iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月25日，俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期俄羅斯駭客APT29的動作頻頻，多國政府與資安專家接連對其攻擊行動提出警告，呼籲各界強化防禦措施，以防對方從事網路間諜活動、竊取組織內部機密的情況。</p> <p>但近期有一起攻擊衝著德國政黨而來，揭露此事的資安業者Mandiant認為對方別有目的，很有可能是為了影響該國政治情勢。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/apt29-wineloader-german-political-parties"><strong style="font-size: 22px;">德國政黨團體遭到俄羅斯駭客APT29鎖定，散布惡意軟體WineLoader</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-wineloader-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-wineloader-fig1.png" style="width: 300px; float: right;" /></a>俄羅斯駭客過往針對歐美政府機關攻擊的情況不時發生，如今也轉移目標，瞄準特定政黨而來。</p> <p>資安業者Mandiant揭露俄羅斯駭客組織APT29（亦稱Midnight Blizzard、Nobelium、Cozy Bear）的攻擊行動，對方從今年2月下午，假借基督民主聯盟（CDU）的名義寄送釣魚郵件，鎖定德國聯邦議會Bundestag的第二大政黨而來。</p> <p>研究人員看到駭客聲稱邀請參加晚宴為誘餌，內容包含URL，收信人一旦依照指示操作，電腦就有可能下載ZIP壓縮檔，植入惡意程式載入工具Rootsaw，隨後攻擊者可藉此在電腦部署名為WineLoader的後門程式。研究人員表示，這是他們首度看到APT29針對政治團體的攻擊行動。</p> <p><a href="https://securelist.com/crimeware-report-android-malware/112121/"><strong style="font-size: 22px;">數款安卓惡意程式鎖定土耳其、俄羅斯，以及東南亞用戶而來</strong></a></p> <p></p> <p>資安業者卡巴斯基公布調查2023年安卓惡意程式的情況，他們發現2021、2022年趨緩，但2023年出現惡意程式大幅增加的情況，他們阻止了近3,380萬次對行動裝置的惡意軟體、廣告軟體、具潛在風險的軟體攻擊，較2022年多出50%。</p> <p>研究人員公布3款去年特別值得留意的惡意程式，分別是鎖定土耳其、偽裝成IPTV應用程式的間諜軟體Tambir，以及針對中國OEM製造、銷往俄羅斯的手機而來的Dwphon。第3個惡意程式Gigabud，則是假冒泰國及秘魯公司的名義，以提供貸款來散布，攻擊者可透過其螢幕錄影及模仿使用者點選的能力，繞過雙因素驗證（2FA）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161909"><strong style="font-size: 22px;">蘋果M系列處理器存在微架構旁路弱點GoFetch，恐被用於竊取加密演算法金鑰</strong></a></p> <p></p> <p>伊利諾大學、德州大學、柏克萊加州大學、華盛頓大學、卡內基美隆大學、喬治亞理工學院的研究人員聯手，公布能針對蘋果M系列處理器的旁路攻擊手法GoFetch，他們透過「記憶體相依的資料預先讀取機制（Data Memory-dependent Prefetcher，DMP）」，從而在以常數時間為基礎的加密演算法擷取金鑰，這項弱點影響的範圍，涵蓋M1至最新的M3，並研判Pro、Max、Ultra版本的處理器也可能曝險。</p> <p>研究人員指出，雖然Intel的Raptor Lake微架構也具備DMP，但由於其啟動要求較為嚴格，而具備抵禦相關攻擊的能力。</p> <p>值得留意的是，他們在去年12月5日向蘋果通報此事，迄今尚未得到回應，對此，研究人員表示，他們接下來會公布概念性驗證（PoC）程式碼。</p>  <p><a href="https://ithome.com.tw/news/161930"><strong style="font-size: 22px;">研究人員揭露電子門鎖漏洞Unsaflok，影響1.3萬家旅館、300萬把門鎖</strong></a></p> <p></p> <p>一群研究人員公布在2022年下旬找到的電子門鎖漏洞Unsaflok，攻擊者可利用一組偽造的房卡，來解開Dormakaba製造的Saflok門鎖，估計影響131個國家、1.3萬套系統、超過300萬扇門。他們在2022年9月通報此事後，該門鎖製造商著手處理，並於2023年11月開始對部分旅館進行處理，截至今年3月，約有36%完成軟體更新或是更換設備處理。</p> <p>研究人員指出，攻擊者只需從旅館取得其中1張RFID房卡，並搭配MIFARE Classic卡片及寫入資料的工具，就可能發動Unsaflok攻擊。雖然研究人員尚未發現漏洞被實際利用的跡象，但由於這種電子門鎖已銷售長達36年，他們不排除已出現遭到利用的情況。</p> <p><a href="https://ithome.com.tw/news/161931"><strong style="font-size: 22px;">微軟三月例行更新導致Windows Server當機，22日發布緊急更新</strong></a></p> <p></p> <p>3月12日微軟發布例行更新（Patch Tuesday），傳出IT人員為Windows Server 2022、2016部署修補程式KB5035857、KB5035855之後，造成伺服器當機及服務停擺的情形，經調查是本機安全認證子系統服務（LSASS）占用大量記憶體所致，當時微軟承認獲報並著手處理，現在提供修補程式。</p> <p>22日微軟針對Windows Server 2022、2016、2012 R2發布多個系統更新公告，分別是KB5037422、KB5037423、KB5037426，並指出這次的更新程式，主要是因應安裝12日發布的修補軟體後，影響LSASS的情況，若不處理，將有可能導致網域控制器（DC）的記憶體洩露。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/">https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/</a><br /> 2. <a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3">https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3</a><br /> 3. <a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408">https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408</a><br /> 4. <a href="https://support.microsoft.com/en-us/topic/kb5037426-update-to-address-a-known-issue-that-affects-lsass-in-windows-server-2012-r2-eda1002a-4b4d-4c99-8383-b0e2bab5c1d0">https://support.microsoft.com/en-us/topic/kb5037426-update-to-address-a-known-issue-that-affects-lsass-in-windows-server-2012-r2-eda1002a-4b4d-4c99-8383-b0e2bab5c1d0</a></p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161917"><strong style="font-size: 22px;">DEVCORE資安研討會登場，揭露最新攻擊技術手法與企業資安破口</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/devcore-conf-2024.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcore-conf-2024.jpeg" style="width: 300px; float: right;" /></a>以紅隊演練聞名的臺灣資安業者DEVCORE戴夫寇爾，於3月16日舉行年度研討會DEVCORE Conference 2024，探討駭客創新攻擊技術和手法，以及他們所看到的實際企業資安風險，吸引近400名來自資安業界、學界人士參與。</p> <p>本次戴夫寇爾探討的議題，涵蓋AD CS憑證服務（Active Directory Certificate Services）配置不當帶來的危害、網頁應用程式防火牆（WAF）的深度解析、旁路攻擊新型態手法、紅隊工具開發的心法等。</p> <p>特別的是，這次也透露他們去年參與Pwn2Own 2023的心路歷程，而且，該公司首度特別邀請其他研究人員，由奧義智慧的專家來從藍隊身分、紅隊視角，提供不同的攻擊思路的探討。</p> <p><a href="https://moda.gov.tw/press/press-releases/11744"><strong style="font-size: 22px;">數位部出席布拉格資安會議，分享臺灣通訊韌性應變經驗</strong></a></p> <p></p> <p>專門探討網路及電信安全的資安會議Prague Cyber Security Conference 2024於3月19、20日舉行，數位發展部次長闕河鳴與資通安全署副署長鄭欣明率團參加，並拜會捷克國家網路及資訊安全局（NÚKIB），就臺捷資安合作議題進行交流。</p> <p>闕河鳴表示，海底電纜對於國內外通訊、安全、經濟至關重要，近年來遭受越來越多破壞、干擾與網攻威脅，數位部將持續盤點不同情境對通訊網路造成的風險，規畫多種異質通訊備援網路因應。他舉出去年3月馬祖連接臺灣的海纜中斷為例，當時數位部隨即切換為衛星通訊，以確保通訊韌性。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.microsoft.com/en-us/security/blog/2024/03/20/microsoft-threat-intelligence-unveils-targets-and-innovative-tactics-amidst-tax-season/"><span style="font-size: 20px;">美國報稅季來臨，駭客假借提供表單從事網路釣魚</span></a></strong></p> <p></p> <p><a href="https://unit42.paloaltonetworks.com/curious-serpens-falsefont-backdoor/"><strong><span style="font-size: 20px;">伊朗駭客組織假借徵才名義散布後門程式FalseFont</span></strong></a></p> <p></p> <p><strong><a href="https://unit42.paloaltonetworks.com/strelastealer-campaign/"><span style="font-size: 20px;">竊資軟體StrelaStealer透網路釣魚攻擊歐洲、美國超過一百個組織</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/mozilla-fixes-two-firefox-zero-day-bugs-exploited-at-pwn2own/"><strong><span style="font-size: 20px;">Mozilla發布Firefox 124.0.1、115.9.1，修補Pwn2Own揭露的零時差漏洞</span></strong></a></p> <p></p> <p><a href="https://www.facebook.com/gicstw/posts/pfbid037Mh5YNGytMveNTum9tzE7T8SF5gAnXq9YMVH1Ha2z4QYaczDrRHWb3J2FVEpfugFl"><strong><span style="font-size: 20px;">2024年Gics尋找資安女婕思競賽報名即將於3月底截止</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161868"><strong>【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</strong></a></p> </div></div></div>
2024/3/25 16:23作者周峻佑https://www.ithome.com.tw/news/161940
超過300萬個dormakaba電子鎖有被解鎖之虞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unsaflok.com/" target="_blank">資安研究人員近日揭露</a>，知名安全業者dormakaba所推出的RFID電子鎖Saflok含有一系列的安全漏洞，允許駭客利用一對偽造的鑰匙卡解鎖單一飯店的所有房間，並將相關漏洞命名為Unsaflok。此一型號的電子鎖經常被應用在飯店與住宅大樓中，估計有超過300萬個散布在131個國家的電子鎖受到影響。</p> <p>dormakaba在1862年創立於瑞士，為當地知名且歷史悠久的安全業者，最初只是一家鎖匠與收銀機工廠，現階段所提供的產品已涵蓋實體門的五金、電子存取、入口系統、機械鑰匙系統、保險箱鎖，以及鑰匙系統等。</p> <p>Unsaflok漏洞影響Saflok系統的電子鎖產品，包括Saflok MT、Quantum系列、RT系列、Saffire系列和Confidant系列等，涉及System 6000、Ambiance與Community等管理軟體，研究人員是在2022年發現相關漏洞，同年9月通知dormakaba，<a href="https://go.dormakaba.com/security-support" target="_blank">雖然dormakaba已開發並公布緩解措施</a>，並自去年11月開始升級或更新飯店所使用的系統，不過截至今年3月，受到影響的門鎖中，只有36%已更新或更換。</p> <p class="rtecenter"><a href="http://unsaflok.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0325-dormakaba-Saflok%20MT%20and%20Saflok%20RT%20Plus-unsaflok.png" style="width: 556px;" /></a></p> <p>根據dormakaba的說法，相關漏洞與用來產生MIFARE Classic金鑰的金鑰衍生演算法，以及用來保護底層卡片資料的第二次層加密演算法有關。</p> <p>而研究人員則說，駭客只要從一個系統（一家飯店）中讀取一張鑰匙卡，即可對該系統的任何門展開攻擊，不管是駭客自己房間的鑰匙卡，或者是從快速結帳的鑰匙卡箱中所取得的鑰匙都可以。繼之駭客即可透過任何MIFARE Classic卡及任何可將資料寫入這些卡的工具來建立偽造的鑰匙卡，再利用這對偽造的鑰匙卡打開同一系統上的任何門。可用來的工具包括Proxmark3、Flipper Zero，或是支援NFC的Android手機。</p> <p>更新之所以進度緩慢的主要原因為所有的鎖都必須更新軟體或直接更換，而且所有的鑰匙卡都必須重新發行，前臺軟體及卡片編碼器也必須升級，而且也可能需要升級與第三方設備的整合，如電梯、停車場或支付系統等。</p> <p>儘管迄今並未收到任何攻擊報告，但研究人員指出，dormakaba於1988年便開始銷售Saflok，意味著此一系列含有安全漏洞的電子鎖已被使用超過36年，有人知道並濫用它並不是不可能的事。</p> </div></div></div>
2024/3/25 10:48作者陳曉莉https://www.ithome.com.tw/news/161930
Apple全裝置Safari現在皆支援垂直表單控制元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在瀏覽器互通專案Interop 2023倡議之下，主要瀏覽器都開始統一垂直表單控制元件支援，而Apple在推出<a href="https://webkit.org/blog/15190/implementing-vertical-form-controls/">Safari 17.4</a>之後，所有裝置包括iOS上的Safari，都已經能夠正確呈現垂直書寫模式下的表單控制元件。支援垂直書寫模式對瀏覽器來說是一項大工程，因為需要重新調整許多表單控制元件的呈現方式，甚至需要為垂直書寫模式編寫特別的渲染邏輯。</p> <p>垂直文字書寫常見於東亞語言，包括中文、日文和韓文等都可以垂直書寫，並且從上到下閱讀，雖然CSS書寫模式屬性對垂直文字的支援已經實施一段時間，但是所有瀏覽器對表單控制元件vertical-lr和vertical-rl值的支援都不同，因此在Interop 2023中，各家廠商便決定實現更加一致的垂直書寫支援。</p> <p>要在已支援的瀏覽器中，顯示垂直表單控制元件，設定書寫模式屬性即可，從右到左的區塊流使用vertical-rl，而左到右區塊流則使用vertical-lr。支援垂直書寫模式的元件包括<button>、<textarea>、<progress>、<meter>、<input>和<select>等。不過，與表單控制元件相關的彈出式用戶介面，像是<select>的下拉選單，或是<input type=“color">顏色選擇器，仍然會以水平的方式顯示。要更好地支援垂直書寫模式，WebKit更新了其樣式表，使用邏輯屬性像是inline-size代替傳統的寬度，並且用block-size來代替高度，這些屬性更能適應不同的書寫方向，因為他們與內容的走向相關。</p> <p>而布局（Layout）方面，WebKit中的表單控制元件大量使用自定義的布局程式碼，以在不同的環境和條件保持一致和功能性，但開發團隊提到，這些實作設計皆考量水平書寫模式，在垂直書寫模式下會出現問題。因此WebKit開發團隊更新這些實作，在計算邏輯寬度時考慮書寫模式。自定義基線調整邏輯也更新使用垂直書寫模式的中央基線，使複選框和單選按鈕等控制元件，能與垂直文字相搭配。</p> <p>不只如此，WebKit表單控制元件於垂直書寫模式的渲染，在不同作業系統也需要特別調整。在macOS上，因為作業系統本身不支援垂直書寫模式，WebKit表單控制元件又需要和作業系統外觀和感覺維持一致，像是<progress>等控制元件，無法直接在垂直模式下渲染，因此WebKit會直接旋轉這些控制元件來支援垂直渲染，使其在垂直書寫模式下可用，且外觀又接近系統標準。</p> <p>但像是<select>這類元件具有陰影等細節，就無法單純透過旋轉，否則顯示會不正確。而WebKit便採用自定義回退渲染方法，這些控制元件在垂直模式下採用特別的渲染邏輯，因此這些控制元件和作業系統的原生元件外觀可能會有所不同。</p> <p>對於原本在WebKit中就已經是自定義繪製的控制元件，像是在iOS和macOS中的列表選擇框<select multiple>，現在皆使用邏輯座標而非物理座標，確保控制元件在垂直書寫模式的呈現一致。而像是複選框或是單選按鈕則不需要進行任何渲染變更，他們在所有書寫模式看起來都相同。</p> <p>目前桌面瀏覽器支援表單控制元件垂直書寫模式的有Firefox 120以上版本，以及Chrome124以上版本，Edge則處在部分支援的階段，而在行動裝置上，除了iOS上的Safari之外，還有Android的Firefox，也支援表單控制元件垂直書寫模式。</p> </div></div></div>
2024/3/24 23:08作者李建興https://www.ithome.com.tw/news/161922
美國司法部、16州控告蘋果壟斷智慧型手機市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部及加州、紐約州等16州周四<a href="https://www.justice.gov/opa/pr/justice-department-sues-apple-monopolizing-smartphone-markets" target="_blank">控告蘋果壟斷智慧型手機市場</a>，包含採取違法手段阻礙美國民眾轉換手機、打壓應用程式、產品、服務創新，以維持iOS及iPhone獨占優勢，並迫使消費者及企業用戶支付更高費用。</p> <p>美國司法部在紐澤西州地方法院提起告訴，並有加州、紐約州、亞歷桑納州等15州及哥倫比亞特區參與，控告蘋果壟斷或試圖壟斷智慧型手機市場，違反美國反托拉斯法。這是繼1998年對微軟控告Windows壟斷PC作業系統並搭售IE瀏覽器以來，美國司法部再度對科技龍頭提出壟斷控訴。</p> <p>司法部及16州相信，蘋果選擇性對某些開發商行使合約限制，並限縮存取管道，以維持智慧型手機壟斷。蘋果排擠了原本可降低消費者對iPhone的依賴、提供相容性，以及降低成本的應用程式、產品和服務。透過行使壟斷權，蘋果得以從消費者、開發商、內容創作者、出版商、店家和小型企業賺取更多錢。</p> <p>美國司法部長Merrick Garland指出，消費者不應被迫支付更高費用，因為是廠商違法。他說，蘋果能在市場勝出，並非只基於法定權利，甚至還違反反托拉斯法，如果置之不理，將任憑蘋果強化智慧型手機壟斷局面。</p> <p>美國政府控訴蘋果運用對iPhone的主導權行使壟斷行為，並列出五大罪狀。五大罪狀包括封鎖創新的超級App，擾亂可讓消費者輕鬆在競爭手機平臺間轉換的App成長（例如Spotify）；打壓行動雲端串流服務，打壓可讓消費者無需買昂貴手機硬體，即可享受高品質電玩和其他雲端應用的雲端串流App（例如Epic Games）；排擠跨平臺訊息App，讓跨平臺訊息品質與安全性降低、難以創新（指的是讓非iPhone訊息和iMessage無法互通）；限制第三方智慧手錶的功能，讓Apple Watch消費者不得不繼續花大錢升級iPhone。最後是限制第三方電子錢包，使這些App無法使用一鍵支付（Tap-to-pay）功能，阻礙跨平臺第三方電子錢包的開發。</p> <p>其他罪狀還包括蘋果影響瀏覽器、視訊、新聞訂閱、娛樂、車上資訊服務、廣告、定位服務等反競爭行為。</p> <p><a href="https://www.nytimes.com/2024/03/21/technology/apple-doj-lawsuit-antitrust.html" target="_blank">蘋果周四已做出回應</a>。蘋果指出，該公司設計出無縫整合的產品，確保用戶隱私和安全性，並開發優異的使用者體驗，這官司威脅公司宗旨及讓蘋果在激烈競爭市場中領先的原則。一旦官司成功，將阻礙蘋果開發消費者期待的技術，也將立下危險前例，給了政府介入影響科技設計的權力，該公司將極力捍衛這項權利。蘋果周四股價下跌2%。</p> <p>美國司法部和16州的控告案是繼今年3月正式施行的<a href="https://www.ithome.com.tw/news/158633" target="_blank">歐盟《數位市場法》</a>（Digital Markets Act，DMA）後，由國家行政部門主導的反托拉斯行動。但美國政府關注點更多；歐盟並未要求蘋果iPhone允許第三方市集App，或是開放Tap to Pay給第三方廠商存取。</p> <p>蘋果打壓競爭對手，是本案和1998年司法部vs微軟案中最相似的地方。不過有觀點認為，司法部所謂蘋果的「壟斷」和微軟當年不同。例如，<a href="https://techcrunch.com/2024/03/21/apples-iphone-is-not-a-monopoly-like-windows-was-a-monopoly/" target="_blank">《Techcrunch》</a>分析，1998年，Windows市占高達90%，但iOS市占遠不及如此；根據<a href="https://gs.statcounter.com/os-market-share/mobile/worldwide" target="_blank">Statcounter數據</a>，iOS市佔為27.84%。<a href="https://www.nytimes.com/2024/03/21/technology/apple-doj-lawsuit-antitrust.html" target="_blank">一些法學專家則指出</a>，所有廠商都允許有偏私自家產品的商業行為，司法部得解釋，何以獨獨蘋果這樣做不行。</p> <p>但一旦判決傾向原告，可能會對產業產生重大影響。微軟在1998年被起訴後，雖然2001年和司法部達成和解，但也迫使微軟IE瀏覽器從此失去市場，而微軟創辦人比爾蓋茲事後也回憶，官司也讓微軟無法專心開發手機作業系統，錯失行動平臺的機會。</p> <p>另一方面，因應DMA上路，蘋果也在本月相繼公佈多項開放措施，包括<a href="https://www.ithome.com.tw/news/161669" target="_blank">允許用戶</a>將iCloud、iPhone資料搬到Android平臺、<a href="https://www.ithome.com.tw/news/161035" target="_blank">同意開發商</a>將用戶導向外部App市集下載或支付網站，並讓<a href="https://www.ithome.com.tw/news/161267" target="_blank">iOS App在第三方市集上架</a>等。</p> </div></div></div>
2024/3/22 12:40作者林妍溱https://www.ithome.com.tw/news/161904
Google將打造個人化健康大型語言模型，以提供Fitbit用戶來自AI的建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/health/google-generative-ai-healthcare/" target="_blank">Google本周宣布</a>，旗下Google Research及Fitbit團隊將合作建置一個攸關個人化健康的大型語言模型（Personal Health Large Language Model），以支援Fitbit行動程式中的個人化健康及保健功能，讓使用者可透過Fitbit及Pixel裝置上的資料獲得更多的見解與建議。</p> <p>根據Google的說明，此一個人化健康LLM將以Gemini模型為基礎，再利用去身分識別的高品質研究案例中的健康訊號進行微調，這些研究正在與通過認證的教練或健康專家合作收集及驗證資訊，以讓該模型得以展現對生理及行為資料的深刻推論能力；目前Google正在利用類似睡眠醫學認證考試的練習來測試該模型的效能，未來將可用來分析使用者的睡眠模式與睡眠品質的變化，再依照相關的見解來提供運動上的建議。</p> <p>在有了個人化健康LLM之後，Fitbit行動程式即可藉由追蹤使用者的狀態，協助使用者更全面地理解自己的健康資料，同時以自然語言提出問題，並建立專屬的圖表。例如可深入了解活躍區間分鐘數（AZM）與睡眠恢復程度的相關性。</p> <p>Google在2021年完成對智慧手錶業者Fitbit的<a href="https://www.ithome.com.tw/news/142247" target="_blank">收購案</a>，在2023年推出了Fitbit Labs，供Fitbit Premium用戶存取實驗性的AI功能，而新的個人化健康LLM將會在今年率先部署至少數的Android裝置上，供註冊Fitbit Labs的Fitbit用戶試用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0320-The%20Check%20Up%20with%20Google%20Health-Fitbit%20labs-2.png" style="width: 473px;" /></p> </div></div></div>
2024/3/20 15:24作者陳曉莉https://www.ithome.com.tw/news/161870
零售IT雙周報第30期：C2C零售龍頭如何用生成式AI支援日常開發作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#知識管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開發框架維運</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DevOps</span></span><br /> eBay如何用生成式AI來開發、維運系統及管理知識</strong></p> <p><a href="https://innovation.ebayinc.com/tech/features/cutting-through-the-noise-three-things-weve-learned-about-generative-ai-and-developer-productivity/">C2C電商龍頭eBay揭露自家IT團隊用生成式AI支援日常工作的三大用途</a>，包括開發、維運及知識管理。</p> <p>首先是利用Github Copilot來加速程式碼撰寫，包括轉化自然語言評語為程式碼、建議下一行程式碼、自動填入高重複性程式碼，以及自動生成測試用程式碼。經過A/B測試，他們發現使用Copilot後，程式碼品質沒有下降，而且Pull Request發布到程式碼真正合併（Merge）的時間減少了17%、程式碼更動到部署時間（Lead Time for Change ）減少了12%。</p> <p>除了使用Copilot等商業軟體，eBay也用自家程式碼及內部文件來後訓練（Post-train）及微調（Fine-tune）Code Llama 13B模型，以支援自家工程團隊作業。eBay表示，這個專屬模型可以存取企業內所有程式碼，能有效找出程式碼重複等問題，還能在考慮不同服務的耦合及依賴性情況下，協助工程團隊更新開發框架及函式庫。</p> <p>他們還用自家技術文件訓練出了一個專用GPT模型，搭配RAG技術，來當作IT人員查詢技術文件的介面。IT人員可以用自然語言詢問「做這件事需要呼叫哪個API」、「哪裡找這個數據的儀表板」等問題，而不需要自己翻找eBay海量技術文件。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商App維運</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#前端工程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物體驗強化</span></span><br /> Walmart從客戶端為切入點的App效能提升法</strong></p> <p>說到提升App效能，一個常見思路是從後端系統下手，例如優化資料庫、增加資料查詢效率等。<a href="https://medium.com/walmartglobaltech/performance-measurement-for-native-apps-2d80210aef79">Walmart近期則揭露自家App效能優化的另一個面向──從App客戶端來尋找著手點</a>。</p> <p>具體做法是，將使用者發起互動到App呈現最終結果，分成6個階段：開始、準備請求、呼叫、解析回應、視覺介面渲染、完成。他們會觀察這6個階段所需時間，從中找出改善空間。</p> <p>以商品頁面呈現為例，他們發現這6階段中，開始到準備請求間的時間，以及渲染到完成中間的時間，都相當長。調查後，發現開始階段有過多重複的聆聽（Listening）指令，而渲染階段有一個動畫渲染選項預設為True，是沒有必要的。解決這些問題後，這兩個階段耗時分別縮短了150毫秒跟5、600毫秒。</p> <p>Walmart表示，他們在iOS及Android App的不同UI都實施了這套做法，不僅找到了許多可優化之處，且解決後，觀察到明顯App上交易量提升。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#上架輔助工具</span></span><br /> 連上傳圖文都不用！Amazon新生成式AI工具只要貼商家連結就能產生產品頁面</strong></p> <p>近幾個月，各大電商紛紛推出以生成式AI為基礎的商品上架工具，通常是以商品圖片或簡單文字為基礎，來生成完整圖文。這次Amazon推出新工具，更是省去了上傳任何素材的步驟。商家只需貼上自家官網商品頁等外部網址，此工具便能自動讀取網頁內容，擷取生成Amazon商品頁面所需素材。（<a href="https://www.ithome.com.tw/news/161762">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amazgai.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商店</span></span><br /> 服飾市集StockX打造Apple Vision Pro專用虛擬商店，既模擬</strong><strong>實體購物及又保留自家電商特色</strong></p> <p>大型服飾市集StockX是一個交易模式特別的平臺，類似股票交易，買賣方會根據商品市場價格來協調出成交價。<a href="https://www.prnewswire.com/news-releases/stockx-among-the-first-to-launch-immersive-shopping-experience-for-apple-vision-pro-302077846.html">他們打造了一個專門在Apple Vison Pro運行的虛擬商店</a>，可以於消費者所處環境中顯示出商品。同時，消費者可以打開懸浮於空中的價格波動儀表板，輔助商品購買決策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/immersive_marketdata_720.jpg" style="width: 600px;" /></p> <p>有許多品牌都嘗試打造虛擬商店，作為一種行銷用小型體驗。StockX虛擬商店則可以用4K畫質呈現站上所有20多萬件商品，並維持與原本電商網站相同的特殊交易模式，可以視為該平臺正式電商通路。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#FinOps</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#雲端成本</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#企業文化改造</span></span><br /> Walmart從顧客體驗出發的FinOps文化</strong></p> <p>電商龍頭Walmart早在2015年就擁抱雲原生技術，打造OpenStack私有雲，至今核心數超過100萬個。2020年，他們用K8s打造了自家雲原生平臺，來調度9萬3千個節點，執行超過54萬個Pod叢集。2年前，還進一步結合兩家公雲和自家私雲，組成了三雲架構。為了支援超龐大雲端服務用量，他們2021年開始注意到控制雲端成本的FinOps做法。</p> <p>他們了整合了來自四十種資料來源，來監控整體雲端用量和成本，並打造了可以追蹤每個工程團隊每天開銷的工具。接著，他們要求工程師不只要注意每日開銷，更要從長期角度來看：每次支出一年會帶來多少成本？是否會帶來對應價值的商品銷售或顧客體驗？讓每個工程師都能從顧客體驗出發，來思考雲端成本支出如何控管。（<a href="https://www.ithome.com.tw/article/161578">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商 #AI電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商搜尋功能</span></span><br /> 圖片類社群媒體Pinterest利用電腦視覺技術打造服飾尺寸搜尋功能</strong></p> <p>圖片探索類社群媒體Pinterest近年不斷發展電商及行銷業務。不過，社群媒體起家的他們，不僅網站操作方法體驗與電商相差不少，也並非所有收錄圖片都足夠元數據，能支援電商搜尋，因此商品搜尋能力有限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ptfp.jpg" style="width: 600px;" /></p> <p>因應這個挑戰，他們利用電腦視覺技術分析站上服飾圖片，來判斷服飾適合尺寸，以支援服飾尺寸搜尋功能。近日，<a href="https://newsroom.pinterest.com/news/pinterests-new-body-type-ranges-deliver-better-more-inclusive-search-results/">他們更推出可以根據體態來搜尋適當服飾品牌圖片的功能</a>。搜尋圖片時，有一個過濾條件是體態，使用者可以點擊自認為最代表自己身材的模特兒圖片，來搜尋符合自身條件的服飾照片。Pinterest表示，目前數據顯示有使用這個功能的使用者，單一連線階段互動率較其他人高出66%，顯示此功能確實能引起使用者更多興趣。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1.<a href="https://xtech.nikkei.com/atcl/nxt/column/18/02770/030400001/?ST=nxt_thmit_management"> 非第一線零售商也要消費數據！三菱食品如何取得並分析1.5億消費者數據</a></p> <p>2. <a href="https://mapsplatform.google.com/resources/blog/how-dominos-delivers-pizza-with-the-drop-of-a-pin-to-almost-anywhere/">達美樂整合Google Map Mobility Services到披薩外送員導航系統，來支援送貨到沒有地址的公園或新建案等地點</a></p> <p>3. <a href="https://cloud.google.com/blog/products/ai-machine-learning/how-wayfair-data-scientists-learned-vertex-ai">大型家居電商Wayfair如何精簡MLOps流程來提升供應鏈管理模型開發效率</a></p> <p>4. 肯德基嘗試利用AI虛擬店員提升自動點餐機溫度，不過目前功能只有打招呼和推銷</p> <p>資料來源：iThome整理，2023年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：eBay、Amazon、StockX、Pinterest</p> <p> </p> </div></div></div>
2024/3/15 18:16作者郭又華https://www.ithome.com.tw/news/161793
Google本月釋出的Chrome 123可望更新Safe Browsing，以即時防範網釣網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（3/14）<a href="https://security.googleblog.com/2024/03/blog-post.html" target="_blank">宣布</a>，將更新Chrome瀏覽器中的Safe Browsing標準保護選項，以於使用者造訪網站時，提供即時的網釣保護。此一更新可望出現在本月釋出的Chrome 123中，<a href="https://chromiumdash.appspot.com/schedule" target="_blank">Chrome 123</a>已於13日部署至少數用戶，預計於19日全面部署。</p> <p>Safe Browsing是Google在2005年所發表的網釣保護機制，其伺服器偵測並列出所有含有惡意程式或網釣內容的網站，並於使用者造訪網站時進行比對，以封鎖惡意網站，目前包括Chrome、Safari及Firefox等瀏覽器都支援Safe Browsing，微軟則是採用自行建置的SmartScreen來過濾惡意及網釣網站。</p> <p>Chrome瀏覽器中的Safe Browsing有<a href="https://support.google.com/chrome/answer/9890866?hl=en&co=GENIE.Platform%3DDesktop&oco=0" target="_blank">3種保護模式</a>，包括預設的標準保護模式，另也可選擇無保護模式，或是選擇採用AI技術來辨識惡意網頁、深度掃描使用者所下載的檔案，以及防範惡意Chrome擴充程式的加強保護模式。</p> <p>Safe Browsing伺服器可隨時掃描與收錄惡意及網釣網站，現有的標準保護模式是在使用者裝置端存放一個源自該伺服器的惡意網站列表，且每30~60分鐘更新一次，然而，Google發現，現在網釣網站大多數存在的時間都不到10分鐘，令使用者備受威脅，決定將標準保護模式升級到即時檢查Safe Browsing伺服器上所維護的清單。</p> <p>在最新的Chrome瀏覽器中，一旦使用者造訪某個網站時，它會先檢查裝置上的快取來確定該網站是否為已知的安全網站，答案若是否定的就會將URL轉為雜湊值，再加密雜湊前綴，並先發送至Fastly所管理的隱私伺服器，由Fastly負責移除可用來辨識使用者的各種標誌，再傳送至Safe Browsing伺服器進行比對，最後將結果傳回瀏覽器。</p> <p>Google表示，在此一過程中，使用者不僅可即時檢查所造訪的網站，隱私伺服器只會看到IP位址而看不到URL的雜湊前綴，Safe Browsing伺服器則只會看到URL雜湊前綴而看不到IP位址，同時具備保護使用者瀏覽安全及隱私的能力。</p> <p>新的Safe Browsing功能將同時支援桌面、iOS與Android平臺上的Chrome瀏覽器，比起原本的標準保護模式，Google預計新版本將可額外減少25%的網釣攻擊。</p> </div></div></div>
2024/3/15 14:56作者陳曉莉https://www.ithome.com.tw/news/161790
Google去年發出1,000萬美元的抓漏獎金，3成源自Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/03/vulnerability-reward-program-2023-year.html" target="_blank">Google本周揭露</a>去年抓漏獎勵計畫的結果，指出去年總計發出1,000萬美元的獎金予68個國家的逾600名研究人員，當中有340萬美元頒給了發現Android安全漏洞的研究人員，另有210萬美元是獎勵發現Chrome漏洞的研究人員。</p> <p>去年Google推出許多新的抓漏獎勵類型，包括v8CTF與Mobile VRP，也將Android與Google裝置的最高漏洞獎金提升至1.5萬美元。其中，v8CTF是針對Chrome採用的v8 JavaScript引擎所設立的奪旗（Capture The Flag，CTF）專案，只要成功利用v8上的安全漏洞就有機會獲得獎金。</p> <p>CTF專案與傳統的漏洞獎勵專案（Vulnerability Rewards Program，VRP）不同，VRP著重於發現安全漏洞，CTF則鎖定如何利用這些漏洞，包括非零時差漏洞在內。至於Mobile VRP則是鎖定Android平臺上第一方應用程式的安全漏洞，亦即是由Google開發與維護的Android程式，如Chrome、Gmail、Google Maps、YouTube、Google Drive、Google Play Store或Google Calendar等。</p> <p>整體而言，去年針對Android的漏洞獎金便高達340萬美元。</p> <p>Chrome亦為Google抓漏獎勵計畫的重點之一，去年的Chrome VRP提高了舊版Chrome v8漏洞的獎金，並推出高達3倍的完整攻擊鏈獎金（Full Chain Exploit Bonus）。Google說明，因針對舊版Chrome的v8錯誤提供額外獎勵，而發現了長期存在的v8漏洞，其中一項漏洞直接替研究人員帶來3萬美元的獎金。</p> <p>而Google對Chrome完整攻擊鏈的要求則包括必須可造成沙箱逃逸，示範如何於沙箱外執行程式碼；必須能夠自遠端展開攻擊，而有限或不依賴使用者互動；以及必須是鎖定最新的Chrome版本，涵蓋穩定版、延伸穩定版、開發版與測試版等，最高獎金將多達18萬美元。</p> <p>Google是在去年6月推出<a href="https://security.googleblog.com/2023/06/announcing-chrome-browser-full-chain.html" target="_blank">Full Chain Exploit Bonus</a>，期限原本訂為去年12月1日，之後再延長至今年2月14日，但依舊無人領走。Google表示，今年將會對任何想要挑戰相關獎項的研究人員敞開大門。</p> <p>研究人員在去年成功提交了359份有關Chrome瀏覽器的安全報告，總計獲得210萬美元的獎金。</p> <p>Google也在去年針對生成式AI舉辦了bugSWAT即時駭客活動，收到35份合格的安全報告，送出8.7萬美元的獎金。</p> </div></div></div>
2024/3/14 15:13作者陳曉莉https://www.ithome.com.tw/news/161765
Android 14強化螢幕分享功能，允許僅分享單一應用程式畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Android 14 QPR2支援<a href="https://android-developers.googleblog.com/2024/03/enhanced-screen-sharing-capabilities-in-android-14.html">新的螢幕分享功能</a>，允許用戶在分享或是錄製螢幕時，限制僅分享或是錄製單一應用程式視窗，也就是說，螢幕分享或是投影時用戶不再需要分享整個螢幕，可以僅分享特定應用程式的內容，避免意外暴露私人訊息和通知。</p> <p>這項新的螢幕分享功能建立在Android既有的MediaProjection API之上，該API是Google在Android 5.0（Lollipop）加入，供開發者擷取裝置螢幕的內容成為媒體串流，以進行播放、錄製或是投放到電視等裝置。</p> <p>MediaProjection API在Android 14新增應用程式分享功能，無論視窗模式為何，都可僅分享單一應用程式的視窗，而不會一次分享整個裝置螢幕，螢幕分享會排除狀態列、導覽列、通知和其他系統使用者介面元素，即便是全螢幕擷取應用程式的畫面，也只會分享所選應用程式的內容。Google提到，這項功能提高了螢幕分享的安全性，能夠在像是進行會議時安全地分享螢幕畫面。</p> <p>如果開發者的應用程式原本已經使用MediaProjection API進行螢幕錄製和分享，則該應用程式已經能夠支援單獨應用的螢幕分享，不需要進行程式碼變更，但是開發者仍需要測試應用程式，確保螢幕分享功能在新的用戶流程，能夠按預期工作。</p> <p>單一應用程式螢幕分享將會改變用戶流程，過去用戶在授權對話框之後，會停留在主要應用程式中，但在新的應用程式螢幕分享功能中，用戶畫面不會跳回主要應用程式，而是啟動要分享的目標應用，當目標應用已經在前臺運作，則會成為頂端的焦點應用，這代表開發者可能會需要處理用戶在分享過程中，往返應用程式的流程。</p> <p>Android 14還加入兩個回呼方法，讓開發者自訂分享體驗，除了提供擷取區域當前的寬度和高度資訊，讓開發者能夠精確地調整串流傳輸內容的大小，確保分享內容的品質，另外，當擷取的區域被其他應用遮擋，開發者也可以暫停分享或是錄製，以節省系統資源和保護隱私。</p> </div></div></div>
2024/3/13 08:54作者李建興https://www.ithome.com.tw/news/161736
Android地圖應用不再亂指路，Google公開更準確的裝置朝向API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Google Play服務中添加一個新的Fused Orientation Provider（FOP）API，該API透過融合加速計、陀螺儀和測量磁場的磁強計（Magnetometer），提供準確且一致的裝置朝向（Orientation），適用於Android 5（Lollipop）以上執行Google Play服務的所有裝置。</p> <p>Google提到，FOP API的設計將與原本的Android Rotation Vector類似，方便開發人員轉換。相比Android Rotation Vector，FOP更能提供統一的跨裝置實作，彌補因較低品質感測器和不同OEM的實作差異。</p> <p>Android生態系中存在各式各樣的感測系統實作，雖然裝置都需要符合Android相容性定義文件中的標準，但Google指出，由於文件中建議的感測器規格不夠嚴謹，無法完全避免裝置朝向資訊不準確。像是裝置朝向可能受到裝置內部的磁力干擾、延遲或是不平均的感測器採樣，裝置周圍也可能存在扭曲地磁的物質，同時，也需要考量不同使用者的行為。</p> <p>為此Google推出新的FOP API，以提供更強健且精確的裝置朝向資訊。FOP API的重要更新包括同步各感測器的時間基準，確保所彙整的加速計、陀螺儀和磁強計資料來自同一個時窗，避免因為時間差產生計算誤差。</p> <p>FOP還補償了硬磁（Hard Iron）偏移，硬磁偏移是因為周圍環境中恆定磁場所產生的干擾，FOP透過演算法校正這種偏差，提高磁強計的精準度。FOP也會隨時監測陀螺儀產生的偏差，確保裝置朝向估計正確。</p> <p>FOP最重要的核心功能，則是融合加速計、陀螺儀和磁強計資訊，計算裝置在世界中的朝向，透過結合三種感測器的優點來克服各自的缺點，提供更準確且穩定的裝置朝向資訊。FOP能夠參照現實指南針方向產生準確估算，讓開發者可以評估當前FOP所生成裝置朝向資料的信心程度。</p> <p>Google指出，FOP演算法經過全面的測試資料驗證，已經確定可在各種裝置上提供高品質結果。FOP會以四元數（Quaternion）串流輸出裝置朝向估算，朝向會參照地理北極，但是當位置資訊不可用，磁偏角未知的時候，方向則參照地磁北極。</p> <p>另外，FOP還會提供裝置相對於地理北極的方向（Heading），該方向是從水平面量測，與Google地圖中顯示的方向相同。由於Google地圖也使用FOP，因此開發者可以藉此了解裝置方向資料的可靠性。</p> </div></div></div>
2024/3/12 08:31作者李建興https://www.ithome.com.tw/news/161712
Google讓瀏覽器、Android手機、iPhone都可執行大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://developers.googleblog.com/2024/03/running-large-language-models-on-device-with-mediapipe-andtensorflow-lite.html">MediaPipe LLM Inference API</a>，讓開發者可以完全在裝置上執行大型語言模型，支援文字生成、自然語言資訊檢索，以及總結文件等任務。該API支援包括Falcon 1B、Gemma 2B、Phi-2與StableLM-3B等模型，目前僅接受文字輸入與輸出。</p> <p>這項新功能的重要性在於讓大型語言模型能夠在裝置上運作，而且達到跨平臺相容。Google提到，因為大型語言模型的記憶體和運算需求是傳統裝置上模型的100多倍，因此這可說是一項變革性的新功能。而之所以大型語言模型可以開始在裝置上運作，牽涉到新的操作、量化、快取和權重共享等技術堆疊的進展。</p> <p>開發者現在可以使用網頁、Android或iOS SDK，經過幾個步驟，就能夠在應用程式中使用實驗性MediaPipe LLM Inference API。首先選擇支援的模型架構與權重，接著使用MediaPipe Python套件將模型權重轉換成TensorFlow Lite Flatbuffer格式，並在應用程式中匯入LLM Inference SDK，將TensorFlow Lite Flatbuffer與應用程式一起託管，開發者就可以開始編寫程式，透過LLM Inference API傳入文字提示詞，並獲得模型的回應。</p> <p>目前LLM Inference API只能使用較為輕量的大型語言模型，在初始版本中，Google支援Falcon 1B、 Gemma 2B、Phi 2與Stable LM 3B四種模型架構，而這些模型架構相容的模型權重選擇，無論是基本模型權重、社群微調版本或是開發者自己微調的權重都可以使用。</p> <p>為了讓大型語言模型可以在行動裝置上運作，Google對MediaPipe、TensorFlow Lite、XNNPack進行大量的最佳化，官方提到，這些最佳化功能主要落在CPU與GPU上。而在特定的高階手機中，Android AICore還可運用專門的硬體神經網路加速器，來加速大型語言模型的運算。</p> <p>Google主要使用預填速度（Prefill Speed）和解碼速度（Decode Speed），來衡量裝置上大型語言模型的運作效能。預填速度（圖一）是指大型語言模型處理提示詞的速度，而解碼速度（圖二）則是大型語言模型產生回應的速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(23).png" style="width: 580px; height: 359px;" /><br /> （圖一）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6(7).png" style="width: 580px; height: 359px;" /><br /> <span style="text-align: center;">（圖二）</span></p> <p>四種模型在WebGPU和Android GPU上都能順暢運作，不過Google提到，受iPhone記憶體的限制，目前只有Gemma 2B（int4）能夠在iOS運作。在GPU上，Falcon 1B和Phi 2使用浮點數fp32，而Gemma和StableLM 3B則可以使用浮點數fp16就好，官方表示，Gemma和StableLM 3B即便使用較低精度的浮點數，仍可以保持一定的效能和強健性。</p> <p>Google提到，他們仍會繼續這項研究，並擴展支援更多平臺和模型，提供廣泛的轉換工具、裝置上元件。現在開發者已經可以在<a href="https://github.com/googlesamples/mediapipe/tree/main/examples/llm_inference" target="_blank">GitHub</a>上查看官方範例，以便深入理解API的使用方式。</p> </div></div></div>
2024/3/12 08:35作者李建興https://www.ithome.com.tw/news/161714
【資安週報】2024年3月4日到3月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧這一星期的資安新聞前，先來聊聊最近臺灣上市櫃公司接連發布資安事件重大訊息的現況，最近我們發布的封面故事，就是特別以此為題的報導與探討，當中整理出2023年臺灣上市櫃公司有23起資安事件相關重大訊息，並得知這些資安事故的背後，多半是勒索攻擊造成，另一方面，早已不斷受媒體關注的個資外洩消息，近一年也登上重訊版面，在我們進一步追蹤下，更是發現先前諾貝兒、雄獅遭網路駭客攻擊事件的後續消息，就有因個資外洩受個資法的情形，且開罰金額已經提高至200萬，不同於過去的20萬。</p> <p>這些現象的出現，在在突顯企業經營層在看待營運風險時，需更重視勒索攻擊的危害，以及個資外洩的影響。特別的是，在我們與證交所聯繫過程中，還發現資安事件「重大性」的認定，已有明確標準可依循，上市公司的部分在1月已經完成相關修訂，上櫃公司的部分也確定即將發布。</p> <p>在關注企業揭露資安事件之餘，我們還有不同資安領域的消息需要重視。</p> <p>在本星期的漏洞利用消息方面，有3個重點，企業需優先因應的是蘋果與JetBrains的漏洞。<br /> （一）蘋果修補多款產品的2個記憶體損壞漏洞CVE-2024-23225、CVE-2024-23296，都是已遭鎖定攻擊的零時差漏洞。<br /> （二）JetBrains修補旗下CI/CD軟體平臺TeamCity的兩個漏洞，特別的是，由於該公司沒有知會通報漏洞的Rapid7、私下修補且不公開漏洞，使得Rapid7同日公開漏洞細節。後續，外界發現漏洞CVE-2024-27198已遭鎖定利用。<br /> （三）兩個老舊漏洞近期發現遭鎖定利用，包括：2021年8月的Sunhillo SureLine OS命令列注入漏洞（CVE-2021-36380），以及去年6月的Android Pixel資訊揭露漏洞（CVE-2023-21237）。本期資安日報尚未提及，在此補上。<br /> 其他可留意的漏洞修補消息，包括VMware修補旗下多款產品的4個重大漏洞，以及臉書修補密碼重置漏洞。</p> <p>在資安事件焦點方面，一開始提及勒索軟體與個資外洩的威脅態勢，本週也有多起這方面的新聞報導，我們整理如下：<br /> ●勒索軟體駭客組織Dunghill在2月29日聲稱入侵上櫃公司安瑞科技，我們取得安瑞的回應，他們表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。目前調查未有客戶敏感資料外洩，也不影響營運。<br /> ●美國CISA等多個機構針對近期勒索軟體Phobos的攻擊態勢提出警告，2月有新的變種出現，主要鎖定關鍵基礎設施、地方政府、急難、教育與醫療單位。<br /> ●去年底Line用戶個資外洩事件有後續消息，原因是LYC與關係企業Naver Cloud因部分系統共用，而雙方於韓國採用的外包廠商，其員工電腦遭到惡意程式感染，因此最近日本總務省要求兩家公司應切割IT基礎架構。<br /> ●美國運通向客戶通知發生資料外洩事件，原因是第三方信用卡交易處理服務提供商的系統遭駭客入侵，導致有未經授權存取的情況。</p> <p>還有一項針對我國而來的攻擊活動，需要大家關注。繼月前有資安業者Trellix發布報告，指出臺灣總統大選投票前一天所遭受的網路攻擊大幅增加，近日又有趨勢科技揭露這方面的態勢，指出中國駭客組織Earth Lusca在去年12月至今年1月的新一波攻擊活動中，會使用地緣政治議題為誘餌來發動網釣攻擊，並且其內容疑似盜用未發表的專家文章。由於研究報告中提到相關文章遭盜用、相關政治專家或所屬組織可能遭入侵，我們認為，上述人士需趕緊檢視自身裝置、帳號的防護，避免受害卻仍不自覺。</p> <p style="margin: 0px;">在資安防禦態勢上，我們注意有3個重點，主要針對開發安全與LLM的安全。</p> <p>首先，開發者要注意！最近GitHub將去年推出的推送保護（Push Protection）功能，改為預設啟用。特別的是，我們發現GitHub在宣布此消息之餘，同時提到他們最近在公開儲存庫掃描時的發現：今年已偵測到上百萬筆機密資料洩漏（API金鑰、令牌與各種機密），如此大量只發聲在短兩個月內。此一情形，很有可能就是現在將Push Protection改為預設啟用的原因。</p> <p>此外，前幾年美國白宮邀科技大廠解決開源安全問題時，改用記憶體安全程式語言，就是十大重點工作之一，最近美國白宮更是發布相關報告，親自呼籲科技界主動減少網路攻擊面，不要使用缺乏記憶體安全相關功能的C和C++。這樣的態勢值得臺灣政府及所有IT資訊產業關注，畢竟要打造可信賴的供應鏈生態體系，軟體開發安全亦是關鍵，尤其是各種可濫用的軟體漏洞中，記憶體安全漏洞佔了絕大多數，因此是所有程式開發相關都要設法克服的挑戰。</p> <p>最後是大型語言模型（LLM）當紅，如今面對提示詞注入、模型拒絕服務，以及敏感資訊洩漏這三種模型攻擊，如何設法應對成挑戰，最近開始有資安業者發表可應對這些威脅的網頁應用防火牆（WAF），Cloudflare指出，其作用可阻擋有問題的請求輸入模型，並具備敏感資料偵測能力，可用於阻止在回應中洩漏機密資料，另一方面，也可阻止使用者將資料傳送到公用LLM。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/161590"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</span></strong></a></h3> <p>投資詐騙的攻擊行動可說是相當氾濫，而過往研究人員察覺的資安事故當中，多半是涉及駭客如何引誘使用者上當，但最近有新型態的攻擊手法出現。</p> <p>已經暗中進行超過2年的駭客組織Savvy Seahorse攻擊行動，就是這種例子，對方濫用網域名稱服務（DNS）的CNAME紀錄打造惡意流量分配系統（Traffic Distribution System，TDS），而能精確鎖定目標下手。</p> <p><a href="https://www.ithome.com.tw/news/161613"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</span></strong></a></p> <p>上個月有資安業者Trellix揭露針對臺灣總統大選而來的網路攻擊行動，並指出攻擊行動在投票日前24個小時達到高峰，駭客的目的是收集特定候選人情資。而針對這場選舉而來的網路攻擊不僅止於此，最近有研究人員公布與此有關的資安威脅活動。</p> <p>趨勢科技近期公布中國駭客組織Earth Lusca的網路釣魚攻擊，巧合的是，這起事故發生在選舉前2天，駭客疑似透過地緣政治議題來引誘使用者上鉤。</p> <h3><a href="https://www.ithome.com.tw/news/161636"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</span></strong></a></h3> <p>2月下旬公布的ScreenConnect漏洞CVE-2024-1709、CVE-2023-1708，不久後就傳出遭到利用，而且利用這些漏洞的主要是勒索軟體駭客組織，最初被發現的是甫被執法單位圍剿基礎設施的LockBit，但隨後也傳出Black Basta、Bl00y兩個組織將漏洞用於攻擊行動。</p> <p>但現在也有國家級駭客加入行列，將這項漏洞用於散布惡意軟體。Kroll旗下的威脅情報團隊發現，北韓駭客組織Kimsuky將其用於散布新的後門程式。</p> <h3><a href="https://www.ithome.com.tw/news/161657"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</span></strong></a></h3> <p>日前科技巨頭Meta旗下的社群網站臉書、Instagram、Threads同時傳出無預警大當機的情況，引起全球各界關注，但Meta始終並未說明如何發生，而這樣的情況，可能讓駭客有機可乘，假借這類事故拉擡自己的聲勢。</p> <p>資安業者Cyberint發現，有3個從事DDoS攻擊的駭客組織表示是他們造成這起大當機事故，但研究人員目前尚未找到相關證據。</p> <h3><a href="https://www.ithome.com.tw/news/161668"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</span></strong></a></h3> <p>我們之前報導過針對雲端運算環境從事挖礦行為的攻擊行動，駭客通常運用這類環境常見的應用系統而來，利用配置不當或是尚未修補的已知漏洞入侵這些伺服器。</p> <p>值得留意的是，駭客對於Docker、Hadoop、Redis，或是Confluence伺服器發動攻擊的情況，不時傳出有關事故，但在最近一起資安事故當中，駭客同時鎖定上述4種環境下手。</p> <p>在資安防禦態勢方面，<br /> 記憶體安全程式語言持續受重視，最近再次美國國家網路主任辦公室（ONCD）呼籲</p> </div></div></div>
2024/3/11 09:45作者羅正漢https://www.ithome.com.tw/news/161700
【資安日報】3月11日，為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動更為隱密，攻擊者建立網路隧道（Tunnel），從而埋藏攻擊流量的情況，研究人員已經發現多起這種類型的攻擊行動，其中最常針對部分，就是利用DNS打造這類通道來達成目的。</p> <p>但最近出現一種新型態的攻擊手法引起研究人員關注，駭客使用的是虛擬化平臺QEMU來達到目的，從而繞過受害組織的資安防護措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/network-tunneling-with-qemu/111803/"><strong style="font-size: 22px;">虛擬化平臺QEMU遭到濫用，駭客設置網路通訊隧道，目的是藉此隱匿攻擊流量</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/QEMU_persistence_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QEMU_persistence_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露濫用硬體模擬器QEMU的攻擊行動，他們在著手調查事故時，發現較為罕見的攻擊手法，駭客在常見的Angry IP Scanner、Mimikatz等作案工具之外，亦使用了QEMU，但對方並未掛載Live CD或是磁碟映像檔，而是將其用於建置網路隧道，企圖隱匿攻擊行動。</p> <p>但究竟駭客如何運用這套工具？研究人員推測，攻擊者在自己的伺服器部署虛擬機器（VM），然後從受害組織的內部環境攻入可連上網際網路的電腦，偷偷將QEMU安裝到這些設備，並執行上述的遠端VM，從而打造網路隧道來存取企業網路環境裡的其他內部系統。</p> <p>值得一提的是，為了避免受害主機的硬體資源使用出現顯著變化而東窗事發，這些駭客擅自建立的虛擬機器僅配置1 MB記憶體，並以無使用者圖形介面（GUI）的模式執行QEMU。</p> <p><a href="https://www.cybereason.com/blog/unboxing-snake-python-infostealer-lurking-through-messaging-service"><strong style="font-size: 22px;">Python竊資軟體Snake散播增加新管道！攻擊者開始運用臉書即時通訊軟體Messenger進行誘騙</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/snake-infostealer-blog-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/snake-infostealer-blog-1.jpg" style="width: 300px; float: right;" /></a>資安業者Cybereason揭露名為Snake的竊資軟體攻擊行動，駭客疑似透過臉書即時通訊軟體Messenger發送訊息，尋找攻擊目標，並引導使用者下載RAR或ZIP壓縮檔，其內容包含BAT批次檔案，功能是透過curl下載另一個ZIP檔案，然後執行PowerShell命令Expand-Archive，從前述壓縮檔取得vn.cmd，並用於執行後續的攻擊行動。而這個CMD檔案的用途，就是在受害電腦植入Snake。</p> <p>此竊資軟體以Python打造而成，駭客濫用程式碼儲存庫GitHub、GitLab存放惡意程式檔案，並將從受害者電腦收集的帳密資料傳送到Discord、GitHub、Telegram。</p> <p>特別的是，研究人員發現駭客維護3種版本的Snake，其中2種是Python指令碼，第3種由PyInstaller封裝而成的可執行檔。根據駭客竊取資訊的主要目標是越南知名的瀏覽器Coc Coc，再加上部分功能函數的命令與越南語有關，研究人員推測，攻擊者很可能來自越南。 </p>  <p><a href="https://www.welivesecurity.com/en/eset-research/evasive-panda-leverages-monlam-festival-target-tibetans/"><strong style="font-size: 22px;">中國駭客組織Evasive Panda入侵藏傳佛教節日網站、藏文翻譯應用程式，鎖定亞洲用戶而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-10-loading-chain-of-certificate-exe.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-10-loading-chain-of-certificate-exe.jpeg" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織的網路間諜活動，對方利用藏傳佛教節日「神變月（Monlam Festival）」為誘餌，針對多個國家、地區的圖博人士發動攻擊。</p> <p>駭客破壞位於印度、推廣藏傳佛教的網站，並埋入惡意指令碼，然後將其用於水坑式攻擊，並且入侵圖博軟體公司的供應鏈。一旦發現使用者來自臺灣、香港、印度、澳洲、美國，就會顯示假的錯誤網頁，要求下載檔名為certificate的「修正程式」，此為惡意程式載入工具，以便攻擊者為下個階段做準備。研究人員循線進行調查，發現駭客於去年9月入侵也在印度、開發藏文翻譯軟體的公司網站，並在網站裡儲存數個木馬應用程式，用途是對受害電腦散布Windows或macOS惡意程式載入工具。附帶一提，攻擊者也濫用圖博新聞網站Tibetpost代管惡意酬載。</p> <p>研究人員在這起攻擊行動裡，發現駭客最終對Windows電腦散布MgBot、Nightdoor等後門程式，而在Mac電腦的攻擊方式，對方則是植入多款尚未命名的惡意程式。根據駭客使用的惡意程式，再加上C2伺服器的IP位址，研究人員指出攻擊者的身分是Evasive Panda，並指出對方先前在攻擊臺灣宗教組織的行動中，也曾使用MgBot、Nightdoor。</p> <p><a href="https://pixmsecurity.com/blog/uncategorized/us-public-school-districts-targeted-mfa-spear-phishing-campaigns-on-the-rise"><strong style="font-size: 22px;">駭客組織Tycoon與Storm-1575狼狽為奸，鎖定美國學校從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/phaas.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/phaas.png" style="width: 300px; float: right;" /></a>駭客組織在從事網路犯罪行為進行分工，提供不同作案工具的情況，最近有研究人員揭露其樣貌。資安業者Pixm揭露從去年11月出現的網路釣魚攻擊，參與攻擊行動的駭客組織主要是Tycoon和Storm-1575，目標是美國公立學區的從業人員，自12月開始，相關攻擊行動出現大幅增加的現象。</p> <p>根據他們的調查，對方寄送釣魚郵件，聲稱以安全為由要求收信人變更密碼，若是照做，收信人會被導向Cloudflare圖靈驗證系統（CAPTCHA），以及偽造的微軟登入網頁，一旦收信人輸入帳密資料，攻擊者就有可能進行對手中間人攻擊（AiTM），將資料傳輸到正牌的登入網頁，並進行雙因素驗證，從而挾持收信人的微軟帳號。</p> <p>研究人員指出，上述兩個組織都架設了網釣工具的服務平臺（Phishing-as-a-Service，PhaaS），Tycoon的平臺phishingkit主要是能夠繞過雙因素驗證（MFA），而Storm-1575則是設置名為Phoenix Panel（原名dadsec）的平臺，從事對手中間人攻擊。 </p> <p><strong style="font-size: 22px;">WordPress有多個外掛程式陸續遭揭漏資安漏洞</strong></p> <p></p> <p>綜合資安業者Snicco、Wordfence、Patchstack的研究與分析，在WordPress眾多外掛程式當中，有３個陸續被揭露漏洞，這些工具包含：用於佈景主題的Bricks Builder、會員系統Ultimate Member、網站效能LiteSpeed Cache存在漏洞。</p> <p>這些弱點的嚴重性偏高，例如，Bricks Builder有RCE漏洞CVE-2024-25600（CVSS風險評分9.8），Ultimate Member有SQL注入漏洞CVE-2024-1071（CVSS風險評分9.8），LiteSpeed Cache有跨網站指令碼漏洞CVE-2023-40000，風險評分尚未確定，但因為安裝此工具的網站數量高達5百萬臺，因此也需多加留意。</p> <p>值得留意的是，CVE-2024-25600已被用於攻擊行動。Patchstack於2月14日偵測到嘗試利用漏洞的跡象，並指出攻擊者透過惡意軟體停用Wordfence、Sucuri等資安業者提供的外掛程式；Wordfence也發現相關攻擊行動，他們在19日表示，已在過去24小時封鎖5起攻擊行動。</p> <p>資料來源</p> <p>1. <a href="https://snicco.io/vulnerability-disclosure/bricks/unauthenticated-rce-in-bricks-1-9-6">https://snicco.io/vulnerability-disclosure/bricks/unauthenticated-rce-in-bricks-1-9-6</a><br /> 2. <a href="https://www.wordfence.com/blog/2024/02/2063-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-ultimate-member-wordpress-plugin/">https://www.wordfence.com/blog/2024/02/2063-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-ultimate-member-wordpress-plugin/</a><br /> 3. <a href="https://patchstack.com/articles/xss-vulnerability-in-litespeed-cache-plugin-affecting-4-million-sites/">https://patchstack.com/articles/xss-vulnerability-in-litespeed-cache-plugin-affecting-4-million-sites/</a><br /> 4. <a href="https://patchstack.com/articles/critical-rce-patched-in-bricks-builder-theme/">https://patchstack.com/articles/critical-rce-patched-in-bricks-builder-theme/</a><br /> 5. <a href="https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/bricks/bricks-196-unauthenticated-remote-code-execution">https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/bricks/bricks-196-unauthenticated-remote-code-execution</a></p> <p><a href="https://msrc.microsoft.com/blog/2024/03/update-on-microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/"><strong style="font-size: 22px;">針對俄羅斯駭客Midnight Blizzard入侵事故，微軟公布更多調查結果，指出駭客擴大攻擊力道</strong></a></p> <p></p> <p>1月19日微軟證實遭遇俄羅斯駭客組織Midnight Blizzard入侵，該組織企圖透過高階主管與資安人員的電子郵件來打聽情報，如今該公司公布後續的調查結果。3月8日微軟表示，他們找到對方利用電子郵件系統進行未經授權存取的證據，目的是存取原始碼儲存庫及內部系統，不過，截至目前為止他們並未發現面向客戶的系統遭到入侵的跡象。</p> <p>此外，他們也發現駭客嘗試挖掘不同類型的機敏資訊，部分是來自與客戶往來的郵件。值得留意的是，駭客似乎投入了更多資源對其發動攻擊，因為2月發動的密碼潑灑（Password Spray）等多種類型的攻擊數量大增，比起前一個月成長10倍。</p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;">Google發布3月安卓例行更新，修補系統元件、高通晶片的重大漏洞</strong></p> <p></p> <p>3月4日Google發布本月份的安卓例行修補，總共修補38個漏洞，13個涉及作業系統的框架與系統層面，25個與第三方元件有關。</p> <p>其中有2個作業系統本身的漏洞被列為重大層級而受到關注，這些漏洞存在於安卓12至14版作業系統，皆為系統層面的漏洞，CVE-2024-0039可被用於遠端執行任意程式碼（RCE），另一個則是CVE-2024-23717，攻擊者可用於提升權限。</p> <p>而在第三方元件的部分，存在高通於閉源元件的CVE-2023-28578，其威脅嚴重性被列為重大層級，此為記憶體中斷的弱點，在晶片核心服務執行單一事件監聽器移除的工作時出現，CVSS風險評分為9.3。</p> <p>資料來源</p> <p>1. <a href="https://source.android.com/docs/security/bulletin/2024-03-01">https://source.android.com/docs/security/bulletin/2024-03-01</a><br /> 2. <a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/march-2024-bulletin.html">https://docs.qualcomm.com/product/publicresources/securitybulletin/march-2024-bulletin.html</a></p> <p><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-24-09"><strong style="font-size: 22px;">威聯通修補NAS重大層級身分驗證漏洞</strong></a></p> <p></p> <p>3月9日網路儲存設備業者威聯通（QNAP）發布資安通告，他們針對NAS作業系統QTS、QuTS hero、QuTScloud，以及NAS設備雲端管理平臺myQNAPcloud修補3項漏洞CVE-2024-21899、CVE-2024-21900、CVE-2024-21901。</p> <p>這些漏洞當中，危險程度最高的是重大層級的CVE-2024-21899，此為身分驗證不當漏洞，一旦攻擊者加以利用，就有可能透過網際網路入侵系統的安全機制，CVSS風險評分為9.8。</p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.vsd.lt/en/reports/china/china-intensifies-intelligence-activities-against-lithuania-from-its-territory/"><span style="font-size: 20px;">立陶宛針對中國網路間諜行動提出警告，駭客意圖收集總統選舉、議會選舉情報</span></a></strong></p> <p></p> <p><a href="https://www.hackread.com/hacker-breach-federal-contractor-acuity-ice-uscis-data/"><strong><span style="font-size: 20px;">美國移民主管機關的IT承包商傳出遭駭，敏感資料流入駭客論壇</span></strong></a></p> <p></p> <p><strong><a href="https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/"><span style="font-size: 20px;">駭客組織Magnet Goblin鎖定甫公布的已知漏洞，散布惡意程式</span></a></strong></p> <p></p> <p><a href="https://www.resecurity.com/blog/article/lockbit-30s-bungled-comeback-highlights-the-undying-risk-of-torrent-based-data-leakage"><strong><span style="font-size: 20px;">勒索軟體駭客組織LockBit捲土重來，透過種子檔案散布竊得資料</span></strong></a></p> <p></p> <p><a href="https://openssf.org/blog/2024/03/07/guac-joins-openssf-as-incubating-project/"><strong><span style="font-size: 20px;">OpenSSF接手主導軟體安全評估工具專案GUAC</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161657"><strong>【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161636"><strong>【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</strong></a></p> </div></div></div>
2024/3/11 16:36作者周峻佑https://www.ithome.com.tw/news/161709
蘋果將讓歐盟用戶把iPhone或iCloud資料搬到Android平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應《數位市場法》（Digital Markets Act，DMA），蘋果昨（7）日<a href="https://www.apple.com/legal/dma/dma-ncs.pdf" target="_blank">宣布最新措施</a>，允許用戶將儲存在iPhone或iCloud上的資料，更容易搬移到其他平臺，並公告明年秋天會提供新工具。</p> <p>蘋果在最新公開文件中說明，已經實作1月底該公司承諾的「資料可攜性」。現在蘋果資料與隱私網頁，已經允許用戶將蘋果帳號下的使用紀錄等，透過Account Data Transfer API將資料以其他平臺介面工具移轉出去。用戶可以設定每天下載30天或每周下載80到100天的App Store資料。但第三方平臺必須滿足蘋果的最低要求始得以介接並存取資料。</p> <p>蘋果計畫進一步增加資料可攜性的工具。目前市面上已有讓用戶在不同作業系統之間移轉資料的第三方資料搬移工具（例如Google的Switch to Android App），但蘋果目前也正在開發解決方案，讓使用者從iPhone上搬移資料到「非蘋果平臺」。該公司說這工具預定會在2025年秋天前釋出。</p> <p>蘋果也在上個月開放iPhone更自由使用其他瀏覽器，允許iPhone用戶選擇預設非Safari瀏覽器，並開放使用非WebKit瀏覽器引擎。在最新文件中，蘋果預告正在開發瀏覽器轉換解決方案，以便用戶將書籤或其他瀏覽器資料在Safari和第三方瀏覽器之間匯出或匯入，預計2024年底或2025年初會推出。</p> <p>蘋果並未說明開放用戶搬移哪些資料，但<a href="https://techcrunch.com/2024/03/07/apple-will-make-it-easier-to-move-to-android-by-fall-2025/" target="_blank">Techcrunch</a>報導，這些資料包含iCloud中的照片、蘋果應用程式如Notes、Calendar、Contacts、Maps、Wallet、Mail的資料或瀏覽器Safari的書籤、閱讀清單等等。</p> <p>除了資料可攜外，蘋果也說明將強化用戶及開發人員資料的保護措施。這包含二方面。一是針對DMA禁止的跨應用場景的資料串流或個資合併，蘋果已終止上述情況使用到App Store的資料。其次，蘋果已制訂新的政策和核准機制，確保個資使用符合DMA規定。蘋果也已強化防護機制，防範非公開個資的濫用。</p> <p>這是繼今年1月底蘋果宣布提供歐盟用戶多項自由選擇後的最新DMA遵循措施。蘋果承諾將開放第三方程式市集、第三方瀏覽器引擎、第三方支付機制，並調降App Store佣金比例。</p> <p>雖然蘋果宣布遵循歐盟DMA，但本周卻出現蘋果出現和早先承諾矛盾的行徑。繼遊戲業者Epic Games上個月<a href="https://www.ithome.com.tw/news/161341" target="_blank">宣布</a>將開設iOS遊戲軟體市集，蘋果本周卻將Epic Games的App Store的開發者帳號停權。歐盟已<a href="https://www.reuters.com/technology/apple-terminates-developer-account-fortnite-maker-epic-games-says-2024-03-06/" target="_blank">表示</a>將進行調查。</p> </div></div></div>
2024/3/8 14:41作者林妍溱https://www.ithome.com.tw/news/161669
Inflection釋出可比美GPT-4的Inflection-2.5模型，已部署於Pi聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>於2022年創立的AI公司Inflection周四（3/6）<a href="https://inflection.ai/inflection-2-5" target="_blank">發表</a>了新一代的大型語言模型Inflection-2.5，指出在許多的基準測試中，該模型已可比美OpenAI的GPT-4及Google Gemini，此外，Inflection-2.5也已被部署在Pi聊天機器人中。</p> <p>Inflection執行長暨共同創辦人的Mustafa Suleyman為AI領域的研究先驅，他在2010年即共同創辦了DeepMind，在Google於2014年買下DeepMind之後，亦轉至Google負責DeepMind。Inflection另一名創辦人則是科技產業的創業家Reid Hoffman，曾共同創辦已被微軟收購的LinkedIn。</p> <p>現階段Inflection的主要產品為去年5月發表的Pi聊天機器人，Pi定位為個人AI，可充當使用者的教練、知己、創意合作夥伴或是傾訴的對象，Pi具備高情商，強調友善、支持、好奇、謙虛、創意及有趣，已支援桌面、瀏覽器、Android及iOS等平臺，也可直接將它嵌入WhatsApp、Instagram與Facebook中，但目前僅有英文、西班牙文、法文、德文、義大利文及葡萄牙文，尚未提供中文服務。</p> <p>新的Inflection-2.5模型不管是在MMLU、GPQA Dimond、Big-Bench-Hard、Mathematics、Coding或Common Sense等基準評測上都接近GPT-4模型。平均而言，在各種IQ導向的AI任務中，Inflection-2.5的平均表現已達到GPT-4的94%，但進行訓練所使用的運算量，卻只有GPT-4的40%。</p> <p>Suleyman表示，現在Inflection將把IQ加入Pi卓越的EQ中。</p> <p>Pi聊天機器現在每天已有100萬活躍用戶，每月活躍用戶則是600萬，自去年5月以來，使用者與Pi交換的訊息已超過40億則。根據Inflection的統計，使用者每天與Pi的對話平均持續33分鐘，更有1/10的對話超過1小時，每一周與Pi交談的使用者中，有60%會在隔周重返Pi，其每月的使用者黏性高過競爭對手。</p> </div></div></div>
2024/3/8 15:33作者陳曉莉https://www.ithome.com.tw/news/161671
微軟工程主管要求董事會對Copilot Designer安全風險事件進行獨立調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟軟體工程主管Shane Jones發出公<a href="https://www.linkedin.com/feed/update/urn:li:activity:7171135079702753280/">開信</a>給微軟董事會以及FTC，就Copilot Designer背後模型DALL·E 3的潛在風險，以及微軟決策高層對他警告不夠重視提出擔憂與警告，他要求微軟董事會對相關事件進行獨立調查，並且評估微軟對當前和未來人工智慧風險的準備，同時他也敦促FTC對此事件負起教育大眾與監督企業的責任。</p> <p>Shane Jones認為OpenAI DALL·E 3模型存在安全漏洞，這些漏洞允許使用者繞過一些防護措施，導致模型創建和發布有害圖像，而這些圖像可能會對於兒童或是受暴力影響的人，構成公共安全風險。</p> <p>他指出，DALL·E 3會在完全良性的提示詞中，不經意地產生物化女性的圖像，同時，DALL·E 3接收與青少年相關的提示詞，還可能產生包含槍械的暴力圖像。DALL·E 3中存在的問題，在Copilot Designer中同樣存在，Shane Jones希望OpenAI對DALL·E 3進行全面審查和再訓練。</p> <p>Shane Jones在去年12月的時候，曾針對這些問題在LinkedIn向OpenAI非營利董事會發出公開信，敦促他們先停止DALL·E 3的服務，直到所有問題解決。而微軟的公共暨法律事務部（CELA）在得知之後，立即要求Shane Jones刪除公開信，並且拒絕就該事件直接溝通。</p> <p>Shane Jones還提到，微軟高層拒絕停止向公眾開放Copilot Designer，或是將Android應用從E for Everyone更改為Mature 17+分級，甚至還在行銷素材中使用「Anyone. Anywhere. Any Device.」等字詞，即便DALL·E 3可能生成具有政治偏見、未成年飲酒吸毒、商標濫用與陰謀論等有害圖像。</p> <p>在公開信中，Shane Jones向微軟董事會提出三項訴求，第一項訴求是要求進行獨立調查，確認微軟的公共暨法律事務部（CELA）是否干涉OpenAI董事會履行其使命與章程的職責。第二項是對於微軟管理層決定繼續銷售，存在公共安全風險的人工智慧產品而不揭露其風險一事進行獨立調查，第三則是對微軟負責任人工智慧報告流程和訓練進行獨立調查，評估其應對當前和未來重大人工智慧風險的準備。</p> </div></div></div>
2024/3/7 23:11作者李建興https://www.ithome.com.tw/news/161659
【資安日報】3月7日，Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前科技巨頭Meta旗下的社群網站臉書、Instagram、Threads同時傳出無預警大當機的情況，引起全球各界關注，但Meta始終並未說明如何發生，而這樣的情況，可能讓駭客有機可乘，假借這類事故拉擡自己的聲勢。</p> <p>資安業者Cyberint發現，有3個從事DDoS攻擊的駭客組織表示是他們造成這起大當機事故，但研究人員目前尚未找到相關證據。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cyberint.com/blog/other/meta-is-down-skynet-claims-to-have-attacked/"><strong style="font-size: 22px;">臉書、IG、Threads發生全球大當機，3個駭客組織聲稱是他們所為，但目前尚無證據證實此事</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/meta-28.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/meta-28.png" style="width: 300px; float: right;" /></a>3月5日深夜科技巨頭Meta旗下的社群網站臉書、Instagram、Threads傳出無預警大當機，許多用戶被強制登出，但究竟什麼原因造成，該公司並未說明，如今有駭客組織聲稱是他們所為。</p> <p>資安業者Cyberint發現，名為Skynet、Godzilla、Anonymous Sudan的駭客組織宣稱，這起當機事故是他們聯手對上述社群網站發動攻擊當造成，並提供多張螢幕截圖當作證據。不過，研究人員對於駭客的說法持保留態度，因為他們並未發現有關攻擊行動的證據，推測這些駭客應該只是虛張聲勢。</p> <p>但由於這3個組織曾狼狽為奸，對於即時通訊軟體平臺Discord、AI聊天機器人ChatGPT發動DDoS攻擊，研究人員也不排除真有其事的可能。</p> <p><a href="https://www.theguardian.com/technology/2024/mar/06/chinese-google-engineer-arrested-stealing-ai-trade-secrets"><strong style="font-size: 22px;">任職Google的中國工程師涉嫌盜取AI機密，並提供給兩家中國公司運用</strong></a></p> <p></p> <p>3月6日<a href="https://www.justice.gov/opa/pr/chinese-national-residing-california-arrested-theft-artificial-intelligence-related-trade">美國司法部發出新聞稿</a>，指出現年38歲的中國工程師Linwei Ding（Leon Ding），在任職Google軟體工程師期間，涉嫌自2022年5月21日至2023年5月2日，利用職務之便，定期將Google公司的機密資料上傳到自己的Google Cloud帳號，這些資料涉及硬體基礎設施、軟體平臺，以及對應的人工智慧模型與應用程式，而這些資料疑似提供給2家中國科技公司運用。</p> <p>根據起訴書的內容，此人曾在2022年6月被中國科技公司融數聯智（Rongshu Lianzhi）任命為技術長，並擁有20%股份；然後在2023年5月之前，他成立智算科技（Zhisuan）擔任執行長，並在新創企業孵化計畫的投資者會議上，宣稱他們擁有Google運算平臺的經驗，只需複製、升級，就能開發出符合中國國情的解決方案。</p> <p>這名工程師被指控4項竊取商業機密的罪名並遭到逮捕，如果罪名成立，他將面臨10年監禁與100萬美元的罰款。</p> <p><strong style="font-size: 22px;">勒索軟體駭客BlackCat傳出從醫療支付平臺Change Healthcare收到2,200萬美元贖金，關閉網站伺服器</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GH1BxCfXwAARFIv.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GH1BxCfXwAARFIv.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織BlackCat（Alphv）傳出關閉相關伺服器的消息，資安新聞網站Bleeping Computer指出，他們看到駭客已將談判網站關閉，並在通訊平臺留下「我們決定一切都結束了」的俄文訊息，但究竟為何該組織決定收手？目前還不明朗，無從判斷是想更名、另起爐灶，還是打算進行「結束詐騙（Exit Scam，意指駭客首腦在結束營運時將未分贜的贖金洗劫一空）」，但很有可能與最近發生的攻擊事故有關。</p> <p>資安業者Recorded Future研究人員Dmitry Smilyanets發現，有自稱是長期與BlackCat合作的附屬組織Notchy，聲稱近期針對大型醫療支付平臺Change Healthcare發動攻擊，竊得4 TB資料，3月1日經營該平臺的廠商Optum向BlackCat支付贖金2,200萬美元，條件是拿到解密金鑰，以及促使駭客刪除手上的資料。</p> <p>然而在Optum付錢後，Notchy發現BlackCat管理層停用他們的帳號，並將加密貨幣錢包的資金提領一空。這些駭客在拿不到錢的狀態下，揚言要運用手上的資料，對Optum及其客戶、保險公司不利。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/">https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/</a><br /> 2. <a href="https://twitter.com/ddd1ms/status/1764639254016102410">https://twitter.com/ddd1ms/status/1764639254016102410</a></p> <p><a href="https://www.zscaler.com/blogs/security-research/android-and-windows-rats-distributed-online-meeting-lures"><strong style="font-size: 22px;">冒牌Zoom、Google Meet、Skype會議鎖定Windows、安卓用戶而來，散布RAT木馬程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure_1_6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure_1_6.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露從去年12月出現的攻擊行動，駭客聲稱舉行Skype、Google Meet、Zoom線上會議，然後誘導使用者到冒牌的應用程式下載網站，一旦照做，電腦或手機就有可能被植入惡意程式。</p> <p>值得留意的是，這起攻擊行動同時針對Windows與安卓平臺的俄語用戶而來，若是使用者下載Windows版安裝程式並執行，電腦就有可能感染RAT木馬程式NjRAT和DCRat；假如使用者下載安卓的APK安裝檔，那麼行動裝置就有可能被植入另一款木馬程式SpyNote RAT。</p> <p><a href="https://asec.ahnlab.com/en/62446/"><strong style="font-size: 22px;">RAT木馬程式WogRAT透過雲端文字共享平臺aNotepad散布，鎖定亞洲國家而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/WogRAT-85.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WogRAT-85.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現有人透過雲端文字共享平臺aNotepad散布後門程式WogRAT，特別的是，這款惡意程式不僅採用Windows可執行檔的格式，也具備Linux可執行檔（ELF）的特徵。</p> <p>攻擊者從2022年底，針對香港、新加坡、中國、日本等亞洲國家而來，假借提供常見的應用程式為誘餌進行散布，雖然該惡意程式具備兩種檔案的型態，但Windows用戶是駭客的主要攻擊目標。研究人員指出，攻擊者通常會引導使用者下載惡意程式載入工具，一旦執行，就會從aNotepad下載WogRAT的原始碼，並透過Base64演算法解密，接著於受害電腦編譯該惡意程式並載入。</p> <p>此後門程式首次運作時，會將受害電腦基本資訊傳送至C2伺服器，而該惡意軟體具備的功能，包含執行命令、下載或上傳檔案。根據對C2伺服器的調查，研究人員發現駭客也開始有打算對Linux主機下手的跡象，並指出駭客疑似採用開源惡意程式Tiny Shell為基礎開發相關功能。</p> <p><a href="https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000224.html"><strong style="font-size: 22px;">為防範個資外洩再度發生，日本政府要求Naver、Line員工身分驗證管理系統進行拆分</strong></a></p> <p></p> <p>去年11月<a href="https://www.ithome.com.tw/news/160129">Line母公司LY Corporation（LYC）發布資安公告</a>，未經授權的第三方存取該公司系統，導致客戶、合作夥伴，以及LYC與Naver員工資料外洩，而這起事故起因與兩個集團部分系統有關。對此，3月5日日本主管機關總務省發布行政指導，並指出LYC的安全管理、資訊安全政策、外部廠商管理存在疏失，要求改進。其中，總務省強調，Naver與LYC的內部身分驗證基礎架構應完全分離，並實施嚴格的存取控制。</p> <p>然而，上述的防護措施若要實行，恐怕存在執行上的困難。因為，在業務上，Naver是LYC的雲端及系統營運承包商，但從經營層面來看，Naver卻掌握LYC半數股權，這樣的情況使得LYC難以對Naver提出嚴格的管理要求。</p> <p><a href="https://pma.gov.taipei/News_Content.aspx?n=C367863C93700356&sms=72544237BBE4C5F6&s=2A61A85482F5FA62"><strong style="font-size: 22px;">北市民營停車場網站遭駭，導致車主個資外洩，收到詐騙訊息</strong></a></p> <p></p> <p>3月5日臺北市停車管理工程處（停管處）指出，他們接獲通報，得知經營稻香大樓地下停車場的業者營運系統遭到駭客入侵，導致車主的資料外洩，並陸續有民眾收到換取合約的假訊息，內容宣稱能提供專屬的固定車位，或是年繳的優惠方案，該公司澄清他們沒有提供這樣的活動，並在停車場張貼公告，提醒車主防範相關詐騙手法。</p> <p>而對於這起攻擊事件發生的過程，此停車場管理業者也提出說明，指出他們的繳費服務網站於3月2日遭到入侵，察覺異狀後於第一時間關閉網站服務，但究竟有多少民眾受害，該公司並未進一步說明。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-two-new-ios-zero-days-exploited-in-attacks-on-iphones/"><strong style="font-size: 22px;">蘋果發布iOS 17.4、iPadOS 17.4，修補2個零時差漏洞</strong></a></p> <p>3月5日蘋果發布iOS 17.4、16.7.6，以及iPadOS 17.4、16.7.6，當中修補兩個已遭利用的零時差漏洞CVE-2024-23225、CVE-2024-23296，影響iPhone 8、iPhone X、第5代iPad、第3代iPad Air，以及歷代版本的iPad Pro。</p> <p>上述漏洞皆為記憶體毀損弱點，攻擊者一旦能任意讀寫系統核心（kernel），就有機會繞過核心對於記憶體的防護機制。其中，CVE-2024-23225存在於系統核心本身，另一個漏洞CVE-2024-23225則是存在於名為RTKit的元件。</p> <p>資料來源</p> <p>1. <a href="https://support.apple.com/HT214081">https://support.apple.com/HT214081</a><br /> 2. <a href="https://support.apple.com/HT214082">https://support.apple.com/HT214082</a></p> <p> </p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="http://blog.sucuri.net/2024/03/from-web3-drainer-to-distributed-wordpress-brute-force-attack.html"><span style="font-size: 20px;">駭客針對WordPress網站發動攻擊，再經由瀏覽網站的使用者對其他網站下手</span></a></strong></p> <p></p> <p><a href="https://blog.talosintelligence.com/timbrestealer-campaign-targets-mexican-users/"><strong><span style="font-size: 20px;">墨西哥用戶遭到竊資軟體TimbreStealer鎖定，假借稅務主題為誘餌下手</span></strong></a></p> <p></p> <p><strong><a href="https://www.proofpoint.com/us/blog/threat-insight/ta577s-unusual-attack-chain-leads-ntlm-data-theft"><span style="font-size: 20px;">駭客組織TA577從事網路釣魚攻擊，企圖竊得使用者的NTLM雜湊密碼進行帳號挾持</span></a></strong></p> <p><a href="https://www.ithome.com.tw/news/161567"><strong><span style="font-size: 20px;">10個廠牌的智慧門鈴存在相同漏洞，允許駭客自遠端存取門鈴拍攝的影片及照片</span></strong></a></p> <p><a href="https://thehackernews.com/2024/03/over-225000-compromised-chatgpt.html"><strong><span style="font-size: 20px;">逾22萬個ChatGPT帳密流入暗網兜售</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161636"><strong>【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161613"><strong>【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161590"><strong>【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</strong></a></p> </div></div></div>
2024/3/7 16:41作者周峻佑https://www.ithome.com.tw/news/161657
Google揭露因應《數位市場法》而作出的搜尋及Android政策變更
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在歐盟《數位市場法》（Digital Markets Act，DMA）正式對業者生效（3/6）的前一天，Google<a href="https://blog.google/around-the-globe/google-europe/complying-with-the-digital-markets-act/" target="_blank">揭露</a>了為因應該法令而針對搜尋及Android政策所作的變更，在搜尋上，中介平臺的排序可能會優於個別的供應商，而在Android上的更動則包括支援搜尋引擎與瀏覽器的選擇，連結Google服務的使用者許可，以及開放更多的支付選項等。</p> <p>Google表示，為了遵循《數位市場法》，他們面臨了許多艱難的取捨，例如搜尋結果的變更可能會替大型仲介機構及聚合服務業者帶來更多流量，而對飯店、航空公司、商家與餐廳等直接供應商帶來較少的流量，對消費者來說，原本由Google所開發、用來協助人們快速於網路上完成工作的功能（如不同產品的推薦），將不再以同樣的方式運作，例如Google於搜尋結果中移除了Google Flights。</p> <p>不管是蘋果的iOS或是Google Android都名列《數位市場法》所規範的22項服務，與本周釋出的iOS 17.4一樣，Android上將列出使用者可選擇的各種搜尋引擎及瀏覽器，以方便使用者直接將它們設為預設值；此外，原本Google各種產品與服務之間的資料是共享的，但現在歐盟使用者可透過Google Account的設定來決定是否同意分享。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-Google%20DMA-600-1.png" style="width: 544px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p>有別於App Store的封閉系統，Google原本就允許第三方程式市集的存在，現在則進一步改善對第三方市集的支援，也支援第三方支付系統，還允許開發者只向用戶提供自己的支付系統，不一定要支援Google Play的支付系統，也開放開發者直接將使用者導至程式以外來提供優惠服務。</p> <p>現在Google也承諾讓歐洲經濟區的廣告主與行銷業者可取得不涉及用戶隱私或商業機密的額外資料，亦將在本周發表供開發者使用的資料可攜API（Data Portability API ）。</p> <p>與蘋果一樣，上述的變更目前都鎖定歐盟市場，並非全球通用。</p> </div></div></div>
2024/3/6 15:59作者陳曉莉https://www.ithome.com.tw/news/161634
Windows 11 Subsystem明年將終止支援Android App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://learn.microsoft.com/en-gb/windows/android/wsa/" target="_blank">公告</a>將在2025年3月終止支援Windows 11上的Windows Subsystem for Android，但現有已安裝的Android App還可以使用一年。</p> <p>Windows 11推出時，大加宣揚將可支援Android應用程式。2021年微軟並<a href="https://www.ithome.com.tw/news/147387" target="_blank">釋出</a>適用於Windows 11的Windows Subsystem for Android（WSA），讓使用者在Windows 11裝置上，執行從Amazon Appstore下載的Android應用程式。</p> <p>但是在近日更新的<a href="https://learn.microsoft.com/en-gb/windows/android/wsa/" target="_blank">相關網頁上</a>，微軟說明自明年3月5日起不再支援WSA，此後微軟也不再支援Windows版Amazon Appstore及所有仰賴WSA的應用程式及遊戲程式。2024年3月5日，也就是昨日前安裝Amazon Appstore及Android App的用戶還是可以持續使用一年。</p> <p>微軟<a href="https://support.microsoft.com/zh-tw/windows/%E5%9C%A8-windows-%E4%B8%8A%E5%AE%89%E8%A3%9D%E8%A1%8C%E5%8B%95%E8%A3%9D%E7%BD%AE-app-%E5%92%8Camazon-appstore-f8d0abb5-44ad-47d8-b9fb-ad6b1459ff6c" target="_blank">說明</a>，明年3月5日Microsoft Store上才會移除Amazon Appstore和Android App，但根據Amazon的<a href="https://www.developer.amazon.com/apps-and-games/blogs/2024/03/amazon-appstore-on-windows-11-discontinued" target="_blank">說法</a>，從今（6）日開始，Windows 11用戶現在已無法從Microsoft Store搜尋到Amazon Appstore及Android App。如果你是Android App開發人員，從昨日起已無法將預計執行在Windows 11上的App提交給App Store。已經上傳的現有App則還可以持續更新，直到明年此時。</p> <p class="rtecenter"><a href="http://www.developer.amazon.com/apps-and-games/blogs/2024/03/amazon-appstore-on-windows-11-discontinued" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-WSA-600-1.jpg" style="width: 600px;" /></a></p> <p>雖然在Windows上執行Android App對一些用戶來說相當方便，但是WSA有不少不足之處。最大的是用戶只能從Amazon Appstore下載，而非最大Android App市集Google Play Store，因此App數量及選擇相當有限。其次，用戶還必須從Microsoft Store安裝Amazon Appstore及WSA，在使用經驗上相當麻煩。最後，如果用戶想在Windows上操作Android App，例如在桌機上收發簡訊或同步桌機和Android手機，只要使用Phone Link App可以辦到，也無需使用WSA。因此，微軟終止支援Appstore及WSA或許令人意外，但影響層面應該有限。</p> <p>Amazon表示，明年3月後，其Appstore在其Fire TV、Fire Tablet以及其他Android裝置上，都還會持續提供和支援。</p> </div></div></div>
2024/3/6 11:08作者林妍溱https://www.ithome.com.tw/news/161628
Compose Multiplatform 1.6.0強化資源管理API，新增iOS輔助功能支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains釋出了新版跨平臺UI開發框架<a href="https://blog.jetbrains.com/kotlin/2024/02/compose-multiplatform-1-6-0-release/#common-resources-api">Compose Multiplatform 1.6.0</a>。這個新版本加入多項新功能，像是改進資源管理函式庫，並且新增UI測試API以及iOS輔助功能支援，同時也強化與新版Kotlin，以及Google最新Jetpack Compose變更的相容性。</p> <p>Compose Multiplatform 1.6.0中的一項重要變更，便是改進共用和存取資源API，新的API讓開發者在Compose Multiplatform應用程式中匯入和存取更多類型的資源，像是圖像、字體、字串和各種檔案。新的資源API讓開發者於不同情境使用相同資源的變體，包括地區設置、螢幕密度和主題，因此開發者可以根據地區設置在地化文字，或是根據螢幕解析度提供替代圖像，甚至是深色模式下的圖標顏色，都可以透過在相對應的目錄名稱，增加特定符號來表達這些限制。</p> <p>開發者現在也可以使用新的UI測試工具，確保應用程式按照預期運作。Compose Multiplatform 1.6.0中的實驗性API，讓開發者可以編寫通用UI測試，以驗證應用程式介面在不同平臺上的行為。</p> <p>另外，該框架也進一步支援iOS的輔助功能，使身心障礙者更容易操作Compose UI。在這項更新之後，iOS的螢幕閱讀器和VoiceOver功能，都能夠存取Compose Multiplatform UI的內容，而且Compose Multiplatform UI也支援iOS原生UI相同的操作手勢。官方解釋，Compose Multiplatform的語義資料會自動對應到輔助功能樹（Accessibility Tree）中，開發者可以將這些資料提供給輔助功能，並且使用Apple XCTest框架測試。</p> <p>在這個新版本中，Compose Multiplatform也更新加入通用@Preview註解，過去@Preview僅適用於Android和桌面平臺，現在該註解由JetBrains Fleet 1.31版本提供通用支援，而透過使用@Preview，開發者可以簡單地預覽UI創建函式@Composable，不需要執行整個應用程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Compose%20Multiplatform-%40Preview.png" style="width: 418px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／JetBrains</span></span></p> <p>在@Composable函式前添加@Preview註解，JetBrains Fleet會在旁邊程式碼旁提供預覽，讓開發者可以直接瀏覽@Composable的渲染結果，這對於快速迭代和檢查UI變更非常有用，因為可省去開發者重新編譯和部署應用程式的時間。</p> </div></div></div>
2024/3/4 22:03作者李建興https://www.ithome.com.tw/news/161603
Google釋出最新Android Studio Iguana，重點強化程式碼除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式推出最新<a href="https://android-developers.googleblog.com/2024/02/android-studio-iguana-is-stable.html" target="_blank">Android Studio Iguana</a>，官方在這個版本的App Quality Insights功能中整合Git版本控制系統，還擴展Firebase Crashlytics崩潰報告的支援，協助開發者更好地分析應用程式崩潰原因。此外，此版本還針對Jetpack Compose應用程式，支援基準配置檔（Baseline Profiles）以加速應用程式啟動效率。</p> <p>Android Studio Iguana中的App Quality Insights更新，可以改善應用程式發布版的原始碼，比本地原始碼落後數個提交時，無法有效地從崩潰報告導航至對應程式碼行號的問題。官方解釋，該功能對於使用Firebase Crashlytics崩潰報告特別有用，因為程式碼行號可能因為版本落後而不準確。</p> <p>當開發者使用Git版本控制系統，Android Gradle Plugin會將Git提交訊息包含在發布到Play Store的構件中，因此在發生應用程式崩潰時，Crashlytics會將Git資訊附加在報告中，而Android Studio Iguana便會使用該資訊，將開發者本地端副本與實際導致崩潰的程式碼進行比較。</p> <p>開發者需要使用Android Gradle Plugin 8.3或是更高版本，以及最新的Crashlytics SDK建置並發布應用程式，App Quality Insights視窗中的崩潰報告，便能夠引導開發者到當前Git副本中的程式碼行號，或是查看當前副本與生成崩潰報告的應用程式碼版本之間的差異，讓開發者更精準診斷和修復問題。</p> <p>另一個App Quality Insights中的更新，是能夠讓開發者更好地分析和理解崩潰根本原因。過去開發者在App Quality Insights查看Firebase Crashlytics問題時，可能會看到程式碼共用相同的故障點，但其實際上卻可能是不同事件的聚合資料。而在App Quality Insights的Firebase Crashlytics更新中，現在非常類似的堆疊追蹤事件，會被分組為不同問題的變體以改善錯誤分析。</p> <p>新版Android Studio中的Compose Previews加入UI檢查模式，可協助開發者建置自適應和無障礙介面。UI檢查模式可看作是視覺Linting和無障礙檢查工具，其會自動審查Compose UI，並在不同大小的螢幕偵測自適應和無障礙性問題，像是文字變形或低色彩對比度等狀況。</p> <p>Compose Previews還有一項新功能，現在提供漸進式渲染(下圖），供開發者能夠以更少的載入時間迭代設計，該功能會自動降低視野外的預覽細節以加速效能，官方提到，這項更新之後，即便開發者滾動瀏覽複雜的布局，都不會出現延遲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(22).png" style="width: 580px;" /></p> <p>Android Studio Iguana還加入了基準配置檔，這是可以改進Jetpack Compose應用程式啟動速度的好用工具。不少時候在裝置上第一次執行Android應用程式時，因為作業系統必須執行JIT編譯，因此導致應用程式啟動速度受到影響，而Google現在供開發者建立基準配置檔，來改善這個問題。</p> <p>新的模組精靈（Module Wizard）提供基準配置檔產生器範本，該範本可以配置專案以支援基準配置檔，於最新的基準配置檔Gradle套件，開發者就能以單一Gradle命令，自動執行任務來簡化設定。運用這項新功能，開發者便可以加速應用程式的啟動，大幅減少等待時間。</p> </div></div></div>
2024/3/4 22:13作者李建興https://www.ithome.com.tw/news/161604
微軟Windows 11 Copilot新增第三方外掛、整合Autopatch與Windows Update
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續增加Windows 11的AI功能，包括為數位助理Copilot新增第三方服務外掛、Windows AI設定與控制功能、魔術橡皮擦、消除聲音停頓，以及整合企業PC軟體更新的Autopatch與Windows Update。</p> <p>新功能將經由Windows Update部署給Windows 11 22H2和23H2 PC。微軟會逐步部署，預計今年4月的Patch Tuesday前部署大部分新功能。</p> <p>在第三波外掛功能方面，相較於之前用戶必須使用Bing Copilot外掛，現在Windows 11用戶將可透過Copilot直接在PC使用外部付費服務。第一波外掛包括餐廳訂位服務OpenTable和購物網站Instacart，下個月還會再加入Shopify、先買後付金融App Klarna、旅遊服務Kayak等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Copilot%20in%20Windows%2011-plugins-600.png" style="width: 379px;" /></p> <p>此外，從3月底開始Copilot也將加入新技能，涵括設定、輔助功能及裝置資訊類。在設定類中，用戶將可在提示框輸入文字，命令Copilot開／關省電功能，開啟儲存頁，或顯示裝置、系統或電池資訊頁。在協助視障或聽障者的輔助功能方面，Copilot下個月起可以開啟即時字幕、朗讀程式、螢幕放大鏡、語音存取與語音輸入頁、文字大小頁及對比模式頁。用戶還能讓Copilot顯示裝置的資訊，像是可用的Wi-Fi熱點、IP位址、可用儲存空間、或是要它清空資源回收桶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0304-windows%2011%20copilot-Turn%20onoff%20battery%20saver.png" style="width: 285px;" /></p> <p>其他則有融合AI的功能，像是相片（Photo）App加入了生成式橡皮擦（generative erase）功能，可去除相片中的閒雜人事物（如天空中礙眼的飛機），影片編輯功能Clipchamp的沈默去除（silence removal）功能可消除影片音軌中說話時的停頓，後者目前為預覽版。</p> <p>現在Windows 11也預設啟用自訂語音捷徑、以及在多螢幕間語音控制內容或搬動檔案、應用程式。</p> <p>對企業用戶，Windows 11將整合Windows Update for Business及Autopatch於同一更新管理。其中Autopatch是對Windows PCs、Microsoft 365 App、Edge和Teams提供安全更新，現在加入AI，旨在減少軟體更新對用戶的干擾。</p> <p>其他功能包括以Android手機當作Windows 11 PC視訊會議的攝影機、Windows Ink可支援新App，如WhatsApp、FB Messenger及相片、小畫家等，檔案共享功能可支援WhatsApp、Snapchat及IG，不久後也會支援FB Messenger，以及強化widget和App組織顯示的能力。</p> <p><span style="color:#696969;"><span style="font-size: 14px;">圖片來源_微軟</span></span></p> </div></div></div>
2024/3/4 12:30作者林妍溱https://www.ithome.com.tw/news/161592
AI趨勢周報第245期：YOLOv9來了！2大巧思克服深度學習資訊損失難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0223～0229)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> YOLOv9 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中研院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件偵測 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>YOLOv9來了！2大巧思克服深度學習資訊損失難題</strong></span></p> <p>中研院資訊所團隊最近<a href="https://github.com/WongKinYiu/yolov9">發表</a>即時物件偵測模型YOLOv9，應用2種新方法，來克服深度學習長久難解的資訊損失問題。進一步來說，資訊損失一直是深度學習領域的挑戰，因為，資料輸入類神經網路時，會經過一層層的特徵提取和空間轉換，進而遺失許多原始資訊。就好比口耳相傳一件事，傳到第5、6人時，故事已丟失許多細節了。</p> <p>為解決這個問題，中研院團隊提出了2個作法，首先是可程式化梯度資訊（Programmable Gradient Information，簡稱PGI），透過主枝、輔助可逆分枝和多層輔助資訊等3個架構，能在模型訓練過程中，盡可能保留原始特徵，來減少資訊丟失。另一種方法是新型的輕量級網路架構GELAN，能提高模型處理資訊的能力和效率。這個GELAN架構很特別，它結合了中研院團隊在前幾代物件偵測模型的良好成果，如CSPNet和ELAN架構，並進一步擴展其泛化能力，發展為GELAN。GELAN兼具了輕量、推論快速和準確的優點。</p> <p>團隊測試發現，從頭訓練的YOLOv9，表現比用ImageNet大型資料集預訓練的主流物件偵測SOTA模型要好，如YOLO MS、RT DETR、YOLOv5 r7.0、YOLOv6 v3.0、YOLOv7、YOLOv8等。尤其，PGI能準確保留和提取所需資訊，讓YOLOv9只使用66%的參數，就能達到複雜模型RT DETR-X的準確度。團隊論文點出，PGI可用於各種量級的模型，從輕量到複雜的大模型皆可。而這次發表的YOLOv9共有4個版本，包括最小型的S、中型的M、完整版的C和強化版的E版本。<a href="https://arxiv.org/abs/2402.13616">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2402.13616v2/extracted/5439110/figs/sota.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺理解 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VideoPrism </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭露最新通用視覺模型</strong></span></p> <p>Google開發一套基礎視覺編碼器VideoPrism，單一套模型就能進行分類、定位（Localization）、檢索、字幕和問答等影片理解任務，還在30個基準測試中達到最佳表現。</p> <p>Google表示，這套模型是通用影片理解單一模型，該模型所使用的預訓練資料集，是目前最大、最多樣的影片訓練語料庫，有3,600萬個附高品質字幕的精選影片和5.82億個含雜訊文字的影片片段。至於模型訓練，則採用了標準視覺Transformer（ViT）的分解設計，包括兩階段，一是用高品質的影片文字資料和帶有雜訊文字的影片，以對比學習，教導模型將影片和文字描述配對。第二是透過遮罩影片建模框架，來訓練模型預測影片中缺失的部分。</p> <p>此時，團隊還會隨機打亂預測出來的Token，以防止模型學到捷徑，如可能依據固定順序或模式做出預測，而隨機方式可迫使模型深入理解影片內容，不只是依賴表面特徵。Google認為，VideoPrism與大型語言模型結合，可在影片文字檢索、字幕生成和影片問答任務中，展現更強大的能力。<a href="https://blog.research.google/2024/02/videoprism-foundational-visual-encoder.html">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/videoframe_2992.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 玉山金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GENIE </span></strong></span></p> <p><span style="font-size:22px;"><strong>玉山金控揭露內部生成式AI應用</strong></span></p> <p>玉山金控科技長張智星日前在法說會前記者會中，揭露玉山自2022年就開始布局生成式AI，並在同年底舉辦黑克松競賽，讓內部同仁了解生成式AI、思考可能的應用。近期，他們開發一款生成式AI平臺GENIE，供內部用來生成文案、翻譯、程式碼教學和設置聊天機器人等。張智星指出，生成式AI不只是單獨產品，還能與許多場景串聯，如掃描全行文件後，用生成式AI來校正文件中的辨識錯誤，或將會議發言轉為逐字稿，再以生成式AI勘誤。目前，玉山內部已有100個以上的AI模型，包括風控AI、行銷AI、客服AI、流程AI和賦能AI，接下來，他們也會思考AI與雲端結合應用的方向。<a href="https://www.ithome.com.tw/news/161210">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 紅隊工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟開源紅隊工具PyRIT，可測試生成式AI韌性</strong></span></p> <p>微軟最近在GitHub上開源PyRIT工具包，能讓安全人員和機器學習工程師自動化用來辨識大型語言模型（LLM）風險，如辨識生成惡意程式、越獄或資料竊盜等濫用行為。進一步來說，PyRIT由5個元件所組成，包括用來測試的目標、提示資料集、自我評估或既有分類器的評分引擎、單輪或多輪的攻擊策略，以及存放輸入和輸出等互動資料的記憶體。</p> <p>PyRIT可先傳送惡意提示到特定的生成式AI系統，收到回應後，再將它傳至評分引擎，根據評分引擎傳回的結果再產生新提示，再傳送至生成式AI系統，不斷循環、直至實現所設定的目標。根據微軟測試，用PyRIT對Copilot進行紅隊演練時，可先選擇一個有害類別、生成數千個惡意提示，再以PyRIT的評分引擎來評估Copilot系統的輸出結果。這麼做，讓原本需要幾周的測試，在幾小時內就能完成。微軟表示，PyRIT並非要取代紅隊測試，而是用來揭露可能的風險，再由專家深入探索。<a href="https://github.com/Azure/PyRIT">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Nano </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯發科 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯發科聯手Google，中階手機也能執行Gemini Nano了</strong></span></p> <p>聯發科最近宣布旗下2款處理器，支援Google行動版語言模型Gemini Nano。這2款處理器為天璣8300中階處理器和天璣9300旗艦處理器，除了能支援Gemini Nano模型、讓使用這些處理器的手機能執行Gemini Nano外，聯發科還提供AI開發工具組NeuroPilot，來讓模型在聯發科APU上執行，來提高效能。</p> <p>尤其，雙方也計畫釋出天璣8300和天璣9300處理器的APK，來讓開發者和手機品牌商部署Gemini Nano應用程式。雙方這次的合作，意謂著Gemini Nano將能在中階手機上執行，Google還曾表示，高通、聯發科和三星的旗艦處理器都會支援Nano。<a href="https://www.mediatek.com/blog/mediatek-dimensity-9300-and-8300-chipsets-now-optimized-for-google-gemini-nano">（詳全文）</a></p> <p><img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/posts/MWC_Google_Gemini_2024-02-22-134032_cfcr.png?w=1200&h=630&q=80&auto=format&fit=crop&dm=1708609232&s=a0483c6dd2aed04153a22b7e316acb1b" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mistral AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI發表新模型Mistral Large</strong></span></p> <p>2023年4月才成立的Mistral AI，最近發表一款大型語言模型Mistral Large和聊天機器人Le Chat預覽版，其中Mistral Large不管是在MMLU、HellaSwag、Wino Grande或Arc Challenge（25-shot）等基準測試，都與GPT 4相差無幾，是備受外界矚目的後起之秀。</p> <p>Mistral Large是繼Mistral-tiny、Mistral-small和Mistral-medium後的最大、最進階模型，可支援3.2萬個Token的文章脈絡，也懂英文、法文、西班牙文、德文和義大利文。Mistral Large也具精確的指令遵循，讓開發者得以設計其審核策略，也可直接呼叫函數。該模型也能處理複雜且多語言的推論任務，如文字理解、轉換和程式碼生成。</p> <p>就在同一天，微軟也宣布與Mistral AI建立多年合作夥伴關係，包括Mistral AI可運用Azure AI基礎設施來加速開發、部署新一代大型語言模型，而且微軟Azure也將供應Mistral AI付費模型服務。迄今Azure上已代管了來自 Meta、Nvidia、Deci 與 Hugging Face等公司或組織的1,600多個開源及專有模型。<a href="https://mistral.ai/news/mistral-large/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-01%20150220.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 視覺輔助 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行車助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google在3大Android App中新添AI功能</strong></span></p> <p>Google宣布為Android作業系統的訊息、圖片和車機系統加入AI，而且，Google Messages應用程式也能直接呼叫Gemini AI助理了。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規畫活動等工作。Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述，並大聲朗讀，來幫助視障人士理解圖片內容。該功能已全球上線，支援英文。</p> <p>另一項類似應用是Google Lens in Maps的螢幕閱讀器，結合了Android輔助功能TalkBack，只要用戶將手機相機對準周遭環境，TalkBack就能念出該地資訊，像是一家銀行的營業時間、餐廳評分。再來，加入AI功能的行車助理Android Auto，可在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆和後續行動，且按一下就能傳送訊息、分享預定抵達時間或接電話。<a href="https://blog.google/products/android/new-android-features-february-2024/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/040_Android_Auto_Messaging_Alpha_1x1.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧戒指 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>三星亮相可量測生理數值的智慧戒指</strong></span></p> <p>繼今年1月在消費電子大展CES上首次亮相後，三星在最近的世界通訊大會MWC上，正式展示可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，預計今年稍晚上市。</p> <p>Galaxy Ring是三星智慧健康系列的一環，它結合了Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。該戒指可搭配新的健康應用管理功能，如My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異資訊，而搭配Booster Card則可追蹤各項定義好的量測目標。三星表示，智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶的Samsung Health全球資料集，作為三星AI健康管理服務的基礎。他們的計畫是，以數位健康管理平臺和智慧手錶、智慧戒指等裝置，與第三方夥伴建立健康生態系，如上個月三星Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或三星Sleep Mode技術整合到合作夥伴的智慧床墊，調整床墊環境以幫助入睡。<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services">（詳全文）</a></p> <p>圖片來源／YOLOv9論文、Google、聯發科、Mistral AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Copilot for Finance預覽版登場</strong></p> <p><strong>2. Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力</strong></p> <p><strong>3. Google雲端更新安全指揮中心，增強雲端AI資源安全管理</strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/3/1 15:40作者王若樸https://www.ithome.com.tw/news/161569
Motorola展示可扣在手腕上的概念智慧型手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周MWC 2024上聯想繼<a href="https://www.ithome.com.tw/news/161511" target="_blank">透明螢幕筆電</a>後，旗下手機部門Motorola也<a href="https://twitter.com/Moto/status/1762142344818946518/photo/4" target="_blank">展示了一款可撓式智慧型手機</a>，螢幕和機身皆可大幅彎曲，甚至扣在手腕上。</p> <p>這款可彎曲的智慧型手機去年10月已在Lenovo Tech World '23大會上現身。它是展示「適應性顯示器」（Adaptive Display）的概念手機，因此也可能永遠不會有產品問世。</p> <p>平常情況下，它是一款6.9吋螢幕的Android智慧型手機，但它顯示器使用可撓式FHD+pOLED面板，手機下方是織料包覆的脊椎式結構，可依據使用者需求一節節彎曲。它可以彎折底部使自己站立，甚至能折成C型，聯想還設計了磁性扣件以便手機整個扣在手腕上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-motorola-mwc-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Motorola</span></span></p> <p>這新設計承襲了幾年來Motorola折疊手機的研發成果。<a href="https://www.motorola.com/tw/zh/smartphones-motorola-razr-40-ultra-2023/p" target="_blank">去年已推出</a>了一款可撓式手機商品Razr 40 Ultra，也是採用6.9吋pOLED螢幕。</p> <p>但新一代手機將整合機上AI功能。聯想表示，這款手機具備AI情境感知（contextual awareness）」能力，可視彎曲程度調整介面，例如調整顯示尺寸、消除螢幕皺褶。手機彎曲時主要功能都能運作，包括手機自拍、觸控及特定應用程式。此外，當成手錶配戴時，手機內建的AI功能也可根據用戶當天穿著，產生相應色彩桌布以搭配服裝。聯想說，該公司計畫為旗下手機（不只是這款）加入LLM，以提供更方便的用戶協助。</p> </div></div></div>
2024/2/28 15:46作者林妍溱https://www.ithome.com.tw/news/161527
Google將AI加入Android訊息、圖片識別、Auto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在MWC舉行同時，<a href="https://blog.google/products/android/new-android-features-february-2024/" target="_blank">Google宣布</a>為Android中的訊息、圖片及車機系統加入AI，實現智慧功能。</p> <p>首先，今天起，Google Messages應用程式也可以直接呼叫Gemini AI助理。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規劃活動。</p> <p>Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述並且大聲朗讀出來，幫助視覺障礙人士理解圖片內容。本功能現在已全球上線，支援英文。另一項類似應用則是Google Lens in Maps的螢幕閱讀器結合Android輔助功能TalkBack。Google Lens的AI視覺辨識讓用戶可以將手機相機對準周遭環境，由TalkBack念出該地資訊，像是一家銀行的營業時間、餐廳評分。</p> <p>其次，加入AI的Android Auto在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆及後續行動，按一下就能傳送訊息、分享預定抵達時間、或接通電話。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-google%20ai%20Android%20Auto.png" style="width: 600px;" /></p> <p>這三項AI應用是Android新增功能的一部份。其他和AI無關的功能還包括Fitbit App改版後，可匯入第三方App資訊如AllTrails、Oura智慧戒指、MyFinessPal；Google Docs支援手寫標註，用戶可在Google Docs選擇觸控筆或手寫即可作用。</p> <p>最後，<a href="https://www.ithome.com.tw/news/161462" target="_blank">繼昨天宣布</a>今年6月關閉美國的Google Pay App，未來將統整於Google Wallet後，Google宣布Google Wallet及Google Maps也推出WearOS版。用戶可以將登機證、活動入場票券、健身房會員卡、儲值卡等憑證整合到Google Wallet，戴著Google Pixel Watch通車與出入場更方便，不需拿出手機也能導航。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-%20Google%20Wallet%20passes%20available%20on%20Wear%20OS%20watches.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/2/27 12:53作者林妍溱https://www.ithome.com.tw/news/161514
三星展示具健康量測功能的智慧戒指Galaxy Ring
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年一月在消費電子大展（Consumer Electronics Show，CES）上首次公布後，本周世界通訊大會（Mobile World Conference，MWC）2024上，<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services" target="_blank">三星正式展示</a>可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，今年稍後上市。</p> <p>Galaxy Ring是三星智慧健康系列的一環，也是在智慧手錶後，新的數位健康裝置form factor。Galaxy Ring結合Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。三星並未說明這隻戒指的實際感測器，但一般相信它具備心電圖（ECG）與光電容積圖（PPG）二種感測器。<a href="https://www.androidcentral.com/wearables/samsung-developing-a-smart-ring" target="_blank">2022年媒體發現</a>三星取得一項具備這2種感測器的戒指專利，將挑戰現有智慧戒指供應商Oura。</p> <p>Galaxy Ring配合新的健康應用管理功能。例如它搭配My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異（Heart Rate Variability），而Booster Card則可追蹤各項定義好的量測目標。二款應用程式將於今年稍晚連同Samsung Health App問世。這些服務，除了支援智慧戒指，也可應用於Galaxy Watch 6，搭配最新旗艦智慧型手機Galaxy S24使用。</p> <p>智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶Samsung Health全球資料集，作為三星AI健康管理服務的基礎。以睡眠偵測而言，本月稍早<a href="https://www.ithome.com.tw/news/161275" target="_blank">三星公布</a>其Health Monitor App的睡眠呼吸中止症偵測功能獲得美國食品藥物管理局（Food and Drug Administration，FDA）認證，成為第一款獲得美官方此類許可的App。</p> <p>三星的計畫是，以其數位健康管理平臺及智慧手錶、智慧戒指等周邊裝置，與第三方夥伴建立健康生態系。例如上個月<a href="https://news.samsung.com/global/galaxy-watchs-advanced-sensor-tech-paves-way-for-greater-preventive-healthcare-solutions" target="_blank">三星宣布</a>其Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或是將三星的Sleep Mode技術，像是LED紅外線感測器及SmartThings控制功能整合到合作夥伴的智慧床墊，調整床墊環境（如溫度）以幫助入睡。</p> <p>三星並對<a href="https://www.cnbc.com/2024/02/26/samsung-galaxy-ring-specs-features-release-date.html" target="_blank">《CNBC》</a>表示，公司也在考慮為戒指加入非接觸支付功能。</p> <p>今天展示的Galaxy Ring有9種尺寸及金、銀與黑三種顏色。產品今年內會上市，但三星並未公布詳細時程及價格。<a href="https://ouraring.com/" target="_blank">Oura</a>的價格則為299到549美元之間外加5.99月費，可提供體溫、心率、血氧量測，續航力約在7天左右。</p> </div></div></div>
2024/2/27 11:21作者林妍溱https://www.ithome.com.tw/news/161510
X對非付費用戶推出語音、視訊電話服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名推特的社群平臺<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">X上周宣布</a>，將視訊及語音電話服務逐步推向非付費用戶。</p> <p>X去年10月開始首先在iOS版App提供語音及視訊電話服務，1月推向Android版本。不過在本周之前，這項服務都只提供給Premium付費訂閱（即Twitter Blue）帳號用戶，作為加值服務的一環。2月初X大老闆<a href="https://twitter.com/elonmusk/status/1752773507006791867" target="_blank">馬斯克（Elon Musk）預告</a>，等到公司對服務穩定性有信心後，會將服務廣泛推向所有用戶。X執行長Linda Yaccarino本周轉推公司工程師的X推文<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">公告</a>，這項服務將緩步部署到非Premium帳號用戶。</p> <p>根據<a href="https://help.twitter.com/en/using-x/direct-messages/audio-video-calls" target="_blank">X網頁說明</a>，若想撥打語音和視訊電話，用戶之前必須至少曾經和對方有過至少一次私訊。為防止騷擾，用戶可以在私訊設定中，設定允許接收電話的帳號，包括用戶關注中的、有在聯絡人清單中、經過X驗證的用戶帳號，或是所有人。其隱私設定還讓用戶在通話過程中隱藏用戶IP位址。Android版App中，用戶必須啟用推播通知才能接收到來電通知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-X-twitter-audio%20vedio%20call.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_X</span></span></p> <p>在經過2022年到2023年馬斯克的收購及改革／改名下，X仍然是最大文字類社群平臺。根據<a href="https://www.statista.com/topics/737/twitter/#topicOverview" target="_blank">Statista估計</a>，X全球用戶數為4.15億。為擴大用戶基礎，X持續擴增平臺功能，<a href="https://blog.twitter.com/en_us/topics/company/2023/transforming-the-global-town-square" target="_blank">預計中的服務</a>還包括一對一支付、創作者合作及廣告服務。</p> <p>另一方面，由Meta Instagram支持的Threads在2022年10月上線後，目前用戶數估計在<a href="https://explodingtopics.com/blog/threads-users" target="_blank">1.4億左右</a>。上周<a href="https://techcrunch.com/2024/02/21/meta-tests-cross-posting-from-facebook-to-its-twitter-x-competitor-threads/" target="_blank">Meta還證實</a>正在測試讓用戶可從臉書發文到Threads上，以帶動新平臺的流量。</p> </div></div></div>
2024/2/26 11:05作者林妍溱https://www.ithome.com.tw/news/161466
Google Pay今年6月在美關閉，僅留Google Wallet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-pay/payment-apps-update/" target="_blank">Google上周宣布</a>將簡化數位支付服務，將在今年6月關閉美國地區的Google Pay App，全部統整於Google Wallet。</p> <p>Google Pay是Google 2018年推出的數位支付，但2022年5月推出Google Wallet並於7月正式上線。Google Wallet除了數位支付，還可儲存各種票券及數位身份證件、信用卡或學生證等證明。不過Google Pay仍然持續，形成雙軌並行局面。</p> <p>現今全球180多國數百萬用戶透過ChromeOS、macOS、Windows PC及Android、iOS App與實體商店使用Google Pay。Google表示在手機平臺上，也可以用Google Wallet管理Google Pay支付；在美國，Google Wallet用戶使用量是Google Pay的5倍。為了簡化App使用經驗，Google計畫讓美國版獨立的Google Pay從2024年6月4日起終止使用。</p> <p>但Google Pay在印度和新加坡仍然可繼續使用。已經使用Google Wallet的用戶也不受影響。至於其他地區的Google Pay服務會有哪些變化Google尚未說明。</p> <p>對美國用戶而言，6月4日以前，用戶可以用Google Pay App讀取和將Google Pay帳戶餘額轉到銀行帳戶。但6月4日以後，就只能透過Google Pay網站為之。1對1支付服務方面，從同一天起也無法再要求、收取或執行匯款。Google並<a href="https://support.google.com/googlepay/answer/10197214" target="_blank">告知</a>如何匯出Google Pay儲值，以及相關手續費用。</p> <p><a href="https://support.google.com/googlepay/answer/14555219" target="_blank">根據說明</a>，之後用戶的店內和線上付費，仍然可以使用Google Pay，但如果要讀取交易明細和管理支付方式，就只能使用Google Wallet和<a href="http://pay.google.com/" target="_blank">Google Pay網站</a>。因此Google建議用戶下載安裝Android版Google Wallet App。</p> <p>Google表示之後會持續改進使用經驗，像是Chrome中的Google Pay autofill功能、簡化大眾運輸支付，及增加Wallet可儲存票券的種類。</p> </div></div></div>
2024/2/26 09:15作者林妍溱https://www.ithome.com.tw/news/161462
Google Gemini Nano模型將可執行於聯發科晶片組，首支援中階手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mediatek.com/blog/mediatek-dimensity-9300-and-8300-chipsets-now-optimized-for-google-gemini-nano" target="_blank">聯發科宣布</a>，二款新晶片組將支援Google的行動平臺AI模型Gemini Nano 。</p> <p>Dimensity 8300及9300 SoC為聯發科去年推出的行動平臺，在與Google 合作下，雙方整合並優化Google Gemini Nano，使之執行在聯發科Dimensity 8300及9300二款晶片組上。這樁合作包括Google使用聯發科AI開發工具組NeuroPilot，將Gemini Nano執行在聯發科APU上以推升效能。雙方也計畫釋出Dimensity 8300及9300上的APK，以便開發人員和手機品牌業者可部署Gemini Nano應用程式。</p> <p>Gemini Nano是Google去年公布的Gemini 模型中最小的，專門執行在手機等行動平臺上。之前能執行Nano的只有旗艦機種，包括<a href="https://store.google.com/intl/en/ideas/articles/pixel-feature-drop-december-2023/" target="_blank">Google Pixel 8 Pro</a> 、以及今年1月才公布的三星Galaxy S24系列。</p> <p>和聯發科的合作，意謂Gemini Nano即將可執行在中階手機上。Google曾經表示，Qualcomm、聯發科和三星的旗艦晶片組都會支援Nano。MediaTek Dimensity 8300是第一款為中階機種設計的晶片平臺。另一方面，雖然Dimensity 8300可支援大型語言模型，不過Google並未提供該晶片組支援多少token rate，因此可以預期執行多個AI功能會減緩手機的效能。</p> <p>根據<a href="https://www.androidauthority.com/google-gemini-nano-mid-range-phones-mediatek-3418503/" target="_blank">Android Authority</a>報導，目前搭載Mediatek Dimensity 8300的手機只有POCO X6 Pro。但Google可望會持續拓展支援Gemini Nano的中階手機合作夥伴。</p> </div></div></div>
2024/2/26 09:41作者林妍溱https://www.ithome.com.tw/news/161464
DevOps快報第2期：React今年推出19新版，jQuery揭露8年大改版，Go終於解決新手最困擾的迴圈問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/1/19～2/20 精選開發相關新聞：開發技術與工具篇</strong></p> <p><strong>第二期DevOps主要聚焦在開發技術和開發工具的更新，在2024年初有不少開發工具、開發框架和開發語言的更新，老牌jQuery終於出現8年後的大改版，推出了4.0的beta版，2年沒有大改版的React也預告今年會推出下一個重大新版19。Go語言則終於修正了讓許多新手困擾的For迴圈老問題。微軟.NET在第9版也將持續聚焦雲原生、AI支援和效能三大重點來優化，VS Code開始支援語音指令，Visual Studio則要更緊密整合GitHub Copilot，一邊寫程式碼，隔行也能直接輸入Copilot提問。網頁開發者愛用的SQLite也全面改寫了JSON函數，開始支援JSONB格式</strong></p> <p><strong><span style="color:#FF8C00;">#JavaScript #前端開發框架 #React</span><br /> React計畫今年底前釋出19新版，Instagram用的React編譯器會先開源釋出</strong></p> <p>經過2年，React社群準備在今年釋出19新版，最近也在React官網上公布了目前正在開發中的新功能，包括了先前處於研究階段的新版React Compiler，開發團隊準備要將這個功能納入到React的正式功能。目前這個編譯器已經用於Instagram的正式環境上，React計畫運用到Meta其他更多服務和產品上，目前正準備釋出第一個React Compiler的開源版本。這個React編譯器可以套用需要的JavaScript規則和React規則更安全地編譯程式碼，這些規則可以用來限制開發者所能做的事，來兼顧程式碼的安全性和效能。有多項新功能進入候選發布通路中，包括了文件後設資料、資產載入、Actions功能。</p> <p>另外，React也宣布今年將正式推出下一個重要的版本React 19，例如Web Components。React核心開發成員Andrew Clark也透露多項新版的變動和功能，例如useMemo、useCallback和memo會整合到React編譯器中，useContext會改為use(Contect）、<Context.Provider>會改為<Context>等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/React%E6%96%B0%E7%89%88%E5%AE%A3%E5%B8%83.png" /></p> <p><strong><span style="color:#FF8C00;">#網頁開發 #jQuery #IE瀏覽器棄用</span><br /> 相隔8年，jQuery終於再次大改版推出4.0，更預告5.0將取消IE 11支援</strong></p> <p>距離上次大改版已經過了8年，知名JavaScript函式庫終於在2024年迎來jQuery 4.0.0 Beta版本，上一次大改版是在2016年發布的3.0正式版。jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0刪除了許多內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。還移除了內部使用的陣列方法如push、sort和splice方法，直接改使用陣列函式，可以讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫更加精簡。</p> <p>4.0版處理焦點事件的順序也有變化，不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。jQuery.ajax新增對二進位資料FormData的支援。開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能，另外也改進對內容安全政策（CSP）的支援。開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0提供了精簡版本，藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> <p>不只發布了4.0 beta版，官方還宣布了5.0的開發計畫，從4.0開始分階段，取消對IE的支援，4.0不再支援IE 10以及更早版本，5.0則將進一步取消對IE 11的支援。</p> <p> <strong><span style="color:#FF8C00;">#雲原生開發 #AI支援 #.NET框架</span><br /> .NET 9預覽版來了，雲原生、AI支援和效能是三大改進重點</strong></p> <p>3個月前，微軟才發布.NET 8，隨即在2月中公布了.NET 9預覽版。.NET 9仍聚聚焦三大發展重點，效能提升、雲原生與AI開發的支援。微軟也同步改進Visual Studio、VS Code和C#開發工具包，要讓.NET開發更為簡單，並且與Azure服務更好地整合，使開發者可以簡單部署.NET應用程式到雲端。<br /> 微軟持續從.NET技術堆疊各個層面，來強化.NET 9對雲原生應用基礎架構的改進，例如讓開發者更容易部署應用程式到常見的生產基礎設施和服務，例如Kubernetes環境或是使用託管資料庫和快取服務等。另外，.NET 9也持續改進微軟最新的程式碼編譯技術Native AOT來提高效能。另外，新版也將採用了支援Native AOT編譯的webapiaot模板最佳化Web API應用程式。<br /> 對人工智慧開發的支援上，新版將著重於讓開發者更容易使用新的人工智慧技術與OpenAI服務，會提供更多函式庫和文件，協助開發者使用OpenAI服務及其他開源模型，包括本地端與雲端模型的支援。</p> <p><strong>#新手困擾 #Go語言<br /> Go終於修正老問題， 1.22解決for迴圈變數共享問題</strong></p> <p>在Go語言1.22新版中，解決了for迴圈中變數共享的問題，在之前的Go版本中，在for迴圈中啟動的goroutine如果直接使用迭代變數，可能會因為變數共享而出現非預期的結果。這是存在多年的老問題，也是Go新手編寫程式的時候常會遇到的陷阱，終於在Go 1.22版被解決了，迭代變數在每次迭代時都能被正確的捕獲，並在goroutine內部使用，減少開發者寫出臭蟲程式碼的可能性。新版增加了整數的範圍迭代支援，這是一個新的語言功能，讓固定次數的迭代操作更加直覺且方便。這兩個變更進一步改善了Go的安全性與易用性。</p> <p><strong>#RUST語言 #C++互通性<br /> Google捐款100萬美元給Rust基金會，要改善C++與Rust互通性</strong></p> <p>因為大量Android元件和Google產品使用了Rust語言，最近Google捐了100萬美元給Rust基金會，指名要專門用來改善Rust程式碼與C++程式碼之間的互通性，尤其要用來改善老舊C++程式碼與Rust程式碼的互通。另外，Google也承諾要進一步改善Rust的稽核工具，會將Google許多開源專案用的程式碼稽核工具，發展到Rust語言的程式碼稽核上。</p> <p><strong>#網頁開發 #SQLite資料庫 #JSONB<br /> 網頁開發者愛用的SQLite關鍵更新，3.45新版全面改寫JSON函數支援JSONB格式</strong></p> <p>知名資料庫SQLite發布最新的3.45版本，JSON SQL函式有重大更新，重寫了所有得JSON函式，並且改用新的內部解析樹格式JSONB，JSONB格式可以序列化並儲存在資料庫中，避免在使用JSON值時，還需要進行不必要的重複解析，因此透過支援JSONB，SQLite在處理JSON資料能夠更高效靈活。</p> <p>SONB能夠將JSON的解析樹，以BLOB二進位的形式儲存在磁碟上，且可以減少應用程式讀取和更新JSON值的解析和渲染開銷，比起JSON，JSONB使用更小的磁碟空間，在處理速度上更快。支援JSONB，也讓SQLite能更好地與其他二進位JSON格式系統整合。</p> <p><strong><span style="color:#FF8C00;">#語音控制 #軟體開發 #VS Code</span><br /> 用講的也能寫程式，VS Code開始支援Hey Code語音指令</strong></p> <p>在VS Code的1.86版本有一個重大的功能更新，開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開始後可以讓VS Code監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。可支援多種使用情境，chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VSCode-%E8%AA%9E%E9%9F%B3%E6%8E%A7%E5%88%B6.png" /></p> <p><strong><span style="color:#FF8C00;">#AI輔助軟體開發 #Github Copilot</span><br /> Visual Studio 17.10更緊密整合GitHub Copilot，能直接在一行行程式碼中與Copilot互動</strong></p> <p>微軟釋出Visual Studio 2022的17.10版第一個預覽版，更緊密整合最新GitHub Copilot，像是開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。</p> <p>微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。另外在17.9版的第三個預覽版則持續強化程式碼搜尋功能，不只擴大了搜尋範圍，也強化文字支援，預設程式碼搜尋功能時啟用精確文字比對，搜尋範圍涵蓋之前所不會有的註解和區域變數，使得程式碼搜尋更加全面且高效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VS1710-Inline%20Chat.png" /></p> <p><strong><span style="color:#FF8C00;">#Python套件 #Jupyter套件</span><br /> VS Code兩大AI開發套件小更新，Jupyter擴充套件內建變數檢視器</strong></p> <p>微軟釋出了VS Code Python與Jupyter擴充套件2月更新，除了預設安裝Python除錯器擴充套件之外，Jupyter擴充套件也內建變數檢視器，在執行和除錯面板中，新增了一個實驗性變數檢視器，該內建變數檢視器可用於查看筆記本核心中的變數，協助開發者在程式碼執行時，監控程式中的變數，對於程式碼除錯特別好用，因為開發者可以即時監控變數的值。 Python語言伺服器擴充功能，是以微軟的Pyright靜態型別檢查器為基礎建置，提供了一系列強化Python程式開發體驗的功能，這次更新也引入新的診斷規則，可以進一步最佳化程式碼品質。</p> <p><strong><span style="color:#FF8C00;">#次世代網頁IDE #行動平臺模擬器</span><br /> Web開發工具Project IDX新增Android與iOS模擬器，更方便打造跨平臺應用</strong></p> <p>Google近日更新了次世代Web開發工具Project IDX，將Android與iOS模擬器帶入瀏覽器中，可以讓開發者從工作區進行開發、測試和除錯，多步驟和多平臺流程都被整合到同一個地方，而運用iOS模擬，開發者可以在工作時確認應用程式的布局和行為。目前這些功能還在實驗性階段。</p> <p>另外也增加了更多的模板，針對Astro、Go、Python/Flask、Qwik、Lit、Preact、Solid.js和Node.js添加新模板，開發者可以使用這些模板，直接開始進行專案開發，減少配置的時間，將更多時間花在創建程式邏輯上。IDX新提供的功能和資源，也讓應用程式建置、測試和部署更方便，可以自動偵測應用程式和服務所需的網路連接埠，並調整防火牆設定准許流量進出，開發者不需要進行額外配置，且用戶不需要在本地端進行安裝，就可以直接在工作區中，立即執行命令列工具、腳本和公用程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IDX.png" /></p> <p><strong><span style="color:#FF8C00;">#測試框架 #容器化測試</span><br /> 微軟釋出全新輕量級MSTest測試框架執行工具，能簡化測試環境還能進行容器化測試</strong></p> <p>微軟推出用於MSTest測試的輕量級執行工具MSTest Runner，這是一個，可將MSTest測試建置為獨立可移植執行檔的工具，僅一個控制臺應用程式就可託管和執行測試，不再需要諸如vstest.console、dotnet test或Visual Studio等工具，能在效能與儲存資源有限的裝置上，也可以使用生成的控制臺應用程式實際進行測試。除了簡化測試環境之外，MSTest Runner也可以進行容器化測試，在沒有dotnet SDK的Docker容器中，執行針對dotnet應用程式的測試。</p> <p><strong><span style="color:#FF8C00;">#Sudo #Windows #新管理者指令</span><br /> Windows也有Sudo指令！能在沒有權限的控制臺執行特定管理指令</strong></p> <p>微軟於Windows 11 Insider Preview Build 26052中，加入適用於Windows的Sudo，允許用戶直接從未提升權限的控制臺執行提升權限指令，不需要事先開啟提升權限控制臺，或是執行繁瑣的操作。如此不只提高了效率，也提升操作安全性，因為使用者可以更精確地控制要使用提升權限執行的指令。目前微軟已經在GitHub開源Sudo for Windows專案。這項新功能提供3種用法，第一是在新視窗中執行的預設選項，在一個新的提升權限視窗中執行指令；第二種是關閉輸入選項，系統會在當前視窗以提升權限執行指令，但是不接受任何輸入，適用於不需要進一步輸入的指令；第三種則是行內（Inline）選項，讓提升權限的指令在當前視窗中運作，並且接受輸入和顯示輸出，類似其他作業系統的Sudo行為。</p> <p><strong><span style="color:#FF8C00;">#網頁開發環境 #JavaScript執行環境</span><br /> 啟動超快的JavaScript執行環境Bun推出Shell工具，可支援三大主流OS</strong></p> <p>效能超快的JavaScript推出了新功能Bun Shell，解決在JavaScript中執行Shell困難的問題。Bun Shell使用上簡單直覺，具有豐富的功能，可以在Windows、macOS和Linux跨平臺上使用。去年9月正式推出的Bun是一個講求快速JavaScript執行環境與多合一工具包，啟動速度是Node.js的4倍，可用於執行、建置、測試和除錯JavaScript與TypeScript程式。Bun Shell是一種嵌入式語言和直譯器，可以讓用戶直接在JavaScript或TypeScript程式中執行Shell指令，不需要額外的轉換和打包。而且在Bun Shell中，所有模板變數都會自動跳脫（Escape)，以增加Shell指令執行的安全性。另外，諸如重新導向、管線命令（Pipe）、環境變數等常見Shell功能，Bun Shell也一應俱全。</p> <p><strong><span style="color:#FF8C00;">#日期和時間API #JavaScript執行環境</span><br /> JavaScript執行環境Deno推出1.40，新增好用的日期和時間操作API</strong></p> <p>以Rust語言寫成的JavaScript執行環境Deno推出1.40版本，加入好用的日期和時間操作Temporal API，同時，開發者也將可以使用最新的裝飾器（Decorator）語法，使程式碼的目的和行為更加明確。Temporal API的出現主要是要解決JavaScript中，與Date物件有關的複雜性，傳統Date物件在處理日期和時間方面存在許多問題，像是時區處理不易，日期計算不一致等。</p> <p> <strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> </ul> <p><strong>@資料來源：iThome整理，2024年2月<br /> 責任編輯：王宏仁</strong></p> </div></div></div>
2024/2/21 12:04作者王宏仁https://www.ithome.com.tw/news/161385
Flutter 3.19持續更新渲染引擎Impeller，Android支援度再提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布最新<a href="https://medium.com/flutter/whats-new-in-flutter-3-19-58b1aae242d2">Flutter 3.19版本</a>，該版本擁有許多功能更新，包括框架與API改進，以及執行效能和渲染Impeller引擎的最佳化。Flutter開始提供Gemini Google AI Dart SDK，供開發者方便開發人工智慧應用，並讓開發者更精細地控制小工具（Widget）的動畫，並且擴展支援Windows Arm64平臺。</p> <p>Flutter開發團隊推出Gemini Google AI Dart SDK測試版，其背後採用Google最新的人工智慧模型Gemini，使得開發者可以在Dart或Flutter應用程式中，整合生成式人工智慧功能。目前開發者已經可以從pub.dev下載使用google_generative_ai套件以及相關資源，以遵循Dart語法特性的方式整合Gemini API，僅用單一程式碼庫，就可開發Android、iOS、網頁、macOS、Windows和Linux智慧應用程式。</p> <p>在框架改進上，Flutter強化了滾動行為的可配置性，允許開發者透過將MultiTouchDragStrategy.latestPointer設定為ScrollBehavior，設置與觸控點數無關的滾動行為，並且修復SingleChildScrollView與ReorderableList的崩潰問題和意外行為，提升了整體的穩定性和使用體驗。此外，此版本更新加入新的AnimationStyle小工具，讓使用者可以覆蓋小工具中的預設動畫行為，賦予開發者更多靈活性與控制能力。</p> <p>Flutter 3.19的無障礙功能也獲得強化，添加SemanticsProperties無障礙辨識符號，改進對語義節點的標示。這些節點代表了應用程式的結構與可操作元素，諸如按鈕、連結和文字欄位等，透過改進節點的標示，Flutter可以提供更豐富且準確的資訊給仰賴輔助技術的用戶。這些框架、小工具與無障礙功能的改進，進一步提升Flutter應用程式的開發效率和可用性。</p> <p>Flutter用來取代Skia的渲染引擎Impeller，於Flutter 3.13時已在iOS上運作良好，而Flutter 3.16時，官方也鼓勵開發者可以在支援跨平臺繪圖API Vulkan的Android裝置上，開始嘗試使用Impeller，而經過數個月的開發，現在Impeller對OpenGL後端的支援，已經提升到與Vulkan相同的程度，目前幾乎所有Android裝置上的Flutter應用程式，都可以使用Impeller正確渲染，只剩下諸如自定義著色器和外部貼圖等功能尚未支援。</p> <p>新版Flutter提供開發者更好的GPU追蹤能力，在採用Metal的iOS、macOS、模擬器裝置，以及Vulkan的Android裝置上，Flutter引擎現在可以於除錯和分析建置的時間軸，回報每一個影格的GPU時間。不過目前在非Vulkan的Android裝置，Flutter可能會錯誤回報GPU時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_m3qW6u7Q4mNfTKxN.jpg" style="width: 380px;" /></p> <p>該版本值得一提的更新，還有Impeller在背景過濾器和模糊功能上的效能改進，由於Impeller之前會錯誤請求螢幕貼圖讀取功能，經過修正之後，在基準測試中包含多個背景濾鏡的場景，效能改進可達20％至70％。</p> <p>同時Flutter開發團隊也改進背景過濾器，使其不再完全仰賴模板緩衝區（Stencil Buffer）的資料，避免不必要的資源使用。在具有Vulkan後端的Impeller Pixel 7 Pro裝置上，動畫進階混合模式平均GPU影格時間從55毫秒下降到16毫秒，且90％的光柵化執行緒CPU時間，從約110毫秒降低至22毫秒</p> <p>Flutter開發團隊還持續擴展Flutter 3.19支援的平臺，現在Flutter也開始支援Windows Arm64，此更新對在Windows Arm64平臺，原生高效能執行Flutter應用程式是重要的一步。</p> </div></div></div>
2024/2/21 09:15作者李建興https://www.ithome.com.tw/news/161377
【資安日報】2月20日，勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.aquasec.com/headcrab-2.0-evolving-threat-in-redis-malware-landscape"><strong style="font-size: 22px;">惡意軟體HeadCrab 2.0行蹤更加隱密，以無檔案型態入侵Redis伺服器進行挖礦</strong></a></p> <p>1年前資安業者Aqua Security發現專門鎖定Redis伺服器的殭屍網路病毒HeadCrab，當時已控制超過1,200伺服器，並將其用於挖礦，如今駭客的手法再度升級，殭屍網路規模更大，有另外1,100臺伺服器也遭到控制。</p> <p>研究人員指出，他們在蜜罐陷阱（Honeypot）當中，看到此殭屍網路病毒升級版HeadCrab 2.0，最大的變化在於攻擊者載入此惡意軟體的方式。原本駭客會將惡意程式的共用物件檔案（shared object file，副檔名為SO）儲存於受害伺服器，但新版病毒的傳播方式，則是透過Redis的通訊管道進行，並存放於無檔案的位置（fileless location，應指系統記憶體，因為Redis是一種In-memory資料庫），從而大幅減少留下數位蹤跡的情況，回避資安系統的磁碟掃描功能。</p> <p>另一個與舊版惡意程式的差異，則是在於與C2伺服器的通訊方式，原本駭客利用自定的Redis命令進行互動而容易被察覺，而新版本採用預設的MGET命令，駭客在命令當中挾帶特定參數，讓惡意程式得以確認是來自C2的命令，而對Redis的使用者而言，MGET命令仍能正常運作，使得惡意軟體的行蹤變得更加隱密。</p> <p><a href="https://www.cadosecurity.com/the-nine-lives-of-commando-cat-analysing-a-novel-malware-campaign-targeting-docker/"><strong style="font-size: 22px;">加密貨幣挾持攻擊Commando Cat鎖定曝露的Docker API下手</strong></a></p> <p>資安業者Cado揭露今年出現的加密貨幣挾持攻擊行動Commando Cat，駭客鎖定曝露在網際網路的Docker API，並使用透過Docker映像建立工具Commando而產生的容器進行部署，然後進行容器逃逸，並在Docker主機執行惡意酬載，目的是竊取AWS、GCP、Azure等雲端服務的帳密資料，並利用這些主機從事挖礦工作。</p> <p>攻擊者先是藉由部署Docker做為初始的入侵管道，然後從自己控制的伺服器對目標主機派送一系列的酬載，透過開源工具Commando部署容器並執行惡意命令，使用chroot命令逃脫至容器範圍之外，接著，對方會檢查是否存在特定的服務，才會繼續執行下個階段的行動，在受害主機植入SSH金鑰、後門程式、竊資軟體，最終部署挖礦軟體XMRig。</p> <p>研究人員指出，駭客在執行部分惡意程式的過程中，將檔案存放於記憶體暫存資料夾/dev/shm，使得資安人員調查駭客的蹤跡變得更加困難，他們根據攻擊者使用Shell指令碼、C2伺服器的IP位址，發現與駭客組織TeamTNT手法有所重疊，推測是由其他駭客模仿其手法發起的攻擊行動。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421"><strong style="font-size: 22px;">散熱風扇製造商建準遭遇加密攻擊，強調資料未外流、未遭到勒索</strong></a></p> <p>2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統於早上遭到加密攻擊，他們找到加密來源並阻斷加密，正著手恢復系統。而對於本次事故帶來的影響，該公司強調，資料無外洩的疑慮，他們也沒有遭到勒索，目前評估對於營運無重大影響。</p> <p>對於後續的改善措施，該公司表示將強化現有的資安政策、系統架構安全、員工資安教育的落實，並全面提升網路安全等級。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/"><strong style="font-size: 22px;">微軟收信軟體Outlook存在重大漏洞Moniker Link，有可能被用於發動RCE攻擊</strong></a></p> <p>微軟在2月例行更新（Patch Tuesday）針對收信軟體Outlook修補重大漏洞CVE-2024-21413，一旦攻擊者觸發漏洞，就有機會在未經身分驗證的情況下，繞過Office Protected View防護機制，而有機會遠端執行任意程式碼（RCE），CVSS風險評分為9.8。</p> <p>通報此漏洞的資安業者Check Point公布更多細節，他們指出攻擊者若是使用file://通訊協定，並在URL加入驚嘆號，就有機會繞過Office對於惡意連結的防護機制。研究人員指出，這項漏洞發生的原因，在於函式功能MkParseDisplayName的不安全API引起，因此這項漏洞有可能影響其他應用程式。</p> <p>研究人員指出，攻擊者一旦成功利用CVE-2024-21413，就有機會竊取NTLM帳密資料，或是藉由惡意Office文件執行任意程式碼，他們將這項漏洞命名為Moniker Link，呼籲所有Outlook使用者要儘速套用更新程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-28-500-exchange-servers-vulnerable-to-actively-exploited-bug/"><strong style="font-size: 22px;">近10萬臺Exchange Server恐曝露權限提升漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg" style="width: 300px; float: right;" /></a>2月13日微軟修補Exchange權限提升漏洞CVE-2024-21410（CVSS風險評分為9.8），隔日表示該漏洞已被用於攻擊行動，但有研究人員提出警告，仍有不少伺服器尚未修補而曝險。</p> <p>Shadowserver基金會指出，他們在2月17日進行掃描，全球約有9.7萬臺可能曝露相關風險的郵件伺服器，其中最嚴重的是德國和美國，分別有22,903臺、19,434臺，其次是英國、法國、奧地利，分別有3,665臺、3,074臺、2,987臺。值得留意的是，臺灣也有曝露該弱點的郵件伺服器，有777臺。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Shadowserver/status/1759555706166902819">https://twitter.com/Shadowserver/status/1759555706166902819</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table">https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/"><strong style="font-size: 22px;">11個國家執法單位切斷勒索軟體駭客組織LockBit的運作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的勒索軟體駭客組織LockBit的暗網網站傳出遭到執法單位扣押，此網站目前顯示由英國國家刑事局（National Crime Agency，NCA）控制，並指出這是美國聯邦調查局（FBI）與11個國家聯手，進行的執法行動Operation Cronos成果，他們自格林威治標準時間2月20日上午11時30分，已經中斷LockBit提供的網路犯罪服務。</p> <p>資安研究團隊VX-Underground指出，執法單位至少查封22個Tor網站，目前該組織的網站不是顯示被歐洲刑警組織（Europol）查獲的網頁，就是處於離線的狀態；該網站旗下的駭客若是登入系統，也會看到相關訊息：執法單位已掌握原始碼、受害組織名單、勒索金額，很快就會找上他們。</p> <p>究竟執法單位如何成功拿下網站？該駭客組織認為應該是藉由PHP重大漏洞CVE-2023-3824（CVSS風險評分為9.8）來達成。經營LockBit的團隊也向旗下成員成為發出通知，證實遭遇資安事故，但傳送的管道有兩種說法，資安業者AzAl Security認為是透過電子郵件，而VX-Underground指出可能是透過即時通訊軟體Tox或是XMPP。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1759693943942287543">https://twitter.com/vxunderground/status/1759693943942287543</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1759708760929390879">https://twitter.com/vxunderground/status/1759708760929390879</a><br /> 3. <a href="https://twitter.com/vxunderground/status/1759732862335504773">https://twitter.com/vxunderground/status/1759732862335504773</a><br /> 4. <a href="https://twitter.com/azalsecurity/status/1759740340209172548">https://twitter.com/azalsecurity/status/1759740340209172548</a><br /> 5. <a href="https://twitter.com/vxunderground/status/1759795956218778068">https://twitter.com/vxunderground/status/1759795956218778068</a></p> <p><a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian"><strong style="font-size: 22px;">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</strong></a></p> <p>俄羅斯駭客組織APT28利用殭屍網路病毒Moobot入侵搭載EdgeOS作業系統的Ubiquiti路由器，組成以家用與小型辦公室（SOHO）設備形成的殭屍網路，將其用於代理惡意流量，並對於美國及其盟國進行網路釣魚，或是竊取帳密的攻擊行動，如今美國政府對其出手。</p> <p>2月15日美國司法部（DOJ）宣布，聯邦調查局（FBI）取得法院死亡灰燼行動（Operation Dying Ember）的許可，遠端存取遭到入侵的路由器，清除殭屍網路病毒及其他惡意檔案，為防止及俄羅斯駭客再度控制，FBI也修改路由器的防火牆規則，並收集與內容無關的路由資訊，來監控是否有駭客試圖嘗試入侵的跡象。</p> <p>而這是繼1月美國摧毀中國駭客Volt Typhoon經營的殭屍網路KV-Botnet之後，今年第2波清理相關基礎設施的執法行動。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/alpha-netwalker-ransomware"><strong><span style="font-size: 20px;">研究人員揭露勒索軟體Alpha，疑為NetWalker東山再起</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/"><span style="font-size: 20px;">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</span></a></strong></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/android-spynote-moves-to-crypto-currencies"><strong><span style="font-size: 20px;">安卓間諜軟體SpyNote冒充加密貨幣錢包，意圖洗劫受害者存款</span></strong></a></p> <p></p> <p><a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q4-2023/"><strong><span style="font-size: 20px;">駭客偏好利用PDF惡意程式，藉此散布WikiLoader、Ursnif、DarkGate</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/eset-patches-high-severity-privilege-escalation-vulnerability/"><span style="font-size: 20px;">ESET修補高風險權限提升漏洞，影響Windows端點、Exchange Server、SharePoint Server、Azure等多項防護產品線</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> </div></div></div>
2024/2/20 14:45作者周峻佑https://www.ithome.com.tw/news/161355
Android 15第一預覽版已推出，強化硬體支援與動態效能管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google著手開發新版Android，現已釋出<a href="https://android-developers.googleblog.com/2024/02/first-developer-preview-android15.html">Android 15第一預覽版</a>。該新版本Android讓應用程式能更好地運用硬體，像是相機、GPU和顯示螢幕等，並開始支援Google新的廣告技術隱私沙箱（Privacy Sandbox），還更新動態效能框架（Android Dynamic Performance Framework，ADPF），供應用程式更好地與作業系統在電源與熱控管上協作。</p> <p>在Android 15，Google開始將隱私沙箱整合進廣告管理工具Android AD服務中，允許廣告商和開發者採用新的廣告技術向用戶推送廣告。傳統網路廣告模式，廣告商通常需要仰賴第三方Cookie等追蹤技術來收集用戶資料，向用戶推送針對性的廣告，但是由於隱私上的顧慮，目前各方瀏覽器都開始預設封鎖第三方Cookie，而Chrome也計畫在2024年第一季，開始移除1％用戶的第三方Cookie，並在第三季逐漸分批移除。</p> <p>而Google所提出的隱私沙箱計畫，便是希望創建更具隱私的廣告生態系來替代第三方Cookie，提供廣告商和開發者包括聚合、匿名化技術來處理用戶資料，希望減少廣告對個人資料的仰賴。不過，目前Apple和Mozilla都以保護用戶隱私為由，拒絕支援隱私沙箱Topics API。</p> <p>Android 15的檔案完整性管理員新增API，使系統可以運用Linux核心中fs-verity功能，自動加密簽章保護檔案，Google提到，該新功能將能提高Android安全性，防止潛在的惡意軟體和未經授權的檔案修改，不讓攻擊者破壞應用程式的功能和資料。</p> <p>Google透過通用MIDI封包（UMP）通訊，在Android 13提供USB連接MIDI 2.0裝置的支援。MIDI 2.0是一種較新的音樂數位介面（Musical Instrument Digital Interface，MIDI）標準，相較之前的版本，提供較高的解析度與更好的表現力，也具有更多的控制功能。</p> <p>現在Android 15，Google要進一步將通用MIDI封包擴展至虛擬MIDI應用，這代表音樂創作應用現在可以控制合成器應用，就像是透過USB連接到實體的MIDI 2.0裝置一樣。這項功能的擴展使得應用程式之間，可以透過MIDI 2.0標準互動和控制，如此即便沒有實體MIDI硬體，用戶還是可以運用這些應用進行音樂創作和表演。</p> <p>Android 15加入新擴充，使得開發者對裝置上的相機硬體和演算法有更多的控制能力，包括低光強化以提升相機預覽的亮度，還提供閃光燈強度進階調整能力，使得用戶在拍照時，能夠運用單次閃光和長時間閃光模式下，精確控制閃光強度。</p> <p>Google也持續投資Android動態效能框架（Android Dynamic Performance Framework，ADPF），來強化Android裝置的動態效能。ADPF是一套API，供遊戲和效能密集應用程式能夠與Android裝置的電源和熱管理系統更直接的互動。</p> <p>而Android 15上的ADPF將會於提示會話（Hint Session）機制新增省電模式，指示特定相關執行緒優先考慮節能而非效能，適用長時間在背景運作的工作負載。提示會話是一種允許應用程式對系統提出效能相關建議或是提示的機制，藉以協助系統了解應用程式當前效能需求，讓系統可以根據需求，調整電源和熱管理系統。</p> <p>新的ADPF提示會話機制還能夠提供CPU和GPU工作時長報告，允許系統調整CPU和GPU頻率，以更好地滿足工作負載需求。Android 15現在還會透過預測熱餘量閾值（Thermal Headroom Threshold）解釋可能的熱限制狀態，這將有助於應用程式判斷裝置是否即將進行熱降頻。</p> <p><a href="https://developer.android.com/about/versions/15/overview#timeline">Google預計將會在6月推出Beta第三測試版</a>，屆時將達到平臺穩定性，該里程碑後開發者可以進行最終相容性測試。若未更新應用程式整合SDK和函式庫支援Android 15，下游應用程式和遊戲開發者可能會遭Google封鎖。</p> </div></div></div>
2024/2/20 08:17作者李建興https://www.ithome.com.tw/news/161347
DuckDuckGo推出不需帳號就能同步密碼的新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋引擎暨瀏覽器業者DuckDuckGo周三（2/14）<a href="https://spreadprivacy.com/password-sync-backup/" target="_blank">更新其瀏覽器產品</a>，允許使用者在不登入帳號的情況下同步不同裝置上的書籤與密碼。</p> <p>DuckDuckGo瀏覽器原本就支援使用者將其它瀏覽器上的書籤與密碼匯入DuckDuckGo，本周的新功能則是讓DuckDuckGo上的書籤與密碼能與其它裝置上的DuckDuckGo瀏覽器同步，而且無需註冊或登入該瀏覽器。</p> <p>DuckDuckGo指出，在使用Chrome時，使用者很可能已經登入了Google帳號，主要是因為Google經常要求用戶登入，這固然很方便，透過帳號登入可隨時取得自己的書籤或密碼，唯一的缺點是這等於允許Google蒐集更多用戶的活動資料，並用以投放目標式廣告。</p> <p>而DuckDuckGo則提供了隱私同步及備份功能，允許使用者在不同的裝置上同步瀏覽器上所儲存的書籤與密碼，還能備份密碼與書籤，或是將它們遷移到新的裝置上，且完全無需登入，支援Android、iOS、Windows及macOS等平臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-duckduckgo-Sync%20and%20Back%20Up-02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DuckDuckGo</span></span></p> <p>該功能是透過掃描二維條碼或是輸入字串來連結不同的裝置，同步完成後，還可將備份的Recovery PDF存放於安全的地方，當裝置遺失或毀損時，即可利用Recovery PDF來存取這些同步的資料。</p> </div></div></div>
2024/2/15 14:48作者陳曉莉https://www.ithome.com.tw/news/161284
Gemini拒絕執行要求，無法整合自家服務，Google承諾改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Bard改名為Gemini後有諸多令人不盡滿意的地方，包括拒絕執行用戶交辦任務、限制太多、無法整合Google現有服務等，Google表示將對有問題的地方加速改善。</p> <p>上周Google聊天機器人Bard改名為Gemini，Gemini產品經理<a href="https://twitter.com/JackK/status/1756114082632220717">Jack Krawczyk說明</a>收到的用戶正、反評價。其中用戶有正面迴響的地方，包括它的寫作風格、給用戶建議很有創意的字詞與想法、回應速度、不用罄回應上限、連線品質、回應的圖片品質、以及和Gmail、Maps的整合度。</p> <p>他也說明一些用戶反映的問題，並說Google將會及早解決。首先是Gemini會拒絕用戶某些指令，Google視為第一要務。其次，Gemini的安全護欄原則，導致它不願回應用戶要求，甚至還出令人啼笑皆非的情形，Google也會設法修正，並承諾提供開發人員需要的程式直譯器（interpreter）。</p> <p>用戶並反映，Gemini App還有很多地方用不到，而且App還不夠完善。Gemini App已在拉丁美洲、亞太區、加拿大上線，Google說會儘快在英國及歐洲地區推出，並改善Android App中指示上傳的選擇，還表示會儘快增加Gemini和行事曆、提醒通知及例行工作整合的擴充功能。</p> <p>Google這次似乎相當重視用戶的意見。Google回應X平台上，用戶把Gemini整合Google Workspace帳號、整合新聞的API、查詢最新股價／市值、及上傳PDF檔的要求，表示正在進行中，也正在檢查iOS平台上的執行問題。</p> <p> </p> </div></div></div>
2024/2/13 17:53作者林妍溱https://www.ithome.com.tw/news/161268
Google Play Protect將加強防堵金融詐欺，新加坡先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/02/piloting-new-ways-to-protect-Android-users-from%20financial-fraud.html" target="_blank">Google本周宣布</a>，將進一步加強Google Play Protect對金融詐欺的防堵能力，在Android用戶嘗試自瀏覽器、傳訊程式或檔案管理員等來源安裝程式時，會自動分析並封鎖那些可能使用敏感許可的程式，並率先於新加坡展開測試；像是可接收簡訊（RECEIVE_SMS）、閱讀簡訊（READ_SMS）、可用來讀取或忽略其它程式通知（BIND_Notifications），以及無障礙等許可（Accessibility），因為這些許可經常被用來進行金融詐欺。</p> <p>Google在2017年推出的Google Play Protect可在使用者自Google Play下載程式時進行程式的安全檢查，也會檢查使用者裝置是否存在來自其它來源的潛在有害應用程式，也可能從裝置中停用或刪除有害程式，針對潛在有害或垃圾程式提出警告，有時可重置應用程式許可權，並防止安裝未經驗證的應用程式。</p> <p>去年10月，Google進一步發表Google Play Protect的強化即時掃描功能，會針對使用者所安裝的、從未掃描過的應用程式進行即時掃描，並將程式中的重要訊號傳送至Google Play Protect的後端架構進行程式碼等級的評估，再將結果傳送予使用者。該功能目前已部署至新加坡、印度、泰國及巴西的Android裝置上。</p> <p>本周的新功能則主要是為了預防來自網路側載來源的金融詐欺，包括那些利用瀏覽器、傳訊程式或檔案管理員所安裝的程式，即時檢查這些程式所宣告的許可權是否涉及RECEIVE_SMS、READ_SMS、BIND_Notifications與Accessibility，因為這些許可經常遭到詐騙份子濫用，包括攔截簡訊與通知的一次性密碼，或是查看螢幕上的內容。</p> <p>根據Google針對採用敏感許可權之主要詐騙惡意程式家族的分析，有超過95%的安裝都是來自於網路側載來源。因此，當新加坡用戶要從網路側載程式時，只要相關程式宣告了上述任何一個許可，Google Play Protect即會自動阻止其安裝，並向用戶說明。</p> <p>這次Google是與新加坡的網路安全局（Cyber Security Agency，CSA）合作，並已通過新加坡政府的測試，將會在具備Google Play服務的Android裝置上推出。</p> </div></div></div>
2024/2/9 17:24作者陳曉莉https://www.ithome.com.tw/news/161252
Google Bard改名為Gemini，推出綁2TB硬碟的Google One AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周開發人員<a href="https://www.ithome.com.tw/news/161175" target="_blank">發現</a>Google Bard將改名的消息，<a href="https://blog.google/technology/ai/google-gemini-update-sundar-pichai-2024/" target="_blank">Google昨（8）日正式宣布Bard改名為Gemini</a>，與全新付費版本Gemini Advanced及結合2TB雲端硬碟的Google One AI Premium方案。</p> <p>Google執行長Sundar Pichai指出，去年12月Google<a href="https://www.ithome.com.tw/news/160193" target="_blank">宣布</a>多模態AI模型Gemini，標示Gemini時代的來臨，但隨著Gemini發展，它不再只是模型，而是整個生態系，涵括用戶使用的產品、開發用的API及平臺。</p> <p>Gemini原本是Bard的底層模型，昨日Google宣布Bard將反映技術核心，更名為Gemini，將支援40種語言，上線地區則為除了英國及歐洲經濟區以外的150餘國。Workspace和Google Cloud中的AI助理，也會在這波品牌變革中換上新名字。</p> <p>Gemini聊天機器人有二個版本，一是免費AI聊天機器人，二是全新付費版本Gemini Advanced。Gemini Advanced（下圖）主打以最強大AI模型版本Ultra 1.0為底層。Ultra 1.0號稱是首個在大量多任務語言理解（massive multitask language understanding，MMLU）上超越人類專家的AI模型，它整合使用57種主題，包括數學、物理、歷史、法律、醫學和倫理學等來測試知識及問題解決能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-gemini%20advanced-1.png" style="width: 450px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-google%20gemini%20advanced-2.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></span></p> <p><a href="https://gemini.google.com/advanced" target="_blank">Gemini Advanced</a>收費標準為每人每月20美元（或650元臺幣）。雖然Advanced版的模型較強大，且可用在Gmail、Docs上，可惜<a href="https://www.reddit.com/r/Android/comments/1alv9of/gemini_advanced_get_access_to_googles_most/" target="_blank">Reddit用戶發現</a>，Advanced版無法分享給家庭成員。</p> <p>免費的Gemini則是以Gemini Pro 1.0模型為底層模型。</p> <p>在App方面，Gemini已推出<a href="https://gemini.google.com/app" target="_blank">Web版</a>及<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.bard" target="_blank">Android版</a>。為改良Gemini App採用的技術，用戶與Gemini的對話會經由人工審查員處理，因此，Google提醒用戶勿輸入不想讓別人看到或供Google使用的內容。至於iOS版，用戶需以Google App存取這服務。</p> <p>之前<a href="https://9to5google.com/2024/02/03/google-bard-gemini-rebrand-android-app-date/" target="_blank">有媒體發現</a>，Gemini Android App是由Google Assistant App改寫，因此，下載Gemini Android版App後，Assistant App就會變成Gemini。</p> <p>Gemini模型將支援Google服務，包括Workspace和Google Cloud。隨同品牌變更，Workspace AI助理Duet AI將改名為Gemini for Workspace，即將推出的全新<a href="https://one.google.com/explore-plan/gemini-advanced" target="_blank">Google One AI進階版方案</a>，可讓消費者直接在Gmail、Docs、Sheets、Slides與Meet免費使用Gemini。</p> <p>Google Cloud的Duet AI未來幾個星期內也會改名Gemini，協助文件作業、寫程式、防範網路攻擊等。Google下周會再進一步公布Gemini在開發及Cloud方面的新功能。</p> </div></div></div>
2024/2/9 18:03作者林妍溱https://www.ithome.com.tw/news/161254
Google Bard改名為Gemini，推出綁20TB硬碟的Google One AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周開發人員<a href="https://www.ithome.com.tw/news/161175" target="_blank">發現</a>Google Bard將改名的消息，<a href="https://blog.google/technology/ai/google-gemini-update-sundar-pichai-2024/" target="_blank">Google昨（8）日正式宣布Bard改名為Gemini</a>，與全新付費版本Gemini Advanced及結合20TB雲端硬碟的Google One AI Premium方案。</p> <p>Google執行長Sundar Pichai指出，去年12月Google<a href="https://www.ithome.com.tw/news/160193" target="_blank">宣布</a>多模態AI模型Gemini，標示Gemini時代的來臨，但隨著Gemini發展，它不再只是模型，而是整個生態系，涵括用戶使用的產品、開發用的API及平臺。</p> <p>Gemini原本是Bard的底層模型，昨日Google宣布Bard將反映技術核心，更名為Gemini，將支援40種語言，上線地區則為除了英國及歐洲經濟區以外的150餘國。Workspace和Google Cloud中的AI助理，也會在這波品牌變革中換上新名字。</p> <p>Gemini聊天機器人有二個版本，一是免費AI聊天機器人，二是全新付費版本Gemini Advanced。Gemini Advanced（下圖）主打以最強大AI模型版本Ultra 1.0為底層。Ultra 1.0號稱是首個在大量多任務語言理解（massive multitask language understanding，MMLU）上超越人類專家的AI模型，它整合使用57種主題，包括數學、物理、歷史、法律、醫學和倫理學等來測試知識及問題解決能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-gemini%20advanced-1.png" style="width: 450px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-google%20gemini%20advanced-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><a href="https://gemini.google.com/advanced" target="_blank">Gemini Advanced</a>收費標準為每人每月20美元（或650元臺幣）。雖然Advanced版的模型較強大，且可用在Gmail、Docs上，可惜<a href="https://www.reddit.com/r/Android/comments/1alv9of/gemini_advanced_get_access_to_googles_most/" target="_blank">Reddit用戶發現</a>，Advanced版無法分享給家庭成員。</p> <p>免費的Gemini則是以Gemini Pro 1.0模型為底層模型。</p> <p>在App方面，Gemini已推出<a href="https://gemini.google.com/app" target="_blank">Web版</a>及<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.bard" target="_blank">Android版</a>。為改良Gemini App採用的技術，用戶與Gemini的對話會經由人工審查員處理，因此，Google提醒用戶勿輸入不想讓別人看到或供Google使用的內容。至於iOS版，用戶需以Google App存取這服務。</p> <p>之前<a href="https://9to5google.com/2024/02/03/google-bard-gemini-rebrand-android-app-date/" target="_blank">有媒體發現</a>，Gemini Android App是由Google Assistant App改寫，因此，下載Gemini Android版App後，Assistant App就會變成Gemini。</p> <p>Gemini模型將支援Google服務，包括Workspace和Google Cloud。隨同品牌變更，Workspace AI助理Duet AI將改名為Gemini for Workspace，即將推出的全新<a href="https://one.google.com/explore-plan/gemini-advanced" target="_blank">Google One AI進階版方案</a>，可讓消費者直接在Gmail、Docs、Sheets、Slides與Meet免費使用Gemini。</p> <p>Google Cloud的Duet AI未來幾個星期內也會改名Gemini，協助文件作業、寫程式、防範網路攻擊等。Google下周會再進一步公布Gemini在開發及Cloud方面的新功能。</p> </div></div></div>
2024/2/9 13:33作者林妍溱https://www.ithome.com.tw/news/161245
微軟更新Copilot圖像創作功能，並在平衡模式採用新模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟公司推出<a href="https://blogs.microsoft.com/blog/2024/02/07/delivering-copilot-for-everyone/">Copilot更新</a>，這次更新範圍包括copilot.microsoft.com網站，還有iOS與Android應用商店中的Copilot應用程式。用戶存取Copilot將會看到更為簡潔的外觀和使用體驗，除了介面的更新之外，微軟還新增了建議提示詞輪播功能，藉以更好地呈現Copilot的功能。</p> <p>微軟也在Copilot添加更多的圖像創作功能，藉由使用Designer功能，用戶不僅可以創建圖像，現在還能在Copilot內直接進行線上圖像編輯，讓用戶不中斷創作工作流程保持聊天的流暢度。這些圖像編輯包括用戶可以突出顯示特定物體，無論是強化顏色使其更加醒目，或是模糊圖像背景讓主題更加突出，甚至使用畫素藝術風格等特效重新建立圖像都能夠完成。</p> <p>Copilot Pro訂閱用戶還可以在不離開聊天的情況下調整圖像大小，並在正方形和橫幅布局重新生成圖像，微軟預告，他們還將在Copilot中推出Designer GPT功能，提供用戶沈浸式且專用的畫布，在Copilot中迅速將想法轉為實際成果。</p> <p>另外，微軟副總裁暨Copilot、Bing工程與產品部門負責人Jordi Ribas，則在社交平臺X上<a href="https://twitter.com/JordiRib1/status/1755249265604239444/photo/1">公布</a>Copilot的平衡模式現在採用一個稱為Deucalion的新模型，他提到，Deucalion模型經過微調，使Copilot平衡模式回應更加豐富且快速。</p> <p>根據微軟的資料，在過去一年Copilot使用量暴增，已經建立超過50億次聊天和50億張圖像，而這也促使了Edge和Bing市占持續增加。</p> </div></div></div>
2024/2/8 18:53作者李建興https://www.ithome.com.tw/news/161239
【資安日報】2月7日，求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。</p> <p>最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/resumelooters/"><strong style="font-size: 22px;">駭客組織ResumeLooters利用SQL注入、XSS攻擊求職網站，竊取逾200萬人個資</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png" style="width: 300px; float: right;" /></a>資安業者Group-IB去年11月發現專門針對亞太地區的求職網站及零售業者的大規模網站攻擊，駭客組織ResumeLooters自2023年初開始，透過SQL注入攻擊的方式，企圖竊取網站上的使用者資料庫，當中不只包含姓名、電話號碼、電子郵件信箱、生日，還有工作經歷及其他敏感資料，而在部分攻擊行動裡，駭客則對求職網站進行跨網站指令碼（XSS）攻擊，從而在這些網站植入網路釣魚表單。</p> <p>研究人員在去年11月、12月，總共發現有65個網站遭到攻擊，大部分位於亞太地區國家，其中又以印度、臺灣、泰國的網站最多，但巴西、美國、土耳其、俄羅斯也有網站受害。根據他們的統計，總共遭竊的個資達到2,188,444筆，其中510,259筆已確認是從求職網站流出。而對於駭客攻擊這些網站的過程，研究人員指出採用了不少現成工具，像是資料庫滲透測試工具SQLmap，網站漏洞掃描工具Acunetix、Beef Framework、X-Ray，以及滲透測試工具Metasploit。</p> <p>而對於這些駭客的來歷，研究人員表示並不清楚，但指出駭客使用中文名稱的Telegram帳號，且於使用中文的群組兜售資料，攻擊過程也有部分工具使用中文版本，因此，這些駭客很有可能來自中國。</p> <p><a href="https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear"><strong style="font-size: 22px;">荷蘭軍事網路遭中國駭客入侵，利用Fortinet防火牆漏洞植入木馬程式</strong></a></p> <p></p> <p>荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告指出，該國國防部去年遭到中國網路間諜入侵，並植入後門程式。而對於這起事故的受害規模，他們評估少於50個使用者受害，主要目標非機密專案的研發團隊，以及2個與之合作的第三方研究機構，他們認為，這起攻擊行動不光針對荷蘭，與他們結盟的國家也是目標。</p> <p>MIVD與AIVD指出，他們在受害組織的網路環境當中，發現駭客利用Fortinet設備SSL VPN漏洞CVE-2022-42475（CVSS風險評分為9.8），對FortiGate防火牆設備植入RAT木馬Coathanger，此惡意程式透過攔截系統呼叫的方式來隱匿行跡，值得留意的是，即使IT人員將防火牆重開機或是更新韌體，該惡意程式仍會持續運作。</p> <p><a href="https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org"><strong style="font-size: 22px;">阿爾巴尼亞研究所傳出遭到網路攻擊，部分系統受到影響，疑為伊朗駭客所為</strong></a></p> <p></p> <p>1月31日阿爾巴尼亞統計研究所（INSTAT）傳出遭到網路攻擊，該研究機構確認部分系統受到影響，但強調去年人口普查的資料並非本次事故的攻擊目標，他們的技術團隊隨即啟動緊急應變措施，來保護相關資料，並防止損害進一步擴大。阿爾巴尼亞網路機構AKCESK與該國警方聯手，協助INSTAT復原受影響的系統。</p> <p>而對於攻擊者的身分，自稱是Homeland Justice的伊朗駭客組織聲稱是他們所為，並上傳影片做為證據，表明已偷到100 TB內部資料，但並未公布部分檔案，外界無法確認其真實性。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l">https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l</a><br /> 2. <a href="https://cesk.gov.al/deklarate-zyrtare-5/">https://cesk.gov.al/deklarate-zyrtare-5/</a><br /> 3. <a href="https://t.me/justice_homeland/451">https://t.me/justice_homeland/451</a></p> <p><a href="https://cert.gov.ua/article/6277422"><strong style="font-size: 22px;">2千臺烏克蘭電腦遭到惡意軟體PurpleFox攻擊</strong></a></p> <p></p> <p>1月31日烏克蘭電腦緊急應變小組（CERT-UA）指出，當地一家國營企業遭遇駭客組織UAC-0027攻擊，駭客對其電腦植入名為PurpleFox的惡意程式（亦稱DirtyMoe），至少有2千臺電腦受到感染。</p> <p>CERT-UA指出，此惡意程式通常會在使用者執行MSI安裝程式的過程進行感染，並能夠藉由已知漏洞或是暴力破解等方式，進行橫向感染，而且，該惡意程式具有Rootkit元件，導致受害者難以清除。</p> <p>他們從1月20日至31日對受害電腦進行監控，結果找到了486個C2伺服器的IP位址，大部分位於中國。</p> <p><a href="https://www.securonix.com/blog/security-advisory-steadyursa-attack-campaign-targets-ukraine-military/"><strong style="font-size: 22px;">俄羅斯駭客組織Shuckworm攻擊烏克蘭軍方，利用PowerShell後門程式進行滲透</strong></a></p> <p></p> <p>資安業者Securonix揭露鎖定烏克蘭軍事人員而來的網釣攻擊行動Steady#URSA，俄羅斯駭客組織Shuckworm疑似透過釣魚郵件，挾帶內含Windows捷徑檔案（LNK）的壓縮檔，為引誘收信人點選，這些捷徑檔的名稱都與烏克蘭城市或是軍事用語有關，而且，圖示被設置成與影片檔案相同的內容。一旦收信人開啟LNK檔案，電腦就會透過隱藏視窗及命令列執行PowerShell，最終電腦就會被植入PowerShell後門程式Subtle-Paws。</p> <p>此後門程式可從C2接收攻擊者的命令並執行，並能在所有磁碟建立LNK執行惡意機碼，從而透過外接裝置進行橫向移動。研究人員指出，由於烏克蘭軍方許多系統都是設置於隔離網路（Air-gapped），而在這起行動當中，他們看到攻擊者完全都是透過USB裝置，在不同系統之間散布惡意程式，因而得逞。</p> <p><a href="https://gur.gov.ua/content/znyshchyly-vorozhu-planietu-detali-kiberataky-proty-tsentru-kosmichnoi-hidrometeorolohii-rf.html"><strong style="font-size: 22px;">俄羅斯太空氣象研究中心遭到烏克蘭駭客攻擊，破壞2 PB資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg" style="width: 300px; float: right;" /></a>1月24日烏克蘭國防部情報總局表示，駭客組織BO Team入侵俄羅斯天文研究機構太空氣象遠東科學研究中心（Far Eastern Scientific Research Center of Space Hydrometeorology），並對其中的大型資料庫Planet下手，從280臺伺服器抹除2 PB資料，預估至少損失1千萬美元。</p> <p>駭客破壞的檔案涵蓋氣象及衛星資料，廣泛提供俄羅斯國防部、航太局等多個部門使用，烏克蘭國防部情報總局指出，除了資料儲存設備、伺服器、工作站電腦，資料中心的空調系統、緊急電源供應系統也遭到癱瘓。但究竟駭客如何破壞資料，該單位並未說明。</p> <p><a href="https://www.txone.com/news/txone-networks-published-annual-report-2023/"><strong style="font-size: 22px;">勒索軟體是工業控制系統與操作科技環境的頭號威脅</strong></a></p> <p></p> <p>資安業者TXOne Networks與市場調查公司Frost & Sullivan聯手，針對操作科技（OT）與工業控制系統（ICS）的網路安全態勢進行調查，指出勒索軟體是這些網路環境當中最為嚴重的威脅。</p> <p>他們針對2023年186起發生於美國、德國、阿拉伯聯合大公國（UAE）、日本的OT資安事故進行分析，結果發現有近半數（47%）與勒索軟體攻擊有關，其次則是漏洞攻擊和惡意軟體感染，分別有38%、37%，值得留意的是，這些事故當中，有超過三分之一（35%）也與人為不慎的操作錯誤有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-event-log-zero-day-flaw-gets-unofficial-patches/"><strong style="font-size: 22px;">零時差漏洞EventLogCrasher影響所有版本Windows</strong></a></p> <p></p> <p>研究人員Florian向微軟通報名為EventLogCrasher的漏洞，該漏洞存在於Windows作業系統的事件檢視器（EventLog）服務，一旦攻擊者發送惡意的UNICODE_STRING物件，並透過遠端程序呼叫（RPC）型態的事件檢視器通訊協定傳送至名為ElfrRegisterEventSourceW的方法，就有機會造成相關元件當掉，影響所有版本Windows工作站及伺服器作業系統，1月23日研究人員發布概念性驗證（PoC）攻擊影片。值得留意的是，研究人員指出，微軟獲報後認為該弱點與2022年另一個漏洞重複，因此不予處理。</p> <p>對此，提供漏洞微修補的資安業者0patch也對此漏洞的影響進一步說明，表示一旦攻擊者取得了低權限，讓事件檢視器當機3次，此項服務就可能完全停止，而使得資安資訊及事件管理系統（SIEM）、入侵偵測系統（IDS）直接受到影響，無法截取事件記錄進行分析，而使得攻擊者有時間能執行進一步的攻擊，例如暴力破解、執行whoami，或是利用遠端服務的弱點等，0patch針對Windows 7及Windows Server 2008 R2以上的作業系統，提供該漏洞的微修補程式。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/floesen_/status/1749809453367779758">https://twitter.com/floesen_/status/1749809453367779758</a><br /> 2. <a href="https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html">https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-android-local-elevation-flaw-impacting-7-oems/"><strong style="font-size: 22px;">研究人員公布安卓本地權限提升漏洞的概念性驗證程式，影響至少7個廠牌行動裝置</strong></a></p> <p></p> <p>Meta紅隊演練團隊Red Team X於9月向Google通報CVE-2023-45779，這項漏洞存在於安卓作業系統開源專案（AOSP）的Apex模組，起因是使用了測試金鑰進行不安全的簽署，從而讓攻擊者有機會推送惡意更新，並進行權限提升。</p> <p>Apex模組的主要功能，是讓OEM廠商能夠推送特定系統元件更新，而無須發布完整的OTA檔案，照理來說，這些廠商必須使用自己的私鑰簽章，但在安卓的原始碼裡，卻是使用相同的公鑰來進行，這代表任何人都能藉由這種管道推送更新。研究人員確認華碩Zenfone 9、微軟Surface Duo 2、Nokia G50、Nothing Phone 2、Vivo X90 Pro、聯想Tab M10 Plus、Fairphone 5存在上述漏洞，三星Galaxy S23、Google Pixel、小米Redmi Note 12、Sony Xperia 1 V等多款手機不受影響。</p> <p>對此，Google於12月發布修補程式，並打算在下一個大改版Android 15更進一步處理這項弱點。</p> <p>資料來源</p> <p>1. <a href="https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html">https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html</a><br /> 2. <a href="https://source.android.com/docs/security/bulletin/2023-12-01">https://source.android.com/docs/security/bulletin/2023-12-01</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180109&SPOKE_DATE=20240205&COMPANY_ID=4721"><strong><span style="font-size: 20px;">化學材料廠美琪瑪部分資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170130&SPOKE_DATE=20240205&COMPANY_ID=2736"><strong><span style="font-size: 20px;">旅館業者富野傳出分公司資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/65b9290a-b22e-4ae7-93e7-5acb84357297.shtml"><strong><span style="font-size: 20px;">針對去年發生的資料外洩事故，電信業者Verizon證實6.3萬名員工個資流出</span></strong></a></p> <p></p> <p><strong><a href="https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/"><span style="font-size: 20px;">Google指控2023年8成零時差漏洞遭商業間諜軟體供應商濫用</span></a></strong></p> <p></p> <p><strong><a href="https://source.android.com/docs/security/bulletin/2024-02-01"><span style="font-size: 20px;">Google發布2月份安卓例行更新，修補46個漏洞</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> </div></div></div>
2024/2/7 16:35作者周峻佑https://www.ithome.com.tw/news/161232
Google發布《Buying Spying》報告，公開商業間諜軟體產業的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/161203" target="_blank">美國宣布</a>將針對散布間諜軟體的個人進行簽證限制的隔天，Google出版了長達30項的<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Buying_Spying_-_Insights_into_Commercial_Surveillance_Vendors_-_TAG_report.pdf" target="_blank">《Buying Spying》報告</a>，公開商業間諜軟體產業的運作。</p> <p>Google威脅分析小組（Threat Analysis Group，TAG）長期以來追蹤全球約40家商業監控供應商（Commercial Surveillance Vendors，CSV），這些供應商負責提供付費服務及工具，整合了用來繞過各種安全機制的攻擊鏈，同時供應間諜軟體及必要的基礎設施，以蒐集目標對象的資料。</p> <p>這些CSV的主要客戶為各國政府，攻擊對象則涵蓋記者、人權捍衛者、異議份子與政治對手，它們之所以引起Google TAG的注意，最大因素可能來自於CSV所利用的零時差漏洞，有一半是針對Google產品與Android系統。</p> <p>根據TAG的統計，自2014年以來，在波及Google產品的72個零時差漏洞中，有35個源自於各家CSV，而且這是個保守估計，TAG相信這些CSV所利用的零時差漏洞一定更多，只是尚未被發現。</p> <p>TAG指出，倘若各國政府曾經獨占了最尖端的技術，那麼那個時代已然結束，因為TAG現在所發現的最先進的攻擊工具中，絕大多數都是來自於這些私人的商業監控供應商，光是在2023年所發現的25個已遭攻擊的零時差漏洞，便有20個源自CSV。</p> <p>與尋常的軟體產業一樣，CSV採用了不同的方法於間諜軟體市場中保持競爭力，它們建立關係以向政府客戶提供間諜軟體，並藉由專業性、協作或收購來提供有競爭力的產品。</p> <p>TAG於報告中描述了Cy4Gate與RCS Lab、Intellexa、Negg Group、NSO Group及Variston等CSV業者的操作手法，包括它們如何宣傳與交付自家的間諜軟體產品，報告中也採訪了曾受到攻擊的受害者。</p> <p>其中，2014年於義大利創立的Cy4Gate開發了鎖定Android與iOS平臺的Epeius間諜軟體，使用至少3個Android零時差漏洞，並在2022年收購了同樣位於義大利的RCS Lab，成立於1993年的RCS Lab宣稱可提供高度可靠的電子監控解決方案，並開發與銷售名為Hermit的間諜軟體。儘管已合併，但Cy4Gate與RCS Lab仍保持獨立運作，以各自的產品替不同的客群提供服務。</p> <p>最後，Google則呼籲，只要各國政府擁有購買商業監控技術的需求，該產業便會持續茁壯，繼續開發及銷售間諜軟體，而現在應該是政府、產業及民間社會共同改變其結構的時候了，以免相關技術進一步地蔓延。</p> </div></div></div>
2024/2/7 15:43作者陳曉莉https://www.ithome.com.tw/news/161228
歷經數年開發的jQuery 4.0 Beta版本釋出，具多項重大更新並逐步停止支援IE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕巧、快速且功能豐富的JavaScript函式庫jQuery，在2016年發布3.0正式版之後，終於在2024年迎來<a href="https://blog.jquery.com/2024/02/06/jquery-4-0-0-beta/">jQuery 4.0.0 Beta版本</a>。經過了這麼多年的開發，jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0不再支援IE 10以及更早版本，官方解釋，他們計畫分階段取消支援，會在jQuery 5.0進一步取消對IE 11的支援。目前官方先刪除專門支援IE 11之前版本的程式碼，而這樣的修剪也減少867 gzip位元組大小，進一步加快終端用戶載入頁面的時間。jQuery同時也放棄支援其他老舊的瀏覽器，包括Edge Legacy、iOS <11、Firefox <65和Android瀏覽器，如果開發者仍需要支援這些瀏覽器，就必須繼續使用jQuery 3.x版本。</p> <p>許多函式已經在之前版本中被棄用，而在jQuery 4.0這個主要版本，官方也一併進行清理，官方指出，jQuery 4.0刪除的函式多是內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。</p> <p>jQuery開發團隊還進行了一項重要變更，便是移除了push、sort和splice方法。jQuery原型（Prototype）擁有與其他jQuery函式不同行為的陣列方法，並且始終僅供內部使用，jQuery開發團隊現在決定不再透過jQuery原型來使用這些方法，而是直接使用陣列函式。這樣的變更讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫本身更加精簡。</p> <p>而jQuery 4.0在處理焦點事件的順序也有變化，這些焦點事件分別為focusin、focusout、focus和blur。這些焦點事件長期在各瀏覽器中執行順序不一致，直到最近各瀏覽器終於在事件順序上取得共識，但是這個順序與jQuery過去所選擇的順序不同，現在jQuery 4.0不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。</p> <p>jQuery.ajax新增對二進位資料FormData的支援。過去二進位資料並不被視為已知的資料類型，而會被轉換成字串，這種行為需要停用資料轉換並以手動處理，不過，現在開發團隊決定讓這個過程自動化。加入對FormData的支援，代表開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。這項變更在技術上是一個重大變化，官方認為，此行為更接近開發者預期。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能。可信類別為一項網頁安全標準，透過限制網站可以執行的腳本防止跨站腳本攻擊，在支援可信類別的瀏覽器中，開發者可以自訂一組可信類別，並將不可信的輸入轉換為可信類別確保網站安全性。</p> <p>另外，jQuery 4.0還改進對內容安全政策（CSP）的支援。雖然一些AJAX請求已經透過使用<script>標籤維護諸如跨網域等屬性，但jQuery 4.0現在更傾向在大多數非同步腳本請求中使用<script>標籤，避免因為使用行內腳本（Inline Scripts）而導致CSP錯誤。</p> <p>從jQuery 3.0或更高版本升級到jQuery 4.0預期不會有相容性問題，開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0更新了精簡版本（Slim Build），藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> </div></div></div>
2024/2/7 16:15作者李建興https://www.ithome.com.tw/news/161229
強調開放社交網路的BlueSky正式開放使用者下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Twitter共同創辦人Jack Dorsey重新建立的微型部落格BlueSky，在經歷了近一年的<a href="https://www.ithome.com.tw/news/155714" target="_blank">邀請測試</a>之後，本周二（2/6）<a href="https://bsky.social/about/blog/02-06-2024-join-bluesky" target="_blank">正式開放所有使用者下載</a>。</p> <p>BlueSky在介面上與Twitter非常類似，同時採用類似Twitter的藍色商標，只不過Twitter的商標是一隻藍鳥，而BlueSky則是一隻藍色蝴蝶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-bluesky%20UI.png" style="width: 600px;" /></p> <p>然而，強調開放的BlueSky底層架構與Twitter截然不同。它採用自行開發的聯邦宇宙（Fediverse）協定AT Protocol，可連結其它基於Fediverse的社交平臺，且使用者的個人檔案與貼文都是可攜的。</p> <p>此外，它具備客製化的動態主題，使用者可自行選擇想看到的貼文種類，從新聞、文化、藝術、動物到政治等；除了根據社群守則所制定的審核標準之外，使用者亦可自行增添審核機制，過濾那些不想觸及的內容。BlueSky亦計畫在未來幾周推出標籤服務，推動第三方組織建立特定的審核機制以供用戶使用，例如由事實查核組織針對各種傳聞所建立的標籤。</p> <p>值得注意的是，由於AT Protocol的設計基礎在於公開交流，因此使用者所有的貼文、按讚或封鎖都是公開的，在BlueSky上並無私有資料，但亦允許使用者刪除所張貼的文章或照片。</p> <p>在邀請測試期間，BlueSky已吸引全球逾300萬名使用者加入，本周全面開放的BlueSky同時支援Android、iOS及桌面平臺。</p> </div></div></div>
2024/2/7 12:18作者陳曉莉https://www.ithome.com.tw/news/161226
Google開發可在裝置上順暢執行的文字轉圖像模型MobileDiffusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了可以在行動裝置上，以次秒（Subsecond）速度執行文字轉圖像的模型<a href="https://blog.research.google/2024/01/mobilediffusion-rapid-text-to-image.html">MobileDiffusion</a>。MobileDiffusion是一種高效的擴散模型，在iOS和Android高階裝置上，能在半秒內生成512x512的高品質圖像。MobileDiffusion相較於其他圖像生成模型小上許多，只有5.2億參數特別適用於行動應用部署。</p> <p>當前文字轉圖像擴散模型越來越成熟，使用者只要輸入文字提示，模型就可生成高品質圖像，但是先進的模型動輒擁有數十億個參數，因此執行成本也非常高昂，需要強大的桌面電腦或是伺服器才能快速運算。</p> <p>研究人員指出，造成文字轉圖像擴散模型效能低落的主要原因有兩個，第一是擴散模型固有設計需要迭代去噪生成圖像，而這需要對模型進行多次評估，第二則是文字轉圖像擴散模型網路架構的高複雜性，通常具有數十億參數導致運算成本高昂。</p> <p>由於這些效能上的障礙，儘管在行動裝置上執行生成式人工智慧模型，具有強化用戶體驗、高隱私性的好處，但目前研究仍相對較少。當然還是有一些提升文字轉圖像擴散模型效率的研究，像是透過數值求解器或是蒸餾技術，減少模型的功能評估數量（Number of Function Evaluations，NFE），希望藉由降低評估所帶來的運算負擔。但即便如此，由於模型架構仍然非常複雜，在行動裝置上即便是少量的評估步驟，仍然可能執行地很慢。</p> <p>MobileDiffusion則是研究人員試圖突破行動裝置有限運算能力的限制，藉由仔細檢視Stable Diffusion中UNet架構每個組成部分和計算操作，設計出高效文字轉圖像擴散模型。MobileDiffusion遵循潛在擴散模型的設計，具有文字編碼器、擴散UNet和圖像解碼器，研究人員使用適用於行動裝置的小模型CLIP-ViT/L14，作為MobileDiffusion文字編碼器，並將改進效率的重點，擺在擴散UNet和圖像解碼器上。</p> <p>擴散UNet是一種深度學習模型架構，用於生成或是轉換圖像，本身是一種特殊的卷積神經網路，其特點是具有對稱的U型結構，有助於模型在進行圖像處理時保留細節資訊。研究人員主要使用兩種方法來來提升擴散UNet的效率，第一是在模型瓶頸處，也就是資訊最集中的地方，使用更多的Transformer區塊以降低計算量，第二是使用輕量級可分離卷積。卷積區塊主要用於圖像特徵擷取，但是傳統卷積操作計算量大，因此研究人員透過使用可分離卷積，在不降低模型效能的情況下，減少需要的計算量。</p> <p>除了擴散UNet，研究人員也著手最佳化圖像解碼器，透過訓練變分自編碼器（Variational Autoencoder，VAE）簡化圖像表示，使圖像資訊能縮小至原圖八分之一，減少儲存和計算需求，並使用簡化版的解碼器明顯提高效能，在降低延遲接近50％的情況下，還可以維持甚至提升圖像品質。研究人員還採用了DiffusionGAN混合模型實現一步採樣，這是一種結合擴散模型和生成對抗網路（GAN）的新技術，能夠一步驟生成圖像，相較於傳統的多步驟方法快上不少。</p> <p>雖然MobileDiffusion只有5.2億個參數，卻可以生成不同領域的高品質圖像。由於MobileDiffusion只需要半秒鐘便可以在行動裝置上生成512x512圖像，因此可以在用戶邊輸入文字提示的同時，迅速生成圖像，能應用於行動裝置創造各種即時圖像生成體驗。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgc9IegNp6IHze1sPewUyoR_WouBi8jMhiThcaavD0SXFld3788eA89uyOP6gpmdCXSZMMuacrgQMJ61ygVJsLfE51tqTmmYS0C-GI9SaF_hEGlhTp_zTFXdW_AgXIP5CLCejKQVCsPrhycF8p_Rj9qQHR0J_kTO8Md7VT5R47IMJHinO6dkHn23lUlU7rf/s16000/image2.gif" style="width: 290px;" /><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhpz0XGSpMH9OVTd865uusar0AeXtu_26HD3tHzJHm2iEVeLYynBhi6pl0tidIYOoJVamc-NplnsNPCNl3vMX-qjqEZCYtndsl-9YjulMpLiDbP3Uws9cZ5ITjb0C3MNaVNC5mh-kbyKZYXn5rxBAuPLaHg_56ZAJfPOrkBfh44goI3CnEW-XZFDUvJgWAV/s16000/image5.gif" style="width: 290px;" /></p> </div></div></div>
2024/2/7 09:52作者李建興https://www.ithome.com.tw/news/161221
Google投百萬美元給Rust基金會，要強化C++與Rust互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://foundation.rust-lang.org/news/google-contributes-1m-to-rust-foundation-to-support-c-rust-interop-initiative/" target="_blank">Google向Rust基金會捐贈100萬美元</a>，主要是要改善Rust和C++程式語言之間的互通性。Rust基金會董事會主席暨Google會員總監Lars Bergstrom提到，他們相信Rust等記憶體安全語言對於提升安全性有著關鍵性的作用，且各領域存在迫切需要被解決的記憶體安全問題。Google之所以資助互通計畫，是因為Rust與C++有更大的互通性是Rust被採用的關鍵，也能讓更多組織和社群從記憶體安全的系統中受惠。</p> <p>而Rust基金會執行長Dr. Rebecca Rumbul提到，對於產品中擁有數百萬行C++程式碼的組織來說，要在合理的時間內用Rust重寫程式碼可能是不切實際的事。在Google的資助下，Rust基金會創建了新的互通性計畫，要使原本大量使用C++的組織，也能順利地轉移使用Rust。</p> <p>互通性計畫的目標，是支援現有的C++程式碼，能夠與Rust程式碼無縫互通，影響範圍涵蓋了全新程式碼、產品附加功能的程式碼，還有組織逐漸將當前C++程式碼搬移到Rust重新編寫的程式碼。基金會建議雇用一名或是多名互通計畫工程師，並提供資源以擴展現有的互通性工作，建構系統整合，甚至使用人工智慧進行C++到Rust的轉換。</p> <p>隨著Rust基金會開始著手制定互通計畫，他們也發現Rust專案許多成員，早已開始對Rust和C++互通性做出貢獻，像是Rust基金會銀級成員KDAB，就努力藉由使用Qt框架開發雙向Rust和C++綁定，也就是讓Rust和C++能夠透過Qt相互操作和整合，使開發者可以在同一應用程式或專案，靈活地使用兩種語言。</p> <p>Google近年在Android作業系統中大量採用Rust，以提高記憶體安全性，進而大幅減少記憶體安全漏洞，從2019年到2022年，Android記憶體漏洞數從222個降低至85個。Rust的使用不僅提升了安全性，也最佳化了系統的效能和穩定性。目前Android 13中有約21%程式碼使用Rust開發，涵蓋多個系統元件和功能。</p> </div></div></div>
2024/2/7 10:07作者李建興https://www.ithome.com.tw/news/161222
Google Bard可能改名為Gemini、搭配Ultra AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周讓聊天機器人Bard搭載Gemini Pro全球上線，使Gemini AI模型全系列加入運行後，卻可能把Bard改名為Gemini，推出付費版Chatbot，也將搭配新的生成式AI模型Ultra。</p> <p><a href="https://twitter.com/evowizz/status/1753795479543132248/" target="_blank">加拿大開發人員Dylan Roussel發現</a>Google一篇預訂2月7日上線的Bard變更紀錄網頁。當中說明Bard將改名為Gemini，並有一個官方網頁<a href="https://gemini.google.com/">https://gemini.google.com/</a>（本網頁現在已經被撤下）。</p> <p class="rtecenter"><a href="https://twitter.com/evowizz/status/1753795479543132248/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0205-Dylan%20Roussel(1).png" style="width: 600px;" /></a></p> <p>根據用戶分享的Google描述，Gemini是存取Google AI的最佳方法，會保留所有用戶熟悉的協同能力，而且「在Gemini時代會更好」。Gemini將改善UI，減少令人分心的視覺訊息，強化可讀性，簡化瀏覽使用。繼<a href="https://www.ithome.com.tw/news/161138" target="_blank">Gemini Pro模型上周起在230多國上線支援Bard</a>（改名前的AI chatbot），支援40多種語言後，Google說，本周計畫讓（Gemini chatbot）支援地區及語言的使用者都能直接存取Google AI模型。</p> <p>Google也計畫公布新的AI模型，名為Ultra 1.0，將提供給Gemini Advanced chatbot用戶。Gemini Advanced 號稱能執行更複雜的任務，包括寫程式、依循細微差異的指令進行邏輯推理，以及創意協同方式。它未來幾個月還會增加新的專屬功能，像是更強的多模態能力、編程能力以及上傳文件或檔案加以分析等。</p> <p>Gemini Advanced為付費版服務，將會在150國推出。它現階段只提供英文版Ultra 1.0模型，但回應時可以說／寫其他Gemini支援的語言。</p> <p>Google打算讓接受到邀請函開發人員測試Gemini。Gemini測試版提供英文和法文。</p> <p>此外，Gemini也會有App。Gemini可整合包括Gmail、Google Maps和YouTube等Google應用程式。一如Bard的多模能力，可接受文字、語音和圖片為輸入。Gemini App目前僅推出Android版，iPhone用戶若想使用，可透過Google App到官網存取這個聊天機器人。</p> <p>Gemini App計畫本月在美國部署給數款裝置上，一開始只支援英文版，稍後再推出日、韓及其他英文版本，但暫不包含英國、瑞士及歐洲經濟區及所屬領域。最終它會進一步推向全球及其他語言。</p> <p>不過這項消息尚未獲得Google證實。</p> </div></div></div>
2024/2/5 09:02作者林妍溱https://www.ithome.com.tw/news/161175
Fossil退出智慧型手錶市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推出智慧型手錶8年後，美國品牌手錶商Fossil本周表示，將退出智慧型手錶市場。</p> <p>Fossil執行副總裁Jeff Boyer對<a href="https://www.theverge.com/2024/1/26/24052275/fossil-quitting-smartwatches-android-wear-os" target="_blank">《The Verge》</a>表示，過去幾年智慧型手錶變化甚大，該公司已做出策略決定退出智慧型手錶市場。未來Fossil集團將把資源導向支援能提供高成長機會的核心強項和核心業務，包括設計與行銷自有及授權品牌的傳統手錶、珠寶與皮革製品。</p> <p><a href="https://www.gadgets360.com/wearables/news/fossil-launches-its-first-android-wear-smartwatch-other-wearables-755804" target="_blank">Fossil於2015年推出</a>第一隻搭載Google Wear作業系統的智慧型手錶Fossil Q，之後數年穩定配合Google行動作業系統推出新代手錶。現行市面銷售的是2021年推出的Wear OS 2-based手錶Gen 6。</p> <p>智慧型手錶剛出現時是百家爭鳴局面，但過去幾年已逐漸成熟。<a href="https://www.counterpointresearch.com/insights/global-smartwatch-market-rebounds-huawei-and-fire-boltt-hit-new-peaks/" target="_blank">根據市調機構Counterpoint數據</a>，2023年第三季全球智慧型手錶市占前五大業者，分別為蘋果、華為、三星及印度的Fire Boltt，傳統手錶品牌幾乎已經沒有競爭優勢。</p> <p>Fossil的退出早有跡象。Fossil原本預計去年推出搭載高通Snapdragon W5 Plus晶片的Gen 7，不過卻毫無動靜，而以往Fossil都會在年初的消費電子展（CES）上展出智慧型手錶，今年卻缺席展會。因此2個月前網路論壇Reddit上已有用戶推測，可能不會有Gen 7了。</p> </div></div></div>
2024/1/31 10:19作者林妍溱https://www.ithome.com.tw/news/161091
Android原生UI開發工具包Jetpack Compose更新，效能全面提升、編譯器功能強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新Android原生UI工具包，發布<a href="https://android-developers.googleblog.com/2024/01/whats-new-in-jetpack-compose-january-24-release.html">Jetpack Compose 1.6版</a>，這個版本的更新重點在於改進效能表現，頁面滾動和應用程式啟動都有感加速。Compose編譯器也添加新功能，使編譯更加穩定快速，Google還調整預設字體內邊距設定，使文字布局設計更容易符合規範。</p> <p>Jetpack Compose 1.6的效能獲得全面提升，依據官方的基準測試，頁面滾動效能增加20％。而啟動時間縮短了約12％，大多數應用程式只需要將Jetpack Compose更新到最新版本，就能有效能提升的好處。官方解釋，滾動效能與啟動時間的提升，來自於Jetpack Compose對記憶體分配和延遲初始化的改進。而這些改進帶來的好處，遍及Compose所有API，尤其是文字、可點擊元素、延遲載入列表和繪圖API等。</p> <p>Compose編譯器添加了一個新的編譯器選項，能夠使應用程式設定檔更穩定。該選項可讓開發者將任意類別，包括自有模組、外部函式庫以及標準函式庫標記為穩定。當類別被標記為穩定，Compose框架可掌握穩定的類別和資料結構，因此也就能做出更多最佳化假設，更有效率地判斷需要重組（Recomposition）的時機。這提供開發者一種在不犧牲靈活性和可擴展性的前提下，提升應用程式效能的方法。</p> <p>Google也改進Compose編譯器擴充套件產生程式碼生成的過程，由於Compose編譯器會追蹤Compose狀態物件，以判斷在數值發生變化時，哪些可組合項目需要被重組。實際上，許多狀態值僅會被讀取一次，甚至部分狀態值從未被讀取，但仍然被頻繁變更。而用來保存可組合項目狀態的是remember函式，能夠避免不必要的重新渲染，而Google對Compose編譯器的更新，預設啟用內在記憶（Intrinsic Remember）模式，則可進一步強化remember函式的能力。</p> <p>此外，Google想讓開發者不需要深入研究Compose內部結構，用更直覺地方式編寫程式碼，以此增進開發者的生產力，因此最佳化程式碼的工作也就需由Compose承擔。這個新版本的Compose增加強跳過模式（Strong Skipping Mode），進一步最佳化重組的過程，該模式放寬了有關可以跳過重組規則，使特定更改不再觸發重組，相關的UI元件也就不會在非必要的狀態下重新渲染，使其更符合開發者的預期。目前強跳過模式仍在實驗性階段，官方計畫在Jetpack Compose 1.7版本預設啟動。</p> <p>這次更新也更改預設字體內留有額外邊距的設定，includeFontPadding屬性現在預設關閉，官方解釋，includeFontPadding是一個老舊屬性，會在文字的第一行頂部和最後一行底部，額外添加內邊距。而預設關閉該屬性之後，文字布局將會更容易符合設計規範。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(21).png" style="width: 580px;" /></p> <p>Compose Foundation函式庫還新增支援平臺級拖放操作支援，允許多視窗模式下，應用程式之間相互拖放內容。</p> </div></div></div>
2024/1/27 17:33作者李建興https://www.ithome.com.tw/news/161044
Google新型瀏覽器開發環境Project IDX添加Android與iOS模擬器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://idx.dev/blog/article/introducing-android-emulators-ios-simulators-and-other-product-updates-from">更新</a>其新型瀏覽器開發環境Project IDX，將Android與iOS模擬器帶入瀏覽器中，讓開發者可以直接在IDX中預覽應用程式，無論是Flutter或是其他網頁範本，IDX都能夠為應用程式載入正確的預覽環境。Google也將IDX的人工智慧功能擴展到更多國家，新增印度、澳洲、新加坡、日本與韓國等15個國家。</p> <p>在去年，Google推出了Project IDX，這是一個以雲端為基礎的實驗性工作區，主要目標是改善全端和多平臺應用程式的開發流程。該平臺使用Google雲端，並結合多種熱門的框架和語言支援，諸如Angular、Flutter、Next.js、React和Svelte等，並且支援JavaScript、Dart等語言。IDX還整合了Codey和PaLM 2等大型語言模型，能夠提供程式碼生成和解釋等功能，能夠協助開發者更快速地編寫程式碼。</p> <p>而現在開發者還可以在IDX中，直接預覽iOS和Android應用程式。IDX的網頁和Android模擬器，可以讓開發者從工作區進行開發、測試和除錯，多步驟和多平臺流程都被整合到同一個地方，而運用iOS模擬，開發者可以在工作時確認應用程式的布局和行為。目前這些功能還在實驗性階段。</p> <p>Google應用戶的要求增加了更多的模板，針對Astro、Go、Python/Flask、Qwik、Lit、Preact、Solid.js和Node.js添加新模板，開發者可以使用這些模板，直接開始進行專案開發，減少配置的時間，將更多時間花在創建程式邏輯上。不過，開發者仍然可以藉由將本機檔案、GitHub儲存庫，或是自定義Nix環境，選擇自己想要的設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Project%20IDX-template.png" style="width: 600px;" /></p> <p>IDX新提供的功能和資源，也讓應用程式建置、測試和部署更方便。IDX現在可以自動偵測應用程式和服務所需的網路連接埠，並調整防火牆設定准許流量進出，開發者不需要進行額外配置，且用戶不需要在本地端進行安裝，就可以直接在工作區中，立即執行命令列工具、腳本和公用程式。此外，透過dev.nix檔案啟用Docker，也簡化了從開發環境直接使用Docker容器和映像檔的過程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0127-Project%20IDX-build%20test%20deploy%20apps.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/1/27 16:50作者李建興https://www.ithome.com.tw/news/161039
【剖析基礎架構、工具鏈和GAI應用三大面向】GAI應用2024大爆發，三大公雲巨頭如何布局AI新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是GAI應用大爆發的一年，最明顯的證據，就是GPT商店的GAI應用出現爆炸式的成長，從OpenAI去年11月初宣布推出可以客製ChatGPT的GPTs，到1月初GPT商店正式開張，不過短短2個月，就出現了超過300萬款各式各樣的GPTs。每一款GPTs都是一隻特定用途的ChatGPT，也可說是一隻GAI應用。</p> <p>蘋果App Store花了22個月才達到20萬種App，Android應用市集Google Play則花了31個月才達到同樣的App數量。但是，GAI應用只花了十分之一的時間，卻締造了15倍以上的App數量。</p> <p>完全不用寫程式，只需將使用GAI的過程保存下來，就能變成一隻特定情境的GAI應用，而且由這名使用者從生成結果來把關GAI應用的品質，徹底顛覆了傳統開發App的模式，人人都可以快速打造自己的GPTs，甚至只需要懂得問問題，判斷答案品質，完全不需要技術知識和開發邏輯，都可以做到。</p> <p>不過，對企業來說，GPTs這樣的GAI應用形式還不夠用。如何整合到企業現有資料、現有軟體，如何處理更複雜的任務、更安全、更能控管結果、更容易管理，成本更便宜，能適應不同企業環境，都是企業級GAI應用的常見需求。</p> <p>GPTs數量暴增趨勢，反映出人們對GAI應用的需求，三大公雲巨頭看準這股趨勢，早在2023年就相繼展開了各種AI戰略布局，要來搶攻這股爆發潮。</p> <p>在2023年11月中的微軟Ignite大會、11月底的AWS re:Invent大會，兩大公雲巨頭完整揭露了自家GAI戰略的新方向，Google則在去年12月發表了新款LLM，補齊了GAI戰略中的關鍵一步，也更清楚地揭露了他們的戰略布局。比較三大公雲的GAI戰略，可一窺企業級GAI應用接下來的發展重心。</p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 後續報導請見 </span></strong></span></span></p> <p><span style="font-size:24px;"><strong><a href="https://www.ithome.com.tw/news/161030" target="_blank"><span style="color:#3399ff;">微軟如何布局2024 AI新戰略</span></a></strong></span></p> <p><span style="font-size:24px;"><strong><a href="https://www.ithome.com.tw/news/161031" target="_blank"><span style="color:#3399ff;">AWS如何布局2024 AI新戰略</span></a></strong></span></p> <p><span style="font-size:24px;"><strong><a href="https://www.ithome.com.tw/news/161032" target="_blank"><span style="color:#3399ff;">Google雲端如何布局2024 AI新戰略</span></a></strong></span></p> </div></div></div>
2024/1/26 23:40作者王宏仁https://www.ithome.com.tw/news/161029
Google雲端如何布局2024 AI新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年8月的Next大會上，Google Cloud公布了GAI的三大戰略，但是這個戰略中最關鍵的一塊拼圖，直到2023年12月初，緊接著在AWS年度大會結束之後，Google 才發表了他們最強也是最新一代的LLM模型Gemini，隔周並在自家AI開發套件Vertex AI上釋出了企業用的Gemini Pro版模型預覽版，免費試用。Google的GAI戰略至此才揭露了更完整的樣貌。</p> <p>在去年8月的Next大會中，Google執行長Sundar Pichai在開場演講時強調，Google近幾來採取了AI優先戰略，在所有產品中都導入AI，「Google的願景是，讓AI可以幫助每一個人。」他強調。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>讓每一個人都可以運用GAI</strong></span></span></p> <p>相較於其他兩家公雲，Google更強調AI的工具性意義，而Google Cloud執行長Thomas Kurian指出，GAI正是AI的其中一種，新的戰略目標是，讓每一個人都可以運用GAI，將聚焦三大GAI戰略，包括AI建置、AI運用和AI生態圈。一方面讓GCP基礎架構和開發工具，都能支持GAI應用的建置，其次要透過各種AI助手，讓人人更容易運用AI，最後則要整合各種第三方AI技術和廠商，來建立AI生態系。</p> <p>在AI建置的戰略上，Google從軟體到硬體都聚焦對AI運算需求的滿足，像是GKE企業版強化了對GPU運算的調度支援，更發表了第五代的AI加速晶片產品Cloud TPU v5e，也發表了可將Vertex AI推論應用部署到本地端或邊緣環境的Google 分散式雲端（Google Distributed Cloud）產品。而在開發工具上，Google原有的通用型AI開發平臺Vertex AI，更是全面轉型為生成式AI的開發平臺，以生成式AI應用開發為主打。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">Google原有AI開發平臺Vertex AI轉為生成式AI的開發平臺，底層提供各種LLM模型的模型花園，再上一層是AI技術平臺層，接著是搜尋和對話的NoCode開發套件層。最上層是AI解決方案及生成式AI助手Duet AI。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／Google）</span></span></p> <p>新版Vertex AI平臺提供了一個涵蓋生成式AI應用開發周期的開發框架，還可細分為四層，底層提供各種LLM模型的模型花園，包括Google自家模型和多種開源或第三方模型。再上一層則是AI技術平臺層，包括了各種外掛、連結器、Grounding校準、提示工程、調校、評估、過濾等不同AI應用開發階段的機制或工具。</p> <p>第三層則是NoCode開發套件層，提供兩種常見GAI需求「搜尋」和「對話」的NoCode開發套件，能快速在企業內部應用整合出這兩類客製GAI應用。最上層是Google的各項AI解決方案，以及Google用來和微軟Copilot打對臺的生成式AI助手Duet AI。Google以雲端硬碟作為互通基礎，讓Duet AI助手可以存取到不同Workspace產品線的各類資料，來提供整合式的生成回答內容。</p> <p>在AI運用上，除了整合到辦公室套件的AI助手之外，Google也推出不同用途的AI助手，像是Duet AI整合到GCP兩大資料平臺產品BigQuery和Cloud Spanner上，可以用來生成SQL語法和Python語法，簡化資料科學家的作業。此外，Duet AI可以整合到GCP雲端監控工具中，成為雲端維運的AI助手，讓企業管理人員用自然語言方式來監控各項雲端資源狀態。</p> <p>不論是在AI建置平臺或Duet AI助手，都提供了可以整合第三方平臺、技術或資料源的機制，可用來擴大Google Cloud整個AI生態圈的規模。</p> <p>Thomas Kurian指出，生成式AI帶來了全新的上雲方式，Google三大戰略想要實現的目標是，從開發建置、不同場景的運用，以及AI生態圈的布局，來提供企業上雲實現轉型的新途徑。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Gemini要通吃雲和端的GAI應用</strong></span></span></p> <p>去年12月，Google Cloud終於揭曉了GAI戰略最關鍵的一塊拼圖，發表了新一代的LLM模型Gemini，包括高階Ultra版，中階Pro和低階Nano版模型。Ultra版能同時分辨和理解文字、圖片和聲音，也可以用來分辨和解釋幾種熱門開發語言。Duet AI for Workspace預計在2024年初也會引進Gemini模型，可以對分析內容提供多模態的進階理解能力。</p> <p>與其他知名模型最大不同是，Gemini提供了可在手機上執行的Nano版本，不僅如此，Gemini Pro的SDK除了支援Python，更支援兩大行動平臺Android的Kotlin和iOS應用的Swift，還有Web前後端開發主流JavaScript和Node.js語言。這些布局都反映出Google要將自家GAI戰略延伸到Android世界，甚至是iOS世界的企圖心。</p> <p>不只推出新版模型，Google也正式推出了免費的網頁版GAI開發工具AI Studio，這款模型最大特色是可以透過提示工程設計出一項AI功能或一隻簡單的AI應用，並生成對應的程式碼，方便輸出到其他環境再利用，也能提高GAI應用的後續修改和客製彈性，甚至是移植到企業自家環境中部署。</p> <p>在Vertex AI平臺上先上架了Gemini Pro模型API預覽版和可分析影片的Gemini Pro Vision版本API。Vertex AI新增多項GAI開發功能，例如RAG快速建置工具，與外部資料或API的互動機制，多模型的協作框架，自動化模型評比，更多GAI控制機制等，Vertex AI的功能逐漸從模型開發，延伸到了模型部署，維運管理等LLM模型的MLOps流程。其中最特別的新功能是調度多個模型協同運作的能力，Google將提供一套調度框架，可以用來串連和連結不同模型之間的運作，共同產生更好的回應內容。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google發表AI超級電腦架構</strong></span></span></p> <p>Google Cloud在去年12月初的發布中，除了引起高度關注的Gemini模型之外，還有一項特別的GAI基礎架構，專門鎖定企業自行訓練大型語言模型的需求，Google提出了AI Hypercomputer超級電腦架構，這是一個集結了涵蓋網路、儲存和運算晶片等各類效能最佳化硬體，搭配AI訓練和推論運算用的開放軟體，以及多種算力使用模式這三者組合而成的超級電腦架構。在這套架構中，可以整合GPU和Google自製晶片TPU，甚至包括了最新的TPU v5p，單一Pod叢集中可以組合最多達8,960顆TPU來運算。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-Google%20AI%20Hypercomputer(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／Google）</span></p> <p>Google更拿出了內部用來調度全球規模工作負載的Borg技術中的動態工作負載排程工具Dynamic Workload Scheduler，Kubernetes就是仿造Google內部Borg系統的設計，所打造出來的開源專案。Dynamic Workload Scheduler可以即時管理數百萬個ML運算任務，Google在2023年11月就公開了用Dynamic Workload Scheduler管理5萬顆TPU v5e，來執行LLM模型分散式訓練任務的實例論文。Google釋出了這個超級電腦架構，可供企業自行訓練LLM模型時的參考。</p> <p>不論是哪一家公雲，大抵都可以分為GAI基礎架構、GAI工具鏈和GAI應用這三個層面來布局，不論哪一家都開始投入AI晶片、AI系統、軟硬體整合的研發，來強化自家的GAI算力基礎架構，來滿足自身，或大型企業訓練LLM的龐大算力需求，工具鏈則出現了專用GAI開發工具，甚至是免程式碼的GAI開發工具，來加速或降低GAI的開發門檻。甚至，三大公雲的GAI開發工具，也相當注重與企業原有商用軟體、其他應用系統、現有資料源的整合，要讓企業更容易將GAI功能整合到自家系統中。</p> <p>三大公雲也開始推出不同種類的企業級GAI助理，從兩大巨頭力推的辦公室通用型AI助手，也有資安、雲端架構等專門技術領域的AI助手，或是用於特定用途的AI助手，例如Java升級轉換AI助手，這都反映出，GAI助理將會越來越深入企業日常的工作中。</p> <p>雖然，企業級AI助理的安全考量和規範，遠高於個人使用的GPTs。隨著GPTs商店數百萬款客製化AI助理的出現，2024從年初就吹起了一股人人都能自製GAI的浪潮。三大公雲巨頭的提前布局，提供了更多GAI工具和技術框架可選，將更有助企業勇於嘗試更多的GAI應用。</p> <p><a href="https://www.ithome.com.tw/article/161033" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1166-feng_mian_p1-open-san_da_gong_yun_aizhan_lue_-960x420_kao_bei_0.jpg?itok=pgBEQ3cU" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/1/26 23:41作者王宏仁https://www.ithome.com.tw/news/161032
【資安日報】1月26日，中國駭客組織鎖定當地知名應用程式進行軟體供應鏈攻擊並部署間諜程式Nspx30
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對軟體供應鏈發動攻擊，從而對其使用者下手的情況，最近幾年最為重大的事故莫過於SolarWinds的供應鏈攻擊，去年<a href="https://www.ithome.com.tw/news/159568">美國證券交易委員會（SEC）指控</a>，該公司長期忽略內部安全風險而釀禍，並對其提告。</p> <p>但一般用戶使用的應用程式，也有可能遭遇類似的攻擊。現在有研究人員揭露一起軟體供應鏈攻擊，駭客的目標是中國IT業者提供的即時通訊軟體、辦公室軟體、輸入法用戶，且已有企業組織受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.welivesecurity.com/en/eset-research/nspx30-sophisticated-aitm-enabled-implant-evolving-since-2005/"><strong style="font-size: 22px;">中國駭客組織Blackwood發動軟體供應鏈攻擊，針對中國、日本、英國散布Nspx30間諜程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-12-execution-chain-initiated-by-the-dropper-dll.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-12-execution-chain-initiated-by-the-dropper-dll.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織Blackwood的供應鏈攻擊行動，駭客鎖定騰訊QQ、WPS Office、搜狗拼音等中國知名應用程式的更新機制下手，透過對手中間人攻擊（AiTM）的手法，部署名為Nspx30的間諜程式，且已有中國製造及貿易業者、日本工程及製造業者受害，同時該組織也對中國、日本、英國的使用者發動攻擊。</p> <p>此惡意程式內含多種類型元件，包含惡意程式植入工具（Dropper）、安裝工具、載入工具、流程自動化程式（Orchestrator）、後門程式等。研究人員指出，一旦駭客在上述的軟體更新伺服器植入Nspx30，使用者在執行應用程式更新的過程裡，若是使用未加密的HTTP通訊協定，電腦就有可能下載該惡意程式，並部署植入工具的DLL程式庫檔案，從而在受害電腦執行瑞星防毒軟體的主程式RsStub.exe，並以DLL側載的方式啟動comx3.dll，然後執行流程自動化程式，從百度搜尋引擎下載後門程式msfmtkl.dat。</p> <p>值得留意的是，駭客將Nspx30列入多款中國防毒軟體白名單，使其攻擊行動更難被察覺。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/kasseika-ransomware-deploys-byovd-attacks-abuses-psexec-and-expl.html"><strong style="font-size: 22px;">勒索軟體Kasseika濫用防毒軟體停用相關防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kasseiaka-fig1-infectionchain.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kasseiaka-fig1-infectionchain.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露名為Kasseika的勒索軟體，駭客為了能讓加密檔案流程順利，採取自帶驅動程式（BYOVD）手法，濫用義大利防毒軟體TG Soft Virt.IT的元件來停止相關的端點防護運作。</p> <p>研究人員看到攻擊者透過網路釣魚的方式取得初期入侵的管道，並從其中1名員工的帳號收集帳密資料，接著利用遠端管理工具PsExec取得特殊權限，並在目標組織的內部網路橫向移動。</p> <p>而對於駭客執行勒索軟體的過程，研究人員指出，駭客透過批次檔來載入惡意程式，但在執行之前會先檢查是否存在名為Martini.exe的處理程序，假若發現電腦安裝了Virt.IT，就會終止相關處理程序，然後再執行駭客自帶、含有弱點的Martini.exe、Martini.sys，並掃描目標電腦所有處理程序，終止至少991種防毒軟體、系統安全工具、分析工具、公用程式的處理程序。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.jenkins.io/security/advisory/2024-01-24/"><strong style="font-size: 22px;">持續整合工具Jenkins存在嚴重弱點，有可能被用於遠端執行程式碼</strong></a></p> <p>1月24日持續整合工具Jenkins開發團隊發布資安公告，修補12個Jenkins主程式及外掛程式漏洞，其中最值得留意的，是評為重大層級（尚未提供CVSS分數）的CVE-2024-23897，此為命令列介面（CLI）的任意檔案讀取漏洞。</p> <p>此漏洞發生的原因是該系統在處理CLI命令的過程中，採用名為args4j的程式庫解析Jenkins控制器的功能函數及選項，該程式庫提供以@字元來讀取指定檔案的路徑，此功能在Jenkins預設為啟用，攻擊者有機會利用這項特性在Jenkins控制器的檔案系統上讀取任意檔案，即使沒有取得相關權限，也能夠讀取檔案部分內容。</p> <p>開發團隊指出，這項弱點還有可能被用於進行其他攻擊，像是透過「記得我」的cookie、跨網站指令碼（XSS）攻擊、繞過跨網站偽造請求（CSRF）防護機制等方式，進行遠端執行任意程式碼（RCE）攻擊，或者，攻擊者能夠刪除Jenkins任意項目，或是解密存放的帳密資料。</p> <p><a href="https://twitter.com/Shadowserver/status/1750115947430416434"><strong style="font-size: 22px;">逾5,300臺GitLab伺服器曝露於零點擊帳號挾持風險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GEmpJotWoAAZSII.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GEmpJotWoAAZSII.jpg" style="width: 300px; float: right;" /></a>程式碼儲存庫GitLab針對社群版（CE）及企業版（EE），於1月11日修補CVSS風險評分達10分的重大漏洞CVE-2023-7028，攻擊者一旦利用這項漏洞，就有可能進行帳號劫持，過程中無需使用者互動，如今傳出仍有不少伺服器尚未修補的情況。</p> <p>Shadowserver基金會兩週後提出警告，根據他們的威脅情報系統偵測，至少有5,379臺GitLab存在這項弱點，其中有964臺位於美國，其次是德國、俄羅斯、中國、法國，分別有730、721、503、298臺。</p> <p><a href="https://www.varonis.com/blog/outlook-vulnerability-new-ways-to-leak-ntlm-hashes"><strong style="font-size: 22px;">微軟收信軟體Outlook存在漏洞，可被用於發動NTLM攻擊</strong></a></p> <p>資安業者Varonis揭露他們向微軟通報的收信軟體Outlook漏洞CVE-2023-35636（CVSS風險評分為6.5），並指出攻擊者有機會藉由Outlook、Windows Performance Analyzer（WPA）、檔案總管等3種管道來觸發漏洞，從而存取NTLM的雜湊密碼，得逞後便能嘗試離線進行暴力破解攻擊，或是身分驗證中繼攻擊，從而入侵特定的帳號。</p> <p>此漏洞存在於Outlook的行事曆共享功能，可在電子郵件加入2個標頭，從而在其導向共享內容並連線特定電腦，但在這過程研究人員發現能夠攔截NTLM雜湊密碼的機會。攻擊者可向目標發送電子郵件邀請，將ICS檔案的路徑指向自己的電腦，然後藉由監聽網域、IP位址、資料夾路徑等資訊，就有機會獲得嘗試進行連線的封包，當中包含了相關的密碼雜湊值。</p> <p>一旦收信人點選郵件裡的「開啟和顯示iCalendar檔案的內容」，電腦就會從攻擊者端試圖接收組態資料，從而在身分驗證流程曝露NTLM雜湊密碼。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program/"><strong><span style="font-size: 20px;">惡意流量引導系統VexTrio被用於針對逾7萬個網域發動攻擊</span></strong></a></p> <p><a href="https://blog-en.itochuci.co.jp/entry/2024/01/24/134100"><strong><span style="font-size: 20px;">鎖定日本而來的後門程式Lodeinfo，開始擴大範圍對英文用戶下手</span></strong></a></p> <p><strong><a href="https://www.securityweek.com/firefox-122-patches-15-vulnerabilities/"><span style="font-size: 20px;">Mozilla基金會發布Firefox 122，修補5個高風險漏洞</span></a></strong></p> <p><strong><span style="font-size: 20px;">Google推出Chrome 121<a href="https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_23.html">電腦版</a>、<a href="https://chromereleases.googleblog.com/2024/01/chrome-for-android-update_0750350412.html">行動裝置版本</a>，修補3個高風險漏洞</span></strong></p> <p><a href="https://www.ncsc.gov.uk/news/global-ransomware-threat-expected-to-rise-with-ai"><strong><span style="font-size: 20px;">英國警告人工智慧在未來2年恐讓勒索軟體威脅加劇</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161014"><strong>【1月25日】HPE證實遭遇俄羅駭客組織APT29入侵Microsoft 365郵件系統環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161004"><strong>【1月24日】北韓駭客ScarCruft假借提供威脅情報並鎖定資安研究人員規畫攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160965"><strong>【1月23日】勒索軟體駭客組織LockBit聲稱入侵速食連鎖業者Subway</strong></a></p> </div></div></div>
2024/1/26 15:22作者周峻佑https://www.ithome.com.tw/news/161034
《數位市場法》迫使蘋果正式於歐盟開放第三方市集與外部支付，3月上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟用來規範科技巨頭的《數位市場法》（Digital Markets Act，DMA）在去年5月正式實施，並要求業者必須在今年3月以前遵循，<a href="https://www.apple.com/newsroom/2024/01/apple-announces-changes-to-ios-safari-and-the-app-store-in-the-european-union/" target="_blank">蘋果周四（1/25）即公布</a>了因應該法令而作出的改變，包括將開放第三方程式市集、第三方瀏覽器引擎、第三方支付機制，亦將替這些改變部署新的安全措施，此一變更主要針對27個歐盟國家，開發者即日起可透過iOS 17.4測試版試用相關功能，新政策將隨著iOS 17.4正式版於3月上線正式登場。</p> <p>DMA針對提供重要網路服務的平臺履行更多的責任與義務，以讓歐盟企業可以存取更公平的商業環境，現階段已確定有6大業者的22項服務受到DMA的規範，涵蓋Alphabet、Amazon、蘋果、Meta、微軟與字節跳動。</p> <p>因此，蘋果針對歐盟開發者提供了新的商業條款，對於不想改變現狀的開發者而言，可以維持既有的條款，若要使用本周發布的新功能，即必須採用新的歐盟商業條款。</p> <p><span style="font-size:28px;"><strong>釋出新架構與API以支援第三方程式市集</strong></span></p> <p>當中最受矚目的莫過於開放第三方程式市集。相較於全球至少有數十個Android程式市集，迄今全球只有一個iOS程式市集，亦即由蘋果所開發的App Store，過去蘋果不斷強調只有這樣才能確保程式與用戶的安全性，但被視為數位版反托拉斯法令的DMA，迫使蘋果必須開放其它程式市集與之競爭。</p> <p>自iOS 17.4開始，使用者將可從App Store以外的市集下載iOS程式。這些第三方程式市集將可用來下載及安裝iOS程式，存取程式資料，管理使用者的程式購買與訂閱，但只能從市集開發者的網站安裝，意謂著蘋果並不打算在App Store上提供競爭對手的市集程式。</p> <p>打算推出市集的開發者必須取得蘋果的授權，且第三方市集的程式同樣必須通過公證程序，包括自動及人為檢查，並提供程式安裝表單，包括開發者名稱、螢幕截圖與其它基本資訊等。蘋果要求這些第三方市集也應擔負替使用者把關的責任，除了內容規則及審核流程之外，亦需具備反詐欺、透明的資料蒐集政策，以及管理支付爭議與退款等能力。</p> <p>此外，蘋果也將提供額外的惡意程式保護措施，一旦發現已安裝的程式含有惡意程式，iOS就會阻止該程式啟動。</p> <p><span style="font-size:28px;"><strong>採用更開放的瀏覽器策略</strong></span></p> <p>雖然蘋果的Safari現為iOS的預設瀏覽器，但目前蘋果已允許使用者將第三方瀏覽器設為預設值，為了因應DMA，自 iOS 17.4 開始，當歐盟用戶第一次開啟Safari時，將會出現新的選擇螢幕，允許使用者直接選擇預設瀏覽器，目前蘋果尚未公布瀏覽器選項。</p> <p>此外，現階段支援iOS的各種瀏覽器，或者是程式中的瀏覽功能，都只能使用蘋果所開發的WebKit瀏覽器引擎，而讓各家瀏覽器的功能在該平臺上大受限制。未來蘋果將開放相關程式使用其它的瀏覽器引擎，但仍要求它們必須符合特定標準及安全要求。</p> <p><span style="font-size:28px;"><strong>開放第三方支付</strong></span></p> <p>新的政策將允許開發者於程式中直接使用第三方支付服務，也允許開發者於程式中提供連結以連至外部網頁完成交易，並移除不得於該連結中提供產品促銷活動或折扣的說明限制。</p> <p>而原本只有 Apple Pay 與Apple Wallet等蘋果官方程式，才能使用的NFC支付功能，現在也開放第三方程式使用，可望擴大蘋果裝置的支付能力與應用。</p> <p>不過，為了保障使用者的安全，蘋果會在使用者所下載的程式採用第三方支付時跳出通知，也會針對這些程式採用新的審核流程，確保開發者真實地傳達了正確的交易資訊。蘋果也提醒，該公司無法針對那些基於第三方支付的交易負責，例如退款。</p> <p><span style="font-size:28px;"><strong>調降程式佣金</strong></span></p> <p>歐盟的開發者也將享有更低的佣金比例。針對那些小型企業，蘋果原本的抽佣為15%，但在歐盟則調降至10%；而數位商品及服務的交易佣金原本是30%，在歐盟也調降至17%。</p> <p>不過，上述佣金並未包含支付處理費用，若要使用蘋果的支付功能，則必須額外支付3%。</p> <p>針對歐盟的開發者，蘋果新增了一項費用，稱為核心技術費用（<a href="https://developer.apple.com/support/core-technology-fee/" target="_blank">Core Technology Fee</a>），只針對那些首年安裝數量超過100萬次的程式，每超過1 次就必須支付0.5歐元予蘋果，但程式市集的開發者並無100萬次的免費額度優惠，每次的裝置安裝都必須支付核心技術費用予蘋果。</p> <p>蘋果於<a href="https://developer.apple.com/support/dma-and-apps-in-the-eu/#ios-app-eu" target="_blank">開發者支援頁面</a>上詳細說明了針對歐盟市場的各項改變，開發者亦可透過<a href="https://developer.apple.com/support/fee-calculator-for-apps-in-the-eu/" target="_blank">蘋果所提供的估算服務</a>來計算基於不同條款所產生的費用。</p> </div></div></div>
2024/1/26 15:26作者陳曉莉https://www.ithome.com.tw/news/161035
2024是GAI應用爆發年
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>短短2個多月，從去年11月OpenAI宣布將推出GPT商店到今年1月初正式上線，就出現了超過3百萬款各式各樣的GPTs。只用了2月，這個平臺的GAI應用數量，就超過了2百萬款應用和遊戲的蘋果App Store，或是破250萬款應用的Google Play商店，成了全球最大的應用市集，這也宣告了2024年，將是GAI應用大爆發的一年。</p> <p>2023年，在ChatGPT爆紅之後，掀起了一波生成式AI技術的大競賽，OpenAI和微軟雖然領先，但是其他科技巨頭，尤其是Google和AWS都奮力直追，紛紛推出了不同類型的生成式AI技術和產品。</p> <p>這三大公雲巨頭都看準了2024年的GAI應用爆發浪潮，相繼發表了自家的GAI戰略以及技術發展架構，要提供一套涵蓋GAI應用開發生命周期的工具鏈，也要快速建置夠完整的生態圈。</p> <p>雖然各有擅長和專精，但三大公雲不約而同地，都將GAI戰略分為三個層次，GAI基礎架構、GAI工具鏈和GAI應用。只是各家再依據原有優勢和擅長，各有不同的產品戰略目標和焦點。</p> <p>領先一步的微軟，在基礎架構面想要將Azure變成一套世界電腦，甚至開始自行設計AI晶片，打造AI專用系統，要從軟硬整合來提升GAI基礎架構的算力。工具鏈則聚焦Copilot應用的開發，一方面整合自己在開發工具的優勢，另一方面則要能將GAI應用快速整合到各種主流商用軟體中。在應用面則兵分兩路，一方面要整合龐大的GPTs商店生態圈，另一方面要用Copilot整合自家的M365生態圈，借助兩大生態圈，來擴大在GAI應用中的領先地位。</p> <p>而早在2015年就開始自己設計AI晶片，推出第一代TPU的Google，在GAI基礎架構已有紮實的基礎，也有整套針對原有AI技術的AI開發工具，也在2023年8月Next大會上，揭露了三大AI新戰略，要從AI建置、AI運用和AI生態圈三面向，來卡位GAI浪潮。但是，Google在LLM模型商品化的腳步，慢了一點，直到2023年12月才發表了Gemini，補齊了GAI工具鏈的關鍵一環，並強化了Vertex AI平臺的模型開發到部署的功能，甚至推出了網頁版AI開發工具。在應用面，Google一方面要用Duet AI來整合辦公室套件Workspace生態圈，另一方面，未來要將微型Gemini模型部署到手機上，成為Android生態圈的核心引擎，來善用這兩大生態圈的優勢。</p> <p>至於AWS的GAI戰略則與上述兩大公雲巨頭，不盡相同。AWS沒有要靠一個主打的LLM來帶頭，而是要想辦法讓企業運用各式各樣的LLM。</p> <p>AWS在GAI基礎架構布局上，如同其他兩家，一方面與Nvidia結盟，提供最新款GPU的實例產品外，也以十年晶片設計經驗，推出多種不同用途的自製晶片來強化自家算力能力，包括推出了第二代AI訓練加速晶片。在工具鏈上，AWS更在2023年4月推出了雲端的GAI專用開發工具Bedrock和自家第一款LLM模型Titan。Bedrock最大特色是，盡可能提供更多款LLM模型讓企業選擇，再透過同一套開發流程和安全與隱私控管機制，來打造不同的GAI應用。Bedrock更推出了代理人應用的開發方法，可以快速打造出整合不同服務、不同資料源的特定用途GAI應用。</p> <p>在應用面，AWS專門鎖定工作場景的GAI應用，而沒有要通吃各種GAI需求。特別是在去年12月底發表了商務型AI助手Amazon Q，專門鎖定企業工作環境的需求，不同商務應用場景的AI助手，聚焦兩大類商務GAI應用領域，一是開發與AWS建置有關的AI助手，另一類AI助手是專門用於處理企業常用軟體和服務的資料。</p> <p>不管是哪一朵公雲，從各自的AI戰略來看，都是瞄準了2024年的GAI應用大爆發的開發需求，這也意味著，GAI應用不會只有300萬款GPTs，還會有更多企業，使用不同類型的GAI工具，打造出功能更複雜、用途也更聚焦的GAI應用。2024年將是GAI應用大爆發的一年。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gai">GAI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/google">google</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/aws">AWS</a></div></div></div>
2024/1/26 12:22作者王宏仁https://www.ithome.com.tw/voice/161028
Starlink衛星手機網路競爭者獲Google、AT&T、Vodafone投資3億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家提供5G等級的衛星行動網路業者AST SpaceMobile，本周宣布獲得Google、AT&T、Vodafone超過3億美元投資。</p> <p>AST SpaceMobile和SpaceX旗下的Starlink一樣，都提供衛星與手機直連網路服務，但前者強調是第一個，也是現今唯一一個提供太空5G行動寬頻網路的服務。上周AST SpaceMobile宣布獲得AT&T、Google及Vodafone 3.07億美元投資，並取得部分股權。</p> <p>其中Google並宣布將和AST SpaceMobile合作產品開發、測試及實作在Android及相關裝置上的5G衛星網路。AT&T及Vodafone將把AST公司的衛星網路服務當作其蜂巢式網路的互補，以解決其服務無法涵蓋偏遠地區或遠洋的問題。</p> <p>透過這次投資Google、AT&T將成為AST公司的最新股東。現有法人股東包括Vodafone、Rakuten、American Tower及Bell Canada。這些法人股東將持有AST公司的20%股權。</p> <p>AST衛星行動網路號稱可支援未經修改的智慧型手機，在不需地面基站情況下連結低軌衛星。除了AT&T、Vodafone及Bell Canada外，該公司還與40多家行動網路營運商合作，總計手機用戶超過20億。</p> <p><a href="https://www.theverge.com/2023/9/19/23879527/att-cellular-satellite-ast-spacemobile-5g" target="_blank">去年9月AST已經成功測試</a>利用三星智慧手機Galaxy S22，由位於西班牙馬德里的用戶收取從夏威夷毛伊島無網路區，經衛星傳送來的語音電話。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0125-AST%20SpaceMobile-5.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AST SpaceMobile</span></span></p> <p>AST的競爭者SpaceX也正在積極部署衛星直連手機的Starlink Direct to Cell連網服務。SpaceX本月稍早宣布已成功測試手機文字訊息收發，<a href="https://www.ithome.com.tw/news/160849" target="_blank">計畫今年內推出文字訊息</a>，並在明年推出衛星語音、數據服務。現階段SpaceX將與T-Mobile展開Direct to Cell服務。</p> </div></div></div>
2024/1/25 11:50作者林妍溱https://www.ithome.com.tw/news/161013
【資安日報】1月24日，北韓駭客ScarCruft假借提供威脅情報並鎖定資安研究人員規畫攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安從業人員被駭客盯上的情況，過往傳出數起網路釣魚攻擊行動，但大致上可分成2種型態的誘餌，其中一種是針對想要求職、爭取工作的求職者而來，假借提供相關職缺引誘他們上當；另一種則是宣稱要共同進行資安研究，提供概念性驗證程式碼（PoC），對研究人員散布惡意程式。</p> <p>而最近北韓駭客ScarCruft的攻擊行動引起資安廠商注意，原因是這些駭客另有目的，打算針對資安人員規畫新一波攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://s1.ai/ScarFut"><strong style="font-size: 22px;">北韓駭客ScarCruft假借資安研究的名義，企圖對業界專家散布後門程式RokRAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ScarCruft_Future_9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ScarCruft_Future_9.jpg" style="width: 300px; float: right;" /></a>資安業者SentinelOne與專門聚焦於北韓事務的媒體NK News聯手，長期追蹤針對韓國學術界的北韓事務專家、專門報導北韓新聞的媒體而來的攻擊行動，他們發現駭客最近2個月鎖定1名人士下手，根據攻擊者所用的惡意程式及攻擊手法，研判他們的身分是北韓駭客組織ScarCruft（亦稱APT37、InkySquid）。</p> <p>但在分析惡意程式之後，研究人員發現駭客竟然是在進行測試，真正的攻擊目標，很有可能是研究人員及資安業界的相關專業人士，因為這些駭客以提供另一個駭客組織Kimsuky的調查資料做為誘餌，意圖散布後門程式RokRAT。</p> <p>駭客先是冒充東國大學的北韓研究所（Institute for North Korean Studies，INKS）成員寄送釣魚郵件，當中包含ZIP壓縮檔附件，內含9個檔案，其中有7個是無害的Hangul Word Processor（HWP）及PowerPoint文件，其餘則是惡意的Windows捷徑檔案（LNK），這些LNK檔案大小高達48 MB，一旦收信人依照指示開啟，就有可能觸發一系列的感染鏈，執行PowerShell程式碼於受害電腦植入RokRAT。</p> <p><a href="https://cybernews.com/security/billions-passwords-credentials-leaked-mother-of-all-breaches/"><strong style="font-size: 22px;">史上最大的「資料外洩之母」資料庫曝露260億筆記錄</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/moab-brand-leaks.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moab-brand-leaks.jpg" style="width: 300px; float: right;" /></a>資安新聞網站Cybernews、研究人員Bob Dyachenko揭露大型外洩資料庫「資料外洩之母（Mother of all Breaches，MOAB）」，檔案大小為12 TB，總共包含3,800個資料夾、260億筆資料，研究人員從1臺公開的伺服器找到上述資料庫，並根據使用者帳號類型進行彙整與分析，他們發現這些資料包含騰訊、微博、MySpace、X（原推特）等許多雲端服務的帳號資料，而資料超過1億筆的業者就多達20家。</p> <p>其中最多的是騰訊，總共約有15億筆，其次是微博的5億筆，MySpace、X則有3.6億、2.8億筆。除了各式的雲端服務帳號，研究人員也發現內含美國、巴西、德國、菲律賓、土耳其等國家的政府組織資料。</p> <p>這些資料的規模龐大，很有可能來自逾3,800起資安事故收集而得，遠超過Cybernews外洩資料庫統整的2,500起資安事故、150億筆記錄，研究人員推測，MOAB當中很有可能存在過往尚未公布的外洩個資。</p> <p><a href="https://securityaffairs.com/157951/cyber-crime/black-basta-gang-claims-the-hack-of-the-uk-water-utility-southern-water.html"><strong style="font-size: 22px;">英國水資源處理業者Southern Water傳出遭勒索軟體Black Basta攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/southern-water-40.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/southern-water-40.png" style="width: 300px; float: right;" /></a>勒索軟體Black Basta近期聲稱入侵英國水資源處理業者Southern Water，竊得750 GB內部資料，當中包含使用者個人資料及公司內部資料，駭客揚言該公司如果置之不理，將於2月29日外洩這些檔案。</p> <p>對此，1月23日Southern Water發布公告，指出他們確實察覺可疑活動，並得知有部分資料遭到公布的情況，但根據他們與資安專家的調查結果，與客戶有關的系統或財務系統並未出現受到影響的跡象，本身的服務正常運作。</p> <p><a href="https://thehackernews.com/2024/01/hackers-hijack-popular-java-and-android.html"><strong style="font-size: 22px;">加密貨幣錢包Trezor技術支援網站遭駭，6.6萬用戶資料外洩</strong></a></p> <p>1月20日加密貨幣錢包設備供應商Trezor發布公告，指出他們在17日發現有人在未經授權的情況下，入侵該公司所使用的客戶支援入口網站，他們與第三方服務供應商聯手調查這起事故的影響範圍，研判2021年12月之後使用他們支援系統的客戶，都可能受到影響，人數達到6.6萬名，外流的資料包括電子郵件、姓名或暱稱。</p> <p>該公司在調查過程當中，得知駭客透過電子郵件對其中41名使用者下手，意圖取得以24個單字組成的通關密語，盜取他們的加密貨幣錢包。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta866-returns-large-email-campaign"><strong style="font-size: 22px;">駭客組織TA866發動發票網釣攻擊，散布惡意軟體WasabiSeed、Screenshotter</strong></a></p> <p>資安業者Proofpoint揭露發生在1月11日的大規模網路釣魚攻擊行動，這些釣魚郵件以發票為誘餌，並挾帶PDF檔案附件，這些檔案內含連往雲端檔案共用服務OneDrive的URL網址，一旦收信人點選連結，就會啟動感染鏈，最終導致電腦被植入惡意軟體WasabiSeed、Screenshotter。</p> <p>研究人員指出，這起資安事故的攻擊者是TA866，對方上傳到OneDrive的惡意內容是JavaScript檔案，一旦使用者開啟，電腦就會下載MSI安裝檔案並執行，就會觸發預先嵌入的VBS指令碼，研究人員將其稱為WasabiSeed；該指令碼會下載另一個MSI檔案，從而拉取額外、未知的惡意酬載，並執行名為Screenshotter的元件，截取桌面的截圖並送至C2。</p> <p>至於駭客的目的，研究人員表示不清楚，但他們過去使用這些方式在受害電腦部署AHK機器人、竊資軟體Rhadamanthys，而且並非首度使用上述惡意軟體，2023年2月就曾發起攻擊行動。</p> <p><a href="https://thehackernews.com/2024/01/hackers-hijack-popular-java-and-android.html"><strong style="font-size: 22px;">研究人員揭露MavenGate攻擊手法，有可能透過已廢棄的程式庫挾持Java及安卓應用程式</strong></a></p> <p>行動裝置資安業者Oversecured揭露名為MavenGate的軟體供應鏈攻擊手法，能對已不再維護但Java、Android軟體仍在使用的程式庫下手，攻擊者可透過購買網域的方式，來達到存取此種類型的程式庫專案的目的，從而有機會透過相依元件的需求，將惡意程式碼注入應用程式，甚至有可能透過惡意外掛程式來危害整個應用程式開發流程。</p> <p>此攻擊手法涉及Apache基金會維護的專案管理及自動化建構工具Maven，但研究人員指出，所有以此工具為基礎的系統，例如Gradle，都有可能曝露於上述攻擊手法的風險當中，對此，他們已向Google、Meta、Signal、Amazon等超過200家通報此事。具體而言，攻擊者利用購買相依元件開發者原本擁有、但超過使用期限的反向網域（reversed domain），從而存取groupId，並透過程式碼儲存庫的DNS TXT紀錄，對已不再維護的儲存庫宣告所有權，最終能將其用來發布惡意套件。</p> <p>研究人員指出，由於大部分的Java、安卓應用程式不會檢查相依元件的數位簽章，且這類元件也未必會進行簽署，使得這種攻擊有機會奏效，他們分析了33,938個專案，結果發現有6,170個有可能曝險。對此，經營Maven Central的資安業者Sonatype認為，這種手法因自動化的開發流程改良而難以利用，但他們還是採取防護措施，針對與過期網域名稱與GitHub專案有關的帳號，他們已經停用。</p> <p>資料來源</p> <p>1. <a href="https://blog.oversecured.com/Introducing-MavenGate-a-supply-chain-attack-method-for-Java-and-Android-applications/">https://blog.oversecured.com/Introducing-MavenGate-a-supply-chain-attack-method-for-Java-and-Android-applications/</a><br /> 2. <a href="https://www.sonatype.com/sonatypes-ongoing-commitment-to-maven-central">https://www.sonatype.com/sonatypes-ongoing-commitment-to-maven-central</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.vmware.com/security/advisories/VMSA-2024-0001.html"><strong style="font-size: 22px;">VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞</strong></a></p> <p>1月16日VMware發布資安公告，指出雲端基礎架構自動化平臺Aria Automation存在重大漏洞CVE-2023-34063，這項弱點發生的原因是缺乏存取控制造成，通過身分驗證的攻擊者有機會用於在遠端組織及工作流程當中，進行未經授權的存取，CVSS風險評分為9.9，而且從8.11至8.14的所有版本都受到影響。該公司發布修補程式，並指出沒有其他緩解措施，呼籲IT人員儘速修補。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.cloudflare.com/ddos-threat-report-2023-q4/"><strong><span style="font-size: 20px;">鎖定環境服務業的DDoS攻擊2023年爆增近620倍</span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/kasseika-ransomware-deploys-byovd-attacks-abuses-psexec-and-expl.html"><strong><span style="font-size: 20px;">勒索軟體Kasseika濫用防毒軟體元件停用電腦相關防護機制</span></strong></a></p> <p><strong><a href="https://www.varonis.com/blog/outlook-vulnerability-new-ways-to-leak-ntlm-hashes"><span style="font-size: 20px;">微軟收信軟體Outlook存在漏洞，可被用於發動NTLM攻擊</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-fortra-goanywhere-mft-auth-bypass-bug/"><strong><span style="font-size: 20px;">MFT檔案傳輸系統GoAnywhere存在身分驗證繞過漏洞，研究人員公布概念性驗證程式碼</span></strong></a></p> <p><a href="https://asec.ahnlab.com/en/60270/"><strong><span style="font-size: 20px;">木馬程式Remcos RAT假借色情電玩遊戲散布</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160965"><strong>【1月23日】勒索軟體駭客組織LockBit聲稱入侵速食連鎖業者Subway</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160941"><strong>【1月22日】微軟坦承遭到俄羅斯駭客組織入侵並挖掘高階主管電子郵件的內容</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160924"><strong>【1月19日】針對安卓電視盒的大規模殭屍網路攻擊也鎖定智慧電視下手</strong></a></p> </div></div></div>
2024/1/24 15:40作者周峻佑https://www.ithome.com.tw/news/161004
Android版Chrome開始支援WebGPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在<a href="https://developer.chrome.com/blog/new-in-webgpu-121?hl=en#use_dxc_instead_of_fxc_for_shader_compilation_on_windows">Chrome 121加入一系列WebGPU更新</a>，重點包括Android裝置Chrome開始支援WebGPU，以執行高效能圖形和運算應用程式，並且在Windows使用DXC代替FXC進行著色器編譯，以提高編譯效能，同時還支援Display-p3顏色空間，讓WebGPU能夠呈現更飽和明亮的顏色，使圖像和影片視覺更生動真實。</p> <p>WebGPU是一種現代化網路圖形和運算介面，目的是要提供比WebGL更強大的繪圖運算能力，使開發者能夠創建更豐富且動態的網路應用。WebGPU的特性在於提供更低階的硬體API，使得開發者可以完全利用GPU的能力，支援新興繪圖技術，具有跨平臺與可移植性的優勢，不同設備和瀏覽器可具有一致的行為。WebGPU API被設計得更安全，避免老舊WebGL所存在的安全風險。</p> <p>Chrome團隊宣布在Android 12及更高版本，採用Qualcomm和Arm GPU的裝置上，Chrome 121現在預設啟用WebGPU，這預計將覆蓋大約一半能夠支援WebGPU的Android裝置。對於其他的作業系統版本和GPU的支援，<a href="https://bugs.chromium.org/p/chromium/issues/detail?id=1497815">官方提到</a>，WebGPU的支援將擴展到更廣泛的Android裝置上，包括會向下相容至Android 11裝置。官方會經過進一步的測試和最佳化，確保在更廣泛的硬體配置上提供順暢的體驗。</p> <p>過去WebGPU在Windows上仰賴FXC（FX Compiler）進行著色器編譯，雖然功能齊全，但是FXC缺乏DXC（DirectX Compiler）擁有的功能集和效能最佳化，因此Google現在於Windows上，在支援Direct3D 12和Shader Model 6或更高版本的圖形硬體裝置上，Chrome使用DXC編譯著色器。經官方測試，與FXC相比，使用DXC編譯著色器速度平均提升20％。</p> <p>開發者在Chrome中執行的WebGPU應用程式，現在也可以利用時間戳記查詢功能，來精確測量GPU命令在計算和渲染過程執行需要的時間，這在分析GPU工作負載的效能和行為時很有用。由於擔心時序攻擊（Timing Attack）的問題，時間戳查詢量化為100微秒的解析度，在精度和安全性間提供良好的權衡。</p> <p>另外，WebGPU現在支援在匯入HDR影片時配置Display-p3顏色空間，由於Display-p3顏色空間較傳統sRGB色域更廣，有助於更準確地呈現高動態範圍內容。</p> </div></div></div>
2024/1/23 08:29作者李建興https://www.ithome.com.tw/news/160960
Notion Labs發表免費行事曆程式Notion Calendar
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Notion Labs在2022年收購了Cron行事曆之後，<a href="https://www.notion.so/help/guides/getting-started-with-notion-calendar" target="_blank">於本周推出了基於Cron的Notion Calendar</a>，此為免費且獨立的行事曆工具，現已支援Windows、macOS及iOS平臺，亦計畫支援Android。</p> <p>這是Notion Labs繼自行開發的任務管理暨專案追蹤程式Notion、網頁儲存程式Notion Web Clipper之後，所推出的第三款程式。</p> <p>儘管市面上已經有許多行事曆程式，<a href="https://www.notion.so/blog/introducing-notion-calendar" target="_blank">但負責Notion Calendar的Raphael Schaad表</a>示，大多數的行事曆都與其它工具脫節，使得時間的管理與使用出現落差，例如會議與專案時間表分開，工作行事曆無法連結個人計畫，導致錯過最後期間或重複預訂，而Notion Calendar則可用來同時管理工作與個人的時間，最終目標是把時間帶進Notion程式的任務、專案或筆記，替使用者創造一個可同時管理所有事，並有效率分配所有時間的工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-Notion%20Calendar-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Notion Labs</span></span></p> <p>Notion Calendar與Cron一樣具備簡潔及有效率的介面，可與Google Calendar 同步，除了整合工作與個人計畫之外，允許使用者在不需要離開程式的情況下直接搜尋所有與會議相關的Notion文件，或是查看與管理資料庫項目，亦支援Zoom及Google Meet等其它工具。</p> <p>Schaad解釋，檢查即將參加的會議時間看起來可能無害，但其脈絡上的切換也許會危及生產力，因為人們最多需要23分鐘才能重新集中注意力。因此，Notion Calendar的宗旨即是促進專注，可直接從電腦上的工作列看到當天的行程並直接加入會議中；Notion Calendar亦內建一個調度工具，能與他人分享使用者的空閒時間。</p> </div></div></div>
2024/1/18 14:44作者陳曉莉https://www.ithome.com.tw/news/160905
三星Galaxy S24系列整合Google Gemini，支援7年軟體更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星電子（Samsung Electronics）周四（1/18）<a href="https://news.samsung.com/global/enter-the-new-era-of-mobile-ai-with-samsung-galaxy-s24-series" target="_blank">發表了Galaxy S24系列的智慧型手機</a>，涵蓋6.2吋的Galaxy S24、6.7吋的Galaxy S24+，以及6.8吋的Galaxy S24 Ultra，它們全都內建Google人工智慧（AI）技術Gemini Nano，也整合了Google Cloud上的Gemini Pro及Imagen 2 on Vertex AI等AI服務，該系列的發表圍繞著各種AI功能，三星也聲稱Galaxy S24系列開啟了行動AI的新時代。同時三星也跟上<a href="https://www.ithome.com.tw/news/159141" target="_blank">Google</a>的腳步，替此一系列的手機提供了長達7年的作業系統升級及安全更新。</p> <p>Galaxy S24系列皆搭載Qualcomm Snapdragon 8處理器，主要的差別在於螢幕、記憶體、儲存空間及相機能力等，最低階的Galaxy S24售價為800美元，Galaxy S24+為1,000美元，Galaxy S24 Ultra則是1,300美元。</p> <p>其實三星在自家的新聞稿上將Galaxy S24系列上的AI服務稱為Galaxy AI，企圖採用自己的AI品牌，但目前<a href="https://blog.google/products/android/google-ai-samsung-galaxy-s24/" target="_blank">該系列上的AI功能絕大多數來自Google</a>，涵蓋內建於裝置上的Gemini Nano，必須連至Google Cloud雲端使用的Gemini Pro與Vertex AI，同時也協助Google測試Gemini Ultra。<a href="https://www.ithome.com.tw/news/160193" target="_blank">Google Gemini為Google為了挑戰OpenAI所開發的多模態AI模型</a>，三星應為全球首家全面測試該模型的業者。</p> <p>Galaxy S24系列目前提供眾多的AI功能，例如手機上內建的通話程式支援即時翻譯（Live Translate），可在通話時即時提供雙向的語音與文字翻譯，完全不需安裝第三方程式；Interpreter則可透過分割畫面將即時語音聊天的內容轉成文字，還支援離線使用；Chat Assist可協助使用者改善訊息所使用的語氣；在車上時Android Auto能夠自動摘錄訊息並提出回應建議；Samsung Notes中的Note Assist可由AI來協助摘錄；亦可利用Transcript Assist來將錄音檔轉成文字或摘錄。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-Galaxy%20S24-Live%20Translate.png" style="width: 393px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-Galaxy%20S24-Transcript%20Assist.png" style="width: 389px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_三星</span></span></p> <p>在影像上的AI工具則有可協助編輯的Edit Suggestion；或是更進階、可用來移動物件或變更背景的Generative Edit；以及讓影片變成慢動作的Instant Slow-mo 。舉凡採用生成式AI的作品，畫面與元資料中都會出現浮水印。</p> <p>此外，Galaxy S24系列也支援Google剛發表的<a href="https://www.ithome.com.tw/news/160879" target="_blank">觸控搜尋能力Circle to Search</a>。</p> <p>Galaxy S24系列的使用者只要在手機上登入三星帳號，就能自動啟用所有的AI功能，亦允許使用者關閉於裝置上執行的AI功能，或是關閉必須連至雲端處理的AI功能。</p> <p>身為全球最大的Android裝置製造商，三星跟上了Google的腳步，宣布Galaxy S24系列將提供7年的作業系統更新，以及7年的安全更新，以延長裝置的安全使用壽命。</p> <p>三星已開放Galaxy S24系列的預購活動，預計於1月底出貨。</p> </div></div></div>
2024/1/18 12:59作者陳曉莉https://www.ithome.com.tw/news/160904
Google為Android推出Circle to Search，手指觸控就能搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>搜尋除了輸入或說出關鍵字、由聊天機器人代勞之外，<a href="https://blog.google/products/search/google-circle-to-search-android/" target="_blank">Google本周為Android新增</a>以觸控啟動Google搜尋的互動方式，讓用戶查詢資訊不必再切換視窗或App。</p> <p>在此之前，Google曾經提供過輸入文字以外的創新搜尋方法，像是語音輸入、哼出歌曲來搜尋歌名、或是開啟Google Lens對準物件查找。Google公布的最新方案為Circle to Search，讓用戶透過手勢觸控螢幕來啟動Google Search。</p> <p>雖然名為Circle to Search，這新功能其實允許用戶使用多種觸控方法，包括在螢幕上畫圈、突顯、手指塗鴉或點擊執行搜尋，而不必切換到搜尋頁面。例如若用戶看到一段影片展示服裝但沒有標出品牌，只要在Android手機上長按home鍵或頂端的網址頁啟動Circle to Search，然後以偏好的手勢搜尋，如圈選墨鏡找出網路上類似品項或售貨店家，也可以在包包圖像上畫兩下、或是在靴子上點擊進行搜尋。完成後只要滑動手指將搜尋結果關閉，就能回到剛剛所位置。</p> <p>Circle to Search也支援多模搜尋（multi-search）。Google Lens已經整合文字和圖片搜尋的能力，現在Google又為此功能加入AI強化。例如在看到炸熱狗圖片時，用戶可以用手指圈選並問道「為何它這麼受歡迎？」就能從網頁上搜尋到這東西的來源、作法、成分。或者用戶看到YouTube短影片的標題（如「thrift flipping」）不太明瞭時，只要將文字畫重點就能搜尋並了解，這是從舊貨店買衣服改造後再高價銷售的行為。查詢完資訊將之關閉就能繼續看影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0118-google-Circle%20to%20Search-600.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Circle to Search預定1月31日部署到特定頂級Android手機，包括Pixel 8、8 Pro，以及最新的三星Galaxy S24系列，涵括所有語言和地區用戶。</p> <p>在Galaxy S24上，今天的宣布也是Google和三星最新合作成果。本周三星宣布最新旗艦機種Galaxy S24將整合Google最新AI模型Gemini及圖像生成模型Imagen 2，為手機加入AI功能，如摘錄筆記或錄音重點、AI編輯圖片等。<a href="https://www.ithome.com.tw/news/160783" target="_blank">本周二公司還宣布</a>Google開發的鄰近手機檔案分享功能Nearby Share將合併三星打造的Quick Share功能。</p> </div></div></div>
2024/1/18 09:36作者林妍溱https://www.ithome.com.tw/news/160879