確性的能力。透過該訓練，大型語言模型不僅能生成答案，還能夠自己區分答案的正確性，在回答使用者問題時達到更好的可靠性和準確性。</p> <p>研究人員驗證ASPIRE的成果，使用CoQA、TriviaQA和SQuAD三個問答資料集，並使用各種開放預訓練的Transformer模型來評估ASPIRE。經過ASPIRE調整的小型OPT-2.7B模型，表現超過更大的OPT-30B模型（下圖）。這項實驗結果表示，只要經過適當的調整，即便是較小的語言模型，在部分情境下也可以超越較大的語言模型。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEiT3H50FS2Ml9VoWJCuNnInzRQqtNEpyUXuwRnogIG-pDIlRduV0DmvyI9iQIHTziGdqkugV9SDjIcV8WPfnb8QyzQ3ACcusD7O1FQvyVe9U9C5iCbX-uS8xHNhbvg2uv_CPwe4UJASF_dPe8s-c-xz-1hplqXYYxw4wsLOw9dJ-vWrLz-Ei4BrrW-e9Wzc/s16000/image4.png" style="width: 600px;" /></p> <p>值得注意的是，OPT-30B模型應用傳統的自我評估方法Self-eval和P(True)，選擇性預測的效能並沒有明顯提高，反而是較小的OPT-2.7B模型在使用ASPIRE進行強化後，優於其他模型，也就是說，運用傳統自我評估技術的較大型語言模型，選擇性預測效果不如採用ASPIRE強化方法的小模型。</p> <p>研究人員實驗強調了ASPIRE對於大型語言模型的重要改變，語言模型的能力並非其表現的最終效能，透過調整策略就可以大幅提高模型有效性，即便是較小的模型，也可以進行準確且有自信的預測。</p> </div></div></div>
2024/1/22 23:05作者李建興https://www.ithome.com.tw/news/160952
微軟改進VS遠端Linux開發體驗，新增遠端檔案總管與整合終端機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/visualstudio/latest-updates-for-remote-linux-development-in-visual-studio-remote-file-explorer-integrated-terminal-and-more/">強化</a>開發者透過Visual Studio進行C++遠端開發的能力，除了新增遠端檔案總管（Remote File Explorer），讓開發者可在遠端電腦執行檔案操作，並整合了SSH終端機，供開發者存取遠端目標。此外，還提供WSL與建置工具的自動化安裝功能。</p> <p>Visual Studio允許開發者將遠端Linux機器作為開發目標，如此開發者便可以在遠端Linux機器上使用Visual Studio的建置和除錯等工具，就如同本地開發一樣。這對於需要在Linux環境工作的開發者來說，是一個好用的功能。</p> <p>微軟對C++遠端開發功能進行一系列改進，其中包括加入遠端檔案總管。這項功能讓開發者直接在Visual Studio內，透過連線管理員（Connection Manager）就可以連接存取遠端電腦上的檔案和資料。</p> <p>對於C++專案中，當開發者使用CMake Presets進行專案時，Visual Studio能夠自動偵測所有WSL連線。此外，對於需要連接到非WSL環境執行的Linux機器，或其他類型的遠端機器，開發者同樣可以透過連線管理員新增連接。</p> <p>另外，當開發者在Windows上進行遠端開發時，還可以透過SSH連接，使用Visual Studio整合終端機來存取遠端目標。開發者可以從連線管理員，或是WSL中選擇現有連線，不需要在PowerShell或WSL內啟動單獨的SSH會話。新的整合終端支援從Visual Studio中操作檔案、執行後臺任務、配置遠端系統，以及測試部署的程式碼，開發者不再需要切換使用外部的SSH用戶端。該終端也支援顏色、命令序列，所以複製、貼上和尋找捷徑，甚至是vim等互動程式都可以使用。</p> <p>Visual Studio還能自動安裝WSL，開發者只需要透過滑鼠點擊就可以啟動WSL執行個體，並且開始Linux開發。而測試總管（Test Explorer）新增支援遠端Linux單元測試，讓開發者可以從CMake專案中的測試總管，執行遠端Linux單元測試和除錯器，因此當開發者以Linux為目標時，能夠如同在本機一樣，使用Visual Studio中的測試總管。</p> </div></div></div>
2024/1/22 23:09作者李建興https://www.ithome.com.tw/news/160957
鎖定AI影像分析大數據應用，Seagate第二款24TB硬碟問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seagate_skyhawk_ai_x24_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年下半，Seagate推出24 TB容量的資料中心硬碟Exos X24，12月他們針對視訊與影像處理應用（Video And Imaging Applications，VIA）的巨量資料儲存需求，在SkyHawk AI系列硬碟發表24 TB容量的機型，兩款產品同樣採用傳統磁記錄型（CMR）技術，可因應實體環境安全監控產業爆發的大量資料儲存用途。</p> <p>事實上，為了支援網路型視訊監控畫面錄製設備（NVR）的GPU邊緣AI分析應用，SkyHawk AI系列硬碟具備特製的進階與最佳化的影音處理能力，舉例來說，最多可支援64支HD高畫質監控攝影機的視訊畫面資料串流，以及32個AI頻道的資料串流——每秒最多可即時擷取120個事件，以及即時比較96個事件，而在儲存系統可搭配的硬碟數量上，SkyHawk AI系列不設限；韌體方面，此系列硬碟採用ImagePerfect AI平臺，可支援更繁重的工作負載，達到畫面零遺失的要求。</p> <p>相較之下，鎖定中小企業視訊監控畫面錄製系統搭配需求的SkyHawk系列硬碟，與SkyHawk AI系列同樣採用6Gb SATA介面，多數款式內建旋轉震動感測器（RV Sensors），可用於搭配多臺硬碟的儲存系統（2 TB以下款式不支援）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Seagate Survelliance HDD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Survelliance%20HDD.jpg" style="width: 600px;" /></a></p> <p>關於視訊畫面資料串流處理上，SkyHawk系列最多可支援64支監控攝影機，關於儲存系統搭配的硬碟數量，最多設置16臺（若搭配3 TB以下款式，NVR最多可設置8臺硬碟）；在韌體方面，此系列硬碟採用ImagePerfect平臺，可確保在全天候視訊監控工作負載之下，仍舊能夠完整擷取這些攝影機錄製的影像內容。</p> <p>就通用的技術規格而言，也可以看出兩條視訊監控系統硬碟產品線的差異。</p> <p>首先是封裝方式、快取記憶體容量與儲存空間，SkyHawk AI系列均為氦氣硬碟，內建512 MB快取，提供12 TB、16 TB、20 TB、24 TB等款式；SkyHawk系列均為空氣硬碟，多數內建256 MB快取（1 TB有1款式為64 MB），提供1 TB、2 TB、3 TB、4 TB、6 TB、8 TB等款式；其次是資料傳輸率，SkyHawk AI系列最大可達到285 MB/s，SkyHawk系列多數款式最大為180 MB/s（8 TB有1款式為210 MB/s）。</p> <p>而在適用的工作負載類型、耐用性、保固期間，以及資料復原的救援服務期間，兩個系列也有顯著不同。</p> <p>SkyHawk AI系列的負載率為每年550 TB，平均故障間隔時間（MTBF）為250萬小時，產品保固5年，資料復原救援服務為3年</p> <p>至於SkyHawk系列的負載率為每年180 TB，平均故障間隔時間（MTBF）為100萬小時，產品保固、資料復原救援服務的期限都是3年。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Seagate Survelliance HDD2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Survelliance%20HDD2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Seagate SkyHawk AI X24</strong><br /> ●原廠：Seagate<br /> ●建議售價：599.99美元<br /> ●外觀尺寸：3.5吋<br /> ●容量：24 TB<br /> ●傳輸規格：6Gb SATA<br /> ●緩衝記憶體：512 MB<br /> ●持續傳輸率：285 MB/s<br /> ●平均失效間隔（MTBF）：250萬小時<br /> ●工作負載上限：每年550 TB<br /> ●耗電量：閒置時為6.3瓦，運作時為7.8瓦<br /> ●產品保固：5年有限保固、3年資料救援服務</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/22 19:13作者李宗翰https://www.ithome.com.tw/review/160945
Martech雙周報第47期：第三方Cookie退場還沒準備好？Google開放申請延長使用期限到年底
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0107~0120)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie退場</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#延緩Cookie停用</span></span><br /> Google開放網站申請延緩第三方Cookie停用以準備替代方案</strong></p> <p>Chrome瀏覽器第三方Cookie退場已經開始，預計Q3會完全停用。不過，<a href="https://developers.google.com/privacy-sandbox/blog/third-party-cookie-deprecation-trial?hl=en">Google開始開放網站申請額外緩衝時間</a>，可以有限度繼續使用第三方Cookie到今年12月底。</p> <p>Google強調，這個緩衝措施不是用來延續第三方Cookie的廣告相關用途，而是旨在維持部分必須運用到第三方Cookie才能正常運作的使用者體驗，例如第三方iframe或跨站腳本。審查緩衝申請時，若第三方Cookie來自已知廣告網域，或不能證明停用第三方Cookie會影響使用者網站體驗，Google便會拒絕申請。也就是說，這個緩衝計畫主要受益者是利用第三方Cookie來提供個人化體驗或網站加值體驗的網站主。</p> <p><a href="http://https://iabtechlab.com/wp-content/uploads/2022/03/Ad-Format-Guidelines_DV-CTV.pdf">網站主已經可以提交緩衝停用第三方Cookie申請</a>，最後交件是今年4月1日。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#別被當成垃圾郵件</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#大量Email發送</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DMARC</span></span><br /> Google和Yahoo 2月起實施新郵件過濾機制，大量發送郵件者如何符合更嚴格的篩選條件</strong></p> <p><a href="https://blog.google/products/gmail/gmail-security-authentication-spam-protection/">Google</a>和<a href="https://blog.postmaster.yahooinc.com/post/730172167494483968/more-secure-less-spam">Yahoo</a>兩大電子郵件服務提供商將於2月起實施新過濾機制，更嚴格篩選來自大量發送郵件者的Email。</p> <p>此政策對大量發送郵件者的定義是，一天發送超過5,000封郵件的使用者。不只是群發電子信，就算是發送專屬Email給個別客戶，只要單日送信數達標，這個發送者所寄出信件，都會面臨更嚴格的過濾機制。</p> <p>要通過這個新過濾機制，發送者必須要為自己送信網域設定好SPF（發件者政策框架）及DKIM（域名金鑰辨識郵件）認證、DMARC（基於網域的郵件驗證、報告和一致性）政策，以及FCrDNS（正向確認反向DNS）。不只如此，信件傳輸必須透過TLS連線進行，且信件要有符合RFC 8058描述的一鍵取消訂閱功能。若用戶回報該發送者信件為垃圾郵件的比率（Spam rate）大於0.1%，也會被標註為垃圾郵件過濾掉。</p> <p>對於經驗不足的信件發送方來說，設定這些認證機制並不簡單。Google有<a href="https://support.google.com/mail/answer/81126?sjid=9030459488670688641-NC#zippy=%2Crequirements-for-sending-or-more-messages-per-day%2Crequirements-for-all-senders">列出詳細過濾</a>條件，並提供信件發送方如何通過過濾條件的具體指引。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動行銷活動籌備</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#使用者旅途生成</span></span><br /> 微軟推出行銷用AI助手，可以根據自然語言提示來自動挑選分眾並規畫數位行銷布局</strong></p> <p>微軟於自家行銷平臺Dynamics 365 Customer Insights<a href="https://support.google.com/mail/answer/81126?sjid=9030459488670688641-NC#zippy=%2Crequirements-for-sending-or-more-messages-per-day%2Crequirements-for-all-senders">新增AI助手功能</a>，可以讀取行銷人員自然語言輸入或行銷簡報，並自動呼叫出相關顧客數據、生成相關行銷素材，以及建議分眾。選擇特定建議分眾後，此功能還會直接規畫出一套行銷用的使用者旅程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image-2-CEX-Resixed-1_11.png" style="width: 600px;" /></p> <p>這些功能將於今年第一季開放預覽，第三季正式上線。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#實體廣告聯播網</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#非典型廣告通路案例</span></span><br /> 連鎖健身房Planet Fitness打造OMO廣告聯播網，以及透過第三方DSP對自家會員投廣的服務</strong></p> <p>隨著第三方Cookie退場，許多與消費者有直接接觸的企業開始利用自身第一方會員數據來經營廣告業務。這正是零售媒體聯播網崛起的一大原因。現在，不只零售業者，連健身房等服務業者也開始搭上這股潮流。</p> <p>有2,500家分店的大型連鎖健身房Planet Fitness打造了<a href="https://www.planetfitness.com/newsroom/press-release/planet-fitness-launches-multichannel-media-network">OMO廣告聯播</a>服務，廣告版位包括健身房內多處電視螢幕、健身房App以及會員Email等。除此之外，他們還開放廣告主透過第三方DSP LiveRamp，來對自家會員投放廣告的服務。從Planet Fitness聲明來看，目前此聯播網沒有自助式程式化投放選項，而是要專案式安排廣告投放企畫。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商家檔案</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎曝光</span></span><br /> Google 3月將全數關閉品牌利用商家檔案工具打造的網頁</strong></p> <p>Google宣布，<a href="https://support.google.com/business/answer/14368911?sjid=7839729047487816033">用商家檔案工具打造的商家檔案網站將於3月全數關閉</a>。3月後，這個網站網址會重新導向到商家檔案本身，6月1日後，則會直接顯示「頁面不存在」。此外，若原本有導向此網站的Google Ads，必須於5月1日前更改導向網址。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#串流影音廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告標準</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告</span></span><br /> 全球最大媒體購買公司GroupM有意制定全球串流影音廣告標準</strong></p> <p>全球最大媒體購買公司GroupM<a href="https://www.groupm.com/newsroom/groupm-forms-ad-innovation-accelerator-to-power-advertising-experiences-of-the-future/">宣布</a>將聯合BrightLine、Disney、KERV、NBCUniversal、Roku、Telly以及YouTube等串流影音界巨頭，來共同發展串流影音廣告的格式與測量標準。GroupM希望，參與業者可在今年第一季以前共同設計出這些標準，並從北美開始逐漸推廣到全球市場。</p> <p>令人不解的是，通常扮演定義廣告格式及測量標準的美國互動廣告協會（IAB）<a href="http://https://iabtechlab.com/wp-content/uploads/2022/03/Ad-Format-Guidelines_DV-CTV.pdf">早在2022年3月便更新了CTV（聯網電視）廣告指引</a>，針對PC、手機及聯網電視的串流影音廣告制定了建議標準。GroupM卻於聲明稿中卻隻字未提IAB標準不可行之處。若GroupM與IAB兩者串流影音廣告標準不相容，恐怕對廣告主管理行銷活動造成困擾。（<a href="https://www.ithome.com.tw/news/160714">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋頁面廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷內容掌控</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷文案</span></span><br /> 廣告主發現Google未經授權便偷改行銷文案內容</strong></p> <p><a href="https://twitter.com/AnthonyHigman/status/1735697860446900573/photo/1">有廣告主發現</a>，Google更改了自己搜尋頁面廣告文案內容，來測試不同種文案的成效，卻沒有詢問授權。如圖所示，原本應該是廣告標題（Headline）的內容，被Google放進廣告文案（Ad copy）中。這種做法，不只意味著廣告主對於自己廣告內容的掌控權降低，更可能使廣告文案有傳達非預期訊息或語氣的風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GBZwAMUX0AM1TPP.jpg" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.facebook.com/business/help/458835214668072">Meta將移除部分廣告受眾分類，包括太少人用、分類太細或涉及敏感族群的分類</a></p> <p>2. <a href="http://https://www.facebook.com/gpa/blog/political-ads-ai-disclosure-policy">Meta更新政治廣告政策，用AI進行生成或變造的素材需要揭露</a></p> <p>資料來源：iThome整理，2024年1月</p> <p>圖片來源：Google、微軟、Anthony Higman</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/1/22 17:28作者郭又華https://www.ithome.com.tw/news/160871
第一波預計247萬人受惠！新版通訊診察治療辦法將於7月1日上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部今日（1/22）<a href="https://www.mohw.gov.tw/cp-6656-77322-1.html">發布</a>修正版通訊診察治療辦法，也就是放寬遠距醫療標準的法源依據，包括擴大特殊情形病人適用範圍、放寬開立處方箋、新添可以通訊問診的醫療服務項目等。新版辦法將於今年7月1日正式上路，預計第一波有247萬人受惠。</p> <p><span style="font-size:24px;"><strong>修正辦法5大重點</strong></span></p> <p>衛福部指出，這次修正辦法有5大重點，首先是新增5種特殊情形，包含「慢性病照護計畫收案病人」、「疾病末期照護」、「矯正機關收容照護」、「行動不便照護」及「災害、傳染病或其他重大變故照護」，符合這些情形的患者可透過通訊方式看診。就適用對象來說，則共有10類族群，包括急性後期照顧、長期照顧服務、國際醫療照護、疾病末期照護、行動不便照護、矯正機關收容照護，以及災害、傳染病或其他重大變故照護等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-01-22%20174332.png" /></p> <p>再來，新版辦法的第2個重點是，有條件開放醫師以通訊方式問診後開立處方（如下圖），第三是增加通訊醫療服務項目，包括醫療諮詢、會診、精神科心理治療，以及開立檢查、檢驗單等。另一個重點是，規範當醫師評估病患情況不適合以通訊提供醫療服務時，可不施行，並建議病人以其他適當方式就醫，以確保病人安全。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-01-22%20174344.png" /></p> <p>最後一個重點是，強化通訊診療的資通訊技術或設備的資安規範。</p> <p>衛福部也表示，在修正辦法正式上路前，他們將努力完善虛擬健保卡、電子處方箋、藥品交付、全民健保相關計畫和資安驗證標準公告的措施與規畫，並要與相關團體合作，來確新版保辦法上路後，通訊診療能順利執行。</p> <p></p> </div></div></div>
2024/1/22 17:57作者王若樸https://www.ithome.com.tw/news/160951
Fintech周報第228期：Line Pay將於26日登錄興櫃，公開說明書揭露未來技術發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">1/8~1/19金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術發展 </span></strong></span></p> <h3>Line Pay將於26日登錄興櫃，公開說明書揭露未來技術發展重點</h3> <p>Line Pay目前在臺灣已有1200萬用戶數，是全臺用戶數量最多的行動支付應用。近期，他們公布將在26日登錄興櫃，並將在23日舉行法說會。在他們公開說明書中，揭露了營收結構和未來規劃。其中，Line Pay在2022年投入的研發費用約為9,100萬元，主要為系統開發的人事成本。</p> <p>未來，Line Pay的技術發展重點包括，全方位與合作夥伴導入行動支付工具、強化卡片及帳戶等支付核心系統，發展支付周邊生態系，包括地圖服務、票券系統、點數系統和點數回饋卡系統等，也會強化商點管理及行銷體系，並持續發展資安及風管體系，降低行動支付風險。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NFC </span></strong></span></h3> <h3>Apple Pay承諾將提供NFC付款功能的API，開放第三方電子錢包使用NFC付款功能</h3> <p>2020年，歐盟執委會針對蘋果進行反壟斷調查，由於蘋果限制僅Apple Pay能使用其NFC技術，阻斷了第三方電子錢包業者在ios的業務發展。2022年，歐盟執委會表示，蘋果濫用其ios的獨占地位，限制開發者使用手機上的NFC技術，使第三方電子錢包無法和蘋果的Apple Pay競爭。</p> <p>近期，歐盟執委會發布聲明，表示蘋果已對此提出10年承諾，將提供電子錢包業者和支付服務商能在iphone上使用NFC付款的API。蘋果也承諾，可以讓用戶在iphone上更改預設的付款應用程式，並支援Face ID驗證。不過，這些承諾僅適用於在歐洲經濟區（EEA）註冊的IOS用戶，和在EEA設立的電子錢包業者，用戶可以在EEA以外的店家使用這些電子錢包進行消費。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> P2P支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> X </span></strong></span></h3> <h3>X宣布今年將發展P2P支付</h3> <p>原為Twitter的X在今年年度計畫指出，將推出P2P支付，解鎖更多用戶效益和新的商業機會。早在去年4月，伊隆·馬斯克收購Twitter後，他就曾喊出要將平臺打造為金融超級應用程式，如同中國的微信。去年底，X已經取得美國13個洲的支付許可證。</p> <p>根據X官方發布的數據，截至去年七月底，平臺上已有5.4億用戶數，大量的用戶數將有助於X進軍P2P領域。不過，儘管X挾帶大量用戶數，要進軍P2P領域，還需要面對激烈的競爭市場。目前美國共有4家業者主導P2P支付領域，分別為Zelle、Cash App，和PayPal旗下的Venmo。其中，Venmo擁有超過8500萬用戶數，Venmo約6800萬用戶數，Cash App則有5000萬用戶數。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 非接觸式支付</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 理索納金控 </span></strong></span></h3> <h3>理索納金控計畫研究新型態非接觸式支付，讓民眾在店內不須拿出手機也能完成付款</h3> <p>理索納金控（Resona Holdings）近期宣布，將以藍芽低功耗（BLE）和超寬頻（UWB）等技術研究新型態的非接觸式支付，當顧客走進店內時，系統自動連接顧客手機，顧客付費時不須從包包或口袋取出手機，也能完成身分驗證和付費。同時，他們也計畫發展通知功能，當顧客進入店面，系統可以根據顧客過去的購買紀錄，提供優惠券等顧客服務。</p> <p>理索納金控表示，他們在2023年進行系統建置研究，並準備開始BLE和UWB的POC驗證。今年，他們預計開始實施POC，並研究提供除了支付以外的服務。他們表示，這個研究將結合使用生物識別解決方案，提高生物特徵的認證速度和精準度，目標是簡化系統設計和操作流程。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行第三階段</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>開放銀行第三階段正式上路，開放5種業務種類，共計35項服務</h3> <p>金管會近期宣布，已核備完成銀行公會及財金公司所報的開放銀行第三階段相關規範，分別為自律規範和技術及資安標準。第三階段開放的業務種類涵蓋存款、信用卡、貸款、支付和手機門號轉帳，共計35個項目，目前已受理銀行業者申請。</p> <p>未來，銀行業者將有機會與TSP業者合作打造一站式支付、轉帳服務，促進更多業務整合及發展。不過，近期遠傳電信退出開放銀行第二階段，目前參與開放銀行第二階段的TSP業者僅剩集保公司。金管會表示，待銀行公會與財金公司將相關規範轉交給所有銀行會員後，會再進一步了解業者參與第三階段的意願。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行第三階段</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局 </span></strong></span></h3> <h3>開放銀行第三階段案例參考：香港金管局建構「轉數快」，提供跨行轉帳、支付功能，還支援港元及人民幣即時支付</h3> <p>金管會曾提及臺灣開放銀行政策是參考香港和新加坡作法，而香港的開放銀行支付轉帳功能，主要由政府主導應用程式開發。香港金管局在2018年和香港銀行同業結算公司合作，推出快速支付系統「轉數快」，提供全香港的銀行和電子錢包業者互通資金的平臺，消費者可以進行跨行或跨錢包的即時轉帳，開放給個人支付、企業支付和電商支付，還支援港元及人民幣轉帳。以個人支付而言，使用者只要在轉數快App中輸入對方的手機號碼和轉帳金額，就能完成轉帳。</p> <p>轉數快可以讓同一支手機或電子郵件可以綁定多個銀行帳號和電子錢包。使用者只要在銀行或電子錢包的App上，登記手機號碼、電子郵件或銀行提供的特定編號，就可以完成綁定。根據香港金管局公布的資料，目前已有26間銀行加入開放銀行的支付、轉帳功能。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 技術人才 </span></strong></span></h3> <h3>桑坦德銀行招募超過4,500位技術人員，支持全球核心系統上雲計畫</h3> <p>西班牙桑坦德銀行在去年底才宣布要在2024年底完成全球核心系統上雲，近期，他們揭露目前已招募超過4500位技術人員支援這項集團轉型計畫。2022年底，桑坦德銀行在西班牙和波蘭設立兩個技術中心，雇用約1,400位涵蓋科學、數學、技術和工程人員，支援集團的業務部門。目前，桑坦德銀行在全球已擁有27500位理工背景的專業人員。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國郵局 </span></strong></span></h3> <h3>英國郵局終止上雲計畫，損失超過臺幣12億元</h3> <p>2022年，英國郵局宣布將啟動上雲計畫，要將包含Horizon系統在內的技術平臺上雲。不過，近期英國郵局在2023年度報告中揭露，已停止系統上雲的計畫，且因計畫中止，損失了3,100萬英鎊，相當於臺幣12億元。</p> <p>Horizon系統曾引發英國郵局一連串醜聞。英國郵局自1999年導入由富士通開發的Horizon會計系統，由於系統錯誤紀載財務資料，造成帳面短缺，多達700位職員被郵局起訴詐欺、竊盜等罪名，部分職員因而入獄。而後在2018年，英國郵局才坦承是Horizon系統失誤，讓93名職員沈冤得雪。這起事件近期被翻拍成影劇並開播，引起英國大眾再度關注，目前還有數百人的官司正在進行。</p> <p>英國郵局曾在2022年打算開發新的系統取代Horizon，他們當時強調會以平行的方式執行計畫，在開發新技術的同時，仍會持續使用舊系統，確保服務不中斷。如今計畫失敗，英國郵局也已經與富士通簽定系統延期使用合約，至少到2025年3月還會使用這套系統。目前英國郵局尚未出面說明上雲計畫失敗的具體原因。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 比特幣現貨ETF</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國SEC </span></strong></span></h3> <h3>美國證券交易委員會正式批准比特幣現貨ETF，首日交易量達46億美元</h3> <p>美國證券交易委員會（SEC）正式宣布，已批准包含比特幣現貨ETF的交易所交易產品（ETP）上市與交易。11支比特幣現貨ETF已在1月11日開放交易，根據《路透社》報導，首日交易量達46億美元。</p> <p>美國市場過往有數款比特幣的期貨ETF，但期貨ETF交易的是未來比特幣價格，現貨ETF與比特幣現值更密切，等同讓民眾不須購買比特幣，也能參與比特幣投資市場。不過，SEC主席Gary Gensler也表示，就算SEC批准了比特幣的現貨ETF產品，也不代表SEC歡迎或認同比特幣，投資人仍應謹慎對待比特幣與其它加密貨幣相關產品的各種風險。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 趨勢發展</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chris Skinner </span></strong></span></h3> <h3>金融科技趨勢大師提出銀行發展的四個關鍵要點</h3> <p>金融科技趨勢大師Chris Skinner近日發布一篇文章，提出他對銀行未來發展的四個關鍵要點，分別是即時性、生活管理、篩選和合作、數位資產管理。他預測未來年金產品將會逐漸失去競爭力，以年利率計算的產品也包括在內，因為人們已經可以即時計算保費和產品金額，以一年為單位計算的商品不再符合顧客需求。</p> <p>過往金融業者關注抵押貸款、支付和借貸服務，未來業者提供服務時，應該提供完整的生活管理解決方案，例如協助顧客建立家庭、篩選搬家公司、購買合適家具等服務。為了整合生活管理服務，銀行業者篩選多個提供API的合作夥伴，並透過雲端服務與供應商合作，提升客戶體驗。未來，金融機構也要進一步發展數位資產，因為越來越多顧客需要可信賴的數位資產託管服務。</p> <p>其他Fintech新聞：</p> <ul> <li>金管會公佈第二屆永續金融評鑑指標，擴大受評機構範圍，將年輕客群納入公平待客關注族群</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／Line pay</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年1月</p> <p></p> </div></div></div>
2024/1/22 16:44作者李昀璇https://www.ithome.com.tw/news/160950
【資安週報】2024年1月15日到1月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞利用威脅情形，有兩個新事件需要特別留意，一是Citrix NetScaler設備管理介面存在零時差漏洞，包括CVE-2023-6548、CVE-2023-6549，已被用於攻擊行動；另一是Google修補Chrome的V8 JavaScript引擎的<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-0519">CVE-2024-0519漏洞</a>，同樣已遭成功利用。</p> <p>還有兩個已知漏洞遭利用的狀況，包括：Laravel網頁應用程式框架在2018年修補的已知漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2018-15133">CVE-2018-15133</a>，另一個是這段期間資安日報未報導的漏洞<a href="http://nvd.nist.gov/vuln/detail/CVE-2023-35082">CVE-2023-35082</a>，這個弱點存在行動裝置管理平臺MobileIron Core，以及EPMM。特別的是，關於上述鎖定Laravel的攻擊，我們從美國FBI與CISA近期近期的示警，可以發現是惡意程式Androxgh0st的攻擊行動所為。</p> <p>還有多家業者發布漏洞修補公告，需要企業採取行動，包括Oracle第1季例行安全更新發布，Atlassian修補Confluence的漏洞，GitLab修補零點擊帳號劫持漏洞，以及Juniper修補防火牆及交換器重大漏洞。</p> <p>在國內資安消息方面，近日有多家上市櫃公司發布資安事件重大訊息，而且短短一週之內，居然發生三起的情況，格外引人注目。我們整理如下：</p> <p>（一）上市半導體設備業京鼎精密在1月16日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（二）上市印刷電路板廠恩德科技在1月17日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（三）上市運動休閒業者<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171732&SPOKE_DATE=20240119&COMPANY_ID=8462">柏文健康事業在1月19日公告</a>，說明旗下「健身工廠」會員個資遭駭客竊取。本期資安日報尚未提及，在此補上。</p> <p>值得關注的是，京鼎精密發生2024年首起上市櫃資安事件，而且狀況相當特別，因為駭客的勒索訊息，還藉由竄改京鼎公司的網站於16日上午公諸於外，行徑非常囂張。</p> <p>關於健身工廠會員個資遭竊，他們的公告這方面消息的時機有爭議，因為他們載明的事實發生日是去年7月30日，但竟然等到2024年1月才曝光，這顯然違反「應於資安事件發生次一營業日開盤前2小時公告」，而且拖延幾乎長達半年時間。依照先前資料外洩的公司諾貝兒遭到主管機關開罰的經驗，金管會應同樣會對此祭出處分。</p> <p>另一家同樣在去年11月遭到網路駭客攻擊的雄獅，交通部在<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193507&SPOKE_DATE=20240117&COMPANY_ID=2731">1月17日依違反個人資料保護法第27條第1項，開罰200萬元</a>。</p> <p>還有一項值得警惕的事件，是KKday前員工跳槽對手Klook所涉的外洩營業機密案，最近調查局資安工作站更詳細說明其手法與事發過程，包括利用未修改的預設密碼、不法登入KKday系統等，並起訴涉案3人。</p> <p>在資安威脅焦點方面，近期鎖定蘋果電腦、Docker主機的惡意軟體，引發研究人員重視。他們的研究對象是3款針對macOS的竊資軟體，包括KeySteal、Atomic Stealer、CherryPie，經過調查分析之後，他們指出這類惡意程式普遍具有繞過作業系統內建XProtect的能力；近期有攻擊者鎖定易受攻擊的Docker主機部署惡意容器，當中使用了網路流量交換軟體9hits盜取流量，相當罕見。</p> <p>最後，還有兩個涉及GPU與UEFI的漏洞揭露，都是去年夏天已經通報、如今分別有資安業者對外揭露相關細節，並指出問題所在。</p> <p>例如，被命名為LeftoverLocals的漏洞CVE-2023-4969，影響蘋果、AMD、高通的GPU產品。研究人員重點提醒，如WebGPU的許多GPU框架，存在著未充分隔離記憶體的狀況；UEFI開源參考實現TianoCore EDK II存在9個漏洞，統稱為PixieFAIL，研究人員並指出，其他廠商的UEFI解決方案也受波及，包括Arm、系微（Insyde）、AMI、Phoenix Technologie與微軟。由於廠商們的修補時程未定，不確定是否修補相當棘手。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160839"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月15日】程式碼儲存庫GitLab的密碼重設機制有弱點而可能被用於帳號挾持攻擊</span></strong></a></h3> <p style="margin: 0px;">使用者若是忘記密碼，透過電子郵件來重設是相當常見的做法，但這樣的機制若是不夠嚴謹，很有可能遭到濫用，而成為攻擊者奪取帳號的管道。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">例如，近期GitLab修補的CVE-2023-7028，就是這樣的例子。起因是開發團隊在今年5月引入新的機制，不再限制只能使用主要的電子郵件信箱來二次驗證用戶身分，而產生了漏洞。對此，他們也新增額外的測試機制，來檢驗密碼重設的流程是否存在瑕疵，來防範類似弱點再度出現。</p> <h3><a href="https://www.ithome.com.tw/news/160854"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</span></strong></a></h3> <p style="margin: 0px;">臺灣廠商遭遇網路攻擊的情況不時傳出，但最近出現一起資安事故相當特別，駭客竄改該公司的網站，宣稱竊得大量的資料，並揚言若不付錢，將公布所有客戶資料，並讓該公司員工失業。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">今日鴻海旗下的半導體設備廠京鼎的網站出現遭到竄改的情況，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊，仍有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/160870"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</span></strong></a></p> <p style="margin: 0px;">存在弱點的程式碼一旦重複利用，很有可能造成類似的漏洞不斷出現，駭客可能得以多次挖掘這類弱點，將其用於攻擊。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">最近有研究人員針對SonicWall防火牆已有概念性驗證程式的已知漏洞進行調查，結果發現，另一個1年前公開的漏洞因為也採用相同的程式碼，而具有類似的弱點，依此情況來看，其他採用這部分程式碼的功能模組也會曝險，而有可能導致其危害擴大。</p> <h3><a href="https://www.ithome.com.tw/news/160906"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</span></strong></a></h3> <p style="margin: 0px;">最近2、3年竊資軟體（Infostealer）肆虐，駭客從原本針對Windows電腦下手，也將部分目標轉向macOS電腦，針對該作業系統打造的竊資軟體，在過去一年更是不斷出現攻擊行動。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">如今有研究人員提出警告，攻擊者鎖定macOS內建的防護功能，企圖避開偵測，而其中1種遭到頻頻闖關成功的就是防惡意軟體機制XProtect，企圖打造其特徵碼無法識別的竊資軟體來隱匿行蹤。</p> <h3><a href="https://www.ithome.com.tw/news/160924"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月19日】針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手</span></strong></a></h3> <p style="margin: 0px;">針對缺乏資安防護的連網家電發動攻擊的情況，最近2年不斷傳出，去年9月就傳出一起鎖定安卓電視盒的攻擊行動，最近有研究人員公布新的發現，他們指出其攻擊對象較先前公布的更廣泛。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據他們的調查，駭客從9年前就開始從事相關攻擊行動，並且不光針對執行安卓作業系統的電視盒，對於搭載這類作業系統的智慧電視、另一種作業系統eCos的電視盒，也是他們下手的標的。</p> </div></div></div>
2024/1/22 09:38作者羅正漢https://www.ithome.com.tw/news/160940
去年資安新創風險投資創下5年來新低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供新創公司資料庫的<a href="https://news.crunchbase.com/cybersecurity/funding-drops-eoy-2023/" target="_blank">Crunchbase近日指出</a>，2023年創投業者總計執行了692項投資予資安新創，總金額為82億美元，是2018年以來的新低，只有2021年的1/3，也只有2022年的一半。2021年正是全球資安最風生水起的一年，當年資安新創的融資總額達超過230億美元，2022年則是163億美元。</p> <p>YL Ventures資深合夥人Ofer Schreiber認為，去年的現象應是2021年所帶來的後果，當年市場的資金很充裕，資安新創的估值過於膨脹，再加上融資輪次創紀錄，才讓投資人在去年變得益發謹慎。</p> <p>2021年造成的影響餘波盪漾，那時過高的估值使得這些資安新創迄今仍在苦苦證明自己的價值，以繼續融資或企圖出售，但同一時間它們也明白必須依據市場需求，更負責任地奠定基礎。</p> <p>不過，絕大多數的創投業者都同意投資人對資安領域還抱持著高度興趣，因為全球網路攻擊的頻率與複雜度不斷地升級，經濟危機則進一步加劇了此一情況，促使政府或企業不得不正視，而編列更多的預算來抵禦攻擊。</p> </div></div></div>
2024/1/22 14:18作者陳曉莉https://www.ithome.com.tw/news/160946
俄羅斯駭客以密碼潑灑攻擊入侵微軟測試帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/blog/2024/01/microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/" target="_blank">微軟上周揭露</a>，俄羅斯駭客組織Midnight Blizzard透過密碼潑灑（Password Spray）攻擊入侵了微軟一個舊版且未用於生產的測試租戶帳號，繼之利用該帳號的權限存取了多名員工的電子郵件帳號，目前並未有證據顯示駭客可存取客戶或其它微軟環境。</p> <p>密碼潑灑攻擊指的是駭客利用同一組密碼不斷地測試能否進入不同的帳號，屬於暴力破解攻擊的一種。Midnight Blizzard是在2023年11月以此成功入侵了一個微軟測試租戶帳號，再利用該帳號的權限以存取微軟的企業電子郵件帳號。</p> <p>微軟並未公布有多少電子郵件帳號被存取，僅說比例很低，這些遭到入侵的郵件帳號涉及資安、法務與其它部門的員工與高階主管，駭客汲取了當中許多的郵件與附加檔案。微軟的調查顯示，Midnight Blizzard鎖定的是微軟內部與Midnight Blizzard有關的資訊。</p> <p>此外，微軟強調相關攻擊並非源自於微軟產品或服務的安全漏洞，且迄今並無任何證據表明駭客得以存取客戶環境、生產環境、原始碼或是AI系統。</p> <p>此次的經驗令微軟決定變更安全及業務風險之間的平衡線，以因應擁有豐沛資源的國家級駭客，將立即把現有的安全標準部署至微軟自家的老舊系統與內部商業程序，不論這些更改是否會中斷目前的業務流程，並接受它可能會帶來一定程度的破壞。</p> </div></div></div>
2024/1/22 14:39作者陳曉莉https://www.ithome.com.tw/news/160947
【資安日報】1月22日，微軟坦承遭到俄羅斯駭客組織入侵並挖掘高階主管電子郵件的內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上週五坦承遭遇俄羅斯駭客APT29的攻擊，2個月前駭客成功入侵其內部環境收集情報，直到一個禮拜前才被發現並予以阻止。</p> <p>國家級駭客組織鎖定該公司下手的情況，已非首例。半年前<a href="https://www.ithome.com.tw/news/158631">微軟針對中國駭客Storm-0558攻擊行動進行說明</a>，對方自5月中旬濫用微軟帳號（MSA）的簽章金鑰，挾持約25個組織的電子郵件帳號，這些駭客取得MSA的管道，就是挾持了微軟工程師的帳號而能得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-stole-microsoft-corporate-emails-in-month-long-breach/"><strong style="font-size: 22px;">微軟坦承遭到俄羅斯駭客APT29入侵，部分高階主管電子郵件信箱資料外流</strong></a></p> <p>最近幾年微軟揭露不少針對旗下Microsoft 365的網路釣魚攻擊行動，駭客鎖定該公司提供的電子郵件服務下手，但最近出現該公司內部的電子郵件信箱遭駭的情形。</p> <p>1月19日微軟證實，他們的安全團隊在1月12日偵測到國家級駭客的攻擊行動，這些駭客約從2023年11月下旬，透過密碼噴濺攻擊（password spray）的手法，破壞非生產環境、用於測試的租戶帳號，從而於微軟內部網路環境立足，並存取少部分的公司電子郵件信箱，這些帳號的所有者，包含了資深管理層的成員，以及負責資安及法律等業務的員工。部分電子郵件及其中挾帶的文件，也遭到外流。</p> <p>而對於攻擊者的身分，該公司指出是俄羅斯駭客組織APT29（亦稱Nobelium、Midnight Blizzard），對方的目的是透過電子郵件了解該公司調查該組織的情形。微軟強調，這起攻擊行動並非旗下產品或服務弱點造成，亦尚未發現攻擊者能存取客戶環境、生產系統、原始碼、人工智慧系統的跡象。對於這起資安事故對營運造成的衝擊，根據該公司向美國證券交易委員會（SEC）提交的8-K表單中指出，並未對公司營運產生重大影響。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/blog/2024/01/microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/">https://msrc.microsoft.com/blog/2024/01/microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/</a><br /> 2. <a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/789019/000119312524011295/d708866d8k.htm">https://www.sec.gov/ix?doc=/Archives/edgar/data/789019/000119312524011295/d708866d8k.htm</a></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/01/17/new-ttps-observed-in-mint-sandstorm-campaign-targeting-high-profile-individuals-at-universities-and-research-orgs/"><strong style="font-size: 22px;">伊朗駭客Charming Kitten鎖定歐美大學、研究機構，散布惡意程式MediaPl</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-1_Intrusion-chain-leading-to-backdoors-observed-in-the-ongoing-Mint-Sandstorm-campaign.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-1_Intrusion-chain-leading-to-backdoors-observed-in-the-ongoing-Mint-Sandstorm-campaign.png" style="width: 300px; float: right;" /></a>微軟揭露伊朗駭客組織Charming Kitten（亦稱Mint Sandstorm）旗下人士自2023年11月發起的網路攻擊行動，範圍涵蓋比利時、法國、加薩、以色列、英國、美國的大專院校和研究機構，並且鎖定從事中東事務的人士下手，對方試圖透過社交工程引誘目標下載惡意檔案，在部分攻擊行動當中，他們發現駭客使用名為MediaPl的後門程式。</p> <p>駭客偽裝成名人，其中包括知名媒體的記者發送看似無害的電子郵件，聲稱要徵求收信人對於以哈衝突文章的看法，企圖與目標人士建立信任關係，待時機成熟再伺機傳送惡意內容。假如收信人同意閱讀電子郵件引述的文章內容，對方便會接著佯稱提供草稿檔案的名義，寄送另一封含有惡意網域的信件，收信人若是依照指示操作，將會連到寄放RAR壓縮檔的網域下載檔案，其內容含有偽裝成PDF文件的Windows捷徑檔（LNK），啟動後電腦將會執行curl指令，從攻擊者控制的特定網域下載一系列惡意檔案，當中有數個VBS指令碼及命令列工具NirCmd。</p> <p>在部分攻擊行動裡，這些駭客會在受害電腦植入MediaPl、MischiefTut等後門程式，其中，攻擊者將MediaPl偽裝影音播放程式Windows Media Player元件，並與Windows Photo看圖程式互動，透過特定圖檔取得C2資訊，然後使用AES CBC加密、Base64演算法處理的流量進行通訊。另一個後門程式，則是以PowerShell打造，能執行偵察指令，並將輸出結果寫入純文字檔案。此外，該後門程式也能讓攻擊者下載額外工具到受害電腦。</p> <p><a href="https://blog.google/threat-analysis-group/google-tag-coldriver-russian-phishing-malware/"><strong style="font-size: 22px;">俄羅斯駭客Cold River假借提供加密的PDF文件，散布後門程式Spica</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/encrypted_pdf_lure_width-1000_fo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/encrypted_pdf_lure_width-1000_fo.png" style="width: 300px; float: right;" /></a>Google旗下的威脅分析小組（TAG）指出，別名為Seaborgium、TA446的俄羅斯駭客組織Cold River，近期的網路釣魚攻擊行動出現新的手法，有別於過往的目的是要騙取受害者的帳密資料，現在這些駭客試圖散布名為Spica的後門程式。</p> <p>研究人員看到這些駭客採用假冒的身分與目標人士建立關係，然後以徵求文章意見為由，傳送宣稱是即將發表的專欄文章PDF檔案，然而目標人士打開收到的PDF檔案，會看到文字遭到加密，此時對方就會提供雲端檔案的連結，聲稱提供解密工具，但實際上是Spica，一旦下載、執行，電腦就可能遭到駭客控制。</p> <p>此後門程式以Rust打造而成，可用於執行Shell命令，並能竊取瀏覽器的Cookie、上傳或下載檔案、列出電腦檔案內容、盜取指定檔案。研究人員推測，駭客使用該後門程式的時間，最早可追溯至2022年11月。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/103379/000119312524010243/d641969d8ka.htm"><strong style="font-size: 22px;">大型服飾集團VF Corp去年遭到入侵，逾3,500萬客戶個資被盜</strong></a></p> <p>旗下擁有VANS、Jansport、NorthFace、Timberland等十多個知名服飾品牌的威富集團VF Corporation（VFC），12下旬證實因IT系統遭到未經授權存取，導致業務營運受到影響、部分資料外洩，上週透露更多細節。</p> <p>1月18日VFC向美國證券交易委員會（SEC）提交8-K/A文件二度進行說明，當中提及該集團經營的零售門市、電商網站、物流中心的運作都遭到波及，而在總部關閉特定系統後，門市的庫存、補貨資訊中斷，訂單無法如期交貨，某些批發訂單出貨延遲，導致部分企業客戶及消費者取消訂單，部分電商網站訂單量下滑，但對公司財務影響並不顯著。</p> <p>另一方面，該公司也透露資料外洩的範圍，他們估計約有近3,550萬名客戶個資外流，但不包含社會安全碼、銀行帳號、信用卡資訊，且尚未發現駭客取得客戶密碼的情況，不過，該集團並未透露駭客取得那些個資。</p> <p><a href="https://www.troyhunt.com/inside-the-massive-naz-api-credential-stuffing-list/"><strong style="font-size: 22px;">密碼外洩查詢網站Have I Been Pwned揭露大型個資外洩資料庫，內含逾7千萬筆電子郵件帳號、1億個密碼</strong></a></p> <p>外洩密碼查詢資料庫網站Have I Been Pwned（HIBP）近期取得大量的帳密資料庫Naz.API，內含70,840,771筆電子郵件帳號、1億組密碼，HIBP個人訂閱者受到影響。這批資料共有319個檔案，大小為104 GB。</p> <p>經營該網站的Troy Hunt指出，經過他們的比對，約有65%帳號已在HIBP的資料庫，35%是新的外洩資料，其中，此資安專家也有2011年前使用過的密碼被收錄其中。值得留意的是，這批資料原先是在2023年9月於駭客論壇上兜售，賣家宣稱資料透過竊資軟體（Infostealer）取得，但Troy Hunt指出事實不完全是如此，並非所有資料都是惡意程式竊得，且有些帳密資料已存在相當長的時間。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-011-03"><strong><span style="font-size: 20px;">CISA針對開源工控自動化平臺Rapid SCADA弱點提出警告</span></strong></a></p> <p><a href="https://www.jamf.com/blog/jtl-malware-pirated-applications/"><strong><span style="font-size: 20px;">鎖定蘋果電腦的後門程式透過中國盜版網站代管、散布</span></strong></a></p> <p><strong><a href="https://asec.ahnlab.com/en/60270/"><span style="font-size: 20px;">木馬程式Remcos RAT假借色情電玩遊戲散布</span></a></strong></p> <p><a href="https://www.chainalysis.com/blog/2024-crypto-crime-report-introduction/"><strong><span style="font-size: 20px;">穩定幣成網路罪犯偏好用於非法活動的加密貨幣</span></strong></a></p> <p><a href="https://news.crunchbase.com/cybersecurity/funding-drops-eoy-2023/"><strong><span style="font-size: 20px;">2023年資安新創融資較2022年砍半，創近5年新低</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160924"><strong>【1月19日】針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160906"><strong>【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160870"><strong>【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</strong></a></p> </div></div></div>
2024/1/22 10:32作者周峻佑https://www.ithome.com.tw/news/160941
蘋果Vision Pro開始接受預購，2月2日出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果VR/AR頭戴裝置Vision Pro上周五晚間9:00正式<a href="https://www.apple.com/apple-vision-pro/" target="_blank">在美開放預購</a>，預定2月2日出貨。</p> <p>Vision Pro專頁臺北時間上周五<a href="https://www.apple.com/apple-vision-pro/specs/" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;">公布價格、配置，以及詳細規格</a>。這個VR/AR頭戴裝置依記憶體分有三種規格。最低的是搭載256GB，3,499美元。其次分別是512GB版/3,699美元及1TB/3,899美元。</p> <p>Vision Pro主要硬體規格為M2晶片及8核CPU（4效能核心及4省電核心）、10 核心GPU、16核心神經網路引擎及16GB整合記憶體。記憶體頻寬256GB/s的R1晶片提供僅12毫秒的延遲性效能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-Apple%20Vision%20Pro-M2%20R1%20chip-600(1).png" style="width: 600px;" /></p> <p>Vision Pro相機包含一個3D立體主系統，提供650萬畫素的立體影像。視覺感測器包含2個高解析度主攝影機、4個追蹤眼球的相機、6顆外向式攝影機、一個TruDepth相機及虹膜辨識器。聲音方面，則有6顆指向性麥克風陣列提供波束成型（beamforming），以及空間音效（Spatial Audio）、音頻射線追蹤（audio ray tracking）、H2 to H2 低延遲性技術。此外還有閃爍感測器及環境光感測器、光達、以及Wi-Fi 6和 Bluetooth 5.3支援，可連結AirPods Pro 2。</p> <p>透過視覺、聽覺感測器，Vision Pro可支援語音、手勢控制及眼球控制，但也支援以遊戲控制器、鍵盤及觸控板輸入。用戶除了在頭戴顯示器上看影片、文件或執行AR/VR應用，也能以AirPlay將Vision Pro影像映射到支援的外接裝置，包括iPhone、iPad、Mac、Apple TV、AirPlay‑enabled 智慧電視使用。</p> <p>Vision Pro提供二種蔡司鏡片選擇，一是99美元的Readers鏡片，或是149美元的處方近視鏡片。</p> <p>電池方面，Vision Pro在「一般使用」下可運作2小時，看影片則可用2.5小時。裝置使用中也能充電。視Light Seal及頭帶而定，全機身重為600到650公克之間，不包含電池的353公克。</p> <p>消費者下單前，須利用蘋果Camera的臉部辨識功能來量測用戶頭圍及臉部寬度，決定Light Seal及頭帶尺寸。而搭配的蔡司鏡片則可選擇無度數的Reader鏡片或需要處方的近視／遠視鏡片（分別為99美元及149美元）。若利用Apple Card購買還可獲得3%現金回饋。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-%20Apple%20Vision%20Pro-600(2).png" style="width: 600px;" /></p> <p>價格高達3,500美元，但仍然引發不少蘋果粉絲下單。知名分析師<a href="https://twitter.com/mingchikuo/status/1745518174169391275?s=20" target="_blank">郭明錤預測</a>憑藉劃時代的技術創新所創造的用戶體驗，Vision Pro只會備貨6萬到8萬臺，開賣後可能很快會售罄。</p> <p>果不其然，根據<a href="https://www.notebookcheck.net/Apple-Vision-Pro-failed-to-sell-out-on-launch-day.795289.0.html" target="_blank">《Notebookcheck》</a>報導，較早下單的消費者還可在本地零售店取貨，周日再下單者只能等待5、6個星期才拿得到貨。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/1/22 10:34作者林妍溱https://www.ithome.com.tw/news/160942
Amazon改造Alexa計畫6月收費，但傳出內部意見分歧
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/amazon-paid-alexa-plus-service-issues-2024-1" target="_blank">《Business Insiders》</a>報導，Amazon為語音助理Alexa加入AI功能改造，並計畫推出付費版Alexa Plus，不過傳出開發團隊為此內部意見分歧。</p> <p>10年前論及AI語音助理，首推Amazon Alexa。不過在微軟、Google相繼投入生成式AI科技挹注開發後，Alexa已經遠遠落後。去年Amazon改組Alexa研發部門，試圖以AI改造，好追趕競爭者，最新的計畫是推出收費方案。</p> <p>《BI》報導，新開發的服務暫名為Alexa Plus，預計6月30日推出，開發團隊目前卻發生因收費問題出現歧見，可能導致上線時程延宕。爭吵的原因是一派人認為，目前版本還存在太多AI幻覺及效能問題。</p> <p>Amazon目前有1.5萬名客戶正在測試其代號Remarkable Alexa的底層技術。報導引述員工說法指出，Remarkable AI對話能力還不錯，但執行其他任務的能力卻很差。例如它可以侃侃而談，內容卻錯誤百出，也無法回應需要多種服務的複雜問題。此外，新Alexa需Amazon技術及基礎架構重大變更，令資深員工不滿，迫使Amazon保留原有技術，卻導致Remarkable Alexa過於腫脹無法使用。有一些員工對收費沒信心，他們認為不會有人願意付費。</p> <p>近年許多Amazon服務都開始收取月費，像是Prime或有聲書服務Audible等。但Amazon希望開始對Alexa服務收費並不意外。Alexa現有用戶7,500萬，但開發Alexa是很燒錢的業務，多次嘗試獲利方案的Alexa屢屢失敗，未能為Amazon帶進實質營收，<a href="https://www.ithome.com.tw/news/154335" target="_blank">據傳</a>虧損上百億美元，接任的執行長Andy Jassy失去耐性。去年Amazon裁員大刀揮向Echo和Alexa部門，<a href="https://www.ithome.com.tw/news/158265" target="_blank">8月間媒體報導</a>，開發Alexa的消費硬體部門主管下臺，新上任的主管Rohit Prasad將同時掌管AI及LLM，率領以AI改造Alexa。</p> <p>不只是Amazon、OpenAI、Stability AI、Anthropic這些新創，連微軟都推出企業版、部門版或個人版AI聊天機器人收費方案，如ChatGPT Plus/Team/Enterprise、或是Copilot Enterprise/Pro等。Google現在還沒有，但有用戶發現，Google可能已經在測試付費版Bard Advanced。</p> </div></div></div>
2024/1/22 10:57作者林妍溱https://www.ithome.com.tw/news/160943
以Backstage為基礎，Red Hat推出企業級開發者平臺Developer Hub
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）全面推出<a href="https://developers.redhat.com/articles/2024/01/16/red-hat-developer-hub-your-gateway-seamless-development#">Developer Hub</a>，這是一個企業級開發者入口平臺，以CNCF開源專案Backstage為基礎，提供一套受支援或是具明確主張的框架（Opinionated Framework），開發者在這個統一且開放的開發平臺上，能夠專注於程式碼編寫，運用軟體範本簡化開發過程，提高生產力並降低治理障礙。</p> <p>Backstage最初是由Spotify所開發，用於維護和管理開發生命周期，協助開發者有效管理服務和應用程式，同時也可促進團隊間的合作。Backstage統一介面讓用戶可以簡單存取和管理，各種在軟體開發過程可用到的工具和資源，整合了版本控制、持續整合、監控和文件管理等多種功能，讓開發者在Backstage就可完成大部分的開發和維運工作。</p> <p>Backstage是一個用於創建開發者入口網站的框架，用戶需要自訂該入口網站，並且整合開發團隊可以取用的工具和擴充套件。但是Backstage本身卻不提供企業級功能，像是舊版本支援、延長生命周期、測試或是錯誤修復。Developer Hub與Red Hat生態系深度整合，包括Red Hat OpenShift等，對於使用Red Hat產品的用戶來說，這樣的整合可帶來更流暢的工作流程。</p> <p>Developer Hub提供集中控制的機制，可作為企業軟體開發集中控制工具，藉由使用擴展套件架構無縫整合各種工具，Developer Hub所提供的每個擴充套件都對應開發過程中的特定功能，範疇從相依項目管理到自動建置流程。官方指出，這種模組化方法簡化軟體開發環境。Developer Hub於容器映像檔內建一組擴充套件，不過用戶也可以使用自己開發或是第三方提供的擴充套件。</p> <p>軟體範本和元件目錄是Developer Hub中的兩個重要工具。軟體範本指得是可用於創建專案的藍圖，其包含了啟動專案所需的所有設定和結構，以及檢查程式碼錯誤、安全性驗證和可信工作管線等工具，不只可加速開發流程，減少開發團隊配置的時間，也能確保專案的品質與安全性。</p> <p>Developer Hub的元件目錄則是集中儲存庫，用於管理軟體開發專案中的所有元件、服務和相依項目，強化開發者對專案元件的可存取性和清晰度。使得開發團隊能夠更簡單地查詢和使用這些工具，並且管理相依關係。透過元件目錄，開發團隊可以更有效率地合作維持一致性。</p> <p>Red Hat表示，Developer Hub的價值在於超越傳統專案管理的限制，藉由整合共享工具促進協作環境。開發團隊可以根據需求，自行整合和應用自訂的工具，並在不同的專案間共用，整體來說，可以簡化專案的複雜性，並支援集中應用程式開發方法。</p> </div></div></div>
2024/1/22 09:43作者李建興https://www.ithome.com.tw/news/160932
微軟推進教育AI工具與政策，增強個人化學習與教學支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟教育團隊<a href="https://educationblog.microsoft.com/en-us/2024/01/unlocking-productivity-and-personalizing-learning-with-ai">公布</a>一系列人工智慧教育產品與相關政策更新。微軟擴大教育用戶對Microsoft 365 Copilot的可用性，並將Microsoft Loop應用程式引入教育領域，而且還更新Reading Coach，協助學生進行個人化閱讀練習。在Microsoft Learn平臺還推出對人工智慧的學習路徑，輔助教育者了解並善用人工智慧技術。</p> <p>Reading Coach是一款結合生成式人工智慧技術的學習工具（下圖），目的是在提供個人化且引人入勝的閱讀體驗。該款工具提供學生個人化閱讀練習、即時發音並給予即時回饋，也提供教育者分析資料，以共同協助學生提升閱讀能力。</p> <p class="rtecenter"><img alt="" src="https://forrit-one-msedu-p3-consumables.azureedge.net/media/8082781f-b2ed-4378-8a2f-d04a0e4692af/01-Reading-Coach-private-preview-create-a-story-new.gif" style="width: 580px; height: 326px;" /></p> <p>Reading Coach新增個人化功能，能夠根據學生的閱讀水準動態創建故事，來增強學生的學習動機。學生可以選擇故事的主角、背景，並在閱讀過程中做出選擇改變故事情節，也可在過程解鎖新故事背景和角色，並在進度報告中看見自己的發音和流暢度提升成果。</p> <p>Reading Coach所創建的故事經過品質、安全性和適齡性審查，除了由人工智慧所創建的故事之外，學生也可以從經挑選的ReadWorks圖書館中選擇不同等級的文章。微軟要更廣泛地推廣Reading Coach，現在向所有擁有微軟帳戶的用戶免費提供服務，學生可在任意裝置上進行閱讀，稍晚微軟還會提供學習管理系統，方便教育者創建Reading Coach練習作業。</p> <p>微軟也在教育領域擴展Copilot和Loop兩項服務。Copilot現在對高等教育教職員工和18歲以上學生開放，包括免費使用服務的用戶。而從2024年起，教育部門的教職員工也可以購買Microsoft 365的Copilot服務。可用於幫助用戶思考、創建計畫的人工智慧協作應用程式Loop，被納入Microsoft 365學生使用權益中。</p> <p>微軟針對教育領域的Teams和Reflect工具進行更新。Teams新增多項人工智慧功能，協助教育者節省時間並實踐差異化教學，這些功能包括一鍵生成閱讀材料、評量和作業指示等，並且可依據年齡、語言、主題等過濾器，增加或是減少內容的複雜性，滿足學生個人化學習需求。</p> <p class="rtecenter"><img alt="" src="https://forrit-one-msedu-p3-consumables.azureedge.net/media/d24f6f00-b738-40f3-bf08-2c980f3b1852/02-Classwork-Microsoft-Teams-AI-module-generation.gif" style="width: 600px;" /></p> <p>Teams Classwork功能還進一步強化教學管理，教育者在設計作業時，能夠運用人工智慧輔助，強化重要內容和整體詳細程度，並生成評量草稿。微軟還強化Teams中的Reflect工具，協助學生表達和理解自己的感受，也使教育者能夠根據學生的情感回饋，採取相對應的措施。</p> <p>最新的Microsoft Learn平臺更新針對教育者推出，名為AI for Educators Learning Path的新學習路徑，協助教務者了解並利用人工智慧。其中包含3模組，第一是探索人工智慧的潛力，第二模組介紹利用Copilot強化教學的方法，第三則是指導教育者使用微軟人工智慧教導學生的方法。微軟還新推出AI Classroom工具包，協助教育者和學生安全地使用人工智慧。</p> </div></div></div>
2024/1/22 09:55作者李建興https://www.ithome.com.tw/news/160934
Ruckus企業級Wi-Fi 7基地臺來了！傳輸效能達12G、內建TPM
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ruckus_r770_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月數位部開放Wi-Fi 使用6GHz頻段，到了11月，國家通訊傳播委員會（NCC）審議通過<a href="https://www.ncc.gov.tw/chinese/news_detail.aspx?site_content_sn=8&sn_f=49606">「低功率射頻器材技術規範修正草案」</a>，增訂6 GHz部分頻段相關技術審驗規定，作為相關廠商辦理型式認證依據，後續引發市場關注Wi-Fi 6E與Wi-Fi 7網路基地臺產品的發展，例如，在10月底，我們報導國產廠商兆勤科技推出的<a href="https://www.ithome.com.tw/review/159429">Wi-Fi 7基地臺WBE660S</a>，11月介紹<a href="https://www.ithome.com.tw/review/159760">思科的Wi-Fi 6E基地臺</a>，涵蓋Catalyst 9166系列、9164系列、9162系列。</p> <p>接著，我們來看看Ruckus去年10月發表的Wi-Fi 7基地臺R770，因為到了今年1月，這個網路設備品牌的代理商鉅立資訊、友訊科技，開始在臺灣市場主推。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus AP Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AP%20Portfolio.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-3.jpg" style="width: 600px;" /></p> <p>一如所有Wi-Fi 7基地臺的無線通訊配置，R770同樣支援3個頻段，而在天線配置上，2.4 GHz、6 GHz採用2x2:2，5GHz採用4x4:4，合併的資料傳輸率為12. 22 Gbps——以實體傳輸率而言，2.4 GHz頻段為689 Mbps，5 GHz與6 GHz頻段均為5,765 Mbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus Wi-Fi 6E_7-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20Wi-Fi%206E_7-1.jpg" style="width: 600px;" /></a></p> <p>關於6 GHz為何不用4x4的理由，Ruckus表示，在6 GHz的低功耗室內（LPI）模式，若用2x2架構通訊，具有更強大的傳輸功率，可涵蓋的範圍比4x4更遠，未來他們將推出2.4 GHz採用2x2，5GHz、6 GHz採用4x4的Wi-Fi 7基地臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20Wi-Fi%206E_7-2A.jpg" style="width: 600px;" /></p> <p>而在Wi-Fi 7產品支援的功能方面，R770也一樣提供，像是正交振幅調變（QAM）可支援4096個（Wi-Fi 5支援256 QAM，Wi-Fi 6與Wi-Fi 6E支援1024 QAM），以及可使用320 MHz通訊頻道（Wi-Fi 5到Wi-Fi 6E支援20、40、80、80+80、160MHz）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi 7-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-2.jpg" style="width: 398px;" /></p> <p>除了遵循業界標準，R770結合Ruckus Wi-Fi基地臺特有的多種無線通訊技術，像是：智慧型天線系統Beamflex+、自動選擇無線通訊頻道技術ChannelFly，以及交織網路自我組建與調校技術SmartMesh，可大幅減少干擾，延伸Wi-Fi訊號覆蓋範圍，減少通訊死角，提升訊號品質，進而提供穩定的連線與傳輸效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20BeamFlex.jpg" style="width: 298px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20BeamFlex%2B%20pattern.png" style="width: 198px;" /></p> <p>在此同時，R770內建自動協調頻率（AFC）機制，可針對6 GHz頻段提供更理想的連網服務品質控管（QoS），在遵循法規要求的狀態下，盡可能針對6 GHz Wi-Fi的室內與室外網路，產生最強的訊號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi 7-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-4.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi 7-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Rurckus-Wi-Fi%207-5.jpg" style="width: 600px;" /></a></p> <p>對於支援低功耗藍牙（BLE）與Zigbee連接的物聯網裝置，R770也內建這兩種無線通訊技術，能夠融合IT與OT環境的管理與連網擔保，Ruckus預告未來將支援Matter、Thread等物聯網協定，以便提供不同物聯網生態體系之間的互通性，以及低功耗設備的無線通訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20IoT.jpg" style="width: 600px;" /></p> <p>這款新上市的設備，也搭配雲端網路服務保障與商業應用情報平臺Ruckus AI（前身為雲端資料分析服務Ruckus Analytics），強化Wi-Fi 7網路的韌性，並且簡化網路管理作業——可將關鍵資訊呈現到網路營運人員面前，能夠改善網路狀態能見度，加速解決問題，符合服務等級的要求，並確保用戶連網體驗得以順暢。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus AI-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AI-1.jpg" style="width: 600px;" /></a></p> <p>關於無線網路環境的韌性，R770由於具備強化AI技術，可辨識網路事故、自動根據嚴重等級進行分類、追蹤根本原因，並且能針對錯誤的矯正而產生特定的建議。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ruckus AI-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AI-2023-10.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Ruckus AI-2023-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ruckus%20AI-2023-10-2.jpg" style="width: 298px;" /></a></p> <p>在安全性方面，R770支援Ruckus專屬的DPSK3（Dynamic Pre-Shared Key 3）技術，當中結合他們獨有的動態預先共用金鑰（Dynamic PSK）技術，以及Wi-Fi連線加密協定WPA3，而能使用動態的通行碼來保護網路存取。此外，這款機型也內建可信任平臺模組（TPM）2.0，可提供進階加密功能，像是存放長度更長的加密金鑰，以此增加潛在網路威脅破壞系統的困難度。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Ruckus R770</strong><br /> ●原廠：CommScope<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：1個10 GbE埠（支援PoE）、1個GbE埠<br /> ●天線架構：6 GHz、2.4 GHz為2x2:2，5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為12.2 Gbps，6 GHz為5,765 Mbps，5 GHz為5765 Mbps，2.4GHz為689 Mbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、Zigbee<br /> ●尺寸：23.3 x 23.3 x 5.9公分<br /> ●重量：1.36公斤<br /> ●集中管理平臺：Ruckus One、RUCKUS SmartZone、Ruckus Unleashed</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/21 22:46作者李宗翰https://www.ithome.com.tw/review/160857
國泰金控以保險雲中臺打造產品工廠，商品上線數位通路時程縮短至兩天內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，保險市場從以商品為中心轉變為以客戶為中心，保險商品逐漸個人化，業者為了更深入了解顧客，也開始尋求蒐集顧客數據的方式。不過，由於保戶通常僅在理賠期間才與企業互動，相較於銀行業，保險業較難直接取得顧客數據。因此，近年來，保險業者開始透過API整合進行異業合作，以擴大數據蒐集的管道。保險商品的數位通路不在僅限於網頁和App，而是擴展到更多場景中。</p> <p>為了因應市場趨勢，國泰產險在2020年就開始建置保險中臺，支援保險商品快速重組，更在2021年推出電商式投保平臺，能針對不同族群打造不同保險套餐。去年，國泰金控在技術年會上揭露了新一代保險雲中臺，將業務中臺、智慧中臺和技術中臺合稱作產品工廠，能讓開發者快速在數位通路上線保險商品，從以往大約兩周的上線時間，縮短至兩天內，就能將新商品對接數位通路。</p> <p>國泰金控數數發中心數位架構發展部專案經理蘇書玄表示，團隊在2021年完成商品組裝平臺後，開始進一步思考，如何以更彈性的方式與數位通路對接，同時顧及核心系統整合，打造更快速的保險產品重組製程。</p> <p>首先，團隊決定透過雲端來支援通路快速變化。蘇書玄表示，為了支持保險業發展生態系，平臺需要快速和不同通路對接，而雲端具備的高可用性、高遷移性和高擴容性，能讓保險服務快速部署到海內外企業，符合業務需求。因此，團隊首先決定將保險中臺部署至雲端，打造保險雲中臺。</p> <p>再來，團隊在保險雲中臺引入產品工廠的概念，要以低代碼、組件化的概念快速組裝保險商品，滿足多種業務場景和顧客需求。產品工廠的資訊架構中，第一層是通路層，包含官網、App和異業合作通路。第二層是業務流程層，可以建立保險業務流程的生命週期中所有流程，通路層可以透過API和第二層串接。第三層則採用微服務架構設計，一方面提供了不同的處理引擎和各種業務功能元件，另外也區隔出不同類型的業務資料庫，讓使用者可以對應業務流程，快速組合業務元件和需要的業務資料庫，組裝客製化保險商品。</p> <p>實現保險產品工廠的過程中，國泰金控遇到的第一個關鍵挑戰，是如何設計保險商品結構。蘇書玄說明，保險商品的設計過程複雜，必須涵蓋整個保險生命週期的服務，從商品選擇、承保檢核、保費試算，再到承保受理、核保、出單，最後進行保費保全作業和理賠作業，才能完成一個保險商品。再者，保險商品架構不僅要符合既有商品的要求和規範，也要具備未來商品所需的彈性需求。</p> <p>為了符合彈性組合的需求，團隊以積木式作為商品架構方式。他們將保險商品拆解成多個層次，分為商品販售、承保項目、承保標的、承保範圍和保險責任等，使用者可以在既有商品中，以取出積木的方式選取業務邏輯，並在平臺的商品管理中心進行調整。藉由平臺上的商品管理中心，使用者能因應新興保單組裝不同承保服務，新增或調整參數，和使用規則引擎，將商品與規則綁定。最後還能透過選定元件，快速製作投保頁面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-01-19%20152649.png" style="width: 600px;" /></p> <p>過往保險商品上架數位通路時，需要經過四個步驟，第一步是商品配置，由精算人員或IT人員在核心系統設計和配置商品基本參數，第二步是計算規則費率，透過IT人員進行程式開發，撰寫商品規則和保費計算，第三步是設計投保頁面，由UI設計人員和IT人員合力架設網頁。蘇書玄表示，操作人員能在保險雲中臺完成前三個步驟，最後一鍵發布網頁，完成第四個部署上線的步驟。</p> <p>蘇書玄舉例，假設有租車平臺業者與國泰合作推出叫車出遊險，第一步進行商品發想，將投保對象分為乘客和駕駛，各自需要乘客傷害險和駕駛傷害險，第二步是進行結構拆分，選取保險商品所需的服務，例如將旅平險、行李丟失、道路救援、突發疾病和拖吊服務納入商品中。接下來，使用者可以在平臺提供的規則庫中選取所需配件，例如將汽車強制傷害險的規則引入，最後在投保頁面設計上，使用者只要拖曳想用的元件，就能組合出投保頁面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__52904246.gif" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__52904247.gif" style="width: 600px;" /></p> <p>為了支援不同通路，平臺可以透過配置設定和組裝既有API，快速對外提供服務。此外，使用者也可依不同通路進行服務開放、權限控制、流量限制和請求轉換等處理。平臺也提供API服務管理監控功能，能進行異常告警，讓使用者追蹤交易資訊，和資源健康狀態等服務。</p> <p></p> </div></div></div>
2024/1/19 15:00作者李昀璇https://www.ithome.com.tw/news/160927
穩定幣連續兩年成為非法交易中最主要的加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國區塊鏈分析業者<a href="https://www.chainalysis.com/blog/2024-crypto-crime-report-introduction/" target="_blank">Chainalysis本周公布</a>了2023年的<a href="https://www.chainalysis.com/blog/2024-crypto-crime-report-introduction/" target="_blank">加密貨幣非法交易研究報告</a>，指出穩定幣已連續兩年超越比特幣，成為非法交易中最主要的加密貨幣，而主要的非法交易則是源自於受到制裁的實體。</p> <p>調查顯示，去年的加密貨幣非法交易規模為242億美元，遠低於2022年的396億美元，儘管比特幣在2021年及以前一直是非法交易的最大幣別，但在2022年即被穩定幣超越，並延續至2023年。去年有超過6成的非法交易使用穩定幣，比特幣僅占了不到25%，位居第三的則是以太幣。</p> <p>242億美元的非法交易規模僅為整體加密貨幣交易的0.34%，主要的非法交易源自受到制裁的實體，由於某些國家遭到美國或其它國家的制裁，使得它們只能透過加密貨幣交易，總計交易量為149億美元，占所有非法交易的61.5%。</p> <p>Chainalysis認為，穩定幣獨居非法交易鰲頭主要是因為與遭制裁有關的交易有8成都使用穩定幣，另也跟穩定幣的普及有關。</p> <p>除了與制裁有關的非法交易外，舉凡是兒童性剝削、暗網、網路犯罪、惡意程式、毒品交易或是勒索軟體的非法活動，依然以比特幣為主。</p> <p>Chainalysis的調查主要是追蹤各個已知的非法加密貨幣位址，顯示加密貨幣詐騙及駭客收入在去年分別下滑了29.2%及54.3%，而勒索軟體與暗網的收入卻是成長的。</p> </div></div></div>
2024/1/19 16:15作者陳曉莉https://www.ithome.com.tw/news/160930
因應Wi-Fi 7帶動頻寬升級商機，兆勤推新款2.5GbE交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zhao_qin_xmg1915_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應Wi-Fi 6、6E、7基地臺的日漸普及，以及多種GbE埠規格的裝置連網需求，例如網路攝影機、NAS，兆勤科技（Zyxel Networks）1月發表智慧型網管交換器XMG1915系列，提供內建8個與16個2.5 GbE埠的機型，並且都搭配2個相容GbE與10 GbE規格的上行埠，企業若要集中管理這系列網路交換器，也能透過該公司長期發展的Nebula雲端平臺進行操控——IT人員可透過Nebula專用的行動App，掃描QR code即可完成註冊程序，後續也能以App或網頁介面管理交換器，隨時隨地掌握相關的網路動態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XMG1915-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XMG1915-overview.jpg" style="width: 400px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20mGig%20switch%20topology.jpg" style="width: 600px;" /></p> <p>為了簡化網路與電力的部署，許多連網裝置會用到乙太網路供電（PoE）的規格，XMG1915系列當中有兩款機型支援PoE++，可對連接這些埠的裝置供應網路連線，以及60瓦的電力。以其中一款機型XMG1915-10EP為例，8個2.5 GbE埠均支援PoE++，整臺設備最高可供應的電力為130瓦；另一款機型XMG1915-18EP，提供16個2.5 GbE埠，當中有一半的網路埠支援PoE++，整臺設備最高可供應的電力為180瓦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel mGig switch portfolio-PoE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20mGig%20switch%20portfolio-PoE.jpg" style="width: 600px;" /></a></p> <p>就硬體運算配備而言，XMG1915系列均採用256 MB記憶體、32 MB快閃記憶體，封包緩衝記憶體容量為1.5 MB，而在網路處理能力方面，這批網路設備的交換容量都是80 Gbps，流量轉送效能為59.5 Mpps，MAC位址數量最大可容納1.6萬個，巨大封包（Jumbo Frame）可支援12 KB。</p> <p>在雲端管理平臺方面，兆勤在2023年10月底推出Nebula的17.20版，針對列管網路設備的支援上，納入該公司近期陸續推出的多款產品，像是當時發表的<a href="https://www.ithome.com.tw/review/159429">企業級Wi-Fi 7基地臺WBE660S</a>，11月底發表的<a href="https://www.ithome.com.tw/review/159639">網路防火牆USG FLEX H系列</a>，以及現在登場的交換器XMG1915系列。</p> <p>若企業需要在單位空間內連接更多2.5GbE網路介面的設備，兆勤在2022年底、2023年初已推出XMG1930系列，搭配24個2.5 GbE埠、4個10 GbE埠（可相容2.5 GbE、5 GbE），以及2個10 GbE上行埠，此產品可供應的對象相當廣泛，涵蓋中小企業、系統整合商、代管服務商，以及小型網路服務業者，能夠支援進階商業應用驅動的網路頻寬升級需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zyxel mGig switch portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zyxel%20mGig%20switch%20portfolio.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>兆勤XMG1915系列</strong><br /> ●原廠：兆勤科技<br /> ●建議售價：廠商未提供<br /> ●網路介面：8個2.5 GbE埠搭配上行埠2個10 GbE埠（SFP+）、8個2.5 GbE埠（支援PoE++）搭配上行埠2個10 GbE埠（SFP+）、16個2.5 GbE埠（其中8埠支援PoE++）搭配上行埠2個10 GbE埠（SFP+）<br /> ●機型與外觀：XMG1915-10E、XMG1915-10EP（支援PoE++）為桌上型，XMG1915-18EP（支援PoE++）為1U<br /> ●網路交換容量：80 Gbps<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體容量：1.5 MB<br /> ●管理平臺：本機網頁介面、SNMP、RMON、Syslog、雲端管理平臺Nebula</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/1/19 16:18作者李宗翰https://www.ithome.com.tw/review/160907
Have I Been Pwned收到近7,100萬筆來自惡意程式的外洩電子郵件帳號及逾1億個密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蒐集全球外洩個資並免費供使用者查詢的Have I Been Pwned（HIBP），<a href="https://haveibeenpwned.com/PwnedWebsites#NazApi" target="_blank">本周再獲得了</a>70,840,771筆的電子郵件帳號與1億個密碼，過去HIBP所蒐集的資料多半來自企業資料庫遭駭，但這次的資料卻是來自駭客透過惡意程式於被害者的電腦上搜括而來。</p> <p>該筆資料名為Naz.API，在去年9月便出現在駭客論壇上，並輾轉交到HIBP創辦人Troy Hunt手上。<a href="https://www.troyhunt.com/inside-the-massive-naz-api-credential-stuffing-list/" target="_blank">Hunt發現</a>，Naz.API總計有104GB，存放了319個檔案，當中含有70,840,771個電子郵件帳號，其中有65%的帳號已被HIBP收錄，有35%是新的外洩資料。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0119-Naz_API-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Have%20I%20Been%20Pwned.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Troy Hunt</span></span></p> <p>值得注意的是，當Naz.API出現在駭客論壇時，賣家宣稱相關資料來自於Stealer logs，內含10億筆的不重覆紀錄，代表這是駭客於使用者裝置上植入惡意程式，自受駭裝置的瀏覽器搜括而來，因此，除了電子郵件帳號之外，也可能含有各種服務的密碼、Cookie、瀏覽歷史紀錄、金鑰或加密貨幣錢包等。</p> <p>Hunt輸入自己的資料進行測試，發現他的電子郵件帳號的確出現在Naz.API中，還有他在2011年以前曾使用過的許多密碼，顯示它可能是個很舊的資料庫。</p> <p>使用者只要於<a href="https://haveibeenpwned.com/" target="_blank">HIBP</a>上輸入自己的電子郵件帳號，就能查詢自己的資料是否曾經外洩，系統也會秀出外洩的服務名稱，但若資料出現在Naz.API中，便意謂著使用者的電腦曾經感染過惡意程式。</p> </div></div></div>
2024/1/19 16:27作者陳曉莉https://www.ithome.com.tw/news/160931
臺灣也要推Digital Wallet，數位部明年將推數位皮夾，可望整合自然人憑證、駕照等證件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近幾年隨著手機發展，手機已成為個人隨身必帶的電子產品，以手機為載體，可載入實體證件功能的Digital Wallet（數位錢包或數位皮夾）發展相當快速，Google及蘋果兩大科技業者各自推出Digital Wallet，在美國與州政府合作，讓Digital Wallet可整合民眾的駕照、ID等證件，不需隨身攜帶實體證件，使用手機就能提供各種身分識別之用。</p> <p>歐盟則是規畫數位身分框架，讓歐盟公民可以透過數位身分錢包（Digital Identity Wallet）控各式證件，在數位服務中證明自己的身分，歐盟也要求大型網路平臺支援數位身分錢包。</p> <p>臺灣也不落人後，相較於Google、蘋果與國外政府合作，臺灣傾向推出自己自己的Digital Wallet，數位發展部已準備對外招標，規畫在今年底先開發測試版本，明年才有比較成熟的版本。</p> <p>數位部民主網絡司司長莊盈志表示，Digital Wallet可視為數位皮夾，可以整合各政府機關發行的證件。今年先完成Wallet的操作雛形，若測試順利，初步構想是先與內政部合作，讓行動自然人憑證先和Wallet綁定，甚至更進一步，未來讓實體自然人憑證也能綁定，克服一部分仍無法使用實體自然人憑證的情形，舉例來說，目前政府一些系統雖支援實體自然人憑證，但因為比較早期開發，這些系統僅支援Windows平臺，蘋果的Mac平臺因缺乏驅動程式無法使用實體自然人憑證，未來如果實體卡整合至Wallet，就能解決Mac用戶使用自然人憑證的問題。</p> <p><span style="font-size:20px;"><strong><span style="color:#B22222;">民眾同意下，資料最小揭露</span></strong></span></p> <p>過去，民眾申請服務將提供實體證件卡片，讓服務供應商掃描證件資料，而實體證件整合進Digital Wallet後，莊盈志指出，民眾透過Wallet證件上的資料存取授權，在民眾授權之下，服務業者在後端就能讀取Wallet的證件資料，為業者執行業務所需的資料。</p> <p>換言之，數位部規畫Digital Wallet將採用資訊最小揭露的原則，即業者存取Wallet的證件資料，並非可以任意取得Wallet上的證件所有資料，而是僅能取得業務所需的特定資料，且需先經過民眾的同意授權才能存取。</p> <p>以電信門號申請需要雙證件的情境為例，莊盈志表示，未來民眾申辦門號，不需攜帶實體證件，在手機裡的Digital Wallet設定，將駕照及健保卡的資料授權供業者存取，這些資料分別由發行機關，交通部、衛福部確保資料的真實性，避免資料造假。</p> <p>他認為，對企業來說，以往企業掃描民眾的證件，相對應要負較大資料外洩風險，民眾透過Wallet授權資料存取，企業只取得業務需要的資料，資料外洩的風險較少，其次是Wallet提供的資料經過加簽，為發行證件的政府機關核發的。另外，民眾授權提供資料給企業，同意的動作會被紀錄下來，留下Log紀錄，具有不可否認性，事後若有糾紛可以追查。「等於有兩個不可否認性，一個是政府核發的憑證，另一個是使用者同意的Log是加簽過的」。</p> <p>數位部也與國內的FIDO聯盟討論，未來考慮在Digital Wallet採用FIDO身分驗證技術，換言之，迎合無密碼的身分驗證趨勢，憑手機的指紋或臉部辨識完成身分驗證。</p> <p>莊盈志強調，Digital Wallet並不會取代實體證件，而是在實體證件之外，提供民眾方便使用第二個選擇方案，熟悉3C的年輕民眾可使用Digital Wallet，透過Wallet提供資料申辦服務，年長或不熟悉3C及網路使用的民眾仍可以使用實體證件臨櫃申辦服務。</p> <p>「我們的想法是貼近民眾的日常生活，讓政府服務並非取代，而是提供民眾第二個選擇方案，讓需要的民眾使用」，他強調，Digital Wallet數位皮夾不會強制民眾使用，將民眾的資訊整合到個人的數位皮夾，未來整套機制也會以Public Code，在臺灣公共程式平臺上公開讓外界審視。</p> <p><span style="font-size:20px;"><span style="color:#B22222;"><strong>公開規格擴大民間證件卡片加入Wallet</strong></span></span></p> <p>除了初步構想先整合自然人憑證外，為了豐富數位皮夾的應用，數位部也構想民眾較常使用的證件，例如駕照、健保卡也整合進來，但仍需與核發機關交通部、衛福部討論如何合作。</p> <p>Digital Wallet先從政府機關開始，整合政府核發的證件，未來數位部也期望擴大到民間，明年透過Public Code公開Digital Wallet規格，讓一般企業將會員卡、員工證也能整合進Digital Wallet，讓這個數位皮夾，不只是政府服務，也能用在更多應用。</p> <p>莊盈志表示，規畫推動的Digital Wallet數位皮夾，預期兩年會先以整合政府的證件為主，將政府常見的三證件，自然人憑證、健保卡、駕照整合到數位皮夾裡，之後再推動到民間，讓企業的證件卡片也能加入Wallet。</p> <p>然而，政府推動Digital Wallet數位皮夾，可能引發外界的疑慮，尤其是數位皮夾、授權資料，留下數位足跡產生侵犯隱私、監控的疑慮。因此，為了增加民眾的信任，數位部也期望Wallet明年透過Public Code公開程式碼，外界可以共同檢視之外，消除外界的疑慮，另外，由於Digital Wallet並沒有強制使用，其定位是實體證件外的第二個方便管道，提供民眾簡便服務的選擇，不習慣或不熟悉3C的民眾還是能使用原有實體證件。</p> </div></div></div>
2024/1/19 16:57作者蘇文彬https://www.ithome.com.tw/news/160933
【資安日報】1月19日，針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對缺乏資安防護的連網家電發動攻擊的情況，最近2年不斷傳出，去年9月就傳出一起鎖定安卓電視盒的攻擊行動，最近有研究人員公布新的發現，他們指出其攻擊對象較先前公布的更廣泛。</p> <p>根據他們的調查，駭客從9年前就開始從事相關攻擊行動，並且不光針對執行安卓作業系統的電視盒，對於搭載這類作業系統的智慧電視、另一種作業系統eCos的電視盒，也是他們下手的標的。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.xlab.qianxin.com/bigpanzi-exposed-hidden-cyber-threat-behind-your-stb/"><strong style="font-size: 22px;">逾17萬臺安卓智慧電視、電視盒感染殭屍網路病毒，從事攻擊的駭客組織Bigpanzi背後可能有企業在撐腰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/pan_bigbasic.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pan_bigbasic.png" style="width: 300px; float: right;" /></a>去年9月防毒業者Dr. Web揭露<a href="https://www.ithome.com.tw/news/158641#mirai">鎖定安卓電視盒的Mirai殭屍網路病毒變種</a>，駭客疑似透過惡意韌體或盜版應用程式散布，如今有新的發現。</p> <p>中國資安業者奇安信指出，他們發現從事這起攻擊行動的駭客組織Bigpanzi，專門鎖定搭配安卓作業系統的電視與電視盒，以及執行eCos作業系統的電視盒發動攻擊，估計從2015年就開始從事相關活動，其控制的大型殭屍網路平均每天約有17萬個機器人處於活動狀態。研究人員挾持對方其中2個C2網域後，自8月開始，他們看到130萬個與該殭屍網路相關的IP位址出現，大部分位於巴西。</p> <p>而對於遭到控制的智慧電視與電視盒，研究人員指出，駭客將其用於打造盜版媒體串流平臺、流量代理網路，或是用於發動DDoS攻擊，從而牟取利益。這些駭客在其攻擊行動運用了兩種惡意程式，分別名為pandoraspear和pcdn。Pandoraspear是木馬程式，主要能挾持DNS配置，並與C2連線並執行收到的命令；另一個惡意軟體Pcdn，則是用於點對點（P2P）的內容傳遞網路（CDN），並使受害裝置成為網路攻擊工具。</p> <p>由於遭到控制的智慧電視及電視盒未必全時段運作，再加上研究人員分析的過程遭到駭客攻擊，他們認為這個殭屍網路的實際規模，遠超過上述的調查結果，而且，他們從Pcdn的程式碼發現，這起攻擊背後可能與特定企業有關。</p> <p><a href="https://www.cadosecurity.com/containerised-clicks-malicious-use-of-9hits-on-vulnerable-docker-hosts/"><strong style="font-size: 22px;">Docker主機遭到鎖定，被用於挖礦及盜賣流量牟利</strong></a></p> <p>資安業者Cado揭露最近一波針對Docker環境而來的攻擊行動，駭客疑似利用物聯網搜尋引擎Shodan或其他平臺掃描網路，找尋容易攻擊的Docker主機，成功入侵後透過Docker的API，利用Docker的CLI設定DOCKER_HOST環境變數，從Docker Hub拉取映像檔，部署含有挖礦軟體XMRig、網路流量交換軟體9hits的惡意容器，而這些映像檔其實是使用體型很小的Alpine Linux作業系統為基礎，並添加上述軟體而成。</p> <p>研究人員指出，這是他們首度看到有攻擊者利用9hits來盜取流量的情況。而對於執行9hits軟體的容器，研究人員指出，此網路流量交換軟體為無GUI（即Headless）的Chrome打造而成，該程式通常會注入其他應用程式的處理程序來執行瀏覽器實體並存取網站，攻擊者通常會對其下達額外的配置，像是允許存取色情網站，或是含有彈出式視窗的網站。但特別的是，駭客禁止9hits應用程式存取與加密貨幣相關的網站，為何如此？研究人員表示他們並不清楚。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="http://blog.trailofbits.com/2024/01/16/leftoverlocals-listening-to-llm-responses-through-leaked-gpu-local-memory/"><strong style="font-size: 22px;">蘋果、AMD、高通GPU存在名為LeftoverLocals的弱點，有可能洩露AI相關資料</strong></a></p> <p>資安業者Trail of Bits揭露名為LeftoverLocals的漏洞，這項漏洞存在於蘋果、AMD、高通、Imagination Technologies的顯示晶片（GPU），起因是部分GPU框架對記憶體沒有完全隔離，導致其中1個GPU核心有機會讀取另1個核心寫入記憶體的資料，研究人員指出，攻擊者只需執行需要透過GPU運算的應用程式，例如OpenCL、Vulkan、Metal，就有機會藉此漏洞讀取留存在記憶體裡的資料。</p> <p>在這種攻擊當中，攻擊者可藉由其中1個GPU核心，拿出本機尚未初始化的記憶體讀取資料，然後將其轉存到能夠持續存取的記憶體位置，像是全域記憶體，這種手法有可能曝露GPU處理的機器學習模型敏感資料，像是模型輸入、輸出、權重的資料，此漏洞被登記為CVE-2023-4969列管。</p> <p>研究人員在去年9月通知電腦網路危機處理暨協調中心（CERT/CC）並進行相關通報，其中，蘋果確認A17與M3處理器已具有相關修補程式；AMD公布影響範圍，並著手規畫緩解措施；高通於近期發布2.0.7版韌體當中，已修補部分GPU型號的漏洞；Imagination於去年12月發布的23.3版驅動程式開發套件（DDK）予以修補；Intel、Nvidia、Arm則確認旗下產品不受影響。</p> <p><strong><a href="https://blog.quarkslab.com/pixiefail-nine-vulnerabilities-in-tianocores-edk-ii-ipv6-network-stack.html"><strong style="font-size: 22px;">研究人員揭露PixieFail弱點，恐影響企業主機的PXE網路開機功能</strong></a></strong></p> <p>資安業者Quarkslab公布一系列與UEFI韌體有關的漏洞PixieFail，這些漏洞存在於Intel開發的UEFI參考實作TianoCore EDK II套件上，有可能在網路開機的過程遭到利用、允許駭客發動阻斷服務攻擊（DoS）、遠端執行任意程式碼（RCE）、挾持網路連線階段（Session），多家業者的產品及服務受到影響。</p> <p>研究人員找到的漏洞，總共登記了9個CVE編號予以列管，分別是：整數下溢漏洞CVE-2023-45229，緩衝區溢位漏洞CVE-2023-45230、CVE-2023-45234、CVE-2023-45235，越界讀取漏洞CVE-2023-45231，無限迴圈漏洞CVE-2023-45232、CVE-2023-45233，可預測TCP初始序列號碼的漏洞CVE-2023-45236，以及使用弱的偽隨機數生成器造成的CVE-2023-45237。攻擊者可在區域網路環境，且未經身分驗證的情況下，遠端利用上述漏洞，在這些企業工作站與伺服器的網路開機過程中發動攻擊。</p> <p>值得留意的是，PixieFail也影響其他的UEFI參考實作，例如：Insyde Software的Insyde H20 UEFI BIOS，AMI的Aptio OpenEdition，Phoenix的SecureCore、微軟的Project Mu。</p> <p><strong><a href="https://www.praetorian.com/blog/tensorflow-supply-chain-compromise-via-self-hosted-runner-attack/"><strong style="font-size: 22px;">機器學習框架TensorFlow存在CI/CD缺陷，恐被用於供應鏈攻擊</strong></a></strong></p> <p>資安業者Praetorian針對開源機器學習框架TensorFlow進行調查，結果發現其中的CI/CD錯誤配置，有可能被攻擊者用來進行供應鏈攻擊，從而上傳惡意發布版本到TensorFlow官方的GitHub儲存庫、對自行管理的GitHub執行器（Runner）發動遠端執行任意程式碼攻擊（RCE），以及從名為tensorflow-jenkins的使用者接收GitHub的私人存取憑證（Personal Access Token，PAT）。</p> <p>研究人員透過自行開發的工具，先識別在自行管理的GitHub執行器執行的TensorFlow工作流程，從而找出先前貢獻者的分叉拉取請求，這些請求會自動觸發對應的CI/CD工作流程，而無需任何核准程序。換言之，攻擊者可先對於目標程式碼儲存庫進行小型的合法修改（如修正拼字錯誤），然後建立拉取請求，等到該請求被合併後，取得貢獻者身分，從而在執行器執行程式碼，而不會因為建立惡意拉取請求產生任何警訊。</p> <p>研究人員去年8月通報上述弱點，相關專案人員於12月20日做出處置。</p> <p><strong><a href="https://thehackernews.com/2024/01/github-rotates-keys-after-high-severity.html"><strong style="font-size: 22px;">GitHub針對12月揭露的高風險漏洞輪調金鑰</strong></a></strong></p> <p>1月16日GitHub發布資安通告，他們在12月26日透過漏洞懸賞專案得知高風險漏洞CVE-2024-0200，此為不安全的反射漏洞，而有可能導致攻擊者在GitHub Enterprise Server（GHES）上藉由反射注入的方式，執行使用者控制的方法，而能遠端執行任意程式碼（RCE），CVSS風險評分為7.2，影響所有3.12版之前的版本。攻擊者若要利用這項漏洞，必須先登入具有組織所有者角色的使用者帳號。</p> <p>GitHub已修補上述漏洞，並表示為求謹慎，他們也在同日輪替部分金鑰，這些包含了GitHub Actions、GitHub Codespaces、Dependabot用戶的加密金鑰，用戶需要匯入新金鑰才能繼續使用。</p> <p>此外，該公司也修補了另一個管理主控臺的命令注入漏洞CVE-2024-0507，攻擊者一旦取得編輯者的角色權限，就有可能藉此弱點提升權限，CVSS風險評分為6.5。</p> <p>資料來源</p> <p>1. <a href="https://github.blog/2024-01-16-rotating-credentials-for-github-com-and-new-ghes-patches/">https://github.blog/2024-01-16-rotating-credentials-for-github-com-and-new-ghes-patches/</a><br /> 2. <a href="https://docs.github.com/en/[email protected]/admin/release-notes">https://docs.github.com/en/[email protected]/admin/release-notes</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.group-ib.com/blog/inferno-drainer/"><strong><span style="font-size: 20px;">駭客假冒加密貨幣交易所Coinbase，散布惡意程式Inferno Drainer</span></strong></a></p> <p></p> <p><a href="https://www.huntress.com/blog/ransomware-deployment-attempts-via-teamviewer"><strong><span style="font-size: 20px;">遠端桌面軟體TeamViewer遭濫用，駭客對受害電腦植入勒索軟體</span></strong></a></p> <p><strong><a href="https://www.vmware.com/security/advisories/VMSA-2024-0001.html"><span style="font-size: 20px;">VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞</span></a></strong></p> <p></p> <p><a href="https://cert.pl/en/posts/2024/01/CVE-2023-4818/"><strong><span style="font-size: 20px;">PAX執行安卓作業系統的PoS機臺存在漏洞，攻擊者有可能竄改交易金額及其他資料</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160838"><strong><span style="font-size: 20px;">AI模型有可能躲過相關資安訓練，埋藏欺騙性的後門</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160906"><strong>【1月18日】多款竊資軟體穿透macOS內建的惡意程式防護機制</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160870"><strong>【1月17日】逾17萬臺SonicWall防火牆存在無需身分驗證即可癱瘓系統的網頁管理介面漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160854"><strong>【1月16日】駭客竄改半導體設備廠京鼎的網站聲稱竊得5 TB內部資料</strong></a></p> </div></div></div>
2024/1/19 14:31作者周峻佑https://www.ithome.com.tw/news/160924
Google揭露俄羅斯駭客ColdRiver的最新戰術，以PDF檔遞送後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/threat-analysis-group/google-tag-coldriver-russian-phishing-malware/" target="_blank">Google威脅分析小組（Threat Analysis Group，TAG）本周揭露</a>俄羅斯駭客組織ColdRiver最新的攻擊戰術流程（Tactics、Techniques與Procedures），指出ColdRiver原本是透過網釣活動來獲取目標對象的憑證，但最近觀察到駭客開始利用PDF檔以於目標對象的機器上植入後門。</p> <p>ColdRiver是個專門鎖定烏克蘭、北約組織國家、學術機構及非政府組織展開攻擊的俄羅斯駭客組織，過去ColdRiver通常使用偽造的帳號，假冒為特定領域的專家，或是與目標對象有關的個人，與目標對象建立關係之後，伺機展開網釣攻擊，透過傳送連結及含有連結的檔案騙取目標對象的憑證。</p> <p>然而，最近TAG發現ColdRiver採用了新戰術，一樣是先以假冒的身分與目標對象建立關係，之後傳送一個偽裝成準備發表的PDF專欄文章的PDF予目標對象，並請求對方提供意見，但當使用者打開PDF檔時，發現文字是加密的，於是駭客就會再傳遞一個宣稱可用來解密的連結，連向雲端的檔案，但該檔案實際上是個後門程式SPICA。</p> <p>TAG表示，SPICA為ColdRiver首個自行打造的惡意程式，以Rust撰寫的SPICA可用來執行任何Shell命令，還能自Chrome、Firefox、Opera和Edge等瀏覽器中竊取Cookie，也能用來上傳及下載檔案，或是列出文件系統內容，以及枚舉並汲取文件等。</p> <p>研究人員雖是在去年9月發現SPICA，但SPICA的行動最早可追溯到2022年的11月，同時相信SPICA應有不同的版本，並以不同的PDF檔案來當作誘餌。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="Jasmine" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: 900; font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures; background-color: rgb(248, 248, 248);"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBRH3F1HS" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: none; background-position: initial; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" type="button"></button></span></span></p> </div></div></div>
2024/1/19 15:36作者陳曉莉https://www.ithome.com.tw/news/160928
Netflix數據力的關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1165-feng_mian_gu_shi_-1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=8VOPlc7w" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>16年來的第一次，Netflix公布了全球2.4億用戶的收看大數據，1萬8千多部影片，半年收看時數超過1千億小時，透過數千種裝置觀看的行為事件類型多達百萬種。為了搜集這麼龐大又複雜的海量收視數據，Netflxi有一套獨到的資料工程架構</p> </div></div></div>
2024/1/19 11:43作者王宏仁https://www.ithome.com.tw/article/160920
Jansport、North Face母公司去年被駭，3500萬筆用戶資料被竊走、訂單延遲交付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>服飾業者VF公司（VF Corp.）去年公司網路遭駭客入侵，致近3,550萬筆用戶資料被竊取，以及系統中斷補貨不及、客戶取消訂單等情形。旗下擁有VANS、Jansport、NorthFace、Timberland、Eastpak及Kipling等流行品牌的VF，是全球最大服飾業者之一。</p> <p><a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/103379/000119312524010243/d641969d8ka.htm" target="_blank">根據VF提交美國證管會的文件</a>，該公司去年12月13日偵測到其IT系統有非授權活動事件。聯同外部安全業者調查後，該公司在12月15日才從IT系統上廓清攻擊者。這次事件導致公司部門網站及系統停擺，以及攻擊者竊取敏感資訊。</p> <p>VF指出，本次事件中，包括VF自營零售店面、電商網站、物流中心等都出現運作問題。而在VF關閉系統後，VF公司發生零售店面庫存補貨中斷，訂單無法準時交貨，導致企業客戶及消費者取消某些產品訂單，部分電商網站訂單量下滑、以及某些批發訂單出貨延遲。而至少到12月18日呈報SEC時狀況尚未完全排除。雖然在對SEC文件指出此事件為實質（material）網路安全事件，但VF表示入侵事件對公司實際營運影響僅止於此，對公司財務狀況影響並不顯著。</p> <p>另一方面，VF調查後也發現資料被竊。該公司估計駭客竊取將近3,550萬名消費者個資。不過VF強調並未儲存消費者的社會安全碼、銀行帳號或信用卡資訊。VF表示尚未偵測到攻擊者取得其任何消費者密碼的情形。</p> <p>雖然事件看起來很像是勒索軟體攻擊，但這家服飾業者並未使用這個名詞，也未回應媒體被竊消費者個資包含哪些。</p> <p> </p> </div></div></div>
2024/1/19 11:51作者林妍溱https://www.ithome.com.tw/news/160921
【2.4億用戶使用數千款裝置，收視行為事件多達百萬種！】Netflix超強資料工程架構關鍵首度公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>影音串流龍頭Netflix在去年12月，突然發布了一份史無前例的收視資料，吸引了全球影視產業的目光。16年來的第一次，Netflix公布了全球2.4億用戶的收看大數據。</p> <p>從這份收視報告，可以看到幾個驚人的數據，Netflix在去年1月到6月期間播放的影片，高達1萬8千4百部多影片，包括了系列影集和單部的電影，統計時間從總收看時數，超過了1,000億小時，平均每個用戶在半年內看了420小時，平均一天2.3小時。</p> <p>每一部影片的收看時數都超過了5萬小時，其中99%的影片，也就是有18,214部的播放時數都超過了10萬小時。</p> <p>第一名「暗夜情報員」第一季累計達到8.12億小時。臺劇第一名則是4,560萬小時的「模仿犯」，全球排名341。不只當時新上檔的劇集，連2021年播放的「華燈初上」，過了2年，播放時數仍超過150萬小時。甚至有一部12年前上映的老電視劇集「無照律師」，在2023年重新上架到Netflix後，半年創下了1.29億小時觀看時間名列全球第73。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-1-600-%E6%94%B6%E8%A6%96%E6%8E%92%E5%90%8D-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netfllix.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>16年來的第一次，Netflix公布了全球2.4億用戶的收看大數據。高達1萬8千4百部多影片，去年1月到6月期間的總收看時數超過了1,000億小時，平均每個用戶在半年內看了420小時，平均一天2.3小時。99%的影片，播放時數都超過了10萬小時。第一名「暗夜情報員」第一季更累計達8.12億小時。<br /> 臺劇第一名則是4,560萬小時的「模仿犯」，全球排名341。不只當時新上檔的劇集，連2021年播放的「華燈初上」，過了2年，播放時數仍超過150萬小時。甚至有一部12年前上映的老電視劇集「無照律師」，在2023年重新上架到Netflix後，半年創下了1.29億小時觀看時間，名列全球第73。</strong><span style="font-size:14px;">圖片來源／Netfllix</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>首度公布全球收視大數據後，揭露背後資料工程技術架構</strong></span></span></p> <p>就在這份收視報告公布後2天，Netflix也舉辦了第一次資料工程大會（Netflix Data Engineering Summit 2023），首度公開了他們用來搜集影音大數據背後的資料工程技術架構。</p> <p>Netflix為了支援全球影音串流，有一套龐大的資料工程基礎架構，為了追蹤上萬部影片的播放成效，Netflix設了一個內容資料工程團隊，專門負責將上千億串流時數的數據，轉換成各種分析洞察，讓Netflix可以決定怎麼推播影片給全球用戶。數億用戶透過數千種不同類型裝置上的Netflix軟體來收看這些影片，產生的事件資訊多達百萬種，Netflix設了一個綜合追蹤團隊（Consolidated Logging Team）專門搜集各種Netflix消費者產品和內部應用的事件資訊，將這些資訊彙整成容易理解的合理形式，來支援各種個人化應用和分析的需求。</p> <p>早在2007年，Netflix在美國推出線上影片串流服務後不久，就開始打造自己的資料倉儲系統，從那時就陸續自行研發出許多資料技術和工具，來支持各種資料工程實務上的需求。</p> <p>Netflix內容資料工程團隊資料工程師Chris Stephens在Netflix待了9年，參與了內容績效評估，觀眾理解分析、程式化發展戰略等領域的發展。回顧過去近10年的資料工程發展，他指出，Netflix資料工程技術架構的核心原則是，要讓常見需求更容易進行，而且可以兼顧到不同層級的客製化需求，但是，也因為這些高度客製化的需求，「Netflix有許多工具都得從無到有自己打造。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Netflix批次處理流程的四大關鍵步驟</strong></span></span></p> <p>這個資料工程技術架構中最典型的兩大資料流程是，批次處理和串流處理，這也是企業常見的兩種資料流程。Netflix的批次處理流程中，包括了四個步驟，第一步是資料轉換和邏輯彙整（Transform & Agg Logic），Netflix的分析性資料倉儲中有數千個資料表，都是採用開源資料表格式Apache Iceberg的資料表，也儲存在雲端。Apache Iceberg是Netflix在2017年時，由2位工程師自己所開發的大數據技術，隔年開源釋出，捐給了Apache軟體基金會。</p> <p>這些Iceberg資料表涵蓋了不同業務的需求，從影音串流資料，不同產品功能的互動及路，顧客服務，製片工作室日常運作，到行銷數據都有。</p> <p>在Netflix，大多數批次處理都使用了Apache Spark大數據分析平臺，內部的資料工程師社群最常用的Spark綁定機制，包括了SQL、PySpark和Scala這三種，不同資料工程團多半偏好其中一種。但是，Netflix大數據分析平臺都會優先支援這三種綁定機制。</p> <p>為了方便工程師設計各種不同需求的批次流程，Netflix自己設計了一個大數據資料入口網站的Query UI工具，這是他們的資料工程師最常用的工具。這個工具可以檢測所要查詢的資料表，也能找到這些資料表的相關紀錄。查詢輸入列也具備了自動完成機制，各種函數指令甚至是複雜的巢狀結構指令也能自動完成，工程師可以從這個單一入口查詢所有資料引擎，包括了Spark、Trino、 Druid、Snowflake上的資料。</p> <p>另一個資料工程師常用的工具是叢集權重調整工具go/Boost，因為常有人來要求他們，能不能提高各自分析任務的優先程度，資料工程師就會用這個工具暫時調高所用叢集的資源額度。</p> <p>資料彙整後，接著得檢查輸入資料的資料品質，Netflix有一套成熟的資料品質生態圈工具，來避免發生垃圾資料產生垃圾分析的窘況，一方面讓資料工程師擔起更多的資料責任，另一方面也可以讓後續的資料使用者，放心使用資料倉儲的內容。</p> <p>Netflix在資料品質控管上，使用了單元測試結合資料稽核，來確保資料的品質，盡可能提供資料集更大的保護，避免浪費資源和時間。</p> <p>在單元測試工具上，Netflix會採用原生的單元測試函式庫，包括了ScalaTest和PyTest，來測試使用者定義的功能。若是Spark的Data Frame API上的功能測試，則用了一套Netflix自己開發的Spark單元測試函式庫，還有一款資料流程工具，可以快速從資料倉儲拉出資料表，以便盡快重跑資料測試。</p> <p>除了單元測試，另一個把關品質的重要手段是稽核。Netflix有許多稽核機制，每當資料來源出現異動時，這些稽核機制就會去檢查資料背後的各種上下文脈絡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1165-%E5%B0%81%E9%9D%A2PART-1-600-%E5%9C%963-%E6%9F%A5%E8%A9%A2%E5%B7%A5%E5%85%B7-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Netflix.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Netflix資料工程技術架構最大目標是，讓常見需求更容易進行，而且能兼顧各層級的客製化需求，Netflix自己打造了許多好用工具，例如大數據Query UI工具就是他們的資料工程師最常用的工具。</strong><span style="font-size:14px;">圖片來源／Netfllix</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立WAP稽核模式，自製稽核工具確保資料品質</strong></span></span></p> <p>Netflix採取了一套稽核模式稱為WAP模式，當資料第一次寫入（Write）時，會先產生一個隱藏的資料表快照，在用Netflix資料稽核工具對寫入的資料進行檢查（Audit），只有通過所有稽核後，才會發布（Publish）這個Iceberg快照版本，作為當前所用的資料表快照版本。Netflix在發布快照時，不會進行資料複製，不將快照資料複製一份後再發布。一方面因為這些資料集都非常龐大，另一方面，Netflix更新資料的頻率很快，每天都會重建許多資料集，複製資料的代價是會拖慢了整個資料工作流程。</p> <p>資料稽核工具還可以細分成兩類，一種是通用稽核工具，提供了資料工程師經常必做的資料稽核，包括了鍵值檢查（不重複或空值）、資料例外檢查、行數或欄位數檢查。另外一種是特定脈絡稽核工具，例如一部電影不能有多個片頭。十大熱門影集要有主打預告。要打造這類稽核工具，資料工程師也得對所擁有的資料有更深度的理解，以及了解資料的利害關係人在乎的點是什麼。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>排程平臺每天執行7萬個工作流程</strong></span></span></p> <p>在Netflix批次處理流程中的第三步驟是任務排程和監控。Netflix自己打造了一套能支援超大規模任務的工作流程排程平臺Maestro。這個平臺現在每天會執行高達7萬個工作流程，累計超過了50萬個任務步驟。</p> <p>資料工程師可以透過YAML DSL語法或Python DSL語法，很容易就可以定義工作流程，來組合不同資料工程處理或是機器學習的任務。甚至可以透過UI介面或只需撰寫很少量的程式，就能預先定義不同任務的處理流程，再透過Maestro指定排程時間，定期執行。</p> <p>Maestro還支援事件驅動模式，可以指定驅動流程的事件，一旦出現了指定事件，才會啟動對應的工作流程。資料使用者得將想要執行的工作流程，註冊到訊號服務中，這個訊號服務會不斷偵測各種資料來源的變動事件資訊，一但出現某個資料事件，例如檔案上傳到S3了，就會驅動在登記清單中的工作流程所對應的任務，來展開批次處理作業。</p> <p>在Netflix資料工程架構中的各種工具和系統，幾乎所有的事件都會留下Log紀錄，儲存到資料倉儲中，整合到一個隨時可用的Iceberg資料表中，包括了每一項批次處理的所有任務，所有的資料稽核結果，資料表的各種使用行為等。</p> <p>批次處理流程的最後一項是資料管理。Netflix有一個成本分析儀表板工具dlmdash，用來計算每一個資料工作流程的運算成本，還有資料表的儲存成本，並且會按照團隊、部門、平臺來分類統計，也會列出成本特別高的排名清單。不只分析成本，資料管理上搭配了一個主動式的資料清潔工工具，會自動清除沒有使用的資料。</p> <p>例如，不少工程師在開發階段常會建立了不少只有自己才會用到的資料欄位，等到將這隻程式部署到正式環境後，清潔工工具就會自動移除那些只給個人使用的資料欄位來節省資源。或是有資料工程師新建了一個資料表，經過一段時間都還沒開始使用，清潔工工具也會自動刪除這個資料表。這個資料清潔工工具，會強制執行Netflix的資料留存規則，不符者就會移除。</p> <p><a href="https://www.ithome.com.tw/article/160920" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1165-feng_mian_gu_shi_-1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=8VOPlc7w" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/19 12:00作者王宏仁https://www.ithome.com.tw/news/160916