iThome

資安一周第29期：知名訂房網站、航空公司、零售業者未經用戶同意側錄手機螢幕畫面。WordPress外掛漏洞讓駭客得以接…

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="color: rgb(51, 153, 255); vertical-align: top;">0131-0213一定要看的資安新聞</strong></h3> <p> </p> <h3><strong><span style="color:#B22222;">＃隱私安全　＃App側錄畫面</span></strong></h3> <h2><strong>未經用戶同意，知名訂房網站、航空公司、零售業者側錄手機螢幕畫面</strong></h2> <p>根據TechCrunch揭露，多家知名業者包括A&amp;F、Expedia、Hotels.com及加拿大航空的App，會在未告知使用者的情況下，偷偷錄下iPhone用戶在螢幕上的所有點擊、滑手機與按鍵動作。此外，上述一些業者的App，採用了用戶體驗分析平臺Glassbox的服務，在其App中嵌入連線重播（session replay）的技術，可錄下用戶使用App的操作，然後回傳給App開發商或Glassbox的雲端平臺作為用戶行為分析。蘋果聞訊後，上述廠商需移除記錄用戶使用畫面的程式碼，否則就該明白揭露此事。<a href="https://www.ithome.com.tw/news/128668">詳全文</a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃網站安全　＃WordPress外掛程式漏洞</strong></span></h3> <h2><strong>WordPress外掛漏洞讓駭客得以接管網站</strong></h2> <p>安全研究人員警告，WordPress的外掛程式Simple Social Button出現漏洞，建議用戶應儘速更新。該外掛程式是一個方便在WordPress網站上添加社交分享按鈕的應用，也提供網站留言與社群帳號登入的功能，但WebARX研究人員Luka Šikić 發現，該應用流程設計不當，驗證不足，而存在權限提升漏洞，使得非管理員用戶得以在WordPress上註冊新帳號提升權限，執行plugnin功能以外的行為，攻擊者甚至可以接管WordPress網站。<a href="https://www.ithome.com.tw/news/128704"><span style="color:#808080;">詳全文</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃行動安全　＃Android漏洞</strong></span></h3> <h2><strong>Android藏重大漏洞，用戶只要點擊PNG圖片就可能遭受遠端攻擊</strong></h2> <p>最近Google釋出的Android安全更新，修補了3個涉及PNG檔案的重大漏洞，這些弱點允許駭客在PNG中植入惡意程式，用戶只要點擊PNG圖片就能觸發漏洞，而惹來遠端程式攻擊。</p> <p>儘管Google宣稱尚未發現駭客的攻擊行動，而且已將修補版本釋出至Android開源專案，但其他品牌的手機或平板要取得修補，則仍得視裝置製造商或電信業者的更新時程而定，這也意謂著仍有眾多的Android裝置陷於此一重大安全風險中。<a href="https://www.ithome.com.tw/news/128669"><span style="color:#808080;">詳全文</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E5%AE%89%E5%85%A8%E6%9B%B4%E6%96%B0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Google.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Google</span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃隱私安全　＃FaceTime</strong></span></h3> <h2><strong>FaceTime出現漏洞，對方還沒接聽，你就能聽到他說話</strong></h2> <p>1月底一則蘋果FaceTime的漏洞在網路上瘋傳，在對方未接聽FaceTime時，就出現對方的聲音及影像，擔心隱私不保的使用者，只能透過設定關閉FaceTime功能，等待蘋果釋出修補程式。在2月7日，蘋果發布釋出的iOS 12.1.4版本中，修補了該漏洞，根據他們的說明，此一編號為CVE-2019-6223的漏洞，肇因於處理FaceTime群組通話時的邏輯有問題，已藉由改善狀態管理解決。</p> <p>此外，這次更新版本，還修補了另一個CVE-2019-7288的漏洞，是牽涉到FaceTime中的Live Photos功能，蘋果並未說明該漏洞遭到開採的後果，只說是藉由改善FaceTime伺服器的驗證能力來修補漏洞。<a href="https://www.ithome.com.tw/news/128517">詳全文</a>　<a href="https://www.ithome.com.tw/news/128659"><span style="color:#808080;">詳全文</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃伺服器安全　＃ThinkPHP漏洞　＃後門程式</strong></span></h3> <h2><strong>後門程式SpeakUp瞄準Linux而來，6種OS版本遭殃、macOS也難倖免</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89SpeakUp_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Checkpoint.JPG" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Checkpoint</span></p> <p>資安業者Check Point揭露新的後門程式SpeakUp，這主要是利用了ThinkPHP框架上的安全漏洞CVE-2018-20062，可在6種Liunx版本甚至macOS系統上執行，並能藉由另外7個漏洞來感染區域網路內的其他裝置。不僅是亞洲的Linux伺服器受駭，SpeakUp內建的惡意Python腳本程式的攻擊範圍也涵蓋到南美洲。Check Point指出，在2月4日以前，沒有防毒軟體能夠偵測到SpeakUp，駭客主要以該後門程式部署挖礦程式，但也可能轉為散布其他更嚴重的惡意程式。<a href="https://www.ithome.com.tw/news/128631"><span style="color:#808080;">詳全文</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃系統安全　＃macOS漏洞</strong></span></h3> <h2><strong>缺乏抓漏獎勵，研究人員拒絕與蘋果分享漏洞資訊</strong></h2> <p>有一名年僅18歲的德國安全研究人員Linus Henze，發現了macOS上新的Keychain漏洞，並據此打造了可擷取Keychain存放密碼的攻擊程式，同時將驗證過程的影片分享於YouTube。但是，鑑於蘋果僅提供了針對iOS的漏洞抓漏獎勵，並未擴及macOS，Henze決定不與蘋果分享漏洞細節，並希望該公司有一天會想通。他並表示這不是為了金錢，而是認為漏洞獎勵專案才能同時造福蘋果與研究人員，進而嘉惠蘋果產品的安全性。<a href="https://www.ithome.com.tw/news/128647"><span style="color:#808080;">詳全文</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃帳密安全　＃資料外洩</strong></span></h3> <h2><strong>5個Collection #系列資料庫陸續曝光，總計彙整22億組外洩的電子郵件與密碼</strong></h2> <p>德國波茨坦大學的資訊科技中心Hasso Plattner Institute指出，繼Troy Hunt揭露了存放逾11億組電子郵件+密碼的Collection #1後，在網路上，陸續發現了Collection #2、Collection #3到Collection #5的資料集，估計全部的個資檔案大小高達600GB，總共存放了22億筆的電子郵件帳號及相關的密碼。<br /> 這些檔案都是從過去曾經外洩的資料集結而成，並非新的外洩資料，但研究人員警告，過往這些打包在駭客論壇上銷售的檔案，現在已能在免費的雲端儲存平臺下載。<a href="https://www.ithome.com.tw/news/128594"><span style="color:#808080;">詳全文</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃漏洞檢測工具</strong></span></h3> <h2><strong>Google將自動除錯工具ClusterFuzz的原始碼開源</strong></h2> <p>Google為瀏覽器Chrome所打造的ClusterFuzz，宣稱可在漏洞出現的幾個小時內就找到它們，而且，在一天之內就能提出並驗證修補程式。迄今，ClusterFuzz曾辨識出Chrome的逾1.6萬個臭蟲，也替整合了OSS-Fuzz的各種開源碼專案找到超過1.1萬個臭蟲。最近，Google將ClusterFuzz的原始碼開源，且不限是否為開源專案使用。</p> <p>基本上，ClusterFuzz的開發歷史已超過8年，現在已能無縫整合到開發人員的工作流程中，也讓發現或修補錯誤變得非常簡單。它具備了全程自動化能力，從發現漏洞、將漏洞歸類、產生漏洞報告到自動結案，一應俱全。<a href="https://www.ithome.com.tw/news/128658"><span style="color:#808080;">詳全文</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃連網設備不設防</strong></span></h3> <h2><strong>醫院超市冷凍控制系統當心被駭</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89hospital-uk_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90SafetyDetective.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／SafetyDetective</span></p> <p>蘇格蘭有一家提供遠端監控解決方案的公司Resource Data Management，被以色列安全研究實驗室SafetyDetective發現，其生產的溫度控制系統存在安全漏洞，使用未加密的HTTP協定，並使用9000、8080、8100以及80等連接埠，而且還預設用戶名稱以及1234作為密碼，更糟的是，使用這些系統的管理員，顯然很少更換登入密碼。而且，該公司製造的控制系統，在全世界醫院和連鎖超市受到廣泛地採用，透過Shodan掃描結果顯示，Resource Data Management在英國、澳大利亞、以色列、德國、荷蘭、馬來西亞、冰島等多國都有客戶，而且每個地點都同時擁有數十臺的機器，因此，等於有成千上萬臺的機器，暴露在被攻擊的危險中。然而，該公司收到通報後的最初回應卻是不感興趣。<a href="https://www.ithome.com.tw/news/128707"><span style="color:#808080;">詳全文</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃花旗銀行</strong></span></h3> <h2><strong>花旗銀行出現系統異常，部分存戶存款餘額被清空</strong></h2> <p>據臺灣的新聞媒體報導，花旗銀行在1月30日傳出系統異常，有部分存戶在花旗網站執行查詢交易時，發現帳戶存款餘額為零。後續花旗銀行做出回應，這起事件的起因，是29日至30日間凌晨進行批次作業時，有少部分檔案未傳輸成功所導致，造成部分客戶的台幣帳戶交易記錄無法正確呈現。該行在30日早上已偵測到異常且進行調查，並於下午2點半前完成所有檔案傳輸，因此所有實際交易並沒有受到任何影響。<a href="https://www.citibank.com.tw/sim/index.htm"><span style="color:#808080;">詳全文</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%8A%B1%E6%97%97%E9%8A%80%E8%A1%8C_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E8%8A%B1%E6%97%97%E9%8A%80%E8%A1%8C%E5%AE%98%E6%96%B9%E7%B6%B2%E7%AB%99.JPG" style="width: 600px;" /></p> <p><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自花旗銀行官方網站</span></p> <h4><span style="color: rgb(0, 153, 255);"><strong>更多資安動態</strong></span><br /><strong>●</strong><a href="https://www.ithome.com.tw/news/128592">惡意軟體鎖定Mac用戶，加密貨幣錢包、Chrome密碼、iPhone訊息全都偷</a><br /><strong>●</strong><a href="https://www.ithome.com.tw/news/128588">數十款Android美顏照相程式會遞送惡意廣告或竊取自拍照</a><br /><strong>●</strong><a href="https://www.ithome.com.tw/news/128676">卡巴斯基：2018年DDoS攻擊頻率降低，但平均攻擊時間增加2倍</a><br /><strong>●</strong><a href="https://www.ithome.com.tw/news/128649">調查：3成汽車業者尚未建立網路安全團隊</a><br /><strong>●</strong><a href="https://www.ithome.com.tw/news/128660">Google發表鎖定低階裝置的加密模式Adiantum</a><br /> ●<a href="https://www.ithome.com.tw/article/128599">FIDO2標準助攻，無密碼世代來臨：2019網路身分識別大躍進</a><br /> ●<a href="https://www.ithome.com.tw/news/128576">強化DNS安全，三大公共DNS服務商在2月1日測試EDNS協定</a><br /> ●<a href="https://www.ithome.com.tw/news/128694">Google去年發出340萬美元抓漏獎金</a><br /> ●<a href="https://www.ithome.com.tw/news/128636">Chrome擴充功能可主動通知用戶帳密是否遭外洩</a><br /> ●<a href="https://www.ithome.com.tw/news/128683">【資安生態圈】雲端備份業者Carbonite買下AI安全業者Webroot</a></h4> </div></div></div>

macOS遭爆含有可存取瀏覽器歷史紀錄的隱私漏洞

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://lapcatsoftware.com/articles/mojave-privacy3.html" target="_blank">macOS與iOS開發人員Jeff Johnson在macOS Mojave上發現了一個隱私漏洞</a>，將允許駭客檢視瀏覽歷史紀錄，且波及所有的Mojave（macOS 10.14）版本，包括蘋果甫於2月7日釋出的macOS Mojave 10.14.3。</p> <p>根據Johnson的說明，Mojave的預設值限制了特定文件夾的存取能力，例如存放Safari瀏覽器資源的~/Library/Safari，只有諸如Finder等少數程式可以存取該文件夾，但他發現有一個方式能夠繞過Mojave中的相關保護，進而允許其它程式不需取得任何許可，就能檢視該文件夾的資料。</p> <p>Johnson說，透過此一途徑，連許可對話窗都不會出現，惡意程式就能藉此窺探使用者隱私。</p> <p>此外，Johnson所採用的方法，就算是在啟用Mojave的安全機制「Hardened Runtime」下都能運作，意謂著它通過了蘋果的公證，但無法相容於沙盒程式。</p> <p>Hardened Runtime為Mojave新增的安全機制，以讓應用程式在額外的安全保護及資源存取限制下運作，而Johnson所利用的只是此一新功能的一個缺陷，並已通報了蘋果。</p> </div></div></div>

Java應用程式容器化工具Jib 1.0整合Skaffold，加速容器化應用程式部署

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年Google發布Jib測試版，讓開發者簡單地將Java應用程式打包成Docker映像檔，經過一番更新後，<a href="https://cloud.google.com/blog/products/application-development/jib-1-0-0-is-ga-building-java-docker-images-has-never-been-easier">現在釋出了Jib 1.0正式版</a>，除了提升穩定性外，還支援WAR專案並整合Skaffold，還釋出Java的容器建置函式庫Jib Core。</p> <p>Jib是一個開源的Java應用布建工具，讓開發人員不需要安裝Docker、執行Docker守護行程（Daemon）或是編寫Dockerfile，只要在Maven和Gradle建置中使用插件並執行建置，就可以輕鬆地容器化Java應用程式。Jib使用建置訊息快速自動容器化應用程式，讓開發人員建置Java容器能像是打包JAR一樣簡單。</p> <p>在Java中，網頁應用程式經常被打包成WAR（Web Application Resource）檔案，而現在Jib 1.0也支援容器化WAR專案，無論開發者使用Maven或是Gradle，都不需要進行額外的設定。Google提到，雖然在容器中預設應用程式伺服器是使用Jetty，但開發者也可以設定基本映像檔與appRoot，使用諸如Tomcat等其他伺服器。</p> <p>Google在去年發布的開源自動部署工具Skaffold，可以自動偵測程式碼變更，並進行一連串的建置、推送並部署應用程式到Kubernetes叢集上，讓使用者能夠簡單地對Kubernetes應用程式，進行持續開發工作。</p> <p>而現在Google整合Skaffold與Jib，Jib可以作為Skaffold中的建置器。要在Java專案中使用Skaffold，只要安裝Skaffold，並為專案編寫skaffold.yaml。Skaffold可以為使用者減少每次更改程式碼後，重建和重新部署應用程式的繁瑣手續，Skaffold可以在偵測到Jib容器化應用程式發生變更時，執行部署到Kubernetes叢集的動作。</p> <p>除了新版Jib釋出外，Google還釋出了Java建置Docker映像檔的函式庫Jib Core，Jib Core是之前Google內部用來建置容器映像檔的通用函式庫，現在經過了一些API修改後對外釋出。Jib Core是可用於建置Docker和OCI容器映像檔的Java函式庫，其特點在於他是一個通用容器建構器，因此現在Jib不只可以在Maven和Gradle中作為插件使用，還能在沒有Docker守護行程的狀況下，在Java中為任何應用程式建置容器。</p> <p>Google提醒，目前Jib Core的API仍然處在Alpha階段，隨時都可能發生重大改變。</p> </div></div></div>

容器執行期runC含有安全漏洞，波及Docker、containerd及CRI-O等眾多容器平台

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最初由Docker所開發，繼之交由開放容器倡議（Open Container Initiative，OCI）負責維護的容器執行期runC，遭爆含有危險的安全漏洞，惡意容器可透過該漏洞覆蓋runC的二進位檔案，而可於容器主機上執行任意命令，讓各家業者忙於修補。</p> <p>runC為一標準化的容器執行期（ Container Runtime），因此成為不少容器平台的預設執行期，從Docker、 containerd、Podman到CRI-O，或是其它基於runC的容器執行期，此一編號為<a href="https://www.openwall.com/lists/oss-security/2019/02/11/2" target="_blank">CVE-2019-5736的runC漏洞</a>不僅影響上述容器，也波及了採用容器的企業或各項雲端服務，例如<a href="https://access.redhat.com/security/cve/cve-2019-5736" target="_blank">紅帽</a>、<a href="https://cloud.google.com/kubernetes-engine/docs/security-bulletins#february-11-2019-runc" target="_blank">Google</a>及<a href="https://aws.amazon.com/tw/security/security-bulletins/AWS-2019-002/" target="_blank">AWS</a>也都立即展開了修補。</p> <p><a href="https://duo.com/decipher/root-code-execution-flaw-threatens-container-platforms" target="_blank">負責維護runC的Aleksa Sarai解釋</a>，該漏洞允許惡意的容器在最少的使用者互動下覆蓋主機上runC的二進化檔，並取得主機端的最高權限而得以執行命令，例如以駭客掌控的映像檔建立一個新的容器，或者是把程式碼嵌入一個駭客原本就能存取的既有容器。</p> <p>此外，這個漏洞並未被預設的AppArmor或SELinux政策封鎖，除非駭客正確使用了使用者命名空間時才會被阻止。</p> <p>在公布此一漏洞的當下，OCI也已完成修補。Sarai說，不少業者都希望能藉由攻擊程式來驗證修補的完整性，使得他決定打造一個通用的攻擊程式供業者測試，預計於2月18日釋出。</p> </div></div></div>

允許可追蹤沙烏地女性的行動程式上架，蘋果與Google遭撻伐

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括<a href="https://www.hrw.org/news/2019/01/30/saudi-arabia-10-reasons-why-women-flee" target="_blank">人權觀察（Human Rights Watch）</a>及國際特赦組織（Amnesty International）等人權機構，近日抨擊蘋果與Google允許沙烏拉阿拉伯政府可用來追蹤當地婦女行蹤的Absher上架，等於是助長該國侵犯人權行為，並要求兩大業者將程式下架，惟迄今不管是Google或蘋果都未回應此事。</p> <p><a href="https://www.businessinsider.com/apple-google-criticised-for-saudi-government-app-activists-say-fuel-discrimination-2019-2?op=1" target="_blank">美國線上媒體集團Insider</a>披露沙烏地阿拉伯的政府資訊系統Absher除了允許民眾線上更新駕照、支付罰款之外，還允許當地的男性監護人追蹤及控制他們的妻子或女兒的行蹤。</p> <p>在Absher網站上，阿拉伯男性可輸入女性的名字與護照，設定這些女性旅行的天數長短，還能取消女性的旅行權限，透過簡訊即時取得女性的足跡，或是在女性超過所設定的旅行範圍時發出通知。</p> <p>民主國家的民眾可能很難想像沙烏地阿拉伯女性的處境，她們沒有旅行或取得護照的自由，沒有選擇伴侶的自由，經常受到家暴，不管是在職場或健康照護上都受到歧視，在離婚、監護權或繼承權上都受到不公平的對待，且女性終其一生都被可主宰她人生的男性監護人所控制，也許是她的父親、丈夫、兄弟或兒子。</p> <p><a href="https://www.independent.co.uk/news/world/middle-east/saudi-arabia-women-flee-sexism-at-least-thousand-a-year-a7642041.html" target="_blank">根據估計，每年至少有超過1,000名沙烏地阿拉伯的女性因性別歧視而逃離當地</a>，人權保護組織認為，Absher系統即是這些計畫逃離的女性經常被抓到的原因之一。</p> <p>而沙烏地阿拉伯也打造了Absher程式，並成功登上<a href="https://itunes.apple.com/us/app/%D8%A3%D8%A8%D8%B4%D8%B1/id1004966456?mt=8" target="_blank">蘋果App Store</a>及<a href="https://play.google.com/store/apps/details?id=sa.gov.moi&amp;hl=en" target="_blank">Google Play</a>，迄今自Google Play安裝該程式的數量已超過100萬。</p> <p>人權保護組織認為，蘋果及Google的作法等於是助長該國的性別歧視及對女性的控制，就算Absher是個多功能的通用程式，業者亦應要求沙烏地阿拉伯移除其中用來監控與追蹤女性的功能。</p> <p>不過，<a href="https://www.reddit.com/r/privacy/comments/aorrb8/apple_google_criticised_for_saudi_absher_app_that/" target="_blank">一位署名為AllebdiH的沙烏地阿拉伯男性在Reddit上分析</a>，追蹤女性的並非行動程式，而是沙國政府，因為政府在各大機場與邊界設立了檢查哨，一但發現女性的蹤跡，就會傳送簡訊通知她們的監護人，Absher程式只是簡化了沙國的電子政府服務，並非為女性受到歧視的元兇，就算蘋果與Google封鎖了該程式，應該也無法迫使政府改變該國的荒謬法令。</p> </div></div></div>

Google釋出可自動化任務的Docs API

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Googl發表了<a href="https://gsuiteupdates.googleblog.com/2019/02/new-google-docs-api.html" target="_blank">Google Docs API正式版</a>，該API能以編程方式讀取及寫入文件，還能自動整合來自不同來源的資料，可望大幅簡化使用者的日常任務，即日起開放所有版本的G Suite用戶使用。</p> <p>Google Docs API預覽版首度現身於去年4月的Google Cloud Next大會上，Google表示，文件是任何商業流程的核心，不管是發票、提案、合約或報告，但經營企業所仰賴的流程經常連結至未整合文件的內容與服務，串連每天使用的文件與流程便得利用API。</p> <p>因此，<a href="https://developers.google.com/docs/api/" target="_blank">Docs API</a>的功能包括建立文件、取得特定文件的內容，或是在特定文件中執行自動更新，而在使用案例上，Docs API只要按下一鍵就能自動建立某季的所有空白發票，或是建立大量以模板為基礎的合約或法律文件。</p> <p>它還具備流程管理能力，可依據不同流程或階段自動將資料加入文件，以程式來自動化單一或多個文件的編輯。另也能與內容管理系統同步，例如出版平台可透過該API匯入或匯出文件，允許用戶在Docs中撰寫及協作，並直接發布至出版平台上。</p> <p>可建立客製化流程的自動化工作Zapier即利用Docs API自模板來建立新文件，例如人資可取用同樣的聘書模板，再透過自動化流程於候選人達到特定的階段時自動化填入對方的資訊；Netflix亦以Docs API以自動化工程回應程序。</p> </div></div></div>

醫院與超市的冷凍控制系統使用預設帳密，駭客用瀏覽器輕鬆就能讓冰箱解凍

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列研究實驗室<a href="https://www.safetydetective.com/blog/rdm-report/">SafetyDetective</a>發現蘇格蘭一家提供遠端監控解決方案的公司Resource Data Management，其生產的溫度控制系統存在安全漏洞，駭客能用預設帳密控制冷凍系統，而在第一時間告知Resource Data Management後，最先得到的回應卻是他們不感興趣。</p> <p>SafetyDetective研究團隊發現Resource Data Management的溫度控制系統，使用不安全的HTTP協定，並使用9000、8080、8100以及80等連接埠，而且還預設用戶名稱以及1234作為密碼，更糟的是使用這些系統的管理員，顯然很少更換登入資訊。</p> <p>駭客能夠直接在瀏覽器中輸入網址，就可以存取這些溫度控制系統，SafetyDetective表示，取得網址的方式並不難，使用Google搜尋就能找得到。他們利用聯網裝置搜尋引擎Shodan，找到了7,419個可被入侵的系統，研究人員提到，Shodan的搜尋結果僅能顯示一部分的機器，他們認為受漏洞影響的機器數量，比搜尋結果顯示的還多很多。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/shodan-800x607.jpg" style="width: 500px;" /></p> <p>有心人士進入控制系統後，可以獲得機器的詳細資訊，SafetyDetective以一家超市作為例子，進去系統後可以看到超市整體布局，系統能針對個別的機器進行控制，只要點擊解凍按鈕並且輸入預設的用戶名稱以及密碼，就能將超市中的展示櫃輕易地解凍，而且即便在需要輸入身份驗證敏感資訊的頁面，網頁仍然是使用未加密的HTTP協定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/supermarket.jpg" style="width: 400px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/supermarket-machines.jpg" style="width: 181px;" /></p> <p>Resource Data Management製造的控制系統在全世界醫院和連鎖超市被廣泛地採用，透過Shodan掃描結果顯示，Resource Data Management在英國、澳大利亞、以色列、德國、荷蘭、馬來西亞、冰島等多國都有客戶，而且每個地點都同時擁有數十臺的機器，因此有成千上萬臺的機器暴露在被攻擊的危險中。</p> <p>SafetyDetective接連嘗試了各國的大型企業，包括知名英國零售商馬莎百貨、馬來西亞製藥廠CCM Duopharma Biotech Berhad、德國冷卻設施廠Muenstermann Kuelhaus am Grossmarket Dueseldorf等企業的冷凍設備，都可以被任何人存取控制。</p> <p>不過，當SafetyDetective第一時間聯絡Resource Data Management時，獲得的官方回覆卻是他們不感興趣，而且希望不要再聯絡他們。有趣的是，SafetyDetective在之後又收到Resource Data Management的另一封回覆信，信中提到，他們的文件有明確提醒用戶在安裝系統時，應該修改預設帳號密碼，而且他們因為技術與政策上的限制，也無法直接更新使用者的系統，因此他們會發信給使用者，提醒他們更改預設帳密。</p> <p>之後SafetyDetective又收到了一封來信，除了道歉之前回信的無禮外，還提到他們正在考慮為每個系統增加一組獨一無二的密碼。不過即便Resource Data Management將對未來的系統作出變更，但是直至2月11日，光在Shodan上搜尋得到的仍存在有數千臺容易被駭的機器。</p> </div></div></div>

Uber開源AI工具箱，免寫程式就能訓練和測試深度學習模型

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://eng.uber.com/introducing-ludwig/">Uber AI實驗室開源釋出訓練和測試深度學習模型的AI工具箱Ludwig</a>，該工具箱建立於深度學習框架TensorFlow上，標榜不需要寫程式就能完成模型的訓練和測試工作，提供一系列的AI模型開發工具，像是透過視覺化的方式，呈現評估模型、比較模型效能和預測結果，<a href="https://github.com/uber/ludwig">目前於GitHub平臺以Apache License 2.0授權釋出</a>。</p> <p>Uber表示，目前市面上有許多深度學習相關的函式庫，像是TensorFlow、PyTorch、CNTK、MXNET，以及Chainer，Uber決定避免重複開發性質類似的工具，因而在這些開源函式庫的根基上，打造AI開發工具箱Ludwig。Uber曾開源釋出在PyTorch上建立的深度機率程式語言Pyro，以及允許在多個GPU和電腦分散訓練深度學習模型的框架Horovod。</p> <p>近幾年來，深度學習模型已被證實能夠高效執行多種不同機器學習任務，包含電腦視覺、語音辨識、自然語言處理等，而在Uber內部，深度模型也被用在多種任務中，像是客戶服務、物體辨識、優化地圖、串流聊天溝通服務、預測和防範詐騙等，為了簡化深度學習模型的測試和訓練工作，AI工具箱Ludwig已經在Uber內部開發超過2年，主要用於Uber的多項專案，像是從駕駛人駕照萃取資料、從對話擷取客戶興趣、預測餐點送達時間等。</p> <p>Uber指出，Ludwig特別的地方是能夠讓非AI專家更容易理解深度學習模型，對於經驗豐富的AI開發和研究人員而言，也能透過Ludwig縮短模型的開發周期，簡化開發原型過程和處理串流資料的工作。</p> <p>Uber將Ludwig設計為一種通用型的工具箱，主要用於處理新的機器學習問題時，能夠簡化模型開發和比較模型架構過程，設計的核心原則包含免寫程式、具有通用、靈活性和擴展性，並能夠透過視覺化的方式，讓開發者更能理解模型。在通用性的部分，Ludwig允許開發者使用CSV的表格文件和資料序列格式YAML配置文件，來訓練深度學習模型，YAML配置文件能夠加快模型原型設計的速度，將編碼的時間從數小時縮短至數分鐘，若有超過一個輸出目標變數，Ludwig會執行多任務學習，也就是同時預測所有的輸出。</p> <p>而針對靈活和擴展性的部分，在模型定義中通常會包含額外的資訊，特別是對每個特徵屬性預先處理資訊的時候，每個特徵屬性都需要個別的編碼器、解碼器和訓練參數，而編碼和解碼器也都需要個別的架構參數，在預先處理和訓練的部分，Uber透過經驗和現有的學術文獻，為多種模型架構參數建立預設值，讓新手也能訓練複雜的模型，同時，能夠個別設定模型配置文件的功能，提供AI專家在訓練模型時有更多彈性。此外，每個在Ludwig訓練的模型都能夠保存，若開發者要用新資料執行模型得到預測結果時，就能重新載入模型。</p> <p>其中，Ludwig一項主要的新概念是為特定的資料類型提供獨立的編碼和解碼器，也就是說，每種資料類型都有特定的預先處理函式，像是文字、圖像和類別（category），如此一來，Ludwig就能夠提供高效率的模組化和可擴展架構，藉由不同資料種類元件的組合，開發者可以用Ludwig訓練多種類的任務，舉例來說，文字編碼器和類別解碼器的組合，就能得到文字分類器，而連結圖像編碼器和文字解碼器就能得到生成圖像標題模型。（圖片來源：Uber）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3-696x604.png" style="width: 500px;" /></p> <p>除此之外，每個資料種類可以有超過一個的編碼器和解碼器，例如，文字類型的資料可以用卷積神經網路、遞歸神經網路或是其他編碼器來編碼，接著，開發者可以選定要用哪個編碼器並設置超參數，過程中不需要寫任何一行程式，目前Ludwig提供開發者訓練模型，包含文字分類、物體分類、圖像標題生成、時間預測、序列標註、回歸、語言模型、機器翻譯、問題回答等，對於沒有經驗的開發新手而言，該工具為他們提供開發用於多種應用案例模型的機會，而有經驗的開發者，也能藉由該工具箱研究更多新領域。</p> <p>AI工具箱Ludwig目前的編碼器和解碼器支援二進制值、浮點數、類別、離散序列、集合、文字、圖像和時間序列等資料種類，還有提供一些預先訓練的模型，像是詞向量模型，未來，Uber還預計支援更多資料種類。</p> </div></div></div>

IBM研究院發布未來5年將改變人類生活的5項創新預測

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://www.ibm.com/blogs/research/2019/02/ibm-research-5-in-5-2019-food/">IBM研究院近日發布未來5年將會改變人類生活方式的5項創新預測（IBM 5 in 5）</a>，包含透過數位分身（Digital Twin）農業將用更少的資源供給不斷增長的人口、區塊鏈能防範更多的食物浪費、用微生物基因組群保護人類受到有害細菌侵害、藉由AI感測器能在家中檢測食物中的病原體，以及全新的廢棄物回收科技，IBM將在2019年度Think大會上，討論今年度預測的內容。</p> <p>IBM指出，5年後地球人口將突破80億，人類複雜的食物鏈系統，在氣候變遷和有限的水資源的壓力下，只會越來越備受考驗，為了能夠滿足未來眾多人口的需求，人類需要新科技、設備、科學突破和全新的食物安全和保護思維，IBM認為，5年後的世界將會變得更加連結、相互依賴，且更容易受到變化的影響。</p> <p>首先在農作物方面，金融業者要如何借貸給從未踏入銀行的農夫？ IBM指出，將農耕所有面向的資訊數位化，收集從種子的數量、牽引機駕駛的技巧，到瓜類在市場販售的價格資料，利用數位分身系統，也就是在系統中模擬真實情況，結合AI技術利用這些數據，準確地預測農產品的產量，就能提供銀行給予借貸所需的資料點，進而幫助農夫擴展農耕規模。</p> <p>而5年內，人類也將會將食物供應鏈中高成本的未知數去除，從農夫到超市供應商，每一個食物供應鏈的參與者都會明確地知道食品種植、選購和寄送所需的數量，利用區塊鏈技術、IoT裝置和AI演算法，食品損失將會大幅降低，消費者取得的食物也會更加新鮮。</p> <p>此外，針對食品安全方面，IBM認為，未來5年內，食品安全監督機構將會有新的方法，利用數百萬種微生物，來保護人類食入的食品，這些微生物通常都在農場、工廠或是超市時，引入食物中，有些微生物對人體是有益的，有些則是有害的，新科技將能夠允許研究人員在符合成本效益的情況下，分析微生物的基因組成，解開微生物對人體的影響資訊。</p> <p>另一項食品安全預測則是能透過AI感測器偵測食源性病原體，IBM預測，未來農夫、食品處理商、超市供應商以及數十億大眾能夠用AI感測器，自行偵測食物是否含有致命污染物，例如用手機或是廚房檯面上的感測器，就能檢測食物是否含有大腸桿菌或沙門氏桿菌。</p> <p>最後，IBM則指出廢棄物回收和塑膠製造將會完全地轉變，牛奶紙盒、餅乾、超市的袋子和棉布都可以回收，而廠商也有能力將這些廢棄物轉變成有用的物質，這項轉變來自一個能夠將聚酯纖維變成可再生資源的化學催化過程VolCat，轉變後的物質可直接放入塑膠製造機器，來創造新商品。</p> </div></div></div>

GCP推出免綁信用卡的BigQuery免費試用沙盒

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://cloud.google.com/blog/products/data-analytics/query-without-a-credit-card-introducing-bigquery-sandbox">Google近日為新用戶和學生推出免綁定信用卡的BigQuery試用沙盒</a>，與GCP試用的試用途徑不同，該沙盒專為試用數據分析倉儲服務BigQuery所設計，且用戶申請試用時不需要填寫信用卡資訊，Google表示，BigQuery試用沙盒的使用者可享有與付費用戶相同的運算能力，包含執行SQL查詢、使用BigQuery內建的機器學習服務和地理空間資訊系統等功能。</p> <p>Google提供試用用戶每個月1 TB的查詢流量和10 GB的免費儲存空間，所有的資料表和分割檔案能保存60天，有些BigQuery的功能並沒有在試用沙盒中提供，像是DML、Streaming和資料轉移服務，若用戶要使用這些功能，可以在控制版中升級。</p> </div></div></div>

Google Maps測試AR導航，讓使用者不會因為抓不到方向感而迷路

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Maps有時會有個令人困擾的問題，使用者雖然有地圖可看，但經常搞不清東西南北，跟著手機轉來轉去，不知走哪個方向才對。<a href="https://www.ithome.com.tw/news/123076" target="_blank">去年Google I/O曾經展示過視覺定位功能</a>，<a href="https://ai.googleblog.com/2019/02/using-global-localization-to-improve.html?m=1" target="_blank">現在Google宣佈正在測試名為全球定位（Global Localization）的AR定位功能</a>，結合手機相機、Google Maps、AI與AR功能，希望讓步行導航變得更容易。</p> <p>雖然Google過去幾年來不斷利用GPS和羅盤技術來加強Google Maps中藍點的精確性，但兩種工具存在的限制，使其在都會環境的導航效果不佳。例如GPS仰賴接收衛星訊號來定位，但在紐約或舊金山天空被林立高樓遮蔽，訊號也會被建築物反射，大幅降低定位精準度。GPS另一項限制是，它只定位無法決定方向。雖然手機有方向感測器藉由測量地球磁區和手機相對運動提供大致定位，但感測器經常受到建築物、車輛、水管、電線等帶磁性物體的干擾，有時反而會有180度的方向錯誤。</p> <p>Google正在實驗中的全球定位功能是結合視覺定位服務（Visual Positioning Service，VPS）、Google 街景服務及機器學習技術，希望能更精確辨識使用者位置和方向。VPS是利用影像來判定裝置的位置。VPS會先拍攝一系列已知地點的空間相片，分析其視覺特徵，例如大樓線條或橋樑，並為這些特徵加入大量可快速搜尋的指標，藉此繪製成一個空間地圖。</p> <p>VPS藉由比對手機拍攝的影像和這些指標完成裝置的定位，因此VPS的精準度取決於影像畫質和所在地點。這時十年來Google街景車在世界各地大街小巷穿梭拍攝的街景圖資就派上用場了。Google Maps工程師Tilman Reinhardt解釋，VPS全球定位連結了Google Street資料全球93個國家的資訊，後者豐富的資料集提供數兆強大的參考點可用於三角定位，提升裝置定位的精確度。但是考慮到一些元素，例如樹木一年四季有不同面貌會影響到視覺定位，因此Google Maps團隊又運用機器學習技術決定在定位時忽略掉樹、臨時建物或其他會變動的元素，只考慮長期不變的物體。</p> <p>而為了提供更清楚的指引，這項計畫又使用上建構擴增實境（AR）影像的平台ARCore，在用戶步行時開啟Google Maps時，會在相機影像中疊加方向指示、路名等資訊。</p> <p>但是這項全球定位導航仍存在一些限制，其中最大的是天候，它在深夜、下雪或滂沱大雨中就無法使用。目前Google 已召集一組測試員在全球各地測試這項技術。</p> <p>Google積極發展AI影像辨識應用，除了AR導航、定位外，<a href="https://www.ithome.com.tw/news/114286" target="_blank">Google Lens</a>則可讓用戶以手機相機拍攝後搜尋網路商店或相關資訊。</p> </div></div></div>

Amazon收購家用網狀路由器eero

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-acquire-eero-help-customers-better-connect-smart-home" target="_blank">Amazon宣佈收購家用Wi-Fi網狀路由器（Mesh Router）新創業者eero</a>，使佈局Alexa智慧家庭願景再推進一步。</p> <p>Wi-Fi網狀路由器旨在擴大Wi-Fi路由器訊號的涵蓋範圍、減少訊號死角，常部署於機場、百貨公司、車站，近年也有愈來愈多家庭安裝此類路由器產品，以支援攝影機、智慧音箱等裝置上網。Amazon指出，成立5年的eero 家用網狀路由器，讓消費者能依家中需求設定網狀Wi-Fi網路，支援每個房間的影音串流及所有連網裝置需要的頻寬，在Amazon.com上獲得4.6顆星的消費者評價。</p> <p>Eero產品提供簡單好用的App，讓消費者可在10分鐘之內設定好系統、設定好網路共享、家長控制，並可隨時做速度測試。此外，eero前端裝置可透過雲端平台接收指令及更新，可隨時保持自主更新、修復及修正。</p> <p>本收購完成日期需視最後雙方交易條件而定。</p> <p>近年Amazon透過Echo、Echo Dot等產品力圖建立由Alexa控制的連網家庭。這項收購可望擴大Amazon人工智慧語音助理Alexa在家中的控制範疇。去年Amazon也曾和Netgear、華為等路由器廠商合作，讓用戶可以Alexa聲控兩家公司的Wi-Fi家用路由器。</p> </div></div></div>

川普簽署行政命令以加速美國AI發展

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/presidential-actions/executive-order-maintaining-american-leadership-artificial-intelligence/" target="_blank">美國總統川普（Donald Trump）在2月11日簽署了行政命令，發布美國AI倡議（American AI Initiative）</a>，要求聯邦政府應優先研發人工智慧（Artificial Intelligence，AI）能力，以維護美國在AI領域的領導地位。</p> <p>此一<a href="https://www.whitehouse.gov/briefings-statements/president-donald-j-trump-is-accelerating-americas-leadership-in-artificial-intelligence/" target="_blank">AI倡議</a>的重點包括將聯邦政府的資源運用在AI技術的發展，以確保下一個AI的重大進展出現在美國；釋出聯邦政府的資料及運算資源予AI研究人員以支持長期研究；協助美國民眾取得AI的相關技能；要求主管機關建立AI開發準則；以及保障美國人的AI優勢等。</p> <p>該倡議的五大原則則涵蓋了美國政府肩負在不同領域及產業推動AI技術的責任，發展AI技術標準，訓練可開發及應用AI技術的人力，推動民眾對AI技術的信賴，以及建立國際上的AI聯盟與合作。</p> <p>其實中國、加拿大與法國政府早在前幾年就開始大力推動境內的AI研發，中國在2017年所發表的AI戰略即規畫了三大階段性目標，期望中國在2020年可跟上全球領先國家的AI技術與應用，2025年讓部份AI技術與應用達到全球領先水平，進而在2030年成為全球主要的AI創新中心，期望中國不論是在AI的理論、技術與應用都能領先全球。</p> <p>根據中國官方新聞網站<a href="http://www.china.org.cn/top10/2018-07/27/content_57836800.htm" target="_blank">中國網</a>在去年7月的調查，美國為全球擁有最多AI企業的國家，境內AI企業數量超過2,000家，居次的即是中國的1,011家，其它位於前十名的還有英國的392家、加拿大的285家、印度的152家、以色列的121家、法國的120家、德國的111家、瑞典的55家與西班牙的53家。</p> <p>儘管目前美國的AI技術及發展仍被視為全球的領頭羊，但前兩年已有不少學者及官員向川普建言，要求川普制定國家級的AI戰略，而<a href="https://www.technologyreview.com/s/612926/trump-will-sign-an-executive-order-to-put-america-first-in-artificial-intelligence/" target="_blank">MIT Technology Review</a>則批評，此一倡議雖然抱負遠大，細節卻含糊不清，也未包含AI研究所需的龐大基金，能否貫徹該倡議的最大考驗將是政府的執行力。</p> </div></div></div>

Wordpress外掛漏洞讓駭客得以接管網站

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.webarxsecurity.com/wordpress-plugin-simple-social-buttons/" target="_blank">安全研究人員警告</a>，因舊版Wordpress Simple Social Button外掛程式出現漏洞，有使用這個外掛程式的網站應該儘速更新軟體，避免不肖人士駭入接管網站。</p> <p>Simple Social Button是由WPBrigade公司開發、廣受歡迎的Wordpress外掛程式，可讓管理員在網站側欄或貼文上下方、相片中加入社群分享按鈕，也提供網站留言及社群帳號登入。根據Wordpress Plugin統計，這個外掛經常安裝用戶超過4萬，<a href="https://wpbrigade.com/wordpress/plugins/simple-social-buttons/" target="_blank">WPBrigade則宣稱</a>它的下載數超過57萬。</p> <p>但WebARX研究人員Luka Šikić 發現，Simple Social Button應用設計流程不當，加上未做許可檢測，導致權限升級漏洞，這使得非管理員用戶得以在Wordpress上註冊新帳號升高權限，執行plugnin功能以外的行為，甚至可修改wp_options表單中的Wordpress安裝選項。只要在這個階段安裝後門或修改管理員相關資訊，攻擊者即可接管Wordpress網站。</p> <p>Wordpress 管理員如果已禁止用戶註冊帳號或可免於漏洞危害，但如果網站允許針對部落格貼文留言，就可能遭到攻擊。</p> <p>研究人員發現漏洞後，於2月7日通報WPBrigate公司，WPBrigate隨即在隔日完成修補。該漏洞影響Simple Social Button 2.0.4到2.0.22以前的版本。研究人員呼籲網站管理員需儘速更新。</p> </div></div></div>

Google Translate遭駭客利用以執行網釣攻擊

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.akamai.com/sitr/2019/02/phishing-attacks-against-facebook-google-via-google-translate.html" target="_blank">資安業者Akamai的安全研究人員Larry Cashdollar最近發現一起新的網釣手法</a>，先將流量導至Google翻譯（Google Translate）以取信受害者，再竊取受害者的Google或臉書帳號資訊。</p> <p>根據Cashdollar的描述，他今年在手機上收到通知，警告有新的Windows裝置存取了他的Google帳號，但他近來並沒有啟用新裝置，決定一探究竟。</p> <p>於是他在筆電上開啟了這則郵件通知，發現在手機上看起來假以亂真的警告信其實是假冒的，一來寄件者使用的是Hotmail帳號，二來寄件者的用戶名稱為facebook_secur，兩者皆與Google無關。當他點選警告信中的諮詢（Consult the activity）按鍵時，它透過Google翻譯（Google Translate）傳送了網釣頁面。</p> <p>頁面的最上方出現的是Google翻譯的工具列，下方卻要求使用者輸入Google憑證。</p> <p>有鑑於手機上的網頁顯示通常是更為簡潔的，因此若於手機上開啟警告通知或連至網釣頁面都較難辨識真假，例如手機上只會出現Google憑證的驗證畫面，但不會看到Google翻譯的工具列，但在筆電或桌機上則有更大的顯示版面，相對容易看出端倪。</p> <p>此外，相較於直接設計一個具備奇怪網址的網釣頁面，先將流量導至合法的Google網域也較不易令人起疑。</p> <p>更有趣的是，倘若受害者不疑有它地輸入了Google的憑證之後，駭客秉持著會上當一次就會上當兩次的假設，針對已受騙的受害者進行第二次攻擊，這次是傳送一個偽造的臉書登入介面，企圖騙取受害者的臉書憑證。</p> <p>Cashdollar表示，此一攻擊其實有些粗糙，使用者只要稍加留意就能察覺，只是在行動裝置上要特別小心，此外，雖然以Google翻譯作為強化合法性的攻擊時有所見，但一次鎖定兩個品牌憑證的手法卻不常見，呼籲使用在收到任何警告訊息時，最好先仔細檢查訊息本身的合法性。</p> </div></div></div>

Tesla輔助駕駛技術套件的官方測試報告遭質疑正確性

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專為企業提供法庭統計調查服務的<a href="http://www.quality-control.us/nhtsa_autopilot_safety_claims.html" target="_blank">Quality Control Systems，釋出報告</a>打臉美國國家公路交通安全管理局（NHTSA）之前對於Tesla車輛安裝輔助駕駛系統的安全調查結果。NHTSA在2017年1月釋出的報告指出，2016 Tesla Model S以及2016 Tesla Model X在安裝了輔助駕駛技術套件（Autopilot Technology Package）Autosteer後，安全氣囊碰撞率下降將近40％，而Quality Control Systems Corp.對此持反對意見。</p> <p>Quality Control Systems表示，他們複製了NHTSA分析的底層資料，發現NHTSA作出的結論並不準確。NHTSA計算駕駛暴露在碰撞風險的里程數，以及安全氣囊碰撞後展開的次數，來估算車輛碰撞率，但Quality Control Systems在與美國運輸部的訴訟中，意外取得相關的機密底層資料，他們發現NHTSA計算安裝Autosteer套件後的碰撞率資料，其實際里程數不到報告中提出里程數的一半。</p> <p>該公司提到，Tesla車輛對於暴露在碰撞風險的里程數，無論是在安裝套件前還是安裝之後，都有明確的量測，而計算的結果與NHTSA宣稱的結果剛好完全相反。另外，Quality Control Systems 還提到，NHTSA忽略了那些無法歸類是安裝Autosteer之前還是之後的里程數，而他們證明，這些龐大的里程數，都集中在車輛安裝Autosteer之前，而這正是NHTSA計算有問題的地方。</p> <p>Quality Control Systems 抨擊NHTSA釋出的報告只有結果而沒有附上數據，調查結果不符合標準以及科學有效性，並聲明他們與Tesla沒有任何的經濟利害關係，這項研究也沒有受到任何的組織、個人或是實體財務支援。</p> </div></div></div>

紅帽OpenShift平臺也有內建IDE開發工具，開發專案可同時管理Kubernetes環境

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽推出基於瀏覽器的Kubernetes整合開發環境（IDE）<a href="https://developers.redhat.com/products/codeready-workspaces/overview/">CodeReady Workspaces</a>，這是紅帽以Eclipse Che IDE為基礎，並加上之前收購來的Codenvy專有功能開發而成，紅帽提到，這也是第一款OpenShift平臺內建的Kubernetes開發工具IDE。</p> <p>不少企業使用Kubernetes和容器建構與部署應用程式，紅帽提到，傳統開發工具不支援Kubernetes和容器建置，因此開發人員必須另行使用其他Kubernetes部署工具，手動管理容器開發環境。</p> <p>CodeReady Workspaces是一款企業級的Kubernetes專用IDE可用來開發和部署Kubernetes上的應用，也是一款瀏覽器版IDE，涵蓋了程式撰寫、建置、測試、執行與偵錯應用程式等。可部署於企業內部或雲端OpenShift環境中，直接在IDE中管理和部署應用程式所需的開發環境。支援LDAP或AD身份驗證機制。</p> <p>開發人員可用CodeReady Workspaces管理在OpenShift Pod以及容器中的程式碼和相依專案等檔案，紅帽表示，開發人員在專案之初就能在OpenShift環境中進行容器化應用程式開發。</p> <p>另外，CodeReady Workspaces還新增了一個名為Factories的範本功能，可以將自己開發專案常用的程式碼儲存位置、Runtime、工具配置及常用命令建立成一個專案範本，可用於日後快速在數分鐘內建立一個Kubernetes開發協作專案。</p> <p>紅帽表示，不擅長Kubernetes或OpenShift知識的企業，也能上手CodeReady Workspaces。CodeReady Workspaces也對紅帽OpenShift和Enterprise Linux進行了最佳化，</p> </div></div></div>

Fedora商標太像臉書，決定大變身，新商標初版開放票選中

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://fedoramagazine.org/fedora-logo-redesign/">Fedora最近在著手重新設計其商標</a>。Fedora的商標從2005年開始使用至今，但由於當前商標有不少視覺呈現問題，因此由紅帽資深首席互動設計師Máirín Duffy領銜，與Fedora設計團隊一起重新進行商標設計，目前已經有了一些新進展。</p> <p><a href="https://blog.linuxgrrl.com/2019/01/09/which-new-fedora-logo-design-do-you-prefer/">Máirín Duffy在一月時，詳細分析了Fedora現有商標的問題</a>，包括當前商標缺乏單一顏色的變體，在許多圖庫以及使用上受到限制，而當商標使用深色背景時，無法清楚地辨識，另外，Fedora商標還容易與臉書商標視覺混淆，且還使用了專有字體。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/u7bCdLo-2.png" style="width: 600px; height: 350px;" /></p> <p>設計團隊不想重新設計而只是想翻新設計。<span style="text-align: center;">首先，設計團隊修改了Fedora的a，以避免與字母o混淆，另外也更新了f，由於社群普遍認為當前的商標中，f跟其他英文字母相比，看起來窄得多，而且f頂部的曲線不夠圓弧明顯，因此新的設計，設計團隊讓f體積占比增加，拉寬中間的線條交叉，還讓頂部彎曲延長，同時避免過度彎曲造成整體視覺的不協調。</span></p> <p>出於技術原因，設計團隊還旋轉了e，讓e的朝向與無限圖標的對角線角度相同，來增加整體視覺上水平的空間，因此f可以更往內靠，讓字母更加的緊密，設計團隊還打開e字母的筆畫交錯，Máirín Duffy認為，這樣的設計能增加圖標視覺清晰度，因為e的中斷點模仿了無限符號f中間的十字交叉中斷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_banner-1440x650.png" style="width: 655px; height: 470px;" /></p> <p>不過，在無限f的圖標上仍計畫開放社群票選，下圖的1號商標為候選版最初的設計，但設計團隊認為，原本的設計較像p而非f，因此傾向讓右上f的開口變大，並將無限符號的線條變細，並依照這樣的想法產生了其他四種變體，差異在於線條粗細、斷口的樣式以及迴圈大小的平衡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/logomark.png" style="width: 655px; height: 235px;" /></p> <p>設計團隊最後考量無限圖樣的線條與Fedora字體線條粗細相仿，可增加整體平衡感，決定刪除線條較細的版本，只保留下圖的3個候選版本，開放給社群回饋再做最後決定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/candidates.png" style="width: 655px; height: 94px;" /></p> </div></div></div>

Google去年發出340萬美元抓漏獎金

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/technology/safety-security/working-security-researchers-make-web-safer-everyone/" target="_blank">Google近日公布2018年的抓漏獎勵成果</a>，來自全球78個國家、317名研究人員總計獲得了1,319個獎勵，領走340萬美元的獎金，其中金額最大的單一獎勵高達4.1萬美元。</p> <p>Google表示，不管是博士或是業餘開發人員撰寫的軟體，都不可避免地含有意料之外的漏洞，重要的是這些漏洞能夠儘快被找到並修補，於是Google在2010年啟動了抓漏獎勵計畫，鼓勵研究人員協助辦識Google程式與軟體的安全漏洞，這些漏洞視嚴重程度而有100美元到20萬美元不等的獎勵，根據Google的統計，從2010年迄今已發出超過1,500萬美元的獎金。</p> <p>找到Google漏洞的研究人員背景不一，例如發現Google Cloud Platform控制台遠端程式執行漏洞的，是一名來自烏拉圭的19歲研究人員Ezequiel Pereira；來自波蘭的Tomasz Bojarski是Google去年首屈一指的漏洞獵人，Google並未透露Bojarski總計領走多少獎金，只說他用了這些獎金開了一間民宿還有一家餐館；位於白俄羅斯的Dzmitry Lukyanenka則在失業之後成了全職的漏洞獵人。</p> <p>除了抓漏獎勵之外，Google還祭出了安全及隱私研究（Security and Privacy Research）的獎勵計畫，專門贊助學術機構在相關領域的研究，得獎者則是由Google內部資深的安全及隱私研究人員負責遴選。</p> <p>去年Google總計贊助了7項研究，金額超過50萬美元，涵蓋雲端安全研究、加密技術研究、系統安全研究、隱私及安全的機器學習研究、可用的隱私及安全研究，以及機器學習暨網路安全研究。</p> </div></div></div>

微軟加入開源法遵標準計畫OpenChain並成為管理委員會一員

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.openchainproject.org/news/2019/02/06/2910">OpenChain宣布微軟成為白金會員，並進入管理委員會</a>。OpenChain計畫目的是要建立開源互信，讓開源授權法遵更加簡單一致，OpenChain致力成為軟體供應鏈中唯一的開源發遵標準，其規範了開源專案必須要遵守的一系列核心要求，並提供企業成功管理開源授權的流程、政策和訓練。</p> <p>OpenChain提到，企業在建立應用程式和服務時，通常會使用開源軟體，但是其中一項障礙便是需要滿足相關的開源授權許可要求，OpenChain出現的目的就是要解決這些問題。其總經理Shane Coughlan表示，微軟加入OpenChain，平衡了企業、雲端、汽車和半導體產業等成員組成，能確保其制定的標準，適用於各種規模與類型的企業。</p> <p>微軟加入OpenChain，將能幫助開源軟體法遵建立標準以及最佳實踐，使其用戶能夠有更多的選擇，橋接微軟與其他異質環境的技術，OpenChain官方提到，符合OpenChain規範也就代表，遵守開源法遵要求且在軟體供應鏈間得以互相信任，而這將讓採購工作更有效率。</p> <p>微軟總法律顧問David Rudin提到，透過加入OpenChain計畫，他們期望與社群合作確立法遵標準，幫助建構開源生態系統和供應鏈的信任。成為OpenChain白金會員，微軟將能參與管理委員會，其他委員會成員還有臉書、Google、Qualcomm、Siemens、Sony、Toyota和Uber等16家大型企業。</p> </div></div></div>

卡巴斯基：2018年DDoS攻擊頻率降低，但平均攻擊時間增加2倍

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://securelist.com/ddos-attacks-in-q4-2018/89565/" target="_blank">卡巴斯基實驗室（Kaspersky Labs）近日公布2018年的分散式阻斷服務攻擊（DDoS）研究報告</a>，指出2018年的DDoS攻擊活動比2017年少了13%，但平均攻擊時間卻從去年第一季的95分鐘增加到第四季的218分鐘。</p> <p>該實驗室在去年第四季觀察到的最長時間攻擊時間為329個小時，接近14天，上一次有這麼長的持續DDoS攻擊是在2015年。去年第四季絕大數的攻擊時間都落在4小時以內，佔了83.34%。</p> <p>此外，第四季主要的DDoS攻擊類型依序是SYN洪水攻擊（58.2%）、UDP洪水攻擊（31.1%）與TCP洪水攻擊（8.4%）。</p> <p>從國別來看，去年第四季DDoS最大的受害國為中國，佔了所有DDoS攻擊的50.43%，居次的是美國的24.9%，其它則是澳洲的4.57%、巴西的2.89%、英國的2.18%、加拿大的1.94%與香港的1.84%。</p> <p>在殭屍網路C&amp;C伺服器的分布上，則以美國的43.48%最高，英國佔了7.88%，荷蘭佔6.79%，希臘為5.71%，加拿大為5.71%，德國佔5.43%，中國僅佔2.72%。</p> <p>至於殭屍網路的組成仍由Linux遙遙領先，在去年Q4基於Linux的殭屍網路比例高達97.11%，Windows佔了其餘的2.78%。</p> <p>研究人員指出，此一報告顯示出未經組織的攻擊愈來愈少，這是因為企業開始強化防範DDoS攻擊的保護措施，再加上駭客把技術資源挪到了其它更易獲利的目標上，諸如挖礦，大多數的短時間攻擊都只是為了測試水溫。另一方面，DDoS的攻擊也傾向更專業的運作，他們集中火力，拉長攻擊時間，還會提高自己的技術水準以符合客戶的需求。</p> <p>卡巴斯基在去年觀察到許多新的殭屍網路，不只是Mirai的變種，還有在去年8月發動攻擊的Chalubo，去年10月現身的Torii，以及專門挾持Hadoop叢集的DemonBot等。</p> </div></div></div>

雲端備份業者Carbonite買下AI安全業者Webroot

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.carbonite.com/news/article/2019/02/Carbonite-to-acquire-Webroot-creating-a-leader-in-endpoint-data-protection-and-security" target="_blank">雲端資料備份服務供應商Carbonite於2月7日宣布</a>，將以6.185億美元的現金買下具備AI技術的資安業者Webroot，將整合彼此的資源，在原本的雲端備份及復原服務上，佐以雲端網路安全服務，全面性地解決企業的終端安全問題。</p> <p>創立於1997年的Webroot蒐集來自全球數百萬的終端資訊以提供威脅情報服務，進而保護企業的終端及網路，採用機器學習技術提供高度自動化的安全平台。該公司現有逾600名員工，近1.4萬名的服務供應商客戶，以及接近30萬的中小型客戶，截至2018年6月的2018財年營收為2.15億美元。</p> <p>Carbonite表示，不管是大型或中小型企業都在尋求可提供備份及安全的單一業者，雙方的整合將帶來更完善的資料保護解決方案。</p> <p>Carbonite執行長Mohamad Ali則說，此一併購案將讓該公司成為首屈一指的資料保護公司，隨著諸如勒索軟體等威脅日益進化，使得客戶迫切需要更完整且容易使用的解決方案。</p> <p>不過，在公布此一交易之後，Carbonite2月8日於那斯達克的股價巨幅下滑了18.6%，以23.85美元作收。</p> </div></div></div>

臉書收購家具導購網站GrokStyle強化AI視覺技術

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以電腦視覺技術協助用戶尋找並網購家具、家飾的新創業者GrokStyle宣布已經透過收購案加入臉書麾下。</p> <p>GrokStyle是於2015年創立，提供人工智慧及視覺搜尋技術，消費者只要以手機拍照實體或雜誌圖片中的沙發、燈具、地毯、壁紙等，GrokStyle就能為其搜尋、顯示家具零售網站上同個或類似的產品圖片、價格等相關資訊，並引導消費者前往合作的網站。GrokStyle聲稱合作夥伴包括主要零售業者，並以其電腦視覺技術幫助提升客戶營收。</p> <p>GrokStyle共同創辦人Kavita Bala及Sean Bell宣佈公司將結束營業，公司員工和技術將會加入臉書，仍將持續以AI為零售業打造優異的視覺搜尋體驗。</p> <p>臉書並未說明收購Grokstyle的金額及未來將用於發展何種業務，不過媒體相信，收購這家新創公司將有助於加速臉書積極投資的AI 與電腦視覺應用，像是辨識平台上仇恨或暴力圖片，或用於臉書Messenger拓展電子商務業務。</p> <p><a href="https://www.ithome.com.tw/news/123039" target="_blank">Google也正在發展Google Lens圖像文字辨識技術</a>，方便用戶拍照後快速搜尋並連到衣服、家飾、書籍等零售網站。Google Lens宣稱已經可辨識超過10億種物件。</p> </div></div></div>

知名訂房網站、航空公司、零售業者未經同意暗中側錄用戶App使用螢幕畫面

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼一月底爆料<a href="https://www.ithome.com.tw/news/128556" target="_blank">臉書VPN App以月費20美元代價換取用戶同意提供一切手機上的行為</a>後，<a href="https://techcrunch.com/2019/02/06/iphone-session-replay-screenshots/" target="_blank">Techcrunch再揭露</a>，多家知名業者包括Abercrombie &amp; Fitch、Expedia、Hotels.com及加拿大航空App會在未告知使用者的情況下，偷偷錄下iPhone用戶在螢幕上的所有點擊、滑手機與按鍵動作。蘋果聞訊後已要求這些業者修正。</p> <p>Techcruch最新一次調查蒐集了多家知名公司，包括訂房及訂票網站、流行服務品牌、電信、航空公司及銀行、金融業者的iOS App。結果發現所有廠商，包括Holister、Expedia及加拿大航空等知名企業的iOS App，都沒有在服務條款中提及會紀錄使用者App的螢幕畫面，自然也就沒有取得用戶同意這回事，用戶當然也對這些行為一無所知。</p> <p>此外，Abercrombie &amp; Fitch、Hotels.com和新加坡航空還使用一家用戶使用經驗分析平台Glassbox的服務，在其App中嵌入連線重播（session replay）的技術。該技術可錄下用戶使用App時的每個點擊、按鍵與鍵盤輸入的內容動作，然後回傳給App開發商，有的則是回傳給Glassbox的雲端平台作為用戶行為分析。</p> <p>但是和Techcrunch合作的安全研究公司，利用中間人攻擊工具（man-in-the-middle）從中攔截這些App回傳時的流量時，發現部份公司如加拿大航空的App，並沒有實作完整的資料遮罩，以致於用戶信用卡號碼、生日與住址可被明碼取得。</p> <p>這些未告知用戶而錄下App使用行為的作法，都違反了蘋果對App開發商的隱私權公告規定。在報導刊出後，<a href="https://techcrunch.com/2019/02/07/Apple-glassbox-Apps/" target="_blank">蘋果已經要求</a>上述廠商需移除紀錄用戶使用畫面的程式碼，否則就得明白揭露此事。</p> <p>蘋果發言人表示，保護用戶隱私是蘋果生態體系的首要任務，App Store審查指導原則要求所有App對於錄製、登入或任何紀錄用戶行為，都必須取得明顯同意並提供清楚的影像說明。蘋果已經通知這些App開發商他們違反蘋果的隱私條款及指導原則，表示必要時會立即採取行動。</p> <p>一月底Techcrunch揭發臉書Facebook Research VPN違規使用了蘋果企業用測試版App憑證，隨後Google的Screenwise Meter也被發現有類似情形，兩者都遭到臉書取消憑證處份，不過<a href="https://www.ithome.com.tw/news/128619" target="_blank">事發一天後都獲得復原</a>。</p> </div></div></div>

Android藏重大漏洞，用戶只要點擊PNG圖片就可能遭受遠端攻擊

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2019-02-01.html" target="_blank">Google在今年2月釋出的Android安全更新</a>中，修補了3個涉及PNG檔案的重大漏洞，相關漏洞允許駭客在PNG中植入惡意程式，用戶只要點擊PNG圖片就能觸發漏洞，而惹來遠端程式攻擊。</p> <p>PNG檔案的全名為Portable Network Graphics，為一專為網路傳輸所設計的檔案格式，並準備用來取代GIF。</p> <p>根據Google的說明，本次更新最嚴重的安全漏洞藏匿在框架（Framework）中，允許遠端駭客透過特製的PNG檔案，在特權流程中執行任意程式，包括CVE-2019-1986、CVE-2019-1987及CVE-2019-1988，波及從Android 7.0到Android 9的各種Android版本。</p> <p>這代表Android用戶只要點選可愛的貓、狗圖片，或是看起來無害的風景照，都可能遭到遠端程式攻擊。</p> <p><a href="https://siliconangle.com/2019/02/07/android-vulnerability-allows-hackers-hijack-device-using-png-file/" target="_blank">來自Tripwire的安全研究人員Craig Young指出</a>，相關漏洞與Android在描繪圖片之前如何進行解析有關，這些漏洞之所以存在是因為Android依然在特權流程中解析媒體檔案。Young認為，媒體處理是風險最高的活動之一，自動化的媒體解析不但應該要保持在最低限制，也應該在隔離的環境中執行。</p> <p>儘管Google宣稱尚未發現駭客的攻擊行動，而且已將修補版本釋出至Android開源專案（Android Open Source Project，AOSP），但目前只有諸如Pixel等Google品牌的裝置可直接取得Google的安全更新，至於其它品牌的手機或平板則仍得視裝置製造商或電信業者的更新時程才能取得修補，意謂著仍有眾多的Android裝置陷於此一重大安全風險中。</p> </div></div></div>

微軟強調使用IE的風險

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Edge出現4年後，微軟Internet Explorer (IE)至今仍然擁有鐵粉，不過<a href="https://techcommunity.microsoft.com/t5/Windows-IT-Pro-Blog/The-perils-of-using-Internet-Explorer-as-your-default-browser/ba-p/331732" target="_blank">微軟</a>倒是奉勸這些鐵粉使用IE是有風險的，但另一方面又強調並不是要用戶捨棄IE。</p> <p>IE過去常因漏洞多、效能低落為人詬病，微軟才於Windows 10時代推出Edge，但微軟比較在意IE已經和新Web App及網頁不相容。</p> <p>微軟體驗與裝置部門首席計畫經理Chris Jackson在一篇名為《使用IE作為預設瀏覽器的危險》部落格貼文中，細數為了因應不同時代寫出的網頁及不斷更新的網頁標準，IE做了許多事。例如早期IE支援「怪異模式」（quirks mode）和「標準模式」（standards mode），IE 8時增加了IE 8標準相容模式，使外部網站預設以IE8標準排版，內部網站預設以IE7標準呈現。到了IE 11時代又加入企業模式（Enterprise Mode）以解決相容性問題。</p> <p>他形容現在的IE只是一個「相容性解決方案」。微軟為了它無法支援新的網頁標準，而且雖然許多網站以IE開啟沒有問題，但現今大部份開發人員已不再為IE進行測試，而只針對現代化瀏覽器測試。因此如果微軟持續過去作法，IE使用者最後可能無法使用新式App。而在App推出速度更頻繁的今天，微軟希望幫助使用者避免錯過愈來愈多的現代網頁。</p> <p>這番話讓不少<a href="https://mspoweruser.com/microsoft-pleads-with-companies-to-dump-internet-explorer/" target="_blank">媒體</a>和用戶覺得這位微軟計畫經理是要使用者別再用IE，但在討論區中，有用戶反映，僅僅要求企業更新舊式App是不負責任的說法，而且使用者也不可能記得哪個App適合IE、哪個不適合。Jackson澄清，他是要用戶把IE用於需要它的網站，而不是所有App都用IE。他說，微軟並非強迫用戶使用哪個瀏覽器，而是希望用戶能選擇最符合個人需求的瀏覽器。</p> <p>雖然近年微軟力推Edge，但根據<a href="https://netmarketshare.com/browser-market-share.aspx?options=%7B%22filter%22%3A%7B%22%24and%22%3A%5B%7B%22deviceType%22%3A%7B%22%24in%22%3A%5B%22Desktop%2Flaptop%22%5D%7D%7D%5D%7D%2C%22dateLabel%22%3A%22Trend%22%2C%22attributes%22%3A%22share%22%2C%22group%22%3A%22browser%22%2C%22sort%22%3A%7B%22share%22%3A-1%7D%2C%22id%22%3A%22browsersDesktop%22%2C%22dateInterval%22%3A%22Monthly%22%2C%22dateStart%22%3A%222018-02%22%2C%22dateEnd%22%3A%222019-01%22%2C%22segments%22%3A%22-1000%22%7D" target="_blank">市場研究機構Netmarketshare的統計</a>，以桌機瀏覽器來看，截至今年1月IE市佔率（8.0%）還超過Edge（4.6%），Chrome則以67.3%拿下絕大市佔。</p> <p>事實上，因為Edge普及率長年不振，去年底<a href="https://www.ithome.com.tw/news/127547" target="_blank">微軟已經宣佈</a>，基於相容性考量，未來Edge將放棄EdgeHTML，而使用Chromium/Blink為核心引擎。</p> </div></div></div>

GCP雲端監控服務Stackdriver Profiler終於支援Node.js和Python了

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/management-tools/stackdriver-profiler-adds-more-languages-and-new-analysis-features">Google更新其雲端監控和日誌服務Stackdriver的分析工具Profiler</a>，這次除了新增支援Node.js和Python之外，使用者現在還能加權過濾功能，針對最糟案例進行效能分析。</p> <p>Stackdriver Profiler是Google在2018年春天推出的新服務，可以在不影響應用程式效能的情況下，分析正式環境中執行的應用程式效能。Stackdriver Profiler利用互動式的火焰圖（Flame Graph），顯示相關函式呼叫的階層結構與資源消耗，以幫助開發人員了解資源消耗的狀況以及不同程式碼實作方式帶來的差異。</p> <p>Stackdriver Profiler剛上線時，已提供Java的CPU分析，以及Go語言的CPU和堆（Heap）分析，現在則增加了對Node.js和Python開發語言的支援，還有App Engine標準Java Runtime的支援。Google提到，使用Profiler很簡單，只要在應用程式中加入函式庫，並且重新部署就可以了，如果是在App Engine的標準環境執行Java程式碼，使用Profiler會更簡單，只需要在appengine-web.xml或app.yaml檔案中啟用後，再瀏覽GCP雲端控制臺中的Stackdriver Profiler功能，就能看到程式碼執行的情況。</p> <p>Google提到，許多工作負載都有突發性的高峰資源消耗現象，但Stackdriver Profiler原本的功能，只能了解應用程式的資源平均消耗，無助於整體提升效能，因此Stackdriver Profiler最新加權過濾功能，可以讓使用者輕鬆地找出資源消耗高峰的原因，進而讓應用程式的運作變得順暢。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/weight.gif" style="width: 655px; height: 287px;" /></p> <p>使用者可以使用加權過濾器，讓Stackdriver Profiler只分析應用程式資源消耗尖峰資料，例如查看CPU時間時，選擇前10％的權重，Profiler就只會分析捕捉到的前10％CPU消耗資料，剩下的90％資料將在圖表中省略。</p> <p>Profiler提供的火焰圖可以供使用者快速探索，單一程式碼路徑呼叫的資源耗盡（Resource-hungry）函式，不過無法幫助使用者辨識整個程式碼中，局部最佳化函式對整體效能的影響。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/focus.gif" style="width: 655px; height: 364px;" /></p> <p>現在使用者只要點擊過濾器左側的放大鏡按鈕，就能查看其函式的資源使用情況，並進一步查看這些函式的資源使用狀況以及圖表呈現。這些資訊在單獨查看火焰圖時，不見得能輕易的被觀察出來。</p> </div></div></div>

亞馬遜推出線上直播購物平台Amazon Live

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國線上零售龍頭亞馬遜（Amazon）推出<a href="https://www.amazon.com/live" target="_blank">線上直播購物平台Amazon Live</a>與直播程式Amazon Live Creator，讓商家能透過直播來提升產品銷量。</p> <p>商家必須先下載Amazon Live Creator程式以建立直播影片，這些影片可在桌面或行動版的amazon.com、或是Amazon行動程式上串流。商家可在直播時與消費者互動，也允許消費者藉由影片下方的連結購買正在介紹的商品。目前Amazon Live Creator僅支援iOS平台，並不支援Android，亦尚未支援中國及香港的直播。</p> <p>如同電視購物一般，商家可藉由直播描述品牌及介紹產品，不同的是，線上直播允許消費者直接與商家互動，目的是為了提升產品銷售量。大嘴巴桌遊Watch Ya Mouth宣稱，亞馬遜的直播功能讓該公司的商品網頁流量增加了5倍，對銷售有極大的助益。</p> <p><a href="https://www.amazon.com/live" target="_blank">亞馬遜已替這些直播影片建立了網頁</a>，集結各種商品直播內容，商家亦可支付廣告費來宣傳直播影片，讓它觸及更多的消費者。</p> <p>美國媒體則預期它將對包括HSN及QVC等當地的電視購物頻道帶來衝擊。</p> </div></div></div>

AWS支持政府立法規範臉部辨識服務，並提出5項建議作法

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://aws.amazon.com/blogs/machine-learning/some-thoughts-on-facial-recognition-legislation/">AWS近日公開發表支持政府針對臉部辨識技術建立立法框架，同時也提出了5項建議指導方針</a>，包含使用臉部辨識技術應完全符合法規、執法使用時要經過人工審查、用於執法辨識身份時建議信心分數閥值為99%、執法機構如何使用該技術的過程也得透明化，以及在公眾場合搭配監視器使用臉部辨識技術應要給予民眾通知。</p> <p>AWS指出，過去幾個月，興起了一股臉部辨識服務必須保證公眾權利不受侵害的聲浪，也因此，AWS找來用戶、研究人員、學者和制定法規者，以及相關的專家討論如何平衡臉部辨識的優點和潛在的風險，進而發展出這5項建議指導方針。</p> <p>臉部辨識技術大幅地降低了在影片或是照片中，辨識人或物體的時間，對商業用途來說，是非常強大的工具，同時對政府部門也是一項很好的工具，可用來找失蹤人口、預防犯罪和逮補罪犯等，但是稍早之前，來自麻省理工學院的研究團隊，針對市面上5家公司的臉部辨識技術進行測試，並且指出AWS的臉部辨識技術Amazon Rekognition，存在種族和性別偏見問題，也掀起了大眾對對臉部辨識技術的擔憂，AWS隨後表示該研究具有誤導性，也說明推出該服務的兩年多來，沒有收到任何執法濫用的案例回報。</p> <p>也因為這次事件，AWS了解大眾需要明確的方針和規範，來確保該技術不會被濫用，以及自身權利不會受到損害，因此，AWS支持政府針對臉部辨識技術，建立國家立法框架，來保護公民權利，並確保政府使用臉部辨識技術是透明且公開的。</p> </div></div></div>

網頁匿蹤標準過期！蘋果宣布Safari將不再支援Do Not Track功能

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果<a href="https://developer.apple.com/documentation/safari_release_notes/safari_12_1_release_notes">宣佈</a>，Safari 12.1版將不再支援聲稱能確保用戶上網隱私的DO NOT TRACK標準。</p> <p>Safari 12.1包含於iOS 12.2、macOS 10.14.4，也可相容於macOS 10.13.6及macOS 10.12.6。根據Safari 12.1 Beta版的<a href="https://developer.apple.com/documentation/safari_release_notes/safari_12_1_release_notes">釋出公告</a>，最新版Safari將移除已過期的Do Not Track標準支援，預防它被當成數位指紋的變項。</p> <p>Do Not Track標準最早是由美國聯邦貿易委員會（FTC）提議，其實只是在用戶造訪網站時由瀏覽器傳送特定訊息給該網站，要求它不要追蹤用戶。但這項標準並沒有強制力，即使網站不遵守該訊息也不會受罰，因此大部份網站皆不理會Do Not Track。</p> <p>雖然網站普遍不接受，但Do Not Track仍然獲得了Google Chrome、Mozilla Firefox、蘋果Safari、微軟Edge及Internet Explorer (IE)的支援。蘋果是在2011年的OS X Lion開始加入這項技術，使用者可以到瀏覽器設定中勾選「Do Not Track」，不過實際上它一點用處也沒有。相反的，當啟動這個選項還會發出特殊訊息造成用戶成為廣告主追蹤的目標。</p> <p>負責這個標準的W3C追蹤保護工作小組已於1月17日悄悄地<a href="https://www.w3.org/2011/tracking-protection/">關閉了工作小組，不再維護</a>標準內容。也因此，蘋果在12.1版發布公告中，稱此標準為過期的標準，並宣布終止支援這個名存實亡的安全標準。Safari 12.1將更強化智慧追蹤防護，不再支援具跨站追蹤能力網域的partitioned cookies，也根據用戶端cookies限制網站長期追蹤及驗證分割的cache entries。</p> <p>除了上述安全新功能外，Safari 12.1及SFSafariViewController還會在系統下載不安全網頁時顯示警告，WKWebView也將支援用戶造訪被標示為釣魚及惡意網站時自動顯示警告的功能。最後，一如本周<a href="https://www.ithome.com.tw/news/128626">稍早報導</a>，Safari 12.1/ iOS 12.2將增加動作與方向感測器設定，可限制網站內容及服務存取iPhone及iPad的加速度及陀螺儀，以確保用戶隱私。</p> </div></div></div>

德國限制臉書未經用戶同意，不得整合WhatsApp、IG及第三方網站資料

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2019/07_02_2019_Facebook.html?nn=3591568" target="_blank">德國反托拉斯監管機關Bundeskartellamt於2月7日宣布</a>，規定臉書在未經用戶同意情況下，不得整合分散在臉書多項服務包括WhatsApp、Instagram（IG）的用戶資料，或合併從第三方網站蒐集的資料，進行用戶行為分析。</p> <p>這是德國主管機關2016年3月起發動調查的結果。德國政府發現，依據臉書的使用條款，使用者除非同意臉書可蒐集用戶在臉書網站、手機app以外的資料，並將這些資料歸到其臉書帳戶下，否則不得使用其社群網站服務。也就是說，所有在臉書網站、臉書自有服務如WhatsApp、Instagram及第三方網站蒐集的資料，都會合併且歸戶到臉書用戶帳號。</p> <p>對此德國主管機關判決，WhatsApp和Instagram等臉書自有服務可繼續蒐集資料，但這些資料若要歸戶到臉書帳號下則必須取得用戶的自願同意。此外，臉書也必須取得用戶的自願同意，才能將第三方網站蒐集的資料歸戶到臉書帳號下。德國政府要求臉書必須對此提交解決草案。</p> <p><a href="https://www.bbc.com/news/technology-47146431" target="_blank">BBC報導</a>，臉書有一個月的時間可提出抗辯。</p> <p>這項判決希望解決臉書多年來透過植入在第三方合作網站的外掛程式，以進行無所不在的用戶資料蒐集行為。此外，<a href="https://www.ithome.com.tw/news/107955" target="_blank">臉書2016年也違反了當初收購WhatsApp的承</a>諾，將WhatsApp用戶電話號碼分給臉書。</p> <p>Bundeskartellamt主席Andreas Mundt指出，合併不同資料源讓臉書得以為個別用戶建構獨一無二的資料庫進而取得市場競爭力。在這項判決下，未來消費者將可防止臉書無限制蒐集並使用其資料。自願同意意謂著現行「使用臉書服務等於用戶同意臉書使用其資料」的作法不再適用。即使用戶不同意，臉書也不得拒絕他們使用旗下服務，也不得蒐集及合併不同來源的用戶資料。</p> <p>截自去年12月，臉書每日經常用戶達15.2億，每月經常用戶更高達23.2億。</p> <p>不過各國政府的質疑，並未減弱臉書為了廣告收益整合旗下服務用戶個資的腳步。<a href="https://www.ithome.com.tw/news/128560" target="_blank">臉書執行長祖克柏近期承認正計畫整合WhatsApp、Messenger和IG的底層平台</a>，使彼此各自的用戶都能和其他兩個app互相通訊。這再度引發各界對隱私、資料安全及違反GDPR的質疑。<a href="https://www.ithome.com.tw/news/128516" target="_blank">愛爾蘭政府已首先要求臉書說清楚講明白。</a></p> </div></div></div>

Google開源自動除錯工具ClusterFuzz

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://opensource.googleblog.com/2019/02/open-sourcing-clusterfuzz.html" target="_blank">Google開源內部所使用的模糊測試自動除錯工具ClusterFuzz</a>，開源碼專案的開發人員對ClusterFuzz應該不陌生，因為<a href="https://www.ithome.com.tw/news/110052" target="_blank">Google在2016年針對開源碼專案所釋出的OSS-Fuzz</a>就含有免費的ClusterFuzz服務，而此次Google則將ClusterFuzz開源給所有開發人員，不管是不是從事開源專案。</p> <p>Google說明，可自動偵測軟體臭蟲的模糊測試若要有效，它必須是持續性的、大規模的，而且可整合到軟體專案的開發程序中，於是他們就替Chrome打造了ClusterFuzz，可在逾2.5萬個核心的叢集上運作。</p> <p>Google開發ClusterFuzz的歷史已超過8年，現在ClusterFuzz已能無縫整合到開發人員的工作流程中，也讓發現或修補錯誤變得非常簡單。它具備了端對端的自動化能力，從發現臭蟲、將臭蟲歸類、產生臭蟲報告到自動結案。</p> <p>迄今ClusterFuzz曾辨識出Chrome的逾1.6萬個臭蟲，也替整合了OSS-Fuzz的各種開源碼專案找到超過1.1萬個臭蟲。</p> <p>根據過去的經驗，ClusterFuzz通常可在臭蟲出現的幾個小時之內就找到它們，一天之內就能提出並驗證修補程式。</p> <p>雖然ClusterFuzz仰賴Google Cloud Platform的部份關鍵服務，但亦允許開發人員使用自己的運算叢集。</p> </div></div></div>

蘋果修補包括FaceTime在內的4個iOS漏洞，其中兩個已遭開採

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.apple.com/en-us/HT209520" target="_blank">蘋果釋出iOS 12.1.4</a>，以修補<a href="https://www.ithome.com.tw/news/128517" target="_blank">包括FaceTime在內的4個安全漏洞</a>，不過，<a href="https://twitter.com/benhawkes/status/1093581737924259840" target="_blank">Google Project Zero團隊負責人Ben Hwakes在Twitter上警告</a>，其中的CVE-2019-7286及CVE-2019-7287兩個安全漏洞已遭到駭客開採。</p> <p>1月底在網路上瘋傳的FaceTime漏洞，會在對方未接聽FaceTime時就出現對方的聲音及影像，根據蘋果的說明，此一編號為CVE-2019-6223的漏洞，肇因於處理FaceTime群組通話時的邏輯有問題，已藉由改善狀態管理解決。</p> <p>至於被Hwakes點名的CVE-2019-7286漏洞則是藏匿在Foundation框架中，它是個記憶體毀損漏洞，允許應用程式取得擴張的權限。另一個CVE-2019-7287漏洞存在於IOKit上，它同樣是個記憶體毀損漏洞，允許應用程式以核心權限執行任意程式碼。</p> <p>Hwakes只說坊間已出現針對這兩個漏洞的攻擊行動，但不管是蘋果或Hwakes都未揭露這兩個漏洞的細節或攻擊手法。</p> <p>至於蘋果所修補的第四個漏洞為CVE-2019-7288，牽涉到FaceTime中的Live Photos功能，這是由蘋果針對FaceTime服務進行全面性稽核時所發現的漏洞，且蘋果並未說明該漏洞遭到開採的後果，只說是藉由改善FaceTime伺服器的驗證能力來修補漏洞。</p> <p>iOS 12.1.4支援iPhone 5s及之後的iPhone機種，iPad Air及之後的iPad機種，以及第六代的iPod touch。</p> </div></div></div>

Google發表鎖定低階裝置的加密模式Adiantum

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.blog.google/technology/safety-security/adiantum-encryption-safer-devices/" target="_blank">Google發表全新加密模式Adiantum</a>，可在缺乏特定硬體的狀態下有效地加密裝置上的資料，適用於低階手機與其它智慧裝置，並已<a href="https://github.com/google/adiantum" target="_blank">透過GitHub與外界分享</a>。</p> <p>現代的Android平台利用先進加密標準（Advanced Encryption Standard，AES）來提供儲存加密能力，然而，許多低階裝置並未具備可支援AES的硬體，當在這些低階裝置上執行AES時，通常會出現不太好的使用者經驗，像是程式很久才能開啟，或是運作很慢等，因此，就算Google在2015年釋出Android 6.0之後，絕大多數的裝置都已支援儲存加密，低階裝置依然被排除在外。</p> <p>Google說明，執行Android的裝置除了高階與中階機種之外，還有專在開發中國家銷售的Android Go入門級手機，或是智慧手錶與智慧電視等，為了以低價供應，裝置製造商有時會採用諸如ARM Cortex-A7等低階處理器，而該處理器即不具備對AES的硬體支援。</p> <p>為了讓所有的裝置都具備資料加密能力，Google特別設計了全新的Adiantum加密模式，在ARM Cortex-A7處理器的4096位元組磁區上，Adiantum可以每位元組10.6個周期的速度加解密，大約是AES-256-XTS檔案加密速度的5倍快。</p> <p>Google行動安全策略總監Eugene Liderman表示，未來Adiantum將允許從智慧手錶到連網醫療等各種裝置加密機密資料，如同使用者不會買一支無法傳訊的手機一樣，往後的手機也不應為了效能而犧牲使用者的安全及隱私。</p> </div></div></div>

Google BigQuery公開資料集新增6種加密貨幣

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/data-analytics/introducing-six-new-cryptocurrencies-in-bigquery-public-datasets-and-how-to-analyze-them" target="_blank">Google本周宣布</a>，BigQuery公開資料集（BigQuery Public Datasets）已在比特幣（Bitcoin）及以太幣（Ethereum）之外，新增6種加密貨幣的資料集，另也藉由一組的查詢及視圖將所有的區塊鏈資料集打造成複式簿記架構，以與傳統的金融紀錄處理系統整合或進行多鏈的元分析。</p> <p>新增的6款加密貨幣區塊鏈資料集分別是Bitcoin Cash、Dash、Dogecoin、Ethereum Classic、Litecoin及Zcash，由於當中除了Ethereum Classic，其他5款加密貨幣區塊鏈資料集與比特幣都有類似的實現，使得Google替這5種再加上比特幣建立了Bitcoin-like資料集，並替Ethereum Classic與以太幣建立Ethereum Classic資料集。</p> <p>所有的資料集都會透過Blockchain ETL擷取框架每24小時更新一次，以迎合各種Bitcoin-like加密貨幣，儘管這意謂著將比特幣區塊載入BigQuery的延遲會更久，但也代表能夠花費更少的力氣來擷取其它資料集，加速未來納入其它資料集的速度，也能導入低延遲的載入方案，以實現所有區塊鏈的即時串流交易。</p> <p>有鑑於大多數的比特幣交易都不僅是單純的雙方交易，BigQuery亦納入了更多的腳本操作碼，以針對Bitcoin-like資料集進行更深入的分析，例如現在已可辨識及報告涉及多簽名錢包的活動，這對分析諸如Zcash等強調隱私的加密貨幣而言異常重要。</p> <p>另也透過統一模式以讓Bitcoin-like資料集能共享查詢。而複式簿記（Double-entry book）則能用來理解比特幣的經濟體系，例如得知比特幣用戶為了保障自己的隱私，有超過91%的比特幣網路位址只被使用過一次。新的資料集與查詢也能用來比較不同加密貨幣的經濟體系。</p> <p><a href="https://cloud.google.com/bigquery/public-data/" target="_blank">BigQuery公開資料集存放在Google BigQuery資料倉儲及分析平台上</a>，可供外界存取並整合到應用程式中，每月的免費查詢容量為1TB。</p> </div></div></div>

FIDO2標準助攻，無密碼世代來臨：2019網路身分識別大躍進

<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/906907-feng_mian_gu_shi_-1_open-960x420_gong_zuo_qu_yu_1.jpg?itok=0c_JdJQU" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>帳號密碼外洩、盜用的資安事件日益嚴重，新的網路身分識別開放標準興起，生物特徵辨識成為解決問題的關鍵技術之一，更重要的是，新的FIDO標準在2018年納入為W3C與ITU的規範，加上各產業與國際雲端大廠的大力推動，應用浪潮將在今年開始發酵</p> </div></div></div>

提升雲端數據分析力，微軟Azure更新3大資料服務

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://azure.microsoft.com/en-us/blog/individually-great-collectively-unmatched-announcing-updates-to-3-great-azure-data-services/">微軟雲端平臺Azure最近宣布針對3項資料服務的更新</a>，包含推出正式版的資料湖儲存服務Data Lake Storage Gen2和資料完全託管服務Data Explorer，此外，還推出預覽版的混合資料整合服務Data Factory，期望提供用戶性價比高又安全的雲端資料分析服務。</p> <p>資料湖儲存服務Data Lake Storage Gen2適用於巨量資料分析，結合了Azure非結構化儲存服務Blob Storage的可擴展性、安全模型和豐富的功能於一身，再加上為分析所設計的高效能的檔案系統，還能與Hadoop分散式檔案系統相容，讓用戶選擇雲端資料湖服務時，不需要在成本和效能中取捨。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1(33).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源：微軟</span></p> <p>微軟指出，自家資料湖儲存服務其中一項主要目標，即是要與Apache生態系統相容，為了做到這點，微軟開發Azure Blob檔案系統驅動程式，該驅動程式正式成為Apache Hadoop和Spark的一部分，並且附於許多 Hadoop的商業版本中。</p> <p>為了進一步提升Data Lake Storage Gen2的分析效能，微軟用階層式命名空間，收集檔案集合並整理成階層式目錄和巢狀子目錄，此種命名空間對巨量資量分析架構相當重要，由於Hive或是Spark等工具經常將輸出寫入暫時位置，並在作業結束時重新命名該位置，若沒有階層式命名空間，重新命名所花費的時間通常會比分析流程本身更長，因此，階層式命名空間因為需要較少的運算執行，能夠加速job執行並減低成本。</p> <p>而Data Explorer是一個快速且具有高擴展性的完全託管資料分析服務，能夠針對大量的串流數據進行即時分析，在不需要修改資料結構的情況下，一秒內能夠查詢10億筆記錄，此外，該服務能與微軟雲端其他服務相連，像是Data Lake Storage、SQL Data Warehouse、Power BI。為了提升速度和簡化操作，Data Explorer由兩個分別的服務組成：Engine服務和資料管理服務，這兩項服務都在Azure中，以運算節點的叢集形式部署。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2(28).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源：微軟</span></p> <p>資料管理服務負責消化多種不同型態的原始資料，並且管理資料清理、執行失敗和backpressure等任務，還能透過自動索引和壓縮機制快速處理資料。而Engine服務則是負責處理輸入的原始資料和用戶的查詢，透過自動擴展（Auto Scaling）和資料分割（data sharding）來達到高效能的目標。</p> <p>最後，微軟這次的更新還推出混合資料整合服務Data Factory預覽版，Data Factory服務是用來將資料移動和轉換工作自動化的服務，內建超過80個與結構化、半結構化和非結構化資料源的連接器。除此之外，該服務還提供資料工作流程可視化工具Mapping Data Flow，提供用戶在設計、建置和管理資料轉換的過程有可視化的體驗，不需要學習Spark或是對分散式基礎架構有深入的了解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/3(22).png" style="width: 500px;" /></p> <p><span style="color:#696969;">圖片來源：微軟</span></p> </div></div></div>

AI化身爆米花外送員，Nvidia教導機器人如何在複雜的室內環境將貨物正確送達

<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <!--/*--><![CDATA[/* ><!--*/ p.p1 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px '.PingFang TC'} p.p2 {margin: 0.0px 0.0px 0.0px 0.0px; font: 12.0px 'Helvetica Neue'; min-height: 14.0px} span.s1 {font: 12.0px 'Helvetica Neue'} /*--><!]]>*/ </style></p> <p><a href="https://blogs.nvidia.com/blog/2019/02/08/popcorn-delivery-robot/">最近Nvidia位於美國加州聖塔克拉拉園區的辦公大樓中，多了一位人見人愛的新朋友Carter</a>，Carter是專門運送爆米花的機器人，身上還配戴著員工證，可自由進出辦公場所，員工透過Slack平臺下訂單後，Carter會帶著裝滿爆米花的紙袋，送到員工的小隔間，雖然Carter目前在Nvidia運送爆米花，但是，Carter的創造團隊是為了展示室內物流機器人的能力。</p> <p>Carter機器人是建立在Segway的機器人移動平臺，透過光學雷達和立體相機來認識周遭環境，而機器人的大腦則是採用自家專為機器人設計的AI晶片Jetson AGX Xavier。Nvidia也表示，Carter機器人很快會變成幫員工送爆米花、指引員工找停車位、收碗盤、引導參訪者到會議室等工作的小幫手。</p> <p>領導這項計畫的工程部副總裁Claire Delaunay表示，任何需要機器人的企業，都會需要將物體從A地移到B地，Nvidia期望能夠開發一個通用的機器人平臺，讓開發者做一些個人化的修改後，就能將機器人應用在不同的場景中，而運送爆米花將會是一個範例的應用程式，讓開發者客製化後打造出屬於自己的應用程式。</p> <p>Nvidia園區其中一個建築具有蜿蜒複雜的設計，就算是方向感很好的人也可能迷路，為了讓Carter機器人能夠在該環境中自由行走且不迷路，研究團隊建立了含有超過900導航點的地圖，每個辦公的小隔間和會議室都會有一個導航點。</p> </div></div></div>

【第一線機房IT專家實戰經驗】機房應變對策大公開

• #停電
• #機房停電

豐田員工必懂的資料精實管理術

• #書摘
• #工作技巧
• #工作術

在不變中求變

• #抽象化
• #高階抽象

Autodesk讓汽車3D設計也支援多人VR協作，虛擬實境、人工智慧是未來10年關鍵方向

• #Autodesk
• #VR

【2017年臺灣企業關鍵儲存應用趨勢—關鍵資料庫保護】關鍵資料庫保護手法多樣化，僅2成多企業建異地備援

• #儲存應用
• #IT預算
• #調查
• #儲存調查

趙質忠兼任台灣微軟行銷營運長：協助企業數位轉型、培育AI人才

• #台灣微軟
• #趙質忠

蘋果砸13億美元在北美建新資料中心，全面採用可再生能源

• #蘋果
• #愛荷華
• #資料中心
• #可再生能源

臺灣最大資安社群活動HITCON破千人參加，學者呼籲資安教育要從高中開始

• #HITCON
• #臺灣駭客年會
• #吳宗成
• #翁浩正

研究人員釋出iOS核心概念驗證攻擊程式

• #iOS
• #攻擊程式
• #概念驗證

FBI逮補涉及美國人事管理局被駭事件的中國惡意程式掮客Yu Pingan

• #FBI
• #美國人事管理局
• #駭客
• #中國
• #Yu Pingan

現在起用戶可同時執行不同版本的Chrome瀏覽器了!

• #google
• #Chrome
• #瀏覽器

提供224顆核心與12TB記憶體，聯想8路伺服器體型縮一半

• #Xeon Scalable
• #聯想伺服器
• #ThinkSystem

小心bit.ly或t.cn連結的詐騙訊息，惡意廣告程狂上臉書Messenger散播詐騙訊息的手法大公開

• #臉書
• #Messenger
• #詐騙訊息
• #惡意廣告程式
• #短網址

芬蘭法院判海盜灣創辦人侵權，得賠47萬美元給IFPI國際唱片基金會

• #侵權官司
• #海盜灣
• #著作權
• #Torrent
• #盜版

微軟同意中止在德國強迫升級Windows 10

• #微軟
• #Windows 10
• #消費者保護
• #強制升級

Google開始測試App Engine防火牆功能

• #google
• #GCP
• #防火牆
• #應用程式空晚
• #App Engine

【2017年臺灣企業關鍵儲存應用趨勢—虛擬化環境】I/O效能仍是最大痛點，快閃儲存成VM效能新解方

• #儲存應用
• #調查
• #儲存調查
• #虛擬化

結合遠端存取與自家安全服務，Zscaler防護網路應用程式存取

• #雲端安全服務
• #遠端安全存取
• #VPN

IFR：中國現為全球最大的工業機器人市場

• #機器人
• #工業機器人
• #工廠自動化
• #汽車業自動化

提升行動裝置細部操作，Parallels強化應用程式虛擬化平臺

• #Parallells
• #VDI
• #應用程式虛擬化

Zerodium以50萬美元懸賞行動傳訊的零時差攻擊程式

• #零時差漏洞
• #漏洞懸賞
• #遠端攻擊
• #越獄程式

資安業者揭露電子郵件攻擊手法Popemaker，從遠端就能竄改郵件內容

• #電子郵件
• #郵件攻擊
• #遠端竄改
• #Popemaker
• #惡意連結