iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 03:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

支援三大OS、拉攏PC用戶，Nvidia推AI開發快速上手工具
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要發展技術自主程度相對較高的AI應用系統，大家一開始面臨的最大的困難，是不知該從何處著手，從軟體開發平臺、雲端服務、硬體設備，都有許多搭配方式可選，尤其是軟體相關工具，有各式各樣的應用程式開發框架（framework）、程式庫（library）、軟體開發套件（SDK）、容器（container）、模型（model）、資料集（dataset）。</p> <p>單就強調高度整合的開發環境而言，三大雲端服務業者都提供相關的工具，像是AWS的SageMaker Studio、微軟的Azure AI Studio、Google Cloud的Vertex AI Studio，有些硬體運算廠商也提供這類工具，例如，英特爾目前有OpenVINO Toolkit、oneAPI Toolkits，以及前身為cnvrg.io的Intel Tiber AI Studio，Nvidia在去年8月舉行的<a href="https://developer.nvidia.com/blog/develop-and-deploy-scalable-generative-ai-models-seamlessly-with-nvidia-ai-workbench/">SIGGRAPH 2023大會發表Nvidia AI Workbench</a>，今年3月的GTC 2024大會正式推出，<a href="https://developer.nvidia.com/blog/streamline-ai-powered-app-development-with-nvidia-rtx-ai-toolkit-for-windows-rtx-pcs/">到了6月，他們釋出囊括這套工具的Nvidia RTX AI Toolkit</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia AI Workbench1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia%20AI%20Workbench1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia AI Workbench2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia%20AI%20Workbench2.jpg" style="width: 400px;" /></a></p> <p>而對於Nvidia而言，他們想透過Nvidia AI Workbench，提供統一、易用的工具套件，協助開發者能夠運用個人電腦、工作站，以及遠端資料中心、公有雲、Nvidia DGX Cloud的GPU資源，快速建立預先完成訓練（pretrained）的生成式AI模型，並且進行測試與內容組成的自定，而且能在此集中管理資料、模型、資源、運算的需求，以及更順暢的協同作業與部署。</p> <p>Nvidia希望藉此降低大家著手進行企業AI專案的複雜度，提供能在本機電腦執行的簡化操作介面，開發者能運用自定的資料，針對源於開放原始碼AI軟體與模型資源庫Hugging Face、程式碼共享平臺GitHub、Nvidia GPU雲端軟體開發型錄服務NGC的模型，並且可以根據本身的需求、經過幾個點選動作，在此進行修改與執行，之後可橫跨多種平臺，輕鬆共享這些已完成調整的模型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia AI Workbench-2024-03-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-2.jpg" style="width: 500px;" /></p> <p>相對地，開發者也能透過這套高度整合的AI輔助開發工具，在JupyterLab、VS Code這兩種整合式開發環境，以原生操作、高度共通與透明的方式，管理多臺硬體設備執行的工作，從多個開放原始碼軟體儲存庫與Nvida提供的AI/ML軟體平臺，拉取所有必備的企業級AI模型、框架、軟體開發套件、程式庫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Nvidia AI-Workbench-workflow-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Nvidia%20AI-Workbench-workflow-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia AI Workbench-2024-03-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-6.jpg" style="width: 600px;" /></a></p> <p>為何Nvidia AI Workbench能同時支援本機與遠端執行？事實上，在個人電腦安裝這套AI工具時，採用主從式（client-server）的架構進行部署，使用者操作介面是執行在搭配Nvidia RTX GPU的桌上型電腦、筆電、工作站，作為工具的基本資源，而且能經由SSH安全加密連線協定，與同臺電腦與遠端伺服器安裝的Workbench Service服務溝通，如此一來，能在多個團隊人員個別的工作站本機進行初期開發，後續等到AI訓練工作規模變大時，可轉移到資料中心或雲端服務、用性能更強大的運算資源完成工作。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/MTA3D4LJfc0?si=XhEzkrEDvpOMdMsX&start=60" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>至於Nvidia AI Workbench整合的軟體開發協作機制，也支援用戶內部自建自管的容器登錄服務（registry），以及Git伺服器。基本上，這套軟體開發平臺採用聚焦在個別專案（project）的基礎架構，裡面有一套Git儲存庫，蘊含多個可描述內容與彼此關係、組態設定的指令、執行方式的中繼資料檔案（metadata files）。同時，Nvidia AI Workbench處理的存放位置或相依於使用者的資料，都會清清楚楚地呈現，並且注入執行階段環境（runtime），以便這些資訊不會寫死在專案當中。而這樣的專案架構，有助於自動執行版本管理、容器管理、機密資訊處理等複雜的工作，也能適用於多個團隊的協同合作。</p> <p>而在去年8月Nvidia AI Workbench最初發表之際，有多家工作站與伺服器大廠商表態支援，像是<a href="https://www.dell.com/zh-tw/blog/end-to-end-genai-development-invoke-nvidia-ai-workbench-and-precision/">Dell</a>、HPE、HP、Lambda Labs、<a href="https://news.lenovo.com/accelerating-the-opportunities-of-generative-ai-with-lenovo-ai-workstations-and-nvidia/">聯想</a>、Supermicro，能以此突顯他們提供的實體（本機）與虛擬型態（遠端）GPU工作站，開發者不僅可以運用搭配Nvidia RTX世代GPU的Windows或Linux系統電腦或工作站，進行企業級生成式AI專案的初始建立、測試驗證，以及精密微調，也能以簡單的方式存取位於資料中心與雲端服務業者的GPU運算個體，而在AI系統需要更大的執行規模時，得以順利擴展硬體資源。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ntMRzPzSvM4?si=ATuzxgqaQ5zTS-TA" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>今年1月，Nvidia AI Workbench釋出Beta版，Nvidia揭露可安裝在3種作業系統，分別是Windows 11、Ubuntu 22.04、macOS 11與後續版本；在軟體開發環境的支援上，用戶可透過這套工具的桌面App與命令列介面，存取相容於Git的版本控制系統，執行拉取、推送、餵補；容器執行階段的引擎，可選擇Docker或Podman；在預設搭配的應用程式框架的系統基礎映像，原本只有NGC型錄提供的Python Basic、PyTorch Basic，此時增添3個：CUDA 11.0、CUDA 12.0、CUDA 12.2；關於協助開發者上手的參考範例專案，Nvidia在此提供Mistral（採用QLoRA PEFT微調Mistral 7B模型）、檢索增強生成（RAG）、NeMotron-3（採用Nvidia NeMo微調Nemotron-3 8B模型）等3種。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-web.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-3.jpg" style="width: 600px;" /></p> <p>3月GTC 2024大會期間，Nvidia AI Workbench 1.0版正式推出，開放免費下載，用戶可藉此從Nvidia API型錄或直接在本機電腦的AI推論微服務（NIM），結合雲服務端點（cloud endpoints）來部署生成式AI模型，而在整合開發環境的部分，這一版開始支援VS Code，開發者可在此調度指揮GPU環境當中的容器化專案，關於專案搭配的基礎系統映像，開發者也能在建立專案時，選擇自己的容器映像作為基礎系統映像，但條件是這個映像必須使用遵循基礎映像規格的映像標籤。</p> <p>1.0版也改善套件管理與安裝方式。開發者可透過Workbench的使用者操作介面，直接進行管理，並且將所需的套件增添到容器當中；對於Windows與macOS的用戶而言，可以更容易安裝Nvidia AI Workbench，同時，在Docker容器執行階段的運用上，也提供更好的支援。</p> <p>截至7月初為止，Nvidia AI Workbench後續又經歷幾個小改版，例如，5月底釋出的1.1版，作業系統增加支援更多人使用的Windows 10，7月1.2版登場，作業系統增加支援今年4月最新推出的Ubuntu 24.04。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-5.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia AI Workbench</strong><br /> ●原廠：Nvidia<br /> ●建議售價：免費<br /> ●作業系統需求：Windows 10（21H2 19044版以後）與Windows 11（21H2 22000版以後）、Ubuntu 22.04與Ubuntu 24.04、macOS 12<br /> ●硬體需求：本機或遠端電腦，16GB記憶體、硬碟空間41 GB<br /> ●容器執行環境：Docker或Podman<br /> ●預設提供容器：PyTorch for AI Workbench、Python Basic for AI Workbench、Python with CUDA 11.7/12.0/12.2、RAPIDS with CUDA 12.0<br /> ●程式碼撰寫與執行環境：JupyterLab、VS Code、純文字編輯器<br /> ●協同工作環境：GitHub、GitLab</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/5 12:35作者李宗翰https://www.ithome.com.tw/review/164281
CISA任命首個AI長Lisa Einstein
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部旗下的網路安全暨基礎設施安全局（CISA）上周四（8/1）<a href="https://www.cisa.gov/news-events/news/cisa-names-first-chief-artificial-intelligence-officer" target="_blank">揭露了該局的首位AI長Lisa Einstein</a>，將負責管理CISA對AI的使用，同時確保其關鍵基礎設施的合作夥伴以安全及可靠的方式來開發及採用AI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-CISA-Chief%20Artificial%20Intelligence%20Officer-lisa%20einstein.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA</span></span></p> <p>美國行政管理和預算局（Office of Management and Budget，<a href="https://www.ithome.com.tw/news/162036" target="_blank">OMB）在今年3月發布</a>了首個橫跨美國所有政府機關的AI政策，其中一項政策便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p>當時OMB希望各個聯邦機構必須在60天內指定AI長，估計需要100名AI長。一時之間可擔任AI長的人工智慧專家炙手可熱，目前<a href="https://ai.gov/ai-in-gov/" target="_blank">美國政府已列出</a>了逾60個聯邦機構的AI長。</p> <p>Einstein在2022年時即擔任CISA網路安全諮詢委員會的執行董事，2023年成為CISA的AI資深顧問，現在則被賦予更重要的AI長職務。Einstein說，AI工具可以加速人類的進步，但只有在開發與部署AI工具之際，共同努力以優先考慮安全及可靠性時，才能真正享受AI的好處，並避免誤用或濫用所造成的傷害。</p> </div></div></div>
2024/8/5 13:09作者陳曉莉https://www.ithome.com.tw/news/164293
熱門廣告攔截工具uBlock Origin即將遭Chrome棄用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門的廣告及追蹤器攔截工具<a href="https://github.com/uBlockOrigin/uBlock-issues/wiki/About-Google-Chrome%27s-%22This-extension-may-soon-no-longer-be-supported%22" target="_blank">uBlock Origin本周提醒</a>，用戶將於Chrome擴充功能頁面看到警告，宣稱系統可能會在近期內停止支援uBlock Origin（uBO）。這是因為Chrome即將從Manifest V2遷移到Manifest V3，且自上個月釋出的Chrome 127開始，針對那些基於Manifest V2的擴充程式祭出停用警告，uBO即為其中之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-uBlock%20issues-chrome%20extension-600.png" style="width: 420px;" /></p> <p>Manifest為一JSON文件，主要用來描述瀏覽器擴充程式的結構與行為，Google於Manifest V3中變更了廣告攔截及隱私等擴充程式用來封鎖與變更網路連結的WebRequest API，引發相關開發者的反彈，最終Google在V3中大幅提高了declarativeNetRequest的規則數量，允許擴充程式自背景採用DOM API，同意快速批准簡易的安全更新，並支援開發者回滾更新版本。Google自<a href="https://www.ithome.com.tw/news/163266" target="_blank">今年6月展開</a>遷移行動，計畫於明年初完成。</p> <p>uBO是個開源專案，強調在不消耗太多CPU及記憶體的前提下可過濾追蹤器、廣告及惡意網址，現有超過3,400萬名Chrome用戶<a href="https://chromewebstore.google.com/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm" target="_blank">安裝了該擴充程式</a>。<a href="https://chromewebstore.google.com/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm" target="_blank">Chrome線上應用程式商店（Chrome Web Store）</a>目前排行比它高的類似程式還有AdBlock與Adblock Plus，它們分別有5,900萬名及4,000萬名用戶。</p> <p>uBlock Origin團隊表示，uBO是個Manifest V2擴充程式，而且沒有Manifest V3版本，因此Chrome會建議使用者尋找替代的擴充程式；為此，該團隊盡最大努力將uBO的篩檢清單轉換成符合Manifest V3框架的作法，打造出uBO Lite（uBOL），uBOL同樣強調效率及可靠性，因此必須犧牲許多於Manifest V3框架上無法實現的功能，只能說是uBO的精簡版。</p> <p>該團隊也公布了<a href="https://github.com/uBlockOrigin/uBOL-home/wiki/Frequently-asked-questions-(FAQ)" target="_blank">uBO及uBOL的比較與差異</a>供使用者參考，指出uBOL並不會自動替換uBO，使用者必須自行選擇與安裝uBOL。</p> <p>此外，uBlock Origin團隊表明會繼續開發uBO，因為還有一些瀏覽器不會棄用Manifest V2，例如Firefox。</p> <p>其實不只是uBO，Chrome用戶最近應該會看到其它擴充程式要被停用的警告，它們都是因為不支援Manifest V3而即將與Chrome絕緣。</p> </div></div></div>
2024/8/5 11:24作者陳曉莉https://www.ithome.com.tw/news/164290
DigiCert註銷逾8萬個SSL憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SSL數位憑證機構（Certificate Authority，CA）<a href="https://www.digicert.com/support/certificate-revocation-incident" target="_blank">DigiCert昨（4）日宣布</a>已註銷未做好適當驗證的8萬多個憑證，並要求用戶在本周末前更換新憑證。</p> <p>撤銷憑證的原因是DigiCert未能做好網域控制驗證（Domain Control Validation，DCV）。DCV是指DigiCert將憑證發放給客戶前，會先驗證他們呼叫憑證的網域名是否具有控管或持有權利。其中一種方法是客戶在其網域名的DNS別名（CNAME）紀錄加入一組由DigiCert提供的隨機值，DigiCert之後會進行DNS查詢驗證是否找到相同的隨機值，符合者才會獲得提供網域控制權，即獲頒憑證。</p> <p>而DigiCert提供在DNS CNAME增加隨機值的方法之一，是利用前綴（prefix）格式，以底線符號加入隨機值。這種格式的前綴是為了確保隨機值不會和使用相同隨機值的實際網域名搞混。雖然DNS CNAME紀錄未前綴加入隨機值的機率不高，但仍然存在；最近DigiCert發現在CNAME-based的網域驗證案例中，有將近0.4%已通過者其CNAME並未加入底線前綴的隨機值。按照CA/Browser Forum（CABF）的規定，這些網域憑證必須在24小時內註銷，無一例外。</p> <p>被註銷的憑證主要影響TLS憑證，少部份S/MIME憑證也受影響。若用戶S/MIME憑證遭到註銷，其電子郵件還是能使用，但無法使用電子郵件加密，因此，在用戶未能更換S/MIME憑證前，收件者只能仰賴郵件用戶端的信任警告來確保信件的安全性。</p> <p>根據DigiCert的bugzilla報告，這次事件影響6,807名訂閱用戶的83,267張數位憑證。</p> <p>DigiCert要求用戶必須在世界協調時間（UTC）8月9日20:30（臺灣時間8月10日凌晨4:30）前換用新憑證。TLS/SSL憑證用戶可<a href="https://www.digicert.com/support/certificate-revocation-incident" target="_blank">登入DigiCert CertCentral帳號</a>檢視被註銷的憑證，以及產生新的憑證。S/MIME憑證用戶也可在CertCentral帳號下依據指示讀取已註銷憑證及產生新憑證。</p> </div></div></div>
2024/8/5 11:43作者林妍溱https://www.ithome.com.tw/news/164291
全球首部人工智慧法案歐盟AI Act生效了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由歐盟建立的全球首個人工智慧（AI）法案<a href="https://commission.europa.eu/news/ai-act-enters-force-2024-08-01_en" target="_blank">AI Act在8月1日正式生效了</a>，它替所有歐盟國家導入了一個統一的AI風險框架，同時替AI開發者與部署者擬定了清楚的責任與義務。此一法案將由歐盟執委會（European Commission，EC）旗下的AI辦公室（AI Office）負責推動與執行。</p> <p>AI Act定義了4種AI風險與行為準則，大多數的AI系統屬於最小風險，例如垃圾郵件過濾程式或AI遊戲等，這些系統不必承擔義務，但可以自願採用額外的行為準則。其次則是特定的透明度風險，要求諸如聊天機器人等系統必須明白讓用戶知道，他們正在與機器人互動，且某些由AI生成的內容也必須標記。</p> <p>被歸類為高風險的AI系統必須符合更嚴格的要求，例如基於AI的醫療軟體，或者是用來招募人才的AI系統等，都必須配備風險緩解系統，採用高品質的資料集，擁有清楚的使用者資訊，以及受到人類監督等。</p> <p>而在《黑鏡》（Black Mirror）等影集中曾經出現，整個人類社會彼此評分的AI系統則被視為不可接受的風險。不管是由政府或企業主導的「社會評分」（social scoring）AI系統，都被認為威脅到人類的基本權利，而直接被禁止。</p> <p>歐盟執委會表示，歐盟立志成為安全AI的全球領導者，藉由制定基於人權與基本價值觀的強大監管框架，將可開發一個造福所有人的AI生態體系。</p> <p>為了協助企業遵守AI Act，EC正著手制定通用AI（GPAI）模型供應商的行為守則，正式守則可望於明年4月之前出爐。</p> <p>雖然AI Act已經生效，但不同規則的實施時間不同，例如不可接受風險的AI系統禁令會在6個月後實施；歐盟會員國必須在明年的8月2日以前指定主管部門，以負責監督AI系統規則的部署；通用AI模型的規則將在12個月後實施；而絕大多數的AI Act規則要到2026年的8月2日才上線。</p> </div></div></div>
2024/8/5 12:01作者陳曉莉https://www.ithome.com.tw/news/164292
Google延攬Character.AI高層，創辦人回鍋前公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周與AI新創公司Character.AI簽定技術授權合作，並延攬曾是前Google AI部門員工的創辦人。</p> <p>創立於2022年的Character.AI主要業務是開發個人化AI通訊加值服務，像是建立可和用戶對談的迪士尼動畫主角（如米奇）AI虛擬化身的<a href="https://blog.character.ai/introducing-character-calls/" target="_blank">Character Calls</a>，以及上傳用戶說話樣本自建AI角色聲音的Character Voice。在和Google的非獨家技術授權協議中，Character.AI將授權Google使用其LLM技術。此外，本項合作可能包含Google一筆金額不詳的投資。Character.AI表示，這項合作可增加Character.AI的資金，支持其持續成長並專注在個人化AI產品上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-character%20ai-android-600(1).png" style="width: 600px;" /></p> <p>但雙方合作更重要的一部份是Character.AI的核心員工，包括創辦人Noam Shazeer及Daniel De Freitas及數名研發人員，也將加入Google。其中執行長Shazeer也是Google前員工，他在Google任職期間擔任Google對話式AI模型LaMDA（Language Model for Dialogue Applications）專案的主導人，他在2021年離職創辦Character.AI，並獲得私募基金公司16z支持，加入Google意謂著又將回鍋前東家。Shazeer和De Freitas會加入Google DeepMind部門，但詳細角色和職責還不明。</p> <p>而在兩名高層離開後，Character.AI將由法務長Dominic Perella擔任臨時CEO。Perella曾是社群App開發商Snap高層，去年年中才加入Character.AI。<a href="https://blog.character.ai/our-next-phase-of-growth/" target="_blank">該公司表示</a>未來會持續投資模型後訓練能力，搭配自有或開源LLM開發新服務。</p> <p>Google與Character.AI的合作，和微軟投資新創業者Inflection.AI的手法十分相似。微軟3月延攬Inflection AI二名共同創辦人Mustafa Suleyman及Karén Simonyan加入新成立的Microsoft AI部門，其中曾任DeepMind的Suleyman將任該部門執行長，Simonyan則任該部門首席科學家，二公司也簽定了非獨家技術授權協議。兩家大廠雖然未收購AI新創業者，但由於延攬了其核心員工，特別容易招來反壟斷主管機關的關切。英國主管機關競爭與市場委員會（Competition and Markets Committee，CMA）已經<a href="https://www.ithome.com.tw/news/163972" target="_blank">宣布著手調查</a>微軟和Inflection的合作案。</p> </div></div></div>
2024/8/5 10:31作者林妍溱https://www.ithome.com.tw/news/164285
Nvidia下一代AI晶片傳設計瑕疵將延後至少1季推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，Nvidia下一代AI晶片Blackwell B200因設計上的瑕疵，將延後推出至少3個月。</p> <p>媒體<a href="https://www.theinformation.com/articles/nvidias-new-ai-chip-is-delayed-impacting-microsoft-google-meta?rc=v4bmzs" target="_blank">The Information引述</a>二家Nvidia的合作夥伴報導，微軟通知這二家業者，設計瑕疵使Blackwell B200推出被迫延遲至少3個月，無法依預定於今年第4季出貨。<a href="https://www.bloomberg.com/news/articles/2024-08-03/nvidia-s-new-ai-chip-delayed-due-to-design-flaws-information" target="_blank">彭博則推測</a>，其中一名消息來源是微軟員工。</p> <p>Blackwell B系列是H100系列的新一代GPU。消息如果屬實，將打臉Nvidia的說法。本周稍早Nvidia才公布下一代晶片Blackwell B100與B200工程樣本，並說進度按預定時程。這意謂著客戶最快要等到2025年第1季才能拿到最新一代AI晶片。</p> <p>GPU交貨延遲勢必讓亟於推出開發AI模型及應用服務的平臺大廠跳腳。目前AI大廠從Meta、微軟、xAI傳已下單購買30萬顆B200 GPU，不過Nvidia客戶之一的Meta早已懷疑Nvidia可能得要到明年第2季才能交貨。</p> <p>另外，如果B200真的延後出貨，Nvidia也並非近日唯一這麼決定的晶片業者。AMD原本預定7月31日推出Zen 5架構桌機版處理器Ryzen 9000系列，但在即將推出前夕<a href="https://www.anandtech.com/show/21489/amd-delays-ryzen-9000-launch-1-to-2-weeks-due-to-chip-quality-issues" target="_blank">宣布</a>因為「品質問題」將推遲1到2周。</p> <p>延後推出總好過推出後發生問題。7月底許多用戶搭載英特爾Core 13或14代桌機處理器的電腦當機問題，這家CPU業者證實原因出於「運作電壓過高」。<a href="https://www.theverge.com/2024/7/26/24206529/intel-13th-14th-gen-crashing-instability-cpu-voltage-q-a" target="_blank">英特爾承諾</a>8月中釋出微機碼解決問題，並對當機的處理器延長保固期間二年。但<a href="https://www.tomshardware.com/pc-components/gpus/nvidia-blackwell-gpus-allegedly-delayed-due-to-design-flaws" target="_blank">Tom's Hardware報導</a>，已經當掉的處理器已無法復原。</p> </div></div></div>
2024/8/5 10:48作者林妍溱https://www.ithome.com.tw/news/164286
【資安週報】2024年7月29日到8月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164175"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月29日】北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商</span></strong></a></h3> <p>近日北韓駭客組織APT45的攻擊行動被大量揭露，但值得注意的是，美國司法部也公告緝拿該組織一位北韓駭客成員，當中意外揭露了有臺灣國防承包商也是APT45的受害者。</p> <p>由於許多媒體報導可能忽略了這一消息，但這樣的狀況是需要我們國防單位去進一步了解。</p> <h3><a href="https://www.ithome.com.tw/news/164205"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</span></strong></a></h3> <p>VMware虛擬化平臺的漏洞，最近幾年已是駭客頻頻鎖定的攻擊目標，這樣的情況，在最近微軟發布的漏洞警訊也能反映這種情況。</p> <p>研究人員針對博通上個月發布的身分驗證繞過漏洞CVE-2024-3708進行調查，指出這項漏洞已在去年就遭到利用，而且，Storm-0506、Storm-1175、Octo Tempest、Manatee Tempest等多個駭客組織都加入利用漏洞的行列。</p> <p><a href="https://www.ithome.com.tw/news/164242"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</span></strong></a></p> <p>透過NPM、PyPI等軟體套件儲存庫發動攻擊的情況日益頻繁，但通常都是針對特定套件的使用者下手，透過模仿網域名稱的手法，引誘開發人員上當，但如今出現了結合社交工程的攻擊手法。</p> <p>例如，資安業者Checkmarx近期揭露的惡意PyPI套件攻擊行動，駭客的目的是竊取特定用戶的Google Cloud帳密資料，但為了誘騙使用者，疑似還設置專門的LinkedIn帳號，並誤導知名的AI搜尋引擎產生錯誤的結果。</p> <p><a href="https://www.ithome.com.tw/news/164256"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</span></strong></a></p> <p>本週再度傳出微軟多項雲端服務運作異常的現象，許多使用者面臨不穩定，甚至是無法存取，由於一週前才<a href="https://www.ithome.com.tw/news/164028">發生了類似的情況</a>，因此，這起事故發生的原因，引起許多用戶的高度關注。</p> <p>7月31日微軟對此提出說明，起因是Azure的基礎設施遭到DDoS攻擊時，他們實作的防護措施竟然放大了流量而釀禍，導致重要元件運作效能大幅降低，嚴重影響各項雲端服務的運作。</p> <p><a href="https://www.ithome.com.tw/news/164277"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</span></strong></a></p> <p>過往駭客發動惡意NPM、PyPI套件攻擊，通常會針對知名套件的使用者而來，藉由網域名稱模仿的手法讓開發人員上當。但如今，駭客改變了做法，他們利用網路問答平臺，假裝認真解答問題，藉此散布惡意套件。</p> <p>最近資安業者Checkmarx揭露的資安事故，就是這種例子。駭客在Stack Exchange針對特定問題進行回答，「順便」提供惡意套件的下載連結，使得用戶降低警覺而有可能因此上當。</p> </div></div></div>
2024/8/4 18:03作者羅正漢https://www.ithome.com.tw/news/164279
Google AI即將進駐Chrome桌面版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/google-chrome-ai-features-august-2024-update/" target="_blank">Google周四（8/1）宣布</a>，即將於桌面版的Chrome瀏覽器引進3項AI功能，分別是Google Lens、Tab compare，以及以自然語言搜尋歷史紀錄。</p> <p>Google Lens為Google所開發的影像辨識工具，一開始是個獨立程式，繼之曾陸續被整合至Google Camera、Google Photos、Google Assistant與Gemini，現在它則將進駐桌面版的Chrome瀏覽器。</p> <p>依照Google的規畫，未來幾天更新的Chrome瀏覽器就會於網址列上出現Google Lens的圖示，當使用者瀏覽時，只要發現有興趣的圖像，就能直接將該圖示拉至圖像上，並於側邊欄上展示相關的搜尋結果；接著還可執行多重搜尋，例如尋找不同的顏色、品牌或其它詳細資訊等；若不滿意還可輸入其它問題以更深入了解特定主題，並由基於Gemini模型的AI來回應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome%20AI%20features-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome%20AI%20features-2.png" style="width: 600px;" /></p> <p><a href="https://www.youtube.com/watch?v=43YUCNEHBHU" target="_blank">Google展示</a>了如何將Google Lens圖示拖曳到網頁上的某個行李箱，再於側邊欄上尋找不同顏色的同款行李箱。或者是把Google Lens圖示移到一株盆栽上，於側邊欄以自然語言詢問該盆栽的照顧方法。</p> <p>此外，使用者還可將Google Lens拖曳至影片中的圖像進行辨識與搜尋。除了拖曳Google Lens圖示之外，亦可藉由點選Google Lens圖示或透過功能表來啟用該功能。</p> <p>至於Tab compare，以及以自然語言搜尋歷史紀錄則計畫在幾周後先行於美國登場。前者看起來是個非常方便的購物功能，當使用者於網路上搜尋某個類別的商品時，經常會以不同的分頁來研究類似的產品，但Tab compare功能可在一個頁面上整合這些不同分頁上的產品並進行比較，例如它們的價格、規格、價格與評價等，而不必再自行不斷切換分頁。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome_Tab_Compare(2).png" style="width: 600px;" /></p> <p>以自然語言來搜尋歷史紀錄也頗令人期待，例如可以在Chrome歷史紀錄中搜尋「我上次看的那家冰淇淋店是哪家」，Google AI就會從紀錄中找出使用者曾經瀏覽的相關頁面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome_Search_History(2).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/2 20:26作者陳曉莉https://www.ithome.com.tw/news/164282
新興攻擊手法濫用免費Cloudflare隧道服務，靈活交付惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Proofpoint<a href="https://www.proofpoint.com/us/blog/threat-insight/threat-actor-abuses-cloudflare-tunnels-deliver-rats">發現</a>惡意人士透過TryCloudflare服務，大量濫用Cloudflare隧道（Tunnel）服務傳遞惡意軟體，隱藏其交付遠端存取木馬（Remote Access Trojans，RAT）的行動。這項新的攻擊手法，代表著攻擊者能夠靈活改變其基礎設施和戰術，並透過演進攻擊技術提高攻擊成功率，並降低被發現的機會。</p> <p>Proofpoint正在追蹤一群利用Cloudflare隧道服務，傳遞惡意軟體的網路犯罪活動，透過濫用Cloudflare的TryCloudflare功能，攻擊者不用建立帳號，就能夠創建一次性的隧道。</p> <p>隧道技術類似VPN或是SSH，用於遠端存取不在本地網路的資料和資源，使用者每次建立TryCloudflare隧道都會生成一個隨機子網域名，使流量經過Cloudflare伺服器代理傳遞，而這提供了攻擊者一個便利且低成本的方式，進一步掩蓋自己的真實位置。</p> <p>自2023年以來，濫用TryCloudflare隧道的行為變得越來越普遍，攻擊者演進其戰術與技術，擴大攻擊活動範圍，傳遞資訊量從數百到數萬不等，影響達全球數千組織。研究人員觀察到，該攻擊活動通常圍繞在商業主題上，以發票、文件請求、包裹遞送或是稅務等作為誘餌，並使用英文、法文、西班牙文和德文，達到廣泛的攻擊效果。</p> <p>透過TryCloudflare傳遞的常見惡意軟體包括Xworm、AsyncRAT 和 VenomRAT，而Remcos和GuLoader則出現機會漸少。研究人員表示，從他們發現此手法以來，背後操控的攻擊者已逐漸改變其戰術、技術和程式，試圖繞過偵測進行更高效的攻擊。</p> <p>攻擊者利用Cloudflare隧道的靈活性，展示他們有能力迅速建構和撤除攻擊基礎設施，增加了這些攻擊被追蹤和封鎖的難度，而這種手法也間接使靜態封鎖清單等安全措施失效。</p> <p>攻擊者使用Python腳本和WebDAV、SMB等其他技術進行攻擊，這代表攻擊者有能力將惡意軟體安裝到受害者的裝置上，即便這些裝置沒有預先安裝能執行這些腳本的軟體，資安人員認為，企業應該限制安裝和使用不必要的軟體和服務，減少惡意軟體進入系統的途徑。不過由於這些攻擊都需要受害者多次互動，因此也表示之間有許多可以辨識和阻止攻擊的機會。</p> </div></div></div>
2024/8/2 20:39作者李建興https://www.ithome.com.tw/news/164275
Stability AI發表Stable Fast 3D新模型，從單張圖生成3D模型只要0.5秒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI發表可利用圖片生成3D模型的新模型<a href="https://stability.ai/news/introducing-stable-fast-3d">Stable Fast 3D</a>，該模型運作效能高，只需要不到0.5秒，就能快速生成完整且自然的3D模型。目前Stable Fast 3D已經在Hugging Face平臺上架，並且以Stability AI社群授權釋出。</p> <p>Stable Fast 3D只需要單張圖片，就可快速生成高品質3D模型，這些模型提供精確的UV網格展開（UV Unwrapping），方便使用者進行細緻的材質貼圖，而且也包含材質參數配置，能夠被用來控制模型表面外觀和質感，透過提供詳細的參數，讓模型能夠更真實的呈現。</p> <p>Stable Fast 3D所生成的模型顏色，會盡量減少光照影響的痕跡，也就是說，生成的模型顏色，不包括光影效果，這樣的模型在不同的環境光照下，都可以呈現出正確的顏色，而不會受到特定光照條件限制。使用者如果需要，也可以選擇四邊形或是三角形網格重建功能，只要100至200毫秒即可完成，就能夠更細緻的控制模型網格拓撲結構。</p> <p>該新模型的出現，展現了Stability AI在以圖生成3D模型技術的大幅進展。Stable Fast 3D具有更高的精確度和效率，極大程度降低了生成時間，相較之前的SV3D模型，單個模型推理時間從10分鐘縮短至0.5秒，生成效率的提升也就增加了模型實際應用的價值。</p> <p>而且因為Stable Fast 3D的架構經過調整，其生成的3D網格和材質更加細緻，能夠生成UV展開網格，對於後續材質貼圖和細節表現非常重要，此外，能夠生成不受光影影響的模型顏色，也擴大了可支援應用的場景種類。</p> </div></div></div>
2024/8/2 21:07作者李建興https://www.ithome.com.tw/news/164278
Martech雙周報第59期：Google宣布不停用第三方Cookie，但新增瀏覽器層級的使用者授權啟用選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0721~0803)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第三方Cookie #第一方數據 #個資隱私 #瀏覽器廣告</span></strong></span><br /> <strong>Google宣布不停用第三方Cookie，但後續將新增瀏覽器層級的使用者授權選項</strong></p> <p>自Google宣布停用第三方Cookie已經過了4年，多次延期後，今年年初終於開始逐步停用。<a href="https://privacysandbox.com/news/privacy-sandbox-update/">但，就在幾日前，Google又再次改口，宣布續用第三方Cookie。</a></p> <p>再次變卦的主要理由是，Google自己提出的替代方案Privacy Sandbox（隱私權沙盒）成熟度不足，屢遭外界嚴重質疑。IAB、Criteo等業界權威組織及企業各自發表了研究來質疑其行銷效果，更有以英國競爭及市場管理局（Competition and Markets Authority，CMA）為首的主管機關指控此技術安全性不足，且Google有利用此項技術鞏固廣告壟斷地位嫌疑。</p> <p>這4年來，數位行銷界有許多號稱更保護隱私的技術和做法崛起，例如數據無塵室、第一方數據聯盟等，但第三方Cookie目前仍支援著大部分數位廣告投放。根據eMarketer調查，美國除了零售和保險業，其他產業的廣告投放活動，超過8成會使用第三方Cookie。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/emktck.png" style="height: 500px;" /></p> <p>第三方Cookie續用，看似能讓一切回歸舊做法，但這次Google祭出的做法，非常類似於對Martech業界造成巨大衝擊的iOS 14.5新隱私政策App追蹤透明度（App Tracking Transparency，ATT）。蘋果做法是，以裝置為單位詢問使用者是否願意被追蹤，Google預告的做法則是，以瀏覽器為單位詢問使用者是否授權啟用第三方Cookie。</p> <p>ATT政策上線，使廣告主幾乎不能追蹤iOS用戶行為，且蘋果隨即開始大力布局自家數位行銷業務，被競爭者指控ATT雖打著隱私名號，實則是打造封閉廣告生態圈的一步棋。Google目前沒有明確表示，授權詢問的做法是否與ATT同樣是預設不同意。不過，業界擔憂，若大部分使用者都不同意，結果將會與停用第三方Cookie幾乎無異。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#SEO #自然流量 #AI</span></strong><br /> <strong>OpenAI發表對話式搜尋引擎SearchGPT，承諾將會以曝光出版方為介面設計原則</strong></p> <p><a href="https://openai.com/index/searchgpt-prototype/">OpenAI發布用LLM支援的對話式搜尋引擎SearchGPT</a>。相較於微軟Bing AI及Google Generative Search的AI搜尋引擎，嘗試強調聊天機器人特性，乃至於原始資料出處能見度相當低，SearchGPT介面設計上更加強調新聞網站、部落格等出版方的曝光及流量獲取。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/genai1.png" style="width: 700px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/genai2.png" style="width: 600px;" /></p> <blockquote><p>相較於微軟和Google的生成式AI搜尋功能，OpenAI的產品在介面設計上更強調原始資料曝光</p> </blockquote> <p>前述3種生成式AI搜尋功能，都可以用AI生成對話來彙整搜尋問題的答案，不過SearchGPT會呈現出更多出版方網站的原始內容，介面設計上也不只有AI生成文字，而是在視覺上強調原始資料連結，並嘗試創作多個讓使用者點進原始網站的機會，包括資料後面附上的連結、介面底部的參考連結、占螢幕面積三分之一的其他參考網站及資料等。</p> <p>OpenAI承諾，會持續和出版方溝通此產品的設計，來降低對原始網站流量的衝擊，甚至嘗試透過此產品增加出版方網站流量。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#短影音行銷 #短影音電商 #行銷分析工具</span></strong></span><br /> <strong>Tiktok推出行銷用第三方應用程式市集，全數App都可免費試用</strong></p> <p><a href="https://www.tiktok.com/business/en-CA/blog/tiktok-app-center-for-business">短影音平臺Tiktok推出App Center for Business</a>，這是一個蒐集了第三方應用程式及服務的市集，包含了電商解決方案、創作工具、帳戶管理、素材管理、行銷活動管理、數據報告及分析、潛在客戶開發、外部數據整合、其他專業服務，共9類應用程式或服務。此外，Tiktok還要求上架平臺的廠商，必須要提供某種程度的免費試用期選項，來增加企業採購彈性。不過，企業應注意各家廠商的免費試用方案會有些許差異。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#醫療用CDP #機敏資料處理</span></strong></span><br /> <strong>Tealium推出醫療用CDP，內建醫療法遵及多種機敏資料處理機制</strong></p> <p>CDP用來支援個人化醫療服務設計，確實技術上可行，不過，醫療資料高度機敏，實務使用上有許多限制。<a href="https://www.globenewswire.com/news-release/2024/07/23/2917252/0/en/Tealium-for-Healthcare-enables-enterprises-to-establish-digital-trust-with-patients-and-physicians.html">CDP大廠Telium便是鎖定此業界痛點，推出醫療業專用CDP</a>，除了常見CDP功能外，還有患者數據使用授權管理、內建敏感資料混淆及遮蔽功能、以及醫療數據使用的法規遵循機制等，專門為醫療業數據運用法遵而設計的功能。</p> <p>此CDP還能和其他大型數據廠商產品串接，來進行更多數據處理作業。Tealium並宣稱，他們自己及合作廠商的技術能力及數據處理做法，能支援美國醫療主管機關規定，並依法簽訂醫療數據使用協議。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#CDP顧問指南 #CDP採購條件</span></strong></span><br /> <strong>採購CDP該看哪些條件？CDP Institue推出CDP顧問商挑選指南</strong></p> <p>CDP產業研究機構<a href="https://www.cdpinstitute.org/resources/service-provider-capabilities-report/?077efd5c77">CDP Institute發布CDP服務提供商能力盤點報告</a>，根據產業別及服務內容，作為CDP採購分析維度。產業別包括：零售業、媒體及出版業、金融及保險業、旅遊及餐飲業、電信及公共事業、製造及工業、快消品業、科技業、教育業、醫療保健、汽車業、政府及非營利組織等。服務內容則包括系統需求和廠商選擇、數據倉儲系統開發、CDP系統部署和營運、客戶數據管理和系統整合、行銷策略和規劃、行銷方案開發、數據分析和AI建模等。</p> <p>Martech產品評估一直以來是一件難事，尤其是CDP這類功能多元、操作複雜，且常常附帶顧問等售後服務的產品。雖然這篇指南是針對CDP顧問或SI廠商進行評估，且並非所有廠商都有在臺灣服務，但這些比較維度，仍能作為企業評估採購CDP產品的參考。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #行銷追蹤</span></strong></span><br /> <strong>ANA的RMN市調：後進品牌只敢試水溫，原因仍是跨RMN追蹤不便</strong></p> <p><a href="https://www.ana.net/miccontent/show/id/87291">美國國家廣告商聯合會（ANA）推出RMN市場調查報告</a>。調查顯示，RMN市場高速成長，且廣告主普遍看好RMN並有意於此通路投放廣告，甚至認為是必須投放。不過，市面上做RMN的零售業者越來越多，跨不同家RMN測量行銷成效的難題反而更加凸顯，使廣告主不敢投入大量行銷預算。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ANARMN.jpg" style="width: 600px;" /></p> <p>調查顯示，目前有在RMN投廣的廣告主，近半是早在2019便開始，意味著近幾年來採用此行銷通路的品牌較少。有用RMN的廣告主，有65%不打算於未來2年內加碼預算。不只如此，高達87%尚未使用RMN行銷的廣告主表示，2年內「不確定要用」或「確定不要用」RMN行銷。這些廣告主對於RMN疑慮依舊──最大疑慮是跨平臺數據整合，次高的疑慮則是難以歸因轉換率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#隱私法遵 #個資加密 #去識別化</span></strong></span><br /> <strong>FTC警告：加密後個資用於行銷，法規上仍視為具有識別能力的資料</strong></p> <p>隱私權抬頭，號稱去識別化的個人化行銷科技如雨後春筍冒出，許多都是資料混淆或加密技術，把Email、手機等個資轉換成一串亂碼，來投放廣告。<a href="https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2024/07/no-hashing-still-doesnt-make-your-data-anonymous">有鑑於此，美國聯邦貿易委員會（FTC）特地提出警告，只要資料能對應到某一個人，就算不會直接反映出具體個資，執法上仍會視為類似於個資的「具識別能力」資料。</a></p> <p>FTC進一步強調，就算是用雜湊（Hashing）加密法，把個資轉為不可逆向工程的雜湊值，這一串看似無意義的值仍代表一個個體。許多Martech廠商或企業將這些雜湊值視為去識別化資料，還將許多機敏資訊存在這些雜湊值名下，甚至分享給第三者，仍構成隱私侵犯，且有觸法嫌疑，FTC也針對多起這類事件提告過。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. 客服平臺Super 8利用廣告商禾多移動的客群辨識技術與大量零售業者數據，來強化生成式AI客服功能</p> <p>2. <a href="https://www.ftc.gov/news-events/news/press-releases/2024/07/ftc-issues-orders-eight-companies-seeking-information-surveillance-pricing">美國FTC開始偵查並有意打擊利用個資來達成個人化定價的做法</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240723709853/en/Engagys-and-Redpoint-Global-Partner-to-Transform-Health-Plan-Member-Engagement">醫療顧問公司Engagys與CDP廠商Redpoint Global合作，利用消費者數據強化個人化醫療產品行銷</a></p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google、微軟、OpenAI、ANA</p> <p></p> </div></div></div>
2024/8/2 19:20作者郭又華https://www.ithome.com.tw/news/164280
【資安日報】8月2日，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客發動惡意NPM、PyPI套件攻擊，通常會針對知名套件的使用者而來，藉由網域名稱模仿的手法讓開發人員上當。但如今，駭客改變了做法，他們利用網路問答平臺，假裝認真解答問題，藉此散布惡意套件。</p> <p>最近資安業者Checkmarx揭露的資安事故，就是這種例子。駭客在Stack Exchange針對特定問題進行回答，「順便」提供惡意套件的下載連結，使得用戶降低警覺而有可能因此上當。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164267"><strong style="font-size: 22px;">Raydium區塊鏈用戶遭到鎖定，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg" style="width: 300px; float: right;" /></a>惡意套件攻擊結合社交工程手法的情況，最近不斷出現，例如，有人為了引誘特定目標下載惡意PyPI套件，疑似藉由假LinkedIn帳號誤導AI搜尋引擎，類似的混合攻擊手法又有新的案例出現。</p> <p>資安業者Checkmarx揭露從6月底出現的惡意PyPI套件攻擊行動，駭客在6月25日上傳無害的軟體套件到PyPI儲存庫，但到了7月3日顯露意圖，發布多個惡意版本套件。研究人員指出，攻擊者主要目標是區塊鏈平臺Raydium、Solana的用戶，意圖將他們的加密貨幣資產耗盡，超過2千人下載相關套件而可能受害。</p> <p>比較特別的是，駭客為了引誘使用者上當、下載惡意套件，他們透過名為Stack Exchange的網路問答網站來進行宣傳，藉由在熱門討論串提供看似有用的答案來進行。</p> <p><a href="https://www.ithome.com.tw/news/164274"><strong style="font-size: 22px;">中國駭客組織APT10鎖定日本關鍵基礎設施、學術機構，利用後門程式LodeInfo、NoopDoor從事網路間諜攻擊</strong></a></p> <p>上個月日本電腦緊急應變團隊暨協調中心（JPCERT/CC）揭露攻擊行動MirrorFace的最新態勢，當中提及駭客鎖定當地製造業、研究機構發動攻擊，企圖在這些企業組織植入後門程式NoopDoor，如今有資安業者公布與這支惡意程式有關的細節。</p> <p>根據資安業者Cybereason的調查，中國駭客組織APT10使用LodeInfo與NoopDoor兩款惡意程式，鎖定日本企業組織發起名為Cuckoo Spear的攻擊行動，而能在受害組織的網路環境活動長達2至3年。他們提及這項攻擊行動與駭客組織Earth Kasha，以及另一起攻擊行動MirrorFace有所關連，因為這三個行動所用的武器有個共通點，那就是APT10慣用的惡意程式LodeInfo。</p> <p>研究人員提到，駭客在使用NoopDoor的攻擊行動，同時運用後門程式LodeInfo，然後使用新的後門程式竊取受害組織資料。他們看到駭客的攻擊目標是日本的關鍵基礎設施及學術機構，推測駭客的目的是從事網路間諜活動。</p> <p><a href="https://www.ithome.com.tw/news/164260"><strong style="font-size: 22px;">可惡安卓惡意軟體BingoMod，盜完銀行帳戶還順手抹除裝置</strong></a></p> <p>資安公司Cleafy研究發現了新種類的Android惡意軟體，並命名為 BingoMod。BingoMod會試圖接管裝置上銀行帳戶並且轉移金錢，在成功完成盜取任務後，攻擊者便會抹除受感染的裝置，消除BingoMod的活動痕跡，增加資安人員調查的難度。</p> <p>BingoMod屬於遠端存取木馬（RAT），攻擊者可以利用它遠端控制受感染的裝置，並且利用裝置上詐騙（On Device Fraud）技術接管銀行帳戶。BingoMod主要透過簡訊釣魚的方式散布，其通常會偽裝成合法的防毒軟體，一旦BingoMod安裝至受害者裝置上，便會要求用戶啟用無障礙服務，當用戶授予請求權限，BingoMod APK便會開始自我解壓縮，並且執行惡意酬載。</p> <p>此惡意軟體雖然擁有類似於Brata惡意軟體的裝置抹除能力，但因為BingoMod相對簡單，所以研究人員猜測其裝置抹除功能，比較像是一種簡單的退出策略。</p> <p><a href="https://www.ithome.com.tw/news/164276"><strong style="font-size: 22px;">研究人員揭露專門竊取安卓手機簡訊的大規模攻擊行動，範圍橫跨113個國家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture9.jpg" style="width: 300px; float: right;" /></a></p> <p>用手機產生動態密碼（OTP）的多因素驗證機制相當普遍，廣受許多企業的採用，但駭客也試圖入侵手機竊取這類資訊，從而闖入受害者所屬的企業組織網路環境。</p> <p>資安業者Zimperium指出，他們自2022年2月開始，追蹤專門針對安卓裝置的竊取簡訊攻擊行動，這段期間他們找到超過10.7萬個相關惡意應用程式，駭客鎖定、監控至少600種知名廠牌的動態密碼資訊，其中部分廠牌的用戶多達數億，範圍橫跨全球113個國家，主要目標是印度及俄羅斯使用者。</p> <p>值得留意的是，攻擊者能夠迴避許多防毒軟體的偵測，因此，行動裝置可能需要透過多種管道來強化安全。</p> <p><a href="https://www.ithome.com.tw/news/164259"><strong style="font-size: 22px;">解析0719全球電腦大當機原因，資安專家推測CrowdStrike病毒特徵碼設計不良，造成藍色當機畫面</strong></a></p> <p>從早期的防毒軟體到現在的EDR軟體，這些防護端點設備的資安軟體，早成為個人電腦使用者與駭客對峙的第一線戰場。日前資安軟體CrowdStrike因為EDR軟體更新出包，引發全球約850萬臺微軟電腦，出現藍色當機畫面（BSOD）的資安事件。</p> <p>雖然真正的原因，還是必須等CrowdStrike完整調查並公布後，才可能有進一步的了解，不過，根據對微軟作業系統安全有研究的匿名資安專家的推測，CrowdStrike之所以更新出錯，原因在於掛載設計不良的特徵碼包，導致作業系統核心的驅動邏輯出現問題（Parser解析邏輯不良），所以會誤用不存在記憶體的指標null-pointer讀取內容，造成BSOD藍色當機畫面。</p> <p>這次事故發生之後，也引發其他的討論，例如，作業系統是否應該允許資安產品拿到高權限？有臺灣資安業者對此持肯定態度，他們認為，若要偵測到惡意程式的運作，這類端點防護產品就必須對作業系統擁有更高的權限，才可以更早攔截到惡意程式的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securityaffairs.com/166432/hacking/vmware-esxi-cve-2024-37085-vulnerable-instances.html"><strong style="font-size: 20px;">逾2萬臺VMware ESXi伺服器曝露在已被利用的CVE-2024-37085危險當中</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/eriakos-scam-campaign-detected">研究人員揭露臉書詐騙攻擊行動Eriakos，利用數百個網站竊取用戶財務資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/threat-actor-abuses-cloudflare-tunnels-deliver-rats">Cloudflare試用服務遭濫用，駭客藉此散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/@knownsec404team/the-patchwork-group-has-updated-its-arsenal-launching-attacks-for-the-first-time-using-brute-ratel-175741987d87">駭客組織Patchwork濫用滲透測試工具Brute Ratel C4攻擊不丹</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://about.fb.com/news/2024/07/combating-financial-sextortion-scams-from-nigeria/">奈及利亞駭客濫用逾6萬個Instagram帳號，鎖定美國進行性勒索</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164169"><strong style="font-size: 22px;">美國釋出用來評估AI安全的Dioptra平臺</strong></a></p> <p>美國國家標準暨技術研究院（NIST）釋出Dioptra 1.0，這是用來評估AI安全及可靠性的軟體測試平臺，支援AI風險管理框架（AI RMF）的測量功能，可評估、分析及追蹤AI風險。</p> <p>Dioptra最早現身於2022年，當時NIST形容是可用來評估適合用來保護機器學習系統之安全技術與解決方案的方法，並讓研究人員比較用來對抗不同攻擊、資料集或各種狀況的方法。</p> <p>而今釋出的Dioptra 1.0版預計提供幾項功能，一為模型測試，如第一方於開發生命周期中評估AI模型，或是第二方在收購前或於實驗室環境中以Dioptra來評估AI模型，以及身為第三方的審計員或合規官員用來評估模型的法規與道德標準。</p> <p><a href="https://www.ithome.com.tw/news/164165"><strong style="font-size: 22px;">Google著手處理Chrome密碼管理工具的臭蟲</strong></a></p> <p>日前有多名Chrome用戶在Reddit上反映，儲存在Chrome瀏覽器的密碼全部消失，而且將密碼備份匯入後也會立即不見。用戶發現在升級到127.0.6533.73版本後，才出現儲存密碼全部消失、無法按原本設定自動填入的情況。</p> <p>Google接獲通報後進行調查，並在將近18小時後緊急修補完成，並發布狀態頁解釋。根據Google初步分析，原因是Google產品開發部門對Chrome的產品行為做了變更，但未做好功能保護，導致密碼管理器無法儲存或找到密碼。實際上，密碼並未消失或被重設；用戶仍然能儲存密碼，但卻無法檢視。</p> <p>本問題影響Chrome M127版本，約有25%用戶已經部署了這次變更，其中近2%出現密碼神祕消失的情形。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164205"><strong>【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</strong></a></p> </div></div></div>
2024/8/2 16:53作者周峻佑https://www.ithome.com.tw/news/164277
中國駭客組織APT10鎖定日本關鍵基礎設施、學術機構，利用後門程式LodeInfo、NoopDoor從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月日本電腦緊急應變團隊暨協調中心（JPCERT/CC）揭露<a href="https://www.ithome.com.tw/news/164009">攻擊行動MirrorFace的最新態勢</a>，當中提及駭客鎖定當地製造業、研究機構發動攻擊，企圖在這些企業組織植入後門程式NoopDoor，如今有資安業者公布與這支惡意程式有關的細節。</p> <p>根據資安業者Cybereason的調查，<a href="https://www.cybereason.com/blog/cuckoo-spear">中國駭客組織APT10使用LodeInfo與NoopDoor兩款惡意程式</a>，鎖定日本企業組織發起名為Cuckoo Spear的攻擊行動，而能在受害組織的網路環境活動長達2至3年。他們提及這項攻擊行動與駭客組織Earth Kasha，以及另一起攻擊行動MirrorFace有所關連，因為這三個行動所用的武器有個共通點，那就是APT10慣用的惡意程式LodeInfo。</p> <p>研究人員提到，駭客在使用NoopDoor的攻擊行動，同時運用後門程式LodeInfo，然後使用新的後門程式竊取受害組織資料。他們看到駭客的攻擊目標是日本的關鍵基礎設施及學術機構，推測駭客的目的是從事網路間諜活動。</p> <p>僅管這群攻擊者會運用不同手段接觸目標，但最主要的方式還是使用網路釣魚，然而，這些駭客現在<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">也</span>開始調整策略，利用漏洞來入侵受害組織，而這樣的發現與JPCERT/CC公布資訊互相呼應。</p> <p>接著，駭客會試圖在受害電腦上植入NoopDoor，這個後門程式採模組化設計，並透過網域名稱生成演算法（DGA）進行C2通訊。攻擊者利用名為NoopLdr的惡意程式載入工具將NoopDoor解密、執行。</p> <p>為了維持NoopDoor持續在受害電腦運作，駭客根據不同情境，使用了3種方法來達到目的。</p> <p>其中一種是透過工作排程執行公用程式MSBuild，載入惡意的XML檔案，從而在執行時編譯、啟動惡意程式載入工具。</p> <p>另一種則是濫用WMI事件，攻擊者利用ActiveScript執行JavaScript引擎，觸發MSBuild執行NoopDoor的載入工具。</p> <p>最後一種藉由設置惡意服務，載入未經簽章的DLL檔案來達到目的。</p> <p>研究人員指出，駭客同時使用LodeInfo、NoopDoor兩支後門程式攻擊時，很有可能以LodeInfo為主，NoopDoor為輔，而這樣的做法讓駭客能長時間存取受害組織網路環境。</p> </div></div></div>
2024/8/2 15:29作者周峻佑https://www.ithome.com.tw/news/164274
研究人員揭露專門竊取安卓手機簡訊的大規模攻擊行動，範圍橫跨113個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用手機產生動態密碼（OTP）的多因素驗證機制相當普遍，廣受許多企業的採用，但駭客也試圖入侵手機竊取這類資訊，從而闖入受害者所屬的企業組織網路環境。</p> <p>資安業者Zimperium指出，他們自2022年2月開始，<a href="https://www.zimperium.com/blog/unmasking-the-sms-stealer-targeting-several-countries-with-deceptive-apps/">追蹤專門針對安卓裝置的竊取簡訊攻擊行動</a>，這段期間他們找到超過10.7萬個相關惡意應用程式，駭客鎖定、監控至少600種知名廠牌的動態密碼資訊，其中部分廠牌的用戶多達數億，範圍橫跨全球113個國家，主要目標是印度及俄羅斯使用者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MlFbLepNuUnuwdYeRI0A2Q.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MlFbLepNuUnuwdYeRI0A2Q.png" style="width: 580px;" /></a></p> <p>在這波行動裡，大部分（95%）的惡意應用程式並未具備駭客宣稱的功能，攻擊者基礎設施的規模也相當龐大，不僅有13個C2伺服器用來接收惡意軟體偷到的簡訊內容，約有2,600個Telegram機器人與之相關，攻擊者可能藉此散布部分惡意應用程式。</p> <p>值得留意的是，攻擊者能夠迴避許多防毒軟體的偵測，因此，行動裝置可能需要透過多種管道來強化安全。</p> <p>究竟駭客如何發起攻擊行動？他們先冒充Google Play應用程式市集發送廣告，或是藉由自動化的Telegram機器人，向目標使用者取得聯繫，提供APK檔案，一旦使用者依照指示安裝，手機就會側載惡意軟體，向使用者請求讀取簡訊的權限。</p> <p>若是使用者同意這項授權要求，此惡意程式就會與C2伺服器連線，接收並執行命令，以及收集受害手機裡的資料。特別的是，這些惡意軟體最初是透過Firebase資料庫取得C2伺服器IP位址，但後來駭客調整手法，改用GitHub儲存庫，或是直接在惡意軟體內嵌C2伺服器IP位址。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture9.jpg" style="width: 580px;" /></a></p> <p>接著，該惡意程式會建立專屬通道，回傳竊得的簡訊內容，並解析當中是否含有動態密碼相關資訊。最終該惡意軟體會維持隱藏狀態，不斷監控受害手機的簡訊內容，以便隨時攔截用於驗證的動態密碼。</p> </div></div></div>
2024/8/2 16:19作者周峻佑https://www.ithome.com.tw/news/164276
英特爾宣布將裁撤15%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球桌上型電腦處理器龍頭英特爾（Intel）周四（8/1）<a href="http://www.intc.com/news-events/press-releases/detail/1704/intel-reports-second-quarter-2024-financial-results" target="_blank">公布今年第二季財報</a>，該季英特爾創下128億美元的營收，比去年同期下滑1%，淨虧損16億美元，為此，英特爾宣布將全面撙節支出，打算至少裁撤15%的員工。</p> <p>該季有74億美元來自用戶端運算部門的貢獻，成長9%；30億美元來自資料中心與AI部門，下滑3%；網路及邊緣營收為13億美元，下滑1%；負責晶片代工的Intel Foundry則創下43億美元的營收，成長4%；可程式化邏輯元件Altera的營收為3.61億美元，下滑57%；自駕車業務Mobileye營收為4.4億美元，下滑3%，此外，上述營收還必須扣除43億美元的部門間交易。</p> <p>英特爾執行長Pat Gelsinger坦承，該季的財務表現令人失望。而財務長David Zinsner則說，由於英特爾在該季加速開發AI產品，非核心業務的支出高過正常水準，再加上未實現的產能，而使得毛利受到影響。</p> <p>這使得英特爾決定展開組織重整，目標是在2025年減少100億美元以上的營運成本與資本支出，計畫裁員至少15%，且大部分的裁撤行動會在今年內完成。</p> <p>目前英特爾的全球員工數為121,800人，裁撤15%意謂著將有超過1.8萬人受到此波裁員行動的影響。財報披露後，已積弱不振許久的英特爾股價在當天盤後重挫18.9%，跌至23.56美元。</p> </div></div></div>
2024/8/2 14:55作者陳曉莉https://www.ithome.com.tw/news/164272
GitHub提供便捷語言模型測試平臺，簡化生成式AI應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/news-insights/product-news/introducing-github-models/">GitHub推出Models新平臺</a>，可供開發者試用多種大型語言模型，並在遊樂場（Playground）模型測試環境中測試不同的提示詞和參數。開發者可以使用瀏覽器IDE Codespaces實驗和開發，並利用範例程式碼整合模型，當測試完成，還可以簡單地將新功能應用到專案中，部署至生產環境。</p> <p>開發者現在可以利用GitHub內建的模型遊樂場，免費試用Llama 3.1、GPT-4o、GPT-4o mini、Phi 3以及Mistral Large 2模型，只要透過滑鼠點擊，就可迅速測試當前多種熱門的私有和開放模型，進行人工智慧應用程式實驗、比較甚至是部署。</p> <p>官方指出，因為每個軟體應用都是特殊的，模型在功能、效能和成本上也不一樣。透過GitHub提供的模型套件，開發者可以更快地進行試驗和學習。GitHub不只是提供遊樂場讓開發者測試模型，同時也建立了一個工作流程，讓開發者可以更快地將人工智慧應用，從概念性驗證階段過渡到生產階段。</p> <p>借助Codespaces，開發者可以將模型推理程式碼，應用到自己的專案上進行試驗，官方也準備了各種語言的框架樣板程式碼，方便開發者在各種場景進行測試。一旦開發者在遊樂場和Codespaces中試驗完畢，就能將測試的結果合併到應用程式中，並運用GitHub Actions進行提示詞評估等各種自動化操作，最後使用Azure AI將應用部署到生產環境中，而這只需用Azure訂閱和憑證替換GitHub個人存取令牌即可。</p> <p>GitHub Models目前仍在測試階段，當服務正式推出時，官方將會在平臺添加更多語言和模型支援。官方也承諾，GitHub Models中的任何提示詞以及輸出，都不會與模型提供者共享，也不會用於訓練和改進模型。</p> </div></div></div>
2024/8/2 15:00作者李建興https://www.ithome.com.tw/news/164271
Amazon財報出爐，AWS成長19%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周四（8/1）公布<a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-Second-Quarter-Results/default.aspx" target="_blank">今年第二季財報</a>，該季Amazon締造了1,480億美元的營收，成長10%，其中，AWS的營收占了262.8億美元，成長19%。</p> <p>Amazon北美零售業務在第二季帶進900.3億美元的營收，成長9%，營業利潤為50.7億美元，成長57%；國際零售業務營收為316.6億美元，成長6.6%，營業利潤為2.7億美元，去年同期則是虧損近9億美元；AWS營收為262.8億美元，成長19%，營業利潤為93.3億美元，成長74%。</p> <p>整體而言，該季Amazon的營業利潤達到146.7億美元，相較於去年大幅增加了91%。</p> <p>Amazon執行長Andy Jassy於財報會議中表示，該季營業利潤的大幅提升源自於Amazon已完成了大多數的成本最佳化作業，此外，各個企業也再度將精力投入於現代化其基礎設施，自本地端架構轉移至雲端。此外，即使Amazon的AI業務還處於早期階段，但其年化收入率已達數十億美元。</p> <p>對於正急速發展的AI領域，即使與Nvidia已建立密切的合作關係，但Amazon仍然試圖打造自家的AI晶片，包括專門用來訓練模型的Trainium，以及專門執行推論的Inferentia，以提供更好的性價比；另也推出機器學習平臺Amazon SageMaker，打造企業用聊天機器人Amazon Q。</p> <p>Jassy說，該公司內部已利用Amazon Q的程式碼轉換功能，在短短的幾個月內遷移了超過3萬個Java JDK應用程式，節省了2.6億美元的成本，以及4,500名開發者一年的工作時間，這是個顛覆性的改變。</p> </div></div></div>
2024/8/2 15:16作者陳曉莉https://www.ithome.com.tw/news/164273
【I/O規格更新潮來臨，6大I/O介面同步世代交替】AI驅動資料中心I/O加速進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1193-feng_mian_p2p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI應用的興起，帶動了企業IT基礎設施規格的全面升級，也讓我們在時隔5、6年之後的現在，再次回歸到資料中心I/O規格更新這個議題。</p> <p>過去，我們曾在2018年製作報導的封面故事<a href="https://www.ithome.com.tw/article/126643" target="_blank"><span style="color:#3366ff;">「I/O介面更新潮正式啟動」</span></a>，以及2019年的封面故事<a href="https://www.ithome.com.tw/article/131562" target="_blank"><span style="color:#3366ff;">「資料中心超高速網路時代來臨」</span></a>，介紹上一輪的I/O技術更新風潮，當時在大型資料中心建設，與巨量資料分析等應用的引領之下，帶動一波I/O介面規格的更新潮，促使32Gb FC、25Gb乙太網路、NVMe，以及100Gb等級乙太網路與InfiniBand等I/O技術，邁向普及應用。</p> <p>過去兩年以來，在機器學習與生成式AI技術應用的帶動之下，又掀起新一輪I/O技術更新風潮。AI應用不僅需要更高的運算能力，也需要容量更大、存取速度更快的儲存設備，同時還需要傳輸吞吐能力更大的I/O介面，來滿足運算與儲存單元之間龐大的資料傳輸要求。</p> <p>為了因應AI應用近乎無止盡成長、膨脹的資料傳輸流量需求，不僅促使PCIe 5.0、400Gb等級乙太網路與InfiniBand等新一代I/O規格，迅速進入實用化，另一方面，推出已久、但應用遲遲沒有打開局面的64Gb FC與SAS-4等介面，也連帶出現轉機，開始獲得較普遍的採用。</p> <p>而這一系列的發展突破，也讓資料中心的I/O架構，在短短不到兩年之內，有了煥然一新的面貌。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>伺服器內部I/O與外部I/O規格同步進化</strong></span></span></p> <p>關於資料中心應用的I/O技術，我們可以簡單區分為「伺服器內部I/O」與「伺服器外部I/O」等2大類。</p> <p>伺服器內部I/O指的是伺服器內部元件，如CPU、GPU、記憶體與周邊裝置如磁碟機、網路卡等，互連使用的I/O介面，如PCIe、SATA、SAS等。</p> <p>伺服器外部I/O指的是伺服器與外部裝置，如伺服器與其他伺服器、網路設備、儲存設備之間，跨機箱與機櫃相互連結所使用的I/O介面，像是：乙太網路、InfiniBand，還有FC等。</p> <p>另外，還有一些I/O介面，同時兼具內部I/O與外部I/O的功能，最典型的例子便是SAS介面。</p> <p>5、6年前的上一輪I/O介面更新潮，主要聚焦在伺服器外部I/O的更新，當時引進的新規格中，除了嫁接在PCIe上的NVMe介面以外，其餘新規格都是屬於外部I/O介面。</p> <p>而這一輪I/O介面更新潮，同時涵蓋伺服器內部I/O與外部I/O介面，以兩大基礎I/O介面為首——作為內部I/O基礎介面的PCIe，以及最廣獲使用外部I/O介面乙太網路，另外再加上InfiniBand、FC、SAS等介面，都在過去1、2年內，出現開始導入新一代規格的風潮。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>內部I/O介面的世代交替</strong></span></span></p> <p>近兩年來，伺服器內部I/O介面最重要的進展，便是作為通用基礎互連介面的PCIe，以及作為Nvidia GPU專屬互連介面的NVLink與NVSwitch，這2個方面的規格更新。</p> <p>作為伺服器主機基礎I/O介面的PCIe，也可以稱作是「I/O介面的I/O介面」，幾乎所有周邊裝置或其他I/O介面，都是直接或間接透過PCIe的介接與運算核心連結。另外還有一些I/O介面，是直接嫁接在PCIe的實體層上，算是PCIe的衍生介面，例如用於SSD儲存裝置的NVMe，還有CXL記憶體互連技術等。</p> <p>PCIe自擺脫3.0時期長達10年的停滯後，這幾年明顯加速發展，當前的主流是PCIe 4.0，今年起，PCIe 5.0也進入伺服器平臺普遍支援階段，周邊裝置的支援也顯著的增加，特別是基於PCIe 5.0的NVMe SSD產品。下一代的PCIe 6.0於去年出現第一批元件層級產品，最新一代的PCIe 7.0，今年初完成初步規格制定，預定明年便能推出正式版規格。</p> <p>不過，比起PCIe的更新，更受人矚目的是GPU專屬互連介面的發展，在AI相關應用的帶動下，GPU已經取代CPU，成為當前資料中心運算能力的主要來源，連帶也讓Nvidia的專屬GPU互連介面NVLink，成為重要性不下於PCIe的另一伺服器內部I/O介面規格。</p> <p>在Nvidia之外，AMD與Intel也各有專屬的GPU互連介面規格，也就是Infinity Fabric與Xe Link，但無論規格、應用普及程度還是影響力，都遠不能與Nvidia的NVLink相比。</p> <p>至於多家廠商聯合發展的UALink規格，目前也還未問世，距離「成氣候」的階段還很遙遠。因而Nvidia的NVLink，當前幾乎也就等同於GPU互連傳輸技術的代名詞。</p> <p>Nvidia發展NVLink的目的，是滿足多GPU協同作業環境下的巨量傳輸頻寬需求，NVLink用於GPU與GPU之間的直連，再結合NVSwitch連接多組NVLink，組成更大的GPU連結架構。</p> <p>透過NVLink與NVSwitch，Nvidia不僅可為自身GPU提供數倍於PCIe的高頻寬，而且，還憑藉封閉規格的完全自主優勢，架構更迭的速度非常快。</p> <p>自Nvidia於2014年發表第1代NVLink以來，短短10年內就推出5個世代，稍晚於2017年問世的NVSwich，迄今也發展了4個世代。最新的第5代NVLink與第4代NVSwitch，都是今年伴隨著新一代GPU運算架構Blackwell一同推出。</p> <p>值得一提的是，Nvidia在2022年推出第4代NVLink與第3代NVSwitch，也以NVSwtch技術為基礎，推出獨立NVLink Switch網路交換器，藉此將原本用於伺服器內部的NVLink與NVSwitch技術，擴展到跨機箱與機櫃的外部互連環境，從而能組成更大規模的GPU運算環境。</p> <p>由於NVSwtch與NVLink Switch兩者系出同源，Nvidia目前已統一稱為NVLink Switch。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>外部I/O介面的進化</strong></span></span></p> <p>包括通用的乙太網路在內，以及主要用於高效能運算領域的InfiniBand，還有FC與SAS兩種儲存專用介面，都在這兩年有了規格發展，或是產品應用方面的重要進展。</p> <p>在乙太網路方面，在AI應用的推動下，短短幾年時間內，200/400GbE規格便從迅速從上行/骨幹/核心網路（Uplink/Spine/Core）應用，開始擴展到TOR/伺服器端，下一代的800GbE應用環境也開始成形。</p> <p>IEEE 802.3小組早從2017年起，就陸續制定一系列200/400GbE規格，相關產品也在2018年開始推出市場，但直到5、6年前，TOR與伺服器端的主要乙太網路規格，仍以10GbE為主流，部分開始導入25GbE規格，上行/骨幹/核心網路多半是40/100GbE，只有少數大型用戶開始導入200/400GbE。</p> <p>但為了滿足AI應用無止盡般的資料傳輸需求，近兩年來，200/400GbE迅速進入AI伺服器端應用，200/400GbE網路卡已經是當前GPU伺服器常見的配備。不過在AI應用環境之外，多數資料中心的乙太網路架構，仍以100/40/25/10GbE為主。</p> <p>在800GbE方面，乙太網路技術聯盟（Ethernet Technology Consortium）在2020年完成800GbE規格制定，相關產品則在這兩年間陸續問世，第一批800GbE交換器，是在2022年上半年現身於市場，最早的800Gb網路卡也在今年發表（即Nvidia的ConnectX-8，但尚未正式上市），完整的應用環境應該會在1、2年內逐漸成形。</p> <p>除了傳輸頻寬的增長，超級乙太網路聯盟（Ultra Ethernet Consortium，UEC）也正在制定改進的乙太網路傳輸協定，以求改善乙太網路在高效能應用領域的效能表現，進而挑戰InfiniBand的地位。</p> <p>而當前統治高效能運算領域網路應用的InfiniBand，目前普遍使用的規格是100Gb EDR與200Gb HDR，但面對乙太網路競爭，新規格的發展也跟著加速。</p> <p>由於資料鏈結層、流量控制與組網方式的差異，在同等頻寬的條件下，InfiniBand的效能要優於乙太網路，可靠性也較佳，而乙太網路的主要優點則是較低的成本。但近幾年來，乙太網路憑藉更迅速的頻寬規格增長，已相當程度抵銷InfiniBand的優勢，迫使InfiniBand不得不跟著提高頻寬作為對應。</p> <p>原本InfiniBand大致是以4年的頻率更新規格，56Gb的FDR是2011年問世，在2014、2018、2022年，依序推出100Gb的EDR，200Gb的HDR，以及400Gb的NDR，但這樣的傳輸速度增長，已落後乙太網路2年以上。</p> <p>於是，負責規格制定的InfiniBand貿易協會（InfiniBand Trade Association），在2024年推出800Gb的XDR規格，緊接著Nvidia也發表800Gb XDR交換器，算是跟上乙太網路的傳輸頻寬規格。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>儲存I/O介面新進展</strong></span></span></p> <p>最後來看看FC與SAS這2種老牌儲存專用介面，近幾年都同樣遭遇發展與應用停滯困境，而現在則出現復甦跡象。</p> <p>目前最新的FC介面，是2018年制定完成的第7代64Gb FC，支援的HBA卡與SAN交換器產品在2019到2020年間陸續上市。但是受到儲存網路「乙太網路化」發展的衝擊，64Gb FC的應用進展十分緩慢，僅有交換器與板卡端產品支援，儲存產品端採用的廠商不多，以致FC SAN領域的主流規格，仍是問世多年的16Gb與32Gb FC，進而也影響到下一代FC規格的制定。</p> <p>依照早期的規畫，第8代128Gb FC應該會在2021年間完成規格制訂，但實際上推出時間一延再延，直到2024年中的現在，仍未實際問世。</p> <p>儘管FC介面在下一代規格方面尚未有具體成果，但在應用方面，近來則有一些好消息傳出——64Gb FC開始獲得NetApp、IBM、Hitachi Vantara、Pure Storage多家一線大廠的儲存設備支援，可望逐漸改變FC主流應用規格長期停滯在32Gb FC的情況。</p> <p>單就SAS介面而言，過去10年以來，在NVMe與NVMe-oF規格的擠壓之下，逐漸失去標準磁碟裝置介面與後端儲存介面的地位，連帶也導致新一代SAS規格的發展與應用，都陷入停滯，直到近一年多來，才在規格發展與應用兩方面，同時出現重要進展。</p> <p>在規格發展方面，目前SAS介面最新規格是2017年制訂的SAS-4，也就是24G SAS。依照原本的路線圖，下一步的發展應該是頻寬加倍的SAS-5，即48G SAS。但負責制定規格的SCSI貿易協會（SCSI Trade Association，STA），在2023年底，提出異於原本路線圖的規畫，放棄48G SAS這條提高頻寬的路線，改為沿用既有的24G SAS實體層，搭配強化上層協定可靠性、安全性與效率的24G+ SAS。</p> <p>而在產品應用方面，在NVMe介面的擠壓下，讓SAS-4的產品應用受到很大的局限，市場主流應用的SAS規格，仍停留在上一代SAS-3，SAS-4陷入乏人問津的窘境，只有少數板卡與SSD產品支援SAS-4。</p> <p>不過，到了今年，情況終於稍有改觀，因為開始出現第一批支援SAS-4介面的伺服器與外接儲存設備，有望打破停滯的局面。</p> <p>接下來我們將分別針對內部I/O與外部I/O，進一步介紹相關技術近期的更迭情況。</p> <hr /> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#696969;"> 資料中心6大主要I/O介面的近期發展歷程 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>我們將近10年來，資料中心6種主要I/O介面的發展演進情況，簡略整理於下圖。</strong></span></p> <p><span style="color:#696969;"><strong>自2022年至今，短短不到兩年，這6大I/O介面的發展與演進都出現明顯加速，正好對應生成式AI技術的興起。</strong></span></p> <p><span style="color:#696969;"><strong>在PCIe方面，PCIe 5.0開始全面為伺服器主機平臺支援，周邊也顯著增加；Nvidia則在這段期間內推出2個世代的NVLink與NVSwitch；乙太網路方面，則是200/400GbE規格開始普遍為GPU平臺支援與採用，800GbE規格產品也正式問世；至於InfiniBand，則是接連推出400Gb NDR與800Gb XDR等2個新世代。</strong></span></p> <p><span style="color:#696969;"><strong>最後在FC與SAS方面，雖然在新規格方面尚無具體進展，但數年來乏人問津的64Gb FC與SAS-4等2種規格，在近期開始獲得較普遍的應用。</strong></span></p> <p><span style="color:#696969;"><strong>另外，要特別注意的是，NVLink/NVSwitch與InfiniBand這兩種I/O介面，產品應用演進與規格更迭的方式，與其他4種I/O介面有根本的差異。</strong></span></p> <p><span style="color:#696969;"><strong>PCIe、乙太網路、FC、SAS都是大量供應商參與的開放生態環境，所以在規格與產品更迭方面，可從供應商支援程度，區分出不同的成熟度階段，從最初的規格發布，到少數廠商先行支援，最後成為業界普遍支援與供應產品（圖中藍色階段）。</strong></span></p> <p><span style="color:#696969;"><strong>NVLink/NVSwitch則是Nvidia的私有專屬規格，相關產品供應也屬於封閉的生態環境；InfiniBand雖然形式上屬於開放性規格，但實質上是由Nvidia/Mellanox壟斷相關產品的發展與供應，基本上也是屬於封閉性或半封閉性生態環境。由於這兩種I/O介面都是單一廠商主導規格發展與產品供應，所以，也不存在其他介面更迭演進時，廠商端不同的成熟度階段區分。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%EF%BC%88%E8%A3%9C%E6%B5%AE%E6%B0%B4%E5%8D%B0%EF%BC%891193-%E5%B0%81%E9%9D%A2P2%2BP3-600-1-%E5%A4%A7%E5%9C%96.png" target="_blank"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P2%2BP3-600-1-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></strong></span></a></p> <hr /> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#696969;"> 關乎資料中心傳輸效率的神經線路：6大I/O介面 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>作為伺服器內部I/O基礎介面的PCIe，構成Nvidia多GPU協同運作互連架構的NVLink/NVSwitch，最廣獲使用的通用網路技術乙太網路，主宰高效能運算網路互連應用的InfiniBand，還有儲存網路環境普遍使用的FC介面，以及兼具磁碟介面與外接儲存擴充介面的SAS，構成了當前資料中心最重要的6種I/O技術。</strong></span></p> <p><span style="color:#696969;"><strong>其中PCIe又延伸發展出用於連接SSD的NVMe介面，而NVMe協定與乙太網路、InfiniBand與FC等網路介面的結合，則衍生出一系列用於外接的NVMe-over-Fabric介面，另外NVSwitch也衍生出用於跨機箱/機櫃外接應用的NVLink Switch，都兼具內接與外接I/O能力。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%EF%BC%88%E8%A3%9C%E6%B5%AE%E6%B0%B4%E5%8D%B0%EF%BC%891193-%E5%B0%81%E9%9D%A2P2%2BP3-600-2-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P2%2BP3-600-2-%E5%B0%8F%E5%9C%96(1).png" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多關於</span></span></span></strong></a><strong><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cie">CIe</a></div><div class="field-item odd"><a href="/tags/nvlink">NVLink</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item even"><a href="/tags/pcie">PCIe</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2024/8/2 13:57作者張明德https://www.ithome.com.tw/tech/164262
【內部I/O：新世代PCIe與NVLink實用化，倍增傳輸頻寬】伺服器核心I/O架構大進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1193-feng_mian_p4p5-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從作為伺服器的I/O介面骨幹的PCIe，於4、5年前全面邁入PCIe 4.0世代後，緩解長期以來伺服器I/O架構的不均衡問題。儘管目前PCIe 4.0已能滿足絕大多數周邊裝置的傳輸需求，但AI應用興起，以及GPU配置的普及，又帶來更大的資料傳輸流量要求，進而也促使PCIe 5.0進入普及階段，以及新一代PCIe 6.0規格的發展，同時也在PCIe之外，催生出GPU專用的超高速傳輸介面規格，這也讓伺服器內部I/O架構，有了大不同於以往的面貌。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>PCIe 5.0為下一世代需求做好準備</strong></span></span></p> <p>在當前的伺服器I/O架構中，PCIe可說是最基礎的I/O介面，幾乎所有周邊裝置或其他I/O介面，都是直接或間接透過PCIe的介接，來與運算核心連結。</p> <p>過去兩年來，PCIe介面的發展，正處於PCIe 4.0與5.0的轉換過渡期。不過，從PCIe 4.0向5.0的過渡，其中的意涵並不同於幾年前從PCIe 3.0到4.0的交替。</p> <p>當初是因為PCI-SIG組織的PCIe 4.0規格制定延宕，以及Intel平臺對PCIe 4.0的支援過晚，才導致主流規格在PCIe 3.0停滯過久，成為伺服器I/O架構的瓶頸。</p> <p>而就今日的應用情境來說，由於GPU的直連傳輸已轉向採用專用介面，不再依靠PCIe，對於其餘的伺服器I/O傳輸應用，PCIe 4.0仍能滿足絕大多數的需求，只有一些要求極端傳輸效能的應用或周邊，才實際需要PCIe 5.0的頻寬，包括400Gb等級以上的網路卡，要求10GB/s等級以上傳輸速度的高階SSD，以及發展中的CXL共享記憶體技術等。</p> <p>所以先前從PCIe 3.0到4.0的升級，是「滯後」的升級，目的是要「追趕」實際需求；而現在從PCIe 4.0到5.0的升級，可算是「提前」的升級，「預先」為日後的需求做好準備，以免重蹈過晚替換PCIe 3.0的覆轍。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>PCIe 5.0時代正式來臨</strong></span></span></p> <p>PCI-SIG在2019年5月正式發布PCIe 5.0規格後，第一批支援PCIe 5.0的主機與周邊產品，便在2021年下半年到2022年初陸續問世，但直到2023年，市場主流規格仍是PCIe 4.0，只有部分高階主機與SSD產品才支援PCIe 5.0。到了今年，這個情況才有所改變。</p> <p>觀察PCIe 5.0普及程度的最佳指標，便是每年的Computex展。在去年的Computex，出現了第一批支援PCIe 5.0的主機板與伺服器產品，但多數產品仍只支援PCIe 4.0。到了今年Computex，所有展出主機板與伺服器產品幾乎都支援PCIe 5.0，也出現不少PCIe 5.0 SSD產品，意味整個應用生態系已基本成形。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>邁向PCIe 6.0與7.0</strong></span></span></p> <p>彷彿是要追趕因PCIe 4.0延宕而損失的時光，負責PCIe規格制定的PCI-SIG組織，明顯加快了新一代PCIe規格制定。發布PCIe 5.0正式規格時隔僅僅2年半之後，便宣布PCIe 6.0制定完成，同年也宣布將發展PCIe 7.0，預定2025年完成。</p> <p>相較於過去的PCIe規格，PCIe 6.0與7.0引進了重大的技術變革，以4級脈衝調變（PAM4）技術，取代自PCIe 3.0沿用到5.0的不歸零（NRZ）調變技術，可在相同頻率內承載兩倍資料，幫助PCIe 6.0與7.0實現翻倍的頻寬增長。</p> <p>但PAM4編碼錯誤率也比NRZ高出許多，故需另外結合前向糾錯技術（FEC）來確保資料完整性，然而這又會帶來延遲增加、減少頻寬利用率的代價。儘管如此，PAM調變藉由較高的資料承載能力，已成為當前超高速網路傳輸技術普遍使用的信號調變技術，後面介紹的NVLink，以及400Gb等級以上乙太網路等，也都採用這項技術。</p> <p>雖然PCI-SIG加快制定新一代規格的步伐，但在產品應用方面，並不能跟上這樣快的更新頻率。PCI-SIG曾樂觀地預測，最快在2024年初便能見到PCIe 6.0被應用在實際產品上，隨後PCIe 7.0也將在2027年內進入實際應用。但現實中，直到已經進入2024年下半的今日，尚未有採用PCIe 6.0的產品進入市場。</p> <p>從目前來看，PCIe 6.0的產品應用速度，將會落後於前2代的PCIe 4.0與5.0。以PCIe 4.0來說，2017年6月正式版規格發布後，該年年底到2018年初，第一批支援產品就隨之問世；PCIe 5.0自規格發布到首批產品問世，也只相隔2年左右；至於PCIe 6.0，恐怕會拖到3年以上。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPU專屬傳輸架構的興起</strong></span></span></p> <p>相較於10年前，當前伺服器內部I/O架構最大的變化，便是出現了GPU專用的直連傳輸通道。以Nvidia為首，隨後AMD與Intel陸續跟進，先後推出搭配自身GPU的互連傳輸技術。</p> <p>事實上，直到7、8年前，GPU之間也是透過PCIe來相互連接，例如Nvidia最早的多GPU直連技術——GPUDirect P2P，便是讓多個GPU透過PCIe，直接存取彼此內建的記憶體。問題在於，對於GPU直連應用，2010年代初期當時主流的PCIe 3.0，頻寬早已不敷所需，即便是當時發展中的PCIe 4.0，頻寬也略嫌不足，促使Nvidia打造自身專屬的GPU直連傳輸技術，成果便是NVLink。</p> <p>NVLink是Nvidia專屬的GPU點對點直連匯流排技術，可以擺脫PCIe帶來的瓶頸，第1代的NVLink就能提供最大160GB/s的總頻寬，是PCIe 3.0x16（32 GB/s）的5倍以上，相當程度解決GPU相互直連的傳輸頻寬需求，可藉此將多個GPU連結組成一個GPU運算陣列。</p> <p>由於NVLink的點對點直連傳輸架構，能為個別GPU提供的傳輸鏈路有限，於是Nvidia接著在2017年推出NVSwitch交換器晶片，可以連結2組NVLink，從而構成規模更大的GPU運算陣列。</p> <p>稍後在2022年，NVLink又對NVLink做了重大擴展，首先是採用新式調變技術、進一步提高頻寬，其次是同步發表2項延伸技術：</p> <p>一是NVLink C2C，C2C即Chip to Chip之意，可為CPU與CPU，或CPU與GPU，提供高速的雙向直連傳輸。二是NVLink Switch，這是以NVSwitch為基礎，所衍生的獨立交換器產品，可將NVLink的連接擴展到機箱之外，提供跨機箱之間的GPU相互直連。</p> <p>先前的NVLink與NVSwitch，都是提供Scale-Up縱向形式的GPU直連擴展，用於連結單一GPU伺服器節點內的多個GPU。而NVLink Switch提供了Scale-Out橫向形式的GPU直連擴展，可以連結多臺GPU伺服器節點，從而極大幅度地擴張NVLink網域內直連GPU數量。</p> <p>另一方面，過去利用乙太網路或InfiniBand介接的跨GPU伺服器節點互連，雖然也能串連多臺GPU伺服器，建構出大型GPU運算網路，但節點之間並非GPU直連架構，傳輸效能會受中介網路的制約。而NVLink Switch是以NVLink直連形式實現跨節點互連，能維持NVLink的低延遲與高傳輸效能。由於NVSwtch與NVLink Switch系出同源，Nvidia目前已統一稱為NVLink Switch。</p> <p>到2024年為止，NVLink已經發展了5個世代，總頻寬從160 GB/s逐步提高到1800 GB/s，每顆GPU的最大鏈結數量從4個提高到18個。NVLink Switch也已發展到第4代，GPU直連傳輸頻寬從300 GB/s提高到1800 GB/s，允許直連的GPU數量更從16個大幅提高到576個。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AMD與Intel的GPU互連架構</strong></span></span></p> <p>在陸續推出NVLink、NVLink Switch與NVLink C2C之後、Nvidia也完成自身的伺服器I/O架構轉型，運算核心單元完全依靠自身專屬架構互連，至於PCIe則退居次要角色，只剩下連接網路、儲存等周邊裝置的用途。</p> <p>這也讓Nvidia徹底擺脫PCIe的制肘，可以透過自身專屬I/O架構，連結大量的GPU，建構出超大規模、超高密度的GPU運算環境，這也是10年前無法想像的。因而NVLink也就成為Nvidia維持GPU「霸業」的護城河之一。</p> <p>而NVLink的成功，自然也促使競爭對手AMD與Intel跟進，推出類似的技術。</p> <p>AMD的GPU互連I/O，是由Infinity Fabric晶片互連匯流排延伸發展而來。2017年問世的第1代Infinity Fabric，是搭配當時推出的第1代Zen架構處理器，作為CCX處理器核心模組間的互連通道，類似傳統chiplet之間Hypertransport匯流排升級版本，AMD又稱為全域記憶體互連介面（xGMI）。</p> <p>接著，跟隨第2代Zen架構處理器一同發表的第2代Infinity Fabric，不僅提高傳輸頻寬，並新增GPU與GPU互連功能，具備類似Nvidia NVLink的功能，AMD也將應用這種I/O技術的處理器架構，命名為Infinity Architecture。</p> <p>然後，便是2020年初發布的第3代Infinity Fabric，在先前的CPU互連與GPU互連功能外，增加CPU與GPU互連能力，同時也提高了傳輸頻寬。再來是2023年與Instinct MI300 GPU平臺一同發表的第4代Infinity Fabric，除了進一步提高頻寬，還擴展了連接能力，可為GPU、CPU、FPGA、快取記憶體，甚至第3方晶片組提供高速互連通道。</p> <p>針對跨GPU伺服器節點的互連，AMD提供的解決方案則是透過RDMA乙太網路，來介接Infinity Fabric節點，但這屬於傳統的跨節點網路互連架構，與Nvidia利用NVLink Switch實現跨節點GPU直連相比，有著本質上的差異。</p> <p>至於Intel的GPU互連I/O技術，則是2019年底發表Xe GPU架構時，提及的Xe Link互連架構，後來在2022年底跟著Data Center Max系列GPU一同發表。Xe Link可為Max系列GPU卡提供多卡串聯，或是為OAM子板模組的GPU提供內部互連。</p> <p>對於跨伺服器節點的互連，Intel則提供基於直連銅纜的Xe Link Glueless，以及基於InfiniBand網路等2種方案，分別可連結64組與512組OAM模組，但都屬於傳統的跨節點網路中介互連，不同於Nvidia跨節點GPU直連。</p> <p>除了自身發展的Xe Link，Intel另外在2019年透過併購Habana Labs，而取得後者在Gaudi系列AI加速器上，所應用的整合式乙太網路互連技術，利用整合在晶片上的10或24個100/200GbE埠，可透過低成本的乙太網路，實現從內到外的高頻寬GPU直連。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPU I/O架構的競爭</strong></span></span></p> <p>包括Nvidia的NVLink，AMD的Infinity Fabric與Intel的Xe Link，均提供單一節點內的多GPU互連，以及跨多節點的GPU互連，但在傳輸效能與跨節點連結能力方面，存在相當大的差距。</p> <p>以NVLink第4代與第5代為例，每個GPU可獲得的理論總頻寬達到900 GB/s與1800 GB/s。</p> <p>而AMD用於搭配MI300X GPU的最新Infinity Fabric第4代，每個GPU理論最大總頻寬為896 GB/s。</p> <p>至於Intel Xe Link，可支援最大8組Xe GPU單元（Xe HPC Stack）互連，每組Xe GPU單元的最大總頻寬為371GB/s。</p> <p>單就傳輸效能規格來看，AMD Infinity Fabric與Intel Xe Link，都只相當於1、2個世代以前的NVLink規格。</p> <p>在跨節點互連方面，Nvidia可透過NVLink Switch，實現跨節點NVLink直連，從節點內部到外部都是NVLink直連到底。而AMD Infinity Fabric與Intel Xe Link，都只能提供個別節點內部的GPU直連，至於跨外部連結都需透過乙太網路介接，效能與Nvidia有著根本差距。</p> <p>傳輸效能與跨節點連結能力，也制約AMD與Intel GPU的效能發揮。事實上，AMD與Intel的個別GPU效能規格，往往不亞於Nvidia的GPU，部分特性甚至猶有過之，但現實環境大都需要多GPU協同運作，而AMD與Intel的GPU直連I/O架構，在多GPU互連環境下，就會暴露總頻寬遠不如Nvidia的問題，連結的GPU數量越多，差距越顯著。而且，AMD與Intel都缺乏NVLink Switch這種外部直連擴展技術，當互連GPU超過8個，須透過外部網路介接實現跨節點互連，因而也會惡化頻寬與延遲表現。</p> <p>相較下，Intel透過併購取得的Gaudi系列AI加速器，採取基於乙太網路的低成本互連路線，反而更有競爭力，利用整合在晶片內的200GbE埠，同時用於內部與外部互連。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>通用GPU I/O架構的嘗試</strong></span></span></p> <p>比起GPU晶片本身的規格與效能特性，或是搭配GPU的CUDA程式開發框架，Nvidia的I/O架構，其實才是競爭對手更難以跨越的障礙。</p> <p>無論AMD或Intel，單打獨鬥都不會是Nvidia的對手，唯一的辦法是團結求存，於是，以這兩大晶片廠商為首，加上Broadcom、Cisco這兩大網通廠商，還有Google、HPE、Meta、微軟，一共有8家IT大廠今年的5月宣布合作，發展加速器晶片互連I/O架構，稱作UALink（Ultra Accelerator Link），企圖以此抗衡Nvidia的NVLink。</p> <p>UALink預定2025年發表1.0版規範，依目前傳出的消息，一種可能框架是以Infinity Fabric結合乙太網路，分別構成新協定的上層與底層，藉此實現跨節點內、外的GPU直連架構。</p> <p>UALink最吸引人之處，是可藉此打破Nvidia的規格壟斷，以及多供應商參與帶來的通用性與成本效益。問題在於，Nvidia並不會停下腳步等待競爭對手，依過去經驗來看，Nvidia幾乎每隔2年就會更新一代NVLink規格，待UALink進入實用階段，NVLink屆時也可望進化1到2個世代，從而持續保持領先。在UALink能發揮多供應商參與的群聚效應之前，NVLink可望仍能長期維持優勢。</p> <hr /> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> PCIe與NVLink的傳輸效能發展過程對照 </span></strong></span></span><br /> <span style="color:#696969;"><strong>我們將PCIe與NVLink等兩種傳輸介面，各個世代的傳輸效能規格，依發表時間整理成圖表，其中PCIe介面的傳輸頻寬以16 lane規格雙向頻寬為代表，NVLink則以單一GPU理論上所能獲得的總頻寬為基準。<br /> 從此圖可看出，相較於同世代PCIe，NVLink一般都擁有5倍左右的傳輸頻寬優勢。<br /> 除了頻寬優勢，比起PCIe這種必須適應各式各樣周邊裝置與應用環境的開放性業界標準規格，NVLink是Nvidia專為自身GPU直連傳輸需求，量身打造的專屬規格，享有規格封閉與完全自主的優勢，因此更新速度也十分頻繁與穩定，近來都是每兩年更新一代。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P4%2BP5-600-1(3).png" style="width: 600px;" /></p> <hr /> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 擺脫PCIe的制肘：Nvidia的I/O架構轉型 </span></strong></span></span><br /> <span style="color:#696969;"><strong>下圖為NVLink問世以前，典型的GPU對GPU，與GPU對CPU互連架構，GPU與GPU或CPU之間，都是透過PCIe介面互連，但PCIe同時是伺服器內部眾多周邊設備共同使用的傳輸通道，因而PCIe的效能與資源也就成為制約GPU I/O效能的瓶頸。這也促使Nvidia另行發展NVLink傳輸架構，以求擺脫PCIe的制肘。</strong>圖片來源／WikiChip</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P4%2BP5-600-2(A).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">下圖為Nvidia去年發表的Grace Hopper超級晶片I/O架構，在GPU之間與GPU到CPU之間，分別採用NVLink與NVLink C2C介面互連，PCIe只作為次要角色、用於CPU對外連接，只配置了4組16通道的PCIe 5.0介面。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nvidia</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P4%2BP5-600-2(B).png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多關於</span></span></span></strong></a><strong><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cie">CIe</a></div><div class="field-item odd"><a href="/tags/nvlink">NVLink</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item even"><a href="/tags/pcie">PCIe</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2024/8/2 14:00作者張明德https://www.ithome.com.tw/tech/164263
【外部I/O：乙太網路與IB角逐AI市場，SAS與FC力爭突圍】AI與儲存網路新規格應用大爆發
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1193feng_mian_-zhu_wen_3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SCSI Trade Association</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AI應用推動的I/O架構加速演進，其中一個重要影響，便是將原本高效能運算（HPC）領域的高效能網路架構需求，帶進一般企業資料中心，因應AI應用的資料傳輸需求，促成200/400Gb等級以上的高速乙太網路與InfiniBand（IB），開始在企業端應用普及。另一相對不起眼、卻仍十分重要的影響，是促使FC與SAS這兩種老牌儲存介面，在數年沉寂後出現新發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>乙太網路與InfiniBand的競爭</strong></span></span></p> <p>目前高效能運算領域最常使用的網路規格有這4種：InfiniBand、乙太網路、Omni-Path、以及SlingShot。前兩種在TOP500超級電腦的使用比例，合計佔8成以上，競爭主要也在兩者之間展開。</p> <p>由於InfiniBand與乙太網路是高效能運算最普遍使用的網路規格，所以當AI應用帶來高效能網路需求擴散後，最常被用戶選用的網路架構也是這兩種。</p> <p>InfiniBand的優勢在於更高的效率（延遲、頻寬）與可靠性，而乙太網路則以成本取勝，2者在TOP500的整體比重不相上下，但是在頂尖的TOP100超級電腦中，InfiniBand用戶數量有壓倒性優勢，這也反映出兩者的效能／成本特性——以效能為最優先考量的用戶，大多選擇InfiniBand；對成本較敏感的用戶，則傾向乙太網路。</p> <p>過去6、7年以來，乙太網路憑藉較迅速的頻寬增長，逆轉了頻寬不如InfiniBand的長期劣勢，當200/400GbE與800GbE推出時，InfiniBand還分別停留在100Gb EDR，以及200Gb HDR。隨著InfiniBand在2022與2024年接連推出400Gb NDR與800Gb XDR，如今已趕上乙太網路的頻寬。</p> <p>乙太網路方面，除了繼續發展頻寬更高的新規格，如1.6TbE，由多家一線大廠組成的超級乙太網路聯盟（Ultra Ethernet Consortium，UEC），也正在發展改進的乙太網路堆疊架構，以求提升AI與HPC領域的效能表現。</p> <p>UEC的具體工作是制定新的超級乙太網路傳輸（Ultra Ethernet Transport，UET）協定，取代既有的RoCE協定。</p> <p>RoCE可說是把InfiniBand的RDMA傳輸架構移植到IP與乙太網路而成，兼具RDMA低延遲與乙太網路低成本特色，但在壅塞控制、負載平衡等方面，仍有一系列不足之處。而UET協定除了透過新的傳輸層來改善雍塞管理，也將改進延遲、安全性與多供應商支援的API，這些特性顯然都是針對InfiniBand而來，同時又沒有後者被單一供應商（Nvidia/Mellanox）控制的問題。</p> <p>預計第1版UET協定將於今年第3季發布，第1批支援產品很快就會跟著問世，屆時應該會刺激InfiniBand出現新發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>陷入困境的老牌儲存介面</strong></span></span></p> <p>長期統治儲存I/O規格的FC與SAS等2種介面，最近這幾年在新興技術的衝擊下，都出現發展遲滯的困境，不僅新規格的產品支援應用緩慢，下一代規格也陷入難產，這種情況在今年終於有轉機</p> <p>乙太網路技術的迅速進步，大幅侵蝕FC介面在儲存區域網路（SAN）的版圖，這也導致新一代FC規格的應用推廣遭遇困難。目前最新的FC規格，是2018年底便制定完成第7代FC，也就是64Gb FC，依過去FC介面典型應用過程，第一批支援64Gb FC的SAN網路設備，應在2020年前後問世，到2021到2022年間，主流儲存設備也會開始支援。</p> <p>但實際上，64Gb FC網路設備雖然大致按期問世，但在儲存設備方面，遲遲沒獲得主流儲存產品普遍支援。</p> <p>這樣的情況，也影響到下一代FC規格的發展。依照早期的規畫，第8代FC，也就是128Gb FC應該在2021年推出，但實際上，到了2024年中的今日，128Gb FC規格仍未能問世，這也破壞原本FC介面規格每4至5年便更新一代的週期。</p> <p>SAS介面也遭遇類似困境。最新一代的SAS-4，即24G SAS，早在2017年便宣布完成規格制定，但此時遭遇NVMe的競爭與衝擊，以致市場普及陷入困難。</p> <p>隨著固態儲存持續發展，高效能取向的儲存應用已經全面轉向NVMe介面；對於非效能取向的中、低階儲存裝置來說，既有SAS-3便能滿足要求，無須升級SAS-4。導致SAS-4陷入高不成、低不就的窘境，儲存廠商也缺乏支援誘因。直到距SAS-4發布的6年多後（2024年初），支援此規格的產品仍十分有限。只有幾款SSD， HBA卡與RAID卡。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>FC與SAS應用的轉機</strong></span></span></p> <p>就在我們以為FC與SAS介面似乎被市場主流遺忘與放棄時，過去半年多以來，出現新的轉機。</p> <p>在FC方面，下一代的128Gb FC依舊了無聲息，但64Gb FC應用有新的進展。一線儲存大廠中，自Pure Storage在2021年宣布支援64Gb FC後，接下來兩年多都未見到其餘廠商跟進。不過，到了2023下半年，HPE為Alletra MP儲存陣列新增了64Gb FC選項。在2024年初，又陸續有大廠在新推出的主力產品線中支援64Gb FC，包括NetApp的AFF A70、A90與A1K，Hitachi Vantara的VSP One Block，還有IBM的FlashSystem 5300等。這也意味著64Gb FC開始進入主流儲存產品，延宕許久的64Gb FC儲存應用，終於有了起色。</p> <p>在SAS方面，我們在今年Computex展區，首次見到廠商現場陳列支援SAS-4規格的主機端與外接儲存設備，包括：技嘉旗下有幾款新推出的伺服器產品，註明熱抽換磁碟槽規格同時支援NVMe/SATA/SAS-4介面，可直接安裝SAS-4介面磁碟，營邦展出基於SAS-4的4U高密度擴充儲存櫃。這也讓SAS-4的產品應用，終於開始進入完整系統層級。</p> <p>在規格發展方面，新一代SAS規格也有具體消息傳出。依照負責規格制定的STA協會原有路線圖，下一代應是頻寬加倍的48G SAS，然而，後來情況有變化。因為STA去年底透露，下一代將轉向發展既有24G SAS的強化版本：24G+ SAS，沿用現有24G SAS實體層，搭配強化的上層規範。調整路線的目的，是迴避與NVMe的競爭，使SAS走向與NVMe不同應用方向，預定24G+ SAS規格2024年中以後完成制定，在2025到2026年左右，進入終端用戶產品。</p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> InfiniBand的頻寬發展路線 </span></strong></span></span><br /> <span style="color:#696969;"><strong>InfiniBand相較於乙太網路，擁有低延遲與高可靠性的優勢之餘，過去也擁有頻寬優勢，但自200/400GbE推出後，InfiniBand的最大頻寬就被乙太網路超越。目前最新的800Gb XDR已趕上800GbE規格，接著還預計在2027與2030年推出1600Gb GDR與3200Gb LDR。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／InfiniBand Trade Association</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%873-600-1.jpg" style="width: 600px;" /></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 改弦易轍的SAS介面發展路線 </span></span></span><br /> <span style="color:#696969;">為了迴避與NVMe的競爭，STA去年宣布放棄每世代都提高一倍傳輸速率的傳統規畫，以基於現有24G規格，強化安全性與可靠性的24G+ SAS，替代原本做為下一代規格的48G SAS。</span></strong><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源／SCSI Trade Association</span></p> <p class="rtecenter"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%873-600-2.jpg" style="width: 600px;" /></span></span></p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 更多關於</span></span></span></strong></a><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/ib">IB</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/sas">SAS</a></div><div class="field-item odd"><a href="/tags/fc">FC</a></div><div class="field-item even"><a href="/tags/%E5%84%B2%E5%AD%98%E7%B6%B2%E8%B7%AF%E6%96%B0%E8%A6%8F%E6%A0%BC">儲存網路新規格</a></div><div class="field-item odd"><a href="/tags/infiniband">InfiniBand</a></div></div></div>
2024/8/2 14:04作者張明德https://www.ithome.com.tw/tech/164266
資料中心I/O架構新面貌
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI帶來無底洞般的運算能力要求，也帶來幾乎永無止盡的傳輸流量需求，促使I/O技術在這兩年迅速進展，以作為伺服器內部I/O骨幹的PCIe，以及作為外部I/O基礎的乙太網路等2大互連技術為核心，整個資料中心的I/O架構都出現規格的更迭</p> </div></div></div>
2024/8/2 14:10作者張明德https://www.ithome.com.tw/article/164269
老將與新秀之爭
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴黎奧運於7月底正式展開，精彩賽事受到全球關注，年長運動選手參賽的消息相當受到矚目，例如我們有桌球選手莊智淵、射擊選手林怡君，分別參加奧運6次與5次之多，兩位都是43歲，而代表盧森堡參賽的61歲桌球選手倪夏蓮，更是令人讚嘆，29日首戰擊敗土耳其選手晉級，智利也有58歲選手曾之穎參賽，可惜落敗無法繼續挑戰。</p> <p>隨著醫學與運動科學的進步，可提升運動員的健康與延長競技生涯，而且，年長者雖然有著體能與反應速度下滑的劣勢，但要克敵制勝，他們仍保有許多無可取代的競爭優勢，天下雜誌的報導也引用倪夏蓮雙打搭檔德努特（Sarah De Nutte）的說法指出，可透過智取，掌握比賽，「她的球風不是靠體力，而是要對手屈從於她的節奏」。</p> <p>這讓我想到今年在臺灣掀起觀看風潮的日本動漫畫《葬送的芙莉蓮》，裡面多次談到老手與新手的優勢，提醒我們技術、能力固然重要，戰術的有效運用更是關鍵。</p> <p>例如，欺敵、盡可能隱瞞自身實力，使對手輕忽，產生防禦空隙進而趁機反擊，芙莉蓮的弟子費倫描述她不會正面跟魔族戰鬥，會欺騙敵人、從而消滅，芙莉蓮的師父教導她要花一輩子去欺騙魔族。</p> <p>這裡也多次提到新手的另一個優勢，那就是敏捷、對於新技術的接受度更高。</p> <p>芙莉蓮最初提到經常把與魔物戰鬥的工作交給費倫，理由是弟子能夠比較快完成，因為施展魔法的速度比她還快。包括我在內的很多讀者，可能會覺得這是老手想偷懶的託詞或藉口，而沒注意到這段對話的意義。</p> <p>之後芙莉蓮與費倫參加另一場競賽，為了擊敗對手，再度提到低估敵人實力的風險，並且解釋為何新手能夠比較快發動魔法。她表示，因為新手所用的魔法是他們一開始就學習的，已經銘記在心、成為能力具備的重要基礎（甚至可說是本能），但這些魔法對於老手而言，是後來才開始學習而不夠熟悉的，因此，實際運用時，存在著思考與行動的延遲，雖然可能差距在一瞬之間，但如果抓住這個機會，就足以改變整個局面。</p> <p>到了另一場與兩位大魔族的對決，芙莉蓮團隊再次印證欺敵、攻速快的效果之餘，還突顯其他策略的重要性，那就是耐心等待關鍵時刻的出現、向敵人迅速輸出高密度的攻擊力量，「真正的絕招，要在確定能獲勝的時候才使用」，以及面對敵人時，除了思考當下的因應之道，也要挪出一些心力，製造更多對己方有利的因素，例如，幫忙解除團隊夥伴的困境，信賴他們能抗衡與分散對手注意力，做出最佳判斷與行動，從而使自己也獲得更多援助。</p> <p>關於如何快、能有多快，同樣成為當前IT發展的重要議題，也是<a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color:#3366ff;">這期封面故事《資料中心I/O架構新面貌》</span></a>探討的重要動機，我們針對6大I/O介面：PCIe、NVLink、乙太網路、InfiniBand、FC、SAS，整理近期因AI浪潮而升溫的種種跡象。這當中有非常資深的技術，像是乙太網路有51年歷史，FC有36年，InfiniBand有25年，PCIe有21年，SAS有20年，這些I/O介面本身與衍生的生態系統都相當廣泛，而這兩年來因資料中心GPU與大型AI應用走紅的NVLink，也已經發展10年。</p> <p>它們各有擅場，雖然大家都關注是否會有彼此取代的狀況，但顯然都有持續發展、進化的必要性，而共容共存。然而，未來也可能出現其他規格或技術架構與其競爭。</p> <p>例如，去年7月成立的超級乙太網路聯盟（Ultra Ethernet Consortium，UEC），今年3月發表1.0版規格概要白皮書，強調現行的遠端記憶體直接存取技術（RDMA）運用，以及超級乙太網路傳輸協定（UET）都會是未來乙太網路技術能否更充分支援AI的關鍵。</p> <p>為了對抗市場獨大的NVLink，今年5月底Computex開展前夕，8家大廠宣布合作發展加速器晶片互連I/O架構，稱為超級加速器連結（UALink），後市可期。</p> <p>對於整個IT業界而言，當然都樂見成熟技術與新創技術的自我進化與彼此競爭，因為可提供大家更多的選擇，減少受到特定技術綑綁的局限，然而，這勢必會面臨一定程度的發展風險，對於用戶與供應鏈合作廠商而言，如果想要兼顧既有投資的保障與及早創新的布局，目前恐怕很難做出最佳抉擇，而需多方押寶。</p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多關於</span></span></span></strong></a><strong><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div><div class="field-item odd"><a href="/tags/sas">SAS</a></div><div class="field-item even"><a href="/tags/nvlink">NVLink</a></div><div class="field-item odd"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item even"><a href="/tags/gpu">GPU</a></div><div class="field-item odd"><a href="/tags/io">I/O</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/infiniband">InfiniBand</a></div><div class="field-item odd"><a href="/tags/ualink">UALink</a></div></div></div>
2024/8/2 14:11作者李宗翰https://www.ithome.com.tw/voice/164270
Raydium區塊鏈用戶遭到鎖定，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意套件攻擊結合社交工程手法的情況，最近不斷出現，例如，有人為了引誘特定目標下載惡意PyPI套件，<a href="https://www.ithome.com.tw/news/164240">疑似藉由假LinkedIn帳號誤導AI搜尋引擎</a>，類似的混合攻擊手法又有新的案例出現。</p> <p>資安業者Checkmarx揭露<a href="https://checkmarx.com/blog/stackexchange-abused-to-spread-malicious-python-package-that-drains-victims-crypto-wallets/">從6月底出現的惡意PyPI套件攻擊行動</a>，駭客在6月25日上傳無害的軟體套件到PyPI儲存庫，但到了7月3日顯露意圖，發布多個惡意版本套件。研究人員指出，攻擊者主要目標是區塊鏈平臺Raydium、Solana的用戶，意圖將他們的加密貨幣資產耗盡，超過2千人下載相關套件而可能受害。</p> <p>比較特別的是，駭客為了引誘使用者上當、下載惡意套件，他們透過名為Stack Exchange的網路問答網站來進行宣傳，藉由在熱門討論串提供看似有用的答案來進行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg" style="width: 580px;" /></a></p> <p>另一個值得留意的地方，在於研究人員特別提及防毒軟體、EDR系統都無法識別駭客散布的惡意套件，使得攻擊者能夠得逞。</p> <p>研究人員提到，雖然駭客上架的初始版本PyPI套件沒有直接的攻擊意圖，但這個套件可當作攻擊者的跳板，讓受害電腦接觸外部資源，從而下載、執行惡意指令碼，並從受害電腦挖掘有價值的資料。攻擊者竊取的資料範圍很廣泛，包括瀏覽器、加密貨幣錢包、即時通訊軟體的使用者資料。</p> <p>他們也看到駭客藉由惡意程式截取螢幕畫面，並在受害電腦尋找與加密貨幣有關的關鍵字，及其他敏感資訊，像是GitHub復原碼或是BitLocker金鑰。最終對方利用壓縮軟體打包竊得資料，並透過Telegram機器人回傳到C2伺服器。</p> <p>此外，攻擊者使用的惡意指令碼當中，含有後門程式，使得攻擊者有機會遠端控制受害電腦，並能持續存取或是進行後續的攻擊行為。</p> <p>究竟駭客如何散布惡意套件，研究人員提及駭客看上Raydium並未經營自己的Python套件的情況，直接冒用此區塊鏈專案的名稱製作軟體套件，而無須藉由拼寫錯誤及冒用網域名稱的手法來進行。</p> <p>而為了讓攻擊目標得知相關套件並下載，駭客在Stack Exchange建立帳號，並在與軟體套件相關的主題留下評論，研究人員提到，駭客的回答相當詳細，導致使用者可能會降低戒心，存取駭客提供的下載連結。</p> <p>但這並非首度藉由網路問答平臺散布惡意PyPI套件的情況，今年5月，資安業者Sonatype揭露<a href="https://www.sonatype.com/blog/pypi-crypto-stealer-targets-windows-users-revives-malware-campaign">有人濫用StackOverflow的攻擊事故</a>。</p> </div></div></div>
2024/8/2 12:33作者周峻佑https://www.ithome.com.tw/news/164267
蘋果第二季財報出爐，Mac/iPad銷售成長，iPhone下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（8/1）<a href="https://www.apple.com/newsroom/2024/08/apple-reports-third-quarter-results/" target="_blank">公布今年第二季的財務報告</a>，該季蘋果創下858億美元的營收，比去年同期成長5%，淨收入為214.5億美元，成長7.9%，表現超乎華爾街分析師的預期。</p> <p>858億美元的營收中有616億美元來自產品，另外的242億美元為服務營收，分別成長1.6%及14%。它們占了蘋果總收入的72%與28%，顯示服務營收占比已逼近1/3。</p> <p>從產品類別來看，iPhone營收為393億美元，下滑1%；Mac營收為70億美元，成長2.5%；iPad營收為71.6億美元，成長24%；穿戴/家用/配件營收為81億美元，下滑2.3%。</p> <p>觀察蘋果的市場分布，美洲地區以376.8億美元的營收貢獻居冠，成長6.5%；居次的是歐洲的218.9億美元，成長8.3%；大中華區以147.3億美元位居第三，下滑了6.5%。</p> <p>曾為蘋果第二大市場的中國，近來的表現大不如前，外界分析其主要原因為這些年來中國與美國之間的政治與經濟角力，促使中國政府不僅扶植自家的華為，去年還開始禁止於政府機關內使用iPhone。為此，蘋果更破天荒地在中國以各種優惠方式來調降iPhone 15的售價，雖然<a href="https://www.apple.com.cn/shop/buy-iphone/iphone-15" target="_blank">蘋果中國官網</a>上最低階的iPhone 15價格依舊是5,999元人民幣，但<a href="https://item.jd.com/10101280866519.html" target="_blank">其它網路賣場</a>上的價格已經降至4,700元人民幣左右。</p> <p>根據市場研究機構Canalys<a href="https://www.canalys.com/newsroom/china-smartphone-market-Q2-2024" target="_blank">今年第二季的調查</a>，中國智慧型手機市場於該季成長了10%，出貨量超過7,000萬臺，但蘋果的市占率卻從去年同期的16%跌至今年的14%，並從第二名跌至第六名。此外，這也是中國手機市場上第一次出現前五大製造商皆由本土業者包辦的情況。</p> </div></div></div>
2024/8/2 13:00作者陳曉莉https://www.ithome.com.tw/news/164268
高效管理者如何委派工作
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-gao_xiao_jing_li_ren_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在開發中國家，泥地是主要的疾病來源。病原體會在土壤中生存，灰塵是引發呼吸疾病的主要原因。蓋雅翠．達塔（Gayatri Datar）下定決心改變這種情形。她和同學組隊，取史丹佛附近乾涸的湖底泥巴做實驗，發現有一種鋪地板的流程，只需要混凝土的零頭價格，就能封住泥土地。蓋雅翠即將改變十億人的生活。</p> <p>蓋雅翠搬到東非盧安達，成立社會企業EarthEnable，在當地鋪設有助於健康的平價地板。有兩年時間，她增加進度的方法是廢寢忘食，能工作多少小時，就工作多少小時。蓋雅翠誤以為委派工作（delegation）的用途是減輕自己的工作量，因此把部分的工作交給別人。然而，別人做的工作讓她不滿意時，她通常會收回來自己做。</p> <p>可想而知，EarthEnable的成長出現停滯，未能達成目標，因為蓋雅翠的做法無法擴大規模。只有一個蓋雅翠，如果EarthEnable要能觸及數百萬弱勢家庭，她需要從根本上改變領導風格。蓋雅翠從盧安達的家打電話給我，她提到：「事業成長需要你停止親自產出，改把力氣用在建立組織上。」</p> <p><span style="font-size:28px;"><strong>技能、能力與能做多少事</strong></span></p> <p>蓋雅翠學習如何委派工作後，EarthEnable脫胎換骨。蓋雅翠有很好的產品，她唯一需要做的，就只有找出如何能擴大組織的規模。蓋雅翠開始了解，委派工作的重點不是把雜事丟給別人，而是擴展組織能做多少事的能力。</p> <p>委派工作的第一件事，將是區分眼前的任務（task）與完成那件事所需的技能（skill）。舉例來說，想像你的玩具店打算舉辦一次性夏季大拍賣，你需要替這次的優惠活動規畫人力。這屬於一項任務。然而，完成這個任務的技能，包括建立試算表、檢視過往流量、分析歷史銷售後做出預測。</p> <p>如果你錯過和家人共進晚餐，自己跳下去做，當然人力安排計畫會更快出爐。然而，你將因此錯過在組織內培養相關技能與擴大規模的機會。組織裡的人如果學會了，還能延伸到其他任務，例如安排假日班表、年度營運計畫、決定星期日是否要延長營業時間，最終替十二間玩具分店安排好人力，而不只是一間──訓練大家替夏季大拍賣規畫人力，可以連帶地教會很多事。</p> <p>由於委派新技能會花的時間，通常比你親自做還長，你需要判斷投資這個時間是否會替組織帶來足夠的報酬。方法是評估在六個月期間，你將應用那項技能的次數與時數。如果答案是十小時，那麼依據六個月原則（six-month rule），你會願意多花十小時教其他人那項技能，不再自己做。</p> <p>此外，委派也是評估團隊成員能力（capability）的工具。如果你正在決定是否要把旗下成績最好的銷售人員，提拔為銷售經理，那麼可以利用委派這項工具，判斷這個人是否準備好升遷。我們在史丹佛舉的例子是食品製造商特朗尼（Torani，這間公司提供全球飲料使用的糖漿與調味劑）。執行長梅蘭妮．戴貝寇（Melanie Dulbecco）打算在銷售部挑一個人，升為副總裁。她向史丹佛學生解釋，自己是如何運用委派的概念，把幾個專案交給內部的升遷人選，並很快就在過程中判斷，誰已經做好最完整的升遷準備。</p> <p><span style="font-size:28px;"><strong>運用「SCS」原則</strong></span></p> <p>SCS是「明確、共創、支持」（specific, co-create, and support）的縮寫，也是指以這三個原則有效委任的心態。把SCS謹記在心，就能避免掉進糟糕委派的主要陷阱。最棒的是，不論你委派的任務是預約明天晚上吃飯的地方，或是開發與建造二十萬平方英尺的物流中心，SCS都適用。</p> <p><span style="color:#B22222;"><strong>明確：Specific</strong></span></p> <p>人類很糟糕的一點，就是會為了省眼前的幾分鐘，浪費未來的無數小時。我們在交代工作時貪圖省事，沒做好前期的工作，先仔細定義交付事項。雖然當下能偷懶個幾分鐘，但等到工作成果不如預期，將得花很多小時補救。</p> <p>舉個例子來講，想像你不確定是否要續租目前的辦公室，或者該另覓新地點。缺乏效率的做法將是吩咐某個下屬：「你研究一下這件事，然後告訴我是否該續約。」你告訴自己，這種不提供細節的馬虎做法是在授權他人，但實際上只是在當甩手掌櫃。最後的結果就是你同時浪費自己和員工的時間。員工將浪費時間探索你不關心的事，回報後你覺得不行，提出更多要求，叫他們繼續找，來來回回無數次。還不如直接告訴員工：</p> <p>「我們的租約還有五個月到期。我滿意我們付的市場價格，但我對其他的選項感興趣。你去看看哪些辦公室在出租，而且符合以下的條件。先從寇蒂斯兄弟開始，那家是我們找過的辦公室仲介。我們需要依據類別（辦公、倉庫、車輛存放），預測各需要多少平方英尺的空間，而且要位於開車二十分鐘，就能抵達關鍵客戶所在地的地理圍欄（geo-fence）內。這部分你可以利用Geotech的地圖軟體。麻煩你附上可能選項的照片，以及關鍵的租約條件。給我十頁的報告，而且我會是唯一看這份報告的人。內容要精確，但不必到簡報的品質。我隨後會寄簡短的電子郵件提醒你。」</p> <p>這不算事事都插手的微管理（micromanagement）。明確提出你的指示並不會讓員工因此失去自由，導致他們在推薦新辦公室的地點時無法應用判斷力。陷入微管理的經理把注意力放在與結果無關的瑣事，要求員工必須照他們的方法做事，不去管那對最後的工作成果來講是否有差別。</p> <p><span style="color:#B22222;"><strong>共創：Co-create</strong></span></p> <p>不過，做到以上的明確原則還不夠完美，因為沒有太多的共創成分。三個臭皮匠總是勝過一個諸葛亮，也因此回頭看剛才的指示：</p> <p>「……要位於開車二十分鐘，就能抵達關鍵客戶所在地的地理圍欄內。這部分你可以利用Geotech的地圖軟體。」</p> <p>加入「共創」後，你可以考慮改成說：</p> <p>「我們的關鍵客戶所在地，也是你在推薦時要考量的因子。你認為這部分我們可以如何確認這點？」</p> <p>雖然這樣講話像是在玩文字遊戲，你明明已經知道可以用Geotech查，為什麼不直接告訴員工你要什麼？答案是我們不能獨占創意與創造力的樂趣。說不定員工推薦的軟體還會考量送貨的頻率，或是提高更常拜訪的顧客權重——多出你沒想到的功能。</p> <p>你希望明確提供方向的部分，一定要說清楚是否允許員工提出更好的方案，因為如果你明講希望有他們的共創，員工或許會提出以下的實用建議：</p> <p>「關於可能的新辦公室選項，我能不能直接放進仲介準備的介紹？雖然仲介的資訊會多過您要求的事項，但不必自己準備量身打造的介紹，就能省下很多小時。此外，我想問一下我們目前的房東，看看在接下來三年，他那邊還有沒有離這裡不遠的其他空間。」</p> <p><span style="color:#B22222;"><strong>支持：Support</strong></span></p> <p>我吃過苦頭後，才發現支持的重要性。我曾在營收每六個月就翻倍的公司擔任執行長。由於變化速度實在太快，我們資深團隊面臨的任務，先前沒有任何成員有過經驗。漸漸的，有一位主管跟不上，漏洞愈來愈大。等我發現問題有多嚴重，我要求她離開公司。然而，整件事的主要問題出在我如何管理我的委派方式。</p> <p>俄羅斯有一句諺語：「要信任，但也要查證。」這句話在雷根總統與蘇聯領袖戈巴契夫（Mikhail Gorbachev）的談判期間很出名，但也適合拿來提醒有效委派要注意的事。提供支持的方法是一路上設下策略檢核點，不要到了尾聲才來看有沒有成功。委派工作時，你該做的不是對最終的工作成果指手畫腳，也不是把專案扔給下屬就不管了。你應該協助你的團隊成功。在定期的檢核點確認是否有成員遇上困難，找出你原本的計畫是否不夠明確，需要額外的指引或資源。有了檢核點就能中途修正，增加成功機率。<strong>（本文摘錄整理自《高效經理人手冊》，商業周刊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E9%AB%98%E6%95%88%E7%B6%93%E7%90%86%E4%BA%BA%E6%89%8B%E5%86%8A-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_商業周刊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 高效經理人手冊：史丹佛商學院最熱門管理課，鍛鍊主管5大卓越執行力</strong></p> <p>大衛．道森（David Dodson）／著；許恬寧／譯</p> <p>商業周刊出版</p> <p>定價：420元</p> <p><a href="https://daviddodsonauthor.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98%E5%9C%962_%E9%AB%98%E6%95%88%E7%B6%93%E7%90%86%E4%BA%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_David%20Dodson.jpg" style="width: 180px;" /></a></p> <p><a href="https://daviddodsonauthor.com/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_David Dodson</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>大衛．道森（David Dodson）</strong></p> <p>史丹佛經濟系、工商管理碩士，前麥肯錫顧問。現任教史丹佛商學院，教學卓越，榮獲兩次MSx教學卓越獎，2023年《經濟學人》列為史丹佛大學三門「最熱門」課程之一。</p> <p>道森同時也是戰績彪炳的連續創業家、執行長、40多間企業董事，以及150多家公司的主動型投資人。</p> </div></div></div>
2024/8/2 12:00未署名https://www.ithome.com.tw/article/164197
Cloud周報第206期：日本電信商NTT Docomo開發新型雲端渲染技術，可透過雲端在手機觀看高解析度的3D影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（07/25～07/31）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 奇異 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">奇異醫療與AWS展開策略合作，將開發醫療保健專用GenAI應用</span></strong></p> <p>奇異（GE）旗下醫療設備供應商GE Healthcare近日宣布將與AWS展開策略合作，共同開發專用基礎模型和GenAI的應用程式，協助臨床醫生改善醫療診斷和患者護理服務。</p> <p>GE HealthCare全球首席科技長Taha Kass-Hout表示，透過將生成式AI與GE專業知識相結合，將開啟醫療保健的新時代。</p> <p>GE Healthcare計畫利用AWS的Bedrock生成式AI託管服務建立和部署客製化的生成式AI應用程式，專用於醫療保健的服務需求。這些應用將與AWSHealthLake和AWS HealthImaging整合，用於分析各種類型的患者數據，從而提高臨床效率和更好地患者護理。</p> <p>此外，GE HealthCare採用AWS機器學習平臺SageMaker開發的自己的基礎模型，並對其應用程式進行現代化改造，同時將開發和部署可用網路的醫學影像應用程式。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 甲骨文 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">搶攻醫療門診AI應用！甲骨文推出醫療臨床專用生成式AI助手Oracle Clinical Digital Assistant</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(7)(4).png" style="width: 600px; height: 339px;" /></span></strong></p> <p>甲骨文（Orac l e）近日推出一款醫療臨床專用的生成式AI助手Oracle Clinical DigitalAssistant，可適用於美國門診診所。該助手將結合生成式人工智慧、臨床智慧、多模式語音和螢幕輔助功能。</p> <p>這個AI助手與Oracle Health電子健康記錄（EHR）整合，透過結合臨床自動化、生成的對話筆記以及直接在護理站點提供的臨床隨訪建議，改善醫患之間的互動體驗。例如，護理人員只需詢問生成式AI助手，即可取得患者病史的關鍵資訊，如最新的血液檢查結果，還可以透過EHR記錄中的內容獲取更完整的資訊，從而節省護理人員的查找時間。</p> <p>Oracle生成式AI助手可在幾分鐘生成患者記錄的註釋，並支援轉診和處方單的草擬以供批准，以及安排後續實驗室和預約。目前已有10多家美國診所或醫院展開試用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">生成式AI需求提升，微軟本季智慧雲端營收成長15％接近三百億美元</span></strong></p> <p>微軟日前公布了第4季營收，得益於雲端服務和商業軟體產品業績的增長，微軟整體營收高於市場預期，但是Azure增長則未達預期，導致其股價盤後下跌8%。</p> <p>本季中，微軟營收達到647億美元，成長15％，淨利為220億美元。全年總營收為2,451億美元，成長16%，淨利881億美元。</p> <p>在生成式AI需求的推動下，智慧雲端營收是微軟本季最高的收入來源，達285億美元，成長19%。其中Azure和其他雲端服務收入成長29%，推動伺服器產品和雲端服務收入成長21%。</p> <p>在生產力和業務流程方面，該季營收達到203億美元，成長11%。Office365商業收入增長13%，Office消費產品和雲端服務收入也有3%成長，Dynamics產品和雲端服務營收則增長16%。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端市場 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IDC調查：全球公雲服務支出預計到2024年將達8千億美元</span></strong></p> <p>市場調查機構IDC近日公布全球軟體和公有雲服務調查，指出全球公雲服務支出預計到2024年將達8,050億美元，到2028年更將翻倍成長。IDC預期，未來4年年度支出成長將略有放緩，但未來5年複合年增長率（CAGR）仍將達19.4%。</p> <p>從產業類別來看，銀行業、軟體和資訊服務以及零售業是採用公雲占比最多的三大行業，其中2024年公雲支出將達1,900億美元，IDC預估，到2028年，支出成長最快的產業是資本市場、生命科學和保險行業。</p> <p>從應用來看，以SaaS占整體公雲支出最高，達到40%，其次是內容工作流程和管理應用程式以及協作應用程式。到2024年，PaaS和IaaS將各占公雲支出的近20%。</p> <p>從地理區域來看，美國依舊是最大的公有雲服務市場，預計2024年支出將超過4,320億美元。到2024年，西歐將成為第二大市場，支出接近1,670億美元，其次是亞太地區（不包括日本和中國），支出將超過510億美元。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端渲染 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NTT Docomo </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">NTT Docomo開發新型雲端渲染技術，可在手機觀看高解析度的3D影片，未來還能應用在工業數位分身</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(9)(2).png" style="width: 600px; height: 294px;" /></p> <p>日本電信商NTT Docomo和NTT通訊近日成功完成了其自行開發的多平臺雲端渲染技術的驗證，強調用戶未來可透過雲端在智慧型手機上觀看高解析度的3D影片。</p> <p>Docomo表示，過去3D影像處理需要經過複雜運算處理，使得在手機等運算有限的裝置應用上十分困難，為了解決這個問題。Docomo將新的雲端渲染技術整合到3D影像處理應用程式中，先在雲端中將高負載、高精度3D視訊處理分散在雲端運算環境中處理，接著在邊緣運算環境中部署，以便可使用標準平板電腦和智慧型手機存取高清3D視訊。</p> <p>Docomo表示，這項技術未來也可應用到工業場景中，建立工廠或產線的數位分身。此外在土木工程和建築工地上也有相關應用。該技術預計明年4月商用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端沙箱 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IBM推出新的雲端沙箱服務，可在隔離非生產環境中測試新Xeon處理器在應用程式中執行的效能</span></strong></p> <p>近日，IBM推出新的雲端沙箱服務，可讓企業用戶使用IBM Cloud Virtual Servers for VPC在隔離的非生產環境中，測試第二代和第四代Intel Xeon等最新處理器在各種應用程式中的效能。</p> <p>IBM表示，這項新的雲端沙箱服務能夠追蹤伺服器的效能指標，如記憶體、CPU、網路和I/O利用率等，從而確保應用程式在短期和長期執行過程中，提供其所需的運算能力並控制預算。此沙箱在IBM Cloud VPC上自動化執行，並採用Terraform和IBM Cloud Schematics作為程式框架來管理，服務則按小時計費。</p> <p>在新的IBM Cloud VPC沙箱內進行測試時，企業可以選擇使用Monte Carlo模擬、Huggingface或Presto進行基準測試，也可以部署自訂應用程式。此外，還能測試多個自然語言處理模型的任務，包括Bert-base-uncased和Roberta-base等。</p> <p> </p> <p>圖片來源／N Docomo、Oracle</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.阿里雲與奧林匹克轉播服務公司OBS合推OBS雲端3.0平臺，加快奧運圖像和影片的即時傳遞</strong></p> <p><strong>2.Google Cloud現已推出Private Marketplace私有市集服務，允許用戶僅能購買和部署經過批准的雲端產品</strong></p> <p><strong>3.傳雲端資安新創Wiz拒絕谷歌230億美元收購提議，將尋求IPO</strong></p> <p><strong>4.美國聯邦貿易委員會對IBM擬以64億美元收購HashiCorp的交易案啟動反壟斷調查</strong></p> <p><strong>資料來源：iThome整理，2024年7月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/8/2 09:43作者余至浩https://www.ithome.com.tw/news/164243
可惡Android惡意軟體BingoMod，盜完銀行帳戶還順手抹除裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cleafy研究<a href="https://www.cleafy.com/cleafy-labs/bingomod-the-new-android-rat-that-steals-money-and-wipes-data" target="_blank">發現了新種類的Android惡意軟體</a>，並命名為 BingoMod。BingoMod會試圖接管裝置上銀行帳戶並且轉移金錢，在成功完成盜取任務後，攻擊者便會抹除受感染的裝置，消除BingoMod的活動痕跡，增加BingoMod被調查的困難度。</p> <p>BingoMod屬於遠端存取木馬（RAT），攻擊者可以利用它遠端控制受感染的裝置，並且利用裝置上詐騙（On Device Fraud）技術接管銀行帳戶。BingoMod主要透過簡訊釣魚的方式散布，其通常會偽裝成合法的防毒軟體，一旦BingoMod安裝至受害者裝置上，便會要求用戶啟用無障礙服務，當用戶授予請求權限，BingoMod APK便會開始自我解壓縮，並且執行惡意酬載（Payload）。</p> <p>BingoMod利用無障礙服務監控鍵盤紀錄，竊取用戶輸入的敏感資訊，並攔截金融機構透過簡訊發送的交易驗證碼，進一步竊取受害者身分並進行金融詐騙。另外，BingoMod還會透過遠端控制功能，讓攻擊者可以完全操縱受感染裝置，從遠端執行諸如點擊、填寫表單和打開應用程式等操作。</p> <p>同時，BingoMod還會使用Media Projection API獲取即時螢幕內容，把這些資料傳送給攻擊者，使其能夠監控裝置運作。此惡意軟體的釣魚手段包括覆蓋攻擊和虛假通知，誘使用戶輸入敏感資訊並且進一步傳播惡意軟體。</p> <p>不僅如此，BingoMod通常在成功竊取受害者銀行財務後，還會遠端抹除裝置。雖然研究人員指出，此功能僅限於清除裝置的外部儲存，但是攻擊者也可能透過BingoMod遠端存取能力，從系統設定中執行完整清除。</p> <p>BingoMod特性使其成為一個具高度威脅性的惡意軟體，對受感染裝置的控制能力極高，可以執行廣泛的惡意活動。研究人員認為BingoMod的開發者可能缺乏進階的惡意軟體技術或經驗，僅用了基本的混淆技術和簡單功能，相較於複雜性，開發者可能更重視功能快速實作。</p> <p>BingoMod雖然擁有類似於Brata惡意軟體的裝置抹除能力，但因為BingoMod相對簡單，所以研究人員猜測BingoMod裝置抹除功能，比較像是一種簡單的退出策略。</p> <p>防止BingoMod的措施除了避免點擊不明訊息中的連結，也要小心應用程式的權限請求，確保安裝可靠的防毒軟體和安全應用程式，同時也要為所有敏感帳戶啟用雙因素驗證，並且經常檢查金融交易紀錄，及早發現任何可疑和未經授權的活動。</p> </div></div></div>
2024/8/2 08:36作者李建興https://www.ithome.com.tw/news/164260
Apple將自家使用的同態加密技術，以開源Swift開源套件釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在自家服務<a href="https://www.swift.org/blog/announcing-swift-homomorphic-encryption/" target="_blank">引入同態加密（Homomorphic Encryption）技術</a>保護用戶隱私，同時也把該加密技術Swift實作開源出來，讓開發者可以更簡單地在程式中應用同態加密。</p> <p>同態加密技術可以在不解密的情況下，對加密資料進行計算，也就是計算過程不需要揭露資料的原始內容，而且計算結果也是加密的，唯有擁有解密金鑰的一方，才能解密並查看最終結果。同態性是這種加密技術的關鍵，也就是加密資料和解密資料上進行數學運算後，會產生相同的結果，當明文資料執行同態操作結果是A，則對應加密資料經過同一操作後，解密後的結果也會是A。</p> <p>對開發者來說，客戶端可以將加密的資料發送到伺服器中，伺服器在加密資料上進行操作並回傳結果，而伺服器執行過程中不需解密原始資料，也沒有存取解密金鑰的權限。這種方法應用在雲端服務，可進行敏感資料計算並保護用戶資料隱私安全。</p> <p>傳統私密資訊擷取（Private Information Retrieval，PIR）的實作方法，是讓伺服器把整個資料庫發送到客戶端進行本地端處理，如此可以避免伺服器掌握正在查詢的關鍵字，但僅適用於小型且不會頻繁更新的資料庫。</p> <p>而使用同態加密技術則可擴大應用場景，Apple在自家使用同態加密技術的具體案例之一，是iOS 18的Live Caller ID Lookup功能，該新功能提供來電顯示和垃圾電話過濾服務，Live Caller ID Lookup會使用同態加密發送加密查詢至伺服器，伺服器便會根據電話號碼資訊進行查詢，但是又不會知道請求中具體的電話號碼。</p> <p>Apple所開源Swift同態加密套件使用了Swift Crypto中高效能低階加密原語，支援伺服器端Swift，並且可使用Benchmark函式庫進行簡單的基準測試。</p> </div></div></div>
2024/8/2 08:44作者李建興https://www.ithome.com.tw/news/164261
績效控跟工作狂的差異
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0726_gao_ji_xiao_xin_zhi_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小改變，卻能帶來大改善的例子，讓人想起古希臘數學家阿基米德的名言：「給我一個支點和一支夠長的槓桿，我就能撐起地球。」聰明的重新設計工作，就是要找到那個支點，並以聰明的方式來利用它。這就是聰明工作，如此一來才能事半功倍。</p> <p>是否職位較高的人才能重新設計工作？我們的研究發現，其實大多數的人都做得到。根據我們的調查，不論職位高低，或是資歷深淺，重新設計工作的能力都不相上下。</p> <p><span style="font-size:28px;"><strong>重新設計工作，你也可以</strong></span></p> <p>整體而言，各行各業的人都能夠重新設計他們的工作。當然，資淺的人能重新設計的空間較有限，主管階級能改變的範圍較大。</p> <p>儘管如此，絕大多數的工作都賦予你一定程度的自由來決定要做什麼，以及怎麼做。重點只在於，怎麼改變最能創造價值？我們再來看看兩個重新設計工作的實用技巧。</p> <p><span style="color:#B22222;"><strong>找出痛點</strong></span></p> <p>要尋找重新設計工作的機會，你可以從「痛點」下手，也就是困擾很多人的棘手問題。</p> <p>45歲的卡門是商業分析師，在總部位於紐澤西的壽險公司工作。她必須處理公司保險代理人的薪資，而這些保險代理人分布在全國各地。多年來，她協助這些保險代理人處理所謂傷病的第三方賠償，其中涉及很多繁瑣的步驟和稅金的申報。卡門幾乎每天都會接到來自保險代理人的抱怨電話，整個申報過程對他們來說就像迷宮一樣，文件常常就這麼卡住，因而火冒三丈。</p> <p>這就是一個痛點。</p> <p>有一天，卡門覺得實在忍無可忍，於是請公司電腦程式師幫忙簡化申報流程。後來，「我們把這個複雜的系統簡化，變成單一使用者介面，讓使用者只要點擊幾下就完成了，系統就會自動分類。」現在，保險代理人登入這個系統，只要幾分鐘就可完成申報作業。卡門在重新設計工作方面的表現獲得最高分（7分），在我們研究的5,000人中排在前15%。</p> <p>如果你能發現痛點，幫助同事、顧客和供應商解決讓他們深感苦惱的問題，你的工作就能創造很大的價值。人愈痛苦，就會叫得愈大聲。一旦有了解決辦法，讓人得以離苦得樂，你創造的價值就愈大。</p> <p><span style="color:#B22222;"><strong>問笨問題</strong></span></p> <p>有時，我們因陷在某個既定的想法或方法中，因此想像不出重新設計工作的好點子。我們都認為鐵錘是用來把釘子釘到牆上的，這就是鐵錘的用途；學校教室是教學的地方，而老師則是站在教室前面講課的人，而非像教練一樣幫助個別學生。但真的是這樣嗎？</p> <p>如平克（Dan Pink）在《動機，單純的力量》一書所言，我們很容易陷入「功能固著」的心理，因為受制於先前經驗，自覺或不自覺的認定某種東西只具有特定功能，因此會固著於以前的做事方式，無法跳脫束縛、解決問題。</p> <p>我們必須甩開熟悉的枷鎖，用新的眼光來看為什麼事情要這麼做，以及是否有更好的做事方式，才能重新設計工作，並帶來更大的效能。要怎麼做呢？從問「笨問題」開始：</p> <p>為什麼報告要用很多投影片？為什麼要在星期一早上開會？為什麼我們要報帳？為什麼我們要進行年度績效評估？</p> <p>一旦你養成問笨問題的習慣，就會常常思索「如果這樣，會怎樣」的問題。問笨問題加上「如果這樣，會怎樣」的思索，就能讓你破除習慣的束縛、突破思考的盲點，想出重新設計的妙點子，提升績效。</p> <p>今天，很多人的工作方式依然和工業革命之初無大差別。</p> <p>然而，現在科技正在顛覆工作的傳統思維，有愈來愈多人不想像過去一樣工作，並質疑該怎麼做才能更不費力，成效卻更好。在這個不斷變動的時代，一家公司只有藉由產品和服務的創新才能超越其他公司。個人也一樣，必須藉由工作創新，才能有突出表現。</p> <p>重新設計工作的人，會努力做對的事，並把事做對。在我們的研究中，表現最傑出的人都知道關於改變的基本道理：不能一件事還沒做完，就急著進行下一件。但一旦你做了改變，就必須堅持下去，精益求精。</p> <p><span style="font-size:28px;"><strong>打動人心，最有效的方法之一</strong></span></p> <p>在現代職場，能為自己的目標喉舌，以求取所需的支援，只是眾多人際互動技巧之一。很多人都以為，必須先提出理性訴求，別人才會支持我們的計畫和目標；運用邏輯和數據，詳細解釋為何要進行這樣的案子，才能贏得贊同。</p> <p>一般人很容易落入更賣命工作的苦勞模式中，以為用更多的電郵、投影片、文件、報告和數據來淹沒對方，就能成功說服。然而，如果別人不聽你說，或是根本不接收你的訊息，你講再多遍，也只是白費工夫。</p> <p>在研究中，我們發現，各行各業的高績效人士通常不會先把理性訴求搬上檯面，他們會採取幾種說服策略，來推動自己的點子與提案。他們用聰明方法說服，不用蠻力來使人屈服。善於說服、激勵他人的人，除了會講理，最重要的是能夠擄獲人心。不少研究也指出領導人在提出願景、目標或計畫時，必須讓人感到興奮，才能贏得真心支持。</p> <p>根據賓州大學心理學教授達克沃斯（Angela Duckworth）的研究，恆毅力（grit）是一種追求長期目標的毅力和熱情；為何有些人可以成功，其他人不行，關鍵就在恆毅力。</p> <p>在我們的研究中，說服高手在達成目標的過程之中，也會利用恆毅力來克服阻礙，但他們不是只會埋頭苦幹，使盡全力去克服困難，而是利用策略來聰明化解歧見，打動人心。</p> <p>懂得打動人心，並運用巧毅力，別人才會更願意支持你，助你達成目標。在我們的5,000人研究中，在說服方面表現最好的人，比起不善於說服者，績效排名領先15個百分等級。</p> <p>在我們的研究中，不管什麼職位，位居經理人或只是基層員工，能在打動人心和運用巧毅力兩方面獲得高分的人，績效表現都十分傑出；但如果只有一方面表現佳，績效就沒有那麼好了。由此可見，只要用對方法，任何人都可以在組織內推動新點子、發揮影響力。</p> <p>要打動人心，最有效的方法之一，是同時激起他人的負面情緒以及正面情緒；讓人對現況失望，但同時對未來感到興奮。</p> <p>華頓商學院教授博格（Jonah Berger）在《瘋潮行銷》一書探討網路上訊息的傳播，特別是挑起「高喚起情緒」的重要。這種情緒會「使人進入啟動狀態，心跳加快、血壓上升，準備行動。」</p> <p>興奮與歡喜，以及焦慮與憤怒，都屬於高喚起情緒，而滿足與悲傷則是低喚起情緒。博格與行為經濟學家米爾克曼（Katherine Milkman）研究在《紐約時報》發表超過三個月的文章，發現如能成功引發讀者的高喚起情緒，文章登上電郵轉傳熱門文章榜的比率，比喚起其他情緒高出24至38%。讀者會因這些高喚起情緒而採取行動，博格下結論說：「讓人瘋狂，別讓人難過。」</p> <p>要說服他人，就不要讓人傷心或自滿；讓人興奮或生氣，才能促使人改採新行動。</p> <p>為了打動人心，並獲得他人支持，你必須激起他們的高喚起情緒，讓他們對現況感到焦慮，同時對你提出的目標感到歡喜、興奮。如果你能成功激發出這樣的情緒，就能說服別人，跟隨你的領導。<strong>（本文摘錄整理自《高績效心智（暢銷新編版）》，天下文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_%E9%AB%98%E7%B8%BE%E6%95%88%E5%BF%83%E6%99%BA_600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／天下文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 高績效心智：全新聰明工作學，讓你成為最厲害的1%</strong><span style="font-size:14px;">（暢銷新編版）</span></p> <p>莫頓．韓森（Morten T. Hansen）／著</p> <p>廖月娟／譯</p> <p>天下文化出版</p> <p>定價：500元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_%E9%AB%98%E7%B8%BE%E6%95%88%E5%BF%83%E6%99%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Morten%20T_%20Hansen.jpg" style="width: 170px;" /></p> <p><a href="https://www.mortenhansen.com/about/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Morten T. Hansen</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>莫頓．韓森（Morten T. Hansen）</strong></p> <p>加州大學管理學教授，也在法國歐洲工商管理學院、蘋果大學任教。</p> <p>三度入選「全球50大管理思想家」，被譽為「管理學界最有影響力的聲音」，是研究企業績效與個人表現的世界級權威。曾任教於哈佛商學院，和《從A到A+》作者柯林斯合著國際暢銷書《十倍勝，絕不單靠運氣》，也曾在波士頓顧問集團任職，為全球企業提供諮詢服務。</p> <p>史丹佛大學商學院博士，曾獲傅爾布萊特獎學金資助，研究論文多次獲獎。經常受邀到各國演講，協助企業、經理人和工作者有更傑出表現。</p> </div></div></div>
2024/8/2 06:00未署名https://www.ithome.com.tw/article/164056
國壽靠IT快速對齊市場驟變，大舉上雲更要建立純雲作業能力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對國泰人壽而言，上雲是為了跟上保險業激烈的市場演變，這是來自三年前全球疫情衝擊的經驗。當時，臺灣進入三級警戒，保險局一周內拍板，開放業者辦理遠距投保，作為保險業務員執業的替代措施。如何快速建立投保、理賠等線上服務，成為當時保險業IT最大挑戰。</p> <p>但是，要快速建立一套新的運作環境可不容易。尤其既有地端資源有限，為了採購一套硬體設備，歷經簽核、議價、下單等過程，到貨後還得進行上線和測試。掌理國泰人壽基礎設施的國泰人壽系統資訊部協理吳明憲直言，光是船運就要等三個月。「如果別家保險公司採用公雲，迅速完成建置，我們卻要等快半年，怎麼跟人家競爭？」吳明憲一句話來點出保險業上公雲的必要性。一次市場驟變，驅使國泰人壽進一步思考採用公雲，綜合考量後，國泰人壽在2022年展開系統上雲的評估，一步步實現系統上雲計畫。</p> <p><span style="font-size:28px;"><strong>過往就曾採用私有雲技術，發展中臺環境</strong></span></p> <p>這並不是國泰人壽第一次採用雲端技術。早在2015年，國泰人壽為了因應業務量大增伴隨'的系統連線需求，開始發展私有雲，逐步將傳統系統架構轉換為多機叢集的雲端架構，打造新一代資訊系統。</p> <p>國泰人壽系統資訊部協理吳明憲回憶，當時將運作在IBM Power系列主機的周邊系統，遷移至X86架構伺服器上，來發展微服務架構的中臺環境。</p> <p>不同於2015年的架構調整，國泰人壽這次的公雲評估，更在意的是如何彈性運用資源。</p> <p>吳明憲指出，國壽現有地端資源足以支援營運需求，能支持高達2萬名壽險業務員同時連線，但他強調，「無法確定未來流量是否會更大。」</p> <p>另外，吳明憲表示，現有地端資源得經過不斷地改良和調整，擴增大量設備，才能支援高峰流量需求，但是，「事實上，平日可能只要支援3千人連線的流量。」</p> <p>吳明憲點出，雲端資源以量計價，還可以動態調整，避免多餘硬體設備的成本開銷，「資源擴充的靈活度，是國泰人壽採用公有雲的一大考量。」</p> <p>2022年，國泰人壽跟進採用國泰金控制定的上雲策略，開始進行雲環境就緒（Cloud Ready）架構的準備，著手相關評估，在地端機房部門成立雲端團隊，由金控提供培訓，將國泰人壽既有的地端維運人員轉型為雲端人才。完成相關評估後，國泰人壽在2023年選定17套系統先上雲，包括了16套行銷活動網站和機場旅平險系統。</p> <p><span style="font-size:28px;"><strong>風險、商業價值和技術成本是系統上雲評估關鍵</strong></span></p> <p>國泰人壽如何一步步實現系統上公雲計畫？第一步，是先依據風險和商業價值高低，來篩選適合上雲的系統，第二步，根據技術成本高低，來考量系統上雲方式。</p> <p>吳明憲根據系統的重要性評估上雲風險，判斷系統上雲後，對公司營運影響程度。例如，核心系統涵蓋重要業務，上雲可能對營運造成影響，反觀，活動網站流量變化大，在使用量低時上雲，較不會影響營運。</p> <p>考量商業價值時，則是挑選出使用量較大或流量變化大的系統。根據兩項評估條件，吳明憲和團隊盤點了上百套系統，最後從活動網站系統下手，選出16套使用量和變動量大的活動網站，包含每年舉辦的客戶子女獎學金活動網站，和健走公益活動網站等。</p> <p>另外，考量機場旅平險系統營運時間特殊，時常與IT設備維運時間衝突，導致維運人員修理、更新設備時，往往會影響到系統運作。因此，國泰人壽也將機場旅平險系統列入第一階段的上雲系統。</p> <p><span style="font-size:28px;"><strong>低度調整應用程式架構，讓系統達到上雲最適狀態</strong></span></p> <p>篩選出上雲系統後，如何根據系統特性，決定最適合的上雲形式，更是一門學問。</p> <p>吳明憲表示，IT團隊根據國泰金控自己訂定的 Cathay 6R 上雲遷移理論，來評估適合形式，其中，技術成本是主要考量依據。國壽希望以最少的技術成本，讓系統達到上雲最適狀態。</p> <p>吳明憲解釋，以活動網站為例，該類系統採用了較現代化的 Spring Boot 框架，對照金控的上雲方法論，僅需低度調整應用程式架構即可，例如，將活動網站資料庫依業務別拆分，讓系統能在微服務平臺上運作，不需大幅更改架構或替換整個系統。</p> <p>國泰人壽的作法，並不是要將所有系統改造為微服務、容器化架構，而是將這兩項技術作為系統上雲的手段之一。吳明憲解釋，微服務架構除了能讓系統更方便上雲，各個服務獨立運作，可針對單一服務使用量計費，不僅能節省整體開銷，團隊更能細緻管控各個服務使用量及成本。</p> <p>將應用程式調整成微服務架構後，國泰人壽採 PaaS 模式將應用程式上雲。建立雲端基礎設施環境時，則會依據服務供應情況採用 SaaS 或 IaaS 模式。若供應商有提供對應服務，則會直接採用SaaS模式訂閱服務，若沒有，則會採用虛擬機模式上雲。</p> <p>以國泰人壽內部的程式碼防竄改系統為例，目前，國泰人壽使用的雲端供應商並未提供相關服務，因此，他們選擇在雲端環境建立虛擬機，透過 IaaS 模式將這個原本在地端的系統遷移上雲。</p> <p>在挑選雲端環境周邊工具時，吳明憲特別重視供應商綁定問題。</p> <p>目前，國泰人壽僅採用一家雲端供應商的服務，「但我們會保持一定程度的可遷移能力。」吳明憲強調，像是選擇支援通用介面的服務，盡量不用供應商的獨門技術。</p> <p>例如，挑選資料庫服務時，得留意資料庫服務是否支援標準 SQL 語法，避免日後難以遷移至其他公雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%90%B3%E6%98%8E%E6%86%B2-600-2_%E5%9C%8B%E6%B3%B0%E4%BA%BA%E5%A3%BD_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>今年還要將14套系統上雲，讓既有上雲系統朝向純雲端運作模式</strong></span></p> <p>完成第一階段系統上雲計畫後，國泰人壽也累積了足夠的系統上雲經驗和能力，今年正式步入大規模上雲階段。IT最高主管國泰人壽副總經理王富民更下達了年度目標，要再將14套系統上雲，包括7套活動網站和7套業務類、服務類系統。</p> <p>另一項重要目標，要讓已上雲的系統朝向「純雲」運作。吳明憲解釋，第一階段上雲的17套系統運作時，部分操作仍須連接至地端。</p> <p>例如，當保戶在活動網站填寫業務人員代碼，系統需要連接部署在地端的人事系統，才能查詢資料，「如果地端不能運作，活動網站部分功能會連帶被影響。」吳明憲點出了這些系統上雲後最大擔憂。</p> <p>在上雲第一階段中，國泰人壽主要將應用程式改為微服務架構，達到系統上雲最適狀態。</p> <p>而在大規模上雲階段，國泰人壽納入了活動網站以外的系統，不同類型系統上雲的作法也大不相同。吳明憲以人事系統舉例說明，考量這款系統不需經常修改，他們計畫採用 IaaS 上雲模式，運用虛擬機將人事系統直接遷移上雲。未來，國泰人壽新開發的系統也會優先考慮在雲端環境上建立。</p> <p>除了要在今年將14套周邊系統上雲，吳明憲透露，內部正在嘗試將核心系統部分業務遷移上雲。他解釋，壽險核心系統中包含新契約、投保、理賠和保費等作業，其中，投保和理賠作業的流量變化較大，所以，「國泰人壽已經計畫將這兩個部分上雲。」今年，國泰人壽從網路投保旅平險系統開始試行，先改寫系統，再近一步評估是否上雲。吳明憲表示，考量核心系統上雲風險較大，國泰人壽並未將核心系統上雲列入今年年度目標。</p> <p>開始採用公雲服務後，控管成本成為重要課題。為了讓維運人員更快速掌握每月開銷變化，今年初，國泰人壽啟動 FinOps 計畫，由內部團隊自建雲端費用管理儀表板，大至專案消耗費用高低，小至網路流量、CPU 負載和磁碟機花費成本等等。</p> <p><span style="font-size:28px;"><strong>因應雲端時代，地端人才關鍵能力開始轉變</strong></span></p> <p>回看第一階段上雲旅程，吳明憲點出，國泰人壽過往累積的轉型經驗，在這次計畫帶來不少助力。</p> <p>早在20年前，國泰人壽推動過一次IT變革，將傳統大型主機封閉式架構，轉換為 Java 語言的開放架構。「那時候開始學會容器概念。」這個經驗，讓他在主導上雲過程中，更容易掌握微服務架構技術原理。</p> <p>執行上雲計畫過程中，最大挑戰並非來自技術問題，而是法規和人才培育。吳明憲回憶，早在金管會宣布鬆綁上雲規範前，內部就開始進行上雲報准程序，直到八月新規範上路，大幅簡化上雲流程，為團隊開闢一條暢通的路，才順利將系統逐一遷移上雲。</p> <p>另一方面，維運地端和雲端基礎設施需要的關鍵能力大不同，如何籌組雲端團隊，將既有地端人才培育成雲端人才更是不容易。吳明憲的作法是，在部門底下設立一支雲端團隊，逐一了解、找出雲端有興趣的地端管理人員，將這批人手調派至雲端團隊中，再透過金控提供教育訓練，來培育這支團隊。</p> <p>吳明憲指出，傳統地端機房人員不需要學習軟體開發，但是，開始採用公雲服務後，機房維運人員也得開始使用程式，來建立基礎設施環境，「人人都會成為軟體開發人員。」這句話點出，在雲端時代下，IT從業人員的技能得更加地全面化，才能跟上這波趨勢。國泰人壽也正在迎戰這波人才轉型挑戰。文⊙李昀璇</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>國泰人壽系統資訊部協理吳明憲</strong></p> <p>學歷：成功大學土木工程碩士</p> <p>經歷：在國壽擁有長達20年IT經歷，從維運基礎設施開始做起，職涯途中曾轉至程式開發相關部門，從事應用系統軟體開發，先後又從事了壽險核心系統和投資系統的維運工作，最後回到系統資訊部擔任協理，掌理基礎設施，是支持國壽IT運作的主要執行者之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%90%B3%E6%98%8E%E6%86%B2-600_%E5%9C%8B%E6%B3%B0%E4%BA%BA%E5%A3%BD_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>國泰人壽</strong></p> <p>●地址：台北市大安區仁愛路四段296號</p> <p>●成立時間：1962年</p> <p>●主要業務：人身保險的銷售及其相關業務</p> <p>●員工數：截至2024年5月，共29,161人</p> <p>●營業收入：2024年1月至6月，共4,106億元</p> <p>●董事長：熊明河</p> <p>●總經理：劉上旗</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：副總經理</p> <p>●資訊部門直屬主管：王富民</p> <p>●資訊部門分工：系統資訊部、壽險資訊部、行銷資訊部、投資資訊部</p> <p>●資訊部門人數：569人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●1975年：正式啟用大型主機電腦系統（第一代資訊系統）</p> <p>●1990年：建置全省300個連線服務據點的全國連線作業網（第二代資訊系統）</p> <p>●2002年：建置傳統主機異地備援中心</p> <p>●2009年：將壽險核心系統轉換至開放平臺（第三代資訊系統）</p> <p>●2012年：保險業務導入行動化</p> <p>●2016年：資訊系統轉換至私有雲運算平臺（第四代資訊系統）、資訊系統雙活中心（Active-Active）的建置</p> <p>●2018年：微服務平台建置、客戶關係管理系統（CRM2.0）建置</p> <p>●2019年：開始規劃和建置數位工作區平台（VDI）</p> <p>●2020年：開始導入醫療數位影像AI輔助診斷</p> <p>●2022年：啟動上雲計畫</p> <p>●2023年：16套行銷活動網站和1套機場旅平險系統，共17套系統上雲</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1192-wu_ming_xian_960_guo_tai_ren_shou_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="國泰人壽系統資訊部協理吳明憲（攝影／洪政偉）" /></div></div></div>
2024/8/2 06:00作者李昀璇https://www.ithome.com.tw/people/164191
搭配4GB記憶體與Ampere架構，輝達新工作站繪圖卡上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_a400_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月，Nvidia突然發表兩款入門級專業繪圖處理器，所採用的架構是已存在市場4年之久的Ampere，而非近期主打的Ada Lovelace，出乎大家意料之外，其中率先推出的款式是RTX A1000，另一款RTX A400原定5月開始供應通路銷售，到了7月底Nvidia發信通知大家，宣告此產品上市，而在臺灣的多個網路購物平臺上面，現在也能看到廠商販售。</p> <p>單就目前市面上的Nvidia主流專業繪圖處理器而言，RTX A400規格雖然相對單薄許多，例如，記憶體容量僅配備4 GB、記憶體頻寬為96 GB/s，但在入門級產品的部分，還有T1000與T400這兩款採用PCIe 3.0介面，以及導入上上一代架構Turing的GPU墊底。</p> <p>新上市的RTX A400，支援PCIe 4.0介面，憑藉Ampere架構的768顆的CUDA核心，以及24顆Tensor核心與6顆RT核心，額外提供AI與光線追蹤的加速運算能力，可在個人電腦與工作站執行先進的AI應用，像是智慧型對話機器人（intelligent chatbots）、AI輔助操作功能（copilots），也能協助多媒體數位內容工作者，進行逼真、具有物理精確程度的3D著色處理設計，提升創意與寫實能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Ampere ProGraphics GPU-A400.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Ampere%20ProGrahics-A400-2.jpg" style="width: 600px;" /></a></p> <p>而在多媒體編解碼的處理，RTX A400支援AV1多媒體視訊編碼的解碼處理，並且內建1個NVENC第7代編碼引擎，以及1個NVDEC第5代解碼引擎（RTX A1000提供2個解碼引擎）。</p> <p>根據Nvidia的測試，以同樣採用4GB GDDR6記憶體的T400作為效能比較基準時，RTX A400的圖形處理效能增長40％，著色處理效能提升至3.1倍，AI處理效能規模擴充達到2.3倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia RTX A400 Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20RTX%20A400%20Performance.jpg" style="width: 600px;" /></a></p> <p>在螢幕畫面輸出的規格上，Nvidia主流專業繪圖處理器產品目前都內建4個DisplayPort或Mini DisplayPort，支援4螢幕顯示，RTX A400也比照辦理，可便於金融服務、指揮與控制、零售、交通等產業的應用需求。相較之下，T400提供3個Mini DisplayPort，而透過DisplayPort多串流傳輸（MST）功能的運用，而能支援4螢幕顯示。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia RTX A400</strong><br /> ●原廠：Nvidia<br /> ●建議售價：6,600元（麗臺科技）<br /> ●CUDA處理核心數量：768個<br /> ●Tensor Core數量：24個<br /> ●RT Core數量：6個<br /> ●內建記憶體容量：4 GB GDDR6<br /> ●記憶體頻寬：96 GB/s<br /> ●連接介面：PCIe 4.0 x8<br /> ●支援NVLink：否<br /> ●單精度運算效能：2.7 TFLOPS<br /> ●外觀尺寸：單槽半高，高2.7吋、長6.4吋<br /> ●DisplayPort埠：Mini DisplayPort 1.4a版規格，4個<br /> ●耗電量：50瓦<br /> ●支援繪圖處理API：Shader Model 6.6、OpenGL 4.6、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 11.6、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/1 19:18作者李宗翰https://www.ithome.com.tw/review/164241
【資安日報】8月1日，Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週再度傳出微軟多項雲端服務運作異常的現象，許多使用者面臨不穩定，甚至是無法存取，由於一週前才<a href="https://www.ithome.com.tw/news/164028">發生了類似的情況</a>，因此，這起事故發生的原因，引起許多用戶的高度關注。</p> <p>7月31日微軟對此提出說明，起因是Azure的基礎設施遭到DDoS攻擊時，他們實作的防護措施竟然放大了流量而釀禍，導致重要元件運作效能大幅降低，嚴重影響各項雲端服務的運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164247"><strong style="font-size: 22px;">微軟證實Azure服務不穩的原因，是DDoS防護功能異常造成</strong></a></p> <p>7月30日眾多Microsoft 365及Azure服務發生連線問題，多項服務出現無法存取，或是連線速度大降的問題。當時Azure狀態頁顯示，受影響服務涵括Microsoft 365管理員中心、Intune、Entra、Power Platform。微軟當時也要求管理員留意M365管理員中心編號MO842351的更新訊息。最後微軟團隊緊急變更網路配置，啟動備援計畫轉換到其他網路路徑排除問題。</p> <p>隔日微軟公布這起事故發生的原因，最初是Azure基礎架構遭遇DDoS攻擊，相關的防護機制隨之啟動，但後來他們調查發現，這些防護措施不僅沒有減緩攻擊流量，反而將其放大，導致Azure Front Door（AFD）及Azure Delivery Network（CDN）元件效能受到衝擊，進而引發用戶端間歇性錯誤、連線逾時、延遲大幅增加的情況。</p> <p><a href="https://www.ithome.com.tw/news/164246"><strong style="font-size: 22px;">Proofpoint郵件安全服務出現漏洞，攻擊者藉此發送數百萬封釣魚郵件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_olxDjak5YFCRW7-Ji0VMXg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_olxDjak5YFCRW7-Ji0VMXg.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露一起大規模網路釣魚攻擊行動，駭客疑似利用Proofpoint郵件防護服務的漏洞EchoSpoofing，從而讓發出的釣魚郵件具有通過驗證的SPF和DKIM簽章，並能回應Proofpoint的電子郵件轉發服務，而能夠突破主要的資安防護系統偵測。而這些駭客大量散布的釣魚郵件，用途是竊取收信人的資產或信用卡資料。對此，Proofpoint迅速採取行動來緩解弱點。</p> <p>採用這項Proofpoint郵件防護服務的企業大多相當知名，例如，財星100大企業有87家採用，包括迪士尼、IBM、Nike、可口可樂，因此上述漏洞的影響範圍，很可能相當廣泛。</p> <p>對於這起事故的受害期間與規模，根據Guardio的觀察，相關行動今年1月出現，平均每天寄出300萬封惡意郵件，單日最高可達到1,400萬封。</p> <p><a href="https://www.ithome.com.tw/news/164253"><strong style="font-size: 22px;">北韓駭客發動Dev#Popper攻擊行動，鎖定Windows、macOS、Linux開發人員而來</strong></a></p> <p>4月底資安業者Securonix揭露北韓駭客發起的Dev#Popper攻擊行動，攻擊者假借徵才的名義，尋找開發人員下手，事隔3個月，他們發現這些駭客的手法變得更加刁鑽，攻擊的範圍橫跨多種作業系統。</p> <p>而對於這些駭客啟動攻擊鏈的方式，研究人員指出，一旦面試者取得對方提供的ZIP壓縮檔，下達npm install及npm start的命令部署NPM套件，埋藏其中的JavaScript程式碼就會執行，啟動感染鏈。雖然攻擊流程大致相同，但這次不光針對Windows電腦，也鎖定Linux及macOS作業系統，顯然影響範圍擴大。</p> <p>駭客並未挑選特定的目標進行攻擊，但Securonix看到韓國、北美、歐洲、中東地區都有人受害，顯示這波行動影響的國家區域不少。</p> <p><a href="https://www.ithome.com.tw/news/164255"><strong style="font-size: 22px;">網路釣魚攻擊鎖定OneDrive用戶，引誘執行惡意PowerShell指令碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-3.jpg" style="width: 300px; float: right;" /></a>資安業者Trellix揭露針對雲端檔案共享服務OneDrive用戶而來的攻擊行動，駭客先是寄送釣魚郵件，其中內含HTML附件檔，一旦收信人開啟，電腦就會顯示共享PDF檔案Reports.pdf的OneDrive網頁，並彈出Error 0x8004de86錯誤訊息，聲稱無法與OneDrive服務連線，使用者必須手動更新DNS快取來因應。</p> <p>假如使用者點選How to fix按鈕，就會看到「指示」，要求按下特定快速鍵（視窗鍵+X）並執行PowerShell或是終端機，然後在視窗裡先後按下Ctrl+V及Enter。一旦使用者依照指示操作，電腦就會執行以Base64編碼處理過的PowerShell命令。 </p> <p>究竟駭客何時擅自將惡意指令複製到剪貼簿？答案就是使用者按下How to fix之後，會同時觸發HTML檔案內嵌的JavaScript指令碼特定功能函數呼叫。</p> <p><a href="https://www.ithome.com.tw/news/164254"><strong style="font-size: 22px;">駭客冒用Google名義上架身分認證App廣告，企圖散布竊資軟體DeerStealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_fa7354.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_fa7354.png" style="width: 300px; float: right;" /></a>資安業者Malwarebytes揭露藉由提供Google Authenticator散布惡意程式的攻擊行動，駭客透過Google廣告進行宣傳，但特別的是，這則廣告的贊助商，竟然是google.com，使用者很可能以為是Google自己的廣告而上當。</p> <p>他們也追蹤使用者點選廣告之後的連線，在存取這個冒牌Google Authenticator網站（chromeweb-authenticators[.]com）的過程裡，駭客透過自己控制的網域進行重新導向。假如使用者點選駭客提供下載連結，電腦就會從GitHub下載竊資軟體DeerStealer。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc4393-goes-gently-into-silentnight/"><strong style="font-size: 20px;">勒索軟體駭客組織Black Basta打造自製惡意程式迴避偵測</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cybereason.com/blog/cuckoo-spear">中國駭客組織Cuckoo Spear鎖定日本企業組織，散布惡意程式LodeInfo、NoopDoor長達2至3年</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/bingomod-the-new-android-rat-that-steals-money-and-wipes-data">安卓惡意軟體BingoMod洗劫受害者的銀行帳戶，得逞後還會抹除裝置檔案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/gxc-team-unmasked/">研究人員揭露以人工智慧開發的網路犯罪服務，將網釣工具包結合惡意安卓應用程式</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164217"><strong style="font-size: 22px;">W3C對Google決定續留第三方Cookie感到意外，呼籲重新考慮</strong></a></p> <p>Google在日前突然宣布放棄在Chrome中封鎖第三方Cookie的計畫，這不只使得第三方Cookie固有特性帶來的隱私議題再度浮上檯面，同時也可能影響跨瀏覽器所提出的第三方Cookie替代方案的推展，W3C希望Google重新考慮保留Cookie的決定。</p> <p>W3C已經與Chrome隱私沙箱團隊、社群合作多年，共同尋求第三方Cookie替代解決方案，W3C表示，對於Google突然宣布不再計畫淘汰第三方Cookie感到意外，也認為會對改善網路隱私工作產生不利的影響，希望Google能重新考慮並扭轉他們的決定，重回移除第三方Cookie的路線。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.doe.gov.taipei/News_Content.aspx?n=B3DDF0458F0FFC11&sms=72544237BBE4C5F6&s=02C41D2E94033F0D"><strong style="font-size: 20px;">復興高中AI資安學程正式啟動，並與東吳大學進行策略聯盟，實現學程無縫銜接</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164205"><strong>【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164175"><strong>【7月29日】北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商</strong></a></p> </div></div></div>
2024/8/1 17:08作者周峻佑https://www.ithome.com.tw/news/164256
解析0719全球電腦大當機原因，資安專家推測CrowdStrike病毒特徵碼設計不良，造成藍色當機畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從早期的防毒軟體到現在的EDR軟體，這些防護端點設備的資安軟體，早成為個人電腦使用者與駭客對峙的第一線戰場。日前資安軟體CrowdStrike因為EDR軟體更新出包，引發全球約850萬臺微軟電腦，出現藍色當機畫面（BSOD）的資安事件。</p> <p>事件爆發初期，因為不確定是什麼原因引發的藍色當機畫面，微軟第一時間出面致歉後，也才追查出應該與CrowdStrike的EDR更新出包有關。在調研公司IDC針對EDR產品市占中，CrowdStrike更是經常位居第一，加上美國重要財星前五百大公司都安裝該產品，這也使得CrowdStrike因更新出包造成藍色當機畫面一出現後，瞬間成為全世界的頭條新聞。</p> <p>真正的原因，還是必須等CrowdStrike完整調查並公布後，才可能有進一步的了解，不過，根據對微軟作業系統安全有研究的匿名資安專家的推測，CrowdStrike之所以更新出錯，原因在於掛載設計不良的特徵碼包，導致作業系統核心的驅動邏輯出現問題（Parser解析邏輯不良），所以會誤用不存在記憶體的指標null-pointer讀取內容，造成BSOD藍色當機畫面。</p> <p>這次事故發生之後，也引發其他的討論，例如，作業系統是否應該允許資安產品拿到高權限？有臺灣資安業者對此持肯定態度，他們認為，若要偵測到惡意程式的運作，這類端點防護產品就必須對作業系統擁有更高的權限，才可以更早攔截到惡意程式的運作。</p> <p><strong>CrowdStrike的病毒特徵碼設計不良</strong></p> <p>對微軟作業系統安全有研究的匿名資安專家表示，若用戶安裝CrowdStrike Falcon EDR，會在作業系統核心（Kernel）層級，掛載執行核心驅動程式csagent.sys模組，負責做地端惡意程式的監控。他指出，這個模組為了有效監控用戶模式下惡意行為，因此，在電腦的磁碟會有病毒特徵碼。</p> <p>他進一步解釋，在Falcon EDR的架構下，CrowdStrike把病毒特徵碼稱做「Channel Files通道檔案」，其文件部署於System32\drivers\CrowdStrike的資料夾；其中，通道文件（即病毒特徵碼包）習慣以C-00000[ID]-[xxxxx].sys的格式存放在CrowdStrike資料夾內。</p> <p>他以這次出包的病毒特徵碼包「C-00000291*.sys」為例，便是Falcon用於偵測惡意程式Named-Pipe濫用行為的特徵碼包——常見像是駭客工具C&C（命令與控制伺服器）對駭客伺服器通訊使用的domain，或者其他命名管道名稱，都由這個特徵碼庫進行匹配與查殺。</p> <p>類似的部分在於，csagent.sys掛載此結構異常設計不良的291特徵碼包，導致核心驅動邏輯出現問題（Parser解析邏輯不良），所以誤用不存在記憶體指標null-pointer讀取內容，導致藍色當機畫面（BSOD）。</p> <p><strong>端點防護產品跟作業系統深度結合才能提早偵測</strong></p> <p>臺灣資安公司杜浦數位執行長蔡松廷（TT）坦言，類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，以前大家用防毒軟體來保護端點時，也都有類似情況，像是更新後元件造成系統當機不穩定，也可能因為資安系統耗掉所有的電腦資源。</p> <p>蔡松廷說，不管是防毒軟體或是EDR產品，要做到端點的防護，必須進入核心的運作，才可以做到即時阻擋惡意程式的運作，這些通常會有一個到多個的核心驅動程式，「一旦核心不穩定或有問題，最直接的反應就是當機，而每次只要電腦一開機，就會啟動防護功能，如果不清楚驅動程式不穩定的原因，最有可能、最差的狀況是：啟動所有端點防護功能時，都會出現當機狀態。</p> <p>他也解釋，這些端點安全防護軟體必須和作業系統有很深的綑綁，有其必要性，因為如果這些端點防護軟體與作業系統核心底層能有更深的連結，有足夠高的權限，就可以更早攔截到惡意程式；假使無法進入作業系統的核心，就等於跟惡意程式運作在同樣的層級，而且，端點防護系統倘若無法偵測到惡意程式，就會被惡意程式制約。</p> <p>從這起事件中，蔡松廷更意識到，這類端點防護系統的核心程式開發，一定必須小心再小心，重複經過各種驗證程序後，才能避免發生類似的意外。他也說，這次CrowdStrike造成的EDR更新出包，必須要手動進入安全模式後才能處理，倘若公司有成千上萬的個人電腦端必須手動處理，將可能會影響到公司的營運，不得不慎重。</p> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-content"> </div> </div> </div></div></div>
2024/8/1 17:41作者黃彥棻https://www.ithome.com.tw/news/164259
網路釣魚攻擊鎖定OneDrive用戶，引誘執行惡意PowerShell指令碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假借排除電腦錯誤碼的名義，引誘使用者複製PowerShell命令並執行的攻擊手法，最近有數起資安事故傳出，例如，有人架設<a href="https://www.ithome.com.tw/news/163741">冒牌IT技術支援網站而散布竊資軟體Vidar Stealer</a>、也有<a href="https://www.ithome.com.tw/news/163513">聲稱應用程式出錯而誘使植入惡意軟體</a>的情況，如今又有類似的網路攻擊出現。</p> <p>資安業者Trellix揭露<a href="https://www.trellix.com/blogs/research/onedrive-pastejacking/">針對雲端檔案共享服務OneDrive用戶而來的攻擊行動</a>，駭客先是寄送釣魚郵件，其中內含HTML附件檔，一旦收信人開啟，電腦就會顯示共享PDF檔案Reports.pdf的OneDrive網頁，並彈出Error 0x8004de86錯誤訊息，聲稱無法與OneDrive服務連線，使用者必須手動更新DNS快取來因應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-1.jpg" style="width: 580px;" /></a></p> <p>而這個錯誤訊息提供使用者兩個按鈕，其中一個是修復方法（How to fix），另一個則是詳細資料。</p> <p>若是點選詳細資料，駭客便會將使用者導向Microsoft Learn的DNS故障排除網頁，但假如使用者點選How to fix按鈕，就會看到「指示」，要求按下特定快速鍵（視窗鍵+X）並執行PowerShell或是終端機，然後在視窗裡先後按下Ctrl+V及Enter。一旦使用者依照指示操作，電腦就會執行以Base64編碼處理過的PowerShell命令。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/onedrive-pastejacking-3.jpg" style="width: 580px;" /></a></p> <p>究竟駭客何時擅自將惡意指令複製到剪貼簿？答案就是使用者按下How to fix之後，會同時觸發HTML檔案內嵌的JavaScript指令碼特定功能函數呼叫。</p> <p>因此，使用者後續在終端機貼上剪貼簿的內容，就會執行攻擊者下達的惡意命令。駭客會先執行ipconfig /flushdns，然後下載AutoIT執行檔及惡意指令碼，從而在受害電腦部署惡意軟體。此外，上述作業執行完成後，電腦還會顯示操作成功與要求使用者重新載入網頁的訊息，此舉看似正常，使得受害者難察覺有異。</p> </div></div></div>
2024/8/1 16:38作者周峻佑https://www.ithome.com.tw/news/164255
Proofpoint郵件安全服務出現漏洞，攻擊者藉此發送數百萬封釣魚郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客為了讓釣魚郵件幾可亂真，通常會運用冒充網域名稱的手法，讓寄信者的來源看起來可信，但如今有人針對特定的資安系統而來，假冒知名企業發動攻擊。</p> <p>資安業者Guardio揭露一起<a href="https://labs.guard.io/echospoofing-a-massive-phishing-campaign-exploiting-proofpoints-email-protection-to-dispatch-3dd6b5417db6">大規模網路釣魚攻擊行動</a>，駭客疑似利用Proofpoint郵件防護服務的漏洞EchoSpoofing，從而讓發出的釣魚郵件具有通過驗證的SPF和DKIM簽章，並能回應Proofpoint的電子郵件轉發服務，而能夠突破主要的資安防護系統偵測。而這些駭客大量散布的釣魚郵件，用途是竊取收信人的資產或信用卡資料。對此，Proofpoint迅速採取行動來緩解弱點。</p> <p>採用這項Proofpoint郵件防護服務的企業大多相當知名，例如，財星100大企業有87家採用，包括迪士尼、IBM、Nike、可口可樂，因此上述漏洞的影響範圍，很可能相當廣泛。</p> <p>對於這起事故的受害期間與規模，根據Guardio的觀察，相關行動今年1月出現，平均每天寄出300萬封惡意郵件，單日最高可達到1,400萬封。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1_4YmOZbIXBls6Td57eImSWw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_4YmOZbIXBls6Td57eImSWw.png" style="width: 580px;" /></a></p> <p>最初Guardio發現一大批來自知名企業及品牌的網路釣魚郵件，它們都有正確的簽章及通過身分驗證，但經過進一步調查後，Guardio確認駭客是透過特定管道讓釣魚郵件得到DKIM簽章並通過SPF驗證流程，而且，這些信件皆透過Proofpoint的中繼伺服器pphosted.com發送。</p> <p>研究人員拆解這些郵件送達受害者信箱的途徑，發現都是從設置在虛擬伺服器的SMTP伺服器送出，然後經過Microsoft 365 Online的Exchange伺服器，以及特定的Proofpoint伺服器，才送到受害者手上。雖然信件來源的SMTP伺服器及M365租戶不同，但共通點是它們都會經過位於pphosted.com的中繼伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1_olxDjak5YFCRW7-Ji0VMXg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_olxDjak5YFCRW7-Ji0VMXg.png" style="width: 580px;" /></a></p> <p>究竟駭客如何濫用Proofpoint的資安系統？Guardio研究人員指出，問題源於該中繼伺服器存在一個過度縱容的組態配置缺陷，從而讓攻擊者有機可乘，利用DNS的MX紀錄設置動手腳，將其用來發送郵件。</p> <p>對此，<a href="https://www.proofpoint.com/us/blog/threat-insight/scammer-abuses-microsoft-365-tenants-relaying-through-proofpoint-servers-deliver">Proofpoint也做出說明</a>，該公司今年3月得知有人透過部分客戶的電子郵件基礎設施，以及Microsoft 365租戶來發送垃圾郵件的情況，而這項攻擊行動發生的根本原因在於，Proofpoint在伺服器組態提供可修改路由設定的功能，允許轉送來自所有M365租戶的郵件，對此，他們調整管理介面，提供用戶指定轉送特定M365租戶信件的功能，並預設拒絕所有的租戶。</p> <p>該公司強調，他們客戶的資料並未外流，使用Proofpoint Essentials的客戶不受影響。Proofpoint特別提及，這項弱點並非他們的系統獨有，並認為只要提供電子郵件轉發功能的基礎設施，都有可能出現被濫用的情況。</p> </div></div></div>
2024/8/1 11:03作者周峻佑https://www.ithome.com.tw/news/164246
北韓駭客發動Dev#Popper攻擊行動，鎖定Windows、macOS、Linux開發人員而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月底資安業者Securonix揭露<a href="https://www.securonix.com/blog/analysis-of-devpopper-new-attack-campaign-targeting-software-developers-likely-associated-with-north-korean-threat-actors/">北韓駭客發起的Dev#Popper攻擊行動</a>，攻擊者假借徵才的名義，尋找開發人員下手，事隔3個月，<a href="https://www.securonix.com/blog/research-update-threat-actors-behind-the-devpopper-campaign-have-retooled-and-are-continuing-to-target-software-developers-via-social-engineering/">他們發現這些駭客的手法變得更加刁鑽</a>，攻擊的範圍橫跨多種作業系統。</p> <p>而對於這些駭客啟動攻擊鏈的方式，研究人員指出，一旦面試者取得對方提供的ZIP壓縮檔，下達npm install及npm start的命令部署NPM套件，埋藏其中的JavaScript程式碼就會執行，啟動感染鏈。雖然攻擊流程大致相同，但這次不光針對Windows電腦，也鎖定Linux及macOS作業系統，顯然影響範圍擴大。</p> <p>駭客並未挑選特定的目標進行攻擊，但Securonix看到韓國、北美、歐洲、中東地區都有人受害，顯示這波行動影響的國家區域不少。</p> <p>關於能夠攻擊開發人員電腦的ZIP檔案，內含的檔案總共有數十個，大部分都無害，僅JavaScript檔案裡的惡意程式碼具有攻擊意圖。研究人員特別提及，攻擊者在惡意程式碼前方加入大量空白而難以透過肉眼察覺，惡意軟體分析平臺VirusTotal的大部分防毒引擎也將其視為無害。</p> <p>究竟攻擊者使用那些手法混淆惡意內容？研究人員提及，駭客利用Base64演算法處理字串，且直到執行的時候才進行解碼；再者，他們使用動態的功能函數及變數的名稱，並且將程式碼的文字字串拆解成更小的片段，然後在編譯的過程才重新拼湊。此外，這些駭客也運用了原型混淆手法，阻礙研究人員解讀程式碼的用途。</p> <p>一旦上述的惡意程式碼啟動，就會先檢查受害電腦的作業系統類型，然後與C2進行通訊，並將受害電腦的系統資訊回，最終使用curl下載有效酬載，並透過Python指令碼解除混淆並執行。</p> <p>此惡意酬載不僅會再度偵測完整的系統資訊，也會確認檢查受害電腦所在的地理位置，並具備遠端存取木馬（RAT）的功能，可讓攻擊者遠端執行命令、側錄鍵盤輸入內容、監控剪貼簿，透過FTP進行檔案傳輸，此外，攻擊者還能下載其他惡意程式，以便執行進一步的攻擊。</p> <p>值得留意的是，駭客也為該惡意程式加入新的功能，例如，他們濫用遠端桌面連線工具AnyDesk，以便持續存取受害電腦。再者，他們透過FTP的延伸功能進行滲透。</p> <p>若是上述攻擊成功，駭客先是針對Chrome的cookie下手，接著進行網路滲透，並下載另一個Python指令碼竊取電腦的敏感資料。</p> </div></div></div>
2024/8/1 14:54作者周峻佑https://www.ithome.com.tw/news/164253
駭客冒用Google名義上架身分認證App廣告，企圖散布竊資軟體DeerStealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用Google廣告散布惡意程式的情況不時傳出，但如今有人腦筋動到Google頭上，假冒該公司的名義提供常見的應用程式來行騙。</p> <p>資安業者Malwarebytes揭露<a href="https://www.malwarebytes.com/blog/news/2024/07/threat-actor-impersonates-google-via-fake-ad-for-authenticator">藉由提供Google Authenticator散布惡意程式的攻擊行動</a>，駭客透過Google廣告進行宣傳，但特別的是，這則廣告的贊助商，竟然是google.com，使用者很可能以為是Google自己的廣告而上當。</p> <p>研究人員指出，他們檢視了廣告商的資訊，該廣告由Larry Marr買下，而這是通過Google驗證的廣告商，但與該公司沒有直接關連。研究人員認為，Larry Marr很可能是假帳號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image_fa7354.png" style="width: 580px;" /></p> <p>他們也追蹤使用者點選廣告之後的連線，在存取這個冒牌Google Authenticator網站（chromeweb-authenticators[.]com）的過程裡，駭客透過自己控制的網域進行重新導向。假如使用者點選駭客提供下載連結，電腦就會從GitHub下載竊資軟體DeerStealer。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image_388329.png" style="width: 580px;" /></p> </div></div></div>
2024/8/1 15:28作者周峻佑https://www.ithome.com.tw/news/164254
Perplexity AI搜尋引擎推出內容出版商分潤計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI搜尋業者Perplexity AI<a href="https://www.perplexity.ai/hub/blog/introducing-the-perplexity-publishers-program" target="_blank">本周公布內容創作者及出版商分潤計畫</a>，以改善和出版商的關係並迎戰OpenAI跨入AI搜尋。</p> <p>Perplexity AI提供先進AI搜尋引擎，雖然它和Google類似可讓用戶從網頁搜尋答案，但是不同於Google搜尋結果僅提供連結，Perplexity AI可直接提供答案，並附上可信的資訊來源。為了支持媒體組織和線上創作者，該公司宣布Perplexity出版商方案（Publisher Program）。第一批合作夥伴包括時代雜誌、明鏡雜誌、財星雜誌、德州論壇報（Texas Tribune）、Entrepreneur及WordPress.com。</p> <p>Perplexity出版商方案包含三大部分。第一為廣告營收分享，未來幾個月內，Perplexity會在相關問題功能加入廣告，廣告主可在回答引擎和答案頁，付費詢問特定相關的追加問題。在此過程中，若Perplexity獲得收入時，出版商內容有被提及，則該出版商可獲得分潤。</p> <p>其次是出版商合作夥伴可獲得以Perplexity Online LLM API存取API與開發商支援。出版商可以透過API在其網頁自建回答引擎供其訪客使用。Perplexity也會提供問題技術，以整合到出版商的文章內，並協助他們改進和讀者的互動。</p> <p>最後，Perplexity會提供出版商全體員工Enterprise Pro方案，方便他們研究和查核事實，Enterprise Pro版也保證資料隱私和安全性。</p> <p>最新服務是因應OpenAI二周前<a href="https://www.ithome.com.tw/news/164147" target="_blank">公布SearchGPT原型</a>，宣告進軍AI搜尋。另一方面，Perplexity也希望藉此改善和出版商的關係。這家AI新創公司最近被出版商批評，其回應內容不當掠取了出版內容。</p> </div></div></div>
2024/8/1 13:19作者林妍溱https://www.ithome.com.tw/news/164249
Google開源Gemma 2 2B，宣稱其聊天機器人評測超越所有GPT-3.5模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於6月釋出Gemma 2，提供9B及27B兩種版本之後，Google周三（7/31）再接再勵<a href="https://developers.googleblog.com/en/smaller-safer-more-transparent-advancing-responsible-ai-with-gemma/" target="_blank">開源了Gemma 2 2B</a>，並宣稱此一小型模型在聊天機器人（Chatbot）評測上超越所有GPT-3.5模型。同一天Google還開源了安全內容分類模型<a href="https://huggingface.co/collections/google/shieldgemma-release-66a20efe3c10ef2bd5808c79" target="_blank">ShieldGemma</a>，以及可用來解釋模型內部作業的<a href="https://huggingface.co/collections/google/gemma-scope-release-66a4271f6f0b4d4a9d5e04e2" target="_blank">Gemma Scope</a>。</p> <p>Google在<a href="https://www.ithome.com.tw/news/161409" target="_blank">今年2月開源的Gemma</a>屬於輕量級模型，但採用與大型語言模型Gemini一致的研究及技術，可於高階遊戲筆電、高階桌上型電腦，以及雲端上執行。</p> <p>而Gemma 2 2B則是Gemma 2模型家族中最小的模型，是藉由蒸餾從更大的模型中學習，而取得了超乎其規模的傑出成果，它不僅超越其它同樣大小的開源模型的表現，也在LMSYS Chatbot Arena Leaderboard上超越了所有GPT-3.5 模型，展示其強大的對話式AI能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0801-LMSYS-scores-Gemma%202%202B-(%E5%B0%8F).png" style="width: 600px;" /></p> <p>Google亦強調了Gemma 2 2B的靈活部署能力，可支援邊緣裝置、筆電，以及使用 Vertex AI與Google Kubernetes Engine（GKE）的強大雲端部署，而為了進一步提升其速度，利用Nvidia TensorRT-LLM函式庫進行最佳化，並可作為Nvidia NIM使用。</p> <p>此一最佳化適用於各種不同部署，涵蓋資料中心、雲端、本地工作站、個人電腦與邊緣裝置，並利用Nvidia RTX、Nvidia GeForce RTX GPU或Nvidia的Jetson模組來執行邊緣AI，也能在Google Colab平臺上免費的T4 GPU上執行。另外它也能無縫整合Keras、JAX、Hugging Face、Nvidia NeMo、Ollama、Gemma.cpp 以及即將支援的MediaPipe，以簡化開發。</p> <p>至於ShieldGemma則是個安全分類模型，可額外部署在模型的輸入及輸出端，用以過濾有害內容，它主要篩選4大領域的內容，包括仇恨言論、騷擾、裸露的色情內容，以及危險內容。</p> <p class="rtecenter"><a href="http://huggingface.co/collections/google/shieldgemma-release-66a20efe3c10ef2bd5808c79" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0801-Google%20ShieldGemma.png" style="width: 600px;" /></a></p> <p>ShieldGemma具備2B、9B與27B版本以供開發者選擇，其中，尺寸較小的ShieldGemma 2B最適合線上分類，9B與27B則相對適合較無延遲考量的離線應用。</p> <p>本周開源的還有稀疏自動編碼器（Sparse Autoencoder，SAE）Gemma Scope。Google是在Gemma 2 9B及Gemma 2 2B的每一層及子層輸出上訓練稀疏自動編碼器，製造了超過400個SAE，具備逾3,000萬個特徵，而Gemma Scope即是這些SAE的集合。</p> <p class="rtecenter"><a href="https://huggingface.co/google/gemma-scope" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0801-Gemma%20Scope%20by%20hugging%20face-1-(%E5%B0%8F).png" style="width: 500px;" /></a></p> <p>SAE為一特殊的神經網路，可於資料中找到有用的特徵，因此，ShieldGemma將協助研究人員理解特徵在模型中的演變、相互作用，或是如何形成更複雜的特徵，解讀Gemma 2所處理的密集與複雜資訊，進一步透明化相關模型的內部作業。</p> <p>美國商務部旗下的國家電信暨資訊管理局（NTIA）日前才<a href="https://www.ntia.gov/press-release/2024/ntia-supports-open-models-promote-ai-innovation" target="_blank">發布政策建議</a>，指出開放權重的模型允許開發者利用既有的基礎建置與調整，把AI工具的可用性延伸至小公司、研究人員、非營利組織與個人，將擁抱AI的開放性，但也應該積極監控強大AI模型的安全風險。</p> </div></div></div>
2024/8/1 13:43作者陳曉莉https://www.ithome.com.tw/news/164250
OpenAI提供實驗版本GPT-4o長輸出模型，局部開放ChatGPT進階語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI接連推出新服務，本周再公布二項新服務，分別是GPT-4o 64K長輸出模型以及可以逼真人聲對話的ChatGPT進階語音模式（Voice Mode）功能。</p> <p>本周稍早OpenAI推出實驗性版本的<a href="https://openai.com/gpt-4o-long-output/" target="_blank">GPT-4o長輸出（long output）模型</a>。這個模型下，每次提示最多可輸出64K token的回應，讓開發人員可以實驗具有更長completion（即ChatGPT提供完整的回答）的新應用場景。64K token是5月上線的GPT-4o最大輸出詞元（4K token）的16倍。</p> <p>GPT-4o長輸出模型目前以Alpha測試開放使用，模型名稱為gpt-4o-64k-output-alpha。雖然是測試版，但OpenAI表示，就推論觀點而言，更長completion意謂更高成本，因此輸入費用為6.00美元/100萬token，輸出費用為18美元/100萬token。</p> <p>至於如何加入試用，根據<a href="https://community.openai.com/t/gpt-4o-64k-output-alpha-acess/886810" target="_blank">OpenAI討論區一名用戶的說法</a>，開發人員可以透過API發送<a href="https://api.openai.com/v1/models/gpt-4o-64k-output-alpha">https://api.openai.com/v1/models/gpt-4o-64k-output-alpha</a>呼叫，如果有回傳結果，表示用戶有權加入測試。</p> <p>第二項服務則是能以逼真人聲和用戶對話的ChatGPT進階語音模式（Voice Mode），向一小部分用戶開放。<a href="https://twitter.com/OpenAI/status/1818353580279316863" target="_blank">OpenAI說明</a>進階語音模式比5月向世人展示時，能執行更即時、更自然的互動，允許用戶打岔，還能感受並回應用戶情緒。</p> <p>5月OpenAI公布以多模態模型GPT4o為基礎的GPT 4.0時，展示令人驚豔的對話能力。GPT 4.0語音模式設計上可提供5種聲音，預定6月底上線，但其中一個名為Sky的聲音卻被爆出和美國女演員Scarlett Johansson極為相似，<a href="https://www.ithome.com.tw/news/162990" target="_blank">她本人也發聲抗議</a>OpenAI未經過其同意使用其聲音。OpenAI雖然否認用了Johansson的聲音，但隨後仍然移除Sky，並延後一個月推出語音模式。<a href="https://x.com/OpenAI/status/1805716393524183136" target="_blank">該公司聲稱</a>是為了「強化模型偵測和拒絕某些內容的能力」。</p> <p>ChatGPT進階語音模式最新上線的聲音是除了Sky以外的4種。OpenAI表示，這些預設聲音是以聲優的聲音為基礎製成，並且讓ChatGPT無法冒充他人，包括個人或公眾人物的聲音，也會禁止這些預設聲音以外的聲音輸入。</p> <p>長輸出模型及進階語音模式是繼GPT-4o mini模型及相關微調工具後，OpenAI推出GPT-4o的最新服務。</p> <p>這波開放中，OpenAI僅允許特定用戶透過Alpha測試計畫使用ChatGPT進階語音模式，該公司計畫在未來幾周內逐步開放給更多付費Plus方案用戶，而在秋天開放所有Plus方案用戶使用。</p> </div></div></div>
2024/8/1 14:03作者林妍溱https://www.ithome.com.tw/news/164251
露天市集和Cyberbiz聯合推出雙平臺開店服務，未來能在露天找到更多外部品牌電商的商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>C2C電商平臺露天市集及開店平臺Cyberbiz昨（7/31）宣布聯合推出「平臺+品牌官網」雙平臺開店服務，結合露天每月破1,100萬人流量和搜尋媒合演算法，以及Cyberbiz線上線下零售營運技術，使商家有機會在高流量平臺電商曝光，又有自家官網可以深度經營會員及品牌形象。</p> <p>當商家使用雙平臺開店服務，消費者可以在露天可以搜尋到商家商品，點進去會先進到露天商品頁面瀏覽資訊。點擊購買時，就會跳轉到商家的Cyberbiz品牌官網，用訪客身分結帳，或登入品牌自己的會員後再結帳。</p> <p>此服務適用於兩方平臺商家，Cyberbiz商家能上架到露天，露天商家則能利用Cyberbiz技術打造品牌官網、使用會員資料庫、倉儲解決方案等更多零售經營工具。</p> <p>這個服務背後技術運作模式是，Cyberbiz將自家平臺上的品牌及商品資訊，利用API拋轉到露天後臺。露天接著整合這些數據、自家平臺商品數據、其他外部電商商品數據，再統一對商品品質、商家行為、商家特性等屬性進行評分、排序，呈現在搜尋結果等頁面，供消費者查找。Cyberbiz執行長蘇基明表示，雙平臺數據會高度同步，幾乎沒有時間差。</p> <p>露天市集總經理曾薰儀說明，透過此次合作，露天可以逐步提升豐富平臺商品多樣性，並期待商家利用Cyberbiz零售經營工具，來進一步提升商品品質、經營自家會員忠誠度。蘇基明則表示，希望此合作能吸引部分露天高人流量到自家平臺上的電商，降低品牌經營知名度和獲取人流量的門檻。</p> <p>曾薰儀坦言，隨著平臺上來自外部生態圈的商品增加，確實會造成現有露天商家與新商家的競爭。她更表示，臺灣電商環境「還不夠內捲」。「良性競爭才能提升消費者享受到的商品和服務品質。賣家體質更強壯，也才有本錢進一步發展跨境電商等戰略。」她說。</p> <p> </p> </div></div></div>
2024/8/1 12:28作者郭又華https://www.ithome.com.tw/news/164248
微軟Azure服務不穩出於DDoS攻擊防護功能異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟說明，本周稍早Microsoft 365和Azure多項服務發生服務效能下降問題，原因是發生了分散式阻斷服務（DDoS）攻擊，合併Azure安全防護功能異常，而衝擊正常運作。</p> <p><a href="https://www.ithome.com.tw/news/164214" target="_blank">本周二</a>眾多Microsoft 365及Azure服務發生連線問題，微軟聲稱影響一小部分客戶。多項服務出現無法存取，或是連線速度大降的問題。當時Azure狀態頁顯示受影響服務涵括Microsoft 365管理員中心、Intune、Entra、Power Platform。微軟當時也要求管理員留意M365管理員中心<a href="https://x.com/MSFT365Status/status/1818397120044437862" target="_blank">編號MO842351</a>的更新訊息。最後微軟團隊緊急變更網路配置，啟動備援計畫轉換到其他網路路徑排除問題。</p> <p><a href="https://azure.status.microsoft/en-us/status/history/#incident-history-collapse-KTY1-HW8" target="_blank">微軟於周三晚間公布</a>進一步調查所得。微軟解釋，協調時間2024年7月30日11:45到19:43，約臺灣時間7月30日晚上7:45到31日早上3:43之間，Azure部分服務出現問題。這波事件影響包括Azure App Service、Application Insights、Azure IoT Central、Azure Log Search Alerts、Azure Policy、Azure portal、Microsoft Purview services及一小部分M365等。</p> <p>微軟說明，一開始是Azure基礎架構遭到DDoS攻擊，啟動了Azure的DDoS保護機制。這是所有雲端基礎架構會有的防護作業，理應抑制攻擊並回復正常流量，但微軟初步調查發現，Azure的防護實作反而放大了攻擊。不預期的使用量激增導致Azure Front Door（AFD）及Azure Delivery Network（CDN）元件效能跌至正常水準以下，進而引發用戶端發生的間歇性錯誤、運作逾時和延遲性大增。</p> <p>這次事件是微軟Azure/Microsoft 365在7月以來第三次重大服務水準下降事件。微軟表示將會在內部檢討後，於72小時內發布初步事件後檢討（preliminary post incident review，PIR）<a href="https://aka.ms/AzurePIRs" target="_blank">以公布更多細節</a>，也會在內部檢討後14天內公布最後事件後檢討。</p> </div></div></div>
2024/8/1 11:57作者林妍溱https://www.ithome.com.tw/news/164247
Meta發布財報，祖克柏宣稱Meta AI年底前將成為全球最多人使用的AI助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周三（7/31）<a href="https://investor.fb.com/investor-news/press-release-details/2024/Meta-Reports-Second-Quarter-2024-Results/default.aspx" target="_blank">發布今年第二季財報</a>，該季Meta創下390.7億美元的營收，成長22%，儘管Meta持續擴大投資AI與Reality Labs，但依然創下134.6億美元的淨收入，成長了73%，而讓Meta的盤後股價上漲了7.17%，達到508.87美元。Meta創辦人暨執行長祖克柏（Mark Zuckerberg）更表示，Meta AI將在今年底成為全球最多人使用的AI助理。</p> <p>觀察Meta的用戶數量，該季應用程式家族（Family of Apps）的每日平均用戶數為32.7億人，成長了7%，應用程式家族的廣告曝光數亦比去年同期增加了10%。</p> <p>在390.7億美元的營收中，有387.2億美元來自於應用程式家族，其中高達383.3億美元是廣告營收，其它營收則是3.9億美元，廣告營收成長了21.7%，其它營收則成長73%。至於混合實境（Reality Labs）部門則貢獻了3.5億美元的營收，成長28%。</p> <p>應用程式家族創下193.3億美元的營業利潤（Operating Income），成長47%，至於Reality Labs則虧損了44.9億美元，高於去年所虧損的37.4億美元。不過，該季Meta的淨收入（Net Income）達到134.7億美元，成長73%，每股盈餘為5.31美元。</p> <p>比此一財報內容更值得關注的或許是<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2024/q2/META-Q2-2024-Prepared-Remarks.pdf" target="_blank">祖克柏於財報會議上的發言</a>，他說AI正以某些方式推動Meta替廣告商所提供的服務，過去廣告商自行決定想要接觸的受眾，包括年齡層、位置或興趣，而現在，基於AI的廣告系統比廣告主更能預測可能感興趣的受眾，此外，現階段廣告主依然必須自己開發創新，而此一任務未來也可能由AI接管，最終廣告主只需要提供商業目標及預算，Meta就能執行剩下的任務。</p> </div></div></div>
2024/8/1 10:40作者陳曉莉https://www.ithome.com.tw/news/164244
Google更新搜尋安全政策，簡化使用者移除偽造裸露圖像的流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（7/31）<a href="https://blog.google/products/search/google-search-explicit-deep-fake-content-update/" target="_blank">更新其搜尋安全政策</a>，允許使用者更容易移除未經他們同意、並以他們為主角，進行深度偽造（DeepFake）的裸露圖像。</p> <p>Google表示，其實過去使用者一直可要求Google移除搜尋結果中未經同意的偽造裸露圖像，但隨著生成圖像技術的持續進步，未經使用者同意而在網路上流傳的生成圖像與影片都日益增加，使得Google決定開發新系統來簡化此一流程，協助人們大規模地解決此一問題。</p> <p>因此，當有人成功申請Google從搜尋結果中移除以他們為主角、而且是未經同意的偽造裸露圖像時，Google的各個系統會自動於類似的搜尋中過濾所有相關的結果，一旦通過申請並成功移除某個圖像，相關系統即會啟動掃描並移除所有重複圖像。</p> <p>此外，Google認為，當某個網站有許多網頁因違反Google政策而被移除時，代表它不是個高品質的網頁，因此將調降那些擁有大量偽造裸露圖像的網站排序。</p> <p>不過，儘管Google要求使用者要檢舉相關圖像時，必須同時附上網址、圖像及螢幕截圖，但Google所移除的其實只是搜尋結果中的相關連結，這些偽造的裸露內容可能還存在於網路上，還是得以透過社交平臺或其它搜尋引擎找到。</p> </div></div></div>
2024/8/1 10:58作者陳曉莉https://www.ithome.com.tw/news/164245
【資安月報】2024年7月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年7月資安新聞中，雖然CrowdStrike引發全球電腦大當機事故的消息不斷，佔據不少新聞版面，但其實還有不少重要消息需要大家共同關注，因此我們特別選出下列7大焦點，幫助大家快速回顧本月發生的重要事件。</p> <p><strong><span style="color:#FF0000;">焦點1：</span></strong>震撼全世界的IT大當機，罪魁禍首竟是資安廠商的產品更新。臺灣時間7月19日下午1點多，包含臺灣與全球都傳出Windows電腦大當機的情形，預估有850萬臺電腦受波及。這起事故的後續消息不斷傳出，涵蓋災情影響、事故原因、企業應對的報導，甚至還有許多衍生問題的討論。</p> <p>因此我們預期，接下來8月還會有更多討論，持續關注該如何避免這樣的問題發生。畢竟，這次事件衝擊許多民生關鍵基礎的服務提供，造成的影響甚至比許多網路攻擊事件還要嚴重。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點2：</span></strong>臺灣上市櫃公司資安重訊的新聞在7月明顯增加，幾乎每隔幾天的資安日報中就有相關報導。值得注意的是，這些資安重訊揭露的事件創下單月數量新高，共有10起，包括驊訊、東元、宅配通、聖暉系統集成集團（聖暉代子公司公告），宏盛、助群營造（宏盛代子公司公告）、燦坤、燦星網、光寶科、華經。</p> <p>特別的是，以東元的事故而言，當時有網友表示報修冷氣時，自己無法連上報修網站，前來維修的人員也指出領料系統有狀況。以燦坤的事故而言，其線上購物網站至今仍未能復原。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點3：</span></strong>國際有多起重大資安事故。7月有AT&T、日本夏普、Twilio、TeamViewer等多起資安事故，美國洛杉磯高等法院也傳出遭勒索軟體攻擊，而被迫關閉網路系統。</p> <p>先前揭露的polyfill易主後的供應鏈攻擊事件，後續消息也不斷傳出。較特別的是，這個月還有在特定區域之內發生的軟體供應鏈攻擊，7月初我們看到兩起事故的揭露，包括印度軟體開發業者Conceptworld遭遇軟體供應鏈攻擊，以及韓國ERP系統更新伺服器遭軟體供應鏈攻擊，顯示駭客鎖定這些國家，動機不單純。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點4：</span></strong>APT駭客組織的最新攻擊活動揭露，也讓許多資安事故曝光。例如，以中國駭客組織APT40而言，多國網路安全機構聯手對該組織的攻擊行動提出警告，同時公布2起澳洲遭遇攻擊的案例，讓外界了解其手法；以北韓駭客組織APT45而言，多家資安大廠與美國司法部相繼揭露該組織的威脅現況，尤其是美國司法部指出有多個重要組織遇害，不只是美國國防承包商、兩個美國空軍基地、NASA監察長辦公室，臺灣的國防承包商同樣是受害者，這也成為國內需要關切的事件。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點5：</span></strong>涵蓋範圍廣泛的高風險漏洞。OpenSSH在7月1日修補了一個RCE重大漏洞CVE-2024-6387，發現與通報這項漏洞的資安業者Qualys，將該漏洞稱為regreSSHion，Qualys特別指出，這是OpenSSH問世以來，首次出現可授予完全Root權限的未經授權RCE漏洞。</p> <p>還有一個漏洞消息值得留意，就是Blast RADIUS（CVE-2024-3596），因為揭露這項漏洞的微軟、Cloudflare及加州大學聖地牙哥分校的研究人員指出，這不僅會導致RADIUS通訊協定被攻擊者用來發動中間人（MitM）攻擊，甚至認為設備廠商應汰除RADIUS over UDP，使用更安全的傳輸技術，或是標準組織IETF應翻新此協定的設計。</p> <p>至於最新漏洞利用態勢，本月有14個被CISA列入已知漏洞利用清單，包括：Acronis、Adobe、Cisco、微軟、OSGeo、Rejetto、ServiceNow、SolarWinds、Twilio、VMware的漏洞，我們在每期資安週報已經不斷強調其嚴重性，需要儘速因應。特別的是，從數量上來看，這次7月有14個算是多的月份，之前6月是9個，5月是14個，4月是10個。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點6：</span></strong>電腦與伺服器韌體安全層出現重大危機。韌體安全公司Binarly在7月25日揭露名為「PKfail」的漏洞，指出這是韌體供應鏈在加密金鑰管理實務上的問題，從Binarly公布的受影響產品列表來看，這個問題有9家電腦、主機板與伺服器品牌業者、將近850款產品受影響，恐影響數百萬臺裝置。</p> <p>值得我們注意的是，當中以臺廠技嘉的651款最多，其次為 Supermicro的72款、Dell的48款。這些廠商受影響的數量落差相當懸殊，尤其是技嘉，他們應該要對此提出說明，並盡快解決相關問題。若細部檢視PKFail漏洞影響的產品型號，以技嘉而言，涉及的產品類型相當廣泛，例如，包括多種類型伺服器（協同運算伺服器、機架式伺服器、高密度伺服器、邊緣運算伺服器、儲存伺服器、資料中心伺服器）、主機板，以及迷你準系統電腦、嵌入式電腦、筆電等。</p> <p><strong><span style="color: rgb(255, 0, 0);">焦點7：</span></strong>有國家推動更進階的MFA機制，要求不要使用OTP碼（One-Time Passwords）。<a href="https://www.mas.gov.sg/news/media-releases/2024/banks-in-singapore-to-strengthen-resilience-against-phishing-scams">新加坡金融管理局在7月9日宣布</a>，要求當地銀行強化抵禦網釣攻擊的能力，需在3個月內逐步淘汰使用OTP碼，改用安全性更高的應用程式驗證。</p> <p>OTP碼易遭攔截的問題也存在很長一段時間，有國家以政府力量積極採取行動，此舉別具意義，可望帶動臺灣與更多國家跟進。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/163812"><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月1日到7月5日</span></a></strong></h2> <p>在這一星期的漏洞利用消息中，最優先要關注的漏洞利用情形，是Cisco針對NX-OS零時差漏洞CVE-2024-20399提出警告，多款Nexus系列交換器與MDS 9000系列產品線受影響，雖然思科已釋出新版修補程式，但也提醒該漏洞在今年4月已有被駭客用於攻擊行動的跡象。通報這項漏洞的資安業者Sygnia同時揭露此攻擊活動的調查結果，並指出是中國駭客組織Velvet Ant所為。</p> <p>還有兩個重要漏洞修補，需要特別關注，一是開源加密程式庫OpenSSH的RCE漏洞，一是蘋果應用程式相依性管理套件CocoaPods存在重大缺陷，揭露的不同研究人員均提醒應須盡速修補。</p> <p>（一）7月1日OpenSSH修補RCE重大漏洞CVE-2024-6387（regreSSHion），<a href="https://www.qualys.com/regresshion-cve-2024-6387/">Qualys指出這是OpenSSH首次出現可授予完全Root權限的未經授權RCE漏洞</a>，研究人員發現至少70萬個曝露於公開網路的OpenSSH實體含有這項漏洞。</p> <p>（二）Swift和Objective-C專案的開源相依性管理套件CocoaPods被揭露存在3大漏洞，包括：CVE-2024-38366、CVE-2024-38367與CVE-2024-38368，都與驗證伺服器Trunk有關。特別的是，這些漏洞去年已修補，今年7月CVE編號才公開。</p> <p>至於其他漏洞修補動向，包括：GitLab、Splunk、Juniper Networks發布漏洞修補，還有新型態Intel處理器漏洞Indirector的揭露。</p> <p>在資安威脅態勢方面，<strong>軟體供應鏈攻擊</strong>的狀況再次出現，這一星期我們甚至看到國際間有兩起這方面的消息，一是印度軟體開發業者Conceptworld遭遇軟體供應鏈攻擊，攻擊者在其產品安裝檔（便箋應用程式Notezilla、剪貼簿管理程式RecentX、檔案複製工具Copywhiz）植入竊資軟體，一是韓國ERP系統更新伺服器遭軟體供應鏈攻擊，當地資安業者AhnLab調查出後門程式Xctdoor，並指出攻擊者是透過Regsvr32.exe的處理程序載入執行，推測為北韓駭客Andariel所為。</p> <p>另一項政府與關鍵CI需重視的議題是<strong>網路間諜攻擊</strong>，若遇到資安事故，不要以為這只是基於經濟動機而來的勒索軟體攻擊。最近資安業者SentinelOne、Recorded Future聯手調查的結果，指出現在針對全球政府機關及關鍵基礎設施下手的網路間諜攻擊行動，APT攻擊者為了模糊焦點，因此通常會在最後階段使用勒索軟體加密攻擊，來分散防守方的注意力，以誤導事故調查方向並清除跡證，他們並以中國駭客組織ChamelGang的攻擊行動為例來說明。特別的是，他們也<a href="https://www.sentinelone.com/labs/chamelgang-attacking-critical-infrastructure-with-ransomware/">感謝臺灣資安業者TeamT5研究人員Still Hsu</a>提供對於ChamelGang組織的見解，讓他們能將其與CatB勒索軟體、BeaconLoader聯繫起來。</p> <p>在其他資安事件與威脅揭露方面，臺灣再度傳出半導體業者遭網路攻擊的情況，國際間也有Twilio、TeamViewer等的資安事故引發關注，我們整理如下：</p> <p>●上櫃的半導體公司驊訊7月3日發布資安事件重大訊息，說明偵測到部份資訊系統遭受駭客網路攻擊。<br /> ●Authy用戶注意！雲端通訊平臺Twilio發布資安事故公告，說明他們發現有駭客可經由未經身分認證的節點，辨識出Authy用戶的帳戶資料，同時他們也要求所有用戶儘速更新Authy App。<br /> ●遠端桌面程式供應商TeamViewer發布資安公告，說明6月底偵測一名員工帳號遭未經授權人士存取，調查顯示與APT 29（或稱Midnight Blizzard）的俄羅斯駭客有關，7月4日他們再次更新消息，確認影響僅限於該公司內部企業IT環境。<br /> ●資安業者揭露有駭客為了散布竊資軟體Vidar Stealer，其方法很特別，竟是藉由蓄意打造IT技術支援網站，假借提供PowerShell指令碼「解決」Windows更新錯誤，欺騙使用者下載惡意程式載入工具並被植入竊資軟體。</p> <p>此外，先前發生的重大資安事件，現在有更多後續消息傳出，包括：前一星期傳出的Polyfill供應鏈攻擊事故，已有多個資安業者示警受害規模擴大；去年底俄羅斯駭客Midnight Blizzard入侵微軟郵件系統事件也延燒至今，近期傳出微軟正通知一些美國政府機構，說明可能部分資料遭竊，包括美國國際媒體署、美政府資助的和平部隊，以及維吉尼亞州，都受到該次事件的影響。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/163921"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月8日到7月12日</span></strong></a></h2> <p>在7月第2個星期，適逢多家廠商釋出每月例行安全更新，包含微軟、SAP、Adobe、西門子、施耐德電機，Citrix、VMware也在這段期間發布漏洞修補公告，需要大家關注與儘快修補，而漏洞已遭利用的消息更需密切關注。</p> <p>（一）微軟修補4個零時差漏洞，有2個已遭駭客利用，包括：MSHTML平臺漏洞CVE-2024-38112，以及Hyper-V漏洞CVE-2024-38080。另兩個漏洞則是已被公開。<br /> （二）Rejetto檔案伺服器系統HTTP File Server（HFS）在5月底修補的漏洞CVE-2024-23692，近期已有一些資安業者示警，發現有駭客鎖定並用於攻擊行動。<br /> （三）文件轉換程式庫Ghostscript在5月初修補的RCE漏洞CVE-2024-29510，該漏洞CVE編號於7月初公開，並有研究人員公布相關細節，同時警告該漏洞已被用於實際攻擊行動。</p> <p>還有一個名為Blast RADIUS（CVE-2024-3596）的漏洞揭露要留意，微軟、Cloudflare及加州大學聖地牙哥分校的研究人員認為，設備廠商與標準組織IETF都應汰除RADIUS over UDP，考慮使用更安全的傳輸技術，或翻新此協定的設計。</p> <p>在資安威脅焦點方面，有2則新聞我們認為值得優先關注，一是多國網路安全機構聯手針對中國駭客組織APT40的攻擊行動提出警告，同時揭露了鎖定澳洲發動攻擊的2起案例，供外界了解該組織的作案手法；一是資安業者揭露中國駭客組織SneakyChef的最新攻擊行動，指出該組織從2023年8月開始針對歐洲、中東、非洲、亞洲，散布名為SugarGh0st的惡意程式，並常利用政府機關掃描文件作誘餌。</p> <p>商業電子郵件（BEC）詐騙的威脅仍不容輕忽，本星期有兩則這方面的新聞，首先，臺灣近期有崴寶精密科技與其客戶遭BEC詐騙，其客戶依指示將3000萬元款項匯至另一個不屬於崴寶精密科技的帳戶，所幸及時發現，特別的是，這是國內上市櫃企業資安重訊發布，首次有企業主動揭露遭遇BEC詐騙；另一起事件是與惡意軟體沙箱服務業者有關，他們揭露自身遭遇網釣與BEC詐騙活動，並進一步指出郵件備份應用程式PerfectData有郵件外洩的問題。</p> <p>在資安事件方面，有3起與國內上市櫃公司有關，有2起是國際間資料外洩的消息，包括：</p> <p>●上市公司東元電機說明發生網路資安事件<br /> ●上市公司宅配通說明部份資訊系統遭受駭客網路攻擊<br /> ●上櫃公司聖暉系統工程代子公司公告，揭露聖暉系統集成集團發生資安事件。<br /> ●駭客論壇流傳一份近100億帳號密碼的「rockyou2024.txt」檔案，較2021曝光的版本多出15億組資料。<br /> ●網路犯罪論壇傳出有人公布Nokia的7千多名員工個資，以及微軟的2千多名員工個資，並宣稱這些資料來自兩家公司的第三方合作夥伴。</p> <p><a id="TECO" name="TECO"></a>值得注意的是，上述發布資安重訊的東元電機、宅配通，均屬於東元集團，他們在證交所發布資安公告之後，後續在網路論壇有人討論東元電機的空調及家電產品服務，似乎也受到資安事故的影響而停擺，例如，<a href="http://www.ptt.cc/bbs/E-appliance/M.1720594162.A.FC8.html">有網友在PTT上指出，東元冷氣報修的安欣科技服務網站在遭駭前就連不上，領料系統也有狀況</a>，在TECO東元家電的臉書粉絲專頁上，也有網友詢問服務連不上的狀況，小編則回應官網維修中。由於安欣科技也隸屬於東元集團，TECO東元家電也是其事業部之一，這樣的狀況也不禁令人產生更多聯想。</p> <p>此外，先前其他國家發生的重大資安事件，最近有更多後續消息。包括：今年3月富士通揭露IT系統遭入侵，如今調查結果出爐，說明發現一個進階偽裝技術的蠕蟲程式，從一臺公司電腦進而感染49臺電腦，並研判部分客戶姓名和公司資訊外洩，已通知受影響客戶；今年5月美國最大售票平臺Ticketmaster遭駭，近期傳出駭客為了提高勒索該公司的贖金，不僅公開17萬張Taylor Swift演唱會的行動門票條碼，還有Ticketfast服務的門票條碼檔案連結。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164038"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月15日到7月19日</span></strong></a></h2> <p>這一星期最重大的資安消息，當屬7月19日（週五）資安業者CrowdStrike旗下的EDR系統更新後，引起全球大量微軟Windows電腦出現藍色當機畫面（BSoD）的事故。由於本該幫助電腦能偵測與應變威脅的資安工具，卻因為一次更新問題導致大規模公司電腦當機、服務癱瘓的狀況，引發全球高度重視。</p> <p>事實上，當日發生了兩起事件，首先是微軟，在19日臺灣清晨6點，美國中部區域一座Azure資料中心出現故障問題，導致包含M365在內等雲端服務大中斷，影響線上版SharePoint、商用版OneDrive、Teams等眾多服務。</p> <p>到了下午1點，我們注意到國內社群網站的資安群組開始討論Windows電腦出現藍色當機畫面，並點出問題可能出在資安業者CrowdStrike，當下我們查詢更多資訊，發現<a href="https://www.reddit.com/r/crowdstrike/comments/1e6vmkf/bsod_error_in_latest_crowdstrike_update/">美國社群網站Reddit已經指出CrowdStrike更新造成當機</a>的情形，在此同時，筆者身邊友人也通報其公司電腦1點多發生當機，同樣確認原因出在CrowdStrike。</p> <p>兩點後，大規模電腦當機消息開始在全球新聞媒體傳開，國內傳出桃園機場、臺大醫院、臺北榮總營運受影響，全球各國也有大量藍色當機畫面情形的報導。後續，CrowdStrike發布相關公告，說明發生EDR更新檔案與Windows系統衝突造成電腦當機，並指出C-00000291.sys是有問題的版本，同時指出這次事件並非遭遇網路攻擊，微軟在Azure Status服務狀態頁面也指出，他們在臺灣時間中午12點09分同樣受到CrowdStrike的影響（事件編號為1VT1-LX0），並表示這次事件與已解決的美國中部Azure資料中心中斷事件無關（該事件編號為1K80-N_8）。</p> <p>至於何起事件是影響航班管理系統服務供應商Navitaire的主因，有待後續釐清。</p> <p>周末期間又有新的消息曝光，首先，<a href="https://blogs.microsoft.com/blog/2024/07/20/helping-our-customers-through-the-crowdstrike-outage/?WT.mc_id=DT-MVP-4015686&">微軟表示這次CrowdStrike引發的事件估計影響全球850萬臺的Windows電腦</a>，另也發布因應這次事件的手動安裝更新<a href="https://support.microsoft.com/en-us/topic/kb5042421-crowdstrike-issue-impacting-windows-endpoints-causing-an-0x50-or-0x7e-error-message-on-a-blue-screen-b1c700e0-7317-4e95-aeee-5d67dd35b92f">KB5042421</a>，此外，有<a href="http://x.com/Perpetualmaniac/status/1814376668095754753">研究人員在社群平臺X上指出，分析CrowdStrike當機資料後找出是有段C++程式存在記憶體安全錯誤</a>，詳情有待後續CrowdStrike說明。</p> <p>在其他重要資安事件與威脅態勢方面，國內有建設公司與人力銀行的消息，國際間也有不少資料外洩、攻擊行動的揭露，我們整理如下：<br /> ●國內上市公司宏盛建設發布資安重訊，設說明該公司發生網路資安事件，另也代子公司助群營造公告發生網路資安事件。<br /> ●國內檢調單位接獲104人力銀行通報，有人企圖透過公司名義收集求職者個資，新北地檢署已在17日搜索涉案公司並查扣物證。<br /> ●專案管理工具Trello有逾1,500萬用戶個資遭人公開於Breach Forums地下論壇，對方並聲稱是透過公開的API取得。<br /> ●美國電信公司AT&T通報美SEC，說明發生資料洩事故，有駭客在今年4月存取AT&T在第三方雲端平臺的工作區，導致所有客戶的通話與簡訊歷程記錄被竊。<br /> ●義大利資安業者TG Soft揭露一起攻擊行動，他們在6月24日、7月2日偵測到中國駭客組織APT17針對當地企業及政府機關下手，意圖散布9002 RAT惡意程式。<br /> ●日本JPCERT/CC警告，當地企業組織遭到攻擊行動MirrorFace鎖定，攻擊者入侵企業後的目的是散布後門程式NoopDoor。</p> <p>在漏洞消息方面，我們注意到有4個已知漏洞首次被發現遭駭客利用的情形，近期已被美國CISA列入限時修補名單，包括：3月底VMware vCenter Server已修補的漏洞CVE-2022-22948，6月初SolarWinds Serv-U已修補的漏洞CVE-2022-22948，6月中Adobe Commerce及Magento Open Source已修補的CosmicSting漏洞（CVE-2024-34102），以及7月1日GeoServer已修補的RCE漏洞CVE-2024-36401。其中CosmicSting漏洞值得留意，有資安業者指出這是該電商平臺歷年來最嚴重的漏洞之一。</p> <p>在資安防禦與產業動向上，各有一則重要消息，首先，是關於OTP碼容易遭攔截與網釣的問題，談了很多年，最近國際間有政府積極行動，近日新加坡金融管理局宣布，要求當地金融業者在限期3個月內，汰除以簡訊提供OTP碼供客戶網銀登入，並要求改成安全性更高的應用程式驗證；另一項消息，是Google母公司Alphabet傳出將以230億美元收購雲端資安新創Wiz，藉此強化該公司的雲端安全業務，如收購成功將成Google最大併購案。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/164163"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月22日到7月26日</span></strong></a></h2> <p>在這一星期的資安新聞中，資安業者CrowdStrike旗下的EDR系統更新引發Windows電腦大當機的事故，後續消息是持續不斷地傳出，佔據資安日報的大量新聞版面。</p> <p>首先，關於影響層面的後續新聞就有不少，例如，微軟說明全球850萬臺電腦受影響，雖然數量不到全球Windows電腦總數的百分之一，但微軟自己也指出這已造成對全球社會與經濟的廣泛影響。</p> <p>關於臺灣受影響狀況的新聞，有兩則重要報導，一是iThome特別詢問多家臺灣企業資安長、資服業者等，了解到企業實際面對的狀況，不只金融業、資服業、傳統製造業與高科技製造業者都傳出災情，有資服業者更是以手動方式在3天復原3,000多臺個人電腦；另一是金管會公布針對國內金融業清查的結果，有2家期貨商、4家投信業、5家壽險業和2家產險業者受影響，其中保險業就有1千多臺伺服器與1千多臺個人電腦，遭到波及。</p> <p>此外，在我們日前發布的<a href="https://www.ithome.com.tw/news/164094">最新Fintech週報</a>中，也有指出國外金融領域受影響情形，包括摩根大通、瑞士銀行、德意志銀行、日本野村銀行，甚至倫敦證券交易所用來發布監管公告的新聞服務，也都受到影響。</p> <p>關注災情之餘，對於事故原因的調查，更是大家亟欲了解的部分。CrowdStrike在7月24日的事故更新公布初步調查結果，指出說明問題發生在派送「Rapid Response Content」的環節，加上這個問題在驗證檢查期間未被檢測到，使得後續Falcon感應器更新、布署並載入這些內容，導致了越界記憶體讀取，進而引發Windows電腦當機。</p> <p>當然，這次事件還有諸多衍生議題，一些新聞內容也未能全部涵蓋，像是從一開始大家質疑資安廠商部署前是否有測試、為何沒發現問題？後來討論延伸到為何程式開發人員會犯錯？也有人表示這是因為開發人員使用不具記憶體安全（non-memory-safe）的程式語言；也有人質疑作業系統核心為何要開放第三方軟體深度整合，就連該家資安廠商提供Uber Eats禮品卡賠罪，也引發眾人不滿，以及傳出有政府與企業要求賠償的狀況等，這些都值得我們繼續追蹤。</p> <p>另一重要資安新聞是，資安業者KnowBe4揭露自身遭遇北韓駭客潛入公司內容成為軟體工程師，原因是對方使用AI深偽技術並通過線上面試。事實上，早在2022年美國政府就意識到這樣的問題，像是美國財政部就針對來自北韓的<a href="https://ofac.treasury.gov/media/923126/download?inline">IT Workers</a>示警，指出雖然他們主要從事合法的IT工作，但會濫用自身權限協助北韓進行惡意網路入侵，又或是賺錢來幫助北韓實施網路攻擊。而從這次對方使用AI深偽技術求職來看，並通過了4次KnowBe4的線上會議面試，幸好他們聘僱後及早發現異常。但這是否也意味著還有很多還沒發現的情形？</p> <p>其他重要資安事件上，有多起消息與國內上市櫃公司有關，我們整理如下：<br /> ●燦坤與燦星網同日發布資安重訊，說明資訊系統遭受網路攻擊。<br /> ●光寶科發布重大訊息，說明偵測一部外網伺服器遭受駭客攻擊的因應。<br /> ●針對半導體矽晶圓廠環球晶圓6月遭駭事故，最近駭客組織Storm-1811突然聲稱是他們所為，並要脅7月底將公布竊得資料。<br /> ●移民署內部通訊錄驚傳流入駭客論壇，該單位表示疑為離職員工所為。<br /> ●美國洛杉機高等法院傳出遭到勒索軟體攻擊，被迫關閉網路系統。</p> <p>在漏洞消息方面，有一個鎖定利用狀況需要留意，ServiceNow在7月10日修補的重大漏洞CVE-2024-4879，最近有資安業者察覺多個駭客組織蠢蠢欲動，因為出現嘗試掃描未修補上述漏洞的ServiceNow平臺的行為。</p> <p>至於資安防禦及產業動向上，有3個重要的消息，首先，Google多年來表示將在Chrome中封鎖第三方Cookie，如今竟放棄計畫，其次是非營利組織OASIS Open宣布安全AI聯盟CoSAI（Coalition for Secure AI）成立，多家科技大廠參與，目標是在AI安全設計方面建立協作生態體系；第三是雲端安全公司Wiz傳出拒絕Google高價收購，將尋求在股票市場掛牌上市（IPO）。</p> <p> </p> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3> </h3> </div></div></div>
2024/8/1 09:18作者羅正漢https://www.ithome.com.tw/news/164223
美光PCIe 5.0 SSD登場，提供330萬IOPS讀取與10GB/s寫入
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/micron_9550_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年上半，多家快閃記憶體廠商紛紛發表<a href="https://www.ithome.com.tw/tags/pcie-50-ssd">支援PCIe 5.0介面的資料中心固態硬碟</a>，像是<a href="https://www.ithome.com.tw/review/162973">群聯（Phison）</a>、<a href="https://www.ithome.com.tw/review/163454">WD</a>、<a href="https://www.ithome.com.tw/review/163628">三星（Samsung</a>），時至7月底，美光（Micron）終於也推出這類產品9550，主打高效能、高能源使用效率、高安全性，能因應AI工作負載的執行需求。</p> <p>就存取效能而言，Micron 9550循序讀取效能可達到14.0 GB/s，與近期新推出的PCIe 5.0固態硬碟相當，而在循序寫入效能的部分，美光此系列產品最高為10.0 GB/s，相較於<a href="https://semiconductor.samsung.com/ssd/enterprise-ssd/pm1743/mzwlo7t6hbla-00a07-00b07/">三星PM1743的6 GB/s（可能是用同為7.68 TB容量的機型來對比）</a>，領先幅度為67％，若對比今年稍早登場的高性能產品Phison X200（8,700 MB/s），以及其他晚近推出的PCIe SSD產品（7000 MB/s上下），Micron 9550仍然勝出。</p> <p>在隨機讀取效能方面，Micron 9550最高為330萬IOPS，一舉超越Phison X200，比起三星PM1743的250萬IOPS，領先幅度為35％，而在隨機寫入效能的部分，美光此系列產品可提供40萬IOPS，比起三星PM1743的30萬IOPS，領先幅度為33％，值得注意的是，Micron 9550最高可達到90萬IOPS，與Phison今年發表的頂級產品X200打平。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Micron 9550-performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%209550-performance.jpg" style="width: 600px;" /></a></p> <p>針對AI應用，美光表示，大型語言模型（LLM）需要循序讀取效能，圖形神經網路（GNN）需要隨機讀取效能，新推出的Micron 9550比起其他PCIe 5.0固態硬碟，GNN訓練工作負載的總體完成時間可縮短33％；若用於GNN訓練，吞吐量領先幅度為60％；用於儲存系統直通GPU記憶體的技術Nvidia Magnum IO GPUDirect Storage，Micron 9550吞吐量領先幅度為34％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/9550-GNN workload completion time.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9550-GNN%20workload%20completion%20time.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/9550 SSD performance during GNN workload testing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9550%20SSD%20performance%20during%20GNN%20workload%20testing.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9550-GDSIO workers-4KB transfer performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9550-GDSIO%20workers-4KB%20transfer%20performance.png" style="width: 298px;" /></a></p> <p>AI工作能源使用效率的部分，Micron 9550在GNN訓練的應用上，平均耗電量低了43％，整體系統耗電量低了29%；在Nvidia Magnum IO GPUDirect Storage的應用上，每傳輸1TB資料的耗電量可減少81％。用於MLPerf的測試，耗電量低了35％，整體系統耗電量低了13%；針對大型語言模型Llama訓練搭配Microsoft DeepSpeed的微調，耗電量低了21％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/9550-SSD average power and total energy used.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9550-SSD%20average%20power%20and%20total%20energy%20used.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/9550-System energy used during GNN workload testing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9550-System%20energy%20used%20during%20GNN%20workload%20testing.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/9550-Average SSD power consumption.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9550-Average%20SSD%20power%20consumption.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/9550-ai-chart-alvaro-fig-5c.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/9550-ai-chart-alvaro-fig-5c.png" style="width: 298px;" /></a></p> <p>關於安全性的提升，Micron 9550的產品工程設計聚焦在全程加密，例如，提供自我加密硬碟（SED）的儲存裝置安全，以及遵循美國FIPS 140-3 Level 2、貿易協定法（TAA）要求的款式選擇；在此同時，比照其他同類產品遵循DMTF的SPDM 1.2標準，而能提供元件層級的身分認證、機密性、完整性確保，包含Micron 9550在內的美光資料中心固態硬碟，也具備這方面的支援，可因應近年來伺服器產品強化硬體防護的需求。</p> <p>除此之外，Micron 9550也具有簡化大量部署與管理的特色，例如，這系列產品支援NVMe 2.0與OCP Datacenter NVMe SSD 2.0，以及OCP 2.5定義的遙測功能，可提供進階的效能與運作狀態監控機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Micron%20SSD%20portfolio%20security%20features-9550.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Micron 9550</strong><br /> ●原廠：Micron<br /> ●建議售價：廠商未提供<br /> ●儲存容量：9550 Pro提供3.84 TB、7.68 TB、15.36 TB、30.72 TB，9550 Max提供3.2TB、6.4 TB、12.8 TB、25.6 TB<br /> ●外形：2.5吋U.2、E3.S、E1.S<br /> ●儲存媒體：3D NAND，TLC，232層<br /> ●最高讀寫速度：循序14,000 MB/s與10,000 MB/s，隨機330萬IOPS與90萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量9550 Pro為1，9550 Max為3<br /> ●可靠度：250萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/1 10:06作者李宗翰https://www.ithome.com.tw/review/164160
【資安日報】7月31日，研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過NPM、PyPI等軟體套件儲存庫發動攻擊的情況日益頻繁，但通常都是針對特定套件的使用者下手，透過模仿網域名稱的手法，引誘開發人員上當，但如今出現了結合社交工程的攻擊手法。</p> <p>例如，資安業者Checkmarx近期揭露的惡意PyPI套件攻擊行動，駭客的目的是竊取特定用戶的Google Cloud帳密資料，但為了誘騙使用者，疑似還設置專門的LinkedIn帳號，並誤導知名的AI搜尋引擎產生錯誤的結果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164240"><strong style="font-size: 22px;">惡意PyPI套件鎖定macOS用戶，為了竊取Google Cloud帳密資料，意外扯出AI搜尋引擎遭誤導的社交工程新危機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4_Perplexity_GoogleCredentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/4_Perplexity_GoogleCredentials.png" style="width: 300px; float: right;" /></a>過往惡意的NPM、PyPI套件攻擊行動，通常駭客會上傳大量套件來引誘開發人員上當，如今出現針對特定目標的攻擊行動。例如，資安業者Checkmarx揭露鎖定macOS作業系統用戶的攻擊行動，就是這樣的例子。研究人員看到名為lr-utils-lib的惡意Python套件今年6月上傳到PyPI，截至目前為止已被下載59次。</p> <p>一旦開發人員下載、安裝，該惡意套件就會檢查執行環境是否為macOS，並檢查Mac裝置的專屬識別碼IOPlatformUUID，然後與駭客手上的名單進行比對，若是確認受害電腦是攻擊目標，該惡意軟體就會竊取Google Cloud的身分驗證資料，並外傳給攻擊者。攻擊者若是得逞，將會試圖存取受害者的Google Cloud資源。</p> <p>值得一提的是，攻擊者疑似為了說服目標人士下載惡意套件，以該套件的開發者Lucid Zenith的名義設置專屬的LinkedIn帳號，並聲稱是Apex Companies, LLC的執行長，並誤導知名的AI搜尋引擎Perplexity，使得該搜尋引擎認為Lucid Zenith就是這家公司的執行長。</p> <p><a href="https://www.ithome.com.tw/news/164221"><strong style="font-size: 22px;">2021年英國選舉委員會遭駭，破口出在Exchange伺服器漏洞修補不夠即時，至少受到3組攻擊者肆虐</strong></a></p> <p>去年8月英國選舉委員會傳出資料外洩的情況，當時他們通報在2022年10月察覺此事，並推測駭客在2021年8月就入侵受害系統，導致2014年至2022年參與投票的民眾個資外流，約影響4千萬人，到了今年3月，英國國家網路安全中心（NCSC）指出這起攻擊是中國駭客所為，現在他們的調查有新進展。</p> <p>7月30日英國資訊專員辦公室（ICO）指出，這起事故發生的原因，在於選舉委員會未即時修補Exchange伺服器的ProxyShell漏洞（CVE-2021-34473、CVE-2021-34523、CVE-2021-31207）釀禍。微軟在2021年4月及5月著手修補上述漏洞，當時選舉委員會並未套用更新軟體，導致攻擊者能藉由ProxyShell入侵該委員會的Exchange Server 2016。</p> <p>值得留意的是，這起資料外洩事故並非只有單一駭客組織嘗試對選舉委員會發動攻擊。英國資訊專員辦公室指出，他們至少看到3組人馬的攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/164218"><strong style="font-size: 22px;">日本夏普網路商店、食品配送服務網站遭入侵，逾10萬人個資恐外流，臺灣夏普不受影響</strong></a></p> <p>7月23日日本家電製造商夏普（Sharp）發布公告，表示他們的網路商店Cocoro Store遭第三方未經授權存取，察覺異常後暫停網站運作。29日該公司公布事故初步調查結果，表示受影響的不只網路商店，還包括食品配送服務網站Healsio Deli。</p> <p>該公司也公布這起事故發生的經過，他們在7月22日上午10時52分察覺Cocoro Store遭到未經授權存取及竄改的跡象，並於同日11時33分暫停相關服務。進一步調查發現，攻擊者於19日凌晨植入惡意指令碼，導致存取該電子商城的使用者會被重新導向惡意網站。</p> <p>究竟這起事故是否影響臺灣？30日臺灣夏普表示，他們與日本的伺服器獨立運作，兩者之間沒有連結，這起事故與臺灣夏普無關，他們的網站、可購樂平臺、夏普震旦、Dynabook會員個資不受影響。</p> <p><a href="https://www.ithome.com.tw/news/164199"><strong style="font-size: 22px;">紅隊滲透新工具Specula利用已知漏洞，在Outlook實現遠端程式碼執行</strong></a></p> <p>資安公司TrustedSec發布了紅隊滲透工具Specula，能夠將微軟Outlook轉為C2信標，以執行遠端程式碼。該工具利用Outlook之前被發現且認為已被修補的舊漏洞CVE-2017-11774，遠端控制受感染的系統，並可長期潛伏在系統中執行惡意行動。</p> <p>微軟在2017年時修復CVE-2017-11774，該漏洞是Outlook安全功能的旁路問題，使得攻擊者得以利用經特別設計的文件，誘導用戶開啟後執行任意命令。微軟透過安全更新，改善Outlook處理記憶體物件的方式緩解該漏洞。</p> <p>值得留意的是，用戶在安裝修補程式之後，雖然與Outlook主頁相關的介面元素被移除，但是相關機碼仍然可以被濫用，攻擊者透過修改有關參數來建立C2通道，使得攻擊向量仍然有效。即便用戶使用的是Microsoft 365，Outlook還是可能會讀取並使用已遭刪除的介面元素機碼資料。</p> <p><a href="https://www.ithome.com.tw/news/164216"><strong style="font-size: 22px;">勒索軟體集團Dark Angels今年初收到高達7,500萬美元的贖金</strong></a></p> <p>本週雲端資安業者Zscaler發布的2024年勒索軟體報告中揭露，勒索軟體集團Dark Angels在今年初曾收到一筆高達7,500萬美元的贖金，為史上之最，區塊鏈分析業者Chainalysis亦出面證實此事。這樣的現象，突顯駭客獅子大開口的情況日益惡化，該組織的做法有可能引起其他駭客跟進。</p> <p>此駭客組織惡名昭彰的事蹟之一，是在去年9月攻擊全球的大樓自動化管理業者Johnson Controls，盜走27 TB資料，加密該公司的VMware ESXi虛擬機器，並要求5,100萬美元的贖金。</p> <p>而今年初，Zscaler更發現有受害組織向Dark Angels支付7,500萬美元，但並未揭露公布該組織身分。資安新聞網站BleepingComputer猜測，有可能是今年2月遭到網路攻擊的製藥公司Cencora，該公司在2024年的Fortune 500前五百大公司中排行第十，年度營收高達2,620億美元。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trellix.com/blogs/research/onedrive-pastejacking/"><strong style="font-size: 20px;">網路釣魚攻擊鎖定OneDrive用戶，引誘執行惡意PowerShell指令碼</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blogs.blackberry.com/en/2024/07/sidewinder-targets-ports-and-maritime-facilities-in-the-mediterranean-sea">印度洋、地中海港口及海洋事務設施遭到駭客組織SideWinder鎖定</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.welivesecurity.com/en/eset-research/phishing-targeting-polish-smbs-continues-modiloader/">波蘭企業遭遇網釣攻擊，駭客意圖散布Agent Tesla、Formbook、Remcos RAT等惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zimperium.com/blog/unmasking-the-sms-stealer-targeting-several-countries-with-deceptive-apps/">研究人員揭露專門竊取安卓手機簡訊的攻擊行動，範圍橫跨113個國家</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.zimperium.com/blog/unmasking-the-sms-stealer-targeting-several-countries-with-deceptive-apps/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=170548&SPOKE_DATE=20240730&COMPANY_ID=2468">華經資訊傳出遭遇網路攻擊事故，強調未有機密檔案及個資外洩情事</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164198"><strong style="font-size: 22px;">防範竊資軟體，Google為Windows版Chrome新增防護功能</strong></a></p> <p>有鑒於竊密軟體盛行，Google為Chrome新增應用導向的加密技術，防範惡意應用程式竊取瀏覽器密碼或網銀帳號。</p> <p>為了加速上網使用服務，Chrome會利用作業系統提供的安全功能來儲存重要資訊，像是密碼或cookie。例如在macOS上，Chrome使用Keychain服務，在Linux上，則用了kwallet或gnome-libsecret。至於在Windows上，Chrome已經用了資料保護API（Data Protection API，DPAPI），它可以保護靜態資料免於系統上其他用戶存取，或是冷啟動攻擊（cold boot attack）。但是DPAPI並不能防止以既有登入用戶身分執行程式碼的惡意應用程式，這種技倆為許多竊密軟體常用。</p> <p>因此在Windows版Chrome 127版當中，Google加入新技術，提供應用導向的加密（App-Bound Encryption）類別。在此新技術下，Chrome能加密和應用身分（identity）相關的資料，不是所有以既有登入用戶身分執行的App都能存取這些資料，類似macOS上Keychain的運作方式。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164205"><strong>【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164175"><strong>【7月29日】北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164152"><strong>【7月26日】資安業者KnowBe4驚傳僱用北韓駭客，對方利用深偽技術應徵工作得逞，直到從事可疑行為才東窗事發</strong></a></p> </div></div></div>
2024/7/31 19:04作者周峻佑https://www.ithome.com.tw/news/164242
惡意PyPI套件鎖定macOS用戶，為了竊取Google Cloud帳密資料，意外扯出AI搜尋引擎遭誤導的社交工程新危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往惡意的NPM、PyPI套件攻擊行動，通常駭客會上傳大量套件來引誘開發人員上當，如今出現針對特定目標的攻擊行動。</p> <p>例如，<a href="https://checkmarx.com/blog/malicious-python-package-targets-macos-developers-to-access-their-gcp-accounts/">資安業者Checkmarx揭露鎖定macOS作業系統用戶的攻擊行動</a>，就是這樣的例子。研究人員看到名為lr-utils-lib的惡意Python套件今年6月上傳到PyPI，截至目前為止已被下載59次。</p> <p>一旦開發人員下載、安裝，該惡意套件就會檢查執行環境是否為macOS作業系統，並檢查Mac裝置的專屬識別碼IOPlatformUUID，然後與駭客手上的名單進行比對，由此看來，這是高度針對性的攻擊行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1_AttackFlow_GoogleCredentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_AttackFlow_GoogleCredentials.png" style="width: 580px;" /></a></p> <p>若是確認受害電腦是攻擊目標，該惡意軟體就會竊取特定的資料，並外傳給攻擊者，這些檔案存放於~/.config/gcloud資料夾，檔名是application_default_credentials.json、credentials.db，而這些檔案內含Google Cloud的身分驗證資料。攻擊者若是得逞，將會試圖存取受害者的Google Cloud資源。</p> <p>值得一提的是，攻擊者疑似為了說服目標人士下載惡意套件，以該套件的開發者Lucid Zenith的名義設置專屬的LinkedIn帳號，並聲稱是Apex Companies, LLC的執行長（但該公司的執行長其實是Dave Fabianski）。</p> <p>此外，這些駭客甚至竄改特定的AI聊天機器人的分析結果，例如，能誤導知名的AI搜尋引擎Perplexity：根據上述LinkedIn個人資料，而認為Lucid Zenith就是這家公司的執行長。</p> <p><a href="https://s4.itho.me/sites/default/files/images/4_Perplexity_GoogleCredentials.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/4_Perplexity_GoogleCredentials.png" style="width: 580px;" /></a></p> <p>研究人員指出，這類搜尋引擎其實能從公司網站挖掘相關資訊，或找到兩個人在LinkedIn網站有相同職稱，例如，在上述案例裡面，都宣稱自己是Apex Companies, LLC的執行長，他們對此感到很意外，因為只有Perplexity出現這樣的結果，其他同類型的機器人則明確表示，Lucid Zenith並非該公司的執行長。</p> </div></div></div>
2024/7/31 17:39作者周峻佑https://www.ithome.com.tw/news/164240
英國政府反托拉斯部門將調查Google、Anthropic AI合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國政府昨天<a href="https://www.gov.uk/cma-cases/alphabet-inc-google-llc-slash-anthropic-merger-inquiry" target="_blank">宣布將調查</a>Google與AI新創公司Anthropic AI的合作，是否可能造成市場壟斷。</p> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）於昨日啟動第一階段調查，預定在8月13日完成，期間並開放外界提供意見。CMA希望透過調查，了解Alphabet/Google和Anthropic的合作，是否可能導致英國企業法案（Enterprise Act 2002）中相關的公司合併情形。如果會，這合併是否會削弱英國的特定產品與服務市場競爭。</p> <p>英國企業法案為反壟斷和競爭法規，其條文旨在確保公司合併不會損害市場競爭，以保護消費者利益和促進公平競爭。</p> <p>這是英國反托拉斯主管部門針對AI產業動態啟動的最新潛在干預行動。美國科技大廠為了強化AI實力，競相投資AI新創公司，引來CMA的關切。<a href="https://www.ithome.com.tw/news/160265" target="_blank">去年CMA已經對</a>OpenAI和微軟的投資合作關係啟動類似調查，7月中該機關又開始<a href="https://www.ithome.com.tw/news/163972" target="_blank">深入追查</a>微軟挖角Inflection AI高層員工是否可能排擠競爭對手，減弱市場競爭性。</p> <p>Anthropic AI是由OpenAI前員工創立而成，也開發了大語言模型Claude，如今已來到第3代。Anthropic已獲得科技大廠的投資。媒體報導，<a href="https://www.ithome.com.tw/news/159545" target="_blank">Google先後二次投資23億美元</a>。而<a href="https://www.ithome.com.tw/news/162016" target="_blank">Amazon也在今年完成40億美元投資計畫</a>。</p> </div></div></div>
2024/7/31 15:55作者林妍溱https://www.ithome.com.tw/news/164220
2021年英國選舉委員會遭駭，破口出在Exchange伺服器漏洞修補不夠即時，至少受到3組攻擊的肆虐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月<a href="https://www.ithome.com.tw/news/158181">英國選舉委員會傳出資料外洩的情況</a>，當時他們通報在2022年10月察覺此事，並推測駭客在2021年8月就入侵受害系統，導致2014年至2022年參與投票的民眾個資外流，約影響4千萬人，到了今年3月，英國國家網路安全中心（NCSC）指出這起攻擊是中國駭客所為，現在他們的調查有新進展。</p> <p>7月30日英國資訊專員辦公室（ICO）指出，這起事故發生的原因，<a href="https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2024/07/ico-reprimands-the-electoral-commission-after-cyber-attack-compromises-servers/">在於選舉委員會未即時修補Exchange伺服器的ProxyShell漏洞（CVE-2021-34473、CVE-2021-34523、CVE-2021-31207）釀禍</a>。微軟在2021年4月及5月著手修補上述漏洞，當時選舉委員會並未套用更新軟體，導致攻擊者能藉由ProxyShell入侵該委員會的Exchange Server 2016。</p> <p>值得留意的是，這起資料外洩事故並非只有單一駭客組織嘗試對選舉委員會發動攻擊。英國資訊專員辦公室指出，他們至少看到3組人馬的攻擊行動。</p> <p>最早發動攻擊的駭客於2021年8月24日利用ProxyShell，過程中冒充其中一名使用者，並在伺服器植入多個Web Shell。</p> <p>之後，其中一個Web Shell持續留在受害系統，攻擊者先後在2021年9月、2022年6月及8月多次存取，這些駭客也自2022年3月在該系統植入後門程式。</p> <p>第2組人馬在2021年10月14日成功利用ProxyShell，並在伺服器部署Web Shell，雖然這個惡意程式後來被隔離、刪除，但這些駭客在隔年3月，於伺服器設置工作排程，用來下載、執行惡意酬載。究竟駭客使用的惡意軟體為何，英國資訊專員辦公室並未透露。</p> <p>第3組駭客在2021年10月28日發動攻擊，但手法有所不同。有選舉委員會的員工通報垃圾信攻擊事故，並指出這些信來自選舉委員會的Exchange伺服器，但遭冒用的使用者，收信軟體Outlook卻無法從寄件備份看到這些信件。</p> <p>經過掃描，IT人員發現郵件伺服器被注入惡意程式，但駭客疑似察覺東窗事發進行事後清理，將該伺服器關機，待IT人員重開機並進行二度掃描，發現惡意軟體已經移除。</p> <p>這些駭客的攻擊行動，代表選舉委員會至少在2021年10月之前並未套用ProxyShell的修補程式，而能讓攻擊者成功入侵。</p> <p>再者，雖然攻擊者在2021年入侵，但英國資訊專員辦公室指出，駭客在1年後才存取選舉名冊上的民眾資料，並在選舉委員會不知情的情況下多次存取。</p> <p>另一方面，他們也提及選舉委員會並未制訂相關密碼政策的情況，因為英國資訊專員辦公室發現，有許多使用者沿用服務臺最初提供的密碼，或是類似的字串，因此使攻擊者得以嘗試破解並存取帳號。</p> </div></div></div>
2024/7/31 15:57作者周峻佑https://www.ithome.com.tw/news/164221
日本夏普網路商店、食品配送服務網站遭入侵，逾10萬人個資恐外流，臺灣夏普不受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月23日日本家電製造商夏普（Sharp）發布公告，表示他們的網路商店Cocoro Store遭第三方未經授權存取，察覺異常後暫停網站運作。<a href="https://corporate.jp.sharp/info/notices/240729-a.html">29日該公司公布事故初步調查結果</a>，表示受影響的不只網路商店，還包括食品配送服務網站Healsio Deli。</p> <p>該公司也公布這起事故發生的經過，他們在7月22日上午10時52分察覺Cocoro Store遭到未經授權存取及竄改的跡象，並於同日11時33分暫停相關服務。進一步調查發現，攻擊者於19日凌晨植入惡意指令碼，導致存取該電子商城的使用者會被重新導向惡意網站。</p> <p>另一方面，他們也發現11日也有未經授權存取的情況，導致網路商店及食品配送服務網站的部分用戶資料外流，共有203人受影響，包括6月30日在Cocoro Store採購的用戶，以及6月23日至30日在Healsio Deli下單的用戶，他們的姓名、地址及郵遞區號、電話號碼、電子郵件信箱可能流出，但不含信用卡資料。</p> <p>除了上述資料外洩的規模，夏普也提及用戶被導向惡意網站的受害情形。該公司指出，有26,654名在7月19日至22日下單的用戶也可能受害，但不只個人資料流出，還有密碼和信用卡資料也可能曝光。此外，他們估計約有7.5萬名未購物的使用者也可能被導向惡意網站，而導致電腦感染病毒的情況。</p> <p>針對這起事故發生的原因，夏普表示是這兩個網站採用的軟體存在弱點遭到利用所致，他們正著手清除相關攻擊，並部署新版軟體來緩解漏洞。</p> <p>究竟這起事故是否影響臺灣？<a href="https://tw.sharp/news/2024-07-30">30日臺灣夏普表示</a>，他們與日本的伺服器獨立運作，兩者之間沒有連結，這起事故與臺灣夏普無關，他們的網站、可購樂平臺、夏普震旦、Dynabook會員個資不受影響。</p> </div></div></div>
2024/7/31 13:03作者周峻佑https://www.ithome.com.tw/news/164218
防範Windows竊密軟體，Google Chrome新增防護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有鑒於竊密軟體盛行，<a href="https://security.googleblog.com/2024/07/improving-security-of-chrome-cookies-on.html" target="_blank">Google為Chrome新增</a>應用導向的加密技術，防範惡意應用程式竊取瀏覽器密碼或網銀帳號。</p> <p>為了加速上網使用服務，Chrome會利用OS提供的安全功能來儲存重要資訊，像是密碼或cookies。例如在macOS上，Chrome使用Keychain服務，在Linux上，則用了kwallet或gnome-libsecret。在Windows上，Chrome已經用了資料保護API（Data Protection API，DPAPI），它可以保護靜態資料免於系統上其他用戶存取，或是<a href="https://www.ithome.com.tw/news/125894" target="_blank">冷啟動攻擊</a>（cold boot attack）。但是DPAPI並不能防止以既有登入用戶身分執行程式碼的惡意應用程式，這種技倆為許多竊密軟體常用。</p> <p>因此在Windows版Chrome 127版將加入新技術，提供應用導向的加密（App-Bound Encryption）型別。在此新技術下，Chrome能加密和應用身分（identity）相關的資料，不是所有以既有登入用戶身分執行的App都能存取這些資料，類似macOS上Keychain的運作方式。</p> <p>Google會逐步將所有敏感資料移到新的保護系統，會先從Chrome 127中的cookies開始。未來，Google計畫擴大到密碼、支付資料或其他常駐的驗證token等，以防範竊密惡意程式。</p> <p>由於應用導向服務是結合系統權限執行，攻擊者必須設法誘騙用戶執行惡意App。惡意程式必須取得更高系統權限，若無法呼叫更高權限，就會使用程式碼注入手法，但也更容易被端點代理程式偵測到。</p> <p>Google並說，這類防護可能被惡意程式以高等用戶權限來繞過，因此最新的Chrome安全功能格外適合那些不允許用戶下載並執行檔案的企業環境。</p> <p>此外，Google提醒，App導向的加密方法仰賴將加密金鑰綁在機器上，無法正確執行在多臺機器之間輪轉Chrome用戶資料檔（profile）的企業環境中。若前述企業想使用Google Chrome的新防護功能，可使用<a href="http://chromeenterprise.google/policies/#ApplicationBoundEncryptionEnabled" target="_blank"><span style="box-sizing: border-box; color: inherit; font-size: inherit; line-height: inherit; white-space: pre;">Application</span><span style="box-sizing: border-box; color: inherit; font-size: inherit; line-height: inherit; white-space: pre;">Bound</span><span style="box-sizing: border-box; color: inherit; font-size: inherit; line-height: inherit; white-space: pre;">Encryption</span><span style="box-sizing: border-box; color: inherit; font-size: inherit; line-height: inherit; white-space: pre;">Enabled</span></a><a href="https://chromeenterprise.google/policies/#ApplicationBoundEncryptionEnabled" target="_blank">規則</a>來配置應用導向的加密。</p> </div></div></div>
2024/7/31 13:58作者林妍溱https://www.ithome.com.tw/news/164219
W3C對Google決定續留第三方Cookie感到意外，呼籲重新考慮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在日前突然宣布放棄在Chrome中封鎖第三方Cookie的計畫，這不只使得第三方Cookie固有特性帶來的隱私議題再度浮上檯面，同時也可能影響跨瀏覽器所提出的第三方Cookie替代方案的推展，W3C希望Google重新考慮保留Cookie的決定。</p> <p>棄用第三方Cookie早已是各家主要瀏覽器的共識，因此在近年Mozilla Firefox、Apple Safari和Google Chrome等，都已制定了退場機制，逐步提高對第三方Cookie的限制。Google也開發了隱私沙箱（Privacy Sandbox）為其廣告業務提供替代的解決方案。</p> <p>不過Google在發表隱私沙箱之初，便引來非常多的爭議與批評，也受到政府主管機關調查。雖然隱私沙箱宣稱不侵犯用戶隱私，但是不少組織與研究人員都質疑隱私沙箱的隱私安全，也擔心隱私沙箱反而會強化Google掌控網路廣告的能力，而對於這些質疑聲浪，Google也都未能提出令人信服的解釋，最後甚至即便Apple和Mozilla持反對立場，Google還是逕自於Chrome推出隱私沙盒。</p> <p><a href="https://privacysandbox.com/news/privacy-sandbox-update/" target="_blank">Google在7月22日發表的文章中提到</a>，他們不會棄用第三方Cookie，而是會在Chrome中引入新體驗，並且繼續對隱私沙箱API的投資。<a href="https://www.w3.org/blog/2024/third-party-cookies-have-got-to-go/" target="_blank">W3C在得知Google最新的決定後發表聲明</a>，重申他們希望移除第三方Cookie的立場，並且再次強調了第三方Cookie所帶來的隱私問題，包括跨網站追蹤對用戶產生的風險。</p> <p>W3C已經與Chrome隱私沙箱團隊、社群合作多年，共同尋求第三方Cookie替代解決方案，W3C表示，對於Google突然宣布不再計畫淘汰第三方Cookie感到意外，也認為會對改善網路隱私工作產生不利的影響，希望Google能重新考慮並扭轉他們的決定，重回移除第三方Cookie的路線。</p> </div></div></div>
2024/7/31 14:14作者李建興https://www.ithome.com.tw/news/164217
勒索軟體集團Dark Angels今年初曾收到一筆高達7,500萬美元的贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國雲端資安業者Zscaler在周二（7/30）發布的2024年<a href="https://www.zscaler.com/resources/industry-reports/threatlabz-ransomware-report.pdf" target="_blank">勒索軟體報告</a>中揭露，勒索軟體集團Dark Angels在今年初曾收到一筆高達7,500萬美元的贖金，為史上之最，同一天區塊鏈分析業者Chainalysis亦出面<a href="https://x.com/chainalysis/status/1818324083873853734" target="_blank">證實此事</a>。</p> <p class="rtecenter"><a href="https://x.com/chainalysis/status/1818324083873853734" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0731-Chainalysis-dark%20angels%20ransomware.png" style="width: 600px;" /></a></p> <p>Dark Angels是個相對新的勒索軟體集團，其資料外洩網站是在2022年5月成立，且與大多數勒索軟體集團的撒網策略、將大部分攻擊外包給合作夥伴的方式不同，Dark Angels一次通常只鎖定一家大型組織展開攻擊，目標對象涵蓋政府、醫療、金融、教育、製造業、技術及電信業者。</p> <p>一旦Dark Angels成功入侵目標組織，即會選擇是否要加密受害組織的資料，在大多數的情況下，它們選擇了竊取資料，資料規模通常介於1~10 TB之間；而針對大型企業所竊取的資料則可能多達10~100TB，光是傳輸資料便需要耗費數天到數周的時間。</p> <p>Dark Angels的著名事蹟之一，是<a href="https://www.ithome.com.tw/news/159124" target="_blank">在去年9月攻擊</a>全球的大樓自動化管理業者Johnson Controls，盜走27TB的資料，加密了該公司的VMware ESXi虛擬機器，並要求高達5,100萬美元的贖金。</p> <p>而今年初，Zscaler更發現有一個受害組織向Dark Angels支付了7,500萬美元。Zscaler並未揭露此一受害組織的名稱，但<a href="https://www.bleepingcomputer.com/news/security/dark-angels-ransomware-receives-record-breaking-75-million-ransom/" target="_blank">BleepingComputer猜測</a>，有可能是今年2月遭到網路攻擊的製藥公司Cencora，它在2024年的Fortune 500前五百大公司中排行第十，年度營收高達2,620億美元。</p> <p>不管是Zscaler或Chainalysis都警告，勒索軟體集團所要求的贖金有著愈來愈高的趨勢，Dark Angels的成功更容易引來其它勒索軟體集團的仿效。</p> </div></div></div>
2024/7/31 12:40作者陳曉莉https://www.ithome.com.tw/news/164216
微軟整體營收成長15%，Azure成長29%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2024-Q4/press-release-webcast" target="_blank">微軟周二（7/30）公布</a>該公司截至6月30日的2024財年第四季財報，該季微軟創下647億美元的營收，比去年同期成長15%，高於分析師預期，Azure及其它雲端營收成長29%，略低於分析師所預期的30%或31%成長幅度。當天微軟的盤後股價下滑了2.76%，跌至411.25美元。</p> <p>在647億美元的營收中，有358億美元來自Microsoft Cloud的貢獻，成長21%。Microsoft Cloud涵蓋了Azure、Microsoft 365、Dynamics 365、Microsoft Security、GitHub、Linkedin、Copilot、AI，以及產業雲端等產品。已占據微軟總營收的55%。</p> <p>從業務部門來看，有285億美元的營收來自智慧雲端（Intelligent Cloud），成長19%；生產力與業務流程（Productivity and Business Processes）的營收為203億美元，成長11%；更多個人運算（More Personal Computing）營收為159億美元，成長14%。</p> <p>若觀察個別產品或服務的表現，營收成長最多的是Xbox的內容及服務，成長了61%，主要受益於微軟所併購的動視（Activision），居次的是Azure與其它雲端服務，成長了29%，Microsoft Cloud成長21%，伺服器產品及雲端服務亦成長21%，Dynamics 365成長19%，搜尋與新聞的廣告收入也成長了19%。</p> <p>不過，該季微軟的裝置營收下滑了11%。該類別包括Surface、Xbox、 HoloLens及各種配件等。</p> </div></div></div>
2024/7/31 11:27作者陳曉莉https://www.ithome.com.tw/news/164212
Google首度揭露資料中心對臺灣的影響力報告，彰化資料中心PUE達1.12，對臺年貢獻產值破49億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google與顧問公司Deloitte合作，今天公布了第一份臺灣版的資料中心影響報告，這是Google在臺設立資料中心十年多來首度公開的資料中心在臺影響數據。這份報告揭露經濟、社會和環保三個面向的影響和效益。Google更首度公開彰化資料中心的PUE值只有1.12。Google臺灣總經理林雅芳指出，Google資料中心，每年在臺直接與間接帶來的產值高達49億美元。</p> <p>Google目前在全球海外有24座資料中心，10年前投入6億美元在彰化建置第一座資料中心。這份報告特別針對Google在臺灣的資料中心，公布了2017年至 2022年間對臺灣的量化影響數據。在經濟影響上，每年直接與間接對對臺灣GDP產值貢獻約49億美元（約臺幣1,612億元），其中包括26億美元(臺幣 855億元）的直接貢獻，其中像是Google每年對供應商的採購和員工薪資等，而間接帶動的貢獻如相關Google供應商帶來效益，也有15億美元（約臺幣493億元）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E5%B0%8D%E8%87%BA%E4%B8%89%E5%A4%A7%E5%BD%B1%E9%9F%BF%E5%8A%9B%E9%9D%A2%E5%90%91.jpeg" /></p> <p>另外，對臺灣就業市場的效益上，在2017年到2022年間，Google每年提供的直接職缺約330個，間接帶動的就業機會較高，達到3.7萬個和近萬個誘發就業機會，累計每年貢獻約10億美元的勞工所得。直接就業職缺以Google資料中心營運相關的全職與兼職工作為主，像是廠務工程師、營運經理等。在社會影響上，Google在這六年也累計提供了72.1萬美元的數位素養教育專案和培訓計畫。Google計畫三年輔導三所大學培養1,500位學生取得Google Cloud基礎認證，目前超過100位學生通過認證。</p> <p>在環保影響上，Google資料中心用量約占全球總用電量的1到1.5%，又以資料伺服器的用電量最多，主要用於冷卻伺服器之用。Google在臺灣用電中，無碳能源發電量的占比為18％，高於新加坡無碳能源發電量的4%和日本的16%，不過，仍遠低於美國多處資料中心高達六七十的無碳能源發電比重。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E5%90%84%E5%9C%8B%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E7%84%A1%E7%A2%B3%E7%94%A8%E9%9B%BB%E6%AF%94%E9%87%8D.jpeg" /></p> <p>Google是臺灣電業法修法後，第一採取行動的電力企業買主，在2019年簽訂長期協議，購買臺南市大型太陽能發電廠產生的太陽能電力，Google日前調整政策，放棄了堅持了十多年的營運碳中和計畫，不再大規購買採取碳抵換作法，轉而聚焦2030 年全天無碳排放的目標。</p> <p>根據Google公開的資料，統計到2022年，全球Google自家資料中心的能源效率平均是一般企業資料中心的1.5 倍，目前每單位電力提供的運算能力為五年前的3倍。而在臺灣，Google彰化資料中心2022年的電力使用效能 (PUE) 為 1.12，比1.55的全球產業平均值還要低。</p> <p>為了減少碳排，Google從2020年也開始推出一個碳智慧運算平臺，會將特定運算工作改放到電網中供應無碳能源的時間和地點來運算，例如處YouTube上傳影片的處理，也會在在地或區域電網負擔高時，暫時降低資料中心耗電量。所以，Google彰化資料中心也會配合臺灣夏天用電調度政策而調整，在過去兩年，2022年和2023年的夏季，配合臺灣電力公司的強化電網穩定性計畫，每天尖峰時段會來調降在臺資料中心的用電量，例如像是利用備用電量來支援供電量，避免停電。</p> <p>從2022年，Google也將彰化資料中心的冷卻水，改成使用工業用水，來減少對民生飲用水的需求，去年4月更是全面實施後，Google彰化資料中心取用的水資源目前超過95%來自非飲用水。資料中心冷卻系統的廢水也會根據在地排水限制，先經過處理後才排回當地集水區，盡量降低對水質的影響。</p> </div></div></div>
2024/7/31 11:27作者王宏仁https://www.ithome.com.tw/news/164213
Microsoft 365再發生部分服務不穩、無法存取問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Microsoft 365多項服務於昨（30）日發生服務無法存取或連線速度不佳等問題，成為近日來第三次服務效能異常事件。</p> <p>微軟昨日大約在臺灣時間晚間9:00透過<a href="https://x.com/MSFT365Status" target="_blank">官方X帳號公告</a>，多項Microsoft 365（M365）服務出現無法存取或連線效能下降情形。<a href="https://status.cloud.microsoft/" target="_blank">Azure服務狀態頁</a>則說明，從協調時間2024年7月30日11:45（臺灣時間7月30日晚上7:45），一小部分客戶發生全球微軟服務連線問題。微軟解釋，已經變更網路配置，啟動備援計畫轉換到其他網路路徑。</p> <p>當時受影響服務包括Microsoft 365管理員中心、Intune、Entra及Power Platform。不過SharePoint Online、OneDrive for Business、Microsoft Teams、Exchange Online、Azure則未受影響。這次效能不佳情形似乎為期不久，約2小時後問題就已經排除。根據Microsoft Azure服務狀態頁，前述受影響的服務已經恢復正常運作。</p> <p>不過這已是7月以來M365第三次較重大的服務效能下降，包含<a href="https://www.ithome.com.tw/news/164028" target="_blank">發生在7月19日當天的事件</a>。但那次事件和CrowdStrike事件無關。思科子公司<a href="https://www.crn.com/news/cloud/2024/microsoft-365-services-hit-by-outage?itc=refresh" target="_blank">ThousandEyes分析</a>，同一天Azure美國中部區域配置的多項Azure服務和客戶帳號發生存取異常，肇因和CrowdStrike事件完全不同，是兩件不相關事件。但因為時間點接近，因此當時許多人誤認微軟為事件元兇。</p> <p>二周前的全球大當機，出於<a href="https://www.ithome.com.tw/news/164100" target="_blank">CrowdStrike端點安全軟體更新中的驗證軟體臭蟲</a>觸發850萬臺Windows電腦藍色死亡螢幕（BSOD），令多個主要機場、港口及醫院<a href="https://www.ithome.com.tw/news/164052" target="_blank">運作大亂</a>，必須退回到人工作業。</p> </div></div></div>
2024/7/31 11:41作者林妍溱https://www.ithome.com.tw/news/164214
美國要求Amazon對平臺上銷售的商品召回擔負法律責任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國消費品安全委員會（Consumer Product Safety Commission，CPSC）本周<a href="https://www.cpsc.gov/Newsroom/News-Releases/2024/CPSC-Finds-Amazon-Responsible-Under-Federal-Safety-Law-for-Hazardous-Products-Sold-by-Third-Party-Sellers-on-Amazon-com" target="_blank">針對Amazon發布一項決定與命令</a>，認為Amazon屬於產品的經銷商，倘若所經銷的產品存在缺陷，或是未能符合美國聯邦的消費者產品安全標準，就必須對相關產品的召回擔負法律責任。</p> <p>此事源於CPSC在2021年7月對Amazon提出行政訴訟，指出Amazon上所銷售的特定產品含有缺陷，可能對消費者帶來嚴重傷害或死亡風險，包括2.4萬個一氧化碳偵測器，以及40萬個可能會觸電的吹風機，認為Amazon有責任要召回它們。</p> <p>然而，Amazon覺得自己並不是經銷商，而只是提供商品陳列的第三方物流供應商，因為Amazon所提供的Fulfilled by Amazon 服務讓賣家直接將商品送到Amazon倉庫，再自該倉庫分發給買家。此外，Amazon已向購買危險商品的消費者寄出警告郵件，也銷毀或隔離危險物品，惟認為該平臺不應對召回一事擔負法律責任。</p> <p>不過，CPSC現在確認了Amazon作為產品經銷商的身分，要求Amazon必須制定並提交相關計畫，以針對這些危險產品通知大眾及買家，還必須替相關產品提供退款及更換服務。</p> </div></div></div>
2024/7/31 12:13作者陳曉莉https://www.ithome.com.tw/news/164215
Google推出針對Android開發者的應用程式安全知識庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出了<a href="https://android-developers.googleblog.com/2024/07/making-security-easy-vuln-remediation.html">Android應用程式安全知識庫（Android Application Security Knowledge Base，AAKB）</a>目的是要提升應用程式的安全性，提供針對Android開發者設計的指南和資料庫，協助開發者建置更具安全性的應用程式。</p> <p>Google提供明確且經過驗證的安全開發指南和程式碼範例。官方指出，這些指南遵循OWASP MASVS標準，並與其技術合作夥伴微軟共同審查，確保內容不偏袒且反應最新的標準。AAKB同時也是開發者教育平臺，透過提供業界標準的指導，協助開發者主動修補應用程式中的安全風險，並且從中學習專家知識。</p> <p>AAKB頁面展示各類安全指南文章，其對應相關的OWASP MASVS類別，讀者可以查看並直接對文章內容提供回饋。除此之外，開發者也可以透過Android Studio，查看AAKB的安全指南，Android Studio IDE內建的程式碼檢查功能（Lint Checks），能夠在開發者建置應用程式時，提供相關AAKB文章，協助開發者即時修復問題，減少程式碼的問題。</p> <p>另外，開源的Android程式碼安全檢查函式庫，也會提供AAKB的安全指南。在Android Studio Giraffe以上版本，IDE介面提供問題描述，而現在這些描述已整合AAKB，更新之後將包含指向AAKB文章的連結，提供更多背景知識，協助開發者了解特定程式碼片段可能存在的潛在風險。</p> <p>AAKB是一個持續更新的知識庫，根據最新的安全威脅和技術變化新增內容。透過Android Studio內建功能和開源的安全檢查函式庫，開發者可以獲得最新的安全指南和修復建議，更簡單地在開發過程及早發現並修復漏洞，提升整體產品安全性和品質。</p> </div></div></div>
2024/7/31 08:25作者李建興https://www.ithome.com.tw/news/164206