iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 121篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 121 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象3 家

路透社2筆關係
日經中文網1筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

廢棄的finalize？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Java繼承體系中，最頂層是Object類別，當中定義了各式物件的基礎行為，然而，其中的finalize方法問題重重，絕大多數情況下應避免使用。到了Java 9，斷然廢棄了finalize方法，這動作對基礎類別來說，絕不尋常，而且引發的問題是，當資源清除不得不依賴在物件生命週期結束之時，到底該怎麼做呢？</p> <p><span style="font-size:28px;"><strong>惡名昭彰的finalize</strong></span></p> <p>早在2001年《Effective Java》第一版的條款六，就談到「避免使用finalize方法」，這方法的規範聲稱，若開發者定義了該方法，在垃圾收集打算清除物件之前，會被執行，然而，JVM啟動垃圾收集的時機不定，因此，finalize執行的時機也就不定，這是多數Java開發者被告誡避免使用finalize方法時，最常用的理由之一。</p> <p>實際上，finalize方法還有更多問題，finalize只會執行一次，而在finalize被執行時，若物件自身因故被其他執行緒參考了，這時就會終止回收物件，之後就算該物件又有了被回收的時機，finalize也不會再執行了；finalize中拋出例外會終止方法的執行，然而例外會被忽略，令除錯發生困難；在實作繼承時，子類也可能疏忽，忘了呼叫父類的finalize方法，導致資源清理不完全等問題。</p> <p>話雖如此，Java SE標準API卻也有類別，定義了finalize方法，例如，java.io的FileInputStream等。若查看Java 8或早期的API原始碼，可看到實作中呼叫了本身定義的close方法；第三方程式庫實作，也可見到定義了finalize的類別，例如MySQL JDBC驅動程式的Connection介面實作中，就可見到定義finalize來清除資源。</p> <p>顯然地，這類API是將finalize作為資源清理的最後安全網，畢竟，有時資源慢一點清除，總比不清除來得好，是吧！問題就在於定義了finalize之後，垃圾收集的時機可能被一再推延，甚至沒有機會執行，而且，垃圾收集需要的時間會拉長，不少開發者甚至會發現，只不過加了個finalize方法，就導致了OutOfMemoryError。</p> <p>這是因為，如果定義了finalize的物件，會被排入一個終結佇列（finalization queue），而且，可能在主垃圾收集（Major GC）發生時，才執行finalize，若物件產生的速度快於清除的速度，就會發生記憶體不足的問題（可參考〈The Secret Life Of The Finalizer〉（<a href="https://bit.ly/2tDvfGA">https://bit.ly/2tDvfGA</a>））。</p> <p><span style="font-size:28px;"><strong>物件回收時自動執行？</strong></span></p> <p>當涉及系統資源或非本地資源（資料庫之類），不使用相關資源時，應主動將之關閉，這是開發者的基本常識。然而，關閉資源的邏輯在實作上，遠比許多開發者想像的還要麻煩（特別是使用Java時）且容易出錯，為了有個最後的安全網，FileInputStream、Connection等實作類別時，選擇了finalize作為最後防線，若開發者忘了或者實作錯誤時，至少還有個finalize可以在物件回收時，自動執行資源清理動作。</p> <p>資源的清理和物件的生命週期，實際上，應該是兩個不同階段的概念，為了鼓勵、簡化與正確地實作資源清理邏輯，Java 7引進了try-with-resources語法，以及AutoCloseable介面，對於涉及資源清理職責的物件，都應該實作AutoCloseable，並善用try-with-resources語法，而不是依賴於物件生命週期。</p> <p>然而，資源清理非得考慮與物件生命週期掛勾的時機，還是有的。若不定義finalize方法的話，在Java 8或早期版本中，PhantomReference會是個解法，建構PhantomReference時，必須指定參考物件（referent）與ReferenceQueue實例，若某物件只剩PhantomReference參考著，那麼，垃圾收集時可以回收該物件，PhantomReference實例則會移入ReferenceQueue。</p> <p>因此，可以繼承PhantomReference，並自定義清理資源的方法（例如close），在受控的邏輯下，來實作定時或不定時對ReferenceQueue的查詢（像是透過poll方法），在能夠從ReferenceQueue取得PhantomReference實例時，呼叫自定義的清理資源方法，並從ReferenceQueue當中，移除PhantomReference（可參考〈Phantom References in Java〉（<a href="https://bit.ly/2SZkz3X">https://bit.ly/2SZkz3X</a>））。</p> <p>儘管透過PhantomReference，清理資源的執行時機仍是不確定的，然而，開發者無法取得PhantomReference參考的物件（PhantomReference的get方法總是傳回null），清理資源的方法執行時，也不會私吞例外，不致於強制客戶端，只能無從選擇地順從finalize的實作。</p> <p>PhantomReference運用的實際案例，存在於JDK內部API，例如，內部API中的sun.misc.Cleaner，是PhantomReference子類，在DirectByteBuffer當中，擔當釋放記憶體的職責。</p> <p><span style="font-size:28px;"><strong>Java 9的Cleaner</strong></span></p> <p>在Java 9中，正式將finalize標示為廢棄（Deprecated），對於物件回收時自動執行指定邏輯的這件事，則提供了java.lang.ref.Cleaner類別，這有很大的程度是sun.misc.Cleaner公開移植版本，不過，並非PhantomReference子類，不能繼承、也沒有公開建構式，必須透過工廠方法create建立Cleaner實例，開發者透過Cleaner實例的register註冊物件，以及一個Runnable實例。</p> <p>此時，被註冊的物件，在內部的實作上，會被PhantomReference的子類實例持有，若那時物件只剩PhantomReference參考，就會執行註冊時提供的Runnable實例之run方法，並從Cleaner取消註冊，因此，可以實作Runnable來進行資源清理。</p> <p>透過Cleaner實例的register註冊時，會傳回Cleaner.Cleanable實例，它具有clean方法，呼叫的話，會執行Runnable的run方法。並從Cleaner取消註冊，因此，API客戶端也可以自行呼叫clean方法來清理資源，在Cleaner的API文件上，就有個結合AutoCloseable的範例，若需要提供主動關閉資源的時機，同時，也希望有個最後清理資源的安全網，可以考慮採用該模式。</p> <p>這時，開發者會想問了：過去，Java標準API中FileInputStream等的finalize相容性，怎麼辦呢？Java 9後FileInputStream等類別，清空了finalize方法的實作，而且標示了@Deprecated(since="9", forRemoval = true)，不過，就這麼清掉其中邏輯，是否會造成依賴在finalize的物件，在Java 9之後無法清理資源呢？</p> <p>對此，FileInputStream等在內部實作上，預設會改用PhantomReference機制，作為最後呼叫close方法的防線，如果有子類且自定義了close方法，實例化時，會有個內部的AltFinalizer實例產生，作用就是等著被回收時，呼叫AltFinalizer定義的finalize方法（被加了@SuppressWarnings("deprecation")），並且在其中進行相關資源的清理。</p> <p><span style="font-size:28px;"><strong>避免使用Cleaner</strong></span></p> <p>儘管Cleaner在使用上，可以避免掉finalize的一些問題，然而在《Effective Java》第三版條款八中，依舊建議避免使用。因為「仍然是不可預測、運行緩慢」，而且，在System.exit之類結束應用程式的情況下，規範上並沒有指明是否一定要執行清理。</p> <p>總而言之，真正重要的是，我們\必須分別看待資源清理和物件生命週期。對於資源，應優先考慮實現AutoCloseable，明確地關閉資源或者搭配try-with-resources，非不得已，才能將Cleaner或PhantomReference當成最後的手段。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/finalize">finalize</a></div><div class="field-item odd"><a href="/tags/java">Java</a></div><div class="field-item even"><a href="/tags/cleaner">Cleaner</a></div></div></div>
2019/4/4 21:42作者林信良https://www.ithome.com.tw/voice/129618
Google雲端記憶體資料庫服務Cloud Memorystore現支援Redis 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/databases/cloud-memorystore-now-with-redis-version-4-0-support-and-manual-failover-api">Google在其雲端Redis記憶體資料庫服務Cloud Memorystore支援Redis 4.0</a>，改善了快取和記憶體的使用，還加入手動故障轉移API，讓使用者能夠測試Cloud Memorystore故障轉移的行為。</p> <p>Cloud Memorystore能夠自動管理Redis實例，執行配置、擴展和監控的任務，適合低延遲且高可用性要求的使用案例，像是遊戲與零售應用。現在最新版本的Cloud Memorystore開始支援Redis 4.0，主要的功能更新包括快取改善以及活躍記憶體去碎片化。</p> <p>Redis 4.0在快取檔案置換機制上，開始採用最近最少使用（Least Frequently Used，LFU）演算法，這可以比之前使用的最久未使用（Least Recently Used，LRU）演算法，更加精確測量快取使用，Redis的LFU使用逼近演算法實作，不會大量增加記憶體使用。除此之外，Redis現在可以線上對記憶體進行去碎片化工作，這將能主動回收未使用的記憶體，防止不必要的系統崩潰。</p> <p>Google也為Cloud Memorystore增加手動故障轉移API，讓使用者測試應用程式故障轉移的行為。Google提到，測試Cloud Memorystore在產品階段，當發生錯誤時的服務轉移行為非常重要，使用者可以使用這個API，主動觸發故障轉移並觀察其行為，供使用者規畫系統備份以及還原功能。</p> <p>為了讓使用者方便對Redis應用程式除錯，Google在前一個Cloud Memorystore版本，對Stackdriver開放Redis指標，而現在為了進一步讓使用者能更簡單地在客戶端除錯，Google與OpenCensus合作，讓系統自動收集應用程式的追蹤資料以及指標，並可使用各種後端監控工具，包括Stackdriver，以更詳細暸解Redis的效能表現。OpenCensus為一遙測資料收集函式庫，能夠對使用者服務進行分散式追蹤收集指標。</p> </div></div></div>
2019/4/4 20:34作者李建興https://www.ithome.com.tw/news/129787
Google推出為計算密集工作最佳化的C2 VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/compute/introducing-compute-and-memory-optimized-vms-for-google-compute-engine">Google為計算密集工作負載推出計算最佳化虛擬機器C2系列</a>，使用最新的第二代英特爾Xeon可擴充處理器（Intel Xeon Scalable Processor），比起一般GCP虛擬機器能提供超過40％的效能，另外，Google也預告將推出新的記憶體最佳化虛擬機器M2系列，記憶體配置最高將達12TB。</p> <p>Google提到，絕大多數的工作負載都可以在一般的GCP虛擬機器上執行，但是隨著企業將越來越多的應用搬上雲端，對於特定類型的工作負載來說，在經最佳化的虛擬機器上執行會更加適合，像是HPC、電子設計自動化、遊戲或是單執行緒應用程式。</p> <p>計算最佳化虛擬機器是GCP上新的C2計算系列，不只單個執行緒效能較高，記憶體速度也非常快，因此適合用來處理大多數計算密集的工作，可以比現有的虛擬機器額外提供超過40％效能，其使用了第二代英特爾Xeon可擴充處理器，能以時脈3.8 GHz的高效能速度進行計算。Google提到，計算最佳化虛擬機器對外公開底層伺服器平臺架構，因此使用者能夠進一步調校虛擬機器效能。使用者最多可以選擇使用60個vCPU，240 GB記憶體以及最多3 TB的本地端儲存。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Compute-Optimized_Machine_Types_max-900x900.png" style="width: 600px;" /></p> <p>另外，Google更新針對記憶體最佳化的虛擬機器產品線，預計推出M2系列。這類虛擬機器能滿足高記憶體配置需求，可以用來執行像是大型記憶體資料庫SAP HANA，或是記憶體分析工作負載等記憶體密集的任務。在去年Google就發布了配置最高4TB記憶體的虛擬機器，現在M2系列讓使用者能配置達12TB的記憶體以及416個vCPU，這些虛擬機器同樣將會使用第二代英特爾Xeon可擴充處理器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Memory-Optimized_Machine_Types_W1nX8QL_max-800x800.png" style="width: 600px;" /></p> <p>C2仍在測試階段，該系列有5個等級，最基本的規格c2-standard-4每小時0.209美元，最高等的c2-standard-60實體則每小時收費3.13美元，C2虛擬機器也提供先占式（Preemptible ）虛擬機器類型，每小時0.0505美元起，而記憶體最佳化虛擬機器M2系列將會在這一季上線，目前價格未定，會在晚些時候公開。</p> </div></div></div>
2019/4/4 20:37作者李建興https://www.ithome.com.tw/news/129784
Chromium版的Microsoft Edge仍將支援4K串流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你可能不知道，Microsoft Edge現為市場上唯一支援4K串流的主流瀏覽器，而且外界正擔心若微軟改採Chromium作為Microsoft Edge的瀏覽器核心，將讓Edge錯失此一優勢，然而，眼尖的開發人員卻發現Chromium版的Microsoft Edge正在實驗PlayReady DRM及PlayReady HEVC Decoding兩項功能，可望延續其支援4K串流的能力。</p> <p>PlayReady為微軟所開發的DRM技術，已被嵌入在電視、手機、平板及個人電腦等硬體裝置上，亦被部署於應用程式及作業系統中，根據微軟的估計，全球已有數千種服務及超過40億台的裝置採用PlayReady。</p> <p>當使用者在電腦上串流影片時，可串流的影片解析度除了得參考螢幕與處理器的能力之外，還必須仰賴瀏覽器及其所使用的數位版權管理（Digital Rights Management，DRM）技術。</p> <p><a href="https://blogs.windows.com/windowsexperience/2016/07/13/get-better-quality-video-with-microsoft-edge/#4EYCj5e1eEdvRHDF.97" target="_blank">根據微軟的說法</a>，內容供應商在網路上串流高階影片時，必須在提供最佳品質及確保內容受到保護之間取得平衡，隨著內容的品質愈來愈好，市場也愈來愈需要強大的DRM技術，這些系統必須能夠保護媒體串流以讓它們只能允許取得授權的用戶播放，當業者質疑影片可被輕易儲存或分享時，就不會提供高階影片串流。</p> <p>微軟的言下之意是該公司所開發的DRM技術PlayReady符合業者的需求，因此在2016年時，當其它瀏覽器都只能執行720p解析度的影片串流服務時，Edge已支援1080p的影片串流，而<a href="https://help.netflix.com/en/node/23742" target="_blank">現在Edge也是唯一可執行Netflix 4K影片串流服務的瀏覽器</a>。</p> <p>相較於Edge所具備的4K串流能力，目前透過Chrome、IE或Safari所能串流的Netflix影片最高解析度為1080p，而Firefox或Opera最高都只能達到720p。</p> <p>因此，當微軟宣布Edge將改採Chromium核心時，即有人擔心Edge將喪失對4K串流影片的支援。不過，現身於Chromium版Microsoft Edge中的PlayReady DRM選項，代表它將允許Edge使用PlayReady的DRM技術，PlayReady HEVC Decoding則是以HEVC技術，來解碼PlayReady內容，定位為高效率的HEVC編解碼技術可支援4K解析度、超高畫質電視（UHDTV），甚至是8K解析度。但不論是PlayReady DRM或PlayReady HEVC Decoding設定都只會出現在Windows 10的Edge上。</p> <p>市場預期微軟很快就會釋出Chromium版Edge的預覽版，也推測Google未來也會在Chromium的專案中嵌入類似功能，不讓Edge專美於前。</p> </div></div></div>
2019/4/4 20:50作者陳曉莉https://www.ithome.com.tw/news/129791
Android Q第二測試版能限制App存取外部儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在3月中的時候發布了最新行動裝置作業系統Android Q預覽版，強調使用者隱私，現在<a href="https://android-developers.googleblog.com/2019/04/android-q-beta-2-update.html">發布了第二個測試版</a>，啟用Scoped Storage隱私政策，還新增支援多重任務操作的對話泡泡，而Android Q也開始支援可折疊裝置，並在最新的Android Studio 3.5增加了專門的模擬器。</p> <p>無論是在硬體還是軟體上的設計，Google從Android P開始應用了不少隱私機制，也持續更新Google Play應用程式的政策，目的就是為了拉高整體Android生態系的隱私安全性。而Android Q的設計也圍繞著這個中心思想，提高系統透明度為用戶提供更多的控制，在平臺以及應用程式保護使用者的個人資料。</p> <p>Android Q第二測試版啟用Scoped Storage功能，未經授權的應用程式只能在私有沙盒中執行，如果要存取照片、影片或是音訊等集合檔案，則需要新的授權，Android Q會為每個應用程式創建一個獨立的儲存沙盒，限制應用程式互相存取儲存在外部儲存的檔案，Android Q將以更精細的媒體權限，替換原本的外部儲存權限。</p> <p>Google提到，這項更改將會影響使用共享媒體集合的應用程式，像是照片、影片、媒體瀏覽或是檔案儲存等應用，都可能因為Scoped Storage而使行為改變，開發者應該提早測試自家應用程式在Scoped Storage隱私功能下的變化，並做出相對應的更改。</p> <p>對多重任務的支援，Android Q新增對話泡泡功能，讓使用者以新的互動方式進行多重任務。應用程式可以將通知以對話泡泡的形式發送，當使用者在使用應用程式時，可以透過點擊對話泡泡以執行額外的工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2a.png" style="width: 250px;" /></p> <p>Google提到，泡泡功能對於訊息傳遞特別有用，可以讓使用者持續進行手上的工作，還能輕鬆的存取與其他聯絡人的對話訊息。開發者只要在應用程式中呼叫setBubbleMetadata新增BubbleMetadata，就能以對話泡泡的形式發送通知，在元資料中，開發者可以提供欲呈現在泡泡內容的活動。</p> <p>為了滿足可折疊裝置的需求，Android Q第二測試版開始支援可折疊裝置，而新發布的可折疊裝置模擬器，開發者可以在金絲雀頻道發布的Android Studio 3.5中，以Android虛擬裝置啟用。在平臺端，Google改進了onResume以及onPause上的行為，以支援多重恢復，系統會在應用程式取得焦點時，對應用程式發送通知，另外，Google還更新了resizeableActivity的manifest屬性，以幫助應用程式在可折疊或是大型螢幕上顯示的方式。</p> <p class="rtecenter"><img alt="" src="https://2.bp.blogspot.com/-DZx0iTv5254/XKTW4EczNeI/AAAAAAAAHY8/hU5dHRaCgF02Loxvuyi2VGt1-MFftnLIwCLcBGAs/s1600/image3.gif" style="width: 343px;" /></p> <p>使用者可以使用Android Studio 3.5創建可折疊虛擬裝置，目前在第二預覽版支援兩種配置，分別是4.6吋的摺疊螢幕打開變7.3吋的規格，以及6.6吋摺疊螢幕打開變成8吋的規格，模擬器可以讓使用者在螢幕上，觸發折疊、展開、改變朝向等裝置控制。</p> <p>Android Q第二測試版還提供了全新MicrophoneDirection API，以支援指向性可縮放麥克風，應用程式現在可以在啟用錄音功能時，對麥克風設定偏好的方向，像是使用者在自拍時，就能呼叫setMicrophoneDirection將屬性設為MIC_DIRECTION_FRONT，要求前置麥克風錄音，另外，這個API還提供標準化的方法控制縮放麥克風，使用者可以用來調整紀錄場域維度。</p> </div></div></div>
2019/4/4 21:09作者李建興https://www.ithome.com.tw/news/129788
虛幻引擎 4.22釋出，正式支援即時光線追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.unrealengine.com/en-US/blog/unreal-engine-4-22-released">Epic Games釋出最新版遊戲引擎虛幻引擎（Unreal Engine） 4.22</a>，除了正式加入即時光線追蹤（Real-Time Ray Tracing）技術，以精確呈現即時光照與陰影效果之外，也加入即時程式碼開發（Live Coding），並且加速建置時間，在程式碼開發工具上，開始支援微軟最新Visual Studio 2019。</p> <p>Epic Games去年5月宣布要在其虛幻引擎中支援即時光線追蹤特效，還與Lucasfilm合作，展示了使用即時光線追蹤技術的星際大戰動畫片段，而現在該特效正式在虛幻引擎 4.22提供，除了光線追蹤，還同時增加了路徑追蹤（Path Tracing）。</p> <p>這個版本的光線追蹤支援平行光、點光源、聚光燈以及矩形光，該特效能精確計算物體位在相機成像平截頭體（Camera Frustum）的內部還是外部，也能計算場景中地面物體的柔和環境遮蔽（Soft Ambient Occlusion），甚至是複雜的半透明表面，最新的光線追蹤也能正確算出光線折射與反射結果。</p> <p>除了光線追蹤，虛幻引擎 4.22還加入了路徑追蹤特效，可以用來計算間接照明的全域照明路徑，在引擎中產生參考標準的參照渲染，可用於直接改進場景中的工作流程內容，使用者不再需要輸出到第三方路徑追蹤器中進行比較。</p> <p>這個版本也改進即時虛擬生產工作管線（Virtual Production Pipeline），合成工具Composure現支援即時合成，使用者可以直接在虛幻引擎中合成圖像、影片以及CG元素，即時合成綠幕與引擎內容，官方提到，這對於預視覺化很有幫助，導演可以更直覺地了解綠幕加上最終場景的樣子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-ui-uUB56U78.jpg" style="width: 600px;" /></p> <p>現在所有虛幻引擎 4.22的開發者都可以使用Molecular Matters的Live++元件，該元件支援C/C++應用程式熱重載，Live++會在背景編譯程式碼變更，並直接修補到正在執行的機器碼中，以大幅提升程式碼迭代速度，官方提到，Live++現在整合到虛幻引擎新的即時程式碼開發功能中，與傳統熱重載機制不同，即時程式碼開發修補單一函式，不需針對物件重新實例化進行特殊考量，對於大型專案來說更可靠也更具可擴展性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-zdw32spo4IM.jpg" style="width: 655px; height: 368px;" /></p> <p>官方還最佳化了UnrealBuildTool以及UnrealHeaderTool工具，讓C++迭代速度上升了三倍，根據官方提供的數據，在相同專案範例下，虛幻引擎 4.21的總增量建置（Incremental Build）時間為7.47秒，而4.22版本只有2.14秒，速度改善了340%，另外，官方還改進了增量建置的相依性檢查的準確性，包括偵測專案的檔案新增刪除，以及由編譯器執行的相依性檢查。</p> <p>在虛幻引擎 4.22中，開發者可以在編輯器的原始碼管理設定中，將Visual Studio 2019設定成預設IDE，開發者現在還可以更新專案支援的C++標準版本，只要在專案的.target.cs檔案更改CppStandard屬性即可，而在支援最新版Visual Studio的同時，虛幻引擎也停止支援Visual Studio 2015，官方不再於內部對Visual Studio 2015進行測試。</p> </div></div></div>
2019/4/4 21:12作者李建興https://www.ithome.com.tw/news/129789
【臺灣資安大會直擊】企業CIO也必懂的營業祕密法衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年國內一家知名的半導體公司控告其人資主管，私下將員工及應徵者資料以電子郵件送到自己的私人信箱，再和丈夫聯手透過獵人頭公司挖角這家半導體公司的人才，遭該公司以違反營業祕密法提告，但法院以未侵害營業祕密判決無罪。</p> <p>到底什麼樣的企業資訊屬於營業祕密，而談到營業祕密又容易和資訊安全聯想在一起，兩者間的關係如何？曾經擔任臺灣臺北地方法院檢察署智慧財產權及電腦犯罪專組主任檢察官，現為中華民國電腦稽核協會理事長的張紹斌，在今年的臺灣資安大會中解釋了什麼是營業祕密，為什麼企業認為的重要資訊，卻不被法院所認定。</p> <p>「營業祕密和資訊安全有直接或間接的關係」，張紹斌表示，營業祕密目的是在確保所有人穩佔市場競爭優勢，肯德基的炸雞調味香料，可口可樂的配方。除了技術資訊外，未上市的手機、新款籃球鞋、服務模式也能被視為營業祕密，但仍有判斷上的空間，不一定是營業祕密。</p> <p><strong>營業祕密的法制起源</strong></p> <p>為什麼有些資訊屬於營業祕密，而有些看似重要的資訊卻不是？張紹斌從營業祕密的立法源談起。</p> <p>營業祕密的法制起源，大約從1994年的WTO規範開始，在與貿易有關的智慧財產權協定中TRIPS首先將營業祕密納入國際公約中。美國則以統一營業祕密法，統合各州相關法律。雖然營業祕密被視為有經濟價值，保密性的資訊，但在不同的法系，對營業祕密的看法其實是有差異的。</p> <p>他以英美法系為例，將營業祕密視為私權的一種，是一種智慧財產，擁有者可以拋棄、處份或授權，是和商標權、著作權、專利權近似的一種權利。然而，在日本、德國、臺灣在內的大陸法制國家，則是將營業祕密放在反不正當競爭法中，即反托拉斯法，營業祕密是花費時間及金錢辛苦得來的成果，若是以不正當手段，例如竊取、欺騙等方式取得，就是不正當競爭。英美法系和大陸法系對營業祕密保護的立法體制上的差異。</p> <p>「智慧財產權法是獨佔法，反不正當競爭是反獨佔法，這是兩種相抵觸的思維邏輯」，張紹斌說。他認為以美國為體制的法律會慢慢將對營業祕密的保護，逐漸從公平競爭轉為智慧財產權的法制觀點。</p> <p>既然將營業祕密視為智慧財產權，屬私權的一種，那麼又和著作權、商標權、專利權又有什麼差異? 從法律來看，著作權必須具有原創性，重表達的形式，不需登記，採創作保護主義，商標權必須可證明其商品來源、表彰其價值、具有識別性，採註冊保護主義，同樣以註冊保護其權利的專利權，是以公開換取法律保護獨佔，缺點是專利保護期一過即失效，營業祕密則是不公開，但具有實質或潛在的經濟價值，所有人以合理的保密措施，不需登記。</p> <p>專利和營業祕密都在保護企業的智慧財產權，但張紹斌指出，專利權是以公開換取受法律一定時間的保護，如果別人在不知道專利下，開發出相同的產品或技術，有侵犯專利的風險，其缺點是專利保護時間一過即不再受保護；至於營業祕密則是不公開，乍聽之下，營業祕密似乎比較有利於所有者，但因為不公開，他人只要不是以非正當方法獲得，例如自行研發出相同技術或商品，不會有違反營業祕密法的疑慮。</p> <p>「企業營業祕密提出告訴也有風險，在法庭的攻防裡，主張具有營業祕密特質的資訊會受到質疑，在訴訟的過程中勢必揭露一些資訊，還可能導致機密資訊的外洩。」張紹斌表示。</p> <p>臺灣營業祕密法為獨立立法，當初是政府為了加入WTO而立。依營業祕密法的定義，營業祕密包括了方法、技術、製程、配方、程式、設計或是其他可用於生產、銷售或經營的資訊，還必須具備三項要件：不是涉及該類資訊的人所知，因其保密而存在經濟價值，所有人已採取合理保密措施。</p> <p><strong>資訊安全大過營業祕密</strong></p> <p>營業祕密因保密而具有經濟上的價值，和資訊安全息息相關，但張紹斌指出，資訊安全涵蓋範圍卻遠大於營業祕密，他以受公開帳號及密碼保護的企業內部資訊為例，即便以帳號及密碼保護，因為員工人人都可以看到，不一定能被視為營業祕密。</p> <p>張紹斌解釋，資訊保護的目的在維護資訊的機密、完整、可用，資訊保密的目的在防止外洩，造成組織的損失，而應該保護的資訊未必需要保密，例如公司的財務計畫、安全維護計畫等等，屬於組織的資訊，雖是組織的資產，卻未必具有財產交換的價值，像是員工的健康檢查紀錄。屬於財產資料又需要保密的，最重要的就是營業祕密。</p> <p>他建議，當企業發生資訊外洩，先別急著尋求法律救濟，應該先區分洩露資訊的性質，屬財產權的資訊亦或是人格權的資訊(如個資)，在排除職場倫理、業界慣例、不成文感受、政治偏好之下，再理解應受營業祕密法或是個人資料保護法保護。</p> </div></div></div>
2019/4/4 12:10作者蘇文彬https://www.ithome.com.tw/news/129765
【臺灣資安大會直擊】如何培育企業實戰資安人才？全新資安防禦競賽來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們需要更多的資安人才，才能幫助我們的產業作好資安」，HITCON創辦人徐千洋在今年臺灣資安大會的演說中，一開始就點出了國內企業在資安上的痛點，缺乏資安人才，也因此HITCON在過去舉辦了多次的CTF競賽，去年12月還舉辦了HITCON Defense大賽，這些競賽背後的目的，都在培育國內資安人才。</p> <p>但是，傳統CTF競賽，儘管可以讓資安人才學習到很多駭客攻擊技巧，但徐千洋也坦言，這些競賽中學得的技巧能否實際在企業中用於防禦，可能每個人有不同的解答。許多的企業資安人才和IT、稽核有關，但這些人未必很懂駭客攻防技巧，即便他們學習了，在IT的資安維運實務上可能會發現派不上用場。當企業發生資安事件時，他們在CTF競賽中學習解題未必能幫上忙。</p> <p>可是，面對資安攻擊的威脅，企業更迫切需要的是資源的統合利用，不只是企業自己的資源，還需要來自外部廠商的資源整合，內外部的資源整合來解決企業的安全問題。</p> <p>他認為，企業資安團隊培育人才時，有兩大課題，如何讓資安人才具備資安威脅應變能力，以及能體認到情資分享的重要性。</p> <p><strong>防禦競賽來模擬企業遭遇攻擊的真實情境</strong></p> <p>因此，為了讓培育人才的資安競賽更貼近企業的真實情況，去年底舉行的HITCON Defense大賽決定將企業的IT環境搬到競賽中。</p> <p>「這完全是個大工程，距離決定要辦只有兩個月」，徐千洋一語道出當初籌辦HITCON Defense的艱辛之處，不僅籌備的時間緊迫，資源也嚴重不足。</p> <p>首先，過去HITCON資安競賽隊伍多達十多隊，HITCON Defense大賽最初規劃是十四隊，雖然後來降低到十隊，但舉辦時間在年底，他們很快發現全臺無法湊出十套DDoS防禦設備，而每個隊伍需要的伺服器機櫃也是如此，最終只能湊出7套設備，1套給主辦單位扮演的紅隊(攻擊者)使用，6套提供給參賽團隊(藍隊)使用。由於這些借來的設備價格高昂，他們還保了鉅額的保險。</p> <p>每個隊伍會分配到雲端主機、實體主機若干臺，還有數臺桌上型電腦，模擬小型企業的內部網路環境，每個參賽隊伍會被分配到帳號密碼，讓他們登入自己的設備系統，如同企業真實的IT維運環境般，讓他們自行操作、設定這些設備，檢測系統上的漏洞並將其修補。</p> <p>而主辦單位則扮演紅隊，每隔一段時間對每個隊伍發動攻擊，若因為沒修補漏洞而被入侵，積分就會被扣分，直到扣完分數為止，而只要伺服器服務未被中斷，就會不斷累積積分。真實世界的一分鐘相當於比賽中的一小時，依日間、夜間還有不同的計分方式，而評分的標準包括了網路是否正常，是否在預定時間內解決問題，排除駭客攻擊引發的危機、是否可以合作。</p> <p>徐千洋表示，「我們希望競賽的目的從人才擴大到團隊，不只是一個人的力量，而是整個團隊，而是整個資源的力量。」企業面對資安攻擊，需要具備快速應變、找出問題的能力，Defense競賽中參賽隊伍扮演藍隊，實際面對紅隊的各種攻擊，如木馬、DDoS等，從中學習應變的能力。</p> <p>競賽設計也引入情資分享的概念，「傳統的競賽，每個隊伍為了解決對手，解出題目不可能讓別人知道，但在Defense競賽中，我們鼓勵隊伍分享出來。」他說。只要分享解題方法給主辦方，就能獲得積分獎勵，同時有30分鐘的休息時間，不會受到主辦單位紅隊攻擊，其他隊伍若是卡關也能以積分，向主辦單位換取解題線索。</p> <p>甚至，競賽現場還有藍隊廠商進駐，每個隊伍也能用積分換取所需要的軟體工具，立即用於解決問題。</p> <p>另外，過去企業被DDoS攻擊，工程師可能會選擇關閉主機，但會造成服務停擺，使企業營業蒙受損失，所以在Defense的競賽中，隊伍如果遭受攻擊仍能保持服務不中斷就能累積積分，相反地，如果服務中斷，積分便不會增加。</p> <p>還有一個特別之處，那就是每個競賽隊伍都可以向外求援，不論是透過電話或是網路，甚至走出去求援都可以，相比之一，傳統的資安競賽設計，隊伍必須在固定的封閉場所，斷絕對外的通訊。「這和企業遭遇資安攻擊的真實情境相同，企業以各種方式尋求外部的援助，不論是朋友、找社群高手或是廠商。」。</p> <p>主辦單位也安排了另類的社交攻擊，由正妹拿著USB隨身碟，在比賽現場和參賽者交談，趁其不備之時，伺機插入隨身碟至參賽隊伍的設備上，一旦被插上主辦單位的紅隊就會偵測到，參賽隊伍就會被扣分。以此提高各個隊伍對實體設備的安全意識。</p> <p>對於國內企業的資安人員缺乏學習的管道，徐千洋建議現在坊間已有不少的資安訓練課程，在學費上也有政府的補助，可供想要學習的企業資安人員利用，HITCON也同時歡迎資安人員參加競賽。</p> </div></div></div>
2019/4/4 12:40作者蘇文彬https://www.ithome.com.tw/news/129766
【不只掌控能源，駭客更試圖操控金融及媒體】關鍵基礎設施面臨更險峻的威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及關鍵基礎設施，許多人可能會先想到的部分，大多與民生需求相關，像是供應油、水、電力的單位，一旦遭受攻擊，便會嚴重影響社會整體功能的運作，並且造成人民的財產損失，甚至是重大傷亡。</p> <p>然而，不只有形的關鍵基礎設施受到駭客覬覦，對於一般民眾獲得重大資訊的管道，也成為攻擊者下手的主要目標。</p> <p>趨勢科技資安研究群核心技術部資深協理張裕敏（Ziv）認為，接下來2年內，散播假消息或是假新聞的攻擊手法，將會更加氾濫，因此，在2019臺灣資安大會中，張裕敏特別針對關鍵基礎設施所面臨的威脅，進行演講，探討這些設施遭受攻擊時，所帶來的影響。</p> <p>到底，關鍵基礎設施遭受攻擊帶來的影響，會有多嚴重？張裕敏以委內瑞拉為例，供應該國8成電力的古里（Guri）水力發電廠出現異常，疑似遭受網路攻擊，委內瑞拉全國頓時陷入大停電，至今原因不明。</p> <p>雖然張裕敏表示，這起水力發電廠遭受攻擊的事件原因有待釐清，因此目前發生的因素眾說紛紜──有人說是人為疏失，也有人認為是恐怖攻擊，而委內瑞拉總統則是直接定調為網路攻擊事件。</p> <p>但我們從許多媒體報導來看，委內瑞拉因此攻擊發生大停電之後，隨之而來的影響已經逐漸擴大：首先是公部門與醫療院所停擺，民眾也因馬達無法運作，導致沒有水可用；再者，冰箱內的食物只能任其腐敗，但即使當地居民想要購買食物，由於收銀機不能使用，商店交易竟要求以美金交易，隨著該國一個多星期電力時好時壞，情況變得更加惡化，嚴重影響該國民生。</p> <p><strong><span style="font-size:28px;">駭客攻擊關鍵基礎設施門檻極低，資源隨手可得</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%B7%AF%E5%BE%91_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>駭客想要攻擊關鍵基礎設施的控制設備，難度比以往可說是大幅降低，張裕敏以美國能源局攻擊途徑的示意資料為例，駭客可從網際網路打到進入的破口，成功滲透之後再進行控制或是加以破壞。圖片來源／趨勢科技</strong></span></p> <p>張裕敏指出，光是水利設施遭受攻擊，古里水力發電廠並非首例。自西元2000年至今，水利設施受害的情況可說是不斷發生，他也舉出了近年來多起發電廠、石油公司等，被駭或是遭到控制的事件。</p> <p>一如現今的資安情勢攻防不對等，張裕敏說，駭客想要攻擊關鍵基礎設施，無論是所需的作案工具、攻擊手法、可利用的漏洞，乃至於尋找目標，都有現成的資源可用。</p> <p>以作案的工具而言，駭客在GitHub上，就能取得Industrial Exploitation Framework等軟體；而攻擊手法的部分，ICS ATT&CK Matrix則提供了各式能運用的方式。</p> <p>由於許多關鍵基礎設施裡的控制設備，普遍缺乏定期安裝修補軟體，駭客可從美國的ICS-CERT，或趨勢科技旗下的漏洞懸賞單位Zero Day Initiative（ZDI），找到已經被公開的漏洞加以濫用；最後是攻擊的目標，攻擊者可從物聯網搜尋引擎Shodan找尋，甚至，這個搜尋引擎還分門別類，能讓駭客尋找指定廠牌的設備下手。</p> <p><span style="font-size:28px;"><strong>媒體、金融、網路基礎設施成攻擊者的新目標</strong></span></p> <p>針對關鍵基礎設施的範圍，張裕敏說，其實相當的廣泛。他引用了我國行政院《國家關鍵基礎設施安全防護計畫指導綱要》的定義，不光是水資源和能源，還包含了政府機關、高科技園區、金融單位、醫療院所、交通，以及通訊傳播等方面。因此，雖然許多能源設施受到駭客攻擊，是與工業控制的操作科技（OT）安全有關，但其實與大眾「知」有關的通訊傳播，也同樣面臨嚴重的威脅。</p> <p>上述的8大類型關鍵基礎設施中，通訊媒體與其他型態所面臨的攻擊，相當不同。張裕敏指出，針對這種類型的關鍵基礎設施攻擊，駭客可能會針對電視臺、網路媒體，以及社群媒體下手之外，其實最容易聽到的，莫過於所謂的假新聞、假資訊，藉由資料再加工的作法──例如張冠李戴、過度解讀等，進而操控特定資訊，不只可能會導致錯誤決策，還會造成大眾的恐慌，甚至是引發民眾對政府的不信任危機，換言之，後續帶來影響程度最廣泛的，其實是這種通訊傳播基礎設施威脅。近期影響最大的事件之一，就是2016年美國總統大選期間，出現了大量濫發假消息的推特帳號。</p> <p>由於這種攻擊會摧毀人民對於政府的信任，因此包含臺灣在內的許多國家，都打算祭出相關的法規，但是，新聞媒體和社群網路的內容，又牽涉到人民的言論自由，各國政府想要加以防範假消息的推波助瀾，就變得更加困難。</p> <p>再者，張裕敏指出，金流與網路基礎設施，也是駭客近期下手的重要目標。前者駭客可鎖定後端的資訊系統或ATM，導致無法正常交易；由於現代人幾乎不能沒有網路，因此從DNS、路由器、無線網路、4G或5G網路下手，同樣是駭客入侵、竊取隱私的管道。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D-1(1).jpg" style="width: 500px;" /></p> <p><span style="font-size:28px;"><strong>關鍵基礎設施安全提升，同時仰賴全民視為己任</strong></span></p> <p>張裕敏舉出了一個關鍵基礎設施接連受到攻擊，導致無法運作的情境──自己下班之後，原本不想開車，打算改以搭乘大眾運輸系統回家，到車站發現停止運作而無法乘坐。但想要開車回家，加油時卻發現加油站的油價飆漲了2萬倍，利用僅存的汽油返家，路上的交通號誌全部變成綠燈，導致大家爭先恐後，想要使用平時倚賴的導航回家，此時手機和GPS完全沒有任何訊號。</p> <p>好不容易回到了家，卻發現自家的智慧門禁因為沒電而無法開門，找出備用鑰匙進到家裡，廣播沒有聲音，電視也沒有任何畫面。到附近商店採買食物，信用卡與各種支付方式都無法使用，導致所有人臨櫃提領現金，隊伍大排長龍。</p> <p>終於，家裡的電力恢復，可是一打開電視，卻淨是怪異的報導，表示有目擊者看到，前述的異常事件是外星人所為。張裕敏說，上述的一連串情境，大多人可能會認為相當離譜，但實際上，在2013年發生的一起攻擊事件裡，就涵蓋其中8成的內容，因此，張裕敏認為，若是有一天真的接連發生，並非不可能，希望大家正視關鍵基礎設施的安全議題。</p> <p>至於因應關鍵基礎設施攻擊涉及範圍如此廣大、駭客又容易發動攻擊的情勢，張裕敏則提出了心法，包含了關鍵基礎設施單位與一般民眾的層面──針對上述的單位而言，他認為要參考各國制訂的綱要、指引文件，還有防護的措施，並且尋求資安公司的協助等，進而強化資訊安全；而對於一般民眾而言，若是能在發現不尋常的現象時，提高警覺，並進行通報，或許能及時阻止一場攻擊關鍵基礎設施的事件。</p> <p>張裕敏舉例，像是臺北市的智慧公車站中，可能預備了提供維護所用的USB埠，若是發現有不明人士連接了USB隨身碟，民眾通報警方到場關切，很可能就避免了這類交通系統遭受入侵的情況。</p> </div></div></div>
2019/4/4 10:00作者周峻佑https://www.ithome.com.tw/news/129721
【關鍵資安議題：容器安全】剖析容器的資安風險與防護
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_ming_ming_-4.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Docker容器技術將應用程序虛擬化，比起傳統熟知的虛擬器技術更加輕量，具備檔案小、執行效能高、服務啟用及部署速度高等優點，我們可以在相同的主機資源下，建立大量的容器服務。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來，在各大資訊媒體中，經常可見到一隻藍色鯨魚載著一堆方塊的標誌圖案，這隻火紅的鯨魚商標是Docker公司，也成為現今廣為關注的容器技術（Container）代表標誌。</p> <p><span style="font-size:28px;"><strong>崛起中的容器技術</strong></span></p> <p>容器技術的存在時間不算短，但直至Docker平臺問世，將容器技術以更成熟且簡單方便的模式，帶入應用市場中，解決傳統在應用程式服務的開發、運行和部署之間的鴻溝瓶頸，進而提供一套有效完善的解決方案。</p> <p>也因此，容器技術開拓了很多新的層面，例如：系統部署方式（輕量虛擬化、雲端應用、微服務、無伺服器、邊際運算等）以及應用開發方法（DevOps、CI/CD等）的改變，有如加裝噴射引擎般的推動，而獲得不少幫助。</p> <p>除此之外，在2015年，微軟公司正式加入Docker容器技術的支援，過往在系統應用開發上，須面臨Linux與Windows這二大系統派別的選擇難題，如今得以解決，更遑論該項技術對於雲端平臺的相容性，而使其更加有彈性，這讓服務應用的設計、開發上，能免除以往諸多的執行環境限制與困擾。</p> <p>簡而言之，容器技術是一種輕量的虛擬化方式，它將運行一個系統或應用程式所需的必要作業系統核心、程式編譯及函式庫等，進行打包封裝，而其餘的部分，則共用底層作業系統資源，至於Docker平臺本身，則是銜接各個容器與主機作業系統之間的控制器。</p> <p>基本上，容器技術跟市場熟知的VM（Virtual Machine）虛擬器技術，是不一樣的技術概念跟應用情境。我認為，若以簡單的界分方式來看，對於以應用服務為主要任務目標，Container容器技術是最佳的選擇方案，而對於以基礎架構為主要需求的使用場景，VM虛擬器則是比較好的選擇。</p> <p>透過圖解，我們可看到VM虛擬器與Docker容器技術的架構差異，基本上，VM虛擬器的結構是比較能夠被理解的，可簡單認知為：把一臺實體模式的伺服器主機，轉換成邏輯的虛擬系統主機，因此，在諸多資安風險、攻擊威脅、甚至修補防護機制的運用上，多半可以直接套用思考模式；但容器技術的架構，則是應用服務環境虛擬化的概念，可視作依據特定應用程式為主的安全固化（Harden）、且系統環境可經過優化包裝，甚至更為單純。</p> <p><span style="font-size:28px;"><strong>Docker容器可能的資安風險</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/C2_OWASP-%20Docker%20Security%202017.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>Docker容器技術是將既有的應用程序及系統模式重新建構的新模式，因此，仍舊可能遭受來自不同維度的已知資安攻擊威脅。對此，OWASP組織建立OWASP Docker Top 10的安全控制建議。　</strong>資料來源<span lang="zh-TW" xml:lang="zh-TW">／</span>OWASP- Docker Security 2017</span></p> <p>Docker所引領出的容器技術，確實帶來許多的革新與方便，但是其存在的安全風險則仍被持續發現探索中。接下來，僅以Docker為容器技術代表，分析容器技術應用的資安風險。</p> <p>如前面所提到，容器技術也是虛擬化的一種方式，但由於容器的技術架構有別於傳統作業系統及VM虛擬器，因此，對於相同類型的資安風險及威脅手法，則必須以容器技術結構來審視思考。</p> <p>我們可以OWASP於2017年的一份Docker Security報告中，看到可能的攻擊維度，大致可從Docker容器技術的主要結構來分析，包括：基礎層的系統主機（Host）、運行的主體Docker系統、封裝的容器檔、以及系統應用程序之間的溝通運行，共四個層面；但Docker容器技術的應用，並不單單只是提供另一種虛擬化方式，而是因為Docker容器技術的可控性及可標準化，進而應用在持續性整合與交付（CI/CD）及軟體敏捷開發流程（DevOps），因此，Docker容器的系統結構一旦發生安全問題，將嚴重影響整個應用服務的安全可靠性。以下我將從4大層面，逐一討論存在的資安風險威脅。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>1.基礎架構及作業系統層的保護</strong></span></span></p> <p>Docker容器系統與服務，仍需在基礎架構以，及作業系統（Linux或Windows）上建立，以及運行，因此，對於傳統的網路通訊管控、漏洞掃描修補、系統存取控制及帳號權限管控等，都是基本必要的安全項目，否則駭客一旦「放大絕」，將運行Docker容器服務的整個基礎架構，以及作業系統，進行提權控制或毀損侵害，結果就如同整個機房毀損故障的慘狀。</p> <p>不過，如同前述所言，Docker容器是將應用程序為主的輕量虛擬化方式執行，換句話說，作業系統本身就不需要安裝，以及存在該支應用程序，所以，在安全檢測與管控上，將可以更明確的界分。</p> <p>舉例來說，過往建立一個網站應用服務時，必須在作業系統上安裝Apache程式或啟用IIS元件，所以，當作Apache或IIS存在安全風險時，就會發生對作業系統交互影響的威脅。但是，如果改為利用Docker容器服務時，Apache及IIS是以應用程序虛擬化的方式存在，此時，對於作業系統的安全性影響有限。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>2.Docker平臺的保護</strong></span></span></p> <p>由於Docker是容器掛載運行的控制平臺，因此，Docker系統本身的安全性更顯重要。以今年初揭露的相關新聞「容器執行元件runC含有容器逃逸漏洞（CVE-2019-5736）」為例，包括：Docker、containerd及CRI-O等支援runC標準化的容器平臺，都受到波及，同時，也影響多個雲端服務平臺（GCP、AWS、Red Hat），以及數個Linux發行版。</p> <p>在這個漏洞當中，允許惡意容器透過該漏洞覆蓋runC的二進位檔案，並取得容器主機端的最高權限而得以執行命令。此外，這個漏洞的POC（概念性驗證）也已經出現漏洞利用的程式碼，並發布在GitHub，這意謂已是可被實作的攻擊威脅。</p> <p>除了Docker系統本身的安全外，管理者也必須避免將root權限共用於容器服務，因此，需將容器的root使用者，改對應到本機上的非root使用者，並且只允許Docker系統在非root權限下執行，僅限縮在特定的操作設定方面（例如：虛擬網路設定、檔案系統管理、配置操作等）。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>3.容器資源的保護</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(128, 128, 128);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/C3_Docker%20Hub.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);"><strong>Docker Hub為Docker官方維護的公開映像檔倉庫，已有超過100,000個容器映像檔可供利用。它們來自各大型商業軟體廠商、開源軟體及社群組織，除了Linux 版本的作業系統及應用程式外，也包括Microsoft版本的多項企業主要應用程式（例如，MS SQL、IIS、ASP.NET等）；使用時，建議選擇官方釋出或經過驗證的容器映像檔版本為佳。</strong></span></p> <p>容器資源所指的部分，是將特定應用程式系統封裝好的映像檔。這些映像檔的來源，除了使用者自己建立之外，目前絕大多數會取用來自於外界已經封裝好的版本使用。一般而言，我們可以到Docker Hub搜尋資源，並佈建於Docker平臺上使用，也可以再加工封裝成自己所需要的版本。</p> <p>不過，根據Snyk資安公司於2019年所發布的《The State of Open source Security Report》」當中提到，他們掃描了Docker Hub中10個最受歡迎的Docker映像檔，結果發現當中的每一個映像檔，都包含了存在不少漏洞的系統函式庫。</p> <p>因此，我建議各位在選擇容器資源時，應以DockerCertified或是已經被驗證過的發布者（Verified Publisher）及官方公布的容器映像檔為佳，並且是取得最近更新的版本。</p> <p>此外，如果企業是自建容器映像的Private docker registry登錄，加以管理，本身除了做好對此的存取權限管控外，對容器映像檔進行弱點掃描及惡意程式檢測的作業，應該透過自動化的方式來進行，以確保容器遭受竄改，並避免有問題的容器被啟用服務。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>4.操作權限的保護：</strong></span></span></p> <p>Docker容器的操作權限，可概分為二者：Docker系統自身及容器服務。Docker系統自身的操作權限安全，我在上述第二點已經提到；而容器服務的部份，本身則是一個應用程序的虛擬體，所以自身除了已封裝在內的應用程序及相關系統資源以外，基本上，不需要真正的root權限。舉例來說：</p> <ul><li><span style="font-size:18px;"><strong>ssh存取是由系統主機的ssh服務管理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>cron是用作排程執行，其權限是交由主要使用cron服務的應用程式處理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>Syslogd服務為日誌系統，主要由Docker系統或第三方服務管理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>硬體管理及網路設定等部分與容器無關，所以，容器也不需要執行udevd或類似的服務。</strong></span></li> </ul><p>因此，容器真正要做好的部分，就是自身的應用程序服務，對於Docker容器管理者及使用者而言，應該盡量避免不必要的權限。我建議，應注意以下的容器權限管制：</p> <ul><li><span style="font-size:18px;"><strong>限制任何檔案掛載操作（可利用Data Volumes及Data Volumes Containers）</strong></span></li> <li><span style="font-size:18px;"><strong>限制直接存取本機的Socket通訊</strong></span></li> <li><span style="font-size:18px;"><strong>限制檔案系統操作、新增裝置、修改檔案屬性等</strong></span></li> <li><span style="font-size:18px;"><strong>限制載入核心模組</strong></span></li> </ul><p>實施上述作法的目的，是為了避免駭客取得容器中的root權限時，仍無法取得本機系統的最高權限，藉此降低威脅風險。當然，在一些特殊的容器應用下，還是需要開放部分的特殊權限，不過，容器的權限設計上，的確比傳統模式更容易區隔。</p> <p>以Oracle、MySQL、MS SQL等資料庫系統為例，在傳統使用模式下，往往DBA要求系統管理者提供系統最高權限，以確保資料庫系統運行的各種情況；但在容器服務的環境下，則能夠提供一個更妥適的方式。</p> <p>此外，由於容器服務之間，主要透過API的方式來相互溝通，以構成完整的應用服務，所以，我們也必須確保，容器服務之間是以TLS v1.1以上安全驗證方式來通訊。整體而言，這些都是強化權限安全的方法。</p> <p><strong>快速認識容器技術與Docker</strong></p> <p>容器的概念，可追溯於1979年時Unix系統中的Chroot功能設計，發展至LXC（Linux Container）做為容器技術概念的實現。隨著Linux CGroups及Namespace等技術的發展而變得更完整。</p> <p>之後，在2013年DotCloud（即Docker公司前身）所推出的開源容器Docker後，開始點燃容器技術的熱潮。</p> <p>雖然最初容器技術以Linux系統環境為主，但在2015年，微軟也在Windows Server加入容器技術，並且正式提供Windows系統環境的容器支援。</p> <p><span style="font-size:28px;"><strong>建立更敏捷快速的資安反應</strong></span></p> <p>Docker容器技術是個非常有趣的新趨勢，幾乎對於近幾年所討論的議題，如SDN、Cloud Services、IoT、Micro Services、DevOps，以及Serverless、Edge Computing，似乎都可以利用容器技術，設計出更敏捷、方便、好操控的架構。</p> <p>因此，在Docker容器的「創建階段」到「交付上線」過程中，我建議，以系統發展生命周期（SDLC）來確保應用服務的安全可靠性，但由於容器技術更著眼於敏捷速度（畢竟，應用程式開發跟環境設定條件已經由開發者配置好，而維運單位則是提供容器運行的基礎資源配置）所以，前端及後端的作業如果都依照前述方式準備好，此時，唯一必須要確認的部分，就是交付上線前的安全檢測。</p> <p>為了避免此一作業過程耗時費工（以傳統方式而言，需進行弱點及安全檢測後，再由開發者、系統及網路管理者，進行多方討論與改善修正），所以，檢測作業也必須具備敏捷快速的方式，以自動化整合在SDLC流程中，發現容器映像檔存在問題元件及惡意程式，則自動通報或退回開發者，進行重新調整封裝；當完成交付上線後，則持續針對啟用的容器服務進行安全監測，一旦後續又發現新暴露的漏洞利用，則自動通報與進行政策控制。</p> <p><span style="font-size:28px;"><strong>駭客攻佔目標時間越來越短，防守端的資安反應須更敏捷</strong></span></p> <p>由於Docker容器技術是應用程序的虛擬化，在程式碼更換異動時，可確保應用服務持續可用，並且不會與底層系統核心及相依服務元件有太多的瓜葛，所以，對於版本更新汰換作業上，可提供更便利的作業方式。</p> <p>過往大多數的資安事件都是肇始於「存在安全問題的版本更新修補不易」的因素，因而讓駭客有充足時間執行。更可怕的是，根據近期美國資安業者CrowdStrike的資料，各國駭客從外部入侵目標系統至成功達陣所需時間，俄羅斯駭客集團Bear，僅用了18分鐘，次者為北韓駭客集團，也僅需2小時多，而這樣的攻擊速度，非常值得我們再次深思自身的資安反應敏捷性。<strong>文☉創泓科技資深技術顧問Jim Huang</strong>、<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129426
【關鍵資安議題：弱點管理】當資安成為顯學，產品安全應成企業必要投資
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_ming_ming_-5.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">透過執行事件應變既定 SOP，Synology PSIRT成功在 24 小時內修復源於開放原始碼、針對蘋果通訊協定 AFP 實作上的漏洞，有效降低被攻擊的可能。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國際資安事件頻傳，加上日趨多元的勒索病毒型態防不勝防，越來越多企業的資訊安全意識開始抬頭，同時，也進一步啟動相關配套措施，資安的重要性逐漸浮上檯面。</p> <p>對於群暉科技（Synology）而言，更是如此。在強化產品資訊安全的工作上，我們是臺灣第一家獲得 CNA 認證的公司，因此可為自家產品指派 CVE ID權限。</p> <p>過去兩年以來，群暉科技投注不少資源在精進產品安全的部份。除了於 2016 年特別成立產品安全事件應變團隊（PSIRT），專職負責 Synology 產品安全事件的緊急應變外，也積極參與 CNA、FIRST 等國際資安組織，以及推出安全性弱點獎金計畫，透過與外部研究人員、資安社群的協作，持續布局前瞻性系統架構，為企業的產品資訊安全把關。</p> <p>回顧Synology PSIRT 兩年的具體成績，在SambaCry、Dnsmasq 與 WPA2 等嚴重問題爆發時，不僅在24小時內修復漏洞，更能於第一時間發出安全性諮詢（Security Advisory）通知使用者，並發布 DSM （Diskstation Manager）與 SRM （Synology Router Manager）安全性更新。</p> <p>我們也因為仰賴這些實戰經驗的累積，得以逐步建立資安危機處理的SOP，讓事件應變流程更臻完善。</p> <p>整體而言，「產品安全」和「事件應變」為Synology PSIRT的兩大主要業務，當中也包含：在產品研發過程中，檢視系統設計之安全性，並即時監看資安社群揭露的弱點，例如新的 CVE、來自其他廠商與第三方平臺的安全性訊息，以及國際資安新聞監測等，藉此蒐集所有跟 Synology 產品相關的情報，一旦發生資安事件，便能立即進行危機處理。</p> <p>除了因應來自外部的風險，作為一家產品線涵蓋 NAS 、網通、監控產品的公司，我們也在內部產品的開發上，極力做到事前的資安風險控管。</p> <p>例如，我們的PSIRT 在 2017年，開始推動產品安全保證流程，秉持風險最小化原則，在軟體開發的設計上，導入Security by Design 和 Security by Default的概念，從最初的產品設計環節即落實資安控管。以系統設計而言，明確規範Input / Output 的輸入指令來清楚定義執行動作，避免產生多餘邏輯或額外程式碼，也能有效降低具資安疑慮之行為被觸發的機會。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%A4%E6%9A%89PSIRT-3.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>接軌國際資安社群<span lang="zh-TW" xml:lang="zh-TW">，</span>實質上能帶給企業許多幫助，讓企業得以在漏洞揭露前即著手進行修補，因此<span lang="zh-TW" xml:lang="zh-TW">，</span> Synology PSIRT 積極參與 CNA、FIRST 等國際資安社群<span lang="zh-TW" xml:lang="zh-TW">，</span>以強化風向觀測。</strong></span></p> <p><span style="font-size:28px;"><strong>產品安全事件及時因應四步驟</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%A4%E6%9A%89PSIRT-2.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>以 Synology PSIRT 執行事件應變的經驗出發，建議以發現問題、評估問題的安全等級、修補問題，以及揭露問題等四個步驟，在事件觸發當下，盡快採取相對應行動，防止傷害擴大。</strong></span></p> <p>在資安事件應變方面，接下來，我們就以去年 12 月底發生的「Synology-SA-18:62 Netatalk」事件為例，說明處理方式。</p> <p>這個出於開放原碼、針對蘋果通訊協定 Apple Filing Protocol（AFP）實作的漏洞，讓攻擊者能夠直接侵入群暉的DSM、SRM 系統，取得可執行任意動作的最高管理權限。</p> <p>由於直接危害到系統安全，此漏洞的安全性等級被評為「危險（Critical）」。而我們透過 PSIRT 執行事件應變時的既定 SOP：發現問題、評估問題的安全等級、修補問題，以及揭露問題等四個步驟，在事件觸發當下採取行動，於是，成功在 24 小時內完成修復，我們也在這類攻擊的概念驗證程式被廣泛流傳前，完成修補，有效降低被攻擊的可能。</p> <p>這支漏洞如果處理不好，其影響足以比擬群暉科技先前面臨的SambaCry重大資安事件。而這也驗證了一件事：在企業內部建立產品安全事件團隊，以及相對應的跨部門組織協作支援，能有效為企業的資訊安全把關。</p> <p>對於一般企業的資安工作而言，以 Synology PSIRT 執行事件應變經驗出發，我們建議，企業應建立回報問題的管道，以做到第一個步驟：「發現問題」。</p> <p>對此，目前相關的資安研究員可透過下列電子郵件信箱：<a href="mailto:[email protected]">[email protected]</a>或<a href="mailto:[email protected]">[email protected]</a>，向我們回報與 Synology 產品相關弱點。而這次 Netatalk事件即是研究人員主動通報，讓我們在第三方平臺發布漏洞前掌握先機，並於接獲通報的 3 小時內，迅速進入第二步：「評估問題的安全等級」階段。</p> <p>在此階段當中，產品安全團隊需釐清問題發生的原因，並依問題嚴重程度決定後續的因應措施，例如，修補問題時所涉及的部門與所需修復時間，並即刻知會組織內部的所有利益關係人，以開始後續應對流程。</p> <p>而關鍵第三步：「修補問題」則相當倚賴跨部門的組織協作。以這次事件所組成的緊急安全小組為例，該小組即包括負責修改與檢驗程式碼的 PSIRT、負責產品功能的研發部門、負責檢驗修補的品質控管（QC）團隊、處理後續技術問題的後勤支援部門、需掌握整體修補上線時程的產品管理部門，以及軟體更新後負責後台上架的 MIS 部門，甚至行銷部門也必須掌握最新進度，方能透過發送電子報向用戶溝通並更新資訊。</p> <p>總結來說，每起資安事件的應對，都是不斷學習優化的過程。除了回頭檢視整體產品線的安全性，我們也在每起事件發生後，重新檢討流程的運作邏輯。</p> <p>比方說，如何將漏洞的修改範圍縮到最小，並在最不影響使用者的情況下完成問題修補。</p> <p>以這次的事件而言，因重啟 Netatalk 的中斷時間極短，只要能避免系統重新啟動，使用者就不會感覺到服務中斷。</p> <p>最後，企業要確保各部門隨時準備好應對突發事件、縮短部門間工作輪替產生的時間落差等，都能使企業在面對資安事件時的溝通更加順暢，讓應變一步到位。</p> <p><span style="font-size:28px;"><strong>盤點內部資源，培養資安意識</strong></span></p> <p>然而，並非每家企業都有資源組成 PSIRT 這樣的資安團隊，但即便沒有專屬的安全團隊，在進行企業整體資安架構盤點時，仍有一些通用準則可以遵循。例如，由美國國家標準與技術研究所（NIST）提出的資安框架，就是十分值得企業參考的資安架構。</p> <p>CSF 列舉出企業資安架構的注意清單，主要探討資安的 5 大面向，包含識別與列管資產、採取的防禦措施、偵測威脅機制、攻擊因應，以及災害復原等，企業可以重新檢視現況，找出自身弱點並逐步加強。</p> <p>平時，企業就應針對內部資安架構，進行防範未然的措施。若依循以上的資安架構，首先，我們可盤點目前現有資源，執行災難復原演練，事前規畫發生問題時的應對方式，評估有無修補能力，並與原廠及系統整合商維繫順暢溝通管道，才能在事件發生時立即取得支援。</p> <p>事實上，我們也從過去處理經驗，學到重點，那就是：資安情報的取得十分關鍵。</p> <p>對於一個完善的企業資安架構而言，並不是在 2013 年做到 100 分，而到了 2018 年還能適用。唯有隨時保持彈性，才能面對日新月異的威脅攻擊。這也是為什麼 Synology PSIRT 這兩年積極參與 CNA、FIRST 等國際資安社群的原因。</p> <p>而就一般企業的角度來看，須積極觀測風向以確保情報來源暢通。以這兩年發生的 KRACKs 與 Meltdown / Spectre 為例，這兩起事件皆是由主導資安事件揭露的國際資安組織 ICASI與OASIS 所揭露，但只有這兩個組織的會員可以在第一時間獲得相關情報。由此可見，與國際資安社群接軌，能為企業帶來許多實質幫助，讓企業在漏洞揭露前便能搶先進行修補。</p> <p>「沒有百分之百安全的產品，但我們可以做到最好的風險控管」是群暉持續強調的概念。除事前過濾風險，資安事件發生時，企業也應做到最快且確實的因應。</p> <p>目前，Synology PSIRT 已從 2016 年最初的兩人團隊，成長到現在的五人編制，並持續與 AIS3 合作，尋找優秀資安人才。我們認為，如果一間公司在意自身產品，並將安全性視作產品品質的重要一環，資安將是絕對必要的投資。<strong>文⊙群暉科技產品事件安全應變組經理李宜謙、<a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129570
【iThome 企業資安大調查】為何企業資安防護擋不住攻擊？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p34-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-1(1).jpg" style="width: 660px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-2(2).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-3(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-4(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-400-5.jpg" style="width: 400px;" /></p> <p><strong>資安防護信心分數計算方式：</strong><br /> 按企業CIO 和IT 主管自評，對自家資安防護分為極有信心（100 分）、非常有信心（80分）、大致上有信心（60 分）、只有一點點信心（40 分）、沒有信心（20 分），再依作答人數百分比作為權重相乘，計算出總分為61.4 分。</p> </div> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129627
【臺灣資安大會直擊】IBM以知識圖譜技術重建APT攻擊者痕跡，更要推論出企業未來容易受攻擊的潛在弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「當你的公司遭到入侵的時候，你怎麼在最快的速度找到攻擊者？」2019臺灣資安大會中，IBM軟體研發中心台北實驗室、研創團隊負責人林俊叡指出，未來進階持續性威脅（Advanced Persistent Threat, APT）將越來越常見，如何掌握攻擊者的犯罪手法（Tactics, Techniques, and Procedures, TTP）、發掘潛在的危機，甚至防堵未來的攻擊，AI將扮演重要角色。</p> <p>他引述世界經濟論壇2019全球風險調查結果，資料詐欺或竊取（Data fraud or theft）、網路攻擊（Cyber-attacks）的發生率分別是第4、5名；網路攻擊、重要資訊基礎建設故障（Critical information infrastructure breakdown）的衝擊力也佔據第7、8名，由此可知，網路攻擊是2019年需要慎防的問題。</p> <p>而網路攻擊的動機又可大致分為4種，分別是獲取資訊（Access to information）、獲取財物（Financial profit）、駭客行為（Hacktivism）、網路戰（Cyberwar）。2018年獲取資訊（45%）的案例勝過獲取財物（33%），但在金融界，網路攻擊的目的仍以獲取財物為主。</p> <p>以搶銀行組織APT 38為例，這個駭客組織的任務動機是財務導向，他們使用網路間諜攻擊手法，曾經部署26支客製化的惡意軟體在目標對象的網路與系統架構，更能隨著防毒軟體的更新而進階修正、不被偵測；從威脅情資報告中，也難以察覺攻擊者的目的與身分。</p> <p>林俊叡更表示，等到對方要撤退時，可能先大規模癱瘓硬體設備，讓銀行顧此失彼無暇抓人，更甚者還留下其他Malware來誤導調查。因此，未來APT的威脅將更難以預測，「如何在對方達成目的之前，先用犯罪的線索找到幕後黑手，就是IBM在資安引進AI技術想要實現的目標」。</p> <p><strong>靠AI自動產生資安報，引進Knowledge Graph推論潛在危機</strong></p> <p>「找出攻擊者為什麼重要？」林俊叡表示，市面上的防毒軟體功能，大多僅為了掃描入侵威脅、阻擋問題IP、修補安全漏洞等，無法更積極地推論出攻擊者的目的、找到他是誰，進而阻擋新型態的APT攻擊；就連IBM持續針對內部的攻擊（Offenses）進行分析，也有高達99%在現有威脅情資報告中找不出攻擊者。</p> <p>因此，IBM開始在產品中使用了知識圖譜技術（Knowledge Graph）技術來偵查網路犯罪的痕跡，先蒐集企業內部的「疑似攻擊資訊」後，將可疑的IP、檔案雜湊值（Hash）以及網域（Domain）等資料，與知識圖譜資料庫內的資訊來比對，不只可以找出這些來自企業內疑似攻擊資訊間的關連，甚至可以擴大找出更多情報，例如從可疑 IP的相關知識圖譜資訊，可以進一步找出此IP背後相關的攻擊者或病毒家族（Malware Family），再從這些攻擊者過去手法的情報，進一步推測駭客這次攻擊這家企業的可能目的。過去得透過資安研究員層層人工解讀、比對才能繪製出來的攻擊脈絡痕跡，IBM首次應用知識圖譜技術後，現在可以自動完成一份資安報告，來推論潛在威脅供企業或資安人員參考。</p> <p>IBM先利用文字處理AI技術，大量擷取各種非結構化的資料，包括資安新聞、最新研究報告、資安通報等，來建構一套資安知識圖譜，例如繪製出一個攻擊木馬excel檔，背後相關的攻擊者、攻擊事件、類似攻擊木馬或手法等脈絡情靠，再利用AI技術來推論潛在威脅，並自動產生一份結構化的情資威脅報告。</p> <p>為了先建立一套可用來推論潛在威脅用的資安知識圖譜模型，IBM資安實驗室先利用US-CERT網路安全情報（Cyber Security Intelligence, CSI）的入侵指標（Indicators of Compromise, IOC）進行ML訓練，將訓練用的資料分出十分之一，作為測試驗證效果用的資料，反覆訓練與測試後，目前這個知識圖譜已有超過80%的正確率；IBM也用於分析IBM內部發生過的攻擊事件資訊，過去99%的情況下都無法辨認攻擊者，現在採用知識圖譜模型可以找出93%事件背後的攻擊者。</p> <p>林俊叡說明：「從駭客所部署在企業內的小東西，可以推測出到底是誰在攻擊你。」就像警察尋找連鎖犯罪一樣，同一個犯罪組織、或相似攻擊目的的攻擊程式可以找出共同性。但是各種情報資料非常龐大，透過AI自動產生威脅情資報告，就可以在可能遭駭客攻擊的途徑中進行防禦。例如透過重新調整網路架構，有效避開特定類型的網路攻擊等。</p> <p>至於為何不用ML技術，林俊叡解釋，採用ML會有黑箱方法的疑慮，可能產出無法解釋的結果，但若使用Knowledge Graph來推論攻擊痕跡，則較容易解釋推論過程。</p> </div></div></div>
2019/4/3 16:19作者翁芊儒https://www.ithome.com.tw/news/129549
微軟正式發布Visual Studio 2019，內建程式碼協作功能Live Share
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2019-code-faster-work-smarter-create-the-future/">微軟正式發布Visual Studio 2019</a>。Visual Studio 2019重新設計了圖標以及起始頁面，程式碼編輯功能也大幅更新，在去年12月釋出第一個預覽版，現在終於釋出正式版。</p> <p>微軟檢討了Visual Studio 2017開發程式的流程，針對打開專案到真正撰寫第一行程式碼中間的過程進行簡化，Visual Studio 2019改進Git的操作，不論在複製程式碼儲存庫，或是打開既有專案和資料夾，都更加方便簡單，在模板選擇介面也做出更新，讓開發者用更直覺的方式開啟新專案。</p> <p>在使用者介面上，Visual Studio 2019使用了新的藍色主題並提高對比度，整體介面更加清楚，微軟為程式碼導覽增加視窗左下方的文件健康指示器，會顯示文件中錯誤與警告的數量，點擊圖標可以取得錯誤列表，而程式碼清理功能，則能應用多個重構規則，更簡單地修復錯誤與警告。</p> <p>程式碼除錯功能部分，新增了.NET Core應用程式資料中斷點，讓開發者可以在變數數值改變時才中斷應用程式，方便開發者對資料流進行除錯，而程式碼導師Visual Studio IntelliCode也提供人工智慧輔助，加速程式碼撰寫，並減少錯誤發生。</p> <p>另外，在去年5月Build 2018推出的遠端程式碼協作服務Live Share，隨著Visual Studio 2019正式發布Live Share也釋出正式版，而<a href="https://devblogs.microsoft.com/visualstudio/live-share-now-included-with-visual-studio-2019/">Visual Studio 2019將直接內建Live Share</a>。Live Share可以讓開發者與其他團隊成員進行即時協作開發，遠端共享程式碼、協作編輯以及進行除錯，而且不需要複製程式碼或是麻煩地重新配置環境，Live Share能分享專案的完整環境，而不僅是Visual Studio中的程式碼，還包括擴充套件。</p> <p>Live Share從去年發布以來，進行了不少更新，包括新增唯讀模式，支援C++與Python程式語言，也讓訪客能開啟除錯對話（Session）。微軟也與第三方擴充套件合作，開發者於Live Share正式版開始，能使用擴充套件強化即時共享功能，像是擴充套件OzCode能提供視覺化C#除錯功能，CodeStream可以讓開發者為任意一行程式碼增加註解，方便團隊討論。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/04/word-image-1.gif" style="width: 600px;" /></p> </div></div></div>
2019/4/3 15:10作者李建興https://www.ithome.com.tw/news/129770
新加坡立法打擊假新聞，被政府認定觸法者最高判處10年徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為打擊假新聞，<a href="https://www.parliament.gov.sg/docs/default-source/default-document-library/protection-from-online-falsehoods-and-manipulation-bill10-2019.pdf" target="_blank">新加坡一項新法草案</a>計畫讓政府可全權認定網路上的訊息是否為假新聞，散佈假新聞的個人及平台皆可判處重刑，引發箝制言論自由的疑慮。</p> <p>新加坡政府向立法局遞交一份名為《防止網路虛假與操弄法案》（Protections From Online Falsehood and Manipulation Act 2019）的草案</p> <p>該法案開宗明義指出旨在防止假言論以電子通訊形式傳播，打擊傳播此類內容的網路帳號與提升網路政治廣告的透明度。法令禁止人民在星國內外散佈假消息危害國家安全、公共健康、社會及經濟穩定性、總統與議員選舉及星國外交關係，激化不同族群的人民仇恨、打擊國人對政府信心，且政府有權可出手干預。違者可處以個人最高5 萬元新加坡元或／及5年以下徒刑，但牽涉使用帳號或機器人軟體散佈假新聞，最高可判10年徒刑。</p> <p>另外，製作網路機器人軟體或提供通訊服務支持散佈假訊息者，該法也擬處以個人最高6萬新加坡元或／及6年以下徒刑，但團體最高可處以100萬新加坡元罰金。</p> <p>此法顯然也使Google、臉書、推特等社群媒體必須為假新聞負上責任。<a href="https://www.aicasia.org/wp-content/uploads/2019/04/AIC-statement-Singapore-Protection-from-Online-Falsehoods-and-Manipulation-Bill-1-April-2019-1.pdf" target="_blank">由Yahoo、Google及eBay組成的亞洲線上聯盟（Asia Online Coalition，AIC）抨擊</a>本法可能傷害網路言論自由。AIC表示，雖然該聯盟支持星國政府確保社會凝聚、和諧及機構與政治運作完整性的目標，但基於本法對星國產業、媒體及公民社會，以及對國際影響層面之廣，AIC對法案草擬期間未能提供公眾廣泛討論「感到失望」。</p> <p>AIC重申，頭痛醫頭式的立法並非解決複雜議題的最佳方案，而且本草案賦予新加坡政府全權判定什麼是真新聞、什麼是假新聞也令該組織感到擔憂。AIC稱本法是同類中權力最大的法律，對言論和表達自由有重大風險，也可能對新加坡甚至世界帶來嚴重影響。</p> <p><a href="http://theindependent.sg/impending-bill-gives-sg-govt-full-discretion-to-decide-what-is-fake-news-and-what-is-not/" target="_blank">新加坡版《The Independent》引述</a>臉書公共政策副總裁Simon Milner的郵件指出，這項法案給了新加坡行政機關廣泛權力，迫使臉書移除他們認定是假新聞的內容，並需推播政府政令給他人。</p> <p>臉書強調提供人民自由與安全表達言論是臉書的重要價值，該公司有責任以謹慎態度處理任何政府提出移除不實訊息的要求。</p> <p><a href="https://www.nytimes.com/2019/04/01/world/asia/singapore-fake-news-law.html" target="_blank">紐約時報報導</a>，一般預料，由於獲得新加坡總理李顯龍領導的人民行動黨支持，因此本法案未來幾個星期內就會完成三讀通過成為正式法令。</p> <p>無獨有偶，臉書執行長祖克柏近期也支持政府介入網路內容平台的管理，<a href="https://www.ithome.com.tw/news/129690" target="_blank">呼籲</a>國會立法規範網路有害內容、公正的選舉、隱私、資料可攜等議題。 </p> </div></div></div>
2019/4/3 15:15作者林妍溱https://www.ithome.com.tw/news/129771
微軟Azure AD Password Protection正式上線，設定密碼門檻更高了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-AD-Password-Protection-is-now-generally-available/ba-p/377487" target="_blank">微軟宣布</a>從去年6月就邁入公開預覽的Azure AD Password Protection功能正式上線了，當Azure管理人員啟用該功能之後，它就會自動拒絕使用者設定薄弱密碼，以預防密碼噴灑（Password Spraying）攻擊。</p> <p>所謂的密碼噴灑攻擊是以同一組密碼去測試大量的帳號，與鎖定特定帳號、以大量密碼進行配對的暴力破解（Brute Force）攻擊手法剛好相反。不管是哪一種，都有可能讓企業網路因特定員工的帳號遭到入侵而受到危害，而Azure AD Password Protection即是針對密碼噴灑攻擊的安全解決方案。</p> <p>Azure AD（Azure Active Directory）是Azure平台上負責身分驗證與存取管理的服務，在啟用Azure AD Password Protection之後，它將不許使用者設定逾500個最常用的密碼，再加上超過1萬個相關密碼的變種。</p> <p>負責身分管理的微軟副總裁Alex Simons解釋，這逾500個最常用的密碼是從數十億筆的外洩憑證分析而得，微軟將會定期更新此一禁止使用的密碼資料庫。Simons還舉例說明了所謂的密碼變種，以「Password」密碼為例，有不少人會將它改成「P@$$w0rd」，以@取代a、$取代s，以及0取代o，這類的密碼同樣會遭到Azure AD Password Protection的攔阻。</p> <p>伴隨著Azure AD Password Protection而來的，還有<a href="https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-AD-Password-Protection-and-Smart-Lockout-are-now-in-Public/ba-p/245423" target="_blank">智慧封鎖（Smart Lockout）功能</a>，透過雲端智慧來封鎖那些企圖猜測使用者密碼的歹徒，它能夠辨識來自有效用戶或歹徒的登錄而採取不同的作法。</p> <p>智慧封鎖為Azure AD的預設值，亦允許管理員設定輸入錯誤密碼的次數、或允許下次重新輸入密碼的時間。</p> <p>此外，AD Password Protection功能不僅適用於Azure，也適用於就地部署的Windows Server Active Directory，以同時保障雲端環境及混合環境的帳號安全。</p> </div></div></div>
2019/4/3 15:40作者陳曉莉https://www.ithome.com.tw/news/129773
美多家航空公司外包商系統異常，一度造成航班延宕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月1日美國多家航空公司因外包廠商的系統出問題導致航班一度延宕。</p> <p>美國聯邦航空總署（FAA）<a href="https://twitter.com/FAANews/status/1112681600788119553" target="_blank">公告</a>多家航空公司在４月１日當天早上發生電腦系統問題。根據<a href="https://www.cnbc.com/2019/04/01/southwest-delta-united-airlines-say-they-are-experiencing-systemwide-outages.html" target="_blank">CNBC</a>、<a href="https://chicago.cbslocal.com/2019/04/01/airlines-aerodata-computer-software-glitch-flight-delays/" target="_blank">CBS</a>等美國媒體報導，問題起因於航空公司外包商Aerodata系統故障，造成全面系統（system-wide）停機。<a href="https://www.aerodata.aero/Official/" target="_blank">Aerodata</a>專門提供航空公司的飛機效能資料、跑道分析、起飛重量控制及負載規劃系統，每天支援將近2.1萬次航班。</p> <p>媒體報導，受到影響的航空公司包括西南航空、美航、聯航、達美、阿拉斯加及捷藍（JetBlue）航空等。上述航空公司皆公告班機因系統停機而延遲。CNBC報導，西南航空有些已行駛到跑道上的班機，還因此需回到閘門口。</p> <p><a href="http://fortune.com/2019/04/01/flight-delays-aerodata/" target="_blank">財星雜誌引述</a>航班追蹤網站<a href="https://zh-tw.flightaware.com/live/cancelled/today" target="_blank">FlightAlert的紀錄</a>，顯示當天早上有2900多班次延誤。此外芝加哥當地媒體報導，二個主要機場各約有20航班取消。不過有多少是起因於Aerodata系統故障則不得而知。</p> <p>所幸系統問題很快就解決。FAA也在事發一小時後<a href="https://twitter.com/FAANews/status/1112694617684803585" target="_blank">公告問題排除</a>。</p> </div></div></div>
2019/4/3 14:25作者林妍溱https://www.ithome.com.tw/news/129767
微軟與BMW共創開放製造平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.co.uk/news-releases/microsoft-and-the-bmw-group-launch-the-open-manufacturing-platform-859672858.html" target="_blank">微軟與BMW在4月2日攜手成立開放製造平台</a>（Open Manufacturing Platform，OMP），以發展可供汽車產業或其它製造領域的各種智慧工廠解決方案。</p> <p>相關的解決方案將奠基於微軟的Azure工業IoT雲端平台上，將由OMP負責提供基於開發工業標準與開放資料模型的開源元件作為參考架構。雖然OMP目前的成員只有微軟與BMW，但預計在今年底可達成4到6名成員，並供應15種使用案例。</p> <p>OMP旨在解決製造業間諸如機器互連與就地部署系統整合的難題，一旦OMP得以成形，將允許OEM業者、製造商或其它業者重覆利用各種軟體解決方案，可望大幅減少履行成本。</p> <p>根據OMP的規畫，此一平台打算釋放那些原本只於私有系統上運作的資料，將它們整合為標準化的資料模型，以利未來進行資料分析或機器學習，OMP成員則能利用工業使用案例與樣本程式碼來打造自己的服務及解決方案。</p> <p>此外，OMP將相容於既有的工業4.0參考架構，採用OPC UA工業互通標準。OPC基金會主席Stefan Hoppe認為，採用開放的國際工業標準將使製造商、機制建置商及供應商能夠安全且有效率地整合它們既有的設備與系統，過去企業傾向於使用私有且封閉的生態系統，強調開放的OMP將形塑未來的製造業。</p> <p><a href="https://www.press.bmwgroup.com/global/article/detail/T0294085EN/the-bmw-group-and-microsoft-launch-the-open-manufacturing-platform" target="_blank">BMW</a>已準備貢獻該公司於德國雷根斯堡工廠的自主運輸系統案例，該案例透過運輸系統的中央協調簡化了物流程序，提高物流效率，未來BMW也會貢獻諸如數位供應鏈管理及預測維護等使用案例，並號召各界加入OMP以共同發展相關案例。</p> </div></div></div>
2019/4/3 14:45作者陳曉莉https://www.ithome.com.tw/news/129768
英特爾挖角高通財務長George Davis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/news-releases/intel-appoints-george-s-davis-evp-cfo/#gs.3ld7mt" target="_blank">英特爾（Intel）於4月2日宣布</a>，已任命George Davis為該公司的執行副總裁及財務長。Davis原為高通（Qualcomm）財務長，且<a href="https://www.qualcomm.com/news/releases/2019/04/02/qualcomm-announces-chief-financial-officer-george-davis-leave-company-today" target="_blank">高通</a>在同一天才宣布Davis離職，並將由David Wise暫代高通財務長一職。</p> <p>現年61歲的Davis是在美國克萊蒙特麥肯納學院取得經濟學與政治學的學士學位，再於加州大學取得管理碩士學位，他擁有豐富的財務長經驗，包括先是在應用材料公司（Applied Materials）當了6年的財務長，再於2013年成為高通的財務長。</p> <p>英特爾表示，未來Davis將掌管該公司的全球金融組織，包括財務、會計、稅賦、資金、內部審計與投資人關係等，也會負責監督英特爾的資訊科技組織，並直接向執行長Bob Swan彙報。</p> <p>Davis並未說明離開高通並投入競爭對手懷抱的原因，只說有鑑於市場上對於資料分析、傳輸及儲存的需求飛快成長，英特爾已成為市場上最有機會的企業，期待在英特爾的轉型中發揮作用。</p> <p>Swan亦表示，Davis未來將協助英特爾追求以資料為主的市場機會，英特爾的股東將可繼續期待嚴格的資本配置方式，且英特爾也會不斷創造股東價值。</p> <p>至於高通僅簡短地感謝過去Davis對該公司的貢獻，也祝福他未來的努力能夠成功，並宣布將由該公司的資深副總裁David Wise暫代Davis的職務直至找到繼任人選。</p> </div></div></div>
2019/4/3 15:00作者陳曉莉https://www.ithome.com.tw/news/129769
2019年3月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月份出現兩種同樣鎖定軟體更新機制，卻完全不同面向的重大攻擊手法，一種是駭客從更新系統下手，暗中散布後門，另一種則是針對缺乏自動更新機制的應用程式，大肆發動已知漏洞攻擊。這樣的現象，代表著軟體更新機制已是當今應用程式的必需品，同時這種更新系統也需要嚴謹的機制保護，以免成為攻擊者濫用的對象。</p> <p>這也突顯了普遍存在於我們環境之中，有可能是極為不起眼或是司空見慣的軟體、系統，竟變成有心人士的可趁之機－－軟體更新機制遭到攻擊的並不是別人，而是全球筆電5大廠商之一的華碩；至於受到已知漏洞攻擊，但因為有賴使用者自己手動安裝新版軟體修補，導致態勢日益惡化的，則是許多人電腦裝機必備的壓縮軟體WinRAR。這樣的現象顯然有待受到重視，雖然軟體供應者的態度很重要，不過使用者的部分，也應該試圖設法採取一些措施，以求自保，減緩上述情況所帶來的衝擊。</p> <h2><strong><span style="color:#B22222;">01.</span><a href="https://www.ithome.com.tw/news/129588">華碩電腦的軟體更新主機遭入侵，駭客藉由Live Update偷偷散布後門，恐影響上百萬用戶</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/960x420hua_shuo_geng_xin_zhu_ji_zao_hai_tu_pian_lai_yuan_qia_ba_si_ji_.jpg?itok=Ma6s9to3" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">02.</span><a href="https://www.ithome.com.tw/news/129402">WinRAR漏洞被揭露的第一周就有超過100個攻擊行動</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/winrar_570-960.png?itok=SsPvwKDp" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">03.</span><a href="https://www.ithome.com.tw/news/129366">臉書、IG同時當機，只因變更伺服器配置</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/fbdown-960.png?itok=E1CeIq5D" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">04.</span><a href="https://www.ithome.com.tw/news/129102">用來存放中國監控民眾資料的MongoDB資料庫遭到曝光</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/chinamonitor-960.png?itok=ffZB4mtK" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">05.</span><a href="https://www.ithome.com.tw/news/129551">HMD證實Nokia 7 Plus的確把用戶資料傳到中國</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/nokia7plus-960.png?itok=_p7KNsQj" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">06.</span><a href="https://www.ithome.com.tw/news/129001">Supermicro主機板元件驚傳漏洞，可能導致裸機運算服務被植入後門</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/supermicro-960.png?itok=RT81Ks8-" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">07.</span><a href="https://www.ithome.com.tw/news/129021">Thunderclap漏洞允許周邊裝置竊取記憶體機密資訊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/thunderclaps-960.png?itok=Ax3oCZlM" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">08.</span><a href="https://www.ithome.com.tw/news/129314">2018年度十大網站攻擊技法出爐，臺灣資安專家研究再獲全球肯定，連續兩年蟬聯第一</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_2018_web_hacking_techniques_660x420_portswigger.jpg?itok=wZcapZzc" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">09.</span><a href="https://www.ithome.com.tw/news/129607">Pwn2Own：研究人員成功入侵Tesla Model 3</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Pwn2Own-Tesla.jpg" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">10.</span><a href="https://www.ithome.com.tw/news/129417">2019臺灣資安大會擴大登場，以資安週再創臺灣資安新高峰</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/cybersec_2019_day1_press_photo1.jpg?itok=O6WXipI-" style="width: 600px;" /></p> </div></div></div>
2019/4/3 10:50作者周峻佑https://www.ithome.com.tw/news/129761
微軟Android版Skype也爆自動接聽功能的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一月底傳出iPhone上的FaceTime有隱私漏洞，在電話未接通時，發話方即可接獲接話方的影像與聲音。而Android版的Skype也爆出這個問題，所幸微軟已經修復。</p> <p>事情源起為Skype的自動來電接聽功能，它原本是設計作為行動不方便人士的輔助支援功能，或是用於看顧獨自在家中的寵物。這項功能也可以選擇開啟或關閉。但<a href="https://answers.microsoft.com/en-us/skype/forum/all/how-to-stop-skype-on-mobile-to-automatically/b68e0762-b032-4eb5-a3b6-c749a4903eba?page=2" target="_blank">一月間有Skype用戶在微軟論壇上反映</a>，他Android手機的Skype會在來電數秒後自動接聽，即使關閉這項功能後卻仍然無法掛斷電話。其他用戶也表示有相同問題，而且如果曾設定過Skype的相機app使用權限，Skype也會自動開啟影像通話。</p> <p>這些使用者另一個共通點是都將Android手機連結智慧型手錶，有人連智慧型手錶未開啟的情況下，自動接聽也會啟動。用戶實測發現當手機和智慧型手錶配對連線情況下，會複製發生這個狀況，並推測本隱私漏洞出現在2018年11月之後版本的Skype 8。</p> <p>微軟並未說明此事，但似乎已經修補該漏洞。3月間論壇上有Skype Insider開發人員指出，問題可能起於手錶組態與Skype某項新功能變更共同作用的結果，建議用戶試試Android版Skype最新預覽版本，這意謂修補好漏洞的正式版即將釋出。</p> </div></div></div>
2019/4/3 11:15作者林妍溱https://www.ithome.com.tw/news/129762
微軟結束電子書業務，將退還曾於Microsoft Store購買電子書的所有款項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/help/4497396" target="_blank">微軟近日宣布</a>將結束Microsoft Store的電子書業務，等同於退出電子書市場，不再與Amazon、Apple Books及Google Play Books等服務競爭，也決定退款給曾在Microsoft Store購入電子書的用戶。</p> <p>從今年的4月2日起，電子書類別就會在Microsoft Store上消失，而且自今年的7月初起，消費者也無法再讀取曾於該站所購買的電子書，微軟將會退還所有的購書款項，同時建議消費者至其它電子書商店購買所需的書籍。</p> <p>微軟準備在今年7月根據消費者當初的付款方式展開退款流程，若所使用的付款方式已失效，微軟則會將款項退至其Microsoft Store帳號，以用來購買其它產品。</p> <p>此外，倘若消費者曾在電子書上作筆記或下註解，為了補償這些人的損失，微軟會再額外補貼25美元。</p> <p>微軟並未說明關閉電子書服務的原因，但<a href="https://www.zdnet.com/article/microsoft-removes-the-books-category-from-the-microsoft-store/" target="_blank">根據ZDNet的報導</a>，微軟的官方原因是為了簡化Microsoft Store的策略聚焦。</p> </div></div></div>
2019/4/3 11:35作者陳曉莉https://www.ithome.com.tw/news/129763
紐約州阿巴尼市遭勒索軟體攻擊，致部份服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體已成公部門夢魘。三月底美國紐約州阿巴尼（Albany）市系統遭勒索軟體劫持，導致部份服務中斷。</p> <p>阿巴尼市市長Kathy Sheehan於3月30日透過<a href="https://twitter.com/MayorSheehan/status/1112032981227573248?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1112032981227573248" target="_blank">推特公告</a>該市於當天早上發現勒索軟體攻擊事件。該市並未說明詳細受災情況，但表示阿巴尼市政府員工4月1日即正常上班，市府大樓及法院也照常開放，大部份市政服務也維持營運，信用卡報稅、警消機關等皆可正常運作。不過確有數項市民服務受到影響，包括出生、死亡及結婚證明謄本無法由網路辦理，市民必須親自前往地區公務機關申請。此外該市系統也無法受理結婚登記，要結婚的伴侶必須到其鄰近市鎮辦理。目前系統是否恢復則不得而知。</p> <p>阿巴尼市拒絕透露關於勒索軟體入侵調查的細節，包括惡意軟體如何進入市府網路，<a href="https://www.apnews.com/66279fdbbefc444a8d511b8180aaad10" target="_blank">美聯社</a>引述市長說法，表示勒索軟體並未造成個資外洩。</p> <p>這是半年來美國地方政府最新一起勒索軟體襲擊事件。期間<a href="https://www.ithome.com.tw/news/123793" target="_blank">亞特蘭大市</a>及<a href="https://www.ithome.com.tw/news/129226" target="_blank">喬治亞州傑克森郡</a>相繼遭勒索軟體攻擊，遭成網路或系統中斷，皆花上好幾天才能回復正常作業。</p> </div></div></div>
2019/4/3 11:40作者林妍溱https://www.ithome.com.tw/news/129764
IoT雙周報第60期：縮短樣本送測時間，全球快遞UPS開始以無人機替美大型醫院運送醫療樣本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/23~04/05精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧手錶</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果Apple Watch 4心電圖顯示功能擴大支援地區，現在歐洲和香港用戶也可使用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(5).png" style="width: 600px; height: 263px;" /></p> <p>去年底，蘋果推出最新款內建心電圖（ECG）顯示功能的Apple Watch 4，原本這項功能只限美國地區能用，但是近日蘋果在最新釋出watchOS 5.2更新中，也公告Apple Watch的心電圖顯示功能可在歐洲19國及香港地區啟用，但未包含臺灣在內。由於心電圖的量測已屬於醫療器材的領域，礙於各國醫療法規的限制，才遲遲無法使用這項功能。目前除了美國的「創新而低風險」（De Novo）標章外，蘋果就ECG app及心律不整通知功能如今已取得CE Mark標章，獲准在歐洲經濟區上市。使用者戴上Apple Watch 4，開啟ECG/EKG app、食指壓在Apple Watch錶冠上，就能顯示用戶心電圖，同時將資料儲存在iPhone的Health app上，也可儲存成PDF傳送給醫師。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UPS </span></strong></span></p> <p><span style="font-size:22px;"><strong>縮短醫療送測時間，美國UPS派出無人機替醫院載運醫療樣本</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(46).jpg" style="width: 600px; height: 318px;" /></p> <p>美國快遞巨頭UPS近日與美國北卡羅萊納州一家大型醫院WakeMed合作，開始以無人機在該院區內來運送醫療樣本，以縮短樣本送測時間。UPS採用的是無人機業者Matterne製造的無人機，可以每小時43英里的速度飛行，即使在途中遭遇逆風或下雪等惡劣天候，也不影響其飛行，並且一次能攜帶大約2公斤的醫療用品。UPS利用無人機來載運病人血液和其他送測樣本，無人機以袋子裝好樣本以後，便會沿著預定的飛行路徑飛行，抵達該中心病理實驗室，再由實驗室人員將這些測試樣本取下進行測試，整個運送過程不到5分鐘，讓病患可以更快取得檢驗測試報告。UPS未來更計畫要利用無人機來改善美國其他醫院和醫療機構的運輸服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車模擬平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>以自駕車軟體模擬累積開車經驗，Nvidia自駕車模擬平臺Drive Constellation推出上市</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%403%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(2).jpg" style="width: 600px; height: 375px;" /></p> <p>Nvidia日前在年度GTC大會上宣布自駕車模擬平臺Drive Constellation正式推出上市，並已被日本豐田汽車用於自駕系統模擬訓練上。Nvidia是在去年GTC年會上發表這套自駕車模擬系統，但是直到隔年3月中才推出。此運算平臺可以在兩種不同規格的伺服器運算環境上執行，其中一個伺服器上可以執行Drive Sim軟體，可用於模擬如攝影機、光達與雷達等自駕車感測器，來進行密集測試及功能驗證。在另一臺運算效能更高的伺服器上，則內建Drive Pegasu自駕車硬體，可以結合完整自駕車軟體模擬實際路測環境，讓自駕車還沒正式上路前，能先透過軟體建構逼真的交通模擬環境，來訓練自駕系統，持續累積自駕車上路經驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 市調報告 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Navigant Research公布最新自動駕駛公司排名，Waymo奪冠，通用緊追在後望</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(41).jpg" style="width: 600px; height: 399px;" /></p> <p>僅管無人美國調研機構Navigant Research近日公布了2019年自動駕駛公司能力排名，Waymo排名第一，其次是通用汽車的Cruise與福特。該報告主要針對自駕車製造商、供應商以及科技公司未來10年內開發出等級3到等級5全自駕的執行力，以及在市場戰略、合作夥伴、生產計畫、自駕技術等綜合策略比較，繪製成象限座標圖，並依進展程度分成領先者、競爭者、挑戰者以及跟隨者四大類。其中，Waymo、通用、福特在自駕車執行力與策略發展上，都被歸類於領先者，反倒是Uber則遠落到10名之外，僅被視為是競爭者，至於電動車特斯拉與蘋果排名更是墊底。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">IoT應用 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 日本機場 </span></strong></span></p> <p><span style="font-size:22px;"><strong>日本機場上廁所不用擠，成田機場打造智慧IoT廁所4月啟用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(37).jpg" style="width: 600px; height: 353px;" /></p> <p>日本成田機場近來與日本衛浴業者TOTO及電信公司聯手，利用IoT技術在機場內打造一個更聰明的智慧廁所設施，並將從本月3日起對外啟用，讓國內外旅客都能進來使用，以感受不同於以往的如廁體驗。像是在每間廁所及馬桶內皆裝有各種感測器，可以監測廁所使用情況，並將這些數據顯示在廁所入口處旁的兩側大型螢幕面板上，讓想要上廁所的人，可以即時透過它查看目前剩餘可用的間數，避開尖峰時段。並且也能將這些數據統計後以視覺化的方式來呈現，例如使用人數、頻率、滯留時間等，做為廁所管理或清潔人員維護的參考依據，提高公廁維護和管理效率。另外廁所內的每個馬桶也提供包含簡／繁中、英、韓共4國語言的語音導覽功能，讓外國旅客也能安心上廁所。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G網路 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英國電信 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英國電信巨頭也加入5G商用行列，Vodafone今年將在英國19個城市力推5G服務</strong></span></p> <p>繼美國、韓國之後，歐洲不少家大型電信公司也加入5G商用行列。英國電信巨頭Vodafone近日宣布今年內將於英國19城市推出商用5G服務。Vodafone表示，目前5G基地臺的布建範圍，已能涵蓋布里斯托、卡地夫、利物浦、伯明罕，接下來，也將在格拉斯哥與倫敦部署，並將透過Vodafone RedStream光纖網路連接所有的5G站點，並可提供最高10 Gbs的連線速度。而且不只英國，Vodafone也同樣宣布今年Q4將在愛爾蘭推出5G網路服務。另一家西班牙電信Telefonica旗下英國電信公司O2 UK，也計畫今年在英國推出5G商用，不過初期僅在少部分城市提供，包括貝爾法斯特、卡地夫、愛丁堡及倫敦等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">樹莓派 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影音應用 </span></strong></span></p> <p><span style="font-size:22px;"><strong>用樹莓派也能播放Netflix影視，樹莓派作業系統RaspEX Kodi釋出新版強化影音應用</strong></span></p> <p>樹莓派作業系統RaspEX Kodi日前釋出新版本Build 190321，新版加入了LXDE桌面，以及應用程式VLC Media Player和NetworkManager等。RaspEX Kodi與樹莓派官方作業系統Raspbian最大的差別是，RaspEX Kodi版本預裝了多媒體播放器Kodi，最新版RaspEX Kodi使用Kodi 18.1 Leia版本，還新增了Netflix、Plex與Amazon Video等實用外掛，可以樹莓派連接大電視觀看影片，新版還增加了NetworkManager配置無線網路功能，也可以使用Raspbian上約3萬個套件。此版本專為樹莓派3 Model B+打造，不過也可使用在前一版本。責任編輯⊙余至浩</p> <p>圖片來源／UPS、Apple、TOTO、Nvidia、raspex.exton、Waymo</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.智慧眼鏡也能很時尚，華為聯手韓國潮牌推出首款智慧眼鏡Eyewear</strong></p> <p><strong><strong><strong>2.為減少IoT應用開發及部署時間，德國軟體商Software AG大推自助式IoT分析服務</strong></strong></strong></p> <p><strong><strong><strong>3.微軟Azure IP Advantage防護擴及IoT裝置，捐贈500項專利</strong></strong></strong></p> <p><strong><strong><strong>4.ARM與澳洲電錶生產商EDMI合作，將自家物聯網平臺ARM Pelion整合公共智慧電錶應用方案</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年4月</strong></strong></p> </div></div></div>
2019/4/3 10:27作者余至浩https://www.ithome.com.tw/news/129760
我為什麼會看到這篇貼文？臉書告訴你動態牆如何挑選內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://newsroom.fb.com/news/2019/03/why-am-i-seeing-this/">臉書最近宣布推出「我為什麼會看到這篇貼文」工具</a>，這是臉書首次在App中，揭露動態牆貼文的排序顯示是如何運作，來協助用戶更了解動態牆的資訊，並控制動態牆上來自朋友、粉絲專頁和社團的貼文，動態牆一直都是為每個用戶量身打造的，而現在臉書期望透過該功能，讓用戶可以獲得更多動態牆的資訊和管理權力。</p> <p>臉書表示，動態牆的目標是要呈現與用戶最相關的貼文，用戶可以藉由這項工具了解自己過去在臉書上的互動，如何影響動態牆上的貼文，臉書將會提供為什麼出現這則貼文的原因，像是這篇貼文是來自用戶的朋友、已加入的社團或是用戶追蹤的粉絲專頁等，也會提供什麼樣的資訊對動態牆貼文順序影響最大，包含用戶與貼文的互動頻率、與特定類型貼文互動的頻率和貼文的受歡迎程度等。</p> <p>用戶查看貼文顯示的相關訊息後，臉書也提供用戶管理動態牆貼文的方式，像是優先觀看、取消追蹤、動態牆喜好、隱私權設定等，來協助用戶制定屬於自己的動態牆。</p> <p>除此之外，臉書也在改善「我為什麼會看到這則廣告」的工具，這項工具在2014年首次推出，協助用戶了解自己所看見的廣告，這兩項工具將能夠讓用戶在自己的動態牆上，直接點選貼文或是廣告，查看這些內容為何出現在動態牆上的資訊，並進一步自行更改動態牆的內容。</p> </div></div></div>
2019/4/3 10:17作者何維涓https://www.ithome.com.tw/news/129738
【iThome 企業資安大調查】去年企業資安災情多嚴重？多久時間才能復原？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p33-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <div class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-1.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-2.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-3.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-4.png" style="width: 600px;" /></div> </div> </div></div></div>
2019/4/3 09:00未署名https://www.ithome.com.tw/article/129718
AWS推出預配置的深度學習容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-aws-deep-learning-containers/">AWS現在提供使用者預先配置的深度學習容器（Deep Learning Containers）</a>，使用者可以將預先訓練的模型，放置在ECS（Elastic Container Service）上，以在新的深度學習容器進行推理，使用者可以使用官方預先配置的映像檔，並根據需求自定義。</p> <p>AWS提到，不少使用者早已經使用Amazon EKS與ECS，在雲端部署TensorFlow工作負載，而現在AWS讓這項工作更加簡單，最佳化映像檔提供各種預設環境容器簡化環境設置的工作，以縮短訓練時間並提升推理效能。</p> <p>這些不同的深度學習容器，其命名基於使用不同的框架、環境以及硬體，使用者在框架有TensorFlow或MXNet兩種選擇，以執行模型訓練或是推理任務，工作負載可以在CPU或是GPU上運作，Python的版本有2.7或3.6可供選擇使用，使用者也可以選擇採用分散式訓練框架Horovod，並Ubuntu 16.04上執行。</p> <p>官方提到，這些映像檔都經過預先配置與驗證，因此使用者可以在數分鐘內完成客製化設定，開始在Amazon ECS和Amazon EC2上開始執行深度學習任務，這些映像檔免費釋出，可以在AWS Marketplace和Elastic Container Registry中找到這些映像檔，使用者可以直接使用官方提供的版本，或是根據需求選用其他函式庫或加入額外的套件。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129753
Linux發行版Ubuntu MATE開始支援樹莓派
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ubuntu-mate.org/blog/ubuntu-mate-bionic-beta1-raspberry-pi/">基於Ubuntu Bionic Beaver版本的Ubuntu MATE 18.04，釋出支援樹莓派版本測試版</a>，官方推薦在樹莓派3 Model B+模型上執行，樹莓派2 Model B和樹莓派3 Model B也沒問題，但其他較低階版本會因為記憶體不足而無法運作。</p> <p>Ubuntu MATE是Ubuntu的官方衍生版本，其與Ubuntu最大的不同，在於使用MATE桌面作為預設的使用者介面，Ubuntu使用的是GNOME 3，而MATE桌面則是GNOME 2的分岔。由於Ubuntu MATE的低硬體需求，因此無論是現代工作站或是單板電腦，甚至是較舊的機器都能適用。</p> <p>官方也釋出支援ARMv7 32位元的armhf以及ARMv8 64位元的arm64兩個獨立映像檔，官方提到，這個版本為樹莓派最佳化，以不犧牲個人電腦版本的功能為前提，盡可能提供完整的桌面環境。一般使用者可以用來執行日常的桌面應用，而裝置製造商也可以用來開發基於ARMv7或ARMv8的物聯網裝置雛型，當應用不需要視窗系統，使用者也可以停用X11顯示伺服器。</p> <p>Ubuntu MATE 18.04版本強化了樹莓派啟動時的效能，在初始第一次啟動設置完成之後，往後的啟動時間都約在3秒鐘左右，官方為樹莓派上的多媒體處理器VideoCore IV，更新了EGL/GLES/OpenVG函式庫，另外，官方還強化了對armhf架構的支援，為VLC和ffmpeg影音應用提供硬體加速。</p> <p>在硬體支援上，官方推薦以樹莓派3 Model B+進行安裝，雖然樹莓派3 Model A+也能夠執行Ubuntu MATE 18.04，但是效果並不好，通常第一次啟動會因為記憶體不足而失敗，使用者可以嘗試將安裝作業系統的記憶卡，先在其他樹莓派硬體啟動，則之後可以在樹莓派3 Model A+上運作。至於其他的模組的樹莓派，都會因為記憶體不足而無法順利執行Ubuntu MATE。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129755
Amazon Redshift現提供並行擴展功能，數秒就能提升叢集處理查詢的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS的資料倉儲服務<a href="https://aws.amazon.com/tw/blogs/aws/new-concurrency-scaling-for-amazon-redshift-peak-performance-at-all-times/" target="_blank">Redshift提供並行擴展服務</a>，能以數秒的時間擴展處理能力，應付數百個並行查詢，不需要預熱或是預先配置運算支援，按需以秒計費。</p> <p>AWS提到，過去在應付Redshift的高負載查詢有兩種手段，超額配置（Overprovisioning）以及對典型工作負載進行叢集最佳化。超額配置是事先配置超過需求的運算資源，以滿足高峰需求，雖然可以解決高負載的問題，但是卻浪費資源與成本，而針對典型工作最佳化叢集，強迫使用者在高峰時期等待，但這可能會拖延重要的業務決策。</p> <p>而現在AWS為Redshift使用者提供另一種選項，根據查詢的需求配置處理能力，即便Redshift瞬間需要處理數百個並行查詢，並行擴展也能快速為這些查詢提供一致的處理效能。並行擴展不需要預熱，也不用預先配置，使用者可以在需要的時候啟用，並在非高峰時期移除額外的處理能力。</p> <p>使用者可以將新增額外的計算能力，指定給特定用戶或是佇列，並繼續使用現有的BI以及ETL應用程式，並行擴展適合用於處理唯讀查詢任務。並行擴展收費方式按秒計費，並且每累積24小時，主叢集還需要多支付一小時的並行擴展信用點。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129757
Fintech周報第93期：不只政府機關，金融業也要攜手臺網公司推線上身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">03/30-04/05</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動身分識別 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">不只政府機關，金融業也要攜手臺網公司推線上身分驗證</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">證交所旗下臺灣網路認證公司（臺網公司）的TWID身分識別中心，去年與五大電信商簽約，推動Mobile ID（MID）行動身分識別服務，讓用戶憑手機門號，就能通過實名身分驗證。臺網公司近期開始要與金融業合作，在一場「行動身分識別研討會」活動中，包括玉山銀行、台新銀行、新光人壽、遠東商銀，都表示將與臺網公司合作，研擬導入行動身分驗證機制，打造多元數位金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">新光人壽廖晨旭資深協理表示，將與臺網公司合作應用，新光人壽的保戶可以透過MID線上驗證身分，成為新光人壽網路會員，進行個人聯絡資料修改、保單內容變更、保單借款及線上理賠申請等網路服務。台新銀行數位金融處副總經理包國儀也表示，台新數位銀行Richart也將與臺網合作，研擬數位金融服務。而行動身分識別服務，目前已有健保署及關務署正式採用，且都是應用在App用戶身分認證。健保署的應用是全民健保快易通（健康存摺），而關務署的應用是進口快遞包裹實名認證（EZ Way）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CIO</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行籌備處CIO甫上任，由前91APP資深副總周旺暾擔綱</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%2015_%E6%B4%BB%E5%8B%95%E5%AE%A3%E5%82%B3%E4%BD%BF%E7%94%A8_%E5%91%A8%E6%97%BA%E6%9A%BE_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_20190401_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行籌備處資訊長兼技術長，在4月1日正式上任，是由前91APP資深副總周旺暾，擔起將來銀行的IT建置。周旺暾擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。他在2004年進入微軟，一待將近13年，負責微軟雲端與資安等產品線的事業發展。2017年，周旺暾接任91APP人資長，更在隔年5月接手91APP拓張海外市場的事務，擔任資深副總經理。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行CIO兼CTO這個位子，需要擁有網路技術，又能結合網路商業思維的人來協助，而周旺暾過去的豐富資歷，成就了這職位的不二人選，也正是將來銀行籌備處多次力邀的原因。周旺暾提到，將來銀行籌備處在重新打造一家純網銀時的思維，其實是以網路的思維出發，而不是傳統的銀行思維。他解釋，銀行的概念不會消失，而是回到本質，可以在各種消費場景，即時提供各種金融服務給消費者。「我們不是要做銀行，而是要做金融服務。」他強調。<strong><a href="https://www.ithome.com.tw/news/129735">（更多內容...）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 北富銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 一鍵調額 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">北富銀日本旅遊信用卡推出一鍵調額新服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87.jpg" /></span></strong></p> <p><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行與國際發卡組織JCB合作，推出的日本旅遊J卡，在3月29日開通一鍵調額功能。北富銀表示，J卡卡友只要綁定北富銀LINE官方帳號好友，點開一鍵調額功能，北富銀內部風險評核系統，就會自動核算出該卡可調高的額度上限，此時卡友可在此限額內選擇所需調高的額度，且能立刻生效，最多可持續60天。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">北富銀總經理程耀輝表示，相較於過往卡友出國旅遊，消費時發現信用卡額度不足，需要打電話回國，並等待審核確認的流程。一鍵調額的風險核算機制，是憑藉長期穩定審慎的風控經驗、新上線額度管理系統，以及大數據運算的結合運用，並對250多萬卡友進行持續的信用追蹤分析，才有辦法在安全穩定的前提下，即時提供調額空間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE Bank </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黃以孟 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">LINE喊出LINE Bank要成為臺灣金融獨角獸</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_LINE%20Bank%E9%BB%83%E4%BB%A5%E5%AD%9F_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處執行長黃以孟，首度公開分享LINE Bank在臺發展願景，那就是打造臺灣第一隻本土金融獨角獸。他也提出了純網銀的未來樣貌，LINE Bank希望打造一個金融平臺，透過Open API與所有銀行對接，讓用戶一次掌握所有存款、消費金融、保險、基金投資等整合服務。黃以孟也提到，LINE Bank計畫打造個人信用分數，為信用記錄較不足的年輕族群，建立個人信用評級，而LINE Bank會主動去邀請用戶建立個人信用評級。且這些創新服務，也將與LINE平臺深度結合。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處也持續擴編臺灣團隊，需要科技、金融、資安、AI、大數據等人才。黃以孟指出，LINE Bank在人員的配置上，光是IT人員就會占總人數的一半以上。而針對初期的產品規畫，他也表示，會從簡單的金融產品如存款、個人信貸、銀行存放匯等開始做。而資安對純網銀很重要，所以，LINE Bank會導入日、韓總部資安防衛的能力和資源，藉此培養、訓練臺灣人才。他也宣布，若順利拿到純網銀執照，將會在銀行端成立人工智慧實驗室（AI Lab）。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 凱基銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI預測模型 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">凱基銀揭露開發AI預測模型的POC成果，下一步將商轉進而複製到開發金旗下子公司</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E5%91%A8%E9%83%AD%E5%82%91_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" style="font-size: 14pt;" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行、臺灣微軟與政治大學金融科技中心合作開發的「AI預測模型」，揭露了最新POC成果。在此次三方的合作下，他們發現小規模POC後的AI建模，成效可達人工建模標準，且AI建模所要花費的時間與人力，還可減少3分之2，而凱基銀行也認為，這表示AI演算法能突破人力處理資料量與複雜度的限制，增進預測模型的發展效率與準確度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行創新科技金融處資深副總經理周郭傑表示，他們在發展AI的戰略，是採用小規模POC，再來是商轉，進而大規模複製等三個步驟，要運用AI技術串連起價值鏈。此次POC所展現的成果，讓凱基銀要展開AI建模的商轉運用，比如說利用AI建構信用評分模型，辨識出哪些客戶是從未與銀行往來的信用小白，並進一步評估個別信用小白客戶合適的貸款額度。待商轉成功，凱基銀就要開始大規模複製，推進開發金控旗下的子公司，形成創新文化生態體系。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ATM </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 攻擊 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">研究：大多數ATM只要不到20分鐘就能攻陷</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">俄羅斯的漏洞安全解決方案供應商Positive Technologies近期公布一研究報告，該公司檢驗了市場上前三大ATM品牌—NCR、Diebold Nixdorf與GRGBanking，發現絕大多數的ATM（Automated Teller Machine，自動櫃員機）都能在20分鐘內，利用各種安全漏洞加以攻陷。Positive測試了上述三大品牌的10款ATM在不同配置下的安全性，總計測試了26臺ATM，發現有85％的ATM禁不起網路攻擊，69％的ATM可能遭受黑盒子（Black Box）攻擊，76％可被操縱以退出自助終端模式（kiosk）以便於作業系統上執行攻擊命令，還有92％的ATM允許駭客直接存取硬碟，另有42％可竄改開機模式，且所有的ATM都能被用來竊取金融卡資訊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安聯人壽 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">安聯人壽今年將全面發展數位化，兩大目標是業務流程再造與內部流程自動化工程</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">安聯人壽宣布2019年的數位化業務發展，一是未來營運轉型計畫與業務流程再造，安聯已開發了多項數位化工具，未來會加碼將金融科技全面應用到銷售系統上，另外也將計畫再次升級客戶服務。二是自動化工程，安聯人壽將著重於內部流程的自動化與優化，希望從後端開始改造，提供保戶更好體驗。安聯人壽營運長陳俊宏表示，安聯規畫將AI結合機器人流程自動化RPA，目前內部已開始進行POC，先測試在內部作業，如核保流程、理賠流程、反洗錢（AML）作業上，是否能否結合AI和RPA來提升自動化效果。他進一步揭露，DevOps將是安聯人壽今年一大重點，他們將透過安聯集團開發的標準，來建置敏捷式開發平臺，要運用DevOps相關工具與方法論，進行導入來提升開發與維運的效率，而總部也會派人來臺灣安聯，協助建置這個敏捷式開發平臺。安聯人壽過去自行開發了核心系統，當初設計時也保留很多彈性設計，更成了現在安聯數位轉型的重要基石。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="vertical-align: top; font-size: 14pt;">攝影／</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">洪政偉、</span><span style="vertical-align: top; font-size: 14pt;">李靜宜</span><span style="vertical-align: top; font-size: 18.6667px;">；</span>臺灣網路認證公司、台北富邦銀行<br /><span style="vertical-align: top; font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>超商龍頭7-ELEVEN加入台灣Pay通路，全臺四大超商通路共超過1萬個據點都能以掃碼方式完成支付</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2.</strong></strong></strong><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;"> </strong></strong></strong><strong>想成功擁抱區塊鏈得先衡量自己的數位成熟度，瑞典政府有方法能讓企業自評</strong><br /><strong style="font-size: 14pt; vertical-align: top;">3. </strong><strong>新款Android木馬程式Gustuff鎖定金融程式與加密貨幣程式</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年4月</strong></strong></strong></p> </div></div></div>
2019/4/2 19:12作者李靜宜https://www.ithome.com.tw/news/129758
【臺灣資安大會直擊】國際工控資安發展聚焦5大面向，臺灣7月將建立自來水處理測試平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年IT領域的資安的威脅正衝擊OT領域，不只是影響高科技製造業的自動化產線，也危急國家關鍵基礎設施，一旦運作中斷，必定帶來的極大影響。而工控的資安議題，也成為近年政府、產業，以及企業與民眾都會關心的議題。</p> <p>在上週舉行的臺灣資安大會，資策會資安科技研究所所長毛敬豪，也針對工控資安的議題，說明了國內外對此的關注焦點與現況，以及他們資安所的發展目標，同時也強調在國際上被廣泛採納的工控系統標準IEC 62443之重要性。</p> <p>為了點出臺灣在工控安全的重要性，毛敬豪談到臺灣產業結構，並以臺灣製造業對我國出口的衝擊面向來說明。例如，根據財政部統計處資料，2015年的臺灣總出口值達3,360億美元，其中電機電子業的出口值，佔了超過一半以上的比例，達1,741億美元。此外，臺灣工業總產值為4,603億美元，電機電子相關上下游產業的產值，也是超過一半。</p> <p>而且，近年臺灣政府為協助產業轉型，智慧製造也成為積極推動的項目。對於智慧製造的資安議題，毛敬豪提到了3個現況，像是製造業資安認知較弱，大多不知道為何或如何導入；其次，臺灣是ICT產品生產大國，但產品多未具備資安功能，也未符合國際標準規範；第三，資安業者在企業資安解決方案完整，但缺乏支援工控環境，需要跨領域更新發展。</p> <p>因此，在國內的工控資安推動上，毛敬豪指出，需要從人才、制度與技術這三大面向來推動。例如，提升工控業者資安意識、培養工控資安專業能力，還要制訂工控合規基準與協助導入，以及強化OT業者產品競爭力，與吋近資安業者發展工控資安解決方案。而要做到這些項目，還有一個重要的關鍵就是──工控實驗場域。</p> <p>「做工控安全的最大問題，也是第一個問題，就是沒有場域。」毛敬豪指出。這幾年，政府對於關鍵基礎設施的安全已經有所動作，舉例來說，前兩年資策會與工業局推動開放關鍵基礎設施場域，不僅協調水、電、油廠，並與資安業者合作到實際場域測試，以協助國內業者累積產品與技術研發經驗。</p> <p>而在開放實驗場域之外，國際上也有建構工控資安測試平臺（Testbed）實驗場域的案例。毛敬豪舉例，像是美國規畫了國家SCADA測試平臺（NSTB），是大型的室外實驗場域，由美國能源部旗下單位負責規畫與監督。在鄰近的亞洲地區，新加坡設計大學（SUTD）也設有小型的室內實驗場域，而日本也有設立日本控制系統安全中心（CSSC）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238825_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 305px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/R0238826_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 285px;" /></p> <blockquote><p>關於國際上的工業控制資安測試場域規畫，目前美國、新加坡與日本都有可借鑒的案例。</p> </blockquote> <p>對此，毛敬豪揭露的今年的新目標，就是執行工控實驗場域計畫。預計將在今年7月，與日本CSSC共同合作，建立一個化工水位串級控制流程的測試平臺。</p> <p>然而，為何臺灣要打造這樣的模擬測試場域呢？毛敬豪說明，主要有兩大目標，首先，希望國內資安廠商可以在這樣的場域上做產品的萃煉，其次是要藉由這樣的環境來做教育訓練。以幫助國內製造業認識可能的風險，或是進行攻防演練。</p> <p>關於教育訓練的方向，他也進一步解釋，訓練對象將分別OT人員與高階主管。舉例來說，要讓OT的人員來瞭解威脅與資安的概念，而目前規畫了兩個攻擊場景，分別惡意命令注入關閉制水閥開關，以及偽冒監看數據回應，以認識如何滲透測試與修補；另一則是針對高階主管的教育，讓經營管理要懂得資安風險。</p> <p>毛敬豪指出，要能提供一個工控資安場域讓大家都能使用，Testbed扮演著重要的角色。而Testbed的建立也應與自身實際需求相關，目前他們以水力設施為主，將模擬水處理上下游3道液位控制，建置大型儲水槽、可變控制水閥、緊急洩水出水口、液位傳感器與揚程馬達等，相關規格也已經開出，將搭配Emerson Delta V DCS控制系統，以及人機介面、PLC程式設計與情境變因控制等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238830_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>對於工控資安的議題，在臺灣資安大會現場，毛敬豪也對外揭露他們最新的計畫，預計將在7月打造一個工控實驗場域，建置化工水位串級控制流程Test bed，而目前相關規格也都已經開出，當中並將包含兩項演訓情境。</p> </blockquote> <p>若從國際工控資安發展趨勢來看，毛敬豪整理了美歐日的工控資安發展趨勢，並從5大面向加以分析，包括人才培育、標準導入與合規、風險評估服務、IEC 62443認驗證輔導，以及工控資安產品與場域。這也將是，臺灣在工控資安發展上可借鑒之處。</p> <p>在國際上，毛敬豪指出，以人才培育與工控資安產品與場域方面而言，例如，美、日兩國都有Test bed與演訓上的規畫，也有工業控制系統原廠，而場域上則有美國的NSTB與日本的CSSC。而就臺灣來看，目前這兩個面向，是正要推動發展的一塊。</p> <p>至於其他方面，在標準導入與合規上，毛敬豪表示，在制度上，美、歐（德）、日等國均認可並採用IEC 61508、IEC 62443等國際標準；讚風險評估服務上，美國發展較為完備，已有風險評鑑與標準認驗證，他們看到日本最近有NEC正在推展；至於IEC 62443認驗證的輔導的檢測認證機構方面，在美國有ISASecure、Exida，德國有TUV Nord與TUV Sud，日本有CSSC。而目前臺灣在此三個面向的發展較缺乏，將是未來需關注的部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238827_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>針對國際主要國家的工控資安發展趨勢進行比較，<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">毛敬豪表示，</span>臺灣目前正堆動人才培育與工控資安產品與場域這兩大方面。</p> </blockquote> <p>對於工控資安的安全標準方面，毛敬豪特別強調IEC 62443工業控制安全標準的重要性，該標準提供了OT良好的工程管理指南，當中並分為四大部分，分別是一般性、政策和程序、系統與部件。對於資安需求等級高的高科技、大型製造業，應該要關注。他並提醒，工控資安不能只有ISO 27001，他指出，包括ISO 27001、NIST Cybersecurity框架，都是以風險管理的導入來看資安的問題，但這兩個框架用在工控裡面會有許多挑戰。不過，對於難以投入資安的小型製造業者而言，仍有一定的幫助。</p> <p>此外，對於IEC 62443符合性驗證，毛敬豪也補充說明，例如美國ISASecure認證是基於IEC 62443標準開發的合規性認證，當中包含了三大類，分別是嵌入設備安全保證、系統安全保證與安全開發生命周期保證。較特別的是，他們看到日本在這項國際技術標準的推動，已將ISASecure認驗證體系移植到日本，讓日本當地就可以對國內廠商產品做驗證，而不用送到國外。</p> <p>而為了幫助國內業者，因此，他們未來也將計畫推動臺灣的ISASecure認驗證，讓國內業者能以中文申請並在臺進行驗證。</p> <p>另外，他也提到IEC 62443與ICS網路安全生命週期的關連性，主要分為三大階段，分別是評估階段、執行階段與維護／維持階段。他也直言，近年很多工控資安解決方案都在提Security Monitoring，這是屬於維護／維持階段的部分，但企業組織該要注意的是，前面兩個階段做好了沒有。</p> <p>最後，對於工控資安的發展，毛敬豪也表示，工控資安也要建構生態系，整合像是產業及領域的專家、工控安全專業顧問、資安業者、學術機構、公協會與系統整合業者等，並希望推動垂直領域的技術整合。</p> </div></div></div>
2019/4/2 17:52作者羅正漢https://www.ithome.com.tw/news/129756
台灣大哥大拼轉型，新總座林之晨：終結電信市場零和競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">4月1日正式接任台灣大哥大總經理的林之晨，今天(4/2)首次和媒體公開座談，他提出了「超5G策略」，未來將帶領台灣大哥大轉型為科技公司，終結電信市場的零和競爭。</span></p> <p class="p1"><span class="s1">林之晨原為AppWorks之初創投董事長暨合夥人，先前擔任台灣大哥大獨立董事，今年1月台灣大哥大董事會通過，4月起由林之晨接任鄭俊卿，成為台灣大哥大新任總經理，41歲的他也成為國內最年輕的電信公司總經理。由於他過去沒有電信產業背景，更讓外界關注上任後，將為台灣大哥大這家國內前三大電信業者帶來什麼樣的新思維。</span></p> <p class="p1"><span class="s1">從創投圈跨入電信產業，他自嘲自己就像外星人，從一個星球(AppWorks)移民到另一個星球(台灣大哥大)，未來他將扮演指揮艇角色，希望能儘快整合這個星球的不同資源，和台灣大哥大這個無敵鐵金鋼完全合體。</span></p> <p class="p1"><span class="s1">對於今後的任務，他提出了「超5G策略」，但其中的5G並非指電信標準的5G，而是「Gift」、「Group」、「Grit」、「Green」和「GSEA」(Greater South East Asia)五個方面。</span></p> <p class="p1"><span class="s1">「Gift」部份意指天賦，善用台灣大哥大集團的大數據及700萬用戶基礎、800多家通路，結合創新能力積極轉型；「Group」則是要打群架，整合集團內的凱擘、momo，加上AppWorks的資源發揮綜效，「Grit」則是放眼未來10到15年，發展超5G生態，「Green」則指發展為愛台灣、人類及地球的永續企業為目標，最後，「GSEA」則是以台灣5G生態為基礎，向東南亞市場前進，以發展成為國際級企業為目標。</span></p> <p class="p2">他將「超5G策略」定位為中長期的轉型目標，未來將朝向數位、AI、IoT等產業前進，希望讓台灣大哥大的市值在10到15年，從120億美元成長至1000億美元。</p> <p class="p2">不過，林之晨表示，短期而言，他希望未來的幾年能夠先找出集團成長的第二個、第三個成長曲線，就他的觀察，他認為現在電商平臺momo已是集團成長的第二個曲線，將來將會找出第三個、第四個成長曲線。</p> <p class="p1"><strong><span class="s1">進入更大的數位市場，電信業者不再是競爭對手</span></strong></p> <p class="p1"><span class="s1">談到台灣大哥大的轉型目標，林之晨表示，過去的電信服務，電信商提供的是連線服務(connectivity)，投入大筆資金建設基礎網路，每個月向用戶收取連網的費用，他希望能帶領台灣大哥大從電信公司轉型為科技公司，跨入一個更大的戰場。</span></p> <p class="p1"><span class="s1">「過去我們和其他電信業者間的服務重疊性相當高，和競業間是零和關係，但在數位的領域中，台灣大哥大和其他電信不再是競爭對手，面對的可能是其他本土公司，或是更大的國際公司」，他也直言，在數位領域中，電信業者間不再是競爭關係，還要面對其他領域的對手，甚至電信業者可以成為夥伴，就像台灣大哥大和遠傳一起投資Line Bank，在金融科技的領域中可以成為夥伴。</span></p> <p class="p1"><span class="s1">他表示，台灣大哥大不想只是提供連線服務的角色，因為對用戶而言，未來吸引他們的可能不是連線服務，更多的是個人化的服務。透過大數據分析，找出用戶感興趣的服務，在對的時間提供用戶感興趣的服務。例如喜愛NBA美國職籃的球迷，透過5G提供球迷可觀看各種角度的賽事轉播服務，而對於喜歡流行時尚的用戶，提供他們國外時尚秀的內容。</span></p> <p class="p1"><span class="s1">儘管台灣大哥大跨入數位戰場，例如旗下的myVide服務可能面臨Netflix，甚至是和Line競爭，momo也身處在高度競爭的電商市場，但林之晨認為除了整合集團資源發揮綜效外，和其他異業的對手間也並非完全競爭關係，以Line為例，可能只有20%的服務重疊，其他80%的服務沒有競爭關係，就可能建立起合作關係。</span></p> <p class="p1"><span class="s1">雖然過去沒有電信產業的經歷，但他表示，自己在台灣大哥大擔任獨立董事已有半年多的時間，向同仁們學習電信產業相關的經驗，在電信公司採用SDN軟體定義網路等虛擬化的轉型過程中，他相信電信公司將會愈來愈像軟體公司，而自己所擁有的軟體產業經驗反而是一項優勢。</span></p> <p class="p1"><strong><span class="s1">藉創投資源加速台灣大哥大轉型</span></strong></p> <p class="p1"><span class="s1">由於林之晨本身也是之初創投的董事長，擔任台灣大哥大總經理後，理所當然，促成台灣大哥大和之初創投及其300多家新創公司的合作也是他的任務之一。藉由新創公司的協助，或許可以讓台灣大哥大注入創新的思維，加速轉型的發展。</span></p> <p class="p1"><span class="s1">林之晨表示，可以將台灣大哥大想成是1到100的加速器，而成立9年已有328家新創公司的AppWorks，透過台灣大哥大的資源、品牌、通路，每年可培養5家從1到100的公司，台灣大哥大扮演加速器的角色，也能從中找到第三或第四個成長曲線。</span></p> <p class="p1"><span class="s1">回歸電信市場近來關注的5G釋照議題，他建議5G可採共頻共網的政策，由於5G的建設成本是4G的3到5倍，站在資源的有效利用角度，國內電信市場是否需要投入許多資源建設兩條高鐵應該好好思考。而將來5G正式推出商業化服務，商業及工業應用是業者所寄望的，台灣大哥大也會運用AppWorks及新創公司的資源，鎖定企業客戶的垂直場域需求。</span></p> </div></div></div>
2019/4/2 17:55作者蘇文彬https://www.ithome.com.tw/news/129754
Cloudflare釋出使用WireGuard技術的VPN服務Warp，不只保護隱私還能加速連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路服務供應商Cloudflare宣布在其1.1.1.1行動裝置應用程式中，推出名為<a href="https://blog.cloudflare.com/1111-warp-better-vpn/">Warp的VPN服務</a>，該服務是建構在使用UDP協定的新型VPN技術WireGuard上，Cloudflare表示，Warp不只能夠保護用戶行動裝置的流量，還能加速網路連線並增加可靠性。即日起使用者可在1.1.1.1應用程式中申請加入Warp計畫。</p> <p>強調兼具速度以及隱私特性的公共DNS服務1.1.1.1，除了能提供DNS加密服務外，還能以極快的速度回應使用者的查詢，比目前思科、Google以及其他ISP業者提供的公共DNS服務都還要快。Cloudflare在2018年的11月，於Android與iOS平臺釋出1.1.1.1應用程式，讓使用者可以快速切換行動裝置的DNS設定。</p> <p>而現在使用者可以在1.1.1.1應用程式上，申請加入Cloudflare最新釋出的VPN服務Warp。Cloudflare提到，現在市面上的VPN服務存在許多問題，使用者安裝額外的應用程式，常獲得連線速度慢，而且還會增加裝置電量消耗的負面體驗，許多VPN服務更是打著保護使用者隱私的名義，卻背地收集使用者的資訊，販售定位廣告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Warp-On.png" style="width: 600px;" /></p> <p>Cloudflare在2017年併購Neumob，Warp服務整合了該公司的行動裝置最佳化技術，並使用為行動網路進行最佳化的WireGuard技術，Warp利用Cloudflare的全球網路，讓使用者在毫秒內就能連上網際網路，Cloudflare表示，經他們測試證實，Warp確實可以明顯地提高網際網路效能，而且使用者網路連接品質越差，Warp能提供越明顯的網路改善效果。</p> <p>Warp還能增加行動網路的可靠性，其使用的協定可以快速地讓服務從訊號中斷狀態恢復，能有效減輕使用者在搭乘電車等旅途歷經的訊號損失，藉此提升網路使用體驗。Cloudflare提到，Warp使用的WireGuard技術，不會大幅增加裝置耗電量，而且Warp還能透過重送（Retransmit）最小化手機無線訊號使用，避免手機位在多基地臺覆蓋的地點時，快速消耗裝置的電量。</p> <p>Cloudflare積極在WireGuard技術上耕耘，他們剛<a href="https://www.ithome.com.tw/news/129674">開源了一個BoringTun專案</a>，這是一個以程式語言Rust開發的WireGuard使用者空間實作，Cloudflare提到，WireGuard使用UDP協定，在行動網路上有良好的效能表現，雖不能保證封包傳送以及封包的順序，但是WireGuard目的只在安全的封裝IP封包，那簡單的UDP協定更適合。</p> <p>延續1.1.1.1隱私保護的優點，Cloudflare也對Warp服務做出承諾，他們保證不會將任何用戶可識別資料寫入磁碟，不會出售使用者瀏覽的資料，也不會以廣告資料定位使用者，使用者無論使用1.1.1.1還是Warp服務，都不需要提供姓名、電話或是電子郵件等個人資料，並由外部審計師定期監督Cloudflare履行承諾的狀況。</p> <p>Cloudflare在1.1.1.1應用程式提供免費的Warp服務，不過目前由於服務才剛開始，因此對外分階段釋出，使用者可以在1.1.1.1應用程式上排隊，當服務可用時應用程式會通知使用者，另外，他們也預計在未來推出Warp+高級服務。Cloudflare計畫為Warp服務加入Cloudflare Railgun壓縮傳輸服務、進階標頭壓縮、智慧型壅塞控制以及多重路徑路由等技術。</p> </div></div></div>
2019/4/2 15:59作者李建興https://www.ithome.com.tw/news/129751
Firefox、Edge也能用WebAuthn硬體金鑰登入Google服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/christiaanbrand/status/1111370795324837888" target="_blank">Google宣佈</a>Google帳號開始轉換到WebAuthn標準，讓Firefox及Edge瀏覽器環境下，也能使用業界標準的硬體式安全金鑰來登入Gmail、Google Drive或G Suite等服務。</p> <p>在此之前，如果你想用USB安全金鑰登入Google旗下服務，只能使用Chrome瀏覽器。這是因為Google使用的是較早期的U2F（Universal Second Factor）協定，但Mozilla Firefox、Microsoft Edge和蘋果Safari並不支援這項協定。<a href="https://www.ithome.com.tw/news/122350" target="_blank">一年前Google、微軟及Mozilla承諾瀏覽器將支援FIDO 2身份驗證規格</a>，Google也啟動從U2F轉向以FIDO 2為基礎WebAuthn的過程。Google表示即日起，已經有實體驗證金鑰的Google用戶，就可以透過Edge和Firefox登入。</p> <p>不過目前只有登入（login）這段完成支援轉換。<a href="https://twitter.com/christiaanbrand/status/1111430192596025347" target="_blank">Google身份與安全產品經理Christiaan Brand指出</a>金鑰註冊需要「花一段時間」來轉換。這意謂著如果用戶要在Google帳號下新增加金鑰，仍需要透過Chrome瀏覽器進行。不過即使如此，完成初次的註冊後，在外使用沒有Chrome 的公用電腦收發Gmail仍變得安全許多。</p> <p>在眾瀏覽器及網路服務的支援下，<a href="https://www.ithome.com.tw/news/129100" target="_blank">上個月W3C宣佈硬體安全驗證協定FIDO 2已成為正式的WebAuthn業界標準</a>，向無密碼登入的願景再進一步。</p> </div></div></div>
2019/4/2 15:35作者林妍溱https://www.ithome.com.tw/news/129752
AR‧VR雙周報第29期：Tobii釋出最新眼球追蹤開發套件，要讓XR結合眼球控制虛擬物件更容易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/16~03/29精選AR‧VR新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臉書 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><span style="font-size:22px;"><strong>臉書Oculus家族再添新成員！搭載位置追蹤技術的VR頭戴裝置Oculus Rift S登場</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E4%B8%BB%E5%9C%96%EF%BC%9AOculus%20Rift%20S.jpg" style="width: 600px; height: 338px;" /></p> <p>臉書近日在GDC 2019遊戲開發者大會上發布了最新款的Oculus頭戴裝置Rift S，更新了螢幕以及控制系統，針對螢幕改進了光學和顯示技術，Rift S的螢幕有更高的畫素密度，之前的版本Rift使用了雙PenTile OLED面板，解析度為2160×1200，而Rift S則是與Oculus Go一樣，搭配解析度為2560×1440的LCD面板，因此可以顯示更多圖像細節。另外Oculus Rift S改用Oculus Insight的Inside-out追蹤，如此便不用像前一代Rift還需要設置外部感測器，控制器也經過重新設計，能夠支援Inside-out追蹤，執行熟悉的動作包括抓取等姿勢。Oculus Rift S還加入了Passthrough+技術，可以提供真立體校正透視，幫助使用者設定Guardian邊界，而當使用者在虛擬世界走出了邊界，則Passthrough+會自動啟動，避免使用者碰到周邊物品。臉書官方預告Oculus Rift S將在2019年春天發布，售價為399美元。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">HP </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 混合實境頭戴裝置 </span></strong></span></p> <p><span style="font-size:22px;"><strong>HP新款4K超高畫質的MR頭戴裝置HP Reverb亮相，售價599美元起</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(16).jpg" style="width: 600px;" /></p> <p>在平價版Windows MR頭戴裝置推出2年多後，HP日前發布最新款Windows MR頭戴裝置HP Reverb，能夠提供多達4K超高畫質的影像細膩呈現，不過使用時還是需要額外搭配一臺性能強大的PC，並無法獨立操作。HP Reverb VR左右各配備一塊單眼解析度達2160×2160的2.8寸螢幕，並可提供多達114度可視角度，以及90Hz的畫面更新率。HP Reverb VR還具備6度空間自由度（6DoF）的位置追蹤功能，因此不需要設置外部感測器。並且還配備專屬頭戴式耳機與兩個前置攝影鏡頭，可以用來實現混合實境應用；另外，操作上同樣配有一組WindowsVR控制器。HP Reverb VR預計將於4月底上市，並推出兩個版本，其中Reverb消費者版售價599美元，專業版則是649美元。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">眼動追蹤 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> XR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>要讓AR／VR更容易結合眼球控制，瑞典眼動追蹤公司Tobii釋出最新眼動追蹤開發者套件</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(24).jpg" style="width: 600px; height: 333px;" /></p> <p>以提供眼球追蹤控制PC功能的瑞典眼動追蹤廠商Tobii，近日在GDC遊戲開發大會上，釋出一套眼動追縱開發者套件Tobii XR SDK，要讓開發者更容易利用它來開發結合眼動追蹤功能的XR（含AR或VR等）設備。Tobii表示，該套件及其相關的函式庫可以被使用在能支援眼動追蹤的頭戴式裝置上，並也提供新的沉浸式互動及功能，讓用戶可以通過雙眼凝視，操控虛擬環境來提升使用者體驗。Tobii還為開發人員提供了可用的程式範例、教學和調試工具，可經由Unity及Unreal等VR遊戲引擎平臺來取用。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Nvidia</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 伺服器 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>強化雲端AR與VR串流應用，Nvidia推出新款RTX刀鋒伺服器</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(23).jpg" style="width: 600px; height: 600px;" /></p> <p>Nvidia日前在自家GTC大會推出最新款RTX刀鋒伺服器，鎖定正是雲端AR、VR串流應用需求，要讓雲端遊戲業者或影音平臺商能利用它來開發各種結合雲端的沉浸式VR與AR內容應用。這臺RTX伺服器高度為8U，每個刀鋒共可裝入40片圖靈GPU卡，並且最多可以串連多達32個刀鋒，總共可以容納高達1,280片GPU卡。Nvidia官方表示，該伺服器內建許多優化軟體堆疊，包括Optix RTX影像渲染、AR/VR、遊戲與專業視覺應用等都有，甚至還可以利用光線追蹤技術來呈現更逼真的光線和陰影效果，並且也可結合未來5G高速網路，來提供電影般細膩的視覺特效。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">HTC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR內容 </span></strong></span></strong></p> <p><strong><strong><span style="font-size:22px;"><strong>HTC將推線上VR內容訂閱服務Viveport Infinity，4月正式上線</strong></span></strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(22).jpg" style="width: 600px; height: 314px;" /></p> <p>繼HTC在今年CES大展上發布全新線上VR內容訂閱服務Viveport Infinity後，該公司近日也宣布這項服務，將在4月2日正式上線，並將提供月費與年費兩種訂閱方案，讓使用者能以每月12.99美元（約臺幣419元）或每年99美元（約臺幣3,199元）價格，來使用Viveport平臺上超過600款VR軟體及遊戲。至於之前已經訂閱的用戶，也能以原價格續訂該服務，HTC表示，該項新服務也可做為跨機種與跨平臺的訂閱服務使用，不只適用HTC Vive頭戴裝置，也支援了臉書Oculus Rift裝置，或是搭載Vive Wave平臺的所有VR一體機裝置。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">AR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 阿里巴巴 </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>推動先進AR技術研究，阿里巴巴併購以色列AR新創Infinity AR</strong></span></strong></p> <p>阿里巴巴近日大舉收購以色列AR新創Infinity AR，未來該團隊將加入阿里巴巴達摩院在以色列成立的機器視覺實驗室，來做為推動先進AR技術研究。阿里巴巴自3年前開始與Infinity AR展開合作，相繼投入包括AR、AI與電腦視覺技術等相關研究，並也獲得優異成果，因為決定將Infinity AR納入該集團成為旗下一員。阿里巴巴以色列機器視覺實驗室負責人Lihi Zelnik-Manor表示，未來將借重Infinity AR在感測器融合、電腦視覺以及導航技術的經驗，持續探索新興基礎技術，包括AR、機器視覺與AI等。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">Sony </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>Sony：PSVR頭戴裝置全球已賣出420萬臺</strong></span></strong></p> <p> </p> <p>日本Sony近日公布最新Play Station VR（PSVR）頭戴裝置的全球銷量，截至今年3月3日，PSVR已經在全球賣出420萬臺。PSVR自2016年秋天開賣以來，不到1年全球銷量就達到100萬臺，去年8月，PSVR銷量更突破300萬臺，以及賣出及2千多萬套的VR遊戲。近來也傳出Sony趁勝追擊，今年將推出第二代PSVR頭戴裝置，拉開與競爭對手的市占差距，新款PSVR裝置除了性能獲得大幅提升外，也將搭配全新PlayStation Move控制器及採用新型感測器追蹤技術。不過，Sony官方並未證實。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">高通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>跨入VR裝置市場，高通今年將推出首款無線VR頭戴裝置</strong></span></strong></p> <p>行動晶片大廠高通不只開發手機晶片，現在也要推出自己的VR頭戴裝置硬體，高通目前正在研發一個VR頭戴裝置，不需要有線，而是可無線連接PC來體驗VR內容。這個VR裝置的開發計畫，來自於高通的Boundless XR for PC專案。該硬體將採用高通的Snapdragon 845處理器，搭配802.11ad無線晶片組。根據該公司表示，這個VR裝置將在今年稍晚時候推出，將會在今年舊金山舉行的遊戲開發者大會上，會有相關應用成果展示。責任編輯／余至浩</p> <p><strong>圖片來源／HTC、Nvidia、Tobii、Oculus VR、HP</strong></p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多AR‧VR動態 </span></strong></span></strong></strong></p> <p><strong><strong>1.不再製作原創VR動畫，Google關閉VR電影工作室Spotlight Stories</strong></strong></p> <p><strong><strong>2.HTC最新款VR頭戴裝置Vive Focus Plus將在4月中上市，售價799美元</strong></strong></p> <p><strong><strong>3.聯想為旗下VR頭戴裝置Mirage Solo新增現實觀看功能</strong></strong></p> <p><strong><strong>4.HTC虛擬實境訂閱服務Viveport今年稍晚將能支援Windows VR頭戴裝置了</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年03月</strong></strong></p> </div></div></div>
2019/4/2 14:03作者余至浩https://www.ithome.com.tw/news/129744
安全研究人員示範誤導特斯拉Model S駛入對向車道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉三月大降價令許多人心動，但是資安業界擔心電動及自駕車系統可能遭駭引發安全問題。上周有<a href="https://www.youtube.com/watch?v=6QSsKy0I9LE" target="_blank">安全研究人員示範</a>，即使不是駭入系統，也可以用其他方法操弄特斯拉的車子，像是誤導它駛入對向車道。</p> <p>中國<a href="https://www.dailymail.co.uk/sciencetech/article-3799158/Tesla-fixes-security-bugs-claims-Model-S-hack.html" target="_blank">騰訊安全科恩實驗室（Keen Lab）在2016年即曾以Tesla Model S示範</a>如何駭入車輛輔助駕駛系統Autopilot，從遠端控制顯示螢幕、開車門天窗、甚至車輛煞車系統。在<a href="https://keenlab.tencent.com/en/2019/03/29/Tencent-Keen-Security-Lab-Experimental-Security-Research-of-Tesla-Autopilot/" target="_blank">這次的示範中</a>將目標轉向Tesla Model S 的視覺辨識。</p> <p>Tesla Autopilot可以透過影像識別技術辨識下雨的天氣，必要時啟動雨刷。但科恩實驗室研究人員在一台安裝Autopilot的2018.6.1版Model S攝影機前，以一平面電視播放雨滴打在車窗的影片，真的讓車子誤以為下雨而啟動雨刷，<a href="https://keenlab.tencent.com/en/2019/03/29/Tencent-Keen-Security-Lab-Experimental-Security-Research-of-Tesla-Autopilot/" target="_blank">指出</a>以在實體世界變造產生的假影像，系統會被干擾而回覆「不適當」的結果，進而啟動雨刷。</p> <p>另一項實驗中，研究人員設計了假車道來證實Autopilot的「車道識別瑕疵」。由於Autopilot是根據車道上刻意設計的不明顯小正方塊來偵測車道線，研究人員在交叉路口的車道上貼上干擾貼紙，讓Autopilot誤以為是直行道路，這讓Model S過了路口後就駛上對向車道。</p> <p>此外，研究人員再次駭入Autopilot，成功以無線遊戲遙控器操控Model S方向盤轉向，甚至在Autopilot未啟動情況下也辦得到。</p> <p>研究人員將測試結果通知特斯拉。這家車廠回覆指出，雨刷測試的情境並非真實世界會有，也不是安全性的問題。且一旦自動雨刷或道路辨識真的出問題，駕駛人都可以使用方向盤和煞車，輕易取代Autopilot。至於第三種情境，特斯拉公司表示漏洞早已在2017年以後的Autopilot版本修補。</p> </div></div></div>
2019/4/2 14:55作者林妍溱https://www.ithome.com.tw/news/129748
Google修補Android 11項重大及高風險安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2019-04-01#2019-04-01-details" target="_blank">Google發佈安全公告</a>，修補了包括2項遠端程式碼執行（remote code execution, RCE）等在內11項高風險與重大漏洞。</p> <p>Google 4月1日發佈的安全修補程式中，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2027" target="_blank">CVE-2019-2027</a>及<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2028" target="_blank"> CVE-2019-2028</a>的漏洞位於Android 媒體框架（Media framework），可讓攻擊者傳送變造過的檔案，進而在有權限情況下從遠端執行任意程式碼，被Google 研究人員列為重大風險等級。</p> <p>Google團隊另外還修補了9項高（High）風險漏洞，包括6項權限升級（elevation of privilege）漏洞。其中CVE-2019-2026位於Android框架，其他5項（CVE-2019-2030、CVE-2019-2031、CVE-2019-2033、CVE-2019-2034及CVE-2019-2035）位於作業系統中，可在讓裝置端的攻擊者不需使用者互動而取得更高權限。此外作業系統核心還包括3項可導致資訊洩露的漏洞：CVE-2019-2038、CVE-2019-2039、CVE-2019-2040，皆被列為高風險。</p> <p>除了少數漏洞外，大部份漏洞影響包括Android 7.0（7.1.1、7.1.2）、8.0/ 8.1及9等版本。所幸Google表示尚未接獲有開採或濫用上述漏洞的受害通報。</p> <p>主要Android廠商已在至少一個月前就獲得通報，包括Google Pixel和Nexus裝置、Samsung、Sony、LG、HTC、Nokia等品牌手機用戶，理應近日會接到更新通知，Google也會在48小時內，將修補程式釋出給Android開源碼專案（Android Open Source Project, AOSP）資料庫。</p> <p>此外，Google並預計在4月5日發佈第二波安全修補程式，修補作業系統中1項遠端程式碼執行（RCE）漏洞，以及2項權限升級與1項資訊洩露漏洞。4月5日的修補更新則可解決上述所有漏洞。</p> </div></div></div>
2019/4/2 13:05作者林妍溱https://www.ithome.com.tw/news/129742
Fastly開源原生WebAssembly編譯器和Runtime專案Lucet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fastly.com/blog/announcing-lucet-fastly-native-webassembly-compiler-runtime">雲端服務供應商Fastly釋出Lucet開源專案</a>，這是原生的WebAssembly編譯器和Runtime，目的是要將WebAssembly帶出瀏覽器，在開發者的應用程式中，安全地執行不受信任的WebAssembly程式。</p> <p>WebAssembly是新一代網頁格式，為C、C++以及Rust等高階程式語言的編譯，提供可移植性的優點，開發者可以選擇將WebAssembly網頁應用程式，部署在客戶端或是伺服器端，而且由於WebAssembly是為堆疊機器設計的二元格式，能夠在廣泛的平臺中，以原生速度執行程式碼。</p> <p>看上WebAssembly省資源且高執行效率的優點，Fastly現在擴充其雲端平臺，支援執行WebAssembly程式的能力，讓使用者不再受限使用Fastly VCL（Varnish Configuration Language）腳本語言，而是能以更多元的程式語言，像是Rust、TypeScript、C和C++等程式語言開發程式。為此Fastly即將推出WebAssembly邊緣運算平臺Terrarium，而Lucet則是其背後的引擎。</p> <p>Lucet使用Mozilla的Cranelift程式碼產生器建構而成，Cranelift專案被用於Firefox的WebAssembly和JavaScript的JIT引擎中，而Lucet還支援最新的WebAssembly模組化標準系統介面<a href="https://ithome.com.tw/news/129649">WASI</a>，WASI則是個新的標準，能將核心功能，像是檔案系統、網路或是其他系統裝置安全地開放給WebAssembly程式。Mozilla要以WASI擴展WebAssembly的可移植性，使其不靠瀏覽器也能在多個平臺執行，Fastly提到，在Lucet支援WASI可以讓使用者在任何平臺執行WebAssembly程式，包括雲端、邊緣、瀏覽器、電腦或是智慧型手機。</p> <p>Lucet可以讓邊緣雲端以同一個程序，在不會影響安全性的情況下，執行數以萬計的WebAssembly程式。Lucet有兩個元件編譯器以及Runtime，編譯器可以將WebAssembly模組編譯成為原生程式碼，而Runtime則可以管理資源並捕捉Runtime錯誤，編譯器與Runtime協同合作能夠確保每個WebAssembly程式僅能存取自己的資源。</p> <p>Lucet可以在50微秒內，使用KB大小的記憶體實例化WebAssembly模組，Chromium的V8引擎則需要花費約5毫秒和MB大小的記憶體，才能建置JavaScript或WebAssembly程式實例。Fastly提到，Lucet是專為將WebAssembly轉為原生執行機器碼設計的AOT（Ahead-Of-Time）編譯，比起為瀏覽器引擎設計的JIT（Just-In-Time）編譯，在Runtime設計上更簡單，執行起來也更省資源。</p> </div></div></div>
2019/4/2 10:33作者李建興https://www.ithome.com.tw/news/129736
Gmail滿15週年，改善智慧寫信和新增發送信件排程功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>Gmail是Google最成功的產品之一，推出至今滿15週年，為了慶祝Gmail這15年的進展，<a href="https://cloud.google.com/blog/products/g-suite/15-years-and-counting-making-gmail-work-faster-and-smarter-for-businesses">Google又為Gmail新增了幾項新功能，來協助用戶更有效率地工作</a>，包含智慧寫信（Smart Compose）功能現在能夠適應用戶的寫作模式，還能根據郵件內容建議標題，此外，Google也新增寄信排程功能，用戶可以先完成信件並指定未來的寄送時間，Gmail會在指定時間發出郵件。</p> <p>Gmail從一開始內建1GB免費儲存空間的基本電子郵件服務，到現在加入了多項智慧功能，包含優先郵件、智慧標籤、自動垃圾郵件過濾、智慧寫信等，其中，Google指出，智慧寫信功能每周在網頁上，已經為用戶減少輸入超過10億個字元，現在，該功能可以適應用戶書寫問候語的方式，舉例來說，若用戶比較喜歡用Hey而不是Hi，智慧寫信會學習而該功能也已經支援Android系統，iOS系統也會在近期支援，目前智慧寫信功能也新增了對西班牙語、法語、義大利語和葡萄牙語的支援。</p> </div></div></div>
2019/4/2 10:39作者何維涓https://www.ithome.com.tw/news/129737
資安一周第36期：針對WinRAR漏洞的多種的攻擊手法相繼現身。新款Android木馬Gustuff鎖定金融與加密貨幣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0328-0403一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color:#B22222;"><strong>＃軟體安全　＃WinRAR</strong></span></h3> <h2><strong>針對WinRAR漏洞的多種的攻擊手法相繼現身，用戶可要小心</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Picture19_FireEye.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／FireEye</span></p> <p>今年2月曝光的WinRAR安全漏洞CVE-2018-20250，有越來越多資安業者相繼披露鎖定該漏洞的攻擊樣本。</p> <p>例如，最近FireEye發現的「Scan_Letter_of_Approval .rar」，是假冒美國社會工作教育協會（CSWE）申請許可，實則暗藏一個可與遠端伺服器交流的VBS後門程式。還有鎖定對象是以色列軍事產業的「SysAid-Documentation.rar」，它偽裝成來自IT服務管理軟體業者SysAid。在其他誘餌內容上，包括烏克蘭前任總統所發出的產官合作訊息，以及外洩帳密檔案等。</p> <p>研究人員警告，短期內之所以能看到如此五花八門的WinRAR漏洞攻擊樣本，除了因為WinRAR擁有5億的龐大用戶，也因WinRAR缺乏自動更新機制，再加上CVE-2018-20250非常容易開採，相信未來會有更多的駭客繼續利用該漏洞。因此，WinRAR用戶應儘速升級至5.70版。<a href="https://www.ithome.com.tw/news/129648"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Android行動安全　＃木馬程式</strong></span></h3> <h2><strong>新款Android木馬Gustuff橫行，鎖定金融與加密貨幣程式</strong></h2> <p>在3月28日，資安業者Group-IB揭露功能強大的Android金融木馬程式Gustuff。它的主要感染途徑，是藉由簡訊傳送惡意APK檔案連結予Android用戶，一旦Android用戶下載並安裝了Gustuff，它就能接收遠端伺服器的命令，傳送惡意簡訊給裝置上的聯絡人，擴大感染範圍。</p> <p>Gustuff將能顯示基於合法程式圖示的假通知，當使用者點選該通知時，可能會出現兩種結果，第一種是金融木馬最常見的竊取手法，跳出要求使用者輸入帳密的視窗，第二種則是開啟合法程式，然後在付款欄位自動填入支付資訊以進行非法轉帳。此外，Gustuff還能危及PayPal、Western Union、eBay、Walmart、Skype與WhatsApp等應用。除了竊取金融憑證或盜轉之外，亦可將受駭裝置上的簡訊、螢幕截圖或照片傳送到遠端伺服器。<a href="https://www.ithome.com.tw/news/129672"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃防毒軟體　＃數位簽章</strong></span></h3> <h2><strong>華碩緊急釋出ShadowHammer鎖定目標偵測工具，卻遭微軟誤判為惡意程式</strong></h2> <p>在3月26日，國外媒體Motherboard與卡巴斯基揭露ShadowHammer供應鏈攻擊事件，其中華碩軟體更新Live Upadte伺服器遭入侵。值得注意的是，國外資安研究人員GiuGiuseppe `N3mes1s`在推特上公布，華碩所釋出可自行檢查是否為攻擊鎖定的ASDT檢視工具，遭到微軟內建防護工具Windows Defender誤判為惡意程式。</p> <p>據資安研究專家指出，一般而言，所有的防毒公司都會把用來進行軟體發行簽章的數位憑證當做白名單的依據，但是，華碩遭到駭客入侵冒用的數位簽章並未註銷（revoke），也導致許多資安公司可能會誤判華碩釋出的偵測工具。<a href="https://www.ithome.com.tw/news/129613"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃2019企業企業大調查</strong></span></h3> <h2><strong>【iThome 企業資安大調查】</strong><strong>臺灣企業資安投資力道回穩，今年更聚焦網安和災難復原</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89913%20%E5%B0%81%E9%9D%A2-P29-600-4(1).png" style="width: 220px; float: right;" /></p> <p>根據最新iThome企業資安大調查結果，從資安投資規模來看，今年的資安投資成長率，從去年的73％暴漲，回穩到10.2％，而從產業來看，去年金融業和服務業的資安預算大增，甚至翻倍成長，今年則指有些微提高。</p> <p>但去年預算緊縮的醫療業，受到資安法上路的衝擊，開始對醫院有更多的資安要求和規範，醫療業今年的資安投資翻了3倍，居各產業之冠。此外，今年重視網路安全的企業更多了，甚至超越了IT基礎架構防護的排名，成了排名第一的資安重點。另一個今年崛起的投資重點是災難復原（DR），而今年也有8.6％的企業，準備要來提升董事會和CEO的資安意識，將資安意識的教育，拉高到高層。<a href="https://www.ithome.com.tw/article/129615"><span style="color:#A9A9A9;">更多內容</span></a><span style="color: rgb(169, 169, 169);">　相關報導：</span><a href="https://www.ithome.com.tw/article/129708">【iThome 企業資安大調查】企業今年資安投資重點為何？</a>　<a href="https://www.ithome.com.tw/article/129717">【iThome 企業資安大調查】今年資安人才有多搶手？</a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃連網汽車安全　＃漏洞獎勵競賽</strong></span></h3> <h2><strong>Pwn2Own：研究人員成功入侵Tesla Model 3</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%891000w_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90ZDI.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／ZDI</span></p> <p>今年的Pwn2Own駭客競賽首度新增了汽車類別，攻擊目標包括數據機、藍牙或Wi-Fi、車載資訊娛樂系統、自動駕駛系統、自動駕駛的服務阻斷與感應鑰匙等，獎金則從3.5萬美元到25萬美元不等。</p> <p>其中，Fluoroacetate團隊鎖定的是車載資訊娛樂系統，它採用的是基於Chromium的網路瀏覽器。該團隊經過幾分鐘的設定，利用瀏覽器描繪引擎的即時編譯（JIT）漏洞，成功於系統上顯示了自己的訊息，這讓該團隊抱走了3.5萬美元的獎金與一輛Tesla汽車。主辦單位ZDI表示，他們希望藉由Tesla的創舉能夠鼓勵更多與連網汽車有關的安全研究。<a href="https://www.ithome.com.tw/news/129607"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃技術支援詐騙</strong></span></h3> <h2><strong>以假掃描誘騙客戶購買服務，Office Depot及Support.com與FTC以3,500萬美元和解</strong></h2> <p>假冒的技術支援詐騙橫行之外，也有支援服務商以不實掃描結果來欺騙客戶的狀況。近期美國辦公零售業者Office Depot與技術支援服務供應商，在遭到檢舉及調查屬實後，雙方分別以2,500萬美元及1,000萬美元與美國聯邦交易委員會（FTC）和解。根據調查，兩家業者自2009年起，便以個人電腦健檢軟體PC Health Check替客戶改善電腦效能，同時掃描電腦上的安全威脅與惡意程式，然而，FTC卻發現，就算PC Health Check沒有偵測到惡意程式或威脅，也會僅依據軟體提問時的客戶回答，於偵測結果中顯示電腦受到感染，誘騙客戶購買技術支援服務。<a href="https://www.ithome.com.tw/news/129639"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃打擊假訊息　＃事實查核　＃公私協力</strong></span></h3> <h2><strong>LINE謠言查證官方帳號預計六月底上線，要聯手行政院、民間組織打擊假消息</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89converge2019photo005_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90LINE.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／LINE</span></p> <p>假消息的議題在近幾年迅速發酵，最近，LINE預計在六月底推出「LINE謠言查證」官方帳號，用戶只要將有疑慮的內容傳發至其中，就能進一步釐清消息的真偽。在這項服務中，也與多家業者及單位合作，例如台灣事實查核中心、Cofacts真的假的、MyGoPen，以及蘭姆酒吐司。</p> <p>除了開發官方帳號之外，LINE也要將查證內容定期發布在LINE Today的「謠言破解」專區，而此處未來也會用RSS feed介接行政院「政院即時澄清專區」的內容，讓行政院的澄清文同步在LINE Today上更新，民眾也能即時掌握官方對國內重大消息，例如國安、交通、災防、食安等方面的最新說法。<a href="https://www.ithome.com.tw/news/129633"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Jenkins漏洞　＃挖礦攻擊</strong></span></h3> <h2><strong>Jenkins漏洞公布後兩天即遭利用，並假冒漏洞發現者測試之名但實為攻擊</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89e8e60bc0ly4g1g5662dk0j20u00c7t8u%EF%B9%8D%E9%98%BF%E9%87%8C%E9%9B%B2%E5%AE%89%E5%85%A8%E5%BE%AE%E5%8D%9A.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／阿里雲安全</span></p> <p>在3月底，阿里雲安全在部落格公布透過Jenkins RCE漏洞進行攻擊的挖礦事件。值得注意的是，該Jenkins系列漏洞是由臺灣滲透測試專家Orange Tsai在今年1月中對外揭露。他是在去年5月30日通報Jenkins，而他們的團隊從去年6月15到今年1月8日，也陸續將此一系列漏洞修補完畢。</p> <p>根據阿里雲安全的說明，有攻擊者直接複製了攻擊發現者在部落格上公布的概念性驗證，且攻擊payload含有Orange.tw字樣，可能被誤認為是漏洞發現者在進行測試，因此他們將該木馬命名為ImposterMiner（冒充者）。更值得關注的是，由於木馬開始爆發與漏洞公開的時間相隔甚短，僅有兩天。他們提醒用戶，應即時升級Jenkins相關的各種軟體。<a href="https://www.weibo.com/ttarticle/p/show?id=2309404354092955750457#_0"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><strong><a href="https://www.ithome.com.tw/news/129669">英國檢查華為電信設備發現新風險，確認其軟體工程與網路安全品質有重大缺陷</a><br /><a href="https://www.ithome.com.tw/news/129602">因應新變種Mirai殭屍網路病毒攻擊來襲，合勤呼籲路由器用戶應儘速安裝最新韌體</a><br /><a href="https://www.ithome.com.tw/news/129541">降低網路攻擊或災損從事前防範做起，澳洲政府實施八大減緩策略</a><br /><a href="https://www.ithome.com.tw/news/129682">Google工程師揭露TP-Link路由器含有可執行任何命令的安全漏洞</a><br /><a href="https://www.ithome.com.tw/news/129726">甲骨文「通知」用戶付費取得Java 8安全修補程式，否則小心被駭</a><br /><a href="https://www.ithome.com.tw/news/129684">研究人員：HTTPS不如你想的安全，5.5%含有TLS漏洞</a><br /><a href="https://www.ithome.com.tw/news/129693">豐田汽車遭駭客集團鎖定？澳洲、日本、越南皆淪陷</a></strong></h4> </div></div></div>
2019/4/2 10:44作者羅正漢https://www.ithome.com.tw/news/129740
VS Code三月Python更新釋出，Live Share開始支援Python互動視窗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-march-2019-release/">微軟釋出VS Code最新Python擴充套件</a>，除了Live Share開始支援Python互動程式編輯功能之外，還強化了Python語言伺服器（Python Language Server ）以及Test Explorer功能。</p> <p>Python擴充套件的三月更新版本強化了Python互動視窗，將其加入Live Share協作對話支援中，讓開發者在協作的同時，仍可以探索並視覺化資料，微軟提到，無論是在程式碼審查或是與組員進行結對程式設計（Pair Programming），現在Live Share都能夠更全面的支援各種程式協作方法。</p> <p class="rtecenter"><img alt="" src="https://40jajy3iyl373v772m19fybm-wpengine.netdna-ssl.com/python/wp-content/uploads/sites/12/2019/03/liveshare_fullsize.gif" style="width: 600px;" /></p> <p>微軟在這版本，對去年暑假釋出的Python語言服務器進行了大幅度的更新，改進的部分包括效能、記憶體使用以及資訊顯示上，也開始支援相對路徑輸入以及內顯套件（Implicit Package），並能理解打字、泛型、PEP提示和註釋等。開發者將游標移到子表達式上，還會自動完成f-strings以及類型資訊。</p> <p>而在二月新增的Test Explorer，提供開發者快速檢視測試活動。在這個版本也獲得許多改進，包括多重根目錄工作空間、參數化測試，同時還新增了狀態圖標，狀態圖標可以讓開發者快速查看檔案和套件測試狀況，而不需要展開測試工作目錄。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mar19-4-TestExplorer.png" style="width: 600px;" /></p> <p>另外，開發者終於可以從這個版本開始，使用Poetry套件管理器管理專案的相依檔案，微軟提到，這是開發者熱烈要求的功能。開發者只要安裝Poetry之後，並在設定中增加Poetry的路徑，當要安裝新的套件時，就能以提供的Poetry路徑來安裝。</p> <p class="rtecenter"><img alt="" src="https://40jajy3iyl373v772m19fybm-wpengine.netdna-ssl.com/python/wp-content/uploads/sites/12/2019/03/Mar19-3-PoetryYapfInstall.gif" style="width: 600px;" /></p> </div></div></div>
2019/4/2 10:47作者李建興https://www.ithome.com.tw/news/129739
微軟Surface Book 2小改版，搭第8代Intel 晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如業界猜測，<a href="https://www.microsoft.com/en-us/store/config/Surface-Book-2/8MCPZJJCC98C" target="_blank">微軟悄悄改版二合一筆電Surface Book 2，升級為第8代英特爾晶片</a>。</p> <p>新版Surface Book 2主要是13.5吋機種採用Intel 第8代4核心i5晶片，時脈最高達3.6GHz，搭配256 GB硬碟及8GB RAM，定價1,499美元，也可加價升級為第8代4核心i7晶片及512GB。此外，去年搭載第7代雙核Intel i5晶片的舊機種則降為1,299美元。</p> <p>新SurfaceBook 2除了升級版4核心Intel Core 處理器，其餘沒有太大變化，包括最高可達267 ppi螢幕解析度的Pixel Sense顯示器、nVidia GeForce GTX圖形卡及號稱長達17小時的電池續航力，適合吃重的商務作業或打遊戲。其他功能包括TPM 2.0安全晶片、500萬像素1080p HD前置相機，支援Windows Hello臉部辨識，並具備環境光感應器、近接感測器及加速計等。</p> <p>不過<a href="https://www.microsoft.com/zh-tw/surface/devices/surface-book-2/tech-specs" target="_blank">台灣微軟網頁</a>尚未更新。微軟預計在美國時間4月17日在紐約舉行活動，<a href="https://www.engadget.com/2019/04/01/microsoft-surface-book-2-refresh-intel-8th-generation/" target="_blank">媒體猜測</a>屆時也會揭露更多大尺寸商務平板Surface Hub 2的產品細節。</p> </div></div></div>
2019/4/2 10:48作者林妍溱https://www.ithome.com.tw/news/129741
【iThome 企業資安大調查】今年資安人才有多搶手？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p32-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <div class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-1.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-2.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-3.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-4.png" style="width: 600px;" /></div> </div> </div></div></div>
2019/4/2 09:00未署名https://www.ithome.com.tw/article/129717
將來銀行籌備處CIO今天上任，由前91APP資深副總周旺暾一手打造IT新團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會開出2張純網銀執照，3家純網銀申請業者送件後，目前金管會正在審查階段，待6月將公布花落誰家，擁有開立純網銀的資格。然而，純網銀有別於一般銀行，在IT的布局又更為關鍵。</p> <p>將來銀行（Next Bank）籌備處資訊長在今天（4/1）正式上任，是由前91APP資深副總周旺暾，擔起將來銀行的IT建置。</p> <p>周旺暾畢業於交通大學應用數學系、臺灣大學資訊工程學系暨研究所，擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。</p> <p>周旺暾在2004年進入微軟，一待就是長達將近13年的時間，主要負責微軟雲端與資安等產品線的事業發展，而微軟雲端運算平臺Azure Platform，也是於他任內在臺推出。</p> <p>2017年，周旺暾接任91APP人資長，協助重新調整91APP的內部組織，並找尋一個更好的方式招募人才。周旺暾解釋，新創公司成長到一個程度，普遍會遇到組織越來越沒效率，可是又要有很快的速度往前走，所以必須重新調整。</p> <p>會從微軟這樣的跨國企業，回到新創領域擔任人資長，周旺暾坦言，當人資長是有原因的，企業其實知道臺灣擁有好的人才，但爭取人才的方式是花大錢搶來，他認為，爭取人才最好的辦法，是要在企業內部塑造好的文化與環境。</p> <p>不只人資長這角色，周旺暾在2018年5月接手了91APP拓張海外市場的事務，擔任資深副總經理，藉由他過去在微軟的跨國經驗，重新設定91APP在東南亞的海外市場策略與作法，直至今年3月。而4月的第1天，正式就任將來銀行籌備處資訊長。</p> <p>據周旺暾透露，去年12月將來銀行籌備處成立後，就開始有人透過各種管道打電話接觸他，但周旺暾當時拒絕了好幾次，一是認為加入純網銀不在他的計畫之中，更重要的是91APP還有很多路要走，所以他想要留在91APP繼續完成。</p> <p>但到了農曆年前，周旺暾親自與將來銀行籌備處的團隊見面詳聊，他發現將來銀行「萬事俱備，只欠東風。」而這東風，需要擁有網路技術，又能結合網路商業思維的人來協助，而周旺暾過去的豐富資歷，成就了這職位的不二人選，也正是將來銀行籌備處多次力邀的原因。</p> <p>周旺暾提到，將來銀行籌備處在重新打造一家純網銀時的思維，其實是以網路的思維出發，而不是傳統的銀行思維。他解釋，銀行的概念不會消失，而是回到本質，可以在各種消費場景，即時提供各種金融服務給消費者。「我們不是要做銀行，而是要做金融服務。」他強調。</p> <p>截至今年3月底，將來銀行籌備處總員工人數為34人，資訊部門人數共6人。周旺暾預計，待順利拿到純網銀執照，招募人才的目標將擴大到400到500人，而IT人才將會占總人數的7成，他表示。</p> </div></div></div>
2019/4/1 18:48作者李靜宜https://www.ithome.com.tw/news/129735
Android開源專案簡化冗餘應用程式，從音樂播放器、日曆和計算機先開刀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google為更聚焦Android開源專案（Android Open Source Project，AOSP）的目的，使專案中應用程式專注支援Android平臺功能，所以開始整理專案中的應用程式，目前已經清理完三個應用程式，除<a href="https://android-developers.googleblog.com/2019/03/aosp-application-updates.html">了簡化音樂播放器以及日曆的功能外，還將計算機應用程式從AOSP專案中刪除</a>。</p> <p>AOSP提供一系列可用的應用程式，除了可以為建構Android裝置的廠商提供一系列可用的應用程式外，也能夠當作Android開發人員的範本，提供建置應用程式的參考，另外，這些應用程式也可以成為平臺的一部分，讓其他應用程式透過API呼叫應用程式的功能。</p> <p>但Google提到，隨著Android生態系逐漸成熟，社群中無論是開源或是私有的替代實作都逐漸增加，這些應用程式不只提供開發者範例，通常也具備夠豐富而足以展示Android的功能，因此Google從去年底開始著手清理AOSP中的應用程式，將AOSP專案應用程式的目標，鎖定在成為平臺的一部分，提供其他Android應用程式可呼叫的功能。</p> <p>目前Google已經清理了三個應用程式，包括音樂播放器（下圖左）、日曆（下圖右）以及計算機。音樂播放器現在只提供一首音樂或是一個檔案的播放功能，並且對外公開作為android.media.browse.MediaBrowserService的意圖處理程序（Intent Handler），播放器仍然具備基本的播放控制功能，包括播放、暫停、向前以及向後等控制元件，但是音樂圖標、表演者、專輯、歌曲、播放列表、搜尋和設定的功能都被移除了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(10).png" style="width: 290px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(7).png" style="width: 310px;" /></p> <p>而AOSP日曆現在則為公開的日曆事件意圖處理程序，無法創建新事件，也不能編輯或是刪除既有事件，只提供日、週以及月的檢視圖，而多帳戶支援、提醒和設定功能都已經被刪除了，未來可能還會再簡化。計算機因為本身是一個獨立的應用程式，因此從ASOP專案中刪除，不過仍然會成為一個獨立的開源應用程式存在。</p> </div></div></div>
2019/4/1 17:05作者李建興https://www.ithome.com.tw/news/129722
思科遭爆RV320和RV325路由器安全補丁未修復漏洞，僅是避免有漏洞裝置被發現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科在一月時，針對企業級路由器RV320和RV325發出安全更新，以修補產品上的資訊洩漏以及遠端攻擊漏洞，但是現在卻被資安公司爆料，思科並沒有確實地修補漏洞，僅是封鎖特定工具，避免有漏洞的路由器被駭客發現，目前思科正想辦法再次修復。</p> <p>資安公司<a href="https://www.redteam-pentesting.de/en/home/-seeing-your-network-from-the-attackers-perspective">RedTeam Pentesting GmbH</a>在一月的時候，揭露了兩款受到ISP以及企業大量採用的思科WAN VPN路由器RV320和RV325存在兩個安全漏洞，分別是編號<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-rv-inject">CVE-2019-1652</a>的遠端攻擊漏洞，允許駭客不需要密碼認證，就能進行遠端注射並執行管理者命令，以及<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-rv-info">CVE-2019-1653</a>漏洞，讓遠端攻擊者不需要密碼，就可以獲取裝置敏感的配置細節資訊。</p> <p>這兩個漏洞被駭客積極的開採，已經有多個資安研究組織釋出概念驗證攻擊程式碼，展示如何使用這兩個臭蟲攻擊存在漏洞的路由器。<a href="https://badpackets.net/over-9000-cisco-rv320-rv325-routers-vulnerable-to-cve-2019-1653/">資安研究機構Bad Packets</a>在一月的時候，掃描網路上存在漏洞RV320和RV325的路由器，發現有6,247臺RV320路由器以及3,410臺RV325路由器存在漏洞，總共約有1萬臺裝置暴露於風險之中。</p> <p>雖然思科在一月底的時候完成這兩個漏洞的修補，但現在RedTeam Pentesting GmbH卻再次揭露，思科的安全補丁治標不治本，並沒有完全修復漏洞，駭客依然可以不經過網頁授權，對路由器進行命令注射、輸出配置以及擷取診斷資料。</p> <p>Bad Packets也在推特指出，RV320和RV325的路由器是在2018年9月發現的，思科經過4個月後在2019年1月釋出修復補丁，卻僅是將資料傳輸工具curl列入黑名單，防止攻擊者使用curl發現存在漏洞的路由器，而非從根本修復路由器存在的漏洞。</p> <div class="media_embed"> <blockquote class="twitter-tweet" data-lang="zh-tw" height="" width=""><p dir="ltr" lang="en" xml:lang="en">To note, the Cisco RV320/RV325 router vulnerabilities were discovered back in September 2018. Four months later a patch was issued that simply blacklisted curl. Cisco then has the gall to request postponement of <a href="https://twitter.com/RedTeamPT?ref_src=twsrc%5Etfw">@RedTeamPT</a>'s latest disclosure nearly two months after that. <a href="https://t.co/o2FqTsTebO">pic.twitter.com/o2FqTsTebO</a></p> <p>— Bad Packets Report (@bad_packets) <a href="https://twitter.com/bad_packets/status/1111023676609093632?ref_src=twsrc%5Etfw">2019年3月27日</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p>思科在其網站更新漏洞說明，表示當初的修復並不完整，目前他們正在積極的修補這個漏洞，當修復程式碼完成將會釋出更新，目前沒有任何方法可以修補這個漏洞。</p> </div></div></div>
2019/4/1 17:08作者李建興https://www.ithome.com.tw/news/129728
甲骨文「通知」用戶付費取得Java 8安全修補程式，否則小心被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文已在今年初終止免費支援Java 8，不過該公司業務人員「善意提醒」企業用戶要付費取得安全修補程式的措辭，讓收件者感到不滿。</p> <p>經常舉辦抓漏大賽的HackOne創辦人Alex Rice日前<a href="https://twitter.com/senorarroz/status/1110255155763503111" target="_blank">接到一封來自甲骨文業務人員電子郵件</a>，「通知」他甲骨文第一次非公開的季度重大修補更新即將在4月16日釋出。任何跑Java版本 8以後的非甲骨文應用系統和伺服器，都必須要有授權才能持續獲得修補程式和更新，因此，若沒有授權就可能使其「伺服器和桌機環境曝險與遭受攻擊（expose and vulnerable）。」該業務員表示，希望確保企業用戶在這段過渡期間擁有足夠「資源和資訊」，若有需求可以和他連繫。</p> <p>其實<a href="https://www.oracle.com/technetwork/java/java-se-support-roadmap.html" target="_blank">去年11月甲骨文就已預告終止對舊式系統上Java標準版本(SE) 8的免費更新</a>，但仍有一段緩衝期間。其中個人用戶將至少支援到2020年12月，而企業則只到2019年1月。在此之後，<a href="https://www.oracle.com/technetwork/java/javase/terms/license/index.html" target="_blank">非甲骨文產品用戶若需Java 8修補程式，則須購買BCL（Binary Code License）授權</a>。甲骨文也將從今年4月開始，每季發佈一次重大修補程式。</p> <p>就像微軟宣布明年1月14日終止支援Windows 7後，<a href="https://www.ithome.com.tw/news/129295" target="_blank">企業客戶可付費購買支援</a>，甲骨文向企業用戶收費也無可厚非。但Rice說他與甲骨文從來沒有過生意往來，該公司從不使用Java，接到甲骨文的信已經很奇怪了，更讓他莫名其妙的是，甲骨文業務人員信中使用恐嚇語氣，好像不付錢企業就要小心被駭，他有種被勒索的感覺，讓人感受很不好。他後來寫信給甲骨文反映此事也沒有下文。</p> <p>BleepingComputer報導，甲骨文對此拒絕評論。 </p> </div></div></div>
2019/4/1 16:39作者林妍溱https://www.ithome.com.tw/news/129726
臉書曾想用鳥型無人機打造空中連網基地台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書的Free Basics或Internet.org專案多年來，想以無人機打造偏遠地區的連網基礎架構。<a href="https://www.ithome.com.tw/news/124166" target="_blank">Business Insider報導</a>，除了Aquila的高空太陽能動力無人機外，臉書也曾開發出一個鳥型無人機作為連網基地台，不過最後仍然以失敗收場。</p> <p>報導引述消息人士指出，這個計畫名為Catalina，典故來自加州外海的聖塔麗娜島（Santa Catalina Island）。島上人民於19世紀後半曾利用飛鴿傳書形式，以信鴿和美國本土互傳訊息。事實上，Catalina專案也是使用麻雀大小的鳥型固定翼式無人機，內部由大容量的固態硬碟組成，形成空中的「無人機網絡」。不過它的角色不像Aquila是為完全無網路的偏鄉地區提供寬頻網路，而是用來強化現有較原始的2G網路，以支援手機影音串流及其他較吃頻寬的傳輸作業。</p> <p>消息人士透露，Catalina專案始於2017年。臉書方面也證實這項專案，但表示一年前就已結束。<a href="https://www.ithome.com.tw/news/124166" target="_blank">去年6月臉書也宣佈終止開發Aquila無人機</a>，顯示兩者結束的時間可能很相近。</p> <p><a href="https://connectivity.fb.com/" target="_blank">臉書的FreeBasics專案</a>仍然持續進行其他計畫，包括和空中巴士合作通訊平台（High Altitude Platform Station，HAPS）、高速多節點無線網路技術Terragraph，以及<a href="https://www.ithome.com.tw/news/107014" target="_blank">低價無線上網基地台盒子OpenCellular</a>等。</p> </div></div></div>
2019/4/1 16:58作者林妍溱https://www.ithome.com.tw/news/129727
【iThome 企業資安大調查】企業今年資安投資重點為何？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p31-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> </div> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-4.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-5.png" style="width: 600px;" /></p> <p class="rtecenter"> </p> </div></div></div>
2019/4/1 15:24未署名https://www.ithome.com.tw/article/129708
別讓系統更新成為資安亂源
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年的臺灣資安大會剛落幕，在3月25日，竟傳出<a href="https://www.ithome.com.tw/news/129612" target="_blank">個人電腦廠商華碩的軟體更新遭入侵的事件</a>，引發全球關注。</p> <p>這項攻擊行動是由資安廠商Kaspersky所發現，發生的時間是在2018年的6月到11月，而關鍵就在於，該公司的軟體更新公用工具ASUS Live Update Utility，已經遭到歹徒濫用。而根據Kaspersky的統計，總共有多達5.7萬名以上的用戶，已經下載與安裝藏有後門程式的ASUS Live Update Utility。</p> <p>而在這家資安廠商收集的200份以上的惡意程式樣本，他們觀察到裡面竟有一份寫死在程式碼當中的MAC位址清單，當中包含了600筆以上的不重複MAC位址（Media Access Control Address，也就是電腦使用的網路介面位址）。</p> <p>而有了這樣的資料，其實是可以辨識出對方想要針對的目標所在電腦。因為，每一筆MAC位址，就是一臺連網設備使用的網路介面位址，若有這樣的資料，再與所有網路流量的資料進行比對，我們是有機會找出電腦的網路連線位置、所在地區，甚至是身分。</p> <p>然而，就算是全世界最大的網路服務供應商，也不可能擁有全球網際網路的流量資料，因此，我們無從得知這6百多筆MAC位址的電腦到底在哪裡，目前只從MAC位址的前3碼所代表的網路介面製造商識別碼，來判斷它們的共通點，或是用戶自行查詢比對，確認自己是否為主要攻擊目標，但目前尚未看到有人公開表示這樣的狀態，所以並無法有進一步受害消息。</p> <p>根據中國資安研究團隊360威脅情報中心在推特揭露的消息，我們知道當中有268臺連網設備採用華碩自家的網路卡，占比為44.97％；用英特爾（Intel）網路卡的有157臺，占26.34％；使用海華科技（AzureWave）網卡的有101臺，占16.95％，此外，這裡面的MAC位址，還有一些是光寶科技（LiteOn）、鴻海精密（Hon Hai Precision）等廠商生產的網路介面。</p> <p>讓我們回頭看看此次攻擊的關鍵──華碩的用戶系統更新機制。基本上，ASUS Live Update是預載在華碩個人電腦的更新軟體，可用來更新主機板的BIOS、UEFI，以及各種系統驅動程式、其他華碩提供的應用工具軟體，絕大多數的主機板業者、個人電腦廠商，也都設有類似的更新機制。然而，這樣的共通特性與遠端連結、軟體派送能力，一旦整體的安全性有了管理上的缺口，讓駭客有機可乘，所能影響的範圍將會非常廣泛。</p> <p>類似這樣的狀況，讓人想到<a href="https://www.ithome.com.tw/article/86313" target="_blank">6年前韓國發生的史上最大APT攻擊事件</a>。根據調查，駭客先入侵企業內部的病毒碼更新主機，再利用更新病毒檔的正常管道，將惡意程式傳送到企業環境當中的每一臺個人電腦或伺服器。當時的災情相當慘重，有韓國KBS電視臺等6家企業受害， 48,700臺以上的電腦、伺服器與ATM伺服器，發生接連當機的狀況，電腦系統也因為硬碟開機磁區損毀，無法重新上線服務，有多達數千臺ATM故障，而網路銀行與信用卡服務也受到影響。</p> <p>而在2019年發生的此次事件當中，雖然目前尚未看到有類似規模的災情，但所有的企業、組織都不應該大意，除了華碩本身要做緊急應變之外，我們也應該要積極清查本身採用該公司電腦的狀況，並且確認MAC位址不在這批清單上。</p> <p>以更宏觀的角度來看，我們對於所有軟體、韌體的更新機制，都必須謹慎以對，強調要求所有供應商需做好管控，而對於自行開發的軟體、韌體的更新流程管控，也務必多加小心，不能再像過去那樣，僅重視開發階段與系統上線階段的安全，對於應用程式新版的部署程序、認證機制，應該要重新徹底審視，嚴陣以待，絕不能讓這個共通環節失守，反而成為駭客快速染指所有列管連網設備的任意門。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B3%BB%E7%B5%B1%E6%9B%B4%E6%96%B0">系統更新</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E4%BE%9B%E6%87%89%E9%8F%88%E6%94%BB%E6%93%8A">供應鏈攻擊</a></div><div class="field-item odd"><a href="/tags/%E8%8F%AF%E7%A2%A9">華碩</a></div></div></div>
2019/4/1 15:28作者李宗翰https://www.ithome.com.tw/voice/129720
傳蘋果晶片首席設計師離職、挖角特斯拉工程主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果近來高層人事異動頻繁，接連傳出晶片首席設計師Gerard Williams離職及迎來前特斯拉動力系統開發部門主管。</p> <p><a href="https://www.cnet.com/news/apple-loses-engineer-overseeing-the-processors-powering-iphones-ipads/" target="_blank">CNET引述消息人士報導</a>，蘋果的晶片平台架構資深總監Gerard Williams已於2月離職。在蘋果九年期間，Williams是蘋果自有晶片從A7到A12 X開發的掌門人，A7問世並搭載於iPhone 5S，是行動裝置第一顆64-bit處理器，而A12X則用於2018年秋天推出的最新款iPad Pro，蘋果號稱這個處理器，讓iPad Pro跑得比全球92%的電腦都要快。除了A系列處理器，Williams近年還負責帶領蘋果系統單晶片（SoC）的開發。</p> <p>不過Williams離職原因不明。目前<a href="https://www.linkedin.com/in/gerard-williams-iii-27895aa" target="_blank">他的LinkedIn檔案</a>並沒有任何更新。蘋果對這件事也拒絕評論。不過，蘋果逐漸加碼開發自有晶片，甚至有謠傳明年將以自行打造的Mac電腦晶片來取代英特爾產品。因此Williams的離開可以說將重創蘋果在晶片開發的推進計畫。</p> <p>蘋果這廂流失了自有晶片主管，另一方面則喜迎自特斯拉的開發重臣。<a href="https://electrek.co/2019/03/30/apple-car-tesla-electric-powertrain/" target="_blank">Electrek則首先發現</a>，特斯拉工程部門副總裁<a href="https://www.linkedin.com/in/dr-michael-schwekutsch-a75b0310/" target="_blank">Michael Schwekutsch的LinkedIn頁面</a>悄悄改成了蘋果特別專案部門（Special Project Program）部門的資深副總裁，這個部門也涵括汽車專案Project Titan。</p> <p>Schwekutsch擁有相當豐富的汽車電動傳動系統的開發經驗。Schwekutsch的資料頁顯示，他在特斯拉期間曾引領該公司超跑Tesla Roadster II及卡車系列 Tesla Semi的開發。報導也指出，他也參與過傳統車廠BMW i8、Porsche 918 Spyder 及Fiat 500e的開發。從這些經歷來看，顯示蘋果可能仍然持續推動電動車的開發計畫。</p> <p>新高層的加入或許可為命運多舛的Project Titan帶來新動力。歷經數年開發及計畫受挫的傳聞，9個月前<a href="https://www.ithome.com.tw/news/123926" target="_blank">The Information也曾報導蘋果</a>挖角Waymo大將Jaime Waydo ，但Project Titan迄今未見實質成果，一個月前蘋果才<a href="https://www.ithome.com.tw/news/129026" target="_blank">證實</a>位於聖塔克拉拉（Santa Clara）市及晴谷（SunnyVale）市的Project Titan組織異動，約190名員工將調往其他專案。</p> </div></div></div>
2019/4/1 12:45作者林妍溱https://www.ithome.com.tw/news/129716
俄羅斯政府下最後通諜：VPN業者必須封鎖在該國遭禁的網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門監督俄羅斯資訊通訊產業與大眾媒體的<a href="https://rkn.gov.ru/news/rsoc/news66248.htm" target="_blank">Roscomnadzor發出正式通知</a>予在該國境內經營虛擬私人網路（Virtual Private Network，VPN）的10家業者，要求它們必須在30天內介接俄羅斯聯邦政府資訊系統（FGIS），以於VPN服務中封鎖在俄羅斯遭禁的網站，否則就會同樣被列入FGIS的黑名單，成為當地遭禁的服務。</p> <p>收到通知的10家業者分別是NordVPN、ExpressVPN、TorGuard、IPVanish、VPN Unlimited、VyprVPN、Kaspersky Secure Connection、HideMyAss!、Hola VPN與OpenVPN。其中，TorGuard幾乎是立即宣布退出俄羅斯市場。</p> <p>俄羅斯是在2012年訂定了網路限制法案，列出禁止人民存取的網站黑名單，舉凡涉及兒童色情、毒品、極端主義或盜版內容的網站都在名單上，且率先由當地的ISP業者透過FGIS執行。但當地民眾依然會透過VPN服務造訪這些被封鎖的網站，讓俄羅斯總統普丁Vladimir Putin在2017年簽署了一項修訂法案，禁止VPN或其它匿名服務協助當地民眾規避封鎖名單。</p> <p>Roscomnadzor表示，此一新的法案闡明了VPN及匿名服務的責任與義務，包括應限制使用者存取在俄羅斯遭禁的網路資源，若要取得此一黑名單則必須連至FGIS，不配合的業者可能也會讓自己登上封鎖名單。</p> <p>必須配合當地黑名單政策的不僅是VPN，還包括搜尋引擎，迄今當地的Yandex、Sputnik、Mail.ru及Rambler等搜尋引擎業者都已與FGIS介接。Roscomnadzor還說，Google因拒絕遵守而被判罰了50萬盧布（約23.7萬元新台幣）之後，現在也乖乖地開始過濾當地的搜尋結果。</p> <p>被點名的<a href="https://torguard.net/blog/why-torguard-has-removed-all-russian-servers/" target="_blank">TorGuard同步發表了聲明</a>，表示當察覺到一個國家的法律環境可能對客戶的網路安全造成威脅時，便不會於當地提供伺服器，因此正在移除所有位於俄羅斯境內的伺服器，將於鄰近的國家重新部署。</p> </div></div></div>
2019/4/1 10:55作者陳曉莉https://www.ithome.com.tw/news/129683
研究人員：HTTPS不如你想的安全，5.5%含有TLS漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來各大瀏覽器業者都致力於推廣HTTPS安全傳輸協議，科技業者甚至共同創立Let's Encrypt免費憑證組織，以推動全球網站都使用HTTPS，不過，<a href="https://secgroup.github.io/tlswebscan/" target="_blank">來自義大利與奧地利的研究人員宣稱HTTPS並不如想像中的安全，在Alexa流量排行榜上前1萬個HTTPS網站中，就有5.5%的TLS加密傳輸含有安全漏洞。</a></p> <p>HTTPS的全名為HyperText Transfer Protocol Secure，基本上是以HTTP（HyperText Transfer）進行通訊，再利用SSL/TLS來加密封包，</p> <p>研究人員指出，HTTPS所仰賴的SSL/TLS近幾年已被證實可遭受各種攻擊，而且需要同時在伺服器端與瀏覽器端進行修補，市場大量採用複雜且合成的協議版本，令外界更難辨識哪些攻擊是有效的或是這些漏洞對各種網路應用在安全性上的影響。</p> <p>該報告檢查了Alexa流量排行榜上前1萬個採用HTTPS傳輸協定的網站，發現有5.5%的網站可能因為它們所採用的子網域或相依關係而變得不安全，在不少案例的漏洞是源自於外部或相關網域的主機。</p> <p>從數字來看，在這5,574個含有安全風險的網站中，有4,818個可能遭受中間人攻擊（Man-in-the-Middle，MitM），733個可能被完全解密，912個可能被部份解密。</p> <p>這些加密上的漏洞造成898個網站將可完全被危害而遭注入腳本程式，且不乏重要的電子商務網站或網路銀行服務；有997個網站的內容可能被駭客竄改；有10%的登入格式存在機密性問題，允許駭客竊取密碼；412個網站的Cookie可能被盜用並被用來執行連線挾持（Session Hijacking）；還有142個網站含有檢自熱門追蹤器的主機內容，而相關主機則是含有漏洞的，令使用者曝露在檔案攻擊中。</p> <p>這是首次有研究人員針對網路應用程式與加密漏洞之間的關係系統化地進行量化評估，完整的報告預計於今年5月舉行的IEEE安全暨隱私研討會上發表。</p> </div></div></div>
2019/4/1 11:33作者陳曉莉https://www.ithome.com.tw/news/129684
叫車服務業者Lyft上市了，首日股價上漲8%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/lyft-announces-pricing-of-initial-public-offering-300820699.html" target="_blank">叫車服務業者Lyft</a>在3月29日以72美元的發行價登上了美國那斯達克股市，在上市的腳步上領先最大競爭對手Uber，且當天的股價一度竄上87.24美元，最終以78.29美元作收，上漲8.74%。</p> <p>總部位於美國舊金山的Lyft成立於2012年，只在美國與加拿大市場營運，今年初在美國的市佔率為30.3%，為當地第二大的叫車服務業者，僅次於Uber的67.3%，儘管與Uber之間存在著一定的差距，但Lyft這一年來的市佔率已快速增加5個百分點。</p> <p>Lyft在2018年的營收為21.57億美元，虧損了9.11億美元。事實上，Lyft在上市前雖然吸引了逾50億美元的資金，但成立以來亦已虧損超過30億美元。不過，投資人對Lyft深具信心，該公司的首次公開發行（IPO）創下264億美元的身價，為Lyft年營收的11倍，也是Lyft上市前最近一次身價的1.6倍。</p> <p>Lyft擁有許多知名的投資人，前五大股東依序為日本電子商務暨網路業者樂天（Rakuten）、通用汽車（General Motors）、富達投資（Fidelity）、私人創投Andreessen Horowitz，以及Alphabet。</p> <p>《富比士》（Forbes）分析指出，這是自2014年阿里巴巴以來規模最大的首次公開發行，讓它的創始人與投資人致富，而且該公司的股票被視為一種流行文化偶象，因而非常受到年輕投資人的歡迎，這些投資人接受中長期的巨額虧損且相信它有一天會獲利，也相信自駕車技術即將被採納，帶動破壞性的創新。</p> <p><a href="https://secondmeasure.com/datapoints/rideshare-industry-overview/" target="_blank">Lyft在IPO的表現</a>也讓市場更加好奇，在幾周之後IPO的Uber將會呈現什麼樣的光景。</p> </div></div></div>
2019/4/1 11:58作者陳曉莉https://www.ithome.com.tw/news/129691
臉書祖克柏呼籲政府應立法規範有害內容、選舉、隱私與資料可攜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書（Facebook）創辦人暨執行長<a href="https://www.washingtonpost.com/opinions/mark-zuckerberg-the-internet-needs-new-rules-lets-start-in-these-four-areas/2019/03/29/9e6f0504-521a-11e9-a3f7-78b7525a8d5f_story.html?noredirect=on&utm_term=.90cd16575899" target="_blank">祖克柏（Mark Zuckerberg）透過華盛頓郵報的專欄發表了聲明</a>，建議政府應該針對有害內容、公正的選舉、隱私、資料可攜等議題制定整體的規則，而非由企業獨自判斷。</p> <p>祖克柏說，科技已是人們生活的一部份，但諸如臉書等業者承擔著巨大責任，包括判斷哪些言論造假，或是如何避免複雜的網路攻擊，這些都對維護社群安全非常重要，但不應要求企業獨自進行相關判斷，因而呼籲政府或監管機構應扮演更積極的角色，更新與網路有關的規定，以期在維護言論自由、企業創新與保障社群安全之間找到最佳平衡。</p> <p>因此，祖克柏希望政府能在有害內容、公正的選舉、隱私及資料可攜等4個領域訂定新規定。</p> <p>在有害內容上，必須對恐怖宣傳或仇恨言論加以定義。祖克柏表示，外界經常批評臉書握有太大的言論權力，坦白說他同意這件事，也相信臉書不應自己作出這麼多有關言論的重要決定，網路公司應該承擔有害內容的責任，但從網路上刪除所有的有害內容是不可能的，更何況人們在網路上使用了具備自家政策與流程的數十種共享服務，因此業者需要一種更標準化的規定與作法。</p> <p>另一方面，祖克柏也認為立法對於保護選舉非常重要，但是決定廣告是否具有政治性並不總是那麼容易，若監管機關可制定共同標準，將會讓業者的執行更具效率。</p> <p>至於有效的隱私與資料保護則需要一個全球性的框架，祖克柏贊成全球可基於歐盟的GDPR規定建立通用框架，也會讓全球的每一個網路用戶都得到同樣的隱私保障。</p> <p>在資料可攜上，祖克柏相信若能立法保障資料可攜原則，將可替人們創造選擇性，也可推動開發人員的創新與競爭；真正的資料可攜應該如同人們登入程式一般地方便，而不僅是允許人們下載自己的資料，然而這需要明確的法令來規範資料在不同的服務之間移動時，應該由誰來負責保護資料。</p> <p>身為全球最大的社交平台，臉書不斷在各方面遭受外界及各國政府的檢視，但臉書同時也是全球第一個具備如此規模與權力的社交平台，祖克柏不只一次透露他正在學習或尋找最適當的立場與政策，但也不免落入無所適從之感，現在他則呼籲政府及監管機關應該要更新網路上的各種規定來釐清人們、企業及政府對新一代網路的責任。</p> </div></div></div>
2019/4/1 12:00作者陳曉莉https://www.ithome.com.tw/news/129690
豐田汽車遭駭客集團鎖定？澳洲、日本、越南皆淪陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本豐田汽車（Toyota）繼今年2月<a href="https://www.toyota.com.au/news/toyota-australia-statement-re-attempted-cyber-attack" target="_blank">澳洲分公司傳出遭到網路攻擊</a>之後，<a href="https://global.toyota/jp/newsroom/corporate/27465617.html" target="_blank">日本總公司</a>與<a href="http://www.toyotavn.com.vn/en/news/hot-news/855/notice-on-a-cyberattack-targeting-toyota" target="_blank">越南分公司</a>也在3月29日證實遭到駭客入侵，資安業者則懷疑相關的攻擊行動是由越南駭客集團APT32所發動。</p> <p>在這3起針對豐田汽車的攻擊行動中，澳洲子公司宣稱沒有員工或客戶的個人資料外洩；日本總公司則說旗下5家Toyota經銷商、2家Lexus經銷售及一家Corolla經銷商的網路及伺服器遭到未經授權的存取，估計最多有310萬筆的客戶資訊外洩，當中並不含信用卡資料；越南子公司也說可能有部份客戶資料外洩，但數量及細節正在調查中。</p> <p>FireEye安全經理<a href="https://www.cyberscoop.com/apt32-ocean-lotus-vietnam-car-companies-hacked/" target="_blank">Nick Carr向資安媒體CyberScoop透露</a>，越南駭客集團APT32自2月就開始傳送惡意誘餌到5家以上的汽車業者，且相信該集團所為是為了支持越南政府的汽車政策，因為越南首家當地的汽車製造商VinFast準備在今年9月推出首款汽車，APT32可望協助越南政府與當地汽車產業蒐集競爭對手的資訊。</p> <p>至於日本豐田除了承認客戶資料外洩之外，並未公布是否有其它資訊遭竊。有資安專家認為，豐田尚未釐清遭駭規模頗令人擔心，因為判斷資料外洩規模的能力與預防資料外洩同樣重要，企業玩不起某些資訊是否遭盜的猜謎遊戲。</p> <p>又名OceanLotus的APT32<a href="https://www.fireeye.com/blog/threat-research/2017/05/cyber-espionage-apt32.html" target="_blank">被FireEye歸類為網路間諜集團</a>，專門鎖定東南亞地區的私人企業發動攻擊，偶爾也會攻擊政府組織、異議者或記者。但主要的攻擊對象仍是在越南擁有既得利益的海外企業，涵蓋製造業、消費者產品及飯店業。</p> <p>依照Carr的說法，遭到APT32攻擊的汽車品牌應不只豐田，惟迄今尚未有其它汽車業者出面證實。</p> </div></div></div>
2019/4/1 12:08作者陳曉莉https://www.ithome.com.tw/news/129693
DHL網釣網頁殃及奈及利亞國會網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/malwrhunterteam/status/1111630255763189761/photo/1?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1111630255763189761&ref_url=https%3A%2F%2Fwww.bleepingcomputer.com%2Fnews%2Fsecurity%2Fironically-phishing-kit-hosted-on-nigerian-government-site%2F" target="_blank">安全研究人員MalwareHunterTeam</a>近日在奈及利亞的國會網站上發現了偽裝成全球快遞公司DHL的網釣詐騙網頁，且該網頁至少已存在兩周之久。</p> <p>奈及利亞的網路詐騙幾乎是舉世聞名，而且普及到全球直接以該國涉及詐騙的刑法419條--奈及利亞419（Nigerian 419）來稱呼它，駭客採用各種手法進行詐騙，舉凡投資美金、黃金，或是宣稱自己為皇家王子，為繼承遺產必須先繳稅金，要求受害者匯款支助並承諾回饋，更是戀愛詐騙的高手。</p> <p>而盜用DHL商標的網釣詐騙則是為了竊取使用者的憑證，進而在黑市銷售。</p> <p><a href="https://twitter.com/malwrhunterteam/status/1112062595048062977/photo/1?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1112062595048062977&ref_url=https%3A%2F%2Fwww.bleepingcomputer.com%2Fnews%2Fsecurity%2Fironically-phishing-kit-hosted-on-nigerian-government-site%2F" target="_blank">MalwareHunterTeam指出</a>，偽造DHL商標的網釣套件從2017年就存在，早就被數不清的駭客用來執行無數次的詐騙行動，根據urlscan.io的統計，該站至少蒐集了657次相關的檢舉，且它們都採用了同樣的網釣頁面。</p> <p><a href="https://www.bleepingcomputer.com/news/security/ironically-phishing-kit-hosted-on-nigerian-government-site/" target="_blank">至於率先揭露此事的BleepingComputer則認為</a>，此一網釣詐騙連奈及利亞的政府網站都不放過真是太扯了。</p> <p>其實DHL早就知道自己的商標遭到網釣詐騙濫用，並說該公司只會要求使用者支付運送與關稅費用，不會要求其它費用，提醒消費者留意潛在的詐騙手法，同時也強調該公司並不承擔任何消費者因被詐騙而造成的損失。</p> </div></div></div>
2019/4/1 12:15作者陳曉莉https://www.ithome.com.tw/news/129694
安聯人壽今年將全面發展數位化，兩大目標是業務流程再造與內部流程自動化工程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>FinTech的數位化浪潮，也為全球金融業開啟另一個新競爭起點。安聯人壽宣布了在2019年的營運策略，安聯人壽總經理林順才表示，今年安聯將全面發展數位化，並持續專注在數位轉型。</p> <p>林順才表示，安聯一直以來的數位轉型策略，是以客戶體驗為核心出發點，開發數位工具，讓客戶端與業務銷售端，都能有更好的數位體驗。</p> <p>安聯數位化業務發展上，進一步還可以分成兩大面向，一是未來營運轉型計畫與業務流程再造，二是自動化工程。</p> <p>安聯已經開發了多項數位化工具，包括了保險業務員使用的行動投保工具「安聯i探索」、保經代數位保險銷售工具「安聯行動王」等業務員輔助工具；而去年推出的智能客服機器人「Allie」，則以提升客戶體驗為主。</p> <p>未來，他們會加碼將金融科技全面應用到銷售系統上，另外也將計畫再次升級客戶服務。</p> <p>在自動化工程的部分，安聯人壽則著重於內部流程的自動化與優化，希望從後端開始改造，提供保戶更好的體驗。</p> <p>安聯人壽營運長暨數位策略創新部資深副總經理陳俊宏表示，安聯的下一步規畫要將AI結合機器人流程自動化（Robotic Process Automation，RPA），目前內部已開始進行POC，先測試在內部作業，如核保流程、理賠流程、反洗錢（AML）作業上，是否能否結合AI和RPA來提升自動化效果。</p> <p>陳俊宏提到，先將後端流程的自動化工程做得更完整才行，下一階段的方向是強化去年上線的智能客服機器人，安聯人壽希望讓許多保戶需要的服務，例如變更需求，甚至是要重換保單，都盡可能能在前端的Chatbot就能完成。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0721.jpg" /></p> <p>安聯人壽營運長暨數位策略創新部資深副總經理陳俊宏。</p> </blockquote> <p>陳俊宏更進一步揭露，DevOps也將是安聯人壽今年的一大重點，他們將透過安聯集團開發的標準，來建置敏捷式開發平臺（Agile Development Platform，ADP），就是要運用DevOps相關工具與方法論，進行導入來提升開發與維運的效率，而總部也會派人來臺灣安聯，協助建置這個敏捷式開發平臺。不過，陳俊宏也強調，遇到需處理客戶資料的部分，還得考慮是否能放上雲端環境的法令規範。安聯人壽過去自行開發了核心系統，當初設計時也保留很多彈性設計，更成了現在安聯數位轉型的重要基石。</p> <p>此外，陳俊宏也提到他們在資安的防護。金管會規定，資產總額達新臺幣1兆元以上的保險業者，應設置具職權行使獨立性的資安專責單位與資安長。雖然臺灣安聯人壽未達1兆元的資產總額，但在集團的要求下，仍在臺灣安聯設有資安專責單位與資安官，陳俊宏說，這樣才能確保其獨立性。</p> <p>他也提到，集團給的很大的功課是資安防護，光是資安領域就設了20個KPI，集團也在很早以前開始，就找了一組白帽駭客，不定期到處測試各分公司的資安漏洞。不過，臺灣安聯也經過這樣的過程，開始修補起許多漏洞，陳俊宏認為，這是比較務實的作法。</p> <p>當大家都開始在發展數位轉型時，保險業勢必與銀行、保經代之間的系統，有一定程度的連結，能被攻擊的管道就更多，所以得想辦法篩選，並做好資安防禦措施，陳俊宏指出。</p> </div></div></div>
2019/3/31 18:48作者李靜宜https://www.ithome.com.tw/news/129681
Cloudflare開源WireGuard使用者空間實作釋出BoringTun專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p><a href="https://blog.cloudflare.com/boringtun-userspace-wireguard-rust/">Cloudflare發布了BoringTun專案</a>，這是一個以程式語言Rust撰寫的WireGuard協定使用者空間實作，而WireGuard則是一個新型的VPN公用程式與協定。Cloudflare提到，Rust具有C++的執行速度，而且具備高度記憶體安全，甚至比Go還安全，是跨平臺應用程式的好選擇。</p> <p>WireGuard是一個很新的通用VPN開源專案，能夠建立安全的點對點網路連接通道，原本是整合在Linux核心中，現在被發展成跨平臺的VPN解決方案，其目標是取代IPsec以及OpenVPN這類基於TLS的VPN技術。相對於傳統VPN來說，WireGuard使用較新且更簡單快速的技術，以雜訊協定框架（Noise Protocol Framework ）建構，並採用一系列現代加密演算法，在公鑰操作使用X25519，在授權認證加密使用ChaCha20-Poly1305，而在訊息認證則採用Blake2。</p> <p>Cloudflare尋求符合自家需求的WireGuard實作，他們需要WireGuard實作在使用者空間運作，執行速度快，且能跨平臺在Linux、Windows、macOS、iOS和Android上執行。雖然目前存在數種WireGuard實作方式，但不是與特定平臺綁定，就是不在使用者空間執行，跟Cloudflare需求最相近的則是wireguard-go專案，但是經過他們進行的基準測試，wireguard-go的效能遠低於在Linux核心運作的WireGuard核心模組，Cloudflare提到，Go適合用來撰寫伺服器，但是卻不適合用來處理原始封包，而這項工作卻是VPN的本質。</p> <p>在語言選擇上，雖然C和C++的執行效能都很好，但是Cloudflare提到，經證明這兩個語言的記憶體模型在現代加密與安全導向的專案太過脆弱，而wireguard-go專案也顯示出Go的缺點，Rust則是現代且安全的程式語言，能提供跟C++一樣的執行效率，不只提供高度記憶體安全性，還具備更安全的並行規則，整體來說比Go更安全，同時還提供大量的平臺選擇，可以簡單地發布跨平臺應用程式。</p> <p>WireGuard有另一個Rust的實作wireguard-rs，但是Cloudflare表示，該專案還相當不成熟，因此決定自行打造。Cloudflare表示，WireGuard專案是所以名為BoringTun，是對Google的BoringSSL致敬，BoringSSL消除了OpenSSL的複雜性，他們認為，WireGuard很有機會對傳統VPN協定做出相同的貢獻，成為未來類VPN技術的標準。</p> <p>目前BoringTun仍在Cloudflare內部的安全審查階段，還不適合用於關鍵工作，但是使用者可以在<a href="https://github.com/cloudflare/boringtun">GitHub</a>中取得程式碼，該專案以BSD 3-Clause授權開源。</p> </div></div></div>
2019/4/1 10:24作者李建興https://www.ithome.com.tw/news/129674
Google工程師揭露TP-Link路由器含有可執行任何命令的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/mjg59/status/1111106885736787975" target="_blank">Google的資安工程師Matthew Garrett本周指出</a>，由中國網通業者普聯技術（TP-Link）所開發的路由器SR20含有安全漏洞，將允許本地端駭客執行任何命令。</p> <p>SR20為TP-Link在2016年所發表的智慧型家用路由器，它配備觸控式螢幕，標榜是個一體成型的路由器與IoT中心，可集中管理家中智慧裝置的網路服務，目前仍可在市場上購得，售價約為150美元。</p> <p>Garrett說明，SR20會經常執行一個名為TDDP（TP-Link Device Debug Protocol）的遠端除錯程序，可用來執行兩種類型的命令，當中只有第二種類型需要管理員憑證，第一種則否。</p> <p>在第一種類型的命令中，有一看似進行配置驗證的命令允許駭客傳送一個內含文件名稱、分號與參數的命令來啟動開採程序，並建立與SR20之間的連結，隨後駭客即可以最高權限執行任意命令。幸好SR20的防火牆會阻攔網外的攻擊行動，因此由Garrett所建立的概念性驗證攻擊程式也只能在區域網路（LAN）中運作。</p> <p>其實另一資安業者<a href="https://www.coresecurity.com/advisories/tp-link-tddp-multiple-vulnerabilities#timeline" target="_blank">Core Security也曾在2016年於TP-Link的另一款路由器產品發現類似的漏洞</a>，這些漏洞都是衍生自TDDP。只是不管是Core Security或Garrett都未曾收到TP-Link的回應，Garrett則選擇在檢舉漏洞的90天後公布。</p> <p>由於TP-Link有不少裝置都預設啟用TDDP，因此很可能還有其它裝置受到波及，Garrett也建議業者應該要在上市產品的韌體中移除除錯程序，而且既然已經建立了安全問題的檢舉頁面，最好有人在照看它。</p> </div></div></div>
2019/4/1 10:35作者陳曉莉https://www.ithome.com.tw/news/129682