iThome

知名訂房網站、航空公司、零售業者未經同意暗中側錄用戶App使用螢幕畫面

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼一月底爆料<a href="https://www.ithome.com.tw/news/128556" target="_blank">臉書VPN App以月費20美元代價換取用戶同意提供一切手機上的行為</a>後，<a href="https://techcrunch.com/2019/02/06/iphone-session-replay-screenshots/" target="_blank">Techcrunch再揭露</a>，多家知名業者包括Abercrombie &amp; Fitch、Expedia、Hotels.com及加拿大航空App會在未告知使用者的情況下，偷偷錄下iPhone用戶在螢幕上的所有點擊、滑手機與按鍵動作。蘋果聞訊後已要求這些業者修正。</p> <p>Techcruch最新一次調查蒐集了多家知名公司，包括訂房及訂票網站、流行服務品牌、電信、航空公司及銀行、金融業者的iOS App。結果發現所有廠商，包括Holister、Expedia及加拿大航空等知名企業的iOS App，都沒有在服務條款中提及會紀錄使用者App的螢幕畫面，自然也就沒有取得用戶同意這回事，用戶當然也對這些行為一無所知。</p> <p>此外，Abercrombie &amp; Fitch、Hotels.com和新加坡航空還使用一家用戶使用經驗分析平台Glassbox的服務，在其App中嵌入連線重播（session replay）的技術。該技術可錄下用戶使用App時的每個點擊、按鍵與鍵盤輸入的內容動作，然後回傳給App開發商，有的則是回傳給Glassbox的雲端平台作為用戶行為分析。</p> <p>但是和Techcrunch合作的安全研究公司，利用中間人攻擊工具（man-in-the-middle）從中攔截這些App回傳時的流量時，發現部份公司如加拿大航空的App，並沒有實作完整的資料遮罩，以致於用戶信用卡號碼、生日與住址可被明碼取得。</p> <p>這些未告知用戶而錄下App使用行為的作法，都違反了蘋果對App開發商的隱私權公告規定。在報導刊出後，<a href="https://techcrunch.com/2019/02/07/Apple-glassbox-Apps/" target="_blank">蘋果已經要求</a>上述廠商需移除紀錄用戶使用畫面的程式碼，否則就得明白揭露此事。</p> <p>蘋果發言人表示，保護用戶隱私是蘋果生態體系的首要任務，App Store審查指導原則要求所有App對於錄製、登入或任何紀錄用戶行為，都必須取得明顯同意並提供清楚的影像說明。蘋果已經通知這些App開發商他們違反蘋果的隱私條款及指導原則，表示必要時會立即採取行動。</p> <p>一月底Techcrunch揭發臉書Facebook Research VPN違規使用了蘋果企業用測試版App憑證，隨後Google的Screenwise Meter也被發現有類似情形，兩者都遭到臉書取消憑證處份，不過<a href="https://www.ithome.com.tw/news/128619" target="_blank">事發一天後都獲得復原</a>。</p> </div></div></div>

Android藏重大漏洞，用戶只要點擊PNG圖片就可能遭受遠端攻擊

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2019-02-01.html" target="_blank">Google在今年2月釋出的Android安全更新</a>中，修補了3個涉及PNG檔案的重大漏洞，相關漏洞允許駭客在PNG中植入惡意程式，用戶只要點擊PNG圖片就能觸發漏洞，而惹來遠端程式攻擊。</p> <p>PNG檔案的全名為Portable Network Graphics，為一專為網路傳輸所設計的檔案格式，並準備用來取代GIF。</p> <p>根據Google的說明，本次更新最嚴重的安全漏洞藏匿在框架（Framework）中，允許遠端駭客透過特製的PNG檔案，在特權流程中執行任意程式，包括CVE-2019-1986、CVE-2019-1987及CVE-2019-1988，波及從Android 7.0到Android 9的各種Android版本。</p> <p>這代表Android用戶只要點選可愛的貓、狗圖片，或是看起來無害的風景照，都可能遭到遠端程式攻擊。</p> <p><a href="https://siliconangle.com/2019/02/07/android-vulnerability-allows-hackers-hijack-device-using-png-file/" target="_blank">來自Tripwire的安全研究人員Craig Young指出</a>，相關漏洞與Android在描繪圖片之前如何進行解析有關，這些漏洞之所以存在是因為Android依然在特權流程中解析媒體檔案。Young認為，媒體處理是風險最高的活動之一，自動化的媒體解析不但應該要保持在最低限制，也應該在隔離的環境中執行。</p> <p>儘管Google宣稱尚未發現駭客的攻擊行動，而且已將修補版本釋出至Android開源專案（Android Open Source Project，AOSP），但目前只有諸如Pixel等Google品牌的裝置可直接取得Google的安全更新，至於其它品牌的手機或平板則仍得視裝置製造商或電信業者的更新時程才能取得修補，意謂著仍有眾多的Android裝置陷於此一重大安全風險中。</p> </div></div></div>

微軟強調使用IE的風險

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Edge出現4年後，微軟Internet Explorer (IE)至今仍然擁有鐵粉，不過<a href="https://techcommunity.microsoft.com/t5/Windows-IT-Pro-Blog/The-perils-of-using-Internet-Explorer-as-your-default-browser/ba-p/331732" target="_blank">微軟</a>倒是奉勸這些鐵粉使用IE是有風險的，但另一方面又強調並不是要用戶捨棄IE。</p> <p>IE過去常因漏洞多、效能低落為人詬病，微軟才於Windows 10時代推出Edge，但微軟比較在意IE已經和新Web App及網頁不相容。</p> <p>微軟體驗與裝置部門首席計畫經理Chris Jackson在一篇名為《使用IE作為預設瀏覽器的危險》部落格貼文中，細數為了因應不同時代寫出的網頁及不斷更新的網頁標準，IE做了許多事。例如早期IE支援「怪異模式」（quirks mode）和「標準模式」（standards mode），IE 8時增加了IE 8標準相容模式，使外部網站預設以IE8標準排版，內部網站預設以IE7標準呈現。到了IE 11時代又加入企業模式（Enterprise Mode）以解決相容性問題。</p> <p>他形容現在的IE只是一個「相容性解決方案」。微軟為了它無法支援新的網頁標準，而且雖然許多網站以IE開啟沒有問題，但現今大部份開發人員已不再為IE進行測試，而只針對現代化瀏覽器測試。因此如果微軟持續過去作法，IE使用者最後可能無法使用新式App。而在App推出速度更頻繁的今天，微軟希望幫助使用者避免錯過愈來愈多的現代網頁。</p> <p>這番話讓不少<a href="https://mspoweruser.com/microsoft-pleads-with-companies-to-dump-internet-explorer/" target="_blank">媒體</a>和用戶覺得這位微軟計畫經理是要使用者別再用IE，但在討論區中，有用戶反映，僅僅要求企業更新舊式App是不負責任的說法，而且使用者也不可能記得哪個App適合IE、哪個不適合。Jackson澄清，他是要用戶把IE用於需要它的網站，而不是所有App都用IE。他說，微軟並非強迫用戶使用哪個瀏覽器，而是希望用戶能選擇最符合個人需求的瀏覽器。</p> <p>雖然近年微軟力推Edge，但根據<a href="https://netmarketshare.com/browser-market-share.aspx?options=%7B%22filter%22%3A%7B%22%24and%22%3A%5B%7B%22deviceType%22%3A%7B%22%24in%22%3A%5B%22Desktop%2Flaptop%22%5D%7D%7D%5D%7D%2C%22dateLabel%22%3A%22Trend%22%2C%22attributes%22%3A%22share%22%2C%22group%22%3A%22browser%22%2C%22sort%22%3A%7B%22share%22%3A-1%7D%2C%22id%22%3A%22browsersDesktop%22%2C%22dateInterval%22%3A%22Monthly%22%2C%22dateStart%22%3A%222018-02%22%2C%22dateEnd%22%3A%222019-01%22%2C%22segments%22%3A%22-1000%22%7D" target="_blank">市場研究機構Netmarketshare的統計</a>，以桌機瀏覽器來看，截至今年1月IE市佔率（8.0%）還超過Edge（4.6%），Chrome則以67.3%拿下絕大市佔。</p> <p>事實上，因為Edge普及率長年不振，去年底<a href="https://www.ithome.com.tw/news/127547" target="_blank">微軟已經宣佈</a>，基於相容性考量，未來Edge將放棄EdgeHTML，而使用Chromium/Blink為核心引擎。</p> </div></div></div>

GCP雲端監控服務Stackdriver Profiler終於支援Node.js和Python了

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/management-tools/stackdriver-profiler-adds-more-languages-and-new-analysis-features">Google更新其雲端監控和日誌服務Stackdriver的分析工具Profiler</a>，這次除了新增支援Node.js和Python之外，使用者現在還能加權過濾功能，針對最糟案例進行效能分析。</p> <p>Stackdriver Profiler是Google在2018年春天推出的新服務，可以在不影響應用程式效能的情況下，分析正式環境中執行的應用程式效能。Stackdriver Profiler利用互動式的火焰圖（Flame Graph），顯示相關函式呼叫的階層結構與資源消耗，以幫助開發人員了解資源消耗的狀況以及不同程式碼實作方式帶來的差異。</p> <p>Stackdriver Profiler剛上線時，已提供Java的CPU分析，以及Go語言的CPU和堆（Heap）分析，現在則增加了對Node.js和Python開發語言的支援，還有App Engine標準Java Runtime的支援。Google提到，使用Profiler很簡單，只要在應用程式中加入函式庫，並且重新部署就可以了，如果是在App Engine的標準環境執行Java程式碼，使用Profiler會更簡單，只需要在appengine-web.xml或app.yaml檔案中啟用後，再瀏覽GCP雲端控制臺中的Stackdriver Profiler功能，就能看到程式碼執行的情況。</p> <p>Google提到，許多工作負載都有突發性的高峰資源消耗現象，但Stackdriver Profiler原本的功能，只能了解應用程式的資源平均消耗，無助於整體提升效能，因此Stackdriver Profiler最新加權過濾功能，可以讓使用者輕鬆地找出資源消耗高峰的原因，進而讓應用程式的運作變得順暢。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/weight.gif" style="width: 655px; height: 287px;" /></p> <p>使用者可以使用加權過濾器，讓Stackdriver Profiler只分析應用程式資源消耗尖峰資料，例如查看CPU時間時，選擇前10％的權重，Profiler就只會分析捕捉到的前10％CPU消耗資料，剩下的90％資料將在圖表中省略。</p> <p>Profiler提供的火焰圖可以供使用者快速探索，單一程式碼路徑呼叫的資源耗盡（Resource-hungry）函式，不過無法幫助使用者辨識整個程式碼中，局部最佳化函式對整體效能的影響。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/focus.gif" style="width: 655px; height: 364px;" /></p> <p>現在使用者只要點擊過濾器左側的放大鏡按鈕，就能查看其函式的資源使用情況，並進一步查看這些函式的資源使用狀況以及圖表呈現。這些資訊在單獨查看火焰圖時，不見得能輕易的被觀察出來。</p> </div></div></div>

亞馬遜推出線上直播購物平台Amazon Live

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國線上零售龍頭亞馬遜（Amazon）推出<a href="https://www.amazon.com/live" target="_blank">線上直播購物平台Amazon Live</a>與直播程式Amazon Live Creator，讓商家能透過直播來提升產品銷量。</p> <p>商家必須先下載Amazon Live Creator程式以建立直播影片，這些影片可在桌面或行動版的amazon.com、或是Amazon行動程式上串流。商家可在直播時與消費者互動，也允許消費者藉由影片下方的連結購買正在介紹的商品。目前Amazon Live Creator僅支援iOS平台，並不支援Android，亦尚未支援中國及香港的直播。</p> <p>如同電視購物一般，商家可藉由直播描述品牌及介紹產品，不同的是，線上直播允許消費者直接與商家互動，目的是為了提升產品銷售量。大嘴巴桌遊Watch Ya Mouth宣稱，亞馬遜的直播功能讓該公司的商品網頁流量增加了5倍，對銷售有極大的助益。</p> <p><a href="https://www.amazon.com/live" target="_blank">亞馬遜已替這些直播影片建立了網頁</a>，集結各種商品直播內容，商家亦可支付廣告費來宣傳直播影片，讓它觸及更多的消費者。</p> <p>美國媒體則預期它將對包括HSN及QVC等當地的電視購物頻道帶來衝擊。</p> </div></div></div>

AWS支持政府立法規範臉部辨識服務，並提出5項建議作法

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://aws.amazon.com/blogs/machine-learning/some-thoughts-on-facial-recognition-legislation/">AWS近日公開發表支持政府針對臉部辨識技術建立立法框架，同時也提出了5項建議指導方針</a>，包含使用臉部辨識技術應完全符合法規、執法使用時要經過人工審查、用於執法辨識身份時建議信心分數閥值為99%、執法機構如何使用該技術的過程也得透明化，以及在公眾場合搭配監視器使用臉部辨識技術應要給予民眾通知。</p> <p>AWS指出，過去幾個月，興起了一股臉部辨識服務必須保證公眾權利不受侵害的聲浪，也因此，AWS找來用戶、研究人員、學者和制定法規者，以及相關的專家討論如何平衡臉部辨識的優點和潛在的風險，進而發展出這5項建議指導方針。</p> <p>臉部辨識技術大幅地降低了在影片或是照片中，辨識人或物體的時間，對商業用途來說，是非常強大的工具，同時對政府部門也是一項很好的工具，可用來找失蹤人口、預防犯罪和逮補罪犯等，但是稍早之前，來自麻省理工學院的研究團隊，針對市面上5家公司的臉部辨識技術進行測試，並且指出AWS的臉部辨識技術Amazon Rekognition，存在種族和性別偏見問題，也掀起了大眾對對臉部辨識技術的擔憂，AWS隨後表示該研究具有誤導性，也說明推出該服務的兩年多來，沒有收到任何執法濫用的案例回報。</p> <p>也因為這次事件，AWS了解大眾需要明確的方針和規範，來確保該技術不會被濫用，以及自身權利不會受到損害，因此，AWS支持政府針對臉部辨識技術，建立國家立法框架，來保護公民權利，並確保政府使用臉部辨識技術是透明且公開的。</p> </div></div></div>

網頁匿蹤標準過期！蘋果宣布Safari將不再支援Do Not Track功能

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果<a href="https://developer.apple.com/documentation/safari_release_notes/safari_12_1_release_notes">宣佈</a>，Safari 12.1版將不再支援聲稱能確保用戶上網隱私的DO NOT TRACK標準。</p> <p>Safari 12.1包含於iOS 12.2、macOS 10.14.4，也可相容於macOS 10.13.6及macOS 10.12.6。根據Safari 12.1 Beta版的<a href="https://developer.apple.com/documentation/safari_release_notes/safari_12_1_release_notes">釋出公告</a>，最新版Safari將移除已過期的Do Not Track標準支援，預防它被當成數位指紋的變項。</p> <p>Do Not Track標準最早是由美國聯邦貿易委員會（FTC）提議，其實只是在用戶造訪網站時由瀏覽器傳送特定訊息給該網站，要求它不要追蹤用戶。但這項標準並沒有強制力，即使網站不遵守該訊息也不會受罰，因此大部份網站皆不理會Do Not Track。</p> <p>雖然網站普遍不接受，但Do Not Track仍然獲得了Google Chrome、Mozilla Firefox、蘋果Safari、微軟Edge及Internet Explorer (IE)的支援。蘋果是在2011年的OS X Lion開始加入這項技術，使用者可以到瀏覽器設定中勾選「Do Not Track」，不過實際上它一點用處也沒有。相反的，當啟動這個選項還會發出特殊訊息造成用戶成為廣告主追蹤的目標。</p> <p>負責這個標準的W3C追蹤保護工作小組已於1月17日悄悄地<a href="https://www.w3.org/2011/tracking-protection/">關閉了工作小組，不再維護</a>標準內容。也因此，蘋果在12.1版發布公告中，稱此標準為過期的標準，並宣布終止支援這個名存實亡的安全標準。Safari 12.1將更強化智慧追蹤防護，不再支援具跨站追蹤能力網域的partitioned cookies，也根據用戶端cookies限制網站長期追蹤及驗證分割的cache entries。</p> <p>除了上述安全新功能外，Safari 12.1及SFSafariViewController還會在系統下載不安全網頁時顯示警告，WKWebView也將支援用戶造訪被標示為釣魚及惡意網站時自動顯示警告的功能。最後，一如本周<a href="https://www.ithome.com.tw/news/128626">稍早報導</a>，Safari 12.1/ iOS 12.2將增加動作與方向感測器設定，可限制網站內容及服務存取iPhone及iPad的加速度及陀螺儀，以確保用戶隱私。</p> </div></div></div>

德國限制臉書未經用戶同意，不得整合WhatsApp、IG及第三方網站資料

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2019/07_02_2019_Facebook.html?nn=3591568" target="_blank">德國反托拉斯監管機關Bundeskartellamt於2月7日宣布</a>，規定臉書在未經用戶同意情況下，不得整合分散在臉書多項服務包括WhatsApp、Instagram（IG）的用戶資料，或合併從第三方網站蒐集的資料，進行用戶行為分析。</p> <p>這是德國主管機關2016年3月起發動調查的結果。德國政府發現，依據臉書的使用條款，使用者除非同意臉書可蒐集用戶在臉書網站、手機app以外的資料，並將這些資料歸到其臉書帳戶下，否則不得使用其社群網站服務。也就是說，所有在臉書網站、臉書自有服務如WhatsApp、Instagram及第三方網站蒐集的資料，都會合併且歸戶到臉書用戶帳號。</p> <p>對此德國主管機關判決，WhatsApp和Instagram等臉書自有服務可繼續蒐集資料，但這些資料若要歸戶到臉書帳號下則必須取得用戶的自願同意。此外，臉書也必須取得用戶的自願同意，才能將第三方網站蒐集的資料歸戶到臉書帳號下。德國政府要求臉書必須對此提交解決草案。</p> <p><a href="https://www.bbc.com/news/technology-47146431" target="_blank">BBC報導</a>，臉書有一個月的時間可提出抗辯。</p> <p>這項判決希望解決臉書多年來透過植入在第三方合作網站的外掛程式，以進行無所不在的用戶資料蒐集行為。此外，<a href="https://www.ithome.com.tw/news/107955" target="_blank">臉書2016年也違反了當初收購WhatsApp的承</a>諾，將WhatsApp用戶電話號碼分給臉書。</p> <p>Bundeskartellamt主席Andreas Mundt指出，合併不同資料源讓臉書得以為個別用戶建構獨一無二的資料庫進而取得市場競爭力。在這項判決下，未來消費者將可防止臉書無限制蒐集並使用其資料。自願同意意謂著現行「使用臉書服務等於用戶同意臉書使用其資料」的作法不再適用。即使用戶不同意，臉書也不得拒絕他們使用旗下服務，也不得蒐集及合併不同來源的用戶資料。</p> <p>截自去年12月，臉書每日經常用戶達15.2億，每月經常用戶更高達23.2億。</p> <p>不過各國政府的質疑，並未減弱臉書為了廣告收益整合旗下服務用戶個資的腳步。<a href="https://www.ithome.com.tw/news/128560" target="_blank">臉書執行長祖克柏近期承認正計畫整合WhatsApp、Messenger和IG的底層平台</a>，使彼此各自的用戶都能和其他兩個app互相通訊。這再度引發各界對隱私、資料安全及違反GDPR的質疑。<a href="https://www.ithome.com.tw/news/128516" target="_blank">愛爾蘭政府已首先要求臉書說清楚講明白。</a></p> </div></div></div>

Google開源自動除錯工具ClusterFuzz

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensource.googleblog.com/2019/02/open-sourcing-clusterfuzz.html" target="_blank">Google開源內部所使用的模糊測試自動除錯工具ClusterFuzz</a>，開源碼專案的開發人員對ClusterFuzz應該不陌生，因為<a href="https://www.ithome.com.tw/news/110052" target="_blank">Google在2016年針對開源碼專案所釋出的OSS-Fuzz</a>就含有免費的ClusterFuzz服務，而此次Google則將ClusterFuzz開源給所有開發人員，不管是不是從事開源專案。</p> <p>Google說明，可自動偵測軟體臭蟲的模糊測試若要有效，它必須是持續性的、大規模的，而且可整合到軟體專案的開發程序中，於是他們就替Chrome打造了ClusterFuzz，可在逾2.5萬個核心的叢集上運作。</p> <p>Google開發ClusterFuzz的歷史已超過8年，現在ClusterFuzz已能無縫整合到開發人員的工作流程中，也讓發現或修補錯誤變得非常簡單。它具備了端對端的自動化能力，從發現臭蟲、將臭蟲歸類、產生臭蟲報告到自動結案。</p> <p>迄今ClusterFuzz曾辨識出Chrome的逾1.6萬個臭蟲，也替整合了OSS-Fuzz的各種開源碼專案找到超過1.1萬個臭蟲。</p> <p>根據過去的經驗，ClusterFuzz通常可在臭蟲出現的幾個小時之內就找到它們，一天之內就能提出並驗證修補程式。</p> <p>雖然ClusterFuzz仰賴Google Cloud Platform的部份關鍵服務，但亦允許開發人員使用自己的運算叢集。</p> </div></div></div>

蘋果修補包括FaceTime在內的4個iOS漏洞，其中兩個已遭開採

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT209520" target="_blank">蘋果釋出iOS 12.1.4</a>，以修補<a href="https://www.ithome.com.tw/news/128517" target="_blank">包括FaceTime在內的4個安全漏洞</a>，不過，<a href="https://twitter.com/benhawkes/status/1093581737924259840" target="_blank">Google Project Zero團隊負責人Ben Hwakes在Twitter上警告</a>，其中的CVE-2019-7286及CVE-2019-7287兩個安全漏洞已遭到駭客開採。</p> <p>1月底在網路上瘋傳的FaceTime漏洞，會在對方未接聽FaceTime時就出現對方的聲音及影像，根據蘋果的說明，此一編號為CVE-2019-6223的漏洞，肇因於處理FaceTime群組通話時的邏輯有問題，已藉由改善狀態管理解決。</p> <p>至於被Hwakes點名的CVE-2019-7286漏洞則是藏匿在Foundation框架中，它是個記憶體毀損漏洞，允許應用程式取得擴張的權限。另一個CVE-2019-7287漏洞存在於IOKit上，它同樣是個記憶體毀損漏洞，允許應用程式以核心權限執行任意程式碼。</p> <p>Hwakes只說坊間已出現針對這兩個漏洞的攻擊行動，但不管是蘋果或Hwakes都未揭露這兩個漏洞的細節或攻擊手法。</p> <p>至於蘋果所修補的第四個漏洞為CVE-2019-7288，牽涉到FaceTime中的Live Photos功能，這是由蘋果針對FaceTime服務進行全面性稽核時所發現的漏洞，且蘋果並未說明該漏洞遭到開採的後果，只說是藉由改善FaceTime伺服器的驗證能力來修補漏洞。</p> <p>iOS 12.1.4支援iPhone 5s及之後的iPhone機種，iPad Air及之後的iPad機種，以及第六代的iPod touch。</p> </div></div></div>

Google發表鎖定低階裝置的加密模式Adiantum

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/technology/safety-security/adiantum-encryption-safer-devices/" target="_blank">Google發表全新加密模式Adiantum</a>，可在缺乏特定硬體的狀態下有效地加密裝置上的資料，適用於低階手機與其它智慧裝置，並已<a href="https://github.com/google/adiantum" target="_blank">透過GitHub與外界分享</a>。</p> <p>現代的Android平台利用先進加密標準（Advanced Encryption Standard，AES）來提供儲存加密能力，然而，許多低階裝置並未具備可支援AES的硬體，當在這些低階裝置上執行AES時，通常會出現不太好的使用者經驗，像是程式很久才能開啟，或是運作很慢等，因此，就算Google在2015年釋出Android 6.0之後，絕大多數的裝置都已支援儲存加密，低階裝置依然被排除在外。</p> <p>Google說明，執行Android的裝置除了高階與中階機種之外，還有專在開發中國家銷售的Android Go入門級手機，或是智慧手錶與智慧電視等，為了以低價供應，裝置製造商有時會採用諸如ARM Cortex-A7等低階處理器，而該處理器即不具備對AES的硬體支援。</p> <p>為了讓所有的裝置都具備資料加密能力，Google特別設計了全新的Adiantum加密模式，在ARM Cortex-A7處理器的4096位元組磁區上，Adiantum可以每位元組10.6個周期的速度加解密，大約是AES-256-XTS檔案加密速度的5倍快。</p> <p>Google行動安全策略總監Eugene Liderman表示，未來Adiantum將允許從智慧手錶到連網醫療等各種裝置加密機密資料，如同使用者不會買一支無法傳訊的手機一樣，往後的手機也不應為了效能而犧牲使用者的安全及隱私。</p> </div></div></div>

Google BigQuery公開資料集新增6種加密貨幣

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/introducing-six-new-cryptocurrencies-in-bigquery-public-datasets-and-how-to-analyze-them" target="_blank">Google本周宣布</a>，BigQuery公開資料集（BigQuery Public Datasets）已在比特幣（Bitcoin）及以太幣（Ethereum）之外，新增6種加密貨幣的資料集，另也藉由一組的查詢及視圖將所有的區塊鏈資料集打造成複式簿記架構，以與傳統的金融紀錄處理系統整合或進行多鏈的元分析。</p> <p>新增的6款加密貨幣區塊鏈資料集分別是Bitcoin Cash、Dash、Dogecoin、Ethereum Classic、Litecoin及Zcash，由於當中除了Ethereum Classic，其他5款加密貨幣區塊鏈資料集與比特幣都有類似的實現，使得Google替這5種再加上比特幣建立了Bitcoin-like資料集，並替Ethereum Classic與以太幣建立Ethereum Classic資料集。</p> <p>所有的資料集都會透過Blockchain ETL擷取框架每24小時更新一次，以迎合各種Bitcoin-like加密貨幣，儘管這意謂著將比特幣區塊載入BigQuery的延遲會更久，但也代表能夠花費更少的力氣來擷取其它資料集，加速未來納入其它資料集的速度，也能導入低延遲的載入方案，以實現所有區塊鏈的即時串流交易。</p> <p>有鑑於大多數的比特幣交易都不僅是單純的雙方交易，BigQuery亦納入了更多的腳本操作碼，以針對Bitcoin-like資料集進行更深入的分析，例如現在已可辨識及報告涉及多簽名錢包的活動，這對分析諸如Zcash等強調隱私的加密貨幣而言異常重要。</p> <p>另也透過統一模式以讓Bitcoin-like資料集能共享查詢。而複式簿記（Double-entry book）則能用來理解比特幣的經濟體系，例如得知比特幣用戶為了保障自己的隱私，有超過91%的比特幣網路位址只被使用過一次。新的資料集與查詢也能用來比較不同加密貨幣的經濟體系。</p> <p><a href="https://cloud.google.com/bigquery/public-data/" target="_blank">BigQuery公開資料集存放在Google BigQuery資料倉儲及分析平台上</a>，可供外界存取並整合到應用程式中，每月的免費查詢容量為1TB。</p> </div></div></div>

FIDO2標準助攻，無密碼世代來臨：2019網路身分識別大躍進

<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/906907-feng_mian_gu_shi_-1_open-960x420_gong_zuo_qu_yu_1.jpg?itok=0c_JdJQU" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>帳號密碼外洩、盜用的資安事件日益嚴重，新的網路身分識別開放標準興起，生物特徵辨識成為解決問題的關鍵技術之一，更重要的是，新的FIDO標準在2018年納入為W3C與ITU的規範，加上各產業與國際雲端大廠的大力推動，應用浪潮將在今年開始發酵</p> </div></div></div>

提升雲端數據分析力，微軟Azure更新3大資料服務

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://azure.microsoft.com/en-us/blog/individually-great-collectively-unmatched-announcing-updates-to-3-great-azure-data-services/">微軟雲端平臺Azure最近宣布針對3項資料服務的更新</a>，包含推出正式版的資料湖儲存服務Data Lake Storage Gen2和資料完全託管服務Data Explorer，此外，還推出預覽版的混合資料整合服務Data Factory，期望提供用戶性價比高又安全的雲端資料分析服務。</p> <p>資料湖儲存服務Data Lake Storage Gen2適用於巨量資料分析，結合了Azure非結構化儲存服務Blob Storage的可擴展性、安全模型和豐富的功能於一身，再加上為分析所設計的高效能的檔案系統，還能與Hadoop分散式檔案系統相容，讓用戶選擇雲端資料湖服務時，不需要在成本和效能中取捨。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(33).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源：微軟</span></p> <p>微軟指出，自家資料湖儲存服務其中一項主要目標，即是要與Apache生態系統相容，為了做到這點，微軟開發Azure Blob檔案系統驅動程式，該驅動程式正式成為Apache Hadoop和Spark的一部分，並且附於許多 Hadoop的商業版本中。</p> <p>為了進一步提升Data Lake Storage Gen2的分析效能，微軟用階層式命名空間，收集檔案集合並整理成階層式目錄和巢狀子目錄，此種命名空間對巨量資量分析架構相當重要，由於Hive或是Spark等工具經常將輸出寫入暫時位置，並在作業結束時重新命名該位置，若沒有階層式命名空間，重新命名所花費的時間通常會比分析流程本身更長，因此，階層式命名空間因為需要較少的運算執行，能夠加速job執行並減低成本。</p> <p>而Data Explorer是一個快速且具有高擴展性的完全託管資料分析服務，能夠針對大量的串流數據進行即時分析，在不需要修改資料結構的情況下，一秒內能夠查詢10億筆記錄，此外，該服務能與微軟雲端其他服務相連，像是Data Lake Storage、SQL Data Warehouse、Power BI。為了提升速度和簡化操作，Data Explorer由兩個分別的服務組成：Engine服務和資料管理服務，這兩項服務都在Azure中，以運算節點的叢集形式部署。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2(28).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源：微軟</span></p> <p>資料管理服務負責消化多種不同型態的原始資料，並且管理資料清理、執行失敗和backpressure等任務，還能透過自動索引和壓縮機制快速處理資料。而Engine服務則是負責處理輸入的原始資料和用戶的查詢，透過自動擴展（Auto Scaling）和資料分割（data sharding）來達到高效能的目標。</p> <p>最後，微軟這次的更新還推出混合資料整合服務Data Factory預覽版，Data Factory服務是用來將資料移動和轉換工作自動化的服務，內建超過80個與結構化、半結構化和非結構化資料源的連接器。除此之外，該服務還提供資料工作流程可視化工具Mapping Data Flow，提供用戶在設計、建置和管理資料轉換的過程有可視化的體驗，不需要學習Spark或是對分散式基礎架構有深入的了解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3(22).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源：微軟</span></p> </div></div></div>

AI化身爆米花外送員，Nvidia教導機器人如何在複雜的室內環境將貨物正確送達

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://blogs.nvidia.com/blog/2019/02/08/popcorn-delivery-robot/">最近Nvidia位於美國加州聖塔克拉拉園區的辦公大樓中，多了一位人見人愛的新朋友Carter</a>，Carter是專門運送爆米花的機器人，身上還配戴著員工證，可自由進出辦公場所，員工透過Slack平臺下訂單後，Carter會帶著裝滿爆米花的紙袋，送到員工的小隔間，雖然Carter目前在Nvidia運送爆米花，但是，Carter的創造團隊是為了展示室內物流機器人的能力。</p> <p>Carter機器人是建立在Segway的機器人移動平臺，透過光學雷達和立體相機來認識周遭環境，而機器人的大腦則是採用自家專為機器人設計的AI晶片Jetson AGX Xavier。Nvidia也表示，Carter機器人很快會變成幫員工送爆米花、指引員工找停車位、收碗盤、引導參訪者到會議室等工作的小幫手。</p> <p>領導這項計畫的工程部副總裁Claire Delaunay表示，任何需要機器人的企業，都會需要將物體從A地移到B地，Nvidia期望能夠開發一個通用的機器人平臺，讓開發者做一些個人化的修改後，就能將機器人應用在不同的場景中，而運送爆米花將會是一個範例的應用程式，讓開發者客製化後打造出屬於自己的應用程式。</p> <p>Nvidia園區其中一個建築具有蜿蜒複雜的設計，就算是方向感很好的人也可能迷路，為了讓Carter機器人能夠在該環境中自由行走且不迷路，研究團隊建立了含有超過900導航點的地圖，每個辦公的小隔間和會議室都會有一個導航點。</p> </div></div></div>

【第一線機房IT專家實戰經驗】機房應變對策大公開

• #停電
• #機房停電

豐田員工必懂的資料精實管理術

• #書摘
• #工作技巧
• #工作術

在不變中求變

• #抽象化
• #高階抽象

Autodesk讓汽車3D設計也支援多人VR協作，虛擬實境、人工智慧是未來10年關鍵方向

• #Autodesk
• #VR

【2017年臺灣企業關鍵儲存應用趨勢—關鍵資料庫保護】關鍵資料庫保護手法多樣化，僅2成多企業建異地備援

• #儲存應用
• #IT預算
• #調查
• #儲存調查

趙質忠兼任台灣微軟行銷營運長：協助企業數位轉型、培育AI人才

• #台灣微軟
• #趙質忠

蘋果砸13億美元在北美建新資料中心，全面採用可再生能源

• #蘋果
• #愛荷華
• #資料中心
• #可再生能源

臺灣最大資安社群活動HITCON破千人參加，學者呼籲資安教育要從高中開始

• #HITCON
• #臺灣駭客年會
• #吳宗成
• #翁浩正

研究人員釋出iOS核心概念驗證攻擊程式

• #iOS
• #攻擊程式
• #概念驗證

FBI逮補涉及美國人事管理局被駭事件的中國惡意程式掮客Yu Pingan

• #FBI
• #美國人事管理局
• #駭客
• #中國
• #Yu Pingan

現在起用戶可同時執行不同版本的Chrome瀏覽器了!

• #google
• #Chrome
• #瀏覽器

提供224顆核心與12TB記憶體，聯想8路伺服器體型縮一半

• #Xeon Scalable
• #聯想伺服器
• #ThinkSystem

小心bit.ly或t.cn連結的詐騙訊息，惡意廣告程狂上臉書Messenger散播詐騙訊息的手法大公開

• #臉書
• #Messenger
• #詐騙訊息
• #惡意廣告程式
• #短網址

芬蘭法院判海盜灣創辦人侵權，得賠47萬美元給IFPI國際唱片基金會

• #侵權官司
• #海盜灣
• #著作權
• #Torrent
• #盜版

微軟同意中止在德國強迫升級Windows 10

• #微軟
• #Windows 10
• #消費者保護
• #強制升級

Google開始測試App Engine防火牆功能

• #google
• #GCP
• #防火牆
• #應用程式空晚
• #App Engine

【2017年臺灣企業關鍵儲存應用趨勢—虛擬化環境】I/O效能仍是最大痛點，快閃儲存成VM效能新解方

• #儲存應用
• #調查
• #儲存調查
• #虛擬化

結合遠端存取與自家安全服務，Zscaler防護網路應用程式存取

• #雲端安全服務
• #遠端安全存取
• #VPN

IFR：中國現為全球最大的工業機器人市場

• #機器人
• #工業機器人
• #工廠自動化
• #汽車業自動化

提升行動裝置細部操作，Parallels強化應用程式虛擬化平臺

• #Parallells
• #VDI
• #應用程式虛擬化

Zerodium以50萬美元懸賞行動傳訊的零時差攻擊程式

• #零時差漏洞
• #漏洞懸賞
• #遠端攻擊
• #越獄程式

資安業者揭露電子郵件攻擊手法Popemaker，從遠端就能竄改郵件內容

• #電子郵件
• #郵件攻擊
• #遠端竄改
• #Popemaker
• #惡意連結

肯德基也跟上潮流，用VR來訓練新進員工

• #肯德基
• #VR
• #員工訓練

Google雲端平台推出效能不一的網路傳輸方案

• #google
• #網路服務分級
• #雲端服務
• #GCP
• #雲端運算

兩款惡意程式逃過Google Play的安全掃描

• #Android
• #App掃描
• #惡意程式
• #Google Play
• #木馬程式

三星發表6.3吋的Galaxy Note8，下個月中出貨

• #三星
• #Galaxy
• #Note 8
• #平版手機

臉書可能正在策畫視訊裝置Aloha

• #臉書
• #AR
• #VR
• #視訊設備
• #Aloha

【2017年新興儲存應用現況：快閃儲存與雲端儲存】臺灣企業新興儲存應用潮即將爆發

• #儲存應用
• #調查
• #快閃儲存.雲端儲存

Google、Walmart合推語音購物服務

• #語音購物
• #google
• #walmart
• #Google Home
• #智慧喇叭

AMD聯手百度、騰訊等中國網路業者，助EPYC處理器搶攻超大型資料中心市場

• #AMD
• #EPYC
• #伺服器

Walmart等9大跨國零售業者與IBM結盟，聯手打造區塊鏈食品供應鏈

• #區塊鏈
• #零售業
• #walmart
• #IBM
• #食品供應鏈

15億用戶天氣預報服務AccuWeather出包，iOS版App偷傳用戶位置給廣告商

• #用戶隱私
• #廣告SDK
• #行動定位
• #AccuWeather

Igexin行動廣告SDK暗藏惡意程式下載功能

• #App安全
• #Android
• #廣告SDK
• #惡意外掛

微軟揭露深度學習加速平臺專案Brainwave，用FPGA架構加速AI運算效能

• #微軟
• #深度學習加速硬體平臺
• #Brainwave
• #人工智慧
• #FPGA
• #Stratix 10

AI專家連署請求聯合國禁止開發殺手機器人

• #AI
• #機器人
• #機器人倫理
• #殺手機器人
• #人工智慧

胎死腹中，微軟宣布放棄Office 365協作服務GigJam

• #Office 365
• #GigJam
• #協作服務

沒更新不能飛，DJI釋出強制性安全更新，否則就要禁飛

• #無人機
• #DJI
• #Spark
• #資安更新

2千萬行開源專案為何用微服務，OpenStack工程副總裁談微服務架構難題

• #OpenStack
• #微服務

報告：青少年從臉書流向Instagram、Snapchat速度加劇

• #臉書
• #Instagram
• #Snapchat
• #青少年
• #社群

挾教育市場大賣氣勢，Google企業版Chrome OS來了，內建VMware和微軟AD

• #Chrome OS
• #google
• #筆電
• #VMware
• #G Suite

阿里巴巴王堅：網際網路是商業的基礎設施，流動的用戶行為數據才有價值

• #AI
• #Big Data
• #Internet
• #Cloud Computing
• #阿里巴巴

【2017年臺灣企業儲存應用現況】有限的資源投入，可期待的未來轉型

• #調查
• #儲存應用

三星語音助理服務Bixby於全球200多國正式上市

• #語音助理
• #三星
• #Bixby
• #深度學習
• #聲控
• #自然語言理解

微軟語音辨識技術再突破！辨識能力超越專業聽打記錄員

• #AI
• #微軟
• #語音辨識
• #CNN
• #RNN
• #Cortana

身份竊盜猖獗，美軍將部署行為生物辨識系統，防範軍人身份遭盜用

• #AI
• #行為辨識
• #身份認證
• #身份盜用
• #美國國防部