iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Foxit PDF Reader用戶遭到鎖定，駭客利用應用程式流程設計弱點進行社交工程攻擊，散布多種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於檢視PDF文件的免費軟體，最常見的是Adobe的Acrobat Reader，過去曾有許多駭客與惡意軟體緊盯它的資安漏洞，除此之外，市面上另一個同樣應用類型軟體Foxit PDF Reader，也是攻擊者的目標之一，最近有駭客專門針對這個軟體的使用者發動攻擊。</p> <p>資安業者Check Point揭露鎖定Foxit PDF Reader用戶而來的攻擊行動，對方用來散布多種惡意程式，包括：Agent Tesla、AsyncRAT、DCRat、NanoCore RAT、NjRAT、Pony、Remcos RAT、XWorm。</p> <p>研究人員指出，這些攻擊行動利用了使用者經常並未詳細檢視彈出式對話框內容，就直接點選預設選項內容的情況，引誘該PDF檢視工具的用戶上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-7.png" style="width: 580px;" /></a></p> <p>他們也特別詳細展示使用者上鉤的場景：當使用者開啟對方提供的PDF檔案後，Foxit PDF Reader會彈出訊息說明部分功能因資安風險考量已被停用，詢問用戶是否暫時開啟相關功能，若不慎按下確定，就會彈出第2則訊息。</p> <p>而這個彈出式視窗的內容，其實是PDF檔案要求執行特定的應用程式，若按下預設的OK鍵，就會允許電腦執行攻擊者想要啟動的作案工具，觸發對方設計的攻擊鏈。<a href="https://s4.itho.me/sites/default/files/images/Foxit-image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-5.png" style="width: 580px;" /></a></p> <p>在其中一波攻擊行動裡，駭客散布與軍事有關的PDF檔案，一旦使用者開啟檔案並同意放行開啟特定程式，電腦就會取得惡意程式下載工具並執行，然後被植入兩款惡意酬載，導致電腦內部資料外洩。這起攻擊行動在4月5日達到高峰，研究人員指出攻擊者的身分是DoNot Team（APT-C-35）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JN326YDWP3-rId42.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/JN326YDWP3-rId42.png" style="width: 580px;" /></a></p> <p>另一波攻擊行動疑似鎖定美國用戶，使用者打開對方提供的PDF檔案並進行操作，電腦就會可能被植入第一階段酬載，接著觸發一系列的惡意軟體感染流程，最終於受害電腦部署竊資軟體，以及挖礦程式XMRig、lolMiner。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png" style="width: 580px;" /></a></p> <p>研究人員指出，雖然這種型態的弱點，同時帶有對使用者進行網路釣魚的成分，引誘他們根據習慣直接點選確定而上當，但有鑑於濫用這種手法的情況近期不斷上演，Foxit接獲他們的通報後，也承諾計畫在後續的2024.3版進行處理。</p> <p>但為何這種攻擊過往鮮少被發現？研究人員表示有2個原因，首先是大部分對於PDF檢視器的攻擊，都是針對Acrobat Reader而來，再者，則是大多數的沙箱及資安研究人員，也都是利用Acrobat Reader觸發惡意程式，而該PDF檢視器不易受到這種弱點影響。</p> </div></div></div>
2024/5/23 18:25作者周峻佑https://www.ithome.com.tw/news/163064
卓榮泰首次行政院會：盼AI加速應用，提升民間企業生產力及公部門行政效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院新內閣在5月20日上任後，行政院長卓榮泰今天（5/23）首次舉行行政院會，其中國科會提報可信任生成式AI對話引擎TAIDE（Trustworthy AI Dialogue Engine）成果，在寫文章、寫信、翻譯等任務工作上，與ChatGPT 3.5相當，行政院長卓榮泰指示，盼望國科會持續精進AI技術研究，與其他部會合作加速產業應用，以及公部門運用，提高行政效率。</p> <p>卓榮泰表示，臺灣在半導體產業領先世界，也是民主供應鏈不可缺的夥伴，為維持關鍵戰略地位，必需掌握AI發展趨勢，擴大AI基礎建設及人才投資，讓臺灣成為AI的領頭羊，打造臺灣的大型語言模型，同時符合總統賴清德上任後提出的AI島願景。請國科會持續精進AI技術及應用，並與相關部會協助發展加值應用，加速導入業界，提高民間企業的生產力，並導入政府部門及公共服務領域，提供更夕便民服務，並提升行政效率。</p> <p>國科會在去年開始推動生成式AI對話引擎TAIDE，以打造具有臺灣本地文化特色的LLM，滿足國內使用需求，這項計畫集結AI相關人才、高速運算、繁體中文資料，整合產學研人力及資源全力發展臺灣的LLM。</p> <p><span style="color:#B22222;"><strong>TAIDE模型在5大日常工作上表現評測上與ChatGPT 3.5相當</strong></span></p> <p>去年6月公布採用Llama及中文資料，70億參數的學研版TAIDE模型，去年9月推出基於Llama 2，可商用的TAIDE-7B模型，先供產學研合作夥伴測試，2024年1月發表基於Llama 2，具有130億參數的學研版TAIDE-13B，並且開發700億參數的TAIDE-70B（學研版），今年4月正式開源可商用的TAIDE LX-7B模型，供外界使用。另外，今年4月中Meta發表Llama 3，TAIDE團隊也在4月底釋出基於Llama3的測試版TAIDE模型。</p> <p>國研院科政中心副主任徐玉梅表示，TAIDE開發的目的為可信任，因此對於訓練的資料嚴格把關，目前TAIDE模型的表現，利用評測工具，以辦公室日常的工作任務，例如寫文章、寫信、摘要、英翻中、中翻英5項任務，TAIDE-13B模型的表現已和ChatGPT-3.5相當。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS.jpg" style="width: 600px; height: 337px;" /></p> <p>以5項任務來評測，評分為0到10分，ChatGPT 3.5得到8.68分，可商用的TAIDE-7B為8.3分，學研用的TAIDE-13B為8.74分。如果以中文mt-bench為評測工具，同樣以0到10分為評分，ChatGPT 3.5得到8.72分，可商用的TAIDE-7B只有6.24分，學研用的TAIDE-13B則是8.48分。</p> <p>儘管4月底已釋出基於Llama 3的測試版模型，但目前TAIDE模型仍以Llama 2為主，結合繁體中文訓練資料。為了取得繁體中文資料，TAIDE團隊從「字詞語料」、「通用文本」、「特定領域」三方面盤點公私部門的資料，逐一取得授權，目前資料授權單位涵蓋中央部會、地方政府及民間組織，已完成處理的繁體中文資料共113.6GB，用於訓練模型。徐玉梅指出，未來精進及發展更大規模的模型，還需要各界提供更多的資料，以訓練模型。</p> <p>至於算力方面，原本臺灣杉二號建置32臺Nvidia V100，供TAIDE模型專用。政府去年以1.1億元建置Nvidia H100，並與暨有臺灣杉二號整合，去年12月正式服務，模型訓練所需的時間縮短一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS-2.jpg" style="width: 600px; height: 332px;" /></p> <p>為了讓模型符合需求，團隊開發模型的同時，也和產學研合作，例如知識檢索、跨，在產業方面，有業者結合模型開發企業專用的AI一體機，還有知識管理查詢、公文輔助文稿。</p> <p>徐玉梅表示，在計畫推動一開始，就與產學研共同合作，目前的合作案例，一部分在開發中，部分則已商品化，也有一些正與政府部門接洽，希望推動實際的應用。</p> <p>目前TAIDE模型的應用已有國臺客語，缺少原住民語言，她補充說明，目前TAIDE以純文字為主，訓練模型需要大量資料，原住民語言資料多以影像、影音為主，原住民語言的資料蒐集比較不易，後續會與原住民委員會，或是從數位典藏國家型計畫尋找可利用的原住民語言資料，TAIDE第一階段為純文字資料，後續會發展多模態發展，蒐集圖片資料。</p> <p>至於未來產業及公部門如何運用？國科會政務副主委林法正表示，TAIDE為基礎或通用模型，釋出供外界運用，公部門可結合其業務特有的資料，可應用在資料彙整、會議記錄彙整，寫公文，或是回覆民眾的詢問。TAIDE計畫剛開始與教授合作，因此最初應用在教育方面，未來在法律、醫療的應用也正在發展中。</p> <p>AI快速發展應用，各國制定專門的法規，臺灣也在研擬AI基本法，林法正指出，因AI科技發展非常快，各國在制定基本法上都採取觀望態度，因應外界的期望，國科會原本預定今年底提出基本法給行政院，如果行政院認為有需要提前，可提前至10月提出基本法。</p> </div></div></div>
2024/5/23 18:29作者蘇文彬https://www.ithome.com.tw/news/163063
中國駭客用非法代理伺服器ORB網路隱藏連線行蹤，導致資安偵測難度大幅提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了埋藏行蹤，駭客藉由代理伺服器服務（Residential Proxy）從事攻擊行動的情況日益頻繁，最近有研究人員針對這種現象提出警告。</p> <p>資安業者Mandiant揭露<a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-orb-networks">名為Operational Relay Box networks（下稱ORB網路）代理伺服器服務</a>，並指出中國APT駭客利用這種服務從事網路間諜活動的情況越來越常見。這種網路組成的方式很類似殭屍網路，主要由虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成，而且，這些設備通常生命週期已結束（EOL），或是不再受到製造商支援。</p> <p>這種網路通常會租用VPS節點，並結合專門滲透路由器的惡意軟體而來，使其能增加綁架設備的數量，從而擴大網路流量轉送（Relaying Traffic）的規模。</p> <p>駭客利用這種網狀網路從事間諜活動，可以混淆受害裝置與C2基礎設施的流量，並利用零時差漏洞攻擊網路邊界裝置。</p> <p>研究人員指出，已有許多資安業者警告這種網路濫用的情況，但值得留意的是，眾多中國駭客已在網路間諜活動廣泛利用ORB網路，產生重大影響。</p> <p>首先，是這種網路打破過往駭客自行打造攻擊基礎設施的概念，通常由中國境內的獨立企業組織、承包商、網路管理員經營，而非單一駭客組織控制。</p> <p>再者，則是ORB網路的基礎設施壽命週期很短，研究人員看到與ORB節點有關的IP位址壽命最短只有31天，而對於中國承包這種網路服務的業者來說，他們甚至有辦法每個月就輪替一定比例的基礎設施。</p> <p>而過往防禦方確認攻擊來源的指標，其中一種就是根據駭客基礎設施的IP位址，來做為判斷攻擊者身分的依據。然而，在中國駭客大肆利用ORB網路的情況下，無法依賴這項依據判斷攻擊來源，而且，與攻擊設施特徵有關的入侵指標（IoC），也難以識別駭客的行動。</p> <p>研究人員針對其中2個中國駭客用於間諜攻擊行動的ORB網路，公布相關細節。</p> <p>其中一個是名為ORB3（或稱SpaceHop）的ORB網路，包括APT5、APT15在內的中國駭客組織將其用於偵察行動，或是從事漏洞利用攻擊。該網路曾在2022年12月用於CVE-2022-27518漏洞攻擊，此漏洞存在於Citrix NetScaler ADC及Gateway設備，CVSS風險評分達9.8，而攻擊者的身分就是APT5。</p> <p>該網路使用雲端供應商位於中國及香港的環境，架設中繼伺服器（Relay server），並透過開源C2框架管理下游節點。</p> <p><a href="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig3_max-2100x2100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig3_max-2100x2100.jpg" style="width: 580px;" /></a></p> <p>另一個APT31等中國駭客組織運用的ORB網路ORB2（或稱FloraHox），研究人員指出它的架構較為複雜，與ORB3成為明顯的對比。這個網路由對手控制操作伺服器（Adversary Controlled Operations Server，ACOS），多個廠牌遭駭的連網裝置，以及VPS組成。</p> <p>這個網路包含多個子網域，由連網裝置組成，而這些裝置皆被植入專為路由器打造的惡意酬載，其中一種名為FlowerWater。</p> <p>而對於遭到擺布的連網裝置，研究人員提及當中含有思科、華碩、居易等廠牌多種類型的路由器，其共通點是產品本身很老舊，生命週期已經結束。</p> <p><a href="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig4_max-2100x2100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig4_max-2100x2100.jpg" style="width: 580px;" /></a></p> </div></div></div>
2024/5/23 17:05作者周峻佑https://www.ithome.com.tw/news/163058
荷蘭HSD專家在臺揭露最新歐盟資安法規趨勢，NIS 2、DORA、CRA是重要焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於國際資安態勢，在今年2024臺灣資安大會上，荷蘭資安三角洲（HSD）基金會總監Joris den Bruinen不只在主題演說中，<a href="https://www.ithome.com.tw/news/163031">闡釋了荷蘭如何應對網路安全新興威脅</a>，同時他也介紹近年歐洲資安立法的態勢。</p> <p>事實上，在歐盟層面，過去10年在數位領域已出現許多重要立法，大家最熟悉的莫過於多年前的GDPR，而如今還有人工智慧法案、網路韌性法正推動上路，持續引發國內企業與產業的關注。</p> <p>這次Joris den Bruinen介紹3項應對資安威脅的最新重要立法，讓大家可以有基本的認識。</p> <h3><strong><span style="color: rgb(178, 34, 34);">NIS 2</span></strong></h3> <p>例如，2022年底發布的歐洲第二版資安指令NIS 2，<a href="https://www.ithome.com.tw/news/151044">我們先前曾經多次報導</a>，Joris對此有更深入的說明，他指出，這個NIS 2將在今年10月18日成為強制性指令，所有成員國都要依循並完成立法，這將是一個新的重大里程碑。</p> <p>原因在於，NIS 1主要針對關鍵基礎設施，因此它在荷蘭的定義非常狹隘，主要是政府、銀行、能源部門，而NIS 2的定義不再狹窄，而是擴及更廣泛的重要中大型產業。Joris表示，荷蘭大約有6千個組織，包括食品、物流與高科技產業，都將納入規範。</p> <p>換言之，我們保護的對象已從「關鍵」擴大至「必要」。</p> <p>而且，NIS 2還帶來一個不同於過往的意義：現在是要董事會負責並承擔責任，不再是IT單位、資安長（CISO）的事。配套上也會成立監管機構，一旦沒有即時通報，或是未盡該有防護之責，將會面對罰則。而且，董事會不僅是對自身組織負責，也要對整個供應鏈負責。</p> <h3><strong><span style="color: rgb(178, 34, 34);">DORA（Digital Operational Resilience Act）</span></strong></h3> <p>針對金融領域，在2022年底歐盟還有通過數位營運韌性法案（DORA），<a href="https://www.ithome.com.tw/news/153223">我國金管會在兩年前曾表示，這是推動災害應變復原運作機制落實的一項重要參考</a>。</p> <p>這項法案將在2025年1月17日前生效，Joris指出，這項法案針對金融實體、服務提供者及ICT提供者而來，在此立法下將有更嚴格的規範，以應對更多風險，並界定更多責任。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>CRA（Cyber Resilience Act）</strong></span></h3> <p>在關注企業組織之餘，Joris表示，我們也要讓產品與服務更加安全，做到Secure by Design，而網路韌性法（CRA）就是針對所有軟硬體數位產品的基本資安要求而來，不論路由器、防火牆，實體、網路系統到物聯網產品等，都在規範之內。目前草案已在通過發布的最後階段。</p> <p>換言之，未來有了這項立法，產品、服務的提供者都將在這項立法下承擔責任。</p> <p>此外，還有2019年網路安全法案（Cyber Security Act）授權給歐盟網路安全局（ENISA）更實質的力量，建立網路安全認證框架，並在2023年提出新的修正，要擴及更多領域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>整體而言，Joris強調，這些資安規範的基本原則就是風險管理，這是一個很好的出發點，不論是董事會要負責，或是盡到該有的資安防護之責。</p> <p>對於如何算是做到應盡之責，Joris認為，網路衛生相當重要，在既有資安管理上採取更主動且良好的防護方式，就像維持自身健康一般，幫助組織預防與降低網路攻擊的風險。</p> <p>而網路衛生這樣的觀念，至今也不斷被強調著，他舉例，今年5月初美國RSA大會上，一位美國官員指出，如果你有良好的網絡衛生，可能95%的問題都會被解決。</p> </div></div></div>
2024/5/23 12:12作者羅正漢https://www.ithome.com.tw/news/163051
IBM開源程式開發專用Granite語言模型，效能超越當前多數開源模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM以Apache 2.0授權條款開源一系列<a href="https://research.ibm.com/blog/granite-code-models-open-source">Granite程式碼模型</a>，大小從30億到340億參數，包括基礎模型和指令跟隨模型，可用於應用程式現代化任務，甚至也可在記憶體有限的裝置上運作。經多個基準測試實驗，Granite程式碼模型在包括程式碼生成、修復與解釋任務，較多數開源程式碼大型語言模型的表現更好。</p> <p>Granite程式碼模型具有多個變體，而IBM提到，針對大部分企業使用案例，80億參數的Granite程式碼模型，是權重、執行成本和功能最合適的組合。同時Granite程式碼模型也有高達340億參數的變體，而IBM使用一種稱為深度放大（Depth Upscaling）的方式，來訓練這些較大型的模型。</p> <p>深度放大是一種增加模型層數的方法，以340億參數的Granite程式碼模型來說，研究人員創建了兩個200億參數的模型變體，每個變體有52層，藉由將第一個變體的最後8層，以及第二個變體的前8層去掉，再將這兩個模型合併，形成一個88層、具340億參數的新模型。研究人員提到，該方法將使模型層數更深，以提高其效能。</p> <p>官方同時也發表了Granite程式碼指令跟隨模型，該模型經過Git提交和人工綜合指令，還有開源合成程式碼指令資料集微調。</p> <p>研究人員針對當前各種Apache 2.0授權的開源模型，以HumanEvalPack、HumanEvalPlus和RepoBench基準測試進行比較。Granite程式碼系列模型在Python、JavaScript、Java、Go、C++和Rust程式語言的程式碼合成，修復、解釋、編輯和翻譯都表現良好。</p> <p>雖有部分模型在生成和修復程式碼等任務超越Granite程式碼模型，但整體來說，Granite程式碼模型能力表現平均，在多項測試中都獲得第一的位置。開發者現在已經可以在Hugging Face、GitHub、watsonx.ai和RHEL AI平臺使用到Granite程式碼系列模型。</p> </div></div></div>
2024/5/23 17:19作者李建興https://www.ithome.com.tw/news/163056
針對駭客近期在網路上公開的資料，半導體設備廠京鼎表示為今年1月資安事故外流的檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月鴻海旗下的半導體設備廠京鼎傳出遭到入侵，<a href="https://www.ithome.com.tw/news/160856">駭客竄改該公司網站，宣稱竊得5 TB內部資料</a>，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊？最近又有新的消息傳出。</p> <p>5月21日晚間19時14分京鼎發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=191412&SPOKE_DATE=20240521&COMPANY_ID=3413">表示他們發現駭客在網路上公開竊得資料</a>，而這些資料的來源，根據他們的調查，就是上述的資安事故流出，他們曾在1月16日發布重大訊息說明此事。</p> <p>而針對這起事故的處理情形，該公司指出已在今年1月通報政府部門，亦通知客戶。他們也全面檢視資安防禦機制並啟動相關檢測，強調遵守個資保護法規、遵循相關法律規定。而對於這起事故帶來的影響，他們評估對營運尚無重大影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/oHN8W2YPI1.png" style="width: 550px;" /></p> <p>根據上述的公告內容，雖然京鼎仍然沒有說明遭遇的攻擊類型，但也證實駭客確實得手該公司內部資料的情況。只是這些資料內容為何，以及曝光後影響的層面，有待進一步說明。</p> </div></div></div>
2024/5/23 11:36作者周峻佑https://www.ithome.com.tw/news/163049
荷蘭網路威脅態勢與防護經驗大公開，荷蘭資安三角洲專家強調資安韌性需擴及各產業供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【臺灣資安大會直擊】全球各國都在重視資安的推動，歐洲的發展也是全球關注的焦點，2024臺灣資安大會也持續推動國際交流，邀請荷蘭資安三角洲Security Delta（HSD）的專家親自到場發表主題演說，闡述荷蘭所面對的威脅態勢，以及採取的網路安全策略與行動。</p> <p>關於荷蘭，以地理位置而言，大家可能知道荷蘭的阿姆斯特丹是歐洲最繁忙的機場，並有著歐洲第一大港鹿特丹，若是在高科技產業的層面上，大家可能想到臺灣有台積電，荷蘭有艾司摩爾（ASML），但在資安威脅態勢上，荷蘭是否面對與我們相類似的問題，大家或許不曾想過。</p> <p>在本次大會主題演說上，荷蘭資安三角洲（HSD）基金會總監Joris den Bruinen特別以荷蘭為例，說明隨著資安威脅持續轉變，改變遊戲規則的Game changers正衝擊著我們，不同規模大小企業、政府與民眾都要有所體認。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2B）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962B%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>對於荷蘭而言，近年遭遇哪些重大網路威脅？Joris舉出5起影響甚鉅的資安事件。</p> <p>首先，在2017年鹿特丹港口曾發生三分之一停止運作的情形，原因是俄羅斯駭客針對烏克蘭發動大規模網路攻擊，連帶航運巨擘馬士基旗下碼頭營運商APM Terminals也受NotPetya攻擊影響所導致。這起事件衝擊了我們的實體世界，造成龐大的損失。</p> <p>荷蘭高科技業ASML也經常受到攻擊，有一段時間更是同時遭遇網路攻擊與內部員工竊密的威脅。這類攻擊導致了智慧財產權被竊取的問題。</p> <p>不只是大型跨國公司有資安危機，荷蘭當地知名的製造業VDL集團，3年前也遭遇勒索軟體攻擊，特別的是，這是一個家族企業，也成為網路攻擊的目標。</p> <p>荷蘭物流公司Bakker Logistiek也曾遭遇勒索軟體攻擊，但這起資安事件還嚴重影響民眾，因為，當時超市販售的乳酪竟因此事件而缺貨。</p> <p>Log4j漏洞的資安危機也是一例，全球都受影響。這個開源元件存在於許多軟體之中，就像食品中的糖一樣，到處都有，我們甚至不知道它在哪裡，這對許多企業組織來說，就是一場嚴重的網路危機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <h2><strong>網路威脅日益複雜，荷蘭政府重視公私協力，也要幫助中小企業</strong></h2> <p>上述這些就是荷蘭所面對的威脅現況，若是更進一步來看，關於整體歐洲的資安威脅態勢，Joris den Bruinen引用歐盟網路安全局（ENISA）公布的2020年的15大網路威脅，說明現在態勢已是更複雜的威脅組合。</p> <p>例如，惡意程式、勒索軟體等這些威脅，經常從網路釣魚開始，這樣的威脅結合已成為荷蘭的首要威脅，還有假冒執行長的商業電子郵件詐騙，為荷蘭國家經濟帶來嚴重損失。</p> <p>未來我們還將面臨新的威脅，近年就有一些預料之外的重要變化，例如，因地緣政治國家相關攻擊的風險持續攀升，網路犯罪即服務商業模式讓勒索軟體攻擊事件大增，新技術也會帶來更多新興風險，像是IT/OT漏洞的持續成長，以及生成式AI被用於惡意軟體創造與網路釣魚手法改進。</p> <p>Joris den Bruinen表示，根據ENISA公布的「2030年10大新興網路安全威脅」，我們可以看出一些端倪。從軟體相依性的供應鏈攻擊、運用新興技術散播不實資訊，數位監控威權主義崛起，一直到技術短缺、AI濫用等，都是重要議題。</p> <p>因此，這些年來，不論荷蘭或是歐盟，都在持續設法積極應對資安風險。</p> <p>荷蘭本身如何應對這些威脅？Joris表示，他們在2012年制定了第一個戰略，建立國家級的荷蘭網路安全中心（NCSC），專注於荷蘭政府部門與關鍵基礎設施的保護，共涵蓋350多個組織。</p> <p>然而，只保護350個組織是不夠的，特別是考慮到資安威脅在不同層面的擴散，因此，2018年政府開始意識到要幫助中小企業，於是成立數位信任中心（Digital Trust Center，DTC）。而且，預計2026年，NCSC與DTC將進一步整合。</p> <p>從整體歐洲層面來看，還有ENISA歐盟網路安全局這樣的組織，推動成員國提升整體網路安全水準。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖7）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%967%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>至於這些機構的重要行動上，聚焦在公共政策、公私合作夥伴關係，宣導活動，以及責任悖論。</p> <p>他強調，建立公私合作夥伴關係是一大重點，如資安資訊分享與分析中心（ISAC），讓大家更好提前應對嚴重威脅，一旦事件發生，NCSC也會告知公眾並幫助受害企業。而在資安意識提升活動舉辦上，每年會有不同重點，像是針對老人、年輕人、中小企業等不同族群，還有歐洲網路安全月、網路安全周等活動等宣傳活動。</p> <p>關於責任悖論，他指出，若個人和組織都認為網路安全是另一個人的責任，又如果是每個人都負責，最後可能沒有人會負責，因此政府的因應就是需要透過立法來界定與規範。</p> <p>近年就有幾個重要的法案，例如：在網路安全策略上，2022年底發布的歐洲第二版資安指令NIS 2，將在今年10月18日成為強制性指令，使保護的對象從關鍵CI擴大至重要中大型產業；針對金融資安領域，2022年底還有通過數位營運韌性法案（DORA），預計將在2025年1月17日前生效；針對產品安全領域，還有已在最後通過發布階段的網路韌性法（Cyber Resilience Act，CRA）。</p> <h2><strong>荷蘭HSD建構產官學研聚落，以加速發展網路安全解決方案為目標</strong></h2> <p>另一方面，Joris談到了自身組織荷蘭HSD，強調公私合作夥伴關係、生態系統的建立，也是整體資安推動的重要一環。</p> <p>事實上，關於荷蘭HSD，可能有些人更有印象是海牙資安三角洲（The Hague Security Delta，HSD），在Joris的介紹下，我們才發現，這個2013年7月成立的非營利組織HSD基金會，現已更名為Security Delta（HSD），H代表荷蘭，原本Hague（海牙）一字已經去除。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <p>Joris表示，HSD是荷蘭重要的資安產業聚落，有超過300個官方與民間組織加入其中，是一個集結產官學研的公私協力平臺，也是一個創新基地，專注於城市、國家與關鍵基礎設施保護等重要議題。</p> <p>特別的是，在HSD的成員中，不只是有荷蘭政府單位，還有大型企業、中小企業、國際組織、研究單位、教育界的夥伴，國際合作同樣重要，因此成員中不僅包含大型國際資安業者，並且也有來自臺灣的夥伴。</p> <p>例如，為了打入歐洲市場，在荷蘭設有辦公室的幾家臺灣業者，包括：身份認證業者來毅數位科技（Lydec&Keypasco），網路安全硬體設備製造商立端科技（Lanner），還有工業技術研究院（ITRI）亦在當地設有辦事處。事實上，近幾年來臺灣與荷蘭相互之間，已有多次的國際資安交流活動。</p> <p>Joris強調，資安領域的公私協力、國際交流都很重要，HSD持續聚焦於緊密的產學合作，以促成活躍的資安生態系，而他們的重要任務，就是加速HSD成員間的合作，並在知識、創新、市場、資金、人才層面為其創造價值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%966%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <p>關於HDS在創新上的發展經過，Joris提到HSD近年特別重視3大主題，包括：網路安全與韌性、資料與AI，以及智慧安全社會，因此，HSD本身也建立了一套資安創新方法，透過4步驟來創造更多合作契機。</p> <p>例如，從一開始的探索階段，研究思考問題是什麼？是否已有解決方案？是否需要創新或新知識？</p> <p>接著是成立聯盟階段，以找出相互可以合作夥伴與方式，再到營運聯盟階段，共同開發和測試創新解決方案，以及最後的收穫階段，展示全新解決方案，並盡可能在國內和國際上推廣。</p> <p>整體而言，有了公私夥伴關係這樣的平臺，如何促進合作、加速合作就是重點，尤其是供應鏈的合作。</p> <p>為了讓大家更好理解，Joris以荷蘭重要的農業發展為例。他表示，隨著多年來的轉變，傳統用馬耕地到現在成為非常創新領域，而背後是一個完整的供應鏈，從種子、肥料與溫室場域，到種植者、市場、物流到最終消費的零售業。這當中不僅有IT技術，還有溫室氣候控制等各式設備，並有營運、流程、策略等層面。</p> <p>因此，荷蘭在建立HSD創新中心時就汲取了相關教訓，我們需要共同合作，才能在整個領域做到有效推動，並要聚焦在協助建立資安意識，並確保所有相關企業知道如何增強數位安全。</p> <p>甚至，他們也將相關經驗套用到荷蘭製造業，這項策略是從荷蘭南方開始試行，再擴展至全國境內。</p> <p>Joris強調，我們必須確保的不只是個別企業，而是要讓整個供應鏈，都能在網路韌性上達到更高的水準。</p> </div></div></div>
2024/5/23 14:36作者羅正漢https://www.ithome.com.tw/news/163031
外傳開發Ai Pin的Humane有意求售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）本周引述消息來源<a href="https://www.bloomberg.com/news/articles/2024-05-22/wearable-ai-startup-humane-is-said-to-explore-potential-sale" target="_blank">報導</a>，甫於今年4月於美國推出首款AI裝置Ai Pin的Humane已經在尋找買家，開價7.5億至10億美元。</p> <p>Humane是由曾參與過Mac、iPhone、iPad、iPod、Apple TV及Apple Watch等蘋果產品介面設計的Imran Chaudhri，以及同樣任職於蘋果，擔任軟體工程師的妻子Bethany Bongiorno在2018年共同創立，所打造的第一款產品Ai Pin並無螢幕設計，標榜只要透過語音就能與之互動，並可把所需資訊投影至掌心，裝置售價為699美元，每月必須額外支付24美元來取得電話、通訊、雲端儲存及AI服務。</p> <p>然而，Ai Pin上市後的風評並不佳。除了裝置太重不方便別到襯衫或是會過熱等小問題之外，Ai Pin的電池續航力不佳，反應太慢，招致各界的<a href="https://www.ithome.com.tw/news/162250" target="_blank">批評</a>。</p> <p>即使Humane去年增資時的估值高達8.5億美元，但當時Ai Pin還未上市，目前並不確定有誰會想要接手Humane。</p> <p> </p> </div></div></div>
2024/5/23 14:52作者陳曉莉https://www.ithome.com.tw/news/163054
南海軍事單位與政府機關遭中國駭客組織Unfading Sea Haze鎖定，暗中從事情報收集超過5年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender<a href="https://www.bitdefender.com/blog/businessinsights/deep-dive-into-unfading-sea-haze-a-new-threat-actor-in-the-south-china-sea/">揭露專門鎖定南海國家政府高層的中國駭客組織Unfading Sea Haze</a>，他們確認至少有8個軍事單位與政府機關受害，相關攻擊行動最早可追溯到2018年，換言之，這些駭客暗中活動已超過5年。</p> <p>研究人員指出，根據他們找到駭客不同時期使用的作案工具，對方運用了木馬程式Gh0st RAT的變種，以及多種.NET惡意酬載，攻擊過程會藉由名為SharpJSHandler的工具執行JavaScript程式碼，這些手法不僅讓他們認為Unfading Sea Haze與中國有關，上述執行JavaScript程式碼的工具，也出現在與APT41有關的後門程式funnyswitch。不過，研究人員指出，除此之外兩組駭客的作案工具並未出現其他共通點，因此他們認為，這是中國駭客組織之間共用程式碼所致。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示事隔6年導致證據缺乏，並不清楚如何做到。但他們確認對方在長時間的攻擊行動裡，會多次重新取得受害系統的存取權限，其中一種做法是透過釣魚郵件進行。</p> <p>這些釣魚信內含惡意檔案，其中包含偽裝成文件的Windows捷徑（LNK）檔案，他們發現駭客從去年3月至5月，多次以此手法嘗試發動攻擊，並藉由提供防毒軟體Microsoft Defender安裝程式及指引，或是當時美國政治議題做為誘餌。</p> <p>值得留意的是，攻擊者會在LNK的命令當中，加入冗長的註解，這麼做的目的很有可能是為了迴避偵測。</p> <p>但特別的是，駭客的程式碼執行過程當中，會特別檢查目標電腦是否有ESET防毒軟體的核心服務處理程序ekrn.exe，並在沒有該處理程序的情況下才會繼續執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-42-49-1999-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-42-49-1999-PM.png" style="width: 580px;" /></a></p> <p>接著他們執行PowerShell命令，濫用微軟的開發工具Microsoft Build Engine（MSBuild），從遠端SMB伺服器上搜尋專案檔案，藉此在記憶體執行駭客的惡意程式碼，而不會在受害電腦留下做案痕跡。這些惡意程式碼是名為SerialPktdoor的後門程式，功能是能讓對方遠端操控電腦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-43-30-4481-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-43-30-4481-PM.png" style="width: 580px;" /></a></p> <p>此外，攻擊者濫用Windows電腦預設停用的本機管理員帳號Administrator，竄改其密碼並啟用，但為了不讓使用者察覺，他們又更動機碼，讓這個帳號在登入畫面隱藏。</p> <p>一旦成功入侵，這些駭客就會藉由鍵盤側錄程式xkeylog截取使用者輸入的內容，並透過竊資軟體、PowerShell指令碼挖掘瀏覽器存放的用戶資料。</p> <p>從去年開始，對方不只濫用MSBuild載入前述後門程式，還會部署Gh0st RAT變種，研究人員看到SilentGh0st、InsidiousGh0st、TranslucentGh0st、EtherealGh0st、FluffyGh0st等多款變種程式。</p> <p>最終駭客透過curl工具，並利用FTP協定外傳竊得的資料，過程中濫用動態產生的帳密隱匿流量。</p> </div></div></div>
2024/5/23 15:13作者周峻佑https://www.ithome.com.tw/news/163055
微軟正式推出雲端原生開發框架.NET Aspire，部署、災難恢復、監控功能一應俱全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>能夠簡化.NET雲端開發的開發框架<a href="https://devblogs.microsoft.com/dotnet/dotnet-aspire-general-availability/">.NET Aspire</a>正式發布。該框架包含工具、範本和NuGet套件，使得創建分散式應用程式變得更容易。目前開發者已可在Visual Studio 2022 17.10、.NET CLI和VS Code中使用.NET Aspire。</p> <p>建立雲端原生應用程式仍是一項複雜的任務，程式開發和部署過程繁瑣，開發者需要耗費大量時間處理雲端架構的細節，特別是當應用程式存在高流量和大規模存取需求時，技術和架構設計的要求更高。此外，開發分散式應用程式還需要關注服務健康度檢查、負載平衡和訊息傳遞等問題。</p> <p>.NET Aspire提供了完整的解決方案來協助開發者克服這些問題。其提供工具、範本和NuGet，簡化開發工作，簡化雲端原生應用程式的開發工作，使開發者更能專注在業務邏輯上。另外，.NET Aspire與微軟按需服務整合，滿足雲端應用程式的擴展需求。</p> <p>同時，.NET Aspire支援Health Checks、YARP、HttpClientFactory和gRPC等技術與函式庫，並運用微軟新發展的Native AOT（Ahead-of-Time Compilation）技術，平衡應用程式大小與效能。開發者也可以透過使用SDK Container Builds，將任意.NET應用程式轉為容器快速部署到雲端。</p> <p>特別的是，.NET Aspire提供App Host工具，來簡化分散式應用程式的本地開發，該工具讓開發者使用C#描述，配置應用程式及所需要的服務，而一旦App Host啟動之後，便會開始自動啟用所需的資源，諸如資料庫和快取伺服器，並注入必要的配置，使應用程式各部分都能夠順利運作和通訊。</p> <p>App Host使應用程式的雲端部署更簡單，藉由應用程式模型詳細資訊，.NET Aspire可以簡單部署程式到雲端或是Kubernetes。開發者不需要改變目前的部署方式，但使用App Host能夠有更好的部署體驗，像是透過Azure Developer CLI可以直接部署.NET Aspire App Host中的資源到Azure Container Apps，Visual Studio也可以支援直接從Solution Explorer發布到Azure，而對Kubernetes來說，開發者也可以使用易用的命令列工具Aspir8進行部署。</p> <p>.NET Aspire網頁儀表板Aspire Dashboard，則會顯示開發中應用程式的詳細資訊，包括資源、端點、環境變數和日誌，該儀表板也會呈現OpenTelemetry的結構化日誌、分散式追蹤和指標資訊，這些資料儲存在記憶體中，提供接近即時的狀態檢視圖。Aspire Dashboard為獨立工具，是一個可以供開發者簡單觀察資料的方法。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0523-Aspire%20Dashboard.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Aspire%20Dashboard-B.png" style="width: 600px;" /></a></p> <p>.NET Aspire提供元件擴充功能，例如資料庫連接、訊息傳遞、快取、雲端服務連接以及可觀察性功能等。.NET Aspire元件是NuGet套件，能夠自動加入客戶端函式庫所需要的額外相依項目，並且與應用程式的相依注入和配置系統整合。這些元件預設啟用重要的可靠性和可觀察性功能，開發者不需要更改程式碼即可完成配置。</p> </div></div></div>
2024/5/23 15:17作者李建興https://www.ithome.com.tw/news/163052
便利臺灣政府機關採購雲端服務，工程會公布「資訊雲端服務採購契約範本」供參
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當金管會開放金融業者上雲後，政府也已經正視這股趨勢，體認到雲端服務已經是政府資訊服務採購的某一種主流。為了便利招標的政府機關單位，以及預計投標的資訊服務業者，行政院公共工程委員會（簡稱工程會）協同數位發展部，在彙整產業意見後，於日前（5月17日）正式公布「資訊雲端服務採購契約範本」（業界簡稱雲端採購範本）。</p> <p>時任行政院公共工程委員會副主委葉哲良表示，因應資訊雲端化及循環經濟的趨勢，政府以取得雲端服務代替傳統購買的模式，將成為資訊採購的主流，但不論是採購人員的心態、與會計制度、採購契約的內容，都必須有新思維、新轉變；因此，工程會協同數位部透過凝聚各方的專業及共識，建立雲端服務專用的契約範本，引導機關邁向雲端。</p> <p>「雲端採購範本」是依照政府採購法第63條第1項規定，要求政府各類採購契約以採用公共工程委員會訂定的範本為原則，且該採購範本內容，是工程會與相關公協會、廠商討論後一起訂定的，適用範圍為提供既有軟體系統轉換至雲端服務、雲端服務（SaaS）及雲端平臺（PaaS/IaaS）公有雲與私有雲的線上服務。</p> <p>另外，葉哲良也說，在資安部分，也將統計各部會年度資安經費佔IT的占比，並與全球相關領域數據做比對，以作為政府施政時的參考，達到資安與國安同時兼顧的目標。</p> <p>不過，此次雲端採購範本正式版本公告後，我們可以發現有些意外的變化。原本工程會和產業界討論時，有設立一條希望可以透過「保險」來轉嫁機關和資服業者風險的條文，但最後在正式版本中該保險條文則被刪除，不論是保護自己的專業責任險、防範駭客入侵的第三責任險，或者是以數據保護為核心的資安險等，都從正式版本中被拿掉。</p> <h2><strong>雲端採購範本屬於服務採購，不適用於設備類的租賃轉移合約</strong></h2> <p>葉哲良指出，這個「資訊雲端服務採購契約範本」是由甲方的機關擬好所需要的內容，再提供給乙方的資服業者看內容是否合適，這主要提供給機關編列採購雲端服務時的契約範本參考，包括各種SaaS、PaaS或IaaS等公雲或私雲的雲端服務的採購，並不適用於租賃到期後將財產轉移給機關的作法，這種租賃轉移大多為資本門為主的設備採購案。</p> <p>他進一步解釋，這份「資訊雲端服務採購契約範本」是參考原本的資訊手冊修改而來，過去太過重視硬體採購，現在應該改成服務採購的概念，若是機關在採購雲端服務之餘仍需要額外的硬體設備，就應該另外採購硬體設備，不應該將硬體和服務採購混在一起。</p> <p>葉哲良指出，以目前政府採購的預算編列方式，硬體採購多以資本門的編列為主，但資訊或資安服務採購則多以經常門科目進行編列，預算法對於資本門有專屬的定義，立法院進行預算審查時，有時候會採取統一刪除經常門多少百分比的方式，造成政府資訊或資安服務採購預算編列不足。但他認為，在現在資訊和資安服務比重逐漸增加時，機關應該妥善編列預算，取得所需的資訊或資安服務，也是一大考驗。</p> <h2><strong>明列禁用陸籍人士和產品，禁在中港澳跨境資料傳輸</strong></h2> <p>這個雲端採購範本總計有21條條文，在這次訂定雲端採購範本中，有幾項重要條文值得關注。葉哲良指出，第8條「履約管理」的條文中，第8-3-1條中，明確規定「廠商執行本案之團隊成員（含分包廠商）不得為陸籍人士（係指接觸本採購案資料之人員）」。</p> <p>但這中間可能會遇到一些雲端服務業者在境外提供相關雲端服務，此時該如何限制陸籍人士不得參與該專案呢？葉哲良回答：「境內採用國籍管理，境外則採用資料流管理的方式，確保資料流經的節點，都不會有陸籍人士。」</p> <p>第19條「保密及安全需求」條文中，在第19-5條中也明確規範，提供服務的業者，不可以使用大陸廠牌的資通訊軟體、硬體或雲端服務等；第19-6條更清楚規定，雲端資料儲存地點不得位於大陸（含香港及澳門）境內，並不得在中港澳地區做跨境資料傳輸。</p> <h2><strong>明訂業者需提供6個月以上日誌檔，契約結束後保留日誌檔6個月</strong></h2> <p>雖然《資通安全管理法》主要是規範公務機關以及特定非公務機關，但根據雲端採購範本中的第15條「權利及責任」條文中，第15-14條「資通安全責任」的規定，在第15-14-1條便明確要求投標的廠商，必須遵守《資通安全管理法》以及相關子法與行政院頒訂各項資通安全規範及標準，也必須遵守機關資通安全管理及保密的相關規定。若以供應鏈的概念來看，提供公務機關資訊、資安和雲端服務的業者，一旦順利得標，都會受到《資通安全管理法》的規範。</p> <p>其中，提供和保留雲端服務系統的各種日誌檔（Log），也是此次雲端採購範本中，有詳細規範的項目。例如，第15-14-2條明定：廠商要提供雲端服務與履約標的的相關日誌，包括：應用程式日誌（AP Log）、登入日誌（Logon Log）、網站日誌（Web Log，若無法提供，廠商提出證明，經機關同意後得免提供）、作業系統日誌（OS Event Log）和其他保存期限至少6個月的相關日誌。</p> <p>第15-15條明定：廠商於終止或解除雲端服務採購契約或履約完成後，應該要提供前6個月雲端服務與履約標的相關的日誌記錄，否則機關得依比率，不發還保證金。</p> <p>第17條「契約終止、解除及暫停執行」條文中，其中第17-11-6條明確規範「廠商提供之雲端服務與履約標的相關之日誌，應於契約終止或解除或期滿後保存6個月。」</p> <p>根據這份雲端採購範本的規定，清楚訂定業者必須要提供機關6個月以上的各種日誌檔案（Log），契約結束後也必須保留日誌6個月。葉哲良表示，未來保留各種日誌檔至少6個月以上，契約結束後也必須保留日誌檔6個月的規範，將會成為臺灣各行各業的低標。</p> <h2><strong>不可歸責廠商事由造成的違約金計算，以契約價金總額20％為上限</strong></h2> <p>在政府各種採購契約中，以往對於違約金的估算，都由機關依照往例或參考其他機關標準制定，此次在雲端採購範本中，也在第14條「違約金」的條文中明定違約金的上限。例如，根據第14-3條規定，如果是不可抗力或不可歸責於廠商的事由導致違約時，屬於行政違約，違約金的計算以契約價金總額的20％為上限。</p> <p>但如果是因為廠商的內部過失，導致可歸責於廠商事由，致使無法提供保存期限內的存取記錄和日誌檔時，就可依照第14-4條規定，依照契約價金總額的2％計算違約金，若計算出的違約金不滿一萬元者，仍以一萬元計算；如果未能限期改善者，則可以按次處罰，且不受20％違約金上限的規範。</p> <p>廠商如果違反資安相關法令，或者是知道機關或廠商發生資安事件時，依照雲端採購範本第15-14-3條規定，廠商必須在知道發生資安事件的1小時內通報機關，並提出緊急應變處置且配合機關做後續處理。</p> <p>如果廠商無法配合上述規定的話，依照第14-5條違約金的規定，可以以契約價金總額的10％作為違約金，不受契約價金總額20％的違約金上限規定。</p> <p>葉哲良表示，雲端採購範本也將資安事件的通報正式明文化，避免以往曾經發生過，機關發生資安事件後，廠商或機關就刪除Log來隱瞞資安事件的發生。</p> <p>資安是未來政府所有資服採購或是雲端服務採購時的重要項目，根據第2條「履約標的」條文中第2-4條規定，在雲端採購範本涉及的資通系統，都必須在招標時，就確定其資安防護需求等級是普級、中級還是高級，如果招標時沒有清楚載明防護等級，都以普級視之。</p> <p>而且，機關對於資安防護等級需求的應該搭配何種資安作為，則必須參考「各類資訊（服務）採購之共通性資通安全基本要求參考一覽表」中，針對：雲端服務（SaaS）套裝型、雲端微服務（SaaS）辦公室生產力工具、既有雲端微服務（SaaS）客製化需求更版、雲端平臺（PaaS或IaaS）、應用軟體或系統維運服務的類型，依據所需要的資安防護等級，執行並落實所需要的防護項目內容。</p> <table border="1" cellpadding="1" cellspacing="1" style="width:500px;"> <caption> <h3>「資訊雲端服務採購契約範本」條文</h3> </caption> <tbody> <tr> <td> <h3>第1條契約文件及效力</h3> </td> </tr> <tr> <td> <h3>第2條履約標的</h3> </td> </tr> <tr> <td> <h3>第3條契約價金之給付</h3> </td> </tr> <tr> <td> <h3>第4條契約價金之調整</h3> </td> </tr> <tr> <td> <h3>第5條契約價金之給付條件</h3> </td> </tr> <tr> <td> <h3>第6條稅捐</h3> </td> </tr> <tr> <td> <h3>第7條履約期限</h3> </td> </tr> <tr> <td> <h3>第8條履約管理</h3> </td> </tr> <tr> <td> <h3>第9條履約標的品管</h3> </td> </tr> <tr> <td> <h3>第10條保證金（由機關擇定後於招標時載明，無者免填）</h3> </td> </tr> <tr> <td> <h3>第11條驗收</h3> </td> </tr> <tr> <td> <h3>第12條遲延履約</h3> </td> </tr> <tr> <td> <h3>第13條保固（無者免填）</h3> </td> </tr> <tr> <td> <h3>第14條違約金</h3> </td> </tr> <tr> <td> <h3>第15條權利及責任</h3> </td> </tr> <tr> <td> <h3>第16條契約變更及轉讓</h3> </td> </tr> <tr> <td> <h3>第17條契約終止、解除及暫停執行</h3> </td> </tr> <tr> <td> <h3>第18條爭議處理</h3> </td> </tr> <tr> <td> <h3>第19條保密及安全需求</h3> </td> </tr> <tr> <td> <h3>第20條其他</h3> </td> </tr> <tr> <td> <h3>第21條服務績效</h3> </td> </tr> </tbody> </table> <h3> 資料來源：行政院公共工程委員會，2024年5月</h3> <h3> </h3> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <p> </p> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/23 12:04作者黃彥棻https://www.ithome.com.tw/news/163050
OpenAI獲得紐約郵報、華爾街日報等新聞內容使用授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（22）日<a href="https://openai.com/index/news-corp-and-openai-sign-landmark-multi-year-global-partnership/" target="_blank">宣布</a>，已和媒體集團News Corp簽定多年期授權，取得使用紐約郵報（New York Post）、華爾街日報（Wall Street Journal）等刊物內容訓練AI模型的權利。</p> <p>華爾街日報則<a href="https://www.wsj.com/business/media/openai-news-corp-strike-deal-23f186ba" target="_blank">報導</a>，雙方簽定5年合作，News Corp取得現金及OpenAI服務點數支付約當2.5億美元的代價。</p> <p>透過這項合作，OpenAI取得在ChatGPT給用戶回應中，展示News Corp部分內容，以及「提升產品」，協助用戶根據可信賴資訊和消息來源做出決策，意即使用後者旗下媒體內容訓練AI模型。</p> <p>OpenAI將可使用News Corp主要新聞和資訊刊物的最新及歸檔內容，包括華爾街日報、Barron's、MarketWatch、Investor's Business Daily、紐約郵報、The Times、每日電訊號等刊物。News Corp也會分享新聞學專業，以協助提升OpenAI內容具備的新聞學水準。但這項合作不擴及News Corp其他業務的內容。</p> <p>本項合作是OpenAI拿下授權的最新主要媒體。從去年下半以來，這家AI業者已經陸續取得德國出版商<a href="https://www.ithome.com.tw/news/161783" target="_blank">Axel Springer</a>、西班牙的Prisa Media、法國的<a href="https://www.ithome.com.tw/news/162587" target="_blank">Le Monde</a>及英國<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>的內容授權。</p> </div></div></div>
2024/5/23 10:35作者林妍溱https://www.ithome.com.tw/news/163046
Nvidia財報出爐，季營收成長262%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-first-quarter-fiscal-2025" target="_blank">Nvidia周三（5/22）公布</a>截至今年4月28日的2025財年第一季財報，該季Nvidia創下260億美元的營收，比去年同期成長262%，再度刷新該公司的營收紀錄。貢獻度最高的是資料中心業務，光是該業務營收便達到226億美元，相較去年同期成長了427%，占Nvidia總營收的87%，每股盈餘為6.12美元。當天Nvidia的盤後股價上漲了6%，達1,007美元。</p> <p>除了資料中心之外，Nvidia的遊戲營收為26億美元，年增18%；專業視覺化營收為4.27億美元，年增45%；汽車與機器人領域的營收為3.29億美元，年增11%。</p> <p>Nvidia的營收隨著全球邁入AI時代而快速成長，Nvidia設計了基於GPU的資料中心平臺，以用來加速各種任務，從AI訓練、推論、科學運算到虛擬桌面基礎設施。簡單地比較Nvidia<a href="https://www.ithome.com.tw/news/157040" target="_blank">去年同期的營收</a>，當時Nvidia的總營收只有71.9億美元，資料中心占了42.8億美元，遊戲是22億美元，視覺化是2.96億美元，汽車為2.96億美元，突顯了資料中心所扮演的重要角色。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，下一個工業革命正在展開，各個公司與國家都與Nvidia合作以將規模達數兆美元的傳統資料中心遷移到加速運算，以打造新型態的資料中心，亦即AI工廠，以生產新的AI產品。</p> <p>黃仁勳說，其資料中心的成長受惠於市場對Hopper平臺生成式AI及推理的強勁且加速的需求，除了雲端服務供應商之後，生成式AI也已拓展至消費者網路公司、大型企業、主權AI、汽車及健康照護領域，創造了多個價值數十億美元的垂直市場。</p> <p><a href="https://www.cnbc.com/2024/05/22/nvidia-nvda-earnings-report-q1-2025-.html" target="_blank">《CNBC》</a>引述Nvidia財務長Colette Kress的說法指出，目前大型雲端服務供應商約占資料中心的4成營收。</p> </div></div></div>
2024/5/23 10:48作者陳曉莉https://www.ithome.com.tw/news/163047
微軟Copilot+ PC記錄PC用戶一切活動，英國政府將啟動隱私調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周發表的<a href="https://www.ithome.com.tw/news/162989" target="_blank">Copilot+ PC</a>中的Recall功能引發隱私爭議，英國隱私主管機關宣布將啟動調查。</p> <p>Recall功能類似Windows 10上的Timeline，後者可讓用戶檢視並回復之前應用程式執行狀態。Recall則是在背景以快照紀錄使用者在電腦上的活動，包括應用程式使用、產生的內容文字、圖片、以及造訪的網站，幫助使用者搜尋PC上的檔案及上網活動。這項功能仰賴PC持續蒐集資料，且與用戶使用歷程高度相關，引發隱私疑慮，尤其是蒐集的活動快照一旦被駭客取得，更可能造成財務損失或身分盜竊等問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-microsoft-Copilot%2B%20PCs_Recall(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>英國隱私主管單位資訊委員辦公室（Information Commissioner's Office，ICO）指出，期望廠商對用戶資料蒐集方法透明公開，且只能為明確用途處理個資。業界開發產品必須從一開始就考量資料保護，且嚴格評估與降低對用戶權益和自由的風險。為此，ICO將對微軟進行調查，以了解是否已有用戶隱私保護的措施。</p> <p>其實，為解決用戶隱私疑慮，微軟也允許用戶刪除紀錄快照、或設定紀錄範圍與時間、暫停Recall，而且個人化索引結果完全儲存在本機上，不會上傳雲端。但是<a href="https://www.theregister.com/2024/05/22/windows_recall/" target="_blank">《The Register》</a>點出Recall其他隱私問題，包括快照不會隱藏用戶密碼或帳號，且雖然用戶能過濾網站資訊，但僅限使用Edge瀏覽器。報導也引述資安專家指出，Recall功能不能根據GDPR規定，在資料控制者刪除來源資料後，刪除應用程式內曝露的個資，對任何處理個資的組織來說都是隱私風險。</p> <p>微軟尚未對此評論。</p> </div></div></div>
2024/5/23 09:04作者林妍溱https://www.ithome.com.tw/news/163045
提供兩倍容量HBM與4倍網路頻寬，AMD推出新款運算加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_v80_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應雲端服務大型資料中心、5G網路通訊、大數據與AI等多種運算密集工作負載的崛起，帶動處理器廠商投入加速運算產品與技術的發展，以AMD為例，目前有4大產品線，當中最受矚目的是<a href="https://www.ithome.com.tw/tags/amd-instinct">Instinct系列GPU</a>，另一個提供最多解決方案的路線，是源於他們併購賽靈思（Xilinx）而得到的自適應運算加速器（Adaptive Accelerators），當中包含<a href="https://www.ithome.com.tw/tags/alveo%E5%8A%A0%E9%80%9F%E5%8D%A1">Alveo系列資料中心加速卡</a>、<a href="https://www.ithome.com.tw/tags/%E9%9B%BB%E4%BF%A1%E5%B7%A5%E4%BD%9C%E8%B2%A0%E8%BC%89%E5%8A%A0%E9%80%9F%E5%8D%A1">T系列電信加速卡</a>，以及<a href="https://www.ithome.com.tw/tags/smartSSD">SmartSSD系列運算儲存裝置（CSD）</a>，我們過去也持續追蹤報導當中最新發表的產品，而其中的Alveo系列，款式選擇最豐富，依產品定位與用途，可細分為運算加速卡、網路加速卡、金融科技加速卡、多媒體加速卡、AI推論加速卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Alveo series-2024-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo%20series-2024-05.jpg" style="width: 600px;" /></a></p> <p>在今年5月中舉行的歐洲年度ISC超級電腦大會期間，AMD推出新的運算加速卡Alveo V80，此產品可支援高效能運算、資料分析、網路安全等多種應用，透過專屬硬體設計，克服大型資料集處理過程經常面臨的效能瓶頸。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo-general%20purpose.jpg" style="width: 600px;" /></p> <p>這款加速卡採用AMD發展的自適應系統單晶片Versal HBM系列，裡面囊括32 GB的HBM記憶體、10,848個DSP運算邏輯片、563.1萬個系統邏輯單元、257.4萬個查詢表、雙核心Arm Cortex-A72應用程式處理器、雙核心Arm Cortex-R5F即時處理器等元件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD ALVEO V80 ACCELERATOR CARD overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20ALVEO%20V80%20ACCELERATOR%20CARD%20overview.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AVED DESIGN IMPLEMENTED ON VERSAL HBM DEVICE.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AVED%20DESIGN%20IMPLEMENTED%20ON%20VERSAL%20HBM%20DEVICE.png" style="width: 398px;" /></a></p> <p>相較於前一代產品Alveo U55C，最新登場的Alveo V80在HBM記憶體容量、HBM記憶體頻寬、邏輯密度／查詢表數量（logic density／LUTs）的規格，均提升1倍——32 GB HBM2e vs. 16 GB HBM2，820 GB/s vs. 460 GB/s，257.4萬個LUT vs. 130.4萬個LUT，而在網路頻寬的部分，增加至4倍——4個200 Gb/s vs. 2個100 Gb/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Alveo V80 Spec features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo%20V80%20Spec%20features.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Alveo-general purpose2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo-general%20purpose2.jpg" style="width: 600px;" /></a></p> <p>基於上述配置，AMD Alveo V80能支撐超大規模的硬體平行運算處理，能用於多元、訂製的工作負載與資料型別的即時處理加速，因此可涵蓋基因定序、分子動力學、感測器處理等高效能運算的應用方式。</p> <p>而在次世代的防火牆與網路安全防護系統等使用場景，也能發揮這款加速運算卡的特色，因為它內建3個400Gb/s傳輸效能等級的密碼學高速處理引擎，以及3個600Gb/s傳輸效能等級的乙太網路媒體存取控制位址區塊（Ethernet MAC），而由於Alveo V80本身也搭配FPGA硬體運算技術，所以企業與組織也能將這款產品用於線速等級（line-rate）的封包檢測處理，以及基於AI技術而成的異常偵測機制。</p> <p>關於區塊鏈、策略回溯測試、期權定價，以及金融建模與模擬等金融科技的應用，AMD認為Alveo V80也相當適用於運算型儲存與資料分析，因為這款產品本身整合壓縮與查詢加速機制，可在縮短洞察分析時間的狀態中，同時提升有效儲存空間（effective storage capacity）。</p> <p>目前有哪些伺服器廠商率先在他們的產品搭配這款加速運算卡？AMD預告，Supermicro將在AMD EPYC處理器平臺的伺服器機型A+系列，整合Alveo V80，其中一款會是4U尺寸GPU伺服器AS -4125GS-TNRT，這臺設備可安裝8張雙寬全長尺寸的加速運算卡。</p> <p>而在先期導入用戶的部分，AMD提到的例子是<a href="https://www.amd.com/en/resources/case-studies/csiro.html">澳洲的聯邦科學和工業研究組織（CSIRO）</a>，我們2021年底在產品快報介紹<a href="https://www.ithome.com.tw/review/147967">Alveo U55C</a>時，也曾提到這個案例，現在他們正在打算換裝今年最新推出的Alveo V80。</p> <p>AMD表示，CSIRO針對天文學研究所設置的無線電天線陣列，採用420張Alveo U55C加速卡，目的是協助處理無線電波訊號，以便研究早期的宇宙與探索銀河系的演化，而隨著Alveo V80上市，CSIRO打算改用這款加速卡，屆時只需安裝140張，精簡幅度可達66％，藉此減少伺服器部署空間與耗電量、成本，同時也足以因應CSIRO太空望遠鏡的<a href="https://www.csiro.au/en/news/All/News/2024/March/Worlds-largest-radio-telescope-takes-big-step-forward-in-WA-outback">13.1萬座天線</a>的訊號處理任務。根據他們的估算，由於加速卡的數量減少，連帶導致伺服器數量、機櫃空間、耗電量的減少，每張加速卡總持有成本的降低幅度可望達到20％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSIRO%20Alveo%20U55C%20to%20V80.jpg" style="width: 600px;" /></p> <p> </p> <div class="media_embed" height="360px" width="640px"> <iframe allow="autoplay; fullscreen" allowfullscreen="" frameborder="0" height="360px" src="//player.vimeo.com/video/247728975" width="640px"></iframe></div> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Alveo V80</strong><br /> ●原廠：AMD<br /> ●建議售價：9,495美元<br /> ●I/O介面：PCIe 5.0 x16或2個PCIe 5.0 x8<br /> ●外形：全高3/4長、雙槽PCIe介面卡<br /> ●晶片製程：7奈米<br /> ●技術平臺：Versal HBM XCV80（Arm Cortex-A72應用程式處理器、Arm Cortex-R5F即時處理器、HBM2e記憶體、3個400G High-Speed Crypto Engines、6個100G Multirate Ethernet MAC、3個600G Ethernet MAC、1個600G Interlaken）<br /> ●搭配記憶體：32 GB HBM2e DRAM、32 GB DDR4-3200、4GB SRAM<br /> ●HBM記憶體頻寬：820 GB/s<br /> ●網路介面： 4個200GbE埠（QSFP56接頭），每埠可分接2個100GbE網路埠或4個10/25/40/50GbE網路埠<br /> ●耗電量：190瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/22 10:37作者李宗翰https://www.ithome.com.tw/review/163009
【資安日報】5月22日，針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要快速處理漏洞的修補，單靠研究人員及早通報是不夠的，IT設備廠商必須設法加快漏洞的確認與修補，最近資安業者揭露NAS廠商威聯通產品漏洞，再度突顯此問題的影響。上週五（5月17日）資安業者watchTowr表示，他們已向威聯通通報15個NAS漏洞，但僅有4個完成修補，大部分從通報至今已超過4個月卻尚未處理。</p> <p>事隔4日，威聯通發布新聞稿公布處理情形，罕見的是，他們也對於修補速度過慢的情況做出承諾，表明日後針對重大及高風險層級漏洞，將於45日內完成處理，並發布修補程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163027"><strong style="font-size: 22px;">駭客組織BlackTech鎖定科技、研究、政府部門而來，利用新的工具Deuterbear發動攻擊，並以罕見的部署手法迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png" style="width: 300px; float: right;" /></a></p> <p>一個月前，資安業者趨勢科技對於惡意程式Deuterbear的攻擊行動升溫提出警告，指出名為Manga Taurus、Huapi、Earth Hundun的中國駭客組織BlackTech採用這項工具從事攻擊行動，如今他們公布更多發現。</p> <p>研究人員指出，BlackTech向來的攻擊目標集中在亞太地區，主要針對政府機關、研究機構、科技產業而來，但近期採用的攻擊策略與過往有明顯的不同。他們表示，Deuterbear與駭客先前使用的另一支惡意程式Waterbear有許多相似之處，但功能有所強化，例如：新的作案工具支援Shell Code外掛程式、使用HTTPS通訊協定與C2連線，以及在RAT木馬程式作業期間會避免進行交握（handshakes），目的是不讓資安系統察覺異狀。</p> <p>再者，他們發現Deuterbear採用新的Shell Code格式、會執行迴避記憶體掃描的反制措施、並與惡意程式下載工具（Downloader）共用流量解密金鑰，這些都是與Waterbear明顯不同的地方。研究人員認為，從Waterbear到Deuterbear的演變，代表BlackTech在反制資安人員分析及迴避偵測的工具開發上，出現顯著的突破。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.elastic.co/security-labs/invisible-miners-unveiling-ghostengine"><strong style="font-size: 20px;">駭客組織散布惡意軟體GhostEngine，意圖發動自帶驅動程式攻擊、部署挖礦程式</strong></a></p> <p></p> <p>◆<a href="https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1672.html"><strong style="font-size: 20px;">Rockwell Automation針對工業控制系統攻擊行動升溫提出警告，呼籲管理員將設備斷開網路連線</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/lockbit-says-they-stole-data-in-london-drugs-ransomware-attack/"><strong style="font-size: 20px;">加拿大連鎖藥局London Drugs遭駭，勒索軟體駭客組織LockBit聲稱從中竊得內部資料</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163034"><strong style="font-size: 22px;">研究人員揭露威聯通NAS作業系統漏洞，並指出15個漏洞僅有4個完成修補</strong></a></p> <p>上週資安業者watchTowr表示，他們從去年12月至今，總共向NAS廠商威聯通（QNAP）通報NAS作業系統QTS的15個漏洞，但截至目前為止，僅有4個得到修補，其餘漏洞經過近半年仍未處理。</p> <p>針對watchTowr所公布的消息，5月21日威聯通也發布公告說明。該公司表示，他們在獲報的15個漏洞當中，對於已經完成確認的漏洞登記了CVE編號，並指出5個他們完成確認的漏洞，皆於同日發布的QTS 5.1.7及QuTS hero h5.1.7版進行修補。這些漏洞是：CVE-2024-21902、CVE-2024-27127、CVE-2024-27128、CVE-2024-27129、CVE-2024-27130。而對於其他漏洞，威聯通也在此公告透露處理的情形，承諾後續將著手處理CVE-2024-27131，以及另一個已登記CVE編號的漏洞，並坦承尚有3項漏洞正在向研究人員確認。</p> <p>而關於watchTowr認為威聯通修補漏洞速度太慢、多次延遲公布漏洞時間，威聯通也在新聞稿中，明確提出修補時效的承諾。</p> <p><a href="https://www.ithome.com.tw/news/163024"><strong style="font-size: 22px;">GitHub針對Enterprise Server用戶提出警告，該系統存在可繞過SAML單一登入的身分驗證弱點</strong></a></p> <p>5月20日GitHub發布3.12.4、3.11.10、3.10.12、3.9.15版GitHub Enterprise Server（GHES），這次推出新版的主要目的，是修補重大層級的身分驗證繞過漏洞CVE-2024-4985，該漏洞影響採用SAML進行單一登入程序（SSO）的GHES執行個體，根據CVSS第4版的標準來評估該漏洞，他們認為此問題的危險程度達到10分滿分。</p> <p>而對於這項漏洞造成的影響，GitHub指出，攻擊者可透過偽造的SAML回應，存取具備管理員權限的GHES用戶帳號，完全無須通過身分驗證就能進行利用。</p> <p><a href="https://www.ithome.com.tw/news/163030"><strong style="font-size: 22px;">Veeam修補備份集中管理控制臺4個漏洞，包括繞過驗證登入的重大漏洞</strong></a></p> <p></p> <p>備份與資料保護軟體廠商Veeam，於5月21日發布Veeam Backup & Replication備份軟體12.1.2.172更新版本，修補Veeam Backup Enterprise Manager（VBEM）集中管理控制臺的4個漏洞，包含被列為重大資安漏洞CVE-2024-29849，還有2個高風險漏洞CVE-2024-29850與CVE-2024-29851，以及1個低風險漏洞CVE-2024-29852。</p> <p>而在這次修補的VBEM漏洞中，最嚴重的是CVE-2024-29849，Veeam對此漏洞的嚴重性評為9.8分，允許未經身分驗證的攻擊者登入VBEM，等同允許攻擊者任意執行VBEM的管理功能，這也意味著透過VBEM管理的多個備份環境面臨重大風險，因為它們不僅因此暴露在攻擊者面前，而能被任意存取，資料外洩的可能性大增。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.tenable.com/blog/linguistic-lumberjack-attacking-cloud-services-via-logging-endpoints-fluent-bit-cve-2024-4323"><strong style="font-size: 20px;">資料收集器Fluent Bit存在重大漏洞，恐導致阻斷服務、RCE攻擊</strong></a></p> <p></p> <p>◆<a href="https://codeanlabs.com/blog/research/cve-2024-4367-arbitrary-js-execution-in-pdf-js/"><strong style="font-size: 20px;">Firefox用於存取PDF檔案的元件存在弱點，有可能被用於執行任意JavaScript程式碼</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163015"><strong style="font-size: 22px;">16家人工智慧業者共同承諾透過安全的方式開發AI</strong></a></p> <p></p> <p>繼去年英國主辦的第一屆AI安全高峰會（AI Safety Summit），28個國家共同簽署《布萊切利宣言（Bletchley Declaration）》，就AI的風險達成共識之後，本周於韓國首爾舉行的AI高峰會（AI Seoul Summit）凝聚16家AI業者，針對前沿AI的安全性達成承諾（Frontier AI Safety Commitments），包括Amazon、Anthropic、Google、IBM、Inflection AI、Meta、微軟、OpenAI、三星等。</p> <p>這些企業組織承諾，願意負責任地開發與部署前沿AI模型與系統，同時預計於明年初在法國舉行AI行動高峰會（AI Action Summit）之前，發布專注於嚴重風險的安全框架。</p> <p><a href="https://www.ithome.com.tw/news/163014"><strong style="font-size: 22px;">為打擊網路詐騙，Coinbase、Meta、Ripple等業者聯手，成立Tech Against Scams聯盟</strong></a></p> <p></p> <p>5月21日交友程式Tinder母公司Match Group，社交平臺Meta，加密貨幣交易平臺Coinbase、Kraken與Gemini，加密貨幣業者Ripple聯手，創立Tech Against Scams聯盟，宣布將共同打擊網路愛情詐騙與殺豬騙局（Pig Butchering Scams）。</p> <p>其實自去年夏天開始，Match Group、Coinbase與Meta已展開合作，利用這些公司在生態系統中各自獨特的地位，來辨識新的威脅趨勢，同時共享打擊全球詐騙的最佳實踐，並集體採取行動來保護使用者。</p> <p>Meta資安長Guy Rosen表示，詐騙者與殺豬騙局背後的組織鎖定許多網路服務上的使用者，令個別的公司很難窺得全貌，期望此一新的聯盟能夠藉由分享見解與趨勢，進而對全球的詐騙網路展開更有影響力的破壞行動。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163006"><strong>【5月21日】金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162953"><strong>【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</strong></a></p> </div></div></div>
2024/5/22 18:45作者周峻佑https://www.ithome.com.tw/news/163037
新任國科會主委吳誠文：借重半導體產業優勢，結合AI等科技加速產業智慧化發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周一才走馬上任的行政院政務委員，同時也是國科會新科主委的吳誠文今天(5/22)攜國科會三位副主委，政務副主委林法正及陳炳宇，還有常務副主委陳宗權，宣示未來國科會新團隊除了鼓勵科研發展，也將和其他部會合作協助國內產業，不只科技業，包括傳統產業，運用半導體產業優勢及AI等科技，加速產業均衡發展及智慧化應用。</p> <p>吳誠文為臺大電機系畢業，擁有加州大學聖塔芭芭拉分校電子與計算機工程博士學位，過去曾擔任南臺科技大學校長、成功大學副校長、清大副校長、清大電機資訊學院院長，長時間從事高等教育人才培育工作，他也曾在工研院任職，擔任資通所所長、系統晶片科技中心主任、工研院南分院執行長，熟悉積體電路等半導體專業領域。</p> <p>吳誠文首先提到，他上任的重要任務，過去半導體產業支撐臺灣的經濟，在我國科技及經濟成功發展基礎上，是否能讓全民感受到社會、文化、產業提升，未來國科會將會與經濟部等其他部會合作，不只是協助大型科技公司發展，也要幫助傳統產業及各行各業，在臺灣的科技實力之下，更均衡快速發展，其中產業及區域的均衡發展也是賴總統的理念，不只是注重科技，更利用科技協助全民健康及文化的均衡發展。</p> <p>他表示，基於環境、永續、淨零碳排等議題，背後需要有效率的能源使用，因此由具有電力、電網專業背景的前國研院院長林法正擔任國科會政務副主委，借助他的專業，在既有的半導體產業優勢下，發展國內半導體產業較缺乏的功率半導體，有助於促成電網智慧化，以及智慧電動車輛產業發展。</p> <p>從前任主委吳政忠開始，國科會推動產業的智慧化發展，吳誠文表示，接下來新團隊仍會持續推動國內AI發展，在學術界、產業界協助開發新的AI技術之外，也能有效推動AI的產業應用，協助各行各業發展，因此邀請具有AI電腦視覺專業的臺大國創新設計學院院長陳炳宇擔任國科會政務副主委。</p> <p>儘管兩位政務副主委分別專精電力電網發展、AI專業等工程領域，但吳誠文也強調國科會仍會長期穩定協助國內產學研的基礎及前瞻研究，並讓研究開發成果能夠落地。</p> <p><span style="color:#B22222;"><strong>加速產業的數位及智慧化轉型</strong></span></p> <p>另外，國科會轄下管理竹科、中科、南科三大科學園區，未來不只聚焦在區域均衡發展，也會和經濟部等跨部會合作，共同推動產業數位轉型及智慧化；吳誠文進一步指出，國科會將和經濟部、教育部等合作，通過國內學界、許多科技大學的人力，有足夠能力協助產業發展，具體的相關計畫將會在3個月內提出。</p> <p>至於國科會與行政院先前提出的晶創臺灣計畫，以10年挹注3,000億元經費，運用我國半導體的晶片製造、設計、封測優勢，結合全球興起的生成式AI，加速AI在各產業的應用。吳誠文表示，今年晶創臺灣計畫開始推動，國科會將會持續精進，讓國內半導體製造、IC設計更上一層樓。</p> <p>吳誠文也強調新政府的均衡產業發展政策，未來對半導體產業的協助，不會只有大型半導體業者，以IC設計為例，國內IC設計除了大型公司，仍有許多小型IC設計業者，這些業者承接國外IC設計需求，他以棒球運動為例，個人的突出表現無法贏得比賽，需要結合投手、游擊手、打者形成團隊才能贏下比賽。未來推動產業均衡發展，也會向外，向國際市場發展。</p> <p>至於產業的智慧化發展也要均衡發展，不只是科技業，還包括傳統產業，曾在技職教育現場的吳誠文以我國傳統產業中具代表性的工具機為例，雖然CNC工具機與軟體有關，但工具機仍屬傳統機械製造，未來如果能朝智慧化發展轉型，將可轉型為智慧機械製造。</p> <p>面對國內少子化，勞動人力短缺，吳誠文也提供他的看法。他認為，除了美國因移民增加人口，少子化已是全球經濟發展成熟的國家的共同問題，我國產業，不管是傳統產業或高科技產業都面臨少子化帶來的人力不足問題，為了解決少子化問題，除了政府設法提升生育率，引進外籍勞工容易引發爭議，未來或許可從教育著手，讓非本科人力，接受再教育，來滿足產業的專業人力需求。此外，少子化也意謂需要更少的人力來完成更多的工作，AI能夠起到輔助的作用，擴大AI的產業應用也能緩解人力短缺的衝擊。</p> <p>國科會政務副主委陳炳宇表示，先前政府規畫中的AI基本法，考慮AI技術發展快速，需要凝聚各界意見，政府研擬的AI基本法應用會在今年內公布。另外，先前國科會推動的TAIDE計畫，在新的國科會主委、副主委上任後，未來也會繼續支持。</p> </div></div></div>
2024/5/22 16:57作者蘇文彬https://www.ithome.com.tw/news/163029
研究人員揭露威聯通NAS作業系統漏洞，並指出15個漏洞僅有4個完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者watchTowr表示，他們從去年12月至今，<a href="https://labs.watchtowr.com/qnap-qts-qnapping-at-the-wheel-cve-2024-27130-and-friends/">總共向NAS廠商威聯通（QNAP）通報NAS作業系統QTS的15個漏洞</a>，但截至目前為止，僅有4個得到修補，其餘漏洞經過近半年仍未處理。</p> <p>針對通報漏洞的過程，研究人員指出威聯通其實相當配合，而且在許多意想不到的細節讓他們留下極佳的印象，並認為該公司將用戶的資訊安全列為相當優先的層級。其中，為了讓他們更詳細說明漏洞的環節，該公司甚至提供測試環境，讓研究人員能遠端存取、運用。</p> <p>但是，在處理漏洞的修補上，他們認為威聯通耗費很長時間處理，而在聯繫這些問題的過程中，該公司也多次要求延遲公布漏洞的時間。</p> <p>而對於該公司處理漏洞緩慢的情況，研究人員認為，他們的程式碼基礎（Codebase）顯然內含大量老舊元件，即使威聯通已經試圖盡力解決所有弱點，仍難以擺脫現在面臨的處境。</p> <p>為了說明他們找到的漏洞帶來的影響，研究人員這次也針對其中的記憶體堆疊緩衝區溢位漏洞CVE-2024-27130，公布概念性驗證（PoC）的漏洞利用攻擊，並指出雖然要利用該漏洞有先決條件，但攻擊者無需通過身分驗證，就有機會發動遠端執行任意碼（RCE）攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/watchTowr-qnap-image-6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchTowr-qnap-image-6.png" style="width: 580px;" /></a></p> <p>該漏洞出現在QTS的No_Support_ACL功能函數當中，其中一個名為strcpy子功能不安全使用所致。攻擊者可發出偽造的惡意請求，而有機會導致NAS設備出現記憶體緩衝區溢位的情況，最終達到遠端執行任意程式碼的目的。</p> <p>而前述的先決條件，就是攻擊者必須取得使用者共用檔案時產生的「ssid」參數，而這樣的資料，基本上攻擊者可透過社交工程攻擊取得，但研究人員指出，他們也發現許多用戶公開檔案共用連結，並能透過Google找到，從而能進一步挖掘這種參數。</p> <p>針對watchTowr所公布的消息，<a href="https://www.qnap.com/zh-tw/news/2024/qnap-%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%87%89%E8%AE%8A%E5%9C%98%E9%9A%8A-psirt-%E9%87%9D%E5%B0%8D-watchtowr-labs-%E6%8F%90%E5%87%BA%E7%9A%84%E8%B3%87%E5%AE%89%E5%A0%B1%E5%91%8A%E5%9B%9E%E6%87%89">5月21日威聯通也發布公告說明</a>。</p> <p>該公司表示，他們在獲報的15個漏洞當中，對於已經完成確認的漏洞登記了CVE編號，並指出5個他們完成確認的漏洞，皆於同日發布的QTS 5.1.7及QuTS hero h5.1.7版進行修補。這些漏洞是：CVE-2024-21902、CVE-2024-27127、CVE-2024-27128、CVE-2024-27129、CVE-2024-27130，CVSS風險評分介於6.4至7.2分。</p> <p>而對於其他漏洞，威聯通也在此公告透露處理的情形，承諾後續將著手處理CVE-2024-27131，以及另一個已登記CVE編號的漏洞，並坦承尚有3項漏洞正在向研究人員確認。</p> <p>至於研究人員公布概念性驗證的CVE-2024-27130，威聯通也對其補充說明，他們在QTS啟用了位址空間布局隨機化（Address Space Layout Randomization，ASLR）的防護措施，因此攻擊者實際想要利用這項漏洞的難度將會提高，儘管如此，他們還是呼籲用戶升級新版QTS、QuTS hero作業系統，來緩解這項漏洞。</p> <p>而關於watchTowr認為威聯通修補漏洞速度太慢、多次延遲公布漏洞時間，威聯通也在新聞稿中明確提出承諾：「未來，對於被分類為高或關鍵嚴重性的弱點，我們承諾在 45 天內完成修復並發布修復程式。對於中等嚴重性的弱點，我們將在 90 天內完成修復並發布修復程式。」</p> </div></div></div>
2024/5/22 17:53作者周峻佑https://www.ithome.com.tw/news/163034
駭客組織BlackTech鎖定科技、研究、政府部門而來，利用新的工具Deuterbear發動攻擊，並以罕見的部署手法迴…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前，<a href="https://www.ithome.com.tw/news/162440">資安業者趨勢科技對於惡意程式Deuterbear的攻擊行動升溫提出警告</a>，指出名為Manga Taurus、Huapi、Earth Hundun的中國駭客組織BlackTech採用這項工具從事攻擊行動，<a href="https://www.trendmicro.com/en_us/research/24/e/earth-hundun-2.html">如今他們公布更多發現</a>。</p> <p>研究人員指出，BlackTech向來的攻擊目標集中在亞太地區，主要針對政府機關、研究機構、科技產業而來，但近期採用的攻擊策略與過往有明顯的不同。他們表示，Deuterbear與駭客先前使用的另一支惡意程式Waterbear有許多相似之處，但功能有所強化，例如：新的作案工具支援Shell Code外掛程式、使用HTTPS通訊協定與C2連線，以及在RAT木馬程式作業期間會避免進行交握（handshakes），目的是不讓資安系統察覺異狀。</p> <p>再者，他們發現Deuterbear採用新的Shell Code格式、會執行迴避記憶體掃描的反制措施、並與惡意程式下載工具（Downloader）共用流量解密金鑰，這些都是與Waterbear明顯不同的地方。研究人員認為，從Waterbear到Deuterbear的演變，代表BlackTech在反制資安人員分析及迴避偵測的工具開發上，出現顯著的突破。</p> <p>而這些駭客究竟在攻擊行動裡如何運用Deuterbear？研究人員指出，攻擊流程大致可分成2個階段。首先，對方透過惡意程式載入工具（Loader）進行XOR演算法解密，執行下載工具從C2取得Deuterbear惡意酬載，植入後進行偵察工作，然後挑選特定資料夾，以便能持續存取受害電腦。</p> <p>在下一階段的攻擊行動中，駭客藉由前一個階段植入的惡意酬載，透過DLL側載的方式，執行另一支具備CryptUnprotectData解密功能的惡意程式載入工具，然後探索相關機碼，對受到加密保護的下載工具進行處理，再從C2下載Deuterbear惡意酬載，以及攻擊所需的外掛程式。</p> <p>比較特別的是，雖然駭客在兩個階段使用了相同的惡意程式載入工具、下載工具，以及惡意酬載，但研究人員對於遭到感染的電腦進行調查發現，對方在作案後僅留下第二階段所使用的Deuterbear，至於第一階段的作案工具，在他們能對受害電腦持續存取後，就全數予以清除。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png" style="width: 580px;" /></a></p> <p>研究人員指出，駭客如此複雜的攻擊策略，確實有效地保護他們的行蹤不會曝光，而且能夠避免資安人員輕易找到惡意軟體並進行分析。</p> <p>他們也對於新舊惡意程式進行比較，並指出Deuterbear大幅精簡功能，從原本支援超過60個命令縮減為20個，對方對其開發了更多外掛程式，以便讓運用該惡意程式更加靈活。</p> <p>值得一提的是，雖然Deuterbear是以Waterbear為基礎打造而成，但研究人員表示，駭客仍持續對Waterbear進行開發，並未打算以Deuterbear全面取代。</p> </div></div></div>
2024/5/22 16:16作者周峻佑https://www.ithome.com.tw/news/163027
【西雅圖現場直擊】微軟揭露十大AI產品策略新亮點，全力搶攻桌面AI應用浪潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天（北美太平洋夏令時間5月21日）今年度微軟Build大會正式展開，微軟執行長Satya Nadella一口氣揭露不少新進展，可分為2大類，包括專為AI開發優化的執行環境Windows Copilot Runtime，以及Copilot技術架構的重大更新。這2大類中就有新添的Phi-3 Silica多模態小型語言模型、GPT-4o正式在Azure AI Studio開發環境中上架、Azure AI Studio正式上線，甚至在資料分析平臺Microsoft Fabric上，還新增即時智慧（Real-time Intelligence）解決方案，可處理PB級串流資料等。</p> <p><span style="color:#FF0000;"><span style="font-size:24px;"><strong>亮點1：為AI開發優化的Windows Copilot Runtime執行環境</strong></span></span></p> <p>Satya指出，70年前，科學家對電腦的期待是「電腦能理解我們嗎？還是我們要理解它？」以及「電腦能幫助我們理解複雜資料嗎？」這是70年來科學家追尋的2大目標。</p> <p>這也是微軟想實現的目標，他們的策略是透過智慧助理Microsoft Copilot、AI筆電Copilot+ PC和技術堆疊Copilot Stack來實現。其中一個重要基石，就是微軟這次整合打造的執行環境Windows Copilot Runtime。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/runtime.jpeg" /></p> <p>這個執行環境包括3個層面，首先是底層的AI框架和工具鏈，包括微軟既有的AI框架DirectML、ONNX Runtime，以及Visual Studio Code AI開發工具套件等。</p> <p><span style="font-size:18px;"><strong>支援PyTorch原生，上千個Hugging Face模型可在Windows執行了</strong></span></p> <p>在底層中，Satya揭露2大重點更新，一是開發者現在透過DirectML，就能享有Windows作業系統對PyTorch開發框架的原生支援。這意味著，Hugging Face上的上千個模型終於能在Windows中執行，同時，微軟也正式推出GPU對PyTorch的支援，NPU支援也即將上線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PyTorch.jpeg" /></p> <p>另一個底層更新是WebNN，也就是網頁原生的機器學習框架，可在Windows作業程式中透過DirectML和ONNX Runtime Web來執行。這個WebNN目前為開發者預覽版，它的出現，能讓開發者更好地利用裝置硬體資源，來提供更好的AI網頁App體驗。</p> <p><span style="font-size:18px;"><strong>新添33億參數SOTA小模型Phi-Silica，另推多款API</strong></span></p> <p>往上一層，就是Windows Copilot函示庫與裝置端模型層。這層包含了由40多個裝置端AI模型驅動的API、向量儲存庫和演算法。在這層的模型部分，Satya宣布Phi系列模型正式可用、Phi-3-vision開始預覽，並揭露最新、只有33億參數的SOTA小型語言模型Phi-Silica，專為Copilot+ PC和NPU設計而成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/phi-3-vision.jpeg" /></p> <p>不只模型，在API部分也有重磅更新，包括Studio Effects、即時字幕翻譯、OCR、Recall with User Activity和Phi Silica等API將於6月向開發者提供，之後會再納入向量嵌入、支援地端資料的檢索增強生成（RAG）、文字摘要和其他API。</p> <p><span style="font-size:18px;"><strong>推出更多AI App，還整合第三方App強化AI功能</strong></span></p> <p>再往上一層，到應用程式和體驗層，這層的新進展包括微軟最新開發的AI App，如回顧（Recall）、圖像創作（Cocreator）、即時字幕翻譯（Live Caption）、風格編輯（Restyle Image）等。其中，回顧是透過對螢幕快照，來讓使用者以關鍵字，進行語意搜尋、找出所需資訊，不論是網頁、簡報還是對話都可以。圖像創作則以小型語言模型和Stable Diffusion等擴散模型驅動，可根據文字提示和簡單筆畫，來產出逼真的圖像。即時字幕則支援筆電上任何音訊的語言翻譯，可將40多種語言翻譯為英文，離線也行。</p> <p>同時，微軟Windows Copilot Runtime還正整合多個第三方應用程式，如Davinci Resolve、CapCut、WhatsApp、Cephable、LiquidText、Luminar Neo等，要用NPU來優化這些程式的AI功能。</p> <p><span style="color:#FF0000;"><span style="font-size:24px;"><strong>亮點2：更完善的Copilot技術架構</strong></span></span></p> <p>「我們一直是平臺公司，要建造完整的技術架構！」Satya解釋，Copilot技術架構（Tech Stack）就是一大重點，從底層開始向上，可分為AI基礎設施、基礎模型、資料、AI調度與工具鏈，以及最上層的微軟Copilot/自建Copilot、Copilot外掛等。微軟今年大會的重點更新，也圍繞這個架構展開。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot%20stack.jpeg" /></p> <p>就AI基礎設施層而言，Satya回顧，光是去年，微軟就在60多個區域建置資料中心，接下來則要在2025年前，全數採用再生能源，不產生任何碳排。同時，在硬體部分，微軟還正式推出基於AMD最新Instinct GPU的處理器ND MI300X v5，可更快、更有效率執行AI應用，另也公開預覽Cobalt 100晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ND.jpeg" /></p> <p><span style="font-size:18px;"><strong>AI開發環境Azure AI Studio正式上架GPT-4o，納入更多安全工具</strong></span></p> <p>在基礎模型層部分，不只正式在Azure AI中上架GPT-4o，也和Hugging Face擴大合作、納入所有Hugging Face模型到Azure AI Studio中，另也推出上述提到的42億參數Phi-3-vision模型。而AI開發工具Azure AI Studio也正式上線，可用來打造AI應用。</p> <p>甚至，在Azure AI Studio中，還包含即將上線的安全工具與功能，包括自定義類別（將上線）、提示盾（預覽）、基準偵測（預覽）等。而且，Azure AI Studio還推出客製化模型功能，允許使用者用自己的資料訓練客製化模型。</p> <p><span style="font-size:18px;"><strong>能即時處理PB級串流資料了，資料分析平臺推出新功能</strong></span></p> <p>往上一層到資料層，重大更新莫屬微軟自家的資料分析平臺Microsoft Fabric，特別針對企業難以處理的資料即時分析，推出一項無程式碼/低程式碼的即時智慧（Real-Time Intelligence）SaaS解決方案。Satya強調，使用者可透過這個功能，來更快速處理大量、顆粒度更細緻的數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/reatime.jpeg" /></p> <p>這項即時智慧目前為公開預覽版，因為無/低程式碼特性，分析師能簡單上手，另也能針對專業開發者提供完整的程式碼使用介面。比如，巴西極限賽車隊Dener Motorsport一直用這個平臺來支援即時分析和通報，來維持最佳表現、確保車子狀態，他們現在打算用即時智慧，來在比賽當下，直接分析資料、調整贏賽策略。</p> <p>不只是即時智慧，為降低App開發門檻，微軟還在Fabric平臺中新添工作負載開發套件（Workload Development Kit），能讓獨立軟體商和開發者，用來打造更一致的使用者體驗應用。</p> <p><span style="font-size:18px;"><strong>AI工具鏈新添更強大的開發外掛GitHub Copilot Extensions</strong></span></p> <p>再來，在AI調度與工具鏈層，微軟本身就有套AI專用的資訊檢索平臺Azure AI Search、預覽版的AI程式開發工具GitHub Copilot Workspace。今天，Satya進一步推出程式開發外掛GitHub Copilot Extensions，開發者可用透過自然語言和自己習慣的工具，來打造、部署雲端應用，完全不必離開開發環境IDE或GitHub網站。第一波新添16個外掛，來自DataStax、Docker、LambdaTest、LaunchDarkly、Microsoft Azure和Teams、MongoDB等，建立更好的AI開發第三方生態系。</p> <p><span style="font-size:18px;"><strong>推出微軟Copilot Connector，跨App、工作流程打造客製化智慧助理</strong></span></p> <p>工具層之上來到應用層，在這層，微軟推出Microsoft Copilot Connector連結器，可讓Copilot助理摒除障礙存取使用者資料、跨App和工作流程處理，來幫助使用者打造客製化模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/connector.jpeg" /></p> <p>不只如此，今年，微軟繼續延伸Copilot產品線，針對M365 Copilot推出協作助理Team Copilot，專門處理複雜的協作任務，比如可在協作工具Teams中管理會議、安排議程、管理時間和記錄重點。同時，它還能管理Teams對話，摘要重要資訊、回覆群組問題等。甚至能扮演PM角色，確保任務管理看板Planner中的每個專案順利進行，同時也會在Loop應用中通知團隊新消息、加強專案協作。這個Team Copilot預計今年晚些時候預覽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/team%20copilot.jpeg" /></p> <p>另一項Copilot產品線的延伸，則是在低程式碼助理開發平臺Microsoft Copilot Studio中，新添代理（Agent）的能力類別，讓開發者用來打造能主動回應數據和事件的智慧助理，還能執行特定任務和功能。微軟表示，用這個新能力打造的Copilot助理，可用學習到的知識和使用者回饋，來獨立管理複雜、長期的業務流程，甚至能在遇到棘手問題時，尋求使用者幫助。</p> <p></p> </div></div></div>
2024/5/22 16:24作者王若樸https://www.ithome.com.tw/news/163026
Zoom針對Zoom Workplace推出後量子端對端加密解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zoom Video Communications周二（5/21）<a href="https://news.zoom.us/post-quantum-e2ee/" target="_blank">宣布</a>，已針對Zoom Workplace服務推出後量子（post-quantum）端對端加密（end-to-end encryption，E2EE）解決方案，將率先支援Zoom Meetings視訊會議，之後也會支援Zoom Phone與Zoom Rooms。</p> <p>Zoom說明，隨著對抗性威脅變得愈來愈複雜，保護用戶資料的需求也日益升溫，在某些情況下，駭客可能具備立即取得加密流量的能力，並打算在量子電腦變得更先進時再將其解密，形成「先蒐集、後解密」的潛在安全威脅。</p> <p>當Zoom用戶於會議中啟用E2EE時，該系統的作法是僅有參與者可存取用來加密會議的金鑰，由於Zoom伺服器並未存放必要的解密金鑰，因此無法透過其伺服器破解。而為了對抗「先蒐集、後解密」攻擊，Zoom採用了後量子端對端加密技術Kyber 768，以在量子運算成熟之後，依能確保其加密資料的安全。</p> <p>Kyber 768為一基於晶格（Lattice）的金鑰封裝機制（KEM），被認為可對抗量子電腦的攻擊，已被納入聯邦資訊處理標準（FIPS）203，美國國家標準暨技術研究院（National Institute of Standards and Technology，NIST）也正在將它標準化。</p> <p>Zoom資安長 Michael Adams指出，自分別於2020年及2022年針對Zoom Meetings和Zoom Phone推出端對端加密功能以來，有愈來愈多的客戶使用該功能，現在Zoom進一步升級該功能，以讓它能夠防禦未來的威脅。</p> </div></div></div>
2024/5/22 14:00作者陳曉莉https://www.ithome.com.tw/news/163022
IBM Watsonx大型主機程式開發助理強化解釋功能，助開發者理解COBOL程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/blog/announcement/ibm-watsonx-code-assistant-for-z-accelerate-the-application-lifecycle-with-generative-ai-and-automation/" target="_blank">IBM更新</a>其人工智慧程式碼開發助理Watsonx Code Assistant for Z，以附加元件的形式提供程式碼解釋，協助開發人員理解大型主機COBOL程式碼，使其更容易維護程式碼，或是現代化程式碼轉換為Java。</p> <p>Watsonx Code Assistant for Z是IBM於2023年底推出的人工智慧工具，其目的是要協助開發人員將大型主機IBM Z上的COBOL應用程式，轉換成更流行的Java程式語言，以加速大型主機應用現代化。</p> <p>過去COBOL被大量應用在許多重要商業、金融與行政系統開發上，但是當前卻遭遇現代化挑戰，老舊的程式碼難以支援現代開發實務，和雲端系統也無法良好整合，再加上COBOL專家越來越少，相關系統維護越來越困難。</p> <p>而IBM推出Watsonx Code Assistant for Z，便是要解決COBOL系統的維護困境，而現在新增的程式碼解釋功能，則進一步運用生成式人工智慧解釋COBOL程式碼，使得開發人員可以在了解程式碼邏輯後，執行正確的現代化策略，IBM提到，這對於單體式且缺乏良好文件紀錄，又需要專業技能維護的複雜應用程式來說特別重要。 Watsonx Code Assistant for Z程式碼解釋功能，可以針對應用程式的COBOL程式碼，產生自然語言解釋，並且以註解的方式保存或是插入到程式碼中。該功能將有助於開發人員學習COBOL相關知識，並且加速程式碼現代化工作，解決大型主機程式維護知識瓶頸。</p> <p>IBM除了計畫在6月的時候全面釋出Watsonx Code Assistant for Z程式碼解釋功能外，用戶也將能夠在本地端部署Watsonx Code Assistant for Z，不需要上傳雲端就能將COBOL程式碼轉換為Java，在本地進行程式碼理解、重構與驗證。</p> </div></div></div>
2024/5/22 12:59作者李建興https://www.ithome.com.tw/news/163016
Match Group、Meta與Ripple等業者創立Tech Against Scams以共同打擊網路詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交友程式Tinder母公司Match Group，社交平臺Meta，加密貨幣交易平臺Coinbase、Kraken與Gemini，加密貨幣業者Ripple本周攜手<a href="https://www.prnewswire.com/news-releases/tech-companies-announce-a-new-coalition-to-fight-online-fraud--pig-butchering-scams-302149506.html" target="_blank">創立了Tech Against Scams聯盟</a>，宣布將共同打擊網路愛情詐騙與殺豬騙局（Pig Butchering Scams）。</p> <p>根據美國聯邦調查局（FBI）旗下網路犯罪投訴中心（Internet Crime Complaint Center，IC3）<a href="https://www.ic3.gov/Media/PDF/AnnualReport/2023_IC3Report.pdf" target="_blank">在2023年的統計</a>，該年所收到的投訴數量中，投資詐騙名列第五，羅曼史詐騙名列第九，然而，若觀察損失金額，投資詐騙的損失排名第一，羅曼史詐騙則排名第四。而殺豬騙局指的則是受害者長期被引誘向欺詐的加密貨幣專案做出貢獻，屬於投資詐騙的一種。</p> <p>其實自去年夏天開始，Match Group、Coinbase與Meta便率先展開合作，以理解包括殺豬騙局在內的跨平臺威脅，利用它們在生態系統中各自獨特的地位來辨識新的對手趨勢，同時分享打擊全球詐騙的最佳實踐，並採取集體行動來保護使用者。</p> <p>Meta資安長Guy Rosen表示，詐騙者與殺豬騙局背後的組織鎖定許多網路服務上的使用者，令個別的公司很難窺得全貌，期望此一新的聯盟能夠藉由分享見解與趨勢，進而對全球的詐騙網路展開更有影響力的破壞行動。</p> <p>Tech Against Scams聯盟將共同研究如何針對詐騙者所使用的工具採取行動，教育及保護消費者，以及破壞快速發展的金融詐騙。</p> </div></div></div>
2024/5/22 11:19作者陳曉莉https://www.ithome.com.tw/news/163015
全球16家AI業者承諾要安全開發AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼英國去年主辦的第一屆AI安全高峰會（AI Safety Summit），邀請28個國家共同簽署<a href="https://www.ithome.com.tw/news/159602" target="_blank">《布萊切利宣言》</a>（Bletchley Declaration），就AI的風險達成共識之後。本周於韓國首爾舉行的AI高峰會（AI Seoul Summit）則凝聚了<a href="https://www.gov.uk/government/publications/frontier-ai-safety-commitments-ai-seoul-summit-2024/frontier-ai-safety-commitments-ai-seoul-summit-2024" target="_blank">全球的16家AI業者</a>，針對前沿AI的安全性達成承諾（Frontier AI Safety Commitments），包括Amazon、Anthropic、Google、IBM、Inflection AI、Meta、微軟、OpenAI及三星等。</p> <p>這16個組織承諾自願負責任地開發與部署前沿AI模型與系統，同時預計於明年初在法國舉行AI行動高峰會（AI Action Summit）之前，發布一個專注於嚴重風險的安全框架。</p> <p>相關組織承諾開發與部署前沿AI模型系統時得以有效的識別、評估及管理風險，涵蓋自訓練到部署的整個AI生命周期，將同時考量內部與外部的評估；它們也將設定一個模型或系統構成嚴重風險的閥值，該閥值也將參考國際協定；同時闡明如何識別及實施風險緩解措施，以將風險保持在規定的閥值內。</p> <p>而在極端情況下，倘若無法透過緩解措施將風險保持在閥值以下，這些AI巨頭承諾將停止開發或部署其模型或系統。</p> </div></div></div>
2024/5/22 11:02作者陳曉莉https://www.ithome.com.tw/news/163014
微軟公布具視覺能力的Phi-3-vision多模態模型，可跑在行動裝置上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Build 2024開發者大會上，<a href="https://azure.microsoft.com/en-us/blog/new-models-added-to-the-phi-3-family-available-on-microsoft-azure/" target="_blank">微軟公布Phi-3-vision模型</a>，輕巧到可執行在行動裝置上，又具備視覺能力，可理解文字和圖片。</p> <p>Phi-3-vision為<a href="https://www.ithome.com.tw/news/162479" target="_blank">4月公布的</a>Phi-3模型家族最新成員，參數量為42億，大於Phi-3-mini（3.8B），但小於Phi-3-small（7B）。Phi-3-vision是Phi-3家族第一個多模態模型，其文字理解能力是以Phi-3-mini為基礎，也具備Phi-3-mini的輕量特色，可執行在行動裝置上。但它最大特色是整合了圖片識別能力，能理解真實世界的圖片，也能理解並擷取出圖片中的文字。</p> <p>微軟說，Phi-3-vision特別為了圖表與方塊圖理解優化，可用於產出洞見與回答問題。例如用戶輸入不同世代員工使用的職場工具的圖表圖片後，要求它以產出協助決策的洞見，Phi-3-vision可以說明它看到了Z世代、千禧世代、X世代及嬰兒潮世代員工使用AI工具的比例，並能分點描述各年齡群組的數據、推論群組的行為，還能做出結論、提供企業相應建議（例如制定促進各群組使用的策略）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-microsoft-Phi-3-vision-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Phi-3-vision現在已以預覽版<a href="https://huggingface.co/microsoft/Phi-3-vision-128k-instruct" target="_blank">公開於Hugging Face平臺</a>上。</p> <p>最新公布的Phi-3-vision為指令調校過的Phi-3-128K-Instruct模型，包括Phi-3-mini語言模型、圖片編碼器、連接器（connector）與投影器（projector）。其脈絡長度為128k token，訓練期間為2024年2月到4月。</p> <p>資料集方面，Phi-3-vision是以500B token的多種類型圖片及文字資料來訓練，包括嚴選公開內容、高品質教育資料與程式碼、高品質的圖文整合資料、新的「教科書等級」合成資料（主要是數學、程式、常識理解、真實世界知識如科學、日常活動、心靈理論）與圖表圖片，以及高品質的監督式聊天格式資料，後者涵括多種人類偏好如遵從指令、真實、誠實、助益等主題。為了確保隱私，資料蒐集過程中已篩選掉包含個資的資料。</p> <p>微軟也提供了Phi-3-vision相較於字節跳動Llama3-Llava-Next（8B）及（微軟研究院和威斯康辛大學、哥倫比亞大學合作的）LlaVA-1.6（7B）、阿里巴巴通義千問QWEN-VL-Chat模型在效能比較，顯示最新模型在多個項目上表現優異。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-microsoft-Phi-3-vision-Benchmarks.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">資料來源／微軟</span></span></p> </div></div></div>
2024/5/22 09:40作者林妍溱https://www.ithome.com.tw/news/163007
GitHub Copilot Extensions將可於Copilot Chat中整合第三方工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub周二（5/21）發表了<a href="https://github.blog/2024-05-21-introducing-github-copilot-extensions/" target="_blank">GitHub Copilot Extensions預覽版</a>，將允許開發人員自GitHub.com、Visual Studio及VS Code中的GitHub Copilot Chat直接整合第三方工具，首批支援的工具包括Docker、Microsoft Azure、Teams、MongoDB、Sentry及Stripe等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-Copilot%20Extensions-DataStax%20Extension%20for%20GitHub%20Copilot%20(2).png" style="width: 518px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>受邀的開發者將可透過GitHub Marketplace取得相關工具，但開發者也可建立私有的擴充程式，以整合在它們的內部系統與API中。</p> <p>GitHub解釋，倘若你是一位剛因資料庫相關錯誤而被傳呼的開發人員，準備透過不同的工具來釐清問題所在，也許是來自GitHub的問題或是DataStax的審核日誌，得到足夠的脈絡之後再利用諸如Sentry的工具來偵錯，進而找出解決方案並修復，再透過Azure部署。</p> <p>而GitHub Copilot Extensions的基本概念為協助開發人員維持在流程中，並以自然語言與系統互動而無需切換脈絡。因此，它結合了上述程序，藉由調用所有的工具來取得脈絡、展開行動，並生成檔案及拉取請求，加速使用各種工具的流程。</p> </div></div></div>
2024/5/22 10:13作者陳曉莉https://www.ithome.com.tw/news/163008
美國公告3個漏洞已出現攻擊行動，其中包含已終止支援的老舊D-Link路由器漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月16日美國網路安全暨基礎設施安全局（CISA）提出警告，<a href="https://www.cisa.gov/news-events/alerts/2024/05/16/cisa-adds-three-known-exploited-vulnerabilities-catalog">他們得知有3個漏洞已出現遭到利用的情況</a>，並將其列入已遭利用的漏洞名單（KEV），值得留意的是，部分漏洞出現於已不再受到支援的D-Link路由器裝置。</p> <p>這些漏洞包含了：Google於15日修補的JavaScript引擎V8記憶體越界寫入漏洞CVE-2024-4761，以及D-Link路由器DIR-600跨網站指令碼請求（CSRF）漏洞CVE-2014-100005、DIR-605資訊洩露漏洞CVE-2021-40655，CISA要求聯邦機構必須在6月6日前完成修補。</p> <p>其中，CVE-2014-100005存在長達10年而受到關注，當時雖然該廠商4年前已停止支援DIR-600，但D-Link還是發布資安公告，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10018">並推出2.17b02版韌體修補</a>。揭露此事的研究人員表示，假如漏洞遭到利用，攻擊者有可能挾持網頁管理介面、建立管理員帳號，竄改設定並控制路由器設備，或是向攻擊者的主機發送ping，而能得知路由器WAN埠IP位址。</p> <p>另一個D-Link路由器漏洞CVE-2021-40655就沒那麼幸運了，該漏洞影響<a href="http://legacy.us.dlink.com/pages/product.aspx?id=2b09e95d90ff4cb38830ecc04c89cee5">已於2015年終止支援的DIR-605</a>，<a href="https://github.com/Ilovewomen/D-LINK-DIR-605/">此漏洞的概念性驗證程式碼在2021年公布</a>，攻擊者一旦發送特製的請求到指定PHP網頁，就有機會在無須通過身分驗證的情況下，得知管理員使用者名稱及密碼。</p> <p>雖然CISA並未在公告裡透露進一步的影響範圍，以及將上述漏洞用於攻擊的駭客身分，但駭客鎖定生命週期已經結束的D-Link路由器設備，這樣的現象近期有數起事故出現，用戶應考慮汰換以降低資安風險。</p> </div></div></div>
2024/5/21 15:03作者周峻佑https://www.ithome.com.tw/news/162998
勒索軟體駭客透過惡意廣告聲稱提供PuTTY、WinSCP，意圖對企業組織的網路管理員下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Rapid7揭露惡意廣告的攻擊行動，這些廣告聲稱提供WinSCP、PuTTY等知名工具，一旦使用者點選，就會被引導到駭客的冒牌網站，而若是他們依照指示安裝對方提供的應用程式，就有可能引發勒索軟體攻擊。</p> <p>研究人員在今年3月初，<a href="https://www.rapid7.com/blog/post/2024/05/13/ongoing-malvertising-campaign-leads-to-ransomware/">開始發現相關攻擊行動</a>，駭客的攻擊鏈啟動，通常是使用者在Bing或其他搜尋引擎上，下達download winscp、download putty等指令進行搜尋開始，對方引誘使用者點選廣告內容並下載應用程式，並提供ZIP壓縮檔，以便進行後續攻擊行動。</p> <p>若是使用者進行解壓縮、執行壓縮檔內的Setup.exe，電腦就會側載駭客提供的python311.dll，從而執行經過加密處理的Python指令碼，然後於受害電腦植入滲透測試工具Silver，藉此投放更多惡意酬載，最終嘗試部署勒索軟體，但並未得逞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png" style="width: 580px;" /></a></p> <p>研究人員指出，這波攻擊行動很有可能是針對企業組織的系統管理員而來，因為他們經常會使用上述兩款軟體。由於系統管理員握有高權限，一旦攻擊者得逞，就有機會在內部網路的環境快速散布惡意軟體、竊取機密資料，或是存取網域控制器。</p> </div></div></div>
2024/5/21 17:12作者周峻佑https://www.ithome.com.tw/news/163003
【資安日報】5月21日，金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的金融木馬Grandoreiro，曾在今年1月跨國執法行動後消聲匿跡，但最近有研究人員提出警告，這些駭客準備了2個月就捲土重來，而且發動攻擊的範圍變得更廣，從拉丁美洲擴及全世界。</p> <p>究竟駭客如何大幅增加攻擊的力道及範圍？研究人員推測，對方很有可能透過惡意軟體租賃服務的方式，吸引許多打手上門、加入攻擊的行列。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163002"><strong style="font-size: 22px;">遭跨國執法單位圍勦的金融木馬Grandoreiro傳出東山再起，駭客鎖定超過60個國家、1,500家銀行客戶發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png" style="width: 300px; float: right;" /></a>今年1月巴西、西班牙、國際刑警組織、資安業者ESET、Caixa銀行聯手參與跨國執法行動，中斷金融木馬Grandoreiro的營運，巴西警方進行5次逮捕行動、13次搜查，但如今有研究人員發現背後的駭客組織再度活動的跡象。</p> <p>IBM旗下的威脅情報團隊X-Force指出，他們從3月看到該木馬程式大規模散布的攻擊行動，推測駭客組織很有可能透過惡意軟體租賃服務的方式，號召更多打手從事相關攻擊。</p> <p>而對於駭客的攻擊範圍，研究人員表示他們在中南美洲、非洲、歐洲、印太地區超過60個國家，對於全球1,500家銀行的客戶下手，相較於執法行動前，這些駭客主要活動範圍為拉丁美洲、西斑牙、葡萄牙，攻擊的規模變得相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/163003"><strong style="font-size: 22px;">勒索軟體駭客透過惡意廣告聲稱提供PuTTY、WinSCP，意圖對企業組織的網路管理員下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Rapid7揭露惡意廣告的攻擊行動，這些廣告聲稱提供WinSCP、PuTTY等知名工具，一旦使用者點選，就會被引導到駭客的冒牌網站，而若是他們依照指示安裝對方提供的應用程式，就有可能引發勒索軟體攻擊。</p> <p>研究人員在今年3月初，開始發現相關攻擊行動，駭客的攻擊鏈啟動，通常是使用者在Bing或其他搜尋引擎上，下達download winscp、download putty等指令進行搜尋開始，對方引誘使用者點選廣告內容並下載應用程式，並提供ZIP壓縮檔，以便進行後續攻擊行動。</p> <p>這波攻擊行動很有可能是針對企業組織的系統管理員而來，因為他們經常會使用上述兩款軟體。由於系統管理員握有高權限，一旦攻擊者得逞，就有機會在內部網路的環境快速散布惡意軟體、竊取機密資料，或是存取網域控制器。</p> <p><a href="https://www.ithome.com.tw/news/162998"><strong style="font-size: 22px;">美國公告3個漏洞已出現攻擊行動，影響已終止支援的老舊D-Link路由器</strong></a></p> <p>5月16日美國網路安全暨基礎設施安全局（CISA）提出警告，他們得知有3個漏洞已出現遭到利用的情況，並將其列入已遭利用的漏洞名單（KEV），值得留意的是，部分漏洞出現於已不再受到支援的D-Link路由器裝置。</p> <p>這些漏洞包含了：Google於15日修補的JavaScript引擎V8記憶體越界寫入漏洞CVE-2024-4761，以及D-Link路由器DIR-600跨網站指令碼請求（CSRF）漏洞CVE-2014-100005、DIR-605資訊洩露漏洞CVE-2021-40655，CISA要求聯邦機構必須在6月6日前完成修補。</p> <p>雖然CISA並未在公告裡透露進一步的影響範圍，以及將上述漏洞用於攻擊的駭客身分，但駭客鎖定生命週期已經結束的D-Link路由器設備，這樣的現象近期已有數起事故出現，用戶應考慮汰換以降低資安風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/"><strong style="font-size: 20px;">Foxit PDF Reader用戶遭到鎖定，駭客利用應用程式弱點散布多種惡意軟體</strong></a></p> <p>◆<a href="https://www.recordedfuture.com/gitcaught-threat-actor-leverages-github-repository-for-malicious-infrastructure"><strong style="font-size: 20px;">使用俄文的駭客濫用GitHub發起攻擊行動GitCaught，聲稱提供知名應用程式散布竊資軟體</strong></a></p> <p>◆<a href="https://www.genians.co.kr/blog/threat_intelligence/facebook"><strong style="font-size: 20px;">北韓駭客Kimsuky藉由Facebook Messenger鎖定目標，藉此散布惡意程式</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163000"><strong style="font-size: 22px;">Git修補5個漏洞，其中包含子模組複製儲存庫產生的RCE漏洞</strong></a></p> <p>廣大軟體開發者所仰賴的分散式版本控制系統Git，5月14日發布2.45.1版，之所以改版是為了修正5個資安漏洞，包含被標示為重大資安漏洞CVE-2024-32002，高風險的資安漏洞CVE-2024-32004與CVE-2024-32465，以及低度危險的資安漏洞CVE-2024-32020與CVE-2024-32021。</p> <p>其中最受到關注的漏洞是CVE-2024-32002，Git開發團隊將此漏洞的嚴重程度評為9.1分，當大家在Windows或macOS電腦使用子模組（submodules）對軟體儲存庫進行Git處理時，可在Git執行複製（clone）作業的過程當中進行操弄，趁機執行來自git/資料夾的掛勾（hook），而此舉將導致遠端執行程式碼（RCE）的資安危機。</p> <p>根據資安媒體Help Net Security持續追蹤，漏洞懸賞平臺公司Bugcrowd資安維運團隊領導人Amal Murali，在5月19日公布濫用該漏洞的概念驗證技術研究。</p> <p><a href="https://www.ithome.com.tw/news/162969"><strong style="font-size: 22px;">Android裝置App的資料共享方式有資安破口，研究人員揭露能以此發動的攻擊手法Dirty Stream，影響範圍廣大</strong></a></p> <p>微軟揭露新型態的路徑穿越攻擊手法Dirty Stream，攻擊者可藉由惡意安卓應用程式，覆蓋另一個應用程式的程式資料夾的內容，而有可能執行任意程式碼，或是竊取Token。該公司指出，這麼一來，攻擊者有可能完全操控應用程式的行為，或是存取用戶帳號及相關的敏感資料。</p> <p>研究人員找到這種攻擊手法的原因，主要是他們在Google Play市集找到多款存在弱點的應用程式，值得留意的是，這些應用程式迄今至少被安裝超過40億次，其中有4款下載次數超過5億。他們公布兩個存在弱點的應用程式名稱，包含了小米發行的檔案管理工具Mi File Manager，以及辦公室軟體WPS Office，分別被下載超過10億次、5億次，兩家軟體開發商接獲通報後皆已進行修補。不過，研究人員認為，實際上還有其他的應用程式，也可能存在相關弱點而可能曝露於Dirty Stream的風險，因此這項弱點影響範圍，恐怕還會擴大。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://labs.watchtowr.com/qnap-qts-qnapping-at-the-wheel-cve-2024-27130-and-friends/"><strong style="font-size: 20px;">研究人員揭露向威聯通通報的NAS作業系統漏洞，並指出15個漏洞僅有4個完成修補</strong></a></p> <p>◆<a href="https://techcrunch.com/2024/05/17/csc-serviceworks-free-laundry-million-machines/"><strong style="font-size: 20px;">兩名大學生發現CSC ServiceWorks自助洗衣機漏洞，可遠端向洗衣機發送命令進行控制</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162999"><strong style="font-size: 22px;">美國逮捕涉嫌經營暗網Incognito Market的23歲臺灣人</strong></a></p> <p></p> <p>美國司法部宣布，5月18日在美國約翰·甘迺迪國際機場逮捕年僅23歲的臺灣公民林睿庠（Ruisiang Lin），因他涉嫌經營專門銷售毒品的暗網市集Incognito Market，倘若包括毒品陰謀罪、洗錢罪、假藥罪的罪名皆成立，最高可能面臨終身監禁。</p> <p>Incognito Market在2020年10月於暗網中成立，使用者只能透過Tor網路存取。根據調查，林睿庠在網路上使用Pharoah或faro的ID，並負責監督Incognito Market的所有營運。從成立到今年3月結束，該平臺的毒品交易金額超過1億美元，估計林睿庠從中獲利數百萬美元。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162953"><strong>【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162912"><strong>【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</strong></a></p> </div></div></div>
2024/5/21 17:33作者周峻佑https://www.ithome.com.tw/news/163006
遭跨國執法單位圍勦的金融木馬Grandoreiro傳出東山再起，駭客鎖定超過60個國家、1,500家銀行客戶發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月巴西、西班牙、國際刑警組織、資安業者ESET、Caixa銀行聯手參與跨國執法行動，中斷金融木馬Grandoreiro的營運，巴西警方進行5次逮捕行動、13次搜查，但如今有研究人員發現背後的駭客組織再度活動的跡象。</p> <p>IBM旗下的威脅情報團隊X-Force指出，<a href="https://securityintelligence.com/x-force/grandoreiro-banking-trojan-unleashed/">他們從3月看到該木馬程式大規模散布的攻擊行動</a>，推測駭客組織很有可能透過惡意軟體租賃服務的方式，號召更多打手從事相關攻擊。</p> <p>而對於駭客的攻擊範圍，研究人員表示他們在中南美洲、非洲、歐洲、印太地區超過60個國家，對於全球1,500家銀行的客戶下手，相較於執法行動前，這些駭客主要活動範圍為拉丁美洲、西斑牙、葡萄牙，攻擊的規模變得相當廣泛。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png" style="width: 580px;" /></a></p> <p>這些駭客冒充墨西哥稅務管理局（SAT）、墨西哥聯邦電力委員會（CFE）、墨西哥行政和財政部長、阿根廷稅務局、南非稅務局（SARS）等政府機關或首長名義，以收信人使用的母語寄送釣魚郵件，並以檢視發票、財務報表、稅務資料的名義，引誘他們點選信中的連結，一旦收信人依照指示操作，就會被引導至下載PDF的網頁，但實際上，使用者會取得內含超過100 MB執行檔的ZIP檔案。研究人員指出，這個執行檔就是Grandoreiro的載入工具，而檔案製作的時間，通常是在電子郵件發送的前一天或當日。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz1iOGZmODY5ZTEzNzgxMWVmOTM0NGM2NTQ4N2FkMmYzNw%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1iOGZmODY5ZTEzNzgxMWVmOTM0NGM2NTQ4N2FkMmYzNw%3D%3D.png" style="width: 580px;" /></a></p> <p>特別的是，為了防止自動執行影響攻擊鏈進行，該載入工具還加入了Adobe Reader的檢視器CAPTCHA對話框，使用者必須進行「驗證」，才會正常執行後續工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yYWE0NGRlODEzNzkxMWVmYjM3MjdhNzcxZDQ1YmY2OQ%3D%3D.png" style="width: 423px;" /></p> <p>針對最近出現的Grandoreiro，研究人員指出有多項與過往版本不同之處。首先，攻擊者導入了AES CBC並結合自有的演算法進行資料加解密，並透過網域產生演算法（DGA）取得C2的IP位址，再者，則是將攻擊範圍從銀行應用程式擴及加密貨幣錢包，此外，他們也針對使用收信軟體Outlook的用戶，停用安全性警示通知，並利用這種收信軟體向其他人發送釣魚信。</p> <p>為了避免惡意軟體在沙箱環境執行，這些駭客也透過前述的惡意程式載入工具，收集電腦系統資訊，其中包含防毒軟體名稱、受害者所在的國家，以及正在運作的處理程序列表。</p> <p>特別的是，Grandoreiro不只會在俄羅斯、捷克、波蘭、荷蘭終止運作，針對位於美國但尚未部署防毒軟體的Windows 7電腦，該惡意程式也同樣不會執行。若依此態勢判斷，不容易猜測攻擊者是否受到特定國家的支持。</p> </div></div></div>
2024/5/21 16:18作者周峻佑https://www.ithome.com.tw/news/163002
Git修補5個漏洞，其中包含子模組複製儲存庫產生的RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣大軟體開發者所仰賴的分散式版本控制系統Git，<a href="https://github.blog/2024-05-14-securing-git-addressing-5-new-vulnerabilities/">5月14日發布2.45.1版</a>，之所以改版是為了修正5個資安漏洞，包含被標示為重大資安漏洞CVE-2024-32002，高風險的資安漏洞CVE-2024-32004與CVE-2024-32465，以及低度危險的資安漏洞CVE-2024-32020與CVE-2024-32021，用戶應將Git的版本升級至2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、v2.40.2、v2.39.4。Git目前可安裝在多種作業系統平臺的電腦，像是Windows、macOS、Linux，以及各種類Unix的BSD版本，網站型態的軟體開發平臺GitHub與GitLab，都是基於Git而成的系統，許多整合式開發環境（IDE）也都依賴Git系統，像是微軟Visual Studio，直接內建Git tooling（MinGit），因應Git這次發布的資安漏洞，微軟也針對<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-32002">CVE-2024-32002</a>與<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-32004">CVE-2024-32004</a>，發布Visual Studio版本更新，涵蓋<a href="https://learn.microsoft.com/en-us/visualstudio/releases/2022/release-notes#17.9.7">Visual Studio 2022（17.9.7）</a>、<a href="https://learn.microsoft.com/en-us/visualstudio/releases/2019/release-notes#16.11.36">Visual Studio 2019（16.11.36）</a>、<a href="https://learn.microsoft.com/en-us/visualstudio/releasenotes/vs2017-relnotes#15.9.62">Visual Studio 2017（15.9.62）</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/msrc-GitHub-CVE-2024-32002.png" style="width: 600px;" /></p> <p>其中最受到關注的漏洞是<a href="https://github.com/git/git/security/advisories/GHSA-8h77-4q3w-gfgv">CVE-2024-32002</a>，Git開發團隊將此漏洞的嚴重程度評為9.1分（滿分10分），當大家在Windows或macOS電腦使用子模組（submodules）對軟體儲存庫進行Git處理時，可在Git執行複製（clone）作業的過程當中進行操弄，趁機執行來自git/資料夾的掛勾（hook），而此舉將導致遠端執行程式碼（RCE）的資安危機。</p> <p>負責維護Git for Windows 的微軟軟體工程師Johannes Schindelin表示，具有子模組的儲存庫，能夠透過一些方法利用Git的程式臭蟲，因此當進到寫入檔案的階段，資料不會寫入子模組的工作區（worktree），而是寫入名為.git/的資料夾。</p> <p>之所以發生這樣的狀況，Johannes Schindelin認為可能是因為Git處理資料夾與符號連結路徑時，只有名稱大小寫的差別，而容易搞混，所以Git會寫入其中一個位置，但不會兩個都寫入。這樣的混淆狀況可用來操弄Git，使其在複製作業進行之際，也同時寫入一個可被執行的掛勾機制，如此一來，用戶將無法檢測當中執行的程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-32002.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-32002.jpg" style="width: 600px;" /></a></p> <p>根據<a href="https://www.helpnetsecurity.com/2024/05/16/git-cve-2024-32002/?web_view=true">資安媒體Help Net Security</a>持續追蹤，漏洞懸賞平臺公司Bugcrowd資安維運團隊領導人Amal Murali，在5月19日公布<a href="https://amalmurali.me/posts/git-rce/">CVE-2024-32002漏洞濫用的概念驗證技術研究</a></p> <p>至於CVE-2024-32004、CVE-2024-32465這兩個高風險漏洞的嚴重程度，Git團隊分別評為8.2分與7.4分。</p> <p>就CVE-2024-32004而言，問題發生在服務多個使用者的系統當中，攻擊者可以特製1個本機儲存庫，貌似複製作業只進行到一部分而產生丟失物件的狀況，因此，當這個殘缺的儲存庫後續透過Git進行複製時，Git會在具有使用者完整權限執行複製作業的同時，而得以任意執行程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-32004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-32004.jpg" style="width: 600px;" /></a></p> <p>CVE-2024-32465的問題也是與複製Git儲存庫有關，若有人拿到內含Git儲存庫完整副本的ZIP壓縮檔，不應該被視為安全可信的狀態，原則上，在本機電腦進行Git複製時，這類可疑的儲存庫會被清理掉，然而，在未修補這個漏洞的Git版本，卻能複製包含Git儲存庫的ZIP壓縮檔時，略過相關的防護機制，有心人士可藉此疏漏而能執行不安全的掛鉤機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-32465.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-32465.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/5/21 16:23作者李宗翰https://www.ithome.com.tw/news/163000
【西雅圖現場直擊】宏碁推出微軟Copilot+PC筆電，搭載NPU內建3大原生AI應用程式和AI優化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日，隨著微軟在美國西雅圖時間5月20日發表AI系列筆電Copilot+PC，宏碁也在現場展示該系列筆電Swift 14 AI，搭載高通Snapdragon X系列平臺、整合微軟NPU晶片，每秒提供45兆次運算能力（TOPS），可加速AI模型推論和整體AI應用處理速度，讓Copilot執行速度更快了。該筆電除了有Copilot鍵，也內建幾款微軟開發的AI應用程式，像是回顧（Recall）、圖像創作（Cocreator）、即時字幕（Live Caption）等，也提供AI優化功能。</p> <p><span style="font-size:22px;"><strong>硬體加速，內建微軟原生AI Apps和AI優化功能</strong></span></p> <p>進一步來說，這款<a href="https://u18381814.ct.sendgrid.net/ls/click?upn=u001.-2FWpo-2FORJvEP85qZks-2B0bUEgGzSpkLEZXuirXSL5g5jlIFYIsIxQL3iI3RxIG41nqxcvu_orjysA4GfiNEzEI9PKfLoSLKukJzsSUs3Ue1eC0IuTm4qc-2Bue42uI87tBURS5TcWQQayYhlLCxwnm7VHbPsKnbGJJozRia00GHYHRu1bxWQBjg-2BRo2tCy3-2BYpjQiSRamCXgu3B5Q8Of9yY9uUS4i4TI5QT4uNmur8xWgQUECV-2Fy1PAZS1aQ5x9AYo9gyHhjHX1LawpXsW0VV4kcXK54wjklyzbMtV3NrX6WArY1CR3TLgoK5EHLS6o9uBjzyP1eGGFejpe8EEN17ZUfc8yoJirY8vLcsHd2gHaSQDHrkOr28RStvxaqM6MaliVQMOLKxMwkWP6I0I6qFf3AXVmg-2FH9Y-2BCb59r3DkSSgtjh7ePPl-2BzMP2w77Gz2gM5030dhpCY9eJYGWysFDtq-2B1OafjnvsxRU-2BesyOSouVA1KeFST9u5qk1MswQbzdSGmKOXLt9N3Ee7AWNeG4sLTIdPpBsKdXHwrvoq4vG-2BDz7r8mWZdPQ-3D">Swift 14 AI</a>筆電有多種機型，皆搭載微軟NPU、Snapdragon X Elite或Snapdragon X Plus平臺，可用來加速AI模型推論，每秒執行45兆次運算。這個Snapdragon X系列處理器專為Windows打造，功能強大、低功耗，而Swift 14 AI搭載Snapdragon X Elite處理器的機型，在4奈米製程節點上，設置12個高性能CPU核心，也搭載3.8 TFLOPS的Adreno GPU和45 TOPS的Hexagon NPU。該筆電還同時配備32GB LPDDR5X-8533記憶體，以及最高1TB的NVMe PCIe Gen 4 SSD，能在不犧牲功耗的情況下增強系統效能，並實現複雜的多工處理。</p> <p>在這些硬體優勢下，該系列筆電內建微軟AI功能，比如回顧（Recall）透過對螢幕快照，供使用者用關鍵字來查找瀏覽過的資訊，不論是網頁、簡報或對話都可以，也能手動滾動時間軸來尋找。同時，為確保隱私，使用者也能自行設定快照範圍，或在某些網站停用快照功能。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acer%20recall.jpeg" /></p> <p>另一個AI應用程式是Cocreator，使用者只要輸入文字提示，或在畫布上簡單畫幾筆，系統就能生成細緻的圖像。另一個AI功能則是即時字幕（Live Captions），可對電腦中任何音檔進行即時字幕顯示和翻譯，不論是直播內容、線上會議還是預錄好的影片都可以，能將44種語言翻譯為英文。</p> <p>其他AI優化功能還包括自動超解析度（Auto Super Resolution），能即時自動提高遊戲影像解析度和螢幕刷新率，Windows工作室效果（Windows Studio Effects）則能自動改善光線，同時過濾不必要的環境噪音，保持視訊會議中的最佳狀態。Swift 14 AI一樣具備Copilot專屬按鍵，使用者可一鍵呼叫AI助理。</p> <p>宏碁運算軟體技術資訊產品事業總處長楊朝光現場說明，宏碁這系列Copilot+ PC筆電設計輕薄，僅1.36公斤，在機殼上還印有特殊AI圖示、在觸控板上配置AI指示燈（如下圖），後者在筆電執行Copilot功能或使用NPU資源時，就會亮起。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acer%E8%A7%B8%E6%8E%A7.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acer%E5%A4%96%E6%AE%BC.jpeg" /></p> <p>宏碁營運長高樹國現場指出，Swift 14 AI這一系列筆電是宏碁Copilot+ PC產品線中的首發產品，專為AI打造。但他也表示，這並非宏碁唯一瞄準的產品線，「我們的目標是打破人們與科技的壁壘，」包括讓不同需求和背景的客群都能享受AI。於是他們以此原則來佈局AI筆電產品線，涵蓋微軟、Google、英特爾、AMD和高通等作業系統和硬體廠商，範圍也包括消費級筆電、商務級和電競級筆電，盡可能滿足各個市場需求。</p> <p></p> </div></div></div>
2024/5/21 17:12作者王若樸https://www.ithome.com.tw/news/163004
強化DevOps與開發效率，GitLab 17.0加入CI/CD目錄與AI影響分析儀表板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/releases/2024/05/16/gitlab-17-0-released/">GitLab 17.0</a>新版本擁有許多新功能與改進，主要更新包括目前CI/CD目錄功能已經正式推出，開發團隊可以更容易地管理和使用CI/CD資源，而新增的AI影響分析儀表板，則可供開發團隊更好地理解AI對專案的影響，改善協作、可見性和開發效率。另外，GitLab託管執行器（Hosted Runner）現在也新增Linux Arm機器，讓開發者有更多平臺選擇。</p> <p>該版本CI/CD目錄功能向所有層級使用者開放，CI/CD目錄是一個元件庫，其中包含了由社群與業界專家所建立的元件，提供大量持續整合、工作管線部署和自動化任務解決方案，用戶可以在CI/CD目錄中，找到符合需求的元件。</p> <p>CI/CD目錄中的兩個重要基本功能，分別是CI/CD元件以及CI/CD輸入。CI/CD元件是可重複使用且單一用途的建構模組，抽象化了複雜的工作管線配置工作，透過使用元件，開發者便可以快速組裝工作管線，不需要每次都從頭開始建置。CI/CD輸入功能則讓開發者在元件配置中定義輸入參數，而這些參數可以動態替換元件中的特定關鍵字，這將使CI/CD設定檔可被重複使用，提升了配置的靈活性。</p> <p>GitLab新的AI影響分析儀表板，目的在於呈現GitLab Duo對開發生產力的影響。GitLab Duo是GitLab的人工智慧程式開發助理，具有程式碼建議、分析等功能。而AI影響分析儀表板則會按月，將人工智慧功能使用趨勢和軟體開發周期指標進行比較，顯示開發工作流程節省的時間與成果。</p> <p>現在GitLab也在GitLab.com上推出Linux Arm託管執行器，新的執行器提供中型和大型Arm機器，分別配備4與8個vCPU，並且與GitLab CI/CD功能緊密整合，官方提到，Linux Arm託管執行器將可提供更快速且經濟的應用程式建置和測試服務。</p> </div></div></div>
2024/5/21 15:30作者李建興https://www.ithome.com.tw/news/162997
美國逮捕涉嫌經營暗網Incognito Market的一名臺灣人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/incognito-market-owner-arrested-operating-one-largest-illegal-narcotics-marketplaces" target="_blank">美國司法部本周表示</a>，18日在美國約翰·甘迺迪國際機場逮捕了一名年僅23歲的臺灣公民林睿庠（Ruisiang Lin），因他涉嫌經營專門銷售毒品的暗網市集Incognito Market，倘若包括毒品陰謀罪、洗錢罪、假藥罪的罪名皆成立，最高可能面臨終身監禁。</p> <p>Incognito Market在2020年10月於暗網中成立，使用者只能透過Tor網路存取該市集，根據調查，林睿庠在網路上使用Pharoah或faro的暱稱，並負責監督Incognito Market的所有營運。</p> <p>Incognito Market主要銷售毒品，還建立了自己的銀行，供應商必須先註冊並支付平臺費用，買家可於該平臺建立自己的加密貨幣銀行帳戶以用來交易，平臺則在收取5%的交易手續費之後再把金額轉至供應商的帳戶。從成立到今年3月結束，該平臺的毒品交易金額超過1億美元，估計林睿庠已因此而獲利數百萬美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Incognito%20Market-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E5%8F%B8%E6%B3%95%E9%83%A8.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國司法部</span></span></p> <p>美國司法部並未公布Incognito Market市集上的供應商或買家數量，不過在林睿庠被逮捕之前，位於暗網的Incognito Market即已浮上檯面。</p> <p>主要是Incognito Market用戶在今年3月初發現，無法自該平臺的銀行領出加密貨幣，懷疑遭到「結束詐騙」（Exit Scam），亦即駭客在收山之前捲走所有款項。而根據<a href="https://www.coindesk.com/policy/2024/05/20/alleged-owner-of-darknet-narcotics-bazaar-incognito-market-arrested-in-new-york/" target="_blank">《CoinDesk》</a>的報導，林睿庠不僅捲走款項，還勒索供應商，要求它們支付100至2萬美元不等的費用，否則就要外洩其客戶資料。</p> </div></div></div>
2024/5/21 15:09作者陳曉莉https://www.ithome.com.tw/news/162999
【西雅圖現場直擊】微軟揭露新一代AI筆電Copilot+PC，不只更快更有效率還內建40多個AI模型和3大AI App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（美西時間5月20日），就在微軟Build 2024技術大會前一天，微軟執行長Satya Nadella在西雅圖園區重磅揭露新一代AI筆電產品，稱為Copilot+PC，由微軟處理器NPU驅動、每秒可執行40兆次運算（TOPS），比傳統CPU和GPU更有效率。在軟體部分，這系列筆電內建了40多個地端AI模型和多種AI原生App，像是回顧Recall、圖像創作Cocreator、即時字幕與翻譯Live Caption等，另還有自動超解析度（Auto Super Resolution）和Windows工作室效果（Windows Studio Effects）等功能。這些筆電將由微軟Surface和OEM合作夥伴提供，包括華碩、宏碁、Dell、聯想、HP和三星等，預計6月18日開始上市。</p> <p><span style="font-size:22px;"><strong>硬體加速多模態AI應用，新添回顧App快速找到所需資料</strong></span></p> <p>「30年前，微軟在西雅圖園區發表Windows 95電腦；30年後的今天，我們在令人驚豔的AI時代再次談論Windows電腦。」Satya Nadella口中的Windows新電腦，正是用NPU加速、每秒執行40兆次運算的Copilot+PC。這系列筆電搭載高通Snapdragon X Elite和Snapdragon X Plus處理器，可更快進行AI模型推論，比如執行AI工作負載的效率可高上100倍，續航力也更好，充電一次就能支援長達15小時的網頁瀏覽，或是22小時的本地影片播放，後者比MacBook Air 15 吋還要持久20%。</p> <p>有了硬體優勢，再加上40多個內建的AI模型，微軟在這系列筆電中新添功能更強大的AI App，其一就是回顧（Recall）。這個App由微軟軟體工程師Carolina Hernandez帶領開發，目的是要幫助使用者快速找到所需的資訊，不論是瀏覽過的網頁、簡報、Email還是對話。它的運作原理是，在使用者操作時先進行螢幕快照（Snapshot），並將這些資訊轉換為向量，儲存在語意索引中。當使用者後來想搜尋先前看過的資訊時，就能在Recall中手動捲動時間軸搜尋，或輸入關鍵字，來啟動向量語意辨識、快速找出所需內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/recall.jpeg" /></p> <p>這些快照皆儲存在本地端，使用者可隨時刪除，或是在設定中設置不想留存快照的特定網站或應用程式。</p> <p><span style="font-size:22px;"><strong>以Stable Diffusion模型為基礎，新推圖像創作App</strong></span></p> <p>另一款Copilot+PC筆電內建的AI App是Cocreator。這個App由5個本地端模型驅動，像是Stable Diffusion、小型語言模型等，來根據使用者文字提示或畫布上簡單幾筆，即時生成高品質逼真圖像。使用者還能自行調整創意程度，來決定生成的逼真程度；此外，不只是圖像生成，使用者還能透過照片編輯功能，來重新設計照片風格，比如更改背景、前景或整張照片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cocreator.jpeg" /></p> <p><span style="font-size:22px;"><strong>即時字幕App支援40多種語言即時翻譯</strong></span></p> <p>Copilot+PC筆電還內建一款即時字幕（Live Caption）的原生AI App。這款App可即時將中文、法文、俄文等40多種語言翻譯到英文，不論是線上會議還是YouTube影片，只要是筆電發出的音訊都能即時翻譯。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8D%B3%E6%99%82%E7%BF%BB%E8%AD%AF.jpeg" /></p> <p><strong><span style="font-size:22px;">還有更多AI加持功能</span></strong></p> <p>不只上述3大原生AI App，這系列筆電還有許多AI優化的功能，像是自動超解析度（Auto Super Resolution）能自動提高影像解析度和螢幕刷新率，Windows工作室效果（Windows Studio Effects）能自動改善光線、過濾環境噪音，還能追蹤視線，自動調整視訊會議的角度，如放大、置中等。甚至，就連智慧助理Copilot也更智慧化，比如能在筆電上與玩家語音對話、給玩家XBox遊戲Minecraft的破關建議。</p> <p>微軟這一系列筆電之所以能整合如此多種AI功能，是因為具備Windows Copilot Runtime新架構，包含40多個AI模型，來支援各種智慧應用。微軟預告，接下來，他們也會用AI強化Photos App功能，比如提供AI生成的照片描述、改善照片品質等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/photos%20app.jpeg" /></p> <p>除了AI原生App和功能，微軟今日也預告，Copilot+PC系列筆電將整合更多應用程式，並用NPU來優化這些應用程式的AI功能，目前已納入Adobe Photoshop、Lightroom和Express，而Illustrator、Premiere Pro等應用程式將於今年夏季推出。不只Adobe，這系列筆電還內建專業影片編輯工具DaVinci Resolve Studio、影片剪輯工具CapCut，後者還能將使用者加入的影片重置，另外配新背景和音樂，打造專屬MV。</p> <p>這個Copilot+PC系列筆電，包含微軟自己的Surface Laptop、Surface Pro，以及OEM合作夥伴宏碁、華碩、Dell、HP、聯想、三星的系列筆電，預計6月18日開始供貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilotpc.jpeg" /></p> <p></p> </div></div></div>
2024/5/21 10:26作者王若樸https://www.ithome.com.tw/news/162988
美國女演員Scarlett Johansson抗議OpenAI未經許可使用她的聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經主演過《戴珍珠耳環的少女》（Girl with a Pearl Earring）與《愛情，不用翻譯》（Lost in Translation）等電影的美國女演員<a href="https://x.com/BobbyAllyn/status/1792679435701014908" target="_blank">喬韓森（Scarlett Johansson）本周向媒體發出聲明</a>，指出OpenAI未經她的同意便在ChatGPT 4.0中使用她的聲音，隨著媒體披露此事，<a href="https://x.com/OpenAI/status/1792443575839678909" target="_blank">OpenAI即宣布</a>將暫停使用遭到質疑的Sky聲音。</p> <p>Johansson於聲明中表示，她是在去年9月收到OpenAI執行長Sam Altman的邀請，希望她能替ChatGPT 4.0配音，認為她的聲音可撫慰人心，彌補科技公司與創意人員之間的差距，也能推動人們遷移至AI。後來Johansson因為個人原因婉拒了這個提議，但她的親友卻在最新的系統上，發現被OpenAI命名為Sky的聲音很像她。</p> <p class="rtecenter"><a href="https://x.com/BobbyAllyn/status/1792679435701014908" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Scarlett%20Johansson-OpenAI-statement.png" style="width: 520px;" /></a></p> <p>當她自己聽到時也感到震驚、憤怒與難以置信，且Altman在新系統發布當天<a href="https://x.com/sama/status/1790075827666796666" target="_blank">還在X上打了個「her」</a>，而這正是Johansson在2013年主演的電影名稱《雲端情人》（Her），Johansson劇中飾演的就是與人類談戀愛的AI助手。</p> <p>Johansson說，就在ChatGPT 4.0要發表的前兩天，Altman仍企圖聯繫她，要求她再考慮一下，但雙方還未真正接觸時，ChatGPT 4.0就上線了，這迫使她聘請了法律顧問，要求OpenAI揭露創造出Sky聲音的程序，最後OpenAI才勉強同意刪除Sky。</p> <p>Johansson所指的新系統應該是OpenAI在5月中發表的<a href="https://www.ithome.com.tw/news/162852" target="_blank">多模態模型GPT-4o</a>，該模型同時支援文字、聲音與圖像的輸入與輸出。在語音模式中，ChatGPT允許使用者選擇不同的聲音，包括Breeze、Cove、Ember、Juniper和Sky。</p> <p>另一方面，<a href="https://openai.com/index/how-the-voices-for-chatgpt-were-chosen/" target="_blank">OpenAI也解釋</a>了挑選ChatGPT聲音的過程，指出這5種聲音是經由長達5個月的遴選才定案的，去年的公開招募吸引了超過400名配音員或演員的角逐，Sky的聲音並非模仿Johansson，而是另一位女演員的作品。</p> <p>不過，OpenAI以隱私為由，拒絕透露該名女演員的姓名，繼之又透過X宣布，將暫停使用Sky直至爭議解決。</p> </div></div></div>
2024/5/21 14:02作者陳曉莉https://www.ithome.com.tw/news/162990
【moda專欄】電子簽章的相關技術介紹
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>作者／數位發展部資訊處周智禾副處長</strong></p> <p>近期為因應資訊科技及數位經濟的迅速發展，我國正如火如荼展開相關電子簽章法修法作業。本篇將深入探討其中的技術細節。</p> <p>與《電子簽章法》修法相關討論，請參考這篇文章：<a href="https://moda.gov.tw/press/multimedia/blog/12792.html" target="_blank" title="另開新視窗">電子簽章法新制與產業新興應用場景</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>什麼是電子簽章？</strong></span></span></p> <p>我們這裡要探討的是符合《電子簽章法》所定義的電子簽章（Electronic Signature）：指的是依附在電子文件內並與文件相關連，用以辨識及確認電子文件簽署人身分、資格及電子文件真偽的簽章；一般電子簽章常使用演算法與資通訊安全技術（<a href="https://www-api.moda.gov.tw/File/Get/moda/zh-tw/IECWFhsBwSg9XTt" target="_blank" title="另開新視窗">相關技術詳本部 111 年 12 月 2 日產經字第 1114000229 函釋</a>），以達成符合電子簽章法的要件。</p> <p>其他像是將一張手寫簽名的圖片加到電子文件中，或是在電子文件上，使用手機、平板或手寫板進行簽名等，這些方式容易被人使用繪圖工具進行複製或修改，而不易辨別其真偽，難以正確舉證簽署人的身分，並不是電子簽章法中所說的電子簽章，所具備的效力較低。</p> <p>我們將使用電子簽章的過程分為三階段來看：</p> <p><strong>一、事前準備：</strong></p> <p>使用者選擇線上簽署平臺，如中華電信快意簽、凱鈿行動科技點點簽、蒙恬科技好好簽、臺灣網路認證的 TWES 電子簽署等平臺，先進行註冊及上傳待簽署的電子文件，並指定簽署人資訊、身分驗證方式及待簽章欄位等資訊，以「設定簽章與電子文件的關連」；等設定完成後，簽署平臺會通知簽署人登入平台上進行後續的文件簽署。</p> <p><strong>二、事中簽章：</strong></p> <p>當簽署人要在文件上簽章時，會需要通過指定的驗證方式（像是帳號密碼、SMS 簡訊密碼、一次性密碼 OTP 等），來達成「辨識及確認簽電子文件簽署人身分、資格」的要件，然後執行簽章動作，例如將自己簽名的圖片檔擺放到文件中的簽章欄位。</p> <p><strong>三、事後驗證：</strong></p> <p>拿到經過電子簽章的文件後，任何人都可以直覺判斷這份文件是否具備合法的簽章。</p> <p>如果在前一步驟進行電子簽章時，簽署平臺有搭配使用符合 PDF 軟體，如 Adobe 所列的認可信任清單（Adobe Approved Trust List, AATL）的數位憑證（Digital Certificate）來針對電子文件或稽核軌跡資訊進行數位簽章，那麼使用 Adobe Acrobat 或 Acrobat Reader 軟體開啟已簽署文件時，軟體會協助確認文件是否曾被竄改、數位憑證資訊的有效性等，並在軟體上顯示，藉此更好的達成電子簽章法要件中「辨識及確認電子文件真偽」。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>更具效力的數位簽章</strong></span></span></p> <p>在這次電子簽章法修法中，明定數位簽章（Digital Signature）是電子簽章的一種，並且符合以下條件：將電子文件以數學演算法或其他方式運算為一定長度之數位資料，以簽署人之私密金鑰對其加密，形成電子簽章，得以公開金鑰加以驗證，並具憑證機構簽發之憑證者。</p> <p>從這個條件中我們可以看到幾個重點，依先後順序大概可分為 3 個部分：</p> <p>我們將使用電子簽章的過程分為三階段來看：</p> <p>一、我們通常會透過雜湊演算法將電子文件進行運算，然後得到一個固定長度的數位資料，除有效縮短資料長度外（一般我們可以把運算結果稱為訊息摘要，就像是用指紋來代替某個真實的人），同時也可以用來加速後續進行數位簽章的運算速度。</p> <p>二、在進行數位簽章時，以目前常見技術，我們通常使用非對稱式加密系統，每個人會有 1 把公開金鑰及 1 把私密金鑰，要進行簽章的人（稱為簽署人），會用他的私密金鑰（就像是他的私人印章）對前面固定長度的數位資料進行加密運算（就像蓋章的動作，在密碼學中實際稱為簽章運算），其結果稱為數位簽章。</p> <p>三、任何人拿到前面的數位簽章，如果想要驗證這個數位簽章的正確性，可以拿簽署人的公開金鑰進行驗證，為了知道這把公開金鑰是不是真的是屬於這個簽署人的，我們會拿憑證（就像是印鑑證明）來證明它的真偽。</p> <p>這雖然聽起來很複雜，但對簽署人來說其實完全可以對應到現實生活中經常使用的簽名需求：假設我們要簽署一份文件，只要使用自己的個人私章（私密金鑰）進行蓋章（簽章），就可以得到這份蓋章（簽章）後的文件，若要確認蓋章（簽章）的真實性，只需要利用蓋章人的印鑑證明（簽章人的公開金鑰）進行驗證即可。</p> <p>在真實世界中，我們可以透過申請得來的印鑑證明來確認印章的真實性及正確性，但在數位世界中，前面所提的數位簽章過程有一個問題：如何得知拿到的公開金鑰是正確的？畢竟它看起來只是一串很長的數字或是英數混合的字串。這時候就需要一份資料能夠說明和證明這把公開金鑰是誰的，這份資料就是所謂的「憑證（Certificate）」。憑證的內容包含序號、版本、公開金鑰、用途（用來加解密或簽章）、識別碼、有效日期等資訊，但這些內容只能說明這張憑證是誰的，並不能保證憑證是真的，所以需要有一個公正第三方來為這張憑證進行背書，也就是憑證機構（Certificate Authority, CA）。</p> <p>像是中華電信通用憑證管理中心（PublicCA）及台灣網路認證公司（TWCA）皆為憑證機構，而背書指的是「由憑證機構為這張憑證進行簽章」，因此簽章還包含簽發者名稱、簽發者唯一識別碼、簽章演算法、CA 對這張憑證的簽章等資訊，可以確保這張憑證的完整性及不可否認性。</p> <p>總之，這次修法特別強調數位簽章能「連結及識別簽名人」、「偵測簽名所依附文件之改變」，並且「具憑證機構簽發之憑證，具一定程度的公信力」，因此「推定」為本人親自簽名或蓋章的效力。</p> <p>接下來我們將近一步解釋數位簽章的技術細節及相關的名詞。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>淺談密碼學</strong></span></span></p> <p>前文我們解釋了數位簽章需要以私密金鑰進行數學的運算，但實際上怎麼進行呢？這牽涉到一些密碼學（Cryptography）的相關知識。讓我們先有個簡單的概念：加密前的訊息稱為明文（Plaintext），而加密後的則稱為密文（Ciphertext）。</p> <p><span style="color:#3399ff;"><strong>對稱式密碼系統</strong></span></p> <p>早在上千年以前就出現著名的凱薩密碼（Caesar Cipher），其原理是將明文的每個英文字母使用往後數的第三個字母來取代，例如把 A 用 D 取代、把 B 用 E 取代，以此類推，全部取代完後的訊息就是密文；之後也出現多個類似用這種取代（Substitution）技巧，而複雜度越來越高的密碼系統。</p> <p>另一類密碼系統則是使用置換（Transposition）的技巧，主要是將明文的每個字母按一定的規則進行重新排列成為密文，例如明文為digitalaffairs，把它分成 2 行寫，再按列的順序讀取成為密文，如表圖 1 所示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">表圖 1：使用置換技巧之加密方式</span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／數位部）</span></p> <p>你會發現，前面所提到的取代或置換，只要你知道明文如何轉換成密文的規則，你就可以很容易將密文再轉回原本的明文，這個規則如同一把金鑰（Key），只要反過來執行一次就行了。</p> <p>這就是對稱式密碼系統（Symmetric Cryptosystem），加密及解密使用同一把金鑰。隨著時間的推移，密碼系統透過更複雜的取代及置換，再搭配其他數學邏輯（如「互斥或」Exclusive or, XOR）或其他運算等，形成更加安全的對稱式密碼系統，簡單的示意如圖 2，如近代著名的資料加密標準（Data Encryption Standard, DES）、進階加密標準（Advanced Encryption Standard, AES）等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖 2：對稱式密碼系統加解密</span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／數位部）</span></p> <p>對稱式密碼系統成功實現了我們對資料機密性的需求，它的優點包括，金鑰較小：金鑰長度如果是 128 位元，把它轉成我們生活常見的十進位數字，長度大概是 38 位數，而適用於缺乏運算能力的環境；此外，對稱式的加解密機制容易使用硬體來實作，執行速度相當快；最後，它還能有效抵抗這幾年大家常討論量子運算（Quantum Computing）所帶來的破密威脅。</p> <p>但因為它的機制是加密及解密使用同一把金鑰，因此衍生出諸多問題，例如，通訊雙方彼此不認識，如何產生或分享同一把金鑰？此外，每個人都要與另一個人之間有一把獨一無二的金鑰，將會造成金鑰數量龐大，例如有 1,000 個人，彼此之間都有加密解密的需求，那麼任兩人之間都要有一把金鑰，透過排列組合運算，總共需要 C10002 把金鑰，也就是 499,500 個；最後，因為通訊雙方都有同一把金鑰，我們無法得知是誰拿金鑰對訊息進行加密，無法滿足不可否認性（Non-Repudiation），也就是說，你無法確切知道是誰拿金鑰對訊息進行加密運算，萬一這把金鑰不小心掉了，也無從知道是誰洩露了。</p> <p><span style="color:#3399ff;"><strong>非對稱式密碼系統</strong></span></p> <p>因為對稱式密碼系統存在許多尚待克服的議題，因此後面發展出非對稱式密碼系統（Asymmetric Cryptosystem），如 RSA、橢圓曲線密碼學（Elliptic Curve Cryptography, ECC），這也是目前數位簽章主要的使用技術。</p> <p>非對稱式密碼系統與對稱式密碼系統最大的不同點在於，每個人都會有 2 把金鑰，分別為公開金鑰（Public Key）及私密金鑰（Private Key），使用者先選擇一把私密金鑰並收藏好，不讓別人知道，之後就可以輕易地計算得到相對應獨一無二的公開金鑰。</p> <p>公開金鑰及私密金鑰的用法有兩種，第一種是所謂的加解密，假如 Alice 想要將訊息加密傳給 Bob，那麼 Alice 拿 Bob 的公開金鑰對訊息進行加密運算得到密文，Bob 收到後拿自己的私密金鑰進行解密運算得到明文；另外一種應用則是所謂的數位簽章。在大部分的密碼系統中，加密指的是拿對方的公開金鑰來進行加密運算，而簽章一樣是執行加密運算，只不過改成拿自己的私密金鑰。你會發現，前面所提到的取代或置換，只要你知道明文如何轉換成密文的規則，你就可以很容易將密文再轉回原本的明文，這個規則如同一把金鑰（Key），只要反過來執行一次就行了。</p> <p>舉例來說，Alice 想要傳遞一份他看過且認可的訊息，如同現實生活中我們簽署同意書或契約書一樣，那麼 Alice 可以拿自己的私密金鑰對訊息進行簽章運算，運算完的結果就是所謂的數位簽章，任何人想驗證這個數位簽章的真實性，可以拿 Alice 的公開金鑰來進行解簽章運算，解完後的結果再與原始訊息比對是否一致。簡單的示意如圖 3。</p> <p>附帶一提，前面所談的簽章，一般實務上會先將訊息進行雜湊運算1得到雜湊值，之後再針對雜湊值進行簽章運算，除了可縮小訊息的大小，也可以加快運算速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖 3：非對稱式密碼系統加解密及數位簽章</span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／數位部）</span></p> <p>非對稱式密碼系統似乎完美解決了對稱式密碼系統面對的金鑰分配問題，也可透過簽章達到不可否認性，因為簽章需要拿自己的私密金鑰，也只有簽署人有這把私密金鑰。不過，非對稱式密碼系統的公開金鑰及私密金鑰長度相對較長，以 RSA 1024 為例，把它轉成我們生活常見的十進位數字，其長度大概是 308 位數，比起對稱式密碼系統金鑰多出許多，再加上大部分非對稱式密碼系統設計原理是基於特定數學的困難度，計算過程相當複雜，所以它的加解密速度較慢，較難適用於缺乏運算資源的環境。</p> <p><span style="color:#3399ff;"><strong>安全與強度</strong></span></p> <p>以下補充幾個非對稱式密碼系統議題。首先是私密金鑰很重要也很隱密，最方便的作法是將私密金鑰儲存成一個檔案，並輔以用密碼保護它，當要開啟及使用私密金鑰時，使用者需要輸入正確的密碼才能使用；另一種常見的作法係將私密金鑰存放到硬體載具中，如自然人憑證，為確保其安全性，私密金鑰不會被讀取出來，所有使用私密金鑰進行解密或簽章時，是將密文資料送到自然人憑證中進行運算，再取得運算完的結果。</p> <p>此外，非對稱式密碼系統讓任何人都可以拿到別人的公開金鑰，而公開金鑰跟私密金鑰之間存在一定的關係，由於這是基於數學困難度的演算法，並非不能被破解，關鍵在於時間及成本，最直覺的作法是暴力破解法，一個一個去猜密鑰是什麼，就像猜密碼一樣。</p> <p>如果以電腦每秒可運算百萬或千萬次的速度去破解，可能需要數百年才能完成；但積體電路存在摩爾定律，也就是相同面積的晶圓下生產同樣規格的 IC，隨著製程技術的進步，每隔 18 個月，IC 產出量就可增加一倍。隨著電腦速度越來越快，再加上各式超級電腦的誕生，破解非對稱式密碼系統的時間逐漸大幅降低，所以我們可以發現，這類非對稱式密碼系統所使用的金鑰越來越長，如 RSA 從一開始的 512 位元變成 1024 位元，現在則是建議至少使用 2048 位元，這數字的確相當大，所以要暴力破解需要非常長的時間，甚至安全等級要求高一點的金鑰會長達 4096 位元。</p> <p><span style="color:#3399ff;"><strong>數位信封</strong></span></p> <p>對稱式密碼系統及非對稱式密碼系統各有優缺點，各取兩種系統的長處所開發出來的「數位信封」是目前最新型態的做法：假設 Alice 及 Bob 都各自擁有非對稱式密碼系統的公開金鑰及私密金鑰， Alice 先產生一把對稱式密碼系統的金鑰，再拿這把金鑰對明文進行加密後得到密文，然後 Alice 再拿 Bob 的公開金鑰對前面的金鑰進行加密，形成數位信封（Digital Envelope）；Alice 同時把密文及數位信封送給 Bob，Bob 用自己的私密金鑰對數位信封進行解密以得到金鑰，再用這把金鑰對密文進行解密以得到明文，如圖 4 所示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-4.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖 4：數位信封（圖片來源／數位部）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>與時俱進的數位簽章</strong></span></span></p> <p>隨著數位簽章的技術成熟，搭配本次修正電子簽章法，確認使用經主管機關許可的憑證機構所簽發的憑證，除強化數位簽章的效力，並要求各行政機關須以法律明定排除電子簽章法適用，數位簽章將如同傳統紙本時代的印鑑證明，可推定數位簽章為本人親簽或蓋章，在法律訴訟上具有更強的證據能力。未來，現行紙本模式的行政程序，基本都可以採線上方式。</p> <p>隨著數位簽章的國際標準化及法律認可後，在安全條件相當，且符合國際互惠或技術對接合作原則下，數位簽章可應用在更多國際互動，例如國與國之間簽訂合作備忘錄（MOU），以後將有機會演進成直接進行線上（數位）簽署。</p> <p>前面提到常用的數位簽章均是使用非對稱式加解密演算法，是目前相對安全的方式，但這類的演算法多是基於數學計算難題（如分解質因數問題、離散對數問題等），未來，運算能力更強的量子電腦可以輕易的破解這些問題。雖然量子電腦目前尚未成熟，但近年來研究機構已開始未雨綢繆，著手研究「後量子密碼學（PQC）」，利用現有的電腦環境，設計出無法被量子電腦有效解決的計算難題，以因應未來可能面臨的威脅。</p> <p>此外，面對生成式 AI 帶來新的挑戰與衝擊，數位簽章也可以用來驗證資料是否為 AI 或是人類產生，未來數位簽章會是數位世界裡的重要基礎建設，提供信任、驗證與不可否認等機制，值得所有人一起努力，讓數位世界更安全與便利。</p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12794" target="_blank"><strong>（本文轉載自moda blog）</strong></a></p> </div></div></div>
2024/5/21 12:00署名 moda專欄https://www.ithome.com.tw/news/162980
微軟發表具備強大AI支援能力的Copilot+ PC，最低價999美元，6月出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周一（5/20）<a href="https://blogs.microsoft.com/blog/2024/05/20/introducing-copilot-pcs/" target="_blank">揭露了全新的個人電腦系列Copilot+ PC</a>，這是專為AI時代打造的個人電腦，採用高階的高通（Qualcomm）Snapdragon X Elite或 Snapdragon X Plus處理器，宣稱其性能超越基於蘋果自製晶片M3的MacBook Air，除了微軟自家的Surface產品線之外，包括宏碁、華碩、Dell、HP、聯想與三星都將推出Copilot+ PC，預計於6月18日上市，最低售價為999美元。同一天微軟也發表了藉助AI能力的<a href="https://blogs.windows.com/windowsexperience/2024/05/20/accelerating-innovation-a-new-era-of-ai-at-work-begins/" target="_blank">新功能Recall</a>，這是個進階版的時間機器，可更容易搜尋使用者曾於桌面上所看到的任何內容。</p> <p>Copilot+ PC採用全新的系統架構，整合了CPU、GPU與神經處理單元（NPU），結合裝置上的小型語言模型（SLM）與連結到Azure Cloud的大型語言模型（LLM）來達到前所未有的AI性能。根據微軟的說法，Copilot+ PC在執行AI任務時，可達到20倍的性能，與100倍的效能，播放影片的電池續航力為22小時，瀏覽網路則是15小時，相較於採用蘋果自製M3晶片的15吋MacBook Air，Copilot+ PC的多執行緒性能提升了58%，播放影片的電池續航力則多出了20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-microsoft-Copilot%2B%20PCs_new%20Surface%20(2).png" style="width: 600px;" /></p> <p>不管是Copilot+ PC所採用的高通Snapdragon X Elite與Snapdragon X Plus處理器，或者是蘋果自製的M系列處理器，都是基於Arm架構。</p> <p>包括微軟與其合作夥伴都已準備要推出Copilot+ PC，其中，微軟自家的Surface Pro及Surface Laptop即日起便開放預購，其它還有宏碁的Swift 14 AI 2.5K、華碩的ASUS Vivobook S 15、Dell則有5款Copilot+ PC，HP的OmniBook X AI PC與HP EliteBook Ultra G1q AI PC，聯想的Yoga Slim 7x與ThinkPad T14s Gen 6，以及三星的Galaxy Book4 Edge。上述AI筆電的最低價格為999美元。</p> <p>Copilot+ PC每秒可實現40兆次以上的操作，支援全天候的電池續航力，也可存取最先進的AI模型，使其解鎖了許多功能，包括新的Recall，它是用來查詢使用者在電腦上所看過的任何內容。微軟說明，Copilot+ PC組織資訊的方式跟使用者一樣，是基於每個人所經歷的特定關係或關連，因此只要利用某些記得的線索就能快速找到內容。</p> <p>例如使用者可透過時間軸來查找內容，不管這些內容是存在於應用程式、網站或文件中，Recall透過螢幕快照與使用者互動，並可提出建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-microsoft-Copilot%2B%20PCs_Recall.png" style="width: 600px;" /></p> <p>Recall的程序與內容只存在於裝置上，於是使用者可刪除個別的快照，也能藉由設定調整及刪除時間範圍，或是直接在工作列System Tray中的圖示按暫停，也能過濾那些不想被儲存的應用程式及網站，以保護自己的隱私。</p> <p>在Copilot+ PC上能展現更佳性能的微軟應用，還包括即時字幕及即時翻譯，當中的即時字幕目前支援將逾40種語言轉譯成英文，不論是即時視訊、錄音或串流內容。Paint中的Cocreator允許使用者結合其筆觸，以及以文字描述的圖像來創造畫面。受益於Copilot+ PC還有諸如DaVinci Resolve Studio、Cephable及CapCut等第三方影像編輯應用。</p> <p>除了基於Arm架構的Copilot+ PC之外，微軟也計畫在今年發表採用英特爾及AMD處理器的Copilot+ PC。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/5/21 12:03作者陳曉莉https://www.ithome.com.tw/news/162989
提供3百萬IOPS隨機讀取效能，群聯推出PCIe 5.0商用SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/qun_lian_phison_x200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年台北國際電腦展於6月初舉行，部分廠商搶先在5月陸續發布新一代產品，提前預告他們接下來的市場發展布局，例如，以NAND快閃記憶體控制晶片與固態儲存著稱的群聯電子（Phison），選在15日發表全新的企業級與資料中心固態硬碟品牌「Pascari」，當中細分為5大產品線，其中最受矚目的是主打高效能的X系列，提供2.5吋U.2與E3.S這兩種外形，儲存容量最大可達30 TB，而且均採用雙埠（Dual-Port）的配置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X-Series-card.jpg" style="width: 600px;" /></p> <p>以最新發表的X200系列為例，最顯著的特色是採用PCIe 5.0介面，而且導入群聯電子特有的<a href="https://www.phison.com/zh-tw/technology">CoXProcessor</a>處理器架構，適用於需要最大資料吞吐效能的應用領域，像是高效能運算、人工智慧、超大處理規模，以及資料中心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CoxProcessor 2_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CoxProcessor%202_0.png" style="width: 600px;" /></a></p> <p>其實，X200系列最初登場亮相的場合，是今年3月下半舉行的Nvidia GTC 2024大會，當時他們宣布與技嘉、華碩、Maingear、台灣大哥大及聯發科技建立「aiDAPTIV+」技術合作夥伴關係，整合硬體和軟體的AI模型微調訓練解決方案aiDAPTIV+，目的是讓中小企業就地處理與保存敏感的機器學習資料，保有安全性、預防外流，當中除了展示這項技術的架構，也秀出群聯的M.2外形固態硬碟AI100系列，作為aiDAPTIVCache系列解決方案，以及PCIe 5.0固態硬碟產品X200系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X200 Overview-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X200%20Overview-2024-03.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Phison aiDAPTIVCache Family-AI100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20aiDAPTIVCache%20Family-AI100.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20Pascari.jpg" style="width: 600px;" /></p> <p>而隨著Pascari品牌的推出，AI100系列與X200系列均換上新的產品識別包裝，群聯也明確指出AI系列是用於將NAND Flash儲存當作DRAM記憶體的AI訓練解決方案aiDAPTIV+，採用SLC快閃記憶體擴展GPU記憶體容量，促成單一工作站的大型語言訓練，而X系列是主打旗艦級高效能應用，提供U.2與E3.S外形選擇，並且內建雙埠介面，最大容量達30 TB，具有頂尖的效能與能源使用效率。</p> <p>依據耐用度的差異，X200系列區分為每日寫入量為3的X200E，最大容量為25 TB，以及每日寫入量為1的X200P，最大容量為30 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_X200E_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_X200P_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 192px;" /></p> <p>就存取效能而言，X200系列的部分規格相當驚人。例如，在4K隨機處理的部分，X200系列的讀取均高達300萬IOPS，寫入最高為90萬IOPS（X200E的6.25 TB與12.5 TB機型）；在循序處理的部分，X200系列的讀取均為14,800 MB/s，寫入最高為8,700 MB/s（X200E的6.25 TB機型、X200P 的7.5 TB機型）；關於存取延遲，X200系列在4K隨機讀寫作業，均各為60微秒、10微秒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X200E-Spec.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X200P-Spec.png" style="width: 600px;" /></p> <p>若對照目前已發表的PCIe 5.0資料中心等級固態硬碟產品，更能看出群聯X200系列的效能規格差異。</p> <p>例如鎧俠（Kioxia）2021年發表的CD7系列，4K隨機讀寫最高為110萬IOPS、37.5萬IOPS；2022年發表的<a href="https://www.ithome.com.tw/review/159046">CM7系列</a>，4K隨機讀寫最高為270萬IOPS、60萬IOPS，循序讀寫最高為14,000 MB/s、7,000 MB/s；2023年發表的<a href="https://www.ithome.com.tw/review/158091">CD8P系列</a>，4K隨機讀寫最高200萬IOPS、40萬IOPS，循序讀寫最高12,000 MB/s、5,500 MB/s。</p> <p>除了提供PCIe 5.0介面的款式X200系列，群聯高效能X系列也有PCIe 4.0介面的款式X100系列，僅有2.5吋U.2或U.3外形，同樣依耐用性區分為每日寫入量為3的X100E，儲存容量最大為25 TB，以及每日寫入量為1的X100P，儲存容量最大為30 TB。</p> <p>就存取效能而言，X100系列的隨機讀寫效能最大為175萬IOPS、48萬IOPS，循序讀寫效能最大為7,400 MB/s、6,900 MB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X100E-Spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/X100E-Spec.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/X100P-Spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/X100P-Spec.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>Phison X200</strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●款式：X200E、X200P<br /> ●儲存容量：X200E提供1,600 GB、3,200 GB、6,400 GB、12,800 GB（U.2與E3.S），以及25600 GB（U.2）；X200P提供1,920 GB、3,840 GB、7,680 GB、15,360 GB（U.2與E3.S），以及30,720 GB（U.2）<br /> ●外形：U.2、E3.S<br /> ●儲存媒體：3D NAND，TLC <br /> ●最高讀寫速度：循序14,800 MB/s與8,700 MB/s，隨機300萬IOPS與90萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：X200E每日寫入量為3，X200P每日寫入量為1<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/21 11:04作者李宗翰https://www.ithome.com.tw/review/162973
Android開始支援JetBrains多平臺技術Kotlin Multiplatform
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/05/android-support-for-kotlin-multiplatform-to-share-business-logic-across-mobile-web-server-desktop.html">宣布</a>在Android上支援Kotlin Multiplatform，使得同一程式碼可跨行動、網頁、伺服器和桌面平臺重複使用，官方提到，目前的重點在於支援共享業務邏輯。這將使得開發者僅需要編寫一次業務邏輯程式碼，便可在多個平臺上使用，進而降低多平臺應用的開發負擔。</p> <p>Kotlin Multiplatform是JetBrains在2023年底正式公開的多平臺開發工具。其能夠將Kotlin程式碼編譯為平臺原生二進位檔案，保留各平臺原生程式開發的優勢，同時實現高度程式碼重用。KMP主要由編譯器、語言功能、函式庫API、IDE和建置工具等部分組成，具高度靈活性，能夠支援不同程度的程式碼重用。</p> <p>開發者可以僅共享部分Kotlin重要邏輯程式碼，或是全部皆以Kotlin Multiplatform開發，以Kotlin實作資料處理和業務邏輯，並且在平臺應用程式使用原生使用者介面，或是搭配Compose Multiplatform宣告式使用者介面框架，同時跨平臺共享使用者介面和邏輯程式碼。</p> <p>不少受廣泛使用的函式庫也都開始支援Kotlin Multiplatform，簡化開發者的跨平臺開發體驗，而在iOS的支援上，透過像是SKIE（Swift Kotlin Interface Enhancer）等開源工具，使得Kotlin的型別和協程可以在iOS上運作，達到Swift與Kotlin順暢互通，而CocoaPods的整合支援，則提供了特定於iOS的相依項目。Annotations、Collections和DataStore函式庫也都在穩定版中，提供對Kotlin Multiplatform的支援。</p> <p>Android與JetBrains工程師合作開發Kotlin編譯器，提高Kotlin到原生平臺，諸如iOS和桌面作業系統的執行時效能，同時，Kotlin Native編譯器的建置時間也獲得大幅改善。</p> <p>由於在Google I/O之前，<a href="https://www.ithome.com.tw/news/162586">Google對Dart和Flutter團隊進行裁員</a>，因此當時社群出現Google正削弱對Dart和Flutter支援的聲音，Dart和Flutter的產品經理Michael Thomsen還特別<a href="https://x.com/MiSvTh/status/1785767966815985893">發文澄清</a>，Google對Dart和Flutter的策略沒有改變。</p> <p>雖然Google公開承諾會繼續支援Dart和Flutter，但是Android開始支援Kotlin Multiplatform，其功能不僅限於邏輯程式碼共享，搭配Compose Multiplatform也能夠在行動、網頁、伺服器和桌面平臺共享使用者介面，此外，Google自家產品Google Docs應用程式已率先採用Compose Multiplatform來共享業務邏輯，這些都加深了社群對Google在Dart和Flutter發展上的疑慮。</p> </div></div></div>
2024/5/21 08:29作者李建興https://www.ithome.com.tw/news/162982
高頻量化交易策略新武器！Kronos 採用 AWS Graviton 執行個體，延遲降低 10%
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在當今瞬息萬變的金融市場，毫秒間就可能產生龐大的利潤差異，尤其在高度波動的加密貨幣市場更是如此。麒點科技（Kronos）正是在這樣的背景脫穎而出，藉由其獨特的高頻量化交易策略和技術創新，借助強健且靈活的 Amazon Web Services (AWS) 雲端技術，Kronos 得以最佳化交易策略，實現高預測準確性以及高交易效率，縱橫加密貨幣交易市場。</p> <p>作為加密貨幣高頻量化交易的先行者，Kronos 一開始便遙遙領先於其他競爭對手。Kronos 執行長 Hank Huang 指出，雖然後來許多大型交易商開始進入市場，使競爭變得激烈，但他們仍然長年名列各大交易所造市商前 10 名，平均日交易量最高達 230 億美元。</p> <p>Kronos 所提供的服務並非直接面向普通投資者，而是專注於 24 小時預測各種加密貨幣，諸如比特幣、以太幣以及加密貨幣市場中多元類型產品的價格，並在交易所提供具有競爭性的報價，Kronos 讓加密貨幣投資者能夠以更優惠的價格進行交易，同時還能最大程度降低風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-%E6%96%87%E6%85%A7%E5%BB%A3%E7%B7%A8-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>麒點科技執行長 Hank Huang</strong></span></p> <p><span style="font-size:24px;"><strong>速度為高頻量化交易獲利關鍵</strong></span></p> <p>在其核心的高頻量化交易業務中，Kronos 專注於分析和預測加密貨幣微觀市場定價和訂單組成，透過觀察訂單戶的變化，在短時間進行大量交易來獲利，Hank 解釋，因為訂單量的變化，反應了極短時間內加密貨幣商品供需，透過分析供需的平衡和失衡變化，就可以預測數分鐘甚至是數秒內的加密貨幣價格總值。</p> <p>另外，Hank 提到，Kronos 創辦人來自全球金融中心華爾街，對於對沖基金的高頻量化交易模型和演算法非常熟悉。Kronos 在 2018 年正式創立，成功將傳統資本市場整套高頻量化交易方法，應用到加密貨幣交易中。簡單解釋 Kronos 加密貨幣高頻量化交易策略，便是以複雜的數學模型和先進運算技術為基礎，運用電腦程式在極短的時間進行交易，從微小的價格差異中獲取利潤。</p> <p>由於高頻量化交易非常仰賴低延遲，即便是微小的延遲，都可能影響交易利潤。Hank 解釋，為了降低風險，他們必須要以非常低延遲提供報價，在所有交易環節追求極致速度。Kronos 甚至必須考慮主機與交易所的物理距離，選擇最近的可用區域（Availability Zone），他提到，因為大型交易所都建構在 AWS 雲端服務之上，所以當初他們也很理所當然地選擇使用 AWS。</p> <p>「相差 100 微秒就會影響成交機率」Hank 解釋交易執行速度對訂單交易的影響，只要能比競爭者更快地在交易所掛出訂單，就可以爭取先被交易的機會，相反的，要撤銷訂單時，如果不夠快速，就可能先被成交而造成損失。為了實現這個目標，Kronos 必須嘗試各種有機會加快交易速度的方法。</p> <p>將部分系統從原本使用 x86 架構的 EC2 執行個體，轉移到 AWS 設計的 Arm 架構 <a href="https://aws.amazon.com/tw/ec2/graviton/">Graviton執行個體</a>，便是 Kronos 對於提高運算效率的不懈追求。Kronos 非常大規模的使用 Amazon Elastic Compute Cloud (Amazon EC2) 執行個體，在運算量龐大的時候，甚至需要用上 4,000 到 6,000 個核心，這些核心主要支援生產環境中的交易演算法，以及研究模擬運算。</p> <p><span style="font-size:24px;"><strong>多核心應用更能發揮 AWS Graviton 處理器優勢</strong></span></p> <p>改採用 Graviton 執行個體的原因，除了成本效益之外，更重要的是 Graviton 晶片所提供的多個獨立處理器核心優勢，這種設計大幅強化 Kronos 在追求快速和低延遲方面的核心競爭力。Kronos 開發團隊投注心力，研究並善用 Graviton 處理器的特性加速運算。在新的嘗試中，Graviton 處理器已被用於去中心化金融上。</p> <p>加密貨幣交易多元且複雜，其中一部分發生在大型的中心化交易所，而另一部分則是在區塊鏈上進行。Kronos 的 Graviton 應用被設計用於高速捕捉區塊鏈交易資料，這些資料對加密貨幣價格預測至關重要，是 Kronos 得以洞察市場動態，精準預測價格走勢的依據。</p> <p>Kronos 之所以啟動這項搬遷計畫，是基於對 Graviton 處理器的核心特性—真正的獨立核心，能夠執行平行化運算的理解。不同於 x86 處理器，在單一物理核心上模擬多個邏輯核心來提高效率的 Hyper-Threading 技術，Graviton 的多核心設計提供真正的平行處理能力，每個核心都可以單獨執行指令和處理資料。由於 Kronos 採用多核心架構的應用程式抓取資料，因此搬遷至 AWS 使用 Graviton 執行個體不僅順應技術需求，也極大化 Graviton 的效能優勢。</p> <p>Hank 進一步解釋 x86 處理器透過 Hyper-Threading 技術模擬出多核心，與 Graviton 處理器核心之間的差異。他指出，在執行大量運算任務時，即便 Hyper-Threading 能夠模擬出多個核心，但這些核心實際上需要共享關鍵的 L1 與 L2 快取資源，這種資源共享可能導致模擬核心之間的競爭，而影響效率。</p> <p>相比之下，Graviton 處理器每個核心都擁有獨立的 L1 與 L2 快取，如此就能避免內部運算資源的競爭問題。Hank 以買飲料的比喻來說明此特性，在 x86 處理器的 Hyper-Threading 技術中，兩個人共用一臺只能乘坐一人的電梯去便利商店購買飲料，這就代表兩人需要競爭電梯的使用。而 Graviton 處理器則讓每個人都有獨立電梯，允許真正多核心處理任務，有效提升運算效率。</p> <p>CPU 透過 Hyper-Threading 技術模擬出一個核心，但是除了運算核心，執行運算的資源還有非常重要的 L1 與 L2 快取，因此在執行大量運算時，模擬出來的多核心其實會競爭資源，而 Graviton 每個核心因為有獨立的 L1 與 L2 快取，因此處理器內也就不會發生運算資源競爭的問題。</p> <p>這項 Graviton 處理器的獨特優勢，對於 Kronos 迅速從區塊鏈上抓取交易資料的應用，具有顯著的優勢，能夠大幅加快資料處理的速度和效率。</p> <p><span style="font-size:24px;"><strong>Kronos 換用 Graviton 執行個體成本省 20％延遲少 10％</strong></span></p> <p>Kronos 透過把原先在 x86 處理器執行個體的資料抓取程式，經過重新編譯後轉換到 Graviton執行個體上執行，並將兩類同等級的執行個體相比，Kronos 發現使用 Graviton 執行個體的成本可以大幅降低 20％，且延遲還能顯著減少 10％。</p> <p>Graviton 執行個體帶來的效益，讓 Kronos 開始認真評估適合搬遷的程式。Hank 提到，雖然他們也希望將主要交易系統轉移到 Graviton 執行個體，但是因為目前交易系統是單核心單執行緒設計，並且針對 x86 指令集最佳化，因此在轉移上存在一些困難。然而，多核心的程式就能極大化利用 Graviton 的優勢，因此 Kronos 計畫將營運、訊息、警示以及儀表板等微服務，都轉移到 Graviton 執行個體上。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-%E6%96%87%E6%85%A7%E5%BB%A3%E7%B7%A8-600-%EF%BC%92.jpg" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>麒點科技執行長 Hank Huang 說道：「未來 Kronos 計畫將營運、訊息、警示以及儀表板等微服務，都轉移到 Graviton 執行個體上，開拓更多可能性」</strong></span></p> <p>此外，Kronos 還正在開發新一代低頻交易系統，以預測更長期的加密貨幣價格走勢。Hank 解釋，該系統在預測上需要處理更多的特徵資料，並且在交易策略需要關注更多的市場動向和交易標的。追求極速的高頻交易系統，使用單一核心供開發者掌控每一個環節，達到極致輕量化以求快速報價、下單與撤單，但中低頻交易系統的訴求則是更進一步，需要用到更多的資料與更大量的運算能力，因此更適合多核心的設計，這也讓 Graviton 執行個體成為更理想的平臺。</p> <p><span style="font-size:24px;"><strong>借助 AWS 團隊專業建議，Kronos 資安管理升級</strong></span></p> <p>運用 AWS Graviton 處理器除了幫助 Kronos 在提供高頻交易效率的提升，在安全性方面，為了強化交易帳戶機敏資料的安全性，Kronos Research 選用 AWS Secrets Manager 做為機敏資料的存放處，並且透過 AWS Key Management Service (KMS) 的硬體安全模組，再次加密所儲存的機敏資料來強化安全性。同時，為了確保獨立性，Kronos 將 Secrets Manager 及 KMS 與應用程式部署於不同的 AWS 帳戶中。在進入白熱化競爭的加密貨幣交易環境中，Kronos 憑藉其獨特高頻量化交易策略及資安管理上的提升，和諸如AWS Graviton等新興技術的靈活運用，藉由積極探索和創新，維持技術和策略上的競爭力，在加密貨幣交易市場中占有一席之地，開拓更多可能性。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/0521-wen_hui_guang_bian_-960.jpg?itok=gjNPktQ8" width="960" height="420" alt="" /></div></div></div>
2024/5/21 00:00機構署名廠商新聞稿https://www.ithome.com.tw/pr/162966
OpenAI研究人員Jan Leike離職，批評OpenAI已不再以安全為優先
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼OpenAI共同創辦人<a href="https://www.ithome.com.tw/news/162887" target="_blank">Ilya Sutskever離職</a>之後，另一名OpenAI研究人員<a href="https://x.com/janleike/status/1791498174659715494" target="_blank">Jan Leike也在上周五（5/17）宣布開該公司</a>。Leike是OpenAI超級對齊（Superalignment）團隊的共同主管，宣稱在最近這幾年，OpenAI推出絢爛產品的重要性已經超越了安全的文化與程序。同一天，OpenAI的兩名共同創辦人Greg Brockman與Sam Altman便<a href="https://x.com/gdb/status/1791869138132218351" target="_blank">對此作出回應</a>。而根據<a href="https://www.bloomberg.com/news/articles/2024-05-17/openai-dissolves-key-safety-team-after-chief-scientist-ilya-sutskever-s-exit" target="_blank">《彭博社》</a>（Bloomberg）的報導，OpenAI實際上已經解散了成立不到一年的Superalignment團隊。</p> <p>OpenAI是在2023年7月<a href="https://openai.com/index/introducing-superalignment/" target="_blank">設立</a>超級對齊團隊，該團隊的任務是「確保那些具備超級智慧、比人類還聰明的AI系統得以遵循人類的意圖」，當時OpenAI亦承諾要在未來的4年將投入20%的運算能力，來解決超級智慧的對齊問題，而該團隊的兩名共同主管即是相繼於上周離職的Sutskever與Leike。</p> <p>Leike表示，離開該工作是他做過最困難的事情之一，因為他們迫切需要弄清楚如何引導與控制AI系統，當初加入的原因即是因為他認為OpenAI是世上最適合執行此一研究的最佳場所，然而，很長一段時間以來，他一直不同意OpenAI領導階層關於公司核心優先事項的看法，最終達到了臨界點。</p> <p><a href="https://x.com/janleike/status/1791498174659715494" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-ex-head%20of%20alignment%2C%20superalignment%20lead%2C%20and%20executive%20OpenA-Jan%20Leike.png" style="width: 550px;" /></a></p> <p>他認為應該要把更多的資源用在下一代模型的安全性、監控、對抗魯棒性、超級對齊、機密性及社會影響等相關議題，但過去幾個月該團隊一直在逆勢中掙扎以獲取運算資源。Leike指出，打造比人類更聰明的機器於本質上就是一項危險的工作，代表全人類的OpenAI肩負著巨大責任，OpenAI必須成為一家以安全為優先的通用人工智慧（AGI）公司。</p> <p>Brockman及Altman也聯名對Leike的看法作出了回應，表示已經提高了對AGI所帶來風險與機會的認識，號召AGI的國際治理，並協助創立了評估AI系統災難性風險的科學；同時也替日益強大之AI系統的安全部署奠定了基礎；未來還會不斷提升安全工作以應對每個新模型的利害關係。</p> <p>不過，這兩位OpenAI的共同創辦人也坦承，第一次就要確保新技術的安全性並不容易，也沒有可用來引導AGI路徑的劇本，相信實證可以幫助指引前進的方向，他們非常重視自己的角色也會謹慎看待對OpenAI行動的回饋意見。</p> <p>今年才成立的AI問責聯盟（Coalition for AI Accountability）則發動了一項<a href="https://www.openailetter.org/" target="_blank">連署行動</a>，指出OpenAI從一非營利機構轉向至快速擴展AI模型，其高階管理團隊在監督與問責上一再出現失敗，對於像AI這類重要及危險的技術來說，並不適用於某些科技公司受到讚揚的「打破常規及快速行動」態度。要求OpenAI成立一個由AI安全及公民領導者組成的非營利董事會；確保其非營利組織不受營利子公司的財務影響；向非營利組織、監管機構及學術界建立早期存取模式；擴大專注於安全及道德的內部團隊並賦予否決權；以及對OpenAI的產品承擔明確的法律責任。</p> </div></div></div>
2024/5/20 20:00作者陳曉莉https://www.ithome.com.tw/news/162968
【資安日報】5月20日，與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安日報新聞幾乎都與AI有關，這些包含了鎖定人工智慧專家的攻擊行動，針對人工智慧開發工具的漏洞揭露，以及相關資安框架的發表。</p> <p>其中最值得留意的部分，是關於人工智慧開發工具的漏洞公布，其中用於開發相關系統的Python套件llama_cpp_python漏洞CVE-2024-34359相當值得留意，因為有可能引發供應鏈攻擊。資安業者Checkmarx指出，在AI技術與資料共享平臺Hugging Face有超過6千個模型以此套件打造而曝險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162954"><strong style="font-size: 22px;">半導體業者逸昌遭駭客網路攻擊，部分資訊系統受影響，仍在復原中</strong></a></p> <p>5月17日傍晚17時23分，上櫃半導體業者逸昌科技發布資安事件重大訊息，說明公司內有部分資訊系統遭受駭客攻擊。</p> <p>該公司表示，他們發現網路傳輸異常，以及部分伺服器遭受駭客攻擊的情況，公司的資安單位已立即啟動防禦復原機制，並與外部資安公司技術專家合作處理。</p> <p>值得留意的是，他們表示目前資訊系統陸續恢復中，意味著公告當下的周五傍晚，這些受影響的資訊系統尚未完全復原。目前我們也正詢問該公司後續復原的狀況。</p> <p><a href="https://www.ithome.com.tw/news/162981"><strong style="font-size: 22px;">美國人工智慧專家遭到鎖定，攻擊者對其散布惡意程式SugarGh0st RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png" style="width: 300px; float: right;" /></a>資安業者Proofpoint揭露鎖定美國人工智慧專家而來的攻擊行動UNK_SweetSpecter，對方於今年5月，針對當地參與人工智慧工作的學術機構、政府服務、企業組織而來，意圖對其散布SugarGh0st RAT。</p> <p>值得留意的是，研究人員指出，這起攻擊行動極具針對性，駭客的目標不到10人，且皆與一家具領先地位的美國人工智慧組織有直接關係。</p> <p>由於5月初傳出美國政府有意限制中國存取生成式AI服務，若是中國企業組織使用相關技術受限，很有可能尋求駭客來取得相關資訊，進一步達成中國發展的目標。從這樣的情勢來看，發動攻擊的駭客，很有可能與中國之間有所關連。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.arrl.org/news/arrl-systems-service-disruption"><strong style="font-size: 20px;">美國無線電聯盟遭遇網路攻擊，營運被迫中斷</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/webtpa-data-breach-impacts-24-million-insurance-policyholders/"><strong style="font-size: 20px;">醫療保健計畫暨保險管理服務業者WebTPA資料外洩，逾240萬人受到影響</strong></a></p> <p></p> <p>◆<a href="http://www.rapid7.com/blog/post/2024/05/13/ongoing-malvertising-campaign-leads-to-ransomware/"><strong style="font-size: 20px;">勒索軟體駭客透過惡意廣告聲稱提供PuTTY、WinSCP，意圖對企業組織的網路管理員下手</strong></a></p> <p></p> <p>◆<a href="https://securityintelligence.com/x-force/grandoreiro-banking-trojan-unleashed/"><strong style="font-size: 20px;">遭跨國執法單位圍勦的金融木馬Grandoreiro傳出東山再起，駭客鎖定超過60個國家、1,500家銀行客戶發動攻擊</strong></a></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/springtail-kimsuky-backdoor-espionage"><strong style="font-size: 20px;">韓國Linux主機遭到北韓駭客kimsuky鎖定，被植入後門程式Gomir</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162976"><strong style="font-size: 22px;">用於人工智慧系統的Python開發套件存在重大漏洞，恐導致系統資料外流</strong></a></p> <p>資安研究人員Patrick Peng揭露名為Llama Drama的漏洞，該漏洞存在於Python套件llama_cpp_python，攻擊者可藉此濫用其搭載的範本引擎Jinja2執行任意程式碼，CVSS風險評分達到9.7，開發者接獲通報發布0.2.72版llama_cpp_python予以修補，此漏洞被登記為CVE-2024-34359列管。值得留意的是，由於此套件的功能，主要是讓開發者能在Python環境整合AI模型，因此很有可能導致供應鏈攻擊。</p> <p>針對這項漏洞，資安業者Checkmarx藉由部落格文章，進一步說明可能帶來的影響範圍。他們指出漏洞的核心問題在於，此套件在處理範本資料的過程中，並未使用沙箱或是其他適當的防護措施。研究人員指出，雖然Jinja2支援在沙箱中運作，但套件開發者並未導入這類機制而曝險。</p> <p>值得留意的是，他們在AI技術與資料共享平臺Hugging Face上，發現超過6千個模型採用帶有範本的gguf格式，而有可能曝露於上述漏洞的風險。</p> <p><a href="https://www.ithome.com.tw/news/162983"><strong style="font-size: 22px;">Intel發布5月例新更新，修補人工智慧模型壓縮工具重大漏洞</strong></a></p> <p>上週二（5月14日）Intel發布5月份例行更新，總共公告41項漏洞，但特別的是，有別於過往公告主要都與處理器有關，這次最為危險的漏洞，存在於人工智慧模型壓縮工具Neural Compressor，被登記為CVE-2024-22476列管，該公司發布2.5.0版進行修補。</p> <p>根據該公司的資安公告，這項漏洞與輸入驗證不當有關，未經身分驗證的攻擊者有可能遠端利用漏洞，進而提升權限，CVSS風險評分為10。</p> <p>值得留意的是，這項漏洞可被遠端利用，且操作複雜度並不高，並對於資料的機密性、完整性、可用性有很大的影響。此外，攻擊者也不需要特殊權限，利用漏洞的過程，同樣無需使用者互動就能進行。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162960"><strong style="font-size: 22px;">響應政府推動零信任架構，多家廠商於臺灣資安大會展示信任推斷技術</strong></a></p> <p></p> <p>這幾年來，零信任成為當紅的資安概念，政府在2022年開始積極推動以「身分鑑別」、「設備鑑別」，以及「信任推斷」這3大核心機制組成的零信任架構。其中，今年的重點，聚焦在信任推斷的部分，因此相關的解決方案備受關注。</p> <p>在2024臺灣資安大會期間，我們看到具備這類功能的解決方案出現，曜祥網技（e-Soft）、奧義智慧、中華電信這3家資安公司，皆在會場上介紹具備相關功能的資安解決方案。未來將會有更多資安業者投入、提供這類零信任防護機制。</p> <p><a href="https://www.ithome.com.tw/news/162971"><strong style="font-size: 22px;">DeepMind發表AI安全框架Frontier Safety Framework</strong></a></p> <p></p> <p>5月17日Alphabet 旗下的AI技術研究公司DeepMind發表AI安全框架Frontier Safety Framework，同時闡述該公司分析與減輕AI模型招致未來風險的方法。</p> <p>此框架可用來主動識別未來可能造成嚴重傷害的AI能力，也可建立檢測及緩解相關傷害的機制。此框架著重於模型層面的強大能力可能導致的重大風險，像是特殊代理或複雜網路能力，將補充現有的對齊（Alignment）研究，以及Google既有的AI責任及安全實踐套件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162953"><strong>【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162912"><strong>【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162880"><strong>【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</strong></a></p> </div></div></div>
2024/5/20 18:19作者周峻佑https://www.ithome.com.tw/news/162984
Android裝置App的資料共享方式有資安破口，研究人員揭露能以此發動的攻擊手法Dirty Stream，影響範圍廣大
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟揭露新型態的<a href="https://www.microsoft.com/en-us/security/blog/2024/05/01/dirty-stream-attack-discovering-and-mitigating-a-common-vulnerability-pattern-in-android-apps/">路徑穿越攻擊手法Dirty Stream</a>，攻擊者可藉由惡意安卓應用程式，覆蓋另一個應用程式的程式資料夾的內容，而有可能執行任意程式碼，或是竊取Token。該公司指出，這麼一來，攻擊者有可能完全操控應用程式的行為，或是存取用戶帳號及相關的敏感資料。</p> <p>研究人員找到這種攻擊手法的原因，主要是他們在Google Play市集找到多款存在弱點的應用程式，值得留意的是，這些應用程式迄今至少被安裝超過40億次，其中有4款下載次數超過5億。他們公布兩個存在弱點的應用程式名稱，包含了小米發行的檔案管理工具Mi File Manager，以及辦公室軟體WPS Office，分別被下載超過10億次、5億次，兩家軟體開發商接獲通報後皆已進行修補。不過，研究人員認為，實際上還有其他的應用程式，也可能存在相關弱點而可能曝露於Dirty Stream的風險，因此這項弱點影響範圍，恐怕還會擴大。</p> <p>針對Dirty Stream有關的弱點，可區分為兩個層面。其中一種是實作資料與檔案共享的機制當中，開發者並未強制應用程式必須驗證收到的檔案內容，其中最常見的情況，是直接使用伺服器應用程式提供的檔案名稱暫存收到的檔案，假如伺服器應用程式配置惡意的「檔案提供者（FileProvider）」類別，宣告應用程式共用的特定檔案路徑，就有可能導致目標程式被覆寫重要檔案，從而產生嚴重的後果。</p> <p>另一種則是與共用目標（Shared Targets）有關，這是有關應用程式掌握的資料及檔案，宣告能夠傳送給那些程式的配置。一般而言，最常見的傳送目標包含郵件用戶端程式、社群網路軟體、即時通訊軟體、檔案編輯器、瀏覽器等。攻擊者可在惡意軟體當中，建立特定的共用目標條件，甚至可在使用者不知情的情況下，將特定檔案傳送給指定的應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-2_-Dirty-stream-attack-20.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-2_-Dirty-stream-attack-20.png" style="width: 580px;" /></a></p> <p>研究人員透過Mi File Manager展示如何發動Dirty Stream攻擊，他們透過該應用程式清理裝置垃圾檔案的元件來觸發相關弱點，從而在該檔案管理軟體植入惡意配置檔案，一旦啟動了垃圾清理功能，他們就能載入對應的惡意程式庫，並透過瀏覽器的使用者ID執行程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-16_-Getting-remote-access.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-16_-Getting-remote-access.png" style="width: 580px;" /></a></p> <p>為何他們選擇利用這款應用程式來進行驗證？研究人員指出，由於該檔案管理軟體具備透過FTP及SMB通訊協定進行遠端檔案共用的功能，一旦觸發相關弱點，受到影響的不只是單臺行動裝置，甚至可能影響內部網路的共享存取。</p> </div></div></div>
2024/5/20 13:03作者周峻佑https://www.ithome.com.tw/news/162969
美國人工智慧專家遭到鎖定，攻擊者對其散布惡意程式SugarGh0st RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由惡意軟體Gh0stRAT衍生而來的RAT木馬程式SugarGh0st RAT，最早是<a href="https://blog.talosintelligence.com/new-sugargh0st-rat/">去年底由思科威脅情報團隊Talos揭露</a>，當時駭客針對烏茲別克和韓國下手，如今又有新的攻擊行動出現。</p> <p>資安業者Proofpoint揭露<a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-artificial-sweetener-sugargh0st-rat-used-target-american">鎖定美國人工智慧專家而來的攻擊行動UNK_SweetSpecter</a>，對方於今年5月，針對當地參與人工智慧工作的學術機構、政府服務、企業組織而來，意圖對其散布SugarGh0st RAT。</p> <p>值得留意的是，研究人員指出，這起攻擊行動極具針對性，駭客的目標不到10人，且皆與一家具領先地位的美國人工智慧組織有直接關係。</p> <p>他們在UNK_SweetSpecter攻擊行動的早期階段，發現攻擊者使用簡體中文的跡象，這樣的情況如同Talos的調查結果，但Proofpoint並未找到其他證據，無法確認攻擊者就是來自中國。</p> <p>不過，由於5月初傳出美國政府有意限制中國存取生成式AI服務，若是中國企業組織使用相關技術受限，很有可能尋求駭客來取得相關資訊，進一步達成中國發展的目標。從這樣的情勢來看，發動攻擊的駭客，很有可能與中國之間有所關連。</p> <p>針對這波攻擊行動的攻擊鏈，研究人員指出，對方濫用免費電子郵件信箱發送以AI主題為誘餌的信件，引誘收信人開啟ZIP壓縮檔附件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UNK_SweetSpecter-l11.png" style="width: 580px;" /></a></p> <p>一旦收信人依照指示打開附件，並執行當中的Windows捷徑檔案（LNK），電腦就會被植入JavaScript開發的惡意程式載入工具（Dropper）。該工具內含誘餌文件檔案、透過側載執行的ActiveX工具（程式庫），以及經過加密處理的可執行檔。</p> <p>若是此惡意程式載入工具執行，電腦就會顯示誘餌檔案讓收信人降低警覺，並載入其中的程式庫元件，使得駭客能透過JavaScript執行Windows的API，最終於受害電腦部署SugarGh0st RAT。</p> </div></div></div>
2024/5/20 16:51作者周峻佑https://www.ithome.com.tw/news/162981
Intel發布5月例新更新，修補人工智慧模型壓縮工具重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週二（5月14日）Intel發布5月份例行更新，總共<a href="https://www.intel.com/content/www/us/en/security-center/default.html">公告</a>41項漏洞，但特別的是，有別於過往公告主要都與處理器有關，這次最為危險的漏洞，存在於人工智慧模型壓縮工具Neural Compressor，被登記為CVE-2024-22476列管，該公司發布2.5.0版進行修補。</p> <p>Neural Compressor為開源的Python程式庫，<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/an-easy-introduction-to-intel-neural-compressor.html">主要的功能是協助開發人員最佳化及精簡深度學習模型</a>。該工具的壓縮技術包含對於神經網路的修剪，或是刪除較不重要的參數、透過處理程序呼叫的量化來減少記憶體的需求，從而產生具備類似能力的小型模型。這麼做的最主要目的，就是為了用於行動裝置這類運算資源較為有限的設備，促進AI應用程式的開發。</p> <p>根據該公司的資安公告，<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-01109.html">這項漏洞與輸入驗證不當有關</a>，未經身分驗證的攻擊者有可能遠端利用漏洞，進而提升權限，CVSS風險評分為10。</p> <p>值得留意的是，這項漏洞可被遠端利用，且操作複雜度並不高，並對於資料的機密性、完整性、可用性有很大的影響。此外，攻擊者也不需要特殊權限，利用漏洞的過程，同樣無需使用者互動就能進行。</p> </div></div></div>
2024/5/20 17:33作者周峻佑https://www.ithome.com.tw/news/162983
【臺灣資安大會直擊】加速落實金融資安行動方案2.0，金管會提供金融上手零信任架構的三步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安的改變從被動變主動，從單點控制變價值驅動。」金管會副主委邱淑貞5月16日在臺灣資安大會金融安全論壇開場時表示，資安過去僅針對個別事件進行處理和回復，隨著金融業大力運用數位化發展業務，資安現在和業務風控結合，成為驅動業務發展的關鍵，也是金融機構前進的重要動力。</p> <p>為了推動金融機構發展資安，金管會在2020年發布金融資安行動方案1.0，兩年後接著發布2.0版，延續1.0版四大策略，增加了14項精進措施，從鼓勵金融機構擁抱零信任架構，強化核心資料保全、舉辦資安長聯繫會議強化，推動重大資安事件的支援演訓等。</p> <p>如今，2.0版發布已過一年半，金管會資訊服務處處長林裕泰在論壇中強調，零信任架構和資安聯防是金管會力推的兩大面向。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_516%EF%BC%88%E5%9B%9B%EF%BC%89%EF%BC%8C701A%EF%BC%8C0945-1015%EF%BC%8C%E6%9E%97%E8%A3%95%E6%B3%B0_240520_2.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">金管會資訊服務處處長林裕泰也出席</span>2024臺灣資安大會的金融資安論壇，他表示，零信任架構和資安聯防是金管會正在努力推動的面向。</p> </blockquote> <h3>提供導入零信任架構的三項步驟</h3> <p>林裕泰表示，近期，金管會密集和金融機構舉辦研討會，期望在龐大的架構下，找到推動零信任架構的共識。他認為，金融機構需要導入零信任架構原因有二，第一，業者無法確保外網十分安全，一旦資安有缺口，攻擊者一定會進入內網，第二，企業邊界越來越模糊，有許多遠端辦公的員工，業者難以控管場域外人員及設備安全。因此，金融機構需要從零信任架構重新檢視資安政策，例如，嘗試縮小攻擊表面、限縮損害的衝擊，最終讓內網的防護和外網同樣安全。</p> <p>針對金融機構如何實際導入零信任架構，林裕泰建議可以採取三項步驟，首先，是將資源用在刀口上，選定優先的保護標的，例如，高權限使用者帳號、重要系統的外部使用者、委外廠商的遠端維運管理等高風險場域，「先把實施範圍縮小，才能讓資源被高度使用。」</p> <p>接下來，林裕泰強調，「零信任最需保護的是資源，而不是入口。」零信任架構的重點，是在內網設立重重防護，抵擋駭客存取相關資源，所以，林裕泰建議業者應盤點資源存取途徑，查看從身份、設備、網路、應用程式到資料中的脆弱點，以零信任思維逐步提升安全性。例如，在身分、設備和網路設立多一層防護機制，並且進行適當的分割，縮小攻擊表面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/S__59711514.jpg" style="width: 600px;" /></p> <blockquote><p>金管會資訊服務處處長林裕泰建議，業者在導入零信任架構時，應盤點資源存取路徑，以零信任思維強化防護機制。例如，在帳號登入時一律採取雙因子認證，在身分驗證上增加多一層防護。</p> </blockquote> <p>最後，是要能整合並分析事件日誌，再結合威脅情資，形成信任推斷機制。後續進一步發展自動協作機制，以動態監控支援信任推斷。「我們期待金融機構推動零信任架構的過程中，不是一步到位，而是類似美國CISA發布的零信任承受模型，從傳統、初始、進階再到最佳化，逐步精進的方式去實施。」林裕泰表示，未來，金管會將會根據這三項步驟，提供金融機構導入零信任架構的參考指引，待業界發展出實務案例後，再逐步發展成資安相關規範。</p> <h3>重視資安聯防中的動態情資分享</h3> <p>除了零信任架構，金管會也十分關注資安聯防的運作效能。林裕泰表示，去年F-ISAC（金融資安資訊分享及分析中心）提供的情資分享資訊中，76%的資訊來自金融機構會員，目前這個比例也穩定超過75%，「顯示F-ISAC和金融機構之間已建立了雙向互信的管道。」</p> <p>此外，金管會在今年開始調整會員分享資安情資的獎勵措施，除了靜態情資分享，也將動態情資分享納入評分標準，鼓勵業者分享更多類型的資安情報。除了針對地端的資安防護，林裕泰也表示，金管會正在關注雲端上的攻擊行為，評估現有的資安聯防機制是否能擴展至雲端上的資安防護。</p> <p>回顧金管會推動資安行動方案的過程，林裕泰表示，過去三年來，金管會和各相關單位嘗試將許多看似不相關的事物慢慢拼湊成完整的方案，「我們現在正在把零信任、資安防護監控有效性評估、資安情資分享和資安聯防的運作拼湊起來，整合所有相關資源，使整個推動更有脈絡。」</p> <p></p> </div></div></div>
2024/5/20 14:25作者李昀璇https://www.ithome.com.tw/news/162972
用於開發人工智慧系統的Python套件存在重大漏洞，恐導致系統資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Patrick Peng揭露名為Llama Drama的漏洞，<a href="https://github.com/abetlen/llama-cpp-python/security/advisories/GHSA-56xg-wfcc-g829">該漏洞存在於Python套件llama_cpp_python</a>，攻擊者可藉此濫用其搭載的範本引擎Jinja2執行任意程式碼，<a href="https://github.com/abetlen/llama-cpp-python/security/advisories/GHSA-56xg-wfcc-g829">CVSS風險評分達到9.7</a>，開發者接獲通報發布0.2.72版llama_cpp_python予以修補，此漏洞被登記為CVE-2024-34359列管。值得留意的是，由於此套件的功能，主要是讓開發者能在Python環境整合AI模型，因此很有可能導致供應鏈攻擊。</p> <p>什麼是llama_cpp_python？這是能夠處理具有大量資料的AI模型的Python套件，結合Python易用並兼具C++性能較佳的特色，而被用於將AI模型與Python整合。至於這項漏洞的源頭，是該套件採用的Jinja2程式庫，此為熱門的Python文件呈現範本引擎，開發者通常將其用於產生HTML網頁，由於此程式庫還具備執行動態內容的能力，對於開發人員來說功能相當強大。</p> <p>針對這項漏洞，資安業者Checkmarx藉由部落格文章，<a href="https://checkmarx.com/blog/llama-drama-critical-vulnerability-cve-2024-34359-threatening-your-software-supply-chain/">進一步說明可能帶來的影響範圍</a>。他們指出漏洞的核心問題在於，此套件在處理範本資料的過程中，並未使用沙箱或是其他適當的防護措施。研究人員指出，雖然Jinja2支援在沙箱中運作，但套件開發者並未導入這類機制而曝險。</p> <p>研究人員指出，該弱點的類型為伺服器範本注入漏洞（Server Side Template Injection，SSTI），攻擊者有可能進行未經授權的操作，進行資料竊取，或是造成系統中斷作業的情形。</p> <p>值得留意的是，他們在人工智慧社群平臺Hugging Face上，發現超過6千個模型採用帶有範本的gguf格式，而有可能曝露於上述漏洞的風險。</p> <p>對此，Checkmarx研究人員認為，這項漏洞突顯人工智慧系統與軟體供應鏈安全的重要性，因為開發者採用的第三方程式庫或是框架若是存在弱點，就有機會危害整個系統，尤其人工智慧系統往往需要處理特別敏感的資料，一旦資料外流，造成的影響可能更加嚴重。</p> </div></div></div>
2024/5/20 15:57作者周峻佑https://www.ithome.com.tw/news/162976
提供雙機一體的HA備援，鴻璟新款桌上型網路防火牆登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hong_jing_dual_ark-utm_16_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以深度封包檢測（DPI）技術著稱的鴻璟科技（Lionic），繼2021年登場的迷你防火牆產品<a href="https://www.ithome.com.tw/review/157584">Pico-UTM 100</a>，以及去年推出專攻工業網路環境的防火牆<a href="https://www.ithome.com.tw/review/157584">Tera-UTM 12</a>，在2024臺灣資安大會期間，他們再度發表新款機型Dual Ark-UTM 16，主打中小企業與公司駐外的分支辦公室等環境，最大特色是能在單一設備提供硬體與軟體的高可用性（HA）備援，而且，相較於<a href="https://www.ithome.com.tw/review/157584">Tera-UTM 12</a>，Dual Ark-UTM 16的防護效能略微提升，同時啟用防病毒、防駭客、防惡意網站等安全功能時，可達到900 Mbps，若需要同時管理多臺Dual Ark-UTM 16，同樣可透過該公司開發的集中管理系統（CMS）來進行，</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ark UTM 16-Dashboard CHT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark%20UTM%2016-Dashboard%20CHT.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ark UTM 16-CMS CHT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark%20UTM%2016-CMS%20CHT.jpg" style="width: 600px;" /></a></p> <p>單就硬體配置而言，Dual Ark-UTM 16採用2合1型態的機箱外殼，容納2臺節點模組，這應該是產品命名的由來：由兩臺Ark-UTM 16組成，它們分別配置5個LAN埠與1個WAN埠、1個USB埠、1個電源連接埠、1個電源開關，以及1個系統重置按鈕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dual Ark-UTM 16 Front-CYBERSEC 2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dual%20Ark-UTM%2016%20Front-CYBERSEC%202024.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dual Ark-UTM 16 back-CYBERSEC 2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dual%20Ark-UTM%2016%20back-CYBERSEC%202024.jpg" style="width: 298px;" /></a></p> <p>這樣的組態在當前的資安市場相當罕見，一般而言，網路防火牆若要使用高可用性配置，通常都會搭配多臺獨立設備來進行，幾乎沒有廠商採用類似多節點伺服器的高密度配置，鴻璟這款「雙胞胎」機型的推出，打破硬體防火牆產品長期以來的慣例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark-UTM%2016_Lionic_back2-web.jpg" style="width: 600px;" /></p> <p>當管理者完成Dual Ark-UTM 16的高可用性設定之後，若其中一臺節點故障，備用節點會自動接替主要節點的工作，維持網路連線的持續與安全防護能力。</p> <p>根據這款機型的使用者手冊，企業可以設置高可用性群組，將兩臺以上的Ark-UTM 16加入其中（依據設定的群組編號與密碼來認定是否為同一個高可用性群組），完成這些作業之後，需將這些Ark-UTM 16的LAN埠接上同一臺網路交換器，接下來，可透過自動切換至另一臺節點接續運作的機制，確保網路連線不中斷。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ark%20UTM%2016-HA%20CHT.jpg" style="width: 600px;" /></p> <p>除了獨特的硬體組態，鴻璟也在旗下的網路防火牆系統當中，擴增系統通知發送的管道。原本他們的防火牆主要以電子郵件寄送通知至網管人員，可設定一旦偵測到資安威脅就馬上發信，以及每天、每週定期寄送統計報告，摘要整理檢測歷程、威脅統計、系統異常記錄，現在也能經由即時通訊軟體Line將訊息發送到指定的人員帳號——若要使用這項功能，需依照Line Notify網站的說明指示，取得Line Token，然後到鴻璟防火牆網頁管理介面的系統管理設定新增這筆憑證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lionic%20Ark%20UTM-notification.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>鴻璟Dual Ark-UTM 16</strong><br /> ●原廠：鴻璟科技<br /> ●建議售價：廠商未提供<br /> ●網路埠：單臺設備總共有12個GbE埠（RJ-45埠）<br /> ●防火牆吞吐量：安全功能全部啟用（防病毒、防駭客、防惡意網站）為900 Mbps，安全功能全部啟用、搭配SSL或TLS加密連線掃描為700 Mbps<br /> ●硬體運算規格：2GB記憶體、4GB快閃記憶體<br /> ●運作環境溫度：攝氏0度到40度<br /> ●外觀：20.8 x 6.9 x 15公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/20 00:29作者李宗翰https://www.ithome.com.tw/review/162961
DeepMind發表AI安全框架Frontier Safety Framework
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet 旗下的AI技術研究公司DeepMind上周五（5/17）<a href="https://deepmind.google/discover/blog/introducing-the-frontier-safety-framework/" target="_blank">發表了AI安全框架</a>Frontier Safety Framework，同時闡述該公司分析與減輕先進AI模型招致未來風險的方法。</p> <p>DeepMind說明，該公司一直在突破AI的疆界，所開發的模型已改變了他們對於其可能性的理解，相信未來的AI技術將對社會帶來寶貴的工具，但他們同時也意識到，在繼續推動AI能力之際，相關的突破最終可能會招致超越現有模型的新風險。</p> <p>因此，DeepMind團隊建立了一套安全協定Frontier Safety Framework ，可用來主動識別未來可能造成嚴重傷害的AI能力，也可建立檢測及緩解相關傷害的機制。此一框架著重於模型層面的強大能力所能導致的重大風險，像是特殊代理或複雜網路能力，將補充現有的對齊（Alignment）研究，以及Google既有的AI責任及安全實踐套件。</p> <p>現在DeepMind所公布的則是Frontier Safety Framework的第一個版本，它有3個關鍵元件，其一是辨識模型是否具備造成重大傷害的能力，當中有個重要概念為關鍵能力水準（Critical Capability Levels，CCL），指的是模型可於高風險領域造成嚴重傷害的最低能力水準。</p> <p>其次為定期評估各種前沿模型以偵測它們達到CCL的時間點。DeepMind將開發一套「早期預警評估」的模型評估套件，並定期執行以於模型達到CCL之前發出通知。最後則是在模型能力超越早期預警評估時，實施緩解計畫，其緩解措施將著重於安全性及部署上，包括預防模型外洩及避免關鍵功能遭到濫用。</p> <p>目前DeepMind仍在探索Frontier Safety Framework，可望從逐步的部署，強化與產業、學術及政府的合作來改善框架，並預計於明年初全面實施該框架。</p> </div></div></div>
2024/5/20 14:22作者陳曉莉https://www.ithome.com.tw/news/162971
【資安週報】2024年5月13日到5月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息中，以微軟與Google的5個零時差漏洞修補最受關注，並有4個是修補釋出前已發現遭鎖定利用。</p> <p>（一）微軟發布5月例行安全更新，修補60個漏洞中有3個零時差漏洞，其中MSHTML平臺安全功能繞過的CVE-2024-30040，以及涉及桌面視窗管理員（DWM）核心程式庫權限提升的CVE-2024-30051，這兩個漏洞已被用於攻擊行動。</p> <p>（二）Google這一周又再修補兩個已遭利用、存在於JavaScript引擎V8的零時差漏洞，分別是：記憶體越界寫入漏洞CVE-2024-4761以及，類型混淆漏洞CVE-2024-4947。短短7天內，Google已修補3個零時差漏洞。</p> <p>（三）D-Link旗下老舊路由器有兩個漏洞CVE-2021-40655、CVE-2014-100005，被美國CISA在5月16日列入已知漏洞利用清單，這也顯示產品壽命結束的產品仍持續遭攻擊者鎖定利用。</p> <p>還有多家IT廠商的每月例行安全更新修補發布，包括微軟、SAP、Adobe，Intel，以及西門子、施耐德電機、三菱電機、江森自控、Rockwell等，其他重要漏洞修補動向，包括：開源網路效能及配置管理框架Cacti，以及VMware、HP Aruba Networking、Cinterion。</p> <p>在資安新聞焦點方面，本周適逢2024 CYBERSEC臺灣資安大會舉行，今年是第十屆，舉辦規模更盛大，持續成為資安產業搭建一座技術交流、拓展商機的專業平臺，受到政府、資安產業與廣泛企業的重視。</p> <p>例如，總統蔡英文第6度出席大會並在開幕典禮致詞，說明政府將持續建立防禦機制、加強研發能量、積極培育人才，以提升國家數位韌性，並感謝長期對資安領域用心付出的大家。</p> <p>在520接任總統的賴清德，也在2024臺灣資安大會的第二天，率領新政府與資安發展相關的主管一同到場，共同關心臺灣資安產業的發展，他向大家承諾，新政府仍將繼續支持資安產業發展。</p> <p>此外，為了加速因應量子破密威脅，數位發展部數位產業署也在2024臺灣資安大會第三天的活動，宣布「後量子資安產業聯盟」成立，希望建立強健的公私夥伴關係，加速我國後量子資安產業的發展，並確保臺灣具有後量子密碼準備能力。</p> <p>在資安威脅態勢方面，國際上有不少政府遭受網路攻擊的揭露，並有多起涉及半導體、金融、醫藥產業的企業資安事件，受到資安界重視。我們整理如下：</p> <p>●韓國警察廳國家搜查本部在13日發出聲明，指出發現北韓駭客曾入侵該國法院長達兩年，大量民眾個資與詳細金融資料竊取，因為這些文件包含自述書、破產報告、結婚證書、醫療證明文件等。<br /> ●Google Cloud Mandiant Intelligence副總裁Sandra Joyce在臺灣資安大會主題演說中指出，中國駭客Dragonbridge對臺發起最新一波的Information Operations網路攻擊，是圍繞2024年1月臺灣總統大選而來。<br /> ●歐洲刑警組織證實入口網站遭駭，對方聲稱竊得員工資訊、原始碼、內部機密文件，由於該組織經常協調各國打擊網路犯罪，此事件也突顯駭客越來越囂張。<br /> ●芬蘭首都赫爾辛基市公布教育部門因存在已知漏洞未修補而遭入侵，導致上萬學生家長發生個資外洩事故。</p> <p>●國內又有半導體產業遭網路攻擊，臺灣上櫃公司逸昌科技發布資安事件重大訊息，說明發現網路傳輸異常，部份伺服器遭受駭客攻擊。<br /> ●金融領域在全球有兩大事件發生，一是桑坦德銀行因第三方供應商遭駭的資料外洩事件，由於影響智利、西班牙、烏拉圭客戶而備受關注；另一是匯豐、巴克萊銀行傳出遭初始入侵管道掮客聲稱竊得其資料庫、原始碼等敏感資料。<br /> ●澳洲電子處方箋業者MediSecure遭遇供應鏈攻擊，駭客加密檔案導致網站服務與電話中斷。</p> <p>此外，還有一個值得關注的威脅態勢，是Black Basta勒索軟體攻擊者近期發起的社交工程攻擊活動，正鎖定採用MDR的客戶而來，攻擊者先是利用寄發大量垃圾信件讓郵件安全防護方案失靈，然後再假冒技術人員致電表明提供協助，要求使用者部署遠端管理工具，或啟動Windows內建遠端協助工具「快速助手（Quick Assist）」，進而對目標電腦進行控制。</p> <p>在資安防禦動向上，還有我國行政院5月9日通過打詐專法「詐欺犯罪危害防制條例」的消息，這是針對網路廣告平臺應盡防詐義務的重要規範，涵蓋對象包括網路廣告平臺、電商業者、第三方支付業者、網路連線遊戲業者，當中並有5大重點，包括：境外業者提報法律代表，廣告中應揭露必要資訊，建立防詐管理措施，處理與通報詐欺廣告，以及配合檢警調或目的事業主管機關下架詐欺資訊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162840"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月13日】韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分</span></strong></a></h3> <p>韓國政府發出聲明指出司法機關遭到北韓駭客攻擊！去年2月韓國法院察覺網路環境被植入惡意程式，去年底警方協助調查此事，結果發現，對方總共竊得1,014 GB機密資料，但他們僅能復原其中4.7 GB的內容，而得知少部分受害者身分。</p> <p>值得留意的是，從韓國法院察覺受害到警方介入調查，間隔長達10個月，這段期間相關的跡證很有可能遭到清除或是破壞，而難以進一步找出事故發生的原因。</p> <p><a href="https://www.ithome.com.tw/news/162861"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</span></strong></a></p> <p>本週芬蘭首都赫爾辛基證實教育部門的資料外洩事故，駭客藉由存在已知漏洞的遠端存取伺服器，成功入侵教育部門的網路磁碟，存取大量內部檔案。</p> <p>至於為何該伺服器尚末修補？有待進一步釐清。對此，針對這起事故發生的原因，他們認為與漏洞修補與裝置管理不力有關。</p> <h3><a href="https://www.ithome.com.tw/news/162880"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</span></strong></a></h3> <p>昨日（5月14日）微軟發布本月的例行更新，總共修補60個漏洞，相較於<a href="https://www.ithome.com.tw/news/162224#patch-tuesday">上個月達到149個</a>，這次的數量僅約上個月的4成。</p> <p>僅管這次公布的漏洞數量大幅減少，但值得留意的是，這次有3個零時差漏洞，其中又以桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2024-30051最值得留意，因為有多組研究人員向微軟通報，並指出他們看到駭客將其用於攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/162912"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>Google發布了新的電腦版Chrome 125，增加不少新功能，其中，與資安防護有關的部分，包含了新的隱私控制選項，目的是避免攻擊者挾持，而對於Windows版用戶，他們將網路服務放在沙箱執行。</p> <p>但在此同時，本次Google也修補9個弱點，當中包含了JavaScript引擎V8的高風險漏洞CVE-2024-4947，而這是該公司在最近一週修補的第3個零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/162953"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</span></strong></a></p> <p>近年來醫療設備的資訊安全逐漸受到重視，有不少研究人員公布他們的分析結果，攻擊者很有可能藉此得知病人的資料，甚至是竄改儀器量測的結果。</p> <p>例如，最近資安業者Nozomi Networks揭露GE HealthCare超音波醫療設備的漏洞，他們表示，雖然攻擊者必須實際接觸設備，才能利用他們發現的漏洞，但這些設備通常會放置於公開的環境，一旦出現無人看管的空檔，就有機會對其下手。</p> <p> </p> </div></div></div>
2024/5/19 19:16作者羅正漢https://www.ithome.com.tw/news/162959
網路內容是短暫的？這10年來有25%的網頁消失
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Pew Research Center上周<a href="https://www.pewresearch.org/data-labs/2024/05/17/when-online-content-disappears/" target="_blank">發布一項研究報告</a>，指出數位時代的網路內容並不見得是長存的，指出在2013年到2023年的10年間，有25%的網頁消失了，當中的16%其網域依然存在，只是網頁無法存取，另外的9%是整個網域名稱都失效了。</p> <p>愈久的內容無法存取的比例愈高，例如2013年的網頁中，到了去年即無法存取的比例高達38%，若是2021年所蒐集的網頁，2023年無法存取的比例則是20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-38%25%20of%20webpages%20from%202013%20are%20no%20longer%20accessible-image%20credit-Pew%20Research%20Center-2.png" style="width: 600px;" /></p> <p>Pew Research Center所研究的對象涉及新聞、政府、維基百科（Wikipedia）及Twitter（X）。例如蒐集了來自2,063個新聞網站的50萬個網頁，這些網頁含有逾1,400萬個對外連結，對外連結的中位數為20個，當中有23%個新聞網頁至少含有一個失效連結。</p> <p>Pew Research Center也蒐集了50萬個美國聯邦、州或地方政府的網頁，這些網頁所含的連結總數為4,200萬個，連結數量的中位數為50個，且高達86%都是連至政府網頁。在這些政府網頁中，有21%至少包含一個失效連結。</p> <p>在維基百科上Pew Research Center則蒐集了5萬個英文頁面，並檢查參考欄位的連結，有多達82%的維基百科網頁至少含有一個參考連結，整體有超過100萬個參考連結。分析顯示，有53%的維基百科頁面至少含有一個失效的連結，整體而言，維基百科所引用的逾100萬個參考連結中，有11%無法存取。</p> <p>Pew Research Center亦於今年3月至4月蒐集了Twitter上的近500萬則推文，但在6月15日時，發現有18%的推文不復存在，大多數是因為帳戶被設為私有了、暫停了或是被刪除了，只有少數是特定推文被移除。消失的推文有高達49%為土耳其文，有42%是阿拉伯文，且它們通常是新設的帳戶。</p> </div></div></div>
2024/5/20 13:30作者陳曉莉https://www.ithome.com.tw/news/162970
【moda專欄】電子簽章法新制與產業新興應用場景
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0520-moda-dian_zi_qian_zhang_fa_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>作者／數位產業署平臺經濟組黃國源｜數位產業署政策規劃組雷雅淇｜數位發展部部長室彭筱婷</strong></p> <p>在日常生活中我們常常需要簽名來證明本人身份，像是刷信用卡、拿包裹、結婚離婚或是租房買房等等。而當數位科技越來越深入生活之後，我們能不能利用數位技術，讓「簽名」變得更加便利又安全？「電子簽章」便應運而生，現在，我們可以看見電子簽章已經常出現在銀行金融服務與保險業、資訊技術與電信、健康醫療、法律與政府等多個應用場景。</p> <p>不過，不是把簽名存成圖片檔就是電子簽章，因為這樣沒辦法證明是本人簽名。在臺灣，具有法律效力的電子簽章，需要符合《電子簽章法》的相關規範，尤其是利用演算法與加密技術，可以確保電子簽章的安全性更高。</p> <p>但到底什麼是電子簽章？我們又會在什麼時候用到它？從施行以來 20 年都還沒改版的《電子簽章法》，近期將會有哪些調整呢？本篇文章將簡述電子簽章的修法緣由，以及修法之後如何帶動產業發展，以及達到從源頭助防詐的效果。</p> <hr /> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>什麼是電子簽章？為何要修《電子簽章法》？</strong></span></span></p> <p>電子簽章指的是依附在電子文件上，能識別簽署者身份、確保文件完整的數位技術，且要符合《電子簽章法》的規範才具有法律效力。它可能是文字簽名、圖片、聲音或是指紋等生物特徵，當進一步利用演算法與加密技術時，可以確保電子簽章的安全性更高。像是在報稅時使用的「自然人憑證」、零接觸申辦保險及金融服務等，都是電子簽章的相關應用。</p> <p>也就是說，只是「把簽名存成圖片檔」，並不符合電子簽章，必須包含「身份識別」、「數位技術」和「符合法規」這三大要件，才是電子簽章。</p> <p>而「數位簽章」是電子簽章的其中一種，除了要符合既有電子簽章的定義之外，還必須要「使用公開金鑰驗證技術」，並且有「政府核定的憑證機構所簽發的憑證」，這樣的安全性與公信力，數位簽章具有「推定」和本人親自簽署一樣的效力。</p> <p>有鑒於電子簽章技術日新月異，數位部在 2022 年 12 月發佈了產經字第 1114000229 號的「具電子簽章效力之電子簽章技術」函釋，列舉了符合《電子簽章法》中，「電子簽章」效力的演算法及國際技術標準。</p> <p>其中包含：公開金鑰基礎建設（Public Key Infrastructure）技術與架構，例如網際網路工程任務組（IETF）公開金鑰基礎建設小組（PKIX）所制定的標準，或是以國際組織或主要國家所制訂的簽章格式或演算法，例如歐洲電信標準協會（ETSI）、美國國家標準研究院（NIST）等單位所制定或核可的簽章演算法。</p> <p>也就是說，依現行電子簽章法，只要使用函釋例示的演算法或技術標準，足以驗證能達到電子簽章法第 2 條第 2 款「電子簽章係指依附於電子文件並與其相關連，用以辨識及確認電子文件簽署人身分、資格及電子文件真偽者」，就屬於電子簽章法定義的電子簽章。</p> <p>而為了更全面推動電子簽章的普及運用，因應數位生活型態改變而增加的各式數位應用服務，數位部推動《電子簽章法》修法，並已於 113 年 4 月 26 日由立法院三讀通過。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>有哪些修法重點？</strong></span></span></p> <p>使用電子簽章有許多好處：讓簽約的流程更為快速、減少維護和管理文件的費用與時間成本。同時，因為《電子簽章法》所規範的是已經安全認證的技術架構與演算法，因此以能確保文件傳輸與交易的安全。再者，無紙化作業也呼應了國際節能減碳的趨勢。</p> <p>以下簡要說明這次的修法重點：</p> <p><span style="color:#3399ff;"><strong>1.明示電子簽章和紙本具同等功能</strong></span></p> <p>書面文件、簽章變成電子形式後的「效力」，是電子簽章發展以來最關鍵的核心概念。為了消除疑慮，數位部參考了國際案例，像是聯合國貿易法委員會電子商務模範法、美國聯邦全球與國家商務電子簽章法、韓國電子簽章法、歐盟內部市場電子身分識別與可信賴電子交易服務規則（eIDAS Regulation）等國際法例，規範了電子文件與電子簽章的效力等同紙本文件，不能因為它是電子的形式而否認其法律效力。</p> <p><span style="color:#3399ff;"><strong>2.電子簽章與數位簽章關係明確化，與明定數位簽章效力更強</strong></span></p> <p>這次修法也明定數位簽章為電子簽章的一種類型。數位簽章除了要符合電子簽章的三個條件，另外還需要（1）使用公開金鑰驗證技術，（2）政府核定的憑證機構所簽發的憑證，才是數位簽章。因為這樣的安全性與公信力，數位簽章具有「推定」和本人親自簽署一樣的效力。</p> <p>以「印章」來比喻，如果電子簽章是一般可以自行找人刻的印章，那數位簽章就像是經過印鑑證明的印章，因為有第三方認證，因此效力更強。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0%E6%B3%95-%E5%9C%961.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／數位部</span></span></p> <p><span style="color:#3399ff;"><strong>3.調整經相對人之要件</strong></span></p> <p>現行條文中若要使用電子簽章，需要使用者同意的規定，會在某些實務狀況上有些窒礙難行。為兼顧數位化需求與數位包容，因此這次修法，刪除了使用電子簽章需要經過當事人同意的必要條件，但也賦予了當事人能夠拒絕使用電子簽章的權利。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0%E6%B3%95-%E5%9C%962.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／數位部</span></p> <p><span style="color:#3399ff;"><strong>4.減少公告排除電子簽章法適用之可能性</strong></span></p> <p>為了提升行政機關對電子文件、電子簽章的應用，這次修法刪除了目前行政機關可以公告排除使用電子簽章的規定，並設定 3 年落日條款。考量到司法程序的特殊性，因此司法程序暫先不適用本法的規定。</p> <p><span style="color:#3399ff;"><strong>5.考量未來電子簽章國際對接的機會</strong></span></p> <p>為了讓國際合作能更蓬勃發展，本次修法也增加了「技術對接合作」的條件。在安全條件一樣的情況下，如果符合兩國的互惠或者技術對接條件，外國的憑證機構和本國的憑證具有一定的效力。反之，我們的憑證也可以到外國實施，這是雙向互惠的。</p> <p>這次修法，不只能夠塑造更有利於電子簽章發展的法治環境，促進電子簽章能與國際接軌，也可以加速普及與和推廣到更多元的應用，進而達成智慧政府和數位轉型的政策目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>《電子簽章法》如何帶動產業發展？</strong></span></span></p> <p><span style="color:#3399ff;"><strong>能量登錄制度的建立</strong></span></p> <p>徒法不足以自行，為了要健全產業生態、提升電子簽章供需的效能，數位部研擬規劃能量登錄制度。本著資訊透明化的精神，要求相關業者登錄其服務種類、技術標準等資訊於數位部指定的公開網站，以期能清楚呈現市面上各種符合《電子簽章法》規範的解決方案。</p> <p>目前規劃分為三個方向：數位簽章憑證機構、數位簽章解決方案，以及單純的電子簽章服務。各類登錄的審查重點有所不同，第二類及第三類側重於引導業者主動公開技術資訊，提供消費者選擇參考，申請登錄的業者通過機制所定資格審查後，由數位部數位產業署召開審議會進行實質內容審查。</p> <p>能量登錄制度不為特定業者背書，而是透過這樣的機制去促進產業自律、自發性提升服務品質，也增加主管機關對於產業現況的掌握與管理。</p> <p><span style="color:#3399ff;"><strong>源頭防詐：推動網路廣告驗證數位簽章</strong></span></p> <p>完善電子簽章相關規範不僅有助於防範詐騙，也能從源頭防詐。數位部目前正與經濟部研議新增「網路廣告平臺業者」的營業項目，並由數位部主管，未來計畫推動網路廣告平臺驗證廣告刊登者的數位簽章。這將提供平臺更便利的機制確認客戶身分，同時透過跨平臺聯防機制，更迅速下架網路詐騙廣告。</p> <p>以目前在 Meta 的臉書、IG 等社群平臺刊登政治廣告為例，Meta 會進行 KYC（Know Your Customer，客戶身分確認）審核，要求廣告刊登者提供身分證正反面影本等資料。修法通過後，KYC 將可採認數位簽章，將審核流程自動化，降低網路廣告平臺的審核成本，進而擴大這項作法適用範圍。</p> <p>目前在 Meta 刊登投資廣告並不需要 KYC，只有被檢警調認定的一頁式詐騙，可以進行阻斷網域，並在 24 小時內下架廣告。但在下架前仍會顯示廣告，且民眾仍可點擊此連結（雖然只會看到 165 的防詐警示，不會有實質損失），有沒有更好的做法？數位部在《詐欺危害防制條例》草案裡明定，網路廣告平臺業者「應以數位簽章、快速身分識別機制或其他安全性相當之技術或方式，驗證委託刊播者及出資者之身分」。這將使得各平臺在檢警認定詐騙時能夠透過聯防平臺同步得知資訊，進而快速下架同一簽署人刊登的其他廣告，達到跨平臺聯防的目標。</p> <p><span style="color:#3399ff;"><strong>結合新科技的發展應用</strong></span></p> <p>電子簽章與新科技的結合，可以提供過往紙本簽署時無法支援的解決方案。例如，運用融合多項技術的數位簽名技術，可在簽名當下同步錄影，並在用戶簽名當下同步記錄簽署當下的人、事、時、地、物，避免電子簽名造成的偽簽爭議等後續狀況，解決行動裝置遠距簽署及簽署人簽名認定不易的問題，大幅協助醫療院所縮短文書處理時間，進而改善醫療人力的工作量，備受醫療產業肯定。</p> <p>此外，也有日本本土業者提出企業型電子簽章（事業者署名型）之 NFT 印鑑，其構想是活用 NFT 獨一無二的特點，使個人訊息與印章緊密連結，並且使用生物特徵對本人身分進行嚴格認證，以增進民眾對 NFT 印鑑的熟悉度與信任度。此項於 2021 年推出、屬日本首創的 NFT 印鑑服務，透過難以竄改之區塊鏈進行記錄，確實留下「何時由誰因為何種目的簽署」之確實證據，此種運用新興電子簽章技術，可省略公司內部繁瑣的印章管理作業，節省成本與勞力。</p> <p><span style="color:#3399ff;"><strong>完善電子簽章制度，推動產業生態</strong></span></p> <p>本次電子簽章法的修法方向，包括明定電子文件地位、區分電子簽章定義、放寬同意規定等，不只有利電子簽章系統與國際標準銜接及商務往來，也能加速智慧政府進展及社會數位轉型。</p> <p>配套實施的登錄制度則將協助產業提高經營透明度，引導業者揭露更多技術細節與資訊，預期將全面提升現行產業生態。數位部作為電子簽章法的主管機關，將持續與產官學三方充分合作推動電子簽章的多元應用，開創數位新紀元。</p> <p>下一篇，我們會介紹電子簽章的技術細節，讓大家了解便利安全的電子簽章是如何形成的，<a href="https://moda.gov.tw/press/multimedia/blog/12794" target="_blank">文章請見：電子簽章的相關技術介紹</a></p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12792" target="_blank"><strong>（本文轉載自moda blog）</strong></a></p> </div></div></div>
2024/5/20 12:26署名 moda專欄https://www.ithome.com.tw/article/162967
Ampere、高通合作AI晶片，主打無GPU運算環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片新創業者<a href="https://www.prnewswire.com/news-releases/ampere-scales-ampereone-product-family-to-256-cores-announces-joint-work-with-qualcomm-cloud-ai-accelerators-302147199.html" target="_blank">Ampere宣布</a>將與高通（Qualcomm）合作開發一款Arm-based AI晶片，以低成本及省電等效益挑戰Nvidia，並預告正在研發256核心CPU。</p> <p>Ampere是一家Arm-based晶片開發商，自稱開發出第一個雲端原生處理器。微軟Azure、Google Cloud和Oracle Cloud都推出使用Ampere Altra CPU的雲端服務，甲骨文甚至於2023年<a href="https://www.itnews.com.au/news/oracle-spends-more-than-us100-million-on-ampere-chips-600560" target="_blank">投資Ampere </a>1億美元為其主要投資者之一。Ampere Altra CPU是為執行即時AI作業，像是聊天機器人、資料分析及影片內容分析而設計，具備高速推論能力，但訴求比Nvidia GPU便宜。Ampere主要最新宣布中，一是和高通合作開發AI伺服器晶片，二是公告其12通道DDR5平臺處理器的未來CPU產品。</p> <p>首先，Ampere與高通合作整合其CPU及後者的Cloud AI 100 Ultra AI加速器，開發專為處理LLM推論作業設計的資料中心伺服器晶片，目的在創造無GPU的AI推論（GPU-Free AI Inferencing）。一開始這項合作將使用7奈米的Ampere Altra，在幾個月後加入更新、3奈米的AmpereOne選項。而雙方合作產品第一個客戶是Supermicro，雙方表示以後也會再推廣到其他客戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-Ampere%20Strategy%20%26%20Roadmap%20Update%202024-600-1.png" style="width: 540px;" /></p> <p>另一項宣布是關於AmpereOne。AmpereOne為支援12通道DDR5記憶體的處理器平臺，現有規畫產品為192核心，預計今年下半推出。AmpereOne下一代為256核心產品，使用相同的氣冷式散熱技術，號稱比現有市面上產品效能提高40%。Ampere也強調AmpereOne產品在OEM及ODM硬體平臺上的效能跑分數據，比AMD伺服器處理器Genoa及Bergamo系列分別高50%及15%，每機架效能則高出34%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-Ampere%20Scales%20AmpereOne%C2%AE%20Product%20Family%20to%20256%20Cores-3-2.png" style="width: 500px;" /></p> <p>另外，Meta Llama 3現在也登上Oracle Cloud Ampere-based服務，後者底層為128核心Ampere Altera CPU，完全沒有GPU，但該公司說，運行Llama 3的效能不輸執行Nvidia A10+x86 CPU的環境，但用電量僅對手的1/3。</p> <p>其他宣布包括Ampere加入AI平臺聯盟中新成立的UCIe（通用小晶片互連，Universal Chiplet Interconnect Express）工作小組，將秉持開放介面標準，以便在未來CPU中可整合Ampere和客戶的技術；Ampere CPU結合NETINT的影片處理晶片Quadra T1U，提供360即時通道的同步轉碼，並使用OpenAI Whisper模型提供40道串流的即時翻譯字幕。另外，其CPU除了記憶體標註（Memory Tagging）、QoS執行（QOS Enforcement）及網格壅塞管理（Mesh Congestion Management）等功能外，也新增FlexSKU功能，允許客戶在橫向（scale out）及向上擴充（scale up）部署情境中使用同一SKU。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Ampere</span></span></p> </div></div></div>
2024/5/20 10:21作者林妍溱https://www.ithome.com.tw/news/162964
ChatGPT付費版用戶將可從Google Drive、微軟OneDrive上傳檔案、建立圖表
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/improvements-to-data-analysis-in-chatgpt/" target="_blank">OpenAI宣布</a>ChatGPT最新資料分析功能，包括可直接從Google Drive和微軟OneDrive上傳檔案，以及和表格、圖表互動等功能。ChatGPT Plus用戶上傳的資料預設會用於OpenAI訓練模型，但用戶可以選擇退出（opt-out）。</p> <p>最新功能是以OpenAI最新<a href="https://www.ithome.com.tw/news/162852" target="_blank">多模態模型GPT-4o</a>為基礎，並將在未來幾周內陸續部署提供給ChatGPT Plus、Teams與Enterprise版。</p> <p>最新資料分析功能是利用ChatGPT理解資料集，並以自然語言完成任務的能力。使用者上傳一個以上檔案後，ChatGPT就會代用戶撰寫和執行Python程式碼。它可執行多種任務，像是合併與清理大型資料集、建立圖表、發掘洞見等，節省分析專家處理資料的時間，也幫助入門新手執行進階分析。</p> <p>新增的功能之一是可直接從Google Drive和微軟OneDrive上傳檔案到ChatGPT，不再需要先下載到桌機再上傳這個聊天機器人。OpenAI說，這也能讓ChatGPT更快理解Google Sheets、Docs、Slides與微軟的Excel、Word和PowerPoint檔案。</p> <p>其次，ChatGPT現在允許用戶即時和表格互動。用戶加入一組資料集時，ChatGPT會建立一個互動表格，用戶可以全螢幕檢視、編輯內容。用戶也可以點入特定區域詢問問題，或從ChatGPT建議的問題追問下去，像是要求它合併每月支付的試算表，再建立可依支出類型分類的樞紐分析表。</p> <p class="rtecenter"><a href="https://videos.ctfassets.net/kftzwdyauwt9/53vpRFoUfkNWrpLgCvpS24/e590882bd97f07864d07958a76853168/3_Updating_tables_dynamically.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-chatgpt-paid-Work%20on%20tables%20in%20real-time.png" style="width: 600px;" /></a></p> <p>最後，ChatGPT還讓用戶透過對話建立客製化圖表，像是長條圖、折線圖、圓餅圖及散布圖。之後用戶可將游標移到圖表上，再以對話提出其他要求，或自行調整顏色。最後再將圖表下載用於文件或PPT中。如果用戶要求的圖表ChatGPT不支援，它會生成靜態版本。</p> <p class="rtecenter"><a href="https://videos.ctfassets.net/kftzwdyauwt9/57iW9EM3jGA38MBAo6eTGL/8dbe8b8bbccf79f5618459abec4dd536/4_Customizing_charts__1_.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-chatgpt-paid-Customize%20presentation-ready%20charts.png" style="width: 600px;" /></a></p> <p>OpenAI同時保證，不會利用ChatGPT Teams和Enterprise用戶上傳的資料訓練模型。<strong>ChatGPT Plus的資料預設會被用於訓練</strong>，但用戶可以透過<a href="https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance" target="_blank">資料控管頁</a>選擇退出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0520-chatgpt-paid-Improvements%20to%20data%20analysis%20in%20ChatGPT-opt%20out-800.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2024/5/20 09:43作者林妍溱https://www.ithome.com.tw/news/162963
Azure 7月將強制啟用多因素驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/core-infrastructure-and-security/microsoft-will-require-mfa-for-all-azure-users/bc-p/4143356/highlight/true#M6078" target="_blank">微軟宣布</a>，今年7月將強制Azure用戶啟用多因素驗證（multi-factor authentication，MFA），提供多一層安全防護，不過Azure代管的應用和服務不在此列。</p> <p>微軟表示，現在已經很多雲端服務使用MFA，要求用戶提供2種以上的身分憑證作為存取服務或資源時的驗證。根據微軟自家報告，99.9%的被駭帳號未啟用MFA，報告也發現，MFA可阻擋99.2%的帳號駭人，是最有效的安全措施之一。疫情後混合辦公的作業型態普及，遠端攻擊安全風險升高，MFA能減少公司網路資源遭不明人士存取的風險，能減低帳號被駭及公司資料外洩風險，此外，還能協助公司滿足多種資安標準與法規要求，像是「支付卡產業資料安全標準」（PCI DSS）、健康保險可移植性和責任法案（HIPAA）、歐盟一般資料保護規則（GDPR）及美國國家標準技術局（NIST）等。<a href="https://www.microsoft.com/en/microsoft-cloud/resources/built-in-security" target="_blank">微軟去年11月公布</a>的安全未來計畫（Secure Future Initiative）三項工程革新之一，即在租戶層部署新式身分防護和MFA。</p> <p>從2024年7月起，Azure將漸進推動這項政策，以減少對用戶的衝擊。微軟會先從Azure portal開始要求，之後漸次推廣到CLI、PowerShell及Terraform。</p> <p>但這項政策不會主動適用Azure上代管的App、網站或服務，會由其管理決定驗證政策。此外，服務用於自動化的服務主體（service principal）物件、代管身分、作業負載身分和類似的token-based帳號也會排除在外，但微軟還是會針對緊急情況如Break-glass帳號（緊急情況使用的特權帳號）等蒐集用戶意見。MFA並沒有opt-out的選項，但若是用戶真的沒法使用，微軟還是可能允許例外，不過細節要等微軟之後正式通知。</p> <p>微軟之後將透過正式電子郵件和通知預先告知。最早強制啟用MFA的Azure portal，必要時也可能多給一些時間，但微軟仍呼籲管理員及用戶及早行動，透過MFA精靈的協助啟用MFA。</p> <p>現在Entra ID（原Azure AD）已支援多種MFA方法，包括使用Microsoft Authenticator App、簡訊、電話、或硬體金鑰，供用戶選擇偏好的方式。管理員也可利用Entra ID條件存取政策調整，要根據何種訊號，如用戶地點、裝置、角色或風險層級來啟用MFA，並建議管理員現在先檢查開發用的Entra ID及存取Azure Resource Manager的API，必要時也了解如何將用戶身分變更為服務主體及代管身分。</p> </div></div></div>
2024/5/20 08:48作者林妍溱https://www.ithome.com.tw/news/162962
【臺灣資安大會直擊】響應政府推動零信任架構，多家廠商推出信任推斷技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，依據第六期「國家資通安全發展方案（110年至113年）」<a href="https://www.ithome.com.tw/news/152538">推動零信任架構試行與導入</a>，行政院國家資通安全會報技術服務中心公開說明零信任網路發展與推廣的計畫，訂出「身分鑑別」、「設備鑑別」，以及「信任推斷」這3大核心機制，依照當時規畫時程，2022年、<a href="https://www.ithome.com.tw/article/158417">2023年</a>應陸續導入身分鑑別、設備鑑別，2024年的重點則是信任推斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TW ZTA-progress.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TW%20ZTA-progress.jpg" style="width: 600px;" /></a></p> <p>而<a href="https://www.nics.nat.gov.tw/core_business/cybersecurity_defense/ZTA/Related_Documents_and-Forms/">截至目前為止</a>，關於身分鑑別與設備鑑別的部分，已歷經《功能符合性驗證檢核表》、《功能符合性驗證通過廠商清單》、《部署驗證檢核表》、《導入建議》等文件的發布，至於信任推斷，是今年2月公布功能符合性驗證檢核表，整個資安界都在密切注意後續進展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TW ZTA相關文件與表單2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TW%20ZTA%E7%9B%B8%E9%97%9C%E6%96%87%E4%BB%B6%E8%88%87%E8%A1%A8%E5%96%AE2.jpg" style="width: 600px;" /></a></p> <p>而在5月中登場的2024臺灣資安大會，我們終於看到有多家廠商踏出重要一步，因為他們率先推出具備信任推斷功能的資安解決方案，相當不容易。</p> <p>首先我們注意到這系列技術突破的重要發布消息，是在大會第二天上午進行的其中一場主題演講，成立25年之久、以內網端點資安合規產品著稱的曜祥網技（e-Soft），首度公開展示他們的零信任解決方案。</p> <p>在闡述提升資安治理成熟度的第二主軸：落實零信任架構的導入時，該公司技術經理黃士滄向所有與會者，介紹新推出的「零信任管理系統擴充」，因應政府參考NIST SP800-207標準而設計的零信任架構，支援資源門戶的部署方式（Resource Portal Based Deployment），提供三大檢查程序：身分鑑別、設備鑑別，以及信任推斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA0.jpg" style="width: 600px;" /></a></p> <p>曜祥網技強調，企業與組織要建立「以連網設備管理為核心的零信任架構」，在網路邊界尚未消失之前，需在內部環境建置網路存取控管的架構（Inside Trust Zone），任何設備不能隨插即用（連網），需通過合規的檢查，檢查資安組態的套用是否落實，可由該公司的全方位資安智慧平台（Security Intelligence Portal，SIP）擔綱相關的作業；若使用者在內部環境要進一步連接重要的資通系統，這時就要啟動身分鑑別、設備鑑別，以及信任推斷（Zero Trust Zone）。他們認為企業目前與未來的環境，將會存在混合式的零信任存取架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA1.jpg" style="width: 600px;" /></a></p> <p>以零信任區域的存取方式而言，曜祥網技認為，企業與組織需建立「以重要資源管理為核心的零信任架構」，當使用者要連到重要的資通系統時，需透過反向代理（Reverse Proxy）連到決策引擎，進行相對應的檢查，通過之後才能開通網路，而非直接連線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA2.jpg" style="width: 600px;" /></a></p> <p>接下來，黃士滄也展示一段將近4分鐘的使用者操作示範影片，呈現在他們零信任架構之下的網站服務實際存取流程。而在2024臺灣資安大會結束後，我們向曜祥網技洽詢這套解決方案的開發依據，他們表示，ZTA零信任管理系統是依據國家資安院的檢核表進行開發，符合法規的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/e-soft ZTA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/e-soft%20ZTA.jpg" style="width: 600px;" /></a></p> <p>另一家我們得知能夠提供信任推斷解決方案的廠商，是以AI資安聞名的奧義智慧科技（CyCraft），他們在2024臺灣資安大會第二天尾聲的演講，也特別提到他們已開發出具備這類零信任架構功能的產品。</p> <p>之所以發展這方面的技術，部分原因來自奧義智慧加入數位發展部數位產業署的112年零信任資安場域實證計畫，他們藉由電商的場域來達到零信任的導入。</p> <p>奧義智慧科技研究主任陳仲寬表示，就NIST提出的零信任架構組成元件而言，我國政府零信任架構要求的身分鑑別與設備鑑別，主要對應的是政策資訊點（Policy Information Point，PIP），這部分的實作，他們與另一家臺灣資安廠商全景軟體（Changing）合作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20ZTA1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-CyCraft ZTA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-CyCraft%20ZTA1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CyCraft ZTA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20ZTA2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CyCraft ZTA3 PIP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CyCraft%20ZTA3%20PIP.jpg" style="width: 298px;" /></a></p> <p>而在信任推斷的部分，則是政策決策點（Policy Decision Point，PDP）涉及如何建立動態的策略，奧義智慧提出的作法，是設立決策引擎作為存取閘道，需通過身分識別與裝置識別這兩個項目，之後會透過API介接，取得全景FIDO相關資訊、端點的風險、身分的風險，以及外部政策的風險。決策控制器XCockpit ZeroTrust會向各種PIP索取資料，把這些資訊整合起來，若這些狀況都經過認可，就會核發鑑別聲明，讓使用者能夠存取到資源（機關資通系統）；相反地，若接收到端點偵測到資安風險，例如存在惡意程式的行為或駭客活動跡象，決策控制器就會藉此判斷現在狀況有危險，認定本次資源存取不合法，進而限制使用者存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-CyCraft ZTA0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-CyCraft%20ZTA0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-CyCraft ZTA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-CyCraft%20ZTA2.jpg" style="width: 600px;" /></a></p> <p>而在去年底公布的2023零信任應用示範案例的影片當中，奧義智慧科技共同創辦人叢培侃也強調，透過他們發展的零信任解決方案，能夠將傳統以知識為驗證基礎的模式（用帳號密碼登入），轉變為以風險因子判斷的模式（可同時考量到使用者的裝置是否安全、是否有合法的Token），來強化整個登入的流程。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/scvEiCMHoQE?si=ux7M78beYkIk3riW" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>除了上述兩家廠商，中華電信於2023臺灣資安大會於臺灣資安館展出的xTrust零信任網路系統，今年再度參展並強調具有信任推斷功能。在2024臺灣資安大會的第一天下午，中華電信研究院資通安全研究所主任級研究員孫漢傑發表演講，介紹此產品結合身分鑑別、設備鑑別、AI/ML 信任推斷分析、支援 FIDO2 國際標準、資料過濾和日誌紀錄等關鍵技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E7%B3%BB%E7%B5%B1-1-2024-05-16-Web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1%E9%9B%B6%E4%BF%A1%E4%BB%BB%E7%B6%B2%E8%B7%AF%E7%B3%BB%E7%B5%B1-2-2024-05-16-Web.jpg" style="width: 298px;" /></p> <p>在國際資安廠商的部分，我們也問到幾家業者，請他們談談自家產品對於信任推斷的支援。</p> <p>首先是趨勢科技（Trend Micro），今年他們在自家展區介紹整體解決方案平臺VisionOne的三大支柱之一：Zero Trust Secure Access，他們表示，若企業與組織採用趨勢科技的產品與服務，已能因應零信任架構的三大要求，趨勢科技也透過與其他廠商合作的方式來達成。以身分鑑別為例，趨勢科技目前可整合Microsoft Entra ID（Azure Active Directory）或是其他目錄服務來達成；關於設備健康度檢查，趨勢科技支援多種檢測條件、例如是否安裝防毒軟體或系統最新的漏洞修補版本；在信任推斷的部分，趨勢科技整合八大面向精準算出單一設備的風險分數，並備妥API供其他廠商進行演算。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TrendMicro ZTSA-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA-0.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/TrendMicro ZTSA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TrendMicro ZTSA2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/TrendMicro%20ZTSA3.jpg" style="width: 298px;" /></p> <p>另一家廠商是近期主打「Data Security Everywhere」的Forcepoint，他們的資料遺失預防（DLP）解決方案內建的Risk-Adaptive Protection（RAP），可收集使用者行為與該公司DLP資安事故資訊，運用他們發展的行為指標分析模型（Indicator of Behavior），計算出使用者的資安風險分數，而這些數值之後能主動與DLP系統進行溝通，以便根據風險等級的變化自動實施強制控管政策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Forcepoint RAP1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Forcepoint%20RAP1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Forcepoint%20RAP2.jpg" style="width: 298px;" /></p> <p>顯然Forcepoint提出的解決方案與現行臺灣資安廠商著重的作法大異其趣，因為他們主攻資料外洩及使用者行為的分析，而非端點與網路的層面，但我們不能否認信任涵蓋的面向原本就是廣泛的，結合更多角度來定義與驗證信任程度高低，的確有其必要性，也期盼能有越來越多資安廠商一起合作，共同響應政府零信任架構的推動，面對層出不窮的內外部資安威脅，能夠持續做到看得見、守得牢、管得好等目標。</p> </div></div></div>
2024/5/19 23:58作者李宗翰https://www.ithome.com.tw/news/162960
臺灣半導體業者逸昌遭網路攻擊，部分資訊系統受影響，仍在復原中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又有臺灣半導體業遭遇網路攻擊，在5月17日（周五）傍晚17時23分，上櫃半導體業者逸昌科技發布資安事件重大訊息，說明公司內有部份資訊系統遭受駭客攻擊。</p> <p>由於今年1月鴻海集團旗下半導體大廠京鼎精密遭網路攻擊，如今再有逸昌科技發生網路資安事件的消息，成為國內半導體公司關注焦點。</p> <p>基本上，逸昌科技這家半導體公司，主要從事晶圓測試、晶圓雷射修整製造、 IC 最終測試、外觀檢查、捲帶包裝、以及代客出貨等服務。</p> <p>對於這次資安事件，根據該公司的說明，他們發現網路傳輸異常，以及部份伺服器遭受駭客攻擊的情況。而他們的資安單位已立即啟動防禦復原機制，並與外部資安公司技術專家合作處理。</p> <p>值得留意的是，他們表示目前資訊系統陸續恢復中，意味著公告當下的周五傍晚，這些受影響的資訊系統尚未完全復原。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E4%B8%8A%E6%AB%83%E5%8D%8A%E5%B0%8E%E9%AB%94%E6%A5%AD%E9%80%B8%E6%98%8C%E7%99%BC%E7%94%9F%E7%B6%B2%E8%B7%AF%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6.png" style="width: 600px;" /></p> </div></div></div>
2024/5/18 14:09作者羅正漢https://www.ithome.com.tw/news/162954
【臺灣資安大會直擊】為量子破密危機做準備，臺灣郵件安全業者網擎資訊已開始部署PQC演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在量子破密的危機之下，許多企業擔心駭客「先竊取，後解密（Harvest Now, Decrypt Later，HNDL）」的攻擊手法，因此，支援新的後量子演算法，正成為現在關注的一大重點。</p> <p>在2024臺灣資安大會第三天的後量子安全國際研討會上，除了<a href="https://www.ithome.com.tw/news/162922">有數位產業署宣布「後量子資安產業聯盟」成立，以及多位PQC領域專家介紹最新發展態勢</a>，特別的是，還有國內軟硬體業者揭露相關成果與近況，亦成為現場矚目焦點。</p> <p>例如，國內郵件伺服器與雲端服務大廠網擎資訊，去年9月就曾宣布，已為其產品部署後量子加密技術，在這次大會中，該公司執行長廖長健也首度公開揭露相關細節。</p> <p>事實上，我們當時已經關注此一發展，因為，去年8月先是池安量子資安宣布成立「量子安全遷移中心」，還有Google宣布Chrome 116版將支援X25519Kyber768產生TLS加密連線中的對稱式金鑰，到了9月，我們又再注意到，在企業IT產品領域中，網擎資訊是臺灣首個宣布為其產品導入PQC演算法的廠商。</p> <p>對於HTTPS層面的公鑰密碼系統更換，廖長健說明了他們在這方面的經驗。基本上，升級PQC演算法不只是產品本身要支援，所有相關環境都要支援才能有用。</p> <p>近年國際間有幾個重要發展，促使網擎資訊也能有更進一步開始行動，首先是Cloudflare在2022年宣布推出後量子Kyber測試版，讓所有通過Cloudflare的網站服務可啟用該功能。</p> <p>其次是2023年8月，Google宣布Chrome 116版開始以混合支援方式支援PQC加密技術，在這樣的環境配合之下，網擎在Google宣布的一個月後，也公布了他們的Mail2000郵件伺服器已部署後量子加密技術，而他們之所以能在如此短時間內完成，其實背後也借助了量子安全遷移中心之力，讓自家產品建立起後量子密碼的準備能力。</p> <p>不過，廖長健也以自身產品為例，說明整體環境其實還有諸多面向都需要配合，才能徹底發揮效用。</p> <p>這是因為，雖然Mail2000在TLS 1.3版之下可支援PQC加密技術，但目前僅使用Google Chrome瀏覽器的網頁介面環境，還有一些應用面向只能沿用舊的加密技術。</p> <p>例如，在POP、IMAP面向的郵件用戶端程式，像是Outllok等郵件軟體也要支援才行，在SMTP面向的郵件傳送代理程式，目前即便一些大廠也都尚未準備就緒，像是Gmail只支援inbound的部分，Microsoft 365與其他多數都是inbound與outbonud都還沒有支援。因此，他也希望在PQC標準正式發布後，各方面的進展都能加快。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖6)網擎資訊導入後量子密碼學.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%966)%E7%B6%B2%E6%93%8E%E8%B3%87%E8%A8%8A%E5%B0%8E%E5%85%A5%E5%BE%8C%E9%87%8F%E5%AD%90%E5%AF%86%E7%A2%BC%E5%AD%B8.jpg" style="width: 600px;" /></a></p> <p><strong>網擎資訊執行長廖長健以一張圖來介紹X25519Kyber768後量子密碼的金鑰交換運作，並指出TLS 1.3的重要性。</strong></p> <p>另外，在SoC（System on a Chip）設計領域，深耕RISC-V領域多年的臺灣矽智財業者晶心科技，該公司總部管理室特助張弘毅也提到該領域的一些重要進展，例如，關於RISC-V PQC工作小組的最新動向，目前正進行後量子密碼學擴展規範的工作，其實去年已經開始進行，今年1月7日則是到了公開審查階段。</p> <p>雖然大家都在談要確保臺灣具有後量子密碼準備能力，不過實際採取行動更是關鍵，如今我們可以看到，臺灣已有IT產業、SoC設計產業正付諸行動。</p> </div></div></div>
2024/5/17 15:14作者羅正漢https://www.ithome.com.tw/news/162950
VMware修補單機PC虛擬化軟體的高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月14日VMware<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24280">發布資安公告</a>，指出旗下的虛擬化平臺VMware Workstation、Fusion存在4項漏洞，他們發布VMware Workstation 17.5.2、Fusion 13.5.2予以修補。</p> <p>這些漏洞當中，最嚴重的是評為重大層級的CVE-2024-22267，從虛擬藍牙裝置元件（vbluetooth）發現，為記憶體釋放後又再存取使用（Use After Free）的漏洞，攻擊者一旦取得本機管理員權限，就有機會對虛擬機器利用這項漏洞，藉由主機上的VMX處理程序，在虛擬機器上執行程式碼，CVSS風險評分為9.3。</p> <p>另外3個漏洞CVE-2024-22268、CVE-2024-22269、CVE-2024-22270，危險程度皆為高風險層級，其中，CVE-2024-22269、CVE-2024-22270為資訊洩露漏洞，分別存在於虛擬藍牙裝置，以及主機與虛機機器的檔案共用系統（Host Guest File System，HGFS）。至於CVE-2024-22268，則是與Shader的元件有關，為記憶體緩衝區溢位漏洞。而這些漏洞的CVSS風險評分，皆為7.1分。</p> <p>值得一提的是，以上所有漏洞都是透過趨勢科技旗下的漏洞懸賞專案Zero Day Initiative向VMware通報，除了CVE-2024-22268，其餘皆來自漏洞挖掘競賽Pwn2Own Vancouver 2024，由資安業者Theori、Star Labs SG組成的隊伍發現。</p> </div></div></div>
2024/5/17 16:18作者周峻佑https://www.ithome.com.tw/news/162952