iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 05:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

政府IT韌性的關鍵一步
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年前，高雄興達電廠一起跳機事故，影響變電所後產生的連鎖效應，導致多地發電機組因保護機制而自動解除供電，全臺三分之一的電力瞬間消失，引發了全臺大停電，北、中、南多個縣市都出現了停電災情，影響高達549萬戶，有些地區停電不只是1、2小時，甚至超過了半天。</p> <p>這樣大規模的停電災情，對IT系統而言是最嚴峻的考驗，尤其是超過12小時的停電，許多備援電力系統，不見得有能力支持那麼久，唯一解法是切換到遠地備援資料中心來接手提供服務。但是，若像2年前這起興達電廠事故，甚至是921大地震，全臺各地都出現災情，IT系統根本無法在臺灣島內，找到穩定可接手的備援機房，那該怎麼辦？</p> <p>十年前，遇到這樣大規模的災情，IT真的是束手無策，但在2024年的此刻，跨國公雲架構和服務已經高度成熟，足以在緊急時刻成為關鍵的備援。</p> <p>不過，想要借助跨境公雲來備援，不是事故發生了臨時想切換就能做到，得有一番事前準備工作才行。你的IT系統得先有能力上雲，並且事先在雲端有一套完整的系統備份，才能在遇到緊急情況時啟用，不只如此，平時還得將地端系統的資料，定期同步到雲端，才能讓雲端的備援系統，接手提供同樣的服務和最新的資料。這正是未來4年，18套關鍵民生系統想要具備的能力。數位部聯手7個部會，4年累計投入13.4億元，要讓這些關鍵民生系統，可以支援境外公雲。</p> <p>現行政府部門的異地備援、備份機制，只能夠因應小規模的災難，像是颱風淹水、機房失火，可以改由30公里外的實體備援機房來接手，若是遇到了超大規模的災情，連備援機房都失效，就沒有辦法應變。</p> <p>數位部選了18套重要的民生相關系統，比如像內政部的戶役政系統、移民署的入出國查驗系統、財政部國稅與地稅系統、健保署的健保承保系統、經濟部的公司與工廠管理系統等，從兩大作法著手，展開這些關鍵系統的韌性大改造。一方面將這些系統的核心功能上雲，另一方面則是將新穎的資料備份到雲端。</p> <p>為了將核心功能系統上雲，今年這些民生相關系統的所屬部會，已經盤點出災害或緊急狀態需要的基本功能服務，準備開始利用雲原生架構，來開發輕量化的核心功能系統版本，可以用來部署至跨境的公有雲上。</p> <p>日後，一但發生了大規模災害或緊急狀態，境內資料中心遭到破壞，就能緊急切換到境外公雲上的核心功能系統來接手，繼續維持這些基本服務的運作。</p> <p>因為這些關鍵系統都是民眾天天都會用到的系統，每天都會有資料更新和異動。因此，政府也會將這些關鍵民生系統的新資料，盡快備份到雲端，透過境外公雲來保存。不過，政府不是直接將系統資料儲存到雲端，還得經過一番加密分持來備份。</p> <p>為了能夠確保在需要日後備援時，能順利重建系統、還原資料。政府機構還要建立一套流程和作法，定期演練雲、地系統的切換，來驗證這些資料雲端的備份和還原工作，以備不時之需。</p> <p>在這18套關鍵民生系統中，有不少系統是用了十多年的老系統，像是財政部稅務系統就是如此，正面臨了汰換的階段，財政資訊中心就考慮趁這個韌性改造的機會，將部分功能切分，優先改以雲原生架構開發，利用雲原生架構的彈性，來因應服務使用離尖峰的需求。</p> <p>對這些政府機關而言，這次關鍵民生系統的韌性大改造，也正是一趟推動IT架構現代化、學習雲原生技術的轉型過程。從中累積的經驗和能力，不只可以用於關鍵民生系統，還可以擴大運用到其他政府服務上。</p> <p>雖然只是18套關鍵民生系統的上雲改造，但卻是政府IT韌性的關鍵一步，更是政府數位轉型最重要的改造工程。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E9%83%A8">數位部</a></div><div class="field-item odd"><a href="/tags/%E9%97%9C%E9%8D%B5%E6%B0%91%E7%94%9F%E7%B3%BB%E7%B5%B1">關鍵民生系統</a></div><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div><div class="field-item odd"><a href="/tags/%E9%97%9C%E9%8D%B5%E6%B0%91%E7%94%9F%E7%B3%BB%E7%B5%B1%E9%9F%8C%E6%80%A7%E6%96%B9%E6%A1%88">關鍵民生系統韌性方案</a></div><div class="field-item even"><a href="/tags/%E5%82%99%E6%8F%B4">備援</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%82%99%E4%BB%BD">資料備份</a></div></div></div>
2024/3/28 11:56作者王宏仁https://www.ithome.com.tw/voice/162001
Container快報第158期：K8s年四月釋出今年第一更，OpenShift也推新4.15版，微軟和GitLab表…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/2/15～3/25 精選容器新聞</strong>：</p> <p><strong>許多款K8s產品釋出新版或準備推出新版。像是K8s預告今年4月將會釋出第一個更新版本，也就1.30版，有多項重要更新，像是容器自動擴充機制，使用者命名空間等。紅帽容器管理平臺OpenShfit也釋出4.15新版，Rancher Prime也將在4月釋出3.0，將強化對AI/ML工作負載的調度能力。新版Linker則可以用來調度非K8s環境中的微服務，Grafana Labs也繼續強化可觀察性能力。</strong></p> <h3><strong>#k8s新版 #使用者命名空間 #容器自動擴充<br /> <span style="color:#0000FF;">K8s今年第一更4月登場！1.30版新功能搶先透露</span></strong></h3> <p>K8s專案即將在四月中釋出今年的第一個K8s新版本1.30版，最近，K8s部落格也搶先揭露了多項新版功能，例如動態資源調度的結構化參數功能、Linux節點記憶體交換功能、使用者命名空間功能、結構化授權配置檔、Pod容器自動擴充機制都有增強。</p> <p>動態資源調度的結構化參數功能提高了資源調，動態資源調度是用來調度跨Pod叢集或單一Pod叢集內部容器資源的API。新增的結構化參數功能，可以讓開發人員預先定義一套資源分配的結構化參數，讓kube-scheduler和Cluster Autoscaler來處理需要的資源分配，而不用像過去得靠第三方動態調度驅動程式。另外，1.30新版也新支援Linux節點記憶體交換功能，可以大幅提高系統的穩定性。</p> <p>使用者命名空間功能的功能在1.30版進入了Beta版本，這個功能可以讓開發者提供更好的Pod叢集隔離性，也能支援客製化的UID和GID範圍的隔離。結構化授權配置檔的功能也在1.30版進入Beta階段，並且成為K8s預設啟用的功能。這項功能可以建立一個更細緻的權限控制要求，來驗證多個呼叫請求的授權。HorizontalPodAutoscaler容器自動擴充機制，現在可以更細緻的依據每一個容器的資源使用量，來決定配置自動擴充或縮小的配置規則，而不用像過去只能依據單一Pod叢集的用量來設定自動擴充的配置規則。這個自動化擴充功能正式在1.30版成為穩定的正式功能。 </p> <h3><strong>#容器管理平臺 #紅帽<br /> <span style="color:#0000FF;">OpenShfit推出4.15新版，可以部署到AWS Outposts地端設備</span></strong></h3> <p>紅帽最近釋出了OpenShift容器管理平臺的4.15新版，在核心功能、邊緣支援和虛擬化支援都有多項強化。新版正式部署到AWS Outposts地端設備上和AWS的5G 邊緣運算基礎架構Wavelength區域上，也能從Outposts上來部署在AWS上的OpenShift叢集。</p> <p>在虛擬化功能上，新版則強化了更多災難復原和韌性功能，像是增加網路熱插拔來動態重新配置虛擬機器所用的網路卡，還簡化了多種常用虛擬機器類型的快速安裝體驗，提供類似公雲快速安裝的實例選單，也新支援宣告式GitOps流程來復原虛擬機器。新版也能支援OpenShift叢集與外部第三方供應商間的OVN IPsec加密傳輸。去年底推出的可觀察性平臺Red Hat build of OpenTelemetry也正式在OpenShift 4.15版中提供，包括了Log、矩陣、追蹤機制等，新版的可觀察性儀表板也有更新，網路基礎設施、Linux核心和K8s流量儀表板都有強化。OpenShfit這個新版本可以支援到K8s的1.28版和CRI-o 1.28版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-OpenShift4_15.png" /></p> <h3><strong>#AI工作負載優化 #容器管理<br /> <span style="color:#0000FF;">SUSE容器管理平臺Rancher Prime新版4月登場，特別強化對AI/ML工作量的部署支援</span></strong></h3> <p>隨著生成式AI浪潮爆發，如何強化對AI運算的支援，成了K8s平臺的新課題。SUSE將在4月正式推出容器管理平臺Rancher Prime的3.0新版和Edge 3.0版，強化了多項安全軟體開發能力，像是強化對軟體物料表SBOM的支援來提供安全軟體交付流程，也新增對K8s叢集API的支援，可以讓企業更容易打造一個自助式的內部PaaS平臺。另外，這個新版本可以自動偵測Nvidia所用的容器runtime配置，自動產生出要將AI模型部署到K8s環境時所需的GPU配置。Edge 3.0版則提供了更多在邊緣運算環境中部署K8s的建置範本和安全映像檔版本，讓企業更容易建置邊緣容器環境。</p> <h3><strong>#可觀察性 #叢集管理<br /> <span style="color:#0000FF;">Grafana Labs強化多項K8s可觀察性能力，提供更完整的叢集健康分析</span></strong></h3> <p>最近Grafana Labs宣布更新了K8s監控功能，IT團隊不用手動配置監控K8s用的代理程式，而可以改用新推出的K8s監控Helm chart應用來部署，自動將客製化的矩陣、Log紀錄、事件資訊、追蹤和成本矩陣的資訊，傳送到Grafana雲上。K8s叢集除錯功能也有簡化，在Grafana通報功能網頁上，新增了「出錯Pod叢集」的單元，可以讓IT團隊快速看到每一個出錯叢集所發生的狀況來快速回應。另外，針對K8s叢集健康和效能分析，可以提供一個整體性的全貌分析以及更細節的分析內容，在歷史資料分析上也提供了時間選取機制，可以快速檢視不同時間的狀態數據。</p> <h3><strong>#WebAssembly應用 #毫秒級冷啟動<br /> <span style="color:#0000FF;">Fermyon捐出自家Wasm應用平臺給CNCF，可用來開發和部署K8s上的大量WebAssembly應用</span></strong></h3> <p>最近Fermyon科技宣布將自家的Wasm on K8s平臺SpinKube捐給CNCF組織。這是一個可以在K8s中開發、部署和維運WebAssembly應用的平臺。根據Fermyon宣稱，採用Wasm技術，可以讓單一Pod叢集部署的應用數量增加50倍，也因此需要一個特別的Wasm應用管理平臺。SpinKube可以用來將無伺服器的WebAssembly應用部署到K8s環境中，也可以用來打造一個自家的無伺服器環境，官方宣稱還能達到1毫秒內的快速冷啟動速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-spinkube%E6%9E%B6%E6%A7%8B.png" /></p> <h3><strong>＃eBPF #可觀測性 #雲原生應用<br /> <span style="color:#0000FF;">K8s工作負載視覺化有新選擇，微軟開源了跨雲容器網路觀測平臺Retina</span></strong></h3> <p>日前，微軟Azure容器網路團隊發布雲端原生容器網路觀測平臺Retina，讓Kubernetes用戶、管理者和開發者，能夠以視覺化的方式，觀測、除錯並且分析Kubernetes的工作負載流量。Retina支援各種容器網路介面（CNI）、作業系統和雲端平臺，還能夠與產業標準Prometheus和網路流量日誌搭配使用，具有適應不同用例和環境的靈活性。Retina利用eBPF（extended Berkley Packet Filter）的功能，在不需更改現有應用程式的情況下，以非侵入的方式對Kubernetes網路進行深入分析和監控。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-AzureRetina.png" /></p> <h3><strong>#容器能耗追蹤 #永續IT管理 #紅帽<br /> <span style="color:#0000FF;">每一個Pod叢集的耗電都能追蹤，OpenShift釋出容器層級能耗監控工具預覽版</span></strong></h3> <p>紅帽在年初釋出了OpenShift平臺的新能耗追蹤工具預覽版，可以提供到容器層級的用電追蹤，監控顆粒度可以達到Pod叢集或是每一個命名空間，讓企業可以更細緻地追蹤雲原生應用的能耗，來計算碳排。在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。<br /> 這項工具可以用來追蹤每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻率。這項功能來自開源能耗追蹤工具 Kepler專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。可以用來追蹤過去24小的叢集整體能耗，即時蒐集到多種功耗資訊，如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。還能展開檢視不同命名空間的能耗排名，可以列出最耗能的容器和Pod叢集等。也結合了機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%B4%85%E5%B8%BD%E5%AE%B9%E5%99%A8%E8%80%97%E9%9B%BB%E8%BF%BD%E8%B9%A4.png" /></p> <h3><strong>#核心系統容器化 #微服務 #企業實戰<br /> <span style="color:#0000FF;">凱基證將用容器技術和微服務打造新一代證券核心系統</span></strong></h3> <p>凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中臺的架構轉換。<br /> 凱基證券亞太區資訊長黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務上市的推出時間，更訂下推出時間縮短50％的目標。<br /> 不過，凱基證券不會將核心大型主機多套系統全部轉為容器架構，有些系統分拆後會單獨存在，並改用模組化方式重組。交易模組會先轉換成新的雲原生架構，再轉換其他周邊的模組，所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，也會獨立建立一套系統。需要低延遲的模組，特別是會影響下單的模組，不會納入微服務架構中，比如主機連線的模組。</p> <h3><strong>#K8s效能監測 #可觀察性 #eBPF<br /> <span style="color:#0000FF;">Netflix開源自用的eBPF程式效能優化工具bpftop</span></strong></h3> <p>可用來追蹤Linux核心效能的eBPF技術，是監控K8s叢集效能的重要手段，可以透過程式化方式來追蹤K8s叢集的運作。Netflix公開了一款內部的命令列工具bpftop，不只更容易監控eBPF程式的效能，還可以用來優化eBPF程式。Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-Netflix-bpftop.png" /></p> <h3><strong>#容器化整合測試 #Docker公司<br /> <span style="color:#0000FF;">紅帽宣布和Docker公司結盟，OpenShift平臺將整合Testcontainers容器化整合測試服務</span></strong></h3> <p>最近在歐洲Kubecon大會上，紅帽宣布與Docker公司結盟，紅帽旗下容器管理平臺OpenShift將可以存取Docker公司的容器化整合測試雲Testcontainers，在OpenShift中使用後者完整的功能。Testcontainers雲是Docker公司的持續整合服務，可以用Docker容器來快速建立各種測試環境，可支援9種語言的測試任務管理，也提供了一套儀表板功能來追蹤各種整合測試的執行。紅帽與Docker公司合作後，OpenShift用戶可以將Testcontainers雲的後端，部署到OpenShift叢集上。</p> <h3><strong>#超大規模叢集管理 #串流服務優化<br /> <span style="color:#0000FF;">字節跳動開源新一代K8s多叢集管理工具KubeAdmiral，可管理1千萬個Pod叢集</span></strong></h3> <p>抖音母公司字節跳動最近釋出了一款K8s多叢集管理工具KubAdmirl ，可用來管理超過分散在數十個K8s叢集上超過1千萬個Pod。這款工具強化了多叢集的調度和排程能力，特別是針對大量串流服務場景的支援。字節跳動已將這款多叢集管理工具用於自家服務的擴充調度，管理超過1千萬個Pod來支援10萬支微服務的運作。KubeAdmiral每天處理到3萬次更新或叢集擴充的調度操作。<br /> 這款工具採用了新的調度框架，將調度分為四個階段，Filter、Score、Select和Replica，並由各自專門的外掛工具來處理調度邏輯，來降低整體複雜性，使用者也能增加自己的調度外掛機制。<br /> 因為完全使用K8s API功能來設計KubeAdmiral，而非開發專門的聯邦API來管理叢集，因此，可以將多叢集間視為一體來查看部署情況，而不用逐一檢視個別叢集的資訊。目前正在強化操作體驗，優化Log和矩陣功能等功能。</p> <h3><strong>#服務網格 #網格擴充<br /> <span style="color:#0000FF;">服務網格工具Linkerd新版2.15大更新，新網格擴充功能可以調度非K8s環境上的微服務</span></strong></h3> <p>在去年11月時，服務網格工具Linkderd就提出了一個新個作法是網格擴充功能Mesh Expansion，可以將微代理伺服器（Microproxy）部署到非K8s環境上，讓Linkerd控制平臺能夠調度在其他環境上的微服務。最近剛釋出的2.15版，也正式開始支援網格擴充功能，可以用來調度在其他非K8s環境的微服務，可以將實體伺服器、虛擬機器等沒有K8s環境上的微服務，也整合到同一個服務網格中來管理。為了支援非K8s環境的身分驗證，Linkerd也引入零信任通用身分驗證專案SPIFFE，來加密與虛擬機器工作負載之間的所有流量。</p> <h3><strong>#Flux #GitOps流程<br /> <span style="color:#0000FF;">GitOps新創Weaveworks倒閉後，微軟和GitLab等數十家企業表態繼續支持Flux</span></strong></h3> <p>提出GitOps持續交付自動化模式的雲原生新創公司Weaveworks在今年2月初宣布倒閉。成立於2014年的Weaveworks，因GitOps專案FluxCD而聲名大噪，更從Google創投獲得1,500萬美元投資，日前也才從AWS和多家電信業者取得3,660萬美元的資金。該公司執行長於在Linkedin部落格上坦言，雖然2023年營收有雙位數成長，超過了1,000萬美元，但仍因爲銷售業績趕不上現金支出而不堪負荷，原本正在洽談的大公司併購也宣告破局，因此，他決定結束公司，這個宣布引起開源社群熱烈討論。</p> <p>但是，他們所開發的開源GitOps工具專案Flux，早在2019年就捐給CNCF組織，並在2022年成為畢業專案，也意味著專案社群具有足夠的發展能力。而在Weaveworks宣布關門同一周，原本在該公司任職的Flux核心維護者Stefan Prodan，也轉而加入另一家同樣重度使用Flux的跨雲管理平臺公司ControlPlane擔任首席顧問，他還迅速發布了一個小更新版本2.2.3，來凸顯這個專案的持續能力。<br /> 自家產品深度支援Flux建置的微軟、GitLab也相繼表態會繼續支持這個專案，更有十多家科技公司確定繼續支援Flux，思科和德國零售商Tchibo最近也加入了長期Flux採用者名單。GitLab更在3月5日，Weaveworks關門滿一個月時特別強調，經過一個月與FluxCD周邊工具商的討論，找不到更好的GitOps成熟替代方案，因此，他們會全力繼續支持，並更積極參與Flux社群。</p> <h3><strong>#容器安全偵測 #雲端日誌分析<br /> <span style="color:#0000FF;">K8s威脅偵測引擎Falco專案宣布畢業，未來要擴大支援更多雲端日誌和GitHub</span> </strong></h3> <p>在2018年進入CNCF組織孵化沙盒的K8s威脅偵測引擎Falco專案，最近宣布正式畢業。這款由Sysdig打造的安全工具，可以用來追蹤容器行為，透過規則引擎檢測容器、應用程式、底層主機和容器平臺的異常狀態，一但有異常行為，就會發布警告。最近幾年，Falco維護者持續強化工程流程，甚至重構了Falco程式庫，推出了改良後的測試套件與新的核心測試框架，也結合了熱門的eBPF技術推出Linux核心的探針功能。包括AWS、IBM、紅帽都是主要使用者也是專案貢獻者。Falco預告，未來支援更多來源的資料來強化偵測能力，例如支援各種雲端日誌和GitHub上的開發者接觸點，新版也會持續簡化部署和管理功能。</p> <p><strong>更多新聞</strong></p> <ul> <li>New Relic宣布新功能可以讓K8s叢集一個步驟就具備OpenTelemetry能力</li> <li>開源服務網格專案Istio維護者準備釋出服務網格專案的輕量級版本Ambient的Beta版本</li> <li>微軟分散式應用程式Runtime專案Dapr釋出1.13版，新釋出SDK來簡化分散式運算流程的調度</li> </ul> <p>資任編輯：王宏仁<br /> 圖片來源：紅帽、Fermyon、Netflix</p> </div></div></div>
2024/3/28 12:04作者王宏仁https://www.ithome.com.tw/news/162010
Canva與Affinity承諾將持續供應永久授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上平面設計平臺Canva周二（3/26）<a href="https://www.ithome.com.tw/news/161995" target="_blank">宣布買下Serif與旗下的熱門設計套件Affinity</a>，有鑑於設計師開始擔心原本採用永久授權策略的Affinity套件是否會轉為訂閱制，<a href="https://affinity.serif.com/en-us/press/newsroom/affinity-and-canva-pledge/" target="_blank">Canva與Affinity隔天即承諾</a>，將會一直供應永久授權。</p> <p>訂閱制已成為軟體產業的趨勢之一，例如Canva的競爭對手Adobe自2011年便逐漸改為訂閱制，停售盒裝產品，而Affinity系列的Affinity Designer、Affinity Photo與Affinity Publisher等產品，則是市場上少數可以取代Adobe Illustrator、Adobe Photoshop與Adobe InDesign的永久授權產品。</p> <p>此外，之前原本提供永久授權產品的VMware在被博通收購之後，即<a href="https://www.ithome.com.tw/news/160441" target="_blank">宣布全面終止永久授權</a>，而使得Affinity用戶憂心忡忡。</p> <p>不過，Canva與Affinity周三（3/27）承諾，將提供合理、透明與實惠的訂價，包括令Affinity與眾不同的永久授權，會努力於未來持續提供永久授權，即便之後推出訂閱服務，也會與永久授權一併作為銷售選項。</p> <p>雙方其它的承諾還包括將繼續投資與擴張Affinity產品，且會把Affinity當作獨立的產品套件，也會針對學校及非營利組織免費提供Affinity。</p> <p>根據<a href="https://www.techspot.com/news/102412-canva-acquires-affinity-380-million-take-adobe.html" target="_blank">《TechSpot》</a>的報導，Canva買下Serif的價格約為3.8億美元。</p> </div></div></div>
2024/3/28 12:12作者陳曉莉https://www.ithome.com.tw/news/162011
開發金靠坦克計畫奠定關鍵技術，IT化身顧問加速集團AI創新
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，中華開發金控（簡稱開發金控）一連辦了兩場內部AI黑客松，超過兩百位員工組隊報名，技術人員和業務人員齊聚一堂討論AI應用。不同於金融業常見的嚴謹上班氣氛，各組以話劇演繹不同AI應用場景，生動展現創新點子，連金控總經理都親自出席。「一開始煩惱沒人，結果很多人報名，活動甚至從一天變兩天！」中華開發金控資訊長楊偉強回憶，沒想到報名人數遠超過預期，最後額外加開場次。</p> <p>「這個熱度，代表了集團內部員工，面對轉型的心態不一樣了。」企業推動數位轉型不只是技術面的挑戰，如何推動集團擁抱創新文化更是一道難題。楊偉強強調：「驅動轉型的關鍵是讓集團全體同仁理解計畫、願意轉型。」</p> <p>來自香港的他，2021年進入開發金控，三年內陸續推動了IT轉型和AI計畫。不過，楊偉強的目的不僅僅是實施計畫，更要讓金控集團一萬名員工能理解複雜的IT技術，來技術單位合作推動轉型。</p> <p>楊偉強的作法是，先制定統一的技術框架，涵蓋了各子公司關注的關鍵技術，整合全集團的IT轉型方向，再展開AI發展計畫的布局，不僅舉辦巡迴演講，將集團AI發展宣傳至集團各個角落，更藉著AI黑客松，找出集團中對AI有高度興趣的業務單位。同時，技術單位也跟著動起來，楊偉強開始將金控IT人員訓練為AI顧問，鼓勵IT主動與業務單位溝通，合作發想AI應用，要讓轉型氛圍擴散至全集團，帶著集團一起向前航行。</p> <p><span style="font-size:28px;"><strong>藉坦克計畫統一子公司技術發展方向，奠定轉型基礎</strong></span></p> <p>2021年，開發金控啟動了一項名為坦克計畫的IT轉型藍圖，以技術、架構和能力作為核心，來推動六大目標，分別是開放技術、先進數位平臺、現代化架構、技術賦能、智慧開發，和導入敏捷文化。技術面包括導入容器化架購的微服務系統開發技術、建置混合雲端環境和雲端分析平臺，以及導入中臺架構、高階資訊整合架構和企業資料平臺架構等計畫。開發上則要推動 DevOps現代化自動開發，打造 CI/CD 以及 IaC等自動化環境，還要引入符合數位發展的敏捷文化對策，讓資訊團隊在提案、需求、研發到開發驗證等流程都能快速反應。同時，要培養IT人才對新興技術的開發、研究和架構能力。</p> <p>「坦克計畫的目的，在於建立一個具有關鍵技術底層架構的框架，確保全集團的發展方向一致。」楊偉強指出，統一子公司的底層技術架構有助於加速轉型，例如整合銀、證、保三家子公司雲端架構，未來要發展特定的服務，就更加容易。</p> <p>開發金控的數位轉型並非從零起步，早在坦克計畫之前，各家子公司的轉型計畫醞釀已久。起初，為了統一子公司的技術發展方向，楊偉強選定雲端、資料，和中臺三個主題，依序舉辦主題式卓越中心，讓每家子公司推派代表參加，除了讓子公司了解轉型計畫的優勢，也協助尋找共同的解決方案，加快子公司的轉型成績。</p> <p>楊偉強選定的第一項關鍵技術是雲端。他計畫以金控為核心，為集團建立架構一致的雲端平臺。楊偉強解釋，雲端是基礎技術，對這項技術的運用越成熟，轉型速度才會快。開發金控在2020年開始籌備雲端轉型計畫，建構集團共用的混合雲架構雲端平臺，導入到旗下四大子公司，採用DevOps、K8S和API管理工具，打造雲原生開發和維運流程，也提供統一的身分認證和風險控管需求，來建立轉型基礎。</p> <p>在雲端管理上，楊偉強指出，雲端和地端管理思維截然不同，無法適用同一套管理方式。因此，除了原有管理地端機房的團隊，楊偉強額外設立一支雲端團隊，以應用角度進行雲端開發，例如AI、機器學習和使用雲端API等技術。由地端團隊負責維運，而雲端團隊負責開發。</p> <p>完成雲端基礎建設後，楊偉強接著著手資料治理，設立一個資料卓越中心，計畫用雲端技術來打造資料湖。「忘了地端倉儲吧！」楊偉強認為，地端資料倉儲處理數據的能力有限，無法快速因應變動的數據需求。尤其，「當銀行逐漸走向數據驅動決策，數據不再只是用於製作報表，還要能幫助企業理解客戶，甚至是預測未來。」他強調。</p> <p>隨著嵌入式金融浪潮興起，異業合作需求增加，金融業除了要處理內部數據，也要投入時間處理來自第三方的龐大資料，包括文字、圖片和影像等多元形式資料。楊偉強認為，若企業仍使用地端倉儲，需要投資更多技術進行整合，但雲端服務已有相應的資料整合技術可運用，「我們應該掌握工具，知道如何使用更重要。」楊偉強說。</p> <p>不僅考量技術，楊偉強構思的資料湖策略，更著眼於建立金融生態系。「金融業關注的領域必須超越金融服務，因為客戶的生活還有其他需求。」楊偉強認為，發展雲端技術和資料湖，有利於異業合作，建構金融生態系。他解釋，傳統地端資料倉儲處理第三方數據時，需要經過取出、轉換和載入等處理過程，作業過程複雜，不利於快速彙整客戶資料。</p> <p>最後，楊偉強設立了一個中臺卓越中心，由這個團隊負責協助各子公司翻新核心系統，要逐漸拆分出中臺的架構。「這是推動數位發展的必經路，卻是轉型中最困難的關卡。」楊偉強解釋，傳統金融業的管理系統沒有中臺需求，隨著技術演進，後臺系統的技術逐漸無法跟上，一旦湧入爆量需求，後臺系統就不堪負荷。「開發金控子公司的系統營運，也走到不得不轉型的階段。」他表示，開發金控目前採用的策略，是盡量減少在核心系統開發，改以中臺開發為主，再逐漸將服務遷至中臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E9%96%8B%E7%99%BC%E9%87%91%E6%8E%A7CIO-%E6%98%80%E7%92%87-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>啟動AI發展計畫，要靠AI基礎平臺發展集團AI大腦</strong></span></p> <p>坦克計畫執行滿兩年了，開發金控和旗下子公司陸續建立技術基礎，包括發展雲端技術、資料平臺、整合性平臺和導入敏捷文化，他們在今年啟動了AI發展計畫，整個集團要發展全面性的AI能力和AI應用，除了要培育AI技術與周邊關聯科技的人才，包括數據模型、資料科學，和演算法開發能力等，也要透過AI產生更多新形態服務模式，建立AI業務發展生態圈，更要讓全集團同仁參與AI開發，建構以AI驅動的企業。</p> <p>這個新計畫其中一項是要發展AI基礎平臺。楊偉強解釋，AI基礎平臺是由金控建立基礎AI模型和知識管理庫，讓子公司使用一致的底層模型和資料，再交由子公司負責尋找應用場景。他以LLM來解釋這個策略的好處，一來，模型的訓練方式不會因不同子公司而有差異，統一建立基礎模型可以有效降低成本，二來，由於金融監管需求高，使用多個LLM，無法統一管控多項需求。</p> <p>不同於其他IT技術，楊偉強認為，AI需要時間訓練，才能為己所用，無法透過購買技術來填補落後的空缺，「尤其是生成式AI，一定要找出場景開始運用，才能累積知識。」因此，開發金控目前選定內部使用，作為生成式AI的主要發展領域，例如用於協助處理文書、撰寫郵件、查找資訊、重點整理摘要等。</p> <p><span style="font-size:28px;"><strong>金控IT也跟著轉型，成為集團AI顧問</strong></span></p> <p>企業轉型面臨的阻礙之一，是內部各自解讀不同調，導致轉型效果減半。楊偉強指出，不論是推動IT轉型計畫，或是AI發展計畫的過程中，最大挑戰是尋求足夠的支持，讓眾人願意合作推動轉型。因此，不只規畫轉型藍圖，楊偉強也正在改造他率領的金控IT團隊，要將這個訓練成全集團的AI顧問，讓他們更容易成為與各單位合作的橋樑。</p> <p>「我的團隊每天跟我去跑業務！」楊偉強笑著說。和一般企業不同，楊偉強重視IT主動提出需求，甚至要有讓產品進入市場（Go to market）的策略思維。他不僅親自帶著IT團隊走訪子公司的業務單位，就像資訊廠商的業務銷售人員一樣，也主動講解技術如何與業務結合，向業務單位提出AI開發需求。</p> <p>但是，「我的團隊一開始很不習慣，每次跟我開會的時候，臉色都不太好。」楊偉強坦言，有位IT同仁開會時反映，業務單位還沒有AI需求，楊偉強接著反問他，「如果客戶跟你說，他不喜歡吃牛肉，你會怎麼做？」楊偉強以這樣的客戶來類比業務單位，若對方沒有需求，銷售人員就要想辦法為客戶創造需求。</p> <p>他認為：「IT自己要有AI的執行需求，不要等待使用者想出AI的需要。」由於業務單位對技術掌握有限，IT人員應主動與業務單位溝通，討論如何運用技術，減少雙方的溝通成本，才能有效加速轉型。漸漸地，開發金控IT團隊也開始運用客戶導向思維與業務單位溝通，創造更多AI開發需求。</p> <p>為了將AI宣傳至全集團各個角落，楊偉強還舉辦巡迴演講，找來金控IT同仁擔任主講者，邀請集團所有同仁參加，最近一場演講超過4百多人主動報名。「很多同仁對IT說，你們好像跟以前很不一樣。」不僅集團內部員工感受到IT的轉變，巡演過程中，楊偉強也觀察，IT員工開始嘗試運用銷售思維說服聽眾，「我覺得這對團隊是一個轉變，嘗試全新的心態。」他說。</p> <p>不僅單方面的分享，去年七月，開發金控內部舉辦了一場AI黑客松，邀請全集團中各個業務單位同仁組隊參與，藉此找出對AI有高度興趣的部門。原訂半天的黑客松，可提供12組競賽，楊偉強還找來外部廠商提供一名AI顧問，也由自家金控IT派出一名同仁，由這2名技術人員協助參賽的業務團隊構思AI應用。最後報名隊伍太踴躍，只好分兩天舉辦。</p> <p>楊偉強積極接觸子公司業務單位，是為了創造成功案例，提升其他單位合作的意願，「你永遠都需要，讓大家都看到轉型的好處。」他強調。推動轉型最大的課題是讓企業集體接受改變，透過三年的耕耘，轉型文化正在開發金控內漸漸發酵。文⊙李昀璇</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>中華開發金控資訊長楊偉強</strong></p> <p>學歷：美國芝加哥大學布斯商學院高階管理碩士</p> <p>經歷：在亞太區IT界擁有超過20年經驗，曾擔任金融三業等大型轉型專案跨技術領域的諮詢顧問。同時在AI、大數據分析及區塊鏈的商業運用擁有豐富的開發、設計經驗。他建立了香港最創新的FinTech平臺、將區塊鏈技術運用於中小企業，並協助香港政府導入及運用雲端技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E9%96%8B%E7%99%BC%E9%87%91%E6%8E%A7CIO-%E6%98%80%E7%92%87-600-2.jpg" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>中華開發金控</strong></p> <p>公司名稱：中華開發金控</p> <p>地址：臺北市松山區敦化北路135號</p> <p>成立時間：2001年</p> <p>員工數：金控含子公司約1萬3千人</p> <p>子公司：中華開發資本、凱基人壽（原中國人壽）、凱基銀行、凱基證券、凱基投信</p> <p>主要業務：壽險、銀行、證券、投信及私募股權／資產管理。</p> <p>近年發展重心：2021年初啟動ABCDE五年策略，包括了數位躍升，首選雇主、顧客導向、驅動成長和高效執行等五大策略發展</p> <p>年營收：約400億元（2023年）</p> <p>董事長：黃思國</p> <p>總經理：龐德明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊長</p> <p>資訊部門主管姓名：楊偉強</p> <p>資訊部門人數：約60人</p> <p><strong>近年數位轉型重點成就：</strong></p> <p>●　2021年：提出ABCDE五大策略，加速推進數位躍升（Accelerate Digital）的目標。</p> <p>●　2021年7月：導入微軟雲端解決方案，成為臺灣首家運用微軟雲端數位轉型的上市民營金融機構。</p> <p>●　2023年8月：舉辦內部「生成式AI黑客松」，鼓勵員工展現創業家精神</p> <p>●　2024年3月：啟動集團AI發展計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-kai_fa_jin_kong_cio-yun_xuan_-960-2.jpg" width="960" height="420" alt="" title="中華開發金控資訊長楊偉強　（攝影／洪政偉）" /></div></div></div>
2024/3/28 06:00作者李昀璇https://www.ithome.com.tw/people/161961
【資安日報】3月27日，AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了突破雙因素驗證（2FA）的防護機制，駭客採用中間人攻擊（AiTM）網釣攻擊套件的情況相當氾濫，最近出現新型態的工具包Tycoon 2FA，在短短半年內，已有駭客採行而濫用超過1千個網域，引起研究人員關注。</p> <p>值得留意的是，這個套件採用多階段攻擊流程，其產生的釣魚郵件不僅具有URL，也有出現QR Code的情況，這代表行動裝置用戶也可能是對方攻擊的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.sekoia.io/tycoon-2fa-an-in-depth-analysis-of-the-latest-version-of-the-aitm-phishing-kit/"><strong style="font-size: 22px;">新型態網路釣魚工具包Tycoon 2FA被用於竊取微軟365、Google帳號，並能繞過雙因素驗證</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Overview-of-the-main-operations-specific-to-the-Tycoon-2FA-phishing-kit_as-of-March-2024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Overview-of-the-main-operations-specific-to-the-Tycoon-2FA-phishing-kit_as-of-March-2024.png" style="width: 300px; float: right;" /></a>資安業者Sekoia揭露名為Tycoon 2FA的對手中間人攻擊（AiTM）網釣攻擊套件，開發者約從去年8月，以租用的型式（Phishing-as-a-Service，PhaaS）提供買家使用，專門用於竊取微軟365及Google的帳密資料，駭客迄今濫用超過1,200個網域名稱，現在是受到廣泛利用的AiTM網釣攻擊工具之一。</p> <p>到了今年2月中旬，賣家提供新版Tycoon 2FA，並出現廣泛使用的情況，開發者增強混淆的程度及防範偵測的能力，並改變網路通訊的模式，使其攻擊行動變得更難發現。</p> <p>研究人員指出，該套件採取多個階段的攻擊流程，駭客先是藉由內含URL或QR Code的釣魚郵件引誘收信人上當，接著透過圖靈驗證系統Cloudflare Turnstile排除機器人，然後將收信人導向冒牌微軟登入網頁及偽造的雙因素驗證流程，過程中駭客收集受害者的電子郵件信箱、密碼，並透過WebSocket外流。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/c/agenda-ransomware-propagates-to-vcenters-and-esxi-via-custom-pow.html"><strong style="font-size: 22px;">VMware ESXi伺服器遭勒索軟體Agenda鎖定</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Agenda-fig3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Agenda-fig3.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技從去年12月發現勒索軟體Agenda（又名Qilin、Water Galura）的攻擊數量顯著增加，攻擊者濫用遠端管理工具（RMM）及Cobalt Strike來散布勒索軟體，研究人員也看到利用PsExec與SecureShell的情況，此外，對方也利用多種含有漏洞的驅動程式來迴避偵測。</p> <p>但值得留意的是，攻擊者在成功入侵Windows電腦後，便會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼，並透過SSH進行檔案傳輸，最終進行檔案加密。 </p>  <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=223130&SPOKE_DATE=20240326&COMPANY_ID=2610"><strong style="font-size: 22px;">華航外洩資料再傳出現暗網，該公司表示是前次事故的舊資料</strong></a><strong style="font-size: 22px;"></strong></p> <p></p> <p>3月26日晚間中華航空在股市公開觀測站發布重大訊息，指出他們發現駭客在暗網販售會員資料，經過調查，與現有會員的資料庫（今年1月更新）不符，研判是與之前發生的個資外洩事故流出的內容（編按：應指<a href="https://www.ithome.com.tw/news/155167">2023年1月的資料外洩事故</a>）。而對於未來的因應措施，該公司將於4月2日啟動雙因素驗證，所有會員必須透過手機或電子郵件信箱取得動態密碼（OTP）才能登入系統。</p> <p>而發這項重大訊息的原因，很可能與<a href="https://udn.com/news/story/7266/7857497">聯合新聞網的報導</a>有關。3月24日駭客傳出在暗網上傳華航會員資料，宣稱為更新至今年1月的新資料，內容有110萬筆，包含會員編號（ID）、中文姓名、英文姓名、性別、生日、電子郵件信箱、國籍、手機號碼，對方亦公布100筆個資給買家驗證。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/zenhammer-attack-targets-dram-on-systems-with-amd-cpus/"><strong style="font-size: 22px;">搭載AMD Zen 2、Zen 3處理器的電腦恐面臨ZenHammer記憶體攻擊風險</strong></a></p> <p></p> <p>存在於動態隨機存取記憶體（DRAM）的設計弱點Rowhammer，最早於2014年出現，該漏洞公布後製造商也開始採取「目標列更新」（Target Row Refresh，TRR）的機制來因應，但現在傳出新架構的電腦也有可能遭受相關攻擊的情況。</p> <p>蘇黎世聯邦理工學院的研究人員指出，他們成功在搭載AMD Zen 2及Zen 3微架構處理器的電腦上，對DDR4及DDR5記憶體進行Rowhammer攻擊，他們將針對上述處理器電腦的攻擊手法稱為「ZenHammer」，並表示這是首度成功針對DDR5進行Rowhammer攻擊的發現（儘管成功機率僅約十分之一）。</p> <p>對此，AMD也發布資安公告，表示他們在2月26日獲報此事，將著手進行相關評估，並提供緩解措施。</p> <p><a href="https://www.scmagazine.com/news/fortinet-forticlient-ems-sql-injection-flaw-exploited-in-the-wild"><strong style="font-size: 22px;">FortiClient EMS存在危急漏洞，且已被用於攻擊行動</strong></a></p> <p></p> <p>3月12日Fortinet針對端點管理伺服器FortiClient EMS，公告此系統存在危急（Critical）層級的SQL注入漏洞CVE-2023-48788，攻擊者可藉由特製的封包，在未經授權的情況下，執行程式碼或命令，CVSS風險評分為9.8，該公司於21日更新公告內容，指出他們已得知出現攻擊行動，如今這樣的情況也被美國政府證實。</p> <p>25日美國網路安全暨基礎設施安全局（CISA）將此漏洞加入已被利用漏洞列表（KEV），要求聯邦機構於4月15日前完成修補。</p> <div> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.justice.gov/opa/pr/seven-hackers-associated-chinese-government-charged-computer-intrusions-targeting-perceived"><strong style="font-size: 22px;">美國制裁與中國駭客組織APT31有關的武漢曉睿智科技</strong></a></p> <p></p> <p>3月25日美國針對與中國駭客組織APT31有關的武漢曉睿智科技（Wuhan XRZ）進行制裁，並控告7名參與駭客行動的中國人，由於涉嫌入侵電腦及電信詐欺，司法部將凍結他們在美國的資產。</p> <p>美國政府指出，這些被告針對美國及其他國家的個人與組織，發送超過1萬封惡意電子郵件，一旦收信人開啟郵件，就會曝露自己的地理位置、IP位址，以及網路環境及裝置的資訊，對方就有機會利用這些資訊進一步策畫攻擊行動，破壞收信人網路環境的路由器及其他電子設備。</p> <p>此外，APT31也被指控在2020年針對美國總統大選的競選工作人員攻擊、滲透5G網路設備供應商、無線網路技術供應商、國防承包商等數十家企業。</p> <p><a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-eliminating-sql-injection-vulnerabilities-software"><strong style="font-size: 22px;">美國呼籲科技業者清查軟體的SQL注入漏洞</strong></a></p> <p></p> <p>3月25日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，發布安全設計警報（Secure by Design Alert），呼籲軟體科技業者在產品出貨前，應該針對程式碼進行審查，找出可能存在的SQL注入（SQL Injection，SQLi）弱點。</p> <p>這次警報的發布，起因是去年勒索軟體駭客組織Clop利用MFT檔案傳輸系統MOVEit Transfer的漏洞CVE-2023-34362，從事大規模攻擊，而這個漏洞就與SQL注入有關。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cna.com.tw/news/afe/202403230131.aspx"><span style="font-size: 20px;">為強化電商資安，數位部協助88家業者進行評估及紅隊演練</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/apple-patches-code-execution-vulnerability-in-ios-macos/"><strong><span style="font-size: 20px;">蘋果發布iOS 17.4.1、macOS Sonoma 14.4.1，修補AV1影音編碼器漏洞</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong><span style="font-size: 20px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力、竊取機敏資料</span></strong></a></p> <p><a href="https://blog.lumen.com/the-darkside-of-themoon/"><strong><span style="font-size: 20px;">4萬臺EOL路由器、IoT裝置被用於架設大型殭屍網路TheMoon</span></strong></a></p> <p></p> <p><strong><a href="https://www.reversinglabs.com/blog/suspicious-nuget-package-grabs-data-from-industrial-systems"><span style="font-size: 20px;">惡意NuGet套件鎖定工控系統挖掘機敏資訊</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> </div></div></div>
2024/3/27 16:50作者周峻佑https://www.ithome.com.tw/news/162004
Podman 5.0重寫Podman Machine指令，支援Apple虛擬機器管理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源容器平臺<a href="https://blog.podman.io/2024/03/podman-5-0-has-been-released/">Podman推出重大更新版本5.0</a>，在最新版本中，開發團隊重寫了Podman Machine指令，強化對Windows和Mac作業系統的支援，而清單（Manifests）也支援OCI構件，以支援不同類型的容器，另外，Podman現在預設使用Pasta來處理非Root網路。</p> <p>Podman Machine是Podman用來啟動Linux虛擬機器，可讓Windows和Mac系統也能運作Linux容器的重要元件，而開發團隊重寫Podman Machine指令，如此不只能提高執行效能和穩定度，也明顯增加了不同虛擬機器供應商之間程式碼共用的比例，降低使用者維護程式的成本。</p> <p>而Podman 5.0也新增Apple虛擬機器管理程式（Apple ㄑ）支援，以大幅提高Podman在Mac上的穩定性、啟動時間和檔案共享效能。用戶還可以使用新的Podman Machine重置指令，刪除由Podman Machine管理的虛擬機器。</p> <p>從Podman 4.4版本開始支援Pasta非Root網路後端，讓普通用戶即便在沒有Root權限的情況下，也能設定和管理容器網路，而官方提到，因為Pasta可以明顯改善效能，因此將其預設為Podman 5.0的非Root網路後端。</p> <p>同時，有鑑於Podman 4.9使用SQLite作為預設資料庫，大幅提高了穩定性，而現在官方進一步棄用BoltDB資料庫後端，使用者已經無法創建BoltDB資料庫，所有新的Podman安裝皆使用SQLite資料庫，不過既有的BoltDB資料庫仍然可以使用。</p> <p>由於Podman 4.0新加入網路堆疊Netavark，已經能適用所有Podman使用案例，效能和功能都已等同甚至是超越CNI，因此Podman 5.0移除對大多數平臺的CNI（Container Network Interface）網路支援。</p> <p>取消CNI支援能夠減少開發團隊的負擔，而且也因為CNI專案轉為專注支援Kubernetes，進一步促使Podman團隊取消支援CNI。不過部分版本仍需要CNI，像是FreeBSD、RHEL，這些版本皆會維持啟用CNI的狀態。</p> <p>在最新版本中，containers.conf配置文件處理也有變化，現在不會覆寫用戶修改過的檔案，也就是說，Podman更新或是執行的時候，能夠維持用戶對containers.conf進行的變更，確保用戶自定義設定不會被Podman更新時覆蓋掉。</p> <p>此外，Podman 5.0還強化對Docker的相容性，開發團隊修改Podman Inspect指令的輸出，使其能夠更好的搭配Docker的輸出格式，讓從Docker過渡至Podman的用戶更容易適應，也使基於Docker的工具和腳本更容易和Podman相容。</p> <p>由於Podman 5.0是一個重大的更新，官方強調，Podman 4與Podman 5機器間沒有直接升級的方法，因此對於重要的Podman專案，使用者應該謹慎升級。而執行Mac的Podman 4，因為是以QEMU虛擬化為基礎，而Podman 5在Mac上使用了Apple虛擬機器管理程式，並且棄用了對QEMU的支援，因此要在Mac上使用Podman 5，除了本身軟體之外，用戶還需要安裝可透過虛擬化框架啟動虛擬機器的簡單命令列工具vfkit。</p> </div></div></div>
2024/3/27 16:25作者李建興https://www.ithome.com.tw/news/161998
Adobe擁抱生成式AI，推出GenStudio以優化內容供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe於周二（3/26）展開的Adobe Summit 上發表了可用來協助行銷人員快速規畫及啟用內容的<a href="https://news.adobe.com/news/news-details/2024/Adobe-Announces-Generative-AI-Solutions-to-Jumpstart-Content-Supply-Chain-for-Enterprises-/default.aspx" target="_blank">GenStudio</a>，強調將利用生成式AI來優化內容供應鏈。</p> <p><a href="https://business.adobe.com/products/genstudio.html" target="_blank">根據Adobe的定義</a>，GenStudio是個以生成式AI為優先的產品，得以讓行銷團隊更快速地規畫、建立、啟用、跨應用與出版商的啟用，以及衡量品牌內容，它能夠獨立運作，也可以與其它內容供應鏈上的產品協作。</p> <p>因此，專為小型至大型企業所建構的GenStudio蒐集了跨通路行銷所需的各種工具，並以生成式AI為基礎，讓團隊成員可以快速尋找及生成資產，創造各種不同的作品，並根據即時的內容效能洞察來優化體驗。例如替行銷人員提供符合品牌的範本，方便針對媒體、社交平臺、電子郵件或網路等不同的通路產生高效能內容；或是針對品牌、客戶角色及產品描述進行訓練，以確保由AI產生的文案及圖像符合所需；也能直接使用生成式AI來審查文案與圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Adobe%20GenStudio-for%20marketing-2.png" style="width: 600px;" /></p> <p>具體而言，<a href="https://business.adobe.com/resources/sdk/getting-started-with-adobe-genstudio.html" target="_blank">GenStudio具備三大支柱</a>，分別是工作流程與規畫、創造及生產、啟用與遞送，而每一個支柱都是由不同的工具所支援，完善地整合將能流暢地執行內容供應鏈。</p> <p>其中一項工具為Adobe去年發表的生成式AI模型Firefly。Firefly模型的訓練內容源自於Adobe Stock專業授權圖像、版權過期的公開授權圖像，再加上公領域的內容，以提供一個安全且合法的生成式AI模型，Firefly具備一個網頁介面，允許使用者輸入文字以生成圖像，或是利用畫筆消除或建立新物件，也能在單字或語句上加上風格或紋理，此外，Adobe亦允許企業以自家圖像來訓練Firefly，以生成符合企業風格的作品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-adobe%20firefly.png" style="width: 600px;" /></p> <p>GenStudio目前仍在預覽階段，但試用過的Orvis發現制定專案計畫的時間減少了75%，JLL創意團隊在兩年內的交付成果增加了250%，T-Mobile在不增加人力的前提下活動產出提高了47%，Asics亦因此減少了30%的資產浪費。</p> <p>GenStudio預計於今年全面上市，但價格將因客戶的需求而有所不同。</p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Adobe</span></span></p> </div></div></div>
2024/3/27 16:41作者陳曉莉https://www.ithome.com.tw/news/162003
美國控告加密貨幣交易平臺KuCoin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/prominent-global-cryptocurrency-exchange-kucoin-and-two-its-founders-criminally" target="_blank">美國司法部</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8884-24" target="_blank">美國商品期貨交易委員會</a>（Commodity Futures Trading Commission，CFTC）周二（3/26）分別控告加密貨幣平臺KuCoin，指控該平臺涉及洗錢及違反美國的《商品交易法》（Commodity Exchange Act，CEA）與CFTC規定。</p> <p>KuCoin是在2017年由Chun Gan與Ke Tang兩名中國公民所創立，並於2021年推出自家加密貨幣KuCoin Token，目前該平臺提供超過750種加密貨幣的交易服務，支援逾20種語言，號稱是全球前五大加密貨幣交易平臺，24小時的交易規模超過32億美元。</p> <p>美國司法部本周指控KuCoin、Gan與Tang違反《銀行保密法》（Bank Secrecy Act，BSA），沒有註冊匯款業務，也沒有維護適當的反洗錢計畫（Anti-Money Laundering，ALM），助長洗錢活動。</p> <p>根據美國的調查，在2023年7月以前，KuCoin並不要求客戶提供任何身分資訊，就算之後收到美國聯邦政府針對該平臺展開刑事調查的通知之後，才針對新客戶採用了「了解你的客戶」（Know Your Customer，KYC）計畫，但該計畫也僅適用於新客戶，並未要求現有客戶出示身分，也從未提交過任何必要的可疑活動報告，而且雖有大量的美國客戶，卻從未於美國註冊過期貨或匯款業務。</p> <p>此外，KuCoin還試圖隱藏美國客戶的存在，積極阻止美國客戶在開設帳號時表明自己的身分。調查亦發現KuCoin被用來當作暗網、惡意軟體、勒索軟體與詐欺案件的洗錢平臺，自2017年以來，該平臺已收到超過50億美元的可疑與犯罪收益，流出的犯罪收益亦超過40億美元。KuCoin最吸引客戶的要點之一就是它提供匿名服務。</p> <p>美國司法部指出，Gan與Tang皆被指控違反《銀行保密法》及無照經營匯款業務，每項罪名最高可判處5年刑期。</p> <p>至於CFTC則聲稱負責經營KuCoin的多家公司多次違反《商品交易法》及CFTC規定，包括在從未註冊的情況下提供期貨服務，要求相關業者歸還非法所得，支付罰款，亦尋求永久禁令。</p> <p>美國對KuCoin的指控類似<a href="https://www.ithome.com.tw/news/159946" target="_blank">去年對幣安（Binance）</a>所採取的行動，消息傳出後，KuCoin Token下滑超過10%，目前的價格落在12.52美元左右，<a href="https://twitter.com/kucoincom/status/1772649807972315170" target="_blank">KuCoin當天也透過X表態</a>，表示該平臺目前仍正常運作，用戶資產非常安全，已交由律師調查訴訟事宜，同時強調該平臺尊重各國法律並遵守相關規定。</p> </div></div></div>
2024/3/27 15:51作者陳曉莉https://www.ithome.com.tw/news/162002
平面設計平臺Canva收購Affinity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上平面設計平臺Canva周二（3/26）<a href="https://www.canva.com/newsroom/news/affinity/" target="_blank">宣布買下熱門的設計套件Affinity</a>，包括Affinity Designer、Affinity Photo與Affinity Publisher，雙方並未公布交易細節，但根據<a href="https://www.bloomberg.com/news/articles/2024-03-26/canva-acquires-affinity-design-suite-in-push-to-rival-adobe?embedded-checkout=true" target="_blank">《彭博社》</a>（Bloomberg）的報導，此一交易價值數億英鎊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-canva%20acquire%20Affinity.jpg" style="width: 450px;" /></p> <p>正確地說，Canva收購的對象是Serif Europe，1987年創立於英國的Serif最初主要開發排版軟體，並在2014年推出向量圖形編輯工具Affinity Designer，於2016年發表點陣圖形編輯工具Affinity Photo，再於2019年推出桌面出版工具Affinity Publisher，其功能分別類似Adobe Illustrator、Adobe Photoshop與Adobe InDesign，且在Adobe全面走向訂閱制的同時，Affinity套件仍保留買斷策略，而成為熱門的Adobe替代品，目前Affinity系列在全球已吸引逾300萬名使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Affinity.jpg" style="width: 600px;" /></p> <p>至於Canva則是2013年成立於澳洲的平面設計平臺，可用來建立社交媒體圖像、簡報、海報、文件或其它視覺內容，還具備設計範本，該平臺同時提供免費服務以及可存取進階功能的訂閱服務，用戶數超過1.75億。Canva並未如Adobe般地開發針對不同目的的設計軟體，但該平臺依舊於設計圈快速崛起，在2021年的估值達到400億美元，已被視為Adobe的最大競爭對手。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brand%20Kit%20In%20Editor.jpg" style="width: 600px;" /></p> <p>Canva表示，過去幾年市場對高效及吸睛的視覺傳達需求急劇增加，儘管該平臺過去10年主要關注99%沒有接受過設計培訓的知識工作者，但藉由納入Affinity，將可服務各種等級與階段的設計師，且雙方皆認同專業設計軟體應該更加直覺、價格實惠、快速及流暢。</p> <p>外界最擔心的是在Affinity被Canva收購之後，會不會順應訂閱制的潮流，取消永久購買版，不過，根據<a href="https://affinity.serif.com/zh-cn/press/newsroom/canva-statement/" target="_blank">Serif所發表的聲明</a>，目前的訂價模式並沒有任何改變，所有的應用程式都可一次購買，Affinity程式完全不會受到影響，仍由英國的同一團隊繼續開發，也會保留Affinity品牌，也沒有裁員計畫。</p> <p>此外，Serif則解釋，過去該公司根本沒想過要出售，一直到Canva幾個月前主動接洽它們，由於Canva缺乏專業的設計工具，而Serif亦無任何雲端或協作服務，再加上雙方的理念與文化都非常相似，相信彼此的結合將能共同打造世界上最全面的視覺通訊產品，還能更快地開發程式來服務現有的創意社群。</p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Canva</span></span></p> </div></div></div>
2024/3/27 13:17作者陳曉莉https://www.ithome.com.tw/news/161995
Google釋出Windows on Arm版原生Chrome
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>配合高通Arm-based Snapdragon晶片的規畫，<a href="https://blog.google/products/chrome/download-google-chrome-windows-pc-arm/" target="_blank">Google本周宣布</a>將釋出適合Snapdragon Arm-based Windows PC下載的Chrome瀏覽器。</p> <p>新版Chrome已為搭載高通Arm-based Snapdragon晶片的Windows PC優化，可確保上網的效能。Google今年1月提供Canary測試版，本周則逐步會在各市場上線<a href="https://www.google.com/chrome/" target="_blank">正式版本</a>。</p> <p>效能是這次更新最主打的特色。Chrome內建節能模式和記憶體節省模式等功能，可優化使用體驗。Google補充，根據最新標竿測試，<a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unleashes-snapdragon-x-elite--the-ai-super-charged-plat" target="_blank">Chrome在搭載Qualcomm Snapdragon X Elite CPU的機器上</a>，效能還可進一步提升。</p> <p>Snapdragon X Elite預計2024年中推出。<a href="https://www.macrumors.com/2023/12/18/qualcomm-snapdragon-x-elite-faster-apple/" target="_blank">高通聲稱</a>，新晶片在一項多核標竿測試中，效能比Apple Silicon M3快21%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Chrome-Arm-compatible%20Windows%20PC-Qualcomm%20Snapdragon%20X%20Elite-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／高通</span></span></p> <p>除了效能，Google強調Windows PC版Chrome還內建安全性（如安全瀏覽、密碼管理器、安全檢查）、整合AI的Google搜尋、Google翻譯；離線使用Gmail、Google文件、Google翻譯和Google雲端硬碟；跨裝置瀏覽；以及眾多外掛。Chrome瀏覽器可在<a href="https://www.google.com/chrome/" target="_blank">官網</a>下載，現在還未看到Windows on Arm適用版本的用戶，可以再等等。</p> </div></div></div>
2024/3/27 11:14作者林妍溱https://www.ithome.com.tw/news/161982
Momo RMN精準行銷服務正式上線！還要推開店平臺及直播電商等更多類型的零售數位服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電商龍頭Momo今（3/26）揭露2024年推動電商成長的新做法，包括零售媒體聯播網（RMN）服務「Momo Ads」、開店平臺服務「Mo店+」、支援直播電商的數位工具，以及輔助物流最後一哩路的新物流據點類型「衛星站」。</p> <p><strong>RMN服務正式上線</strong><br /> 去年3月，Momo便透露進軍廣告業務的意圖，隨後於8月正式開始籌備，並在第4季上線RMN服務Momo Ads。Momo電商事業資深副總經理洪偉釗表示，這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。</p> <p>Momo Ads廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。廣告主還能從後臺看到即時廣告成效報表，分析廣告點擊、曝光、商品成交、成交內容等數據，並快速調整投廣策略。</p> <p>洪偉釗坦言，讓供應商願意買單這種新型態廣告並非易事。Momo策略是讓數字說話，希望廣告投資報酬率（ROAS，Return on Ad Spend）可以和Google、Meta等大型廣告平臺看齊。為此，Momo RMN團隊仍在持續嘗試改善推薦演算法精準度。</p> <p><strong>重新推出開店平臺服務</strong><br /> Momo今年開始試營運開店平臺服務Mo店+，提供客製化開店模組，以及Momo金流、物流、行銷工具等付費服務。</p> <p>早年，Momo有推出摩天商城開店平臺服務，後來終止服務。Momo總經理谷元宏不諱言，當初推出開店平臺服務時，不僅自己規模較小，且動機接近於跟風。穩坐電商龍頭地位後，他們希望利用自家平臺影響力及資源，再次挑戰開店平臺服務。</p> <p>谷元宏表示，這次推出開店平臺動機明確，是要透過外部商家品項，來補齊一般B2C電商不容易找到的商品。為了確保商家品質。Mo店+目前採取邀約制，初期希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。</p> <p>開店平臺服務也有望為Momo RMN業務注入一波成長動能。谷元宏說明，開店平臺店家通常希望有更多行銷自主性和彈性，自助式投廣模式的RMN，正好符合這個需求。</p> <p><strong>用數位服務強化直播電商</strong><br /> Momo已經有電視電商及直播電商頻道，今年，為了讓站上品牌能進一步經營直播電商，他們還要推出品牌專屬直播製作服務及自助式直播工具。</p> <p>前者是為有大規模直播節目製作需求的品牌提供製作、行銷、設計、數據復盤等服務。後者則是推出<a href="https://play.google.com/store/apps/details?id=com.momoshop.android.streampusher&hl=zh_TW&gl=US">直播用App</a>，讓品牌能輕鬆建立好直播環境，展開直播電商業務。</p> <p><strong>設立配置更精簡的送貨據點來強化最後一哩路物流</strong><br /> 谷元宏坦言，目前Momo物流效率仍是北部強於南部。今年，Momo南區儲配運輸物流中心預計於第二季完工、第三季試營運，預計能改善此情況。不只如此，Momo還打算建置新種類智慧物流據點「衛星站」，來強化最後一哩路物流。</p> <p>衛星站比衛星倉更小型，占地約100坪，主要用途不是商品倉儲，而是當作物流節點。衛星站將搭配AI智能選品配置及路線規畫技術，有訂單需求時，才會從鄰近倉儲調貨到離消費者最近的衛星站，供車隊取貨、送貨。</p> <p><strong>用Mo幣進軍企業福利電商的業務持續成長中</strong><br /> Momo去年宣布，將利用旗下會員點數Mo幣打入B2B電商。今日洪偉釗進一步揭露，這類業務有兩種型態，第一是直接販售Mo幣給Acer等大型企業，作為福利點數發放給員工，第二則是上架Mo幣到其他企業福利網，成為該福利網其中一個企業福利選項。由於業務剛起步，企業福利電商所發行的Mo幣占總發行量（100億顆）比例仍非常小，但相比去年仍成長了50%。</p> <p>谷元宏補充，Momo營業費用相比去年幾乎不變，惟IT投資持續增加，以支援RMN、智慧倉儲等新IT建設。</p> <p> </p> </div></div></div>
2024/3/27 09:52作者郭又華https://www.ithome.com.tw/news/161959
【廠商永續支援度盤點：Pure Storage】 Pure1維運管理平臺提供能耗與碳排監控支援功能，透過儀表板快速查看…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-6e6823b6-7fff-8611-bf86-f325df5f2719">儲存廠商Pure Storage去年底開始在其雲端維運管理平臺Pure1中新增永續性評估的功能，不只可以監控儲存設備使用的整體能耗，還能夠提供年度的碳排放當量資訊，方便企業監控和管理這些儲存設備的碳排，作為改善其能耗與碳排的參考依據。</p> <p dir="ltr">近幾年，不只伺服器廠商開始重視IT設備能耗與碳排放資訊管理，各大儲存業者也紛紛加強儲存產品的能耗與碳排數據的監控和追蹤，讓企業可以快速了解這些儲存設備使用的能耗和碳排數據，Pure Storage也是積極搶進的其中一家業者，去年底開始在Pure1維運管理平臺中推出能耗與碳排放監控支援功能。</p> <p dir="ltr">Pure1是Pure Storage在2015年推出的雲端維運管理平臺，可以為自家儲存設備提供統一監控與管理功能，並可透過AI幫助用戶分析與管理儲存環境。Pure1在去年9月推出一個永續性評估儀表板，加入能耗與碳排放監控功能，可以監控包含FlashArray全快閃儲存陣列、FlashBlade物件儲存設備在內的能耗與碳排的情況，方便企業蒐集和管理這些儲存設備使用的碳排數據，來因應永續發展和法遵要求。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%20Pure1%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20-Pure%20Storage(1).png" style="width: 600px;" /></p> <p dir="ltr"><strong style="color: rgb(105, 105, 105);">從Pure Storage提供的永續儀表板的畫面中，企業可以快速查看使用FlashArray或FlashBlade設備在全球不同營運據點的整年總耗電量和碳排放量，還能根據容量利用率、效率和功耗等指標的呈現，顯示每臺儲存設備的目前狀態，讓使用者更容易了解各據點的能耗和碳排放情況。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Pure Storage</span></p> <p dir="ltr"> </p> <p dir="ltr"><strong><span style="font-size:28px;">新增永續性評估功能，可以查看儲存設備使用能耗與碳排</span></strong></p> <p dir="ltr">從Pure Storage提供的永續儀表板的畫面中，企業可以快速查看使用FlashArray或FlashBlade設備在全球不同營運據點的整年總耗電量和碳排放量，還能根據容量利用率、效率和功耗等指標的呈現，顯示每臺儲存設備的目前狀態，讓使用者更容易了解各據點的整體能耗和碳排放情況。</p> <p dir="ltr">在儀表板中還設有一整排的六角形格子，每個格子都代表一臺臺儲存設備，並以不同的顏色顯示其狀態，例如紅色的格子代表設備可能出現異常耗電的情形，須立即採取必要行動，綠色則表示這臺設備運作是處於正常的狀態。當使用者用游標點選格子圖案時，可以進一步查看對應該儲存設備的詳細資訊，包括機型、所屬資料中心等，在格子中還會根據其標示的顏色提供不同的改善建議。</p> <p dir="ltr">Pure1平臺定期會從用戶的儲存設備取得有關CPU的運行狀況、記憶體使用狀況、耗電量、資料減量率等資訊，這些儲存設備會以每30秒一次的頻率，將這些資訊上傳到雲端資料中心，接著利用AI等分析技術進一步分析處理後，再透過永續儀表板向用戶提供改善建議，幫助使用者優化能源使用和減少碳排放。</p> <p dir="ltr">在永續儀表板中，還會提供企業組織的年度永續資訊摘要，其中包含全年的電力使用和直接碳排放資訊與設備整體運作效率，此外，企業還可以比較Pure Storage設備和其他廠商同級設備之間的差異，了解可以因此省下多少用電與碳排放。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%20Pure1%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20-Pure%20Storage.png" style="width: 600px;" /></p> <p dir="ltr"><strong style="color: rgb(105, 105, 105);">在永續儀表板中還設有一整排的六角形格子，每個格子都代表一臺臺儲存設備，並以不同的顏色顯示其狀態，例如紅色的格子代表設備可能出現異常耗電的情形，須立即採取必要行動，綠色則表示這臺設備運作是處於正常的狀態。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Pure Storage</span></p> <p dir="ltr">在年碳排放量的估算上，Pure Storage利用聯合國氣候變遷政府間專家委員會（IPCC）推估方法來計算儲存設備使用的溫室氣體排放量，利用一周平均用電推估一年MWh總用電量後，再乘上碳排係數後，轉換成年度的二氧化碳排放當量，之後再根據每個資料中心使用再生能源的比例，調整計算出的碳排放量，方便企業根據整年碳排放量預估來制定減碳策略。</p> <p dir="ltr">不僅如此，使用者還可以透過永續儀表板進一步放大查看每個據點中個別儲存設備的能耗狀況，除了提供基本資訊如設備機型、版本等，還包含了每7天平均機架伺服器的容量利用率、尖峰功耗、熱度以及每TB的能源效率等資訊。不過，目前僅能查看儲存設備的整體年度碳排，不含單一設備的碳排資訊。</p> <p dir="ltr">Pure Storage表示，用戶使用其FlashArray或FlashBlade儲存設備，就能夠免費使用Pure1這套維運管理平臺，其中包含了永續儀表板。</p> <p>除了在雲端維運平臺新增永續儀表板，Pure Storage近幾年也持續將永續發展融入到營運策略中，包括環境足跡、製造流程和供應鏈方面等，此外，在軟硬體產品設計上也十分重視永續性，例如提供更高的儲存密度、更有效的資料減量，從而節省實體儲存空間，以降低能源使用。</p> </div></div></div>
2024/3/27 10:26作者余至浩https://www.ithome.com.tw/news/161903
微軟傳Surface部門主管將統掌硬體、Windows、Web開發業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周<a href="https://www.ithome.com.tw/news/161865" target="_blank">宣布新成立AI部門</a>後，微軟可能又有組織變動。媒體報導，微軟負責Copilot、Bing等開發的部門主管將下臺，由Surface部門主管統一掌理Windows及Surface硬體部門。</p> <p><a href="https://www.theverge.com/2024/3/25/24111931/microsoft-windows-surface-pavan-davuluri" target="_blank">《The Verge》</a>昨日取得體驗+裝置部門執行副總裁Rajesh Jha的對內公開信報導，因為Mikhail Parakhin將「另尋新角色」，因此Surface部門主管Pavan Davuluri將接管負責Windows、Copilot、Bing、Edge的Windows+Web體驗部門，以及Windows+Surface硬體部門，並向Jha報告。根據Jha的說法，Parakhin轉到技術長暨執行副總裁Kevin Scott旗下，支持組織完成轉型。</p> <p>兩部門過去即隷屬同一主管，但原主管Panos Panay突然在9月跳槽Amazon後，微軟將其部門切分為二，一是Parakhin率領的Windows+ Web體驗部門，二是Surface裝置及晶片部門，由Pavan Davuluri執掌。</p> <p>Davuluri已是微軟23年資深員工，2021年升任至現職。他也是微軟和AMD及高通合作，以開發微軟自製晶片的核心人物。</p> <p>雖然根據微軟內部信件，Parakhin仍然留在微軟，但其他媒體則報導他將離開公司。原因可能和AI部門的成立有關。</p> <p>上周微軟執行長<a href="https://www.ithome.com.tw/news/161865" target="_blank">Satya Nadella宣布</a>成立新AI部門，延攬AI新創公司共同創辦人Mustafa Suleyman為最高主管，該部門也將涵括生成式AI（GenAI）部門，以及Parakhin部門開發的Copilot、Edge、Bing業務，Parakhin和GenAI主管Misha Bilenko都得向Suleyman報告。</p> <p>報導引述Jha的說法，Windows部門未來將會和Microsoft AI部門在AI、晶片和體驗上密切合作。AI早已是微軟產品策略的重點，不僅是Windows、Bing和各項服務，連硬體也是。<a href="https://www.ithome.com.tw/news/161907" target="_blank">上周微軟才宣布</a>第一批具有Copilot專用鍵的商用Surface筆電及平板。</p> <p>微軟官方尚未證實此項組織異動消息。</p> </div></div></div>
2024/3/27 09:34作者林妍溱https://www.ithome.com.tw/news/161962
針對雲端服務供應商再出手，Redis 7.4轉移使用RSAL與SSPL雙重授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Redis官方<a href="https://redis.com/blog/redis-adopts-dual-source-available-licensing/">宣布</a>從Redis 7.4版本開始，將更換原本所使用的3-Clause BSD（Berkeley Software Distribution）授權條款，改使用RSALv2（Redis Source Available License）與SSPLv1（Server Side Public License）雙重授權（Dual-License）。根據新授權方法，託管Redis產品的雲端服務供應商，將不被允許免費使用Redis原始碼，雲端服務供應商必須要Redis同意才能提供Redis 7.4。</p> <p>在2022年的時候，Redis開始以RSALv2、SSPLv1雙重授權發布包括RedisJSON、Redis Stack等模組，而現在Redis逐漸要把所有免費軟體轉向雙重授權，官方提到，雙重授權方式讓使用者可以在RSALv2和SSPLv1之間選擇。</p> <p>而從Redis 8開始，官方計畫在產品中添加新的資料類型和處理引擎，這些功能原本是Redis Stack的一部分，同樣使用RSALv2或是SSPLv1授權，而在Redis 8上市之後，Redis Stack生命周期將會結束，官方不會再提供這些功能的獨立建置版本。</p> <p>雖然Redis官方認為，RSALv2是一種寬鬆的Non-Copyleft授權，允許用戶使用、複製、發布、提供以及改作。但是RSALv2有兩項主要限制，第一是不得將軟體商業化或作為託管服務提供給他人，第二則是不得刪除和隱藏任何授權、版權和其他通知。</p> <p>而SSPL則是MongoDB所發布的原始碼授權條款，目的是要保護開放原始碼，避免遭雲端服務供應商濫用，解決雲端服務供應商在SaaS模型下，使用開源軟體提供雲端服務，但是又不共享改進或是強化版本的問題。SSPLv1強制組織必須公開提供服務所使用的原始碼，包括該軟體的任何修改與衍生作品，以及服務營運相關的所有後端程式碼，也就是強制要求提供服務的公司，必須遵守開源軟體的分享精神。</p> <p>很明確的是，RSALv2和SSPL都不是開放原始碼組織（Open Source Initiative，OSI）所核可的授權，因為這兩個授權對原始碼的使用都有一些限制。Redis官方強調，這次變更對Redis的終端使用者、第三方函式庫以及商業客戶皆無影響，主要影響對象是發展Redis競爭性產品的組織，無論選擇雙重授權的任何一個授權，現在都無法免費使用新版本的Redis原始碼。</p> <p>官方所定義的競爭產品，是指以Redis程式碼基礎所開發、銷售給第三方，而且功能與Redis產品有明顯重疊產品，包含第三方託管服務、嵌入式解決方案，甚至是付費支援等，都屬於Redis的競爭產品。而當Redis之後創建的產品，與用戶在生產環境中的產品出現競爭關係，則只要用戶繼續使用Redis新產品推出之前所發布的Redis版本，則不會被視為違反RSALv2或SSPLv1。</p> </div></div></div>
2024/3/26 22:09作者李建興https://www.ithome.com.tw/news/161960
【資安日報】3月26日，Google搜尋提供的AI建議竟列出詐騙網站和惡意網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月Google在I/O大會宣布啟動搜尋引擎的<a href="https://blog.google/products/search/generative-ai-search/">生成式搜尋體驗（Search Generative Experience，SGE）專案</a>，今年初開放部分用戶使用，可在完成搜尋後一併得到生成式AI的建議，然而，有專家發現，SGE竟會提供垃圾網站及惡意網站作為參考資料。</p> <p>對此，有研究人員進行調查，並指出可能是遭遇SEO中毒所致。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/google/googles-new-ai-search-results-promotes-sites-pushing-malware-scams/"><strong style="font-size: 22px;">Google人工智慧搜尋建議內容疑遭SEO中毒，參雜惡意網站連結</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GJSgsp5WwAA8uau.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GJSgsp5WwAA8uau.png" style="width: 300px; float: right;" /></a>近期Google開始在搜尋引擎加入生成式搜尋體驗功能（SGE），藉此在搜尋結果提供由AI產生的快速摘要，以及相關網站等其他建議資訊。然而，有人發現SGE竟會推薦垃圾網站及惡意網站，使得用戶容易上當。</p> <p>此情況最初是由<a href="http://twitter.com/lilyraynyc/status/1771217301863289140">Amsive Digital搜尋引擎最佳化（SEO）顧問Lily Ray揭露</a>，資安新聞網站Bleeping Computer循線進行調查發現，SGE推薦的網站具備幾種特徵，例如：使用.online頂級網域名稱（TLD）、套用相同的HTML模版、會進行重新導向的網站。</p> <p>該網站推測，這樣的結果很有可能是SEO中毒攻擊造成，導致相關的惡意內容被Google索引納入。</p> <p><a href="https://therecord.media/ukraine-isps-attacks-solntsepek-sandworm-gru"><strong style="font-size: 22px;">與Sandworm有關的俄羅斯駭客團體傳出攻擊烏克蘭網路服務供應商</strong></a></p> <p></p> <p>3月13日俄羅斯駭客組織Solntsepek聲稱攻擊了4家烏克蘭網路服務供應商Triacom、Misto TV、KIM、Linktelecom，原因是他們是對政府機關及武裝部隊提供網路服務的業者，而這群駭客試圖干擾上述業者營運，並竊得內部文件及客戶資料庫。</p> <p>報導此事的資安新聞網站Recorded Future News指出，由於上述廠商在烏克蘭較鮮為人知，很難確認上述說法的真實性。烏克蘭國家特別通訊暨資訊保護局（SSSCIP）正在調查上述事故，並表示攻擊者是俄羅斯駭客組織Sandworm旗下團體UAC-0165。烏克蘭國家安全局（SBU）也表示，他們已著手調查，但目前發現的證據都和Solntsepek有關，這群歹徒去年曾攻擊烏克蘭大型電信業者Kyivstar。</p> <p>Triacom、Misto TV、KIM發出公告，表明正逐步復原相關服務。而對於駭客所使用的犯案工具，很有可能是3月21日資安業者SentinelOne公布名為AcidPour的資料破壞軟體（Wiper），此惡意程式為另一款資料破壞軟體AcidRain的變種，採用C語言打造而成，當時研究人員推測，很可能與俄羅斯軍事情報局（GRU）的駭客有關。</p> <p>資料來源</p> <p>1. <a href="https://t.me/solntsepekZ/1481">https://t.me/solntsepekZ/1481</a><br /> 2. <a href="https://cert.gov.ua/article/6123309">https://cert.gov.ua/article/6123309</a><br /> 3. <a href="https://www.triangulum.ua/contacts">https://www.triangulum.ua/contacts</a><br /> 4. <a href="https://www.facebook.com/kimltd/posts/pfbid03QZycg5jfwGuGKgndeAzEPrABDcHFRp9B5gpsoMm7cHVV5hPWeDZ2UiFhK6TvJGYl?__cft__[0]=AZVLTcvM5rv4ilOSLdulTTY4ae_ShiO5tm29d62aw_-LuqaBWxIjghkGhqA7an58jUdLNJI6ah0Ia2CTG_cWORByUkW8l0dXs9dlmbfyymxhQR5be5usRw51zwDUzDpQSXwogKa6ux1FbQrP3LAi-08osbYY3dxJ9_bGTXtizThbZccLG_ux3_gdvEve03a_1Nc&__tn__=%2CO%2CP-R">https://www.facebook.com/kimltd/posts/pfbid03QZycg5jfwGuGKgndeAzEPrABDcHFRp9B5gpsoMm7cHVV5hPWeDZ2UiFhK6TvJGYl?__cft__[0]=AZVLTcvM5rv4ilOSLdulTTY4ae_ShiO5tm29d62aw_-LuqaBWxIjghkGhqA7an58jUdLNJI6ah0Ia2CTG_cWORByUkW8l0dXs9dlmbfyymxhQR5be5usRw51zwDUzDpQSXwogKa6ux1FbQrP3LAi-08osbYY3dxJ9_bGTXtizThbZccLG_ux3_gdvEve03a_1Nc&__tn__=%2CO%2CP-R</a><br /> 5. <a href="https://www.facebook.com/misto.tv/posts/pfbid02QLf4nWa6vhRE3Zkf3tYrLQ5HTYhznnmod6MiHCjix63TcPiTVJgxgch3R2fPxNhFl?__cft__[0]=AZU9COTeiDEGbT1gho8DuYSxOzdaFic1pam3bwjZHAQ9VT4rmsF4MCqNrISjDLVbSUaPil_LVG-tIr7Ju-tyXHzLmAshcO5kz7sIeLtrL9aAtlFFl-S6O1QKpAGRI7T1VAKIgO8RN6XD3leqmhXz62Z7jHSlxFE492ECeDgGEcxBSA&__tn__=%2CO%2CP-R">https://www.facebook.com/misto.tv/posts/pfbid02QLf4nWa6vhRE3Zkf3tYrLQ5HTYhznnmod6MiHCjix63TcPiTVJgxgch3R2fPxNhFl?__cft__[0]=AZU9COTeiDEGbT1gho8DuYSxOzdaFic1pam3bwjZHAQ9VT4rmsF4MCqNrISjDLVbSUaPil_LVG-tIr7Ju-tyXHzLmAshcO5kz7sIeLtrL9aAtlFFl-S6O1QKpAGRI7T1VAKIgO8RN6XD3leqmhXz62Z7jHSlxFE492ECeDgGEcxBSA&__tn__=%2CO%2CP-R</a><br /> 6. <a href="https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/">https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/</a></p> <p><a href="https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware/"><strong style="font-size: 22px;">惡意程式BunnyLoader 3.0被用於竊取受害電腦資料，並散布其他惡意軟體</strong></a></p> <p></p> <p>2023年9月出現的惡意軟體載入工具BunnyLoader，最近幾個月重新打造，資安業者Palo Alto Networks發現，對方在2月發布3.0大改版，號稱提高性能，並藉由降低惡意酬載檔案大小、強化鍵盤側錄的功能，增強90%的攻擊威力。</p> <p>研究人員對其程式進行分析，結果發現駭客開始採用RC4加密處理與C2的通訊，並拆分竊資軟體、剪貼簿攔截器、鍵盤側錄工具、DoS模組，攻擊者可選擇性部署所需模組來減少足跡。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-vulnerability-advisory-cve-2023-7060-missing-security-control-zephyr.html"><strong style="font-size: 22px;">物聯網及嵌入式裝置作業系統Zephyr OS存在漏洞，有可能被用於DoS攻擊或IP位址詐欺</strong></a></p> <p></p> <p>資安業者Synopsys指出，有不少物聯網裝置及嵌入式設備採用的作業系統Zephyr OS，其網路堆疊模組存在漏洞CVE-2023-7060，起因是該作業系統的IP封包處理缺乏安全控制機制。</p> <p>研究人員發現，其網路堆疊的實作，不會丟棄來源位址是本機的外部封包，違反網路安全實作，而有可能被用於IP位址詐欺攻擊，CVSS風險評分為8.6，影響2.7至3.5版Zephyr OS。</p> <p>一旦攻擊者觸發，就有可能導致設備面臨服務阻斷現象。研究人員去年12月通報並得到確認，專案維護團隊於今年1月完成修補，並於3月發布資安公告。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-15/"><strong style="font-size: 22px;">Mozilla修補Pwn2Own揭露的Firefox零時差漏洞</strong></a></p> <p></p> <p>3月22日Mozilla發布Firefox 124.0.1、ESR 115.9.1，修補兩個危急（Critical）層級的零時差漏洞CVE-2024-29943、CVE-2024-29944，這些漏洞的發現，是來自上週舉辦的漏洞挖掘競賽Pwn2Own Vancouver 2024，皆由研究人員Manfred Paul揭露。值得一提的是，這兩個漏洞是本次漏洞挖掘競賽最早得到修補的弱點。</p> <p>其中，CVE-2024-29943為越界存取（Out-of-bounds access）漏洞，攻擊者可透過欺騙基於範圍的邊界檢查機制，從而對JavaScript物件進行越界讀取或是寫入。</p> <p>另一個漏洞CVE-2024-29944與權限繞過有關，攻擊者能將事件處理程序注入握有特殊權限的使用者，而能夠透過主要處理程序執行任意的JavaScript指令碼。Mozilla強調，該漏洞存在於電腦版Firefox，行動裝置版本不受影響。</p> <p><a href="https://www.ithome.com.tw/news/161711"><strong style="font-size: 22px;">蘋果防堵聲音指紋辨識用戶身分的措施遭到破解</strong></a></p> <p></p> <p>為了防範他人在網站藉由聲音指紋辨識、追蹤用戶，蘋果在去年9月發表的大改版Safari 17當中，引入名為進階聲音指紋辨識防護功能，這項技術將會限制可用的資訊並加入隨機雜訊內容，以便降低辨識的準確度。但追蹤技術供應商Fingerprint認為，蘋果的做法仍有不足之處，因為他們藉由降噪處理避開保護機制，成功對瀏覽器產生唯一識別碼。</p> <p>研究人員指出，不只Safari對於聲音指紋辨識採取行動，Tor、Brave等瀏覽器也導入對應的機制，但他們仍能還原其聲音指紋。</p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nstc.gov.tw/folksonomy/detail/6b560d28-e503-4bf8-8977-47e25ac605b7?l=ch"><strong style="font-size: 22px;">2024年Gics尋找資安女婕思競賽報名即將於3月底截止</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gics2024-all.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gics2024-all.jpg" style="width: 300px; float: right;" /></a>3月8日國家科學及技術委員會開放「2024 GiCS尋找資安女婕思」競賽報名，即將於31日截止。</p> <p>尋找資安女婕思競賽今年已邁入第4屆，本次的競賽分組規畫，包含高中職及大專院校組，比賽項目則有「資安闖天關」及「創意發想賽」。值得一提的是，為擴大資安人才培育，本次的創意發想賽特別增列非資訊科系的組別，希望讓更多對資安有興趣的同學參與，發想出生活各面向可能產生的資安需求和問題。</p> <p>此次競賽預定在4月27日於臺南沙崙資安暨智慧科技研發大樓舉辦決賽，並舉辦第5期「女婕思好科技」研習活動。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.sekoia.io/tycoon-2fa-an-in-depth-analysis-of-the-latest-version-of-the-aitm-phishing-kit/"><span style="font-size: 20px;">新型態網路釣魚工具包Tycoon 2FA鎖定微軟365、Google用戶，並能繞過雙因素驗證</span></a></strong></p> <p></p> <p><a href="https://www.mandiant.com/resources/blog/initial-access-brokers-exploit-f5-screenconnect"><strong><span style="font-size: 20px;">中國駭客組織UNC5174鎖定BIG-IP、Confluence、ScreenConnect漏洞發動攻擊</span></strong></a></p> <p></p> <p><a href="https://www.rapid7.com/blog/post/2024/03/20/the-updated-apt-playbook-tales-from-the-kimsuky-threat-actor-group/"><strong><span style="font-size: 20px;">北韓駭客組織Kimsuky利用CHM檔案散布惡意程式</span></strong></a></p> <p><strong><a href="https://www.tenable.com/blog/flowfixation-aws-apache-airflow-service-takeover-vulnerability-and-why-neglecting-guardrails"><span style="font-size: 20px;">研究人員揭露FlowFixation漏洞，攻擊者有可能用來一鍵接管AWS服務帳號</span></a></strong></p> <p><a href="https://comsec.ethz.ch/research/dram/zenhammer/"><strong><span style="font-size: 20px;">AMD Zen處理器恐面臨ZenHammer記憶體攻擊的風險</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> </div></div></div>
2024/3/26 16:41作者周峻佑https://www.ithome.com.tw/news/161956
超高容量儲存媒體時代來臨
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1174-feng_mian_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=Ts0Z1hG7" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SSD、硬碟與磁帶，都在過去幾個月出現重大的容量規格突破，不僅打破這5年來的容量成長停滯，也將為企業儲存應用帶來新的風貌，讓我們一起了解3大儲存媒體的容量發展現況與前景</p> </div></div></div>
2024/3/26 14:45作者張明德https://www.ithome.com.tw/article/161913
CISA督促業者在產品出貨前檢查SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）與美國聯邦調查局（FBI）<a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-eliminating-sql-injection-vulnerabilities-software" target="_blank">本周發布了安全設計警報（Secure by Design Alert）</a>，呼籲技術製造商在產品出貨前應該針對程式碼展開正式審查，以辨識任何的SQL注入（SQL Injection，SQLi）漏洞。</p> <p>此一警報是源自於勒索軟體集團CL0P在2023年藉由檔案傳輸管理軟體MOVEit的零時差漏洞<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023" target="_blank">CVE-2023-34362</a>，攻陷各大組織的前車之鑑而來，它即是個位於MOVEit Transfer網頁應用程式的SQL注入漏洞，允許未經授權的駭客存取MOVEit Transfer資料庫，進而推斷有關資料庫架構與內容的資訊，並執行可變更或刪除資料庫元素的SQL語法，受害者從政府組織、航空公司、教育機構、金融機構到醫療供應商，根據<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/" target="_blank">資安業者Emsisoft的統計</a>，至少有超過2,700家組織被駭，波及逾9,000萬名使用者的個資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0326-CL0P%20Ransomware-CVE-2023-34362-MOVEit.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA</span></span></p> <p><a href="https://www.ic3.gov/Media/News/2024/240325.pdf" target="_blank">CISA與FBI表示</a>，儘管在過去20年來人們已廣泛理解SQLi漏洞，也有了有效的緩解措施，然而，軟體製造商依然繼續開發具備此一缺陷的產品，使得許多客戶面臨風險，就算自2007年開始，像SQLi這類的漏洞已被視為不可原諒的安全漏洞，但相關漏洞依舊普遍存在。例如<a href="https://cwe.mitre.org/data/definitions/89.html" target="_blank">SQLi類型漏洞CWE-89</a>去年仍登上前25款最危險漏洞排行榜。</p> <p>SQLi注入漏洞主要是因應用程式無法妥善驗證使用者所輸入的SQL查詢，使得駭客得以於輸入欄位注入惡意的SQL程式碼來操控查詢，在攸關SQLi的安全設計守則中，建議業者在開發軟體時，應該隔離SQL程式碼及使用者所輸入的資料，確保系統不把使用者的輸入視為SQL語法，例如強制使用參數化查詢。</p> <p>CISA與FBI督促軟體製造商的高階主管針對其程式碼展開正式審查，以確定其對SQLi危害的敏感度，同時鼓勵它們的客戶詢問供應商是否曾進行該審查，此外，在發現漏洞時，應可確保其軟體開發商能立即從所有現在或未來的軟體產品中，緩解此類的安全漏洞。</p> </div></div></div>
2024/3/26 11:50作者陳曉莉https://www.ithome.com.tw/news/161947
美、英制裁與中國駭客組織APT 31有關的武漢曉睿智科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/seven-hackers-associated-chinese-government-charged-computer-intrusions-targeting-perceived" target="_blank">美國於周一（3/25）控告</a>及制裁與中國駭客組織APT 31有關的武漢曉睿智科技（Wuhan XRZ）及相關人士，指控它們共謀展開電腦入侵與電信欺詐，凍結它們在美國的資產，同一天英國也出面譴責並宣布追究APT 31組織的責任。</p> <p>APT 31據信為中國國家級駭客，<a href="https://www.ithome.com.tw/news/138083" target="_blank">Google在2020年便曾揭露</a>APT31企圖滲透當時的美國總統候選人拜登（Joe Biden）團隊，<a href="https://www.ithome.com.tw/news/145798" target="_blank">隔年法國也發現</a>來自APT31的攻擊行動。</p> <p><a href="https://home.treasury.gov/news/press-releases/jy2205" target="_blank">根據美國的調查</a>，負責APT 31行動的中國湖北省國家安全局（HSSD）在2010年成立了Wuhan XRZ，作為展開網路攻擊的幌子公司，APT 31鎖定美國政府高級官員與國家安全顧問展開網釣攻擊，這些受害者可能任職於國防工業基地、資訊科技或能源部門等美國關鍵基礎設施，並長期監控重要的國外政界人士、外交政策專家、學者、記者或民主活動人士。</p> <p>美國司法部控告了7名中國人，宣稱這7名被告參與了APT 31組織的攻擊行動，針對數千名美國或外國的個人與公司發送了超過1萬封的惡意電子郵件，這些電子郵件含有隱藏的追蹤連結，收件者只要簡單地開啟郵件，就會曝露收件者的位置、IP位址、網路概要，以及所使用的裝置，再利用這些資料進行更直接與複雜的攻擊行動，例如破壞收件者的家用路由器或其它電子設備。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0326-The%20State%20Department-rewards-APT31.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／美國國務院</span></span></p> <p>美國司法部也指控APT 31針對2020年美國總統大選的兩黨競選工作人員展開攻擊，也企圖滲透數十家企業，包括5G網路設備供應商、無線技術供應商與國防承包商等。</p> <p>被告中的倪高彬與程鋒負責管理用來入侵美國電信業者的C&C伺服器及網域名稱，孫小輝與翁明所負責的基礎設施則用來滲透美國知名的民意調查公司，倪高彬及趙光宗針對中國的異議份子發送惡意郵件，程鋒、孫小輝、翁明及熊旺皆參與了惡意程式的測試與利用。</p> <p>遭到美國制裁的則是Wuhan XRZ，以及倪高彬與趙光宗，指出趙光宗是Wuhan XRZ的承包商，負責執行許多惡意攻擊行動，包括針對支持民主的香港人士發動攻擊，至於倪高彬則是2020年攻擊美國海軍學院與美國海軍戰爭學院中國海事研究所的幕後黑手。</p> <p>英國則說，英國選舉委員會的系統很可能在2021年至2022年間遭到APT 31組織的破壞，決定對Wuhan XRZ、趙光宗與倪高彬展開制裁。</p> </div></div></div>
2024/3/26 13:15作者陳曉莉https://www.ithome.com.tw/news/161948
傳iPhone可能在中國使用百度AI聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《<a href="https://www.wsj.com/tech/apple-held-talks-with-chinas-baidu-over-ai-for-its-devices-76879b7f#" target="_blank">華爾街日報</a>》與中國《<a href="https://www.chinastarmarket.cn/detail/1628713" target="_blank">科創板日報</a>》相繼報導，蘋果已和中國網路巨擘百度洽談，將在中國境內銷售的iPhone 16及Mac電腦上執行百度的聊天機器人文心一言（ERNIE Bot）。</p> <p>蘋果將在iOS 18、iPhone 16及macOS作業系統上搭載中國本地開發的AI聊天機器人。報導引述消息人士指出，蘋果也曾經洽談阿里巴巴及另一家中國AI模型公司，但最後由百度出線。但中國以外地區銷售的iPhone及其他產品，仍將使用蘋果自己的大型語言模型。</p> <p>報導指出，蘋果是因應中國政府合規要求而做這項決定。《<a href="https://9to5mac.com/2024/03/25/apple-buying-ai-services-from-baidu/" target="_blank">9to5mac</a>》也分析，雖然是目前仍是傳言，但也極有可能，為加快腳步，蘋果需要一個中文AI模型。此外，中國政府要求AI服務上市前必須先取得當局核准。文心一言是中國政府許可上市的40多種AI模型之一。</p> <p>而且蘋果的作法已有前例。三星最新上市的Galaxy S24在全球其他地方都是使用Google Gemini聊天機器人及AI模型（如圖片生成功能Imagen），但在中國境內也是使用文心一言。</p> <p>蘋果此舉旨在挽救在中國的iPhone業務。就在美國政府持續杯葛華為，北京方面從公家資訊設備開始揚棄Intel、AMD晶片之際，蘋果執行長Tim Cook上周卻仍造訪中國，拜會當地供應商及進行其他不公開活動。</p> <p>昨日在中國媒體報導後，百度在香港股價一度上揚超過6%，而阿里巴巴則下跌逾1%。百度和蘋果皆未對此評論。</p> <p>事實上，不單在中國，以全球市場層次來看，蘋果也需要藉由AI功能來持續iPhone的銷售動能。蘋果目前在AI模型及AI服務方面落後OpenAI、Google。上周《<a href="https://www.ithome.com.tw/news/161827" target="_blank">彭博</a>》報導，蘋果可能會在iPhone 16執行Google Gemini或OpenAI的ChatGPT。</p> </div></div></div>
2024/3/26 10:31作者林妍溱https://www.ithome.com.tw/news/161945
微軟釋出實驗性.NET UI智慧元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正在實驗新的<a href="https://devblogs.microsoft.com/dotnet/introducing-dotnet-smart-components/">.NET UI智慧元件</a>，該元件不需要開發者重新設計使用者體驗，或是研究機器學習和提示詞功能，就可以直接使用預先建置的端對端人工智慧功能。開發者可以直接將.NET UI智慧元件加入到使用者介面中，以相對簡單的方法在現有軟體添加人工智慧功能。</p> <p>現在.NET UI智慧元件主要有三項功能，分別是智慧貼上、智慧文字輸入區域（TextArea）和智慧下拉選單（ComboBox）。智慧貼上元件讓使用者只要點擊按鈕，元件就會以剪貼簿中的資料自動填寫表單，與網頁應用程式的表單一起使用，方便用戶可從外部來源添加資料，又不需要重新輸入。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/dotnet/wp-content/uploads/sites/10/2024/03/smart-paste-address.gif" style="width: 600px;" /></p> <p>智慧文字輸入區域是傳統文字輸入區域的升級版，允許開發者配置自動完成句子的功能，這些句子可以根據特定的風格、政策和預定義的網址進行生成，這代表使用者在輸入文字時，智慧文字輸入區域能夠根據開發者設定的風格和參數來建議句子，這不僅可增加使用者打字速度，也可免除記憶網址等資訊的需要。</p> <p>而智慧下拉選單則可透過配對語義提供建議，協助使用者更快找到選項。與傳統下拉選單相比，智慧下拉選單分析使用者的輸入，並推薦最相關的選項，而不是只提供一個靜態列表而已。</p> <p>微軟提到，.NET UI智慧元件還只是一項實驗功能而已。目前可使用於.NET 6以上版本的Blazor、MVC和Razor頁面，之後官方可能還會支援像是.NET MAUI、WPF和Windows Forms等其他.NET UI框架。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ZWH4yJGJaeg?si=MZfmKRxOjU2aXxkA&start=93" title="YouTube video player" width="560px"></iframe></div> <p> </p> </div></div></div>
2024/3/26 08:28作者李建興https://www.ithome.com.tw/news/161943
Confluent Tableflow可將Kafka串流資料轉為Iceberg表格最佳化分析流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業級Kafka平臺Confluent推出新解決方案<a href="https://www.confluent.io/blog/introducing-tableflow/">Tableflow</a>，其目的在於簡化將Apache Kafka串流資料轉換為Apache Iceberg表格，用於資料湖、資料倉儲和分析引擎的過程。Tableflow能夠一鍵將Kafka主題和相關架構轉換成Iceberg表格，省去過去分析營運資料所需要的繁瑣過程。</p> <p>Confluent強調，Iceberg逐漸成為資料分析領域中，資料表格式的開放標準。不同的計算引擎和資料湖倉能夠透過Iceberg，簡單地存取和處理資料，進而支援靈活且開放的資料架構。雖然企業的營運和分析兩大領域，需要存取相同的資料，但是不同存取方式的需求，導致組織需要重複執行同樣的工作，像是將應用程式串連起來，資料再經過ETL流程轉移到資料湖倉中。</p> <p>因此營運和分析領域之間更方便的資料流動和轉換，成了企業重要的需求之一，而Tableflow的出現，便是要統一營運和分析領域的資料處理，使Confluent用戶可一鍵將Kafka和相關架構轉換為Iceberg表格，使得將串流資料存放進資料湖倉的過程更加簡單。</p> <p>Tableflow運用了Kora儲存層創新技術，將Kafka片段寫入為Apache Iceberg底層儲存格式Parquet。而在後臺，Tableflow使用了一個新的後設資料轉換器（Materializer）連接Confluent架構註冊表，生成Iceberg後設資料，同時處理架構映射、架構演變和類型轉換等工作。讓用戶不需要手動映射。</p> <p>資料品質規則會在上游強制執行，不相容的資料在源頭就會被拒絕，並且可在開發中簡單地被偵測出來。用戶的資料產品可以進入自家的資料湖倉，並且以串流和表格等方式存取。除了架構管理之外，Tableflow還會持續將串流資料產生的Parquet小檔案，壓縮轉換成更大的檔案，也維持良好的讀取效能。</p> <p>目前透過Iceberg REST目錄就可以存取Iceberg表格，使用者只要複製Iceberg REST目錄端點，並使用Confluent Cloud API金鑰和機密作為憑證，並將其傳遞給Iceberg相容的運算引擎即可。Tableflow的初始版本會將資料儲存在Confluent Cloud中，之後官方會允許用戶選擇將Iceberg後設資料和Parquet檔案儲存在自己的物件儲存中。現在Tableflow還處於早期階段，想嚐鮮的開發者可以申請搶先體驗。</p> </div></div></div>
2024/3/26 08:16作者李建興https://www.ithome.com.tw/news/161941
知名框架Vue團隊發布高效靜態網站生成器VitePress 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Vue開發團隊以Vue框架與前端建置工具Vite為基礎，開發了靜態網站生成器<a href="https://blog.vuejs.org/posts/vitepress-1.0">VitePress</a>，現在正式推出1.0版本。VitePress能夠解析Markdown語法編寫的內容，在套用主題之後，生成可以簡單部署的靜態HTML頁面。</p> <p>VitePress附帶了一個專為技術文件設計的預設主題，可用於創建和維護技術文件。除此之外，VitePress也支援全自定義主題，提供標準Vite和Vue應用程式的開發體驗，供開發者可以利用Vite豐富套件生態系建置部落格、個人作品集和行銷網站，官方提到，VitePress靈活的API可在建置時載入資料並動態生成路由，其適用於可在建置時確定資料的網站開發需求。</p> <p>VitePress也擁有Vite即時伺服器啟動能力，不需要重新載入頁面，開發者的編輯會在不到100毫秒的時間內，迅速反映在網頁上。而且VitePress支援包括Frontmatter、表格、語法突出顯示等Markdown擴充，供開發者可使用許多程式碼操作功能，方便地編輯技術文件。</p> <p>高效能是靜態網站生成器VitePress的重要特色，其生成的網站在首次存取時，提供靜態、預渲染的HTML，因此可實現快速的載入速度，然後藉由Vue高效的動態化（Hydration）過程，把頁面轉換為單頁應用程式（SPA），即便在低階裝置也可高效運作。</p> <p>此外，當用戶在網站內部導航時，VitePress利用單頁應用程式模型，避免全頁面重新載入，提供更快的後續頁面載入速度，並自動預取可視範圍內的連結，加快導航速度。在VitePress中，每頁Markdown語法都會被編譯為Vue元件，透過智慧分割靜態和動態內容，最小動態化成本和負載大小。</p> </div></div></div>
2024/3/26 08:19作者李建興https://www.ithome.com.tw/news/161942
Fintech周報第235期：國際清算銀行實驗LLM自動彙整企業永續揭露資訊，公開RAG優化作法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/18~3/22金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續資料蒐集</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大型語言模型 </span></strong></span></p> <h3>BIS實驗以LLM模型自動彙整企業報告的永續揭露資訊，公開自家RAG優化作法</h3> <p>為了協助央行、監管機構和金融機構快速分析永續揭露資訊，國際清算銀行（BIS）近期與西班牙央行、德國央行和歐洲央行合作啟動蓋亞計畫，實驗以大型語言模型從企業報告中自動彙整氣候相關指標，目前完成概念驗證。</p> <p><a href="https://www.bis.org/publ/othp84.pdf">蓋亞計畫報告</a>中提到，目前缺乏全球性的永續報告標準，不僅許多企業的永續數據分散在文字、表格或圖表等多種形式，不同地區對指標的命名方式和定義也有所差異，讓分析師無法有效蒐集永續揭露資訊。因此，BIS計畫建立一個開放的Web工具，採用微服務架構部署在雲端平臺上，能彙整非結構化資料中的永續揭露資訊，並提供使用者設定關鍵指標數量。</p> <p>團隊使用187間金融機構彙整的企業報告進行測試，依據11項操作步驟處理LLM常見的問題，例如，回應時間長、回應的不一致和幻覺等挑戰。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-25%20171557.png" style="width: 600px;" /></p> <blockquote><p>蓋亞計畫將11項操作步驟定義為11個設計選擇（design choice），處理LLM常見的問題，例如，回應時間長、回應不一致和幻覺等挑戰。</p> </blockquote> <p>第一步，團隊建立一個包含永續指標的索引資料庫，要求LLM模型根據這些資料，為數十個永續關鍵撰寫五到七句的定義，制定統一標準，協助模型更準確取出相關資訊。第二步，團隊將每份企業報告拆分成數頁，並將頁面轉為向量，也將第一步撰寫的KPI定義轉為向量，兩者進行相似性搜索。接著，使用特定公式衡量向量間的相似度，取出前五個相似的頁面送入LLM模型。第三步，以提示工程指定LLM的回應方式，包括角色設定、任務細節和回應的內容和規格，以及不尋常的情況下應採取的操作等，讓LLM模型根據第一步生成的永續指標定義，來搜索相關資訊。第四步，將LLM模型中用來控制隨機性的溫度參數調為零，讓模型回應有更高的準確率。最後一步，模型的回應會被分解為個別區段，並上傳至關聯數據庫。如果LLM模型無法生成有效的特定規格，則重新查詢一次，若依舊失敗則記錄情況，以手動解決。</p> <p>隨機抽取163份企業報告進行檢驗，取出數據的份數有104份，其中，約有80份報告提取的永續揭露資訊完全正確，約有20份報告內容有誤。發生錯誤的主要原因有兩個，一是LLM模型無法解釋過於複雜的表格，二是報告資料有缺漏，例如缺少年份。</p> <p>BIS這項計畫已經驗證了技術可行性，未來考慮公開釋出這套工具，以及將作法擴展到綠色金融以外的情境，例如用在其他需要從PDF檔案彙整資料的場景。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人臉辨識支付</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nacer Pay </span></strong></span></h3> <h3>Naver Pay開始在韓國慶熙大學中支援臉部辨識支付功能</h3> <p>韓國科技巨頭Naver旗下的行動支付服務Naver Pay宣布，將在韓國慶熙大學推出臉部辨識的支付功能。使用者在手機上註冊臉部資訊後，就可以在校園中的餐廳、咖啡館使用臉部辨識完成支付。Naver Pay表示，使用者首次註冊臉部資訊時，系統會以AI分析臉部資訊，加密儲存臉部特徵。該系統也導入詐欺偵測功能，來避免異常的註冊行為。在支付階段中，系統會以深度學習模型來支付者的人臉，準確率超過99％。</p> <p>去年八月，Naver Pay在韓國金融科技週展示其防止透過照片或影片進行支付，引起外界關注，直到現在，Naver Pay終於正式對外推出可商用的人臉辨識支付功能。他們表示，未來將會持續關注慶熙大學內的使用者回饋，並陸續將臉部辨識支付功能擴展到其他地區，例如，大學校園、公司和主題樂園等一人會重複支付多次的場景。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATM故障</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 銀行服務中斷 </span></strong></span></h3> <h3>衣索比亞銀行更新系統導致ATM出錯，民眾溢領現金高達臺幣12億</h3> <p>衣索比亞商業銀行16日發生ATM故障事件，大量民眾領走高於自身帳戶存款的現金。根據當地新聞報導，估計約新臺幣12億元被提領。該行發布聲明中表示，ATM事故起因是系統更新出錯，而非網路攻擊。該行在事發前一日下午三點更新系統，晚上八點左右，行內IT單位接獲交易流程發生問題，IT人員被叫回公司，但直到11點半，仍未解決故障問題，因此該行先停止提供所有數位服務，直到週六上午才停止分行服務。不料，民眾已在週六半夜溢領大量現金。</p> <p>週六上午，衣索比亞商業銀行陸續查到半夜發生的帳戶交易資訊，他們暫時將那些帳戶封鎖，並向收款機構請求阻止交易。直到週六晚上七點才恢復分行服務、ATM服務和數位服務。在聲明中，衣索比亞商業銀行表示，他們在2022年推動數位轉型，近幾個月來成功翻新銀行App和數位錢包，增加許多數位服務。不過，聲明中並未說明更新或故障的系統類型。該行也並未說明損失金額，僅表示這次事件造成的損害非常小。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果反壟斷</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NFC技術 </span></strong></span></h3> <h3>美國對蘋果提出一系反壟斷訴訟，包括限制第三方業者使用蘋果的NFC技術</h3> <p>美國司法部和15位州檢察總長近期向蘋果提出反壟斷訴訟，除了指控蘋果壟斷智慧型手機市場，也包括阻止第三方應用程式使用非接觸式支付。目前，Apple Pay是唯一一個能在IOS行動裝置上使用NFC技術的行動支付工具，美國許多銀行對此提出譴責，認為這個限制阻礙了相關應用程式的競爭。訴狀中表示，蘋果拒絕讓用戶使用其他數位錢包，讓用戶失去享有更多樣的功能的機會，同時，蘋果也不給予開發數位錢包的銀行業者機會，提供更先進的數位支付服務給顧客。</p> <p>這是繼歐盟之後，第二個抗議蘋果獨佔NFC技術的國家。今年一月，歐盟表示蘋果已提出10年承諾，將提供電子錢包業者和支付服務商能在iphone上使用NFC付款的API。蘋果也承諾，可以讓用戶在iphone上更改預設的付款應用程式，並支援Face ID驗證。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BNPL</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 印尼GoTo </span></strong></span></h3> <h3>印尼科技巨頭GoTo將與TikTok合作推BNPL服務</h3> <p>印尼科技巨頭GoTo近日在財報會議中證實，他們正在推動兩個新計畫，一項是與TikTok合作推出BNPL服務，另一項是和金融業者合作，向駕駛推出車貸服務。GoTo被譽為東南亞最大獨角獸，目前在印尼提供多種服務，包括電商、叫車、摩托車出租、外送平臺和金融服務等。</p> <p>印尼為TikTok的第2大市場，每月活躍用戶1億2,500萬人，他們過去曾開設TikTok shop經營電商生意，隨著印尼政府在去年九月宣布禁令，要求社群平臺僅能推銷商品，不能在平臺上交易，TikTok shop因此宣布結束運作。不過，TikTok去年斥資15億美元投資GoTo合併雙方的電商業務，兩間企業的合作關係因此展開。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 歐洲央行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據標準 </span></strong></span></h3> <h3>歐洲央行和歐洲銀行局將為銀行整合監理報告所需的數據標準</h3> <p>歐洲央行和銀行局近期宣布，將加大力度為銀行整合監理報告中有關統計、監管和決策的數據，建立共同的數據標準，以提高銀行製作監理報告的效率。這項政策是因應歐盟在2021年提出的一項戰略。當年，歐盟提出金融服務監管數據戰略，目標是現代化歐盟各國的監管報告，建立一個能為歐盟各國提供準確、一致和即時的數據系統，減少監管機構彙整報告的負擔。</p> <p>歐洲央行和銀行局表示，他們的其中一項關鍵計畫是建立一個通用型資料字典，定義銀行監理報告所需的統計、監管和決策資料，讓新舊報告都適用於這套標準。</p> <p>其他重要Fintech新聞：</p> <ul> <li>萬事達卡推個人化推薦平臺，以AI分析顧客消費行為，供企業參考推薦商品</li> <li>愛沙尼亞LHV銀行和Open AI合作，開放內部員工使用ChatGPT Enterprise</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／國際清算銀行</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年3月</p> <p></p> </div></div></div>
2024/3/25 15:37作者李昀璇https://www.ithome.com.tw/news/161939
鎖定75臺以下設備中階無線網路部署，HPE推出Wi-Fi 6E機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_instant_on_ap32_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無線網路規格推陳出新，市面上出現越來越多標榜支援Wi-Fi 7的基地臺，然而，近期仍有廠商推出支援Wi-Fi 6與Wi-Fi 6E的產品，例如，今年2月HPE Networking針對中小企業網通設備產品線Instant On系列，推出AP21與AP32，分別對應這兩種規格，預計2月中旬開放訂購。</p> <p>其中又以AP32最受矚目，因為它是該系列第一款支援Wi-Fi 6E、6 GHz無線通訊頻段的款式。值得注意的是，這款機型採用2x2 MIMO的天線架構，雖然支援6 GHz、5 GHz、2.4 GHz這三種頻段，但實際運作上，只能同時啟動兩個頻段。</p> <p>例如，若需支援更寬廣的無線網路訊號覆蓋範圍，AP32可選擇同時啟用6 GHz與2.4 GHz，適用於連網設備密度居中的工作場所；若需要更大的網路頻寬，AP32可選擇同時啟用6 GHz頻段與5 GHz頻段，最高可提供3.6 Gbps的網路吞吐量（2.4 Gbps加上1.2 Gbps），而這樣的傳輸效能規格，可因應中階的網路連線速度要求，在Instant On系列現行機型當中，僅次於AP25——基本上，這款設備採用4x4天線架構，同時啟用5 GHz頻段與2.4 GHz頻段時，最多可提供5.2的網路吞吐量（4.8 Gbps加上574 Mbps）。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/Technical specifications for the Instant On AP32-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Technical%20specifications%20for%20the%20Instant%20On%20AP32-Web.jpg" style="width: 600px;" /></a></p> <p>關於同時負荷的Wi-Fi連網設備數量上，AP32最高可支撐75臺，同於其他同樣採用2x2 MIMO天線架構的Wi-Fi 6機型，例如：AP22、AP22D AP25、AP27。就單一基地臺而言，如果需用於同時負荷更多臺Wi-Fi連網設備的網路傳輸要求，可改用AP25，最多可支撐到100臺以上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Technical specifications for the Instant On AP32-Datasheet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Technical%20specifications%20for%20the%20Instant%20On%20AP32-Datasheet.jpg" style="width: 600px;" /></a></p> <p>至於另一款2月新發表的AP21，則是鎖定低頻寬與低密度部署的無線網路環境部署需求，適合設置在小型零售店面或小組會議室。以Wi-Fi網路吞吐量而言，這款機型最多可提供1.5 Gbps（1.2 Gbps加上300 Mbps），而在負荷同時連網的無線設備數量上，最多可支撐50臺。</p> <p>在網路埠的配置上，現行Instant On系列的Wi-Fi 6與6E基地臺，都支援乙太網路供電（PoE）的部署，新推出的AP32與AP25、AP22D一樣，皆內建1個2.5GbE規格的上行埠，其他機型如AP21、AP22、AP27，均搭配1個GbE規格的上行埠。AP22D的網路埠較特別，除了位於機殼背部的2.5 GbE埠，機殼底部還有4個GbE埠，可透過網路線分接4臺設備，其中兩個GbE埠可作為供電設備（Power Sourcing Equipment，PSE），將電力輸送至受電設備（Power Device，PD）。</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>HPE Aruba Instant On AP32</strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax<br /> ●天線架構：6GHz、5GHz、2.4GHz均為2x2 MIMO<br /> ●傳輸速度：最高總共為3.6 Gbps，6GHz為2.4 Gbps，5GHz為1.2 Gbps，2.4GHz為574 Mbps<br /> ●連接埠：1個2.5 GbE埠（支援PoE）<br /> ●供電方式：DC或PoE </p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/25 17:30作者李宗翰https://www.ithome.com.tw/review/161935
【資安日報】3月25日，俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期俄羅斯駭客APT29的動作頻頻，多國政府與資安專家接連對其攻擊行動提出警告，呼籲各界強化防禦措施，以防對方從事網路間諜活動、竊取組織內部機密的情況。</p> <p>但近期有一起攻擊衝著德國政黨而來，揭露此事的資安業者Mandiant認為對方別有目的，很有可能是為了影響該國政治情勢。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.mandiant.com/resources/blog/apt29-wineloader-german-political-parties"><strong style="font-size: 22px;">德國政黨團體遭到俄羅斯駭客APT29鎖定，散布惡意軟體WineLoader</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/apt29-wineloader-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt29-wineloader-fig1.png" style="width: 300px; float: right;" /></a>俄羅斯駭客過往針對歐美政府機關攻擊的情況不時發生，如今也轉移目標，瞄準特定政黨而來。</p> <p>資安業者Mandiant揭露俄羅斯駭客組織APT29（亦稱Midnight Blizzard、Nobelium、Cozy Bear）的攻擊行動，對方從今年2月下午，假借基督民主聯盟（CDU）的名義寄送釣魚郵件，鎖定德國聯邦議會Bundestag的第二大政黨而來。</p> <p>研究人員看到駭客聲稱邀請參加晚宴為誘餌，內容包含URL，收信人一旦依照指示操作，電腦就有可能下載ZIP壓縮檔，植入惡意程式載入工具Rootsaw，隨後攻擊者可藉此在電腦部署名為WineLoader的後門程式。研究人員表示，這是他們首度看到APT29針對政治團體的攻擊行動。</p> <p><a href="https://securelist.com/crimeware-report-android-malware/112121/"><strong style="font-size: 22px;">數款安卓惡意程式鎖定土耳其、俄羅斯，以及東南亞用戶而來</strong></a></p> <p></p> <p>資安業者卡巴斯基公布調查2023年安卓惡意程式的情況，他們發現2021、2022年趨緩，但2023年出現惡意程式大幅增加的情況，他們阻止了近3,380萬次對行動裝置的惡意軟體、廣告軟體、具潛在風險的軟體攻擊，較2022年多出50%。</p> <p>研究人員公布3款去年特別值得留意的惡意程式，分別是鎖定土耳其、偽裝成IPTV應用程式的間諜軟體Tambir，以及針對中國OEM製造、銷往俄羅斯的手機而來的Dwphon。第3個惡意程式Gigabud，則是假冒泰國及秘魯公司的名義，以提供貸款來散布，攻擊者可透過其螢幕錄影及模仿使用者點選的能力，繞過雙因素驗證（2FA）。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161909"><strong style="font-size: 22px;">蘋果M系列處理器存在微架構旁路弱點GoFetch，恐被用於竊取加密演算法金鑰</strong></a></p> <p></p> <p>伊利諾大學、德州大學、柏克萊加州大學、華盛頓大學、卡內基美隆大學、喬治亞理工學院的研究人員聯手，公布能針對蘋果M系列處理器的旁路攻擊手法GoFetch，他們透過「記憶體相依的資料預先讀取機制（Data Memory-dependent Prefetcher，DMP）」，從而在以常數時間為基礎的加密演算法擷取金鑰，這項弱點影響的範圍，涵蓋M1至最新的M3，並研判Pro、Max、Ultra版本的處理器也可能曝險。</p> <p>研究人員指出，雖然Intel的Raptor Lake微架構也具備DMP，但由於其啟動要求較為嚴格，而具備抵禦相關攻擊的能力。</p> <p>值得留意的是，他們在去年12月5日向蘋果通報此事，迄今尚未得到回應，對此，研究人員表示，他們接下來會公布概念性驗證（PoC）程式碼。</p>  <p><a href="https://ithome.com.tw/news/161930"><strong style="font-size: 22px;">研究人員揭露電子門鎖漏洞Unsaflok，影響1.3萬家旅館、300萬把門鎖</strong></a></p> <p></p> <p>一群研究人員公布在2022年下旬找到的電子門鎖漏洞Unsaflok，攻擊者可利用一組偽造的房卡，來解開Dormakaba製造的Saflok門鎖，估計影響131個國家、1.3萬套系統、超過300萬扇門。他們在2022年9月通報此事後，該門鎖製造商著手處理，並於2023年11月開始對部分旅館進行處理，截至今年3月，約有36%完成軟體更新或是更換設備處理。</p> <p>研究人員指出，攻擊者只需從旅館取得其中1張RFID房卡，並搭配MIFARE Classic卡片及寫入資料的工具，就可能發動Unsaflok攻擊。雖然研究人員尚未發現漏洞被實際利用的跡象，但由於這種電子門鎖已銷售長達36年，他們不排除已出現遭到利用的情況。</p> <p><a href="https://ithome.com.tw/news/161931"><strong style="font-size: 22px;">微軟三月例行更新導致Windows Server當機，22日發布緊急更新</strong></a></p> <p></p> <p>3月12日微軟發布例行更新（Patch Tuesday），傳出IT人員為Windows Server 2022、2016部署修補程式KB5035857、KB5035855之後，造成伺服器當機及服務停擺的情形，經調查是本機安全認證子系統服務（LSASS）占用大量記憶體所致，當時微軟承認獲報並著手處理，現在提供修補程式。</p> <p>22日微軟針對Windows Server 2022、2016、2012 R2發布多個系統更新公告，分別是KB5037422、KB5037423、KB5037426，並指出這次的更新程式，主要是因應安裝12日發布的修補軟體後，影響LSASS的情況，若不處理，將有可能導致網域控制器（DC）的記憶體洩露。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/">https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/</a><br /> 2. <a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3">https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3</a><br /> 3. <a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408">https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408</a><br /> 4. <a href="https://support.microsoft.com/en-us/topic/kb5037426-update-to-address-a-known-issue-that-affects-lsass-in-windows-server-2012-r2-eda1002a-4b4d-4c99-8383-b0e2bab5c1d0">https://support.microsoft.com/en-us/topic/kb5037426-update-to-address-a-known-issue-that-affects-lsass-in-windows-server-2012-r2-eda1002a-4b4d-4c99-8383-b0e2bab5c1d0</a></p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161917"><strong style="font-size: 22px;">DEVCORE資安研討會登場，揭露最新攻擊技術手法與企業資安破口</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/devcore-conf-2024.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/devcore-conf-2024.jpeg" style="width: 300px; float: right;" /></a>以紅隊演練聞名的臺灣資安業者DEVCORE戴夫寇爾，於3月16日舉行年度研討會DEVCORE Conference 2024，探討駭客創新攻擊技術和手法，以及他們所看到的實際企業資安風險，吸引近400名來自資安業界、學界人士參與。</p> <p>本次戴夫寇爾探討的議題，涵蓋AD CS憑證服務（Active Directory Certificate Services）配置不當帶來的危害、網頁應用程式防火牆（WAF）的深度解析、旁路攻擊新型態手法、紅隊工具開發的心法等。</p> <p>特別的是，這次也透露他們去年參與Pwn2Own 2023的心路歷程，而且，該公司首度特別邀請其他研究人員，由奧義智慧的專家來從藍隊身分、紅隊視角，提供不同的攻擊思路的探討。</p> <p><a href="https://moda.gov.tw/press/press-releases/11744"><strong style="font-size: 22px;">數位部出席布拉格資安會議，分享臺灣通訊韌性應變經驗</strong></a></p> <p></p> <p>專門探討網路及電信安全的資安會議Prague Cyber Security Conference 2024於3月19、20日舉行，數位發展部次長闕河鳴與資通安全署副署長鄭欣明率團參加，並拜會捷克國家網路及資訊安全局（NÚKIB），就臺捷資安合作議題進行交流。</p> <p>闕河鳴表示，海底電纜對於國內外通訊、安全、經濟至關重要，近年來遭受越來越多破壞、干擾與網攻威脅，數位部將持續盤點不同情境對通訊網路造成的風險，規畫多種異質通訊備援網路因應。他舉出去年3月馬祖連接臺灣的海纜中斷為例，當時數位部隨即切換為衛星通訊，以確保通訊韌性。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.microsoft.com/en-us/security/blog/2024/03/20/microsoft-threat-intelligence-unveils-targets-and-innovative-tactics-amidst-tax-season/"><span style="font-size: 20px;">美國報稅季來臨，駭客假借提供表單從事網路釣魚</span></a></strong></p> <p></p> <p><a href="https://unit42.paloaltonetworks.com/curious-serpens-falsefont-backdoor/"><strong><span style="font-size: 20px;">伊朗駭客組織假借徵才名義散布後門程式FalseFont</span></strong></a></p> <p></p> <p><strong><a href="https://unit42.paloaltonetworks.com/strelastealer-campaign/"><span style="font-size: 20px;">竊資軟體StrelaStealer透網路釣魚攻擊歐洲、美國超過一百個組織</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/mozilla-fixes-two-firefox-zero-day-bugs-exploited-at-pwn2own/"><strong><span style="font-size: 20px;">Mozilla發布Firefox 124.0.1、115.9.1，修補Pwn2Own揭露的零時差漏洞</span></strong></a></p> <p></p> <p><a href="https://www.facebook.com/gicstw/posts/pfbid037Mh5YNGytMveNTum9tzE7T8SF5gAnXq9YMVH1Ha2z4QYaczDrRHWb3J2FVEpfugFl"><strong><span style="font-size: 20px;">2024年Gics尋找資安女婕思競賽報名即將於3月底截止</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161868"><strong>【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</strong></a></p> </div></div></div>
2024/3/25 16:23作者周峻佑https://www.ithome.com.tw/news/161940
Meta揭露AR新技術，利用機器學習快速重建3D室內場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta發展出可用語言表示場景的場景生成新模型<a href="https://ai.meta.com/blog/scenescript-3d-scene-reconstruction-reality-labs-research/">SceneScript</a>，SceneScript的特色在於，程式不需要依賴寫死的規則，可透過端對端機器學習直接推斷房間的幾何形狀，並將其轉換為建築元素的近似值。該方法使得重建房間3D程式變得更加高效且輕巧，只需要數個位元組的記憶體，就可產生清晰且完整的幾何形狀，而且具有可解釋性，使用者可以簡單地閱讀和編輯這些表示。</p> <p>開發人員參考大型語言模型預測單字的方法開發SceneScript。Llama等大型語言模型具有預測下一個Token的能力，可以根據前面的單字來預測句子的下一個單字，像是輸入句子The cat sat on the……則模型會預測下一個單字可能是mat或是floor。SceneScript運用相同的概念，只不過SceneScript模型預測的並非是一般語言Token，而是預測像是牆或是門等建築Token。</p> <p>SceneScript模型經大量的資料訓練，能夠將視覺資料編碼為場景基本表示，並將其解碼為描述房間布局的語言。也就是說，SceneScript能夠根據視覺資料分析，和描述場景結構成文字，並使用這些描述重建出複雜的環境。</p> <p>通常大型語言模型會使用網路上大量的資料進行訓練，但是目前物理空間還沒有可以用來訓練端到端模型所需要的資料量，因此SceneScript開發團隊放棄使用物理環境資料，並且創建了一個Aria室內環境合成資料集。Aria資料集包含10萬個完全獨特的室內環境，每個環境都使用SceneScript語言進行描述，並配有走過每個場景的模擬影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0325-Meta-SceneScript.png" style="width: 600px;" /></p> <p>開發團隊使用專門用於加速人工智慧與機器學習研究的Aria眼鏡，來收集室內環境資料，並使用這些資料模擬出不同的室內環境。由於所有模擬訓練都不涉及真實世界個人資料，使得模型訓練過程可以在確保隱私的前提下進行，而且在訓練完成之後，也可以使用Aria眼鏡來驗證模型，確認模型擴展用於物理環境的能力。</p> <p>開發人員提到，SceneScript的優點之一是可擴展性，只需要在Aria合成環境資料集中的「門」添加附加參數，就可以訓練網路來準確預測物理環境中門開啟和關閉的程度。此外，透過在架構語言添加新特徵，SceneScript便可以準確預測物體的位置，並進一步將這些物件拆解成組成元件，像是沙發在SceneScript語言表示為一組幾何形狀，包含了墊子、椅腳和扶手，設計師可以使用這些細節來創建真正適用於各種物理環境的增強實境內容。</p> <p>SceneScript可以用於生成精確的室內地圖，對於開發混合實境和增強實境頭戴裝置非常重要，SceneScript也替大型語言模型提供了推理物理空間的必要詞彙，不僅擴展大型語言模型的應用範圍，也使其能更精確地理解和回答關於物理世界的複雜問題，在數分之一秒內就可以回答像是粉刷房間需要的油漆量等問題。開發人員認為，SceneScript是增強實境頭戴裝置的重要里程碑，能夠連起物理和數位世界。</p> </div></div></div>
2024/3/25 16:41作者李建興https://www.ithome.com.tw/news/161938
【資安週報】2024年3月18日到3月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的漏洞消息，在留意Atlassian修補CI/CD工具Bamboo重大漏洞，以及Ivanti修補同步應用系統Standalone Sentry的重大漏洞之餘，還一個大家可能容易忽略的消息是，1月HTTP非同步傳輸框架Aiohttp修補漏洞CVE-2024-23334，近期出現利用該漏洞的攻擊行動，研究人員認為，可能是勒索軟體駭客組織ShadowSyndicate所為。</p> <p>在重大資安新聞方面，我們認為，最需要優先關注國際貨幣基金組織與富士通的遭駭事件。</p> <p>國際貨幣基金組織（IMF）在15日公布遭遇網路攻擊事件，全球也正在關注後續發展。基本上，IMF是在二戰後為了穩定國際金融而成立，最近他們公布在一個月前發現遭遇網路攻擊，有11個電子郵件帳號被入侵。這不免令人聯想到1月微軟、HPE遭俄羅斯駭客Midnight Blizzard攻擊的事件，因為共通點這些機構都使用微軟雲端電子郵件服務。</p> <p>另一個IT界很關注的消息是富士通遭駭，該公司在15日發布資安公告，說明IT系統遭入侵，發現多臺電腦出現惡意軟體，目前該公司正調查被入侵的情況與確認資料是否外洩，暫不清楚是否有其他企業或其客戶資料受波及，有待後續調查結果公布。</p> <p>至於臺灣資安近況方面，趨勢科技近期發布2023年資安威脅態勢報告的新聞稿，當中特別強調臺灣須留意駭客組織Earth Estries動態，並指出對方專門針對政府機關與科技業而來，大家要密切關注後續狀況。</p> <p>其他重要資安新聞焦點，包括涉及Firebase曝險、竊資軟體與中國駭客組織動態的新聞，我們整理如下：<br /> ●企業需注意Firebase配置不當的曝險問題，研究人員進行這方面的大規模盤點，發現有900個網站曝險，暴露近2千萬筆明文帳密資料。<br /> ●駭客不只利用HTML Smuggling手法來迴避偵測，最近還出現新的作法，例如竊資軟體AZORult還用上反射式程式碼載入的手法來規避偵測並啟動。<br /> ●中國駭客組織Earth Krahang近兩年的攻擊活動被揭露，有45國、上百個組織被鎖定，已確認70個組織遭入侵，多是政府機關，另發現116個組織遭鎖定。</p> <p>關於新攻擊手法研究與漏洞的揭露，我們認為有3項消息，值得企業與資安研究人員重視，涵蓋DoS攻擊、LLM漏洞，以及利用處理器微架構特性的旁路攻擊手法：<br /> （一）發現新型阻斷服務攻擊手法Loop DoS，德國CISPA亥姆霍茲資訊安全中心指出，利用UDP通訊協定的弱點CVE-2024-2169，可導致彼此訊息無限循環回應，不只老舊通訊協定有同樣狀況，目前普遍常用的DNS、NTP、TFTP也受影響。<br /> （二）有研究人員揭露3個新的Google Gemini聊天機器人潛在的威脅，分別是可繞過安全防護機制的漏洞，利用Gemini Pro虛構生成功能的提示越獄漏洞，以及模擬重新設定的漏洞。<br /> （三）多名大學研究人員共同揭露GoFetch微架構旁路攻擊，資安日報近期尚未報導這方面消息，但已引發不小的關注，此手法是透過記憶體資料預先讀取機制（DMP），從常數時間程式實作中竊取加密金鑰，且蘋果M系列處理器易受此攻擊影響。</p> <p>在防禦態勢上，這星期有2項新進展，成為資安圈與開發圈的焦點。例如，提升組織內軟體供應鏈可見性的軟體安全評估工具GUAC，如今成為OpenSSF孵化專案，以及程式碼儲存庫GitHub發布程式碼自動掃描修復功能（Code Scanning Autofix），可協助開發者快速解決程式碼中的漏洞，目前已經支援JavaScript、TypeScript、Java與Python。</p> <p>此外，國際間還有兩個安全指引的頒布，可以作為企業組織的借鏡與參考。一是英國發布雲端資料收集與監控系統（SCADA）安全指引，因為已有許多企業組織將SCADA遷移到雲端，這部分資訊的確過去較少見；另一是因應針對中國駭客組織Volt Typhoon的威脅，最近英美等多國網路安全機構，提出防禦指引。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/161813"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月18日】國際貨幣基金組織電子郵件帳號傳出遭到挾持</span></strong></a></h3> <p style="margin: 0px;">又是大型組織的電子郵件帳號遭到入侵的情況！上週國際貨幣基金組織（IMF）發布公告，透露他們一個月前遭到網路攻擊，並指出駭客入侵了11個電子郵件帳號。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，IMF並未透露更多細節，但他們證實電子郵件系統採用Microsoft 365雲端服務，讓人不禁聯想此事的發生，是否與1月微軟、HPE揭露的電子郵件帳號遭駭事故有關。</p> <p><a href="https://www.ithome.com.tw/news/161852"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</span></strong></a></p> <p>半個月前<a href="https://www.ithome.com.tw/news/161607">資安業者趨勢科技揭露中國駭客組織Earth Lusca的攻擊行動</a>，並指出該組織與中國資安業者安洵信息（i-Soon）有所關連，但並未說明兩者之間的關係，如今相關調查出現新的進展。</p> <p>研究人員發現另一個與Earth Lusca攻擊手法相近，卻有顯著不同之處的駭客組織Earth Krahang，並根據安洵外流的內部資料，研判這兩組人馬就是由該公司經營。</p> <h3><a href="https://www.ithome.com.tw/news/161868"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</span></strong></a></h3> <p style="margin: 0px;">伺服器配置不當的情況，過往最常出現的是在公有雲系統，但應用程式開發系統出現配置不當的問題，也相當值得留意。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">最近有研究人員針對Google旗下的行動與網頁應用程式開發平臺Firebase進行調查，一口氣找到超過1億筆機敏資料（Secrets），值得留意的是，當中包含不少明文密碼。</p> <h3><a href="https://www.ithome.com.tw/news/161889"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</span></strong></a></h3> <p style="margin: 0px;">本月初JetBrains修補TeamCity兩個漏洞CVE-2024-27198、CVE-2024-27199，隨後就傳出有人將其用於攻擊行動，其中一組人馬就是曾經對臺灣發動攻擊的勒索軟體駭客組織「變臉」。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但事隔不到一週，但事隔不到一週，更多駭客也加入利用這些漏洞的行列，他們對TeamCity植入更多惡意程式，以便進行攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/161905"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</span></strong></a></h3> <p style="margin: 0px;">透過傳送大量訊號癱瘓設備運作的攻擊手法，可說是相當常見，但最近有研究人員揭露一種造成通訊無限循環而產生大流量的方法，一旦觸發，就算是攻擊者也無法將其停止。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這種新方法估計有30萬臺伺服器曝險，雖然尚未有人將其用於實際攻擊行動，但研究人員呼籲，IT人員還是應儘速採取因應措施。</p> </div></div></div>
2024/3/25 09:51作者羅正漢https://www.ithome.com.tw/news/161926
Threads接軌ActivityPub聯邦社群平臺，推向美、加、日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2024/03/21/networking-traffic/threads-has-entered-the-Fediverse/" target="_blank">Meta上周宣布</a>社群平臺服務Threads版和ActivityPub相容社群平臺互通，目前已有部份成果，並以Beta版本在數個國家上線。</p> <p>最新整合進展是Meta去年12月<a href="https://www.ithome.com.tw/news/160413" target="_blank">宣布</a>開始測試和Mastodon等ActivityPub平臺接軌後的最新成果，已實作在Threads Beta版，現階段會推展到美國、加拿大及日本。Meta指出，以ActivityPub開放社群網路協定執行Threads可提供用戶更大自由和選擇。每臺聯邦宇宙伺服器都能設定社群標準和內容仲裁政策，用戶可選擇符合自己的線上平臺。</p> <p>透過支援ActivityPub，Threads將可加入聯邦宇宙（fediverse），與其他和ActivityPub標準相容的服務互通。現在滿18歲具有公開個人檔案的Threads用戶可以選擇「加入聯邦宇宙」，即將Threads貼文分享到其他ActivityPub相容的伺服器，包括Mastodon，或允許這些伺服器上的用戶關注他們，或回覆、轉貼其訊息及按讚。Threads用戶也能直接在其App上看到加總的統計，如按讚數、回應數、或關注他們的用戶人數。</p> <p>不過，基於一些技術問題，目前整合尚未完全，能看到的訊息僅此於此。Threads無法看到其他服務按讚的用戶是誰，或是其他服務用戶的回應內容。想知道按讚者或回應內容者必須直接造訪其伺服器。此外，有回應限制的貼文、未加入聯邦宇宙的服務的回應或轉貼、有投票行為的貼文等暫時都無法加入。而且，若貼文有連結，但不是包含在貼文中，而是附件形式，則附件也會變成附加在貼文結尾的連結。</p> <p>Meta說明，有些整合問題並非出在Meta或其他服務，而是ActivityPub這個協定。例如在社群媒體受歡迎的引述貼文功能，ActivityPub就尚未提供處理的正式規格，使得各伺服器就得自己想方法，有的允許引述，有的則不支援。Threads則可做到以永久URL引述聯邦貼文。</p> <p>Meta表示，等這些和其他技術障礙逐一解決後，Threads會再以安全及確保使用體驗情況下，公布更多聯邦功能。</p> </div></div></div>
2024/3/25 12:10作者林妍溱https://www.ithome.com.tw/news/161934
Windows 記事本將新增拼字檢查、自動校正功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows長壽App記事本（Notepad）即將新增拼字檢查及自動校正功能，讓這個簡潔的App更好用。</p> <p>微軟將開始在Canary和Dev頻道將Notepad 11.2402.18.0版更新，釋出給Windows 11的 Insiders方案用戶，新增的拼字檢查功能可以自動以紅色底線標明拼錯的字，並提供修正建議。要修正拼錯的字，只要點選建議的拼字，或按下快捷鍵Shift+F10，就能更新為正確的字。若用戶判斷並非錯字，也可以選擇全篇略過，或是加入到字典中，Windows就不會再顯示紅色底線。</p> <p>目前這功能已支援多種語言。此外，新版更新還增加自動修正功能，可在用戶輸入過程中自動修正。</p> <p>記事本的拼字檢查功能在部份檔案類型中為預設開啟，但在log檔及和寫程式有關的其他類檔案則預設關閉。用戶可以在記事本的設定頁找到，開啟／關閉本項功能，或是暫時在該檔案的情境選單中啟用這功能。微軟也已改版設定頁，方便用戶找到、變更記事本設定。</p> <p>但即使Windows Insiders也不是所有人都會接獲這功能，因為微軟希望過程中蒐集用戶意見及監控下載情境，最後才會釋出給所有Insiders用戶。</p> <p>新版功能可望會整合在今年下半的Windows 11 24H2更新部署給PC用戶，這個版本目前也正在Canary及Dev頻道測試中。</p> </div></div></div>
2024/3/25 12:28作者林妍溱https://www.ithome.com.tw/news/161936
超過300萬個dormakaba電子鎖有被解鎖之虞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://unsaflok.com/" target="_blank">資安研究人員近日揭露</a>，知名安全業者dormakaba所推出的RFID電子鎖Saflok含有一系列的安全漏洞，允許駭客利用一對偽造的鑰匙卡解鎖單一飯店的所有房間，並將相關漏洞命名為Unsaflok。此一型號的電子鎖經常被應用在飯店與住宅大樓中，估計有超過300萬個散布在131個國家的電子鎖受到影響。</p> <p>dormakaba在1862年創立於瑞士，為當地知名且歷史悠久的安全業者，最初只是一家鎖匠與收銀機工廠，現階段所提供的產品已涵蓋實體門的五金、電子存取、入口系統、機械鑰匙系統、保險箱鎖，以及鑰匙系統等。</p> <p>Unsaflok漏洞影響Saflok系統的電子鎖產品，包括Saflok MT、Quantum系列、RT系列、Saffire系列和Confidant系列等，涉及System 6000、Ambiance與Community等管理軟體，研究人員是在2022年發現相關漏洞，同年9月通知dormakaba，<a href="https://go.dormakaba.com/security-support" target="_blank">雖然dormakaba已開發並公布緩解措施</a>，並自去年11月開始升級或更新飯店所使用的系統，不過截至今年3月，受到影響的門鎖中，只有36%已更新或更換。</p> <p class="rtecenter"><a href="http://unsaflok.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0325-dormakaba-Saflok%20MT%20and%20Saflok%20RT%20Plus-unsaflok.png" style="width: 556px;" /></a></p> <p>根據dormakaba的說法，相關漏洞與用來產生MIFARE Classic金鑰的金鑰衍生演算法，以及用來保護底層卡片資料的第二次層加密演算法有關。</p> <p>而研究人員則說，駭客只要從一個系統（一家飯店）中讀取一張鑰匙卡，即可對該系統的任何門展開攻擊，不管是駭客自己房間的鑰匙卡，或者是從快速結帳的鑰匙卡箱中所取得的鑰匙都可以。繼之駭客即可透過任何MIFARE Classic卡及任何可將資料寫入這些卡的工具來建立偽造的鑰匙卡，再利用這對偽造的鑰匙卡打開同一系統上的任何門。可用來的工具包括Proxmark3、Flipper Zero，或是支援NFC的Android手機。</p> <p>更新之所以進度緩慢的主要原因為所有的鎖都必須更新軟體或直接更換，而且所有的鑰匙卡都必須重新發行，前臺軟體及卡片編碼器也必須升級，而且也可能需要升級與第三方設備的整合，如電梯、停車場或支付系統等。</p> <p>儘管迄今並未收到任何攻擊報告，但研究人員指出，dormakaba於1988年便開始銷售Saflok，意味著此一系列含有安全漏洞的電子鎖已被使用超過36年，有人知道並濫用它並不是不可能的事。</p> </div></div></div>
2024/3/25 10:48作者陳曉莉https://www.ithome.com.tw/news/161930
微軟緊急修補Patch Tuesday導致Windows Server當機的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-gb/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3" target="_blank">微軟周五（3/22）緊急釋出Windows Server例外非安全更新</a>，以解決本月Patch Tuesday造成的Windows Server機器當機無法動作的問題。</p> <p>最新釋出的非安全更新編號KB5037422（OS Build 20348.2342），旨在解決3月12日Patch Tuesday釋出的Windows Server更新中LSASS（Local Security Authority Subsystem Service）服務的問題。LSASS為強制執行安全政策及處理用戶登入、產生存取憑證及變更碼的Windows服務。這問題可能導致網域控制器（domain controller，DC）記憶體洩露，主要是發生在用戶本地部署或雲端Active Directory DC處理Kerberos驗證呼叫時，而大量洩露可能造成記憶體使用過量，導致LSASS服務停止回應及DC不預期重新啟動。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-server-updates-cause-domain-controller-crashes-reboots/" target="_blank">Bleeping Computer上周首先報導</a>這波災難是微軟上周釋出3月份Windows Server更新的結果。用戶回報，安裝KB5035857（Server 2022）及KB5035855（Server 2016）的Windows Server機器因崩潰而造成服務停機，經查皆為LSASS大量使用記憶體。微軟當時已證實獲報，並正在調整此事。</p> <p>微軟現在已將最新服務堆疊更新（serving stack update，SSU）合併到最新的累積更新（LCU）。用戶可以在Microsoft Update Catalog下載獨立套件。除了<a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037422-os-build-20348-2342-out-of-band-e8f5bf56-c7cb-4051-bd5c-cc35963b18f3" target="_blank">KB5037422（Server 2022）</a>外，微軟也提供了<a href="https://support.microsoft.com/en-us/topic/march-22-2024-kb5037423-os-build-14393-6799-out-of-band-1775cda2-4bb6-43a9-9fd4-ddc3528d3408" target="_blank">KB5037423（Server 2016）</a>及<a href="https://support.microsoft.com/help/5037426" target="_blank">KB5037426（Server 2016 R2）</a>。Server 2019的例外更新會稍後釋出。</p> </div></div></div>
2024/3/25 11:11作者林妍溱https://www.ithome.com.tw/news/161931
結合多種資料保護與減量技術，NetApp雲端災難復原服務上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netapp_bluexp_disaster_recovery-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年11月的年度用戶大會Insight，NetApp發表全新儲存與資料服務平臺BlueXP，相隔一年之後，他們宣布將在此增設災難復原即服務（DRaaS），稱為BlueXP disaster recovery，並且釋出公開預覽版本，到了今年3月，這項解決方案正式上線。</p> <p>根據NetApp最初揭露的消息所言，BlueXP disaster recovery主要保護兩種環境，一個是針對建置在企業與組織內部的NetApp ONTAP儲存系統，以及在這上面所承擔的VMware軟體定義資料中心工作負載，一個是架構在AWS公有雲服務之上的VMware Cloud，當中使用雲端檔案儲存服務Amazon FSx for NetApp ONTAP。以後者而言，企業就不需要在第二座資料中心自行建立專屬的基礎架構，作為待命中的備援環境，可大幅節省災難復原解決方案的設置與維護成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20Data%20Protection-DR.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP Portfolio-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20Portfolio-2023-10.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/draas-onprem-to-cloud-onprem.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/draas-onprem-to-cloud-onprem.jpg" style="width: 298px;" /></a></p> <p>而在實際的技術運作架構上，BlueXP disaster recovery整合以SaaS雲端服務型態提供的BlueXP控制層，可簡化企業內部與雲端環境的災難復原部署、遠端複製，以及系統管理——需在上述兩種環境部署BlueXP Connector軟體，以便執行管理資料基礎架構的動作，由於此軟體會牽動BlueXP SaaS層的處理，需依靠它來實踐BlueXP所有功能與服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP Architecture-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20Architecture-2023-10.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP Connector-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20Connector-2023-10.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP modes-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20modes-2023-10.jpg" style="width: 298px;" /></a></p> <p>以細部作業流程來看，BlueXP disaster recovery能針對內部環境的ONTAP datastore連至另一站點的ONTAP datastore之間，或是連至FSx for NetApp ONTAP之間進行的災難復原，提供更輕鬆的操作方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dr-architecture-diagram-70.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dr-architecture-diagram-70.jpg" style="width: 600px;" /></a></p> <p>企業可透過易於使用的DR範本，指引故障轉移（failover），以及從備援系統切回主系統（failback）的自動處理，之後即可做到不間斷的保護、持續檢查是否遵循法規要求，以及更頻繁地執行演練測試，企業可藉此改善災難復原的準備度，對自身應變的能力更有信心，而不會影響正式環境的IT資源供應與服務可靠度。</p> <p>除此之外，BlueXP disaster recovery也提供多個時間復原點（point-in-time recovery points），可用於細部還原處理，具備更多使用彈性。而在資料保護的執行效率上，這套解決方案搭配NetApp的高效能遠端複製技術SnapMirror，可促使VMware工作負載的還原點目標（RPOs）與復原時間目標（RTOs），維持在較低與可預期的狀態。</p> <p>關於資料保護的方法，BlueXP disaster recovery在此運用NetApp的遠端複製技術SnapMirror，而能獲得重複資料刪除、壓縮、壓實（compaction）等精簡資料量的功能，提升儲存效率；同時，這裡額外搭配NetApp的區塊層級（block-level）、持續進行增量處理（incremental-forever）的遠端複製技術，可將頻寬耗用維持在低檔，以降低網路與儲存成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP disaster recovery-dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20disaster%20recovery-dashboard.jpg" style="width: 600px;" /></a></p> <p>就災難復原的整體流程而言，BlueXP disaster recovery能在不同階段提供那些功能？首先，企業能針對在VMware vSphere伺服器虛擬化平臺上面運作、而且是使用ONTAP儲存系統的NFS datastore的應用程式，建立可套用範本執行的災難復原計畫。</p> <p>我們可在此選定坐落在一臺或多臺vCenter的虛擬機器進行保護，接著選定備援vCenter或VMware Cloud叢集，一旦發生災難事故時，可啟動故障轉移，由這個備援站點接手負責執行工作負載，此外，我們可能需要套用重新設定的組態（reconfiguration），像是：個別或全部受保護機器的網路配置，在企業故障轉移作業後半段（post-failover）執行的專屬指令碼，以及每臺虛擬機器重新啟動的順序，同時，也需要定義復原點目標（RPO），設置對正式環境進行遠端複製作業的頻率，以及該保留的副本數量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP-DRaaS-replication%20plan-2023-10.jpg" style="width: 600px;" /></p> <p>接下來是利用NetApp的SnapMirror技術，將這些vSphere應用程式與資料，遠端複製到企業內部網路環境的另一臺備援系統，或是位於公有雲服務AWS的VMware Cloud災難復原站點。</p> <p>在這些工作完成之後，在不影響日常工作負載的狀況下，企業可以測試故障轉移的流程；接著是確認災難一旦發生時，能夠輕易地進行故障轉移。隨後則是監控主動式災難復原作業的運作狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP disaster recovery-testover.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20disaster%20recovery-testover.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP disaster recovery-job monitoring.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP%20disaster%20recovery-job%20monitoring.jpg" style="width: 298px;" /></a></p> <p>故障轉移會如何進行？首先是驗證位於備援端的VMware vCenter叢集是否正在運作，以及已經準備好接替故障的虛擬機器執行，第二步是啟動位於Amazob FSx for NetApp執行個體的ONTAP FlexVol儲存區，第三步是將這些儲存區當中的VMware datastore，在備援VMware vCenter註冊，第四步決定虛擬機器的組態是否該套用先前設置的重新設定，第五步是依照先前設定的開機順序，啟動每一臺受保護的虛擬機器，第六步是在個別虛擬機器的作業系統上，執行故障轉移作業後半段（post-failover）的指令碼，第七步是驗證所有虛擬機器都已經依照保護計畫的設置而重新啟動。</p> <p>最終是回復正常作業，在主站點（primary site）修復問題之後，可透過單鍵操作的簡易方式，將工作負載的執行從備援站點切換至主站點。</p> <p>至於為何BlueXP disaster recovery的故障轉移流程測試不會影響主站點的執行？NetApp表示，這裡與實際執行故障轉移作業有兩大差異，首先，每一套遠端複製計畫內含測試故障轉移的複製計畫，可在此定義多種設定，第二，在測試故障轉移時，會使用NetApp的ONTAP FlexClone技術，建立每個備援儲存區的副本，將這些複製體掛載至備援端的vCenter，因此僅透過暫存的虛擬基礎架構即可完成上述作業，而不會影響正式環境的虛擬機器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp BlueXP-DRaaS-TestFailOver-2023-10.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20BlueXP-DRaaS-TestFailOver-2023-10.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>NetApp BlueXP disaster recovery</strong><br /> ●原廠：NetApp<br /> ●建議售價：Pay-As-You-Go每月每GB為0.03美元，1年訂閱每月每GB為0.0285美元，3年訂閱每月每GB為0.0255美元<br /> ●解決方案供應形式：SaaS雲端服務<br /> ●保護對象：底層儲存採用NFS的VMware工作負載，內部網路為搭配NetApp儲存系統使用的VMware環境，雲端服務為AWS環境：Amazon FSx for NetApp ONTAP、VMware Cloud on AWS<br /> ●資料保護技術：NetApp遠端複製技術SnapMirror</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/25 11:17作者李宗翰https://www.ithome.com.tw/review/161924
中國政府正在遠離英特爾與AMD晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/7bf0f79b-dea7-49fa-8253-f678d5acd64a" target="_blank">《金融時報》（Financial Times，FT）近日報導</a>，中國政府的採購政策正在逐步遠離來自美國的晶片與作業系統，包括英特爾、AMD及Windows，實施範圍涵蓋政府機構與國營企業。</p> <p>此一報導源自於中國財政部在去年12月26日<a href="https://gks.mof.gov.cn/guizhangzhidu/202312/t20231226_3924086.htm" target="_blank">發表</a>了《台式計算機政府採購需求標準》，要求特定職級的黨政機關與政府直屬事業單位，在採購桌上型電腦時，應將CPU與作業系統符合安全可靠測評要求納入採購需求，同一天，中國信息安全測評中心即公布了涉及CPU、作業系統及資料庫等基礎軟、硬體的安全可靠測評結果，<a href="http://www.itsec.gov.cn/aqkkcp/cpgg/202312/t20231226_162074.html" target="_blank">列出</a>符合可靠定義的產品。</p> <p>其實中國政府並未指名要封鎖來自美國的產品，兩份文件都未提及美國或美國的產品名稱，只是在被認為安全可靠的產品名單中，清一色全是中國產品，包括有18款來自中國各家廠商的CPU，有6款源自中國的作業系統，以及11款皆由不同中國業者所開發的資料庫。</p> <p>《金融時報》引述消息來源報導，中國國營企業自去年便開始透過季報來呈現IT系統的改造進度。</p> <p>中國試圖以政策來擺脫對美國的依賴，惟現階段仍然容許各部門或國營企業有限制地採購英特爾、AMD或Windows等美國產品。</p> </div></div></div>
2024/3/25 11:48作者陳曉莉https://www.ithome.com.tw/news/161933
Apple全裝置Safari現在皆支援垂直表單控制元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在瀏覽器互通專案Interop 2023倡議之下，主要瀏覽器都開始統一垂直表單控制元件支援，而Apple在推出<a href="https://webkit.org/blog/15190/implementing-vertical-form-controls/">Safari 17.4</a>之後，所有裝置包括iOS上的Safari，都已經能夠正確呈現垂直書寫模式下的表單控制元件。支援垂直書寫模式對瀏覽器來說是一項大工程，因為需要重新調整許多表單控制元件的呈現方式，甚至需要為垂直書寫模式編寫特別的渲染邏輯。</p> <p>垂直文字書寫常見於東亞語言，包括中文、日文和韓文等都可以垂直書寫，並且從上到下閱讀，雖然CSS書寫模式屬性對垂直文字的支援已經實施一段時間，但是所有瀏覽器對表單控制元件vertical-lr和vertical-rl值的支援都不同，因此在Interop 2023中，各家廠商便決定實現更加一致的垂直書寫支援。</p> <p>要在已支援的瀏覽器中，顯示垂直表單控制元件，設定書寫模式屬性即可，從右到左的區塊流使用vertical-rl，而左到右區塊流則使用vertical-lr。支援垂直書寫模式的元件包括<button>、<textarea>、<progress>、<meter>、<input>和<select>等。不過，與表單控制元件相關的彈出式用戶介面，像是<select>的下拉選單，或是<input type=“color">顏色選擇器，仍然會以水平的方式顯示。要更好地支援垂直書寫模式，WebKit更新了其樣式表，使用邏輯屬性像是inline-size代替傳統的寬度，並且用block-size來代替高度，這些屬性更能適應不同的書寫方向，因為他們與內容的走向相關。</p> <p>而布局（Layout）方面，WebKit中的表單控制元件大量使用自定義的布局程式碼，以在不同的環境和條件保持一致和功能性，但開發團隊提到，這些實作設計皆考量水平書寫模式，在垂直書寫模式下會出現問題。因此WebKit開發團隊更新這些實作，在計算邏輯寬度時考慮書寫模式。自定義基線調整邏輯也更新使用垂直書寫模式的中央基線，使複選框和單選按鈕等控制元件，能與垂直文字相搭配。</p> <p>不只如此，WebKit表單控制元件於垂直書寫模式的渲染，在不同作業系統也需要特別調整。在macOS上，因為作業系統本身不支援垂直書寫模式，WebKit表單控制元件又需要和作業系統外觀和感覺維持一致，像是<progress>等控制元件，無法直接在垂直模式下渲染，因此WebKit會直接旋轉這些控制元件來支援垂直渲染，使其在垂直書寫模式下可用，且外觀又接近系統標準。</p> <p>但像是<select>這類元件具有陰影等細節，就無法單純透過旋轉，否則顯示會不正確。而WebKit便採用自定義回退渲染方法，這些控制元件在垂直模式下採用特別的渲染邏輯，因此這些控制元件和作業系統的原生元件外觀可能會有所不同。</p> <p>對於原本在WebKit中就已經是自定義繪製的控制元件，像是在iOS和macOS中的列表選擇框<select multiple>，現在皆使用邏輯座標而非物理座標，確保控制元件在垂直書寫模式的呈現一致。而像是複選框或是單選按鈕則不需要進行任何渲染變更，他們在所有書寫模式看起來都相同。</p> <p>目前桌面瀏覽器支援表單控制元件垂直書寫模式的有Firefox 120以上版本，以及Chrome124以上版本，Edge則處在部分支援的階段，而在行動裝置上，除了iOS上的Safari之外，還有Android的Firefox，也支援表單控制元件垂直書寫模式。</p> </div></div></div>
2024/3/24 23:08作者李建興https://www.ithome.com.tw/news/161922
提供3種預設組態，IBM大型主機系統推出更多入門款式
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ibm_linuxone_4_express_main2_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年8月，IBM發表7奈米製程的處理器Telum，預計用於新一代大型主機系統，時至2022年4月，該公司推出搭配這款運算晶片的z16多機櫃產品（multi frame），標榜這是業界首款量子安全系統——底層採用格構密碼學（lattice-based cryptography），以此建立保護資料與系統的安全原型，及早因應量子破密威脅。</p> <p>同年9月，他們發表第四代LinuxONE頂級款式Emperor（LinuxONE 4 LA1），同樣採用Telum，可提供具有高延展性的Linux與Kubernetes系統——提供1到4座19吋寬度機櫃的配置，採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為5.2 GHz），最多可設置200顆核心，記憶體最大可搭配40 TB，每顆中央處理器模組（central processing drawer）可搭配10 TB備援記憶體陣列（RAIM）。</p> <p>2023年4月，IBM接續發表單座機櫃型態的z16，以及第四代LinuxONE的中階款式Rockhopper（LinuxONE 4 LA2）。他們表示，LinuxONE 4 LA2僅提供1座19吋機櫃配置，強調提供入門級價格的高效率設計，能與雲端資料中心其他運算平臺共存，在處理器與記憶體的配置上，同樣採用雙晶片模組封裝的Telum（每顆晶片內建8核心、時脈為4.6 GHz），最多可設置68顆核心，記憶體最大可搭配16 TB，每顆中央處理器模組（central processing drawer）可搭配8 TB備援記憶體陣列（RAIM）。</p> <p>一個月之後，IBM增設新的入門款式LinuxONE 4 AGL，可提供安裝在企業既有機櫃的選項，使用10U到39U空間，處理器與記憶體的組態同於LinuxONE 4 LA2。</p> <p>到了今年2月，IBM發表新款大型主機系統LinuxONE 4 Express，鎖定中型與小型企業環境，主打高效能、安全，以及支援AI運算等特色。基本上，這是基於LinuxONE 4 AGL而成的款式，採用預先設定的組態，區分為大、中、小等三種產品包裝，小型組態提供4核心與384GB記憶體，中型組態提供6核心與512 GB記憶體，大型組態提供12核心與736 GB記憶體，訴求快速建置、成本節約與降低用戶工作量，能支撐傳統與新興的IT應用需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20overview.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Specifications for IBM LinuxONE 4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Specifications%20for%20IBM%20LinuxONE%204.jpg" style="width: 500px;" /></a></p> <p>LinuxONE 4 Express也能用於工作負載的整併，例如將多個資料庫系統集中、放置於高性能的大型主機系統執行，企業即可以此簡化IT環境的管理，降低營運成本。IBM表示，同樣在Linux環境執行多種應用系統的工作負載，若以5年來計算總持有成本，採用LinuxONE 4 Express均可低於x86伺服器，節省幅度最高可達到52％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM Linux One 4 Express TCO.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20214-02-20-IBM%20Linux%20One%204%20Express%20TCO.jpg" style="width: 600px;" /></a></p> <p>關於創新應用的支援，例如AI醫療影像處理，LinuxONE 4 Express採用的Telum處理器，提供AI推論運算能力，企業可將關鍵應用的資料與AI交給LinuxONE系統，就地執行資料分析作業。舉例來說，醫療健康保險公司可藉此以近乎即時的速度，進行大量醫療紀錄的分析，從而更快完成理賠程序驗證，提升業務決策速度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/IBM Telum-Integrated AI Accelerator-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20Telum-Integrated%20AI%20Accelerator-2.jpg" style="width: 298px;" /></a></p> <p>在高可靠度的部分，LinuxONE 4系列可搭配IBM旗下多種系統，而能達到8個9（99.999999%）的服務水準，例如，在使用Red Hat OpenShift Container Platform的環境當中，搭配大型主機專用的災難復原解決方案GDPS（Geographically Dispersed Parallel Sysplex）、啟用HyperSwap功能的DS8000系列儲存系統。</p> <p>以數位資產管理而言，這系列大型主機系統可實現機密運算（confidential computing）的要求，保護正在使用的重要資料（data in use）。相關功能源自設備內建的硬體安全技術，名為IBM Secure Execution for Linux，可針對個別工作負載進行大規模的分區隔離執行，能同時預防來自系統外部的攻擊，以及滲透、潛伏系統內部的威脅，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2020-IBM Secure Execution for Linux on IBM Z.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2020-IBM%20Secure%20Execution%20for%20Linux%20on%20IBM%20Z.jpg" style="width: 400px;" /></a></p> <p>同時，LinuxONE也配備硬體加密器（HSM），IBM提供CryptoExpress卡，支援FIPS 140-2 Level 4、<a href="https://community.ibm.com/community/user/ibmz-and-linuxone/blogs/richard-kisley1/2023/04/21/pci-hsm-for-4770-on-ibm-z16">PCI HSM</a>等認證的要求，可搭配該公司的Hyper Protect Services，而獲得加密金鑰管理服務，以及運用Dilithium、Kyber後量子密碼學演算法進行簽署與封裝的功能。以LinuxONE 4 AGL、LinuxONE 4 LA2為例，最多可搭配20張CryptoExpress卡，提供40組硬體加密器；至於更高階的LinuxONE 4 LA1，最多可搭配30張CryptoExpress卡，提供60組硬體加密器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ibm-pcie-cryptographic-coprocessor.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/IBM PCIe Cryptographic Coprocessor-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IBM%20PCIe%20Cryptographic%20Coprocessor-overview.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Linux%20on%20z%20and%20LinuxONE%20Systems%20Crypto%20Stack.jpg" style="width: 500px;" />\</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>IBM LinuxONE 4 Express</strong><br /> ●原廠：IBM<br /> ●建議售價：13.5萬美元起<br /> ●硬體組成：單臺機櫃預設裝載18U尺寸設備，包含1個CPC運算模組、1個I/O模組<br /> ●處理器：IBM Telum，用於LinuxONE 4 Express時脈為4.6 GHz，最多可用16顆核心的組態<br /> ●記憶體：<br /> 小型組態384 GB（對應4核心）<br /> 中型組態512 GB（對應6核心）<br /> 大型組態736 GB（對應12核心）<br /> 最大可至864 GB（對應16核心）<br /> ●網路介面：2張網路卡，共提供4個10 GbE埠<br /> ●支援Linux作業系統版本：Canonical Ubuntu（20.04、22.04）、Red Hat RHEL（7、8、9）、SUSE SLES（12、15）<br /> ●支援Hypervisor：z/VM（7.2、7.3）、KVM（Canonical、Red Hat、SUSE）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/23 13:49作者李宗翰https://www.ithome.com.tw/review/161911
Martech雙周報第50期：打破RMN通路壁壘！Google將開放用零售業者一手數據來支援搜尋廣告投放的功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0311~0323)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋廣告</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷通路整合</span></span><br /> RMN走出自有通路！Google將開放用零售一手數據來支援搜尋廣告投放的功能</strong></p> <p>Google開始在旗下搜尋廣告解決方案Search Ads 360<a href="https://blog.google/products/marketingplatform/360/empowering-the-retail-media-ecosystem-with-search-ads-360/">測試用零售業數據來支援廣告投放的功能</a>。廣告主可以利用零售業者提供的第一手數據，包括顧客消費數據洞察及商品銷售數據等，來支援精準受眾選取及投放策略擬定。</p> <p>Google強調，整個過程中，廣告主不會拿到個人級別數據，且零售業者可以選擇只開放特定廣告主使用自家數據，並管控數據共享內容，例如只給合作品牌相關的行銷數據及銷售數據。不過，若廣告主同時獲得多家零售業者授權使用數據，廣告主便能整合不同家零售業者數據來投放廣告。</p> <p>這個功能對零售業者來說，等於是讓第一方數據能應用於自有RMN通路以外的行銷場景。對廣告主來說，這個功能則打破了不同家RMN之間的數據及通路壁壘，能使用多家零售業者數據在Google搜尋這個超大通路投放廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CRM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Low-code開發</span></span><br /> Salesforce推出Low-code AI開發工具，讓企業能自行打造CRM自動化流程</strong></p> <p>Salesforce宣布推出Einstein 1 Studio，<a href="https://www.salesforce.com/news/press-releases/2024/03/06/einstein-1-studio-news/">這是一套低程式碼工具</a>，讓企業能使用Copilot Builder、Prompt Builder及Model Builder三種開發模式，打造CRM自動化流程。</p> <p>Copilot Builder用於自定義Salesforce對話式AI助理Einstein Copilot設定，使其可以跨Salesforce應用程式和外部系統，自動化處理任務。</p> <p>Prompt Builder是用於建立可以重複使用的提示詞，使所有使用者在操作Salesforce軟體時，都能輕易利用預建立的提示詞呼叫生成式AI，來來成特定工作。</p> <p>Model Builder則是低程式碼開發工具，企業可用自家數據建立專屬AI模型，包括預測式模型及生成式模型。目前Prompt Builder和Model Builder已經在全球正式推出，Copilot Builder則仍處測試階段。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無Cookie做法</span></span><br /> 微軟宣布旗下廣告服務將支援隱私權沙盒技術，並宣布推出自家的後Cookie時代精準投放技術</strong></p> <p>在Google Chrome開始停用第三方Cookie的今年，<a href="https://about.ads.microsoft.com/en-us/blog/post/march-2024/the-future-of-private-advertising">微軟也宣布逐漸停用旗下瀏覽器Edge對第三方Cookie支援</a>，且旗下廣告服務全面支援Google後Cookie時代數位廣告技術隱私權沙盒。隱私權沙盒技術常為人詬病的一大問題是，需要大量網站、企業及技術商都支援協定，才會成氣候。微軟擁抱隱私權沙盒，有望為此協定帶來大量參與者。</p> <p>同時，微軟宣布後半年開始測試精準廣告投放技術<a href="https://blogs.windows.com/msedgedev/2024/03/05/new-privacy-preserving-ads-api/">Ad Selection API</a>。微軟表示，此技術使用符合隱私規範的原則，例如最小可識別分眾（K-anonymity）、差分隱私（Differencial Privacy）等，且此技術是在伺服器端處理運算任務，運算效率較高，不像隱私權沙盒是瀏覽器端處理，有運算負荷過大導致資訊傳輸延遲的疑慮。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#MFA網站</span></span><br /> Google再次更新網頁搜尋排名原則，打擊隱藏在棄置網站及優質網站的劣質內容</strong></p> <p><a href="https://blog.google/products/search/google-search-update-march-2024/">Google近日揭露最新網頁演算法強化內容</a>。一直以來，這次，他們針對2類網頁下手，來強化搜尋引擎排序演算法。</p> <p>第一是棄置網站。有心人士會購買棄置網域，做成內容農場網站網站，再透過SEO引誘使用者點擊以賺取廣告收益。另一種則是依附在優質、信譽良好網站中的劣質內容，將不再因為網站本身排序優先度高而受益。</p> <p>隨著生成式AI讓大量產製MFA內容變得更容易，一般網站的SEO難度已經增加不少，因此Google這次針對MFA及劣質內容動刀，對一般SEO行銷人員來說無疑是一個喜訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DMA</span></span><br /> 配合歐盟數位市場法，Google將調整歐盟經濟區內的數據政策及搜尋引擎政策</strong></p> <p><a href="https://blog.google/around-the-globe/google-europe/complying-with-the-digital-markets-act/">Google近日宣布一系列配合歐盟數位市場法（Digital Markets Act）的措施</a>。這些措施將在歐洲經濟區（EEA）生效，其中與數位行銷相關的項目包括搜尋引擎政策與數據政策調整內容。</p> <p>首先，在住宿、購物及航空班次等主題的搜尋結果中，大型中介網站及資訊比較網站排序會更靠前，且搜尋結果頁面會新增輪盤（Carousel）介面，從網站結構化資訊中提取不同商家或商品的圖文，陳列於結果頁面最頂端。若企業營業範圍涉足EEA，這個改動會影響SEO策略。</p> <p>數據政策方面也有許多調整。首先是數據連結授權。Google常連結使用者橫跨服務中的數據，來提供個人化內容投放。未來EEA使用者會在更多數據連結情境被詢問數據連結授權。Google還會提供廣告主和廣告版位提供商更多數據連結授權管理工具。</p> <p>第二是廣告數據透明化政策，Google表示EEA廣告主將能取得更多廣告相關分析數據，不過沒有說明額外提供的數據種類。第三則是提供數據轉移API，讓開發者能更輕易轉移使用者的Google帳號數據到第三方服務或裝置中。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#短影音行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Youtube行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效追蹤</span></span><br /> Youtube新增短影音及動態內影片廣告的成效測量機制</strong></p> <p>Youtube廣告成效追蹤將更全面。過往，廣告主可以透過網路流量測量公司Comscore的技術來測量一般影片廣告的成效。<a href="https://www.comscore.com/Insights/Blog/Unlocking-the-Advertising-Power-of-YouTube#:~:text=Today%2C%20Comscore's%20Campaign%20Ratings%E2%84%A2,for%20modern%20cross%2Dmedia%20measurement.">現在Comscore進一步支援追蹤</a>短影音Shorts廣告及「動態內影片廣告」──於搜尋結果頁面、影片結束時推薦頁面及Youtube首頁的廣告。</p> <p>未來，Comscore還會再支援刊頭廣告，也就是Youtube首頁特大型廣告的成效測量。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#MMM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷成效追蹤</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie做法</span></span><br /> 回歸傳統統計學，Google推出開源MMM行銷成效追蹤工具</strong></p> <p><a href="https://developers.google.com/meridian/docs/basics/about-the-project">Google近日推出Marketing Mix Model（MMM）工具Meridian</a>，可以選擇特定分析地區，來比較行銷預算與商品營收、廣告觸及、廣告曝光頻率等指標之間的關係。此工具支援不同分析模型，也可以模擬不同行銷預算分配情境，並管理行銷預算。Google將此工具程式碼開源，廣告主可以審視程式運作及統計方法，並根據自己需求來調整分析模型參數。</p> <p>隨著第三方Cookie等精準追蹤瀏覽器使用者足跡的有力工具退場，業界開始重新重視用傳統統計學來追蹤行銷成效的做法。MMM便是其中之一，不從使用者級別數據來分析，而是比較不同通路行銷預算與產品營收之間的關係，雖然分析顆粒度較粗，但仍能提供整體行銷策略概觀，且不會侵犯個人隱私。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://investors.interpublic.com/news-releases/news-release-details/ipg-forges-first-market-partnership-adobe-revolutionize-content">IPG宣布將旗下所有數位行銷產品整合Adobe生成式AI內容創作產品線GenStudio</a></p> <p>2.<a href="http://https://investors.liveramp.com/news-and-events/press-release-details/2024/LiveRamp-Launches-Unified-Data-Collaboration-Platform-Featuring-Composable-Technology/default.aspx"> Liveramp推出一站式整合、分析及運用第一、二、三方數據的數據協作平臺</a></p> <p>3. <a href="http://https://www.dunnhumby.com/about-us/news/dunnhumby-and-placer-ai-strike-partnership-enabling-retailers-to-unlock-unique-door-to-purchase-customer-journey-insights/">dunnhumby和Placer.ai結合地理數據及顧客數據分析技術，為零售業者描繪消費者店內店外行為輪廓以追蹤RMN行銷成效</a></p> <p>資料來源：iThome整理，2024年3月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2024/3/23 13:01作者郭又華https://www.ithome.com.tw/news/161920
【資安月報】2024年2月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年2月的資安新聞與事件中，我們最關注的威脅態勢，就是全球出現越來越多逼真的偽冒行徑。這些手法並非像普遍流行的網路攻擊與詐騙手法——只是單純開個網路假帳號，或是簡單的假冒寄件者或發話方，而是經過更精心設計的複雜行動，下列兩種類型的新聞事件都是典型的例子。</p> <p>首先，今年出現使用Deepfake技術來實施傳統的商業電子郵件詐騙（BEC）詐騙的情形，因為駭客寄送釣魚郵件、假冒總部財務長召開視訊會議，導致一名跨國企業員工依照上級指示轉帳，被騙走2億港幣，等到事後向總公司確認才發現上當。</p> <p>關於這起事件，我們找到更多資訊、試圖拼湊還原事發過程的細節。例如，據多家香港媒體報導，當地網路安全及科技罪案調查科的署理高級警司指出，報案人為一家跨國公司的香港分行員工，該職員收到一封據稱是該公司駐英國財務長的電子郵件，其內容聲稱與公司秘密交易有關。</p> <p>雖然該員工當下曾經有所懷疑，但由於該會議邀請該公司數名財務職員進行多人視訊會議，該員工在加入視訊會議後，看到與會成員的影像都是他認識的同事，有著與現實相同的容貌，因此放下先前的疑慮，並依照會議中指示，陸續轉帳15次，將2億港幣轉帳到5個當地的銀行帳戶，等到後續向總部查詢，才知道受騙。</p> <p>其實2019年已有類似攻擊手法，不過當時僅針對聲音的偽冒。當時的事件是怎麼發生的？有網路犯罪者假冒受害者的德國總公司執行長，用AI軟體模擬其聲音，打電話給英國子公司的執行長，要求緊急匯款。而今年這次案件，則是同時偽冒影像與聲音。</p> <p>綜觀這次事件，突顯出Deepfake技術可能讓BEC威脅更升級。因為，以往的BEC詐騙中，欺騙受害者的管道幾乎都只是利用電子郵件，現在則是更進階，在發出召開視訊會議的網釣電子郵件後，還進一步透過Deepfake技術來偽冒老闆發出指令，在這樣的面對面溝通情況之下，讓受害者更不疑有他。</p> <p>另一項精心設計的偽冒行徑，是由加拿大多倫多公民實驗室（Citizen Lab）揭露，他們發現一起假冒世界各地的地方新聞媒體網站的行動，背後是中國公關公司所為，目的是散播有利於中國政府的假資訊，研究人員將這起攻擊行動稱為PaperWall，意味「媒體長城」。</p> <p>據Citizen Lab研究人員指出，這家中國公關公司至少架設了123個網站，以冒充歐洲、亞洲、拉丁美洲當地的新聞機構，從數量來看，以南韓、日本、俄羅斯、英國、法國、巴西、土耳其、義大利、西班牙最多，偽冒當地媒體的數量都有5個以上。而且，這起活動不同於資安業者Mandiant在2022年揭露的事件，從兩起影響輿論行動的手法來看，背後是由不同組織發起。</p> <p>之所以發現這起事件，Citizen Lab表示，是因為三個多月前，有不同國家揭露這樣的問題，像是義大利報紙 Il Foglio，揭露6個冒充義大利新聞媒體的網站，還有韓國國家網路安全中心（NCSC），揭露有18個冒充當地新聞媒體的網站，這也促使Citizen Lab進一步追查，進而發現整起冒充活動的關聯與結構。</p> <p>值得我們注意的是，Citizen Lab不只在報告中出具證據，解析手法，其實也說明揭露這類偽冒事件的意義。</p> <p>例如，研究人員強調為什麼曝光這類活動很重要，因為揭穿這些替政府做事的公司，揭穿他們的操作手法，可以讓全球更瞭解中國政府是如何利用這些公司當代理人來逃避責任。研究人員並指出，雖然目前這些網站的曝光率還低，但由於這些網站正快速增加，並且背後操控的人對於當地語言與內容，變得越來越熟悉，將存在被當地媒體引用或誤信，進而擴大報導的風險。</p> <p>整體而言，對於這類逼真的冒用行徑，無論企業、民眾都該先要對這類情資有所了解。要知道，20年前的網路世界上，用戶設立不同帳號分身、使用暱稱，以及帳號被盜就已都是常態，大家不只要注意傳統手法，現在還有更多新的逼真偽冒方式要了解，並設想是否有更好的應對方式，像是面對Deepfake技術的威脅，過去一年來已有專家指出，建立「通關密碼」來確認對方身分，或是須按照企業嚴格規定的匯款的內部流程來批准與審核；以及看到一些消息，個人應懂得自行查證以及蒐集多方資訊來邏輯思考與判斷，而臺灣面對的威脅更是嚴峻，中國輿論影響行動（IO）雖然被國際間一在強調與重視，但臺灣普遍民眾的現況是，通常缺乏關注這方面的資訊，而簡體中文要翻譯成臺灣使用的正體中文本來就容易，再加上有些人被逼真偽冒話術所騙，進一步將這些資訊轉貼到Line群組去擴散，這其實如同上述Citizen Lab對PaperWall事件的示警。無論如何，企業與民眾對於這些逼真的偽冒行徑時，需要先有認識，才能知道為何要防範。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/161180"><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月29日到2月2日</span></a></strong></h2> <p>在漏洞利用相關消息中，這個星期最受關切的是，Ivanti再度成為駭客發動Zero-day攻擊的目標，該公司旗下SSL VPN、NAC產品線的零時差漏洞CVE-2024-21893已遭成功利用。這已是Ivanti本月要修補的第3個零時差漏洞。已知漏洞被成功利用的情形，同樣引發重視，最近有3起這樣的情形，而且駭客都是針對1月才剛釋出修補的漏洞。</p> <p>首先，是持續整合開發工具Jenkins的重大漏洞CVE-2024-23897，開發團隊1月24日釋出修補，但駭客很快就鎖定這個漏洞，兩日後外部已有成功濫用情形。<br /> 另一是WordPress網域遷移輔助外掛程式Better Search Replace的重大漏洞CVE-2023-6933，開發商WP Engine在兩週前釋出1.4.5版修補，資安業者Wordfence則等到1月24日才揭露這個漏洞，但公布後就已偵測到2,500起漏洞利用攻擊。<br /> 最後，是蘋果在本月上旬修補的漏洞CVE-2022-48618，月底發現已遭成功利用，由於漏洞存在於WebKit，不只iPhone、iPad、Mac電腦Apple TV受影響，後續蘋果也針對最近剛出爐的混合實境裝置Vision Pro發布修補。<br /> 還有一個漏洞修補情形，其嚴重性我們認為也要多加留意，最近Fortra揭露GoAnywhere漏洞CVE-2024-0204，該公司表示，已在12月7日釋出新版修補，但一個月後的此刻才公告這項消息。<br /> 其他重要漏洞消息，包括：Juniper Networks修補網路設備作業系統高風險漏洞，Google Cloud修補GKE的重大漏洞，以及多個Linux發行版本修補glibc程式庫的3個漏洞。</p> <p>在資安事件焦點上，這半個月來，所有資安媒體都在關注微軟公司電子郵件遭入侵的事故，因為該公司持續向外界揭露更多資訊。微軟自1月17日向美國證券交易所（SEC）提交資安事件報告後，19日更是明確指出攻擊者是Midnight Blizzard（APT29），25日他們公布更多細節，包括彙整出他們發現攻擊者的行動與手法，並說明攻擊者是如何避過偵測。</p> <p>在資安威脅態勢上，這段期間以資料外洩與勒索軟體的消息最多，我們整理如下：<br /> ●被視為OpenAI有力競爭者的AI新創Anthropic，最近通知客戶坦承他們發生資料外洩，原因是外包商不慎將客戶資料傳給第三方組織。<br /> ●施耐德電機傳出遭勒索軟體Cactus攻擊，導致Resource Advisor能源監測雲端平臺服務中斷，數TB公司內部資料遭竊。該公司在網站公告發生資安事件，說明僅影響其永續發展業務部門，正採取復原的補救措施。<br /> ●英國美容保養品牌業者Lush在官方網站發布資安事件公告，先於1月11日揭露事件，30日證實成為勒索軟體受害者。另一方面，勒索軟體組織Akira宣稱是他們所為，並竊取了110 GB資料。<br /> ●有勒索軟體諮詢服務業者Coveware揭露最新勒索軟體的季度報告，我們看到幾個重點，例如，2023第四季前4大勒索軟體為Akira、BlackCat、Lockbit、Play，5到8名均為新入榜，分別是Silent、Medusa、NoEscape、Phobos。報告中也提到受害者付贖金的比例已不到3成，再創新低。</p> <p>在資安防禦態勢上，有兩則新聞備受關注，分別是反制國家級駭客攻擊，以及車聯網安全的進展。<br /> 例如，針對去年攻擊美方關鍵基礎設施的中國駭客組織Volt Typhoon，最近美國司法部宣布已採取行動，成功破壞該組織打造的殭屍網路與掌控的網路設備，也就是針對受感染的網路裝置，刪除當中的KV Botnet殭屍網路病毒，並將通知裝置所有者，以及給予防護建議，另也針對SOHO裝置製造商給予Secure by Design的指引；第一屆Pwn2Own Automotive汽車駭客大賽在東京舉辦，透過獎勵機制，來鼓勵資安研究人員發現並且負責任地揭露安全漏洞，漏洞競賽類別涵蓋Tesla、車載資訊娛樂(IVI)系統、電動車充電器與作業系統，這場活動共找出49個漏洞。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161338"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月5日到2月17日</span></strong></a></h2> <p>在2月農曆春節前後，剛好適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，在掌握這些漏洞修補動向之餘，這期間有不少漏洞利用情形，更是需要企業優先重視。我們整理如下：</p> <p>有3個零時差漏洞已遭成功利用：<br /> ●Fortinet在2月8日修補已遭利用的零時差漏洞CVE-2024-21762，這是存在該公司SSL VPN元件的RCE漏洞。<br /> ●微軟在2月13日修補73項漏洞中，有兩個是已遭利用的零時差漏洞，分別是：可繞過網際網路捷徑檔安全功能的CVE-2024-21412，以及可繞過Windows SmartScreen安全功能的CVE-2024-21351。</p> <p>還有4個已知漏洞，近期被發現遭攻擊者利用，首先是微軟修補Exchange伺服器重大漏洞CVE-2024-21410後，隔日該公司示警有攻擊利用，其他包括：Roundcube郵件伺服器去年9月修補的漏洞CVE-2023-43770、Google去年9月修補Chromium V8類型混淆漏洞，以及思科2020年5月修補防火牆產品的資訊洩漏漏洞CVE-2020-3259。</p> <p>另外，有研究人員揭露名為EventLogCrasher的漏洞，需留意後續修補動向，還有要注意關於DNSSEC的漏洞揭露與修補。</p> <p>在資安事件方面，有3項消息成為焦點，都與上櫃及興櫃公司有關，包括：<br /> ●2月5日，上櫃化學工業美琪瑪的部分資訊系統遭受網路攻擊。<br /> ●同樣2月5日，上櫃觀光富野說明旗下分公司的資訊系統遭網路攻擊。<br /> ●2月15日，興櫃瑩碩生技代子公司公告，揭露歐帕生技醫藥遭遇網路攻擊事件。</p> <p>在這些公告之後，還有其他狀況發生，在此一併補充。關於上述美琪瑪遭網路攻擊，有駭客2月16日於論壇聲稱兜售該公司2TB資料；中華民國紡織業拓展會（紡拓會）也傳出可能遭駭，因為他們被一個勒索軟體組織列為受害者，這類法人協會被鎖定的狀況，可能同樣需要追蹤。</p> <p>醫療健保相關產業也要注意，因為國際上最近有2起相關重大資安事故，例如，羅馬尼亞有1百多家醫院遭網路攻擊，當地網路安全局及衛生部已證實，是醫院服務供應商遭到Backmydata勒索軟體攻擊；法國健保業者客戶傳出資料外洩，由於事件恐波及該國近半數民眾，當地的資料保護機構CNIL針對提供第三方支付的兩家公司Viamedis與Almerys進行調查。</p> <p>其他還有現代汽車歐洲分公司傳駭，傳出是遭勒索軟體Black Basta攻擊，以及美國銀行證實資料外洩，調查起因為供應商遭駭。</p> <p> 在威脅焦點方面，最近有相當多起資安威脅的揭露，都與中國駭客網路攻擊有關，我們整理如下：<br /> ●資安業者Trellix最近指出，臺灣總統大選投票前一天遭受網路攻擊出現大幅增加，根據他們的遙測資料顯示，部分惡意流量特別針對政府、執法與金融單位。<br /> ●資安業者SentinelOne揭露，中國當局在2022年宣傳美國對其發動駭客攻擊，調查其宣傳內容發現，中國的指控普遍缺乏相關的技術分析及證據。<br /> ●荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告，指出該國國防部去年遭中國網路間諜入侵，並被植入後門程式。<br /> ●關於LLM被國家級駭客惡意使用，微軟與OpenAI揭露濫用方式，包括查詢開源資訊、翻譯、找程式碼漏洞等，並指出中、俄、伊、北韓駭客組織都已這麼做。</p> <p>特別的是，繼2023年11月義大利報紙 Il Foglio揭露6個冒充義大利新聞媒體的網站，以及韓國國家網路安全中心（NCSC）揭露18個冒充當地新聞媒體的網站，最近<a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">加拿大公民實驗室（Citizen Lab）發表名為Paperwall的報告</a>，揭露至少有123個網站冒充歐洲、亞洲、拉丁美洲當地的新聞機構，目的是宣傳親中內容，經層層追蹤這些網站後發現，都與1家中國公關公司有關，並指出不同於Mandiant在2022年揭露的事件，背後是不同組織在發動影響輿論行動。本期的資安日報尚未提及，在此補上。</p> <p>其他值得關注的威脅手法，我們認為有3項消息需要特別重視：<br /> ●香港警方表示，跨國企業員工因為駭客利用Deepfake技術假冒公司主管參加視訊會議，並指示員工轉帳2億港幣，等到事後向總公司確認才發現上當。<br /> ●關於QR Code網釣，有郵件安全業者研究多半是針對高階主管而來，比一般員工高出42倍。<br /> ●資安業者分析能迴避資安防護系統的惡意程式，發現有7成惡意程式會採用隱形（stealth-oriented）手法。</p> <p>在資安防護方面，有兩個重要新聞，分別是對於勒索軟體與量子破密的因應。針對2023年下半造成重大災情的勒索軟體Rhysida，最近有南韓國民大學研究人員找出其實作漏洞進而破解，後續將提供免費解密工具；近年國際間持續看重後量子密碼學的發展，最近Linux基金會更是宣布，與AWS、Cisco、Google、IBM與Nvidia等11個組織成立後量子密碼學聯盟PQCA，希望透過建立開放與合作的環境，開發用於評估、原型設計與部署後量子演算法的軟體。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161463"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月19日到2月23日</span></strong></a></h2> <p>這星期釋出的安全性漏洞消息，以ConnectWise在19日修補遠端桌面軟體ScreenConnect的漏洞CVE-2024-1709，最受關注，因為在公告的隔日，就發現有駭客開始鎖定利用，該業者也在20日示警、公布入侵威脅指標（IoC），並在21日針對已結束維護支援服務的用戶內部環境建置版本，提供最新升級。</p> <p>在資安威脅焦點方面，最大消息就是勒索軟體LockBit組織的伺服器被攻破。在英、美等10國家聯合發起的打擊行動之下，已接管其技術基礎設施與資料外洩網站，並凍結相關加密貨幣帳戶，美方也拘留兩名利用LockBit服務的聯盟夥伴，並公布新起訴兩名發動攻擊的俄羅斯人。</p> <p>由於全球已有上千家企業組織遭受LockBit的危害，因此這次國際查緝行動具有相當大的意義。我們也注意到，在此次行動成果公布後，在打擊勒索軟體網路犯罪的No More Ransom計畫網站，已釋出由日本警方打造的相關解密工具。</p> <p>還有前陣子農曆過年期間，有南韓研究人員發表破解勒索軟體Rhysida的論文，如今在No More Ransom平臺上，也有資安業者Avast釋出的相關解密工具。</p> <p>另一件大消息，是中國資安業者「安洵信息」傳出資料外洩，意外曝露該國政府對全球各國發動網路間諜行動的情況，引發國際關注。研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門。根據外洩資料的內容顯示，該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、臺灣、馬來西亞、北約組織的政府機關，曾開發攻擊工具RAT木馬程式Hector，以及外觀與行動電源相似的「Wi-Fi 抵近攻擊系統」，同時也經營DDoS攻擊業務，還有APT攻擊與間諜行動業務。日後是否有更進一步的研究分析，值得持續追蹤。</p> <p>關於最新威脅態勢的揭露上，我們注意到4個值得留意的技術手法與狀況：</p> <p>●資安業者揭露網釣簡訊攻擊背後的新手法Smishing，他們發現濫用AWS SNS簡訊服務的惡意Python腳本，並指出這是雲端攻擊工具中前所未見的技術。</p> <p>●駭客不斷挖掘出Ivanti Connect Secure的零時差漏洞並成功利用，因此有研究人員針對這樣的狀況進行分析，發現其系統採用許多老舊、已終止支援的元件。</p> <p>●關於網路犯罪組織在臉書投放詐騙廣告，資安業者揭露使用竊資軟體VietCredCare的攻擊者，正鎖定大量越南企業臉書帳號，並在接管帳號後用以實施臉書詐騙。</p> <p>●網路拓樸架構呈現工具SSH-Snake被駭客濫用於攻擊行動，資安業者指出，這是竊取SSH金鑰的新手法，該工具還具有主動修改和無檔案的特性，若採用靜態偵測的作法，會不容易找到。</p> <p>還有多個惡意威脅的最新動向，源自不同資安業者的揭露，包括勒索軟體RansomHouse組織使用新的自動化工具MrAgent，來鎖定虛擬化平臺VMware ESXi平臺，以及惡意程式TicTacToe Dropper，殭屍網路病毒Glupteba，還有商業間諜公司掌握「多媒體簡訊指紋（MMS Fingerprint）」技術的細節。</p> <p>最後值得一提的是，國內再傳上市櫃公司遭遇資安事件，已是今年第7起上市櫃公司因資安事件發布重大訊息。以散熱風扇聞名的上市大廠建準，19日公告當天凌晨遭遇加密攻擊。該公司表示，已確認公司資料沒有外流，資訊系統當日可修復。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161587"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年2月26日到3月1日</span></strong></a></h2> <p>告別2月，迎接3月，我們要提醒大家注意的資安消息，包括兆勤、Canon、思科的漏洞修補消息，以及開源軟體存在Wi-Fi身分驗證繞過漏洞的相關修補，需要企業著手因應之外，特別的是，還有兩個與微軟有關的漏洞利用，這些問題都必須重視，請用戶及早修補或實施緩解機制。<br /> （一）微軟在2月修補的漏洞CVE-2024-21338，通報此漏洞的資安業者Avast最近指出，發現修補前已有北韓駭客組織Lazarus利用，以關閉特定的防護處理程序、迴避偵測。由於上述狀況的發生，也表示此弱點已導致零時差漏洞攻擊。<br /> （二）去年6月微軟修補微軟Streaming Service相關漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">CVE-2023-29360，這是存在於驅動程式mskssrv.sys的權限提升漏洞，近日發現鎖定利用的情形</a>。這段時間的iThome資安日報尚未提及，在此補上。<br /> 另外，前幾期週報我們已提醒的Ivanti Connect Secure漏洞，以及ScreenConnect漏洞，如今傳出中國駭客與多個駭客團體正鎖定攻擊的情形，尚未因應的企業需要趕緊行動。</p> <p>在資安事件方面，國內有3項消息受到矚目，都與上市公司有關，包括：<br /> ●2月26日，上市綠能環保、PCB廢液處理業者昶昕公告，部份資訊系統遭受駭客網路攻擊事件。<br /> ●2月29日，中華電信因媒體報導有人在暗網兜售該公司的內部資料，發布重大訊息，表明資安團隊查知疑似資料外流的情況，正展開調查。<br /> ●2月27日，散熱風扇廠商建準在一星期前已公告發生網路資安事件，但這天再次發布新的重訊，說明該事件的後續處理情形。</p> <p>在資安威脅焦點方面，上星期發生的兩起重大事件，都有後續消息傳出。例如，才被11個國家執法單位圍剿的勒索軟體駭客組織LockBit，已傳出重起爐灶的消息；關於中國資安業者「安洵信息」的資料外洩，曝露該國政府對全球20國發動網路間諜行動的情況，後續有更多與臺灣資安現況有關的內容被分析出來，像是國外研究人員指出，當中蒐集了臺灣道路地圖檔案的情資，已竊取495 GB的相關檔案，臺灣資安業者TeamT5亦指出，當中透露該公司與中國政府打交道的情形，產品細節與財務，以及上報RAT木馬程式ShadowPad開發的細節，顯示這批資料的可信度相當高。</p> <p>其他最新威脅態勢的揭露上，我們注意到5個值得留意的狀況，其中有3則是多國網路安全機構的示警：<br /> ●AI開發者與用戶要當心！近日有兩起資安新聞，一是機器學習模型共享平臺Hugging Face出現100個惡意模型，不慎下載恐將被安裝後門程式，另一是AI影片編輯平臺Cutout.Pro傳出資料外洩，2千萬名會員個資流入駭客論壇。<br /> ●電信業者注意！有研究人員揭露駭客近期使用的後門程式Gtpdoor，主要針對鄰近GPRS交換網路（GRX）的電信網路環境入侵，並將攻擊流量混入合法流量，隱匿攻擊行動。<br /> ●德國BfV、韓國NIS提出警告，北韓駭客針對全球國防單位從事網路間諜行動，這份警告也揭露當中存在供應鏈攻擊的狀況：對方入侵維護廠商竊取SSH帳密，從而存取海事及航運研究中心的Linux網頁伺服器主機。<br /> ●10國執法機關聯手針對俄羅斯駭客組織APT28的攻擊行動提出警告，指出攻擊者正鎖定Ubiquiti路由器入侵，並濫用EdgeRouter迴避偵測、建置殭屍網路，以隱匿攻擊行動。<br /> ●<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">美國CISA</a>與<a href="https://www.ncsc.gov.uk/files/Advisory-SVR-cyber-actors-adapt-tactics-for-initial-cloud-access.pdf">英國NCSC</a>示警，俄羅斯駭客組織APT29（亦稱Midnight Blizzard）是俄羅斯情報部門SVR的一部分，近期經常針對服務帳戶使用密碼噴灑攻擊，以取得對雲端環境的初始存取權限。本週刊出的資安日報尚未提及，在此補上。</p> <p>還有一個威脅態勢，我們認為也相當值得企業警惕，是棄用的子網域名稱遭濫用，有攻擊者正進行這方面的大規模網路掃描，以奪取控制權，進而盜用企業身分發動網路釣魚攻擊。近期已有MSN、VMware、eBay等多家企業的網域遭利用，這也突顯即使大型知名企業，仍可能在這方面產生疏忽。</p> <p>至於防禦態勢上，最大焦點就是美國NIST正式發布了網路安全框架CSF 2.0，新版不僅加入治理功能，還有一系列的資源與工具，讓企業更容易去實踐。例如，在5種快速入門指南中，有小型企業（SMB）適用的快速入門指南，在CPRT工具中則針對各項子類別，提供了易於理解的實踐範例。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3> </h3> <h3> </h3> </div></div></div>
2024/3/23 10:15作者羅正漢https://www.ithome.com.tw/news/161921
AI趨勢周報第247期：國科會揭半導體AI人才策略、TAIDE進展和氣象AI規畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0315～0321)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TAIDE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國科會揭半導體AI人才策略、TAIDE進展和氣象AI規畫</strong></span></p> <p>3月20日，國科會召開第10次委員會議，揭露半導體AI人才和淨零策略，以及國產大語言模型TAIDE進展和氣象AI的運用計畫。就人才策略來說，國科會聯手國發會、經濟部、數位部、環境部、教育部、金管會等部會，根據2023年行政院科技顧問會議結論定出策略，目標是要延攬國際人才、培育國內人才，尤其是AI實作人才，實際作法則是要以獎勵制度提高技職體系育才、促進大學與產業合作，並推動AI全產業應用。此外，政府也將完善AI法制、資料基礎和運算環境。同時，他們還要利用AI和ICT優勢，來發展淨零科技，前陣子提出的晶創臺灣方案和淨零科技方案，就是這些策略的具體措施。</p> <p>再來，國科會TAIDE團隊一方面盤點公、私部門資料，並個別洽談授權，整理了89.4GB的優質繁體中文資料，另一方面在去年12月，將超級電腦臺灣杉二號整合新購入的H100 GPU運算資源，並正式提供運算服務。而可商用的TAIDE-7B版本和限學研用的TAIDE-13B版本，已具備多輪對話和阻絕產生不恰當回應的能力，另也透過產學研合作打造不少應用，如智慧客服、行政常見問題回應、農業知識問答和中小學臺語教學等，接下來將重點支援公部門導入TAIDE，並預計4月中旬開源釋出TAIDE-7B。</p> <p>另一方面，交通部氣象署也要運用AI，來提高氣象測報和防災預警能力。他們已規畫AI發展藍圖，要先打造良好的GPU運算環境，以利於AI應用和研發。同時，他們也要導入新技術，來提供鄉鎮尺度災害天氣特報資訊，還要建置金馬雷達，來擴大氣象雷達網拼圖，目標是要在劇烈天氣發生前的3至6小時提供預警。最後，他們也要擴大氣象大數據資料集，作為氣象科技、AI應用的發展基礎。<a href="https://www.nstc.gov.tw/folksonomy/detail/6c27e893-284a-4c67-8b29-d82ac76a2a5f?l=ch">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia推生成式AI微服務</strong></span></p> <p>在今年度GTC大會上，Nvidia宣布在Nvidia AI Enterprise 5.0平臺新添數十款生成式AI微服務，可分為NIM和CUDA-X兩大類別，前者主要提供最佳化的推論微服務，好來大規模部署AI模型，後者則瞄準需要資料處理、AI與高效能運算的各種應用。</p> <p>其中，NIM是個容器化的推論微服務，內含預建的容器、產業標準API、特定領域程式碼和最佳化的推論引擎等，要縮小企業營運需求和AI部署間的差距，可將模型部署時間從幾周縮短至幾分鐘。CUDA-X則提供端對端的建置組塊，來支援資料準備、客製化和訓練工作，加速AI開發，如客製化語音與翻譯AI的Nvidia Riva微服務、路徑最佳化的Nvidia cuOpt或高解析度的天氣模擬Nvidia Earth-2等。Nvidia表示，企業可在不同基礎設施上部署這些微服務，如AWS、Google Cloud、Azure或Oracle Cloud Infrastructure。<a href="https://nvidianews.nvidia.com/news/generative-ai-microservices-for-developers">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MM1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果發表多模態大型語言模型MM1</strong></span></p> <p>繼去年底發表的多模態大型語言模型（MLLM）Ferret後，蘋果最近再發表另一個多模態系列模型MM1，最大型的版本具備300億參數。在開發這套模型前，蘋果團隊先是研究了各種多模態模型架構和資料選擇，比如圖像編輯器、視覺語言連接器和各種預訓練資料等，他們因此歸納出幾個重要發現。舉例來說，要讓多模態預訓練模型在多種基準測試中，達到少樣本SOTA等級的表現，就得採用謹慎設計的訓練資料集，包括圖像搭配圖說、穿插搭配文字的圖像、純文字資料。而且，圖像編輯器加上影像解析度與圖像Token數量，也對模型表現有重大影響，視覺語言連接器的影響力反而可忽略不計。</p> <p>於是，他們以這些發現為基礎，擴展後打造出MM1系列模型，包含密集模型和混合專家（MoE）架構變體，兩種都在預訓練指標中達到SOTA水準，且經過監督式微調後，還在多個基準測試中達到不錯的表現。受益於大規模預訓練，MM1具有更好的脈絡學習能力、多圖像推理能力，也能處理少量的思維鏈指令。<a href="https://arxiv.org/abs/2403.09611">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-23%20at%201_23_47%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Grok-1 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> xAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI開源大型語言模型Grok-1</strong></span></p> <p>馬斯克去年成立的AI新創xAI，日前開源自家聊天機器人Grok底層大型語言模型（LLM）Grok-1，具3,140億個參數，採用混合專家架構，包括8個專家模型。這種架構，對任何Token的運算只會使用25%權重（即參數）。xAI表示，目前開源的Grok-1，是未經任何微調的基礎模型，而就表現來說，Grok-1在GSM8k、MMLU、HumanEval與MATH等基準評測上雖然尚未超越GPT-4，但都勝過GPT-3.5。Grok-1採Apache 2.0授權，可進行商業使用和修改，但無法註冊商標。<a href="https://github.com/xai-org/grok-1?tab=readme-ov-file">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 皮膚 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料集 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公開皮膚病狀圖片資料集</strong></span></p> <p>有鑒於當前皮膚科影像資料集的不足，Google聯手史丹佛大學醫學院，收集各種膚色、身體部位皮膚病狀的照片，然後發表皮膚病狀圖像網路（SCIN）資料集。這個資料集的出現，補足了臨床皮膚疾病資料集的不足，還能提高AI模型通用性。</p> <p>進一步來說，SCIN資料集經仔細設計，透過新型群眾外包方式，收集各種條件的照片、詳細的貢獻者資訊，以及專業皮膚科醫師的標註。SCIN資料集收錄超過1萬張皮膚、指甲和頭髮狀況的圖像，這些圖像由本人自願貢獻，提供特寫和較遠距離的版本。這些照片還由一到三位皮膚科醫生標註，給出最多5個皮膚病狀，並附上每個標籤的信賴分數。Google表示，資料集包含單獨的標籤，以及衍生的聚合和加權差異診斷，可用於模型測試和訓練。<a href="https://blog.research.google/2024/03/scin-new-resource-for-representative.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj1QMRINpok_qmh5jjtktgqytapBRfHWDFxLKffzY9L_jG8uE8oJXA7QwtGY76gPksw5EH0yLuO7Ihk3IitXQDCjQ54DXlxFtpClbIIZzZAb6fDufHR-aW1m81cAMBqxmPIZsN8p3VYlys8b9cczZOzI-VB9d1Nwzk8nCnPTSCDwwh1fmEf4Q8DRdJHo6dR/s16000/image4.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多視角 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Stability AI開源多視角影片生成模型SV3D</strong></span></p> <p>Stability AI以Stable Video Diffusion模型為基礎，開發一套Stable Video 3D（SV3D）模型，不只能生成高品質的3D多視角影片，品質還比前幾代好，效能也優於複雜的Zero123-XL模型。</p> <p>Stable Video 3D模型有兩個版本，分別是SV3D_u和SV3D_p。其中，SV3D_u能用單一圖像，不需使用者設定攝影機參數，就能生成環繞物體的連續視角影片，而SV3D_p則在SV3D_u基礎上，不僅支援單一圖像生成影片，還能根據環繞物體的影片，生成指定攝影機路徑的3D影片。目前，Stable Video 3D供Stability AI會員使用，商業運用也可以。至於非商業用途，開發者可在Hugging Face下載模型權重，並參照Stability AI研究論文。<a href="https://stability.ai/news/introducing-stable-video-3d">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-23%20at%201_30_08%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPU </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Blackwell </span></strong></span></p> <p><span style="font-size:22px;"><strong>新一代高效能GPU來了，Nvidia發表Blackwell</strong></span></p> <p>Nvidia在今年度GTC開發者大會上，發表新一代專為生成式AI設計的處理器Blackwell，各大科技巨頭如AWS、微軟、Meta、OpenAI、Dell、Google、甲骨文、Tesla和xAI等都計畫採用。</p> <p>由於生成式AI和多模態AI模型訓練需求越來越高，對運算的需求也日益增溫，Blackwell就是為解決這一挑戰而誕生。它是新一代GPU架構，是兩年前推出的Hopper架構的繼任者。Blackwell GPU是由2,080億個電晶體組成，採客製化的台積電4NP製程，所有Blackwell產品都配備2個具光罩限制的晶粒，藉每秒10TB的晶片互連技術，產生一個強大的GPU。此外，Blackwell支援第二代Transformer引擎，可加速大型語言模型和專家混合模型（MoE）的推論與訓練，並提高精度和準確度。而且，Blackwell在訓練上的FP8效能是Hopper的2.5倍，推論的FP4效能是Hopper的5倍，採用第5代NVLink技術則可達到Hopper的兩倍快。<a href="https://blogs.nvidia.com.tw/2024/03/19/nvidia-blackwell-platform-arrives-to-power-a-new-era-of-computing/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-23%20at%201_31_10%20AM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 人形機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia也拼人形機器人大腦，揭露通用基礎模型專案GR00T</strong></span></p> <p>在今年度GTC開發者大會上，Nvidia揭露全新專案Project GR00T，是一款專為人形機器人設計的通用基礎模型，可作為機器人大腦，來推動機器人技術和具體化AI（Embodied AI）領域研究。</p> <p>Nvidia正開發各種GR00T技術，例如GR00T本身就是在Omniverse Isaac Sim模擬平臺上的iIsaac Lab應用進行模擬，並在雲端運算調度服務OSMO上進行訓練、部署至新的運算平臺Jetson Thor。其中，Jetson Thor是一款Thor系統單晶片的人型機器人電腦，能執行複雜任務、安全地與人類和機器人互動。負責具體化AI的Nvidia研究經理Jim Fan指出，Project GR00T可讓機器人理解多模態指令，如語言、影片或示範，還能執行各種有用任務。Nvidia正在與全球主要的人形機器人業者合作，來將GR00T部署到各種人形機器人上。<a href="https://nvidianews.nvidia.com/news/foundation-model-isaac-robotics-platform">（詳全文）</a></p> <p>圖片來源／蘋果、Stability AI、Google、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google發表UI與資訊圖表理解模型ScreenAI</strong></p> <p><strong>2. Amazon SageMaker整合Nvidia NIM推論微服務</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/3/23 01:35作者王若樸https://www.ithome.com.tw/news/161923
DEVCORE資安研討會登場，揭露最新攻擊技術手法與企業資安破口
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以紅隊演練聞名的臺灣資安業者DEVCORE戴夫寇爾，在上週六舉行年度研討會DEVCORE Conference 2024，探討駭客創新攻擊技術和手法，以及他們所看到的實際企業資安風險。雖然這是付費的資安技術活動，仍吸引近400名來自資安業界、學界人士參與。這是DEVCORE繼2019、2023年之後，第三度舉辦。</p> <p>這次大會首場演講聚焦企業普遍採用的Active Directory（AD），戴夫寇爾表示，過去常見的3種攻擊AD手法，現在多數企業都已經能夠防範，但有新的威脅面向要注意。</p> <p>根據DEVCORE的紅隊演練經驗，他們發現超過9成企業都安裝AD CS憑證服務（Active Directory Certificate Services），卻有7成沒做好安全設定，因此，關於攻擊者會如何利用這些疏漏，了解相關風險的類型，以及如何避免，是企業必須關注的重要議題。</p> <p>以AD安全方面而言，的確是國內企業必需關注的一大重點。其實DEVCORE先前對這方面就非常關注，例如，我們在2022年看到他們與另一家資安業者奧義智慧，共同向外界揭露國內AD防護現況，並指出他們看到哪些常見問題，像是近8成企業環境可從DMZ區直接存取AD等。不只上述兩家廠商，還有TXOne Networks等不同資安業者，近年持續在國內大型研討會上公布這方面的最新討探與研究，闡述AD管理的挑戰，以及AD安全防護的重點。</p> <p>這次DEVCORE Conference 2024的另一場演講，則是關於網站應用程式防火牆（WAF）的深度解析，戴夫寇爾派出專家介紹這類產品的處理流程、偵測機制與阻擋手段，並提醒目前存在前後端解析不一致的問題，需多加注意。</p> <p>關於這方面的議題，雖然討論聲浪不如AD安全那麼高，但回顧過去，多年前DEVCORE也曾談及WAF不良設定的安全風險，這次再有前後端解析不一致的深度解析，顯現他們持續看重這方面的議題，應也期盼更多企業與研究人員能有更多相關探討。</p> <p>除此之外，本次大會還介紹了多種創新的攻擊技術議題，包括旁路攻擊手法、紅隊工具開發、Pwn2Own 2023國際大賽的參賽心路等。而且，這次DEVCORE也首度特別邀請其他研究人員，由奧義智慧的專家來從藍隊身份、紅隊視角，提供不同的攻擊思路的探討。</p> <p>另外特別值得一提的是，關於DEVCORE公司本身的概況，該公司執行長翁浩正提到一個新的轉變，是他們這家資安公司現在已經開始實施週休三日，希望促進員工工作效率的提升。或許也是希望能更好招募資安人才。</p> </div></div></div>
2024/3/22 16:06作者羅正漢https://www.ithome.com.tw/news/161917
夠用就好！重新審視品質開支
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>凡事勿過猶不及、秉持中庸之道，是許多人耳熟能詳的處世原則，卻很難做到，例如，我們都想兼顧工作品質、產量、速度的要求，現實卻經常是顧此失彼，雖然有新科技的幫忙，但既有的作業模式往往很難改變，因為大家高興可能得以用輕鬆的方式增加生產能力之餘，還是擔心品質是否因此受到影響而卻步。</p> <p>就像在生成式AI應用崛起的此刻，每個資訊工作者可能都在思考該積極擁抱AI，以此取代大量手動操作，或是要花時間、心力研究，找出與AI合作的方法，希望兼顧提高效率與滿足精確度的要求。而這樣的場景，過去已在我們的身邊重演過好幾次。</p> <p>無論我們是否接受，人類社會越來越依賴科技已是事實，在許多領域當中，純手工的作業越來越罕見，我們早就在很多層面與機器形成共同合作的關係，甚至交給它們全自動處理，然而，還是有許多工作，我們認為還是要自己動手處理，因為相關科技還沒發展到讓人完全信賴的地步。</p> <p>能否接受新科技的另一個關鍵，在於不同時代、地區人們（顧客）對品質的要求有多高，以及對產量、速度的要求是否高過品質，而使得我們（生產者）必須妥協，採取因時因地制宜的策略。</p> <p>這讓我想到最近聽Podcast斐姨所思專訪前台積電研發處處長楊光磊，被問到日本晶圓製造面臨的挑戰時，他回答「效率」會是關鍵，因為日本引以為傲、舉世聞名的職人精神、重視品質，有可能成為效率提升的阻礙。接著他用品質成本（Cost of Quality）的概念解釋，為了提高品質，工作者必須投入很多心力，而台積電的作法是「just enough！只要客戶可以用的，就可以了」。由此可知可是關鍵是務實，而非不顧一切代價地追求極致品質或產量。</p> <p>論似觀察不僅這個專訪提及，我曾在多位長期居住臺灣的國外YouTuber影片看到，當他們談論臺灣優勢時，經常讚揚臺灣人做事不拖泥帶水，無論到公務機關、銀行、郵局洽公，或是到便利商店、連鎖超市、量販店，都展現絕佳服務品質和效率。而對於企業或民眾而言，都很重視「降低成本」，很多人都把Cost Down、Cost Saving掛嘴邊（正式用語應為cost reduction或是lower the cost），採購產品與服務時，大家也都習於精打細算，追求高性價比（CP值）是常態。</p> <p>這樣的成果並非一蹴可幾，早年Made In Taiwan傳遞的形象是臺灣產品大量外銷，但品質未必不如顧客的期待，經過多年努力、持續提升，如今來自臺灣的產品與服務，已在許多領域獲得全球市場肯定，一方面顯示我們在品質、產量、速度等層面的表現上，有著長足的進步，另一方面可能也反映臺灣的務實精神。</p> <p>為何我這次會以「夠用就好」為題來描述這個價值觀？還有一個原因是今年全球IT熱烈關注的FinOps議題。</p> <p>iThome電腦報週刊近期有幾篇文章，可呼應這件事的討論。首先是1月初發表的封面故事《2024年CIO要知道的IT趨勢》，FinOps就是名列第二大議題。透過我們的採訪主任余至浩撰寫的<a href="https://www.ithome.com.tw/news/160676" target="_blank">〈雲成本增長帶動財務管理新需求，FinOps新思維崛起〉</a>，突顯企業更廣泛採用雲端服務之後，面臨IT成本增加的財務管理壓力，因而積極尋求對策。</p> <p>另一個相關的系列文章，是由我們的總編輯吳其勳寫的<a href="https://www.ithome.com.tw/news/160659" target="_blank">〈搶救IT失傳技藝，亞馬遜技術長倡議節約架構〉</a>，說明雲端服務龍頭廠商AWS提出的節約架構（Frugal Architect）」設計法則，促使大家將成本意識納入軟體架構設計，達成永續目標。</p> <p>關於這些討論，在在提醒一句大家都知道的諺語：「天下沒有白吃的午餐」，在關注技術發展同時，不只注意既有與新進解決方案的效能，例如，大（支援大規模使用）、快（能在最短時間得到結果）、準（使命必達、精確完成指定工作），以及便利（操作簡便）等特性，判斷是否符合自身所需之餘，也必須充分體認取捨後的代價，無論是純手工、半自動、或是全自動，我們都必須對最終品質的呈現負起責任，並且持續觀察顧客在乎品質的程度是否有明確的變化，如此一來，對於品質的提升與確保就能找出合理、可接受的邊界，因為大家都不希望陷入得不償失的局面，賠上誠信與名譽。</p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160676" target="_blank"><span style="color:#3399ff;">雲成本增長帶動財務管理新需求，FinOps新思維崛起</span></a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160659" target="_blank"><span style="color:#3399ff;">搶救IT失傳技藝，亞馬遜技術長倡議節約架構</span></a></strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/finops">FinOps</a></div><div class="field-item odd"><a href="/tags/%E6%88%90%E6%9C%AC">成本</a></div><div class="field-item even"><a href="/tags/%E8%BB%9F%E9%AB%94">軟體</a></div><div class="field-item odd"><a href="/tags/%E6%B0%B8%E7%BA%8C">永續</a></div></div></div>
2024/3/22 16:53作者李宗翰https://www.ithome.com.tw/voice/161918
Apple Ｍ系列處理器允許攻擊者發動微架構旁路攻擊，竊取加密演算法機密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現Apple M系列處理器，允許攻擊者執行<a href="https://gofetch.fail/">GoFetch</a>的微架構旁路攻擊，透過資料記憶體依賴預取器（Data Memory-dependent Prefetcher，DMP），從執行常數時間的加密演算法中擷取機密金鑰。</p> <p>研究人員現在已經實現從OpenSSL的Diffie-Hellman、Go RSA，以及CRYSTALS專案的Kyber與Dilithium加密演算法擷取機密金鑰。目前已知受影響的Apple晶片包括M1、M2和M3型號，研究人員特別強調，雖然Intel的第13代Raptor Lake微架構同樣也有DMP，但是因為其啟動標準更嚴格，因此較具抵禦GoFetch攻擊的能力。</p> <p>GoFetch攻擊要從常數時間程式開發解釋起，常數時間程式開發是一種範式，可以確保所有操作花費相同的時間，來強化程式碼抵禦旁路攻擊的能力。在非常數時間的演算法中，加密程式可能會因為不同的輸入或是金鑰，導致執行速度更快或更慢，使得攻擊者可以測量這些時間差，獲得加密過程或是金鑰的資訊。</p> <p>要符合常數時間程式開發範式，程式碼中不能包含依賴機密的分支、迴圈和控制結構，而且因為攻擊者也可以觀察CPU快取不同記憶體位置的延遲，來推斷儲存在記憶體中的資訊，因此常數時間演算法也不能以任何方式混合資料和位置，並禁止使用相依於機密的記憶體存取或是陣列索引。</p> <p>而GoFetch攻擊成功的關鍵，就是即便加密演算法按照常數時間程式開發原則，將資料與記憶體位址分開，由於DMP的存在，仍然可能產生與機密資料相依的記憶體存取行為，這種機制導致常數時間的演算法實際程式執行時間變得不一致，而這種時間變化就可被攻擊者觀察並利用，進一步擷取金鑰破解加密。</p> <p>導致常數時間加密失效的DMP是一種CPU功能，在Apple的M系列CPU上都有，研究人員對M系列CPU進行逆向工程，發現DMP會啟動並嘗試解引用（Dereference），從類似記憶體位置載入資料，研究人員提到，這樣的DMP機制明顯違反常數時間程式開發範式中，禁止混合資料和記憶體存取模式的要求。</p> <p>攻擊者便可以利用這項缺陷，精心設計加密操作來猜出金鑰。研究人員安排加密操作的輸入，只有當猜中金鑰部分位元時才出現類似指標的值，而透過分析快取時序，監控DMP是否執行解引用來驗證猜測，如此研究人員便可以逐批猜測金鑰位元。根據研究人員發表的論文，他們已成功破解了包括OpenSSL Diffie-Hellman金鑰交換、Go RSA解密和後量子加密演算法CRYSTALS-Kyber和CRYSTALS-Dilithium等4種熱門的常數時間加密實作。</p> <p>不過，其實在GoFetch之前，就有安全研究發展出Augury攻擊方法，發現可濫用Apple M系列晶片DMP混合資料和記憶體位置的問題，只是Augury沒發現M系列晶片DMP啟用的標準，其實不如想像的嚴謹，GoFetch研究人員提到，任何從記憶體載入的值，無論實際內容和預期用途，都被M系列晶片DMP視為一個記憶體位址並嘗試解引用。這個發現讓GoFetch更具危險性，DMP可被用於攻擊現實世界中的常數時間的加密演算法。</p> <p>研究人員在M1處理器嘗試發動端對端GoFetch攻擊，同時也在M2和M3上發現類似可濫用DMP的行為，雖然研究人員並沒有在M系列其他變體，諸如M2 Pro上測試，但他們猜測這些變體具有相同的微架構，可能也會有相同的問題。</p> <p>目前M3晶片可以透過設定DIT（Data Independent Timing）位元停用DMP，但M1和M2的無法適用此方法，而Intel的Raptor Lake處理器則可設定DOIT（Data Operand Independent Timing）位元來停用DMP。加密函式庫開發人員，可以透過設定DIT位元和DOIT位元，在特定CPU上停用DMP避免GoFetch攻擊。</p> <p>採用輸入盲法（Blinding）也可以協助部分加密架構，免遭攻擊者控制中介值，進而避免依賴金鑰的DMP啟動，此外，研究人員還提到，防止攻擊者測量DMP啟動，可以進一步強化加密協定的安全性。Apple目前對此還無回應，而研究人員在2023年12月5日向Apple揭露該漏洞，並於現在負責任的公開攻擊手法，之後還會釋出概念性驗證程式碼。</p> </div></div></div>
2024/3/22 17:03作者李建興https://www.ithome.com.tw/news/161909
讓軟體邁向可維護性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/web-960-itshu_zhai_-1p-clean_architecture.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體應滿足一些品質需求（quality requirement），才能被使用者、開發者和利害關係人視為高品質（high quality）。可維護性（maintainability）就是其中一種品質需求。</p> <p>如果我說，從某個角度來看，「可維護性」這個品質屬性比「功能性」還來得重要，而且我們甚至應該看重軟體設計的「可維護性」凌駕於所有一切，你會有什麼想法？</p> <p><span style="font-size:28px;"><strong>可維護性是什麼意思？</strong></span></p> <p>身為軟體架構師，我們設計我們的軟體，以滿足對於該軟體來說「最重要的品質需求」。針對高吞吐量（high-throughput）的交易應用程式（trading application），我們可能會專注於「可擴展性」和「可靠性」。針對處理個人身分識別資訊的應用程式，我們可能需要著重於「安全性」。</p> <p>筆者認為將「可維護性」與「其它的品質需求」混為一談是不正確的，因為「可維護性」有其特殊性。如果軟體是可以維護的，那就意味著它容易改變。如果它容易改變，那麼它就是「靈活」（有彈性）的，且可能是「模組化」的。這也可能是有「成本效益」的，因為容易改變意味著變更的成本不高。如果它是可以維護的，我們或許可以讓它演變成可擴展、安全、可靠，且效能優異（如果需要的話）。我們可以改變軟體，使其與其他系統具有「可互通性」，因為它很容易改變。最重要的是，「可維護性」代表「可測試性」，因為可維護的軟體很可能是由「更小且更簡單的元件」設計而成的，這讓測試變得容易。</p> <p><span style="font-size:28px;"><strong>可維護性能夠實現功能性</strong></span></p> <p>如果你問產品人員，在軟體專案中什麼是最重要的，他們會告訴你，軟體為其使用者提供的價值（value）是最重要的事情。</p> <p>所以，我們的軟體需要提供價值。但是它不應該為了提供價值，而以「可維護性」作為代價。想想看，在一個你可以輕鬆變更的軟體系統中添加功能，相較於一個你必須逐行與程式碼搏鬥的軟體系統，效率和成就感會有多大的不同！我很確定，讀者一定參與過那樣的軟體專案，其中有太多的雜訊和繁複的儀式，以致於要建置一個「你認為只需要幾小時就能完成的功能」，卻需要花費數天甚至是數週的時間。</p> <p>以這種方式來看，「可維護性」是「功能性」的主要支持者。可維護性不佳，意味著隨著時間的推移，功能性的變更成本只會越來越高。</p> <p>在一個可維護性不佳的軟體系統中，功能變更的成本很快就會變得如此昂貴，導致變更成為一種痛苦。產品人員會向工程師抱怨變更成本。工程師則會辯護說，「推出新功能」一直都是優先於「提高可維護性」。隨著變更成本的增加，衝突的可能性也會跟著提升。</p> <p>可維護性就像是一種潤滑劑。它與變更成本成反比，因此，它也與衝突的可能性成反比。你有沒有想過增強軟體的可維護性，以避免衝突？我認為那本身就是一項很好的投資。</p> <p>我們應該持續關心「我們正在建置的軟體」的可維護性，以免它變成令人避之唯恐不及的一團大泥球（big ball of mud，即龐雜系統）。</p> <p>這是否意味著，我們在開始寫程式之前，需要花費大量時間來規劃一個可維護的架構？我們需要進行常被認為是一種瀑布式開發方法的BDUF（big design up　front，前期大設計）嗎？不，我們不需要。但是，我們確實需要做一些前期設計（some design up-front，或許我們應該稱之為SDUF ？），藉此在軟體中種下一顆「可維護性」的種子，隨著時間的推移，這可以讓架構在需要的時候更容易演進。</p> <p>前期設計（up-front design）的其中一部分，就是選擇一種架構風格，來定義「我們正在建置的軟體」的設計方向。本書將幫助你決定Clean Architecture（或是轉接埠與轉接器／六角形架構）是否適合你的情境。</p> <p><span style="font-size:28px;"><strong>可維護性能支援做出決策</strong></span></p> <p>在建立軟體系統時，我們每天都在解決問題。對於我們遇到的大多數問題，都有不止一種解決方案。我們必須做出決策，選擇其中一種解決方案。</p> <p>我們該複製這段程式碼，來建立我們的新功能嗎？我們要自己建立物件，還是使用依賴注入框架？我們應該使用重載建構子（overloaded constructor，又譯多載建構子）來建立這個物件，還是應該建立一個產生器（builder）？</p> <p>許多這樣的決定，我們甚至都不是有意識地做出的。我們僅憑直覺，套用我們曾經用過、認為在當下情況或許可以行得通的模式或原則，例如：</p> <p>● 發現程式碼重複（code duplication）時，應用 DRY（don't repeat yourself，不要重複自己）原則。</p> <p>● 使用依賴注入（dependency injection），使程式碼更具可測試性。</p> <p>● 引入一個產生器（builder，又譯建造者），使物件的建立更簡單。</p> <p>如果我們觀察這些以及許多其他著名的模式，它們的效果（effect）是什麼呢？在許多情況下，主要的效果是它們使未來的程式碼更容易變更（也就是說，它們使它更易於維護）。可維護性已經內建於我們每天自動做出的許多決策當中！</p> <p>即使在無法套用罐頭模式（pre-canned pattern，即預先準備的模式）的情況下，面對更困難的決策時，我們也可以利用這個原則：『每當我們需要在多種選項之間做出抉擇時，我們可以選擇未來更容易修改程式碼的那一個。』不再需要為不同的選項感到苦惱。我們只需選擇最能提高可維護性的選項。</p> <p>如同大多數的原則，這當然只是一種概括。在特定情境下，正確的決定可能是選擇那些不提升可維護性（甚至是降低可維護性）的選項。但作為一個預設的、可以有所依據的規則，選擇提升可維護性仍是「簡化」日常決策的一項可靠指引。</p> <p><span style="font-size:28px;"><strong>維護可維護性</strong></span></p> <p>好吧，我假設你相信我，即可維護性對開發者樂趣、生產力和決策能力有積極的影響。但我們如何知道，對code base（程式庫）所做的更改會不會增加（或至少不會降低）可維護性？我們如何隨著時間管理可維護性呢？</p> <p>這個問題的答案是建立並維護一種架構，使得建立「可維護的程式碼」變得容易。一個良好的架構讓瀏覽code base 變得容易。在一個易於瀏覽的code base 中，修改既有功能或添加新功能簡直易如反掌。應用程式元件之間的依賴關係清晰且不混亂。總結來說，良好的架構提升了可維護性。</p> <p>進一步來說，優良的架構能提升開發者樂趣、開發者生產力、開發者留任率，以及決策能力。我們可以繼續找出更多直接（或間接）受到「軟體架構」影響的事物。</p> <p>這種相關性意味著我們應當深思熟慮，即我們如何組織程式碼的結構。我們如何將程式碼檔案分組為元件？如何管理這些元件之間的依賴關係？哪些依賴關係是必要的，哪些應該避免，以保持codebase 易於變更？這讓我們進入了本書的主軸。本書展示了一種讓程式碼容易維護的結構。本書描述的架構風格是實作Clean Architecture／六角形架構的一種方式。然而，這種架構風格並非解決建置軟體的所有問題的萬靈丹。</p> <p>筆者鼓勵讀者利用從本書學到的知識，將它們付諸實踐，嘗試這些想法，修改它們，讓它們適應你的需求，然後將它們加入到你的工具箱內，並在特定的情境中靈活運用它們。<strong>（本文摘錄整理自《Clean Architecture實作篇》第一章，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB_600_Clean%20Architecture%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Clean Architecture實作篇：在整潔的架構上弄髒你的手（第二版）</strong></p> <p>Tom Hombergs／著；錢亞宏、盧國鳳／翻譯；錢亞宏／審校</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><a href="http://twitter.com/TomHombergs/status/1682000117275164676" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Clean%20Architecture%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Tom%20Hombergs.jpg" style="width: 200px;" /></a></p> <p><a href="https://twitter.com/TomHombergs/status/1682000117275164676" target="_blank"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_Tom Hombergs</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Tom Hombergs</strong></p> <p>是軟體工程師、作家、奉行簡單主義的阿宅。複雜度就是他的死對頭，所以他致力於將複雜的東西簡化成容易消化的碎片。如果他能夠理解，那麼其他人也能夠理解。他簡化程式碼及文字，並撰寫讓人可以輕鬆閱讀的文章、書籍和開發文件。Tom目前在澳洲雪梨的Atlassian工作，負責Atlassian開發者使用的技術堆疊的DX(開發者體驗)。</p> </div></div></div>
2024/3/22 15:24未署名https://www.ithome.com.tw/article/161829
八二法則對開發者的啟示
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-jing_tong_wu_xia_cheng_shi_ma_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於「八二法則」（80/20 principle）有很多說法，包括以它的發現者Vilfredo Pareto命名的「帕雷托法則」（Pareto principle）。它向你展示了一條途徑，將精力集中在少數重要的事情上並忽略那些多數對進展沒幫助的事情，能夠讓你在專業coder這條路上獲得更多的成果。</p> <p>八二法則在個人生產力文獻中無處不在，它之所以如此受歡迎的原因有兩個：首先，只要你能夠找出重要的事情，即導致80%結果的20%活動，並堅持不懈地專注於這些事情上，此法則就能讓你既輕鬆又具高生產力；其次，我們可以觀察到八二法則存在於各式各樣的情況下，使其具有相當大的可信度。當然，分配比例並不一定永遠是80/20──具體數字可以變成70/30、90/10甚至95/5──但永遠是嚴重偏向「少數因素造成多數的結果」。</p> <p><strong><span style="font-size:28px;">八二法則對coder的影響</span></strong></p> <p>在程式設計中，帕雷托法則結果往往比大多數其他領域更偏向頂端，其分布通常看起來更像90/10或95/5，而不是80/20。比爾蓋茲說過：「一位優秀的車床作業員薪水是普通車床作業員的好幾倍，而一位優秀的軟體程式撰寫人員的價值是一般軟體程式撰寫人員的10,000倍。」比爾蓋茨認為，優秀的軟體寫手和一般的軟體寫手之間的差距不是16倍，而是10,000倍！</p> <p>以下是軟體世界容易出現這種極端帕雷托分布的幾個原因：</p> <p>• 優秀的程式設計師可以解決一些普通程式設計師根本無法解決的問題。在某些情況下，這使得他們的生產力提升了無數倍。</p> <p>• 優秀的程式設計師可以寫出的程式碼，比普通程式設計師快了10,000倍。</p> <p>• 優秀的程式設計師編寫的程式碼bug更少。想想一個安全漏洞對Microsoft聲譽和品牌的影響！此外，每出現一個額外的bug都需花費時間、精力和金錢來進行codebase的後續修改和新增特性──bug的負面累樍效應。</p> <p>• 優秀的程式設計師編寫的程式碼更易於擴展，可能會提高軟體開發過程後期數千名開發人員在處理程式碼時的生產力。</p> <p>• 優秀的程式設計師會跳出框架思考，並且找到創造性的解決方案來規避昂貴的開發工作，並能專注於最重要的事情上。</p> <p>在實務中，這些因素的組合會產生作用，因此差異可能更大。</p> <p>所以，對你來說，關鍵問題可能是這樣的：如何成為優秀的程式設計師？</p> <p><span style="color:#B22222;"><strong>程式設計師的成功指標</strong></span></p> <p>不幸的是，「成為一名優秀的程式設計師」這句話並不是你可以直接優化的成功指標─這個問題涉及到很多層面。一名優秀的程式設計師能夠快速理解程式碼、了解演算法和資料結構、知道不同的技術及其優缺點、可以與他人合作、善於溝通且富創造力、受過良好教育並且知道如何組織軟體開發過程，同時擁有數百個軟實力與硬實力。但你不可能在這些方面都是專家！如果你不專注於少數重要的幾件事，就會被那些瑣事給淹沒。要成為優秀的程式設計師，你必須專注於最重要的幾件事上。</p> <p>需要專注的幾個重點之一，就是編寫更多的程式碼。你寫的行數愈多，就會成為更好的程式設計師。這是多維問題的簡化方法：藉由優化代理指標（寫更多程式碼行數），你就可以增加在目標指標上成功的機率（成為優秀的軟體程式寫手）。</p> <p>當你寫更多的程式碼，你會更容易理解程式碼，而且言行舉止會跟程式設計高手一樣，同時吸引更好的coder加入你的網路，並找到更具挑戰性的程式設計任務，然後繼續寫更多程式碼、功力變得更強，而你的每行程式碼會賺取愈來愈高的報酬。你或你的公司可以把許多瑣碎的工作外包出去。</p> <p>這是你每天都可以遵循的80/20活動：追蹤你每天撰寫的程式碼行數並對其進行優化。讓它成為一種遊戲，而且每天都至少要寫到一定的基本行數（平均行數以上）。</p> <p><span style="font-size:28px;"><strong>現實世界中的帕雷托分布</strong></span></p> <p>我們將快速瀏覽一些應用帕雷托分布的實際範例。</p> <p><span style="color:#B22222;"><strong>GitHub儲存庫TensorFlow貢獻</strong></span></p> <p>我們可以在GitHub儲存庫的貢獻中看到帕雷托分布的一個極端例子。讓我們考慮一個廣受歡迎的Python機器學習計算儲存庫：TensorFlow。</p> <p>對於該儲存庫93,000次的提交，使用者「tensorflow-gardener」的貢獻超過了20%；考慮到有成千上萬的貢獻者，該分布比80/20分布更加極端。原因是，貢獻者「tensorflow-gardener」乃是由建立和維護此儲存庫的Google程式設計團隊所組成。但是，就算跳過這個團隊好了，剩下的頂尖個人貢獻者也都是非常成功的程式設計師，留下令人印象深刻的記錄。你可以在公開的GitHub頁面上查看他們的相關資訊。在這些人當中，很多已經在熱門企業找到了令人興奮的工作機會。他們在產出大量程式碼提交到此開源儲存庫「之前」還是「之後」獲得成功，只是純粹理論上的討論而已。但從實際的角度出發，你應該開始建立你的成功習慣：每天寫更多程式碼行數。沒有什麼事能阻止你成為TensorFlow儲存庫的第二名貢獻者──在接下來的兩到三年內，每天提交有價值的程式碼到TensorFlow儲存庫兩到三次。如果你堅持下去，你可以入列地球上最成功的程式設計師，只要選擇一個強大的習慣並堅持個幾年！</p> <p>帕雷托分布在生活和程式設計中有各種實際應用，但根據我的經驗，對你最具變革性的應用將是成為一名「80/20思想家」；也就是說，你不斷嘗試找出事半功倍的方法。這裡有一些例子：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 活動 </span></strong></span>　你在本週完成的活動中，最有影響力的20%中的20%，通常負責80%結果中的80%。在這種情況下，0.8%的活動將導致51%的結果。粗略地說，如果你每週工作40小時，那麼其中20分鐘可能造就了你本週工作一半的成果！此類20分鐘活動的一個範例是編寫一個腳本，該腳本自動執行一項業務任務，每隔幾週為你節省幾個小時，你就可以把多出來的時間投資在其他活動。如果你是一名程式設計師，實作時決定跳過不必要的功能可以為你節省數十個小時不必要的工作。如果你開始應用八二思維，很快就會在自己的工作中發現許多這樣的槓桿活動。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 進步 </span></strong></span>　無論你在任何帕雷托分布上處於什麼位置，都可以利用你的成功習慣和專注力，讓輸出呈指數性增長。只要尚未達到最佳狀態，總有進步的空間，以更少的資源獲得更多的成果──即便你已經是一個高度開發的個人、公司或經濟體。可以讓你沿著帕雷托曲線往上爬的活動未必總是顯而易見，但它們絕非隨機存在。許多人放棄在他們的領域尋找成功指標，因為他們認為結果的機率使得它完全是隨機的。這是多麼錯誤的結論！要成為一名大師級的程式設計師，每天寫少少的程式碼不會讓你達成目標，就像每天貧於練習棋藝也不能讓你成為一名職業西洋棋士一樣。其他因素也會發揮作用，但這不代表成功是一場機率遊戲。透過專注於你所在行業的成功指標，你將能夠操縱對你有利的機率。作為一個八二法則思想家，你就是莊家──而且莊家「多半」是贏家。<strong>（本文摘錄整理自《精通無瑕程式碼》第二章，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB-600_%E7%B2%BE%E9%80%9A%E7%84%A1%E7%91%95%E7%A8%8B%E5%BC%8F%E7%A2%BC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 精通無瑕程式碼：工程師也能斷捨離！消除複雜度、提升效率的17個關鍵技法（The Art of Clean Code）</strong></p> <p>Christian Mayer／著；江玠峰／譯</p> <p>博碩文化出版</p> <p>定價：600元</p> <p><a href="https://blog.finxter.com/christian_mayer2/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E7%B2%BE%E9%80%9A%E7%84%A1%E7%91%95%E7%A8%8B%E5%BC%8F%E7%A2%BC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Finxter%E7%B6%B2%E7%AB%99.jpg" style="width: 200px;" /></a></p> <p><a href="https://blog.finxter.com/christian_mayer2/" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Finxter網站</span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Christian Mayer</strong></p> <p>擁有電腦科學博士學位，是流行的Python網站Finxter的創始人，該教育平台每年教導超過500萬人如何寫程式。他寫了很多書，包括《Python One-Liners》（No Starch，2020年）、《Leaving the Rat Race with Python》（2021年）和Coffee Break Python系列。</p> </div></div></div>
2024/3/23 15:54未署名https://www.ithome.com.tw/article/161916
【快閃記憶體競爭新焦點：200層以上3D堆疊結合QLC】追逐極限的儲存容量密度
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-feng_mian_p4-960-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年多以來，快閃記憶體正處於新一輪的技術更新轉型期。主流的SSD產品，大多用TLC與QLC記憶體結合128到192層3D堆疊，各大快閃記憶體供應商的競爭焦點，放在200層等級3D堆疊技術實用化、擴展QLC應用範圍，發展密度更高、每儲存單元保存更多位元資料的PLC記憶體，以及300層等級的堆疊技術。</p> <p>在QLC方面，目前6大主要快閃記憶體供應商，包括三星、美光、SK hynix 、Solidigm、Kioxia/WD，長江儲存（YMTC），全部都已經能提供QLC記憶體產品。</p> <p>在200層等級的3D堆疊技術方面，除了Solidigm，其餘主要快閃記憶體供應商都已推出200層等級的3D堆疊技術產品，發表時間最早的是美光的232層，次之是SK hynix的238層、三星的236層，這3家廠商都是在2022年下半年推出200層等級產品。</p> <p>當時間進入2023年，先是Kioxia/WD在年初發表218層產品，接著長江儲存也在年底推出232層產品。</p> <p>至於Solidigm，目前只有192層產品，但其儲存密度已能對應其他廠商的200層技術。</p> <p>而在超過200層等級的3D堆疊技術方面，SK hynix的腳步最快，率先突破300層門檻，在2023年中發表321層堆疊的產品，而三星是在2024年初發表280層堆疊的產品。</p> <p><span style="font-size:28px;"><strong>3D堆疊與多級記憶體單元的結合</strong></span></p> <p>多級化儲存單元的歷史較早，MLC快閃記憶體早在1990年代後期就已問世，TLC與QLC都是在2009年左右開始被應用在產品上。</p> <p>至於3D堆疊技術，雖然早在2007年便已問世，但直到2012年，才由三星率先實際應用於SSD產品，最初是採用32層堆疊與SLC的組合。從2014年起，多級化儲存單元與3D堆疊技術，便一同被應用在快閃記憶體產品上。</p> <p>2014年問世的第一代「多級儲存單元+3D堆疊」快閃記憶體產品，是MLC與32層3D堆疊的結合。接著在2015年出現的第一批TLC SSD產品，則是結合48層3D堆疊，而2018年誕生的QLC SSD，最初則是搭配64層3D堆疊。經過7、8年的發展，目前市場上的產品，已達到200層等級3D堆疊結合TLC與QLC。</p> <p>無論儲存單元的多級化或3D堆疊技術，都是提高儲存密度的手段，最終目的是提升快閃記憶體的位元密度（bit density），也就是單位面積內可儲存的資料量。</p> <p>最早的48層堆疊TLC記憶體，位元密度能達到2.6 Gb/mm2左右，96層TLC則能超過6 Gb/mm2，128層TLC大約能達到7到8 Gb/mm2，176層TLC能突破10 Gb/mm2，最新的232層TCL則進一步提升到14 Gb/mm2以上。</p> <p>而QLC與3D堆疊技術的結合，能更有效地提升位元密度，144層QLC的位元密度便超過12 Gb/mm2，176層QLC則超過14 Gb/mm2，已能與232層TLC比肩，至於最新的232層QLC，位元密度更達到20 Gb/mm2等級。</p> <p>目前已實際出貨的快閃記憶體產品中，位元密度最高的款式，便是YMTC的232層QLC記憶體，擁有20.62 Gb/mm2的位元密度。</p> <p>而已發表、尚未實際出貨的產品中，SK hynix的321層TLC記憶體也擁有20 Gb/mm2等級的位元密度，而三星不久前發表的280層QLC記憶體，更進一步將位元密度提高到28.5 Gb/mm2，是目前快閃記憶體儲存密度的最高紀錄，已直逼30 Gb/mm2大關。</p> <p><span style="font-size:28px;"><strong>不同技術組合的效益</strong></span></p> <p>我們將當前6大主要快閃記憶體供應商，旗下應用100層以上堆疊技術的快閃記憶體產品，依位元密度整理成一份表格。</p> <p>從這份整理表中，我們可以看出：各廠商的技術層次相去不遠，有些起步較晚的廠商（如YMTC），雖然有「後發」優勢，容量密度較其他廠商同級產品略高，但差距並不大。</p> <p>另外，就儲存單元多級化與3D堆疊技術這2種路線而言，提升容量密度的效果大致相當。</p> <p>在其他條件相當時，QLC記憶體可比TLC提高30%以上的位元密度。而3D堆疊技術的每一次世代更新，大致也能提供比上一代高出30%以上的位元密度（例如從128層提高到176層，然後從176層提高到232層等）。</p> <p>也就是說，QLC只需搭配較低層次的3D堆疊技術，就能得到與較高堆疊層數TLC相當的位元密度。例如Solidigm的192層QLC記憶體，位元密度就已超過其他廠商的232層或238層TLC。</p> <p>但另一方面，TLC擁有效能與壽命方面的優勢，雖然儲存單元紀錄的資料量較少，但可藉由搭配更高層數的3D堆疊技術，彌補容量密度較低的缺點，因此也形成兩種不同的產品取向。</p> <p><span style="font-size:28px;"><strong>成長的路線選擇</strong></span></p> <p>不過，在未來的發展上，儲存單元多級化的這條路線，已經快走到盡頭。繼每儲存單元4位元的QLC之後，是每儲存單元5位元的PLC，但PLC相較於QLC，只能帶來20%的容量提升，提升幅度相對有限，然而為了記錄更多的資料位元狀態，PLC需要控制的電壓狀態數量卻隨之加倍，從而也將面臨可靠性、穩定性與壽命方面的一系列麻煩，整體效益不如先前從MLC到TLC、QLC的升級。</p> <p>目前已知Kioxia（鎧俠）與Solidigm都在進行PLC快閃記憶體產品工程開發，已接近實用階段。</p> <p>而在PLC開始逐漸浮出檯面之後，Kioxia已經在實驗室環境當中驗證6位元的HLC（Hexa），以及7位元的HLC（Hepta），每個儲存單元可記錄更多資料，但是都必須使用液態氮極低溫冷卻，才能維持穩定運作，還不具實用性。考慮到快閃記憶體儲存單元「超多級化」所需付出的代價，我們認為多級化這條路線，可能將止步於PLC。</p> <p>相較於多級化面臨了瓶頸，3D堆疊技術這條路線，仍有相當大的發展餘裕。例如，目前200層堆疊這一層級的快閃記憶體已經量產上市，300層堆疊等級的產品也開始陸續問世，預期會在2024到2025年量產並進入市場。</p> <p>目前SK hynix、三星、美光、Kioxia/WD與YMTC，都已提出400層等級以上的3D堆疊技術發展規畫，有些廠商的規畫，甚至已經提到2030年以後將達到800層以至1,000層的目標，這也意味著，相較於現在的產品，未來還有提高4、5倍的潛力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P4-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>我們依據位元密度，將6大快閃記憶體供應商的產品列於圖中，可見到各廠商的產品表現相去不遠。</strong></span></p> <p><span style="color:#696969;"><strong>3D堆疊技術的每一個世代，都會增加30%左右的堆疊層數，並帶來大致等比例的容量密度提高。112層到128層的TLC記憶體，位元密度在7到8 Gb/mm2，162層到176層TLC記憶體的位元密度便提高到10 Gb/mm2以上，接著218層到238層TLC，又進一步增加到14、15 Gb/mm2左右。</strong></span></p> <p><span style="color:#696969;"><strong>而QLC由於每個儲存單元可記錄更多資料，所以在同等堆疊層數下，位元密度又可比TLC增加30%以上。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ssd">SSD</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E7%A2%9F">硬碟</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6">磁帶</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">企業儲存應用</a></div><div class="field-item even"><a href="/tags/100tb">100TB</a></div><div class="field-item odd"><a href="/tags/3d%E5%A0%86%E7%96%8A">3D堆疊</a></div><div class="field-item even"><a href="/tags/%E5%BF%AB%E9%96%83%E8%A8%98%E6%86%B6%E9%AB%94">快閃記憶體</a></div><div class="field-item odd"><a href="/tags/qlc">QLC</a></div></div></div>
2024/3/22 14:56作者張明德https://www.ithome.com.tw/tech/161910
【新興技術挑戰磁帶地位】長期歸檔儲存媒體出現多個新競爭者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-feng_mian_p5-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去數十年以來，磁帶一直是長期保存資料的歸檔儲存媒體首選，基於光碟的光學儲存技術雖曾一度威脅到磁帶的地位，但由於容量增長追不上磁帶的腳步，最終還是由磁帶取得主導地位。不過在未來幾年內，這樣的情況可能會改變。</p> <p>因為，近10年來，又陸續出現一系列試圖挑戰磁帶的新興儲存技術，玻璃／光學儲存是其中最接近實用化的一種，象徵著光學儲存技術的復甦。</p> <p>在2023年底發布的儲存月報「光學儲存技術新進展」，我們初步介紹了當前最接近實用階段的新興光學儲存技術，現在我們從儲存密度與容量增長的視角，進一步討論這些新興技術與磁帶的對比。</p> <p><span style="font-size:28px;"><strong>既有光學儲存的容量密度與總容量</strong></span></p> <p>就儲存密度來說，磁帶其實遠不如光碟。但儲存媒體的可用容量，是儲存密度與儲存面積的相乘，磁帶儘管儲存密度很低，但只要在磁帶匣中透過捲繞方式容納長度更長的磁帶，便能增加資料記錄面積，彌補密度低的缺點，輕易增加總容量。</p> <p>當前的兩大磁帶規格LTO與IBM 3592系列，磁帶匣都能容納上千公尺的磁帶，從而龐大的總容量。目前LTO開放規格的單卷磁帶匣已能達到18TB容量，IBM 3592系列則能達到50TB。</p> <p>相較下，BD-XL與Archival Disc光碟雖然儲存密度遠高於磁帶，但儲存媒體本身的面積是固定的，雖然也能在光碟匣中堆疊多片光碟，藉此提高容量，但即便目前容量最高的Archival Disc光碟匣，也只達到5.5 TB容量（每個光碟匣含11碟片），與磁帶存在相當大的落差，1卷磁帶能容納的資料量，需要3、4個到10多個光碟匣才能容納，管理十分不便。</p> <p><span style="font-size:28px;"><strong>新世代光學儲存技術的誕生</strong></span></p> <p>儘管光學儲存因容量較低的缺點，而限制了應用範圍與規模，但有著磁帶不能及的兩項獨到優勢，促使業界持續發展新的光學儲存技術。</p> <p>首先，光學儲存同時適合2種應用：一般歸檔與主動歸檔（Active Archive）。磁帶受限於捲繞式架構，適合連續循序存取，故只適用於長期靜態資料保存、很少有存取需求的一般歸檔應用。而光碟儲存裝置擁有隨機存取能力，必要時可快速檢索與取回資料，因而還能兼用於仍有少許存取需求的主動歸檔。</p> <p>其次，光學儲存對於耐久性與環境承受力具有優勢，無需特別的環境控制措施，就能實現長期保存。</p> <p>不過，若要讓光學儲存具備足以對抗磁帶的競爭力，關鍵在於如何大幅提高儲存密度，來達到增加容量的目的。</p> <p>正在研發的兩種玻璃/光學儲存技術，包括Cerabyte的玻璃陶瓷，以及Project Silica玻璃儲存，都從儲存材料著手，以玻璃取代以往光碟的聚合物，試圖獲得極高的儲存密度，從而解決光學儲存的容量問題。此外，以玻璃作為儲存材料，還擁有高度環境承受能力的優勢，可抵禦火、水、電磁脈衝等外界威脅。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P5-RAW.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>兩種新興光學儲存技術後市可期</strong></span></p> <p>Project Silica計畫，是微軟與南安普頓大學（University of Southampton）合作發展的矽玻璃儲存技術（silica glass）。</p> <p>Project Silica曾在2021年聲稱，可在5吋見方玻璃達到500TB容量。在實際能力方面，去年底Project Silica透露，已能在DVD大小玻璃片上儲存7TB資料，已超過現有Archival Disc光碟10倍以上。</p> <p>至於德國新創廠商Cerabyte，則以奈米陶瓷塗布玻璃儲存（ceramic-coated glass storage）技術，來達到提高儲存密度的目的。</p> <p>Cerabyte預期他們的儲存密度可達到每平方公分1 TB等級，相當於Archival Disc光碟20倍以上，還有提高到每個儲存匣1 PB容量的潛力，不過需要相當長時間，才能逐步實現這個目標。</p> <p>依照Cerabyte規畫，在2024年推出的第一代產品，儲存密度只達到每機櫃1 PB，還遠不如現有的磁帶櫃（目前最高規格的磁帶櫃，已能達到每機櫃10到30 PB以上的儲存密度）。</p> <p>預期到2025年，Cerabyte可將儲存密度提高到每機櫃5 PB，在2026到2027年提高為每機櫃10到30 PB，這時才具備與磁帶相比的競爭力。該公司預期2030年以前可達到每機櫃60到100 PB，不過到了那時候，磁帶容量勢必也會有顯著進步，因為單就容量而言，磁帶未必會遜色於這些新興技術。</p> <p><span style="font-size:28px;"><strong>磁帶與傳統光碟仍有容量成長潛力</strong></span></p> <p>磁帶雖然是數十年歷史的老技術，但仍擁有相當高的成長潛力，富士軟片、IBM與Sony等主要磁帶供應商，已備妥容量密度遠高於現有產品的磁帶技術。</p> <p>以IBM為例，在2020年發布的新世代磁帶技術，便可讓磁帶容量密度較當前提升10倍以上，實現單卷磁帶提供580 TB容量。而由於具有這樣的成長潛力，LTO磁帶聯盟得以在現有LTO-9之後，還能一口氣將發展路線圖規畫到5個世代以後的LTO-14，將容量從現有LTO-9的18 TB逐步提高到576 TB。</p> <p>不僅磁帶，傳統的聚合物光碟儲存媒體也有進步空間。新創廠商Folio Photonics 2022年發表的多層薄膜光碟，便宣稱能提供較現有光碟技術高出20倍以上的儲存容量。事實上，目前的藍光光碟每一面最多只有3到4個光學層，Folio的多層薄膜光碟每一面則能提供8到16個光學層，最終可達到32個光學儲存層，從而大幅提高儲存容量。</p> <p>依照Folio的發展路線圖，預定2024年後推出的第1代多層薄膜光碟，只使用8層光學層，可提供每張光碟50 0GB到1 TB容量，與目前供應的Archival Disc光碟同級。接下來Folio打算以每2年升級一代的速度持續更新，預計2030年推出的第4代多層薄膜光碟產品將採用32層以上的光學層，擁有4 TB到10 TB容量。</p> <p><span style="font-size:28px;"><strong>磁帶仍具有不可取代的優勢</strong></span></p> <p>儘管磁帶面臨各式各樣新興技術的挑戰，但從目前的情勢來看，近期內這些技術還無法撼動磁帶的地位。</p> <p>Cerabyte與Project Silica這類玻璃／光學儲存，或是華為近期發表的「磁—電」儲存，雖然規格頗具吸引力，但也存在難以忽視的技術風險，2030年之前恐怕無法成熟到足以威脅磁帶的地位。因為歸檔儲存不僅看重規格，更看重穩定與可靠，磁帶具有久經驗證而累積的信賴性，正是這些新興技術缺乏的。</p> <p><span style="color:#000099;"><span style="font-size:28px;"><strong>華為的「磁—電碟」歸檔儲存系統</strong></span></span></p> <p><span style="color: rgb(105, 105, 105);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-OceanStore%20Arctic%20-%E4%B8%BB%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%8F%AF%E7%82%BA.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(105, 105, 105);">華為發展的「磁—電碟」號稱是兼具硬碟與磁帶特性的嶄新儲存裝置，每臺可提供驚人的72TB容量。<span style="font-size: 14px;">圖片來源／華為</span></span></p> <p><span style="color:#696969;"><strong>歸檔儲存技術近日最引人注目的新聞，便是華為在2024年初發表的「磁—電」（Magneto-Electric）儲存系統，名為OceanStore Arctic。</strong></span></p> <p><span style="color:#696969;"><strong>產品核心是一種儲存媒體裝置，稱為「磁—電碟」（Magneto-Electric Disk，MED），華為聲稱這種裝置的總成本比磁帶低20%，功耗則比硬碟低80%，暫定2025年下半年於海外推出，第一代產品將擁有每機櫃10PB容量。</strong></span></p> <p><span style="color:#696969;"><strong>稍後分析師Tom Coughlin取得華為的簡報，從而讓外界得知更多MED裝置的技術細節。</strong></span></p> <p><span style="color:#696969;"><strong>簡報中，華為將MED描述為「硬碟+磁帶」的裝置，每組MED擁有72 TB容量。就單一媒體儲存容量來說，72 TB容量的MED若真的推出，將超越IBM TS-1170磁帶，可望成為市面上容量最大的歸檔儲存媒體。</strong></span></p> <p><span style="color:#696969;"><strong>而且MED成本比磁帶低20%，功耗比硬碟低90%。華為聲稱每PB容量的MED裝置耗71瓦電力，硬碟每PB則消耗450瓦，</strong></span></p> <p><span style="color:#696969;"><strong>以資料傳輸率而言，每座MED機櫃比起磁帶高出2.5倍，而且MED裝置是密封的，機櫃不包含機械手臂等裝置，因而可減少故障機率。</strong></span></p> <p><span style="color:#696969;"><strong>整體來說，MED的技術、配備、規格仍有待釐清，但華為如果能實現前述指標，那麼，將是頗具革命性的歸檔儲存技術。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ssd">SSD</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E7%A2%9F">硬碟</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6">磁帶</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">企業儲存應用</a></div><div class="field-item even"><a href="/tags/%E6%AD%B8%E6%AA%94%E5%84%B2%E5%AD%98">歸檔儲存</a></div><div class="field-item odd"><a href="/tags/%E5%85%89%E5%AD%B8%E5%84%B2%E5%AD%98">光學儲存</a></div></div></div>
2024/3/22 15:11作者張明德https://www.ithome.com.tw/tech/161912
【資安日報】3月22日，研究人員公布無限循環的阻斷服務攻擊手法Loop DoS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過傳送大量訊號癱瘓設備運作的攻擊手法，可說是相當常見，但最近有研究人員揭露一種造成通訊無限循環而產生大流量的方法，一旦觸發，就算是攻擊者也無法將其停止。</p> <p>值得留意的是，這種新方法估計有30萬臺伺服器曝險，雖然尚未有人將其用於實際攻擊行動，但研究人員呼籲，IT人員還是應儘速採取因應措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.darkreading.com/cloud-security/russia-s-midnight-blizzard-targeting-service-accounts-for-initial-cloud-access"><strong style="font-size: 22px;">雲端服務帳號遭到俄羅斯駭客組織APT29鎖定，成為對方重要的入侵管道</strong></a></p> <p></p> <p>美國、英國、澳洲、紐西蘭聯合針對匿稱為Midnight Blizzard、The Dukes、Cozy Bear的俄羅斯駭客組織APT29攻擊行動提出警告，有別於過往會利用軟體漏洞或是網路環境的弱點，來入侵目標組織的IT基礎架構，隨著企業組織採用雲端服務越來越普遍，這些駭客也調整入侵的手段，鎖定雲端服務來取得初期的存取管道。</p> <p>為了達成目的，APT29最常見的手段就是採取暴力破解或是密碼潑灑攻擊，來取得雲端服務帳號的存取權限，由於這種帳號多半是用於管理應用程式及服務的自動化，難以藉由雙因素驗證（MFA）進行保護，而成為這些駭客偏好的目標。</p> <p><a href="https://therecord.media/cisa-takes-two-systems-offline-following-ivanti-compromise"><strong style="font-size: 22px;">CISA傳出遭到Ivanti漏洞攻擊，並指出有2個系統受到影響</strong></a></p> <p></p> <p>Ivanti自1月上旬至2月初，揭露Connect Secure、Policy Secure多個漏洞，包括：CVE-2023-46805、CVE-2024-21887、CVE-2024-21888、CVE-2024-21893、CVE-2024-22024，並出現多起漏洞利用攻擊事故，現在傳出美國政府機關受害的情況。</p> <p>根據資安新聞網站Recorded Future News的報導，美國網路安全暨基礎設施安全局（CISA）表示，他們在一個月前發現使用的Ivanti產品，遭到漏洞利用的活動，並指出僅有2個系統受到影響，CISA隨即將其下線，並表示暫時不會對營運造成影響。但對於攻擊者的身分，以及是否有資料遭竊，CISA並未進一步說明。</p> <p>知情人士透露，遭到攻擊的系統分別是：基礎設施防護閘道（Infrastructure Protection Gateway），以及化學品安全評估工具（Chemical Security Assessment Tool，CSAT）。CISA不願對此說法進行證實，亦並未說明上述兩個系統的運作狀態。</p> <p><a href="https://www.trendmicro.com/vinfo/us/security/research-and-analysis/threat-reports/roundup/calibrating-expansion-2023-annual-cybersecurity-threat-report"><strong style="font-size: 22px;">趨勢科技揭露2023年資安威脅態勢，警告臺灣要留意駭客組織Earth Estries動態</strong></a></p> <p></p> <p>資安業者趨勢科技針對2023年的威脅態勢提出看法，特別呼籲臺灣留意去年1月發動攻擊的駭客組織Earth Estries，因為對方專門針對政府機關與科技業而來，擅長利用Github、Gmail、AnonFiles、File.io等雲端服務，來交換、傳輸命令、竊取資料，並使用多個後門和駭客工具，以及PowerShell降級攻擊來迴避偵測。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-loop-dos-attack-may-impact-up-to-300-000-online-systems/"><strong style="font-size: 22px;">新型態攻擊手法Loop DoS有可能影響30萬個線上系統</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Loop-DoS.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Loop-DoS.png" style="width: 300px; float: right;" /></a>德國CISPA亥姆霍茲資訊安全中心公布新型態的阻斷服務（DoS）攻擊手法Loop DoS，研究人員利用UDP通訊協定的弱點CVE-2024-2169，透過應用程式層的通訊，將兩個網路服務進行配對，導致無限循環回應彼此訊息的情況，從而產生大量流量，使得相關系統或是網路服務癱瘓。</p> <p>這種弱點潛在影響的範圍相當廣泛，不只老舊通訊協定，如：QOTD、Chargen、Echo會受到影響，DNS、NTP、TFTP等較新的通訊協定也無法倖免。值得留意的是，一旦觸發上述漏洞啟動循環回應，攻擊者也無法終止相關攻擊，研究人員估計，可能有30萬臺可透過網際網路存取的主機曝險。</p> <p>雖然這種攻擊尚未實際出現，但研究人員警告，IT人員應儘速採取行動降低相關風險，因為，攻擊者利用上述漏洞的難度並不高。他們與卡內基美隆大學電腦緊急應變小組協調中心（CERT/CC）進行協調、披露，目前有5家廠商確認受到影響。</p> <p>資料來源</p> <p>1. <a href="https://cispa.de/en/loop-dos">https://cispa.de/en/loop-dos</a><br /> 2. <a href="https://kb.cert.org/vuls/id/417980">https://kb.cert.org/vuls/id/417980</a></p> <p><a href="https://securityaffairs.com/160694/hacking/fortra-filecatalyst-critical-flaw.html"><strong style="font-size: 22px;">Fortra公布去年修補的檔案傳輸工具FileCatalyst重大漏洞</strong></a></p> <p></p> <p>3月13日資安業者Fortra發布公告，指出旗下的檔案傳輸系統FileCatalyst存在重大漏洞CVE-2024-25153，此弱點與資料夾穿越有關，出現在該系統的工作流程（Workflow）入口網站，一旦攻擊者發出特製的POST請求，就有機會從外部上傳檔案到特定資料夾，CVSS風險評分為9.8。</p> <p>這項漏洞在去年8月發現，影響FileCatalyst 5.x版，當時該公司已推出5.1.6 Build 114版予以修補。但為何現在才發布公告？該公司表示，他們在去年12月取得CVE編號管理者（CVE Numbering Authority，CNA）資格，並因應通報該漏洞的威脅情報業者LRQA Nettitude的請求，將這個漏洞進行列管。LRQA Nettitude也於3月13日，公布該漏洞的細節及概念性驗證（PoC）程式碼。</p> <p>資料來源</p> <p>1. <a href="https://www.fortra.com/security/advisory/fi-2024-002">https://www.fortra.com/security/advisory/fi-2024-002</a><br /> 2. <a href="https://labs.nettitude.com/blog/cve-2024-25153-remote-code-execution-in-fortra-filecatalyst/">https://labs.nettitude.com/blog/cve-2024-25153-remote-code-execution-in-fortra-filecatalyst/</a><br /> 3. <a href="https://github.com/nettitude/CVE-2024-25153">https://github.com/nettitude/CVE-2024-25153</a></p> <p><a href="https://www.wordfence.com/blog/2024/03/critical-vulnerability-remains-unpatched-in-two-permanently-closed-miniorange-wordpress-plugins-1250-bounty-awarded/"><strong style="font-size: 22px;">已終止維護的WordPress資安外掛程式存在漏洞，恐導致網站遭到挾持</strong></a></p> <p></p> <p>資安業者Wordfence指出，他們在舉辦第2屆漏洞懸賞活動的過程中，收到miniOrange開發的WordPress外掛程式Malware Scanner權限提升漏洞通報，一旦攻擊者加以利用，就有機會在未經身分驗證的情況下，透過更新密碼的管道取得管理員權限，由於超過1萬個網站採用此外掛程式，影響範圍相當廣泛。</p> <p>然而，該公司的威脅情資團隊對漏洞進行確認的過程中，發現這名開發者另一個外掛程式Web Application Firewall也有相同的漏洞。此漏洞被登記為CVE-2024-2172，影響上述兩款由miniOrange開發的外掛程式，CVSS風險評分達到9.8，3月5日Wordfence向開發者通報相關細節，對方決定停止提供這些外掛程式因應，對此，Wordfence呼籲網站管理者儘速移除，並尋找替代方案。</p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.zerodayinitiative.com/blog/2024/3/20/pwn2own-vancouver-2024-day-one-results"><strong style="font-size: 22px;">Pwn2Own Vancouver 2024登場，參賽團隊首日抱走電動車與高額獎金</strong></a></p> <p></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Synacktiv-Image%2B(3).jpeg" style="width: 300px; float: right;" />漏洞挖崛競賽Pwn2Own Vancouver 2024於3月20日、21日舉行，在第1天的賽程當中，參賽者總共找到19個零時差漏洞，贏得73萬美元的獎金。</p> <p>其中最受到矚目的部分，是Synacktiv團隊針對特斯拉電子控制單元（ECU）進行的單一整數溢位漏洞攻擊，這項漏洞讓他們不僅進帳20萬美元獎金、20個大師積分，還有1輛特斯拉Model 3，而這是該團隊參與Pwn2Own競賽獲得的第2輛汽車。</p> <p><a href="https://github.blog/2024-03-20-found-means-fixed-introducing-code-scanning-autofix-powered-by-github-copilot-and-codeql/"><strong style="font-size: 22px;">程式碼儲存庫GitHub推出新工具，自動修補用戶部分程式碼的弱點</strong></a></p> <p>3月20日GitHub宣布向Advanced Security用戶提供程式碼自動掃描修復功能（Code Scanning Autofix），借助人工智慧工具GitHub Copilot、程式碼靜態掃描工具CodeQL的力量運作，該功能自動修復的範圍，可以涵蓋約90%的JavaScript、TypeScript、Java、Python程式碼的警告或問題。</p> <p>此外，該修復工具可提供程式碼建議，讓開發者在幾乎不需要編輯程式碼的情況下，修復超過三分之二的漏洞。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.talosintelligence.com/tinyturla-full-kill-chain/"><span style="font-size: 20px;">歐洲非政府組織遭到俄羅斯駭客組織攻擊，被植入後門程式TinyTurla-NG</span></a></strong></p> <p></p> <p><a href="https://blogs.juniper.net/en-us/security/shielding-networks-against-androxgh0st"><strong><span style="font-size: 20px;">竊資軟體AndroxGh0st鎖定網頁應用程式框架Laravel，盜取雲端服務帳密</span></strong></a></p> <p></p> <p><strong><a href="https://www.tenable.com/blog/flowfixation-aws-apache-airflow-service-takeover-vulnerability-and-why-neglecting-guardrails"><span style="font-size: 20px;">研究人員揭露FlowFixation漏洞，攻擊者有可能用來一鍵接管AWS服務帳號</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-fortinet-rce-bug-used-in-attacks-patch-now/"><strong><span style="font-size: 20px;">FortiClient EMS存在危急漏洞，且已被用於攻擊行動</span></strong></a></p> <p></p> <p><a href="https://www.ithome.com.tw/news/161763"><strong><span style="font-size: 20px;">微軟預告資安AI模型Copilot for Security將於4月1日正式上市</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161868"><strong>【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161852"><strong>【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</strong></a></p> </div></div></div>
2024/3/22 12:07作者周峻佑https://www.ithome.com.tw/news/161905
微軟公布第一批有Copilot專用鍵的Surface AI電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/devices/2024/03/21/introducing-surface-pro-10-for-business-and-surface-laptop-6-for-business/" target="_blank">微軟本周宣布</a>第一批鍵盤提供Copilot AI助理專用鍵的商務用Surface產品，包括Surface Pro 10 for Business平板及Surface Laptop 6 for Business筆電，部份市場今起接受預購，預計4月出貨。</p> <p>這是<a href="https://www.ithome.com.tw/news/160671" target="_blank">微軟1月宣布</a>為Windows 11加入獨立的Copilot鍵後，該公司第一批產品。Surface Pro搭配專用的Surface Pro Keyboard鍵盤及Surface Laptop 6鍵盤都加入了獨立鍵，一按即可啟動Copilot。微軟今天並同時宣布<a href="https://www.microsoft.com/en-us/store/b/accessible-adaptive-devices-accessories" target="_blank">Microsoft適應性配件</a>（Adaptive Accessories）系列，包括觸控筆、滑鼠、搖桿等，提供商務用戶客製，用戶可透過3D列印服務列印自有設計。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Copilot%20key-new%20Surface%20Pro-Surface%20Laptop%206%20for%20Business-1-600.png" style="width: 531px;" /></p> <p>微軟指出，這是第一批為AI最佳化的Surface PC系列。兩款Surface產品都採用搭載Windows 11 Pro、Intel Core Ultra vPro處理器、及執行AI的Intel AI Boost NPU，Windows 11 Pro也可降級為Windows 10 Pro。從效能而言，Surface Pro 10比前代提升53%，Laptop 6則為2倍快。NPU整合可支援AI功能如影像優化功能Windows Studio Effects及即時字幕（Live Caption）等。Surface Pro 10為第一款具備114°視野的Windows PC，配合1440p影像及Windows Studio Effects的影像優化功能，方便商務人士以Teams執行視訊會議。</p> <p>為提供企業安全，兩款產品都是Windows 11 Secured-core PC，從硬體面提供Hardware TPM 2.0晶片、BitLocker支援、Windows Hello臉部辨識，並提供NFC驗證可支援YubiKey等硬體金鑰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-Microsoft%20Surface%20Pro%2010%20for%20Business-NFC-YubiKeys.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Yubico</span></span></p> <p>二款產品並強調堅固耐用、輕薄及省電。其中Surface Pro 10 for Business搭載13吋PixelSense觸控螢幕，重僅879公克重，電池續航力在一般使用下達19小時，Surface Laptop 6則分13.5吋及15吋機種，重量分別為1.38及1.68公斤，電池續航力達18.5到19小時。</p> <p>其他規格方面，新一代Surface電腦記憶體8GB起跳，並提供最低256GB的固態硬碟選擇。</p> <p>Surface Pro 10及Surface Laptop 6定價皆為$1,200美元，現在開放部份市場預購，用戶需洽詢Surface授權經銷商採購，預定2024年4月9日出貨。臺灣微軟網頁尚未列出價格。</p> </div></div></div>
2024/3/22 13:24作者林妍溱https://www.ithome.com.tw/news/161907
【迎接ZB資料量時代的儲存需求】100TB儲存媒體5年內問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-feng_mian_p2p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著IT應用的資料量持續增長，當前我們所面對的資料儲存與處理規模，正從原本的PB與EB等級，上升到ZB等級。</p> <p>在富士軟片去年中舉行的全球IT主管高峰會議上，有專家呼應了這個觀點。根據顧問公司Horison Information Strategies資深分析師Fred Moore預測，到了2025年，全球的IT應用將產生高達175 ZB的資料量，其中大約11.7 ZB的資料將會實際儲存下來。</p> <p>面對這樣龐大的資料儲存需求，也給儲存媒體的應用帶來更嚴苛的挑戰。</p> <p>以當前主流規格搭配的儲存媒體來說，若要儲存1 ZB的資料，需耗用5,536萬卷LTO-9磁帶（每卷18TB容量），或是5,000萬臺20 TB容量的近線硬碟，又或是6,600多萬臺15 TB容量SSD，消耗的IT資源十分可觀。</p> <p>所以為了更有效率地存放日益龐大的資料，儲存媒體容量也正在迅速增長。</p> <p>而作為當前儲存應用主流的3種主要儲存媒體——磁帶、硬碟、SSD，都在過去幾個月內，出現了重要容量規格進展，打破了長達5年的停滯。</p> <p>上一波SSD與磁帶容量規格升級是在2018年，當時標準2.5吋規格SSD的容量達到30.72 TB，磁帶則達到20 TB，但接下來有足足5年之久，都停留在這個容量，沒有再繼續提升。而在硬碟方面，這段期間也只緩慢地從16 TB提高到22 TB，同樣沒有顯著增長。</p> <p>到了2023年下半，情況終於有所轉變，因為磁帶與SSD的最大容量都出現大幅度躍進，分別越過50 TB與60 TB的門檻，而硬碟的最大容量增長雖然較慢，但也在日前到達了30 TB等級，都較5年前提升了一倍以上。</p> <p>依照這樣的趨勢，預期3到5年以後，硬碟容量將達到40、50TB，而磁帶與SSD容量更將直逼100TB大關。</p> <p>而儲存媒體容量規格的大幅提升，意味著儲存密度的翻升、單位儲存成本的下降，可以透過更低的資源消耗，因應ZB資料量時代的資料儲存需求。</p> <p><span style="font-size:28px;"><strong>推動儲存容量增長的不同路線</strong></span></p> <p>儲存媒體容量的提升，實質上是來自資料記錄密度的提高。由於不同儲存媒體的資料記錄技術有異，促使容量增長的方式也不同。</p> <p>硬碟與磁帶都屬於磁記錄式的儲存媒體，是依靠磁記錄密度的提高，來推動儲存容量的提升。SSD則屬於半導體式的儲存媒體，是利用提高快閃記憶體單元的資料容量與密度，來提升整個儲存裝置的容量。</p> <p><span style="color:#B22222;"><strong>磁帶的容量增長機制</strong></span></p> <p>磁帶儲存密度的增長，主要是透過提高磁帶媒體的資料記錄密度與面積，來提高容量，包括，在磁帶上，使用顆粒更細小、同時還能維持熱穩定性的鐵氧體磁粉（磁粒），結合幫助鐵氧體在磁帶上均勻分布的薄膜塗布技術，藉此可以在磁帶上容納更多磁軌，提高單位儲存密度之餘，也能減少磁帶厚度，進而在磁帶匣容納更長的磁帶。</p> <p>而隨著磁帶磁錄密度的提高，也需要搭配磁頭與資料校正技術的改進，才能正確地存取資料，包括能夠更精確追蹤、定位磁軌的磁頭伺服控制技術，以及減少誤差的演算法等。</p> <p>以當前最普遍使用的LTO磁帶來說，目前最新一代的LTO-9，比起20年前推出的第一代LTO-1，磁帶容納的磁軌數量增加了23倍，磁帶厚度也薄了40%，磁帶匣容納的磁帶長度則延長70%，進而讓每卷磁帶的未壓縮原生容量提高了180倍，從100 GB提高到18 TB。</p> <p><span style="color:#B22222;"><strong>硬碟的容量增長機制</strong></span></p> <p>與磁帶同屬磁記錄媒體的硬碟，同樣是透過資料記錄密度與面積的提高，來提高容量。</p> <p>不過比起磁帶，硬碟的容量提升，受到物理結構更大的限制。磁帶採用捲繞的帶狀結構、可以方便地透過延長磁帶長度來提高記錄資料的面積（當前一卷磁帶匣內部捲繞的磁帶長度，已經有上千公尺長）。</p> <p>相較下，硬碟碟片的面積是固定的，只能透過在硬碟機匣內堆疊更多碟片，藉此增加資料記錄面積，但是在物理結構的限制下，能堆疊的碟片數量有限，因而透過提高資料記錄面積來提升硬碟容量，效果相對有限。</p> <p>因而比起增加資料記錄面積，硬碟更依賴資料記錄密度的提高來提高總體容量。也就是使用顆粒更小、密度更密的磁粒，藉此在固定面積的碟片上增加磁軌數量。但隨著磁粒尺寸的縮小，又會帶來穩定性等一系列問題，因而硬碟還需搭配更複雜的寫入控制技術，才能在提高磁粒密度的同時，維持資料記錄的穩定與可靠。</p> <p>從提高資料記錄密度與面積這兩方面著手的方式而言，過去20年以來，硬碟廠商為了提高容量，陸續引進一系列新技術，包括：（1）幫助提高碟片儲存密度的垂直寫入技術（Perpendicular recording，PMR），與疊瓦式磁記錄技術（Shingled Magnetic Recording，SMR），（2）幫助在機匣內容納更多數量碟片的氦氣充填，還有（3）允許進一步縮小磁粒、而仍能維持寫入穩定的熱輔助磁記錄（Heat-Assisted Magnetic Recording，HAMR），以及微波輔助磁記錄（Microwave-Assisted Magnetic Recording，MAMR）等，顯著提高了碟片儲存密度與整體容量。</p> <p>大約15到16年前，當時主流硬碟規格是每臺硬碟含3到5張碟片，每張碟片可提供166 GB到200 GB左右的容量，每臺硬碟最高可達到1 TB容量。到了現在，最新一代硬碟已能容納10張碟片，每張碟片擁有2 TB到3 TB容量，硬碟的最大容量來到20 TB以至30 TB，容量提升了20、30倍。</p> <p><span style="color:#B22222;"><strong>SSD的容量增長機制</strong></span></p> <p>以快閃記憶體（Flash Memory）為基礎的SSD，主要是透過提高儲存單元（Cell）資料記錄的位元數，以及3D堆疊技術等2種方式，來推動快閃記憶體的容量密度增長，以及SSD容量的提高。</p> <p>提高快閃記憶體儲存單元的資料記錄位元數，也就是儲存單元的多級化（Multi-Level）。最早的SLC，也就是單級單元（Single-Level Cell）快閃記憶體，每個儲存單元（Cell）以2種電壓狀態來記錄1個位元的資料。接下來的MLC（Multi-Level Cell，多級單元快閃記憶體），每個儲存單元以4種電壓狀態來記錄2個位元的資料，因而比SLC倍增儲存單元記錄的資料量。</p> <p>而當前主流的TLC三級單元快閃記憶體（Triple-Level Cell），以及QLC四級單元快閃記憶體（Quad-Level Cell），則分別以8種與16種電壓狀態，在儲存單元記錄3個位元與4個位元的資料，每個儲存單元可記錄的資料量，又比MLC高出33%與1倍。</p> <p>3D堆疊技術則是在3D空間堆疊多層記憶體單元，從而在相同面積獲得倍增的儲存容量。應用在SSD上的3D堆疊技術，是從32層或48層起步，目前主流產品採用的是128到192層技術，最高則可達到232層堆疊。</p> <p>結合多級化儲存單元與3D堆疊技術，帶動SSD容量的快速增長。以2.5吋標準規格的SSD為基準，在2009年突破1TB容量關卡之後，到了2015年就增長到15.36 TB，在2018年又翻倍達到30.72 TB，時至2023年，又推進到61.44 TB。若將非標準規格的SSD也涵蓋在內，2020年就已有100TB容量的SSD問世（採用3.5吋規格）。短短十多年內，SSD的最大容量就已提升超過50倍。</p> <p><span style="font-size:28px;"><strong>SSD領跑，帶動儲存媒體容量增長</strong></span></p> <p>比起擁有半世紀以上歷史的磁帶與硬碟，SSD的普遍應用是近15年的事，早期的容量也比較低，不過憑藉半導體技術的進步，SSD的容量增長後來居上，近5、6年來已把磁帶與硬碟拋在後面。</p> <p>如同我們在2023年10月儲存月報「儲存媒體的容量規格競爭」中提過的，SSD、磁帶、硬碟這3大主要儲存媒體的容量發展，在2016到2018年間曾一度達到交會點，規格都達到14、15 TB的範圍，當時硬碟最大容量是14 TB，SSD是15.36 TB，磁帶是15 TB（IBM的TS1155），但接下來，SSD的容量增長速度便拋開了磁帶與硬碟。</p> <p>SSD的容量在2018年初一舉躍升到30.72 TB（三星的PM1643），磁帶方面雖然也在同一年年底提高到20 TB（IBM TS1160），但已與SSD拉開了差距。相形之下，第1款20 TB容量硬碟（WD的Ultrastar DC HC650），則是在2019年底才發表，顯示硬碟的容量增長速度，已開始跟不上SSD與磁帶的腳步。</p> <p>時隔5年之後，SSD容量在2023年中達到61.44 TB的新高峰（Solidigm的D5-P5336），磁帶也在同年稍後達到單卷50 TB容量（IBM TS1170）。</p> <p>在硬碟方面，雖然自2016年起，也以平均每年增加2 TB的速度，持續的提高容量，但這樣的增長幅度已追不上SSD或磁帶，到了2023年底雖然有了較大幅度的進展，接連出現28 TB與30 TB容量產品，但仍被SSD與磁帶拋開了距離。</p> <p><span style="font-size:28px;"><strong>追逐最大儲存容量成長的極限</strong></span></p> <p>SSD遠高於磁帶與硬碟的容量增長速度，反映出過去10年來，快閃記憶體技術的進步幅度，要高於磁記錄技術，而且快閃記憶體的容量增長後勢強勁，還有相當大的成長潛力。</p> <p><span style="color:#B22222;"><strong>快閃記憶體的容量增長前景</strong></span></p> <p>快閃記憶體的2條提升容量密度路徑——儲存單元的多級化，以及3D堆疊技術，目前都已備妥容量密度更高的下一代技術。</p> <p>在多級化方面，目前市場上的主流是每個儲存單元3位元的TLC，與4位元的QLC，而每個儲存單元可儲存5位元資料的PLC，目前已經在工程開發測試階段，儲存密度可較QLC提高20%。</p> <p>在3D堆疊技術方面，目前市場主流產品是128到192層，目前已開始轉往200層等級。</p> <p>在下一步發展方面，SK hynix已發表321層技術，三星也發表280層技術，又將容量密度提高到了新層次。舉例來說，現有主流的176層TLC快閃記憶體，位元密度則為10 Gb/mm2左右，SK hynix新推出的321層TLC技術則能將位元密度提高到20 Gb/mm2以上，而三星不久前發表的280層QLC技術，更一舉將位元密度提高到28.5 Gb/mm2。這也意味著，在其他條件不變下，應用300層等級3D堆疊技術，將能讓現有的SSD容量提高2、3倍，輕易超過100TB。</p> <p>依快閃記憶體供應商的3D堆疊技術發展規劃，到了2030年時，將能推進到800層以至1,000層，儲存密度還可較現在產品再提高4到5倍以上。</p> <p><span style="color:#B22222;"><strong>磁帶的容量增長前景</strong></span></p> <p>基於磁記錄技術的磁帶與硬碟，容量密度的增長潛力已明顯不如SSD。</p> <p>單就儲存媒體的儲存密度來說，硬碟的單位儲存密度要遠高於磁帶，目前硬碟的儲存密度最高可達到每碟片3TB，也就是大約3.32 Gb/mm2的位元密度，還不到快閃記憶體的1/3，而磁帶更只有0.018到0.05 Gb/mm2左右，只有硬碟的70到80分之1。</p> <p>但磁帶憑藉著捲繞式的設計，只要增加磁帶長度，就能提高資料記錄面積，因為一卷磁帶可用的資料記錄面積，是一臺3.5吋硬碟的數十倍到近百倍，所以磁帶不需要使用太高磁錄密度的技術，就能達到同等或超過硬碟的儲存容量，這也賦予了磁帶更大的容量成長潛力。</p> <p>目前的LTO磁帶規格，已發展到每卷18 TB的LTO-9，依每3、4年更新一代的速度，在2025年以前，應該會推出每卷容量36 TB的LTO-10，然後每卷容量72 TB的LTO-11則會在2027到2028年問世，接著在2030年以後，跨到144TB容量的LTO-12。而IBM的3592磁帶目前發展到每卷50 TB容量的TS-1170，下一代是80 TB容量的TS-1180，預期會在2027年左右推出，然後再跨到160 TB容量。</p> <p>而在未來的成長潛力方面，目前磁帶使用的鋇鐵氧體磁粒，已在實驗室驗證可提高到每卷磁帶220 TB容量密度，若改用新一代的鍶鐵氧體磁粒，還有提高到每卷磁帶500 TB以上容量的潛力。</p> <p><span style="color:#B22222;"><strong>硬碟的容量增長前景</strong></span></p> <p>比起快閃記憶體與磁帶，硬碟容量密度的增長前景，相對而言，較不樂觀，對此，由相關業者組成的先進儲存研究聯盟（Advanced Storage Research Consortium，ASRC），近年來也大幅調降硬碟儲存密度成長的展望。</p> <p>在2014年時，ASRC曾樂觀預測硬碟的儲存密度在2021年就能達到5 Tb/in2（約7.75 Gb/mm2），接下來在2025年提高到10 Tb/in2（約15.5 Gb/mm2）。</p> <p>但實際上到了2021年，硬碟儲存密度才達到1.5 Tb/in2（約2.4 Gb/mm2）左右，增長速度遠不如預期。</p> <p>於是，ASRC在2022年調降了預測，預估硬碟儲存密度達到5 Tb/in2是2028年前後，達到10 Tb/in2則是在2034年以後。目前市售硬碟儲存密度最高是2 Tb/in2（約3.3 Gb/mm2），若依照ASRC的預測，未來10年還有提高5倍的餘裕，進而帶動硬碟的容量增長。</p> <p>在市面上三大主要硬碟供應商中，Toshiba與Seagate都提出容量超過30、40TB的硬碟發展規畫，Toshiba於2022年初發布的硬碟發展路線圖，預定2025年推出35TB硬碟，在2026年以後推出40 TB以上的硬碟。而Seagate在2021年時還提出過更樂觀的規畫，認為透過HAMR技術的採用，預計2025年將可推出50TB硬碟，在2030年甚至將達到100TB。</p> <p><span style="font-size:28px;"><strong>迎向100TB</strong></span></p> <p>以儲存媒體的容量密度來說，是快閃記憶體＞硬碟＞磁帶，不過在容量增長速度與潛力來說，則是快閃記憶體＞磁帶＞硬碟。</p> <p>依照當下的發展趨勢，SSD容量應該在這2年內就能突破100TB大關。事實上，如果不局限於2.5吋SFF與U2這種標準通用規格SSD，一些非標準規格SSD早已實現100TB容量，如Nimbus Data在2020年便推出採用3.5吋規格、容量達100 TB的ExaDrive DC SSD。</p> <p>而憑藉新一代的儲存單元多級化與3D堆疊技術，到了2030年，SSD容量突破300 TB，也不讓人驚訝。</p> <p>而在磁帶方面，應該在2030年前後也能順利突破100TB容量，目前的技術儲備足以支持這樣的增長。</p> <p>對硬碟來說，雖然廠商也提出在2030年推出100TB容量硬碟的規畫，但考慮到硬碟碟片的磁錄密度已經接近物理極限，增長越來越困難，難以在幾年內出現大幅度的進展。</p> <p>而在增加碟片可用面積方面，目前的10碟片設計也接近極限，雖然有廠商提到正在發展11碟片設計，但這只能帶來小幅的容量提升，2年前還有廠商提出14碟片的構想，但實現上非常困難。</p> <p>因而硬碟廠商要如期實現100TB容量升級的時間表，恐怕會有很大的困難。</p> <p><span style="font-size:28px;"><strong>容量規格影響歸檔應用</strong></span></p> <p>而不同儲存媒體容量增長的速度與潛力差異，最終也將影響到不同儲存媒體在儲存應用的版圖消長，特別是在最消耗容量的長期歸檔保存領域。</p> <p>依前面我們引用的資深分析師Fred Moore說法，IT應用所產生的資料中，有80%最終都會以歸檔形式長期保存，當資料產生過後的90到120天，存取機率便會降到5%以下，此時便會進入歸檔保存狀態，預估每年的歸檔資料量增長將達到25%到35%左右。</p> <p>也就是說，歸檔將是容量耗用最大的儲存應用領域。顯然的，儲存媒體的容量越大、密度越高，便能以更少的資源消耗，滿足歸檔儲存所需的龐大容量需求。這也是快閃記憶體近年來開始進入歸檔儲存應用的原因，因為已進入市場的QLC，與發展中的PLC快閃記憶體，都把歸檔列為主要應用。</p> <p>而磁帶憑藉低成本與充足的容量成長潛力，未來應該能持續在歸檔應用中占有一席之地。相較之下，容量成長較為緩慢、且密度提升遭遇物理瓶頸的硬碟，在歸檔長期資料保存應用的角色，恐怕會遭到侵蝕。</p> <p> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P2%2BP3-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>3種儲存媒體的發展起點與容量成長路線各不相同，不過在2015到2018年，一度出現容量規格交會的情況。在2014到2015年間，3種儲存媒體最大容量都達到8至10 TB之間，然後在2016、2018年之間，又一同成長到14至15 TB範圍。</strong></span></p> <p><span style="color:#696969;"><strong>不過，到了2018年以後，SSD的容量成長速度便拋開其他兩種儲存媒體，率先突破30 TB，然後在2023年又超過60 TB。</strong></span></p> <p><span style="color:#696969;"><strong>在磁帶方面，IBM 3592系列的容量成長速度也頗為可觀，先後在2018與2023年達到20 TB與50 TB，要比LTO規格的增長快得多。</strong></span></p> <p><span style="color:#696969;"><strong>至於硬碟方面，自2016到2022年之間，雖然也以每年增加2 TB的速度穩定成長，但比起SSD與磁帶的躍進式容量增長，已經瞠乎其後，到了2023年底到2024年初，才有較大幅度的提升，一舉達到30 TB容量，但與SSD、磁帶之間已有明顯的差距。</strong></span></p> <p class="rtecenter"> </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E5%B0%81%E9%9D%A2P2%2BP3-600-2.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>就儲存媒體位元密度（bits density）來說，NAND快閃記憶體一枝獨秀，遠高於硬碟與磁帶。我們這裡列出當前容量密度最高的幾款TLC與QLC快閃記憶體，可見到容量密度是22 TB與30 TB硬碟的5到6倍以上，這也解釋尺寸較小的SSD何以擁有較硬碟高出許多的容量。</strong></span></p> <p><span style="color:#696969;"><strong>要特別注意的是磁帶，從表中可以看出，磁帶的位元密度要比SSD或硬碟要低了2到3個層次，但磁帶是捲繞式的架構，能夠「以面積換容量」，只要延長磁帶長度，就能簡單地增加資料記錄面積，從而提高容量。</strong></span></p> <p><span style="color:#696969;"><strong>事實上，當前的主流磁帶規格都已採用上千公尺長的磁帶，資料記錄面積是硬碟的數十倍到近百倍，因此磁帶只需使用較低的磁錄密度技術，就能得到超越硬碟的總容量。</strong></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ssd">SSD</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E7%A2%9F">硬碟</a></div><div class="field-item even"><a href="/tags/%E7%A3%81%E5%B8%B6">磁帶</a></div><div class="field-item odd"><a href="/tags/%E4%BC%81%E6%A5%AD%E5%84%B2%E5%AD%98%E6%87%89%E7%94%A8">企業儲存應用</a></div><div class="field-item even"><a href="/tags/100tb">100TB</a></div></div></div>
2024/3/22 13:55作者張明德https://www.ithome.com.tw/tech/161908
美國司法部、16州控告蘋果壟斷智慧型手機市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部及加州、紐約州等16州周四<a href="https://www.justice.gov/opa/pr/justice-department-sues-apple-monopolizing-smartphone-markets" target="_blank">控告蘋果壟斷智慧型手機市場</a>，包含採取違法手段阻礙美國民眾轉換手機、打壓應用程式、產品、服務創新，以維持iOS及iPhone獨占優勢，並迫使消費者及企業用戶支付更高費用。</p> <p>美國司法部在紐澤西州地方法院提起告訴，並有加州、紐約州、亞歷桑納州等15州及哥倫比亞特區參與，控告蘋果壟斷或試圖壟斷智慧型手機市場，違反美國反托拉斯法。這是繼1998年對微軟控告Windows壟斷PC作業系統並搭售IE瀏覽器以來，美國司法部再度對科技龍頭提出壟斷控訴。</p> <p>司法部及16州相信，蘋果選擇性對某些開發商行使合約限制，並限縮存取管道，以維持智慧型手機壟斷。蘋果排擠了原本可降低消費者對iPhone的依賴、提供相容性，以及降低成本的應用程式、產品和服務。透過行使壟斷權，蘋果得以從消費者、開發商、內容創作者、出版商、店家和小型企業賺取更多錢。</p> <p>美國司法部長Merrick Garland指出，消費者不應被迫支付更高費用，因為是廠商違法。他說，蘋果能在市場勝出，並非只基於法定權利，甚至還違反反托拉斯法，如果置之不理，將任憑蘋果強化智慧型手機壟斷局面。</p> <p>美國政府控訴蘋果運用對iPhone的主導權行使壟斷行為，並列出五大罪狀。五大罪狀包括封鎖創新的超級App，擾亂可讓消費者輕鬆在競爭手機平臺間轉換的App成長（例如Spotify）；打壓行動雲端串流服務，打壓可讓消費者無需買昂貴手機硬體，即可享受高品質電玩和其他雲端應用的雲端串流App（例如Epic Games）；排擠跨平臺訊息App，讓跨平臺訊息品質與安全性降低、難以創新（指的是讓非iPhone訊息和iMessage無法互通）；限制第三方智慧手錶的功能，讓Apple Watch消費者不得不繼續花大錢升級iPhone。最後是限制第三方電子錢包，使這些App無法使用一鍵支付（Tap-to-pay）功能，阻礙跨平臺第三方電子錢包的開發。</p> <p>其他罪狀還包括蘋果影響瀏覽器、視訊、新聞訂閱、娛樂、車上資訊服務、廣告、定位服務等反競爭行為。</p> <p><a href="https://www.nytimes.com/2024/03/21/technology/apple-doj-lawsuit-antitrust.html" target="_blank">蘋果周四已做出回應</a>。蘋果指出，該公司設計出無縫整合的產品，確保用戶隱私和安全性，並開發優異的使用者體驗，這官司威脅公司宗旨及讓蘋果在激烈競爭市場中領先的原則。一旦官司成功，將阻礙蘋果開發消費者期待的技術，也將立下危險前例，給了政府介入影響科技設計的權力，該公司將極力捍衛這項權利。蘋果周四股價下跌2%。</p> <p>美國司法部和16州的控告案是繼今年3月正式施行的<a href="https://www.ithome.com.tw/news/158633" target="_blank">歐盟《數位市場法》</a>（Digital Markets Act，DMA）後，由國家行政部門主導的反托拉斯行動。但美國政府關注點更多；歐盟並未要求蘋果iPhone允許第三方市集App，或是開放Tap to Pay給第三方廠商存取。</p> <p>蘋果打壓競爭對手，是本案和1998年司法部vs微軟案中最相似的地方。不過有觀點認為，司法部所謂蘋果的「壟斷」和微軟當年不同。例如，<a href="https://techcrunch.com/2024/03/21/apples-iphone-is-not-a-monopoly-like-windows-was-a-monopoly/" target="_blank">《Techcrunch》</a>分析，1998年，Windows市占高達90%，但iOS市占遠不及如此；根據<a href="https://gs.statcounter.com/os-market-share/mobile/worldwide" target="_blank">Statcounter數據</a>，iOS市佔為27.84%。<a href="https://www.nytimes.com/2024/03/21/technology/apple-doj-lawsuit-antitrust.html" target="_blank">一些法學專家則指出</a>，所有廠商都允許有偏私自家產品的商業行為，司法部得解釋，何以獨獨蘋果這樣做不行。</p> <p>但一旦判決傾向原告，可能會對產業產生重大影響。微軟在1998年被起訴後，雖然2001年和司法部達成和解，但也迫使微軟IE瀏覽器從此失去市場，而微軟創辦人比爾蓋茲事後也回憶，官司也讓微軟無法專心開發手機作業系統，錯失行動平臺的機會。</p> <p>另一方面，因應DMA上路，蘋果也在本月相繼公佈多項開放措施，包括<a href="https://www.ithome.com.tw/news/161669" target="_blank">允許用戶</a>將iCloud、iPhone資料搬到Android平臺、<a href="https://www.ithome.com.tw/news/161035" target="_blank">同意開發商</a>將用戶導向外部App市集下載或支付網站，並讓<a href="https://www.ithome.com.tw/news/161267" target="_blank">iOS App在第三方市集上架</a>等。</p> </div></div></div>
2024/3/22 12:40作者林妍溱https://www.ithome.com.tw/news/161904
成功大學加速永續轉型的關鍵，建校務資料湖強化數據治理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，在永續熱潮下，不只政府部門帶頭推動公部門永續發展，這股永續性的風潮也吹向教育機構，不少國立大學紛紛開始將永續校園列為未來發展新方向，成功大學就是其中一間，從2023年開始展開數位治理推動計畫，要善用資料與數位新興科技加速學校的轉型，邁向永續校園。</p> <p>負責執行成功大學數位治理計畫的關鍵團隊，正是成大計算機與網路中心（以下稱計網中心）的IT團隊，未來將透過IT與數位化科技協助校方加速推動治理的轉型。</p> <p>成大計網中心今年還要打造一個校務研究資料湖，強化資料治理，這個資料湖也成了推動成大數位治理、加速校園轉型的重要關鍵。</p> <p>「這個資料湖未來將成為成大發展數位治理一個關鍵基底，加速推動智慧校務研究與發展。」成功大學計算機與網路中心主任陳培殷如此表示。</p> <p><span style="font-size:28px;"><strong>建置校務研究資料湖，作為發展數位治理的重要關鍵基礎</strong></span></p> <p>陳培殷表示，這套資料湖平臺中，將包含各種儲存、運算硬體資源，建立專用資料庫及軟硬體環境，提供資料分析、預處理、視覺化等功能。</p> <p>資料湖本身將來會串接多套系統，包括校務系統、各單位系統等，也能夠儲存各種資料，包括結構化、非結構化的資料輸入，更重要的是，讓資料可以更容易存取，用於各種分析工作。</p> <p>採用資料湖還有另一個好處是，當行政單位需要進行分析時，可以直接從資料湖中取得所需資料，較不會影響原有的系統運作。例如可以快速分析今年多少學生來自繁星計畫，以及不同管道或是不同地區錄取的學生分布。</p> <p>在成功大學導入資料湖平臺作為底層的數據基礎設施後，接著將展開數據分析的工作。</p> <p><span style="font-size:28px;"><strong>導入新的數據分析平臺，將與資料湖結合，呈現視覺圖形分析</strong></span></p> <p>陳培殷表示，待今年下半資料湖啟用後，將會開始讓各行政單位能夠結合資料湖中的數據進行相關研究與分析。</p> <p>舉例來說，在視覺化研究方面，系統可即時抓取資料湖中的資料，利用視覺化資料圖表即時更新資訊，讓研究人員能夠很方便利用這些資訊展開校務研究相關工作，不僅能夠縮短開發時間，還有助於提高校務研究開發的效率。</p> <p>不光如此，計網中心還建置了Tableau數據分析平臺，未來該平臺將與資料湖緊密結合，不僅能夠將校務研究資料進行視覺化呈現，還可提供單位主管進行查詢、研究分析與視圖互動等功能，提供校務決策參考。他表示，目前已展開小規模試用。</p> <p><span style="font-size:28px;"><strong>推動上百套校務系統瘦身計畫，解決系統數過多的難題</strong></span></p> <p>不只要建置資料湖，陳培殷還有另一項重要任務，是要推動校務系統瘦身的計畫，解決系統數過多的難題。</p> <p>過去，成大每年有不少新系統上線，但隨著各單位數位化需求提高，計網中心每年需要開發新系統越來越多。截至2018年底，校務行政系統的數量累計已達到150套，陳培殷在2021年接任IT主管後，這個數字更增加到超過200套，距離2018年僅過不到4年，相當於平均每年上線10多套系統。</p> <p>計網中心要維運和管理多達上百套系統，IT維運人員的負擔變得越來越繁重。可是，資訊人力卻有限，即使到了今年增加到接近50人，IT人力增長的速度仍然趕不上新系統上線的速度。這成了資訊部門推動數位轉型面臨的一大挑戰。</p> <p>為了解決這個問題，陳培殷從兩面向著手改善，一方面展開內部盤點，將一些老舊系統進行汰換或將一些相對次要或不重要的系統下架，並將各單位系統中共通的功能加以整併；另一方面，從管理層面下手，加強資訊人員之間的橫向連結，以減少相同系統或功能的重覆開發。他進一步指出：「不考慮額外開發的新系統，未來4年將現有系統的數量減少到150套為目標。」</p> <p><span style="font-size:28px;"><strong>透過單一窗口系統，讓新進教職人員開通權限全程不用5分鐘</strong></span></p> <p>成大很早就開始推動校務內部數位化的發展，近兩年持續將現有的行政作業流程加以數位化，例如在2023年時，他們對校務行政系統進行強化，加入許多新系統，協助行政單位用於人事資料查詢、宿舍及UCAN管理等。</p> <p>計網中心今年進一步擴大到專案人員聘任、教師升等作業程序，皆改用系統化的方式完成所有流程。</p> <p>陳培殷表示，隨著數位化的推動，整個行政作業流程變得更加自動化。</p> <p>例如，成大光是教職員就有一千多人，學生更有2萬多名，以往職員辦理離職，光是要到人事室辦理註銷流程就得耗費不少時間，現在透過單一窗口系統，來提供統一開通或註銷作業，不論是新進職員、老師報到或新生註冊，不用5分鐘就可以開通相應的權限，如出入門禁等。</p> <p>陳培殷表示：「IT作為支援單位，應優先考慮維持校園資訊服務的系統穩定，並依據使用者單位需求，將行政服務、流程數位化，甚至邁向自動化。」</p> <p>不只推出新系統，計網中心還重新優化改寫現有的校務系統，包括學籍系統，並完成了NCKU App與KUAP App的整併。</p> <p>計網中心今年上半還將翻新個人化學職規劃系統等。此外，他們陸續協助各行政單位將既有委外的系統進行改寫，重新開發出一套新系統，貼近成大的使用需求，不僅有助於系統的維護與管理，還能減少對於委外的依賴。例如今年底前預計將完成導生e點通服務，與e化諮商輔導服務的重構。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E6%88%90%E5%A4%A7CXO-%E6%8A%BD%E8%A8%80.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>建立一套效能監測機制，能即時偵測網路選課流量調度資源應對</strong></span></p> <p>不只開發或重構系統，成大資訊團隊今年開始還建立各種監控機制，用於即時監測校內一些重要系統的運作效能，以此進行必要的資源調度。</p> <p>舉例來說，成大的全校學生約有2.3萬人，每學期選課時段，有時許多人在同一時間上網選課，導致系統必須支援成千或上萬名學生的上線流量，若是無法即時處理，就會影響到學生選課。</p> <p>為了改善這個問題，計網中心導入一套效能監控系統，可以即時監測網路選課系統的運作效能進行資源調度，來因應尖峰時段的選課需求。</p> <p>除了監測選課使用情況，這套系統還進一步將入口網站等其他重要系統一併納入監控範圍，以確保整體系統的順暢運作。</p> <p><span style="font-size:28px;"><strong>將建置行政雲整併各行政單位IT設備，加強落實機房向上集中</strong></span></p> <p>成大計網中心幾年前就開始推動資訊資源的向上集中，由計網中心統一規畫和管理。尤其成大的行政處室眾多，大大小小的處室可能多達百個，每個處室都擁有自己的系統，這些系統大部分是委外開發，使得資訊部門管理不易，也增加了資安風險。</p> <p>計網中心今年下半年將建置行政雲，整併各行政單位的軟體硬設備，來加強落實機房向上集中政策。</p> <p>陳培殷表示，未來將透過行政雲的虛擬機提供行政單位所需的資訊服務，並先從學校的重要處室開始整併，如教務處、學務處等，透過機房整併，在提升資安防護的同時，亦能滿足相關法規的要求。</p> <p>陳培殷上任以來，持續增加對於校內IT基礎設施發展的投資。舉例來說，網路是大學很重要的關鍵基礎設施之一，計網中心這些年持續加強與升級校園網路，例如去年擴充無線網路連線數，最多可以支援1.5萬名師生同時連線。</p> <p>計網中心今年還規畫建置無線網路監控中心，加強對於無線網路環境的監控，以提高網路使用穩定度和品質。</p> <p>2020年疫情爆發，各大學紛紛改用線上教學方式，對成大IT部門帶來了挑戰，需要迅速調整學校的教學系統和網路設施，以支援遠端教學的需求。這段期間，計網中心將校園骨幹網路的連線頻寬將增加為40G，提供更快速的網路，來支援教師線上教學的網路頻寬的需求。</p> <p>但線上教學帶來另一個挑戰是，需要大量儲存空間，來支援教師上傳使用Webex視訊軟體錄製的授課影片。他舉例，平均每月的用量超過1TB。因此，疫情嚴峻期間，計網中心必須要增加儲存空間來應對這個需求。</p> <p><span style="font-size:28px;"><strong>面對定期的資安稽核，持續加強學校資安防護</strong></span></p> <p>在資安防護措施上，成大也很有一套。例如成大近年來開始在校園入口網建立導流機制，透過導流設備來防堵和有效分散外部相關惡意攻擊的連線流量，不會進到成大的內部設備，減少學校發生資安事件的機率。</p> <p>在陳培殷2021年接任後，不僅持續透過IT協助校方抗疫，同時還得面對教育部定期的資安稽核，加強學校資安防護，配合資安法通過後，教育部對於公立大學資安防護要求的加強措施。</p> <p>例如，成大近兩年開始在行政與教學單位導入政府組態基準（GCB）與建立資通安全弱點通報機制VANS，加強內部設備的資安保護。</p> <p>此外，他們還搭配資安防護工具EDR，提高對於端點系統上異常活動的偵測能力，這些端點系統包括核心資通系統或是具有校務資料庫存取權限的公務電腦等。</p> <p>另一方面，針對各單位的現有的委外系統及相關資訊設備，成大計網中心今年還將建置遠端存取監控及錄影平臺，以後不同的維護廠商從遠端連線的維護作業，校內IT人員都可以透過這套平臺統一進行監控和管理。</p> <p>除此之外，在網站安全防護方面，成大今年還將打造一套弱點掃描與品質檢測平臺，透過這套平臺，能夠協助偵測校內使用的網站有無符合不同安全強度的分級要求，來落實更多資安要求。</p> <p>成大目前已有建立異地備份機制，除了成大計網中心機房之外，還透過在暨南大學作為異地備援，來達到備份重要資料的目的。陳培殷表示，今年成大計網中心將持續提高備援的容量，進一步提高資料備分的完整性與安全性。文⊙余至浩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>成功大學計算機與網路中心主任陳培殷</strong></p> <p>學歷：成功大學電機所博士</p> <p>經歷：目前是成功大學資工系特聘教授，過去在成大擔任行政管理工作超過14年以上，曾擔任過成大資訊工程系教授、成大資工系系主任、成大電機資訊學院副院長，2021年開始接任成大計網中心主任，協助學校推動數位治理，加速校園的轉型</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>成功大學</strong></p> <p>地址：臺南市東區大學路1號</p> <p>網址：<a href="http://www.ncku.edu.tw">www.ncku.edu.tw</a></p> <p>成立時間：1931年</p> <p>教職員人數：約1,800人</p> <p>學生人數：23,082人</p> <p>主要業務：教學、研究</p> <p>校長：沈孟儒</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：計算機與網路中心主任</p> <p>資訊部門主管姓名：陳培殷</p> <p>資訊部門人數：48人</p> <p>資訊部門分工：網路與資訊安全組、資訊系統發展組、教學科技組、行政與諮詢組</p> <p>IT預算：4,500萬元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2023年：推動數位治理轉型、持續強化校務系統服務及功能</p> <p>2024年：規畫建置行政雲、導入虛擬化數據中心效能監控系統、規劃建置無線網路監控中心</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-cxo-cheng_da_-960.jpg" width="960" height="420" alt="" title="成功大學計算機與網路中心主任陳培殷" /></div></div></div>
2024/3/22 13:08作者余至浩https://www.ithome.com.tw/people/161906
為什麼工程師要有大局觀
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1173-itshu_zhai_-1p-staffgong_cheng_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個團隊要在A和B兩個軟體中做出選擇。這兩個軟體都擁有必要的功能，但A軟體明顯更容易設置，它就是能發揮作用。B軟體則更難一些：它需要幾個衝刺週期的啟動時間，而沒有人願意等那麼久。</p> <p>從這個團隊的角度來看，選擇A軟體是個明智的決定。何必要選擇其他東西呢？然而其他團隊寧願他們選擇B軟體。因為事實證明，A軟體會給法律和安全團隊帶來持續性工作，它的認證需求意味著IT和平台團隊將不得不永遠把它作為一個特殊案例。選擇A軟體，即該團隊的區域極大值（local maximum，單個群體的最佳決策），此團隊在不知不覺中選擇了一個對公司整體來說得投入更多時間的解決方案。B軟體對團隊來說只是稍微差一點，但整體上要好得多。額外的兩個衝刺週期將在一個工作季度內得到回報，但這一事實只有當團隊中有人以更具大局觀的視角來觀察時才得以顯現。</p> <p>為了避免產生區域極大值，團隊需要決策者（或至少是決策影響者）從局外人的角度看見更大格局—同時考量多個團隊的目標，並選擇一條對整個組織或整個企業最有利的道路。</p> <p>與看到現在的大局同等重要的是，預測你的決策在未來會如何發展。一年後，你會對什麼事情感到後悔？三年後，你會希望你現在就做哪些事情？為了朝著同一個方向前進，各個小組需要在技術策略上達成一致，比如要投資哪些技術、對哪些平台進行標準化等等。這些巨大決定的最終結果可能難以捉摸，而且往往是有爭議性的，所以做出決策的關鍵要點在於能夠分享脈絡資訊，並幫助其他人確實理解。</p> <p>因此，如果你想做出廣泛的、具有前瞻性的決定，你需要能夠看見大局的人。但是，難道這個人不能是經理嗎？難道不能由首席技術長（CTO）來搞懂所有的「業務事項」，將其轉化為技術目標，告訴下面的人嗎？</p> <p>在一些團隊中，他們確實可以。對於一個小團隊來說，經理往往可以擔任最有經驗的技術專家，負責重大決策和技術指導。在一個小公司裡，首席技術長可以深入參與每個決定的細節。這些公司可能不需要Staff工程師。但是，管理權限可能會掩蓋技術判斷：即使有更好的解決方案，下屬可能會覺得與經理爭論技術決測是不合適的。而管理本身就是一項需要全身心投入的全職工作。一個致力於成為優秀人事經理的人，很難分配較多時間去瞭解技術發展的最新情況，而任何身處複雜工作情境的管理者，會較難滿足其下屬需求。</p> <p>那「架構師」呢？在一些公司，「架構師」是職涯階梯中技術軌道上的一個職等。在其他公司，架構師是抽象的系統設計師，他們有自己的職涯路徑，與實作系統的工程師不同。在本書中，我打算將軟體設計和架構視為Staff工程師角色的一部分。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為什麼工程師需要領導跨團隊專案</strong></span></span></p> <p>保持專案進展的一個方法是讓某人對整個專案擁有全部的所有權，而不是這個專案的任何個別部分。甚至在專案啟動之前，這個人就可以清楚界定專案範圍，並建立一個提案。當專案開始後，他們很可能是大方向系統設計的作者或共同作者，也是專案的主要聯絡人。他們秉持高工程標準，以經驗為據預測風險，並提出切中要點的困難問題。他們還會花時間非正式地指導或輔導，或是為專案的各個部分的負責人樹立一個好的榜樣。當專案陷入困境時，他們有足夠的視角來追蹤原因並進行疏通。在專案之外，他們要描述正在發生的事情和原因，向公司其他部門推銷願景，並解釋這項工作將會實現願景，以及新專案如何影響到每個人。</p> <p>技術專案經理（TPM）難道不能做好這種建立共識和溝通的工作嗎？確實，在TPM的職責上與此有所重疊。不過，總的來說，TPM負責的是交付，而不是設計，也不是工程品質。TPM負責確保專案按時完成，而Staff工程師則負責確保專案以高工程標準完成。Staff工程師負責確保開發出來的系統是強大的，並且與公司的技術環境相輔相成。他們謹慎看待技術債，對任何會成為這些系統未來維護者的陷阱的東西都保持警惕。</p> <p>經驗不足的團隊成員可能從未見過好的軟體如何被製作出來，或者可能認為生產程式碼是軟體工程中唯一重要的技能。經驗豐富的工程師可以透過指導程式碼和設計審查，提供架構的最佳實踐，以及打造各種工具，使大家的工作更快、更安全，因而發揮巨大的影響力。</p> <p>Staff工程師是人們的榜樣。經理負責在他們的團隊中建立文化，強制執行好的行為，並確保標準得到滿足。相對地，工程規範是由專案中最受尊敬的工程師的行為而設定的。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Staff工程師雖然不是經理，但仍是領導者</strong></span></span></p> <p>先講重點：Staff工程師是一個領袖角色。Staff工程師通常與部門經理具有同等資歷。Principal工程師的資歷通常與總監（Director）相仿。身為一名與經理職等對應的Staff+ 工程師，你被期待與他們一樣成為「房間裡的大人」。你甚至會發現，你比組織中一些經理更資深、更有經驗。每當出現「應該有人在此時做出行動」的感覺時，這個人極有可能就是你本人。</p> <p>你一定得成為領導者嗎？中階工程師有時會問我，他們是否真的需要精通「那些軟綿綿的人際關係」才能更上一層樓。難道技術能力還不夠嗎？如果你是那種因為想做技術工作而進入軟體工程領域的人，不喜歡與其他人類打交道，那麼當你在職業生涯中遇到了這堵牆，你可能會覺得不公平。如果你想繼續成長，扎實的技術實力只能帶你走到這裡。完成更大的事情意味著與更多的人一起工作，這需要更廣泛的技能。</p> <p>隨著你的薪酬增加，你的時間變得越來越昂貴，你所做的工作被期望具有更多價值及更大影響。你的技術判斷需要將業務的現實層面列入考量，並且謹慎思考任何特定的專案是否值得一做。隨著資歷增加，你將承擔更大的專案，這些專案如果沒有合作、溝通和協調，是不可能成功的；如果你不能說服團隊中的其他人相信你的方案是正確的，你那出色的方案只會讓你本人感到沮喪。無論你是否願意，你都會成為一個榜樣：其他工程師會從那些擁有高職等頭銜的人身上瞭解如何行事。所以，噢不，你無可避免地會成為一位領導者。</p> <p>不過，Staff工程師的領導方式與經理不同。Staff工程師通常沒有直接下屬。雖然他們參與並投入於培養身邊工程師的技術能力，但他們不負責管理任何人的業績或批准假期或費用報銷。他們不能解僱或幫人升職—儘管團隊經理應該重視他們對其他成員的技能和產出的意見。他們的影響力發生在其他方面。</p> <p>領導力有很多形式，而這些形式可能不會使你立即察覺。它可以來自於設計「快樂路徑」的解決方案，保護其他工程師免受常見錯誤的拖累。它可以來自於審查其他工程師的程式碼和設計，提升他們的信心和技能，或者，領導力也能來自於強調一個設計方案沒有滿足真正的商業需求。教學是一種領導力的形式。默不作聲地提升每個人的實力是一種領導力。設定技術方向是一種領導力。最後，擁有一個明星技術專家的聲譽，能夠大大激勵其他人為你的計畫買帳，因為他們覺得你值得信任。如果上面這些敘述聽起來跟你很像，那麼你猜怎麼著？你是一位領導者。<span style="color:#696969;"><strong>（本文摘錄整理自《Staff工程師之路》第一章，碁峰資訊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_Staff%E5%B7%A5%E7%A8%8B%E5%B8%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 500px; height: 300px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Staff工程師之路：獻給個人貢獻者成長與改變的導航指南（The Staff Engineer's Path）</strong></p> <p>Tanya Reilly／著；沈佩誼／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><a href="https://engineering.squarespace.com/blog/2020/the-nuts-and-bolts-with-tanya-reilly" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Staff%E5%B7%A5%E7%A8%8B%E5%B8%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Squarespace.jpg" style="width: 160px;" /></a></p> <p><a href="https://engineering.squarespace.com/blog/2020/the-nuts-and-bolts-with-tanya-reilly" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Squarespace</span></span></a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 作者簡介 </span></span></strong></p> <p><strong>Tanya Reilly</strong></p> <p>擁有超過20年的軟體工程經驗，目前擔任Squarespace的資深首席工程師，從事架構與技術策略工作。在此之前，她曾任職於Google十二年，負責地球上一些最大的分散式系統。她是LeadDev StaffPlus的組織者與主持人，經常參與會議和主題演講活動。她來自愛爾蘭，現居住於美國布魯克林。</p> </div></div></div>
2024/3/22 11:00未署名https://www.ithome.com.tw/article/161805
GitHub預覽程式碼掃描自動修復功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub向所有GitHub Advanced Security用戶提供<a href="https://github.blog/2024-03-20-found-means-fixed-introducing-code-scanning-autofix-powered-by-github-copilot-and-codeql/">程式碼掃描自動修復功能（Code Scanning Autofix）</a>，借助GitHub Copilot和靜態掃描程式碼工具CodeQL的支援，程式碼掃描自動修復可以涵蓋JavaScript、TypeScript、Java和Python程式碼中90％的警告或問題。此外，程式碼掃描自動修復還提供程式碼建議，讓開發者可以在幾乎不需要編輯程式碼的情況下，修復超過三分之二發現的漏洞。</p> <p>在程式碼中發現漏洞時，程式碼掃描自動修復功能會提供自然語言解釋，開發人員可以選擇接受、編輯或是拒絕程式碼建議。除了對當前文件進行更改之外，自動修復功能還可以修改多個檔案，並調整專案中的相依項目，更全面地修復問題。</p> <p>程式碼掃描自動修復由多個元件共同運作，以自動生成修復漏洞的具體建議。在背景中利用CodeQL引擎，以及一系列啟發式演算法，並結合GitHub Copilot API來生成程式碼建議。</p> <p>這項新功能有助於減緩組織安全債的增加，GitHub提到，雖然應用程式仍然是主要的攻擊向量，但多數組織也承認生產環境的儲存庫中，程式碼有越來越多尚未修復的漏洞。而程式碼掃描自動修復功能可以讓開發人員在編寫程式的同時，更容易地修復漏洞。</p> <p>GitHub承諾會支援更多的語言，接下來程式碼掃描自動修復功能也會涵蓋C#和Go的程式碼。</p> </div></div></div>
2024/3/22 08:23作者李建興https://www.ithome.com.tw/news/161902
星展組織轉型之旅：數據運用篇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0322-itshu_zhai_-1p-xing_zhan_zhuan_xing_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以數據為基礎的企業文化轉型過程中，星展銀行的核心議題是利用數據實現客戶價值最大化、控制風險（包括信用風險和營運風險）和增加收入。</p> <p>星展銀行以數據為基礎的企業文化轉型，在以下三方面展開：</p> <p><strong>1. 構建技能和文化：</strong>構建技能和文化，同時培養資料科學家、管理人員和擁護者，推動創造價值。</p> <p><strong>2. 提高數據的可用性：</strong>允許能夠無障礙地取得高品質數據，同時保持控制。</p> <p><strong>3. 創建以目標為基礎的數據平台：</strong>創建一個可擴展的、安全的、高性能的架構和工具集，然後用以數據為基礎的案例充實它。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>構建技能和文化</strong></span></span></p> <p>打造以數據為基礎的企業文化，更重要的是改變員工的行為，而不是資料本身。分析資料比較容易，困難的是鼓勵人們改變原有的工作方式。星展銀行致力於開發無須批准就能立刻自動取得資料的功能，員工能否取得資料取決於在銀行等級以及取得資料的目的。</p> <p>讓位於不同國家和地區的星展銀行的每個員工都培養以數據為基礎的企業文化，是一個巨大的目標。轉型團隊希望藉由創造微小的成功，以建立對這種新的策略和數位工作方式的信心。星展銀行提供給員工的幫助越多，員工就會越常使用資料。最初的成功案例如下。</p> <p><span style="color:#B22222;"><strong>更好的資料，更好的決策</strong></span></p> <p>多年來，星展銀行已經在使用大資料並專注於分析資料。2014年，它與新加坡科學技術研究局合作，創建了自己的實驗室，並讓資料科學家與銀行家合作。星展銀行裡任何想出好點子的人，都能獲得進入實驗室的機會。這讓參與數據分析變得有趣。所以每個季度都會有很多人參與好點子比賽，那些被選中的人有機會去實驗室將想法付諸實踐。</p> <p>這種沒什麼風險的方法，鼓勵人們去了解數據分析可以做什麼，尤其是在採用大數據的早期，當時很少有人了解它的潛在價值。這為數據分析團隊開展工作奠定了基礎。</p> <p><span style="color:#B22222;"><strong>從交叉銷售到交叉購買的解決方案</strong></span></p> <p>在銀行業，一個關鍵的機會是向客戶交叉銷售產品。在獲客成本較高的情況下，交叉銷售意味著一旦人們成為客戶，銀行的目標就是向他們銷售更多的產品和服務。</p> <p>當銀行能夠更好地利用資料了解客戶以及客戶所處的環境時，就能夠更好地向客戶提供建議。員工會問：「從收集到的資料中，有哪些會吸引客戶交叉購買產品？」</p> <p>可用的數據有利於從交叉銷售轉向交叉購買，但這需要相當多的努力和相當長的時間。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>提高數據的可用性</strong></span></span></p> <p>轉型團隊的重點是鼓勵所有員工都能輕鬆地進行數據分析，無論是小型數據分析還是大型數據分析，無論是基礎分析還是機器學習。例如，預測抵押貸款客戶流失，預測哪個客戶會致電客戶服務中心。</p> <p>另一個最初的挑戰是將資料報告從靜態轉變為即時決策。對於習慣使用投影片來報告和展示歷史資料的組織來說，這並不容易。一開始，轉型團隊成員問業務負責人：「你們打算做出什麼決定？」然後，他們使用設計思維，研究如何透過資料視覺化優化專案決策。從現有的報告中，他們還可以看到用戶在做什麼決定。一旦明確了關鍵決策並達成一致，設計師就會著手構建一個儀表板原型，強調這些決策和所需的相關見解，這個原型經測試最終拍板定案。</p> <p>使用這種方法改變業務時的一個關鍵因素是，思考的是要解決的問題而非要使用的資料。</p> <p>在資料使用方面取得成功的案例如下所示。</p> <p><span style="color:#B22222;"><strong>減少報告數量</strong></span></p> <p>數據分析團隊審查了整個銀行每月發出的報告數量。然後，團隊開始測試：停止發送所有報告，等著看是誰要這些報告。接下來，它取消了沒有得到請求的報告。透過研討會，數據分析團隊繼續培訓員工自己抓取資料的能力，並且只產出他們需要的報告。</p> <p><span style="color:#B22222;"><strong>預測客戶關係經理何時離職</strong></span></p> <p>另一個早期的成功案例是，透過建立模型來預測分析客戶關係經理考慮什麼時候離開銀行。在許多銀行，客戶關係經理的流動率很高。當時，這些資料只是放在銀行裡，沒有被使用。數據分析團隊和人力資源團隊的成員發現，某些資料可以讓他們預測客戶關係經理是否有可能離職。</p> <p>員工辭職前的600個行為數據點被用於機器學習，它能告訴星展哪些員工可能在三個月內離職，準確率高達85%。</p> <p>如今，該分析模型每月會推送一份數位報告，提醒主管潛在的員工離職情況，並擬定管理者可以採取的具體措施。當他們採取這些糾正措施時，星展銀行留下了90%以上可能離職的員工。</p> <p><span style="color:#B22222;"><strong>創造指數級的結果</strong></span></p> <p>隨著數據分析在星展銀行內部的發展，管理層能夠利用資料創造指數級的結果。例如，預測應用程式可能出現的故障，或者協助客戶透過客服中心提前處理可能出現的問題。</p> <p>現在，星展銀行使用數據來更加了解客戶。</p> <p>數據分析團隊使用演算法來解決問題，例如，某地區最適合在什麼時候推出何種信用卡。它還使用客戶科學來協助客戶預測可能出現的問題，並幫助他們提前消除這些問題。例如，團隊會追蹤客戶如何使用銀行自有的應用軟體，以及他們的每一次交互行為。他們的行為是什麼？他們什麼時候登入和退出？在研究這些資料的基礎上，團隊整合了業務，使用名為Prophet的時間序列預測模型來識別未來可能的失敗。</p> <p>數據分析團隊還創建了一個卓越中心，由資料科學家和翻譯人員組成。這些團隊與業務團隊合作，充分發揮了數據的價值。</p> <p><span style="color:#B22222;"><strong>機器學習的技能</strong></span></p> <p>在員工開始嘗試數據分析之後，他們的技能和決策能力都增加了。使用特定的參數，能夠幫助他們更好地定義問題。機器學習尤其需要清楚地定義問題。如果員工不能明確定義問題，他們就無法明確決定解決問題；同樣的，機器也不知道需要解決什麼問題。</p> <p><span style="color:#B22222;"><strong>數據無處不在</strong></span></p> <p>員工發現，他們總是能找到一些可用的數據來開始工作，並且可以在之後的工作中獲得更多的數據。這意味著「不要讓有限的資料成為不進行數據分析的藉口」。</p> <p>數據分析團隊鼓勵員工至少每三個月使用簡單的分析工具，並落實分析的結果。它強調，不是所有的分析都需要複雜的、先進的工具。在大多數情況下，他們可以從使用Microsoft Excel、Python和QlikView等工具開始。員工可以小規模地嘗試這些工具，看看哪些有效，並確定哪些需要改變。這為員工帶來了動力，帶來早期的成功。</p> <p><span style="color:#B22222;"><strong>數據儀表板文化</strong></span></p> <p>2017年，星展銀行最大的改變是開始推廣數據儀表板。自動化的數據儀表板有助於彙報，因為管理層希望在決策會議上看到統一設計的儀表板，而不是投影片。透過儀表板的形式展現數據視覺化，提高員工效率，幫助他們做出更好的決策。（本文摘錄整理自《星展銀行數位轉型實踐手冊》第18章，商業周刊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0322-IT%E6%9B%B8%E6%91%98-1P-%E6%98%9F%E5%B1%95%E8%BD%89%E5%9E%8B%E6%89%8B%E5%86%8A-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商業周刊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 星展銀行數位轉型實踐手冊（World's Best Bank: A Strategic Guide to Digital Transformation）</strong></p> <p>羅賓‧斯普蘭（Robin Speculand）／著；陳勁, 龐寧婧／譯</p> <p>商業周刊出版</p> <p>定價：450元</p> <p><a href="https://www.amazon.com/stores/author/B002OHFWDC/about?ingress=0&visitId=3c23b9d6-eff9-4f12-b955-30905009c592&ref_=ap_rdr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%98%9F%E5%B1%95%E8%BD%89%E5%9E%8B%E6%89%8B%E5%86%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.jpg" style="width: 160px;" /></a></p> <p><a href="https://www.amazon.com/stores/author/B002OHFWDC/about?ingress=0&visitId=3c23b9d6-eff9-4f12-b955-30905009c592&ref_=ap_rdr" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>羅賓‧斯普蘭（Robin Speculand）</strong></p> <p>TEDx演講家、創業家、商業策略家。</p> <p>現任BRIDGES商業顧問公司、創辦人暨CEO。曾任杜克大學、洛桑國際管理學院、新加坡管理大學和新加坡國立大學教師。他曾創立3家公司、3個商業協會。他共同創立「策略實施研究所」（Strategy Implementation Institute）線上教育論壇。</p> <p>專長為策略實戰。不斷創造新方法協助領導者進行組織轉型，同時也是策略實戰主題最多產的作家之一。2021年，羅賓與星展集團執行總裁高博德（Piyush Gupta）共同被提名了全球最具影響力的50大管理思想家（Thinkers50）的最佳理念實踐獎，並被Prestige評為新加坡2021-2022年度「商業策略家」。想知道更多關於星展數位轉型內容，可到<a href="http://www.bridgesconsultancy.com">www.bridgesconsultancy.com</a></p> </div></div></div>
2024/3/22 09:00未署名https://www.ithome.com.tw/article/161804
Google發表當前最佳UI與資訊圖表理解模型ScreenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表了能夠理解使用者介面和資訊圖表的模型<a href="https://blog.research.google/2024/03/screenai-visual-language-model-for-ui.html">ScreenAI</a>，ScreenAI建立在視覺語言模型PaLI基礎之上，並採用圖片轉文字模型pix2struct的彈性區塊處理策略（Flexible Patching Strategy）強化，再加上以特別製作的資料集和任務組合進行訓練，使得ScreenAI擁有目前最先進的解讀圖表能力。</p> <p>ScreenAI是一個結合視覺和語言處理能力的模型，用於理解用戶介面和資訊圖表。ScreenAI以PaLI架構為基礎，由多模態編碼器（Multimodal Encoder）和自回歸解碼器（Autoregressive Decoder）組成。PaLI編碼器使用視覺Transformer（ViT）來創建圖像嵌入，並結合文字嵌入，使得模型能夠同時理解圖像和相關文字資訊。</p> <p>特別的是，ScreenAI採用了pix2struct模型的彈性區塊處理策略，因此ScreenAI更能夠處理不同長寬比的圖像，研究人員解釋，這與傳統固定網格模式不同，彈性區塊處理策略的網格尺寸能保留輸入圖像的原始長寬比，因此可以提升模型對於不同類型圖像的處理能力。</p> <p>ScreenAI模型的訓練階段分為兩階段，第一是預訓練階段，第二則是微調階段。ScreenAI預訓練階段採用自監督學習自動生成資料標籤，這些標籤被用於訓練ViT和語言模型，而在微調階段時，ViT參數便會被凍結，大部分使用的資料由人工評估員手動標記，以微調模型提高特定任務的表現。</p> <p>ScreenAI的訓練資料集主要來自不同裝置的螢幕截圖，包括了桌面電腦、手機和平板，由於來源豐富，確保了資料集在視覺樣式、布局配置和使用者介面元素的多樣性。研究人員使用基於DETR模型的布局註解工具，辨識並標記出各種使用者介面元素，像是圖像、象形圖（Pictogram）按鈕、文字以及空間關係等。</p> <p>而象形圖則會再經過一個專門的分類器進一步分析，該分類器能夠區分77種圖標類型，而分類器未涵蓋的資訊圖表和圖像，則使用PaLI圖說模型產生符合上下文資訊的描述性文字。另外，圖片上的文字還會經過OCR引擎辨識，與註解文字相結合，創建出每個螢幕截圖詳細的描述。</p> <p>註解工具生成的螢幕描述文字，還需要經過語言模型PaLM 2強化資料的多樣性，才會成為最終的訓練資料集。PaLM 2會根據截圖描述以及問答、螢幕導覽和螢幕總結等任務，生成輸入與輸出資料對，像是根據店家資訊的截圖描述，生成「餐廳何時開門？」的問題和相對應的答案。由於PaLM 2可根據不同類型的任務和互動，創建多樣化和更全面的資料集，使得ScreenAI能夠更好地理解和回應各種用戶的需求和行為。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM.png" style="width: 580px;" /></p> <p>ScreenAI僅擁有50億參數卻非常高效，在處理用戶介面和資訊圖表相關任務WebSRC和MoTIF，與當前規模相近的先進模型相比，得到最高的分數，而在圖表問答相關的任務Chart QA、DocVQA和InfographicVQA，也是當前同類模型中表現最佳者。</p> </div></div></div>
2024/3/22 08:18作者李建興https://www.ithome.com.tw/news/161901
【資安日報】3月21日，多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初JetBrains修補TeamCity兩個漏洞CVE-2024-27198、CVE-2024-27199，隨後就傳出有人將其用於攻擊行動，其中一組人馬就是曾經對臺灣發動攻擊的勒索軟體駭客組織「變臉」。</p> <p>但事隔不到一週，但事隔不到一週，更多駭客也加入利用這些漏洞的行列，他們對TeamCity植入更多惡意程式，以便進行攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/c/teamcity-vulnerability-exploits-lead-to-jasmin-ransomware.html"><strong style="font-size: 22px;">更多駭客利用TeamCity重大漏洞，散布勒索軟體Jasmin、挖礦程式XMRig、木馬程式SparkRAT</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/TeamCity-fig3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TeamCity-fig3.jpg" style="width: 300px; float: right;" /></a>3月4日JetBrains公開CI/CD開發平臺TeamCity的高風險漏洞CVE-2024-27198、CVE-2024-27199（CVSS風險評分為9.8、7.3），一週後勒索軟體駭客組織「變臉」開始將其用於攻擊行動，現在有更多駭客加入利用漏洞的行列。</p> <p>資安業者趨勢科技指出，他們看到多組人馬利用這些漏洞，最早發現的是勒索軟體Jasmin攻擊，對方加密受害電腦並留下勒索訊息，要求受害者透過電子郵件聯繫，並以比特幣或門羅幣支付贖金；接著，他們也發現有人利用這項漏洞部署挖礦程式XMRig變種，進行調查發現，對方可能早在1月就在用TeamCity伺服器挖礦。</p> <p>除了上述攻擊事故，研究人員看到有人對這類伺服器散布RAT木馬程式SparkRAT變種的情況，駭客使用Go語言打造並將其當作後門使用。此外，他們也看到攻擊者利用漏洞部署Cobalt Strike Beacon的事故。</p> <p><a href="https://techcrunch.com/2024/03/19/pokemon-resets-some-users-passwords-after-hacking-attempts/"><strong style="font-size: 22px;">寶可夢公司網站發布警訊，有人疑似對玩家發動帳號填充攻擊</strong></a></p> <p>電玩遊戲業者寶可夢公司（The Pokémon Company）近日在網站上提出警告，指出他們發現有人企圖入侵部分用戶的帳號並重設密碼，該公司將暫時停用受此影響的帳號。</p> <p>該公司發言人Daniel Benkwitt向科技新聞網站TechCrunch透露，他們並未察覺有帳號遭到入侵，但為了保護用戶，仍決定重設部分用戶的密碼，這些帳號占總體用戶的比例是0.1%。TechCrunch推測，此次事故很有可能使用了帳號填充（credential stuffing）手法進行攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pokemon-hack-alert.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pokemon-hack-alert.png" style="width: 580px;" /></a></p> <p><a href="https://www.cisa.gov/resources-tools/resources/prc-state-sponsored-cyber-activity-actions-critical-infrastructure-leaders"><strong style="font-size: 22px;">針對中國資助的駭客Volt Typhoon持續鎖定關鍵基礎設施攻擊，美國提供防禦指引</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）與英國、澳洲、加拿大的網路安全機構聯手對中國駭客組織Volt Typhoon帶來的威脅提出警告，指出這些駭客的攻擊目標與策略與大部分的攻擊者有所不同，他們的主要目標是拿下操作科技（OT）資產的存取權限，若是得逞，就有機會破壞關鍵基礎設施，未來一旦發生軍事衝突，或是出現地緣政治緊張的局勢，就能趁機製造混亂。</p> <p>對此，他們呼籲關鍵基礎設施的領導團隊採取行動，落實下列工作：</p> <p>（一）實施明確及積極的資源挹注決策；<br /> （二）保護供應鏈；<br /> （三）深植資安文化。</p> <p>其中，他們提及在最佳實踐的做法裡，留存事件記錄對資安團隊尤其重要，例如，應用程式及重要系統的存取記錄及安全事件記錄，並應集中管理。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p></p> <p><a href="https://www.securityweek.com/atlassian-patches-critical-vulnerability-in-bamboo-data-center-and-server/"><strong style="font-size: 22px;">Atlassian修補CI/CD工具Bamboo重大漏洞</strong></a></p> <p></p> <p>3月19日Atlassian針對旗下的Bamboo、Bitbucket、Confluence、Jira等產品發布安全性修補，總共處理超過20個漏洞，其中最值得留意的部分，是CVSS風險評分達到10分的SQL注入漏洞CVE-2024-1597，此漏洞涉及CI/CD工具Bamboo，在其搭配的SQL資料庫採用特定連線組態時，就會存在這個弱點。</p> <p>資料來源</p> <p>1. <a href="https://confluence.atlassian.com/security/security-bulletin-march-19-2024-1369444862.html">https://confluence.atlassian.com/security/security-bulletin-march-19-2024-1369444862.html</a><br /> 2. <a href="https://jira.atlassian.com/browse/BAM-25716">https://jira.atlassian.com/browse/BAM-25716</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-fixes-critical-standalone-sentry-bug-reported-by-nato/"><strong style="font-size: 22px;">北約組織向Ivanti通報同步應用系統Standalone Sentry的重大漏洞</strong></a></p> <p></p> <p>接獲北約組織網路安全中心的通報，3月18日Ivanti發布資安公告，指出旗下的Standalone Sentry存在重大層級的RCE漏洞CVE-2023-41724，未經身分驗證的攻擊者可透過與設備相同的實體或邏輯網路，在作業系統底層執行任意命令，CVSS風險評分為9.6，影響所有版本的Standalone Sentry，該公司提供修補程式，並強調尚未發現漏洞遭到利用的跡象。</p> <p>附帶一提，該公司後來於20日公布另一個重大漏洞CVE-2023-46808，此為遠端檔案寫入漏洞，影響Neurons for ITSM，攻擊者若是通過身分驗證，就有機會觸發漏洞在敏感資料夾寫入檔案，從而執行命令，CVSS風險評為9.9分。 </p>  <p>資料來源</p> <p>1. <a href="https://forums.ivanti.com/s/article/CVE-2023-41724-Remote-Code-Execution-for-Ivanti-Standalone-Sentry">https://forums.ivanti.com/s/article/CVE-2023-41724-Remote-Code-Execution-for-Ivanti-Standalone-Sentry</a><br /> 2. <a href="https://forums.ivanti.com/s/article/SA-CVE-2023-46808-Authenticated-Remote-File-Write-for-Ivanti-Neurons-for-ITSM">https://forums.ivanti.com/s/article/SA-CVE-2023-46808-Authenticated-Remote-File-Write-for-Ivanti-Neurons-for-ITSM</a></p> <p><a href="https://www.securityweek.com/chrome-123-firefox-124-patch-serious-vulnerabilities/"><strong style="font-size: 22px;">Chrome 123、Firefox 124正式推出，修補多項高風險漏洞</strong></a></p> <p></p> <p>3月19日瀏覽器Chrome、Firefox不約而同發布重大改版，並修補十多項漏洞。</p> <p>升級至123版的Chrome，共修補12個漏洞，其中一項漏洞CVE-2024-2625被列為高風險而受到關注，此漏洞與排版引擎V8有關，為物件生命週期造成的弱點。</p> <p>邁入124版的Firefox同樣修補12個漏洞，最值得留意的是危急（Critical）等級的記憶體安全漏洞CVE-2024-2615，這個弱點有可能被用於執行任意程式碼。</p> <p>資料來源</p> <p>1. <a href="https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_19.html">https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_19.html</a><br /> 2. <a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-12/">https://www.mozilla.org/en-US/security/advisories/mfsa2024-12/</a></p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161675"><strong style="font-size: 22px;">軟體安全評估工具GUAC成OpenSSF孵化專案</strong></a></p> <p>2022年10月推出的軟體安全評估工具GUAC，主要目的是提高企業組織軟體供應鏈的透明度，透過了解應用程式元件的相依性，明確掌握漏洞的影響範圍。</p> <p>在發展一段時間後，成立此專案的Kusari、Google、普渡大學，今年3月決定將其轉移至開源軟體安全基金會（OpenSSF），並成為孵化專案。OpenSSF將徵召相關領域專家協助開發新功能，並計畫與數個軟體供應鏈團隊、專案進行合作。</p>  <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://github.blog/2024-03-20-found-means-fixed-introducing-code-scanning-autofix-powered-by-github-copilot-and-codeql/"><span style="font-size: 20px;">程式碼儲存庫GitHub導入新的AI工具，自動修補用戶程式碼的弱點</span></a></strong></p> <p></p> <p><strong><a href="https://content.govdelivery.com/bulletins/gd/USDODDC3-390288e"><span style="font-size: 20px;">美國國防部公布漏洞懸賞專案執行成果，7年來找出逾5萬個漏洞</span></a></strong></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-announces-deprecation-of-1024-bit-rsa-keys-in-windows/"><strong><span style="font-size: 20px;">微軟宣布將於Windows的TLS連線棄用低於2048位元的RSA金鑰</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/161711"><strong><span style="font-size: 20px;">蘋果在Safari 17引入的</span></strong></a><a href="https://www.ithome.com.tw/news/161711"><strong><span style="font-size: 20px;">進階音訊指紋辨識保護機制遭到破解</span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/161820"><strong><span style="font-size: 20px;">Let's Encrypt推出新的憑證透明度日誌服務Sunlight</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161868"><strong>【3月20日】研究人員針對行動應用程式開發平臺Firebase配置不當氾濫的現象提出警告</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161852"><strong>【3月19日】駭客組織Earth Krahang鎖定政府機關而來，疑為中國資安業者安洵旗下團隊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161813"><strong>【3月18日】國際貨幣基金組織電子郵件帳號傳出遭到挾持</strong></a></p> </div></div></div>
2024/3/21 16:35作者周峻佑https://www.ithome.com.tw/news/161889
甲骨文推出Java 22，提升開發效率還強化運算效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文發表<a href="https://blogs.oracle.com/java/post/the-arrival-of-java-22">Java 22</a>，這個版本加入許多新功能，對語言本身、API、效能和JDK中的工具，都進行了強化。除了Java語言更具表達力，提升開發者編寫程式碼的體驗之外，也加入多項功能改善並行程式的運作效能，而重新設計的Vector API，也讓向量運算更加高效，滿足日漸增加的向量運算需求。</p> <p>Java 22語言功能加入了未命名變數和模式JEP 456，這項改進是使用下底線字元來表示不使用的變數宣告和巢狀模式，目的是要強化程式碼的可讀性，有助於減少開發者犯錯機會，尤其是在需要宣告，但是又不使用的情況下，改善程式碼的可維護性。</p> <p>在Java 22中建構子的前置陳述式JEP 447更新，讓開發者擁有更多表達建構子行為自由。在子類別的建構子中，開發者可以於呼叫super()之前加入不參照該實體（Instance）的陳述句，這代表現在於呼叫父類別建構子之前，可以執行一些邏輯或是初始化工作。這項預覽功能讓開發者在編寫建構子時，擁有更大的靈活性和表達力，同時建構子在類別實體化過程，也能確保程式碼的安全性並以預期的順序執行。</p> <p>正在預覽的字串樣板，則是補充了目前Java字串常值（String Literal）和文字區塊的功能，透過將字串常值和嵌入式表達式結合在一起，產生專門的結果。簡單來說，Java現在提供一種更簡潔的方式，供開發者編寫文字加上變數的字串表示，能在字串常值中直接插入表示式或是變數值，如此不僅提高程式碼的可讀性，也讓編寫動態字串內容Java程式更簡單。</p> <p>Foreign Function & Memory API是一個提高Java程式和外部程式碼、資料互通的新功能，該API讓開發者可以安全地呼叫Foreign Function與記憶體。這邊的Foreign Function泛指JVM外部的程式碼，而Foreign Memory則是不受JVM管理的記憶體。該API使Java程式能夠呼叫像是C語言等原生函式庫，同時還可存取外部記憶體，讓Java程式方便地處理大量資料，或是與原生程式碼共享資料。</p> <p>官方也對Java的Stream API進行強化。在Java中，Stream API是一種處理資料集合的進階工具，讓開發者以宣告的方式，進行複雜的資料處理和操作，雖然Stream API內建許多中介操作，但是開發者可能還是會遇到現有操作無法實現資料轉換的情況，經強化的Stream API支援自訂中介操作，使開發者可以根據需求實作需要的串流操作。</p> <p>Java 22還加入了一項名為Scoped Values的功能，以改善不同執行緒間以及執行緒內部不可篡改資料的共享效率。這項功能引入了新的程式開發模型，開發者透過程式碼的語法結構，便可了解共享資料的生命周期，並且掌握資料在程式中的作用範圍和時間。Java會確保只有合法的呼叫者，可以檢索共享資料，這提高了程式的強健性，同時避免資料意外地被非目標程式碼存取。</p> <p>甲骨文為了要簡化Java並行（Concurrency）程式開發，嘗試加入了結構化並行方法，目前正在孵化階段。結構化並行將不同的執行緒中的相關任務組，視為單一工作單元，使得這些任務可以被視為一個整體，一起啟動、管理和終止，而這將讓開發者更容易管理錯誤和取消操作。一旦其中一項任務失敗或需要取消，整個任務單元可以一致回應，減少開發者處理並行錯誤的複雜性。</p> <p>另一個孵化階段的功能是Vector API的更新，而這主要是改善Java中表達向量運算的方式，有助於在支援的CPU架構上實現最佳化向量指令，達到比等效純量運算更好的效能。目前在x64和AArch64架構上都已經能提供可靠的執行時編譯和穩定的效能。</p> </div></div></div>
2024/3/21 17:23作者李建興https://www.ithome.com.tw/news/161890
MedTech醫療科技雙周報第33期：Nvidia推出25項醫療專用生成式AI微服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0301～0315）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia推出25項醫療專用生成式AI微服務</strong></span></p> <p>在今年GTC大會上，Nvidia推出25項醫藥領域微服務，要讓使用者在任何地方、任何雲端環境都能用來打造新服務。這些微服務包括Nvidia NIM，專門用來最佳化模型推論結果，如醫學成像、藥物探索和數位健康等模型。再來是一系列用於藥物探索的模型，如用於生成化學的MolMIM、用於預測蛋白質結構的ESMFold，以及模擬藥物分子與標靶相互作用的DiffDock。此外，Nvidia VISTA 3D 微服務還能加速建立3D分割模型的速度，而Universal DeepVariant微服務則能加速分析，與在CPU上執行的DeepVariant分析作業相比，可將基因組分析工作中的變異調用速度提高50倍以上。</p> <p>同時，這些微服務也與Nvidia的合作夥伴整合，比如，運算軟體公司Cadence將Nvidia的藥物探索微服務BioNeMo整合到自家藥物探索Orion分子設計平臺，可供製藥專家用來生成、搜尋和模擬具數千億種化合物的資料庫。還有一個例子是，數位健康新創Hippocratic AI整合Nvidia ACE微服務和NIM，可用來建立AI代理、進行低延遲推論和語音辨識等，可用來打造能與患者電話交談、安排預約、術前訪問、出院後隨訪等功能的Chatbot。Nivida表示，目前開發者可在ai.nvidia.com上試用Nvidia AI微服務，也能在經認證的系統中，使用Nvidia AI Enterprise 5.0來部署NIM微服務。<a href="https://nvidianews.nvidia.com/news/healthcare-generative-ai-microservices">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HIMSS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 次世代HIS </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部率臺灣產學研醫療團隊赴美HIMSS 24年會</strong></span></p> <p>美國醫療資訊與管理系統協會（HIMSS）在3月11日展開今年度醫療IT大會，衛福部資訊處處長李建璋、衛福部科技發展組技監劉明勳和健保署副署長龐一鳴特別率臺灣團參加，帶領產學研醫團隊近50位代表在HIMSS 2024會場展示臺灣智慧醫療研發成果。</p> <p>臺灣展場分為4區，主要亮點有以次世代HIS平臺為核心推動資料標準化、加速研發AI輔助工具，該展區的團隊有臺大醫院、中醫大附醫、臺中榮總、長佳智能、宏碁智醫和華碩。另一亮點是以次世代HIS平臺實現病患旅程，如從醫療AI區實現疾病篩檢、診斷，再到智慧藥局、智慧病房和遠距醫療與居家醫療等，展出廠商有研華、華碩電腦和華碩雲端等。</p> <p>李建璋在現場表示，衛福部累積20年來數位轉型經驗，現在則要迎向第2波智慧轉型。他觀察，目前數位科技逐漸導入醫療場域，特別是AI，能輔助醫師早期篩檢疾病、提升疾病診斷效率和後續治療效果，是推動轉型必須重視的技術應用。臺灣食品藥物管理署（TFDA）也持續核發軟體醫材許可證，目前取證的國產產品已有60項，其中37項是AI軟體醫材。另外，衛福部也表明今年開始執行「次世代數位醫療平臺」計畫，要建立核心關鍵基礎設施、發展大數據資料庫，推動AI智慧醫療進展。<a href="https://www.mohw.gov.tw/cp-16-77977-1.html">（詳全文）</a></p> <p><img alt="" src="https://www.mohw.gov.tw/Public/Images/202403/2242403131207d0ad6.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">遠距醫療</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個人化醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國醫學中心IT主管盤點4大數位醫療趨勢</strong></span></p> <p>在今年度HIMSS醫療IT大會上，來自范登堡大學附設醫學中心（VUMC）、浸信會醫院和梅約醫學中心的3位IT主管<a href="https://healthtechmagazine.net/media/video/himss24-4-trends-digital-health-and-patient-experience">接受媒體採訪</a>時，點出今年4大數位醫療趨勢，包括AI、行動化、遠距醫療和個人化醫療。VUMC醫療IT主任醫師Yaa Kuma-Crystal表示，AI並非新技術，但自從ChatGPT問世後，開啟了很多醫療應用的可能，比如大語言模型（LLM）可用來摘要病歷文件、將難懂的醫療術語翻譯為白話，協助醫病溝通，都對臨床業務有幫助。浸信會醫院臨床EHR應用資深主任Kat Hasanovic則指出，他們正運用AI來解決醫護人員下班後仍需進行的文書工作（俗稱Pajama time），梅約醫學中心創新平臺醫學總監Sonya Makhni則表示，由於安全考量、無法隨意授權，導致醫療資料極度碎片化且孤島化，因此他們認為，採用AI最重要的是透過外部資料集驗證模型，可行後才能建立資料處理流程並落地應用。</p> <p>另一方面，對浸信會醫院來說，行動化是另一大趨勢，他們不只發展專用App來整合病人看診資料，也能讓病人上傳穿戴式裝置數據，來加強醫病溝通。Yaa Kuma-Crystal表示，遠距醫療是VUMC今年關注的另一趨勢，今年會根據看診頻率和病患黏著度，來找出適合發展的情境。梅約醫學中心也有類似想法，他們今年要透過遠距醫療，做為個人化醫療的輔助手段，來降低病人到院看診的成本，同時提高個人化程度。Yaa Kuma-Crystal點出，發展個人化醫療也是他們的目標，他們還會將病人納入測試應用環節，再根據他們的回饋來修正系統，發展更貼近使用者的服務。<a href="https://healthtechmagazine.net/media/video/himss24-4-trends-digital-health-and-patient-experience">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-21%20154036.png" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可信任AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TRAIN </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟聯手全美10多家醫院，要推負責任的醫療AI</strong></span></strong></p> <p>在近期落幕美國醫療資訊與管理系統協會的醫療IT盛會HIMSS 24中，微軟宣布一項新策略，要聯手全美最大的10幾家醫院，共同組成可信任與負責任的醫療AI網路（簡稱TRAIN），來推動醫療AI的開發和評估標準，以及提高可解釋性和透明度的工具。</p> <p>TRAIN的成員有微軟、麻省總醫院、約翰霍普金斯醫學院、波士頓兒童醫院、克里夫蘭醫學中心、Advocate Health體系醫院等，此外還有OCHIN和TruBridge。其中，OCHIN是美國一家非營利組織，專門提供專業知識、數據和洞察給社區健康組織，目前服務300多家醫療機構，而TruBridge則是一家醫療保險和帳單支付公司，OCHIN和TruBridge的加入，能讓更多醫療機構使用TRAIN所提供的AI工具，來提高照護品質和病人安全。<a href="https://news.microsoft.com/2024/03/11/new-consortium-of-healthcare-leaders-announces-formation-of-trustworthy-responsible-ai-network-train-making-safe-and-fair-ai-accessible-to-every-healthcare-organization/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google雲端 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 護理交班 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google雲端新添醫療生成式AI功能，還瞄準護理交班情境</strong></span></p> <p>在3月11日展開的北美年度醫療IT大會HIMSS 24上，Google雲端揭露一系列新生成式AI應用，首先是醫療健康領域的Vertex AI搜尋服務，能幫助臨床醫生快速解析患者數據和臨床記錄。Google雲端醫療保健策略和解決方案全球總監Aashima Gupta在接受HIMSS採訪時表示，搜尋臨床數據困難又耗時，但透過API使用Vertex AI搜尋，則能享有Google.com般的生成式搜尋體驗。而且，該工具在生成答案時，還會附上資料來源的註腳，來確保可信度。</p> <p>除了Vertex AI搜尋，Google雲端還宣布在醫療專用大語言模型服務MedLM中，添加2項新功能，其一是用於胸部X光片分類的API，另一個是病情摘要API，能根據患者病況時間順序，來生成每種病況的簡短摘要。Aashima Gupta也指出，MedLM目前在梅約醫學中心、HCA醫療集團等地測試，特別鎖定護理師交接場景。她表示，護理師交班前，總得花10到15分鐘說明每一位病人的情況，若手上有10位病人，就得花上1.5小時說明，而MedLM可快速根據患者狀況產生摘要，還能引用EHR系統中的資訊，來縮短說明時間。<a href="https://cloud.google.com/blog/topics/healthcare-life-sciences/google-cloud-gen-ai-healthcare-announcements">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Oracle </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 績效 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>Oracle推出新醫療生成式AI功能，涵蓋摘要、分析和績效衡量</strong></span></strong></p> <p>在今年醫療IT大會HIMSS 24大會上，Oracle宣布自家的醫療資料平臺Oracle Health Data Intelligence新添生成式AI功能，包括病人病史摘要生成、更多種內建的醫療品質分析、更細緻的自動警報通知，還有根據美國最新責任醫療組織（ACO）標準制定的績效衡量基準等，能幫助醫院衡量績效、成本與收益。</p> <p>進一步來說，Oracle Health Data Intelligence是一款提供雲端應用程式、分析應用的模組化套件平臺，可整合多種來源的資料並分析，如電子健康記錄（EHR）、企業級應用、保險申請文件等。Oracle表示，這次新添的功能，可幫助使用者創新、提高照護品質、善用人力和IT資源等。<a href="https://www.oracle.com/news/announcement/oracle-delivers-foundation-for-more-intelligent-healthcare-2024-03-12/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> HIMSS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gartner </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬照護 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>Gartner醫療分析總監：虛擬照護是趨勢</strong></span></strong></p> <p>北美醫療IT年會HIMSS24在3月上旬展開，Gartner醫療照護分析師總監Veronica Walk接受HIMSS旗下媒體訪問，點出生成式AI和虛擬照護是今年會展一大趨勢。她表示，今年展出許多生成式AI應用，可用來分擔醫護等臨床人員的行政工作，如快速生成病歷摘要、臨床文件等。此外，由於近來臨床醫師工作疲乏和護理人力短缺問題越來越嚴重，虛擬照護和在宅照護的解決方案也越來越多，可用來結合醫療設備資訊，提供更細緻的遠端分級照護。</p> <p>但她表示，這些概念很可能成為新解決方案的炒作關鍵字，因此她建議，在接下來的1年，醫資廠商IT主管和營運者應回到問題本身，比如臨床醫師工作疲乏，就需要運用適當的技術分擔工作量，才能幫助醫院招人和留人。她也提到Gartner自家的技術成熟度曲線，提供每項創新技術的預期效益、成熟度和採用情況，可用來輔助廠商和醫院，衡量適不適合投資特定新技術。<a href="https://www.healthcareitnews.com/news/gartner-emerging-tech-expert-talks-ai-and-virtual-care-himss24">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 骨質疏鬆 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺中榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> X光片 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺中榮總用AI輔助，快速判讀骨質疏鬆X光片</strong></span></strong></p> <p>臺中榮總聯手宏碁智醫，共同研發一套骨質疏鬆輔助判讀AI系統智骨篩VeriOsteo OP，可根據病人的胸腔X光片，在30秒內判斷骨鬆密度值，來協助醫院篩選大量疑似骨鬆的民眾，及早治療和預防。</p> <p>進一步來說，醫院輸入患者X光片時，系統會給出病人骨鬆密度值，如-2.5至-3.1，來協助醫師制定術前計畫和復健治療。目前，臺中榮總骨科部為降低銀髮族骨折風險，已在院內應用VeriOsteo OP，來進行骨質密度異常篩檢，準確率高達近九成，能有效找出骨質異常的病人，並給予適當衛教和預約骨鬆防治諮詢。該軟體也獲衛福部食品藥物管理署（TFDA）核准，成為臺灣首款骨質疏鬆症輔助診斷智慧醫材。接下來，他們要推廣至各大醫療機構、健檢中心和基層診所，提供更便捷的骨質密度篩檢服務。<a href="https://www.vghtc.gov.tw/Module/BreakingNewsContent?BreakingNewsID=af3db0bb-648d-4392-b32a-c3ef090ee9a6&WebMenuID=c47a00fc-ee22-4871-b6ec-5dc557ec27b3">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-21%20154604.png" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 香港 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CARES Copilot </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>香港創新院AI中心發表醫療專用LLM</strong></span></strong></p> <p>中科院香港創新院AI中心（CAIR）最近發表醫療業專用的<a href="https://www.cair-cas.org.hk/articles/ai">CARES Copilot</a>大型語言模型系統，能與醫療設備高度整合，還兼具可信任和可解釋性特點。這款CARES Copilot 1.0可處理多模態資料，包括圖像、文字、語音、影片、MRI、CT、超音波等手術數據。同時還能在多場景處理多任務，像是手術階段識別、器械與解剖結構分割、器械檢測與計數，以及MRI高分辨率圖像生成等。</p> <p>CASRES Copilot可處理長達100K Token上下文，能處理超過3000頁的覆雜手術教材，可用來培養年輕醫生的專業知識。而且，CARES Copilot還具備深度檢索功能，能快速精確地提取手術教材、專家指南、醫學論文等專業文件資訊。經測試，該系統能在1、2秒內快速檢索百萬級數據，準確率高達95%。該系統也在多家醫院的不同科室進行測試和優化。<a href="https://www.cair-cas.org.hk/article/295">（詳全文）</a></p> <p><img alt="" src="https://www.cair-cas.org.hk/uploads/image/202312/8d8d4b122420428e6711b819aad98369.png" /></p> <p>圖片來源／衛福部、Health Tech、臺中榮總、CAIR</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 新加坡推出糖尿病足部照護App</strong></strong></p> <p><strong><strong>2. Salesforce推出醫療資料平臺Einstein Copilot </strong></strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/3/20 16:06作者王若樸https://www.ithome.com.tw/news/161888
私自使用媒體內容訓練Gemini，Google遭法國判罰2.5億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國競爭管理局（Autorité de la concurrence）周三（3/20）<a href="https://www.autoritedelaconcurrence.fr/en/press-release/related-rights-autorite-fines-google-eu250-million-non-compliance-some-its" target="_blank">宣布</a>，Google所推出的AI服務Bard（Gemini），使用當地新聞機構與出版商的內容來訓練模型，卻未通知媒體業者，違反去年6月所作出的承諾，罰款2.5億歐元，而Google則接受了此一罰則，並未打算上訴。</p> <p>法國競爭管理局認為大型科技業者必須依照對新聞內容的使用，對當地媒體作出相對應的補償，經過幾年的協商之後，Google於去年6月作出了<a href="https://www.autoritedelaconcurrence.fr/en/press-release/related-rights-autorite-accepts-googles-commitments" target="_blank">承諾</a>。此次該機構認為Google違反了部分承諾，包括在3個月內基於透明、客觀與非歧視性標準與媒體進行協商，向媒體提供評估其相關報酬所需的資訊，以及採取必要措施以確保協商不會影響Google及媒體之間的其它經濟關係。</p> <p>調查顯示，Google在去年7月發表的Bard服務使用了當地媒體的內容進行訓練，卻未通知當局或各家媒體，而且在Bard使用這些具備版權的內容時，並未提供可允許內容出現在其它Google服務的退出機制，妨礙了媒體向Google協商報酬的能力。</p> <p>Google已決定不對法國競爭管理局的判罰提出異議，並同意採取措施來解決上述的違規行為。</p> </div></div></div>
2024/3/21 15:28作者陳曉莉https://www.ithome.com.tw/news/161887
Neuralink公布腦部晶片人體試驗成果，讓四肢癱瘓的受試者可以透過思考控制電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發植入式腦機介面的Neuralink周三（3/21）邀請<a href="https://twitter.com/neuralink/status/1770563939413496146" target="_blank">首個植入該公司晶片的Noland Arbaugh進行直播</a>，展示他如何僅透過思考就移動螢幕上的西洋棋，還可暫停背景音樂。</p> <p>馬斯克（Elon Musk）及一群科學家於2016年共同創立了Neuralink，專門開發腦機介面，作為人腦與外部電子運算設備的媒介，初期都是<a href="https://www.ithome.com.tw/news/143780" target="_blank">以動物進行實驗</a>，並在去年獲得美國食品藥物管理局（U.S. Food and Drug Administration，FDA）許可以進行人體臨床試驗，在眾多的申請中，Neuralink於首波人體臨床試驗中遴選了6名病患，植入Neuralink的第一個產品Telepathy。</p> <p>Telepathy得以讓人們透過思考來控制手機或電腦，初期適用於那些失去四肢的病患。</p> <p>現年29歲的Arbaugh因為8年前的一場事故，造成他在頸部以下全面癱瘓，他在今年1月接受Telepathy植入，且1天就出院了，當時<a href="https://www.ithome.com.tw/news/161078" target="_blank">馬斯克還宣稱</a>他復原良好，顯示神經元尖峰檢測很有前途。</p> <p>Arbaugh於影片中展示他僅用思考就移動螢幕上的西洋棋，也能暫停背景音樂，此外，他也分享如何學習使用Telepathy，包括開始想像或嘗試移動電腦上的游標，體驗了透過心靈感應移動游標的感覺，表示這是個非常瘋狂也很酷的經驗，還說在學會之後，就玩了他最愛的電腦遊戲《文明帝國VI》（Civilization VI）8小時，過去他要請家人幫他才能玩遊戲。</p> <p>但Arbaugh必須在大約每8小時就幫Telepathy充電。此外，Arbaugh也坦承此一過程並不完美，還有許多問題尚待克服，但這已經改變了他的生活。</p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Livestream of <a href="https://twitter.com/neuralink?ref_src=twsrc%5Etfw">@Neuralink</a> demonstrating “Telepathy” – controlling a computer and playing video games just by thinking <a href="https://t.co/0kHJdayfYy">https://t.co/0kHJdayfYy</a></p> <p>— Elon Musk (@elonmusk) <a href="https://twitter.com/elonmusk/status/1770565942168420750?ref_src=twsrc%5Etfw">March 20, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> </div></div></div>
2024/3/21 14:47作者陳曉莉https://www.ithome.com.tw/news/161886
Reddit周四IPO，發行價為每股34美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國新聞社交平臺<a href="https://investor.redditinc.com/news-events/news-releases/news-details/2024/Reddit-Announces-Pricing-of-Initial-Public-Offering/default.aspx" target="_blank">Reddit本周宣布</a>，將於周四（3/21）以RDDT為代號，登上美國紐約股市，每股發行價為34美元。Reddit此次的IPO預計發行2,200萬股，可望對外募資7.48億美元，使其市值達到64億美元。而這也是繼Pinterest於2019年IPO之後，第一次再有大型社交平臺公開發行股票。</p> <p>Reddit創立於2005年，註冊會員可上傳各種內容，從文章、連結、照片到影片等，其他會員則會針對這些內容投下贊成或反對的票數，以決定相關內容的排序。目前Reddit已有超過10萬個社團，每日不重覆造訪人數有7,300萬個，每周則高達2.67億個，站上累積的貼文超過10億篇。在2021年的估值曾高達100億美元。</p> <p>Reddit過去主要的營收來自於廣告，包括贊助式貼文或推廣內容，2022年與2023年的年度營收為6.66億美元及8.04億美元，分別虧損了1.58億美元及9,000萬美元。OpenAI共同創辦人Sam Altman及其關係企業握有5%以上的Reddit股份。</p> <p>儘管身為全美第九大網站、擁有龐大的用戶基礎，也是個具備影響力的社交平臺，但外界對於Reddit能否成功依舊抱持著懷疑的態度，畢竟Reddit自創立以來從未獲利。</p> <p>不過，此事可能因為大型語言模型（LLM）的興起而有了轉機，因為Reddit可藉由授權平臺內容給AI公司以訓練LLM來創造營收，除了在日前<a href="https://www.ithome.com.tw/news/161440" target="_blank">宣布</a>擴大與Google的合作之外，Reddit也在<a href="https://www.sec.gov/Archives/edgar/data/1713445/000162828024006294/reddits-1q423.htm" target="_blank">上市申請文件</a>中透露，目前正處於允許第三方存取、搜尋與分析平臺資料來變現的早期階段，今年1月便簽訂了價值2.03億美元的合約，可望於未來的2、3年內實現，其中，至少會有6,640萬美元被列為今年的營收。</p> </div></div></div>
2024/3/21 12:41作者陳曉莉https://www.ithome.com.tw/news/161884