美國國家安全局發布「軟體記憶體安全須知」

  美國國家安全局(National Security Agency, NSA)於2022年11月10日發布「軟體記憶體安全須知」(“Software Memory Safety” Cybersecurity Information Sheet),說明目前近70%之漏洞係因記憶體安全問題所致,為協助開發者預防記憶體安全問題與提升安全性,NSA提出具體建議如下:

  1.使用可保障記憶體安全之程式語言(Memory safe languages):建議使用C#、Go、Java、Ruby、Rust與Swift等可自動管理記憶體之程式語言,以取代C與C++等無法保障記憶體安全之程式語言。

  2.進行安全測試強化應用程式安全:建議使用靜態(Static Application Security Testing, SAST)與動態(Dynamic Application Security Testing, DAST)安全測試等多種工具,增加發現記憶體使用與記憶體流失等問題的機會。

  3.強化弱點攻擊防護措施(Anti-exploitation features):重視編譯(Compilation)與執行(Execution)之環境,以及利用控制流程防護(Control Flow Guard, CFG)、位址空間組態隨機載入(Address space layout randomization, ASLR)與資料執行防護(Data Execution Prevention, DEP)等措施均有助於降低漏洞被利用的機率。

  搭配多種積極措施增加安全性:縱使使用可保障記憶體安全之程式語言,亦無法完全避免風險,因此建議再搭配編譯器選項(Compiler option)、工具分析及作業系統配置等措施增加安全性。

相關連結
你可能會想參加
※ 美國國家安全局發布「軟體記憶體安全須知」, 資訊工業策進會科技法律研究所, https://stli.iii.org.tw/article-detail.aspx?d=8956&no=57&tp=1 (最後瀏覽日:2026/11/09)
引註此篇文章
你可能還會想看
歐洲藥物管理局(EMA)加強與歐洲毒品與毒癮監控中心(EMCDDA)於精神性影響藥物和藥物濫用上的資訊交換合作

  2010年藥物主動監視法規(pharmacovigilance legislation)要求EMA和EMCDDA必須加強在藥物產品濫用(包含不合法藥品)的資訊交換合作關係,是以,EMA和EMCDDA於今年九月初於葡萄牙里斯本相互簽署了修訂工作協議(amended working arrangement),約定在新型精神性影響藥物與藥物濫用的面向上,加強相互間的資訊交流合作。   於EMA和EMCDDA所簽訂的修正工作協議中,雙方約定就下列領域深化資訊交換: 1.雙方需各自依照歐盟執委會2005/387/JHA決議和歐盟1235/2010號法規第28c(2)條,對於所擁有之新型精神性影響藥物與藥物濫用(包含不合法藥品)資訊進行交換合作; 2.資訊交換需透過通常基準的報告形式由EMCDDA送至EMA,並含括有關於藥物產品濫用、不合法藥物,以及新型精神性影響物質等相關資訊; 3.EMA必須通知EMCDDA有關於藥物產品濫用的有效導因(validated signals),同時,EMA必須提供EMCDDA有關於藥物產品濫用和新型精神性影響藥品市場核准狀況的細部資訊; 4.EMA對於選定藥物產品之風險管理計畫的界定,可考量是否需先行與EMCDDA作諮詢意見交換; 5.EMA和EMCDDA在歐盟執委會2005/387/JHA決議和歐盟1235/2010號法規第28c(2)條所設基礎的合作模式下,必須要特別注意確保人類或動物健康照護並無惡化的情事,同時應確保科學建議之潛在衝突於前階段將會被界定與管理; 6.EMA和EMCDDA兩者間諮詢的進行,必須避免非關於新型精神性影響物質風險評估之科學建議的潛在衝突; 7.對於任何額外合作計畫的執行,必須考量EMA和EMCDDA兩者的例行性工作規劃; 8.對於特定計畫需要額外資源時,必須經由EMA和EMCDDA共同同意,並將同意文件附於現階段的工作協議中; 9.EMA和EMCDDA可就其各自舉辦的會議相互邀請對方,並邀請對該會議有興趣的其他團體參與; 10.對於EMA和EMCDDA間實際的合作面向,將在工作協議既定架構下繼續發展。   除了前述的適用範圍外,EMA和EMCDDA的修訂工作協議,亦有就相互諮詢和秘密資訊等領域作出約定,以確保資訊交換係在符合雙方需求與不侵害個人基本權利的情況下進行。有鑑於EMA和EMCDDA希冀藉由資源互補的強化約定,來彌補自身於精神性影響藥物和藥物濫用領域的資訊不足缺陷,是否我國在相關醫療、藥品管制或是藥品商業化資訊需有跨機關的整合機制,以促使我國在醫療、醫藥資訊交換與流通,在不侵害個人基本權利的情況下,能夠發揮互益效用,則是我國有關單位必須審慎思考的問題。

2015年世界智慧財產報告:突破創新與經濟成長

  在一片低迷的全球經濟成長中,2015年11月11日世界智慧財產權組織(WIPO),公布了最新的「世界智慧財產報告:突破創新與經濟成長( World Intellectual Property Report: Breakthrough Innovation and Economic Growth)」,探討知識產權的角色與創新及經濟成長之關連,並鎖定在突破性創新之影響。該報告除討論具代表性歷史創新技術,另也探討當今具有潛在突破性發展之創新技術,同時敦促各國政府及企業,應增加此三領域創新技術相關之投資。   在過去300年來的創新技術發展,已經觸及人類活動的各個層面,並改變了世界的經濟結構。依據2015年WIPO報告,顯示出三領域歷史創新技術如何觸發當時新的企業活動:即飛機、抗生素和半導體。該報告考量到創新驅動成長及未來展望,另探究了三領域具有潛在突破性發展之當今技術:即3D列印、奈米和機器人技術。調查報告也顯示,日本和美國正帶領著一小群國家,推動此三領域創新技術進行突破研究,正因此三領域前瞻技術,掌握著推動未來經濟增長之潛力。   朝向工業化發展的新興中等收入國家中國大陸,自2005年以來在3D列印和機器人領域的專利申請量占全球四分之一以上,為全球國家中比率最高;在奈米技術方面,中國大陸專利申請人占全球近15%,是第3大申請國,但與其他資深創新國家不同的是,中國大陸的大學和公立研究機構申請案所占比例相當高。   WIPO報告強調,創新生態系統的成功要素有三:政府資助科學技術研究,並協助具前景技術從實驗室走到商品化階段;透過充滿活力的金融市場和健全的法規,以及鼓勵企業創新來加強市場競爭力;促進公、私部門創新單位的連結溝通流暢。   該報告亦說明大學和公立研究機構與創新如何日形密切,和傳統飛機、抗生素和半導體領域相較,學研機構在3D列印、奈米技術和機器人領域的專利申請所占比例較高,尤其是在奈米技術領域,全球的學術機構申請人約占四分之一。另外著作權在技術創新也變得更加常見且緊密相關,包括電腦軟體納入著作權保護標的,及3D物品設計和電腦IC晶片設計等的任何形式數位表達之保護。   WIPO「世界智慧財產報告」每兩年發行一次,每期的重點放在不同的IP領域新趨勢,先前的報告已探討「品牌在全球市場的角色(the role that brands play in a global marketplace)」及「不斷變化的創新(the changing face of innovatio)」。

歐盟發佈「降低高速電子通訊網路建置成本」草案

溫室氣體減量法草案出爐 新廠成本支出大增

  京都議定書已於二月正式生效,本年底將開始討論新興國家的管制措施,環保署預期,台灣最快將在二 ○ 一二年後,與其他新興工業國家並列為下一波管制對象。為了因應京都議定書未來的要求,我國已完成溫室氣體減量法的立法草案。未來政府將啟動總量管制的強制措施,明定溫室氣體總量管制等多項強制規範;並賦予經濟部可依法禁止或限制高耗能產業設置,或限制高碳類燃料輸入。惟未來新設工廠排放量必須列為企業總量管制的應削減量,雖然允許企業可與其他部門或不同產業類別交易排放量,但因成本支出大增,企業界認為影響投資意願而反彈聲浪甚大。   根據這項法案,一定規模以上的溫室氣體排放源,應採用最佳防制設施,新增溫室氣體排放量須列為實施總量管制後的「應削減量」,並作為環境影響評估審查通過承諾事項。也就是說,石化、鋼鐵等高耗能產業新設廠房、生產線時,依法必須使用高效能技術或設備,因而產生的溫室氣體量,亦必須在企業總排放量內進行削減。   惟這項規定,產業界認為向市場或向能源服務公司購買排放權,對新設工廠將大幅增加成本支出,影響投資意願,在環保署內審議時反彈聲浪甚大。由於產業界反彈甚大,環保署不但延後送出法案審議,同時考慮明定以「基限年」作為新設工廠是否須先在企業總量管制內削減,而基限年則視國際對新興國家管制動作而定。   法案並規定當國際規範我國溫室氣體應削減量時,啟動總量管制措施,企業必須依法削減既存的排放量,企業可與其他住宅或運輸部門交易,也可在同一產業類別或跨產業類別進行抵換或交易。如果總量管制仍無法達到減量目標時,將進一步實施碳稅新制。

TOP