iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 29篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 16:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

蘋果警告傭兵間諜軟體鎖定98國iPhone用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/07/10/apple-alerts-iphone-users-in-98-countries-to-mercenary-spyware-attacks/" target="_blank">Techcrunch</a>報導，蘋果本周對98國iPhone用戶發布威脅通知，警告用戶的Apple帳號遭到傭兵間諜軟體（mercenary spyware）攻擊。</p> <p>傭兵間諜軟體指的是由軟體開發商開發以提供給客戶，作為蒐集資訊或監控特定對象的間諜軟體。這類軟體通常銷售給政府、警察單位，用以監控記者、異議人士、外國官員或國內政治人物等身分敏感人物。最有名的傭兵間諜軟體是以色列公司NSO Group開發的Pegasus。已經有眾多國家或政黨人物、媒體記者、社會運動等人士的iPhone被發現感染Pegasus。</p> <p>蘋果自2021年起針對偵測蘋果帳號受到此類間諜軟體鎖定的用戶，發出威脅通知，迄今已經通知過超過150個國家的蘋果用戶。Techcrunch報導，本周有印度等98國用戶接到這份郵件通知。去年10月及<a href="https://www.ithome.com.tw/news/162247" target="_blank">今年4月</a>蘋果也先後發布安全通知。</p> <p>在這份通知中蘋果告知，該公司偵測到用戶遭到傭兵間諜軟體鎖定，這軟體試圖遠端存取和Apple ID -XXXX關聯的iPhone。用戶可能基於其身分或從事的工作而被這些軟體鎖定。蘋果說，雖然無法100%確定，但該公司對其偵測結果具高度信心，並請用戶不要輕忽。</p> <p>Google針對身分敏感人士提供進階保護計畫（Advanced Protection Program）確保其帳號安全性。另外非營利機構AccessNow<a href="http://accessnow.org/help/" target="_blank">也提供</a>免費的防護建議。</p> </div></div></div>
2024/7/12 12:21作者林妍溱https://www.ithome.com.tw/news/163911
詐欺駭客組織Ticket Heist運用700個網域兜售假的奧運門票
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著巴黎奧運即將於7月26日舉行，鎖定想要線上購買門票的民眾而來的詐欺網站也跟著出現，繼<a href="https://www.ithome.com.tw/news/163471">資安業者Proofpoint針對這種情況提出警告</a>，有研究人員公布更為詳細的調查結果，並指出背後的駭客組織同時也鎖定其他大型體育賽事而來。</p> <p>威脅情報業者QuoIntelligence表示，<a href="https://quointelligence.eu/2024/07/ticket-heist-olympic-games-and-sporting-events-at-risk/">他們發現專門針對使用俄語的人士，以及部分東歐國家，或是打算觀賞特定體育賽事人士而來的攻擊行動Ticket Heist</a>，研究人員在發現數個假冒奧運售票網站的網域後啟動調查，結果找到由708個詐欺網域名稱組成的大型網路犯罪基礎設施，並指出這些網域從2022年就動作頻頻，相關活動在2023年升級，到了今年針對特定體育賽事發動攻擊。</p> <p>研究人員指出，他們先是在去年底察覺網路上對於巴黎奧運相關討論顯著增加的情況。</p> <p>由於奧運向來是許多國家用於地緣政治影響力的工具，再加上烏克蘭戰爭、以哈衝突仍在持續，使得今年的賽事顯得格外重要。再加上今年3月國際奧委會禁止俄羅斯、白俄羅斯運動員代表自己國家參賽，這樣的情況無疑導致國際政治局勢變得更加緊張，國家級駭客針對這類賽事發動攻擊的情況更為加劇。</p> <p>他們最早發現的惡意網域是Ticket-paris24[.]com、Tickets-paris24[.]com，駭客架設與正牌網站極為相似的購票網站，讓民眾可以在這場體育賽事期間購買特定比賽的門票、挑選座位，甚至能一併安排在巴黎的住宿旅館。研究人員指出，有可能是因為直接從俄文翻譯成英語，這些網站存在少量的拼寫及語法錯誤，但即便如此，使用者操作起來幾乎與正牌網站沒有差異。</p> <p><a href="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png" style="width: 580px;" /></a></p> <p>雖然駭客架設的網站因針對不同賽事內容有所差異，但研究人員仍舊察覺存在許多相似的地方，像是因複製貼上產生相同的錯誤、翻譯錯誤，而能推測資料的來源可能相同。</p> <p>他們舉出一些例子，像是大部分架設的網站裡，隱私權政策網頁發布日期皆為2019年7月2日，但相關網域卻是今年2月22日產生，而且在4月28日被網路爬蟲索引的內容是404網頁。類似的小錯誤還包括：事件（Event）網頁部分內容尚未翻譯，並顯示俄文單字Afisha。</p> <p>為了追蹤這些網站的行為，研究人員也假冒想要入場觀看比賽的民眾，從中輸入各式有效及無效的內容。他們提及這些詐騙網站使用Stripe支付系統，這突顯駭客的目標並非為了竊取信用卡資料，而是在受害者儲值足夠的資金時，才允許下單購票，並在成功扣款後就不再有任何回應。</p> <p>比較特別的是，冒牌網站票價遠高於正牌網站。正牌網站未指定座位的票價不到100歐元，冒牌網站的票價卻是從300歐元起跳，甚至部分達到1,000歐元，這也突顯對方主要目的就是經濟利益。</p> <p>值得留意的是，這些駭客不只針對巴黎奧運，並鎖定歐洲足球錦標賽（UEFA Euro 2024），此外，知名人士及團體的演唱會或演奏會，也是他們詐欺標的。</p> </div></div></div>
2024/7/12 10:49作者周峻佑https://www.ithome.com.tw/news/163906
中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用惡意程式Gh0st變種SugarGh0st發起的攻擊行動，近期有不少事故傳出，如今有駭客組織結合WinRAR自解壓縮檔（SFX）的功能，佈置新的攻擊流程。</p> <p>思科旗下威脅情報團隊Talos揭露<a href="https://blog.talosintelligence.com/sneakychef-sugarghost-rat/">中國駭客組織SneakyChef的攻擊行動</a>，這些駭客約從2023年8月開始，針對歐洲、中東、非洲地區（EMEA），以及亞洲國家而來，散布名為SugarGh0st的惡意程式。</p> <p>這些駭客通常會利用政府機關文件的掃描檔案來作為誘餌，大部分與外交部及大使館有關。在其中2起發生在11月的攻擊行動裡，研究人員看到對方利用RAR自解壓縮檔來散布惡意程式。而且，自解壓縮檔案說明使用的語言為簡體中文，因此可推斷攻擊者是使用中文的人員。</p> <p>針對這起資安事故的發現，研究人員先是看到這些駭客鎖定烏茲別克和韓國用戶，企圖散布RAT木馬程式SugarGh0st，隨著他們進一步調查，發現也有其他國家的企業組織受害。</p> <p>根據攻擊者使用的誘餌內容，Talos的研究人員認為，駭客的攻擊目標很可能包含安哥拉、土庫曼、哈薩克、拉脫維亞的外交部，以及沙烏地阿拉伯大使館，除上述機構，研究人員也看到疑似針對安哥拉漁業暨海洋資源部、農業暨林業部發動攻擊的情況。而這些誘餌文件的共通點，就是經由掃描建檔而成，網路上無法找到這些檔案。</p> <p>研究人員指出，他們在去年11月公開這些駭客的攻擊行動後，對方雖然仍然繼續使用原本的C2網域，但後來又設置新的網域，不過，這波攻擊行動仍使用到舊的C2網域。</p> <p>究竟駭客使用了那些手法？研究人員特別提及使用RAR自解壓縮檔的部分，一旦使用者執行，包含在自解壓縮檔裡面的指令碼便會投放誘餌文件、DLL載入工具、經過加密處理的SugarGh0st，以及惡意VB指令碼等作案工具，然後執行惡意VB指令碼來維持在受害電腦的活動，每當使用者登入受害電腦，就會利用regsvr32.exe啟動DLL載入工具，從而讀取SugarGh0st並解密、注入處理程序執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-0394f919-f5dc-42e9-afa1-bbd81646cbd2.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-0394f919-f5dc-42e9-afa1-bbd81646cbd2.jpeg" style="width: 580px;" /></a></p> </div></div></div>
2024/7/12 10:55作者周峻佑https://www.ithome.com.tw/news/163908
【資安日報】7月12日，研究人員揭露鎖定巴黎奧運購票民眾的詐欺駭客組織Ticket Heist，並警告接下來的歐洲盃足…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對即將到來的巴黎奧運，有研究人員發現，駭客鎖定想要親臨現場觀賞比賽的民眾下手，架設冒牌購票網站行騙。他們指出，這些冒牌網站佈置極為完整，使用者若非察覺網站有少量因翻譯造成的拼寫錯誤，很難察覺有異。</p> <p>比較特別的是，這些駭客為增加騙得的金錢，冒牌網站的票價竟是正牌的3倍起跳。但是否有其他誘因能說服買家下單？研究人員推測，對方這樣做的目的，很有可能是讓消費者誤以為支付較高金額能得到較佳的待遇，或是因正牌網站銷售一空票價被哄抬。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163906"><strong style="font-size: 22px;">詐欺駭客組織Ticket Heist運用700個網域兜售假的奧運門票</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/landing-page-domain-olympics-1.png" style="width: 300px; float: right;" /></a>隨著巴黎奧運即將於7月26日舉行，鎖定想要線上購買門票的民眾而來的詐欺網站也跟著出現，繼資安業者Proofpoint針對這種情況提出警告，有研究人員公布更為詳細的調查結果，並指出背後的駭客組織同時也鎖定其他大型體育賽事而來。</p> <p>威脅情報業者QuoIntelligence表示，他們發現專門針對使用俄語的人士，以及部分東歐國家，或是打算觀賞特定體育賽事人士而來的攻擊行動Ticket Heist，研究人員在發現數個假冒奧運售票網站的網域後啟動調查，結果找到由708個詐欺網域名稱組成的大型網路犯罪基礎設施，並指出這些網域從2022年就動作頻頻，相關活動在2023年升級，到了今年針對特定體育賽事發動攻擊。</p> <p>比較特別的是，冒牌網站票價遠高於正牌網站。正牌網站未指定座位的票價不到100歐元，但冒牌網站的票價卻是從300歐元起跳，甚至部分達到1,000歐元，這也突顯對方主要目的就是經濟利益。</p> <p><a href="https://www.ithome.com.tw/news/163894"><strong style="font-size: 22px;">文件轉換程式庫Ghostscript存在RCE漏洞，傳出已被用於攻擊行動</strong></a></p> <p>今年5月初文件轉換程式庫Ghostscript的開發團隊發布10.03.1版，當中修補一項遠端程式碼執行（RCE）漏洞CVE-2024-29510，如今研究人員發現已被用於實際攻擊行動。</p> <p>通報漏洞的資安業者Codean Labs上週公布相關細節，他們提及上述應用程式或是網頁應用程式，當中的文件轉換及預覽功能及服務很有可能會造成重大影響，因為這些應用程式或是服務往往在背景執行Ghostscript，對此，研究人員提供Postscript指令碼，讓使用者檢查相關系統是否曝險。</p> <p>在Codean Labs公布相關細節後，開發人員Bill Mill指出已發現實際攻擊行動，呼籲IT人員要儘速檢查、進行處理；資安新聞網站Bleeping Computer指出，攻擊者使用偽裝成JPG圖檔的EPS檔案發動攻擊，從而取得目標系統的Shell存取權限。</p> <p><a href="https://www.ithome.com.tw/news/163908"><strong style="font-size: 22px;">中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st</strong></a></p> <p>利用惡意程式Gh0st變種SugarGh0st發起的攻擊行動，近期有不少事故傳出，如今有駭客組織結合WinRAR自解壓縮檔（SFX）的功能，佈置新的攻擊流程。</p> <p>思科旗下威脅情報團隊Talos揭露中國駭客組織SneakyChef的攻擊行動，這些駭客約從2023年8月開始，針對歐洲、中東、非洲地區（EMEA），以及亞洲國家而來，散布名為SugarGh0st的惡意程式。</p> <p>這些駭客通常會利用政府機關文件的掃描檔案來作為誘餌，大部分與外交部及大使館有關。在其中2起發生在11月的攻擊行動裡，研究人員看到對方利用RAR自解壓縮檔來散布惡意程式。根據自解壓縮檔案使用的語言，對方使用簡體中文進行溝通。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://techcrunch.com/2024/07/10/apple-alerts-iphone-users-in-98-countries-to-mercenary-spyware-attacks/"><strong style="font-size: 20px;">蘋果向近百個國家iPhone用戶發布警報，部分疑似遭到間諜軟體鎖定</strong></a></p> <p></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/dodgebox-deep-dive-updated-arsenal-apt41-part-1"><strong style="font-size: 20px;">中國駭客APT41使用惡意程式DodgeBox於受害電腦載入MoonWalk後門</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/siegedsec-hacks-heritage-foundation-project-2025/"><strong style="font-size: 20px;">美國傳統基金會遭駭，駭客組織SiegedSec聲稱竊得Project 2025的機密文件</strong></a></p> <p></p> <p>◆<a href="https://www.akamai.com/blog/security-research/2024-php-exploit-cve-one-day-after-disclosure"><strong style="font-size: 20px;">已知的PHP重大漏洞被用於散布Gh0st RAT、Muhstik及挖礦程式</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163897"><strong style="font-size: 22px;">Apache基金會修補網頁伺服器HTTP Server的原始碼洩露弱點</strong></a></p> <p>上週Apache基金會發布2.4.61版網頁伺服器系統HTTP Server，主要是修補一項漏洞CVE-2024-39884，這項漏洞帶來的影響，是在handlers組態透過AddType設置時，有可能導致原始碼資訊洩漏的情況，在2.4.60版以前的HTTP Server都可能會曝險。</p> <p>這項漏洞發生的原因，在於此網頁伺服器系統核心有個遞迴（regression）處理流程中，會忽略採用的部分舊版內容類型（content-type）。在AddType或類似的組態環境裡，某些間接請求檔案的情況，就有可能導致本機原始碼洩露的情況。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://security.paloaltonetworks.com/CVE-2024-5910"><strong style="font-size: 20px;">Palo Alto Networks修補移轉工具Expedition缺乏身分驗證的重大漏洞</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163895"><strong style="font-size: 22px;">針對高風險使用者規畫的進階防護計畫，Google開放透過Passkey進行註冊、使狦</strong></a></p> <p>7月10日Google宣布，專替記者、官員、人權工作者、政治競選人員等高風險使用者所設計的進階保護計畫（Advanced Protection Program，APP）將開放使用者透過通行密鑰（Passkey）來註冊及使用，不再強制要求使用實體金鑰。</p> <p>該公司表示，此項改變是為了因應使用者不見得總是能夠取得或買到實體金鑰，例如身處戰區的記者，旅行中的競選工作人員，或者是緊急或突發的商務旅行，Passkey則可讓高風險的Google用戶得以選擇使用他們既有的個人設備來進行身分驗證，而不一定要使用實體金鑰。</p> <p>不過，若是以Passkey來註冊APP，Google還會要求使用者新增復原選項，諸如電話號碼、電子郵件、其它的APP或安全金鑰，以在被鎖住時重新取回帳戶。</p> <p><a href="https://www.ithome.com.tw/news/163842"><strong style="font-size: 22px;">樂天市場揭露產品資安檢測方法</strong></a></p> <p>數位產品上線前是否該進行資安測試，怎麼測試才不容易漏測，測完應該怎麼做？臺灣樂天市場資安稽核團隊經理紀文平分享樂天市場從事前評估檢測需求到事後規畫解決方案的做法中，如何透過溝通與制度化來強化檢測嚴謹度，以及這套做法和臺灣常見做法的不同之處。紀文平所屬團隊是樂天集團3個國家的產品測試團隊之一，負責集團在各國的產品資安測試跟滲透測試。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163900"><strong>【7月11日】富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163875"><strong>【7月10日】微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163843"><strong>【7月9日】留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩漏電子郵件</strong></a></p> </div></div></div>
2024/7/12 11:07作者周峻佑https://www.ithome.com.tw/news/163909
蘋果於歐盟地區開放第三方行動錢包使用iPhone的NFC功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周四（7/11）<a href="https://ec.europa.eu/commission/presscorner/detail/en/speech_24_3746" target="_blank">宣布</a>，已接受蘋果對於開放第三方開發者存取iPhone上NFC功能的承諾，解決EC對蘋果限制NFC存取可能妨礙市場競爭的疑慮。蘋果必須在今年7月25日以前履行此一承諾，讓第三方於iPhone上提供行動錢包服務，同時具備過去只有Apple Pay獨有的方便體驗。</p> <p>EC是在2022年開始調查蘋果是否非法限制iPhone行動錢包的限制，且<a href="https://www.ithome.com.tw/news/150723" target="_blank">初步認為</a>蘋果濫用其主導地位，限制了利用iPhone進行支付的所需技術。</p> <p>蘋果在iPhone、Apple Watch、Mac及 iPad上內建了該公司所開發的Apple Pay行動錢包服務，它不僅可於實體及網路商店上支付，還整合了會員卡、門票、登機證或身分憑證等功能。Apple Pay是利用近場通訊（Near Field Communication，NFC）與商店的支付端點通訊。然而，過去蘋果一直以安全為由，禁止第三方行動錢包存取iPhone上的NFC功能。</p> <p>EC認為，NFC是個標準化的免費技術，並非由蘋果開發，它可利用二維條碼進行支付，也是現階段最安全且無縫的行動支付，亦為歐盟最普遍的解決方案。然而，在智慧行動裝置市場、NFC功能及行動錢包占有重要地位的蘋果，卻拒絕將iPhone上的NFC功能提供給行動錢包的競爭對手，而是將該技術保留給自家的Apple Pay，違反歐盟的競爭規定。</p> <p>蘋果在得到歐盟的通知後，於今年初提出一系列的承諾，接著便由EC針對相關承諾進行測試，最終在本周決定接受蘋果的提議。</p> <p>相關承諾包括蘋果將免費提供NFC功能予第三方行動錢包，有別於Apple Pay直接存取硬體的安全元件來執行支付，第三方行動錢包將可藉由與Android一致的主機卡模擬（Host Card Emulation，HCE）模式，利用軟體解決方案進行安全的NFC支付；此外，蘋果亦將允許第三方行動錢包使用Face ID、Touch ID及密碼來驗證用戶身分，也可透過iPhone側邊按鍵的按兩下功能來執行所偏好的支付程式；蘋果還將開放使用者選擇第三方行動錢包作為預設值；亦承諾要放行開發者於錢包中整合交通卡、存取控制、門票、數位身分憑證等。</p> <p>簡單地說，此一承諾將讓第三方行動錢包取得與Apple Pay幾乎一模一樣的功能，替使用者帶來無縫的支付體驗。</p> <p>蘋果必須在今年7月25日之前實現此一承諾，不過，現階段該承諾僅適用於歐洲經濟區（European Economic Area），並不確定蘋果是否或何時會將它延伸至其它市場。</p> </div></div></div>
2024/7/12 12:01作者陳曉莉https://www.ithome.com.tw/news/163910
三星具AI健康量測功能的智慧戒指Galaxy Ring正式推出，定價400美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年CES 2024大會上<a href="https://www.ithome.com.tw/news/161510" target="_blank">公開亮相</a>後，三星昨（11）日<a href="https://news.samsung.com/us/samsung-galaxy-ring-watch7-watch-ultra-wearables-provide-intelligent-health-wellness-data/" target="_blank">宣布</a>整合AI與健康量測功能的智慧戒指Galaxy Ring正式上市，售價399.99美元。</p> <p>Galaxy Ring將提供有9種尺寸，金、銀與黑三種顏色選擇。依大小而定，三星智慧戒指重量僅2.3公克到3.0公克，但是採用10ATM、IP68防水設計及Grade 59鈦金屬，10ATM意謂可沈入水中100米10分鐘或180公分約30分鐘，適用浮潛和游泳，強調適用情境廣泛。和競爭者Oura Ring相同，Galaxy Ring一次充飽電也可配戴最長7天。Oura的價格為299到549美元之間外加5.99月費，可提供體溫、心率、血氧量測。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-samsung%20galaxy%20ring-3.png" style="width: 400px;" /></p> <p>但Galaxy Ring最大特色是整合感測器和Galaxy AI功能。Galaxy Ring結合Samsung Health數位健康平臺，提供AI個人化健康管理，而且不需訂閱費就有。Galaxy Ring內建的感測器包括光電容積圖（PPG）、加速計、體表溫度計等感測器，並以AI分析產生數種健康指標。主打功能是結合睡眠AI演算法的睡眠監控，除了睡眠階段、打鼾分析，並加入睡眠中的動作、睡眠障礙、心率和呼吸率，這項功能可用於偵測睡眠呼吸中止症。此外，它可透過量測夜間體表溫度提供女性經期追蹤，並利用睡眠、動作、睡眠心率及睡眠心率變異（Heart Rate Variability）分析提供活力與心臟健康的監控。Galaxy Ring所有資料都整合於手機Samsung Health App，用戶可由此存取量測結果、長期紀錄以及三星的健康建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0712-galaxy-ring-energy-score-image-pc.jpg" style="width: 600px;" /></p> <p>健康量測之外，Galaxy Ring支援手勢感知，結合三星Galaxy手機，用戶以捏指動作二次控制手機相機拍照，或關閉鬧鐘。用戶也可利用三星手機Samsung Find功能中的Find My Ring來尋找不見下落的Galaxy Ring。要使用手勢感知功能，三星Galaxy手機需執行其使用者介面軟體One UI 6.1.1以上。</p> <p>Galaxy Ring現在可在Amazon、Best Buy和Samsung官網<a href="https://www.samsung.com/us/rings/galaxy-ring/" target="_blank">預購</a>，預計7月24日出貨。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／三星</span></p> </div></div></div>
2024/7/12 10:53作者林妍溱https://www.ithome.com.tw/news/163907
【蘋果私有AI戰略關鍵1】靠LoRA架構裝置端GAI擁有專門能力，為超強AI代理打基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月，蘋果WWDC搶盡了所有人的目光，不只是因為蘋果終於發表了生成式AI戰略，更因為蘋果從應用面，展示了生成式AI如何流暢地整合到不同應用場景中，操作體驗的流暢性和直覺設計，讓人大開眼界。</p> <p>蘋果執行長Tim Cook在WWDC開場演講中強調，蘋果打造任何產品都必須符合五大原則，首先是必須強大，能夠完成用戶重要的工作。其次是直觀易用，深度整合到產品體驗，第四是最重要的一點，它必須了解使用者，最後一項是，產品從一開始就必須以隱私為基礎。他強調，結合這些因素所打造的人工智慧，就是「個人智慧」（Personal intelligence），這也是蘋果的下一步重大發展。」蘋果用蘋果智慧（Apple Intelligence）來命名這一套個人智慧的系統。</p> <p>不同於其他生成式AI，蘋果軟體工程資深副總裁Craig Federighi指出，這套蘋果智慧系統將強大的生成模型放到蘋果產品的核心，可以依據個人的脈絡資訊，來提供有幫助又有相關的智慧。「每一步都保護你的隱私，高度整合到蘋果的平臺中，遍布在溝通、工作和表達自我的應用中。」</p> <p>Craig更強調：「蘋果智慧最大特色是可以了解使用者的個人脈絡。」所以才能讓iPhone、iPad 和 Mac這些裝置可以理解和生成出文字與圖像，也可以代表個人來採取行動，簡化跨不同App之間的互動。</p> <p>換句話說，蘋果智慧這套個人智慧系統，不只是高度個人化，而且是蘋果希望做到，只有自己看得到，用得上，其他人，連提供平臺的蘋果自己都不能看，除非獲得使用者主動的授權才能存取，可以說，蘋果智慧就是一種個人可以高度掌控的私有化AI。</p> <p>為了實踐這個隱私優先的設計考量，蘋果在生成式AI運作架構上，採取了雲地混合的AI基礎架構設計，在裝置端提供了30億參數的LLM模型，當地端GAI的能力不足時，才交由雲端的LLM模型接手。蘋果打造了一套「私有雲端運算」（Private Cloud Compute，簡稱PCC）服務來執行這些雲端的LLM模型，確保雲端GAI服務能夠達到蘋果想要的隱私保護要求，這是蘋果實踐私有AI戰略的另一個關鍵，我<a href="https://www.ithome.com.tw/news/163904" target="_blank">會用另一篇文章來說明</a>。</p> <p>雖然雲端PCC有很好的隱私安全設計，但是蘋果希望最好能在本地端裝置上，就能滿足使用者日常工作上、家庭中使用的各種GAI應用需求，必須盡可能發揮30億參數的能力。靠裝置端LLM模型能夠滿足越多使用需求，就能避免將個人資料上傳到雲端，也越能確保使用者的隱私。蘋果克服這項挑戰最大的關鍵就LoRA架構。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LoRA架構是蘋果裝置端LLM的關鍵架構</strong></span></span></p> <p>蘋果用他們在2023年開源釋出的AXLearn框架來訓練裝置端的LLM模型，也只用蘋果網路爬蟲機器人蒐集到的公開可用資料和其他有授權的資料來進行模型的預訓練，也採用了人工標記資料和合成資料來提高訓練素材的品質。在後訓練中，也採取了人類回饋強化學習RLHF等作法來優化模型。</p> <p>蘋果還採取了大量模型優化作法，例如所用的LoRA轉接模型（Adapter）採用了2位元和4位元搭配出平均3.5位元的權重壓縮策略，來縮小模型大小。蘋果更在2021年秋天，啟用了一套互動式的ML模型效能分析工具，讓ML工程師可以自己分析模型的行為指標（如準確性、精確度）和硬體指標（模型大小、延遲、功耗）的成效，2年來，蘋果內部超過8百人使用，用來分析超過3,600套各式各樣的模型。</p> <p>透過許多模型優化機制，讓這個30億參數的LLM模型，在iPhone 15 Pro回應第一個提示詞元（Token）的延遲時間，只需要0.6毫秒，也就是不到千分之一秒，就能生成第一個字的反應速度。目前每秒可以生成30個詞元，蘋果希望能持續提高生成的速度。</p> <p>除了各種優化作法，為了讓裝置端LLM，可以針對使用者各種日常活動來微調，盡可能只靠裝置就能完成任務，蘋果採取了一個非常關鍵，甚至可能是裝置端架構最重要的設計，蘋果採用LoRA（Low-Rank Adaptation）架構來部署LLM模型。這是微軟在2021年發布的大型語言模型優化架構，可以大幅減少微調大型語言模型的參數量。</p> <p>這邊不會詳細解釋LoRA的運作原理，簡單來說，LoRA作法是，在對一個大型語言模型進行微調時，可以搭配一個參數量相對小很多的神經網絡模型，稱為轉接模型（Adapters）來計算，訓練資料只需要來微調這個轉接模型，就能達到媲美直接微調大型語言模型的推論效果。</p> <p>一般來說30億參數的LLM模型，採用各種模型壓縮技術，可能也需要1、2GB的記憶體，但是，以蘋果所用的30億參數裝置端模型，他們採用了16位元，Rank值16設定的轉接模型大小，只有數十MB大小。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%BD%89%E6%8E%A5%E6%A8%A1%E5%9E%8B%E5%A3%93%E7%B8%AE-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%98%8B%E6%9E%9C.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>利用LoRA架構，蘋果智慧可以使用同一套裝置端LLM模型，來搭配各種不同用途的轉接模型，蘋果目前已經訓練出了語言生成模型的多種轉接模型，像是摘要模型，校對模型、郵件回覆模型、查詢處理模型、友善回應模型、緊急回應模型等，在圖片生成也有許多不同用途的專用模型。</strong><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>轉接模型只有數MB，用記憶體快取就能快速切換不同模型</strong></span></span></p> <p>因為裝置端像是手機、平板的記憶體有限，蘋果指出，這個大小的轉接模型，就可以動態使用記憶體來快取，切換不同的轉接模型。等於只需要載入一份LLM，可以針對不同任務需求，快速切換不用用途的轉接模型，就可以讓GAI具備不同用途的專門能力，就可以更有效的管理記憶體，也能確保在裝置上的回應速度夠快。</p> <p>採取LoRA有兩大好處，一是在模型預訓練階段，因為主要針對轉接模型進行微調，可以大幅減少需要訓練的參數量，很容易可以訓練出因應不同用途的轉接模型，例如用翻譯用轉接模型、內容摘要用轉接模型等。只需要使用不同用途的訓練資料，就能微調出適合不同任務的專用轉接模型，而不用每次都花時間和算力來微調大型語言模型。</p> <p>另一個好處是，一個大型大型語言模型，可以搭配使用不同的轉接模型，換了一個轉接模型，就能擁有這個轉接模型所微調後的效果，例如換上「內容摘要用轉接模型」，就能提高LLM摘要內容的能力和品質，甚至，可以串接多個轉接模型來疊加效果。</p> <p>若用專業相機的鏡頭來比喻LLM模型，不同鏡頭可以提供不同的功能，但是轉接模型就像是鏡頭的濾鏡，一個鏡頭可以搭配不同功能的濾鏡，不用每次都切換笨重的鏡頭，也能單靠快速更換濾鏡，就能拍出不同風格效果的照片，一個鏡頭還能搭配多個濾鏡，來呈現複合的效果。</p> <p>利用LoRA架構，蘋果智慧可以使用同一套裝置端LLM模型，來搭配各種不同用途的轉接模型，蘋果目前已經訓練出了語言生成模型的各種轉接模型，像是摘要模型，校對模型、郵件回覆模型、查詢處理模型、友善回應模型、緊急回應模型等，在圖片生成也有許多不同用途的專用模型。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>可以用不同專門模型，指揮第三方App來執行特定任務</strong></span></span></p> <p>蘋果將蘋果智慧的功能，高度整合到系統元件中，不同功能用途的元件可以使用對應功能的專用轉接模型，來提高執行特定任務的能力。</p> <p>蘋果新增的個人脈絡能力，像是語意索引、螢幕文字理解，將使用者當下的畫面，或與一項行動所需的相關個人化資訊，也可以用來分辨，裝置端LLM模型可以搭配使用哪些轉接模型來強化，符合個人化脈絡操作需要的能力，更可以搭配蘋果的App意圖框架，根據不同的App意圖，切換適合這項意圖的轉接模型。</p> <p>早在2年前的WWDC 2022，蘋果就發表了可讓Siri控制的App意圖，能讓使用者用語音指揮Siri來控制某些App的內部行為，更可以透過蘋果OS中的捷徑功能，組合不同App的行動，打造出一隻自動化RPA程式一樣，後來發展成了現在App意圖框架，到了今年WWDC，App意圖是整個系統可以用的基礎功能，任何第三方App，都可使用App意圖框架，將App內部的核心功能，定義成可以供Siri、Spotlight搜尋或是捷徑可以操作的App意圖。過去幾年已有不少第三方App，自定出了數百項App意圖，都成了Siri可以指揮的行動，讓蘋果智慧呼叫這些第三方App，來完成不同用途的功能。</p> <p>不只如此，過去幾年，蘋果不斷強化裝置端的隱私機制，盡可能讓用戶擁有更大的資料自主權，從2021年上路的ATT（App Tracking Transparency，ATT）政策，可拒絕廣告識別碼，來避免跨App追蹤，可隱藏真實Email的Hide My Email功能，可隱藏用戶IP的Private relay，更容易開關的精細權限控管、揭露度更高的App隱私報告。今年更新增了App層級的隱私控制，可以將一隻App所用的資料上鎖，沒有解鎖，就無法看到這隻App所用的任何資料。這就讓使用者對裝置端上的App，有更高的資料主控權，也能讓各種裝置端AI代理，更安全、在授權下，完成各項App意圖所驅動的行動。</p> <p>蘋果採用LoRA架構和種種模型優化技術，讓裝置端的LLM，可以快速切換搭配不同的專用轉接模型，來提供不同任務需要，更專門的GAI能力，還能用來判讀，使用者下達的指令背後的意圖，可以使用哪些第三方App能支援的行動來滿足使用者的需求，這就像是一個以使用者名義來採取各種行動的AI代理，而且蘋果智慧的AI代理，還可以只靠裝置端LLM，就能完成大部分日常活動需要的任務。</p> <p>蘋果在WWDC主題演講中，一點都沒有提過「AI代理」這個字，這個今年各大科技巨頭強打的GAI新主流，但是，採取LoRA架構來實現超強裝置端LLM的蘋果智慧，早已展開了各項AI代理基礎工程的布局。</p> <p><a href="https://www.ithome.com.tw/news/163904" target="_blank"><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 相關報導 </span></span> 【蘋果私有AI戰略關鍵2】用5大安全設計落實隱私3準則，打造高度私有的雲地混合架構</strong></span></a></p> </div></div></div>
2024/7/12 09:52作者王宏仁https://www.ithome.com.tw/news/163901
【蘋果私有AI戰略關鍵2】用5大安全設計落實隱私3準則，打造高度私有的雲地混合架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「了解個人脈絡資訊是AI真正有用的關鍵，但要用正確的方式來取得，用戶不應交出種種生活細節，就為了存到業者AI雲上來分析。」蘋果軟體工程資深副總裁Craig Federighi在WWDC產品發表，點出了現今雲端GAI應用最大的兩難。</p> <p>GAI模型需要個人化的資訊，才能提供更準確的建議或行動，但是越強大的LLM越需要算力來推論，只能上雲。這就導致，使用者得提供種種個人化的資訊，上傳到公雲上的GAI服務，可是，又無法確保，GAI業者會如承諾地，不將這些個人私密資料用來訓練模型，甚至有些業者乾脆調整使用條款，如Meta，宣布日後上傳到臉書的公開貼文，將成為模型訓練的素材。</p> <p>如何以「正確的方式」取得，讓用戶保有最大的隱私自主權，這是蘋果AI戰略實現「私有化」最關鍵的一步。蘋果不只承諾，從來不會使用用戶資料來訓練模型，更採取了雲地混合架構的AI運算，優先採用裝置端AI，當地端模型不敷使用時，改由一個「私有雲端運算」（Private Cloud Compute，簡稱PCC）上的模型來接手推論。</p> <p>蘋果甚至強調，PCC創造了一個全新的雲端AI隱私標準。這個隱私標準包括了三項準則，包括了「你的資料永不保留」、「只用於你請求的用途」以及「可驗證的隱私承諾」。蘋果強調，「私有雲端算力」服務，將會遵守這三項要求，會開放第三方來查驗。</p> <p>為了落實這三大隱私準則，來打造高度私有的雲端運算環境，蘋果採取了5個PCC安全設計原則。一是採取無態運算來處理個人資料，避免資料留存在PCC上遭追蹤。其次是用技術確保隱私承諾能做到最強，像是避免靠外部機制或元件來確保安全。第三個原則是禁止任何runtime執行階段的特權存取，像是移除特權存取功能，就能徹底杜絕管理者繞過隱私控制機制。第四要避免遭攻擊鎖定的能力，要想辦法特定節點遭入侵，導致特定使用者的資料被竊取。最後一項原則也是業界少有人做到的是可驗證的透明度，開放給第三方資安研究人員，來驗證自己的安全性保證。</p> <p>蘋果在PCC上，如何實踐上述五項安全設計，可以分三個層次，從硬體安全、軟體安全和安全驗證來說明。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從硬體安全、軟體安全和安全驗證來看PCC隱私實踐</strong></span></span></p> <p>先從底層硬體安全開始，PCC的運算節點採用的是蘋果晶片的伺服器，蘋果自製的系統單晶片，包括了手機、平板和筆電用的M系列或是伺服器用的M2/M3 Ultra系列等，除了內建CPU、GPU和AI運算用的NPU之外，最大特色是內建了一個安全隔離區（Secure Enclave），內有一個開機ROM、AES加密引擎以及產生密鑰需要的資料，可以用來處理作業系統上的任何加密、解密需求。</p> <p>當用戶的AI推論請求，從蘋果裝置傳送到雲端的PCC節點，在雲端進行推論計算，再將結果回傳到裝置上，都可以使用裝置或雲端PCC上的晶片硬體加密引擎來提供端到端的加密保護，這也正是蘋果採用自家晶片伺服器來打造PCC的原因之一，可以採用同一套硬體晶片加密技術來確保安全，也能用晶片製造時就內建的ROM來確保開機安全。這是蘋果PCC運算環境的信任基礎。</p> <p>在PCC軟體架構層的安全上，PCC的軟體架構包括了4層，最底層的私有雲軟體OS，維運需要的私有雲外掛程式，提供給SRE用工具就屬於這類外掛，第三層則是Swift語言打造的ML軟體架構層，最上一層則是蘋果各種伺服器端執行的大型模型。</p> <p>進一步來說，PCC節點伺服器底層所用的作業系統，是一個客製化版本。蘋果以iOS和macOS為基礎，改造出了一款特殊修改過的新版作業系統，保留了執行LLM推論需要的相關元件，來減少軟體的攻擊面，降低資安風險，也引進了iOS的安全機制，例如程式碼簽署和安全沙盒，只有經過授權和加密測量的程式碼才能在節點上執行。</p> <p>尤其，這款新OS更移除了傳統資料中心管理者慣用的通用管理工具，例如移除了SSH和遠端shell工具，改為只提供SRE人員需要的特定用途可觀察性工具。並且採用了Swift語言，打造了一套Swift on Server機器學習軟體架構，來執行雲端基礎模型的推論運算。</p> <p>使用者上傳的資料，只會在處理請求的PCC節點上進行推論計算，完成請求後就會刪除，不會用任何形式保留，例如像是不會保留在Log或除錯訊息中。因為每一次重新啟動時，就會隨機產生新的加密金鑰，也會用加密方式擦除資料也只有獲得授權的PCC節點內部的程式，才有權解開端到端全程加密的資料，就連蘋果任何員工，都無法解開、看到這些使用者的資料，已無法透過特權工具或機制，來存取得這些節點內的資料。</p> <p>PCC節點提供給SRE所用的可觀測性數據，也經過隱私考量設計，不提供通用性日誌記錄，而只提供預先設計、結構化和經過跨團隊層層審查的Log和指標資訊，才能離開PCC節點，來確保使用者資料在系統管理過程中不會外流到節點外。</p> <p>透過這一套專為AI推論量身打造的軟體技術架構，搭配蘋果自製硬體晶片，就可以滿足三大AI隱私標準的前兩項，至於第三項「可驗證的隱私承諾」，蘋果的作法更是獨樹一格。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E8%98%8B%E6%9E%9C%E6%99%BA%E6%85%A7%E9%9B%B2%E5%9C%B0%E6%B7%B7%E5%90%88%E6%9E%B6%E6%A7%8B-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E8%98%8B%E6%9E%9C(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>蘋果智慧採取了一套「私有」的雲地混合雲架構，使用者有最大的資料自主性，連蘋果都無法偷看。自製晶片上的安全隔離區（Secure Enclave）是最關鍵的信任基礎，更釋出雲端執行環境的映像檔和安全相關程式碼，來獲取全世界的擔保。</strong><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>蘋果獨創的隱私承諾驗證新作法</strong></span></span></p> <p>蘋果直接釋出了正式版本的雲端執行環境軟體映像檔，釋出給第三方驗證，來審視，蘋果自己實際在雲端節點所執行的環境，確實做到如他們所承諾的安全保證那樣。這個軟體映像檔包括了PCC私有雲軟體OS、私有雲端外掛程式，以及ML軟體架構層，等於是執行大型語言模型需要的所有軟體，都在這個映像檔中，只有上面的大型語言模型參數和ML程式碼沒有釋出。</p> <p>釋出自家軟體映像檔，提供給第三方查驗安全性，不是蘋果獨創的作法，有不少軟體業者也願意或公開自家軟體程式碼或映像檔，來證明和擔保自家軟體的安全性，但多數軟體業者釋出的版本，雖然也是正式版本，但不一定是實際真正執行的版本，實際在雲端主機上執行的，可能是更新更多功能的新版本，或是經過優化、微調後的版本。蘋果不只釋出實際使用的正式版本，還有一套方法向外界證明。</p> <p>蘋果在年底PCC對外啟用後，會發布一個採取了加密防篡設計的公開日誌，只能新增紀錄不能刪除，上面會釋出，PCC節點上所有程式碼執行的量測數據。另外，也會釋出相關軟體二進位映像檔，供研究人員與日誌上的Log紀錄比對。蘋果也會提供一套官方工具，讓資安研究人員分析PCC節點上的軟體，最後是透過蘋果資安漏洞獎勵計畫，來獎勵那些發現新漏洞的研究人員。</p> <p>每一個使用者的裝置要將資料上傳到PCC節點上進行AI推論時，會比對PCC節點上軟體的公開金鑰，是否符合公開日誌上正式版本的軟體，而節點上的所有程式碼，也同樣透過程式碼簽署技術，來確保屬於公開日誌上紀錄的版本。換句話說，蘋果智慧要將資料傳到PCC上進行推論時，只能傳送到使用了第三方驗證軟體的PCC節點。蘋果透過這個方式，由第三方來查驗和擔保，PCC雲端AI推論主機所用的軟體，都是符合蘋果對外隱私和安全保證的版本。</p> <p>蘋果還提供了一套PCC虛擬研究環境，可以在本地端Mac上模擬出一個PCC節點，來查驗上面軟體的功能。不只是釋出PCC節點的映像檔，甚至，蘋果承諾會定期釋出資安相關的PCC原始碼，提供資安人員檢查。</p> <p>為了證明，自家雲端AI是一個高度保護使用者隱私的環境，連蘋果自己都無法濫用、偷用的環境，蘋果大膽採取了開放完整映像檔和關鍵程式碼的作法，更是借力使力，讓全世界的資安人才都來幫自己強化安全的高招。</p> <p>不只如此，自製晶片上的安全隔離區，正是蘋果這套私有「雲地混合」架構最重要的信任基礎，也是最大的差異化特色。透過原廠晶片上的硬體建立信任基礎，來確保整個架構的安全，這是其他單靠自家軟體，搭配第三方硬體晶片，所難以實現的安全完整性。隨著科技巨頭爭相自行打造晶片，內建硬體安全也將成為新的晶片標準配備。</p> <p>「你的資料，就是你的資料」這是科技巨頭常標榜的顧客「資料自主性」承諾，相當於是蘋果「你的資料永不保留」和「只用於你請求的用途」這兩項AI隱私原則的要求，但蘋果以獨創的作法，實踐了「可供第三方驗證」原則，再一度創造了雲端AI隱私的新標準。</p> <p><a href="https://www.ithome.com.tw/news/163901" target="_blank"><span style="font-size:22px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 相關報導 </span></span>【蘋果私有AI戰略關鍵1】靠LoRA架構裝置端GAI擁有專門能力，為超強AI代理打基礎</strong></span></a></p> </div></div></div>
2024/7/12 09:55作者王宏仁https://www.ithome.com.tw/news/163904
蘋果私有AI戰略大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1190-feng_mian_-p1_open-dou_zi_-960x420_kao_bei_0.jpg?itok=A_EvkwjZ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>向來主打隱私作為品牌競爭力的蘋果，瞄準AI最為人擔心的隱私風險，揭露了最新的AI產品「蘋果智慧」，這不只是一套個人智慧系統，更是一套高度私有化的私有AI系統，從軟硬體設計、隱私安全架構到AI代理運作設計，打造了一套高度保護隱私的雲地混合AI架構，不只建立新的隱私安全標準，更創造了蘋果獨有的AI生態圈</p> </div></div></div>
2024/7/12 09:55作者王宏仁https://www.ithome.com.tw/article/163905
當安全性左移還不夠時
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_wei_xie_jian_mo_960x420.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>讓我們開門見山地說：威脅建模是一個持續循環的過程。它以明確的目標開始，然後是分析和採取相對應的處置行動，然後再重複這一個過程。威脅建模並不是萬靈藥──它並不能解決你的所有安全問題。威脅建模也不是一個指向網站或是程式碼儲存庫的雷達，一鍵生成可供勾選的項目清單列表。如果你讓團隊中適當的人員參加，則威脅建模是一個合乎邏輯推導且充滿智慧的過程。它會將設計考量和執行步驟進行充分討論，並使其更為清晰與完整。這些過程都需要團隊成員一同付出工作時間與專業知識來參與。</p> <p>威脅建模的第一條規則可能是古老的格言「垃圾進，垃圾出」（garbage in, garbage out）。如果你將威脅建模作為團隊工具箱的一部分，並讓每個人都以積極的方式參與其中，你將獲得很多好處；反之，如果你並沒有充分理解威脅建模的強處與弱項，或並沒有全心全意的投入其中，只把它當成一個「檢查項目表」，那這個過程就只是一個浪費時間的行為。</p> <p><em><span style="font-size:28px;"><strong>為什麼需要威脅建模</strong></span></em></p> <p>了解你的系統中可能出現的問題以及你可以透過做些什麼來增加你對所交付內容的信任，這才能讓你可以自由地專注於系統的其他方面。這就是威脅建模需求背後的真正原因。</p> <p>相同地，正確理解你不需要威脅建模的原因，也是很重要的事情。威脅建模並不能解決你所有的安全問題；它也不會立即將你的團隊轉變為安全專家。最重要的是，你不需要透過使用它來符合什麼安全規範。如果執行安全性實踐措施只是為了在符合規範的檢查表中打勾，那比什麼都沒做更令人沮喪。</p> <p>責怪開發人員不知道一些基本且重要的資安知識是不公平的。況且市場上的訓練機構，主要專注於交付商業導向的目標給開發人員，例如系統合規性，藉此滿足訓練機構的培訓目標及其他各種指標，在如何傳達有效、實用的安全內容給開發團隊並協助他們轉化成知識和實務操作方面，我們其實還有很大的進步空間。</p> <p>安全專家的任務之一是促進開發者社群的資訊安全教育發展。這包括如何開發出安全的系統，以及開發完成後如何評估程式碼和系統的安全性。為了達成這個目標，使用一些昂貴的資安工具往往可以補足公司或組織內尚未發展的資訊安全專業量能，但是使用工具的作法也會對使用者大幅地隱藏工具背後的專業知識。如果開發團隊成員能更了解工具背後的偵測方法，而不僅僅只是使用它，那麼團隊將獲益匪淺。以下是只會使用但卻沒有深入了解背後原理的例子：</p> <p>●簡單又有效的掃瞄器和靜態程式碼分析工具往往號稱採用人工智慧、機器學習、污染分析、攻擊樹以及某種神祕力量，但卻無法始終如一地產生相同的結果，或者給出的誤報比實際有用的答案還多。更甚者，分析工具往往希望等整個系統準備好了再執行掃描，此一做法與現代的持續整合/持續開發（CI/CD）軟體開發方法相悖。</p> <p>●顧問諮詢服務通常是被請求時才參與執行安全業務，往往都是忽然地出現，執行補救措施或教育訓練，然後便揚長而去。這在我們眼中就像海鷗一樣，牠們猛然地撲了過來，在你們身上拉了坨屎，再拍拍屁股走人，留下開發團隊自行處理後果。太過於依賴即時的安全顧問會帶來不利的長遠影響，因為資訊安全顧問並不是團隊成員，或許也並非公司的一員，顧問的利益與團隊目標無關，因此他們不會注重自己工作成果的長期影響。</p> <p>身為安全專家的我們也在組織內給開發人員製造了一種錯誤的期望值，例如以下的例子：</p> <p>●一個組織可以透過購買行為來獲得它的安全性態勢。如果組織在資訊安全工具上投入足夠的資金，那麼它將解決所有的安全問題。</p> <p>●每一季必修30分鐘資安訓練課程就足以讓開發團隊學習到公司對他們的期望目標，同時也能通過公司的稽核標準。且基於這些一流的訓練內容，開發團隊採用訓練內容中的工具也一定會保持警覺，並驗證團隊是否確實地遵循安全守則完成工作。</p> <p>最近（自2019年年中以來）資訊安全產業已經慢慢地接受安全性左移的概念。想像一下你要從左到右進行閱讀，而這個流程的起點在左端。當我們說左移的時候，意思是不論團隊使用什麼樣的開發方法，我們希望將安全實踐措施盡可能地移動到開發工作流程中的起點去執行。這樣做可讓潛在的資安事件發生並儘早得到處理。此外，與設計密切相關的資訊安全考量應該在系統的開發生命週期中儘早參與，例如威脅建模。如果你們團隊尚未採取這樣的措施，那麼現在應該即刻實踐。</p> <p>隨著軟體開發流程日益進步與變化，傳統上由左至右的開發週期的線性程度變得愈來愈低，使得安全性左移可能無法滿足系統中的所有安全需求。相反地，安全性左移在社群發展中日漸重要，在一個資訊系統開始考量其安全性之前，資訊安全社群需要被視為個體並進一步左移走進開發人員和設計師的日常工作。在這個出發點之上，我們將需要專注於培訓開發團隊做出安全的選擇，並帶來安全開發能力，從而在更基本的層面上避免威脅。</p> <p>依照資訊安全產業的整體培訓工作成果，我們預期看到資訊安全被落實在開發流程上的安全性左移，並在實作階段上以容易理解的語意和以邏輯化的程式碼所表達。但是如果前述的訓練失敗了呢？我們有哪些可能的糾正措施來糾正失敗的假設？</p> <p>讓我們從另一個角度來看，然後將各個部分連接成對這個情境的連貫回應。在討論安全策略時，有些人會以「在餐桌上的位置」來比喻安全資源的分配與優先處理事項。安全團隊和主管都希望「涉及的利益相關者」在「正在進行的討論」中為安全保留「一席之地」。好處是可以讓利益相關者釐清他們的需求，再從資源蛋糕中分得一杯羹。但是還有一個重要的資源沒有計算進來，那就是開發人員的時間和專注力。</p> <p>來看看網頁開發人員的例子，如果一個網頁開發工程師在早餐前學了LAMP技術棧，那這個技術知識可能在午餐過後就變得過時了，因為此時整個資訊產業已經遷移到MEAN技術棧。然後MEAN技術棧或許在下午茶時間又被另一個閃亮的新技術給取代，直到MEAN技術棧本身進化成另一個新玩意兒，並重新加入這個輪迴。也難怪網路上有許多迷因圖談論工程師永遠有學不完的東西，並且那些學到的專業知識通常都很快就過時。然而，不論這些技術存活時間多久，它們每一個的確都帶來新的安全挑戰以及與安全相關的習慣用法和機制。當然不免俗地，每一個技術棧也擁有自己的安全遵守規範，而開發者們必須理解和整合這些使用習慣，以便有效地保護他們正在開發的系統。</p> <p>如果網站不能關閉，而且網站的日常維運工作與開發人員學習新工具是在同一個時間進行，那又怎能期望網站安全性可以共享開發人員的時間與專注力，期待獲得比預期更多的收穫呢？</p> <p>這就是十字軍東征的開始──正如Richard Feynman告訴我們的那樣：「教授原則，而不是公式。」在本書中，我們將專注於原則，以幫助你理解和思考哪種威脅建模較適合你的用途、它如何在你的特定使用案例中提供幫助，以及你如何才能最好地將它應用到你的專案和團隊之中。<strong>（本文摘錄整理自《威脅建模》導論，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E5%A8%81%E8%84%85%E5%BB%BA%E6%A8%A1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_碁峰資訊</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 威脅建模：開發團隊的實務指南（Threat Modeling）</strong></p> <p>Izar Tarandach, Matthew J. Coles／著</p> <p>簡誌宏／譯</p> <p>碁峰資訊出版</p> <p>定價：680元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%A8%81%E8%84%85%E5%BB%BA%E6%A8%A1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 200px;" /></p> <p><a href="https://www.amazon.com/stores/Izar-Tarandach/author/B08FJFQ7J6?language=zh_TW&ref=sr_ntt_srch_lnk_1&qid=1720447216&sr=1-1&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p><strong>Izar Tarandach</strong></p> <p>Izar Tarandach曾是橋水公司(Bridgewater Associates)的資深資安架構師，在加入橋水公司之前，他亦曾在歐特克公司(Autodesk)負責產品安全架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E5%A8%81%E8%84%85%E5%BB%BA%E6%A8%A1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Horangi.png" style="width: 200px;" /></p> <p><a href="https://www.youtube.com/watch?v=rDTiARBLB2g" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Horangi</span></span></a></p> <p><strong>Matthew J. Coles</strong></p> <p>Matthew J. Coles在博士公司(Bose)負責產品資安專案以及擔任產品安全架構師，在加入博士公司之前，他在易安信公司(EMC)的類比產品團隊任職資安架構師。</p> </div></div></div>
2024/7/12 06:00未署名https://www.ithome.com.tw/article/163838
【從評估檢測必要性到事後風險評估的流程全解密】樂天市場揭露產品資安檢測方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位產品上線前是否該進行資安測試，怎麼測試才不容易漏測，測完應該怎麼做？臺灣樂天市場資安稽核團隊經理紀文平分享樂天市場從事前評估檢測需求到事後規畫解決方案的做法中，如何透過溝通與制度化來強化檢測嚴謹度，以及這套做法和臺灣常見做法的不同之處。紀文平所屬團隊是樂天集團3個國家的產品測試團隊之一，負責集團在各國的產品資安測試跟滲透測試。</p> <p>產品上線前資安檢測，指的是產品正式發布或改版前，由資安工程師扮演攻擊者，來試探系統漏洞，以在產品正式發布前修復或制定其他處理方針。樂天完整的檢測程序分為四個階段，包括了檢測必要性評估階段、提交需求的準備階段、正式檢測階段，以及事後風險評估階段。</p> <p><span style="font-size:28px;"><strong>產品上線前資安檢測要先評估必要性</strong></span></p> <p>紀文平指出：「像樂天這樣大型跨國企業有大量產品發布或改版，必須決定資安檢測的必要性及優先度。」例如，如果只是使用者介面排版更新、韌體小型更新、或靜態網頁更新，樂天未必會進行資安檢測。紀文平說，正式進入檢測階段前，企業需要有一套決策機制來評估資安檢測必要性，樂天也有一套自己的評估決策樹。他建議，企業可以從四個面向，來制定適合的必要性評估機制。</p> <p>第一個考慮面向是從攻擊表面來評估，也就是從產品部署環境，來評估攻擊者可以從哪些面向來對產品下手。可以考慮，部署環境有無外部保護機制？網路環境為何，有沒有WAF、VPN、Load Balancer、Proxy等機制？攻擊者能不能直接從外網接觸到此產品？都是需要考慮的事項。</p> <p>紀文平補充，當產品直接部署到客戶端環境，檢測時就要假設沒有任何額外防護，不能心存僥倖。如果是部署在自家可控環境，作為一個SaaS服務提供給客戶，測試時要連同內部執行環境的防護措施一併納入考量。</p> <p>第二個面向是產品是否涉及敏感資料。例如，產品是否會處理到個人資料、信用卡資料等高度隱私資料，或是企業內部高機密等級的資料？另外，也需要依照資料特性，測試處理方法有遵循相關資料處理法規或標準。</p> <p>第三個面向則是從產品改動情況評估，改動幅度和內容會不會影響資安相關設定。可以問的問題包括：產品是否涉及關鍵系統？是新產品推出還是舊產品改版？是大版本更新和還是小幅改動？改動內容是否有影響產品功能或底層邏輯？</p> <p>最後一個面向則要考慮網路環境的改變，包括網路組態有無改變、使用的API及其他服務有無改動等。</p> <p><span style="font-size:28px;"><strong>產品上線前資安檢測的做法，臺日模式大不同</strong></span></p> <p>一項產品評估後，確定進行上線前資安檢測，便進入了準備階段，由開發方提交檢測具體需求給資安檢測方。紀文平觀察，樂天等日本企業，與臺灣常見檢測準備方法有明顯差異。他以《112年共同供應契約資通安全服務品項採購規範》作為臺灣做法範本，來和樂天做法比較。</p> <p>首先，臺灣做法常會以URL或IP當作基本檢測單位，比方說，一項內網滲透測試，就是以一個IP為單位去計算服務所需人天。</p> <p>但樂天會以更細緻的請求為單位。光是一個登入頁面，內有登入、忘記密碼、提交Email、回到上一頁、進入更改密碼頁面、提交新密碼、進入訂單中心、進入購買歷史等功能按鈕，就有8個請求，也就是8個需要檢查的項目，都需要各自執行一輪檢測作業。</p> <p>不只如此，樂天資安團隊還會要求開發團隊提供檢查項目的詳細資訊，例如HTTP 請求方法（HTTP Method）、目標URL，以及各種其他細項參數。紀文平說，這種做法的溝通成本較高，但可以讓測試需求更加清楚、細緻。</p> <p>開發方提交完需求，資安團隊便會正式進入檢查階段，這個階段的臺日做法，也大不相同。紀文平說，臺灣定義檢測種類時通常用較高層級、較概括的語言來描述，且只會舉例幾項應測試內容，不會窮舉所有可測試項目。紀文平指出，這種做法很依賴資安工程師經驗或是技術，來決定還有哪些項目應該測試。他舉例，XSS漏洞測試做法有很多種，像前述共同契約規範只有簡單提到「XSS漏洞測試」，這樣一來，若企業只根據該規範來測試，便無法保證負責的工程師能測試到各種細項。</p> <p>樂天則會有一個檢查表，詳細列出每一項檢查項目。以Web產品來說，這個檢查表上會有超過100個項目，包含OWASP Top 10、SANS Top 25，以及其他常見資安漏洞項目，資安工程師需要根據測試表項目逐一測試並標註測試完畢。紀文平坦言，這種做法較繁瑣，但至少能確保資安工程師不會因為經驗或知識不足而有所疏漏。</p> <p><span style="font-size:28px;"><strong>根據風險程度擬定解決方案</strong></span></p> <p>檢測完畢，樂天資安團隊會根據CVSS分數列出不同漏洞，並設定解決漏洞的時限。若開發團隊評估漏洞無法於產品正式發布前修補，則會啟動風險承擔（Risk Acceptance）評估程序，由資安團隊及開發團隊長官共同執行。</p> <p>樂天的風險承擔評估做法是，漏洞CVSS分數越高，便需要兩邊團隊越高階的主管批准，才能允許不在產品發布前修補這個漏洞。同意承擔這個漏洞的風險後，還需要擬定短期風險規避和長期漏洞修復計畫。</p> <p>通常，越高風險的漏洞越不容易被放行。少數特例是，只於內網運作的服務，綜合考量內網其他防護機制後，兩邊團隊主管都判斷此服務不容易被攻擊，才會選擇承擔漏洞風險。</p> <p>紀文平總結，樂天產品上線前資安檢測流程非常注重細節與溝通。從準備階段開始，要求開發團隊給予更多資訊及測試準備，測試階段以請求而非URL為單位，且用檢查表細緻定義檢查項目，到最後風險承受評估要求開發及資安兩方團隊共重承擔資任，都可見一斑。</p> <p>「訂出細緻具體的檢測流程，就不會只依賴資深工程師的經驗。」紀文平說。不過他提醒，這種做法也有其挑戰，包括溝通成本較高、聚焦細項容易忽略複合型的弱點，以及共同評估風險承擔容易模糊責任歸屬等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>樂天產品上線前資安檢測特色</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%961-%E8%AB%8B%E6%B1%82%E7%82%BA%E5%96%AE%E4%BD%8D-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 特色1 </span></span></strong> <span style="color:#696969;"><strong>樂天產品檢查以請求為單位，而非以URL或IP為單位。例如，這個簡單的登入頁面就有高達8個請求，需要各自做一輪資安檢查。</strong><span style="font-size:14px;">攝影／郭又華</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%962-%E6%AA%A2%E6%9F%A5%E7%94%A2%E5%93%81%E8%B3%87%E8%A8%8A-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色2 </span></span></strong><span style="color:#696969;"> <strong>提交檢查需求時，開發團隊需要給資安團隊詳細的產品資訊，包括HTTP請求方法HTTP Method、目標URL，以及各種其他細項參數。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%963-%E6%AA%A2%E6%9F%A5%E6%B8%85%E5%96%AE-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF(1).jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色3 </span></span></strong><span style="color:#696969;"> <strong>進行資安檢測時，樂天資安工程師會拿到一份詳細的檢查表，以Web產品來說，會有超過100個項目。工程師測試完，還須在檢查表上逐一標註完成。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/fix_(%E6%96%B0)%E5%9C%964-%E9%A2%A8%E9%9A%AA%E8%A9%95%E4%BC%B0-%E6%94%9D%E5%BD%B1-%E9%83%AD%E5%8F%88%E8%8F%AF.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 特色4 </span></span></strong> <span style="color:#696969;"><strong>開發團隊評估漏洞無法在產品上線前修補時，便須由開發和資安團隊主管共同決定是否承擔此風險，並擬定長短期應對計畫。CVSS分數越高，所需簽核主管等級越高。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／郭又華</span></p> </div></div></div>
2024/7/12 06:00作者郭又華https://www.ithome.com.tw/news/163842
不讓輝達ConnectX-7專美於前，博通首款400GbE網路卡上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/broadcom_400gbe_nic_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應深度學習與生成式AI應用狂潮，AI加速伺服器在全球市場大賣，帶動資料中心GPU與各種AI加速運算器的普遍採用之餘，下一波伺服器周邊裝置硬體更新焦點，是建置具有更大傳輸頻寬的內部網路環境，例如，這幾年來陸續有多家廠商推出<a href="https://www.ithome.com.tw/tags/400gbe%E4%BA%A4%E6%8F%9B%E5%99%A8">400Gb/s等級的乙太網路交換器</a>，以及<a href="https://www.ithome.com.tw/review/146313">InfiniBand網路交換器</a>，而在伺服器搭配的網路介面卡方面，400Gb/s等級的產品先前只有<a href="https://www.ithome.com.tw/review/149714">Nvidia推出的ConnectX-7</a>，同時提供400GbE與400Gb InfiniBand的網路卡，而在資料處理器的產品線上，他們也推出支援400Gb/s網路的BlueField-3。</p> <p>其他廠商推展更高頻寬網路卡產品的態度並不積極，例如，<a href="https://www.ithome.com.tw/review/144482">英特爾Ethernet 800系列的E810</a>僅提供至100Gb/s、支援PCIe 4.0 x16介面，6月2024 Computex展覽期間預告今年稍晚<a href="https://download.intel.com/newsroom/2024/artificial-intelligence/Intel-Network-Connectivity-Fact-Sheet.pdf">將推出E830，屆時將推出200Gb/s乙太網路、支援PCIe 5.0x8介面的產品</a>，而在ASIC架構IPU產品方面，他們推出的<a href="https://www.ithome.com.tw/review/163144">IPU E2100支援200Gb/s乙太網路</a>；另一家網路晶片廠商Marvell，旗下45000系列Ethernet NIC的FastLinQ QL45611HLCU，能提供100Gb/s乙太網路、支援PCIe 3.0 x16介面，而在資料處理器的產品線上，Octeon 10 DPU系列雖然支援100GbE、200GbE、400GbE，但不同款式的網路埠組態設置當中，最高提供50Gb/s乙太網路、支援PCIe 5.0。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-Broadcom NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Broadcom%20NIC.jpg" style="width: 600px;" /></a></p> <p>這兩年來情況有了重大改變。首先是2023年7月<a href="https://ultraethernet.org/leading-cloud-service-semiconductor-and-system-providers-unite-to-form-ultra-ethernet-consortium/">超級乙太網路聯盟（Ultra Ethernet Consortium，UEC）宣布成立</a>，參與廠商包括：AMD、Arista、博通（Broadcom）、思科、Eviden、HPE、英特爾、Meta，以及微軟，這個組織存在的宗旨是因應高效能網路、AI、高效能運算工作負載的快速演進，建構基於乙太網路而成的完整通訊架構，滿足功能、效能、互通性、總體持有成本的最佳化需求，並且兼顧開發者與終端使用者的便利性。</p> <p>接著是今年上半，身為UEC聯盟成員之一的Broadcom，在3月底舉行的<a href="https://www.broadcom.com/company/news/product-releases/61981">投資者會議Broadcom Enabling AI Infrastructure</a>，預告即將推出AI最佳化網路卡，代號為Thor2，提供加倍的網路頻寬容量，最高可達到400Gb/s，並搭配全方位的壅塞管理功能，協助矯正網路流量堵塞的問題；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Broadcom%20Thor2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Broadcom%20Thor2-2.jpg" style="width: 600px;" /></p> <p>5月底在Dell Technologies World 2024大會召開期間，<a href="https://www.broadcom.com/company/news/product-releases/62216">Broadcom宣布推出支援PCIe 5.0介面的400GbE網路卡產品線</a>，Dell也在此時宣布旗下的頂級GPU伺服器<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2024~05~20240520-dell-technologies-fast-tracks-ai-driven-innovation-with-the-dell-ai-factory.htm#/filter-on/Country:en-us">PowerEdge XE9680，將支援Broadcom的400GbE網路卡</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20400GbE%20NIC-2024-05-23-2-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20400GbE%20NIC-2024-05-23-3-web.jpg" style="width: 298px;" /></p> <p>Broadcom強調，他們提供的400GbE網路卡，具有高度擴充性、高效能，以及低耗電等特色，提供性能更強大、開放、基於標準而成的乙太網路卡與交換器解決方案，因應AI資料中心面臨的各種連線瓶頸問題，像是AI加速晶片這類XPU頻寬不足，以及叢集規模快速成長。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-2.jpg" style="width: 298px;" /></a></p> <p>之所以能達到上述要求，Broadcom表示，這批網路卡產品搭配的乙太網路控制器晶片BCM57608（先前稱為BCM957608）導入5奈米製程，採用的設計能提供最高的能源使用與散熱效率，而且能搭配長達5公尺的被動銅纜，或是超低功耗的線性可插拔光學收發器，以及Broadcom旗下支援高基數拓樸架構（high-radix）的交換器，因此，能在繼續使用既有氣冷散熱技術的狀態下，支援更高密度的伺服器機櫃內部設置（能在伺服器機箱安裝更多張網路卡，並且維持使用氣冷散熱）。</p> <p>而在網路傳輸方式的改良上，Broadcom的400GbE網路卡也配備第三代的RoCE流程管線運作，並且提供低延遲的網路壅塞控制技術，以及創新的遙測監督機制，適合用於AI基礎架構的高頻寬、高壓力網路環境當中。同時，它們也採用Broadcom新一代強固式網路介面架構，可擴展本身的AI產品組合，藉此建立該公司在乙太網路資料中心基礎架構的領先地位。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-6.jpg" style="width: 600px;" /></a></p> <p>在供應市場的管道上，這些產品標榜400GbE與PCIe 5.0支援乙太網路，將透過多個伺服器廠商與Broadcom供應。以目前來看，Broadcom推出兩款內建單個QSFP112-DD埠的400GbE網路卡，可提供1個400GbE埠，一款是外形為PCIe介面卡的P1400GD，產品編號為BCM957608-P1400GDF00，一款是外形遵循OCP 3.0規格的P1400GD，產品編號為BCM957608-N1400GDP00；他們也有兩款內建2個QSFP112-DD埠的400GbE網路卡，可提供2個200GbE埠或1個400GbE埠，一款是外形為PCIe介面卡的P2200G，產品編號為BCM957608-P2200GQF00，一款是外形遵循OCP 3.0規格的N2200G，產品編號為BCM957608-N2200GQP00。它們都能搭配線性可插拔光學模組，連接5公尺長的直接銅纜連接。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom 400GbE NIC Models2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20400GbE%20NIC%20Models2.jpg" style="width: 600px;" /></a></p> <p>而這些基於BCM57608而成的網路卡，由於本身能因應更高速度的資料傳輸需求，支援400Gbps頻寬與250Mpps封包轉發率，內建8個100/50G PAM4與10/25G NRZ這兩種編碼傳輸技術，可針對AI/ML、雲端規模的網路環境，以及儲存應用系統，提供高度延展性、具備豐富功能的網路解決方案。</p> <p>關於網路加速存取的功能支援上，它們都能以支援RoCEv2與硬體層級的壅塞控制，透過Broadcom發展的第四代技術，可提供最低延遲，並且顯著改善大規模部署RoCE的複雜度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Broadcom Thor2-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Thor2-4.jpg" style="width: 298px;" /></a></p> <p>BCM57608也搭配第四代TruFlow引擎，整合硬體加速機制、配備強化可程式化機制的多功能引擎（剖析、查詢、匹配、動作），以便快速建置新的網路傳輸類型，同時，這個引擎也能增加虛擬機器的部署密度，減輕伺服器處理器用量，以及改善應用系統的效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20TrueFlow.png" style="width: 500px;" /></p> <p>關於安全性確保的部分，Broadcom的400GbE網路卡也內建矽信任根（RoT），可支援SPDM 1.2版規格，該公司先前推出的網路卡若是搭配BCM5750X系列晶片，也支援SDPM 1.2，當中採用他們發展的矽信任根技術BroadSAFE，而能因應系統安全開機啟動與見證（attestation）的需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom Ethernet NIC Attestation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Ethernet%20NIC%20Attestation.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Silicon%20RoT%20and%20Secure%20Firmware%20Loading.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Broadcom 400Gb Ethernet NICs</strong><br /> ●原廠：Broadcom<br /> ●建議售價：廠商未提供<br /> ●機型與外形：P1400GD為半長矮版PCIe介面卡，N1400GD為OCP 3.0規格介面卡<br /> ●支援網路介面：25GbE/50GbE/100GbE/200GbE/400GbE<br /> ●提供網路埠：1個QSFP112-DD埠<br /> ●採用ASIC晶片：Broadcom BCM57608<br /> ●連接介面：PCIe 5.0 x16<br /> ●支援伺服器虛擬化規格：VMQ、SR-IOV<br /> ●支援網路虛擬化規格：VXLAN、NVGRE、GENEVE<br /> ●支援網路時間精確應用：IEEE 1588v2、SyncE<br /> ●進階功能：TruFlow、TruManage<br /> ●支援儲存網路協定：RoCEv2<br /> ●支援安全性功能：資料安全提供kTLS硬體加解密卸載、QUIC硬體加解密卸載，平臺安全提供RoT、SPDM 1.2</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/11 19:22作者李宗翰https://www.ithome.com.tw/review/163837
【資安日報】7月11日，富士通公布今年3月發生駭客入侵事故調查結果，證實近50臺電腦感染蠕蟲程式，並有資料外洩跡象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日最受到關注的消息，應該就屬日本資通大廠富士通公布今年3月資安事故最新發現，他們指出對方使用的作案工具具備高深的偽裝技術，且具備蠕蟲特性進行橫向感染。</p> <p>這次的調查結果也證實當初懷疑資料外流的情況，他們發現駭客利用惡意程式進行複製，有部分客戶及公司資訊流出。但究竟有多少人受到影響，該公司並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163883"><strong style="font-size: 22px;">富士通證實駭客入侵致客戶資料外流，透露並非遭遇勒索軟體攻擊</strong></a></p> <p>今年3月15日富士通發出公告說明多臺電腦發現到惡意軟體，懷疑有客戶個資外流。4個月後富士通公布調查結果，顯示駭客的作案工具，很可能是具有進階偽裝技術的蠕蟲程式。</p> <p>富士通指出，在公司電腦發現的惡意程式並非勒索軟體，而是使用多種偽裝手法躲避偵測的進階攻擊工具。他們發現先是其中一臺電腦遭到感染，然後向其他電腦蔓延，最終共有49臺電腦遭感染。這批電腦已經在第一時間被隔離防止災害擴大，也封鎖被攻擊者當成入侵基地的外部伺服器。</p> <p>不過該公司事後分析事件記錄檔案發現，駭客這些電腦上已針對部分檔案下達複製指令，因此他們研判這些檔案已經被非法流出。外洩的資訊包括：部分客戶姓名和公司資訊。</p> <p><a href="https://www.ithome.com.tw/news/163896"><strong style="font-size: 22px;">駭客聲稱掌握數千名微軟、Nokia員工個資，將其流入網路犯罪論壇</strong></a></p> <p>資安媒體HackRead本周揭露，使用ID為888的駭客於網路犯罪論壇上公布了數千名Nokia與微軟員工的個資，並宣稱相關資料的來源，是這兩家公司的第三方合作夥伴。</p> <p>根據駭客公布與Nokia有關的CSV檔案，共包含了7,258名Nokia員工的資料，包括職稱、全名、公司名稱、國家及地區、公司電話號碼，以及電子郵件位址。資料時間點介於2022年6月至2023年2月之間。</p> <p>至於與微軟有關的外洩檔案則涵蓋了2,047名微軟員工，內含他們的職稱、姓名、國家及地區、LinkedIn個人檔案連結、公司電話號碼，以及電子郵件位址。</p> <p><a href="https://www.ithome.com.tw/news/163889"><strong style="font-size: 22px;">微軟修補MSHTML零時差漏洞消息剛發布，但去年1月就有駭客濫用漏洞，今年5月又被發現有人藉此散布竊資軟體Atlantida</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image4.png" style="width: 300px; float: right;" /></a>本週二微軟修補已發生攻擊行動的MSHTML零時差漏洞CVE-2024-38112，通報此事的資安業者Check Point公布駭客利用這項漏洞的手法，對方藉由讓使用者點選特製的URL檔案，啟動Internet Explorer（IE）來觸發攻擊鏈。</p> <p>研究人員指出，他們看到利用這種URL觸發漏洞的攻擊手法，最早可追溯到去年1月，換言之，駭客運用這項漏洞的時間已長達一年半。Check Point研究小組經理Eli Smadja透露，他們至少看到兩起攻擊行動，其中有人利用上述漏洞散布名為Atlantida的竊資軟體。</p> <p>他們在今年5月中旬，發現使用Atlantida的駭客利用這項漏洞，鎖定土耳其及越南的使用者。這些駭客入侵含有弱點的WordPress網站，然後透過HTA及PowerShell檔案從事攻擊。</p> <p><a href="https://www.ithome.com.tw/news/163840"><strong style="font-size: 22px;">駭客鎖定以色列政府機關及企業組織，意圖散布以開源工具打造的惡意程式GrassHopper</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/wp-operative-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/wp-operative-1.png" style="width: 300px; float: right;" /></a>資安業者HarfangLab在調查鎖定以色列政府、企業組織的攻擊行動過程裡，找到先前未曾揭露的可疑網域，攻擊者將其用於設置C2伺服器，但特別的是，這個網域存在的時間相當長，引起了研究人員的注意。</p> <p>他們循線調查駭客在攻擊過程使用的相關工具，發現對方使用可公開的惡意軟體，也有部分作案工具是自行開發，相關攻擊行動具有高度針對性，他們散布惡意酬載的管道，是利用專門為目標基礎設施量身打造的WordPress網站，研究人員指出，這些攻擊仰賴開源的惡意軟體，影響範圍甚至擴及了不同領域的垂直產業。</p> <p>針對上述的攻擊行動，研究人員懷疑是資安人員的滲透測試所致，但由於相關的攻擊基礎設施並未與市面上的滲透測試業者有關，因此他們認為應該向資安社群公布相關發現。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.lookout.com/threat-intelligence/guardzoo-houthi-android-surveillanceware"><strong style="font-size: 20px;">中東國家的軍事人員遭到惡意程式GuardZoo鎖定，逾450人安卓手機遭到監控</strong></a></p> <p></p> <p>◆<a href="https://cofense.com/blog/new-malware-campaign-targeting-spanish-language-victims/"><strong style="font-size: 20px;">拉丁美洲礦業、製造業遭到鎖定，駭客對其散布木馬程式Poco RAT</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/computer-maker-zotac-exposed-customers-rma-info-on-google-search/"><strong style="font-size: 20px;">電腦製造商Zotec不慎曝露申請退貨授權請求的相關文件，進一步導致客戶資料曝光</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/roblox-vendor-data-breach-exposes-dev-conference-attendee-info/"><strong style="font-size: 20px;">電玩遊戲Roblox傳出供應商資料外洩，開發者大會與會者資料流出</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163899"><strong style="font-size: 22px;">Citrix修補應用程式交付平臺NetScaler高風險漏洞，若不處理恐面臨資訊洩露、阻斷服務風險</strong></a></p> <p>7月9日Citrix針對旗下多項產品發布資安公告，總共修補9項漏洞，其中又以出現在應用程式交付平臺NetScaler主控臺元件、NetScaler SVM的漏洞最為危險，而值得留意。</p> <p>這些漏洞分別是：重大層級的敏感資訊洩露漏洞CVE-2024-6235，高風險層級的阻斷服務（DoS）漏洞CVE-2024-6236，CVSS風險評分為9.4、7.1。</p> <p>值得留意的是，雖然CVE-2024-6235較為危險，但CVE-2024-6236影響範圍較廣。CVE-2024-6235影響14.1版NetScaler Console（原名NetScaler ADM），而另一個漏洞不僅影響13.0、13.1、14.1版NetScaler Console，也影響NetScaler SDX、NetScaler Agent元件。</p> <p><a href="https://www.ithome.com.tw/news/163898"><strong style="font-size: 22px;">VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊</strong></a></p> <p>7月10日VMware修補旗下雲端自動化平臺Aria Automation高風險漏洞CVE-2024-22280，此為SQL注入漏洞，起因是並未套用正確的輸入驗證產生，CVSS風險評分為8.5，影響8.17.0版以下的Aria Automation，以及4.x版、5.x版Cloud Foundation。</p> <p>攻擊者若要利用這項漏洞，可在通過身分驗證的情況下，輸入偽造的SQL查詢指令，從而進行未經授權的資料庫讀取及寫入作業。</p> <p><a href="https://www.ithome.com.tw/news/163887"><strong style="font-size: 22px;">研究發現RADIUS協定存在漏洞Blast RADIUS，可讓駭客發動中間人攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/files/0711-Details of the Blast-RADIUS attack-by cloudflare.png"><img alt="" src="https://s4.itho.me/sites/default/files/files/0711-Details%20of%20the%20Blast-RADIUS%20attack-by%20cloudflare.png" style="width: 300px; float: right;" /></a>由微軟、Cloudflare等資安產學專家組成的研究團隊針對RADIUS通訊協定進行調查，發現安全漏洞Blast RADIUS（CVE-2024-3596），有可能被攻擊者用於發動中間人（MitM）攻擊，呼籲IETF等標準組織應翻新設計，設備廠商應考慮使用更安全的傳輸技術。</p> <p>這項通訊協定漏洞，可讓非授權者攻擊者通過驗證、以存取遠端裝置，或是取得任意網路權限，包括管理員對裝置權限，即可對網路上其他裝置發動中間人攻擊，而且過程中完全無需使用暴力破解、竊取密碼或共享金鑰。</p> <p>研究人員表示，這項研究目的在證明RADIUS安全防護不足，呼籲裝置廠商和標準組織IETF汰除RADIUS over UDP，並要求在更安全的通道傳輸RADIUS，如TLS。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-siemens-schneider-electric-cisa-issue-advisories/"><strong style="font-size: 20px;">西門子、施耐德電機、CISA針對工業控制系統發布資安公告</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163875"><strong>【7月10日】微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163843"><strong>【7月9日】留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩漏電子郵件</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> </div></div></div>
2024/7/11 18:07作者周峻佑https://www.ithome.com.tw/news/163900
Citrix修補應用程式交付平臺NetScaler高風險漏洞，若不處理恐面臨資訊洩露、阻斷服務風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月9日Citrix針對旗下多項產品發布資安公告，<a href="https://www.cisa.gov/news-events/alerts/2024/07/09/citrix-releases-security-updates-multiple-products">總共修補9項漏洞</a>，其中又以出現在<a href="https://support.citrix.com/article/CTX677998/netscaler-console-agent-and-svm-security-bulletin-for-cve20246235-and-cve20246236">應用程式交付平臺NetScaler主控臺元件、NetScaler SVM的漏洞最為危險</a>，而值得留意。</p> <p>這些漏洞分別是：重大層級的敏感資訊洩露漏洞CVE-2024-6235，高風險層級的阻斷服務（DoS）漏洞CVE-2024-6236，CVSS風險評分為9.4、7.1。</p> <p>值得留意的是，雖然CVE-2024-6235較為危險，但CVE-2024-6236影響範圍較廣。CVE-2024-6235影響14.1版NetScaler Console（原名NetScaler ADM），而另一個漏洞不僅影響13.0、13.1、14.1版NetScaler Console，也影響NetScaler SDX、NetScaler Agent元件。</p> <p>對此，該公司呼籲用戶應儘速套用新版程式予以修補，不過，這些漏洞是否被用於實際攻擊行動，他們並未進一步透露。</p> </div></div></div>
2024/7/11 17:52作者周峻佑https://www.ithome.com.tw/news/163899
文件轉換程式庫Ghostscript存在RCE漏洞，傳出已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月初文件轉換程式庫Ghostscript的開發團隊<a href="https://ghostscript.readthedocs.io/en/gs10.03.1/News.html#Version10.03.1">發布10.03.1版</a>，當中修補一項遠端程式碼執行（RCE）漏洞CVE-2024-29510，如今研究人員發現已被用於實際攻擊行動。</p> <p>這項漏洞與格式字串有關，攻擊者透過格式字串注入手法，有可能導致記憶體中斷，或是繞過沙箱機制Safer，CVSS風險評為6.3分。值得留意的是，由於這項程式庫的應用範圍很廣，不僅有許多版本的Linux作業系統內建，也有多款知名的應用程式採用，例如：ImageMagick、LibreOffice、GIMP、Inkscape、Scribus，影響不容小覷。</p> <p>通報漏洞的<a href="https://codeanlabs.com/blog/research/cve-2024-29510-ghostscript-format-string-exploitation/">資安業者Codean Labs上週公布相關細節</a>，他們提及上述應用程式或是網頁應用程式，當中的文件轉換及預覽功能及服務很有可能會造成重大影響，因為這些應用程式或是服務往往在背景執行Ghostscript，對此，研究人員提供Postscript指令碼，讓使用者檢查相關系統是否曝險。</p> <p>研究人員提到，Safer沙箱的主要功能，是限縮I/O作業內容，一旦啟用，將會禁止%pipe%功能，從而達到阻止任意命令執行的目的，並藉由路徑白名單限制檔案的存取。</p> <p>然而，他們發現，當中的/tmp/資料夾卻能讓人完整存取、不受限制。也就是說，就算是Postscript指令碼處於沙箱環境，仍能完整列出、讀取、寫入任意資料到/tmp/，因而帶來資安風險。</p> <p>從攻擊者的角度來看，這種讀寫檔案的能力，再搭配竄改輸出裝置及組態的功能，就有機會用於攻擊。</p> <p>研究人員指出，他們可以使用特定命令，將輸入設備的型態設置為uniprint（通用印表機），再稍加對於特定加入設備參數，就有機會對不同廠牌及型號的設備下手。</p> <p>他們藉由setpagedevice竄改uniprint，並下達指定upXXXX指令參數，從而存取記憶體堆疊的位置並濫用漏洞，成功達到沙箱逃逸的目的，而能發動完整RCE攻擊。</p> <p>研究人員指出，駭客可以將特定的PostScript檔案（EPS）呼叫Ghostscript觸發漏洞，或是將其嵌入LibreOffice文件檔案，在開啟檔案的過程觸發命令執行。</p> <p>在Codean Labs公布相關細節後，<a href="https://hachyderm.io/@llimllib/112722578840238142">開發人員Bill Mill指出已發現實際攻擊行動</a>，呼籲IT人員要儘速檢查、進行處理；<a href="https://www.bleepingcomputer.com/news/security/rce-bug-in-widely-used-ghostscript-library-now-exploited-in-attacks/">資安新聞網站Bleeping Computer指出</a>，攻擊者使用偽裝成JPG圖檔的EPS檔案發動攻擊，從而取得目標系統的Shell存取權限。</p> </div></div></div>
2024/7/11 15:56作者周峻佑https://www.ithome.com.tw/news/163894
駭客聲稱掌握數千名微軟、Nokia員工個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安媒體<a href="https://hackread.com/hacker-leaks-microsoft-nokia-employee-details/" target="_blank">HackRead本周揭露</a>，一名代號為888的駭客於網路犯罪論壇上公布了數千名Nokia與微軟員工的個資，並宣稱相關資料都是源自這兩家公司的第三方合作夥伴。</p> <p>駭客所釋出的、與Nokia有關的CSV檔中包含了7,258名Nokia員工的資料，包括職稱、全名、公司名稱、國家/地區/州、專線及公司電話號碼，以及電子郵件位址。資料時間點介於2022年6月至2023年2月之間。相較於Nokia全球的86,900名員工，外洩規模約占Nokia總員工數的8.3%。</p> <p>至於與微軟有關的外洩檔案則涵蓋了2,047名微軟員工，內含他們的職稱、姓名、國家/州/城市、LinkedIn個人檔案連結、專線與公司電話號碼，以及電子郵件位址。微軟總員工數約為14.4萬名。</p> <p>儘管檔案中並未含有密碼或支付等機密資訊，惟相關資料有可能被用來執行身分竊盜、社會工程詐騙或網釣攻擊。</p> <p> </p> </div></div></div>
2024/7/11 16:22作者陳曉莉https://www.ithome.com.tw/news/163896
Apache基金會修補網頁伺服器HTTP Server的原始碼洩露弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週Apache基金會<a href="https://httpd.apache.org/security/vulnerabilities_24.html">發布2.4.61版網頁伺服器系統HTTP Server</a>，主要是修補一項漏洞CVE-2024-39884，這項漏洞帶來的影響，是在handlers組態透過AddType設置時，有可能導致原始碼資訊洩漏的情況，在2.4.60版以前的HTTP Server都可能會曝險。</p> <p>這項漏洞發生的原因，在於此網頁伺服器系統核心有個遞迴（regression）處理流程中，會忽略採用的部分舊版內容類型（content-type）。在AddType或類似的組態環境裡，某些間接請求檔案的情況，就有可能導致本機原始碼洩露的情況。</p> <p>關於這項漏洞的嚴重程度，Apache基金會先將其列為高風險（Important）層級，但目前尚未公布CVSS風險評分。</p> </div></div></div>
2024/7/11 16:32作者周峻佑https://www.ithome.com.tw/news/163897
5G趨勢月報第56期：中、低軌衛星通訊已涵蓋臺灣；漢翔導入5G專網加速智慧製造應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>06/12~07/10精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>數位韌性</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>數位部：非同步軌道衛星已涵蓋臺灣，今年將建置70個基地臺後傳鏈路站點</strong></span></p> </div> <div> <p>5G結合非地面通訊網路成為新的技術發展趨勢，使得全球衛星通訊發展受到關注。臺灣近期在非同步軌導衛星通訊引進有新的進展，數位發展部指出，非同步軌道衛星通訊包括SES中軌衛星、OneWeb低軌衛星通訊服務已涵蓋臺灣，並分別由代理商準備在國內推出商業化服務。</p> <p>政府積極推動以非同步軌道衛星通訊提升我國通訊網路韌性，當發生災害或緊急狀況導致地面通訊網路出現故障，通過非同步軌道衛星通訊維持政府基本指揮通訊需求。該計畫將在今年底於國內建置700個非同步軌道衛星通訊站點，並且建置70個基地臺後傳鏈路(Backhaul)站點，國外計畫建置3個站點，其中的基地臺後傳鏈路站點是當地面通訊網路發生異常或遭到破壞時，以非同步軌道衛星作為行動基地臺的後傳鏈路，至今年6月底為止，數位部已建置9個SES中軌衛星通訊站點，作為行動基地臺後傳鏈路，其中太平島、連江縣分別設置SES中軌衛星通訊站點。</p> <p>至於低軌衛星部分，目前OneWeb已涵蓋臺灣本島、金門、馬祖、澎湖、蘭嶼，但尚未涵蓋南沙島，數位部實測，OneWeb在臺灣本島北中南東，以及馬祖地區，實測下載速度介於70到107Mbps之間，上傳為7到20Mbps之間。</p> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧製造</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>漢翔導入5G專頻專網加速智慧製造應用發展</strong></span></p> </div> <div> <p>在數位發展部支持下，漢翔航空工業由電信業者協助導入5G專頻專網，在製造場域建立高頻寬、低延遲的5G專網，並發展智慧製造應用，例如AMR搬運刀具。</p> <p>數位發展部為推動產業展型，去年即與各產業公協會合作，積極建立5G專網的產業應用示範，漢翔航空工業即為其中一項案例，展現航太、機械產業導入5G專網加速製造轉型的成果。漢翔透過5G專頻專網，確保高可靠度、穩定、安全的產線自動化及運送，即時監測加工品質。</p> <p>在位於高雄岡山區的機匣三廠，展示了5G智慧製造應用，例如在大範圍廠區內，跨網段利用AMR運送刀具及刀具eSOP，以及對國產機臺機匣加工設備的健康監控與暖機服務，機匣螺牙插槽襯套AOI自動分類組裝應用等等，漢翔運用國產5G核網、小型基站，克服原本AMR跨網段運送的停頓及延遲問題，並透過自動化組裝降低人工組裝出錯，並透過蒐集機臺的健康即時監測資料進行分析，透過種種方式降低人力使用、不間斷生產，提高營運效率、強化營運管理、加工品質。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>航運</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>和碩展示5G低軌衛星貨輪應用</strong></span></p> </div> <div> <p>和碩近期在5G Open RAN活動中，揭露5G低軌衛星貨輪應用，結合國產5G Open RAN設備打造5G專網，以及低軌衛星通訊，應用於陽明海運的海運工作，改善貨輪的通訊及海事應用。</p> <p>和碩在2021年便推動5G O-RAN及企業衛星通訊，並曾展示移動式的5G O-RAN、衛星通訊設備。此次與陽明海運合作5G低軌衛星貨輪應用，當貨輪航行在公海，因遠離陸地，貨輪缺乏對外通訊能力，和碩利用5G O-RAN基站建立專網，結合低軌衛星通訊，為貨輪建立低延遲的連線環境，讓貨輪在航行時，以驗證船務聯網的可能性。</p> <p>主要驗證的應用有3項，第1是遠距醫療輔助，透過低軌衛星提供的頻寬，結合可移動的醫療行李箱，讓遠地的醫療團隊，可以根據儀器的數據，結合視訊問診，為貨輪上的人員提供醫療處置及指引。第2是即時排除故障，過去由於貨輪對外通訊有限，只能以語音或電子郵件和外部溝通，運用5G專網作即時視訊畫面分享，在陸地支援團隊協助下，找出可能的故障原因予以排除，並降低船員檢修的潛在工安風險。第3是利用分散式天線系統，改善船艙內的室內無線通訊，提升船員使用網路服務的船務工作環境。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>搜救</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>5G 無人機結合AI技術強化山難搜救</strong></span></p> </div> <div> <p>為改善山區救援工作，臺東大學和財團法人金屬中心合作，結合 AI影像辨識技術及5G無人機，當發生山難事件時，搜救人員可透過5G無人機來搜尋失蹤的民眾。</p> <p>合作團隊實際到臺東鹿霧砲臺山區演練，以三架無人機模擬大範圍搜索，當找到手機訊號後，縮小搜救範圍，再以四軸無人機作近距離偵測，確認待救者的生理狀況，將資訊回傳至後方，讓搜救人員提早準備救援物資，加快救援的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8F%B0%E6%9D%B1%E9%9C%A7%E9%B9%BF%E7%A0%B2%E5%8F%B0%E7%84%A1%E4%BA%BA%E6%A9%9F%E5%B1%B1%E9%9B%A3%E6%95%91%E5%8A%A9%E5%AF%A6%E9%9A%9B%E6%BC%94%E7%B7%B4%E7%85%A7%E7%89%87-300.jpg" style="width: 300px; height: 400px;" /></p> <p>由於空中搜尋待救民眾可能需要花費較長時間，無人機可透過AI自動判別訓練模組，依不同情境最佳化飛行路徑，執行遠距、長時間搜尋作業，同時利用AI快速定位受難民眾的位置及狀態，把握救援的黃金時間、提高搜救效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>能源</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>阿拉伯國有石油公司ADNOC將導入</strong></span><strong style="font-size: 22px;">5G專網，</strong><strong style="font-size: 22px;">涵蓋11,000平方公里</strong></p> </div> <div> <p>阿拉伯國有石油公司ADNOC近期宣布將導入能源產業最大的5G專網，該私有專用網路將涵蓋面積達11,000平方公里，透過專網提供的高頻寬，有助於陸地及海上作業。</p> <p>ADNOC將利用專網，蒐集來自12,000口井及通道的感測器數據，自動傳送至控制室，利用數據分析獲得提升效率的建議、延長資產壽命，確保現場作業安全。</p> <p>經由5G專網的大範圍覆蓋，讓即使較偏遠的鑽油設施，也能結合人工智慧，通過5G AIoT推動自動化，提高作業效率及人員安全，並降低營運成本。ADNOC預計5G專網將會在2025年建置完成，並將結合AI技術，進一步推動自動化降低營運成本，預期專網建置後，預期營運前5年將創造15億美元價值。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠端控制</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>瑞典電信商靠無人機搭載基地臺擴大5G覆蓋，遠端控制林業開墾</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/89-600.jpg" style="width: 600px; height: 337px;" /></p> <p>瑞典電信商Telia近期宣布，成功測試利用無人機搭載基地臺，使原本缺乏5G訊號的山區，也能建立臨時的5G網路覆蓋，並從遠端控制林業機械。</p> <p>這項測試是在瑞典中部位於城市郊外的一處森林進行，Telia與合作業者利用無人機搭載移動式基地臺，讓原本訊號有限、缺乏5G覆蓋的山區，建立5G網路覆蓋，讓林區作業的機械設備，例如大型的車輛能夠被遠端控制操作。有別於一般無人機在空中飛行，這項測試為長時間建立5G網路，無人機與地面連接，讓位於偏遠地區的林業或農業，得以建立5G網路，除了應用在林業及農業，也可應用於救災工作上。</p> <p>在測試中，與地面連接的無人機距離林業機械300公尺，但是在空中可建立3公里範圍的5G訊號，研究人員從距離林業伐木現場80公里遠的實驗室，從遠端控制伐木現場的裝運車輛，為了達到即時控制，通訊訊號傳送的延遲性、可靠性相當重要。</p> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>用戶數</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font></p> <div> <p><strong><span style="font-size:22px;">愛立信：全球5G用戶數達17億，裝置上AI應用可能帶動5G服務變革</span></strong></p> </div> <div> <p>愛立信最新行動趨勢報告顯示，隨著全球5G服務的增加，今年第一季5G用戶數增加1.6億，全球5G用戶數來到17億，預期到2029年，5G用戶將近達到56億，約占行動用戶的6成。</p> <p>目前行動用戶仍以4G為主，全球4G用戶數約有52億，在4G用戶持續遷移5G的趨勢下，預估2029年，4G用戶將降至30億。至於3G網路，因全球各地陸續終止3G網路，例如歐洲的電信服務商正在關閉3G網路，並且重新分配其頻譜，以投入4G及5G網路發展。</p> <p>截至今年第1季，行動網路數據流量比同期增加25%，全球行動網路流量已達到每月145EB，數據流量的增加，主要為影音內容的使用，至去年底，影音內容使用已占整體行動網路數據量的73%。至於智慧型手機市場，在將近3年的衰退後，今年第一季智慧型手機出貨成長6%，值得注意的是，具有AI能力的高階手機進入市場，並且可能帶動消費者汰換手機，具備執行生成式AI的晶片，以及不需連接伺服器的行動裝置AI應用，可能形塑新的消費行為，並且在未來改變App及應用服務如何被消費使用。</p> <p> </p> <p>圖片來源／數位部、Telia</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.南韓KT電信與新加坡電腦聯手研究6G</strong></p> <p><strong>2.TVBS展示新聞媒體業5G專網的異地共訪成果</strong></p> <p>資料來源：iThome整理，2024年6月</p> <p> </p> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/7/11 16:57作者蘇文彬https://www.ithome.com.tw/news/163862
VMware揭露自動化處理平臺存在高風險漏洞，攻擊者可對其發動SQL注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月10日VMware<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24598">修補旗下雲端自動化平臺Aria Automation高風險漏洞CVE-2024-22280</a>，此為SQL注入漏洞，起因是並未套用正確的輸入驗證產生，CVSS風險評分為8.5，影響8.17.0版以下的Aria Automation，以及4.x版、5.x版Cloud Foundation。</p> <p>攻擊者若要利用這項漏洞，可在通過身分驗證的情況下，輸入偽造的SQL查詢指令，從而進行未經授權的資料庫讀取及寫入作業。</p> <p>對此，<a href="https://knowledge.broadcom.com/external/article/325790">VMware針對8.13.0至8.16.2版發布修補程式</a>，並表示沒有其他替代的緩解措施，呼籲用戶應儘速套用。</p> </div></div></div>
2024/7/11 16:58作者周峻佑https://www.ithome.com.tw/news/163898
AWS推出整合GenAI的應用程式開發工具App Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon Web Services（AWS）本周公布生成式AI程式開發工具<a href="https://press.aboutamazon.com/2024/7/announcing-aws-app-studio-the-fastest-and-easiest-way-to-build-applications" target="_blank">App Studio</a>，允許開發人員輸入自然語言文字產生程式碼，希望追趕微軟、Google、或GitHub等早期加入的業者。</p> <p>利用AWS App Studio，沒有軟體開發技能的使用者，包括IT專案管理、資料工程師、企業架構師都可以從頭開發出自有企業應用程式。用戶輸入文字描述需求，指定其行為，以及像整合的資料源，號稱幾分鐘之內App Studio就能產生應用，包括用戶介面（UI）、資料模型和業務邏輯。內建的拖拉式視覺桌布（canvas）和AI小幫手能提供快速指引，協助客製化版面、功能、應用層級角色、設定業務流程，也提供存取控制機制設定資料和應用政策。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-AWS%20App%20Studio-1A.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-AWS%20App%20Studio-4-visually%20define%20the%20business%20logic%20for%20application-600.jpg" style="width: 600px;" /></p> <p>App Studio預建連接器（connector）可整合AWS資料源與服務，像是DynamoDB、Amazon Relational Database Service（Amazon RDS）、Amazon Redshift、Amazon S3（Simple Storage Service）等其他200項服務。它還有API和OpenAPI方便用戶整合數百項第三方服務，如Salesforce connector，也支援以單一用戶驗證來和第三方SaaS應用整合。開發完成的程式，可在App Studio的測試環境預覽測試，最後發布，還能分享給現有LDAP群組中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-AWS%20App%20Studio-3-connectors-data%20sources-B.jpg" style="width: 600px;" /></p> <p>在費用方面，AWS App Studio提供開發人員免費使用以開發、測試或管理App，但如果要發布，則會收取每用戶小時（user hour）0.25美元。目前這項服務在美國西區以<a href="https://aws.amazon.com/tw/about-aws/whats-new/2024/07/aws-app-studio-preview/" target="_blank">預覽版</a>上線。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> </div></div></div>
2024/7/11 15:21作者林妍溱https://www.ithome.com.tw/news/163893
Google進階保護計畫開放僅以通行密鑰進行設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/safety-security/google-passkeys-advanced-protection-program/" target="_blank">宣布</a>，專替記者、官員、人權工作者、政治競選人員等高風險使用者所設計的進階保護計畫（Advanced Protection Program，APP）將開放使用者透過通行密鑰（Passkey）來註冊及使用，不再強制要求使用實體金鑰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-Google%20account-Advanced%20Protection%20Program%20(APP).png" style="width: 400px;" /></p> <p>APP是Google為了保護上述使用者的Google帳戶安全所實施的計畫，原本要求使用者必須擁有兩個實體安全金鑰才能註冊，使用密碼與其中一個實體金鑰來登入服務，另一個實體金鑰則當作備份。Google去年率先開放使用者利用Passkey來登入APP，現在則進一步允許使用者以APP來註冊APP。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務，由於它奠基在FIDO 2/WebAuthn標準上，因而得以跨平臺運作。</p> <p>Google表示，此一改變是為了因應使用者不見得總是能夠取得或買到實體金鑰，例如身處戰區的記者，旅行中的競選工作人員，或者是緊急或突發的商務旅行，Passkey則可讓高風險的Google用戶得以選擇使用他們既有的個人設備來進行身分驗證，而不一定要使用實體金鑰。</p> <p>不過，若是以Passkey來註冊APP，Google還會要求使用者新增復原選項，諸如電話號碼、電子郵件、其它的APP或安全金鑰，以在被鎖住時重新取回帳戶。</p> <p>迄今Google的合作夥伴已於全球分發了超過20萬個免費的實體安全金鑰，並在20個國家提供安全培訓，以保護這些高風險人士的Google帳戶安全。</p> </div></div></div>
2024/7/11 15:57作者陳曉莉https://www.ithome.com.tw/news/163895
微軟修補MSHTML零時差漏洞消息剛發布，但今年1月就有駭客濫用漏洞，5月又被發現有人藉此散布竊資軟體Atlantida
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月9日微軟發布<a href="https://www.ithome.com.tw/news/163856">本月份例行更新（Patch Tuesday）</a>，當中修補<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38112">MSHTML平臺欺騙漏洞CVE-2024-38112</a>，並指出該漏洞影響Windows 10、11，以及Windows Server 2008至2022所有版本，CVSS風險評為7.5分。但究竟駭客如何利用這項漏洞發動攻擊？通報此事的研究人員提出進一步的說明。</p> <p>這項漏洞的特別之處，在於微軟使用了「欺騙（Spoofing）」描述這項漏洞，並提及攻擊者在利用漏洞的過程中必須與使用者互動，才能達到目的。不過，駭客利用這項漏洞想獲取那些好處，引起其他研究人員的猜測。</p> <p><a href="https://www.zerodayinitiative.com/blog/2024/7/9/the-july-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）指出</a>，微軟過往會在與NTLM中繼攻擊（NTLM relay attack）有關的漏洞使用欺騙，來形容CVE-2024-38112可能導致的行為；<a href="https://www.rapid7.com/blog/post/2024/07/09/patch-tuesday-july-2024/">資安業者Rapid7則是表示</a>，微軟僅提及弱點類型是CWE-668，而這個漏洞的問題在於將資源曝露在錯誤的領域，定義是向任何人提供不當的資源存取能力。</p> <p>答案揭曉：通報此事的資安業者Check Point指出，<a href="https://research.checkpoint.com/2024/resurrecting-internet-explorer-threat-actors-using-zero-day-tricks-in-internet-shortcut-file-to-lure-victims-cve-2024-38112/">駭客使用特製的網路捷徑檔案（.URL）觸發漏洞</a>，一旦使用者開啟，電腦就會啟動系統停用的Internet Explorer（IE）存取攻擊者控制的網站，而能讓對方達到目的。研究人員指出，他們看到利用這種URL觸發漏洞的攻擊手法，最早可追溯到去年1月，換言之，駭客運用這項漏洞的時間已長達一年半。</p> <p>研究人員針對攻擊者使用的URL檔案進行說明，對方在URL的欄位上，在網址前面加上了「mhtml:」，並於結尾加上了「!x-usc:」再寫入相同的網址，而類似的手法，過往也曾被用於觸發另一個MSHTML漏洞CVE-2021-40444。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image1.png" style="width: 580px;" /></a></p> <p>另一方面，駭客也指定這個URL檔案使用的圖示，是Edge執行檔裡的PDF檔案圖示資源，如此一來，使用者就很容易誤以為他們開啟的是PDF檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image3.png" style="width: 400px;" /></a></p> <p>一旦使用者執行這個URL檔案，IE就會顯示下載PDF檔案的警示視窗，但若是依照指示開啟，電腦卻會顯示詢問是否透過HTML應用程式主機（HTML Application Host）執行。使用者要是忽略上述的警示訊息點選允許執行，電腦將會下載惡意HTA檔案並執行，從而觸發漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image5.png" style="width: 400px;" /></a></p> <p>為何實際上是存取HTA檔案，但使用者卻看到是要求下載PDF檔案的訊息？原因在於攻擊者在.PDF之後加入許多無法輸出的字元，導致使用者很可能以為自己將要存取PDF檔案而直接忽略相關警告。</p> <p><a href="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QQ9AEWVKGD-image7.png" style="width: 580px;" /></a></p> <p>而對於駭客實際的攻擊行動，上述的部落格文章並未提及。但<a href="https://www.darkreading.com/application-security/attackers-have-been-leveraging-microsoft-zero-day-for-18-months">Check Point研究小組經理Eli Smadja透露</a>，他們至少看到兩起攻擊行動，其中有人利用上述漏洞散布名為Atlantida的竊資軟體。</p> <p>他們在今年5月中旬，發現使用Atlantida的駭客利用這項漏洞。這些駭客入侵含有弱點的WordPress網站，然後透過HTA及PowerShell檔案從事攻擊，最終在受害電腦植入竊資軟體。這波攻擊行動的主要目標，是土耳其及越南的使用者。</p> </div></div></div>
2024/7/11 13:43作者周峻佑https://www.ithome.com.tw/news/163889
微軟與蘋果雙雙放棄OpenAI董事會觀察員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，有鑑於各國監管機關密切關注AI領域的發展，以杜絕壟斷行為，不管是已擔任OpenAI董事會觀察員的微軟，或是計畫擔任OpenAI董事會觀察員的蘋果，都已放棄此一席位。</p> <p>媒體<a href="https://www.axios.com/2024/07/10/microsoft-openai-board-seat-observer" target="_blank">Axios指出</a>，微軟是在本周二（7/9）去信OpenAI，表示將放棄OpenAI董事會觀察員席位，因為該董事會已在過去8個月取得重大進展，對OpenAI的發展方向充滿信心，不再認為該席位是必要的。</p> <p>金融時報（Financial Times）則引述消息來源報導，OpenAI與蘋果的合作協議中，原本就包含提供一個董事會觀察員席位予蘋果，但現在蘋果也已決定放棄該席位。</p> <p>金融時報亦說，未來OpenAI將會定期舉辦會議，並邀請微軟、蘋果及其它重要投資者參加，以揭露OpenAI的政策與方針。</p> <p>這一年半以來全球AI的快速發展，已讓歐盟、英國及美國針對OpenAI與微軟之間的合作關係展開反壟斷調查，法國亦打算控告Nvidia違反市場競爭，因此，儘管此一OpenAI董事會觀察員的角色只能參與董事會會議，並不具備投票權，但微軟與蘋果似乎都選擇了防患於未然，淡化與OpenAI的關係。</p> </div></div></div>
2024/7/11 14:43作者陳曉莉https://www.ithome.com.tw/news/163890
蘋果與Google擴大支援資料可攜，可將Google Photos照片直接傳送至iCloud Photos
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼蘋果於2021年<a href="https://www.ithome.com.tw/news/143083" target="_blank">宣布</a>，允許iCloud Photos用戶把所存放的照片及影片直接匯出到Google Photos之後，資料傳輸倡議（Data Transfer Initiative，DTI）周三（7/10）<a href="https://dtinit.org/blog/2024/07/10/DTI-members-new-photo-video-tool" target="_blank">宣布</a>，下周Google將開放Google Photos用戶把照片及影片匯出至iCloud Photos。</p> <p>Google在2018年發表了開源的資料傳輸專案（Data Transfer Project，DTP），之後包括臉書、微軟、Twitter與蘋果都加入了該專案，共同推動<a href="https://www.ithome.com.tw/news/124698" target="_blank">資料可攜標準</a>。至於DTI則是在2023年<a href="https://dtinit.org/blog/2023/03/28/launch" target="_blank">成立</a>，這是一個負責支援包括DTP在內等專案的非營利組織，任務是讓使用者能夠把某個服務的資料傳輸到另一個服務。</p> <p>DTI表示，DTP是藉由調整資料模型、身分驗證與其它必要元素來實現資料的可移植性，也是DTI的核心，將替人們帶來可靠的各種工具，提供一個可直接傳送使用者網路資料的簡單方法。</p> <p>不管是先前從iCloud Photos匯出至Google Photos，或是即將提供的從Google Photos匯出至iCloud Photos，都不會移除原處內容，但只能移轉照片及影片，無法移轉包括動態照片、原況照片或回憶，也有部分的RAW檔案無法移轉。此外，<a href="https://support.apple.com/zh-tw/HT213483" target="_blank">蘋果建議</a>使用者要移轉之前，最好先確認iCloud上有足夠的儲存空間。</p> <p><a href="https://support.google.com/accounts/answer/9666875" target="_blank">Google亦列出</a>了可移轉的檔案格式詳細清單，未在清單內的格式將不被支援。</p> <p>除了在不同的服務之間傳送照片及影片之外，DTI還希望未來可讓使用者快速匯出社交媒體的所有貼文；以自己在某個服務上的資料來測試新服務；或是將內容匯入新的短影片服務，同時在不同的服務上擁有同樣的內容。</p> </div></div></div>
2024/7/11 13:39作者陳曉莉https://www.ithome.com.tw/news/163888
研究發現RADIUS協定可讓駭客發動MitM攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由微軟、Cloudflare等資安產學專家組成的<a href="https://blog.cloudflare.com/radius-udp-vulnerable-md5-attack" target="_blank">研究團隊發現</a>，RADIUS通訊協定的一項安全漏洞，使其可能被攻擊者用以發動中間人（Man-in-the-Middle，MitM）攻擊，呼籲IETF等標準組織應翻新設計，設備廠商則應考慮使用更安全的傳輸技術。</p> <p>RADIUS全名為遠端使用者撥入驗證服務（Remote Authentication Dial in User Service）是一種網路裝置驗證、授權與記帳（AAA）的標準輕量協定。RADIUS是在網際網路初興的1991年問世，但現在仍廣泛使用，支援多種遠端存取應用，包括網路路由器、工控系統、VPN、企業Wi-Fi裝置、Linux可插拔身分驗證模組（Pluggable Authentication Module）、行動漫遊、Wi-Fi卸載（Wi-Fi offload）等。</p> <p>但經由RADIUS協定的流量常常只在UDP（User Datagram Protocol）連線上以傳輸，唯一的防護技術是已經很古早的密碼演算法MD5。2004年已有研究人員實驗證實MD5無法抵禦碰撞攻擊。</p> <p>由微軟、Cloudflare、BastionZero等資安業者及加州大學聖地牙哥分校（UC Diego）<a href="https://dd80b675424c132b90b3-e48385e382d2e5d17821a5e1d8e4c86b.ssl.cf1.rackcdn.com/external/radius-udp-considered-harmful.pdf" target="_blank">研究人員聯合進行的一項研究</a>，發現RAIDUS有項協定漏洞，可讓非授權者攻擊者通過驗證、以存取遠端裝置，或是取得任意網路權限，包括管理員對裝置權限，即可對網路上其他裝置發動中間人攻擊，而且完全無需使用暴力破解、竊取密碼或共享金鑰等過程。</p> <p>研究人員解釋，他們使用選擇前綴碰撞（chosen-prefix collision）對RADIUS/UDP傳輸架構發動攻擊。這攻擊主要是濫用早被公認無法抵禦碰撞攻擊的MD5雜湊演算法，使二道不同的輸入經MD5處理後，產生相同雜湊值，使研究人員得以在不知道任何RADIUS終端和伺服器間憑證情況下，將原本的驗證拒絕訊息轉化成接受，而完成驗證，整個過程不到5分鐘。</p> <p class="rtecenter"><a href="http://blog.cloudflare.com/radius-udp-vulnerable-md5-attack" target="_blank"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-Details%20of%20the%20Blast-RADIUS%20attack-by%20cloudflare.png" style="width: 600px;" /></span></span></a></p> <p><a href="http://blog.cloudflare.com/radius-udp-vulnerable-md5-attack" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Cloudflare</span></span></a></p> <p>這項漏洞被研究人員稱為<a href="https://www.blastradius.fail/" target="_blank">Blast RADIUS</a>，正式名稱為<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3596" target="_blank">CVE-2024-3596</a>。</p> <p>研究人員表示，這項研究目的在證明RADIUS安全防護不足，呼籲裝置廠商和標準組織IETF汰除RADIUS over UDP，並要求在更安全的通道傳輸RADIUS，如TLS。</p> <p>同時研究人員也指出，或許將MD5換成較安全的SHA-2、SHA-3的雜湊演算法，可以暫時抵擋碰撞攻擊。但是由於RADIUS協定彈性不足，因此變更雜湊演算法可能造成現有實作的不相容。他們認為，基於RADIUS其他安全和隱私問題，最好的方式是IETF翻新這個協定的設計。</p> </div></div></div>
2024/7/11 13:08作者林妍溱https://www.ithome.com.tw/news/163887
富士通證實駭客入侵致客戶資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本資通大廠<a href="https://pr.fujitsu.com/jp/news/2024/07/9.html" target="_blank">富士通本周證實</a>今年稍早的一樁駭客入侵事件中，造成人數不詳的客戶個人姓名及公司資料外流。</p> <p><a href="https://www.ithome.com.tw/news/161852" target="_blank">今年3月15日</a>，富士通發出公告說明多臺電腦發現到惡意軟體，懷疑有客戶個資外流。2個月後，富士通於本周公布調查結果，顯示可能是一種具有進階偽裝技術的蠕蟲程式。</p> <p>富士通指出，在公司電腦發現的惡意程式並非勒索軟體，而是一種使用多種偽裝手法躲避偵測的進階攻擊。分析證實，惡意程式是先植入一臺公司電腦向其他電腦蔓延，一共有富士通網路內的49臺電腦遭感染。這批電腦已經在第一時間被隔離防止災害擴大，也封鎖公司電腦連向攻擊者當成入侵基地的外部伺服器。</p> <p>由於這些電腦並非管理雲端服務的終端，跡證分析也未發現有存取客戶雲端服務的行為，因此富士通相信這波攻擊並未蔓延到公司以外的電腦或客戶環境。但是是否擴大到日本本國以外的公司網路環境則尚未確認。</p> <p>不過該公司事後的log分析發現，這些電腦上的惡意程式已針對部分檔案下達複製指令，因此他們研判這些檔案已經被非法取得。外洩的資訊包括部分客戶姓名和公司資訊。富士通已通知受影響的客戶，但表示目前沒有接獲資料被濫用的通報。不過富士通並未說明有多少客戶受到影響。</p> <p>除了事發當時的回應，富士通強調已利用惡意程式的攻擊手法發展偵測方法，並實作安全監控規則確保全公司電腦安全。</p> </div></div></div>
2024/7/11 12:01作者林妍溱https://www.ithome.com.tw/news/163883
【資安日報】7月10日，微軟發布本月例行更新，修補超過140個漏洞，其中包含4個零時差漏洞引起關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨（7月9日）有許多軟體業者發布每月例行更新及相關資安公告，其中微軟這次的公告內容相當值得留意，因為他們一口氣緩解143個漏洞，這樣的修補規模，已超過<a href="https://www.ithome.com.tw/news/162875">5月</a>、<a href="https://www.ithome.com.tw/news/163429">6月</a>兩個月的總和。</p> <p>值得留意的是，本次有4個零時差漏洞，其中有2個已被用於攻擊而受到關注。但資安業者Rapid7、漏洞懸賞專案Zero Day Initiative認為，遠端桌面連線授權服務、圖像編碼器、SharePoint的重大漏洞也必須優先處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163861"><strong style="font-size: 22px;">多國網路安全機構聯手針對中國駭客組織APT40的攻擊行動提出警告，揭露鎖定澳洲發動攻擊的案例</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png" style="width: 300px; float: right;" /></a>澳洲網路安全中心（ACSC）與美國、英國、加拿大、紐西蘭、德國、韓國、日本的執法機構聯手，針對中國資助的駭客組織APT40（別稱Kryptonite Panda、Gingham Typhoon、Bronze Mohawk）的攻擊行動提出警告，指出這些駭客為中國國家安全部（MSS）效力，多次針對澳洲政府機關及企業組織下手，呼籲盟國要提高警覺。</p> <p>APT40具有快速解析研究人員公布的概念性驗證（PoC）程式碼的能力，從而將漏洞用於攻擊關鍵基礎設施的網路環境，也會定期對於偏好下手的目標進行偵察，尋找網路環境當中易受攻擊、不再維護，或是生命週期已經結束的設備，伺機滲透。</p> <p>至於這些駭客隱匿攻擊行動的媒介，ACSC提及APT40過往較常入侵澳洲網站並將其充當C2伺服器，如今濫用小型辦公室及家用的網路裝置架設基礎設施，因為這類設備有不少並未定期修補，或是生命週期已經結束而不再受到維護，一旦拿下之後，就有可能將它們用來發動攻擊，將相關流量混入合法流量，而能對防守方隱匿攻擊行蹤。ACSC也公布兩起事故的發生過程，供外界了解該組織的作案手法。</p> <p><a href="https://www.ithome.com.tw/news/163863"><strong style="font-size: 22px;">駭客公布近百億組密碼外洩資料集RockYou2024，疑為3年前流出資料持續維護、更新而成</strong></a></p> <p>根據資安新聞網站Cybernews的報導，他們的資安研究員於駭客論壇發現有人於7月4日公布一批帳密資料「RockYou2024」，這個檔案的名稱是rockyou2024.txt，內含多達9,948,575,739筆明文密碼，公布上述純文字檔案的人士，ID名稱是ObamaCare。</p> <p>值得留意的是，研究人員認為，這批資料並非突然出現，源自3年前他們發現的RockYou2021外洩資料庫延伸，當時約有84億明文密碼資料曝光。換言之，維護這批資料的駭客，3年後的現在，總共新增15億組資料，單是這些新內容，大約占RockYou2024的15%。</p> <p><a href="https://www.ithome.com.tw/news/163848"><strong style="font-size: 22px;">攻擊Ticketmaster的駭客繼外洩該平臺用戶資料、行動門票條碼後，又公布實體門票檔案</strong></a></p> <p>美國最大售票平臺Ticketmaster今年5月遭到駭客入侵，駭客Shiny Hunters先是在論壇上兜售該平臺5.6億名用戶的資料，索價50萬美元，繼之外洩約17萬張的Taylor Swift演唱會門票條碼，將價碼提高到200萬美元，在Ticketmaster宣稱該門票條碼是變動的，幾秒鐘就會替換之後，近日駭客再公布逾3.8萬張、由消費者在家自行列印的各種活動的門票條碼。</p> <p>根據資安新聞網站BleepingComputer的報導，Shiny Hunters宣稱Ticketmaster有一個Ticketfast實體門票服務，允許使用者於家中印出活動門票，這些門票上的條碼無法輪替，同時公布了一個內含38,745張Ticketfast門票條碼的檔案連結。</p> <p><a href="https://www.ithome.com.tw/news/163872"><strong style="font-size: 22px;">臺美聯手合作，查獲透過暗網市集Genesis Market購買臺灣民眾個資的嫌犯</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/179228cb679946feb37e1300bcb787dc.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/179228cb679946feb37e1300bcb787dc.png" style="width: 300px; float: right;" /></a>7月8日法務部調查局宣布，他們破獲有人企圖透過創世紀市集（Genesis Market）取得國人個資的情況。調查局在去年6月接獲美國聯邦調查局（FBI）情資，有網路罪犯在該暗網市集販售臺灣民眾個資的情況，調查局資安工作站根據相關線索展開調查，掌握林姓、虞姓、陳姓3名男子涉及購買多種臺灣民眾個資，這些個資的範圍，涵蓋身分證字號、手機號碼、社群網站存取權限，以及電商網站蝦皮、露天的帳密資料。</p> <p>資安工作站掌握主嫌身分後，隨即報請臺灣臺北地方檢察署指揮，分別於今年4月18日及7月2日，會同新北市調查處、臺北市調查處、花蓮縣調查站執行搜索約談，查扣案關主機及電磁紀錄等證物，並約談3人到案。</p> <p>經送檢察官複訊後，認定林男所涉犯罪情節重大，有滅證及串證之虞，已向法院聲請羈押禁見獲准，另諭知陳男20萬元交保，虞男2萬元交保，全案朝向違反個人資料保護法及刑法妨害電腦使用等罪偵辦。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://codeanlabs.com/blog/research/cve-2024-29510-ghostscript-format-string-exploitation/"><strong style="font-size: 20px;">文件轉換程式庫Ghostscript存在RCE漏洞，傳出已被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/g/turning-jenkins-into-a-cryptomining-machine-from-an-attackers-pe.html"><strong style="font-size: 20px;">CI/CD平臺Jenkins的指令碼主控臺遭到鎖定，駭客將其用於挖礦</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163856"><strong style="font-size: 22px;">微軟7月修補143個安全漏洞，包括4個零時差漏洞</strong></a></p> <p>7月9日微軟發布本月例行更新（Patch Tuesday），總共公布了139個新的CVE編號，並揭露4個與第三方元件有關的弱點，使得本次修補的漏洞數量達到143個，這樣的規模僅次於4月的149個。</p> <p>這些漏洞的類型，有26個是權限提升漏洞、24個安全功能繞過漏洞、59個遠端程式碼執行（RCE）漏洞、9個資訊洩露漏洞、17個阻斷服務（DoS）漏洞，以及7個可用於欺騙的漏洞。</p> <p>值得留意的是，上述漏洞當中，有4個零時差漏洞，已有2個被用於攻擊行動，另外2個則是在微軟修補之前就被公開。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/adobe-issues-critical-patches-for-multiple-products-warns-of-code-execution-risks/"><strong style="font-size: 20px;">Adobe針對Premiere、InDesign、Bridge修補重大層級漏洞</strong></a></p> <p></p> <p>◆<a href="https://onapsis.com/blog/sap-patch-day-july-2024/"><strong style="font-size: 20px;">SAP修補生命週期成本會計工具PDCE、Commerce高風險漏洞</strong></a></p> <p></p> <p>◆<a href="https://httpd.apache.org/security/vulnerabilities_24.html"><strong style="font-size: 20px;">Apache基金會修補HTTP伺服器的程式碼洩露弱點</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163860"><strong style="font-size: 22px;">Google宣布暗網監控功能將提供所有用戶使用</strong></a></p> <p>Google近日宣布，原本隸屬於Google One付費服務的暗網監控功能「Dark web report」，將在今年7月底開放所有用戶使用，它將被整合到允許使用者移除搜尋結果個資的Results about you中。</p> <p>Dark web report主要是用來協助使用者監控於暗網中流傳的個資，諸如姓名、地址、電話號碼與電子郵件帳戶，只要啟用了該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但Google現在決定讓所有具備Google帳戶的使用者都能取用，現階段Dark web report支援包括臺灣在內的46個國家。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163843"><strong>【7月9日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163808"><strong>【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> </div></div></div>
2024/7/10 18:02作者周峻佑https://www.ithome.com.tw/news/163875
駭客公布近百億組密碼外洩資料集RockYou2024，疑為3年前流出資料持續維護、更新而成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往的資料外洩事故，往往是針對特定的受害組織搜括帳密資料並進行公布、兜售，但如今駭客彙整各種資料外洩事故的帳密資料，以便進一步利用的情況，可是越來越明顯，有研究人員發現一批資料，疑似3年前外流的資料進行更新而成。</p> <p>根據資安新聞網站Cybernews的報導，他們的資安研究員於駭客論壇發現<a href="https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/">有人於7月4日公布一批帳密資料「RockYou2024」</a>，這個檔案的名稱是rockyou2024.txt，內含多達9,948,575,739筆明文密碼，公布上述純文字檔案的人士，ID名稱是ObamaCare。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rockyou2024-post.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rockyou2024-post.png" style="width: 580px;" /></a></p> <p>研究人員指出，雖然這個論壇使用者從今年5月下旬才開始出現，但已經洩露法律事務所Simmons & Simmons員工資料庫、網路賭博業者AskGamblers的內部資料，以及羅文大學（Rowan College）學生申請資料。</p> <p>Cybernews將這批資料與自己的外洩密碼檢查工具進行比對，確認當中含有先前與最新資料外洩事故所流出的密碼。值得留意的是，研究人員認為，這批資料並非突然出現，源自3年前他們發現的RockYou2021外洩資料庫延伸，當時約有84億明文密碼資料曝光。</p> <p>換言之，維護這批資料的駭客，3年後的現在，總共新增15億組資料，單是這些新內容，大約占RockYou2024的15%。而這是在研究人員1月揭露<a href="https://cybernews.com/security/billions-passwords-credentials-leaked-mother-of-all-breaches/">高達260億筆資料的大型外洩資料庫「資料外洩之母（Mother of all Breaches，MOAB）」</a>之後，另一起今年發現的大規模資料外洩事故。</p> </div></div></div>
2024/7/10 16:57作者周峻佑https://www.ithome.com.tw/news/163863
臺美聯手合作，查獲透過暗網市集Genesis Market購買臺灣民眾個資的嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年10月傳出使用OKE為ID的人士於駭客論壇BreachForums兜售我國的戶政資料引起軒然大波，後來檢察官起訴一名向駭客購買個資的電腦工程師，該名工程師聲稱因好奇買來比對，臺北地檢署最終判決緩起訴，要求他繳納50萬元給公庫。如今又傳出有人試圖購買臺灣民眾個資的情況。</p> <p>7月8日法務部調查局宣布，<a href="https://www.mjib.gov.tw/news/Details/1/1015">他們破獲有人企圖透過創世紀市集（Genesis Market）取得國人個資的情況</a>。調查局在去年6月接獲美國聯邦調查局（FBI）情資，有網路罪犯在該暗網市集販售臺灣民眾個資的情況，調查局資安工作站根據相關線索展開調查，掌握林姓、虞姓、陳姓3名男子涉及購買多種臺灣民眾個資，這些個資的範圍，涵蓋身分證字號、手機號碼、社群網站存取權限，以及電商網站蝦皮、露天的帳密資料，嚴重侵害我國民眾的個人權益及網路身分安全。</p> <p>資安工作站掌握主嫌身分後，隨即報請臺灣臺北地方檢察署指揮，分別於今年4月18日及7月2日，會同新北市調查處、臺北市調查處、花蓮縣調查站執行搜索約談，查扣案關主機及電磁紀錄等證物，並約談3人到案。</p> <p>經送檢察官複訊後，認定林男所涉犯罪情節重大，有滅證及串證之虞，已向法院聲請羈押禁見獲准，另諭知陳男20萬元交保，虞男2萬元交保，全案朝向違反個人資料保護法及刑法妨害電腦使用等罪偵辦。</p> <p>調查局也透露他們接獲相關通報的原因，在於歐美執法機構於去年4月查封相關網域名稱，並對於該暗網市集的總部實施司法制裁，隨後提供他們與臺灣有關的使用者資訊，以便調查不法情事。</p> </div></div></div>
2024/7/10 17:46作者周峻佑https://www.ithome.com.tw/news/163872
多國網路安全機構聯手針對中國駭客組織APT40的攻擊行動提出警告，揭露鎖定澳洲發動攻擊的案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客暗中國政府從事網路間諜攻擊的情況，時常有資安事故傳出，這樣的現象隨著政治情勢緊張，也變得越來越嚴峻，使得多個國家的執法機關公布相關資訊並聯手提出警告。</p> <p>例如，澳洲網路安全中心（ACSC）與美國、英國、加拿大、紐西蘭、德國、韓國、日本的執法機構聯手，<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/apt40-advisory-prc-mss-tradecraft-in-action">針對中國資助的駭客組織APT40（別稱Kryptonite Panda、Gingham Typhoon、Bronze Mohawk）的攻擊行動提出警告</a>，指出這些駭客為中國國家安全部（MSS）效力，多次針對澳洲政府機關及企業組織下手，呼籲盟國要提高警覺。</p> <p>APT40具有快速解析研究人員公布的概念性驗證（PoC）程式碼的能力，從而將漏洞用於攻擊關鍵基礎設施的網路環境，也會定期對於偏好下手的目標進行偵察，尋找網路環境當中易受攻擊、不再維護，或是生命週期已經結束的設備，伺機滲透。</p> <p>哪些類型的應用系統是APT40經常攻擊的對象？主要是曝露在網際網路的應用系統，像是事件記錄程式庫Log4j、DevOps協作平臺Atlassian Confluence、微軟郵件伺服器Exchange，利用Log4Shell（CVE-2021-44228）、CVE-2021-31207、CVE-2021-26084，以及ProxyShell（CVE-2021-31207、CVE2021-34523、CVE-2021-34473），上述系統若有漏洞資訊公開，他們會在幾小時至幾天後，就將其用於實際攻擊行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt40-figure-1.png" style="width: 580px;" /></a></p> <p>至於這些駭客隱匿攻擊行動的媒介，ACSC提及APT40過往較常入侵澳洲網站並將其充當C2伺服器，如今濫用小型辦公室及家用的網路裝置架設基礎設施，因為這類設備有不少並未定期修補，或是生命週期已經結束而不再受到維護，一旦拿下之後，就有可能將它們用來發動攻擊，將相關流量混入合法流量，而能對防守方隱匿攻擊行蹤。</p> <p>ACSC也公布兩起APT40發動的資安事故，其中一起發生在2022年7月至9月，駭客先透過TLS連線成功存取部分網頁應用程式、著手偵察，隨後鎖定特定端點嘗試利用漏洞，最終疑似於網頁伺服器植入Web Shell或是其他工具，使攻擊者能成功向網頁伺服器發出POST請求。</p> <p>接著，駭客尋求權限提升的機會，並找出網路環境的其他主機，部署更多的Web Shell。另一方面，這些駭客也試圖使用外流的帳密資料存取網頁應用程式，過程中會部署開源工具Secure Socket Funneling（SSF），建立受害組織的網路環境與惡意基礎設施之間的連線，後來APT40找出網路環境及AD的組態，使用另一個外流的帳號在邊界網路（DMZ）的Windows電腦上，設置共享資料夾，從而成功外洩資料。</p> <p>另一起資安事故則是發生在2022年4月，APT40鎖定受害組織提供員工遠端登入系統，這套系統由3組負載平衡主機組成，事故發生後受害組織關閉其中2臺主機，結果駭客後續的攻擊行動都針對尚未關閉的主機而來。</p> <p>對方使用已知漏洞於受害主機植入Web Shell，並進行權限提升。雖然缺乏事件記錄資料，ACSC無法確認這起事故的完整範圍，但他們根據主機上找到的證據，指出對方竊得數百組帳密資料，甚至有可能藉由合法使用者的身分存取虛擬化桌面基礎設施（VDI）環境。</p> </div></div></div>
2024/7/10 16:00作者周峻佑https://www.ithome.com.tw/news/163861
Google即將開放暗網監控功能予所有用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日<a href="https://support.google.com/googleone/answer/14806901?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">宣布</a>，原本隸屬於Google One付費服務的Dark web report功能將在今年7月底開放所有用戶使用，它將被整合到允許使用者移除搜尋結果個資的Results about you中。</p> <p><a href="https://www.ithome.com.tw/news/156846" target="_blank">Dark web report</a>主要是用來協助使用者監控於暗網中流傳的個資，諸如姓名、地址、電話號碼與電子郵件帳戶，只要啟用了該功能，每當Google於暗網中發現使用者個資時，便會通知用戶。該功能原本只提供給付費的Google One訂閱用戶，但Google現在決定讓所有具備Google帳戶的使用者都能存取，現階段Dark web report支援包括臺灣在內的46個國家。</p> <p>Dark web report將整合至<a href="https://www.ithome.com.tw/news/158110" target="_blank">Results about you服務</a>中。有別於Dark web report鎖定暗網，而且只有通知功能，Results about you則是針對出現在Google搜尋結果中的個資，並允許使用者申請將之移除，可申請移除的資料包括電話號碼、地址及電子郵件帳戶。</p> <p>不過，雖然Dark web report支援臺灣市場，但Results about you並不支援臺灣市場，目前看起來Google僅於少數國家提供該服務，像是美國、澳洲與南非等，不確定屆時是否也只有這些國家的用戶可存取Dark web report。</p> </div></div></div>
2024/7/10 15:42作者陳曉莉https://www.ithome.com.tw/news/163860
Meta開發10億以下參數量的小型LLM模型MobileLLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大廠持續投入終端裝置上的AI模型開發。Llama模型家族獲得眾多開發人員使用後，<a href="https://arxiv.org/abs/2402.14905" target="_blank">Meta本周稍早又公布</a>可在行動裝置上執行，參數量不到10億的新AI模型家族。</p> <p>由於在雲端執行上百甚至上千億參數的大型語言模型（LLM）增加雲端運算成本及延遲性問題，推升了筆電或手機等行動裝置端上執行LLM的運行需求。Meta集結旗下Meta Reality Labs、PyTorch與Meta AI Research（FAIR）部門研發新訓練方法，建立參數量僅有1.25億、3.5億的新式模型MobileLLM。</p> <p>Meta研究小組<a href="https://arxiv.org/abs/2402.14905" target="_blank">公布的論文</a>說明該公司優化小型LLM的創新方法。他們認為，對小模型而言，模型的深度比廣度來得重要，他們採取「深而精簡」（deep- and-thin）的模型架構更能以極高效能萃取抽象概念。他們採用內嵌共享（embedding sharing）技術實作出群組查詢注意力（Grouped Query Attention，GQA）方法用於小型LLM，以便最大化權重利用率。此外，他們還發展權重共享的新方法，能提升減少記憶體區塊（block）運算次數，進一步降低AI模型運算延遲性。</p> <p>研究人員將其訓練出的MobileLLM 125M/350M和參數量相當的State of the Art（SOTA）模型如Cerebras、OPT、BLOOM等進行對話標竿測試。在零樣本（zero-shot）測試中MobileLLM 125M/350M比SOTA模型的平均準確率高出2.7%/4.3%。研究人員使用權重共享方法訓練出的MobileLLM 125M/350M版本，名為MobileLLM LS-125M/350M，還可以將準確率分別再向上提升0.7%及0.8%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-facebook%20research-MobileLLM-2.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0710-facebook%20research-MobileLLM-600-.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-facebook%20research-MobileLLM-600-.png" style="width: 600px;" /></a></p> <p><a href="https://arxiv.org/abs/2402.14905" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_arXiv:2402.14905</span></span></a></p> <p>MobileLLM 125M/350M在聊天和API呼叫任務中，效能大幅超越參數量相當的小型LLM。其中，在API呼叫任務中，這個新模型得分還比Meta的LLaMA-v2 7B模型大幅領先。</p> <p>研究人員另外也訓練了其他參數規模的模型，包括MobileLLM-600M/1B/1.5B。</p> <p>Meta研究小組將MobileLLM的相關資源公開於<a href="https://github.com/facebookresearch/MobileLLM" target="_blank">GitH<wbr></wbr>ub</a>及<a href="https://huggingface.co/papers/2402.14905" target="_blank">Hu<wbr></wbr>gging Face</a>上。</p> <p>最新研究使Meta也躋身裝置端（on-device）AI模型的供應商之林。今年稍早<a href="https://www.ithome.com.tw/news/162544" target="_blank">蘋果公布</a>了OpenELM 270M/450M/1.1B/3B、Google則先後開源了Gemma 2B/7B、<a href="https://www.ithome.com.tw/news/163705" target="_blank">Gemm2-9B/27B</a>。</p> </div></div></div>
2024/7/10 13:19作者林妍溱https://www.ithome.com.tw/news/163858
微軟7月修補143個安全漏洞，包括4個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於本周二（7/9）的Patch Tuesday總計<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Jul" target="_blank">修補了143個安全漏洞</a>，包括4個零時差漏洞，其中的<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-37985" target="_blank">CVE-2024-37985</a>與<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-35264" target="_blank">CVE-2024-35264</a>漏洞已被公開，而<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38080" target="_blank">CVE-2024-38080</a>與<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38112" target="_blank">CVE-2024-38112</a>則是已遭駭客利用；另有5個被列為重大（Critical）等級的安全漏洞。</p> <p>7月所修補的、隸屬於微軟產品的安全漏洞其實只有139個，其它4個則是來自第三方的安全漏洞，包含兩個位於GitHub活動目錄權限管理服務（Active Directory Rights Management Services，AD RMS）的權限擴張漏洞，一個位於RADIUS協定的詐騙漏洞CVE-2024-3596，最後一個則是此次零時差漏洞之一的<a href="https://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-37985" target="_blank">CVE-2024-37985</a>，影響採用Arm處理器的Windows作業系統，成功的攻擊將允許駭客察看伺服器上以特權程序執行的堆積記憶體。</p> <p>另一個已被公開的漏洞為<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-35264" target="_blank">CVE-2024-35264</a>，為.NET與Visual Studio的遠端執行漏洞，惟攻擊門檻較高。</p> <p>在兩個已遭到利用的漏洞中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38080" target="_blank">CVE-2024-38080</a>是Windows Hyper-V的權限擴張漏洞，可讓駭客取得系統（SYSTEM）權限。<a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38112" target="_blank">CVE-2024-38112</a>則是位於Windows MSHTML Platform的欺騙漏洞，儘管駭客必須額外準備攻擊環境，也必須誘導使用者執行惡意檔案，屬於相對複雜的漏洞，但該漏洞依然已遭到利用。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38080" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38080.png" style="width: 500px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/zh-tw/vulnerability/CVE-2024-38112" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38112.png" style="width: 500px;" /></a></p> <p>至於5個重大漏洞中有3個都與Windows Remote Desktop Licensing Service（RD Licensing）有關，同時它們的CVSS風險評分等級也都高達9.8。此一服務負責管理及發放遠端桌面服務的許可證，其中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38074" target="_blank">CVE-2024-38074</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38076" target="_blank">CVE-2024-38076</a>的攻擊手法一致，駭客可藉由傳送一個特製封包至RD Licensing伺服器上便能觸發該漏洞，以自遠端執行程式。而<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077" target="_blank">CVE-2024-38077</a>則允許未經授權的駭客存取該服務，再傳送惡意訊息便能自遠端執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38074" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38074.png" style="width: 470px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38076" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38076.png" style="width: 470px;" /></a></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38077.png" style="width: 470px;" /></p> <p>緩解上述RD Licensing漏洞的方法之一，為關閉非必要的RD Licensing服務。</p> <p>另一個允許遠端程式執行的重大漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38060" target="_blank">CVE-2024-38060</a>位於Microsoft Windows Codecs Library，允許具備任何身分等級的駭客上傳惡意TIFF檔案來觸發該漏洞。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38060" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38060.png" style="width: 470px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38023" target="_blank">CVE-2024-38023則</a>是Microsoft SharePoint Server的遠端執行漏洞，允許具備Site Owner權限的駭客，於SharePoint Server上注入任意程式碼並執行它。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38023" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38023.png" style="width: 470px;" /></a></p> <p>趨勢科技資安團隊<a href="https://www.zerodayinitiative.com/blog/2024/7/9/the-july-2024-security-update-review" target="_blank">Zero Day Initiative（ZDI）提醒</a>，CVE-2024-38080或許允許於guest OS上具備授權的使用者取得SYSTEM權限，進而利用此一Windows Hyper-V的權限擴張漏洞來執行勒索軟體攻擊，儘管微軟並未公布其遭到利用的規模，但建議執行Hyper-V的用戶儘快測試並部署安全更新。</p> </div></div></div>
2024/7/10 12:10作者陳曉莉https://www.ithome.com.tw/news/163856
OpenAI與Thrive Global共同創立Thrive AI Health，推動個人化AI健康教練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI旗下的新創基金OpenAI Startup Fund，以及專門研究行為改變技術的Thrive Global在本周一（7/8）<a href="https://www.prnewswire.com/news-releases/openai-startup-fund--arianna-huffingtons-thrive-global-create-new-company-thrive-ai-health-to-launch-hyper-personalized-ai-health-coach-302190536.html" target="_blank">宣布共同創立Thrive AI Health</a>，企圖藉由人工智慧（AI）與行為改變來改善人們的健康，計畫推出「超」個人化的AI健康教練。</p> <p>其中，Thrive Global是由創立哈芬登郵報（The Huffington Post）的Arianna Huffington所成立，Huffington於哈芬登郵報在2011年賣給America Online（AOL）之後，仍持續擔任該報的總編輯，一直到2016年離職，同年即創辦Thrive Global，專注於開發行為改變技術。相關技術指的是藉由改變人們的生活習慣與態度來預防疾病，進而節省醫療照護成本。</p> <p>OpenAI共同創辦人暨執行長Sam Altman與Huffington在連袂撰寫的<a href="https://time.com/6994739/ai-behavior-change-health-care/" target="_blank">TIME專欄</a>中指出，有1.29億的美國人至少患有一種嚴重的慢性病，而在美國每年4.1兆的醫療照護支出中，就有90%是用來治療相關的疾病。然而，健康不僅取決於醫療照護或基因，也可透過行為改變來改善，它既能預防疾病，也能改善疾病的治療。</p> <p>他們認為，即使改變行為並不容易，但藉由AI輔助的超個人化設計將具備獨特優勢。</p> <p>Thrive Global所注重的五大行為包括睡眠、食物、運動、壓力管理與社會連結，打算建置一個超個人化的AI健康教練，可根據個別使用者的狀態及習慣，協助其累積各種可改善健康的行為。新公司的執行長為DeCarlos Love，他曾在蘋果與Athos擔任與產品有關的職務，之後在Google主導橫跨裝置與平臺的業務，包括各種感應器、AI/機器學習演算法，以及Fitbit by Google Fitness、Pixel Watch與Wear OS等。</p> <p>根據該公司的規畫，Thrive AI Health Coach將透過個人化的脈絡引擎來理解及生成有助其健康的建議，這些建議來自於多模式且專家級的指導，環繞在上述的五大行為，並由統一的健康資料平臺提供支援。之後亦將接受最新的同行評審科學、生物識別、實驗室與其它醫療資料的訓練。</p> </div></div></div>
2024/7/10 11:08作者陳曉莉https://www.ithome.com.tw/news/163855
東元電機與宅配通發生網路資安事件，東元集團兩公司同日發布重訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內傳出兩家上市公司遭遇資安事故的消息，先是老牌電機大廠東元電機發布資安事件重大訊息，同日該公司旗下物流公司台灣宅配通也發布資安重訊。</p> <p>首先，東元電機在7月8日下午3時18分發布<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=151847&SPOKE_DATE=20240708&COMPANY_ID=1504">重大訊息</a>，說明公司發生網路資安事件。</p> <p>根據東元電機公告指出，這次事件是該公司自行偵測到網路傳輸異常，察覺部份資訊系統遭受駭客攻擊，資安單位隨即啟動資安防禦與復原機制，並委請外部資安公司技術專家協助處理。關於這起事故帶來的影響，該公司僅表示，目前公司資訊系統正陸續恢復中，評估對公司營運尚無重大影響，後續若有重大影響再行公告。</p> <p>到了在7月8日傍晚5時55分，隸屬於東元集團旗下、國內知名物流配送公司台灣宅配通也發布<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642">重大訊息</a>，說明公司部份資訊系統遭受駭客網路攻擊。</p> <p>台灣宅配通指出，他們在偵測到部份資訊系統遭受駭客網路攻擊後，資安部門已全面啟動相關防禦機制與備援作業，同時協調外部資安公司技術專家共同合作處置，後續將彙整完整異常資料，並通報政府執法部門與資安單位。該公司另也表示，對公司營運無重大影響，目前資訊系統陸續回復運作中。</p> <p>附帶一提的是，當日國內還有另一起事故的揭露，是上櫃公司聖暉工程科技在晚間6時23分發布資安重訊，代子公司聖暉系統集成集團發布資通安全事件公告。</p> </div></div></div>
2024/7/9 20:57作者羅正漢https://www.ithome.com.tw/news/163851
攻擊Ticketmaster的駭客繼外洩該平臺用戶資料、行動門票條碼後，又公布實體門票檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國最大售票平臺Ticketmaster今年5月<a href="https://www.ithome.com.tw/news/163194" target="_blank">遭到駭客入侵</a>，駭客Shiny Hunters先是在論壇上兜售該平臺5.6億名用戶的資料，索價50萬美元，繼之外洩約17萬張的Taylor Swift演唱會門票條碼，將價碼提高到200萬美元，在Ticketmaster宣稱該門票條碼是變動的，幾秒鐘就會替換之後，近日駭客再公布逾3.8萬張、由消費者在家自行列印的各種活動的門票條碼。</p> <p>Ticketmaster母公司Live Nation Entertainment已<a href="https://www.sec.gov/Archives/edgar/data/1335258/000133525824000081/lyv-20240520.htm" target="_blank">向美國證券交易委員會（SEC）證實</a>該平臺遭到攻擊。表示是在5月20日於一個含有Ticketmaster資料的第三方平臺上有未經授權的活動，旋即展開調查，駭客則是在5月27日於暗網上出售宣稱來自該公司的資料。</p> <p>當時Live Nation亦著手減輕對使用者及該公司的風險，同時通知執法機構與主管機關，並說此一事件應不會對該公司的業務、財報或營運產生重大影響。</p> <p>看起來Live Nation或Ticketmaster並未支付贖金，使得Shiny Hunters在7月5日免費<a href="https://x.com/H4ckManac/status/1809103001409270048" target="_blank">公開</a>了約17萬張Taylor Swift演唱會的門票條碼，還說手中握有其它涉及154場活動，總計3,000萬張的活動條碼，並將贖金提高到200萬美元。</p> <p>之後Ticketmaster駁斥了駭客的說法，指出為了反詐騙，其行動門票條碼每幾秒鐘就會自動更新，根本無法複製。</p> <p>不過，根據<a href="https://www.bleepingcomputer.com/news/security/hackers-leak-39-000-print-at-home-ticketmaster-tickets-for-154-events/" target="_blank">BleepingComputer的報導</a>，Shiny Hunters宣稱Ticketmaster有一個Ticketfast實體門票服務，允許使用者於家中印出活動門票，這些門票上的條碼無法輪替，同時公布了一個內含38,745張Ticketfast門票條碼的檔案連結。</p> </div></div></div>
2024/7/9 15:16作者陳曉莉https://www.ithome.com.tw/news/163848
【資安日報】7月9日，留意BEC詐騙攻擊，惡意軟體沙箱服務業者遭網釣攻擊後，查出郵件備份程式PerfectData恐洩…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電子郵件是企業日常運作中不可或缺的溝通工具，然而電子郵件也持續是駭客和網路犯罪分子的主要攻擊目標之一，最近惡意軟體沙箱服務業者Any.Run不僅揭露自身遭網釣攻擊，有員工帳戶被洩露並遭遇BEC詐騙活動，同時他們另也強調，問題出在電子郵件備份應用程式PerfectData，已導致多起郵件外洩事故。</p> <p>特別的是，還有一起事件發生在國內，崴寶精密科技公司與其客戶遭遇BEC詐騙，同樣顯現電子郵件中的交易內容資訊被掌握，以及冒其名義寄送變更匯款通知信的危害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163809"><strong style="font-size: 22px;">電子郵件備份應用程式PerfectData存在高風險，過去一年來，網路論壇傳出多次信箱因此洩漏的事件</strong></a></p> <p>上個月發生的惡意軟體沙箱服務業者Any.Run遭到網釣攻擊事件，有員工帳戶被洩露並遭遇BEC詐騙活動，該公司特別揭露遭網釣攻擊的起因——攻擊者透過備份應用程式PerfectData Software竊取該公司員工電子信箱信件，數個資安研究廠商與研究人員的調查均顯示，在過去一年多來，這款應用程式已造成多起郵件資料外洩導致的攻擊，本身存在著高風險，警告用戶審慎使用這款應用程式。</p> <p>Any.Run在針對該公司遭到網釣攻擊事件的報告中，指出事件的起因之一，是攻擊者透過該公司員工安裝的備份應用程式PerfectData Software，竊取該員工整個信箱的郵件，進而利用其中的聯絡人信箱帳號，向該公司所有員工發送釣魚信件，顯示PerfectData Software這款應用程式可能遭到濫用。</p> <p>我們進一步追查後，發現其實早在1年前，網路安全公司Darktrace與安全分析師Damien，就已分別在2023年6月與7月通報PerfectData Software存在高風險，並已導致多起郵件外洩事故。</p> <p><a href="https://www.ithome.com.tw/news/163828"><strong style="font-size: 22px;">惡意軟體載入工具GootLoader透過多階段攻擊鏈散布，駭客佯稱提供法律文件範本引誘使用者上當</strong></a></p> <p>資安業者Cybereason揭露惡意程式載入工具GootLoader 3.0版的攻擊行動，並對其攻擊行動升溫提出警告。</p> <p>研究人員指出，雖然GootLoader原本是金融木馬GootKit惡意軟體家族其中一項元件，但攻擊者已經將其用於散布其他惡意程式，例如：Cobalt Strike、Gootkit、IcedID、Kronos、REvil、SystemBC。</p> <p>GootLoader如何用於攻擊行動？研究人員指出駭客通常會先入侵網站，並植入含有GootLoader的JavaScript惡意酬載，並使用搜尋引擎最佳化中毒的手法，鎖定想要尋找法律文件範本的企業使用者下手。</p> <p><a href="https://www.ithome.com.tw/news/163841"><strong style="font-size: 22px;">崴寶精密科技與其客戶遭遇BEC詐騙，駭客冒名發送電子郵件騙走3千萬，所幸及時凍結接收匯款的人頭帳戶</strong></a></p> <p>近期有臺灣企業揭露自身遭遇BEC詐騙事件，公開發行公司崴寶精密科技在6月28日仍透過證交所公開資訊觀測站發布重大訊息，說明遭遇冒名通知客戶更改收款帳戶的事件。根據公告內容來判斷，我們認為這起事故就是典型的BEC詐騙。</p> <p>之所以發現這起事件，根據崴寶精密科技的說明，他們是在6月22日執行定期清查逾期帳款時，發現有一家客戶的數筆帳款已逾期，在聯繫該客戶後，對方聲稱已付款，並提出由東莞子公司同仁於5月7日發送的電子郵件來表明已按該郵件指示付款至某香港公司帳戶，因此察覺這次事件。</p> <p>崴寶在隔日6月23日即展開行動，分別前往東莞及香港向警方報案，所幸的是，根據香港警方清查，該人頭帳戶所收到的1,050,324元美元（3千多萬元）款項，尚未被移轉，因而緊急凍結該帳戶，後續崴寶將在司法程序以取回該筆帳款。同時，崴寶也向所有客戶詢問是否收到變更匯款帳號的類似通知，目前確認沒有其他客戶受害。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642"><strong style="font-size: 22px;">電機大廠東元發生網路資安事件，目前資訊系統陸續恢復中</strong></a></p> <p>國內老牌電機大廠東元在7月8日下午3時18分發布資安事件重大訊息，說明公司發生網路資安事件。</p> <p>根據東元電機公告指出，這次事件是該公司自行偵測到網路傳輸異常，察覺部份資訊系統遭受駭客攻擊，資安單位隨即啟動資安防禦與復原機制，並委請外部資安公司技術專家協助處理。關於這起事故帶來的影響，該公司僅表示，目前公司資訊系統正陸續恢復中，評估對公司營運尚無重大影響，後續若有重大影響再行公告。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=175553&SPOKE_DATE=20240708&COMPANY_ID=2642"><strong style="font-size: 22px;">物流配送公司宅配通公告部份資訊系統遭受駭客網路攻擊</strong></a></p> <p>在7月8日國內傳出兩家上市公司遭遇資安事故的消息，除了東元電機，還有國內知名物流配送公司宅配通，該公司在7月8日傍晚5時55分發布資安事件重大訊息，說明公司部份資訊系統遭受駭客網路攻擊。</p> <p>宅配通指出，他們在偵測到部份資訊系統遭受駭客網路攻擊後，資安部門已全面啟動相關防禦機制與備援作業，同時協調外部資安公司技術專家共同合作處置，後續將彙整完整異常資料，並通報政府執法部門與資安單位。該公司另也表示，對公司營運無重大影響，目前資訊系統陸續回復運作中。</p> <p> </p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bloomberg.com/news/articles/2024-07-08/microsoft-orders-china-staff-to-switch-from-android-phones-to-iphones-for-work"><strong style="font-size: 20px;">微軟傳出要求中國員工9月起公務禁用Andorid手機，原因是中國市場無法使用Google Play下載必要身分驗證App，無法確保資安</strong></a></p> <p>◆<a href="https://cybernews.com/security/rockyou2024-largest-password-compilation-leak/"><strong style="font-size: 20px;">黑客論壇流傳一份近100億帳號密碼的「rockyou2024.txt」檔案，較2021曝光的版本多出15億組資料</strong></a></p> <p>◆<a href="https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/apt40-advisory-prc-mss-tradecraft-in-action"><strong style="font-size: 20px;">多國網路安全機構在7月9日發布針對中國駭客組織APT10的資安通告，並揭露2起該組織對澳洲發動攻擊的案例</strong></a></p> <p>◆<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=4&SPOKE_TIME=182304&SPOKE_DATE=20240708&COMPANY_ID=5536"><strong style="font-size: 20px;">聖暉系統集成集團公司遭受駭客攻擊，上櫃母公司聖暉在7月8日代重要子公司發布資通安全事件公告</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163795"><strong style="font-size: 22px;">Windows 10明年終止支援，資安業者推漏洞修補服務，費用僅微軟ESU的1/4</strong></a></p> <p>微軟將在2025年10月終止支援Windows 10，現也呼籲用戶及早升級到Windows 11。但是Windows 11對電腦硬體規格有一定要求，如需搭載支援TPM 2.0的處理器，用戶必須買新電腦。Windows 11的介面和Windows 10也大不相同，必須重新適應。此外，對大型企業而言，升級作業系統對管理員來說費時費力，也可能有應用不相容的風險。</p> <p>斯洛維尼亞的資安業者0patch，過去經常在知名軟體爆出漏洞來不及發布更新時，先釋出暫時性修補程式，本月該公司推出的最新方案，則鎖定明年可能出現安全空窗的Windows 10 PC用戶。這項方案將對Windows 10 22H2提供最少5年的重大安全修補程式，並視市場反應考慮延長。0patch的Windows 10修補程式服務分為二個等級。0patch Pro是為個人或小企業設計，價格為每臺電腦每年24.95歐元，另一0patch Enterprise適合中大型組織，費用為每臺電腦每年34.95歐元。</p> <p><a href="https://www.ithome.com.tw/news/163795"><strong style="font-size: 22px;">Windows 11 21H2、22H2將在10月終止支援</strong></a></p> <p>微軟本周發布公告，Windows 11 21H2及22H2二個版本作業系統將在3個月後，即2024年10月8日終止支援，因此，對這些版本作業系統而言，10月8日發布的每月安全更新將是最後一次更新。屆時微軟將主動為部分商用裝置部署Windows 11 23H2版本。</p> <p>事實上，從今年2月開始，微軟已經強制為適用的Windows 11電腦發布23H2版本（又名Windows 11 2023 Update）。微軟表示，將依據其機器學習模型，在安全部署考量下，為已來到EoL的裝置部署這個更新版。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163836"><strong>【7月8日】勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163808"><strong>【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163785"><strong>【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</strong></a></p> <p> </p> </div></div></div>
2024/7/9 10:27作者羅正漢https://www.ithome.com.tw/news/163843
40歲的Windows記事本終於有拼字檢查、自動修正功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows記事本（Notepad）在推出41年後，終於悄悄在Windows 11版本加入現代化功能，像是拼字檢查和自動修正。</p> <p>微軟今年3月就先在Canary及Dev頻道<a href="https://blogs.windows.com/windows-insider/2024/03/21/spellcheck-in-notepad-begins-rolling-out-to-windows-insiders/" target="_blank">釋出</a>Notepad（11.2402.22.0），並在4月將之釋出給Beta與Release Preview頻道。微軟本周將Windows Notepad（11.2402.22.0版）釋出給一般用戶。</p> <p>這版Notepad最重要的新增功能之一是拼字檢查及自動修正。和Word版本一樣，記事本會在用戶拼錯字的地方以紅色底線標出。但是它無法像Word一樣滑鼠按右鍵顯示建議拼字讓用戶選擇。若要看到建議拼字，用戶必須點擊或輕觸錯字，或是以快捷鍵Shift+F10，才能看到建議選單，再從中選擇要的字。用戶也可以選擇將其拼字加入字典，這點也和Word一樣。</p> <p>這2個功能會在一般純文字檔中預設啟用，但在和寫程式相關的檔案，如log檔則預設關閉。用戶可以在記事本的設定中變更為一體適用，或適用於特定檔案，也可以透過環境選單（context menu）為現有檔案啟用該功能。微軟已將「設定」頁重新組織，以便容易找到並調整記事本設定。</p> <p>微軟是在1983年<a href="https://en.wikipedia.org/wiki/Windows_Notepad" target="_blank">推出</a>記事本（Notepad），名稱一開始叫Multi-Tool Notepad，作為基本版的Word。但此後一直維持它陽春的功能。直到微軟逐漸淘汰小作家（Wordpad），才開始為記事本強化功能。現今記事本也終於有了字數計算、深色模式、分頁、整合Copilot等現代化功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0709-Notepad%20app-Explain%20with%20Copilot%EF%BC%8D%EF%BC%92.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟去年9月<a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">宣布</a>將不再更新小作家，今年3月也公告將於今年稍晚Windows 11 24H2及Server 2025中移除小作家App。</p> </div></div></div>
2024/7/9 11:46作者林妍溱https://www.ithome.com.tw/news/163845
崴寶精密科技與其客戶遭遇BEC詐騙，駭客冒名發送電子郵件騙走3千萬，所幸及時凍結接收匯款的人頭帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於BEC商業電子郵件詐騙案，過去國內很少有企業揭露這方面的資安事故，通常只有警政署公布統計資訊，或以去識別化的案例來宣導，又或是等到主管機關揭露，像是之前臺灣銀行洛杉磯分行通報金管會遭遇BEC詐騙案。</p> <p>國內也曾傳出BEC詐騙，但很少浮出檯面讓外界得知，難得有公司主動公布發生這樣的事故，不過，現在隨著證交所對臺灣上市櫃公司資安重訊發布的要求條件擴大，企業BEC詐騙事件可望有更多公開揭露的機會。</p> <p>今年4月才剛在國內證券櫃檯買賣中心申請成為公開發行公司的崴寶精密科技，雖然他們尚未成為上市櫃公司，在6月28日仍透過證交所公開資訊觀測站發布重大訊息，說明遭遇冒名通知客戶更改收款帳戶的事件。根據公告內容來判斷，我們認為這起事故就是典型的BEC詐騙。</p> <p>在崴寶崴寶精密科技這次公告中，揭露了他們遭遇的商業電子郵件入侵詐騙案，有合作客戶被冒名崴寶發送的電子郵件所騙，將1百多萬美元（3千多萬元）款項，匯至不屬於崴寶精密科技的帳戶。</p> <p>之所以發現這起事件，根據崴寶精密科技的說明，他們是在6月22日執行定期清查逾期帳款時，發現有一家客戶的數筆帳款已逾期，因此聯繫該客戶。</p> <p>但對方聲稱已付款，並提出先前電子郵件往來的紀錄，指出崴寶東莞子公司的人員曾在5月7日發送電子郵件，通知變更匯款帳戶，於是他們也已經按該郵件指示，付款至某香港公司帳戶。因此，崴寶立即發覺遭他人冒名、發送虛假電子郵件通知客戶更改收款帳戶的情形。</p> <p>在察覺發生BEC詐騙的後續因應上，崴寶在隔日6月23日即展開行動，分別前往東莞及香港向警方報案，所幸的是，根據香港警方清查，該假帳戶所收到的1,050,324元美元款項，尚未被移轉，於是在當地執法單位與金融機構協助下緊急凍結該帳戶，後續崴寶將在司法程序以取回該筆帳款。同時，崴寶也向所有客戶詢問是否收到變更匯款帳號的類似通知，目前確認沒有其他客戶受害。</p> <p>特別的是，崴寶也清楚說明了他們後續將採取的諸多行動，</p> <p>例如，對於公司內部，該公司除了將配合司法調查，也釐清公司作業流程及內控是否存有漏洞而遭人利用。</p> <p>另外，他們表示會將這次事件列為員工教育訓練教案之一，對於清查逾期帳款一事，也將持續宣達要確實執行，並將檢討精進相關後續應變處理措施。</p> <p>對於與其合作的客戶，他們也發出通知，說明日後如有類似這次事件的匯款變更通知，崴寶將以電話親自通知，也請客戶務必再與公司相關管理層人員確認。</p> <p>整體而言，這次事件能及早攔阻，除了定期清查逾期帳款，最主要是匯款尚未被BEC詐騙駭客再次轉移，但我們也要提醒，通常BEC詐騙能成功，代表駭客已掌握雙方的款項交易行為，像是入侵電子郵件系統、閱讀公司信件內容，掌握關鍵業務窗口與交易資訊，才能伺機發送假冒的變更匯款帳戶通知信，因此電子郵件防護的面向也要多加留意。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E5%B4%B4%E5%AF%B6%E7%99%BC%E5%B8%83%E8%B3%87%E5%AE%89%E9%87%8D%E8%A8%8A%EF%BC%8C%E8%AA%AA%E6%98%8E%E6%9C%89%E9%A7%AD%E5%AE%A2%E5%86%92%E5%90%8D%E8%A9%B2%E5%85%AC%E5%8F%B8%E7%99%BC%E5%8B%95BEC%E8%A9%90%E9%A8%99.jpg" style="width: 600px;" /></p> </div></div></div>
2024/7/9 08:42作者羅正漢https://www.ithome.com.tw/news/163841
Windows 11 21H2、22H2將在10月終止支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3341" target="_blank">微軟本周發布公告</a>，Windows 11 21H2及22H2二個版本作業系統將在3個月後，即2024年10月8日終止支援。屆時微軟將主動為部分商用裝置部署Windows 11 23H2版本。</p> <p>根據微軟最新90天終止預告，Windows 11 21H2（Enterprise、Education與IoT Enterprise）及Windows 11 22H2（Home與Pro版）在2024年10月將來到技術支援周期終點。10月8日發布的每月安全更新對這些版本作業系統而言，將是最後一次更新。</p> <p>在此之後，執行這些OS版本的裝置將不會再接收到官方安全更新。在快到終止支援之前，微軟將開始自動為未受IT部門管理的商用機，自動部署功能更新Windows 11 23H2，微軟說，升級到最新版本可確保裝置安全。</p> <p>事實上，從2月開始，微軟已經強制為適用的Windows 11電腦<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-23h2" target="_blank">發布23H2版本</a>（又名Windows 11 2023 Update）。微軟表示，將依據其機器學習模型，在安全部署考量下，為已來到EoL的裝置部署這個更新版。不過根據微軟自己的公告，6月底釋出的23H2版本（OS Build 22621.3810）傳出安裝後導致使用VM或巢狀虛擬化（nested virtualization）的電腦反覆重開機，以及工作列不會載入等問題。</p> </div></div></div>
2024/7/9 10:38作者林妍溱https://www.ithome.com.tw/news/163844
駭客鎖定以色列政府機關及企業組織，意圖散布以開源工具打造的惡意程式GrassHopper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客從事網路攻擊的過程裡，濫用開源的滲透測試工具的情況越來越常見，並且使得防守者識別攻擊行為難度隨之提升，甚至可能會無法與合法的滲透測試行為進行區別。</p> <p>例如，資安業者HarfangLab在調查鎖定以色列政府、企業組織的攻擊行動過程裡，<a href="https://harfanglab.io/en/insidethelab/supposed-grasshopper-operators-impersonate-israeli-gov-private-companies-deploy-open-source-malware/">找到先前未曾揭露的可疑網域，攻擊者將其用於設置C2伺服器</a>，但特別的是，這個網域存在的時間相當長，引起了研究人員的注意。</p> <p>他們循線調查駭客在攻擊過程使用的相關工具，發現對方使用可公開的惡意軟體，也有部分作案工具是自行開發，相關攻擊行動具有高度針對性，他們散布惡意酬載的管道，是利用專門為目標基礎設施量身打造的WordPress網站，研究人員指出，這些攻擊仰賴開源的惡意軟體，影響範圍甚至擴及了不同領域的垂直產業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/wp-operative-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/wp-operative-1.png" style="width: 580px;" /></a></p> <p>針對上述的攻擊行動，研究人員懷疑是資安人員的滲透測試所致，但由於相關的攻擊基礎設施並未與市面上的滲透測試業者有關，因此他們認為應該向資安社群公布相關發現。</p> <p>究竟對方如何發起攻擊？研究人員在其中2起發生在2023年11月的攻擊行動裡，發現對方疑似透過特別製作的WordPress網站，散布VHD虛擬磁碟檔案格式作為初始的有效酬載，駭客使用偷渡式下載（Drive-by Download）的手法，將VHD檔植入受害電腦。</p> <p>一旦使用者將VHD檔案掛載，就會在磁區看到Windows捷徑檔案（LNK），該檔案含有看似圖片的圖示，開啟後就會執行設為隱藏屬性的HTML應用程式檔案（HTA），顯示誘餌圖片降低使用者的戒心，並啟動第一階段的惡意程式。</p> <p>這個圖片內容含有以色列經濟及工業局的圖標，並以希伯來文寫著：假期驚喜！抱歉，你沒有贏。</p> <p><a href="https://s4.itho.me/sites/default/files/images/result.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/result.jpg" style="width: 580px;" /></a></p> <p>駭客使用的第一個惡意程式是以程式語言Nim打造而成，主要的用途是下載第2階段的惡意軟體，此惡意軟體濫用GlobalSign的根憑證檔案啟動SSL連線，從遠端取得惡意檔案並在記憶體內執行。</p> <p>而第2階段的惡意酬載是GrassHopper，研究人員指出是結合兩種開源的工具而成，檔案大小約為15 MB。而這些遭濫用的開源工具元件，分別是Shell Code生成框架Donut，以及滲透測試框架Sliver。</p> <p>在GrassHopper初始化的階段，攻擊者會進行解碼處理及使用API雜湊值解析功能函數，然後竄改Windows安全防護機制反惡意軟體掃描介面（AMSI）及Windows鎖定政策（WLDP），阻礙受害電腦安裝的防毒軟體運作，最終對應（map）與執行嵌入的酬載。</p> <p>究竟這起資安事故是攻擊行動還是合法的滲透測試？研究人員推測，很有可能是企業組織的滲透測試行為。</p> <p>他們進一步指出，由於這場攻擊行動相當特別，不僅攻擊範圍相當有限，目標極為明確，而且，只有少量惡意程式檔案與之有關，這代表了對方僅進行極少量的入侵嘗試，這些現象皆與駭客的攻擊行為相當不同。</p> <p>再加上駭客使用的工具鏈主要由開源工具組成，僅有初始的HTA檔案及Nim下載器為自行開發，並自行架設WordPress網站做為交付有效酬載的管道，但研究人員認為上述攻擊內容小型團隊就能執行。</p> <p>不過，若是滲透測試行為，上述揭露的惡意酬載已實際被利用或是散布，卻沒有任何能直接佐證是資安業者執行滲透測試的證據，再加上佯裝成政府機關或是關鍵基礎設施的名義從事相關行為，可能會造成政治局勢緊張，並導致不必要的後果。因此，他們也無法完全排除是網路攻擊的行為。</p> <p>但無論實際上是那一種行為，這起資安事故的發生，突顯攻擊者有許多現成、公開的攻擊框架工具可用，使得未來的資安調查及威脅分析工作變得更加困難，成為資安人員將要面臨的挑戰。</p> </div></div></div>
2024/7/9 10:02作者周峻佑https://www.ithome.com.tw/news/163840
【資安日報】7月8日，勒索軟體Eldorado同時鎖定Windows與Linux電腦、虛擬化平臺VMware ESXi…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近1年新興的勒索軟體駭客組織不斷出現，但大部分採用已被外洩的LockBit、Babuk開發工具或是程式碼，加以修改就用於攻擊行動，但現在資安業者Group-IB揭露的Eldorado相當不同，對方是自行從頭打造惡意程式，使得他們的惡意軟體不像其他的勒索軟體容易推測其運作特徵，而難以防範。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163819"><strong style="font-size: 22px;">今年3月竄出的勒索軟體Eldorado鎖定Windows、Linux與VMware ESXi平臺，已有16家企業遭受攻擊</strong></a></p> <p>資安業者Group-IB揭露新的勒索軟體即服務（RaaS）Eldorado，此勒索軟體以跨平臺的Go程式語言撰寫，可用來攻擊Windows、Linux與VMware ESXi平臺。從今年3月現身迄今，至少已有16家企業遭到Eldorado的攻擊。研究人員指出，有別於許多近期出現的勒索軟體採用外洩的LockBit或Babuk程式碼打造，經營Eldorado的駭客組織是自行撰寫程式碼，他們慣用俄文進行溝通。</p> <p>截至今年6月為止，全球有16家企業遭到Eldorado勒索軟體攻擊，有13家位於美國，2家位於義大利，另一家則是克羅埃西亞的組織，在行業別上，有3家為房地產業者，其他受害者分散在教育、專業服務、醫療照護、製造業、電信業、商業服務、行政服務、運輸服務、政府及軍方等領域。</p> <p><a href="https://www.ithome.com.tw/news/163815"><strong style="font-size: 22px;">OpenAI傳去年遭駭未通報主管機關，事後解聘向董事會呼籲重視的員工</strong></a></p> <p>根據紐約時報報導，OpenAI於2023年遭駭客存取內部網路環境，但該公司認為不嚴重而未公告亦未通報主管機關，並於事後因相關事件解僱員工。</p> <p>紐約時報引述知情人士的說法，OpenAI去年遭外部人士存取了內部的員工討論區，但並未存取開發和儲存ChatGPT或其他AI系統的環境。OpenAI認為，由於這起事故並未涉及敏感資訊，且存取者並非已知駭客組織，故該公司認為這並非重大安全事件，因而未公開此事，也未通報主管機關或美國聯邦調查局（FBI）。</p> <p>OpenAI前技術計畫經理Leopold Aschenbrenner表示在一起「重大資安事件」後，向公司董事會提出呼籲，但他今年4月與另一名員工以洩密為由遭到解雇。對此，OpenAI並未做出公開回應。</p> <p><a href="https://www.ithome.com.tw/news/163834"><strong style="font-size: 22px;">研究人員調查與確認polyfill供應鏈攻擊範圍，至少有超過163萬臺網站伺服器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-28-at-11_05_01 AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-06-28-at-11_05_01%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Sansec於6月底警告polyfill[.]io供應鏈攻擊事故引起各界高度關注，使用此瀏覽器相容性程式庫的網站，會導致使用者被導向賭博網站或是惡意網站。事隔數日，經營者聲稱透過polyfill[.]com繼續提供服務，但究竟有多少網站受到影響？有研究人員提出新的調查結果。</p> <p>上週資安業者Censys表示，截至7月2日，他們總共偵測到384,773臺網頁伺服器，會在HTTP回應當中，含有<a href="https://cdn.polyfill[.]io">https://cdn.polyfill[.]io</a>或<a href="https://cdn.polyfill[.]com">https://cdn.polyfill[.]com</a>。這些伺服器大部分位於德國，約有23.7萬臺位於Hetzner主機代管業者的環境（AS24940）。</p> <p>根據Google向廣告業者警告駭客同時經營bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org，若是包含這些惡意CDN服務在內，Censys表示受害範圍將擴及1,637,160臺主機，若與先前資安研究團隊MalwareHunterTeam估計的30萬至35萬臺相比，現在暴增至約為5倍以上的規模。</p> <p><a href="https://www.ithome.com.tw/news/163823"><strong style="font-size: 22px;">專攻Linux系統的殭屍網路病毒Zergeca浮上檯面！因資安公司攔截到加殼惡意程式，後續有人上傳VirusTotal測試是否能被偵測而曝光</strong></a></p> <p>中國資安業者奇安信揭露在5月下旬發現的DDoS殭屍網路Zergeca，研究人員指出對方以Go語言打造而成，具備6種DDoS攻擊方式，除此之外還能充當代理伺服器，或是用來進行網路掃描、檔案傳輸、收集設備敏感資料，也能作為反向Shell使用。值得留意的是，這個殭屍網路病毒還具備自我更新的功能，並能設法在受害電腦上持續運作。</p> <p>研究人員也特別提及此殭屍網路在網路通訊的層面有多項獨特的地方，其中，他們發現對方主要使用DNS over HTTPS（DOH）解析C2通訊內容，但這個殭屍網路病毒還具備其他數種解析DNS的能力；再者，攻擊者運用罕見的串流通訊程式庫Smux建立與C2伺服器的通訊，並透過XOR演算法加密通訊流量。</p> <p>他們也說明為何會特別關注這支殭屍網路病毒的動機，對方從不同國家上傳Zergeca至惡意軟體檢測平臺VirusTotal測試是否能被偵測，引起他們注意並著手進行調查。</p> <p><a href="https://www.ithome.com.tw/news/163821"><strong style="font-size: 22px;">WordPress、Magento、OpenCart網站遭到新型態信用卡側錄工具Caesar Cipher Skimmer鎖定</strong></a></p> <p>資安業者Sucuri揭露同時鎖定不同電子商務平臺發動攻擊的信用卡側錄程式Caesar Cipher Skimmer，這是名為gtag的側錄工具變種，並在近期偵測到大量攻擊的情況，他們在2週內得知近80起事故。</p> <p>他們指出攻擊者鎖定的目標，涵蓋多種內容管理平臺（CMS）及電子商務平臺，包括部署WooCommerce外掛程式的WordPress平臺，以及Magento和OpenCart。研究人員表示，雖然駭客使用相同惡意程式攻擊不同電商平臺相當常見，但大部分都是先後鎖定不同環境下手，像這次一口氣攻擊多種平臺的情況算是罕見。</p> <p>針對這起攻擊行動的手法，研究人員指出對方企圖將惡意程式碼偽裝成網站分析工具Google Analytics、網站關鍵字管理工具Google Tag Manager，並經過混淆處理。經過他們的分析，這些程式碼使用了「凱撒密碼（Caesar Cipher）」重新編碼惡意內容，目的是隱藏用來存放惡意酬載的網域。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.cloudflare.com/cloudflare-1111-incident-on-june-27-2024"><strong style="font-size: 20px;">Cloudflare的DNS解析器傳出遭遇邊界閘道協定挾持攻擊</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/ticketmaster-breach-shinyhunters-leak-taylor-swift-eras-tour-tickets/"><strong style="font-size: 20px;">大型售票業者Ticketmaster資料外洩事故出現新的發展，對方公布44萬張泰勒絲巡迴演唱會門票條碼進行施壓</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://www.mjib.gov.tw/news/Details/1/1015"><strong style="font-size: 20px;">臺美聯手合作，查獲透過非法交易市集Genesis Market購買臺灣民眾個資的嫌犯</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://blog.google/threat-analysis-group/google-disrupted-dragonbridge-activity-q1-2024/"><strong style="font-size: 20px;">中國駭客組織Dragon Bridge針對臺灣總統大戰散布不實消息，Google下架6.5萬個YouTube頻道與Blogger部落格</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://www.helpnetsecurity.com/2024/07/05/infostealing-malware-generative-ai"><strong style="font-size: 20px;">駭客假借提供知名AI應用程式散布Rilide Stealer、Vidar Stealer</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163808"><strong>【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163785"><strong>【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163765"><strong>【7月3日】巴基斯坦駭客假借提供安卓應用程式發動攻擊，意圖散布惡意軟體CapraRAT，目的是為了監控特定使用者</strong></a></p> </div></div></div>
2024/7/8 18:57作者周峻佑https://www.ithome.com.tw/news/163836
研究人員調查與確認polyfill供應鏈攻擊範圍，至少有超過163萬臺網站伺服器曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sansec於6月底警告<a href="https://www.ithome.com.tw/news/163667">polyfill[.]io供應鏈攻擊事故</a>引起各界高度關注，使用此瀏覽器相容性程式庫的網站，會導致使用者被導向賭博網站或是惡意網站。事隔數日，<a href="https://www.ithome.com.tw/news/163707">經營者聲稱透過polyfill[.]com繼續提供服務</a>，但究竟有多少網站受到影響？有研究人員提出新的調查結果。</p> <p>上週<a href="https://censys.com/july-2-polyfill-io-supply-chain-attack-digging-into-the-web-of-compromised-domains/">資安業者Censys表示</a>，截至7月2日，他們總共偵測到384,773臺網頁伺服器，會在HTTP回應當中，含有<a href="https://cdn.polyfill[.]io">https://cdn.polyfill[.]io</a>或<a href="https://cdn.polyfill[.]com">https://cdn.polyfill[.]com</a>。這些伺服器大部分位於德國，約有23.7萬臺位於Hetzner主機代管業者的環境（AS24940）。</p> <p>他們對於受害主機進一步調查，華納兄弟、Hulu、賓士等大型企業也名列其中，值得留意的是，最常見的主機名稱是ns-static-assets.s3.amazonaws.com，這代表有不少受害網站是採用AWS S3靜態主機代管服務。</p> <p>此外，美國聯邦機構也有不少受害單位，研究人員總共看到182個.gov網域的主機受害。</p> <p>上述的情況，比起Sansec初步估計至少10萬個網站，規模超出3倍。值得留意的是，Censys也發現也有部分網站使用wildcard.polyfill.io.bsclink[.]cn、cdn.polyfill.io.bsclink[.]cn、5f52353c.u.fn03[.]vip取代polyfill[.]io，其中僅wildcard.polyfill.io.bsclink[.]cn仍在運作，經調查與名為Legend Dynasty的新加坡公司有關，該公司隸屬中國CDN業者北京藍汛通信（Edgenext），究竟是否與經營polyfill[.]io的方能（FunFull）有所關連？研究人員表示有待進一步調查。</p> <p>而對於有研究人員針對Google向廣告業者提出的警告，<a href="https://www.ithome.com.tw/news/163742">循線指出駭客也同時經營bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org</a>，Censys根據中國網站開發人員去年6月在論壇討論的內容進行比對，證實對方在bootcdn[.]net實作的惡意指令碼，與polyfill[.]io一致。</p> <p>若是包含這些惡意CDN服務在內，受害範圍將擴及1,637,160臺主機，這樣的情形，相較於資安研究團隊MalwareHunterTeam估計的30萬至35萬臺，約為5倍以上的規模。</p> </div></div></div>
2024/7/8 18:41作者周峻佑https://www.ithome.com.tw/news/163834
國網中心啟用CPU架構超級電腦創進一號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家實驗院底下的國網中心宣布啟用新一代CPU架構超級電腦「創進一號」（Forerunner 1），效能達到3.5 Petaflops，將提供國內學研界高速計算資源，將7月開始提供服務。</p> <p>創進一號是在2023年開始建置，目的為取代現有的臺灣杉一號，國網中心新服役的超級電腦採用CPU架構，每個節點採用Intel Xeon Platinum 8480+，內建56個核心，共有558個x86-64計算節點，共計62,496個核心，總儲存達到9.2PB。國網中心以Forerunner 1為名，在今年5月全球500大超級電腦中排名第251名。</p> <p>除了x86架構，國網中心首次在主機設有40臺Arm架構計算節點，雖然數量不多，但主要用於異質架構計算測試使用，未來可作為國網中心建置新主機參考。</p> <p>國網中心表示，創進一號與臺灣杉三號採用相同的SLURM排程、Infiniband高速連結，具備高效能、高擴展性，使用者不需學習job script語法，多數程式碼只要微調重新編譯便可使用。</p> <p>採用CPU架構的創進一號適用於天氣預測、天體物理模擬、分子模型模擬、工程設計及其他模擬情境使用，接替2017年建置的臺灣杉一號（1.7 Petaflops），除了具有更高效能，還有更好的能源效率。</p> <p>根據國網中心的先期測試，創進一號在天文物理、流體力學、大氣科學、高能物理、材料計算等領域具有更好的效能，例如在臺灣大學的海氣耦合模式測試效率，要比台灣杉三號高出80%，而在中興大學與成功大學大幅提升流體力學計算模擬規模，將10億等級網格運算時間從數月縮短至40小時。</p> <p>國網中心主任張朝亮表示，因應高效能計算及AI快速發展需要，國網中心將在今年底完成效能達16 Petaflops的運算系統建置，以滿足大語言模型、數據驅動的AI運算需要。另外，跟進國際間高效能運算發展趨勢，已預計於2028年前完成200到300Petaflops算力，以提升臺灣在全球科研領域的競爭力。</p> </div></div></div>
2024/7/8 18:52作者蘇文彬https://www.ithome.com.tw/news/163835
Fintech周報第246期：CME集團和GCP合作打造私有雲端資料中心，不僅提供券商客戶主機共置服務，還要將集團旗下…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/24~7/5金融科技精選新聞</span></span></h3> <p dir="ltr" style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CME集團 </span></strong></span></p> <h3>CME集團和GCP合作打造私有雲端資料中心，不僅提供券商客戶主機共置服務，還要將集團旗下市場上雲</h3> <p>近日，芝加哥商品交易所集團（CME Group）宣布，將與GCP合作在芝加哥建立一座私有雲資料中心，提供其券商客戶使用主機共置服務。CME集團表示，他們將在私有雲資料中心開發一個專用平臺，未來，他們預計要將集團旗下市場遷移至這個平臺上運作。</p> <p>該平臺將提供CME集團客戶使用，客戶可選擇在共置服務中選用自行管理的基礎設施，或使用GCP的IaaS服務，兩者和交易所提供的網路傳輸速度一致。並且，平臺也提供多種產品服務，包括AI模型平臺、資料庫服務，也支援開發和測試功能。CME集團表示，這個平臺正在開發中，私有雲資料中心預計在今年開始建造。目前，他們已經在GCP位於達拉斯的機房提供客戶使用關鍵功能，該區域預計會成為CME集團的災難恢復設施。</p> <p>早在2021年，CME集團就開啟上雲旅程，他們在15個月內建立雲端環境，並嘗試將旗下交易所少數應用搬上雲端。CME集團採用的是多雲混合雲架構，不僅建置了私有雲和採用Google公雲，還將新增微軟公雲，做為該集團第三朵雲。近期，他們也將關鍵的清算應用程式遷移上雲。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>台新金揭生成式AI布局，要透過預訓練現成基礎模型來自建LLM</h3> <p>台新金控資訊長孫一仕近期接受iThome採訪，他表示內部正在嘗試透過預訓練現成模型，來自建只懂台新的大型語言模型。今年三月，台新金內部舉辦了一場圖像生成挑戰賽，鼓勵子公司員工組隊參與，運用各種提示工程來生成圖像作品。這群員工當時所試用的模型，正是台新金自建的圖型生成模型。</p> <p>從去年11月起，台新就開始評估自建LLM模型的實作方法。目前，台新打算運用雲端資源來補足訓練模型所需的算力。在挑選基礎模型時，台新根據兩項條件來進行篩選。先根據想用的功能，來選定適合的模型參數量。再來是，測試模型支援繁體中文的能力。決定了基礎模型後，才挑選適合的雲端算力供應商，來評估適當的模型運算環境。（<a href="https://www.ithome.com.tw/news/163800">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新光人壽</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>新光人壽計畫導入生成式AI，打造能輔助新人業務員的AI虛擬講師</h3> <p>新光人壽近期表示，在推動由超級業務員一對一帶領新人的業務制度時，也將導入多項AI應用場景作為培訓課程輔佐，例如，運用地端自建的生成式AI模型，打造能進行智能對練的AI虛擬講師，提供商品訓練和銷售應對練習。</p> <p>新光人壽表示，這款應用不僅能隨機生成各式不同客戶樣貌，也具備隨機保險意識，來訓練業務員應對不同客戶的銷售技巧。當業務員使用這款應用時，AI講師會依照業務員的問答節奏，模擬客戶考慮與諮詢商品細節的情境，在對練結束後給予回饋與建議，精進業務員的問題處理及銷售技巧，協助業務員更快速熟悉商品專業知識及內容。</p> <p>另外，新光人壽也計畫導入能解析、摘要內容的文字助理機器人，讓業務員能隨時檢索公司業務規章。同時，也規劃在內部導入自動建模平臺，讓員工能訓練機器學習多模型應用，強化業務推動。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>永豐銀行推出導入生成式AI的互動式聊天機器人「分行虛擬大使」，首先在成大分行展出</h3> <p>近日，永豐銀行宣布，首先在成大分行展示結合生成式AI的互動式聊天機器人「分行虛擬大使」。這款應用模擬真人圖像，顧客進入分行後，可以口述方式與其互動。分行虛擬大使可針對一般臨櫃業務、無障礙服務及防詐、金融永續等議題回覆顧客，若諮詢的業務可能涉及詐騙，虛擬大使也會主動提醒顧客。</p> <p>除了推出分行虛擬大使，永豐銀行近期也在內部推出生成式AI助理，能協助員工提升工作效率，強化內部監管受監護宣告或輔助宣告的個人帳戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0626%E5%88%86%E8%A1%8C%E8%99%9B%E6%93%AC%E5%A4%A7%E4%BD%BF.jpg" style="width: 600px;" /></p> <blockquote><p>永豐銀行結合生成式AI打造「分行虛擬大使」互動式聊天機器人，首先在校園銀行成大分行展出。</p> </blockquote> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自動化投資顧問服務 </span></strong></span></h3> <h3>金管會將修法強化自動化投資顧問服務監理，包括強化內控措施、加強公會自律機制</h3> <p>隨著自動化投資顧問服務在臺規模漸增，金管會也計畫對業者強化監理。近日，金管會公布「證券投資顧問事業管理規則」部分條文修正草案，此次修法共有三個重點，一是提升自律規範中重要規定至法令位階，包括明定自動化投資顧問服務定義等；二是強化公司內部管理及問責機制，包括規範業者應設置專責單位，負責監督服務的設計和執行；三是加強外部審查及公會自律機制，包括業者提供申請自動化投資顧問服務或變更演算法時，需要經過投信投顧公會審查，並由公會擬定相關審查事項和應檢附的文件。</p> <p>截至今年5月底，已有18家業者開辦自動化投資顧問服務，累積資產規模超過89億，累積客戶數則超過19萬人。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TWQR</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付 </span></strong></span></h3> <h3>三大專營電支業者先後支援TWQR，街口支付宣布在7月開通App的TWQR掃碼功能</h3> <p>去年10月，電支跨機構共用平臺「購物」功能和QR Code共同支付規格TWQR正式推出，消費者能以一個電支App掃描TWQR進行支付，不論該商家原本屬於哪家電支業者或銀行的特約商家。由於條碼被掃付款模式需要修改商家的POS系統，才能正式導入，而大型、連鎖商家又較多使用被掃模式。因此，首波導入TWQR的業者以小型、非連鎖商家為主。</p> <p>近期，電支龍頭街口支付宣布，7月開始正式支援TWQR，至此街口、一卡通、全支付三大專營電支業者均支援TWQR，用戶可以喜好的電子支付App，掃描不同特約機構商家的TWQR立牌，完成跨店家掃碼支付。不過，目前TWQR以正掃模式為主，即消費者持手機，以App掃描商家的TWQR，被掃模式，則尚未開放。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子支付 </span></strong></span></h3> <h3>金管會將修法放寬電支可綁定外送、計程車等平臺，增訂電支委外使用雲端服務規範</h3> <p>近期，金管會預告「電子支付機構業務管理規則」修正草案，預計修改13條，新增1條文，包括放寬特約機構範圍，將外送、計程車、停車平臺等業者納入電子支付特約範圍，並且參考金融上雲規範，增訂電支委外使用雲端服務規範，讓一卡通、街口、全支付等專營電支業者使用雲端服務更有依循。</p> <p>目前，「電子支付機構業務管理規則」部分修正草案已在行政院公報及金管會網站上預告，開放外界陳述意見。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲國民銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料平臺 </span></strong></span></h3> <h3>澳洲國民銀行揭內部新一代資料平臺</h3> <p>澳洲國民銀行在去年年底淘汰運作長達26年的資料平臺，近期，他們公開揭露自家的新資料平臺。這個平臺在雲端環境上運作，其核心是資料分析平臺Databricks。該平臺導入一項新的資料連接器，能計算來源系統中新增或修改的資料，並即時匯入資料平臺中，使用者不需要批次匯入資料。另外，平臺也使用了一項工具，讓使用者不需以文件的形式輸入資料。</p> <p>澳洲國民銀行資料平臺主管Joanna Gurry公開表示，由於平臺僅會匯入須處理的資料，因此，平臺轉換後有效降低了運算和儲存成本。在平臺運作的第一年中，成本下降約一半。另外，這個平臺也能進一步協助內部發展生成式AI應用。目前，澳洲國民銀行內共有120個系統連接至新資料平臺，未來將逐步擴增至200個系統。</p> <p>其他重要Fintech新聞：</p> <ul> <li>LINE Pay正式將支付場景拓展至境外，臺灣用戶可直接在特約商店用LINE Pay完成支付</li> <li>日本理索納金控運用AI評分模型自動向警方通報異常交易</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年7月</p> <p></p> </div></div></div>
2024/7/8 16:23作者李昀璇https://www.ithome.com.tw/news/163822
惡意軟體載入工具GootLoader透過多階段攻擊鏈散布，駭客佯稱提供法律文件範本引誘使用者上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>佯稱提供法律文件範本散布惡意程式的攻擊手法，過往已被用於攻擊行動，如今仍然有人以幾乎相同的手法從事攻擊行動，甚至打算號召更多打手，突顯這種已知攻擊手法還是必須提高警覺。</p> <p>資安業者Cybereason揭露<a href="https://www.cybereason.com/blog/i-am-goot-loader">惡意程式載入工具GootLoader 3.0版</a>的攻擊行動，駭客組織UNC2565（亦稱Hive0127）將其用於投放JavaScript指令碼，並透過搜尋引擎最佳化中毒（SEO Poisoning）散布，藉此投放其他作案工具。</p> <p>研究人員指出，雖然GootLoader原本是金融木馬GootKit惡意軟體家族其中一項元件，但攻擊者已經將其用於散布其他惡意程式，例如：Cobalt Strike、Gootkit、IcedID、Kronos、REvil、SystemBC。</p> <p><a href="https://s4.itho.me/sites/default/files/images/goot-loader-blog-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/goot-loader-blog-1.png" style="width: 580px;" /></a></p> <p>究竟攻擊者的動機是什麼？研究人員表示仍無法確定，不過對於駭客散布多種惡意程式的情況，他們認為與經濟利益有關，這些駭客可能向其他組織提供GootLoader。此外，UNC2565也開發新的橫向移動工具GootBot，他們研判對方是為了擴大使用GootLoader的範圍。</p> <p>GootLoader如何用於攻擊行動？研究人員指出駭客通常會先入侵網站，並植入含有GootLoader的JavaScript惡意酬載，並使用搜尋引擎最佳化中毒的手法，鎖定想要尋找法律文件範本的企業使用者下手。</p> <p>一旦使用者依照指示從網站下載JavaScript檔案，電腦就會啟動感染鏈。研究人員指出，上述攻擊途徑與他們2020年看到的幾乎一樣，代表駭客認可這種偷渡式下載（Drive-by Download）的入侵手法。</p> <p>攻擊者藉由Windows內建的處理程序wscript執行第一階段的有效酬載，該惡意程式將第二階段的作案工具儲存於磁碟，並設置工作排程執行。</p> <p>特別的是，雖然對方也是利用wscript啟動第二階段的有效酬載，但他們會將其移轉到另一個執行cscript的子處理程序。接著cscript會產生另一個PowerShell處理程序，並解開經過混淆處理的PowerShell指令碼，進行C2通訊。</p> <p>到了第三個階段，GootLoader有效酬載透過PowerShell收集受害電腦的系統資訊，包含作業系統版本、正在執行的處理程序、環境變數、所屬網域資訊，以及磁碟使用情形。</p> <p>研究人員指出，有別於1.0版及2.0版GootLoader駭客利用PowerShell反射手法載入、執行以.NET打造的DLL惡意程式，新版GootLoader則是利用PowerShell進行偵察，並充當後門程式，以便執行攻擊者下達的命令，或是下載其他惡意軟體。</p> </div></div></div>
2024/7/8 17:29作者周峻佑https://www.ithome.com.tw/news/163828
數位部：非同步軌道衛星通訊已涵蓋臺灣全島
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府推動以非同步軌道衛星通訊強化我國數位韌性，數位發展部今天(7/8)表示，非同步軌道衛星通訊已涵蓋全臺灣，包括SES中軌衛星通訊、Eutelsat OneWeb低軌衛星通訊，接下來預期在今年底前將可達到24小時全天候涵蓋。</p> <p>數位發展部從2022年開始推動「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，當發生緊急事件，地面通訊如海纜、行動及固定網路受到破壞，技術上驗證透過非同步軌道衛星通訊作為緊急備援通訊，預計今底完成布建國內700個非同步衛星終端設護備站點，70個基地臺後傳鏈路店點，在國外建置3個非同步軌道衛星站點。</p> <p>今年4月花蓮發生7.2級強震，造成當地行動、固定網路受到影響，數位部緊急調度搭載SES中軌衛星通訊設備的應變網路行動車前往，支援當地災民及救災通訊使用。</p> <p>今天數位部宣布非同步軌道衛星通訊已能涵蓋臺灣本島(部分外島例外)，並展示SES中軌衛星通訊、OneWeb低軌衛星通訊設備，利用數位發展部位於臺北市延平南路的辦公大樓頂樓所設置的SES中軌衛星及OneWeb低軌衛星通訊站點設備，連接非同步軌道衛星，順暢連接播放YouTube影音內容。</p> <p>數位韌性應變計畫中，目前所使用的SES中軌衛星通訊服務，衛星高度約8,000公里，數量為26顆，涵蓋全球南北緯度50度區間的區域，臺灣緯度因位於23.5度左右，因此涵蓋在SES中軌衛星通訊範圍內，仰賴澳洲的地面站，中軌衛星通訊可達到下行100Mbps/上行50Mbps。</p> <p>下圖為SES中軌衛星接收站設備：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240708_153719-600.jpg" style="width: 600px; height: 450px;" /></p> <p>目前SES中軌衛星通訊已完成涵蓋我國，到今年6月底為止，已建置9個站點，作為行動通訊基地臺的衛星後傳鏈路(Backhaul)。</p> <p>至於低軌衛星，雖然目前以Starlink在全球建立的低軌衛星星系規模最大，但考量到其供應鏈與中國相關，我國並未採納，而是使用Eutelsat OneWeb低軌衛星通訊，低軌衛星高度約1,200公里，目前全球約有648顆衛星，涵蓋以北緯35度以上區域，地面站仰賴關島、泰國、南日本，速度約195Mbps/32Mbps。</p> <p>OneWeb低軌衛星通訊接收設備：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240708_153651-300.jpg" style="width: 300px; height: 400px;" /></p> <p>到6月底，OneWeb已涵蓋臺灣本島、金門、馬祖、澎湖、蘭嶼，實際測試下載速度約90到100Mbps，上傳速度約為7到20Mbps之間。</p> <p>數位部韌性建設司長鄭明宗表示，雖然非同步軌道衛星通訊已能涵蓋臺灣本島，但仍有部分外島如南沙尚待OneWeb低軌衛星的泰國地面站開通，且目前1小時約有30到40分鐘可與非同步軌道衛星連接通訊，預期今年底之前，OneWeb計畫開通在泰國、南日本的地面站，除了實現24小時連接非同步軌道衛星通訊，並且進一步擴大衛星通訊頻寬容量。</p> <p>鄭明宗指出，非同步軌道衛星韌性應變計畫今年將完成國內外共773個站點，目的在災害或緊急情況下，確保政府的指揮體系可運用非同步軌道衛星維持基本、安全的運作，也就是供軍警消、政府部門及閣員等重要官員使用。未來將繼續向國科會爭取太空計畫經費補助，以中、低軌衛星通訊強化我國通訊數位韌性。</p> <p>至於民間企業如想要使用非同步軌道衛星通訊服務，目前SES中軌衛星由愛爾康，OneWeb低軌衛星通訊由中華電信分別代理，準備引進國內提供商業化服務，目前尚需等待業者通過NCC相關審查後，正式推出非同步軌道衛星通訊服務，開放民眾及企業租用。</p> </div></div></div>
2024/7/8 18:08作者蘇文彬https://www.ithome.com.tw/news/163833
專攻Linux系統的殭屍網路病毒Zergeca浮上檯面！因資安公司攔截到加殼惡意程式，後續有人上傳VirusTotal…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對攻擊的標的，大部分網路犯罪者主要鎖定Windows平臺而來，但如今也有專精Linux作業系統及其網路威脅生態的駭客，引起研究人員的注意。</p> <p>中國資安業者奇安信揭露在5月下旬發現的<a href="https://blog.xlab.qianxin.com/a-deep-dive-into-the-zergeca-botnet/">DDoS殭屍網路Zergeca</a>，研究人員指出對方以Go語言打造而成，具備6種DDoS攻擊方式，除此之外還能充當代理伺服器，或是用來進行網路掃描、檔案傳輸、收集設備敏感資料，也能作為反向Shell使用。</p> <p>值得留意的是，這個殭屍網路病毒還具備自我更新的功能，並能設法在受害電腦上持續運作。</p> <p>研究人員也特別提及此殭屍網路在網路通訊的層面有多項獨特的地方，其中，他們發現對方主要使用DNS over HTTPS（DOH）解析C2通訊內容，但這個殭屍網路病毒還具備其他數種解析DNS的能力；再者，攻擊者運用罕見的串流通訊程式庫Smux建立與C2伺服器的通訊，並透過XOR演算法加密通訊流量。</p> <p>他們也說明為何會特別關注這支殭屍網路病毒的動機，起因是看到自己的威脅情報系統偵測到可疑的ELF檔案geomi，這個檔案經由修改過的UPX加殼，從俄羅斯上傳至惡意軟體檢測平臺VirusTotal，結果所有防毒引擎皆視為無害。接著他們又看到另一個具有相同特徵的geomi檔案從德國上傳，這種從不同國家濫用VirusTotal進行測試的情況並不尋常，他們尋線進行分析，從而確認這是過往未曾揭露的殭屍網路病毒。</p> <p>研究人員一共看到來自俄羅斯、德國、中國、法國的Zergeca殭屍網路病毒，並指出這些檔案的功能幾乎相同，但特別的是，除了最早發現的俄羅斯版本，其他3個檔案鮮少有防毒引擎視為有害。值得留意的是，若是解開駭客加殼的情況，所有的防毒引擎都將視為無害。</p> <p>根據駭客使用的C2伺服器IP位址，研究人員發現自去年9月已用於2個Mirai殭屍網路，對此他們研判，攻擊者先透過架設Mirai環境累積經驗，後來才開發了Zergeca。</p> <p>對於這個殭屍網路造成的災情，主要集中在加拿大、美國、德國，大部分使用ACK洪水DDoS攻擊，但其他國家也有受害組織。</p> <p>研究人員對於惡意程式進行逆向工程，他們認為對方對於Linux資安威脅生態相當熟悉，且透過Smux打造的網路通訊環境，代表駭客具備自行開發的能力，研判很有可能接下來這些駭客會從事更多攻擊行動。</p> </div></div></div>
2024/7/8 16:26作者周峻佑https://www.ithome.com.tw/news/163823
WordPress、Magento、OpenCart網站遭到新型態信用卡側錄工具Caesar Cipher Skimm…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客針對特定電商網站平臺發動攻擊的情況不時傳出，如今有人同時攻擊多種電商平臺的情況，引起研究人員提出警告。</p> <p>資安業者Sucuri揭露同時鎖定不同電子商務平臺發動攻擊的<a href="https://blog.sucuri.net/2024/06/caesar-cipher-skimmer.html">信用卡側錄程式Caesar Cipher Skimmer</a>，這是名為gtag的側錄工具變種，並在近期偵測到大量攻擊的情況，他們在2週內得知近80起事故。</p> <p>他們指出攻擊者鎖定的目標，涵蓋多種內容管理平臺（CMS）及電子商務平臺，包括部署WooCommerce外掛程式的WordPress平臺，以及Magento和OpenCart。研究人員表示，雖然駭客使用相同惡意程式攻擊不同電商平臺相當常見，但大部分都是先後鎖定不同環境下手，像這次一口氣攻擊多種平臺的情況算是罕見。</p> <p>針對這起攻擊行動的手法，研究人員指出對方企圖將惡意程式碼偽裝成網站分析工具Google Analytics、網站關鍵字管理工具Google Tag Manager，並經過混淆處理。經過他們的分析，這些程式碼使用了「凱撒密碼（Caesar Cipher）」重新編碼惡意內容，目的是隱藏用來存放惡意酬載的網域。</p> <p>這些程式碼的主要功能，其實是用來載入另一個經過混淆處理的JavaScript指令碼，一旦執行，就會建立WebSocket通道，並與遠端伺服器連線，下載另一個側錄工具，其中部分的第二層指令碼甚至能檢查是否有WordPress用戶將其載入。</p> <p>研究人員發現，部分版本的指令碼有俄文註解，推測攻擊者很有可能來自使用這種語言的國家。</p> <p>而針對不同電商平臺的攻擊手法，也有所差異，針對WooCommerce平臺，攻擊者有可能針對與結帳有關的PHP檔案form-checkout.php下手，但也有濫用另一個WordPress外掛程式WPCode注入惡意程式碼的情況。</p> <p>關於滲透Magento平臺的伎倆，Sucuri研究人員主要是在core_config_data這個資料庫的資料表找到，因為被塞入Magento系統管理主控臺的惡意程式碼，就是存放在這裡。</p> <p>至於OpenCart平臺如何被攻破，尚無客戶出面表示他們的系統是在何處受到感染，因此，Sucuri無法完全確定這些惡意程式暫存的位置，後續若有更明確的消息會再發布。</p> </div></div></div>
2024/7/8 14:59作者周峻佑https://www.ithome.com.tw/news/163821
全新的RaaS服務Eldorado鎖定Windows/Linux與VMware ESXi平臺發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創立於俄羅斯的資安業者<a href="https://www.group-ib.com/blog/eldorado-ransomware/" target="_blank">Group-IB上周揭露</a>一個新的勒索軟體即服務（RaaS）Eldorado，此一勒索軟體以跨平臺的Golang程式語言撰寫，可用來攻擊Windows/Linux與VMware ESXi平臺。從今年3月現身迄今，至少已有16家企業遭到Eldorado的攻擊。</p> <p>根據Group-IB對全球RaaS服務的觀察，目前最熱門的勒索軟體集團論壇為RAMP，從2022年至2023年間，有60%的新RaaS服務透過該論壇張貼廣告，同一時期，Group-IB亦於該論壇上發現了27個不同勒索軟體集團招募RaaS合作夥伴的廣告。Group-IB也調查這些勒索軟體集團所使用的各種資料外洩網站（DLS），這類網站主要用來張貼拒絕支付贖金的受害者資料，2022年遭公布的受害者為2,629名，2023年增加了74%，達到4,583名，此一數字並未涵蓋那些因支付贖金而未被揭露的受害對象。</p> <p>總之，Group-IB在今年3月發現了Eldorado的行銷活動，並企圖滲透該組織，發現Eldorado的負責人說的是俄文，以及使用Golang程式語言來打造可攻擊Windows與Linux的惡意程式，也發現了支援Windows及VMware ESXi的解碼器。</p> <p>值得注意的是，Eldorado是自行撰寫程式碼，而未依賴先前曾外洩的LockBit或Babuk勒索軟體程式碼。</p> <p>截至今年6月為止，全球有16家企業遭到Eldorado勒索軟體攻擊，有13家位於美國，2家位於義大利，另一家則是克羅埃西亞的組織，在行業別上，有3家為房地產業者，其它受害者則分布在教育、專業服務、醫療照護、製造業、電信業、商業服務、行政服務、運輸服務、政府及軍方等領域。</p> <p class="rtecenter"><a href="https://www.group-ib.com/blog/eldorado-ransomware/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-Eldorado-600-1.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;"><a href="https://www.group-ib.com/blog/eldorado-ransomware/" target="_blank">圖片來源／Group-IB</a></span></span></p> <p>Group-IB提出了許多可防範勒索軟體攻擊的建議，包括新增諸如多因素身分驗證等各種安全層，利用早期偵測技術來阻止勒索軟體，制定備份政策，採用先進或整合AI的惡意軟體偵測技術，儘速修補安全漏洞，透過教育來提高員工的安全意識，以及不要急於支付贖金。Group-IB提醒，支付了贖金之後，除了不一定能拿到有效的解密金鑰之外，還可能成為其它勒索軟體集團的攻擊目標。</p> <p>Group-IB是由俄羅斯安全專家Ilya Sachkov與3名同學在2003年所創立，初期總部設在俄羅斯，於2019年將總部遷移到新加坡，然而，俄羅斯警方在2021年9月<a href="https://www.ithome.com.tw/news/146994" target="_blank">逮捕了擔任Group-IB執行長的Sachkov</a>，指控他與國外的情報機構合作，涉嫌叛國，之後被定罪，並於去年被判處14年刑期。</p> <p>Group-IB的共同創辦人Dmitry Volkov之後接手了執行長位置，卻也<a href="https://www.group-ib.com/media-center/press-releases/group-ib-exits-russia/" target="_blank">在去年4月出脫</a>所持有的10%俄羅斯業務股份，同時宣布Group-IB正式退出俄羅斯市場，不再於當地提供服務。</p> </div></div></div>
2024/7/8 13:27作者陳曉莉https://www.ithome.com.tw/news/163819
【資安週報】2024年7月1日到7月5日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞利用消息中，最優先要關注的漏洞利用情形，是Cisco針對NX-OS零時差漏洞CVE-2024-20399提出警告，多款Nexus系列交換器與MDS 9000系列產品線受影響，雖然思科已釋出新版修補程式，但也提醒該漏洞在今年4月已有被駭客用於攻擊行動的跡象。通報這項漏洞的資安業者Sygnia同時揭露此攻擊活動的調查結果，並指出是中國駭客組織Velvet Ant所為。</p> <p>還有兩個重要漏洞修補，需要特別關注，一是開源加密程式庫OpenSSH的RCE漏洞，一是蘋果應用程式相依性管理套件CocoaPods存在重大缺陷，揭露的不同研究人員均提醒應須盡速修補。</p> <p>（一）7月1日OpenSSH修補RCE重大漏洞CVE-2024-6387（regreSSHion），<a href="https://www.qualys.com/regresshion-cve-2024-6387/">Qualys指出這是OpenSSH首次出現可授予完全Root權限的未經授權RCE漏洞</a>，研究人員發現至少70萬個曝露於公開網路的OpenSSH實體含有這項漏洞。</p> <p>（二）Swift和Objective-C專案的開源相依性管理套件CocoaPods被揭露存在3大漏洞，包括：CVE-2024-38366、CVE-2024-38367與CVE-2024-38368，都與驗證伺服器Trunk有關。特別的是，這些漏洞去年已修補，今年7月CVE編號才公開。</p> <p>至於其他漏洞消息，包括：GitLab、Splunk、Juniper Networks發布漏洞修補，還有新型態Intel處理器漏洞Indirector的揭露。</p> <p>在資安威脅態勢方面，<strong>軟體供應鏈攻擊</strong>的狀況再次出現，這一星期我們甚至看到國際間有兩起這方面的消息，一是印度軟體開發業者Conceptworld遭遇軟體供應鏈攻擊，攻擊者在其產品安裝檔（便箋應用程式Notezilla、剪貼簿管理程式RecentX、檔案複製工具Copywhiz）植入竊資軟體，一是韓國ERP系統更新伺服器遭軟體供應鏈攻擊，當地資安業者AhnLab調查出後門程式Xctdoor，並指出攻擊者是透過Regsvr32.exe的處理程序載入執行，推測為北韓駭客Andariel所為。</p> <p>另一項政府與關鍵CI需重視的議題是<strong>網路間諜攻擊</strong>，若遇到資安事故，不要以為這只是基於經濟動機而來的勒索軟體攻擊。最近資安業者SentinelOne、Recorded Future聯手調查的結果，指出現在針對全球政府機關及關鍵基礎設施下手的網路間諜攻擊行動，APT攻擊者為了模糊焦點，因此通常會在最後階段使用勒索軟體加密攻擊，來分散防守方的注意力，以誤導事故調查方向並清除跡證，他們並以中國駭客組織ChamelGang的攻擊行動為例來說明。特別的是，他們也<a href="https://assets.sentinelone.com/sentinellabs/chamelgang-friends-en">感謝臺灣資安業者TeamT5的Still Hsu所提供的重要跡證，讓他們能將CatB勒索軟體、BeaconLoader與ChamelGang聯繫起來</a>。</p> <p>在其他資安事件與威脅揭露方面，臺灣再度傳出半導體業者遭網路攻擊的情況，國際間也有Twilio、TeamViewer等的資安事故引發關注，我們整理如下：</p> <p>●上櫃的半導體公司驊訊7月3日發布資安事件重大訊息，說明偵測到部份資訊系統遭受駭客網路攻擊。<br /> ●Authy用戶注意！雲端通訊平臺Twilio發布資安事故公告，說明他們發現有駭客可經由未經身分認證的節點，辨識出Authy用戶的帳戶資料，同時他們也要求所有用戶儘速更新Authy App。<br /> ●遠端桌面程式供應商TeamViewer發布資安公告，說明6月底偵測一名員工帳號遭未經授權人士存取，調查顯示與APT 29（或稱Midnight Blizzard）的俄羅斯駭客有關，7月4日他們再次更新消息，確認影響僅限於該公司內部企業IT環境。<br /> ●資安業者揭露有駭客為了散布竊資軟體Vidar Stealer，其方法很特別，竟是藉由蓄意打造IT技術支援網站，假借提供PowerShell指令碼「解決」Windows更新錯誤，欺騙使用者下載惡意程式載入工具並被植入竊資軟體。</p> <p>此外，先前發生的重大資安事件，現在有更多後續消息傳出，包括：前一星期傳出的Polyfill供應鏈攻擊事故，已有多個資安業者示警受害規模擴大；去年底俄羅斯駭客Midnight Blizzard入侵微軟郵件系統事件也延燒至今，近期傳出微軟正通知一些美國政府機構，說明可能部分資料遭竊，包括美國國際媒體署、美政府資助的和平部隊，以及維吉尼亞州，都受到該次事件的影響。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/163731"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月1日】遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未受影響</span></strong></a></h3> <p>上週北美汽車經銷商軟體服務業者CDK Global因網路攻擊而導致相關服務停擺的情況，多家汽車經銷商隨之業務受到影響，客戶被迫向其他經銷商購車而造成營業損失，如今出現新的進展。</p> <p>根據多家媒體報導，攻擊者的身分疑為勒索軟體駭客組織BlackSuit，而且，這些駭客還假冒CDK Global客服打給汽車經銷商，使得情況更加嚴重。</p> <h3><a href="https://www.ithome.com.tw/news/163743"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月2日】研究人員揭露polyfill供應鏈攻擊事故最新發現，駭客同時運用多個網域犯案，保守估計超過30萬個網站受害</span></strong></a></h3> <p>中國駭客鎖定今年臺灣總統大選的網路攻擊，已有數家資安業者公布他們觀察到的攻擊行動，但最近研究人員揭露的最新發現，攻擊者從事相關活動的期間，從去年11月到今年4月，也就是自總統選舉的2個月前，到新任總統即將上任前夕，時間接近半年。</p> <p>值得留意的是，這些駭客不僅針對外交經濟和社會運動團體而來，也鎖定高科技產業，企圖偷取相關機密。</p> <p><a href="https://www.ithome.com.tw/news/163765"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月3日】巴基斯坦駭客假借提供安卓應用程式發動攻擊，意圖散布惡意軟體CapraRAT，目的是為了監控特定使用者</span></strong></a></p> <p>身為資安業者卻遭到駭客入侵的情況，最近傳出新的資安事故。例如，有許多研究人員使用的雲端惡意軟體沙箱Any.Run，其服務供應商傳出遭到網路攻擊，公司所有的員工都收到來自內部人士寄送的釣魚郵件。</p> <p>這起事故可追溯到一個月前有員工上當，雖然他嘗試利用沙箱環境檢查惡意連結，但並未做好相關設定，且依照對方指示提供自己的帳號密碼，導致帳號遭到對方挾持。</p> <p><a href="https://www.ithome.com.tw/news/163785"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</span></strong></a></p> <p>鎖定網站而來的供應鏈攻擊頻傳，在昨天我們報導有人對<a href="https://www.ithome.com.tw/news/163662">上架到WordPress.org市集的外掛程式植入惡意程式碼</a>後，有另一款熱門的網站程式庫Polyfill.io，也傳出更換經營團隊後，被植入惡意內容。</p> <p>值得留意的是，這個程式庫在輾轉交給中國一家內容傳遞網路（CDN）業者經營後，該業者就開始隨意竄改回傳用戶端的檔案，使得研究人員呼籲網站管理者應儘速移除，並尋求替代方案。</p> <h3><a href="https://www.ithome.com.tw/news/163808"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月5日】微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及</span></strong></a></h3> <p>知名的網站功能相容性程式庫polyfill.io本週傳出供應鏈攻擊，研究人員提出警告，他們發現程式碼在中國CDN業者今年初接手後，就開始植入惡意程式，由於採用這款程式庫的網站眾多，且不乏許多知名企業組織與政府單位，所以，這起供應鏈攻擊引發軟體開發與資安領域的密集關注，如今出現新的進展。</p> <p>有研究人員發現，在Namecheap註銷polyfill.io之後，經營者透過新的polyfill[.]com提供服務，並聲稱相關服務透過Cloudflare快取未含供應鏈風險。</p> </div></div></div>
2024/7/8 13:48作者羅正漢https://www.ithome.com.tw/news/163812
Java之父James Gosling宣布退休
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在1994年發明Java，被稱為Jave之父的<a href="https://www.linkedin.com/posts/jamesgosling_ive-finally-retired-after-a-crazy-number-activity-7213740307538956289-26YU?trk=public_profile" target="_blank">James Gosling上周透過LinkedIn宣布</a>，他終於退休了。他的最後一份正式職務是擔任AWS（Amazon Web Services）的傑出工程師，之後他將只做有趣的事，而且已經有一長串的專案列表等著他，一定會很好玩。</p> <p>1955年出生的Gosling現年69歲，是在1994年任職於昇陽（Sun Microsystems）時發明了Java。跨平臺、基於物件導向且支援泛型程式設計的Java很快就受到開發者的青睞，迄今已發展成一個具備豐富標準函式庫、框架，同時擁有強大社群支援與生態體系的語言，就算已問世接近30年，依然名列<a href="https://www.tiobe.com/tiobe-index/" target="_blank">TIOBE Index排行榜</a>上的前五大程式語言。</p> <p>Gosling在昇陽任職接近20年，一直到甲骨文（Oracle）於2010年收購昇陽，才短暫轉移到甲骨文工作，只是不到幾個月就<a href="https://www.ithome.com.tw/news/60568" target="_blank">離職</a>；隔年他<a href="https://www.ithome.com.tw/news/66749" target="_blank">轉戰Google</a>，但在Google也待不到一年；之後去了專門開發海洋機器人的Liquid Robotics擔任首席軟體架構師，負責開發機器人系統的軟體架構；一直到2017年才加入AWS，並於今年離職。</p> <p>算起來Gosling的職場時間超過30年，在即將達到「從心所欲」的70歲決定退休，從事他自己認為有趣的專案。</p> </div></div></div>
2024/7/8 13:51作者陳曉莉https://www.ithome.com.tw/news/163820
ElevenLabs釋出可移除背景聲的免費工具Voice Isolator
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於聲音的AI新創ElevenLabs上周發表新的免費服務<a href="https://elevenlabs.io/blog/voice-isolator" target="_blank">Voice Isolator</a>，得以消除背景噪音，讓播客得以替節目進行後製，或是讓戶外的採訪更清晰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-llelevenlabs-voice%20isolator-600-2.jpg" style="width: 600px;" /></p> <p><a href="https://elevenlabs.io/voice-isolator" target="_blank">Voice Isolator</a>服務可在使用者直接唸出語音時消除背景噪音，亦允許使用者上傳音訊檔以去除背景噪音，可支援最多500MB的檔案大小，以及1小時的錄音長度。</p> <p>ElevenLabs成立於2022年4月，專注於研究文字至語音、語音至語音、文字至音效、聲音克隆與聲音隔離等技術，先前所釋出的<a href="https://elevenlabs.io/blog/introducing-elevenlabs-reader-app" target="_blank">ElevenLabs Reader</a>程式可將所有文字內容轉成聲音，包括PDF、ePub、所訂閱的每日新聞郵件，或是其它文字等，現階段支援包括中文在內的29種語言。</p> <p>該公司在去年6月完成1,900萬美元的A輪融資，當時所估計的市值為9,900萬美元，今年2月再執行8,000萬美元的B輪融資，而此時的市值已超過10億美元，身價是半年前的10倍。</p> <p>Voice Isolator目前尚不支援API或即時串流服務，但可望於之後推出。</p> </div></div></div>
2024/7/8 12:38作者陳曉莉https://www.ithome.com.tw/news/163818
1U容納24臺E1.S固態硬碟，永擎推高密度全快閃儲存伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yong_qing_1u24e1s_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年Computex現場展覽的多款伺服器產品當中，除了主打AI加速運算的機型最吸睛，我們也看到更多廠商推出採用高密度全快閃儲存組態的新機型，支援ESDFF E3.S與E1.S外形NVMe固態硬碟，像是我們先前介紹的雲達QuantaGrid D55X-1U，1U尺寸機箱可搭配20臺E3.S固態硬碟或16臺E1.S固態硬碟，永擎電子（ASRock Rack）展出1U24E1S-GENOA/2L2T，1U尺寸機箱可搭配24臺E1.S固態硬碟，而且可同時支援厚9.5公釐與15公釐的款式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1U24E1S-GENOA2L2T-4(L)-web.jpg" style="width: 600px;" /></p> <p>永擎推出的這款產品，讓我們聯想到去年10月報導的另一款伺服器：<a href="https://www.ithome.com.tw/review/159055">技嘉S183-SH0</a>，同樣主打高密度全快閃儲存，而且固態硬碟托盤模組的頂端都有螢光綠的標示，雖然該款機型能夠容納更多E1.S固態硬碟（32臺），但只能搭配厚9.5公釐款式的E1.S固態硬碟。</p> <p>在此之前，這款產品已陸續在多場IT大型活動亮相，像是去年11月的<a href="https://www.asrockrack.com/general/news.asp?id=226">SC23大會</a>，以及今年3月的<a href="https://www.asrockrack.com/general/news.asp?id=234">CloudFest 2024大會</a>、5月的<a href="https://www.linkedin.com/posts/asrock-rack_f18-ischighperformance2024-asrockrack-activity-7196529959417397248-2JUW?utm_source=share&utm_medium=member_desktop">ISC High Performance 2024大會</a>，而到了6月Computex期間，永擎和固態硬碟廠商Kioxia都在自家展區當中，擺設1U24E1S-GENOA/2L2T，以此突顯高密度全快閃儲存伺服器的配置，而在合格廠商清單的部分，永擎在他們的網站也列出相容的E1.S固態硬碟：Kioxa的<a href="https://www.ithome.com.tw/review/155253">XD6</a>與XD7P。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ASRock%20Rack-1U24E1S-2024-06-01.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia-ASRock-1U24Bay.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia-ASRock-1U24Bay.jpg" style="width: 500px;" /></a></p> <p>就運算資源的配置而言，1U24E1S-GENOA/2L2T採用單顆AMD第四代EPYC處理器，涵蓋最多可提供96顆核心的9004系列、主打超大L3快取記憶體（1,152 MB或768 MB）的9004X系列、最多可提供128顆核心的97x4系列，仍能因應超多核心與高效能運算領域的處理需求。</p> <p>關於記憶體的配置，這款伺服器提供24個DDR5-4800插槽，可支援RDIMM與RDIMM-3DS等兩種規格的記憶體，單支模組最大容量分別為96 GB與 512 GB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ASRock%20Rack-1U24E1S-2024-06-03.jpg" style="width: 600px;" /></p> <p>受限於有限的機箱空間，1U24E1S-GENOA/2L2T可擴充1張全高半長與1張OCP 3.0規格的PCIe 5.0 x16介面卡。不過，在網路介面上，它已內建2個10GbE埠（搭配乙太網路控制器Broadcom BCM57416），以及2個GbE埠（搭配乙太網路控制器Intel i210）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1U24E1S-GENOA2L2T-5(L)-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1U24E1S-GENOA2L2T-5(L)-web.jpg" style="width: 600px;" /></a></p> <p>若用戶在評估高密度快閃儲存伺服器的同時，希望採用英特爾處理器平臺，永擎在6月Computex期間新發表的Xeon 6伺服器，當中也有1U單路架構且主打全快閃儲存特色的機型，稱為<a href="https://www.asrockrack.com/general/productdetail.asp?Model=1U16E3S-SRF#Specifications">1U16E3S-SRF</a>，顧名思義，能容納16臺E3.S外形固態硬碟，而在處理器的部分，英特爾Xeon 6目前上市的款式，最多內建144核心，也能因應超多核心運算需求；伺服器上面的記憶體插槽提供16個，可支援5200 MT/s與6400 MT/s，若是搭配RDIMM規格的記憶體，單支最大容量支援128 GB，若搭配RDIMM-3DS，單支最大容量支援256 GB。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>永擎1U24E1S-GENOA/2L2T</strong><br /> ●原廠：永擎電子<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（438 x 43.5 x 776.5公釐）<br /> ●處理器：1顆，AMD第四代EPYC系列<br /> ●記憶體：24個DDR5-4800插槽<br /> ●儲存配置：24臺E1.S厚9.5公釐或15公釐外形NVMe固態硬碟<br /> ●I/O介面：PCIe 5.0 x16（1個全高半長、1個OCP 3.0）<br /> ●網路埠：2個10GbE埠、2個GbE埠<br /> ●電源供應器：2臺1600瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/8 12:52作者李宗翰https://www.ithome.com.tw/review/163811
OpenAI傳去年遭駭未通報主管機關，但事後解聘了提建言的員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nytimes.com/2024/07/04/technology/openai-hack.html" target="_blank">紐約時報報導</a>，OpenAI於2023年遭駭客存取公司系統，但該公司認為不嚴重而未公告亦未通報主管機關。不過OpenAI因此事後因相關事件解僱了員工。</p> <p>報導引述消息人士指出，OpenAI去年被一名外部人士存取了內部系統，但並未存取開發和儲存ChatGPT或其他AI系統的系統，而是員工討論區。OpenAI認為，由於並沒有涉及敏感資訊，且存取者是一個人而非已知駭客組織，故OpenAI認為這並非重大安全事件，因而未公開此事，也未通報主管機關或聯邦調查局（FBI）。</p> <p>但是有員工仍對此感到憂心而提出建言，不過遭到公司懲處。OpenAI前技術計畫經理Leopold Aschenbrenner上周在其podcast討論此事。Aschenbrenner是公司AI superalignment團隊成員。Superaligment是OpenAI為了在AGI發展過程中，確保AI符合人類利益而推動管理及安全設計而設立。Aschenbrenner也是今年稍早離職的OpenAI首席科學長Ilya Sutskever的重要副手，後者和執行長Sam Altman因AI安全理念不和<a href="https://www.ithome.com.tw/news/163560" target="_blank">而另創公司S</a>afe Super Intelligence。</p> <p>Aschenbrenner提及，他在公司一起「重大資安事件」後，向公司董事會提出呼籲。他將一份OpenAI建構AI模型防護的備忘錄分享給了董事會成員，<a href="https://www.yahoo.com/tech/researcher-fired-openai-published-165-184227878.html" target="_blank">他事後公布備忘錄內容</a>，其中並無涉及技術或商業敏感內容。但董事會為此問責公司的AI倫理措施是否確實，包括現有保護機制是否足以阻擋中國國家駭客的間諜入侵，顯然這令高層不滿，他在今年4月和另一名員工被HR解聘，<a href="https://indianexpress.com/article/technology/tech-news-technology/openai-fires-two-researchers-for-allegedly-leaking-information-report-9266193/" target="_blank">理由是洩密為由解聘</a>。</p> <p>OpenAI尚未對此回應。</p> <p><a href="https://techcrunch.com/2024/07/05/openai-breach-is-a-reminder-that-ai-companies-are-treasure-troves-for-hackers/" target="_blank">Techcrunch指出</a>，這事件也顯示，像OpenAI這類擁有眾多AI技術及用戶的供應商，對駭客來說是多麼令人垂涎的攻擊目標。</p> </div></div></div>
2024/7/8 11:34作者林妍溱https://www.ithome.com.tw/news/163815
Martech雙周報第57期：GA4將支援跨通路廣告成效數據蒐集，並新增AI生成分析報告功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0623~0707)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路行銷 #後Cookie做法 #生成式AI</span></span></strong><br /> <strong>GA4將支援跨通路網站分析功能及隱私權沙盒數據分析，並用AI生成分析結果</strong></p> <p><a href="https://blog.google/products/marketingplatform/analytics/four-ways-google-analytics-delivers-actionable-insights-for-your-business/">Google近日揭露未來Goolge Analytics 4的功能規畫，旨在強化後Cookie時代的跨通路行銷數據追蹤。</a></p> <p>前3個功能分別是強化對外部通路、Google生態圈跨通路，以及原本瀏覽器內的行銷數據分析。第一個功能是開始支援非Google行銷活動的數據，廣告主將能匯入Pinterest、Reddit、Snapchat等外部媒體數據，來綜合分析廣告成本、點擊率、曝光率。第二個是開始支援匯入Google跨通路廣告管理系統Campaign Manager 360數據，到GA4來綜合分析。第三個功能是開始支援部分Privacy Sandbox APIs數據，以彌補第三方Cookie退場後的數據缺口。</p> <p>第四個功能是跨通路廣告預算規畫輔助，呈現不同通路過往廣告投資報酬率及預測未來投報率，來協助行銷人員分配不同通路的行銷預算。</p> <p>最後，他們還加入了AI數據分析及報告功能，分析這些複雜的跨通路數據，並用自然語言產出洞察報告，協助行銷人員快速了解這些龐大數據中的模式及特徵。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech整合 #AI代理人 #行銷流程整合</span></span><br /> Martech之父：行銷的未來是用AI代理人進行自動化行銷，Martech產品API易用性是關鍵先決條件</strong></p> <p>Martech之父Scott Brinker<a href="https://chiefmartec.com/2024/06/apis-are-very-important-to-martech-buyers-today-but-theyll-be-crucial-for-the-coming-wave-of-ai-agents/?utm_source=rss&utm_medium=rss&utm_campaign=apis-are-very-important-to-martech-buyers-today-but-theyll-be-crucial-for-the-coming-wave-of-ai-agents">在近期一篇分析中提到</a>，他認為Martech的API串接功能易用性是未來業界發展API代理人的基礎，也是現今Martech產品一大競爭力。</p> <p>根據他與另一個Martech分析機構共同調查，高達有87%企業會打造橫跨不同Martech的自動化流程，有些是用CDP等系統調度自動化流程，有些則是用獨立iPaaS（整合平台即服務）服務來打造自動化流程。隨著生成式AI技術越發成熟，他認為，更多企業會利用此技術打造AI代理人，由AI代理人建立更人性化的自動化行銷流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mt1.jpg" style="width: 600px;" /></p> <p>不過，在業界發展到這個地步前，Martech產品的API易用性必須再提升。他引用同一份調查說明，只有17.3%企業可以用API串聯起全部所需Martech。這意味著，企業不論是想用傳統RPA做法，或是利用AI代理人，都無法整合起完整行銷流程。「這也是現在Martech廠商可以加緊強化的競爭優勢。」他寫道，當越來越多企業打算用AI來自動化完整行銷流程，支援高彈性、高易用性API的Martech廠商就會脫穎而出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mt2.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Email行銷 #程序化廣告 #後Cookie做法</span></span></strong><br /> <strong>Google Ad開始支援程序化投放廣告到Email電子報版位中</strong></p> <p><a href="https://support.google.com/admanager/answer/14292448?sjid=14194568918065756196-NA">Google Ads近日開始支援用程序化方式投放廣告到Email電子報中，用數據驅動廣告投放及呈現對象。</a>過往電子報Email廣告只能用傳統方法置入，無法像搜尋廣告等版位，進行精準行銷，所有電子報訂閱者都會看到相同廣告。現在，電子報發行者可以在電子報Email開出程序化廣告版位，讓廣告主透過Google Ads投放。</p> <p>也就是說，現在同一份電子報的不同訂閱者，會看到不同的個人化廣告。這些個人化廣告內容會根據Google使用者於不同通路留下的數位足跡來決定。舉例來說，相較於以往在釣魚電子報中只會出現相關主題的釣具廣告，如今可能因為其他再行銷邏輯，而呈現電商廣告等不同內容。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #負責任AI #AI法遵</span></span></strong><br /> <strong>IAB推出生成式AI用於行銷的法遵及商業考量指南</strong></p> <p><a href="https://www.iab.com/wp-content/uploads/2024/06/IAB_GenerativeAI_WhitePaper_June2024.pdf">美國互動廣告協會（IAB）推出生成式AI白皮書</a>，從最基礎生成式AI技術細節開始，對不熟悉相關科技的行銷人員解釋，生成式AI怎麼用於行銷，需要顧慮哪些法遵細節？</p> <p>此報告先科普了生成式AI基礎知識，包括生成式AI、LLM、權重、AI偏見等定義，以及如何訓練或微調模型。接著，開始解釋生成式AI用於行銷的常見做法，這些做法的常見法律須知，以及自行打造模型的法律須知。</p> <p>雖然這些法律須知大多以歐美法規和判例為依據，不過對臺灣隱私及數據使用相關法規的原則多參考歐美，就算臺灣企業服務範圍沒有涵蓋歐美，也具有一定參考性。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#消費數據 #串流平臺 #DCR</span></span></strong><br /> <strong>迪士尼與購買行為數據商Affinity Solutions合作打造零售類數位廣告解決方案</strong></p> <p>迪士尼與購買行為數據商Affinity Solutions合作，用後者上億筆消費數據，<a href="https://press.disneyadvertising.com/disney-to-expand-data-driven-commerce-capabilities-with-affinity-solutions">來打造零售類數位廣告解決方案</a>。有了這些數據，零售業及部分服務業廣告主將能透過迪士尼通路來投放廣告，並利用迪士尼受眾圖譜來輔助廣告活動規畫及成效測量。</p> <p>廣告主還能利用迪士尼的數據無塵室，來查詢迪士尼和自家重疊會員或受眾的資料，以豐富對自家顧客了解，來進一步強化行銷決策。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie做法 #機器學習</span></span></strong><br /> <strong>Amazon推出無Cookie廣告追蹤解決方案，利用自家通路數據及機器學習技術支援投廣和追蹤</strong></p> <p>後Cookie和萬事皆AI的時代，<a href="https://advertising.amazon.com/library/research/modeled-amazon-audiences">Amazon推出了自己的廣告追蹤及投放解決方案Ad Relevance。</a>此方案定位類似於Google的Privacy Sandbox或Performance Max，號稱綜合了購物、影音串流、情境，以及不同身分驗證ID，結合機器學習技術，來進行廣告成效追蹤及投放。</p> <p><a href="https://m.media-amazon.com/images/G/01/pdf/amazon-ads-delivering-ad-relevance-without-third-party-cookies-report.pdf">Amazon也公布了一份18頁白皮書</a>，說明自家利用第一方數據來打造相關AI模型，支援數位行銷的做法及成效。內容包括模型架構、受眾分群及匹配做法，以及更多廣告投放實務的技術細節。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://iabtechlab.com/iab-tech-lab-releases-final-privacy-sandbox-fit-analysis/">IAB發布最終版隱私權沙盒評估報告，仍然認為該解決方案不足以支撐第三方Cookie退場後的數位廣告活動</a></p> <p>2. <a href="https://www.shopify.com/enterprise/blog/oracle-partnership">Oracle CDP與Shopify電商平臺整合功能，來驅動個人化購物及行銷體驗</a></p> <p>3. <a href="https://www.advertising.yahooinc.com/yahoo-creative">Yahoo推出廣告創意解決方案，透過創意顧問串聯素材創作、行銷科技運用及DSP服務</a></p> <p>4. <a href="https://www.youtube.com/watch?v=m88OV10vRLA">Meta正式推出可以讓創作者打造自己聊天機器人的工具</a></p> <p>資料來源：iThome整理，2024年7月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Chief Martec, Google</p> <p></p> </div></div></div>
2024/7/8 10:40作者郭又華https://www.ithome.com.tw/news/163802
研究顯示X可能將進一步整合Grok AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現，馬斯克旗下xAI正在研發的AI助理Grok，除了作為用戶聊天機器人外，將進一步整合到社交平臺X中。</p> <p>X目前已經將xAI開發的<a href="https://www.ithome.com.tw/news/162142" target="_blank">Grok提供</a>給付費用戶，允許他們詢問Grok問題，或是要求簡述新聞、提供建議。一臺經常研究X應用程式程式碼的獨立研究員<a href="https://techcrunch.com/2024/07/05/x-plans-to-more-deeply-integrate-groks-ai-app-researcher-finds/" target="_blank">Nima Owji上周公布</a>他一系列發現。由於這些功能尚未推向正式版，研判可能仍在研發中。</p> <p>X未來可能整合的Grok功能之一是，按下左側工具列中的Grok，即在右方出現<a href="https://x.com/nima_owji/status/1809258214468317279" target="_blank">和Grok的對話</a>，這可在使用X時更容易呼叫出Grok，這類似微軟和Google將聊天機器人整合在Office/Microsoft 365及Google Workspace側邊欄。其次是選擇X一個字詞後<a href="https://x.com/nima_owji/status/1809258214468317279" target="_blank">浮出「Ask Grok」的功能鍵</a>，方便用戶同步查詢意義或其他資訊。此外，當用戶將游標移向某X帳號時，則會出現「more about this account」選項，允許用戶深入了解該帳號。</p> <p class="rtecenter"><a href="https://x.com/nima_owji/status/1809261891128107020/photo/1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-Nima%20Owji-X-Grok-600-1.png" style="width: 600px;" /></a></p> <p><a href="https://x.com/nima_owji/status/1809261891128107020/photo/1" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">image credit：Nima Owji on X</span></span></a></p> <p class="rtecenter"><a href="https://x.com/nima_owji/status/1809260460945944742/photo/1" target="_blank"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-Nima%20Owji-X-Grok-600-2.png" style="width: 600px;" /></span></span></a></p> <p><a href="https://x.com/nima_owji/status/1809260460945944742/photo/1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">image credit：Nima Owji on X</span></span></a></p> <p>透過強化Grok能為X增加收入。馬斯克5月<a href="https://twitter.com/elonmusk/status/1793779530282443086" target="_blank">宣布</a>，X每月經常用戶（monthly active user）為6億，半數是天天使用。改進X介面功能同時，馬斯克旗下的xAI公司正在加緊Grok模型及其應用功能開發。他上周<a href="https://www.ithome.com.tw/news/163734" target="_blank">預告</a>Grok大型語言模型（LLM）將在8月及年底推出Grok-2與Grok-3。</p> </div></div></div>
2024/7/8 10:46作者林妍溱https://www.ithome.com.tw/news/163813
從轉型優先到創新優先
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位轉型在CIO年度目標中的優先程度下滑了，不少企業不再將這一項目標列為年度優先重點。在今年iThome CIO大調查中，觀察到這個有點意外但又可以理解的現象。取而代之的是，用AI創新產品和服務，成了企業僅次於資安之外，最重要的目標，多達4成CIO將AI創新列為今年度的優先目標。數位轉型目標，從去年的排名第三，今年下滑到了第六，比企業永續還低一名。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/162787" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2p4-CIO%E7%9B%AE%E6%A8%99-600-1.png" style="width: 600px;" /></a></p> <p>每一年，資安都是CIO優先度最高的目標，這不意外，資安是保底，有足夠的安全底氣，才能避險。但從轉型優先，到創新優先，代表了企業IT戰略重心變了。</p> <p>過去幾年臺灣大型企業積極推動數位轉型，多數IT技術面的改造作法，多聚焦在強化自身的數位化體質，像是推動IT現代化，核心系統翻新，導入DevOps，敏捷開發，新一代雲原生開發技術等，這些大多是提升IT技術能力，進而來支持業務創新、經營創新的需求。可以說，這些IT數位改造，都是環繞著資訊基礎架構的基礎工程改善。就算是大數據管理平臺、顧客數據管理等資料平臺，也是偏重資料基礎建設類的基礎工程。可以說，打底是數位轉型工程的核心重點。</p> <p>過去5年，從我們的大調查數據，看到臺灣大型企業數位轉型的成熟度，逐漸從上手、深化、擴大規模，越來越多企業開始精煉，這也意味著，前一波以數位化體質為核心的數位轉型潮，逐漸達成了階段性目標，這一批轉型達標的企業，開始聚焦到營運成長、業務成長的核心目標。</p> <p>快速竄起的生成式AI，剛好是一項高度應用導向、業務導向的科技。一方面，生成式AI的價值，只有落地到特定場景和流程中，才能實現，另一方面，LLM模型的開發成本極高，持續改善的代價更是無底洞，只有少數大型企業有能力負擔，除了自己要變成資服業者，賣起生成式AI服務之外，多數企業仍舊是生成式AI技術的中、下游使用者，站在科技巨頭的技術肩膀，才能快速展開應用創新。</p> <p>新興的「應用型」科技浪潮，遇上了企業數位轉型再升級的需求，生成式AI不意外地，成了企業下一階段戰略的關鍵工具。</p> <p>過去的數位轉型，IT改造帶來的大多是IT面的價值，但是生成式AI可以帶來更多應用面、業務面的價值，尤其，多數企業都還在摸索生成式AI的最佳適用場景，需要不斷迭代、嘗試才能找出有高效益的AI創新。這正是IT最佳機會，快速迭代和嘗試的能力，想要善用生成式AI來創造價值，企業的IT開發能量和戰力，遠比過去更重要。對IT人，生成式AI是全新挑戰，更是全新的大好機會。</p> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> iThome 2024 CIO大調查系列報導 </span></strong></span></span></p> <p><a href="https://www.ithome.com.tw/article/162793" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1181-feng_mian_p1-open-cioda_diao_cha_xi_lie_1-960x420_kao_bei_0.jpg?itok=CfW7OwsN" style="width: 550px;" /></strong></span></span></a></p> <p><a href="https://www.ithome.com.tw/article/163696" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1188-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=0C58rT3H" style="width: 550px;" /></strong></span></span></a></p> <p><strong style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/163803" target="_blank"><span style="color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1189-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=cCuRUeua" style="width: 550px;" /></span></a></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/it%E8%B6%A8%E5%8B%A2">IT趨勢</a></div><div class="field-item even"><a href="/tags/it%E9%A0%90%E7%AE%97">IT預算</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div></div></div>
2024/7/5 19:26作者王宏仁https://www.ithome.com.tw/voice/163810
HPE首推雙GH200伺服器，配備288核、雙GPU與1.2T記憶體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_dl384_gen12_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年台北國際電腦展之後，市面上出現融合式GPU伺服器，採用的運算平臺是<a href="https://www.ithome.com.tw/tags/nvidia-grace-hopper">Nvidia GH200 Grace Hopper Superchip</a>，我們曾介紹2U單節點組態的<a href="https://www.ithome.com.tw/review/158452">雲達QuantaGrid S74G-2U</a>，以及1U雙節點組態的<a href="https://www.ithome.com.tw/review/159531">Supermicro ARS-111GL系列</a>，<a href="https://www.gigabyte.com/tw/Enterprise/GPU-Server?fid=2326,2897">技嘉也推出</a>2U單節點組態的XH23-VG0、2U雙節點組態的H223-V10、H263-V11，基本上，這些伺服器的共通點均是採用單張GH200超級晶片，從今年6月開始，市面上將出現搭配兩張GH200超級晶片的伺服器，這種組態先前稱為Dual GH200，後續改稱為GH200 NVL2。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GH200%20NVL2-2024-04.png" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/GH200 NVL2-2024-06.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GH200%20NVL2-2024-06.png" style="width: 298px;" /></a></p> <p>而率先推出採用GH200 NVL2的伺服器，是HPE最新發表的ProLiant DL384 Gen12。這款產品源於該公司與Nvidia共同推出的產品組合策略Nvidia AI Computing by HPE，雙方合作開發的AI解決方案稱為HPE Private Cloud AI，涵蓋Nvidia的整合軟體平臺AI Enterprise與AI推論微服務NIM，Spectrum-X乙太網路架構，資料中心GPU產品H100 NVL、GH200 NVL2，以及HPE的儲存即服務GreenLake for File Storage、可搭載上述GPU的ProLiant伺服器，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-19-Nvidia AI Computing by HPE-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-19-Nvidia%20AI%20Computing%20by%20HPE-web.jpg" style="width: 600px;" /></a></p> <p>這些伺服器包含既有的DL320 Gen11與DL380a Gen11，以及新發表的DL384 Gen12與DL380a Gen12，7月1日HPE在自家網站公布前者的細部技術規格，公開第1版的硬體配置，此舉也等於正式揭開HPE ProLiant Gen12世代伺服器的序幕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE ProLiant Gen12-2024-07.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen12-2024-07.jpg" style="width: 600px;" /></a></p> <p>DL384 Gen12採用2U尺寸機箱，系統遠端管理晶片仍為iLO6，而在運算平臺的部分，用戶可選擇搭配1或2張GH200超級晶片，而且，周邊裝置存取的配置相當對稱，HPE表示，每張超級晶片支援2臺EDSFF外形的NVMe固態硬碟，1張全高半寬的PCIe介面卡，以及2臺PCIe x4介面的NVMe固態硬碟，或1張PCIe x16的OCP 3.0外形介面卡，或1張全高半寬的PCIe介面卡（4個PCIe x16裝置）。</p> <p>換言之，如果伺服器出廠預設值選擇搭配2張GH200超級晶片，就能擴充數量多一倍的固態硬碟與PCIe介面卡（8個PCIe x16裝置）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia GB200 NVL2-HPE Gen12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GB200%20NVL2-HPE%20Gen12.jpg" style="width: 600px;" /></a></p> <p>而從CPU與GPU的規格而言，若採用GH200 NVL2的組態，DL384 Gen12所能運用的運算與記憶體資源，都有1:1比例的線性提升。例如，CPU內建的Arm Neoverse V2核心數量，從72顆擴展到144顆，DRAM記憶體LPDDR5X容量從480 GB擴展到960 GB，GPU搭配的HBM3e記憶體，容量也從144 GB擴展到288 GB，頻寬從4.9 TB/s擴展到9.8 TB/s。</p> <p>若以記憶體容量80 GB、記憶體頻寬為3.35 TB/s的單個Nvidia H100為基準，本身內建2個Nvidia H100的GH200 NVL2，GPU記憶體容量增長至3.5倍，GPU記憶體頻寬增長至3倍。</p> <p>而以整臺伺服器而言，GH200 NVL2配備的系統記憶體總量可達到1.2 TB，足以因應運算與記憶體密集型的工作負載，HPE表示，DL384 Gen12不僅適合需要巨量記憶體的大型語言模型AI推論，也能用於非AI的任務，像是大型模擬運算、電子設計自動化（EDA）、氣象預測。</p> <p>至於CPU至GPU的I/O存取，由於這款超級晶片採用Nvidia NVLink-C2C，因此，對於DL384 Gen12而言，不論是在CPU與GPU之間，或是跨越同超級晶片的GPU與GPU之間，均可提供900 GB/s的頻寬，而在跨越不同超級晶片的CPU與CPU之間，則是600 GB/s的頻寬。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL384 Gen12-internal-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL384%20Gen12-internal-web.jpg" style="width: 300px;" /></a></p> <p>除了率先配備Nvidia GH200 NVL2是最大賣點，HPE ProLiant DL384 Gen12的硬碟儲存組態也相當獨特，用戶最多可在機箱最前緣安裝8臺E3.S外形的NVMe固態硬碟，目前能搭配1.6 TB到15.36 TB容量的款式，整台伺服器最大可提供122.8 TB固態儲存空間，機箱內部的前段也能安裝2臺M.2外形NVMe固態硬碟。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DL384%20Gem12-SSD-web.jpg" style="width: 600px;" /></p> <p>關於網路介面，DL384 Gen12可搭配乙太網路10/25GbE、100GbE規格，以及InfiniBand 200 Gb、400Gb規格的網路卡，或是資料處理器加速卡，例如，BlueField-3 DPU的B3220（乙太網路或InfiniBand 200Gb，全高半長），BlueField-3 SuperNIC的B3140H（乙太網路或InfiniBand 400Gb，半高半長）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DL384%20Gem12-NIC-web.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE ProLiant Compute DL384 Gen12</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：1或2張Nvidia GH200 Grace Hopper Superchip（GH200或GH200 NVL2）<br /> ●記憶體：GH200：CPU對應嵌入LPDDR5x記憶體480 GB，GPU對應HBM3e記憶體144 GB；GH200 NVL2：CPU對應嵌入LPDDR5x記憶體，容量960 GB，GPU對應HBM3e記憶體，容量為288 GB<br /> ●硬碟容量：8臺E3.S外形NVMe固態硬碟<br /> ●擴充介面：PCIe 5.0 x16，4張全高半長介面卡，或2張半高半長介面卡與2張OCP 3.0介面卡<br /> ●電源供應器：4臺1800至2200瓦（N+N備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/5 19:28作者李宗翰https://www.ithome.com.tw/review/163787
【資安日報】7月5日，微軟年初遭俄羅斯駭客APT29入侵事故有新的進展，美國地方政府、軍事單位傳出受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月微軟察覺<a href="https://www.ithome.com.tw/news/160947">遭到別名為Midnight Blizzard、Nobelium的俄羅斯駭客組織APT29入侵</a>，對方自去年11月進行密碼噴濺（password spray）攻擊，存取部分高階主管電子郵件帳號。當時該公司僅透露他們並非駭客的唯一目標，但並未透露受害範圍及其他細節。</p> <p>但自今年6月下旬開始，有人表示收到微軟的通知信，如今也傳出有美國政府單位曝險的情況，這起事故的影響範圍，有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163794"><strong style="font-size: 22px;">針對微軟今年1月遭遇俄羅斯駭客APT29攻擊的資安事故，多個美國政府機關組織傳出獲報要進行弱點修補、密碼更新</strong></a></p> <p>微軟遭遇俄羅斯駭客組織APT29（該公司稱Midnight Blizzard）入侵事件受害者持續浮現。根據彭博社報導，美國數個政府機構也疑似遭到俄國國家駭客存取系統或是取得重要資訊。</p> <p>美國維吉尼亞州傳出在3月間接獲類似的微軟通報，指出駭客取得了該州系統的部分帳密資料。該州向媒體證實，他們發現APT29利用其中一組帳密資料存取Microsoft Cloud測試環境帳號，目的在測試憑證有效性。該州表示，他們已經更新密碼。</p> <p>美國國際媒體署（US Agency for Global Media）及美政府資助的和平部隊（Peace Corps）也都接獲微軟通知可能的資訊外洩。國際媒體署被告知有部分資料可能遭竊，但是該署的安全與敏感資料、個資則應未受影響。和平部隊則向媒體證實接獲微軟通知，但和平部隊並未說明是否有系統或資訊遭駭，只表示該單位「已經解決了弱點」。</p> <p><a href="https://www.ithome.com.tw/news/163797"><strong style="font-size: 22px;">存在已知漏洞的HFS檔案伺服器遭到鎖定，攻擊者試圖植入惡意程式或將其用於挖礦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HFS-122.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HFS-122.png" style="width: 300px; float: right;" /></a>資安業者Positive Technologies滲透測試員Arseniy Sharoglazov於5月底，公布Rejetto檔案伺服器系統HTTP File Server（HFS）的資安漏洞CVE-2024-23692，此為未經身分驗證的RCE漏洞，CVSS風險評為9.8分，在相關細節公布後一個多月，傳出已被用於攻擊行動的情況。</p> <p>7月4日資安業者AhnLab指出，在滲透測試框架Metasploit上個月加入漏洞攻擊模組後，他們發現有人開始實際用於攻擊行動。對方在攻擊過程中，會先執行whoami、arp等命令，收集系統資訊。然後，他們會新增後門帳號，用來執行遠端桌面連線，但在此同時，對方也會將帳號隱藏起來，以免使用者察覺有異。</p> <p>這些駭客最終於受害電腦部署挖礦軟體XMRig、木馬程式XenoRAT，以及用於掃描系統弱點的指令碼。但除了XenoRAT，對方也使用中國駭客常用的惡意程式，例如：Gh0stRAT、PlugX，此外研究人員也看到植入滲透測試工具Cobalt Strike、網路掃描工具Netcat的情況。</p> <p><a href="https://www.ithome.com.tw/news/163798"><strong style="font-size: 22px;">研究人員針對鎖定拉丁美洲的金融木馬Mekotio提出警告，相關攻擊行動大幅增加</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Mekotio-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mekotio-fig1.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技針對金融木馬Mekotio的攻擊行動提出警告，這個木馬程式主要鎖定拉丁美洲用戶，在巴西、智利、墨西哥、秘魯造成廣泛的災情。該公司指出，近期遭遇相關攻擊事故的用戶數量大幅增加，呼籲當地民眾要提高警覺。</p> <p>攻擊流程如何進行？對方通常假冒稅務機關寄送電子郵件，佯稱收信人有稅款尚未繳納，這些信件內含ZIP檔附件，或是連往惡意網站的連結。假若使用者依照指示執行，電腦就會被植入Mekotio。這個木馬程式主要的功能是竊取網路銀行帳密，攻擊者藉由顯示冒牌的登入網站來達成目的，但也能擷取電腦螢幕畫面、側錄鍵盤輸入內容、竊取剪貼簿的資料。</p> <p><a href="https://www.ithome.com.tw/news/163792"><strong style="font-size: 22px;">惡意程式FakeBat藉由偷渡式下載植入受害電腦</strong></a></p> <p>資安業者Sekoia指出，今年第一季最常利用偷渡式下載手法散布的惡意程式載入工具，FakeBat是最常見的惡意程式，攻擊者通常會製作冒牌的應用程式登入網頁，然後藉由惡意廣告，或是在合法網站植入假的瀏覽器更新網頁，或是透過社群網站藉由社交工程攻擊，引誘使用者中招。</p> <p>這款惡意程式載入工具最早約從2022年12月出現，開發該軟體的駭客以租賃的型式提供買家運用，號稱具備多種反偵測功能，能迴避Google或Microsoft Defender的警報，而且VirusTotal也不會偵測出異狀。買家可藉由管理介面，透過範本產生特定的FakeBat程式，同時能夠管理與監控惡意軟體散播與感染情形。</p> <p>而到了今年，研究人員發現多起攻擊行動，並大致歸類為3種手法：冒牌軟體下載網站、偽造的瀏覽器更新彈出式視窗，以及社交工程手法。</p> <p><a href="https://www.ithome.com.tw/news/163807"><strong style="font-size: 22px;">資安業者SentinelOne發布3年追蹤APT駭客組織的調查，證實勒索軟體具備分散注意力的效果</strong></a></p> <p>資安業者SentinelOne、Recorded Future聯手，追蹤從2021年至2023年對全球政府機關及關鍵基礎設施下手的駭客組織，並發現對方在大部分的攻擊行動裡，都會透過勒索軟體把檔案加密。而這些駭客使用勒索軟體的動機，不光只是對受害組織進行勒索，從而達到經濟利益，還有為了破壞、分散防守方注意力，誤導事故調查方向，以及清除跡證的目的。</p> <p>研究人員發現中國駭客組織ChamelGang使用勒索軟體CatB的攻擊行動，並看到有人濫用合法資料保護工具進行寄生攻擊（LOLBins），加密檔案進行勒索的手段。這些工具包含了資料保護暨清除業者Jetico推出的BestCrypt，以及微軟於視窗作業系統內建的BitLocker。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://harfanglab.io/en/insidethelab/supposed-grasshopper-operators-impersonate-israeli-gov-private-companies-deploy-open-source-malware/"><strong style="font-size: 20px;">以色列企業組織成駭客利用滲透測試框架Donut、Sliver下手的目標</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/prudential-financial-now-says-25-million-impacted-by-data-breach/"><strong style="font-size: 20px;">保德信金融集團證實今年2月的資料外洩事故波及逾250萬人，傳出是勒索軟體駭客組織BlackCat所為</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://www.bleepingcomputer.com/news/security/australian-charged-for-evil-twin-wifi-attack-on-plane/"><strong style="font-size: 20px;">澳洲逮捕對航班旅客進行名為Evil Twin的Wi-Fi無線網路攻擊的嫌犯</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://www.bleepingcomputer.com/news/security/router-makers-support-portal-hacked-replies-with-metamask-phishing/"><strong style="font-size: 20px;">加拿大路由器製造商客戶窗口傳出遭駭，填寫表單的用戶被要求強制更新Metamask加密貨幣錢包帳號</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">◆</span><a href="https://www.recordedfuture.com/caught-in-the-net-using-infostealer-logs-to-unmask-csam-consumers"><strong style="font-size: 20px;">研究人員解析竊資軟體偷到的資料，找到3千名涉及兒童性虐待人士的資料</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163804"><strong style="font-size: 22px;">行政院宣布通過資安法修正草案，納管機關若遭遇重大資安事故須配合調查，若不配合最高可罰百萬</strong></a></p> <p>7月4日行政院宣布，他們正式通過數位發展部去年底提出的資通安全管理法（資安法）修正草案，接下來將送交立法院審議。</p> <p>行政院長卓榮泰表示，本次修正草案的主要目的，將進一步強化國家整體資通安全法律規範，明確化法律位階，促進政府跨機關的合作及區域聯防，有效落實納管機關及關鍵基礎設施的資安管理及防護，並推動資安人員培力機制，解決實務執行落差。</p> <p>值得留意的是，我們看到許多媒體針對行政院通過的修正條文，皆特別提及根據新增的25條及31條內容，若是發生重大資安事件，資安署得稽核所有納管的公務機關或特定非公務機關，若是規避、妨礙或拒絕調查者，最高可開罰一百萬元罰鍰。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163806"><strong style="font-size: 22px;">Proton發表全程加密的文件編輯服務Docs in Proton Drive</strong></a></p> <p>本週專門提供基於隱私之線上服務的瑞士業者Proton發表了Docs in Proton Drive，於其雲端全加密儲存服務Proton Drive中提供Docs文件編輯服務，除了支援即時協作、評論、新增照片及儲存功能外，同樣也提供全程加密（E2EE）。</p> <p>該公司也提及推出這項服務的動機。他們指出提供相關服務的大型科技業務往往收集使用者相關資訊牟利，再加上並未預設採用全程加密，很有可能導致資料外洩的風險，此外，文件內容還有可能遭未經授權的監控，或是供他人運用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163785"><strong>【7月4日】歐洲最大雲端服務供應商揭露DDoS攻擊規模與日俱增的現象，並指出大多惡意流量來自MikroTik路由器</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163765"><strong>【7月3日】巴基斯坦駭客假借提供安卓應用程式發動攻擊，意圖散布惡意軟體CapraRAT，目的是為了監控特定使用者</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163743"><strong>【7月2日】研究人員揭露polyfill供應鏈攻擊事故最新發現，駭客同時運用多個網域犯案，保守估計超過30萬個網站受害</strong></a></p> </div></div></div>
2024/7/5 17:16作者周峻佑https://www.ithome.com.tw/news/163808