iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 01:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【臺灣資安大會直擊】防毒軟體內建AI模型開始成為駭客攻擊目標，趨勢科技要如何反制？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客攻擊手法越來越刁鑽，現在也開始用起AI來閃躲防毒軟體的偵測。趨勢核心技術部門經理張佳彥在2019臺灣資安大會中表示，趨勢發現有駭客開始用對抗式機器學習（Adversarial Machine Learning），試圖要找出防毒軟體所用機器學習模型的弱點來騙過偵測。不過，趨勢也反其道而行，同樣也用對抗式機器學習來加強偵測。</p> <p>「什麼是Adversarial ML？Adversarial ML目的只有一個，他要想辦法騙過ML model。」張佳彥表示，在資安領域，用Adversarial ML技術的攻擊有兩種，分別是Evasion Attack以及Poisoning Attack。Evasion Attack是最常見的形式，指經過訓練後的模型本來可以準確地分類樣本（Sample），但仍然可能被惡意樣本（Malicious samples）欺騙。</p> <p>例如，下圖貓與狗的照片，就可能讓ML模型誤判。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/55455454_405322730044665_4181770959012757504_n.jpg" style="width: 600px; height: 320px;" /></p> <p>影像辨識技術的例子，還有下圖，左邊是一張熊貓照片，加上一些特別設計的雜訊後，ML模型就可能會以為這是長臂猿。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/55564434_395237537964928_6367575666732302336_n.jpg" style="width: 600px; height: 264px;" /></p> <p>在另一個測試裡，一個研究團隊製造出可以給真人配戴並欺騙過人臉辨識的眼鏡框。只要戴上眼鏡，模型就可以完全把他們判斷成不一樣的人。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/55520993_352006422081777_5527206495692783616_n.jpg" style="width: 600px; height: 334px;" /></p> <p>還有一個行之有年的例子，如垃圾郵件。「他們並不是故意要做Adversarial ML，只是他這些手法對ML model來講一樣有效。」張佳彥說明，下圖是一個垃圾郵件，實際上只有藍色框框的部分是廣告，下方填充了沒有意義的文字（Salad word），但模型可能會認為這封Email看起來很正常，造成Adversarial的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/55606151_582083112294457_373885334137602048_n.jpg" style="width: 600px; height: 400px;" /></p> <p>Evasion Attack又可以因想要攻擊的目標偵測模型是黑箱（Black box）或白箱（White box）再分成兩類。一般ML模型均以Black box為主，駭客並不知道模型裡面運用什麼技術（是Deep Learning還是Linear Regression）？只能透過模型測試結果去修正攻擊。</p> <p>例如，要讓ML model無法辨識貓狗的圖片，可以將原有照片隨機加上雜訊，再把照片拿去測試，這樣的攻擊的確可以騙過ML model，但成功機率可能比千分之一還低。除非運用基因演算法（Genetic Algorithm），不斷改變特徵（Feature）測試ML Model，再挑出成功擾動預測的樣本，反覆進行後，才可能讓Model更容易預測錯誤。</p> <p>但如果ML模型為White box，駭客可以知道模型內的演算法（Algorithm），甚至詳細至每個參數（Parameter），也就是說，駭客可以刻意設計一定能騙過模型的樣本。「這在真實世界中發生的機會相對較小，但攻擊方幾乎100%攻擊成功。」張佳彥說。</p> <p>除了Evasion Attack，另一種Adversarial ML是Poisoning Attack。在訓練模型的過程中，如果資料庫被置入標記錯誤的資料進行學習，就會導致模型判斷的正確率下降。例如在影像辨識技術的ML資料庫中，將部分狗標記成貓，將部分貓標記成狗，如此一來模型無法有效學習，表現也將不如預期。</p> <p>例如2016年微軟推出的AI少女Tay，經過不到24小時的Online Training就被網友帶壞，在TayTweets發表不合時宜的言論。因此，如果在ML資料庫內加入惡意資訊，模型的判斷或預測就會受影響。</p> <p>如何防治Adversarial ML？了解AI模型的目的是關鍵</p> <p>張佳彥在座談上詢問：「世界上有沒有一個Model不會被騙？」實際上有存在絕對不會受騙的偵測模型，但前提是模型判斷準確率要到100%，因此，在絕大多數模型均會受到攻擊的狀況下，如何防治駭客的Adversarial ML攻擊就顯得重要。</p> <p>Evasion Attack的防治分為兩種方法，一是Abuse Protection，二是Model Retrain。Abuse Protection是指，當偵測到疑似攻擊行為時就加以防治，如從測試請求的API與資料分析，先看是否有人以大量資料測試模型，或者查看測試資料是否夾雜一些真實世界不常見的內容，也可以專門訓練模型去偵測是否有人以攻擊性手法請求測試，防患於未然。</p> <p>而Model Retrain就是透過蒐集影響模型表現的樣本，重新標記後加入資料庫再訓練的方法。駭客攻擊模型的時候，會製作能有效生成Adversarial Sample的產生器（Generator），當他用這些樣本攻擊的時候，如果分類器（Classifier）的擁有者能蒐集到攻擊者的樣本，並拿來重新訓練分類器，就能對部分攻擊產生免疫。</p> <p>張佳彥也舉例，如生成對抗網路（Generative Adversarial Networks, GAN）就是運用類似的方法，用Generator Network（Generator）與Discriminator Network（Classifier）相互訓練，利用Generator生成樣本要騙過Classifier，再訓練Classifier分辨真偽，「兩邊輪流訓練後越來越厲害。」</p> <p>Model Retrain又分Reactive和Proactive，Reactive是被動的等到被攻擊再重新訓練模型；Proactive是主動以Generator和Classifier相互訓練，如GAN、紅隊藍隊的手法。但不管是Proactive或是Reactive，都只能以已知的攻擊手法拿來重新訓練，張佳彥表示：「你要窮舉這些手法以Proactive方式防禦，還是你要等攻擊發生的時候再Reactive，這取決於問題的複雜度。」</p> <p>此外，張佳彥也再舉例，如果訓練一個Classifier請他分辨男女，訓練後的模型覺得頭髮的長度是一個重要因素，但也因模型對頭髮的特徵太過敏感、反而被駭客以假髮樣本輕易欺騙，「如果遇到這樣的狀況，我們應該以假髮樣本重新訓練，還是應該把頭髮這個特徵拿掉？」他指出這個兩難。</p> <p>張佳彥認為，這取決於開發者要你的模型強健（Robustness）還是正確率高（Accuracy）、是主動（Proactive）還是被動（Reactive），是能快速的反應（Fast）還是有信心的反應（Confidence）。如上方的例子，把頭髮的因素直接拿掉後，雖然假髮的樣本不會再造成分辨困難，但模型的整體表現正確率可能因此下降。因此，防治Adversarial Attack的過程中，不同特徵（Feature）的更動都可能造成不同程度的犧牲，了解AI模型的目的才能在最大程度不影響模型表現下進行防禦。</p> </div></div></div>
2019/3/26 19:49作者翁芊儒https://www.ithome.com.tw/news/129586
【臺灣資安大會直擊】蔡一郎：企業可參考國際安全組織規範，確保營運平臺安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在永無止盡的資安競賽中，我們（企業）都不希望變成輸家，因為輸了，我們就會遭受損失。」台灣數位安全聯盟（前身為台灣雲端安全聯盟，去年11月更名）理事長蔡一郎在今年臺灣資安大會中的演講，點出了企業在資安攻防上的挑戰。</p> <p>特別是當雲端服務已成為人們日常生活中相當普遍的服務，當我們的手機連上網路，後端就可能使用各種的雲端服務。去年歐盟地區開始上路的GDPR（EU General Data Protection Regulation），號稱是最嚴厲的個資保護法，企業若違法可能被處以2000萬歐元或全球營收的4%，GDPR去年甫一上路，臉書、Google兩大科技巨頭就挨告，今年1月Google已被法國政府重罰5000萬歐元。</p> <p>蔡一郎表示，去年上路的GDPR，對歐盟人士的資料保護有比較嚴峻的條件，有一些人可能認為他們並沒有在歐洲推出服務，覺得GDPR和自己無關，事實上，現在雲端服務已模糊化國界，其他人也能使用雲端服務，就可能牽涉到歐盟的GDPR法規。</p> <p>過去企業面對資安攻擊時，例如行政部門人員收到、開啟招標文件為內容的社交攻擊郵件，會以不懂資安為由，交給資訊部門去處理，但在網網相連的情形下，「沒有人是局外人」他說，資安威脅不僅和IT及CT有關，企業的OT系統如果存在漏洞，將會導致生產製造環境受影響。</p> <p><strong>企業應對資安事件的六步驟</strong></p> <p>他分享了企業應對資安事件可採行的六個步驟：分配清楚職責、定義對風險的容忍度、事件分類、訂定明確的指示、優先移除及復原，最後從每個事件中學到教訓。</p> <p>當企業遭受資安攻擊會處在一定程度的慌亂中，如果企業事先有一套應變機制就相當重。事先分配清楚職責，對員工進行資安的教育訓練，根據企業內部營運，定義對風險的忍耐程度、預估損失，還包括對上下游供應鏈的影響性，再依事件分類，確立處理的優先順序、先後應變機制，從每個資安事件中學習到經驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03283.jpg" style="width: 600px; height: 399px;" /></p> <p>在分配清楚職責部份，蔡一郎指出包括企業營運及管理階層、利害關係人、資安應變小組，涵蓋了管理者及技術角色，評估對企業營運的影響，並掌握資料外洩的原因，是前端的應用程式有問題，或是系統有漏洞。</p> <p>企業評估對風險的忍耐程度，擬定業務持續營運計畫，才能決定資源的優先順序，對重要的系統建立備援機制，過去是建立一套備援系統，但成本高昂，現在能夠借助雲端服務彈性調配資源，甚至可做異地的雲資料傳遞。</p> <p>他表示，現今網路世界並不平靜，每天攻擊量非常大，企業應該掌握每天遭受攻擊的來源、類型、數量，去比較和前一天、上個月或去年的差異，透過SIRT進行事件的分析及調查，清查高風險帳戶，經過偵測分析及關聯調查，擬定行動方案。依資安事件的調查報告，評估事件的影響性，再決定資源的配置及處理流程，建立優先移除及復原。</p> <p>談到紅藍隊的資安思維，蔡一郎表示，兩者是相反的思維，一般而言，藍隊會以管理好資訊設備，使用供應商擬定好的政策，能不更動就不要更動，避免影響營運，但從資安的角度來看，平均三個月有新的攻擊手法、殭屍網路出現，紅隊思維以攻擊為主，利用探測工具分析企業的網路環境、開發環境、哪些資料是感興趣的，並嚐試以不正當的方式存取這些資料，若成功取得資料，代表存在弱點需要因應。</p> <p><strong>參考國際資安組織的規範做好企業資安防護</strong></p> <p>蔡一郎表示，每個企業提供的服務平臺，面對的資安威脅千變萬化，很難有一套標準的解決方案對應不同企業的需求，經過訪談去瞭解其需求，評估資安風險的高低，針對關鍵系統投入資源強化防護，次要系統以較低成本的方式保護是比較可行的。</p> <p>對於許多企業可能認為內部採取封閉的網路，自行開發程式，在網路、開發環境都高度自主，面對的資安威脅也較其他公司來得小，他認為這樣預設性的想法，往往會讓企業在面對威脅時，忽略掉應該關注的點。</p> <p>目前在國際資安組織中有三個主要組織，The Honeynet Project，主要從事誘捕等資安技術的研究、Cloud Security Alliance（CSA）關注在雲端的安全相關議，另一個是OWASP（Open Web Application Security Project），聚焦在程式開發的安全、網站營運安全等等。</p> <p>他也介紹了可供參考的國際資安組織所提出的標準或架構，例如關注雲端安全相關議題的Cloud Security Alliance（CSA），CSA對企業資安提出架構，包含企業營運支援服務（BOSS）、資訊科技支援（ITIL），不同層面的企業服務，最後是安全風險管理，涵蓋了法規面、技術面、管理面的要求。CSA也對GDPR提出合規性的指導原則，供企業合規參考。</p> <p>而專注在網路應用安全研究的非營利組織OWASP，提出OWASP Top Ten十大網站應用的安全風險，如網頁注入（Injection）、無效身份驗證(Brocken Authiticaton)、敏感資料外洩（Sensitive Data Exposure）、XML外部處理器漏洞（XML External Entities, XXE）等等。在物聯網安全風險方面也有OWASP IoT Top Ten。</p> <p>蔡一郎表示，企業面對未知型態的資安威脅與日俱增，必須審視自己的資安防禦機制是否有效，在這場資安攻防競賽中，都希望能夠擋下每次攻擊。目前雲端服務已成為企業的平臺之一，應透過技術及管理層面的實施，確保企業營運的安全。另外，跨平臺服務已是未來發展趨勢，現在已進入零信任的網路時代。OWASP Top Ten可以作為企業服務平台的安全指標，但並非唯一，並沒有全面涵蓋。</p> </div></div></div>
2019/3/26 19:50作者蘇文彬https://www.ithome.com.tw/news/129600
新種Mirai殭屍網路死灰復燃，合勤科技呼籲用戶應安裝最新韌體以確保安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Palo Alto旗下的威脅情資團隊Unit 42在2019年初，發現11款新的Mirai殭屍網路變種病毒，針對多個品牌的企業連網設備而來，裝置的種類包含像是投影機與智慧電視等，也涵蓋了D-Link、Netgear，以及合勤等品牌的路由器設備，Unit 42後來在3月18日時揭露他們的發現。對此，合勤科技在網站上發出公告，表示針對Unit 42指出受到影響的P660HN，該公司已於2017年上半提供有關的修補程式，並強調用戶只要更新韌體到最新的版本，就不會受到上述新型Mirai變種病毒影響。</p> <p>此外，合勤科技也表示，由於P660HN路由器並未在臺灣上市，因此臺灣不致有用戶遭受波及。</p> </div></div></div>
2019/3/26 19:14作者周峻佑https://www.ithome.com.tw/news/129602
Google加碼投資臺灣，明年啟用臺灣新辦公室，可容納超過4千人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google裝置與服務資深副總裁Rick Osterloh今（26日）在臺宣布，要於新北市台北遠東通訊園區Tpark打造全新Google台灣的辦公園區，同時，宣布今年將在臺擴大招募人才，增加數百名員工，而從去年3月下旬，開始推動的「Google智慧台灣計劃」屆滿一周年，Google也在會中公布計畫的成果，並揭示計畫下一階段的發展。</p> <p>新的辦公園區將作為Google在臺的研發基地，Google於去年1月，完成宏達電手機代工部門的併購案後，使臺灣成為亞洲地區Google最大的工程研發基地，到時Google的臺灣工程研發團隊將擁有一個獨立的據點，而Google團隊預計從2020年底開始，分批進駐。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E6%96%B0%E8%BE%A6%E5%85%AC%E5%9C%92%E5%8D%80%E6%A8%A1%E6%93%AC%E7%A4%BA%E6%84%8F%E5%9C%96.png" style="width: 640px; height: 317px;" /></p> <blockquote><p>Google新辦公園區模擬示意圖（圖片來源: Google）</p> </blockquote> <p>不過，Google並未說明實際的搬遷計畫，新辦公園區落成後，現位於台北101辦公室的員工，與駐點在HTC總部的工程師，是否全部都會搬到新辦公室，以及是否保留原兩個辦公據點，仍待Google日後對外揭露。</p> <p>但Rick Osterloh表示，新的辦公室為Google台灣目前雙倍的辦公空間，這除了可實現Google一直以來推行，打造舒適員工環境的理念，提供更大的共同空間，讓員工相互交流，進行協作，也將讓Google在臺找尋更多的新成員。</p> <p>Google在完成宏達電手機代工部門的併購案時，有對外揭露臺灣的員工數超過2,000名，因此新辦公室所預備的雙倍成長空間，暗示未來幾年，Google在臺團隊也將擴張到2倍的成長幅度。不過，對於今年招募人數，Google則未具體透漏，只說將比去年300人招募規模更多。<br /> 為強化AI-First的策略，Google從去年開始在臺推動智慧台灣計劃，並在臺南和臺中設立數位學程Digital Garage的課程據點，針對一般民眾和企業舉辦數位行銷課程，分別位在台南文創園區與逢甲大學。</p> <p>Google智慧台灣計劃至今剛好滿周年，Google台灣董事總經理簡立峰指出，去年所設下的目標皆順利達成，透過Google AI創新研究營，有超過5,<wbr></wbr>000人取得AI基礎知識，還有通過Google<wbr></wbr>線上免費課程資源，或臺中和臺南兩地的實體線下教室，逾5萬人參與數位行銷課<wbr></wbr>程，以及透過Google for Education與合作夥伴，共有超過9,600名教育工作者，認識了雲端的教育工具。</p> <p>今年，不管是AI，或者是數位行銷，又或是雲端訓練，<wbr></wbr>Google期望各項課程的參與人數，與去年相比，<wbr></wbr>要有2倍的成長，換句話說，Google目標吸引1萬人參與AI基礎培訓，<wbr></wbr>2萬名開發者參與雲端訓練，以及10萬人取得數為行銷技能。</p> <p>而實體數位學程也將由南往北推行，繼中部和南部兩個據點，Google亦將在今年，於新北市開設實體課程。除此之外，Google也與大專院校合作，在校內開設Google數位學程，逢甲大學和中山大學目前已把Google數位學程，納為正式的學分課程，供學生選修，以在校園內就獲得數位行銷知識。</p> <p>Google明日將另舉行一場記者會，就智慧台灣計畫的其他面向，像是社會經濟、生態系建立等項目，過去一年的成果，及未來的規畫，做更進一步的分享。</p> </div></div></div>
2019/3/26 15:56作者黃郁芸https://www.ithome.com.tw/news/129594
Apple Watch心電圖顯示功能支援地區可能即將擴充到歐洲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年 12月釋出的<a href="https://www.ithome.com.tw/news/127570" target="_blank">iOS 5.1.2</a>讓Apple Watch 4正式成為能支援心電圖（ECG）顯示的醫療器材，不過礙於法規限制，這項讓許多人更方便監測心臟狀況的功能僅限美國地區。不過這可能即將改變；蘋果3月26日釋出iOS 12.2。搭配最新版watchOS 5.2，Apple Watch 4的心電圖顯示功能可能最快本周內擴展到歐洲。</p> <p><a href="https://www.macrumors.com/2019/03/25/apple-watch-ecg-europe-watchos-5-2/" target="_blank">Macrumors報導</a>有iPhone及Apple Watch 4用戶在今天升級到最新的iOS 12.2後，iPhone Health app及Apple Watch出現心電圖（ECG）的設定畫面。不過這個功能還是無法在Apple Watch還是無法啟用，因為wathcOS 5.2還未釋出。</p> <p><a href="https://9to5mac.com/2019/03/25/apple-watch-ecg-europe/" target="_blank">9to5mac報導</a>，iOS 12.2文件在ECG功能部分的描述寫道，該功能「在執行watchOS 5.1.2及以後版本的Apple Watch 4上可使用」，以及「在非美國地區，ECG app於搭載watchOS 5.2以後版本的Apple Watch 4，搭配iOS 12.2及以後版本的iPhone 5S上可使用。」</p> <p>此外，iOS 12.2比前版加入了歐盟醫療器材認證的CE Mark（美國為FDA標章），顯示歐盟地區，加上冰島、挪威及列支敦士登等在內的歐洲經濟區等地的Apple Watch 4用戶，可能在本周watch OS 5.2釋出後，就能使用心電圖顯示功能了。</p> <p>事實上，早在前代的Apple Watch中即已加入心律不整的量測功能。2017年底史丹佛醫學院一項針對42萬人的<a href="https://www.ithome.com.tw/news/129436" target="_blank">研究顯示</a>，即使是舊版Apple Watch也能偵測到病患的心房顫動症狀，有助於預防中風或心肌梗塞。</p> </div></div></div>
2019/3/26 15:40作者林妍溱https://www.ithome.com.tw/news/129592
麥當勞買下機器學習新創以改善客戶體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國際速食連鎖品牌<a href="https://news.mcdonalds.com/news-releases/news-release-details/dynamic-yield-acquisition-release" target="_blank">麥當勞（McDonald's）本周宣布</a>已與機器學習新創Dynamic Yield簽署併購協議，打算藉由Dynamic Yield基於人工智慧的個人化及決策邏輯技術來改善麥當勞的服務品質與客戶體驗。</p> <p>根據麥當勞的規畫，未來將利用Dynamic Yield的決策技術提供更個人化的服務，除了可根據消費者上門時的時間、天氣、交通流量或品項趨勢來安排得來速（Drive Thru）的電子菜單之外，也會依據消費者當下的訂單立即推薦其它品項。</p> <p>Dynamic Yield標榜可替使用者量身打造各種服務，當你造訪該<a href="https://www.dynamicyield.com/" target="_blank">公司的官網</a>，跳出的並不是傳統的企業介紹，而是Dynamic Yield對你的描述，包括來自台灣，現在是個多雲的天氣，使用什麼樣的電腦或透過什麼樣的連結到達該站。該公司主要服務的產業別包括電子商務、金融服務、遊戲、媒體及旅遊，成立7年以來已累積逾300家全球客戶。</p> <p>麥當勞則說，買下Dynamic Yield將使該公司成為全球第一個在實體門市整合決策技術的業者。</p> <p>其實去年麥當勞就曾在美國的多個據點測試過該技術，並預計在今年將決策技術部署至全美麥當勞的得來速服務，再擴充至其它國際市場；未來也會把決策技術整合至Kiosk與行動程式中。</p> <p>縱使將成為由麥當勞百分之百持股的子公司，<a href="https://www.dynamicyield.com/blog/dynamic-yield-joins-mcdonalds/" target="_blank">未來Dynamic Yield仍將維持獨立營運</a>，繼續服務既有客戶與開闢新客戶，雙方並未公布交易價格，但外傳此一併購案價值超過3億美元。</p> </div></div></div>
2019/3/26 15:50作者陳曉莉https://www.ithome.com.tw/news/129593
太隱私？Telegram新功能允許你從雙方裝置上刪除對方寄出的訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>強調隱私與安全性的<a href="https://telegram.org/blog/unsend-privacy-emoji" target="_blank">Telegram通訊程式本周又添加了新的隱私功能</a>，包括移除了可刪除訊息的48小時限制，而且不論是寄送方或接收方都能刪除雙方的訊息，另一項匿名轉寄功能則允許使用者藏匿自己的身分，以防訊息被轉寄時遭到追蹤。</p> <p>Telegram在2年前就提供了「取消發送」（Unsend）的功能，但當時僅允許使用者在雙方的裝置上取消自己所發送的訊息，而且只能取消48小時以內所發送的訊息。</p> <p>而今Telegram把該功能擴大為「取消任何訊息的發送」（Unsend Anything），先是移除了48小時的限制，代表不管多久的歷史訊息都可被消滅，再者此一強大的取消發送功能還能取消對方所發送的訊息，而且可同時取消雙方裝置上的訊息。</p> <p>因此，假設A傳送了一個訊息給B「我們昨天說好了今天要一起吃飯」，B在收到之後，可以同時在自己的裝置上與A的裝置上將此一訊息移除，而且完全不留痕跡。</p> <p>目前有不少傳訊程式都允許使用者移除自己所傳出的訊息，或是在自己的裝置上移除對方所傳送的訊息，但這應是首次有程式允許使用者在對方裝置上移除對方所傳送的訊息。</p> <p>除了被稱為超級移除功能的Unsend Anything之外，Telegram還新增了匿名轉寄功能，只要在隱私設定中啟用「轉寄時不要連至自己帳號」，在他人轉寄你的訊息時，雖然仍會出現你的帳號名稱，但無法連結至你的帳號內容。</p> </div></div></div>
2019/3/26 16:00作者陳曉莉https://www.ithome.com.tw/news/129596
Kubernetes發布1.14版，正式支援Windows容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://kubernetes.io/blog/2019/03/25/kubernetes-1-14-release-announcement/">紅帽推出最新版的Kubernetes 1.14</a>，而這也是2019年的第一個版本，重點放在可擴展性，其增加了在Windows節點上執行容器的支援，並有數個功能轉為穩定可用版本，還有一個安全功能進入Beta測試階段。</p> <p>Kubernetes對Windows節點的支援歷經一段測試時間後，終於在這個版本穩定可用於生產階段。使用者可以使用Kubernetes來管理運作在Windows上的容器，並能夠將Windows節點加入工作節點（Worker Node）或是調度Windows容器，而Windows龐大生態系統的應用程式，現在也能夠部署在Kubernetes平臺上。企業的Windows以及Linux應用程式，可使用相同的調度工具管理工作負載，提升整體營運效率。</p> <p>最新Kubernetes版本支援Windows Server 2019的工作節點以及容器，也支援Azure-CNI、OVN-Kubernetes以及Flannel的樹狀外網路連接，並且改進了對Pod、服務類型、工作負載控制器以及指標等Linux容器相似的功能。</p> <p>除了Kubernetes開始正式支援Windows容器外，kubectl的外掛機制也進入穩定階段，相較於測試版本，kubectl外掛機制大幅簡化，現在的形式類似git外掛系統。kubectl外掛機制可以讓開發人員以獨立的二位元檔案形式，發布自定義的kubectl子命令，這將有助於擴展kubectl的高階功能。這些外掛必須有kubectl作為名稱前綴，並存在於使用者$PATH中。</p> <p>開發團隊也強化了Kustomize整合性，提供使用者Kustomize聲明性資源配置（Resource Config）編寫功能，可以透過在kubectl中以旗標或是子命令啟用。Kustomize可以讓使用者客製化Kubernetes的YAML配置，其使用Kubernetes原生概念，幫助使用者編寫以及重複使用資源配置。而為此，官方也重新改寫了kubectl文件，向使用者強調使用聲明性資源配置來管理資源。</p> <p>持久性本地端磁碟（Persistent Local Volumes）功能現在也轉為穩定版本，這讓本地端附加磁碟可以用做持久性本機磁碟。官方提到，因為效能和成本的原因，分散式檔案系統和資料庫為持久性本地端儲存的主要使用情境，對於使用雲端服務來說，本地端SSD可以比遠端磁碟獲得更好的效能，而在裸機上，除了效能之外，本地端儲存通常更為便宜。</p> <p>Process IDs（PIDs）限制功能在這版本進入Beta測試。PIDs是Linux主機的基礎資源，管理員通常需要應用一些機制，以確保使用者Pod不會因用完PIDs，而導致Runtime和kubelet主機守護行程執行受阻礙，但另一方面也要限制PIDs，以避免對節點上的工作負載造成影響。現在管理員可以預設每個Pod的PIDs數量以提供Pod對Pod的PID隔離。</p> <p>除此之外，這次更新還改進了Pod的優先等級以及搶占功能，Kubernetes調度器可以優先調度重要的Pod，在叢集資源不足的時候，調度器會優先刪除不重要的Pod，為重要的Pod提供執行資源。官方提到，Kubernetes 1.14比起之前的版本，有更多的功能進入穩定階段，而這對於使用者來說，代表著Kubernetes進入重要的支援里程碑。</p> </div></div></div>
2019/3/26 16:10作者李建興https://www.ithome.com.tw/news/129595
華碩電腦升級伺服器遭駭長達5月，恐有50萬台PC被安裝後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全廠商<a href="https://securelist.com/operation-shadowhammer/89992/" target="_blank">卡巴斯基發現，華碩電腦</a>的軟體更新伺服器遭惡意程式入侵，用來散佈後門程式，時間可能長達5個月，受害電腦可能高達50萬台。</p> <p>這項消息由<a href="https://motherboard.vice.com/en_us/article/pan9wn/hackers-hijacked-asus-software-updates-to-install-backdoors-on-thousands-of-computers" target="_blank">Motherboard於周一首先報導</a>。卡巴斯基研究人員今年一月發現到這項命名為ShadowHammer 行動（Operation ShadowHammer）的供應鏈攻擊，它發生於2018年6到11月之間，利用ASUS Live Update Utility更新過程向外散佈。ASUS Live Update預安裝於多數Asus 電腦上，主要是用於更新電腦特定元件，包括BIOS、UEFI、驅動程式和應用程式等。</p> <p>ShadowHammer攻擊背後的駭客將惡意程式更新器代管在華碩official liveupdate01s.asus[.]com及liveupdate01.asus[.]com的華碩伺服器上，由其推送後門程式到用戶電腦上。</p> <p>研究人員根據蒐集到的資訊估計，有超過5.7萬名卡巴斯基用戶已下載了被注入後門程式的ASUS Live Update。實際受害人數則無法計算，推算全球可能有超過50萬用戶受影響，分佈地區以俄羅斯、法國及德國居前三大。</p> <p>不過安全公司相信，這樁攻擊其實是以一小群人為目標的精準攻擊。攻擊者在後門程式中寫入一個MAC位址清單，以便辨識它真正的目標電腦。研究人員在200隻惡意程式中已清查600多個不重覆的MAC位址。卡巴斯基也提供了找到的<a href="https://shadowhammer.kaspersky.com" target="_blank">MAC位址清單</a>供使用者查詢。</p> <p>ShadowHammer和2017年發生的ShadowPad頗為類似，後者作者Barium以散佈Winnti後門程式聞名，去年10月遭微軟起訴。但研究人員認為ShadowHammer比起ShadowPad及<a href="https://www.ithome.com.tw/news/116984" target="_blank">同年九月感染200多萬台電腦的CCleaner</a>更高明、更複雜。而它之所以能潛伏5個月不為人知，部份原因可能是這個惡意程式更新器經由合法憑證簽章之故。</p> <p>研究人員已在今年1月31 日通報華碩，支援後者的調查。</p> </div></div></div>
2019/3/26 12:15作者林妍溱https://www.ithome.com.tw/news/129590
蘋果發表電視、遊戲，以及新聞雜誌訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在3月25日聲勢浩大地發表了一籮筐的內容訂閱服務，從集結各大影片串流服務的Apple TV channels、蘋果原創內容Apple TV+、蒐羅逾300家出版商之雜誌與報紙的Apple News+，以及遊戲訂閱服務Apple Arcade。</p> <p><span style="font-size:28px;"><strong>新版Apple TV來勢洶洶，Netflix挫咧等？</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/appletv-0326-500.png" style="width: 500px;" /></p> <p>其中，Apple TV channels與Apple TV+都屬<a href="https://www.apple.com/newsroom/2019/03/apple-unveils-apple-tv-plus-the-new-home-for-the-worlds-most-creative-storytellers/" target="_blank">於Apple TV</a>行動程式的新服務，蘋果預計於今年5月更新的Apple TV程式將成為蘋果所有電視及電影服務的大本營，其中的Apple TV channels訂閱服務將允許使用者根據需求訂閱所需的內容頻道，從HBO、SHOWTIME、CBS到Starz等，新版最大的差異在於使用者不需再連結至業者的網站訂閱，而是可直接於Apple TV中訂閱。</p> <p>Apple TV+則是蘋果的原創內容頻道，將包含蘋果自製的電視節目、影集、電影或紀錄片，預計於今年9月登場。</p> <p>全新Apple TV程式可支援逾100個國家的iPhone、iPad、Apple TV與三星智慧電視，並將於9月新增對Mac的支援，未來也會支援Amazon Fire TV、LG、Roku、Sony及VIZIO等平台，不管是 Apple TV channels或Apple TV+ 的訂閱，都能透過Family Sharing與最多6名家人分享，訂閱費率屆時才會公布。</p> <p>挾著蘋果龐大資源的Apple TV來勢洶洶，規模足以挑戰市場影片串流龍頭Netflix，不過，市場認為Netflix已奠定了厚實的基礎，並非輕易就可撼動，如同Apple Music與Spotify之間的戰爭一般。蘋果在2015年推出的Apple Music迄今仍然落後Spotify，而且雙方之間一直維持一定的差距，去年底時Spotify的全球付費用戶數為9,600萬，Apple Music則是5,000萬。</p> <p><span style="font-size:28px;"><strong>Apple News+是個物美價廉的數位書報攤</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple%20Newsplus0326-960.png" style="width: 500px;" /></p> <p><a href="https://www.apple.com/newsroom/2019/03/apple-launches-apple-news-plus-an-immersive-magazine-and-news-reading-experience/" target="_blank">Apple News+</a>則是Apple News程式中的新聞與雜誌訂閱服務，每月9.99美元的費用就能存取逾300種刊物，如Vogue、Bon Appétit、國家地理雜誌、People、ELLE、華爾街日報及洛杉磯時報等，已於本周上線。</p> <p>Apple News+同樣適用於蘋果Family Sharing的家人分享方案，可惜的是該訂閱服務目前只支援美國（9.99美元）及加拿大（12.99美元）市場，今年稍晚會再延伸至英國與澳洲市場。</p> <p><span style="font-size:28px;"><strong>玩到飽的Apple Arcade遊戲訂閱服務可在手機、電腦與電視間切換</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple%20arcade-0326-960.png" style="width: 500px;" /></p> <p>預計於今年秋天問世的<a href="https://www.apple.com/newsroom/2019/03/apple-introduces-apple-arcade-the-worlds-first-game-subscription-service-for-mobile-desktop-and-the-living-room/" target="_blank">Apple Arcade</a>是個內含上百款獨家遊戲的訂閱服務，將蒐集來自Annapurna Interactive、Bossa Studios、Cartoon Network、Finji、Giant Squid、 Klei Entertainment、Konami、LEGO、SEGA與Snowman等品牌的遊戲，每款遊戲都可離線進行，也同時支援iPhone、iPad、Mac與Apple TV等裝置，並可在不同的裝置之間切換。</p> <p>蘋果表示，App Store已是全球最成功的遊戲平台，供應了近30萬款的免費與付費遊戲，儘管其中的付費遊戲受到不少玩家的稱讚，卻依舊難以與免費遊戲競爭，打算藉由簡單且單一的Apple Arcade訂閱服務，吸引更多願意付費支持高品質遊戲的玩家，未來Apple Arcade將會定期添增新遊戲。</p> <p>蘋果資深副總裁Phil Schiller說明，Apple Arcade是全球首個可在行動裝置、桌面與客廳使用的遊戲訂閱服務，蘋果不僅親手挑選這些遊戲，也將協助開發人員降低開發成本及實現遊戲創意。</p> <p>蘋果尚未公布Apple Arcade的訂閱費用，僅說它將支援全球逾150個市場，屆時使用者將可於App Store上看到新的Apple Arcade標籤。</p> </div></div></div>
2019/3/26 12:35作者陳曉莉https://www.ithome.com.tw/news/129591
Google與JRC合作開發水資源監控平臺幫助各國制定環境政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在世界水資源日，<a href="https://www.blog.google/products/earth/new-app-map-and-monitor-worlds-freshwater-supply/">Google釋出了一個新應用程式sdg661.app</a>，能用來監測所有國家水資源的狀態，提供年度地表水資源的統計資料，平台能夠以互動式地圖呈現1984年到2018年的資料，也能可以讓使用者以CSV檔案下載全部資料。</p> <p>水相關的災害越來越嚴重，據統計全世界約有三分之二的人約40億人，在一年中，至少會歷經1個月嚴重的水資源短缺。雖然水對於人類日常生活很重要，而且也被聯合國列為永續發展目標關鍵項目之一，但是全世界水資源的實際狀況卻難以掌握，在2017年，大約200個聯合國環境成員國中，有80％的國家無法提供精確的基礎統計數字。</p> <p>因此歐洲委員會聯合研究中心（JRC）、Google以及科學期刊Nature共同合作，開發了能夠監測湖泊與河流等地表水變化的應用程式，來監控水在時間與地點上的變化。該平臺提供1984年到2018年互動式的地圖、圖表以及全資料的下載。這個平臺的資料由JRC開發繪製水圖的演算法，在Google Earth Engine上運算，在超過一萬臺機器上，總共花了超過一千萬個計算小時，計算出最終的統計資料結果。</p> <p>鹹海（下圖）的水位從1985年開始持續下降，至2017年已經減少了80％。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Water_Blog_image_2.gif" style="width: 500px;" /></p> <p>這個新的水資源應用目的是要提供水資源資料，給予聯合國環境成員國更易管理的水體地圖以及表格，各國可以互相比較資料，並了解水資源政策帶來的影響，包括水壩建立、河流改道以及灌溉實作等對於水體的改變。原本埃及托什卡湖（下圖）的湖水，是從納賽爾湖轉移過去的，目的是要灌溉沙漠地區的作物，但是後來這項計畫遭到廢止，因此整個湖泊變乾涸了。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Toshka_Lakes_.gif" style="width: 500px;" /></p> <p>由於各國在監控水域方面的能力差異很大，擁有大量資源的國家能將這項結果與既存的資源結合，在未來資源決策做出更有效的分配，而對於過去從未能取得這項資訊的國家，這個平臺提供免費的且經過科學驗證的資料，可以供政府參考用於環境政策的決定上。</p> <p>Google提到，這是有史以來第一次，在全球使用一致的方法觀測水資源以及其隨著時間的變化。</p> </div></div></div>
2019/3/26 11:23作者李建興https://www.ithome.com.tw/news/129569
RedMonk熱門程式語言排行榜出爐：Kotlin首度擠進前20名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定軟體開發領域的分析業者RedMonk根據GitHub專案所使用的程式語言及Stack Overflow社群的討論程度，<a href="https://redmonk.com/sogrady/2019/03/20/language-rankings-1-19/" target="_blank">公布了今年的熱門程式語言排行榜</a>，顯示出Android平台上的開發語言Kotlin依舊快速成長，從2017年的第65名、<a href="https://redmonk.com/sogrady/2018/08/10/language-rankings-6-18/" target="_blank">2018年的第28名</a>，到今年首度擠進前20名。</p> <p>由JetBrains在2011年打造的Kotlin是個跨平台且靜態的通用型程式語言，它能與Java互動，其標準函式庫的JVM版本亦仰賴Java Class Library，且在2017年5月正式被Google納入Android Studio，成為Android平台上的官方支援語言之一，Google去年甚至在GCP上發表了Kotlin專用的入口網站。</p> <p>根據StackOverflow去年的調查，Kotlin已成為開發人員第二喜歡的程式語言，僅次於Rust。而Google去年10月的統計則顯示，Google Play上前1,000名Android程式中，有27%是以Kotlin撰寫，而且開發人員對Kotlin的滿意度高達97%。</p> <p>開發人員對Kotlin讚譽有加之處包括它簡單又強大、比Java安全、能與Android Studio無縫整合、Jetbrains及Google持續改善Kotlin、受到許多知名開發商的採用，以及可支援任何基於JVM的裝置等，也有些人認為它是Android平台上最有機會取代Java的語言。</p> <p>目前Kotlin在RedMonk排行榜上位居第20名，是該排行榜進步最快的程式語言，其它上榜的依序是JavaScript、Java、Python、PHP、C#、C++、CSS、Ruby、C、Objective-C、Swift、TypeScript、Scala、Shell、Go、R、PowerShell、Perl與Haskell。</p> <p>其中，TypeScript也從16名上升到12名，Go與R雙雙下滑一名。此外，包括Clojure、Groovy及Scala等其它基於JVM的程式語言就不像Kotlin這麼順利了，Clojure、Groovy分別跌落3個名次共處24名，下滑一個名次的Scala則佔據第13名。</p> </div></div></div>
2019/3/26 11:35作者陳曉莉https://www.ithome.com.tw/news/129587
V8 7.4支援JIT-less模式，不需要可執行記憶體也能執行JavaScript
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://v8.dev/blog/v8-release-74">V8引擎團隊釋出最新版7.4</a>，這個版本支援JIT-less模式，讓JavaScript不需要可執行記憶體也能執行，同時還改善了函式呼叫的效率，也增加記憶體使用效率。V8引擎每六個月釋出一個V8新版本，而這個最新的V8 7.4將會在幾個星期內部署到Chrome 74穩定版中。</p> <p>V8 7.4現在支援在Runtime的時候，執行JavaScript不需要使用可執行的記憶體。開發團隊提到，由於在部分平臺像是iOS、智慧電視以及遊戲機臺，禁止非特權應用程式寫入存取可執行的記憶體，因此到現在為止，這些平臺都無法使用V8引擎，而V8新的JIT-less模式解決了這個問題，當使用jitless標籤啟動V8時，V8可以在沒有任何可執行記憶體分配下執行，V8引擎團隊還提到，禁止寫入可執行記憶體，能夠減少應用程式的可攻擊面。</p> <p>這個新版本也從各方面改善了執行效能，包括加速參數不相符時的函式呼叫，而解析器的效能也提高了。在JavaScript中呼叫函式的時候，傳遞少或是多過宣告的形式參數是有效的語法，在V8是透過參數適應技術達成這樣的功能，但是參數適應技術卻會犧牲效能，而且會經常性的在前端以及中介框架發生。</p> <p>在改進之後，現在引擎於部分情況下，能夠知道參數適應技術並非必要，也就是被呼叫的函式處在嚴格模式不使用參數，系統無法觀察實際參數的時候，而在這種情況下，V8現在會完全跳過參數適應技術，將呼叫成本降低60％。</p> <p>而在Chrome中，較大的腳本是以串流的方式在Ｗorker執行緒中，邊下載邊解析，在V8 7.4版本，原始來源串流使用了客製化UTF-8解碼，可以加速整體解碼工作，使得串流解析快了8％。另外，V8引擎團隊還在預解析器中，解決了屬性名稱重複的臭蟲，可以讓串流解析器效能提高10.5％，同時也能改進非串流解析腳本的時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/parser-performance%402x.jpg" style="width: 500px;" /></p> <p>除此之外，新版V8引擎還改進了記憶體使用效率，開發團隊提到，JavaScript原始碼編譯的位元組碼很占空間，約占據V8堆（Heap）空間15％，但是其中有許多函示只在初始化期間才會用到，或是編譯後被使用的機率很低。為了減少V8記憶體使用，這些函式的位元組碼會被標上年齡，並在執行的時候將年齡重置為零，因此當函式年齡超過閾值，在垃圾收集器執行時該位元組碼就可能被清除。</p> <p>使用了這個新的位元組碼回收演算法後，V8堆記憶體使用量明顯下降5到15％，而且也不會降低效能，或是明顯增加編譯JavaScript程式碼所花費的CPU時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_FireShot%20Capture%20216%20-%20V8%20release%20v74%20%C2%B7%20V8%20-%20v8dev.png" style="width: 500px;" /></p> </div></div></div>
2019/3/26 11:47作者李建興https://www.ithome.com.tw/news/129578
MIT用胺基酸序列搭配機器學習預測複雜蛋白質結構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="http://news.mit.edu/2019/machine-learning-amino-acids-protein-function-0322">來自麻省理工學院的研究團隊近來透過機器學習技術，打造利用胺基酸鏈段預測蛋白質結構的模型</a>，也就是能夠理解個別胺基酸鏈段如何決定蛋白質功能，對於生物相關研究、藥物開發、蛋白質設計和測試都是一大進展，未來，該機器學習模型能夠讓研究人員更專注於修改特定胺基酸片段，改善蛋白質工程。</p> <p>蛋白質是由胺基酸分子線性鏈結而成，個別胺基酸分子透過肽鍵連接，根據鏈結中的物理相互作用和序列，折疊成相當複雜的3D結構，而這些不同的結構決定了蛋白質在生物學上的功能，因此，了解蛋白質的3D結構對於預測蛋白質對特定藥物的反應是有價值的。</p> <p>過去數十年來的研究，主要都是用多種成像技術來研究蛋白質結構，而這些研究只能了解非常小部分的蛋白質結構，近來，研究人員開始用機器學習模型根據胺基酸序列，來預測蛋白質結構，但是，由於胺基酸序列的多元性，會生成非常類似的結構，再者，也沒有足夠多的結構樣本來訓練模型。</p> <p>因此，有別於過去直接預測結構的方法，MIT研究團隊將預測蛋白結構的資料轉譯成以數值表示的向量值，為此，團隊用已知的蛋白質結構近似度，來監督機器學習模型，讓模型學習特定氨基與蛋白質功能的關係，首先，利用3D蛋白質結構當作訓練指引，來簡單地計算每個胺基酸在蛋白質序列的位置，接著，再透過計算出的位置代表值當作機器學習模型輸入資料，根據每個胺基酸鏈段來預測蛋白質功能。</p> <p>訓練過程總共使用了22,000個來自蛋白質結構資料庫SCOP的蛋白質資料，該資料庫包含數千個依照相似結構和胺基酸序列分類的蛋白質，團隊利用SCOP資料庫分類的類別，模型針對每對蛋白質，計算蛋白質結構真實相似分數，因此，每個蛋白質結構的向量會包含與其他序列相似程度的資訊，再根據該相似分數預測胺基酸序列的3D結構。最後模型會將比對預測的相似分數和SCOP真實的相似分數的結果，當作回傳到編譯器的訊號。</p> <p>同時，模型還會針對每個胺基酸序列向量預測聯繫地圖（contact map），也就是呈現出每個胺基酸在蛋白質預測結構中，與其他胺基酸之間的距離，該模型還會將預測的聯繫地圖與SCOP資料庫的聯繫地圖拿來做比較，回饋到模型中，如此一來，能夠幫助模型學習胺基酸在蛋白質結構中正確的位置，進一步更新胺基酸功能。</p> </div></div></div>
2019/3/26 11:55作者何維涓https://www.ithome.com.tw/news/129580
華碩電腦的軟體更新主機遭入侵，駭客藉由Live Update工具偷偷散布後門，恐影響上百萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣筆電大廠華碩的更新主機遭駭一事，昨晚經<a href="https://motherboard.vice.com/en_us/article/pan9wn/hackers-hijacked-asus-software-updates-to-install-backdoors-on-thousands-of-computers">國外媒體Motherboard報導</a>曝光，主要由資安業者<a href="https://securelist.com/operation-shadowhammer/89992/">卡巴斯基所發現，該公司接著也在同日揭露相關資訊</a>，並將此複雜的供應鏈攻擊命名為<a href="https://www.kaspersky.com/blog/shadow-hammer-teaser/26149/">「ShadowHammer」</a>，駭客透過偷偷入侵華碩軟體更新伺服器得方式，讓華碩幫助用戶電腦更新系統軟體時，卻也無意中安裝了包含惡意後門的更新程式。不過，至今天中午之前，華碩還沒有正式對用戶發出相關訊息與說明。</p> <p>根據卡巴斯基的說明，這起針對華碩產品的攻擊行為之所以被發現，是因為他們在今年1月使用了新的供應鏈檢測技術，進查察覺這起涉及Asus Live Update工具的攻擊活動。他們也公布了自身的統計數據，有超過5萬7千名卡巴斯基用戶，在某個時間點下載並安裝了後門版本的華碩Live Update。</p> <p>此外，Motherboard還指出另一家資安業者賽門鐵克，也確認了卡巴斯基的發現，並表示去年至少有1萬3千名賽門鐵克用戶，感染了華碩的惡意軟體更新。</p> <p>從影響範圍來看，由於華碩Live Update是大多數華碩筆電預載的應用程式，將可更新BIOS、UEFI、驅動程式與應用程式等，加上華碩是全球第五大電腦製造商。根據卡巴斯基研究人員的說法，雖然無法依據他們的數據來計算受影響的用戶數，但估計全球超過一百萬用戶受影響。</p> <p>此外，就他們的觀察，駭客攻擊的時間應是發生在2018年6月到11月間。關於長期未被發現的原因，卡巴斯基表示，由於更新程式使用的是合法的數位簽章ASUSTeK Computer Inc.，以及惡意更新程式是存放在華碩更新服務器liveupdate01s.asus.com與liveupdate01.asus.com之上，隱藏於軟體更新行為之中。</p> <p>至於華碩方面的反應如何？根據卡巴斯基研究人員的說法，他們在1月27日確認此一攻擊活動，並在1月31日已經聯繫過華碩。對此，我們也向臺灣華碩方面求證，並請他們說明處理狀況與進度，以及用戶相關因應方式，根據他們早上的說明，目前已經在調查處理中，只是中午之前還沒有得到相關回覆，官方網站上目前似乎也還沒有揭露相關訊息。</p> <p>這起事件，其實突顯了近年一再提及的供應鏈的資安問題，過去就有相關例子，像是利用微軟更新，將受駭用戶導向假冒的更新伺服器，以下載惡意軟體。而這次駭客則是直接攻破業者的更新伺服器，加上複雜的手法，使得這起事件更隱密且難以察覺。</p> </div></div></div>
2019/3/26 12:05作者羅正漢https://www.ithome.com.tw/news/129588
蘋果在美推出自有信用卡，強化安全隱私、搭Apple Pay優惠更多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在其Show Time大會上，除了推出了Apple News+及自創影音節目外，最大亮點是一如<a href="https://www.ithome.com.tw/news/128906" target="_blank">今年媒體報導</a>，<a href="https://www.apple.com/newsroom/2019/03/introducing-apple-card-a-new-kind-of-credit-card-created-by-apple/" target="_blank">推出了自有信用卡Apple Card</a>，比傳統信用卡具備更安全、免年費，以及結合Apple Pay優惠更多等優點。不過這項服務目前僅在美國提供。</p> <p>Apple Card是由蘋果與高盛證券（Goldman Sachs）及發卡組織萬事達（MasterCard）合作發行，旨在協助消費者過更健康的財務生活。Apple Card服務將內建於iPhone的Apple Wallet app中，提供Apple Pay支付及管理卡片的功能，預計今年夏天在美國發行虛擬及實體的Apple Card鈦金卡。</p> <p>蘋果強調，相較於傳統信用卡，Apple Card更簡單使用、更智慧、更多優惠，而且提供消費者更大的安全保障。首先，透過整合Apple Wallet app，Apple Card更容易使用。消費者只要在Wallet app登入，幾分鐘內即可啟用。Apple Card讓消費者一目瞭然最近的交易及帳戶結餘；它利用機器學習及Apple Maps清楚標示出店家名稱和地點，所有消費也會自動加總，以不同顏色區分「餐廳」和「飲料」等類別，它還會每周及每月結算一次。並透過蘋果自家即時通訊軟體Messages提供用戶24x7的支援服務。</p> <p>為了從傳統銀行業吸引客戶使用Apple Card及Apple Pay，蘋果打出相當優厚、名為Daily Cash的回饋優惠，它不像一般信用卡要消費者拼命刷卡積點，而是每天累積且立即可以儲值於Apple Pay。消費者若以利用Apple Card以Apple Pay戶頭支付，每次都能獲得2%的回饋，如果在Apple Store或線上App Store、直接向蘋果買東西、買Apple Services更可提高到3%。如果使用Apple Card實體鈦金卡，也有1%的回饋。此外，它還免除了年費、滯納金、刷爆信用卡、以及免海外刷卡費，利率也強調是業界最低。</p> <p>不過安全性才是Apple Card最大優點。Apple Card信用卡號碼是由iPhone產生，並儲存於手機上的Secure Element安全晶片中。相較於傳統信用卡以3 位數安全驗證值（稱為CVV碼）、消費者簽名及卡片有效期限提供身份驗證及防護，Apple Card採用一次性的動態安全碼。每次使用者要刷卡時，需輸入每次都不同的動態安全碼並經過iPhone Face ID或Touch ID的生物辨識驗證，更提高盜刷的困難度。另一項好處是，Apple Card的安全設計下，連蘋果都無法得知消費者在哪購物，買什麼、付多少錢等交易明細。</p> <p>此外，合作的高盛證券強調不會將Apple Card的購物資訊提供給行銷商或廣告主，意謂著消費者不會再收到廣告訊息或郵件。</p> </div></div></div>
2019/3/26 12:10作者林妍溱https://www.ithome.com.tw/news/129589
【iThome CIO大調查（下）】2019醫療業IT投資戰略分析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/912_feng_mian_-yi_liao_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer117"> <p>醫療業的IT主管今年責任重大！IT投資大幅增加了17%，預算翻倍成長者的比例更是高達了4.5%，成長力道高居所有產業之冠。但是，醫療業的IT投資，和其他產業很不一樣。其他產業多是因為數位轉型需求提高或因AI等新興技術，而帶動IT投資，而從CIO年度目標排名來看，醫療業CIO們今年的兩大任務是：強化資安，以及推動IT現代化。尤其將資安列入年度目標的醫療業CIO們從去年的58.3%，一口氣增加到83.3%，醫療業資安投資也幾乎是去年的4倍支出，今年相當於醫療業IT投資有12.9%用於資訊安全。</p> </div> <div id="_idContainer118"> <p>同時，今年過半醫療業者開始翻新老舊IT，邁向更現代化的新基礎架構，甚至有29.2％醫療業者要採用Open API架構，方便串接到第三方，來壯大生態系發展。有意採用區塊鏈的醫療業者也變多了，從去年的12.5%，今年一舉增加到了29.2%，幾乎變成了3倍。最值得關注的是，今年醫療業的行動應用將有大變化，37.3％的醫療業者要發展行動AI，要用AI來輔助更多醫療或醫務活動上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E5%B0%81%E9%9D%A2-%E9%86%AB%E7%99%82-600-3.png" style="width: 600px;" /></p> <p class="rteleft"><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>iThome 2019年CIO大調查問卷執行說明</strong></span></span></p> <p class="rteleft"><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有76.7％填答者是企業IT部門最高主管。</strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> </strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129350" target="_blank">【iThome 2019企業CIO大調查（上）】</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129515" target="_blank"><strong><span style="font-size: 20px;">【iThome CIO大調查（下）】2019金融業IT投資戰略分析</span></strong></a></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129516" target="_blank">【iThome CIO大調查（下）】2019服務業IT投資戰略分析</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129517" target="_blank"><strong style="font-size: 20px;">【iThome CIO大調查（下）】2019高科技製造業IT投資戰略分析</strong></a></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129518" target="_blank"><strong style="font-size: 20px;">【iThome CIO大調查（下）】2019一般製造業IT投資戰略分析</strong></a></p> </div> </div></div></div>
2019/3/26 10:00未署名https://www.ithome.com.tw/article/129519
樹莓派作業系統RaspEX Kodi釋出Build 190321強化影音體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://raspex.exton.se/?p=1126">基於Raspbian以及Kodi多媒體播放器的RaspEX Kodi釋出Build 190321版本</a>，這個版本加入了LXDE桌面，以及應用程式VLC Media Player和NetworkManager。Build 190321專為樹莓派3 Model B+打造，但作者Arne Exton表示，樹莓派3 Model B以及樹莓派2 Model B也可以使用。</p> <p>樹莓派官方作業系統Raspbian和RaspEX Kodi最大的差別是，RaspEX Kodi版本預裝了多媒體播放器Kodi，最新RaspEX Kodi的版本使用Kodi 18.1 Leia版本，還新增了Netflix、Plex與Amazon Video等實用外掛，不過，這些外掛需要數位版權管理元件Widevine才能執行，所以使用者在登入LXDE桌面時，可以使用Synaptic Package Manager安裝額外需要的套件。</p> <p>RaspEX Kodi Build 190321還新增了NetworkManager，使用者在首次啟動系統時，可以使用NetworkManager輕鬆地配置無線網路，只要點擊面板右上角的網路圖標，就能選擇想要使用的無線網路。RaspEX Kodi是基於Raspbian打造，因此也可以使用Raspbian上約3萬個套件。</p> <p>由於RaspEX Kodi使用很少的記憶體約120 MB，因此使用起來順暢且回應迅速，Arne Exton提到，RaspEX LXDE Build 181015系統非常快速，而RaspEX Kodi用起來感覺速度更快，特別是在樹莓派3 Model B+上執行，影像跟聲音的體驗會很好，也就是說使用者可以在樹莓派3 Model B+執行Netflix和YouTube，並大電視上觀看影片。</p> <p>之前的RaspEX Kodi版本原本內含開源的媒體中心OSMC，但是被OSMC創辦人Sam Nazarko指控侵權並違反GPLv2規則，為此Arne Exton表明雖然沒有侵權，不過為了避免麻煩，因此還是把OSMC從RaspEX Kodi移除，為之前釋出的RaspEX Kodi發布了幾個未包含OSMC的版本，包括最新的Build 190321也沒有使用OSMC，Arne Exton提到，雖然沒了OSMC，但是Kodi和LXDE還是可以為使用者帶來良好的聲音與影像體驗。使用者可以在SourceForge.net免費下載RaspEX Kodi Build 190321。</p> </div></div></div>
2019/3/26 11:10作者李建興https://www.ithome.com.tw/news/129564
英國將指導囚犯寫程式以協助他們重返社會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/news/coding-to-be-taught-in-prison-to-help-offenders-return-to-the-world-of-work" target="_blank">英國的文化媒體暨體育部（Department for Culture, Media and Sport，DCMS）</a>最近決定要從120萬英鎊預算中至少挪出10萬英鎊（約414萬元新台幣）予Code 4000組織，於監獄中進行程式碼教學，替囚犯培養一技之長並協助他們重返社會。</p> <p>屬於非營利組織的Code 4000企圖以教導囚犯學習市場上最需要的程式撰寫能力，以打破他們持續犯罪的惡性循環，該組織認為，有犯罪紀錄的人很難找到新工作，但具備寫程式的能力卻能提高他們在出獄之後的就業機會，此外，學習程式需要不斷地試錯（ trial and error），正巧獄中的囚犯有很多的時間來練習。</p> <p>Code 4000並非全球第一個企圖教導囚犯寫程式的組織，美國的The Last Mile專案已成功在多所美國監獄培養出許多的程式撰寫人才，Code 4000即打算將此一經驗引薦至英國。</p> <p><a href="https://www.code4000.org/en#whatwedo" target="_blank">根據Code 4000的規畫</a>，初期課程將包括基本的HTML、CSS與Javascript，再進階至Git、TDD、MVC、資料庫與全棧開發，準備培養資料分析人員、程式設計師、軟體開發人員及數位行銷人員等，成功畢業的囚犯將可參與實際的專案，最終目標是幫他們找到可成為正式開發人員的正職。</p> <p><a href="https://www.computerweekly.com/news/252459463/DCMS-announces-new-funding-for-prison-coding-skills" target="_blank">DCMS部長Margot James表示</a>，擁有了程式開發專長的囚犯可能因此獲得了足以改變他們生活的工作，不但讓他們有機會能夠回饋社區，還能推動英國的科技產業，一舉數得。</p> </div></div></div>
2019/3/26 11:13作者陳曉莉https://www.ithome.com.tw/news/129568
LINE將在臺建置網路資料中心，預計今年第三季建置完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>LINE集團財務長黃仁埈，今天（25日）特地來臺，宣布LINE在臺布局。「目前在臺灣，要傾注全力取得LINE Bank的純網銀執照，若順利取得執照，將傾盡所有專注力，推出銀行相關服務。」黃仁埈強調。</p> <p>除了統籌整個LINE集團的財務之外，黃仁埈更在去年8月接任LINE Financial Asia執行長，負責彙整亞太區金融科技發展。LINE臺灣總經理陳立人也正式宣布，LINE Bank若取得純網銀執照，將由來自集團的黃仁埈，出任LINE Bank臺灣董事長。</p> <p>為了搶下金管會釋出的純網銀執照，LINE在2018年成立LINE Financial臺灣，並與金融、電信業者共同成立LINE Bank籌備處。黃仁埈表示，LINE要借助金融業者在法律遵循、風險控制、洗錢防制的經驗，以及電信業者的大數據、資安、網路等技術，凝聚跨產業資源，營造完整的生態系，以提供創新金融服務。</p> <p>LINE財務長黃仁埈也宣布，LINE Bank臺灣，將會嚴格遵循臺灣金融相關法律與規範，將在臺建置網路資料中心（IDC），未來銀行客戶的所有資料與IT設備，通通都要落地臺灣。「臺灣的資料，只在臺灣使用。」他強調。</p> <p>LINE Bank籌備處執行長黃以孟也補充，LINE Bank籌備處會把IDC機房建置在臺灣，包括了主要的網路機房以及備援處，目前他們正在進行選商作業。黃以孟表示，預計今年第三季完成IDC機房建置，並會在租賃的場地，將系統、設備都建置進去。</p> <p>黃仁埈更提到，目前在臺要全力取得LINE Bank的純網銀執照，若順利取得執照，將傾盡所有專注力，推出銀行相關服務，等這部份成功導入市場，並穩定下來之後，才會以下階段的考量，導入LINE的其他服務。而目前，並沒有規畫在臺推出其他服務。</p> <p>即便最終沒有獲得金管會核准的純網銀執照，黃仁埈也表示，臺灣仍會是LINE集團的重要市場之一，所以不會影響LINE繼續提供用戶創新服務，會在被賦予的環境下，盡最大能力投資市場。</p> <p> </p> </div></div></div>
2019/3/25 19:44作者李靜宜https://www.ithome.com.tw/news/129579
遠傳電信新總座井琪：499之亂將加速電信業者邁向轉型之路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年中華電信發起，在國內電信市場引起震憾的「499之亂」，不僅衝擊電信業者營收，今年1月剛接任遠傳總經理職務的井琪認為，這場騷動將讓國內電信業者加速轉型發展。</p> <p>井琪原在AT&T擔任技術發展部門副總裁，在AT&T工作經歷逾23年，在遠傳董事長徐旭東及前總經理李彬延攬下，去年9月加入遠傳擔任轉型長，肩負起遠傳轉型的重要工作，去年12月董事會更通過由井琪接任李彬職務，今年1月成為新任總經理，今天（3/25）首次對媒體公開座談。</p> <p>井琪表示，臺灣電信市場在2015年開始，行動營收就開始下降，2016年到2017年降了超過3%，2017年至2018年原本預期營收下滑會少一些，但去年的499之亂，打亂了市場，去年整年平均較前一年掉了5個多百分比，實際上單看季度營收表現，Q2因為許多用戶支付違約金，違約金進帳抵消了資費調降的一部份損失，但在Q3和Q4比前一期掉了10%。</p> <p>499之亂的影響之大，她認為還會延伸到今年，因為後續換約的人不會再往高資費走。遠傳原來有很多年輕族群，很多用iPhone，這些本來屬於高資費的族群，在499帶動資費往下降之下，電信市場相信營收還會往下調整，而行動營收佔了遠傳相當大的比例，所以轉型是必需的。</p> <p>儘管499之亂讓國內電信業者元氣大傷，被外界形容為「七傷拳」，出招的中華電信自己也受傷不輕，但因為中華電信家底深厚，損傷較其他電信業者來得輕，井琪認為從正面來看，449之亂也讓電信業者體認到轉型的必要性，加快轉型的腳步。</p> <p>因此，井琪從美國回來，剛開始加入遠傳出任轉型長，遠傳5G大人物（大數據、人工智慧、物聯網）團隊都納入轉型辦公室，即使現在升任總經理，她仍然帶領轉型辦公室。</p> <p>井琪解釋遠傳今後的轉型策略，在消費市場上要超乎傳統電信業角色，不再只是賣門號及手機，和用戶間一年或兩年更新一次電信合約，而是有更多數位服務提供給消費者，成為他們智慧生活的好夥伴。</p> <p>遠傳將更加聚焦在新經濟的成長上，除了消費市場的數位服務外，在企業市場部份，雖然499之亂使得營收整體下滑，但她表示，遠傳在企業ICT合約價值比前一年成長了89%，資安服務營收也增加30多個百分比，雲端服務營收成長40多個百分比，在企業部署IoT部份，遠傳已提供全島NB-IoT網路覆蓋。這些企業服務營收目前佔了約10%，未來幾年希望將提升到2成。</p> <p>在經營管理上，「精實」是她就任後另一項著重的策略，去年第四季推動員工優退方案，被外界視為裁員的舉動，但井琪澄清「精實」並非裁員，而是在不論人事任用、差旅費用，更直接的說，是將錢花在刀口上，為公司看緊荷包。</p> <p>談到5G即將起飛，美國已有電信業者搶先推出5G服務，國內也準備在2020年釋照，井琪坦言先前投入競標4G的頻譜執照，直到今天仍未回收，若未來5G釋照，她希望主管機關能延長執照期限至20年。</p> </div></div></div>
2019/3/25 18:19作者蘇文彬https://www.ithome.com.tw/news/129575
OpenSignal：AT&T的5G E網路還比不上Verizon與T-Mobile的4G速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近美國有些AT&T的用戶發現，他們的手機不再顯示4G，而是被5G E取而代之，乍看之下像是AT&T率先提供了5G服務，然而，<a href="https://www.opensignal.com/blog/2019/03/22/quantifying-the-real-world-experience-of-5g-e" target="_blank">專門研究無線網路覆蓋率的OpenSignal指出</a>，5G E是AT&T基於既有4G網路技術的更新，並非奠基在新的5G標準上，而且它的速度甚至不如其它電信業者所提供的4G服務。</p> <p>根據AT&T的說明，5G E（5G Evolution）為AT&T邁向5G的第一步，在既有的LTE網路上提供更快的速度，最多可比標準LTE快上兩倍。</p> <p>5G E的速度只相容於較高階的手機，於是OpenSignal測量了具備高階手機的AT&T用戶所使用的5G E速度，以及同樣手機在其它電信業者的4G網路上所執行的速度。顯示出AT&T的5G E平均下載速度為28.8Mbps，但這些手機在使用T-Mobile與Verizon的4G網路時，卻分別可達到29.4與29.9Mbps的下載速度。</p> <p>這意味著AT&T用戶所體驗到的5G E是非常典型的4G速度，而非5G所承諾的大幅躍進，也建議AT&T應該改用諸如"LTE Advanced Pro"等其它名稱，才不會造成用戶或外界的混淆。</p> <p>美國真正的5G服務將在今年陸續推出，Verizon已確定要在4月於芝加哥及明尼亞波利斯推出5G超寬頻網路（5G Ultra Wideband Network），最便宜的行動5G吃到飽方案為每月85美元，比4G多出10美元。</p> </div></div></div>
2019/3/25 15:13作者陳曉莉https://www.ithome.com.tw/news/129561
間諜軟體製造商的伺服器現身公開網路，監控資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://motherboard.vice.com/en_us/article/j573k3/spyware-data-leak-pictures-audio-recordings" target="_blank">科技媒體Motherboard近日踢爆</a>，有一家間諜軟體開發商的伺服器曝露在公開網路上，伺服器上有兩個文件夾，分別存放著間諜軟體所蒐集的通話紀錄與照片，總計有超過2.5萬筆的通話內容與逾9.5萬張的照片任人取用。</p> <p>發現此一資料庫的是安全研究人員Cian Heasley，他說該資料庫至少在6周以前就允許任何人存取。奇怪的是，雖然Motherboard數周前就嘗試接洽該公司，但對方一直沒有回覆郵件，沒有回覆電話，沒有取下內容，而且伺服器依然正常運作，幾乎每天都有資料上傳。</p> <p>Motherboard決定暫緩公布業者名稱，僅說該公司的主要客群為家長，所打造的間諜軟體能夠存取手機通訊錄、簡訊、語音通訊，還能悄悄打開手機麥克風以錄製所處環境的聲音。</p> <p>有鑑於伺服器上的資料涉及隱私，因此在發現業毫無回應之後，Motherboard還企圖尋求該公司的網域名稱註冊服務供應商GoDaddy、內容代管業者Codero，甚至是美國聯邦交易委員會（FTC）的協助，當中只有GoDaddy說他們對此事無能為力，而未收到Codero或FTC的回應。</p> <p>由於伺服器上只紀錄了被監控者的通訊內容及照片，並未含有受害者或客戶的個人資料，使得Motherboard也無從通知這些被害人。</p> </div></div></div>
2019/3/25 15:34作者陳曉莉https://www.ithome.com.tw/news/129562
Beazley：遭到勒索軟體攻擊的企業中，7成為中小型企業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.beazley.com/news/2019/beazley_breach_briefing_2019.html" target="_blank">英國保險集團Beazley Group公布</a>了由該集團所經手的3,300份資料外洩意外的<a href="https://www.beazley.com/Documents/2019/beazley-breach-briefing-2019.pdf" target="_blank">分析報告</a>，指出遭駭或是惡意程式仍是造成資料外洩的主因，且遭到勒索軟體攻擊的企業中，有71%為中小型企業。</p> <p>根據該報告，去年的資料外洩事件有47%來自駭客行動或惡意程式，另有20%為意外揭露，9%由內賊所為，8%源自社交工程手法，6%是因可攜裝置，還有5%則是實體紀錄的遺失。</p> <p>而最常見的惡意程式即是勒索軟體與金融木馬。Beazley發現許多生手駭客是透過勒索軟體服務（ransomware-as-a-service，RaaS）展開攻擊，儘管駭客攻擊的對象不分大小，但向Beazley通報的企業中，卻有高達71%屬於中小型企業。</p> <p>研究人員分析，這是因為中小型企業通常把IT服務委外，再由企業員工透過遠端桌面協定（Remote Desktop Protocol，RDP）存取，駭客只要暴力破解這些公開的RDP傳輸密碼，就能植入勒索軟體，以向企業要求贖金。</p> <p>2018年遭到勒索的企業所支付的平均贖金為11.6萬美元，駭客更曾向一受害的大型企業要求高達850萬美元的贖金，幸好該大型企業已有備份而未讓駭客得逞。至於Beazley替客戶所支付的最高贖金則未超過100萬美元。</p> <p>Beazley也統計了遭到勒索的產業排行榜，由健康醫療產業以34%居冠，居次的是專業服務/金融機構的12%，零售業佔8%，教育佔7%，製造業與政府機關皆佔了6%，房地產佔了4%，飯店業則佔3%。</p> <p>Beazley建議企業應該進行良好的員工訓練，以預防員工陷入網釣攻擊的陷阱，也應定期備份以不受駭客要脅，關閉RDP或啟用多因素身分認證，因即時修補安全漏洞並部署防毒軟體。</p> </div></div></div>
2019/3/25 16:16作者陳曉莉https://www.ithome.com.tw/news/129565
Windows相容層軟體CrossOver釋出18.5，強化Windows遊戲音訊相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由CodeWeavers開發，可以讓Linux、macOS以及Chrome OS也能執行Windows應用程式的CrossOver，針對macOS以及Linux<a href="https://www.codeweavers.com/support/forums/announce/?t=24;mhl=214776;msg=214776#msg214776">釋出新版CrossOver 18.5.0</a>。CrossOver是一個Windows相容層，使用CrossOver執行Windows應用程式，並不需要在Linux、macOS以及Chrome OS上安裝Windows，也不需要重新啟動電腦切換作業系統。</p> <p>在CrossOver 18.5.0中，其使用的核心Wine專案更新到了4.0版，而且還加入了FAudio函式庫，為遊戲提供更良好的音效支援。FAudio是XAudio2的重新實作，而XAudio2是Windows中的低階音訊函式庫。官方提到，新增FAudio函式庫可以擴充CrossOver對遊戲的相容性，並解決在macOS和Linux上執行遊戲的各種音訊錯誤。</p> <p>新版CrossOver還解決了關於Office 2010啟動與授權的錯誤，包括使用者將CrossOver從17.x以及更早版本升級到CrossOver 18.x，Office 2010的啟動狀態會發生問題，部分使用者在每次啟動Office 2010時，都會發生配置失敗的錯誤。而CrossOver 18.5也在Linux上初步對OneNote 2016進行支援。</p> <p>擁有有效版權的Mac使用者，在下次啟動CrossOver時，可以升級到最新版本，而Linux使用者則可以在官網中下載新版應用程式。</p> </div></div></div>
2019/3/25 14:25作者李建興https://www.ithome.com.tw/news/129557
IoT雙周報第59期：新加坡首輛大型無人自駕公車亮相，最多能載客80人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/09~03/22精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AWS </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IoT Lab </span></strong></span></p> <p><span style="font-size:22px;"><strong>大中華區首座！亞馬遜在臺成立物聯網實驗室</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8402.jpg" style="width: 600px; height: 301px;" /></p> <p>亞馬遜近日在臺成立首間物聯網實驗室AWS IoT Lab，這也是AWS在大中華的第一座。AWS臺灣表示，該實驗室未來將與AWS在臺的合作廠商建立合格驗證的物聯網硬體和軟體解決方案，並且將提供超過165項AWS服務，如微控制器測試自動化工具AWS IoT Device Tester等，來協助企業加速完成從硬體認證到端對端IoT解決方案的應用發展、測試及部署。AWS全球副總裁及大中華區董事總經理容永康表示，該實驗室將借助AWS在臺合作夥伴的協助，加快不同產業物聯網方案設計、測試驗證與應用發展，幫助臺灣企業更快打入IoT市場。AWS IoT Lab初期已展開合作對象，包括華擎工業、光寶科技、軟領科技、威聯通、Sinomos及工研院共6家產業及學研單位。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Edge TPU晶片 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出本地AI開發板套件Coral，整合自家Edge TPU邊緣運算晶片</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(2).jpg" style="width: 600px; height: 338px;" /></p> <p>Google最近發表本地AI開發板套件Coral的公開測試版，內含開發AI裝置必要的軟、硬體及內容，以讓開發人員可於本地端的裝置上建立、訓練及執行神經網路。在Coral硬體配置上，除了做為模組系統（SoM）的Coral開發板之外，在此一開發板上還安裝Google去年發布的一個超低功耗IoT邊緣運算晶片Edge TPU，讓開發者能用更低功耗，以高度省電的方式，在邊緣運算設備或裝置上，執行已經訓練好的TensorFLow Lite機器學習模型，來進行預測之用。另外，Coral套件也能額外加裝一個500萬畫素攝影機套件，協助開發人員快速開發出自己的原型並進入生產階段。Google另外還推出一個整合Edge TPU晶片的USB加速器，可以支援包括Raspberry Pi在內的各種Linux系統。目前Coral開發板售價為149.99美元，USB加速器為74.99美元。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新加坡</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕大巴 </span></strong></span></p> <p><span style="font-size:22px;"><strong>新加坡大學展示全球首輛大型無人自駕公車，最多能載客80人</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap5(6).jpg" style="width: 600px; height: 400px;" /></p> <p>近日，新加坡南洋理工大學（NTU Singapore）與瑞典富豪巴士（Volvo Buses）公開展示全球首輛無人自駕大巴，未來將用於測試無人大巴和無人接駁車服務的可行性。這臺無人巴士是一個單層公車，它是以Volvo電動大巴改裝成自駕巴士，整輛無人大巴全長近12公尺，並配置36個座位，最多可容納80名乘客。除了配備了光達、3D攝影機和高精GPS定位等各項感測器，這輛自駕公車上還搭載一個AI大腦，可感知周遭並下達決策，以控制自駕巴士安全的在公車路線上行駛。南洋理工大學計畫先在NTU校園測試無人大巴用於學生上下學接駁，等測試一段時間沒問題，之後也將開上公路實測。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Waymo </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 光達感測器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>鎖定非自駕車應用產業，Waymo也將販售自駕車上的3D光達感測器產品</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1%20-5w_sUcvo8VZ4zUCxubJ9Q.jpg" style="width: 600px; height: 400px;" /></p> <p>隨著Waymo自駕車開始商用後，Waymo日前也宣布決定把在自駕車上用於辨識環境使用稱之為Laser Bear Honeycomb的3D光達感測技術，變成商品銷售給自駕車以外的其他產業來使用。這項3D光達感測技術是由Waymo自行開發，並已實際運用在目前商用自駕車上。Waymo強調，他們的光達感測器具備有比一般光達更高的95度垂直視角，並搭配上360度水平視角，可以讓雷射光掃描的物體輪廓細節更加完整，連樹枝上的樹葉都能清楚呈現，來替自駕車建立更豐富且詳細的環境視圖，以便讓自駕車可以隨時依據道路環境的變化，做出最佳的安全行駛判斷，防止意外事故的發生。Waymo另外還自行開發了3種不同遠距的光達感測器，來提高行車安全保障，其中最遠有效偵測距離達到300公尺，相當於3個美式足球場的距離，這些不同遠近偵測的光達感側器，企業未來也都能買得到。Waymo指出，未來將把這項技術提供給選定的合作夥伴，來做為自駕車以外的各產業應用發展的突破，例如機器人、安全與農業等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人商店 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Amazo Go </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國費城立法禁止無現金商店，Amazon Go進駐無望</strong></span></p> <p>僅管無人商店逐漸已成為全球趨勢，但也不是所有地方都能完全接受這種無現金支付方式，即使是最早風行無人商店的美國亦是如此。位於美國賓州費城，最近就立法禁止當地店家提供無現金支付的法令，理由是擔心將造成那些不懂科技或缺乏信用額度的低收入戶被邊緣化，因而決定立法管控；在今年7月之後，費城的所有商店都必須接受消費者以現金支付款項。此舉等於扼殺了Amazon無人商店Amazon Go的進駐機會。目前，亞馬遜已在美國西雅圖、芝加哥、舊金山等城市開設了10家Amazon Go實體店，但現在還沒有在費城開店的計畫。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G行動網路</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Verizon </span></strong></span></p> <p><span style="font-size:22px;"><strong>Verizon的行動5G服務4月上路，每月吃到飽費率比4G貴10美元</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/verizon5g-960(1).jpg" style="width: 600px; height: 263px;" /></p> <p>美國最大電信業Verizon日前宣布，今年4月11日將在美國芝加哥與明尼亞波利斯正式推出5G超寬頻網路服務（5G Ultra Wideband Network），之後更要擴大部署到全美超過30個城市。Verizon還率先公布行動5G費率，指出用戶依既有的3種吃到飽方案，包括Go Unlimited、Beyond Unlimited或Above Unlimited在升級到5G時，每月只要多支付10美元。其中，最便宜的每月費率將分別是85美元、95美元與105美元。不過，想要申請該服務前，用戶得先準備一臺5G手機與配件，包括可支援5G毫米波及sub-6 GHz的5G Moto Mod，以及5G手機Moto z3。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧水網 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英國電信 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英國電信BT與當地自來水公司聯手，將試用IoT技術來改善供水網路管理與優化產能</strong></span></p> <p>近來，英國最大電信商BT與當地自來水公司Northumbrian Water展開合作，開始利用IoT技術來建立智慧水網，來幫助業者用以解決各種民生用水問題，如漏水等。雙方將在位於英國東北部的桑德蘭市所屬3個不同地區供水網路安裝150個感測器，來監控自來水供給的使用情況，包括水量、水壓及水品質等，再透過BT建立的低功耗IoT傳輸網路LoRa，將數據回傳到後端進一步分析，來做為往後改善自來水廠供給管理及優化水產能的新方法。責任編輯⊙余至浩</p> <p>圖片來源／AWS、NTU Singapore、Verizon、Google</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.不敵Amazon Echo聲勢，曾紅極一時的全球首款社交機器人Jibo即將走入歷史</strong></p> <p><strong><strong><strong>2.智慧家庭製造商August發表新款智慧門鈴August View，售價230美元</strong></strong></strong></p> <p><strong><strong><strong>3.Uber自駕車車禍致死案有初步結果，亞利桑那州檢察官決定不追究Uber刑事責任</strong></strong></strong></p> <p><strong><strong><strong>4.最新Linux Kernel的5.1版正式支援樹莓派Raspberry Pi 3 Model A+開發板</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年3月</strong></strong></p> </div></div></div>
2019/3/25 13:21作者余至浩https://www.ithome.com.tw/news/129556
【臺灣資安大會直擊】網路攝影機資安認驗證的安全要求大公開，高標準助臺產品強化資安功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>物聯網的時代，連網設備安全問題不斷被強調，其中網路攝影機（IP CAM）的資安問題，是最受關注的設備之一，不論是殭屍惡意程式的攻擊，致使大量網路攝影機（IP camera）與數位影像錄影機（Digital video recorder，DVR）變成DDoS的幫凶，前兩三年甚至有臺灣業者被美國FTC控訴產品不安全，企業與消費者都因此蒙受傷害。</p> <p>為了提升臺灣製造商做好資安功能，自2017年資安產業策略會議（SRB），已經提到可採推動資安產業標準及認證制度的方式，來擴展國內外市場，而去年政府也實際推動了物聯網資安標準，期許透過標準與制度，帶動國內的資安水準，並強化本體產品的國際競爭力。</p> <p>對於制訂物聯網資安產業標準，這樣的議題往往可能被忽視，甚至有人質疑此類標章，是否只是一個低標準線的強制性標章？在本週的臺灣資安大會上，資策會資安所聯網安全檢測組組長高傳凱，特別針對目前進度最快的影像監控系統系列資安標準，揭露其詳細的安全要求與最新的發展現況。</p> <p>事實上，從影像監控系統系列資安標準框架來看，對於設備安全防護的要求，其實是以高標準的規格來制訂。</p> <p>高傳凱進一步解釋，在影像監控系統系列資安標準框架的共通要求中，共包含了五大面向，分別是實體安全、系統安全、通訊安全、身分識別與授權，以及隱私保護。因此網路攝影機、影像錄影機與網路儲存裝置都將符合這些要求，後兩者並還有應用程式安全的面向。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238456s%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p><strong>提升影像監控產品的資安要求，以高規格標準從從五大面向著手，並將成為國內相關設備商在裝置開發時的依據</strong></p> <p>在共通的五大面向中，為了要確保網路攝影機的資訊安全，也各自有不同的安全功能要求。例如，不僅是要求設備上必須建置認證、加密及完整性三大資安功能，並要檢視裝置本身是否有資安漏洞，以及具備日誌與警示的功能。換句話說，這五大安全面向將有不同的安全要求分項，來對應上述的要求。這也意謂著，國內相關設備商在裝置開發時，就可依此標準為依據。</p> <p>舉例來說，在作業系統層的系統安全中，就包含了對應認證的應用程式介面安全，對應加密的敏感性資料儲存安全，對應認證、加密及完整性的更新安全，對應資安漏洞的作業系統與網路服務安全、網路服務連接埠安全與網頁管理介面安全，以及對應記錄功能的系統日誌檔與警示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238457s%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>對於目前發展趨勢與國內發展現況，高傳凱也從目前看到的問題與經驗來簡單說明，希望讓企業更瞭解這項認驗證的要求，或是業者送驗產品時可能不清楚的地方，以及最新的規範變化。</p> <p>例如，在實體層的實體安全方面，其中的安全啟動測試分項中，是爭議較大的一處，因為這要求產品，應該要具備安全晶片，像是TPM、HSM等，使安全啟動功能得以確保。但是，這樣的要求對於現行廠商而言，難度不小，有廠商反應，他們的產品可以達到安全啟動的效果，但不是做在安全晶片。</p> <p>高傳凱表示，目前檢測項目及對應的安全等級，共畫分為三級，在安全啟動這一部分，當初他在制訂時，目標就是以最高規格為出發點，雖然因為現行推廣上的需求，一開始還沒有達到第三級的最高要求，但他認為，目前各界一致看法都是要具備硬體晶片。除非設備商可以舉出其他同方法，達到跟晶片一樣安全，並說服實驗室與驗證單位。</p> <p>此外，高傳凱表示，有廠商可能擔心其設備是PoE供電，若是網路線拔掉，就會因斷電就無法通過，他也說明將透過PoE電源供應器來輔助測試，避免導致測項不過。</p> <p>在系統安全方面，針對作業系統安全與網路服務安全測試，高傳凱說明了今年最新的變動。由於之前實驗室在測試時，遇到廠商不會給高權限的帳號來測試的狀況，如此一來測試就不夠徹底，因此今年將變得更嚴格，必須要求提供高權限帳號來測試。</p> <p>還有幾個重點，例如，在網路服務連接埠管控測試上，最常見的狀況就是擔心開啟了不知道的網路埠，因此廠商必須自我宣告所開啟的網路埠，並且必須與實驗室檢測結果一致；在韌體檔案安全測試中，他們要求加密演算法必須採用FIPS 140-2 Annex A所認可，且不可被實際解析出檔案系統目錄，或是韌體不能實驗室被拆解開，進而找出帳號密碼、金鑰、IP與URL等；他並特別提醒，在韌體更新檔之完整性及可信度測試方面，不可執行遊測，也就是一定要在實驗室的場地進行，否則報告將會失效。</p> <p>特別值得注意的是，由於實驗室檢測的要求相當多，也才處於施行初期的階段，廠商若有不得已或執行上有困難之處，他們目前也規畫有一致性會議，讓問題能夠攤開來談。同時，現在政府也有IP CAM廠商輔導的計畫，來促進與協助廠商通過認驗證，希望各業者趁此階段，讓自身產品能強化其資安功能。</p> <p><strong>預計第二季將有更多本土業者網路攝影機產品通過驗證，並期望推廣物聯網資安標章於國際</strong></p> <p>另一方面，政府在物聯網產品資安認驗證制度上，為了讓執行更具嚴謹度，將由台灣資通產業標準協會（TAICS）負責核發物聯網資安標章，以及針對實驗室及產品稽核管理。TAICS副處長黃雅琤也在大會現場，說明更多該協會與相關制度的進展。</p> <p>對於TAICS，大家或許還有些陌生，該協會是在2015年成立，關於成立的原因，黃雅琤表示，成立原因是因為經濟部為了產業出口的問題，初衷是希望臺灣也要能建立區域性標準制定組織（SDO），以整合臺灣網通業在標準與專利上的意見，並致力於國際標準組織。對於臺灣的資通訊產業而言，其實不只統通業，還包含行動通訊、網路通訊、影音服務、物聯網，以及資安等，因此TAICS協會組織下共成立了七個技術工作委員會，來處理各項不同的工作。</p> <p>黃雅琤指出，基本上，國際上已有標準的領域，他們將援引國際標準，但不見得所有國際標準都適用於臺灣，因此還是會根據國內產業情況來制訂適宜的標準。</p> <p>而在資安標準這一塊，黃雅琤更是強調其他特殊性，因為他們目前看到國際上最主要的是OWASP與UL。其中OWASP屬於聯盟，但歐美國家沒有往該聯盟傾斜，而UL是美國的公司，並不是標準制定組織。因此，他們認為這就是臺灣的機會，期望有能力自己定自己的標準。</p> <p>而台灣資通產業標準，也是仿照歐洲電信標準協會的嚴謹度，來打造自己的制訂標準平臺，並將針對臺灣適合的技術，並選定一些特定的目標，來制訂臺灣的產業標準，並跟國際上11個國際組織連結。</p> <p>對於網路攝影機的認驗證現況，會後黃雅琤也透露，原本年初將有第二家業者的產品通過，但因為有一項測試始終無法通過，因此還要等等，再加上輔導計畫時程的因素，預計第二季就會有數家業者的產品通過業者。</p> <p>同時，黃雅琤也首次對外說明了今年的主要工作目標，就是希望推廣物聯網資安標章，南向輸出到印尼、馬來西亞等智慧城市建置實施採用，並要推動IP Cam資安測試規範於歐洲電信標準協會（ETSI）出版。</p> </div></div></div>
2019/3/25 10:52作者羅正漢https://www.ithome.com.tw/news/129548
MPAA：全球線上影片訂閱數量已超越有線電視
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電影協會（Motion Picture Association of America，MPAA）<a href="https://www.mpaa.org/press/new-report-global-theatrical-and-home-entertainment-market-reached-96-8-billion-in-2018/" target="_blank">公布</a>2018年的全球戲院暨家庭娛樂市場<a href="https://www.mpaa.org/wp-content/uploads/2019/03/MPAA-THEME-Report-2018.pdf" target="_blank">（Theatrical and Home Entertainment Market Environment，THEME）報告</a>，指出該市場在去年成長了9%，達到968億美元的市場規模，其中的戲院佔了411億美元，家庭娛樂佔了557億美元。而在家庭娛樂市場上，線上影片的訂閱數量達到6.13億，首度超越有線電視的5.56億。</p> <p>MPAA所定義的線上影片涵蓋了電影、運動與電視節目。值得觀察的是，縱使線上影片的訂閱數量超越有線電視，但營收並未同步跟上。根據MPAA的統計，全球最受歡迎的家庭娛樂服務依序是線上影片（訂閱數量為6.13億）、有線電視（5.56億）、IPTV（2.x億）及衛星電視（2.x億）等。</p> <p>然而，若以營收來計，有線電視仍是營收最高的影音平台，雖然訂閱用戶減少了2%，但營收卻成長62億美元，在2018年創下1,180億美元的營收，而線上影片訂閱平台在去年的營收仍不足1,000億美元。</p> <p>根據<a href="https://www.fool.com/investing/2018/11/09/the-streaming-services-with-the-most-subscribers-a.aspx" target="_blank">The Motley Fool在去年11月的統計</a>，目前全球最受歡迎的線上影片串流平台為Netflix，訂閱人數超過1.37億人，居次的是Amazon Prime的1億人，Hulu以2,000萬訂閱用戶排名第三，基於廣告營收的免費平台Tubi TV亦有2,000萬用戶。</p> <p>有趣的是，Netflix的訂閱人數約佔全球影片訂閱數量的22.3%，但<a href="https://www.ithome.com.tw/news/128348" target="_blank">Netflix</a>去年創下160億美元的年度營收，僅佔全球影片訂閱營收的16%。</p> </div></div></div>
2019/3/25 11:30作者陳曉莉https://www.ithome.com.tw/news/129550
Google改進Android App Bundle，開發者可以按需安裝與卸載App模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google為縮小Android應用程式安裝容量，在去年的時候發布了<a href="https://android-developers.googleblog.com/2019/03/the-latest-android-app-bundle-updates.html">Android App Bundle，而現在加入了新的更新</a>，加入附加語言安裝API，同時也簡化了即時（Instant）應用程式App Bundle的發布程序，也改善了Google Play應用程式簽章提供了新的選項，除此之外，現在開發者還可以按需要卸載應用程式模組，進一步減少容量占用。</p> <p>由於Android應用程式日漸肥大，不只減少使用者安裝應用程式的慾望，還會增加應用程式被移除的機率，而且多數開發者不願為各種規格的裝置，維護各自的APK，因此用一個APK通吃所有裝置的結果，便是APK中包山包海，使用者下載的安裝檔中包含了許多用不到的檔案。因此Google提出了Android App Bundle解決方案，開發者上傳適用所有裝置的安裝內容，再由Google Play來跟據使用者的裝置，提供個別所需要的安裝檔案。</p> <p>Android App Bundle因為不只能減少應用程式容量，也簡化了發布流程，因此獲得不少開發人員的支持，目前已經有超過6萬個應用程式，使用Android App Bundle格式發布。而根據開發者的回饋，Google對Android App Bundle做出了幾點更新。</p> <p>過去當開發者以Android App Bundle作為應用程式發布格式時，Google Play只能透過裝置的區域設定，提供語言資源最佳化，當使用者在安裝應用程式之後，更改系統區域設置，則Google Play會自動下載所需的資源。而從最新的Play Core函式庫 1.4.0開始，Google推出了新的附加語言API，開發者可以在應用程式提供語言選擇器，應用程式可以請求Google Play立刻安裝需要的語言資源，讓使用者能順利開始使用。</p> <p>在Android Studio 3.3中，開發者可以在單一專案中建構同時包含一般與即時應用程式的App Bundle，但是在上傳至Google Play時，仍然必須上傳兩個單獨的App Bundle，不過這次更新後已經沒有這個限制了，開發者可以在Play控制臺上傳內含即時體驗模組的單一App Bundle，並在發布新的即時應用程式時進行選擇即可。Google表示，安裝版本以及即時版本使用相同版本的程式碼，而這將簡化發布工作流程。</p> <p>而由於開發者需要啟用Google Play應用程式簽章，才能使用Android App Bundle發布應用程式，並且獲得動態交付（Dynamic Delivery）最佳化，Google提到，根據開發者的回饋，Google修改了新應用程式的註冊流程，讓開發者能更簡單地初始化用於應用程式簽章的金鑰。開發者不需要先上傳自簽章檔案，只要上傳現有金鑰就可以了，或是選擇Google Play生成金鑰，讓用於簽署本地端App Bundle成為上傳用金鑰。</p> <p>另外，Google讓開發人員可以永久卸載應用程式初始安裝中的動態功能模組，Google提到，這項改變將能進一步縮小應用程式的容量，當使用者初次下載應用程式後，部分模組像是註冊功能將不再使用，開發者就可以設定將其卸載，即便在之後更新也不會被重新安裝，當然，當使用者再次需要使用註冊功能時，可以按需安裝回來。</p> </div></div></div>
2019/3/25 11:36作者李建興https://www.ithome.com.tw/news/129542
HMD證實Nokia 7 Plus的確把用戶資料傳到中國，放錯軟體所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/129512" target="_blank">上周芬蘭媒體報導</a>，有用戶發現，Nokia 7 Plus手機會將手機資料傳到位於中國的伺服器。Nokia 手機製造商HMD Global隨後也出面<a href="https://www.nokia.com/phones/en_int/privacy-info" target="_blank">發出聲明</a>澄清，的確有此事沒錯，但強調是出於放錯軟體所致。HMD也表示這個問題只發生在Nokia 7 Plus，且早在2月就已釋出正確版本軟體。</p> <p>芬蘭一名Nokia手機用戶二月間發現，他的Nokia 7 Plus會將手機SIM卡資料、MAC ID、IMEI碼及電話號碼等傳送到位於中國電信旗下網域的伺服器，引起渲染大波。HMD經過仔細調查後，發現是因為原本只用於中國境內販售機種的裝置啟動用戶端軟體，不慎被放到一批Nokia 7 Plus手機的軟體套件中，使這些手機的啟動資料確保誤送到第三方伺服器。</p> <p>但HMD強調這些資料從未經過任何處理，這些資料也無法用來辨識使用者身份，所以並未造成用戶身分辨識資訊外洩。HMD也強調這個問題已在今年2月發現並釋出修補軟體，將用戶端軟體改成正確的國家版本，而所有受影響的Nokia 7 Plus手機也都已接到修補好的軟體，其中幾乎所有手機都安裝了。</p> <p>此外，HMD也駁斥有別款Nokia手機也發生類似情形的報導，表示這是錯誤臆測。HMD指出，所有中國銷售機種以外的Nokia手機都是儲存在新加坡AWS的HMD雲端伺服器上，HMD蒐集到的消費者資料都依法安全儲存，並強調新加坡擁有最嚴格的隱私法，也完全符合歐洲隱私法GDPR。</p> <p>HMD也詳述該公司蒐集手機資料種類，包括啟動資料及手機診斷資訊，主要是為了啟動手機保固及改善產品使用經驗、提供用戶滿意度。</p> <p>但HMD也承認，為了遵守中國《網路安全法》，所有在中國售出的Nokia 手機，手機資料都會傳送到當地的伺服器。</p> <p>若Nokia 7 Plus用戶還是不放心，可以到手機設定的「系統」、「關於手機」下的「版本號碼」，如果為00WW_3_39B_SP03或00WW_3_22C_SP05，就表示是最新版本。使用者也可以到「系統」、「進階」、「系統更新」下選擇「檢查更新」下載最新版本軟體。</p> </div></div></div>
2019/3/25 11:45作者林妍溱https://www.ithome.com.tw/news/129551
【臺灣資安大會直擊】2020年臺灣電信5G將釋照！NCC：如何確保5G資安將是未來一大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管，臺灣5G行動網路要等到2020年釋照後，才能進入商轉階段，但各國5G網路競賽早已如火如荼開打，臺灣也不例外，各家電信業者無不加緊腳步發展自有5G技術，並展開各種5G實測。不過，去年剛接任國家通訊傳播委員會（NCC）的新任委員孫雅麗則提醒，下一代行動通訊網路5G，因為設計上採用了許多現有的企業IT技術，如網路功能軟體化、虛擬化等，使得以前在企業IT上才會存在的資安問題或安全威脅，隨著5G商用後也同樣會出現在未來5G網路上。這也是臺灣想要發展5G所要面對的一大挑戰。</p> <p>原是臺大資管系暨研究所專任教授的孫雅麗，過去在行動及網路通訊、資訊安全及惡意程式分析方面很有經驗。她在今年2019臺灣資安大會上也以5G資安為題，探討未來5G商用後可能出現的各種安全威脅與挑戰。</p> <p>不同傳統4G，孫雅麗指出，新一代行動網路5G，不只具備有超高速、低延遲反應能力的特性，更是用來發展垂直場域（Vertical Sector），如製造工廠、關鍵基礎設施等，用來促進各種嶄新服務所採用的新一代行動網路架構。</p> <p>也因此，在設計上與4G有很大不同，一來是要建立能滿足各類型需求的行動網路，所以設計上，希望這個網路能夠根據新服務自行調適，以滿足不同客群用戶的應用需求；二來，因為要同時管理許多不同網路功能或服務，所以得確保整個5G營運和管理是簡單且方便管理的。而要做到這件事，得靠擁抱網路功能軟體化技術（或稱網路功能虛擬化（Network Functions Virtualization））才有辦法實現，將自己現有的電信網路架構重新打造成為一個可程式化、多服務的新一代網路架構，「但正是因為行動網路功能走向軟體化，使用了許多現有企業IT關鍵技術，使得過去在運用IT時可能會出現的安全漏洞與威脅挑戰，未來同樣會在5G網路上出現。」孫雅麗直言。</p> <p>孫雅麗進一步說明，這裡面其中用來實現網路功能軟體化、虛擬化的一項關鍵技術，即是軟體定義網路（Software Defined Network，SDN）技術，這也是大型企業資料中心網路架構，過去會用到的一門網路虛擬化技術，近年來也被電信業拿來運用在新一代5G技術開發上，要利用SDN技術將核心網路功能，從傳統電信設備硬體中抽離，並以軟體方式在x86伺服器上來執行，來集中控管網路資源，但是，在安全管理上，她強調，只要控制器軟體在發布或部署過程中，中間某一環節控制的安全政策未落實，就可能讓駭客有可乘之機，<span class="st">藉由滲透SDN通訊網路，</span>進而控制這些軟體化的電信網路功能與服務。</p> <p>又如未來5G網路一定會用到的網路切片（ Network Slicing）技術也同樣存在風險疑慮。孫雅麗表示，因為是將單一網路切成多個虛擬網路，透過共享網路上的硬體資源，包括CPU、記憶體、儲存等，以便用於提供高度客製化與彈性的5G服務。但是，在網路資源共享過程中，一旦對於網路資料傳輸或通訊機制，沒有做好足夠的安全防護措施，等於是讓這些切片網路上資料，可以輕易被人取得或偷看光，做為不法用途的使用。</p> <p>因此，在加強5G切片網路的安全機制上，孫雅麗也以現有企業伺服器虛擬化技術來說明，當一臺伺服器以往要由多個VM（虛擬機器）共用一個實體硬體時，中間負責監控及管理的Hypervisor必須要達成3個重要保護功能，分別是效能隔離（Performance Isolation）、資安隔離（Security Isolation），以及故障隔離（Fault Isolation），「同樣地，未來5G核心網路上的所有網路切片，也都要具備這3大功能，才能確保虛擬網路的安全、穩定和可靠性是可以被保證的。」</p> <p>不僅如此，她還提到，另一個用於核心網路通訊的全新服務導向架構 Service Based Architecture（SBA），裡面也加入許多軟體化、虛擬化技術，以便能依據不同的數位服務需求或應用情境，量身打造專屬的傳輸網路服務，但是，未來針對這些不同服務之間的資料傳輸與會話管理的機密性，完整性，也都要如實做好資安保護才行。</p> <p>身為國家資安鐵三角一角，孫雅麗表示，NCC的使命，就是要建立、維護安全且可靠的通訊基礎及通訊服務，對於如何維持網路通訊安全與穩定，更是責無旁貸，甚至在去年底，還成立NCC-SC國家通訊暨網際安全中心（National Communications and Cyber Security Center），將串接包括行動通信、衛星通信、海纜通信、固定通信、DNS網域、有線電視在內六大通傳業者的網路運作狀態，來強化網路安全事件通報及應變機制。但她也坦言，將來5G商用所帶來的潛在安全風險威脅，將與4G不可同日而語，光只靠打造網路資安聯防系統還不夠，更得靠公私領域的協同合作，才能確保做為臺灣生命線的通訊基礎或服務是安全且可靠的，才有助國家發展數位創新。</p> </div></div></div>
2019/3/25 11:57作者余至浩https://www.ithome.com.tw/news/129547
Firefox 66因有造成Office 365 Powerpoint文字消失的臭蟲而暫停發送
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最新版Firefox 66在上周開始釋出10多小時後，因為出現會使微軟Office 365中的PowerPoint文字消失，Mozilla決定暫停發送。</p> <p>根據<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=1536453" target="_blank">Mozilla的臭蟲報告</a>，任何升級到Firefox 66的電腦在登入Office 365並使用PowerPoint時，會發生在文字方塊內鍵入文字後自動消失，以致於無法新增任何文字。Windows或Mac版都受到影響。</p> <p>另外，有使用者發現，除了66正式版外，該臭蟲也波及Firefox 67、68版，Firefox ESR（extended support release 60）則不受影響。</p> <p>Firefox開發人員Dennis Schubert指出，這可能是因為Powerpoint本身對免費及個人版Office 365的 Powerpoiont.officeapps.live.com，以及使用Sharepoint.com子網域的Enterprise 1版Office 365來說是很巨大的iFrame所致。</p> <p>在Mozilla發送解決該臭蟲的更新版Firefox前，Schubert也提供了暫時解法：將Firefox的偏好值由dom.keyboardevent.keypress.hack.use_legacy_keycode_and_charcode改成 powerpoint.officeapps.live.com，再重啟PowerPoint即可。</p> <p><a href="https://www.ithome.com.tw/news/129464" target="_blank">Firefox 66版</a>有多項改進，包括支援Windows Helllo免密碼登入、加入瀏覽錨點使網頁文字不會因下載的廣告和圖片影響而上下跳動。其中最大的是加入Block Autoplay的功能，防止網頁自動播放有聲影片，這項功能還優於Google Chrome。</p> </div></div></div>
2019/3/25 12:00作者林妍溱https://www.ithome.com.tw/news/129552
知名孩童追蹤App MongoDB帳號未上鎖，近24萬名用戶個資及所在地點曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2019/03/23/family-tracking-location-leak/" target="_blank">Techcrunch報導</a>知名孩童追蹤app React底層的MongoDB資料庫未設密碼，使將近23萬8000名用戶的姓名、相片等個資、即時所在位置都可能遭外人存取。</p> <p><a href="http://reactapps.com/followme.html" target="_blank">React</a>是澳洲開發商React Apps開發的同名產品，這款app以提供即時監控家中孩童、配偶或可能迷路的長者所在地點而聞名。上周GDI安全研究人員Sanyam Jain發現，React用來儲存用戶資料的雲端MongoDB資料庫未設密碼，可讓知道正確路徑的人輕易存取。研究人員發現，238,000名用戶個資已經曝險不知多久時間，因而向Techcrunch通報。</p> <p>根據分析，這些資料中每個用戶帳號下的使用者名稱、電子郵件、用戶相片及明文儲存的密碼等個資。此外還有用戶及其家人的即時所在位置。若用戶設定過地理圍柵（geo-fencing），則還會看到這些地方的座標、以及用戶設定為「家」、「公司」等名稱。</p> <p>媒體隨機抽取了其中幾位用戶後聯繫，結果證實這些資料真的可以反映出用戶及其孩童的即時地點。</p> <p>這家App廠商不僅網頁未提供公司聯絡方式，連隱私政策頁及公司登記資料中也都付之闕如，使媒體始終未能連絡上，最後僅能透過代管MongDB的微軟Azure部門聯絡。數小時後資料庫終於下架。不過資料庫門戶洞開倒底持續多久不得而知，該公司最後仍然未證實資料可能外洩一事。</p> </div></div></div>
2019/3/25 12:10作者林妍溱https://www.ithome.com.tw/news/129553
Pwn2Own：研究人員成功開採Firefox與Edge漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.zerodayinitiative.com/blog/2019/3/21/pwn2own-vancouver-2019-day-two-results" target="_blank">Pwn2Own駭客競賽</a>的第二天，有3個團隊相繼攻陷了Firefox與Microsoft Edge瀏覽器，總計揭露9個安全漏洞，抱走了27萬美元的獎金。</p> <p>其中，<a href="https://www.ithome.com.tw/news/129513" target="_blank">在第一天即成功攻擊Safari瀏覽器</a>的Fluoroacetate團隊先是鎖定Firefox瀏覽器，只要誘導使用者造訪惡意網站，即可藉由瀏覽器的即時編譯（JIT）漏洞以及Windows核心的越界寫入（Out-of-Bounds Write）漏洞取得系統的控制權，而讓Fluoroacetate獲得5萬美元的獎金。</p> <p>接著Fluoroacetate執行另一項更為艱鉅的任務，自VMware Workstation客戶端開啟Microsoft Edge以瀏覽該團隊所特製的惡意網站，目標是在底層平台執行任意程式。他們相繼利用了Edge中的類型混淆（Type Confusion）漏洞、Windows核心的競爭條件（Race Condition）漏洞，以及VMware Workstation的越界寫入漏洞成功展示了攻擊，抱走13萬美元的大獎。</p> <p>另一個參賽者Niklas Baumstark則藉由Firefox的即時編譯與邏輯錯誤漏洞執行了沙箱逃逸，在實際的應用上，相關漏洞將允許駭客於目標系統上以既有使用者的權限執行程式，獲頒4萬美元獎金。</p> <p>鎖定Edge展開攻擊的Arthur Gerkis先開採了渲染引擎的記憶體重覆釋放漏洞，再藉由邏輯錯誤漏洞繞過了Edge的沙箱保護，贏得5萬美元獎金。</p> </div></div></div>
2019/3/25 12:15作者陳曉莉https://www.ithome.com.tw/news/129554
研究人員揭露 Facebook Fizz專案DoS攻擊漏洞，獲臉書例外頒發獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名安全研究人員<a href="https://semmle.com/news/denial-service-dos-vulnerability-facebook-fizz" target="_blank">發現臉書Fizz開源TLS函式庫專案存在重大阻斷服務（Denial of Service, DoS）漏洞</a>。臉書獲得通報後也例外頒發1萬美元的抓漏獎金。</p> <p><a href="https://www.ithome.com.tw/news/125095" target="_blank">Facebook Fizz</a>是臉書2018年將其內部使用的傳輸層安全性TLS 1.3協定函式庫Fizz開源出來的專案，頗受到開發人員歡迎。臉書自稱，超過50%的網頁流量以TLS 1.3確保安全。</p> <p>安全廠商Semmle研究人員Kevin Backhouse今年2月利用「污點分析」(taint analysis)方法，以QL在該專案中發現編號為CVE-2019-3560的整數溢位漏洞，位於一段16-bit的未簽章程式碼中。研究人員發現該漏洞可被遠端駭客輕易開採，發動DoS攻擊造成Fizz無限迴圈，導致仰賴Fizz的任何基礎架構掛掉。這項漏洞因而被列為高度風險。不過基於臉書近來發生太多用戶個資外洩案例，研究人員強調，CVE-2019-3560並不會造成使用者資料遭未授權存取。</p> <p>臉書於2月間接獲研究人員通報後，也迅速修補了該漏洞。目前該漏洞已在Fizz 2019.02.25.00以後的版本中獲得修復。</p> <p>臉書的抓漏獎勵方案一般並未涵括DoS漏洞，但基於本重大安全漏洞的發現，臉書也破例頒發獎金10,000美元給這名研究人員。</p> </div></div></div>
2019/3/25 12:15作者林妍溱https://www.ithome.com.tw/news/129555
資料科學愛用程式語言Julia釋出全新偵錯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://julialang.org/blog/2019/03/debuggers">資料科學家愛用的程式語言Julia，釋出了全新功能完整的偵錯器（Debugger）</a>，可以讓開發者輕鬆地偵錯和內省（Introspect）程式碼，可以深入函式手動走訪程式碼，並檢查狀態，也能在不需要重新啟動的狀況下，以互動的方式更新和替換現有程式碼，或是設置中斷點和陷阱錯誤，幫助開發者捕捉故障發生的問題。</p> <p>官方提到，偵錯器本身就是一組各種功能集合的工具，而其核心功能則是由直譯器支援，該直譯器不只能夠執行Julia程式碼，也能以各種前端控制直譯器的執行。每個前端都有其可用的套件，Juno將偵錯器整合進IDE中，Rebugger則提供REPL文字使用者介面，而偵錯器提供傳統的命令介面。這些偵錯功能都與套件Revise無縫整合，開發者可以在同一個對話（Session）中，連續分析和修改程式碼。</p> <p>Juno為直譯器提供了豐富的使用者介面，讓開發者可以設定中斷點，並直接在原始程式碼中逐步執行。偵錯器REPL能夠在本地上下文執行任意程式碼，開發者可以在Workspace中檢查區域變數，使用巨集<a href="mailto:Juno.@run">Juno.@run</a>開始直譯開發者的程式碼，或是<a href="mailto:Juno.@enter">Juno.@enter</a>可以從第一行開始逐步進行。</p> <p>當開發者使用Atom之外的編輯器，或是透過控制臺介面在遠端對話中工作，可以使用REPL進行偵錯，REPL有兩種介面，其一是偵錯器提供類似gdb的逐步、下一步和繼續介面，另一種Rebugger則是提供IDE形式的控制臺介面。偵錯器具有一些其他介面都沒有的功能，像是調控逐步執行的精細度，以及執行生成函式的生成子等。</p> <p>而Julia這些新的偵錯功能都來自新版的JuliaInterpreter，官方提到，JuliaInterpreter是整個堆疊的關鍵，其包含評估和檢查Julia程式碼的邏輯，也能用於逐步進行程式碼評估以及中斷點的實作。JuliaInterpreter是從ASTInterpreter2套件改進而來，順應Julia 1.0的需要，加入了許多改變，在效能上也獲得了大幅度的改進，約是原本的50倍速度。</p> <p>JuliaInterpreter改進新增對中斷點的支援，官方提到，嚴格說來雖然不是直譯器功能，但卻是建構偵錯器必要的功能，並且也可以被視作直譯器控制流的一種形式，這些中斷點可以用中斷點函式和巨集設置，或在Juno、Rebugger與偵錯器中操作，或是甚至在程式碼中以巨集設置。</p> <p>官方提到，雖然直譯器的速度加快了，但是比起編譯的程式碼執行速度，仍然差距了幾個量級，他們會在幾個月內縮小這個差距，但是終究直譯程式碼仍然比編譯過的程式碼慢。</p> </div></div></div>
2019/3/25 11:14作者李建興https://www.ithome.com.tw/news/129526
【iThome CIO大調查（下）】2019一般製造業IT投資戰略分析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/912_diao_cha_-yi_ban_zhi_zao_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer113"> <p>向來IT投資保守的一般製造業，今年呈現兩極化的發展。儘管整體IT投資成長率是7.3%，看似不如去年的11%，但從分布來看，仍有2.2%一般製造業者的IT預算翻倍，成長幅度超過10%者也有33.2%。</p> </div> <div id="_idContainer114"> <p>過去7成一般製造業CIO們年度目標之一是確保IT穩定，但今年將這項工作列為目標的CIO們只有54.1％，反而是將數據分析和商業分析支援、數位轉型列入年度重點的CIO們，多了1到2成。這意味著，跨入數位轉型之路的一般製造業的CIO們更多了，不過，有意要促進業務變革的比例仍只有13.3％，遠低於其他產業。</p> <p>過去，一般製造業的IT預算多用於維運或IT基礎設施的更新，但近幾年，物聯網成了新的投資重點，今年也不例外，連續2年投資規模都相當於IT預算的一成多。不過，今年特別的是，一般製造業者開始加碼AI投資，幅度一口氣翻了4倍，達到約IT預算的8%之多。機器學習、臉部辨識、AIoT、深度學習，甚至是行動AI應用，都是一般製造業今年的AI應用焦點。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-3.png" style="width: 600px;" /></p> <p class="rteleft"><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>iThome 2019年CIO大調查問卷執行說明</strong></span></span></p> <p class="rteleft"><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有76.7％填答者是企業IT部門最高主管。</strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> </strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129350" target="_blank">【iThome 2019企業CIO大調查（上）】</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129515" target="_blank"><strong><span style="font-size: 20px;">【iThome CIO大調查（下）】2019金融業IT投資戰略分析</span></strong></a></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129516" target="_blank">【iThome CIO大調查（下）】2019服務業IT投資戰略分析</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129517" target="_blank"><strong style="font-size: 20px;">【iThome CIO大調查（下）】2019高科技製造業IT投資戰略分析</strong></a></p> </div> </div></div></div>
2019/3/25 10:00未署名https://www.ithome.com.tw/article/129518
一周大事：2019臺灣資安大會登場，蔡英文強調資安3戰略。工研院視網膜病變AI診斷技術獨步全球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>2019臺灣資安大會登場，蔡英文：強化政府資安聯防能量、培育產業及資安人才</strong></span></p> <p>由iThome主辦的2019臺灣資安大會於3月19日正式展開三天活動，總統蔡英文親自蒞臨致詞，並表示未來政府會繼續投入完備資安基礎環境、強化中央及地方聯防體驗，提升國內資安產業能量以及培育資安人才。</p> <p>iThome總編輯暨臺灣資安大會主席吳其勳表示，今年是臺灣資安大會成立的第五年，從一開始千人規模的會議，到如今來自20多個國家，超過8千人報名參加的盛況，特別是今年邀請到總統到場，給予國內資安產業鼓勵，今年資安大會也擴大為資安週，有超過250場演講，探討資安的各個面向，還有超過80家全球資安品牌，展示最新資安防禦技術，成為亞洲地區受注目的資安會議。</p> <p>今年臺灣資安大會也邀請到國際知名資安專家Bruce Schneier以及亞馬遜全球漏洞獎勵計畫兼亞馬遜日本資安長陳浩維等知名資安專家擔任主講。<a href="https://ithome.com.tw/news/129439" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>工研院領先Google一步！國產糖尿病視網膜病變AI診斷技術獨步全球</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_from_ios_2_1.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_王若樸</span></p> <p>近年來，世界各地吹起一波醫療影像AI浪潮。隨著這波風潮，工研院更在2年前，就著手打造國產糖尿病視網膜病變AI輔助診斷系統，這套系統，不僅能將視網膜病變的嚴重程度分為5級，讓醫生能依此進行恰當的治療方式，還可以標示出4種肉眼難以辨識的初期病徵位置，讓病患及早發現問題、及早治療。<a href="https://www.ithome.com.tw/news/129368" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>總統盃黑客松開跑，邀全民一起來許願</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B8%BD%E7%B5%B1%E7%9B%83%E9%BB%91%E5%AE%A2%E6%9D%BE.png" style="width: 500px;" /></p> <p>第二屆總統盃黑客松在3月17日到4月14日開放報名，這次競賽在官網設立「公民許願池」，開放民眾提出待解決的問題，鼓勵參賽的高手運用政府開放資料幫大家解決問題。<a href="https://www.ithome.com.tw/news/129381" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>2018年度十大網站攻擊技法出爐，臺灣資安專家研究再獲全球肯定，連續兩年蟬聯第一</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_2018_web_hacking_techniques_660x420_portswigger.jpg" style="width: 500px;" /></strong></span></p> <p>2018年度網站攻擊技術的前十名，已經正式公布，共有59項提名，歷經兩個月的社群投票活動，產生去年最值得關注的新研究。這項活動不僅是讓滲透測試的安全人員，可以從中獲得啟發，而網站安全人員，也能關注到最新的攻擊趨勢。值得注意的是，獲得2017年度第一的網站攻擊技術，是由臺灣的安全研究人員Orange Tsai（蔡政達）提出，更難得的是，他在2018年新的成果──「打破解析器邏輯，繞過路徑正規化並發現零時差漏洞」，再次獲得全球網站安全研究人員的青睞與肯定，達成二連霸。<a href="https://ithome.com.tw/news/129314" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GraphQL基金會與聯合開發基金會合推GraphQL開源規範標準化</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_ying_mu_kuai_zhao_2019-03-15_xia_wu_43112.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#808080;">圖片來源_ GraphQL</span></p> <p>Linux基金會旗下的GraphQL基金會要與聯合開發基金會（Joint Development Foundation）聯手，共同推動開源標準的採用，並且持續發展GraphQL規範。<a href="https://ithome.com.tw/news/129372" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Verizon的行動5G服務4月上路，每月吃到飽費率比4G貴10美元</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/verizon5g-960.jpg" style="width: 500px;" /></p> <p><span style="color:#808080;">圖片來源_ Verizon</span></p> <p>美國最大電信業者Verizon將於4月11日在芝加哥與明尼亞波利斯正式推出5G超寬頻網路（5G Ultra Wideband Network）服務，且今年就會擴大部署到全美逾30個城市，至於5G行動網路的每月費率將比既有的4G網路多上10美元。<a href="https://www.ithome.com.tw/news/129336" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>反擊Nvidia，英特爾攜手科技業者建立CXL快速互連標準</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cxl0314-960.png" style="width: 500px;" /></p> <p><span style="color:#808080;">圖片來源_ CXL Consortium</span></p> <p>在與Nvidia爭搶資料中心晶片製造商Mellanox敗下陣的英特爾（Intel），宣布與Google、思科、HPE及微軟等重量級業者共同成立一標準組織，以發展開放互連技術 Compute Express Link（CEL），並已釋出CXL 1.0規格。<a href="https://ithome.com.tw/news/129321" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Linux基金會發布全新開源孵化平臺CommunityBridge，可提供募資、資安、人才媒合三大功能</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_fireshot_capture_194_-_fueling_open_source_innovation_and_sustainability_-_communitybridge_-_communitybridgeorg.jpg" style="width: 500px;" /></p> <p>日前Linux基金會宣布為開源開發者社群建立CommunityBridge平臺，為選定的專案、成員或是組織，提供資金、安全以及人力上的協助。而且為了獎勵早期申請者，使用該平臺不只不需要支付任何費用，且Linux基金會將吸收任何平臺以及運算資源費用，直到該平臺成功募集到第一個1,000萬美元資金為止。<a href="https://www.ithome.com.tw/news/129382" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>美國官司第一勝：蘋果被判侵權，賠償高通3100萬美元</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/qualcomm-960.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_ Google地圖</span></p> <p>高通與蘋果官司在美國市場第一回合結果揭曉，美國聖地牙哥法院判決蘋果侵犯高通3項專利，需賠償3100萬美元。<a href="https://ithome.com.tw/news/129401" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Android Q首個預覽版問世，強化隱私與安全機制</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/adroidq-960.png" style="width: 500px;" /></strong></span></p> <p>Google釋出新一代Android平台Android Q的首個預覽版，包括可供所有早期採用者試用的Android Q Beta 1，以及供開發人員下載的SDK預覽版。<a href="https://ithome.com.tw/news/129334" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>基於區塊鏈技術的身分驗證方興起，強調零信任與去識別化</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/960x420zhu_tu_qu_kuai_lian_baasid.jpg" style="width: 500px;" /></p> <p>關於身分識別的資安議題，近年不斷受到各界討論，隨著集中化的帳號資料庫外洩事件頻傳、簡訊OTP驗證不夠安全等，如何因應這樣的課題，全球都在關注，而相關的技術也不斷在演進與發展。<a href="https://www.ithome.com.tw/news/129143" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟修補64個安全漏洞，當中兩個已遭開採</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314patch_tuesday-960.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_ 微軟</span></p> <p>微軟發布三月Patch Tuesday，有17個重大（Critical）漏洞，另有2個已遭到駭客開採，資安專家呼籲使用者最好立即修補。已被開採的CVE-2019-0797是由卡巴斯基實驗室在今年2月所發現的Windows本地端權限擴張漏洞，當Win32k無法適當處理記憶體中的物件時就會觸發漏洞，允許駭客於核心模式執行任意程式，包括安裝程式、變更或刪除資料，也能建立具備完整使用者權限的新帳號。<a href="https://www.ithome.com.tw/news/129323" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺灣是全球受Botnet攻擊最多的國家</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_check_pointtai_wan_wei_xie_960x420.jpg" style="width: 500px;" /></strong></span></p> <p>全球的資安威脅情勢不斷轉變，從前些年的勒索軟體的威脅，到去年上半的挖礦攻擊，現在2019年已經過了兩個月，去年一整年到現在，又有哪些新的重點值得關注呢？資安業者Check Point特別針對臺灣惡意程式攻擊企業組織的態勢，提供了他們所偵測分析的相關數據。<a href="https://www.ithome.com.tw/news/129187" target="_blank">更多內容</a></p> </div></div></div>
2019/3/24 12:00未署名https://www.ithome.com.tw/news/129467
【iThome CIO大調查（下）】2019高科技製造業IT投資戰略分析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/912_diao_cha_-gao_ke_ji_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer115"> <p>高科技製造業今年IT投資創新高，平均金額突破1億元大關，成長率更達到11%。IT投資翻倍的高科技製造業者比例也居各產業之冠，達到4.4%，也就是說，2千大企業中的高科技業者，每22家，就有1家的IT投資翻倍。</p> </div> <div id="_idContainer116"> <p>為何今年高科技製造業者今年願意大力投資IT？先從CIO年度目標來看，以推動數位轉型為目標的高科技CIO們達到38.1%，比服務業的比例還高。</p> <p>重視數據分析和商業分析的IT主管從去年的26.8%，提高到39.2%，更有2成高科技業CIO們今年首重業務變革和商業變革，他們期待IT可以在其中扮演一定的角色，而不只是旁觀或支援。也因此，對於數據分析和商業分析的重視程度也更勝往年，有四成IT主管將此項目標視為年度重要工作。</p> <p>AI是近兩年高科技製造業大力投入的重點投資，大數據分析技術的投資今年也再加碼，今年將有16.5%的高科技製造業將採用AIoT技術和深度學習技術。值得觀察的是，邊緣運算風潮也開始吹進臺灣高科技業者，今年將有11.3%的企業想要採用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%AB%98%E7%A7%91%E6%8A%80-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%AB%98%E7%A7%91%E6%8A%80-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%AB%98%E7%A7%91%E6%8A%80-600-3.png" style="width: 600px;" /></p> <p class="rteleft"><span style="color: rgb(51, 153, 255);"><span style="font-size: 22px;"><strong>iThome 2019年CIO大調查問卷執行說明</strong></span></span></p> <p class="rteleft"><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有76.7％填答者是企業IT部門最高主管。</strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span></span> </strong></span></p> <p class="rteleft"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/129350" target="_blank">【iThome 2019企業CIO大調查（上）】</a></strong></span></p> <p class="rteleft"><a href="https://www.ithome.com.tw/article/129515" target="_blank"><strong><span style="font-size: 20px;">【iThome CIO大調查（下）】2019金融業IT投資戰略分析</span></strong></a></p> <p class="rteleft"><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/129516" target="_blank">【iThome CIO大調查（下）】2019服務業IT投資戰略分析</a></strong></span></p> </div> </div></div></div>
2019/3/24 10:00未署名https://www.ithome.com.tw/article/129517
安聯先培養混合型IT數位人才，再靠AI和敏捷搶攻保險科技未來
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「保險科技的崛起，將對保險產業產生顛覆性的影響，未來也將成為各家保險公司競爭的新利器。」安聯人壽副總經理暨資訊長張維亨眼神堅定地說道。</p> <p>儘管臺灣幾年前，就開始發展金融科技，但保險科技的發展相對較慢，直到今年，金管會才決定要開始力推。不過，保險業者早就開始布局，像是安聯人壽（簡稱安聯），早從2010年開始，花了整整5年的時間，先進行壽險核心系統升級轉換。</p> <p>隨著系統完成升級轉換，臺灣正逢保險科技興起之際，尤其是行動化趨勢吹近金融圈，也促使安聯決定將行動投保、客戶服務等應用，列入未來發展重點之一。</p> <p>安聯接連展開了各項數位化專案，不僅為保險業務員開發了行動投保工具「安聯i探索」、保經代數位保險銷售工具「安聯行動王」等數位工具，藉此提升業務員銷售效率；去年更推出智能客服機器人「Allie」，要提升客戶體驗。</p> <p>「當安聯人壽內部有數位化專案的需求時，第一時間要找的就是IT。」張維亨表示，IT扮演的角色是新技術導入評估與引進。</p> <p>不過，每次遇到數位化專案的需求，安聯IT並不急著重新打造一套系統，而是先盤點後臺的核心系統的功能，檢視現有功能可支援專案哪些需求，再直接透過API串接到前臺系統。張維亨的原則就是，「核心系統現有功能，一定要拿出來再利用，不要重複開發、疊床架物，這樣才是更有效率。」</p> <p>像在智能客服Allie中所提供的保險服務，如保單貸款、基金轉換、增加保額等，都是中後臺的保險核心系統現有功能，安聯IT會來開發後臺的對外API串接機制，讓中後臺也能變成是API Ready的系統。不過，他提醒：「中後臺保險核心系統的穩定性、功能完整性，以及快速反應外部需求的敏捷性，反而成為關鍵。」張維亨點出。</p> <p>所以，張維亨也訂出了API Ready系統的五大原則，他要求，安聯人壽系統必須講究模組化、參數化、靈活性、可再利用性與可擴展性等原則。這也是安聯自行開發的自我共通標準，也有助於加快將服務或模組包成API，來提供不同的用戶端通路使用，包括了網站、App或智能客服等。不只新專案，這五項原則也是張維亨長期以來，對自家IT團隊的堅持和要求。</p> <p><span style="font-size: 28px;"><strong>敏捷已成為開發數位化專案的標準，訓練人員成為混合型人才</strong></span></p> <p>除了中、後臺的系統開發與維運，API中介機制開發之外，安聯IT另一個重要的工作是，參與專案前期規畫。張維亨說，使用單位提出數位化專案提案後，在開始進入商業分析（BA）階段時，IT就會加入討論，直到找出更明確的開發或功能需求。</p> <p>為了讓這樣跨部門合作更有效率，在安聯「敏捷已經成為重要數位化專案標準必備作法。」張維亨指出，專案開發人員是以混編的形式組成，不只前臺人員，IT的中、後臺人員都要參與，特別是與客戶服務、銷售、CS管理這類的數位專案開發。</p> <p>而安聯會將原本整套式龐大的開發需求，依照特定順序拆解成小規模或小範圍的「小包需求」，張維亨這樣形容，再針對小包需求進行開發與測試，來提升開發效率，這能讓產品更符合使用者需求，這是敏捷開發的目標。另外，也會製作大量的雛形設計（Prototype），讓開發團隊與使用單位之間溝通更順暢。不只敏捷，安聯內部還導入了設計思考（Design Thinking）方法論，改以客戶為中心，來規畫如何讓產品與服務更符合客戶需求。</p> <p>為了落實這些方法論，張維亨特別點出團隊的能力是關鍵，「在數位化專案中的專案經理、商業分析與IT開發團隊的人才，都要具備敏捷、Design Thinking的概念，在團隊合作時，才能更有效率。」而且，他強調，數位化需要混合型人才，商業分析者得懂一點IT，而IT略懂商業分析，讓雙方隨著專案一起成長，才能讓他們鍛鍊出數位化混合型人才所需的能力。</p> <p>不過，「改變人很難，」張維亨的策略是「先做再說，不對就調整，而且速度一定要夠快。他會將數位化專案直接指派給IT人員，藉此訓練敏捷作法，嘗試之後IT也會體會到其中的好處。」</p> <p><span style="font-size: 28px;"><strong>發展ML、DL與大數據分析的挑戰與解方</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E4%B8%AD%E9%96%93%E5%9C%96%E6%AA%94%E7%B7%A8%E8%99%9F%EF%BC%9A08_(%E6%8A%BD)%E5%BC%B5%E7%B6%AD%E4%BA%A8_%E5%AE%89%E8%81%AF%E4%BA%BA%E5%A3%BD_%E8%B3%87%E8%A8%8A%E9%83%A8%20%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86_20190225_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 250px;" /></td> </tr><tr><td> <p><span style="color:#808080;"><strong>安聯人壽資訊長張維亨表示，專案經理、商業分析與IT成員，都要具備敏捷和設計思考思維，團隊合作才能更有效率。(攝影／洪政偉)</strong></span></p> </td> </tr></tbody></table><p>安聯人壽今年上半發展策略是，專注在機器學習與深度學習，張維亨已將其列為內部未來的核心技術，目前也找來外部廠商進行訓練。但他認為：「ML、DL的技術還有機會克服，最大問題是資料，包括資料是否數位化、資料量是否足夠、資料品質是否夠好等，都是關鍵。」</p> <p>要訓練機器學習得先有大量資料，不過，張維亨表示，過去安聯多數保險資料都是紙本文件，光是要數位化紙本文件的工夫就非常大，儘管也有不少已掃描完成的影像檔或PDF檔案，可加快轉成數位化資料的速度，但仍需要花時間清理，這對安聯來說都是一個大挑戰。</p> <p>另外，資料的品質也是課題，例如有些既有表單重要的欄位資料漏填，或是資料庫中部分欄位的資料有缺損，也可能會導致AI模型訓練所需的資料量還是不足。</p> <p>張維亨透露，安聯現在開始嘗試不同的解法，試圖用很少量的資料來訓練AI模型，初步發現，辨識度可以到達一定程度，雖然距離商業應用還有一段距離，但安聯也願意先花時間與成本，來累積資料量與改善品質，就是為了日後有機會達到靠電腦來判讀文件的程度。</p> <p>其實，安聯在2016年上線的行動投保工具「安聯i探索」，就是要在取得保戶資料之初，就先一併完成數位化，不只為了要取代紙本文件，也能節省後續要數位化文件的麻煩。張維亨說，這些年來我們一直朝這方向努力，儘管要花一些時間改變客戶、銷售人員的習慣，但這對於未來發展機器學習、深度學習、大數據分析等，都是正面的作法。</p> <p>為了確保行動投保工具所蒐集資料的品質，安聯IT還利用程式檢核，讓資料能到達一定的水準與程度。張維亨解釋，在保戶資料要輸入系統時，就先透過規則引擎（Rule Engine），強制要求保戶或業務員必填此這些欄位，以避免日後缺資料。</p> <p><span style="font-size: 28px;"><strong>下一步是語意分析結合RPA</strong></span></p> <p>然而，文件辨識仍是一個大問題。張維亨解釋，安聯內部在執行保險的例行作業時，雖然能夠做到自動化辨識文件了，但遇到在要保書中的健康告知項目的其中一欄，要求詳述的欄位，通常上面寫了很多保戶的資訊，這些文字內容還得靠人腦來判斷，才能決定下一步的動作，「一般的自動化流程走到這就斷了。」他坦言。</p> <p>「如果已經數位化的資料，能夠讓電腦直接讀懂它，整體自動化的斷點就未必會產生。」張維亨認為，這得用語意分析技術（Semantic Analysis）來解決。</p> <p>另外，不只需要分析文字的內容語意，還要能採取後續的動作，若是下一個動作是在核心系統內的操作，原有的自動化腳本程式可以繼續執行，但若得跨出核心系統，張維亨表示，這時就需要機器人流程自動化（Robotic Process Automation，RPA）工具來幫忙。</p> <p>舉例來說，內部人員在進行反洗錢（AML）作業時，得由人力逐一查詢許多網站，或是反洗錢資料庫，對應欲查詢的姓名，在過去是否有需要注意的交易記錄，而這樣的動作，其實已經跳出核心系統涵蓋範圍了。得透過RPA，讓機器人程式自動在搜尋引擎逐頁搜尋姓名，搭配語意分析來判讀，就能協助反洗錢人員是否該注意特定人的過去記錄。</p> <p>張維亨透露，安聯預計今年下半，會開始專注在語意分析技術結合RPA的應用，並持續引進相關技術與人才，來實現更深一層的自動化。他自己更預測，未來保險應用上，語意分析技術或RPA將會是新一代自動化的利器。</p> <p><span style="font-size: 28px;"><strong>安聯未來戰略要靠DevOps、雲端和微服務</strong></span></p> <p>除了積極找尋AI的應用場景，安聯人壽也已經開始導入DevOps，而且將會是他們今年的一大重點。張維亨透露，目前安聯臺灣正主導執行一個重要的跨國性數位化專案，就是要運用DevOps相關工具與方法論，進行導入來提升開發與維運的效率。未來，也計畫將DevOps導入在更多數位資產的開發與維運上。</p> <p>從初期導入經驗中，他指出，DevOps在開發面的問題較小，而是在維運面，尤其遇上需處理到客戶資料時，就得考慮是否能放上雲端環境的法令規範。所以，第一階段，安聯會先從開發開始導入DevOps，維運面則再評估。他認為，若法令沒有鬆綁，就得將資料落地到私有雲中，不過落地成本較高，他還是期待，政府能進一步的開放保險業上雲，才能降低降低、應用面也更廣。</p> <p>另一個，他正在密切關注的挑戰是微服務。張維亨觀察，隨著安聯各種數位化工具的使用量越來越高，對系統硬體、資料庫效能、整體網路架構與頻寬的衝擊，將會是未來得逐漸重視的地方。尤其，那些在內部開發與維運效能不錯的系統，一旦介接外部需求，遇到爆量資料後，系統效能會造成問題。</p> <p>「系統需擴充性，才能支撐更大量的客戶進來使用安聯的服務，得有和過去不同的思考角度。」為了應付不可預期的用量，他已開始評估硬體升級，也考慮將基礎架構微服務化，他認為長遠來看，微服務化是必走之路。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CIO小檔案 </span></span></strong></p> <p><strong>安聯人壽資訊長張維亨</strong></p> <p>學歷：中原大學數學系畢業</p> <p>經歷：在壽險領域長達30年的豐富經歷，先後待過國泰人壽電腦部、遠雄人壽資訊部，1997年加入在臺落地不久的安聯人壽，負責建置壽險核心系統，1999年升任安聯人壽資訊長，帶領資訊部門至今，長達整整20年，期間曾兼任安聯人壽營運長一職。</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 機關檔案 </span></strong></p> <p><strong>安聯人壽</strong></p> <p>● 成立時間：1995年3月27日</p> <p>● 主要業務：屬於德國安聯集團旗下成員，為臺灣第一大外資壽險公司，也是臺灣投資型保險商品的領導品牌之一</p> <p>● 地址：臺北市信義路五段100號5樓</p> <p>● 董事長：薛傅睿</p> <p>● 總經理：林順才</p> <p>● 員工數：514人</p> <p>● 年營收：約703.5億元（2017年）</p> <p>● 網址：<a href="http://www.allianz.com.tw">www.allianz.com.tw</a></p> <p>● 地址：臺北市信義路五段100號5樓</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>● 資訊部門名稱：資訊部</p> <p>● 資訊部門主管：張維亨</p> <p>● 直屬主管：陳俊宏</p> <p>● 資訊部門人數：45人</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IT大事記 </span></strong></span></p> <p>● 1995年：安聯人壽開業（壽險核心系統：CAPSIL）</p> <p>● 1996年：壽險核心系統：CAPSIL退役</p> <p>● 1997年～1999年：建置壽險核心系統</p> <p>● 2000年～2003年：建置多元通路系統、投資型商品系統、投資型GMIB商品導入等核心系統。以及銀行保經代內部使用系統、保戶會員網站系統、銷售人員網站系統</p> <p>● 2004年～2009年：建置保戶會員網站投資型線上變更功能、新契約線上受理網站系統、投資型GMDB商品導入系統</p> <p>● 2010年～2015年：壽險核心系統升級轉換；同期，合併臺灣匯豐人壽，進行系統整合</p> <p>● 2016年～2018年：安聯人壽部分傳統保單業務至中國人壽交易案，進行系統及保單資料拆分、系統TSA服務提供、買方系統整合配合作業。同期，建置業務員行動投保系統「安聯i探索」、保經代行動投保暨電子簽署系統「安聯行動王」、銀行行動投保API介接服務，以及AI智能客服系統「Allie艾莉」</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/p1zhu_tu_tu_dang_bian_hao_02_nei_ye_zhang_wei_heng_an_lian_ren_shou_zi_xun_bu_fu_zong_jing_li_20190225_hong_zheng_wei_she_.jpg" width="960" height="420" alt="" title="安聯人壽資訊長張維亨　(攝影／洪政偉)" /></div></div></div>
2019/3/23 12:00作者李靜宜https://www.ithome.com.tw/people/129418
AI趨勢周報第79期：臉書大方開源自家3款AI硬體設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0315～0322)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">臉書 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 硬體 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臉書大方開源自家3款AI硬體設計，要優化AI模型訓練和部署</strong></span></p> <p>臉書日前開源自家3項硬體設計，包括用來加速AI模型訓練的硬體平臺Zion、用來優化AI推理的伺服器解決方案Kings Canyon，以及用於影片轉碼的專用ASIC晶片Mount Shasta，希望解決不斷增長的AI訓練、推理和部署的工作量需求。Zion平臺由3個部分組成，包括有8個NUMA架構CPU插槽的伺服器、可支援8張加速卡的平臺設計，以及可支援多廠牌的OCP加速卡模組（OAM）。臉書表示，Zion可提高訓練神經網路模型的效率，比如CNN、LSTM和SparseNN。而Kings Canyon由4部分組成，包括Kings Canyon M2推理模組、Twin Lakes單插槽伺服器、Glacier Point v2載板和Yosemite v2機架，只要透過適當的模型分割（Model Partitioning），就能執行大型深度學習模型的運算。至於Mount Shasta，臉書期待它能比現有伺服器更有效率，達到在10 W功率內至少能處理2x4k解析度、60FPS的輸入串流，而臉書未來也將用於自家資料中心。<a href="https://code.fb.com/data-center-engineering/accelerating-infrastructure/">（詳全文）</a></p> <p><img alt="" src="https://code.fb.com/wp-content/uploads/2019/03/animation4_5.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 傷口判讀 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>該不該看醫生？臺大傷口判讀App 10秒告訴你</strong></span></p> <p>臺大生醫電資所聯手臺大醫院，歷時3年打造一款傷口智慧判讀App：AI-SWAS，使用者只要將傷口照片上傳，系統就會在10秒內偵測傷口狀況，比如紅、腫、壞死或感染，並給予是否就醫的建議。為打造AI-SWAS，研究團隊首先針對46位病患，拍攝了術後每一天的傷口照片，再由醫生選出具代表性的131張照片，來訓練AI模型。另一方面，AI-SWAS也內建照片編修軟體，可自動校正傷口照片的明暗、色差等問題，也能排除刺青的影響，減少誤判率。</p> <p>經試驗，AI-SWAS在判斷傷口狀態（即是否正常）的準確度為90%，而傷口症狀（腫、壞死、出血、膿）的準確度則是91%。臺大醫院表示，AI-SWAS可幫助術後病人在家追蹤傷口狀況，方便遠端照護。未來，臺大醫院也計畫擴大該系統的運用至各類傷口的照護。<a href="https://www.ntuh.gov.tw/information/Lists/latest_news/DispForm.aspx?ID=758&Source=/ntuh_chinese.aspx">（詳全文）</a></p> <p><img alt="" src="https://www.ntuh.gov.tw/image/News/20190313%E8%87%BA%E5%A4%A7AI_SWAS%E5%8F%AF%E4%BB%A5%E5%88%A4%E6%96%B7%E7%B4%85%E8%85%AB%E7%86%B1%E5%A3%9E%E6%AD%BB%E6%84%9F%E6%9F%934%E7%A8%AE%E5%82%B7%E5%8F%A3%E7%8B%80%E6%85%8B.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工研院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫療影像AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 糖尿病 </span></strong></span></p> <p><span style="font-size:22px;"><strong>工研院最新成果：國產糖尿病視網膜病變AI診斷技術獨步全球</strong></span></p> <p>工研院打造國產糖尿病視網膜病變AI輔助診斷系統，要協助非眼科醫生判讀糖尿病患的眼底圖。2017年時，工研院向國內3家醫學中心取得31萬張眼底圖，經過資料預處理之後，工研院便請了50位眼科醫生來標註剩餘的10多萬張影像。這套AI系統，可偵測4種主要病徵，包括微細血管瘤、出血、軟滲出物、硬滲出物，而且能標示出這些病徵的位置，方便醫生與病患解釋病變情況。李雅文強調，自家研發的糖尿病視網膜病變AI系統，可說是目前國際上唯一一個能標示出病徵位置的糖尿病視網膜病變AI系統。</p> <p>偵測病徵後，這套系統也會依此來分類病變程度，包括0至4級，準確率已達85％以上。此外，該AI系統也有2分類模型，根據病變程度來建議是否要應轉診至眼科。<a href="https://www.itri.org.tw/Chi/Content/techTransfer/tech_tran_cont.aspx?&SiteID=1&MmmID=621026736466753142&ST=D&TD=B&OZ=&MSid=5898">（詳全文）</a></p> <p><img alt="" src="https://www.itri.org.tw/chi/WebTools/Thumbnail.ashx?Siteid=1&MmmID=620605426112545320&fd=MsgPic01_Pics&Pname=AI%20%e7%b3%96%e5%b0%bf%e7%97%85%e7%9c%bc%e5%ba%95%e5%bd%b1%e5%83%8f%e8%be%a8%e8%ad%98%e6%8a%80%e8%a1%93_20180808103407.jpg&nw=600" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Seeing AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視障輔助 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟強化視障輔助程式Seeing AI，點選照片就能聽見物件描述</strong></span></p> <p>微軟更新了專供視障人士使用的Seeing AI行動程式，新版Seeing AI讓使用者只要點選照片中的物件，就能聽到關於該物件的描述與其空間關係，讓視障人士更能理解照片中的物件排列方式。Seeing AI運用了電腦視覺、文件辨識、機器學習及自然語言等AI技術，也利用了iOS中的螢幕朗讀（VoiceOver）功能，能語音讀出使用者用Seeing AI拍下的文件、人像、菜單或者是掃描產品條碼內容，甚至還能猜測人像的年紀及情緒。</p> <p>現在Seeing AI還能辨識照片上的不同物件，此一新功能是利用微軟近來力推的自訂視覺服務（Custom Vision Service），該服務具備影像分類與物件偵測功能，可在影像中加入標籤，還能回傳標籤坐標。因此，當Seeing AI用戶點選照片中的各個物件時，就能聽到語音描述與它們之間的空間關係。<a href="https://blogs.msdn.microsoft.com/accessibility/2019/03/12/seeingai/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mozilla </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料科學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Iodide </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mozilla發表資料科學用的網頁工具Iodide，能同時檢視程式碼以及報告文件</strong></span></p> <p>Mozilla釋出一套工具Iodide，不只可以為非技術讀者輸出最終報告文件，資料科學家也可以深入探索原始碼。Iodide不僅是程式開發環境，也一併把文書編輯工具綁來，以減少溝通性工作流程的摩擦，受邀查看報告的使用者，可以隨時深入底層，存取程式碼和編輯環境。</p> <p>Iodide提供了探索和報告視圖功能。探索視圖為一系列窗格，包括供使用者撰寫程式碼的編輯器、可查看程式碼輸出的控制臺、檢查變數的工作區域瀏覽器，以及預覽報告的預覽窗格。而在Iodide中，還能執行Python，透過編譯Python科學堆疊成為WebAssembly應用程式。Iodide支援Numpy、Pandas和Matplotlib等熱門函式庫，也包括資料科學家很常用的Scipy和scikit-learn。目前，Iodide仍在Alpha測試中。<a href="https://hacks.mozilla.org/2019/03/iodide-an-experimental-tool-for-scientific-communicatiodide-for-scientific-communication-exploration-on-the-web/">（詳全文）</a></p> <p><img alt="" src="https://2r4s9p1yi1fa2jd7j43zph8r-wpengine.netdna-ssl.com/files/2019/03/lorenz-final-loop.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ML </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 離線語音 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google直接在手機部署機器學習模型，離線也能使用語音輸入文字</strong></span></p> <p>Google最新的語音辨識技術，能直接在裝置上放置機器學習模型，讓語音轉文字辨識功能離線作業，以解決網路限制造成的服務延遲。Google新的語音辨識技術，採用RNN換能器（RNN-T）訓練的模型，可連續處理輸入的樣本，並串流輸出字符。</p> <p>為提高語音辨識的用處，Google在裝置放上新模型，直接在裝置上進行語音辨識分析。Google訓練的RNN-T模型只有450MB，就能提供與傳統伺服器模型相同的精準度，但450MB對行動裝置來說仍太過龐大，Google透過自家壓縮技術，最終壓縮的模型只有80MB，模型參數化擁有比起訓練的浮點數模型高4倍的壓縮率，執行速度快4倍，可提供離線語音辨識服務。<a href="https://ai.googleblog.com/2019/03/an-all-neural-on-device-speech.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">健保署 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大數據 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>健保資料庫最快6月適度開放，可望創造更多醫療AI應用</strong></span></p> <p>中央健保署署長李伯璋日前在一場生技醫療產業趨勢論壇中首度揭露健保資料庫開放時程，承諾去識別化後的健保資料，最快可在今年六月讓業界企業與學術單位聯合申請，鬆綁以往只開放學術單位使用的規定，讓大數據獲得更有效的應用。</p> <p>健保於1995年開辦至今，已累積20多年資料，加上衛福部2009年起投入電子病歷系統的建置工作，將國內醫療單位所有的病歷、檢驗報告與醫學影像全面e化，已累積大量資料。如健保署至今收載超過1,700萬件（約7.7億張）醫療影像，若能將此巨量資料應用於機器學習，訓練AI病理師輔助醫生進行疾病判讀，則可大幅降低誤診機率。<a href="https://www.ithome.com.tw/news/129290">（詳全文）</a></p> <p>圖片來源／臉書、臺大醫院、工研院、Mozilla</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI趨勢近期新聞 </span></strong></span></p> <p><strong>1. 中華電信聯手軟銀，要靠AIoT來發展智慧城市和智慧資產追蹤</strong></p> <p><strong>2. 蘋果買下前Google工程師創立的機器學習新創</strong></p> <p><strong>3. AI2：中國AI論文數量早就超越美國，品質即將迎頭趕上</strong></p> <p>資料來源：iThome整理，2019年3月</p> </div></div></div>
2019/3/22 18:46作者王若樸https://www.ithome.com.tw/news/129543
降低網路攻擊或災損從事前防範做起，澳洲政府實施八大減緩策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了降低各種網路威脅，所引發的網路安全事件，許多政府也在積極採取行動。例如，為了因應網路威脅，澳洲國家安全局在2010年提出網路攻擊減緩策略的指導方針，而這也成為日後政府單位、企業都能夠參考的依據。</p> <p>舉例而言，為降低網路入侵的影響，澳州政府共規畫了35項的減緩策略，以及，便於政府機關可以依據相對應的技術手冊，供單位完成相關評估與執行作業。在此當中，負責該國國防安全的澳洲通訊情報局（Australian Signals Directorate，ASD），評估出最重要的前四大網路安全減緩策略，包括應用程式白名單、應用程式漏洞修補、作業系統漏洞修補與限制管理者權限等，這是他們根據網路威脅環境現況，所規畫出最有效的安全控制措施，並認為將可以阻擋或降低85％的網路攻擊威脅機率。</p> <p>在2017年，他們並更新了四大減緩策略，以及四項額外的控制，也就是所謂的Essential Eight，在上述四項策略之外，還包含關閉不信任的微軟 Office巨集、使用者應用程式管控、實施多因素驗證與每日備份。簡單來說，上述這些減緩策略已經被視為8個最基本的要求。</p> <h2><span style="color:#0099ff;"><strong>藉由遵循8大基本策略，以降低網路安全的威脅 </strong></span></h2> <p>在2018年7月，澳洲網路安全中心（ACSC）納入至ASD旗下，該組織成立於2014年，前身為獨立的網路安全運行中心（CSOC），包含對政府機構提供全面的網路態勢情報。現在， ACSC不僅成為法定機構，並吸收了來自 CERT Australia與數位轉型局的專家，在對應時下的資安情勢，他們的職責是著重在網路攻擊發生之後的恢復能力（Resilience），不論是關鍵基礎設施、政府機構、中小企業、學術界，以及非營利部門、社群等。 </p> <p>對於Essential Eight，ACSC也提出解釋，由於沒有單一的緩解策略，可以保證防止網路安全事件發生，而Essential Eight可以視為一個基準，更重要的是，實施這八項基本的緩解略，可以比回應大規模網路安全事件，更具成本效益。同時，他們未來也將不斷更新這些策略，以因應網路威脅環境現況的改變。</p> <p>最初公布於2017年的Essential Eight，最新版本在今年1月發布，內容僅有微幅調整，以最新的「Essential Eight Explained」報告來看，這8項緩解策略原本歸納為兩大類別，現在則分成三大類別，包括避免惡意程式傳送與執行、限制網路安全事件的範圍，以及資料復原與系統可用性。同時，ACSC也針對這8項做初步的解釋。</p> <h3><span style="color:#B22222;"><strong>第一類：避免惡意程式傳送與執行 </strong></span></h3> <p>● <strong>應用程式白名單（Application Whitelisting）</strong>：僅允許已知的應用程式執行，以防止執行未經授權的惡意程式，包括：EXE檔、DLL檔、Script （Windows Script Host、PowerShell、 HTA）與安裝程式。</p> <p>● <strong>更新修補應用程式（Patching Applications）</strong>：包括Flash、瀏覽器、微軟Office、Java與PDF檢視器，對於嚴重風險漏洞的更新修補，需在48小時內完成，並要使用最新版的應用程式。也就是說，要儘速修補這些應用程式的已知安全漏洞。 </p> <p>●<strong>管控微軟Office巨集的相關設定（Configuring Microsoft Office macro settings）</strong>：封鎖文件中來自網際網路的巨集，並且只允許信任位置的巨集，而它們本身也就是受到權限控管與審查，或是使用憑證數位簽署的巨集。簡單而言，就是要封鎖不信任的巨集。 </p> <p>●<strong>使用者應用程式控管強化（User Application hardening）</strong>：禁止Flash、廣告與Java在瀏覽器上執行，禁用微軟Office的OLE功能，以及封鎖網頁瀏覽器與PDF檢視器中不需要的功能。目的是為了避免這些易受攻擊的功能被利用。</p> <h3><span style="color:#B22222;"><strong>第二類：限制網路安全事件的範圍 </strong></span></h3> <p>●<strong>限制系統管理的權限（Restrict administrative privileges）</strong>：對於作業系統與應用程式的執行，需基於用戶職責來提供對應的權限，並要定期重新驗證特權帳號的適當性。此外，不要使用特權帳號監控電子郵件與網頁瀏覽的行為。</p> <p>●<strong>執行作業系統更新修補（Patch operating systems）</strong>：不只是電腦作業系統，還包括網路設備等，對於嚴重風險漏洞的更新修補，需在48小時內完成。建議使用最新版的系統版本，並且不要使用已經終止支援的版本。</p> <p>●<strong>實施多因素驗證（Multi-factor authentication）</strong>：對於遠端存取連線行為，如VPN、RDP、SSH等，以及所有用戶執行特權操作，或存取重要資料時，應該要以多因素驗證的機制來強化保護。</p> <h3><span style="color:#B22222;"><strong>第三類：資料復原與系統可用性</strong></span></h3> <p>●<strong>每日備份（Daily backups）</strong>：對於重要資料的新增或變更，以及軟體與配置設定的備份，需要保留至少3個月。關於備份工作的驗證，不僅要在一開始就進行，也要每年執行，每當IT基礎架構變動時也要測試，以保持重要資料的可用性。</p> <h2><strong><span style="color:#0099ff;">藉助Essential Eight的成熟度模式，幫助組織單位落實 </span></strong></h2> <p>另一方面，為了幫助組織單位實施 Essential Eight，ACSC在2018年還公布了Essential Eight Maturity Model，為這 8種網路安全減緩策略，定義了5個成熟度（Maturity）層級，包含了Level 0∼Level 4，來代表各項策略落實的程度。例如：</p> <p><span style="color:#000000;">Level 0：不符合緩解策略的意圖 <br /> Level 1：部分符合緩解策略的意圖 <br /> Level 2：大多與緩解策略意圖一致<br /> Level 3：完全符合緩解策略的意圖 <br /> Level 4：適合高風險環境 </span></p> <p>簡單來說，Level 0是完全沒做到緩解策略的訴求，他們認為最起碼的安全基準來看，要達到Level 3才是完全符合，而Level 4將適合高風險環境採用。因此，企業應以力求達到成熟度級別3為目標。</p> <p>舉例而言，以使用者應用程式控管強化的策略來說，若是組織內的網頁瀏覽器可自動播放Adobe Flash的內容，或是瀏覽器的Flash設定能被使用者變更，就是屬於成熟度Level 0，完全沒達到緩解策略的要求。</p> <p>若是已限制瀏覽器的Flash設定不能被使用者更改，但網頁瀏覽器上的Flash內容，使用者還是可以按一下就播放，則是屬於成熟度Level 1。</p> <p>更進一步的強化管控，就是要讓瀏覽器封鎖或不支援播放Flash內容，且封鎖廣告與來自網路的Java程式，這是成熟度Level 2。</p> <p>若要能完全符合緩解策略的意圖，做到成熟度Level 3的要求，還必須要關閉微軟Office的Flash與OLE功能，以及關閉瀏覽器、微軟Office與PDF檢視器的非必要功能。</p> <p>此外，未來ACSC將不斷更新Essential Eight的內容，以因應最新的網路威脅局勢。例如，在今年2月底，為了簡化組織評估與執行Essential Eight，ACSC只列出Level 1、Level 2、Level 3成熟度級別，方便一般組織在每種緩解策略，都能朝向完全符合緩解策略意圖的Level 3邁進。</p> <p>而ACSC也提醒，在實施這些緩解策略之前，組織單位也應先識別那些系統需要保護，分析那些攻擊者最有可能鎖定自己的系統，以及確定需要何種級別的防護，並要持續提高目標，最終以符合每個緩解策略的意圖。</p> </div></div></div>
2019/3/22 18:27作者羅正漢https://www.ithome.com.tw/news/129541
微軟Windows Defender ATP端點安全軟體改名，開始支援Mac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/Windows-Defender-ATP/Announcing-Microsoft-Defender-ATP-for-Mac/ba-p/378010" target="_blank">微軟宣佈</a>端點安全產品Windows Defender進階威脅防護（Advanced Threat Protection，ATP）將開始測試支援Mac平台，並改名Microsoft Defender ATP。</p> <p>Windows Defender ATP是微軟整合型端點防護解決方案。它透過內建於作業系統中的端點行為感測器，蒐集電腦行為訊號傳送到企業雲中個別的雲端執行個體（instance），配合微軟雲端分析服務及威脅情報提供安全分析，協助企業掃瞄、偵測、防堵及回應網路威脅。</p> <p>微軟表示一直和夥伴合作希望讓Windows Defender ATP防護對象能擴及非Windows平台，以便讓IT管理人員在單一介面中控管多種平台系統。繼二月將Windows Defender ATP支援Windows 7/8.1後，微軟再度將這套安全軟體的支援範圍擴及Mac，使IT部門可同時管理涵括Windows和Mac系統的企業環境。原本的Windows Defender ATP產品名稱也將改名為Microsoft Defender ATP。</p> <p>Mac版將具備和Windows 10版Defender類似的介面設計。它會將蒐集到的Mac電腦行為資訊則會匯整到<a href="https://techcommunity.microsoft.com/t5/Windows-Defender-ATP/Announcing-Microsoft-Defender-ATP-for-Mac/ba-p/378010">Microsoft Defender ATP入口網站</a>。</p> <p>新產品可支援管理的端點Mac版本包括macOS Mojave、macOS High Sierra及macOS Sierra。微軟也開始提供限量企業測試版供企業<a href="https://www.microsoft.com/en-us/wdsi/support/macpreviewsignup" target="_blank">申請下載</a>。</p> <p>在最新企業測試版中，目前只提供惡意程式掃瞄、隔離、移除病毒、以及調整設定的功能，微軟表示日後還會陸續加入其他功能。</p> <p><a href="https://techcommunity.microsoft.com/t5/Windows-Defender-ATP/Introducing-a-risk-based-approach-to-threat-and-vulnerability/ba-p/377845" target="_blank">微軟同時宣佈Microsoft Defender ATP加入威脅與弱點管理</a>，它是利用風險值協助企業發現、排序和修正端點弱點和組態不當情形的服務，預計4月底隨公共預覽版釋出。</p> </div></div></div>
2019/3/22 16:25作者林妍溱https://www.ithome.com.tw/news/129523
川普拔擢32歲的Michael Kratsios為美國技術長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國技術長之位懸缺兩年之後，美國總統川普（Donald Trump）終於在3月21日宣布將<a href="https://www.whitehouse.gov/presidential-actions/president-donald-j-trump-announces-intent-nominate-personnel-key-administration-post-12/" target="_blank">任命現為副技術長的Michael Kratsios擔任技術長一職</a>。</p> <p>1986年出生的Kratsios現年只有32歲，畢業於普林斯頓大學的政治系，目前是川普科技政策的副助理，也是美國的副技術長，在加入川普團隊之前，Kratsios曾擔任資產管理公司Thiel Capital的投資總監，也曾是知名創投家Peter Thiel的參謀。</p> <p><a href="https://www.whitehouse.gov/people/michael-kratsios/" target="_blank">白宮的新聞稿</a>僅扼要地宣布川普有意任命Kratsios成為美國的技術長，並無其它的描述。</p> <p>第一任的美國技術長為美國前任總統歐巴馬（Barack Obama）所任命的Aneesh Chopra，歐巴馬就任的8年間總計任名了3名技術長，還包括Todd Park與Megan Smith，而自川普於2017年上任以來，美國技術長一職一直懸缺著。</p> <p>觀察<a href="https://en.wikipedia.org/wiki/Chief_Technology_Officer_of_the_United_States" target="_blank">歷屆美國技術長</a>的背景，Chopra主修的是公共政策，Park的專長為經濟學，Smith大學主修機械工程，並在麻省理工學院的媒體實驗室完成碩士學位。</p> </div></div></div>
2019/3/22 16:30作者陳曉莉https://www.ithome.com.tw/news/129524
駭客開採WordPress外掛程式漏洞以進行技術支援詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://blog.nintechnet.com/critical-0day-vulnerability-fixed-in-wordpress-easy-wp-smtp-plugin/" target="_blank">NinTechNet日前揭露知名WordPress外掛程式Easy WP SMTP含有重大的零時差攻擊漏洞</a>，將允許駭客接管WordPress網站，隨後另一資安業者Wordfence則發現，已有不同的駭客針對該漏洞展開攻擊，其中一組利用它來執行技術支援詐騙。</p> <p>Easy WP SMTP可讓WordPress用戶藉由SMTP伺服器配置及傳送電子郵件，以避免自該站寄出的郵件被歸類為垃圾郵件，估計全球有超過30萬個WordPress網站安裝了此一外掛。</p> <p>相關漏洞主要涉及Easy WP SMTP 1.3.9版新增的匯入/匯出功能，它可用來匯入或匯出外掛程式的配置，並更新WordPress資料庫的選項，然而，它並未檢查使用者的權限，於是任何登入的使用者或訂閱用戶都能夠觸發它，允許未經授權的使用者傳送AJAX請求以執行任何程式。</p> <p>NinTechNet的研究人員打造了一個概念性驗證程式，藉由匯入設定上傳了一個含有惡意程式的檔案，啟用使用者註冊功能並把使用者的預設身分設為資料庫的管理員。同時NinTechNet也發現駭客已開採該漏洞，但駭客並非只建立一個管理員帳號，而是讓所有使用者都具備管理員權限，這意味著只要一個單純的訂閱用戶就能執行管理功能。</p> <p>隨後<a href="https://www.wordfence.com/blog/2019/03/hackers-abusing-recently-patched-vulnerability-in-easy-wp-smtp-plugin/" target="_blank">Wordfence更發現至少有兩組駭客已針對該漏洞展開攻擊</a>。其中一組駭客只利用該漏洞來新增管理員帳號，以備不時之需，但另一組駭客則進一步將使用者流量導至技術支援詐騙網頁，企圖展開詐騙行動。</p> <p>Easy WP SMTP是在3月15日得知此一漏洞的存在，並於3月17日釋出了修補該漏洞的<a href="https://tw.wordpress.org/plugins/easy-wp-smtp/" target="_blank">Easy WP SMTP 1.3.9.1版</a>，有鑑於駭客仍在搜尋尚未修補相關漏洞的WordPress網站，資安專家們呼籲Easy WP SMTP用戶應儘快部署最新版本。</p> </div></div></div>
2019/3/22 16:45作者陳曉莉https://www.ithome.com.tw/news/129525
【iThome CIO大調查（下）】2019金融業IT投資戰略分析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/912_diao_cha_-jin_rong_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融業數位轉型需求持續上揚，今年有半數IT主管，將數位轉型視為年度重要目標，僅次於向來重視的資訊安全和IT穩定。儘管金融業IT投資成長力道和去年相當，今年達到6.7%，金額也以6.7億元居各產業之冠，大數據和機器學習仍是三大技術發展重心之一，然而，這兩者預算占IT投資的比例卻些微下滑，反而是數位行銷的占比，大大提高到IT預算的7.3%。開放銀行趨勢開始吹進臺灣，保險科技也開始在臺熱絡，金管會已經開始著手推動相關法規的鬆綁和規範，金融業IT投資的焦點開始擴大到更多議題，Open API架構成了金融業三大新興科技採用重點之一，而相對應的微服務架構需求比去年更高，從23.3%提高到33.3%，多了一成業者擁抱微服務架構。</p> <p>行動AI應用將是金融業新亮點，有意採用的業者比例是去年的4倍多，帶動更多進階AI應用需求，深度學習技術的，採用從去年的13.3%，提高到23.3%。從進階分析到新興基礎架構的導入，這些跡象都反映出，今年金融業者不只加速建置高彈性IT體質的建置，也開始往AI深化應用邁進。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%87%91%E8%9E%8D-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%87%91%E8%9E%8D-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/912%20%E8%AA%BF%E6%9F%A5-%E9%87%91%E8%9E%8D-600-3.png" style="width: 600px;" /></p> </div></div></div>
2019/3/22 15:00未署名https://www.ithome.com.tw/article/129515
Pwn2Own：研究人員揭露兩種攻陷Safari手法，其中之一可用來接管Mac
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.thezdi.com/blog/2019/3/20/pwn2own-vancouver-2019-day-one-results">趨勢科技旗下的零時差倡議（Zero-Day Initiative，ZDI）公布了2019年Pwn2Own駭客競賽的首日成績</a>，指出參賽的研究人員總計執行4次完整的攻擊，抱走24萬美元的獎金，當中有兩次攻擊是鎖定蘋果的Safari，其中一項攻擊更直接接管了Mac電腦。</p> <p>在由Amat Cama與Richard Zhu組成的Fluoroacetate鎖定Safari瀏覽器的攻擊行動中，他們利用瀏覽器的整數溢位漏洞與堆積溢位漏洞成功地執行了沙箱逃逸，獲得5.5萬美元的獎賞。</p> <p>同樣鎖定Safari展開攻擊的phoenhex & qwerty團隊，則成功示範了如何藉由攻陷Safari接管Mac系統。他們設計了一個惡意網站，當以Safari造訪該站時，他們執行了兩次的越界讀取（Out-of-Bounds Read）攻擊，以觸發一個即時編譯（JIT）漏洞，再利用「檢查至使用的時間差」（"Time of Check" to "Time of Use"）漏洞擴張權限，得以接管受害者的Mac系統。由於蘋果已得知該團隊所利用的其中一個安全漏洞，使得phoenhex & qwerty僅贏得了4.5萬美元的獎金。</p> <p>Pwn2Own競賽的首日成果，還包括Fluoroacetate與STAR Labs成功攻陷甲骨文的VirtualBox，雙雙抱走3.5萬美元的獎金，Fluoroacetate也破解了VMware Workstation的安全機制而得以在主要作業系統上執行任意程式而贏得7萬美元的大獎。</p> <p>當天光是Fluoroacetate就抱回16萬美元的獎金，為首日的大贏家，是角逐「破解大師」（Master of Pwn）最熱門的團隊。</p> </div></div></div>
2019/3/22 12:10作者陳曉莉https://www.ithome.com.tw/news/129513
Salesforce服務雲加入AI功能以及協作服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.salesforce.com/company/news-press/press-releases/2019/03/190319/">Salesforce擴充了服務雲（Service Cloud）中的客戶服務</a>，加入新的智慧推薦以及路由功能，不只能提供業務最佳的回覆建議，還能推薦需要的知識文章，而案件路由（Case Routing）功能可以按造規則，將案件分配給適合的業務處理。</p> <p>Salesforce這幾年一直在服務雲中加入Einstein人工智慧功能，包括聊天機器人以及案件分類功能，目的讓業務控制臺更加智慧，使業務的工作能越來越自動化，而現在Salesforce再次對服務雲增加三項人工智慧功能。</p> <p>現在新的Einstein回覆建議（Reply Recommendations）功能可以使用自然語言，透過聊天或是訊息的方式，即時提供業務最佳回應，Salesforce提到，這樣不只能夠節省時間，還能提高客戶查詢的回覆品質。而使用機器學習模型能夠方便取用過去累積的知識，Einstein文章推薦（Article Recommendations）功能可以為業務推薦最佳知識文章，並提供快速解決案例所需要的訊息。</p> <p>而Einstein最佳行動（Next Best Action）能夠利用商業規則以及預測智慧，在業務與客戶互動的期間建議最佳行動方案，幫助提高客戶滿意度，並發現交叉銷售的機會。另外，Einstein案件路由（Case Routing）則是透過機器學習完全自動化路由過程，根據預設標準將案例分配給正確的佇列或是業務，可以根據專業或是過去成果，找出最有資格解決問題的人選。</p> <p>Salesforce還提到，由於業務經常花費太多的時間找答案，但比起找答案，專注在客戶參與上更加重要，而現在Quip服務將可以改善這項問題，能向多個團隊收集答案或是協作檔案，業務可以直接在控制臺中嵌入生產力以及協作工具。</p> <p>Quip是Salesforce在2016年以7.5億美元收購的公司，而現在Quip被嵌入到控制臺中，讓業務互相通訊，共同協作檔案，企業也可以讓相關主題的專家，加入案件幫忙解決複雜的問題，並直接在案例紀錄中進行即時的對話，而管理員可以在業務控制臺中建構和發布Quip模板，並根據不同使用案例和特殊組織需求，對其進行客製化。</p> <p>Salesforce認為這些新功能將會完全改變業務的工作方式，當企業接到裝置故障維修的要求時，Einstein案件路由能自動完成案件資訊紀錄，並將案件分配給能最快提供服務的業務，而Einstein文章推薦功能則會自動提供業務需要的知識，Einstein回覆建議也能回答客戶問題。</p> </div></div></div>
2019/3/22 11:40作者李建興https://www.ithome.com.tw/news/129501
抗議歐盟《著作權指令》！德語等四語言維基百科暫停服務一天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了向歐盟抗議目前版本的《著作權指令》（Copyright Directive），<a href="https://wikimediafoundation.org/2019/03/20/four-wikipedias-to-black-out-over-eu-copyright-directive/">3月21日德語、捷克語、丹麥語和斯洛伐克語四個語言的維基百科將阻擋外部存取</a>，並顯示反對《著作權指令》的全版廣告。</p> <p>歐盟《著作權指令》中爭議最大的第13以及第11兩條。第13條為上傳過濾器協議，要求讓使用者發布內容的商業網站，以最大程度的努力購買需要的版權，並且要求少部分的網站需要部署過濾器，以防止使用者上傳有版權的內容。另外，第11條連結稅條款，要求搜尋引擎、新聞聚合器還有個人、小型企業甚至是非營利組織的服務，其使用新聞連結與一同出現的文字，都需要授權許可。</p> <p>維基百科顯然為受影響的服務之一，而《著作權指令》又即將在3月26日進行最後的表決，因此來自德語、捷克語、丹麥語和斯洛伐克語的志願者編輯社群決定在3月21日，阻擋這幾種語言的維基百科內容24小時，並將使用者流量導向反對《著作權指令》的蓋板廣告，以對《著作權指令》表達抗議。</p> <p>這些獨立社群是經過討論並達成共識後，做出阻擋維基百科存取的決定，在德國維基百科社群中的聲明提到，這幾個獨立維基社群都經過公開的線上討論，對行動的方針以及抗議的方式，都進行了投票，社群們根據治理規則完成了決議。</p> <p>然而這也不是志願者編輯第一次對可能影響維基百科，或是更廣泛的網際網路自由開發政策發聲抗議，在2011年和2012年，義大利、英國和俄羅斯的維基百科就曾分別抗議過義大利、英國和俄羅斯的法律提案。雖然這樣的事件很少發生，但通常是意圖明確且有充分理由，志願者編輯才會採取這樣的行動。</p> <p>維基媒體提到，社群通常最能理解當地政策背景，並就網站參與方式做出決策，而維基媒體基金會的責任就是尊重每個社群的決策，並努力確保他們的行動獲得支援，而這種社群治理的方法，是維基百科和維基媒體專案之所以強大和獨特的部分。</p> </div></div></div>
2019/3/22 11:40作者李建興https://www.ithome.com.tw/news/129496
AWS Direct Connect託管連線新增GB級連接選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-gigabit-connectivity-options-for-amazon-direct-connect/">AWS Direct Connect現在提供更高容量的託管連線（Hosted Connections）</a>，支援1、2、5與10 Gbps的選擇。AWS Direct Connect讓企業可以在資料中心、辦公室和託管環境，與AWS之間建立專用網路連線，跟網際網路連接相比，能夠以更低的價格取得更高的吞吐量，企業需要與AWS Direct Connect合作夥伴配合才能建立連接。</p> <p>AWS Direct Connect包含了三種不同的模型，分別是專用連線（Dedicated Connections）、託管連線（Hosted Connections）以及托管虛擬介面（Hosted Virtual Interfaces）。專用連接提供1 Gbps 與10 Gbps的容量，企業可以在管理控制臺中申請，是一個專用物理的乙太連接埠</p> <p>而託管連線原本僅提供50到500 Mbps，並由AWS Direct Connect合作夥伴提供，在企業建立網路迴路後，AWS Direct Connect容量可以透過按需新增或是移除託管連線調整，每個託管連線都支援單一虛擬介面（Virtual Interfaces，VIF），企業可以透過或許多個託管連線以獲得多個虛擬介面。</p> <p>AWS宣布即日起，透過特別的AWS Direct Connect合作夥伴，企業能夠取得高容量的託管連線，現在提供的容量為1、2、5與10 Gbps。AWS提到，大多數的AWS Direct Connect合作夥伴都支援按需新增或是刪除託管連線，企業可以在需要的時候創建託管連線，並在使用完畢時移除。官方舉例，當企業在每個季度結束，都需要將大量的資料存檔到Amazon Glacier，就能在每個季度末創建託管連線，上傳資料結束後再移除。</p> </div></div></div>
2019/3/22 11:41作者李建興https://www.ithome.com.tw/news/129502
臉書再出包！數百萬用戶密碼以明文儲存長達7年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安部落格<a href="https://krebsonsecurity.com/2019/03/facebook-stored-hundreds-of-millions-of-user-passwords-in-plain-text-for-years/" target="_blank">Krebs On Security引述消息人士報導</a>，臉書數百萬用戶帳號密碼早從2012年起就以明文儲存，且至少有數千名員工已經搜尋過，但臉書表示沒有證據顯示這些密碼遭到存取。</p> <p>這也獲得<a href="https://newsroom.fb.com/news/2019/03/keeping-passwords-secure/" target="_blank">臉書證實</a>。臉書是在今年一月進行內部調查時，發現大批密碼以明文儲存在臉書內部資料儲存系統。臉書原本透過雜湊及加鹽，包括使用scrypt算法及加密金鑰來隱藏用戶密碼。Krebs On Security引述消息人士指出，因為「一連串的安全行為失當」，讓某些員工撰寫了可紀錄用戶未經加密處理的密碼、且讓這些資料且以明文格式儲存。</p> <p>有「數億Facebook Lite用戶、數千萬臉書用戶及數萬IG用戶」受到影響。臉書聲稱該公司一發現上述情形已修補問題。臉書也認為這批資料外人都看不到，迄今也沒有證據顯示內部有人濫用或不當存取，不過為以防萬一臉書仍將會通知所有受影響的用戶。</p> <p>消息人士透露，臉書粗估有2億到6億筆臉書用戶的密碼以明文儲存，有權限搜尋的臉書員工超過2萬名。初步調查顯示，確有2000名左右的臉書工程師或開發人員已經對包含這些密碼的資料做過查詢，且次數將近900萬次。雖然還未確定曝光的密碼總數及曝光時間，但現階段得知曝光密碼最早可追溯到2012 年。</p> <p>Krebs On Security引述臉書工程師Scott Renfro回應指出，公司計畫通知受影響的臉書用戶，但不需要重設密碼。他並表示，員工撰寫的app是不小心紀錄到用戶密碼，沒有明確風險。</p> <p>此事可能再讓臉書資安問題浮上檯面。歷經去年的多次大規模資料外洩，已重創臉書形象，臉書執行長<a href="https://www.ithome.com.tw/news/129156" target="_blank">祖克柏（Mark Zuckerberg）今年發表宣言</a>，昭告未來臉書將建構以隱私、加密及資料安全為中心的通訊平台為宗旨。然而之後的事件仍然讓人質疑它的決心，包括它<a href="https://www.ithome.com.tw/news/128483" target="_blank">打算整合</a>Facebook Messenger、WhatsApp、IG為共通傳訊平台，引發個資隱私疑慮。本月又有<a href="https://www.ithome.com.tw/news/129101" target="_blank">研究人員發現</a>，臉書要用戶輸入作用雙因素驗證（2 Factor Authentication，2FA）的電話號碼，反而可讓其他人搜尋到，而且這項功能想關也關不掉。</p> </div></div></div>
2019/3/22 11:45作者林妍溱https://www.ithome.com.tw/news/129511
傳Nokia手機將用戶資訊傳送給中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nrkbeta.no/2019/03/21/norske-telefoner-sendte-personopplysninger-til-kina/" target="_blank">芬蘭媒體NRK報導</a>有Nokia 7 Plus手機用戶發現到其手機暗中將資料傳送到中國。芬蘭資料保護主管機關已經介入調查。</p> <p>報導指出，一名Nokia 7 Plus的用戶Henrik Austad今年2月發現這支手機經常與一台伺服器連線並傳送資料未加密的封包。他檢視封包內容，發現連線目的地是中國，而且包含很敏感的資訊，包括他的所在位置、SIM卡號碼及手機序號、電話號碼以及連接的基地台。</p> <p>只要Nokia 7 Plus手機一開啟，不論螢幕是否開啟，這些資料都會傳送到位於中國位於vnet.cn網域的伺服器。接到封包及一路上可存取流量資訊的所有人都能追蹤手機的動向。</p> <p>Nokia 7 Plus是HMD Global去年第一季在中國上市，相當受到歡迎。報導指出，曾創下5分鐘內賣出25萬支的佳績。</p> <p>媒體根據連線的URL判斷連線彼端的伺服器所在網域是向中國互聯網中心（CNNIC）註冊，它也是主管中國頂級網域.cn的單位。而透過CNNIC，媒體也追查出該網域屬於中國最大電信公司<a href="https://w ww.engadget.com/2019/03/21/finland-investigating-nokia-data-china/" target="_blank">中國電信</a>。</p> <p>報導指出，GitHub上流傳的一段註冊程序的程式碼，包含可蒐集手機資料的程式碼，這段程式碼及資訊格式都和Nokia 7 Plus相當類似。這段程式碼也正好位於「中國電信」的資料夾，似乎2014年即已存在。</p> <p>媒體判斷可能原本只用於中國，不知為何卻被用在Nokia 7 Plus手機上。但報導引述另一名<a href="https://twitter.com/drwetter/status/1081267425637814273" target="_blank">安全研究人員Dirk Wetter指出</a>，程式碼也可能是刻意被置入手機內。不過HMD Global並未回應，是否這是該公司為交換在中國開賣手機而和中國方面做的協議。</p> <p>芬蘭資料主管機關：芬蘭資料保護委員會對此已著手調查。若調查屬實，也會是違反歐洲隱私法GDPR的重大事件。</p> </div></div></div>
2019/3/22 11:56作者林妍溱https://www.ithome.com.tw/news/129512
【臺灣資安大會直擊】亞馬遜4大資安防禦層作法首度在臺公開，亞馬遜日本資安官親自揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業的資安漏洞在黑市裡被兜售，防不勝防，或許企業無法阻止資安漏洞被賣到黑市，但也許可藉漏洞獎勵計畫（Bug Bounty Program）形成一股與黑市競爭的力道，在臺灣資安大會的最後一天（3/21），亞馬遜日本資安官陳浩在臺首度揭露亞馬遜資安防禦機制，更點出參與漏洞獎勵計畫的白帽駭客，在防護機制上，有著舉足輕重的地位。此外，除了擔綱亞馬遜日本的資安負責人，陳浩維還是亞馬遜全球漏洞獎勵計劃的負責人，因此他也在演說中分享，亞馬遜如何把白帽駭客當成自己的夥伴，一同聯手強化資安防護的戰力。</p> <p>亞馬遜零售事業的資安防禦機制，陳浩維表示，可由上而下，畫分為4層。首先是審查層，為了有效地審查程式碼與架構的安全性，亞馬遜從教育訓練著手，不只軟體開發者須接受資安相關訓練，全體員工每年也都必須參加資安訓練課程，以確保每位員工都具備嚴謹，且最新的資安思維和認識。有了著實的訓練後，每個開發者所設計的程式碼，都需通過同儕審查機制，才可進行部署。</p> <p>而為有效管理不同類型的應用程式，亞馬遜還按應用的資安風險程度，將它們畫分進不同的類別，以進行不同的審查流程，包含了模擬攻擊，及審查架構設計等程序。陳浩維舉例，管理客戶資料的相關應用，就歸屬於最高級風險的類別，需要經歷最嚴謹的批准程序，才可通過審查。</p> <p>但陳浩維指出，即使經過分類，需要審查的軟體數量仍十分龐大，為解決人力不足的問題，軟體開發部門於是在各地招募駐地的外部開發人員，經過訓練後，賦予他們資安大使的認證資格，協助參與程式設計的功能審查。審查層的最後一道關卡，則是針對已發覺有漏洞，但尚未修復的應用，進行部署控制，確保應用在未完成漏洞修復工作前，不可上架或更新版本。</p> <p>審查層所設下的多道關卡，其實是為篩選出需進入第二階層防禦機制，進行實際安全測試的應用，陳浩維解釋。第二層的測驗由亞馬遜資訊部負責，除了透過靜態程式碼分析，確保程式碼的品質，亦藉由估算攻擊者可蒐集的資訊量，測試者會對僅知名稱的應用，進行黑箱滲透測試，另外，對完整了解其環境的應用，進行白箱滲透測試。且此階層不只涵蓋手動的測試方式，也採取自動化的方式，掃描應用存有的弱點。</p> <p>下一階層則為紅隊測試，內部資訊人員以攻擊者的角度出發，針對滲透測試無法完整盤點資安風險的關鍵產品，以及安全係數較高的應用，模擬駭客各種可能入侵的手段，通過探查作業，找出產品和應用的弱點，以實際了解它們可能遭受攻擊的漏洞，來對照出防禦能力上的缺陷，進而快速防堵並採取因應措施。 </p> <p>最後一階層的資安防禦機制，亞馬遜則透過與外部的白帽駭客合作，借助他們的攻擊思維，找出應用與產品被遺漏的弱點，強化防禦能量，並有效減少投入的資安成本。陳浩維還進一步說明，白帽駭客協助防禦，更是為了要確保客戶對亞馬遜服務信任，且因白帽駭客來自於全世界各地，所在地為不同的時區，而能24小時不中斷地進行大範圍的測試，以幫助亞馬遜發覺其忽略的漏洞。集結白帽駭客戰力的亞馬遜全球漏洞獎勵計劃（Vulnerability Reporting Program），目前分為邀請制和公開參與制兩種模式，陳浩維透漏，亞馬遜也正考慮未來開放內部員工一同參與。</p> <p>亞馬遜也用以客為尊的服務思維，來與白帽駭客合作，陳浩維解釋，不只是提供獎勵，從去年開始，亞馬遜更頒發感謝證書給邀請制中的白帽駭客，這也是亞馬遜創立20多年來，頭一回頒發證書給駭客。為表最高的尊重之意，證書還附上手寫卡片及管理高層的親筆簽名，以示亞馬遜對參與者的重視，而這些巧思就是由該計畫幕後的主力推手陳浩維所提出。透過這些舉動，亞馬遜期望建立與白帽駭客間的信任，成為一同對抗惡意攻擊的夥伴。</p> <p>陳浩維強調，不管是透過內部紅隊模擬惡意攻擊者的行為，或是邀請外部白帽駭客參與滲透測試，都是望提高攻擊者的成本，在真實攻擊發生前，做好防禦，並且創造不只對企業，也對網路社會有益的生態圈，讓大眾能安心使用網路服務。</p> </div></div></div>
2019/3/21 23:42作者黃郁芸https://www.ithome.com.tw/news/129507
【臺灣資安大會直擊】金管會大談四大金融資安監理，顧立雄更要金融業將資安視為業務創新的基石
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融資安，是金融業務創新發展的基石。」金管會主委顧立雄在臺灣資安大會金融安全論壇中開場時強調，金融業在發展科技創新時，勢必會帶來新的資安風險，所以仍須兼顧風險管理。尤其要面對越來越全球化和專業化的駭客攻擊，他進一步指出，金融業要發展以風險為導向的資安防護機制，來建立更完善的資安防護機制。</p> <p>在2019臺灣資安大會特別安排了一場金融安全論壇，不只金管會副主委黃天牧揭露金管會金融政策中與資安防禦相關的四大金融資安監理作為，金管會主委顧立雄也親自開場致詞，來凸顯金融業主管機關對資安的重視。</p> <p>而金融業界也齊聚一堂，包括永豐金控資安長李相臣、台北富邦銀行數位金融顧問李維斌、玉山銀行暨玉山金控資訊長謝萬禮、第一銀行資訊長劉培文、台新金控資訊長孫一仕，與將來銀行籌備處策略長吳建頤。</p> <p>此外，勤業眾信聯合會計師事務所董事萬幼筠，也針對金融機構在創新的同時，該如何強化企業的資安韌性進行演說。戴夫寇爾（DEVCORE）執行長翁浩正，也以駭客觀點看金融業情資，並分享企業如何在紅隊演練後，最佳化資安的資源、預算等投資。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5299.jpg" /></p> <p>金管會主委顧立雄。</p> </blockquote> <p>顧立雄也提到，金融機構面對來自全球的資安攻擊，如何化被動為主動，全面分析預防系統性風險的發生，是金融資安管理的首要課題。</p> <p>金管會副主委黃天牧也表示，「資安是所有人都要關心的議題，雖然資安不可能百分百做好，但金管會有責任要將資安環境做好。」</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">金融領域資安防護痛點</span></span></strong></p> <p>但，金融資安體系有四個防護痛點，黃天牧指出，第一是風險高，組織型駭客不斷試圖攻擊或勒索金融產業，一是為了錢，二是為了個資。第二是威脅多，金融產業快速發展新興技術時，就會與外界有更多接觸，進入金融體系的機會就越大．資安的威脅也就會增多。</p> <p>第三是溝通少，金融機構的資安防護各自獨立，跨行間缺少訊息溝通管道，所以需要協調平臺讓大家分享資安訊息。但是，金融機構本身不希望將自己遭受資安的問題，讓主管機關知道，主要是擔心受到名譽的損傷，以及害怕主管機關對它做更多的監理。「我們必須驅除這心賊，讓大家知道一起討論資安問題，才能對資安做更好的維護。」黃天牧強調。</p> <p>第四則是金融資安專業人才短缺，不止金融業缺乏金融科技與資安人才，金管會也做了臨時性的編組，把人力調整，在金融科技與資安上做了些著墨。</p> <p><strong><span style="font-size:24px;"><span style="color:#0000FF;">金管會推動金融資安監理的四項策略方向</span></span></strong></p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5333.jpg" /></p> <p>金管會副主委黃天牧。</p> </blockquote> <p>黃天牧表示，為了要推動金融資安監理，金管會也有四大推動策略方向，包括強化政策驅動、完備資安規範，提升資安能量以及落實資安執行，要藉由這四方向，完善金融資安制度，並推動業者落實執行。</p> <p>他提到，在強化政策驅動上，不是強制要求金融機構做資安，應該是要給個誘因，讓金融經營業者有動能去重視資安。</p> <p>金管會的作法是給出經濟誘因，然而，經濟誘因得與金融機構的業務有所連結。黃天牧舉例，金融業者申請開辦業務案件時，金管會就會檢視業者資安管理做得好不好，「資安會被列為業務准駁的重要考量因素之一」</p> <p>金管會也會將資安，納為存保費率計提的因素，讓資安做得好的銀行，適用較低的存保費率等，透過降低業者經營成本，作為鼓勵。而未落實資訊安全的金融機構，就會提高其作業風險法定資本的計提，讓兩者有所區別。</p> <p>「在金融監理，主管機關扮演的是推動者的角色，最重要的還是金融機構的董事會要負責資安的維護。」黃天牧強調，許多董事會其實不知道該如何監理資安，常常是知其然，不知其所以然。所以透過教育訓練，去強化企業董事會對資安的認知，以及對金融監理的能力，變得相當重要，因為董事會是營運公司最重要的決策族群。</p> <p>黃天牧表示，金管會也會在約談金融機構負責人時，將資安納入約談議題，要求負責人對資安有充分認知，換言之，金融機構董事會和負責人對資安的態度，會決定這個金融機構重不重視資安。</p> <p>而在完備資安規範部分，金管會認為，資安問題是與各金融機關的業務有關，而公會又是最清楚銀行、保險、證券做了哪些業務的組織，所以金管會會去要求公會訂定並定期檢討資安自律規範，因為他們才知道金融機構的業務，在現有的IT技術水準上，應該要做到什麼樣的資安規範。</p> <p>「金融機構資安做不好，等於內控做得不好，就會有處分的規定。」黃天牧透露，近期銀行法與證交法會有新的修正，將會強化處分範圍與法度，對於因資安做不好而違反內控，將來會有更強的處分機制，藉此進行節制。</p> <p>再來是提升資安能量，過往，資安可能是資訊的一部分，所以金管會規定銀行業與保險業資產總額達1兆元以上，需設置獨立的資安專責單位。「有專責單位，就會有更多的資源，有資源就會好好做資安，因為資安是花錢的。」他說。</p> <p>黃天牧表示，「資安不是口頭說說，而是要真正去做。」金管會每年也會配合行政院規畫，選擇部分金融機構作實際的跨域情境演練、DDoS演練、電子郵件社交工程、外網滲透測試與內網滲透測試。他也透露，金管會今年將規畫金融核心系統實驗場域，以及紅藍軍對抗等攻防演練，要用更逼真、挑戰的情境去測試金融機構，是否擁有抵禦資安的能力。</p> <p>最後是落實資安的執行，金融業得強化內部資安稽核功能。黃天牧提到，金管會的檢查局從去年開始，不只是做一般性的檢查而已，而是針對資安議題辦理專案檢查，藉此督促金融機構改進。未來，金管會也規畫辦理對網路銀行與行動銀行的專案審查，同時也正在準備，當未來純網銀成立後，將以何種機制進行審查。</p> </div></div></div>
2019/3/22 01:24作者李靜宜https://www.ithome.com.tw/news/129508
【臺灣資安大會直擊】4家國產資安大談海外拓銷經驗，要讓更多臺灣資安產品也能走向國際
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">在2019臺灣資安大會第三天有一場特別的</span>「臺灣資安國際拓銷論壇」<span class="s1">，找來國內多位資安企業代表，分別是精品科技董事長劉振漢、網擎資訊（Openfind）行銷處協理林家正、TeamT5 CEO蔡松廷、尚承科技CEO兼創辦人賴育承，而4位講者也就不同面向的產品與服務型態，分享向外國拓銷的經驗與面臨的挑戰。</span></p> <p class="p1"><span class="s1">劉振漢表示，當初會與日本最大SI公司NTT DATA合作，是因為日本2005年實施「個人情報保護法」，使當時各大政府、企業開始尋找相關產品以保護資料，也讓精品科技的X-FORT電子資料控管系統有機會被相中、獲得NTT DATA青睞而採用。</span></p> <p class="p1"><span class="s1">「但比機緣更重要的是，持續不斷的努力。」劉振漢強調，例如當時他們馬上就遇到不少挑戰，例如原有英文版操作手冊與介面得全面換成日文；遇到有顧客打給客服要諮詢問題時，因資安疑慮不能使用過去慣用的遠端連線作法，來協助解決顧客問題，而得耗費更多時間成本來了解顧客的狀況；也曾遇到大型企業用戶的導入規模太大，不只從決策到導入的時程非常久，一次部署上萬台電腦的模擬，也常與實際執行時的情況有出入，這都是他們進軍日本市場時真實遇到的挑戰。</span></p> <p class="p1"><span class="s1">進軍日本的國產業者不只</span>精品科技<span class="s1">，Openfind也在2000年進入了日本市場，開設了日本分公司，根據Openfind數據，2018年時，他們旗下</span>MailBase郵件歸檔產品的市占率達到26.2%，連續十年勝過所有日本當地業者的同類產品。除此之外，Openfind也搶在Gmail之前，就進軍奈及利亞市場，推出結合雲端功能的郵件服務，目前，全球市場上已有逾百萬的雲端用戶，使用者授權數超過2,500萬以上。</p> <p class="p1"><span class="s1">林家正表示，Openfind的海外策略是，偏好與ISP、CSP或電信業者合作，並歸納出三種</span>接觸<span class="s1">目標客戶的方法，分別是結合IaaS與PaaS廠商，加值對方的服務與產品；找當地的行銷公司，請對方協尋相對應的窗口；或積極加入參訪團，尋找合作機會。等到找到當地客戶後，Openfind再以共同品牌（Co-brand）或白牌產品（White Label)的策略，提供在地業者客製化的服務。</span></p> <p class="p1"><span class="s1">「小廠要生存，就要做到他們（大品牌）不能做的東西。」</span>林家正強調，像<span class="s1">Openfind以中價位做中高規格的服務，讓產品彈性符合當地法規、客製化滿足客戶需求，就是要做出差異化的產品，以自身優勢打入中小型企業的市場。</span></p> <p class="p1"><span class="s1">TeamT5是2014年成立的臺灣資安新創公司，主要販售兩項商品，分別是Threat hunting的技術與威脅情資的報告，因兩項商品的目標客群不同，考量代理商的銷售經驗與技術支援能力，而選擇兩家不同性質的代理商協助銷售。</span></p> <p class="p1"><span class="s1">蔡松廷在論壇中提出幾個問題。「技術能力很強？然後呢？」臺灣許多新創團隊行銷包裝、海外拓展能力有限，光有技術人才卻無法開拓國外市場。「怎麼保有具國際競爭力的產品？」日本的國際品牌競爭激烈，如何讓客戶選擇自家的產品是一大挑戰。「是否有打國際戰能力的團隊？」在地化非常重要，必須以客戶的思維去說服購買商品，語言能力也是關鍵。透過幾個問題的反思，提供國內業者開拓海外市場的方向。</span></p> <p class="p1"><span class="s1">最後，尚承科技以IoT Lifecycle Security技術，從晶片下手解決資安問題，也陸續與國際品牌AWS、NXP、Microchip合作。賴育承說明，尚承科技不需要建立太多自己的代理體系，反而積極與生產IoT、IC的原廠合作，「因為他們的客戶也是我們的潛在客戶。」從原廠客戶的產業鏈著手，尋找潛在客戶的銷售通路，以降低尋找代理商的成本，也是企業可參考的方向。</span></p> </div></div></div>
2019/3/21 22:34作者翁芊儒https://www.ithome.com.tw/news/129505
【臺灣資安大會直擊】開創臺灣資安新契機要找出痛點及機會，4臺新創籌資、選題經驗談
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為帶動國內資安產業發展，鼓勵資安新創也是政府所寄望的一大重點環節。那麼，臺灣資安新創所面臨的發展的痛點及機會是什麼呢？</p> <p>在20日舉行的資安新創交流論壇中，邀集了4家臺灣資安新創業者，包括Datiphy、尚承科技、CYBAVO與奧義智慧科技，分享其自身的經驗，透過交流方式相互學習，並期望能為臺灣新創發展提供不同的參考意見。</p> <p>基本上，一間新創公司所需要的資金，以及想要發展的面向，是所有資安新創業者就都會需要面對的問題，而資安領域面向相當廣，要在資安這條路上創業，其實有相當多條路可走。</p> <p>像是隨著各式新技術的發展，包括物聯網、區塊鏈技術，以及機器學習與AI等，全球有各式新興的資安解決方案不斷提出，像是這次4家臺灣資安新創中，所走的道路也都不一樣。如何選出自己想要發展的資安方向，就是資安創業者的一大挑戰，而好的開始，也就是成功的一半。</p> <p><strong>臺灣資安新創資金取得大不易，從矽谷引進創業投資</strong></p> <p>首先，由Datiphy創辦人暨技術長林益正登場，他以身為資安技術人員的角色，說明他是如何從臺灣開始，再借助國際合作伙伴的力量，開創自己的資安新事業。</p> <p>關於Datiphy，公司成立於2015年，總部位於矽谷，在美國、臺灣都有設立研發中心，以及技術支援窗口，主要產品為資料庫稽核。過去，林益正在臺灣資安領域，以玄力科技較為人所熟知，現場他也談到了自己的過去，他是在台大畢業、當完兵後，去美國念書，之後就在當地進入HP工作非常多年，並接觸了相當早期的資安產品開發，之後適逢全球不景氣的時代回臺灣創業，鎖定的技術領域是與資料、蒐集相關，包含資料庫分析、合規、資安風險模型等方面。</p> <p>在林益正的經驗中，他認為創業好處在於，可以省去大公司下的很多與技術研究非關的工作。只是，雖然他懂技術，可以花很多時間在技術上，但他自認沒法面對找資金找人的問題，不像別人能夠賣房子來創業。因此他的想法是，把公司搬到國外，第一件事就是要找一個合作伙伴投資人，不過他也承認，找創業投資（Venture Capital，VC）也是一件可遇不可求的事。</p> <p>在此，他其實點出了國際與臺灣創業在投資面的現況。在美國工作多年的林益正，回臺後才發現在臺灣創業資金不容易獲得，而在美國矽谷這樣新創公司蓬勃發展的地方，只要題目夠好、團隊夠強，就容易受到投資人關注。</p> <p>他並舉例，一間公司在臺灣可能只取得一兩千萬的資金，但在美國卻都是上億。因此，如果自己新創公司有龐大的資金需求，他會建議一開始就去國外尋找。</p> <p>關於資安創業上的經驗，林益正分享了4個新創科技的成功要素，分別是遠見與機會、熱忱、技術，以及團隊。而在新創的過程中，他認為，新創公司選題很重要，好的題目就先成功了一半，並強調有要興趣才能讓公司稱下去，進而有可能找到資金。另外他也提醒，新創公司也應重視透過專利，保護自己的技術，而這也是創業投資方會看的項目。</p> <p><strong>看重IoT安全領域，因為物聯網裝置變更多但</strong><strong>人力不足</strong></p> <p>接著，由尚承科技股份有限公司創辦人暨執行長賴育承，道出他在資安新創的心路歷程。</p> <p>關於尚承科技，成立於2014年，是發展物聯網安全服務的新創公司。賴育承表示，過去他在工研院服務超過10年，這是他第二次創業，而他也坦承，資金問題確實也是尚承科技所面對的一大難題。</p> <p>那麼他是如何解決呢？雖然不到賣房子的地步，但他這次回臺創業，可是將自己與老婆的房都拿去抵押。另外，他還提到曾經在中國找資金時，有一家公司提出翻倍的價格，但想要取得51%的股權，後來他拒絕了。這樣的狀況，其實是各類型新創公司都會面臨的情況。</p> <p>對於資安創業時的選題過程，首先，他看到國內產業對軟體人才不公平的問題，同時他也提到市場已經蓬勃發展，但人才培育進度來不及跟上，而他看好未來最多的裝置就是IoT裝置，因此他創立公司所選定的題目是IoT Lifecycle Security。</p> <p>他並指出，現在IOT Security還是很多沒被解決的問題，然而又沒有人有辦法去做IoT安全方面的Coding，因此他將目標，放在不需要寫任何程式（0 Coding），又要能幫助IoT享有資訊安全的面向，同時針對IoT攻擊背後鎖定的IC，提供服務，期許讓IOT的安全，變得不費力。</p> <p><strong>首次創業就鎖定區塊鏈安全，早期市場切入挑戰大</strong></p> <p>第三個分享的臺灣資安新創業者，是CYBAVO執行長范紀鍠。相較於其他3家臺灣資安新創，CYBAVO成立時間最晚，去年2018年剛剛成立，不過范紀鍠的過去資安經驗也有16年，在趨勢科技任職8年，後來在北京奇虎360工作，這是他首次創業。</p> <p>現場，他也提供了區塊鏈的創業選題經驗。范紀鍠表示，他們團隊是由一群區塊鏈、加密貨幣與資訊安全等各領域專家組成，當初對於區塊鏈金鑰管理有一些想法，因此相中加密錢包的安全。</p> <p>對於區塊鏈上的資安選題，他說明了有兩個方向可以討論，一是區塊鏈上本身的安全問題，另一是可用區塊鏈來解決已有的資安問題。前者包含像是智能合約、DApp安全審計，安全錢包、共識演算法設計、交易安全、KYC/AML、情資分析，NODE節點安全、密碼演算法開發等，後者則有將區塊鏈用在身分識別、設備准入、IoT管理，防毒、單點登入、DNS、隱私與防DDoS。</p> <p>他坦承，這兩個方面題目的挑戰都很大，畢竟區塊鏈本身還沒有很成熟，他們在一個相當早期的階段進入市場，也算是提早準備的階段，但這也是他們在資安創業上很大的挑戰。而他們也希望相關法規認證的成熟，企業為了合規就會願意投資這方面的安全，例如，目前他們相準的是Semi-Code Wallet的方案，希望能結合冷熱錢包的優點，又有</p> <p><strong>廣泛盤點資安市場所有類型，發現共同缺少的部分是自動化</strong></p> <p>最後，則是由奧義智慧科技共同創辦人吳明蔚，來分享他們的資安新創經驗。奧義智慧是在2017年成立，三位創辦人都是知名的網路安全專家，分別是邱銘彰（Birdman）、吳明蔚（Benson）和叢培侃（PK），由於他們前面的資安創業經驗，也讓他們在市場上的新動向，備受多方關注。</p> <p>吳明蔚表示，這是他個人第二次創業。在這次的創業過程中，他們的想法很簡單，離開先前公司時，儘管然還不知道要做哪一方面，但已經有一定要出來的決心。他並秀出他離職時的月薪是18萬元，表示離職前就有背水一戰的想法。</p> <p>關於再次創業，他們一開始也是有資金與選題上的問題。在資金方面，當時他們5人共同也只湊出了295萬元，有車庫創業的感覺。談到國外併購，他認為臺灣缺乏通路品牌、企業招牌，這是新創業者會需要面對的狀況，而這次創業，他們希望能發展臺灣公司，並能夠自己掌握技術。</p> <p>關於當時資安創業他們是如何選題，吳明蔚表示，他們先是透過Momentum Cyber Security Landscape去盤點，但也發現每個資安領域都有很多缺點，最共同的部分就是不夠自動化，爾後他們從資安鑑識、AI這個面向切入，主要也是他們看到過去調查鑑識所花的時間太久。</p> <p>在他們的發展過程中，還遭遇的一個抉擇是，身為一家新創到底要決定只要一個產品走天下，還是願意投資更多將產品補齊去滿足客戶。另外，他們也鼓勵臺灣打團體戰，並抱持樂觀角度鼓勵臺灣資安創業。</p> <p><strong>資安新創打團體戰</strong>，<strong>找到</strong><b>互補可能是不錯選擇</b></p> <p>從這4家臺灣新創的經驗來看，在資金與資安創業選題方面，都給出了他們自身的經驗。不僅如此，言談之間其實還有很多小故事，較值得注意的是，會談中還提到一點建議是，資安新創要打團體戰，並獲得不少贊同意見。因此，在這場資安新創交流論壇中，主持人iThome電腦報總編輯吳其勳，也在接續的座談會中，針對這方面進一步詢問他們這方面的看法。</p> <p>當中，林益正也給出一些意見，他認為，再大的企業資源也有限，為了打團體戰而打團體戰，可能無疾而終，通常比較好的契機點，像是互補性的產品就有機會，只要行得通，就可以再做第二層的整合，通常會帶來比較好的合作成果。</p> <p>雖然，他認為可能10個裡面才有1個成功，而且一開始可能沒有直接能結合互補的公司，因為臺灣公司做的比較散，不過，他認為慢慢還是會發現，同時也提醒要保持開放的態度，全球的公司都可以試試看。</p> <p>而范紀鍠也提到相關經驗，他指出區塊鏈領域，曾經發現有丹麥公司跟自己做得很類似，原本以為是競爭對手，但接觸後才發現，原來雙方目標沒有那麼衝突，反而有了彼此合作的機會。</p> </div></div></div>
2019/3/21 23:23作者羅正漢https://www.ithome.com.tw/news/129506
【臺灣資安大會直擊】世足賽期間資安威脅大公開，趨勢：小心社交平臺、惡意網站及文件讓你惡意程式上身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">去年對足球迷來說，可能是狂熱的一年，因為每4年一次的世界盃足球賽在俄羅斯舉行，各國球迷齊聚一堂，為自己的國家隊加油，也是足球巨星們展現精湛球技較勁的全球競技場。</span></p> <p class="p1"><span class="s1">不過，世足賽期間不僅足球場上球員表現精采，網路上也出現各種安全威脅，趨勢科技在臺灣資安大會上分享了他們對去年世足賽(6/14-7/15)期間的網路威脅研究。他們從開幕前兩週就先展開觀察，威脅的定義包含了針對世足賽官方舉辦單位及相關組織的惡意程式或惡意網站，未經授權商品及詐欺行為，還有影響實體世足賽安全。</span></p> <p class="p1"><span class="s1">趨勢科技利用自家的Smart Protection Network，加上線上檢測工具Virus Total、新聞媒體，以及Twitter、Instagram等SNS平臺。</span></p> <p class="p1"><span class="s1">趨勢科技研究員Hsiaoyu Shih表示，從我們的觀察來看，這些威脅的大多數是非官方授權的商品販售，例如票券、球衣或球帽，威脅類型主要是以惡意的電子郵件及網站為大宗。在世足賽開始的前兩週就可以看到整體的威脅上升的趨勢，惡意網站數量從世足賽開始的6月14日逐漸下降，推測可能是買到假商品的人通報，使得這類惡意網站被查封。</span></p> <p class="p1"><span class="s1">「這類的網路威脅通常利用人們關心的事件，相信不只會出現在世足賽，也可能發生在2020年將舉行的東京奧運上，或是大型選舉活動，這些都是吸引受害者上當很好的題材」，Hsiaoyu Shih表示。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03338%20(1).jpg" style="width: 600px; height: 399px;" /></span></p> <p class="p1"><strong><span class="s1">SNS成為駭客散佈攻擊的良好管道</span></strong></p> <p class="p1"><span class="s1">趨勢也對Twitter與Instagram等貼文進行威脅分析，以Twitter為例，他們先利用Twitter API鎖定12個賽場方圓1公里內的貼文，再從和世足賽相關的關鍵字如FIFA、Worldcup等過濾這些貼文，蒐集和世足賽有關的內容，其他國家語言的貼文利用Google API翻譯為英文後再蒐集，之後再對較危險的關鍵字如Weapon、Kill、Theaf等標示為紅色，其他如worldcup、bad、fifa等則標為黃色。</span></p> <p class="p1"><span class="s1">沒買到入場票的球迷通常會到賽館現場找找看有沒有黃牛票可買，一則推文表示可提供購票的管道，實際點入後連結到Instagram，再連到非官方的售票網頁；另一例子則是在推文中散佈賭博的訊息，要求使用者點入連結到一個陌生的網站，這個網站可能因為限制造訪者的IP位置，因此無法進入。</span></p> <p class="p1"><span class="s1">「SNS雖然是很好的社交平臺，同時也是駭客散佈攻擊很好的平臺」，她以販售假球衣的訊息為例，球迷進入陌生網站，最遭的可能不是買到假商品，球迷還可能被騙取信用卡資料，蒙受財產上的損失。</span></p> <p class="p1"><span class="s1">趨勢科技也發現疑似從FIFA內部外洩的文件，內容和FIFA官方網站開發有關，被上傳到Virus Total，趨勢科技推測可能是人員失誤，不小心將內部文件流出。</span></p> <p class="p1"><strong><span class="s1">駭客以世足賽免費視訊、預測賽事文件為名散佈惡意程式</span></strong></p> <p class="p1"><span class="s1">在世足賽的研究期間，趨勢發現種種的惡意攻擊手法，其中是一個惡意網站，以知名球星的圖像吸引球迷，宣稱能免費提供觀看球賽的即時串流影像，要求受害者下載一個Android app，實際上這是一個竊取資料的惡意app，安裝後就會開始要求各種裝置的權限，竊取的資料包含使用者的裝置名稱、位置及IP，還有SMS訊息、文件檔案等等。從app利用Google Drive散佈、程式碼訊息中隱含阿拉伯文資訊，種種手法和在中東地區的APT駭客組織APT-C-23極為相似。</span></p> <p class="p1"><span class="s1">另一個攻擊的手法則是以世足賽的賽事結果預測為名散佈惡意的Word文件，當受害者感興趣而點開文件，會顯示文件受到保護，要求啟動文件，啟動後就會看到駭客隨意截取自媒體報導的比賽預測訊息，但同時這個動作也會開始執行惡意巨集程式碼，並從C&C伺服器下載以JPG為副檔名的檔案。</span></p> <p class="p1"><span class="s1">有趣的是，趨勢科技檢視C&C伺服器，發現Image資料匣內的檔案都存放JPG的檔案(下圖)，看起來很合理，打開這些JPG檔案也會看到普通的圖像，實際上這些圖檔掩藏.exe或.dll的可執行檔，一旦執行後便會下載後門程式，竊取受害者的電腦螢幕截圖、側錄鍵盤輸入，或是搜尋特定的檔案，再將竊取的資料上傳到受企業信賴的雲端儲存服務，例如Dropbox。駭客也利用這些受信賴的雲端服務儲存下一階段攻擊的檔案。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-21%20%E4%B8%8B%E5%8D%8810_12_21.jpg" style="width: 600px; height: 403px;" /></span></p> <p class="p1"><span class="s1">趨勢科技解析這份惡意文件，發現先前的文件內容和北韓有關，顯示駭客先前可能曾利用北韓為議題，吸引其他關心這類議題的受害者上當，這代表駭客只要變換題材內容，就能吸引其他目標的注意。從攻擊手法和針對韓語使用者為目標來看，趨勢科技研判和駭客團體Group 123手法相似。</span></p> <p class="p1"><span class="s1">「讓大家為之瘋迷的活動，一定是駭客吸引使用者上當的很好題材，不論是個人或是舉辦賽事等各種大型活動的組織都應該特別小心」，Hsiaoyu Shih表示，個人或組織都應該具備網路安全的知識，對這類吸引人的文件，應該要知道以正確、安全方式處理，她也提醒，即使在活動結束後也要保持警覺，因為駭客的目標可能不是這次的活動，另外，企業也應該要有充足的準備因應攻擊，才能將傷害降到最低。</span></p> </div></div></div>
2019/3/21 22:36作者蘇文彬https://www.ithome.com.tw/news/129504
【臺灣資安大會直擊】行政院資通安全處：政府部門資安治理評鑑新系統將建置完成，最快今年5月上路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，資通安全管理法正式施行後，該法依照機關業務分成A、B、C、D、E等5個資通安全等級，不同級別對應到的資安執行事項也不同，其中針對資通安全要求更高的A、B級機關，依法規定得要完成資安治理的成熟度評估，希望透過自我評量的方式，讓各機關可以持續強化資安自主與管理能力。</p> <p>行政院資通安全處高級分析師林春吟在今日最後一天的臺灣資安大會上也預告，這套新的資安治理評鑑系統，不久即將上線，預計今年5月就會開始實施，屆時，機關就能進到系統來做自我評審，並依據評量的結果，掌握自身資安治理的成熟度，進而針對還不足的資安管理面向，持續改善精進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190321_161911.jpg" style="width: 600px; height: 338px;" /></p> <p>在整個評審制度上，可依正三角架構分三層，分別是技術層（如存取管理、通訊管理等）、管理層（如資產管理、資訊委外管理等），以及最頂端的策略層（如資安治理架構、資安資源管理），總共11個管理流程構面，多達40道問項，來做為評分基準。</p> <p>另外，還依據資安治理成熟度建立分級制度，分成0～5共6級，第0級代表未成熟，不具資安治理能力;第1級則是開始具備基本資安治理執行能力。當來到第2級，則是加入流程管理機制，包括治理規劃、執行與監督等;第3級則是更進一步將治理流程作業標準化;第4級更開始運用歷史資料蒐集與分析建立可預策流程，持續改善治理流程。最後，第5級則是創新型，透過各種新技術，來優化治理各流程構面。</p> <p>林春吟表示，今年設定的目標是至少30個A級機關要達到2級，長遠目標更是全部都達到3級，也就是能夠將資安治理納入機關日常作業流程。</p> <p>不只是建立完善的資安基礎環境，在國家資安聯防體系的推動上，她指出，繼國家級N-ISAC資安資訊分享與分析中心、N-CERT電腦網路危機處理中心先後設置完成後，今年上半年也將會建置完成更複雜的國家級N-SOC資安監控中心，接著在下半年就會與全臺六都的SOC中心系統串接，藉此來建構國家層級的資安感知能力，以實現自動化情資共享。</p> </div></div></div>
2019/3/21 19:13作者余至浩https://www.ithome.com.tw/news/129503
Oculus Rift S改用Inside-out位置追蹤技術，預計春季上市售價399美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.oculus.com/blog/announcing-oculus-rift-s-our-new-pc-vr-headset-launching-spring-2019/">臉書在GDC 2019上發布了最新款的Oculus頭戴裝置Rift S</a>，更新了螢幕以及控制系統，官方預告將在2019年春天發布，售價為399美元。Rift S為原本Oculus Rift系列的最新替代產品，因此應用程式與遊戲都與前代完全相容，而且依然僅支援個人電腦平臺。</p> <p>Rift S的螢幕獲得大幅的更新，改進了光學和顯示技術，Rift S的螢幕有更高的畫素密度，能顯示更清楚的影像。之前的版本Rift使用了雙PenTile OLED面板，解析度為2160×1200，而Rift S則是與Oculus Go一樣，使用同一塊解析度為2560×1440的LCD面板，由於畫素增加了不少，因此可以顯示更多圖像細節。</p> <p>Rift S跟Oculus Quest一樣使用了Oculus Insight技術的Inside-out追蹤，不再需要使用外部感測器，Oculus Rift S使用電腦視覺演算法即時捕捉、追蹤和導覽物理空間，並且搭載了5個感測器，能提供最大程度的追蹤空間，以支援現存的Rift函式庫。Oculus Touch控制器也經過重新設計，能夠支援Inside-out追蹤，執行熟悉的動作包括抓取等姿勢。</p> <p>Oculus Rift S還加入了Passthrough+技術，可以提供真立體校正透視，幫助使用者設定Guardian邊界，而當使用者在虛擬世界走出了邊界，則Passthrough+會自動啟動，避免使用者碰到周邊物品。Passthrough+利用了Oculus Runtime核心，以電腦視覺演算法產生黑白的視圖，供玩家透視周遭環境，官方表示，當使用者需要離開或是看一下遊戲外時特別有用。</p> <p>官方提到，他們與聯想合作設計Rift S，採納他們在VR和AR領域的經驗以及來自社群的回饋，他們改善Rift S整體裝置的配重，並且改進光線阻擋，減少外部光對畫面的干擾，也使用單線系統，減少線材干擾使用體驗。Rift S整合了聲音系統但仍附有耳機孔，使用者可以使用自己喜歡的耳機。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/3vPz9KFXWTk" width="560px"></iframe></div> <p> </p> </div></div></div>
2019/3/21 17:30作者李建興https://www.ithome.com.tw/news/129494
南韓發現首起偷拍還在網路上直播的案例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去南韓玩可能要小心一些了，南韓警方在本周<a href="https://gizmodo.com/spy-cam-ring-recorded-1-600-hotel-guests-for-a-subscrip-1833446406" target="_blank">逮捕了兩名涉及在南韓各大城市的汽車旅館（Motel）安裝隱藏式攝影機的嫌犯</a>，而且還在自己架設的網站上提供直播串流服務。</p> <p><a href="https://edition.cnn.com/2019/03/20/asia/south-korea-hotel-spy-cam-intl/index.html" target="_blank">根據外電報導</a>，這些嫌犯總計在南韓10個城市的30家汽車旅館中的42個房間安裝了隱藏式攝影機，這些攝影機可能被藏匿在機上盒或牆上的插座上，從去年11月24日到今年的3月2日間，總計盜錄了約1,600支影片，並在所經營的國外網站上提供串流服務，假設想要重覆播放就得支付每月44.95美元的訂閱費用。在該站的4,000名會員中，只有97名付費訂閱。</p> <p>盜錄行為在南韓日益猖獗，在2012年時，當地的非法盜錄案件數量只有2,400起，2017年已成長到6,400起。而且偷拍的地點不只限於摩鐵、公廁，警方還發現了有人特地利用遠鏡頭拍攝住家中的裸露女性，這名女性住在首爾一座大廈的22樓。</p> <p>南韓警方則坦承，過去也有不少類似的偷拍案件，但這是首次有人在網路上公開直播。</p> <p>不論如何，這些案件已讓南韓的女性充滿不安全感，這一年來已有數萬名南韓女性走上街頭，以「我的生活不是你的色情影片」（My Life is Not Your Porn）為口號，呼籲政府採取更積極的整治行動。這兩名嫌犯最多可被判處5年的有期徒刑。</p> </div></div></div>
2019/3/21 17:32作者陳曉莉https://www.ithome.com.tw/news/129500