世界經濟論壇(World Economic Forum, WEF)於2022年1月18日發布《2022年全球網路安全展望》(Global Cybersecurity Outlook 2022),以面對因COVID-19大流行所致之遠距辦公、遠距學習、遠距醫療等新形態數位生活模式快速發展,以及日漸頻繁之具破壞性網路攻擊事件。為考量國家應優先考慮擴展數位消費工具(digital consumer tools)、培育數位人才及數位創新,本報告說明今年度網路安全發展趨勢及未來所要面對之挑戰包括如下:
專利蟑螂(Paten Troll)與非專利實施實體(Non-Practicing Entity, NPE)乃係本身不進行任何生產製造或產品銷售,藉由購買專利權(少數亦自行研發),以專利授權或專利訴訟為主要手段,對其他公司啟動專利攻擊,進而收取授權金或賠償金為營利目標之公司總稱。NPE約自2001年開始出現迅速成長,2011年因NPE專利訴訟與授權所造成的花費高達290億美金,較2005年的70億美金成長400%,而其中僅有不到25%是用於研發創新,超過25%用於訴訟。 美國國會智庫機構,國會研究處(Congressional Research Service, CRS)於今年(2012)8月20日發表「專利蟑螂爭議概要」(An Overview of the "Patent Trolls" Debate)研究報告,分析專利蟑螂的行為及其影響,並提出改善方法及建議: 一、建議限制資訊科技的專利保護,然而此舉可能違反WTO下TRIPS之規定(Agreement on Trade-Related Aspects of Intellectual Property Rights)。 二、許多專利蟑螂與NPE利用專利申請得提出延續案(Continuation),延長專利審查的保密期間。使得他公司可能在不知情下使用該專利而造成侵權。因此建議取消申請中專利提出延續案,並適度公開申請中專利案資訊。 三、限制專利蟑螂與NPE申請美國ITC(International Trade Commission)的禁制令,取消專利推定效力,或改變專利授權金計算方式等。 四、縮短專利權期間或增加專利之維持費。 五、仿效商標法上放棄(abandonment)/怠於行使(laches)商標權之抗辯,對於長期未實施之專利,原告需負舉證責任,證明其有進行該專利之研發、商品化或授權。 六、建議專利轉讓或授權皆應強制公開,以促進市場效率。
何謂「工業4.1J(Japan Industry 4.1J)」?自德國「工業4.0」,開啟所謂第4次工業革命以來,各國政府皆相繼投入資源進行相關計畫,如美國之「先進製造夥伴計畫(Advanced Manufacturing Partnership,AMP)」中國大陸之「中國製造2024」,以及我國之「生產力4.0」等等。 而日本不同於上述其他國家,日本版的工業4.0稱為「工業4.1J」,該計畫並非由國家來主導,而係由民間公司Virtual Engineering Community(VEC)及NTT Communications於2015年3月10日所啟動的一項實證實驗,旨在確認「工業4.1J」之各項技術要件,並且該項目成果非僅提供給VEC之會員,將對所有企業及公眾公開。而所謂的「4.1」表示安全級別比工業4.0更高一級,「 J」則表示源自於日本(Japan)。 日本之「工業4.1J」的運行架構說明如述:首先,將會利用控制系統蒐集相關數據;第二,在雲端平台上記錄及累積數據資料;第三進行即時分析;最後則是透過專家進行事件檢測、分析故障原因並恢復生產、提出安全改善建議等等。
ENUM服務前景可期? 美國國家安全局發布「軟體記憶體安全須知」美國國家安全局(National Security Agency, NSA)於2022年11月10日發布「軟體記憶體安全須知」(“Software Memory Safety” Cybersecurity Information Sheet),說明目前近70%之漏洞係因記憶體安全問題所致,為協助開發者預防記憶體安全問題與提升安全性,NSA提出具體建議如下: 1.使用可保障記憶體安全之程式語言(Memory safe languages):建議使用C#、Go、Java、Ruby、Rust與Swift等可自動管理記憶體之程式語言,以取代C與C++等無法保障記憶體安全之程式語言。 2.進行安全測試強化應用程式安全:建議使用靜態(Static Application Security Testing, SAST)與動態(Dynamic Application Security Testing, DAST)安全測試等多種工具,增加發現記憶體使用與記憶體流失等問題的機會。 3.強化弱點攻擊防護措施(Anti-exploitation features):重視編譯(Compilation)與執行(Execution)之環境,以及利用控制流程防護(Control Flow Guard, CFG)、位址空間組態隨機載入(Address space layout randomization, ASLR)與資料執行防護(Data Execution Prevention, DEP)等措施均有助於降低漏洞被利用的機率。 搭配多種積極措施增加安全性:縱使使用可保障記憶體安全之程式語言,亦無法完全避免風險,因此建議再搭配編譯器選項(Compiler option)、工具分析及作業系統配置等措施增加安全性。