iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Windows 10 May 2019 Update將允許用戶延後更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2019/04/04/improving-the-windows-10-update-experience-with-control-quality-and-transparency/#J0sSe2Pz1Hd5KWhD.97" target="_blank">微軟宣布</a>，下一個Windows的更新版本將命名為Windows 10 May 2019 Update，而且自May 2019 Update起，微軟將不再強迫Windows 10用戶立即展開更新，而是允許用戶延後升級，最久可延遲35天。</p> <p>新一代Windows 10版本的內部代號為19H1，<a href="https://www.ithome.com.tw/news/128514" target="_blank">原本外界以為它的正式名稱為April 2019 Update</a>，不過微軟為了避免再發生<a href="https://www.ithome.com.tw/news/127023" target="_blank">前一代October 2018 Update所出現的憾事</a>，決定拉長19H1的預覽階段，把19H1的發表時程推遲至5月，而將正式名稱順勢改為May 2019 Update。</p> <p>另一方面，自May 2019 Update起，微軟將賦予Windows 10用戶更彈性的升級選項，將允許使用者暫停功能性及每月的非安全性更新，每次可暫停7天，最多可暫停5次，因此最久可延遲35天再執行更新。</p> <p>此一可暫緩更新的機制仍有例外，即是當使用者的Windows 10版本已經或即將到達服務終止日時，微軟仍會自動展開更新，以確保使用者的系統可持續被支援。</p> <p>May 2019 Update也將支援智慧型活躍時間（Intelligent active hours），微軟於Anniversary Update中新增的活躍時間是讓使用者設定一般的電腦運作時間，以避免電腦在此一時段自動安裝更新並重新啟動，它的預設值為早上8點到下午5點，但許多Windows 10用戶的工作時間可能不只這個時段，加入了人工智慧能力的活躍時間則會根據裝置的使用型態自動調整活躍時間，以免更新活動妨礙了電腦使用。</p> <p>May 2019 Update將具備一個新的「下載及安裝」（Download and install now）選項，在收到微軟的更新通知之後，讓使用者主動選擇何時要下載或安裝更新。該選項除了會出現在May 2019 Update中之外，亦會在5月底現身於1803（April 2018 Update）及1809（October 2018 Update）中。</p> <p>微軟預計於未來一至二周釋出May 2019 Update至Release Preview Ring進行測試，而微軟的商用客戶，或是主動選擇「檢查更新」（check for updates）的使用者，以及那些Windows 10版本瀕臨支援終止的用戶則可在5月底收到May 2019 Update。</p> <p>負責Windows的微軟企業副總裁Mike Fortin表示，這次微軟將更加嚴謹地進行May 2019 Update的預覽階段，不管是微軟、OEM合作業者或是軟體供應商都會在此一階段於內部部署May 2019 Update，還會鼓勵員工在個人裝置上安裝此一版本，以協助改善May 2019 Update的品質。</p> <p>此外，微軟也將利用自然語言處理與機器學習技術優先偵測May 2019 Update所出現的重大問題，打算揪出也許只有少數人回報卻影響重大的問題，並將偵測重大問題的時程從數天縮短至數小時。</p> </div></div></div>
2019/4/5 22:35作者陳曉莉https://www.ithome.com.tw/news/129801
逾5.4億筆臉書用戶紀錄在AWS上曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲資安新創UpGuard最近在Amazon S3雲端儲存服務上，<a href="https://www.upguard.com/breaches/facebook-user-data-leak" target="_blank">發現</a>兩個可公開存取的儲存貯體，當中一個來自墨西哥的媒體公司Cultura Colectiva，存放了與臉書用戶有關的5.4億筆紀錄，另一個則來自臉書程式At the Pool，亦存放臉書用戶的帳號、友人名單、按讚數及At the Pool程式的密碼，只是容量遠不及Cultura Colectiva。</p> <p>Cultura Colectiva在Amazon S3上存放的資料多達146GB，涉及臉書用戶在該站的各種行為，從帳號名稱、回應、評論、按讚到其它等。</p> <p>至於At the Pool的資料庫亦含有臉書用戶的帳號、按讚的內容、友人、音樂、電影、照片、打卡，以及2.2萬名At the Pool程式用戶的明文密碼，雖然該密碼與臉書無關，但使用者可能在不同的服務上採用一致的密碼，造成其它帳號遭駭的風險。</p> <p>有趣的是，UpGuard早在今年1月初就通知Cultura Colectiva，卻未收到回應，於是繼之在1月底通知AWS，AWS也只能再通知Cultura Colectiva，但Cultura Colectiva依然毫無行動，一直到今年的4月，當彭博社為了報導此一新聞而聯繫臉書時，Cultura Colectiva才終於保全了該資料庫。</p> <p>至於At the Pool程式早在2014年就無法運作，母公司亦已關門大吉，在UpGuard發現其公開資料庫並追蹤其來源時，資料庫剛好同時被撤下。</p> <p>UpGuard指出，Cultura Colectiva與At the Pool資料庫之間的共通點，是它們都存放了與臉書用戶有關的資料，從他們的興趣、關係到互動等；受到外界嚴格檢視的臉書正在緊縮第三方程式所能存取的用戶資料，然而，此次曝光的兩個資料庫卻意味著，臉書用戶資料的外洩早就超過臉書所能控制的範圍了。</p> <p>因為當臉書允許第三方程式蒐集用戶資料的同時，這些資料的控制權已被轉交到第三方開發者手上，因此，光仰賴臉書來保全用戶資料是不夠的，還得冀望數百萬的程式開發者都能一起捍衛臉書用戶的資料安全。</p> </div></div></div>
2019/4/5 21:55作者陳曉莉https://www.ithome.com.tw/news/129798
貝佐斯夫妻離婚協議出爐，Jeff保有75%股權與全部股份的投票權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon創辦人Jeff Bezos的妻子MacKenzie Bezos在4月4日<a href="https://twitter.com/mackenziebezos" target="_blank">公布了雙方的離婚協議</a>，表示MacKenzie將取得雙方25%的Amazon股票，Jeff則擁有75%的股票，且MacKenzie將把所持有股權的投票權讓給Jeff，也放棄華盛頓郵報與Blue Origin的股權，解決了外界對貝佐斯夫妻的離婚事件可能會影響Amazon營運的疑慮。</p> <p>根據Amazon提交給美國證券交易委員會（SEC）的<a href="https://www.sec.gov/Archives/edgar/data/1018724/000119312519097640/d697549d8k.htm" target="_blank">8-K文件</a>，貝佐斯夫妻的離婚協議將讓MacKenzie握有4%的Amazon股權，而Jeff則將持續持有12%的Amazon股權，但16%股份的投票權皆屬Jeff所有。此一協議也讓MacKenzie躍升為Amazon的第三大股東，僅次於Jeff的12%與Vanguard Group的6.1%。</p> <p>以Amazon在4月4日收盤時的8,934億美元的市值來計算，離婚後的MacKenzie將擁有357億美元的身價。</p> <p>在雙方於4月4日提出離婚申請之後，正式的離婚判決可望於90天內發出。不管是MacKenzie或<a href="https://twitter.com/jeffbezos" target="_blank">Jeff都強調</a>期待彼此進入下一個成為朋友及共同家長的新關係。</p> </div></div></div>
2019/4/5 22:05作者陳曉莉https://www.ithome.com.tw/news/129799
Cloud周報第18期：1分鐘都不能多等，新北救護車將啟用雲端動態救護系統，讓指揮中心與醫院更即時取得患者資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（2019/03/28～2019/04/03）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新北市 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 消防局 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 動態救護系統 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>新北救護車將啟用雲端動態救護系統，望提升OHCA康復率</strong></span></p> <p>新北市消防局日前宣布，完成「智慧雲端動態救護系統」建置，整合了行動急診室及緊急救護智慧系統，讓局內110輛救護車能即時連線指揮中心和醫院端。指揮中心會比對救護地址，自動調閱患者過去的救護記錄，將患者病史、禁忌症、過敏症狀等資訊，即時傳送至系統，供急救員了解，以給予患者最適合的急救處置。系統3月試運至今，新北市到院前心肺功能喪失（OHCA）患者的康復率，由過去的8%提升至8.44%。市政會議上，新北市市長侯友宜期許，有了此系統建置及加強人員培訓後，能讓新北市OHCA康復率達到9%。</p> <p>另一方面，透過此系統，救護員將利用平板電腦，把車內生理監視器所測量的患者生理資訊，包含生命徵象、12導程心電圖、急救員評估處置等，即時同步傳輸到救災指揮中心，以及醫院。醫院在病人送達前，即獲得病患的生理資訊，便能及早整合照護機制，採取相關應變措施，並在病患到院時，馬上啟動診治，省下到院後的診察時間，以提升救護效能。<a href=" https://www.fire.ntpc.gov.tw/home.jsp?id=f5819bb65919966a&act=be4f48068b2b0031&dataserno=331e682c747cda5f8e93339c17f58d58">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 金融機構 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 雲端開放 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 管理原則 </span></strong> </p> <p><span style="font-size: 22px;"><strong>金管會揭露開放銀行上雲端的3大管理原則</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E7%AE%A1%E6%9C%83_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89%20.jpg" style="width: 600px; height: 400px;" /></p> <p>金管會主委顧立雄近日出席一場活動時，就金融機構採用雲端服務，提出了3大雲端開放的管理原則，首先，金融機構若使用境外的雲端資料中心，必須要求機房所在地的監理機關，開放金管會前往，行使實地查核的權利；其次，因涉及個資保護範疇，雲端業者僅限提供服務，不可具有控制資料存取的權利；最後，金融機構要訂立退場機制，當雲端服務退場時，要遵循退場要件，採取必要措施，包含刪除儲存於雲端的資料，以利資訊防護。</p> <p>金管會於3月初時，召開過「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案公聽會，目前進入研擬開放管理辦法的階段，而上述3大原則將為規範的主軸。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端產業 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中國自貿區 </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 中美貿易戰 </span></strong></p> <p><strong style="font-size: 22px;"><strong>中國擬放寬雲端規範，開放外資在自貿區運營雲端資料中心</strong></strong></p> <p>中美貿易戰正在進行新一輪的談判，根據《華爾街日報》的報導，近日，中國國務院總理李克強會見了多名外資企業高層，透露正考慮開放外國的雲端業者，在自由貿易區獨立經營雲端資料中心，作為自由化試點。中國此舉被視為就中美貿易談判，做出的新一項讓步。</p> <p>報導更進一步指出，目前中美雙方就中國開放雲端市場，仍有些關鍵問題待磋商，像是自貿區與中國其他地區間，是否可自由地雙向傳輸資料，還有外國雲端業者可在自貿區提供哪些服務項目，以及外國雲端業者可向哪些客戶提供服務等。而該雲端自由化試行點可能落腳在貴陽。目前，各家非中國的雲端業者，像是亞馬遜和微軟等，必須採取與中國公司合資，以共同營運的模式，才可進入中國雲端市場。<a href="https://www.datacenterknowledge.com/regulation/china-weighs-letting-us-cloud-providers-operate-their-own-data-centers">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 福斯集團 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 串聯工廠 </span></strong></span> </p> <p><strong style="font-size: 22px;"><strong>福斯集團與AWS結盟，打造福斯工業雲，要串聯全球122座工廠</strong></strong></p> <p><strong style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/T_VW_IndustrialCloud_R_v02_200dpi.jpg_x_1163_y_1900.jpg" style="width: 600px; height: 337px;" /></strong></strong></p> <p>汽車龍頭福斯集團近期宣布，與AWS結盟，打造「福斯工業雲」（Volkswagen Industrial Cloud），要借助AWS雲端技術，串聯全球122座工廠，透過工業物聯網的架構，提升生產力。此雲端平臺將串聯各工廠所有的機器和系統，並藉由AWS雲端服務，像是機器學習、數據分析平臺等，改善工廠製造流程，例如運用於物流作業，可藉由數據分析，從而更有效地管控，並及早發現供應瓶頸和流程中斷處，以盡早排除問題，提升車輛生產效率和品質。該平臺更會發揮串聯的影響力，使單一工廠作業流程的改善點，可跨工廠應用，以達到標準化的規模。</p> <p>除了122座工廠，未來，平臺也將把福斯集團旗下超過3萬個據點、逾1,500家供應商，甚至其他車廠，都納入該平臺串聯對象的名單上，福斯集團強調，該平臺為開放性質，可提供其他車廠使用其服務。另外，福斯集團與AWS兩方更計畫在德國柏林，成立工業雲創新中心。<a href="https://www.volkswagen-newsroom.com/en/press-releases/volkswagen-and-amazon-web-services-to-develop-industrial-cloud-4780">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BigQuery </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 資料倉儲 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 搬遷服務 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>為吸引企業將資料搬上雲，Google推出BigQuery資料倉儲搬遷服務</strong></span></strong></p> <p><strong style="color: rgb(51, 51, 51); font-family: sans-serif, Arial, Verdana, "Trebuchet MS"; font-size: 22px; background-color: rgb(255, 255, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/benefits_of_BigQuery_max-1500x1500(1).png" style="cursor: default; width: 600px; height: 238px;" /></strong></p> <p>Google最近推出BigQuery資料倉儲搬遷服務，企業若想將資料從傳統資料倉儲，搬遷到Google資料倉儲服務BigQuery，Google可提供搬家工程的相關技術服務。典型的資料倉儲搬遷工程有3個階段，分別是將資料、架構和工作負載，依序由舊的資料倉儲系統遷至新系統，架構搬遷需轉換原資料定義與拓墣，而工作負載搬遷，則須將舊資料倉儲上使用的ETL工作管線、資料處理工作、儲存程序，以及儀表板等，轉移到新系統上。Google現提供的BigQuery搬遷服務，可自動完成資料和架構兩階段至的遷移工程，能節省企業用戶的搬遷時間。除了提供搬遷支援，Google也提供用戶架構設計指導、概念性驗證與免費訓練等服務。<a href="https://cloud.google.com/blog/products/data-analytics/migrating-your-traditional-data-warehouse-platform-to-bigquery-announcing-the-data-warehouse-migration-offer">（詳全文）</a></p> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 防護計畫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> </span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 物聯網裝置 </span></strong> </p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>微軟擴大專利防護計畫，再免費捐贈500項Azure物聯網專利</strong></span></strong></p> <p>微軟於3月28日宣布，Azure專利防護計畫Azure IP Advantage保護對象的範疇，將延伸觸及IoT裝置，包含連接Azure的IoT裝置，以及使用微軟Azure Sphere專案和Windows IoT的裝置，並捐贈500項專利給LOT Network組織，供新創公司免費使用。微軟於2017年時，首次通過Azure IP Advantage計畫，提供1萬項專利，保護使用Azure服務的客戶及開發商，讓他們跑在Azure雲端的服務，不會受到專利訴訟。此次，微軟則是將計畫的保護對象，擴大到連接Azure的IoT裝置。</p> <p>另外，微軟於去年加入非營利組織LOT Network，與Google、SAP、Amazon、臉書、福特、通用汽車及Uber等成員，一同對抗專利蟑螂，而符合資格的新創公司，將可免費使用微軟這次捐贈的500項專利。<a href="https://blogs.microsoft.com/blog/2019/03/28/manufacturing-a-better-future-microsoft-announces-intelligent-industry-innovations/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 微服務 </span></strong></span> <strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 監控通訊 </span></strong></p> <p><strong style="font-size: 22px;"><span style="font-size:22px;"><strong>AWS釋出App Mesh正式版，助企業監控微服務應用程式</strong></span></strong></p> <p>AWS宣布，網狀網路服務App Mesh推出正式版，讓用戶可監視與控制AWS上，構成應用程式與微服務之間的通訊。透過此服務，用戶可以監控在Amazon ECS、Amazon EKS，還有在Amazon EC2的Kubernetes上執行的微服務。當應用程式由多個微服務組成時，App Mesh使用的新架構模式，可讓開發者辨識並隔離問題，並提供一致且動態的方法，管理微服務間的通訊。而該服務並非內建在微服務中，為獨立的服務，被實作為與微服務平行運作的代理伺服器。<a href="https://aws.amazon.com/tw/about-aws/whats-new/2019/03/aws-app-mesh-is-now-generally-available/?nc1=h_ls">（詳全文）</a></p> <p><strong>攝影／洪政偉圖片來源／新北市消防局、福斯集團、Google </strong></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></p> <p><strong>1. 甲骨文5月將裁員300多位負責雲端業務的員工</strong></p> <p><strong>2. Azure資訊安全中心的測量單位從每月改為每小時</strong></p> <p><strong>3. Google發表未來10年企業雲端運算趨勢，超過一半受訪者認為，雲端將會結合邊緣運算技術</strong></p> <p><strong>4. 微軟雲端安全資訊管理平台Azure Sentinel現可支援IoT裝置</strong></p> <p><strong>5. 西澳州政府財政廳宣布，其本地端約850臺伺服器已全數由微軟Azure上的虛擬伺服器取代</strong></p> <p><strong>資料來源：iThome整理，2019年4月</strong></p> </div></div></div>
2019/4/5 09:10作者黃郁芸https://www.ithome.com.tw/news/129792
【2019勒索軟體防護指南】擺脫勒索軟體威脅，落實端點防護與資料備份仍是關鍵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/sep1402mr1tu_1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">【防毒軟體是保護個人端點電腦的重要防線】在防範勒索軟體的措施中，防毒軟體的角色舉足輕重，因此我們認為，使用者應該考慮選擇一套功能較為完善的解決方案，最簡單的判斷標準，在於防火牆功能（圖中的防網路和主機刺探）與進階的主動防護機制的有無。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及這幾年來，最讓人倍感威脅的攻擊，就是以加密使用者電腦檔案，並要使用者支付贖金，才能復原檔案的勒索軟體（Ransomware），。遭受這類攻擊的使用者，為了電腦裡的重要資料，可能選擇付錢，希望駭客能夠還原，或者只能認栽，接受檔案無法使用所帶來的損失。</p> <p>而這類攻擊手法，對於企業帶來的災害也相當顯著，包含了俗稱為「想哭」的WannaCry蠕蟲病毒，因濫用美國國家安全局（NSA）的漏洞利用工具「永恆之藍（EternalBlue）」，藉由微軟的SMBv1漏洞，於2017年5月大肆發動攻擊。由於暴發時間適逢周末，大多使用者隔周一上班時，都戰戰兢兢先將電腦的網路線拔除後，才敢開機使用，以免電腦可能遭受這個蠕蟲橫向感染波及。</p> <p>去年臺灣史上最為嚴重的攻擊事件，莫過於8月台積電產線受到病毒攻擊，迫使該公司廠房大當機，必須中斷生產進度，報廢大量晶圓，損失超過50億元，而進場機臺出現的病毒，據聞就是WannaCry的變種。</p> <p><span style="font-size:28px;"><strong>作業系統與應用程式必須定期安裝修補軟體</strong></span></p> <p>然而，於WannaCry滲透的管道，竟是一個微軟2個月前發布修補程式防堵的漏洞，但即便是如此，還是有許多電腦因為沒有定期執行系統更新，成為這次攻擊的受害者。因此，除了定時備份重要的資料，並且安裝防毒軟體保護電腦，作業系統與應用程式的軟體漏洞修補，其實也是防範這類攻擊的重要措施。</p> <p>基本上，較新版本的作業系統，還有許多連網應用程式，幾乎都會預設採用自動更新的機制。但也有少數軟體，需要使用者自行手動檢查，像是解壓縮軟體WinRAR和7-Zip，就沒有內建相關的更新功能。</p> <p>值得留意的是，由於Windows作業系統中，並未針對常見的Win32應用程式提供軟體市集，若是使用者逐一確認是否需要更新，部署之後還要檢查確實安裝完成，相當耗時費力，因此，採用能管理常見軟體版本的小工具或是平臺，就能省下不少功夫。像是免安裝的Patch My PC和Ninite，或是偏向開發者的Chocolatey，都能提供類似的機制。再者，有些防毒廠商也有推出類似的附屬軟體，可供選用。</p> <p>除了倚賴廠商的修補程式，以及軟體自動更新機制之外，使用者也應該適時了解自己安裝的軟體，處理了那些弱點，還有可能會帶來的影響等資訊。因此我們認為，使用者應該至少每個月一次，閱讀相關公告，最起碼要看作業系統廠商的安全性公告。</p> <p>當然，採取良好的使用習慣，也是預防受到這類攻擊的重要管道──包含避免瀏覽可能潛藏危險的網站，勿點選來路不明的電子郵件連結。</p> <p><span style="font-size:28px;"><strong>安裝防毒軟體</strong></span></p> <p>對於一般使用者而言，想要對抗勒索軟體攻擊，防毒軟體還是最重要的防護措施。</p> <p>只是在很多使用者的觀念上，可能還是認為防毒軟體可能占用過多的系統資源等因素，或是覺得裝了沒有用，甚至是認為自己的使用習慣非常良好，駭客攻擊不會找上門，抱持著僥倖心態，選擇不使用任何的防毒軟體。殊不知這樣的做法，在現今的資安情勢中，缺乏這種類型的防護，又遇上駭客濫用作業系統的軟體漏洞，電腦就很容易被植入惡意程式，遭到入侵。</p> <p>若要挑選一套防毒軟體，對於許多使用者可能是個難題──不僅是廠牌相當多元，許多廠牌也同時提供免費與付費版本。再者，較新版本的Windows 10和macOS作業系統本身，都內建了相關的防護機制。</p> <p>不過，在解決方案眾多之下，很多人可能會問，免費版防毒軟體的保護能力足夠嗎？攔不攔得住勒索軟體？需要購買付費版本嗎？還是使用作業系統內建的就好？</p> <p>基本上，自Windows 8開始，內建在視窗作業系統的防毒軟體Windows Defender，隨著多年來的發展，如今也得到AV-Test、AV Comparatives等評測單位，給予中上評價的肯定。因此，相較於未內建防毒軟體的Windows 7，採用較新版本的Windows 10，安全性便高出不少。</p> <p>再者，免費版的軟體，通常只具備基本的防毒功能，缺乏付費版本常見的進階保護機制，像是防火牆、上網防護，或是線上交易防護的措施等。而且，在這些資安業者所列出的功能比較表中，幾乎都會強調，付費版本才提供進階的勒索軟體保護能力，以現在勒索軟體不斷出現變種的態勢來看，購買付費防毒軟體有其必要性。</p> <p>但使用者就算願意花錢購買防毒軟體，也會面臨在廠商提供的多種套餐中抉擇──這些功能是否自己需要，還是多花錢呢？一般而言，個人端防毒產品線裡，大部分會包含3種版本：單純提供防毒功能的Antivirus、整合防火牆功能的Internet Security，以及由網路防護版延伸提供更多進階功能，甚至整合多臺授權的Total Security等。</p> <p>以保護電腦不受勒索軟體威脅的前提下，至少應該購買具備防火牆功能的Internet Security版本，所提供的保護較為完整，較能防範現在許多勒索軟體會橫向感染的現象。</p> <p>假如電腦會在多個不同的網路環境上網，那麼，防火牆的作用便顯得格外重要；另一方面，若是需要同時保護多臺PC、筆電、手機、平板電腦等裝置，則可考慮購買能提供多臺防護的組合套裝，許多廠商不只額外提供了集中控管的平臺，以便消費者管理，而且，平均每臺電腦所取得相關防護的費用，還可能比個別採買Internet Security要來得便宜。</p> <p>另外，若是在家中的網路環境，未了提升安全性，使用者也可以考慮部署強調防毒防駭功能的無線路由器。</p> <p>一般來說，防毒軟體不僅擁有即時監控的能力，也會排程定期掃描整臺電腦。不過，除了避免執行掃描時，可能占用較多的系統資料，而影響我們使用電腦，也應該避免把排程設定到電腦不會開機的時間點，導致這樣例行檢測的機制無法發揮效用。而一般來說，我們應該讓電腦至少每星期就執行一次上述的檔案檢測工作。</p> <p>對於可疑的檔案或是電子郵件附件，我們可以點選右鍵功能選單，讓防毒軟體檢查後才放行，若是還不放心，則可以上傳到VirusTotal網站，由超過60家防毒引擎進行檢測，協助判斷。</p> <p><span style="font-size:28px;"><strong>備份重要資料</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/TrueImage_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Acronis%EF%BC%88%E5%9C%962%EF%BC%89(1).png" style="width: 500px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>善用備份軟體維持資料的可用性</strong></span></p> <p><span style="color: rgb(128, 128, 128);"><strong>若是資料平時有了充足的備份，電腦裡的檔案就算不幸被勒索軟體加密，使用者的損失程度比不備份的狀況要少，若能善用備份軟體提供的資料保護機制，可減少電腦復原所需的時間。</strong></span></p> <p>除了電腦基礎的防護措施使用之外，維持資料的可用性，也是讓使用者遭遇勒索軟體的攻擊時，能將損失大幅降低的手段，換言之，若是擁有檔案的副本，即使電腦上的內容遭到加密而無法復原，使用者還是可以存取備份的資料，毋需面臨支付高昂的贖金，卻擔心駭客未必會解密的情況。</p> <p>一般而言，比較完善的備份概念，稱為「三二一原則」，也就資料至少要備份3份，並且存放在2種以上的儲存裝置，其中1份必須保存在異地。針對存放裝置而言，例如分別備份於電腦本機與外接式硬碟，就符合上述第2個要件，而對於大多數個人使用環境來說，雲端儲存空間算是最容易做到的異地備份措施。</p> <p>在備份檔案的做法上，最直接且沒有執行門檻的，便是搭配外接式硬碟，將其定時連接到電腦上備份資料，但平時，這個硬碟並不會與電腦連接，以免受到勒索軟體攻擊時，裡面的資料也同時被加密。不過，這種方式便非常仰賴使用者自律，抽空執行相關的作業。</p> <p>若是採用專用的備份軟體，由電腦自動執行備份，會是比較可靠的措施。</p> <p>在資料儲存空間的配置上，一般使用者也許可以考慮在家中網路環境裡，建置網路儲存系統（NAS）。</p> <p>由於NAS是設置在內部網路環境，儲存空間也較有餘裕，同時，也能將資料儲存的風險，從經常連網的個人電腦當中區隔開來。<strong><span style="color: rgb(178, 34, 34);"><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank">本文出自《iThome 2019臺灣資安年鑑》</a></span></strong></p> </div></div></div>
2019/4/5 09:00作者周峻佑https://www.ithome.com.tw/article/129425
【防制資料竄改，阻擋勒索軟體的終極手段】WORM一寫多讀技術的資安新應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/worm.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一寫多讀（Write Once Read Many，WORM）技術，最初是為了法規遵循與資料長期歸檔保存而誕生，但憑藉著防止資料竄改的能力，在今日的資安防護應用中，也能扮演要角。</p> <p>舉例來說，近年來，勒索軟體已成為企業最主要的資安威脅之一，備份雖然被視為因應這類威脅的重要手段，當線上資料遭到勒索軟體侵害後，仍能透過備份複本還原資料，但如果企業的備份架構未能擁有適當的防謢措施，備份複本也可能一同遭到勒索軟體的感染，以致備份複本也不可用。</p> <p>在勒索軟體威脅下，為求保住作為企業資料最後命脈的備份複本，資安廠商與備份軟體廠商，也提出了各式各樣幫助企業保護備份複本的反勒索軟體措施，例如引進離線備份儲存架構（磁帶或可移動的外接磁碟）、為備份軟體引進反勒索軟體的偵測與阻擋加密功能等，不過，這些手段大都是從備份作業的前端來著手，如離線備份是透過實體隔離方式，減少備份複本接觸病毒的機率；備份軟體的反勒索措施則透過監控備份過程，阻擋可疑的資料加密動作。</p> <p>現在則有廠商提出了不同的思路，直接從備份儲存媒體本身著手，利用一寫多讀（WORM）技術防止資料竄改的特性，從根本上防止備份資料遭到勒索軟體的侵害。</p> <p><span style="font-size:28px;"><strong>防制勒索加密的新思路</strong></span></p> <p>顧名思義，一寫多讀（WORM）技術只允許對儲存媒體寫入一次資料，然後，儲存媒體便成為無法複寫、修改或刪除的唯讀屬性。</p> <p>最初，WORM技術是為了長期資料保存或法規遵循應用而誕生，透過儲存媒體的物理性質特性，或是儲存系統底層軟體、韌體功能，確保寫入儲存媒體或指定儲存區的資料，無法再被更改或刪除，以提供法律與訴訟上的有效性。</p> <p>而利用WORM技術保存資料的特性，對於保障資安也能發揮作用。由於WORM能保證寫入後的資料，狀態不再變化——既不可刪除，也不可更改，徹底「鎖住」了資料狀態，那麼自然也不會遭到勒索軟體的加密。當WORM用於備份儲存時，即使備份複本已感染勒索軟體，但由於WORM機制已經「鎖住」了資料狀態，先天上就遏止了勒索軟體發作、加密或刪除資料的可能性。</p> <p>所以在勒索軟體危害盛行的今日，WORM技術也展現出應用於法規遵循以外領域的潛力，開始有廠商推出結合了WORM技術的備份防護解決方案。</p> <p><span style="font-size:28px;"><strong>WORM技術的基本類型</strong></span></p> <p>WORM是一項歷史悠久的技術，光學式WORM技術早在30年前就已問世，磁碟式WORM產品推出市場，也已經超過15年。</p> <p>一般來說，WORM技術可以依照儲存媒體的類型，分為光學媒體式與磁性媒體式兩大類型，不過我們認為更邏輯的區分方式，是依照WORM「鎖住」資料的方式，依此可以將WORM概分為物理型、韌體型與軟體型等三大類，分別透過物理特性或機構，儲存裝置韌體，或是儲存系統軟體，來提供WORM能力，這三種形式各自利用不同原理運作，從而擁有不同層次的保存資料能力，以及使用特性。</p> <p><span style="color:#B22222;"><strong>物理型的WORM技術</strong></span></p> <p>利用儲存媒體本身的物理性質，或是物理機構方面的設計，來提供一寫多讀的能力。</p> <p>許多光學儲存媒體如CD-R、DVD-R等，都能透過材料本身的特性，提供只允許寫入一次，資料從此成為唯讀的能力。物理型WORM最大優點是極為可靠，其防寫措施是建立在儲存媒體的物理性質上，從根本防止了刪改資料的可能性。</p> <p>例如，光學儲存媒體的WORM機制，是透過加熱光碟片染料產生的化學變化，帶來光碟片反射率的變化來實現，而這個過程是不可逆的，只要物理法則沒有被推翻，任何人也無法違逆物理法則、刪改光學WORM媒體的資料，唯有物理破壞手段才能銷毀其中的資料，因而是最可靠的一種WORM技術。</p> <p>光學式WORM的主要缺點，是使用較為不便。首先，光學媒體的容量較小，如BD-R的單碟片容量最大只有50GB，需要很大數量的光學媒體，才能完整保存前端主機的資料。其次，光學式WORM儲存媒體屬於離線儲存裝置，因而也難以因應經常讀取或檢索的需求。</p> <p>除了光學媒體外，磁帶、軟碟片之類的磁性儲存媒體，也能透過遮蓋防寫孔，來達到資料寫入後便不再允許更改的能力，同樣算是一種物理的防寫手段——當寫入資料後，隨即遮蓋防寫孔，便構成了一寫多讀應用。但這種防寫能力是可逆的，只要解除防寫孔就能寫入資料，不能算是真正WORM媒體。</p> <p>類似的，有些SD記憶卡雖然也提供了防寫開關，但同樣是可逆的，而且防寫機制也很容易遭到繞過，防刪改的可靠性並不充份。</p> <p>所以，磁帶與SD卡的WORM應用需求，必須由專門的WORM磁帶與WORM SD卡來提供，而這兩種WORM裝置都是依靠微控制器韌體來提供WORM能力，屬於我們後面介紹的韌體型WORM技術。</p> <p><span style="color:#B22222;"><strong>韌體型的WORM技術</strong></span></p> <p>利用儲存裝置的韌體，將儲存媒體設定為一寫多讀，適用於磁帶、SD卡與SSD在內的儲存媒體。</p> <p>幾乎所有主流磁帶系統都能提供專用的WORM卡匣，透過磁帶機的微碼控制功能，與磁帶卡匣上的識別微碼配合運作。當磁帶機識別出磁帶是WORM形式時，便會禁止更改或刪除已寫入該磁帶中的資料。</p> <p>如當前最普遍的LTO磁帶，只要是LTO 3以後的規格，都有對應的WORM磁帶版本。另外Sony的AIT、IBM的3592，SotrageTek T10000等磁帶，也都有WORM版本可供選購。</p> <p>不過，即使是WORM磁帶，理論上，也能透過從外部施加強力磁場的方式，透過消磁來強制刪除這類磁性儲存媒體中的資料，所以，必須同時搭配實體管制措施，才能完整保證資料的完整性。</p> <p>類似的，當前也有一些SD卡與SSD提供了WORM功能，透過儲存裝置的微控制器，鎖住Flash記憶體的刪除功能，只剩下寫入與讀取功能，所以特定記憶體區塊被寫入資料後，就無法再刪除與複寫，只能讀取。</p> <p>比起WORM磁帶，WORM SD卡或WORM SSD的防刪改能力更為可靠，雖然依靠微控制器韌體所實現的資料防刪改能力，不像光學WORM裝置那樣絕對不可逆，但是在實務上，繞過微控制器韌體的可能性很低，可認為擁有接近光學WORM技術的可靠性，只有物理破壞手段能銷毀其中的資料。</p> <p><span style="color:#B22222;"><strong>軟體型的WORM技術</strong></span></p> <p>在儲存陣列設備上，也能利用儲存作業系統的軟體功能，將指定的儲存區設定為一寫多讀，只要設定了WORM，即使是系統管理者，也無法刪改該儲存區的資料。</p> <p>為了保證WORM功能的強固性，多數軟體實作時都會依循一些相關的官方資料保存與資料完整性監控規範，例如美國證券交易委員會的SEC 17a-4(f)（針對證券交易業者的電子資料保存規範），或是美國聯邦政府的FDA 21 CFR Part 11（針對醫療業的電子紀錄保存規範）等。</p> <p>不過，與物理型或韌體型WORM技術比起來，軟體型WORM技術的防刪改能力，仍相對較不可靠，由於是依靠儲存控制器的軟體來提供WORM功能，只要將磁碟機移出儲存設備之外，該磁碟機就連帶失去WORM特性，所以需要搭配實體管制，才能保證完整WORM能力。</p> <p>而軟體型WORM技術的優勢，則是使用便利。首先，是可透過CIFS/SMB、NFS等標準傳輸協定存取，便於因應快速讀取與檢索的需求。</p> <p>其次，可透過設定保存期限，提供「有管制」的可逆機制。一般來說，WORM軟體功能都會提供設定保存期限的選項，讓管理者選擇「鎖住」特定檔案或物件的時間，到期後，便會解除該檔案或物件的WORM狀態，此後便能將資料刪除，回收儲存空間；如果將將保存期設為無限大，則被鎖定的檔案或物件，就成為與WORM光碟或WORM磁帶一樣的永久性WORM。</p> <p>而軟體型WORM技術落實到實際產品上時，又可分為專用型WORM儲存設備，以及通用儲存設備的WORM功能等兩大類型。</p> <p><span style="color:#3399ff;"><strong>● 專用型WORM儲存設備</strong></span></p> <p>如名稱所示，是專門針對法規遵循的資料保存需求、以提供WORM功能為目的設計的儲存設備，這類產品中，最知名的便是Dell EMC的歸檔儲存系統Centera，還有IBM的Total Storage Data Retention 450等。</p> <p>GreenTec USA在這方面也著力甚深，該公司旗下提供了CYBERdisk WORM軟體，以及專供WORM應用的WORMdisk系列外接磁碟，與Ninja系列WORM 儲存伺服器產品，最特別的是，該公司還提供搭配雲端環境應用的WORMcloud服務。</p> <p><span style="color:#3399ff;"><strong>● 通用型儲存設備的WORM功能</strong></span></p> <p>是在NAS類型通用儲存設備系統中，提供WORM軟體功能選項，可將指定的儲存區設定為WORM。</p> <p>目前許多中高階NAS儲存平臺，都提供了WORM功能選項。例如NetApp ONTAP儲存系統的SnapLock功能；Dell EMC旗下Isilon系列NAS的SmartLock功能，PowerMax與Unity儲存陣列NAS應用功能中的File-Level Retention，Data Domain平臺DD OS儲存系統的Retention Lock功能；還有HPE 3PAR儲存陣列 FilePersona軟體套件中的File Lock功能等。</p> <p>另外一些高階的虛擬磁帶櫃（Virtual Tape Library，VTL）產品，也能提供軟體形式的WORM功能選項，如IBM TS7700、富士通ETERNUS CS8000與CS High End等。</p> <p>除了前述高階儲存設備外，有些中、低階或入門級NAS的儲存作業系統，也提供WORM功能選項，如國產廠商QSAN的XCubeNAS，以及商丞（Proware）的Unified Storage，還有3Gen的Unified Platform等，這些產品可為資源有限的用戶，提供低成本的WORM儲存應用。</p> <p>另外，部份公有雲儲存服務的物件儲存環境，目前也提供了WORM功能選項，例如Amazon S3的S3 Object Lock功能，以及Google Cloud Storage的Bucket Lock，可為雲端環境上儲存物件，提供WORM屬性設定。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/915-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-big-1002X415.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no,width=1002,height=415'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/915-%E6%8A%80%E8%A1%93%E5%B0%88%E9%A1%8C-hyper-550.png" style="width: 550px;" /></a></p> <p><span style="font-size:28px;"><strong>WORM的資安延伸應用</strong></span></p> <p>WORM雖能保證資料的完整性，但畢竟只是一種消極的保護，作為把守最後一關的防止資料竄改手段。不過，以WORM技術為基礎，再結合其他儲存與資安技術，便能提供更豐富的資安防護應用。</p> <p>例如Dell EMC的Cyber Recovery，便藉由結合WORM、遠端複製、快照、與資安分析等技術，提供了一種嶄新的資安解決方案概念。先經由遠端複製獲得用戶資料的複本，然後透過WORM技術，確保獲得的用戶資料可靠性與不可竄改，再透過快照產生不同時間點、具備或不具備WORM特性的複本，最後將這些複本用於資安掃描、分析或測試等用途。</p> <p>如此一來，便能在保障用戶資料不可刪改的同時，將用戶資料複本用於不同目的，不僅提高複本的可利用性，也擴展了WORM的附加價值。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>【結合WORM、遠端複製與快照的資安應用】Dell EMC Cyber Recovery</strong></span></span></p> <p>儲存業界龍頭Dell EMC推出的Cyber Recovery，是一款應用了一寫多讀（WORM）技術、具備資安防護功能的資料備份歸檔儲存套件。這款產品最初在2016年問世時，稱為Isolated Recovery Solution，2018年以後改稱為Cyber Recovery，目前最新版本是18.1版，其中的18代表2018年，.1代表版本編號，18.1表示這是2018年的第1個主要版本。</p> <p><span style="color:#B22222;"><strong>Cyber Recovery的組成與運作</strong></span></p> <p>一個Cyber Recovery環境稱作Cyber Recovery Vault（CR Vault），包含了下列元件：</p> <p><strong>● Dell EMC的Data Domain儲存伺服器</strong>：負責提供儲存空間，以及WORM、遠端複製與快照等功能。</p> <p><strong>● Cyber Recovery管理伺服器</strong>：執行Cyber Recovery軟體，提供系統管理，與對外連接的資料傳輸。</p> <p><strong>● 應用分析伺服器</strong>：整合了稱作CyberSense的自動分析功能，提供資安分析服務。</p> <p><strong>● 備份應用還原伺服器</strong>：運行Avamar、Networker等備份軟體，負責還原CR Vault內保存的備份資料。</p> <p><strong>● 應用程式還原伺服器</strong>：作為應用程式還原的目標裝置。</p> <p>CR Vault最多支援10套Data Domain系統，至於4種應用伺服器，則可安裝在專用的實體伺服器，不過，一般是由1臺Dell EMC VxRail超融合伺服器，透過VMware ESXi HA Cluster平臺以VM型式來部署。</p> <p>CR Vault構成了一個對外實體隔離的環境，用於保存關鍵資料，並提供資安分析與資料還原等應用功能。</p> <p>在標準的Cyber Recovery架構中，要求前端生產環境也要有一套Data Domain儲存設備。基本運作過程可以分為3個階段：</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%BB%E5%9C%963%20CR%20Vault%20Concept.jpg" style="width: 500px;" /></p> <p><strong style="color: rgb(128, 128, 128);">Cyber Recovery的運作過程可分為3個階段：</strong><strong style="color: rgb(128, 128, 128);">（1）資料同步：生產環境的Data Domain儲存設備，透過MTree Replication遠端複製功能，在Air Gap管制下將資料複製到CR Vault的Data Domain儲存設備。</strong><strong style="color: rgb(128, 128, 128);">（2）建立不可刪改的還原點複本：透過Retention Lock與快照功能，建立不可刪改的多個還原點複本。</strong><strong style="color: rgb(128, 128, 128);">（3）建立資安分析用複本：透過快照建立可讀寫的複本，用於資安分析、測試等目的。 </strong><span style="color: rgb(105, 105, 105);">圖片來源／Dell EMC</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 階段1 </span> </strong></span>在生產環境，前端主機將資料寫入生產環境的Data Domain儲存設備，然後利用Data Domain的MTree Replication遠端複製功能，將資料同步到CR Vault內的Data Domain儲存設備上。從生產環境到CR Vault的複製作業，是透過管制的Air Gap機制來進行，只有在進行複製時，CR Vault的傳輸埠才會開啟，複製結束後就關閉，維持CR Vault的隔離。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 階段2 </span> </strong>當CR Vault的Data Domain儲存設備接收到前端生產環境的資料後，透過Data Domain的Retention Lock鎖住備份資料的狀態，成為一份不可刪改的黃金複本（Golden Copy），接下來再利用Data Domain的快照功能，從黃金複本產生多份不同時間點的快照複本，這些快照複本也具備不可刪改的特性。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(178, 34, 34);"> 階段3 </span> </strong>在CR Vault建立可寫的複本，然後掛載給分析伺服器或備份應用還原伺服器，用於資安分析、資料還原演練或是測試等情境。</p> <p>Cyber Recovery保護資料的單位，是以Data Domain儲存設備的Mtree儲存區為基準，在生產環境的Data Domain儲存設備上，每一個被保護的Mtree，在CR Vault還鏡的Data Domain儲存設備上，都會產生3個以上對應的Mtree複本，其中1個是作為遠端複製目的地的MTree複本，1或多個透過Retention Lock保存的Mtree複本，還有1個可讀寫、掛載給CyberSense用於資安分析的Mtree複本。</p> <p><span style="color:#B22222;"><strong>WORM扮演的角色</strong></span></p> <p>整個CR Vault是與外部實體隔離的，唯一的對外通道是Air Gap管制下的傳輸埠，只在資料同步傳輸作業時開啟。而Data Domain的Retention Lock功能，則能確保CR Vault收到的黃金複本不可刪改。透過Air Gap的實體隔離管理，與Retention Lock功能的防止資料刪改能力，共同確保了CR Vault的安全性。</p> <p>Cyber Recovery使用的Retention Lock功能，可以是Governance或Compliance等兩種版本，兩者都能提供個別檔案層級的資料保存時間設定，其中Governance版允許系統管理員調整資料保存設定，Compliance版則需要更高的雙重用戶授權（如系統管理員+資安長），才允許調整資料保存設定，防護等級更高，可符合SEC 17a-4(f)、FDA 21 CFR Part 11、CFTC Rule 1.31b、Sarbanes-Oxley Act、ISO Standard 15489-1等資料安全規範。</p> <p>透過Retention Lock可提供個別檔案層級的資料鎖定與保存期限設定，不過在Cyber Recovery中，是以鎖住整個MTree儲存區為原則。此外，CR Vault也不以長期保存資料為目的，所以建議的Retention Lock設定期限是7～45天。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/worm">WORM</a></div><div class="field-item odd"><a href="/tags/%E4%B8%80%E5%AF%AB%E5%A4%9A%E8%AE%80%E6%8A%80%E8%A1%93">一寫多讀技術</a></div><div class="field-item even"><a href="/tags/%E5%8B%92%E7%B4%A2%E5%8A%A0%E5%AF%86">勒索加密</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%BF%9D%E8%AD%B7">資料保護</a></div></div></div>
2019/4/5 09:00作者張明德https://www.ithome.com.tw/tech/129616
2019 企業資安大調查
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/913-28-feng_mian_gu_shi_-p1_open-960x420.jpg?itok=Q9iUy-tS" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這是臺灣最大規模的企業資安大調查，382家臺灣兩千大或知名企業參與，涵蓋企業今年第一手資安投資動向、資安編制現況，更披露臺灣資安災情和企業防護水準現況</p> </div></div></div>
2019/4/5 09:00未署名https://www.ithome.com.tw/article/129719
2019臺灣資安大調查重點整理
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果想了解臺灣企業資安現況，iThome年度的臺灣資安大調查可說是一份相當具有參考性的資料，而在這個月，我們終於<a href="https://www.ithome.com.tw/article/129719" target="_blank">完成了今年的版本，在iThome電腦報週刊</a>、<a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank">2019臺灣資安年鑑</a>等兩本刊物公布內容，同時，也在2019臺灣資安大會現場，由主持這項調查的副總編輯王宏仁，親自向所有與會者報告我們的問卷統計結果。</p> <p>就重大資安風險的比例而言，2019年前兩名分別是「員工疏忽、欠缺資安意識」，以及「惡意程式」，均比2018年略高，值得注意的是惡意程式從第3名升至第2名，比去年增加了1.3％，釣魚攻擊則下降一個名次。</p> <p>接下來，「系統老舊」與「駭客攻擊導致企業受影響」分別拿下第6名（26.2％），以及第7名（20.2％）。但這兩項去年都並未進入前十大企業資安風險，顯示今年的臺灣企業已經察覺到系統老舊可能帶來的風險，以及對於駭客攻擊可能帶來的衝擊。</p> <p>而在企業資安事件的主要攻擊來源當中，前五名的類型不變，仍是駭客最多，其次是內部員工，第三是組織型犯罪，比例都降低了，但離職的前員工的比例則增加了0.2％。</p> <p>而關於企業無法阻擋資安攻擊的原因當中，排名前五大的因素，比例大多比去年低，但居首的「員工資安意識不足」不動如山，仍是63.1％，顯見企業必須持續進行相關的宣導，不能鬆懈！</p> <p>而在第6名到第11名當中，「需要分析的資料太多」今年突然空降到前十名，直奔第7。</p> <p>同時，我們也發現「管理高層的資安意識不足」與「缺乏管理階層的支持」都比去年增加了1％以上。面對上述狀況，企業應該要多多注意高階主管的資安意識，不應讓管理階層成為推動資安的阻礙。</p> <p>而提升比例更小、但不能忽視的部份是「市場上缺乏有效的資安產品」，以及「部門間缺乏合作」，解決方案供應商與企業本身應該持續改善這些因素，避免讓資安防護產生死角。</p> <p>就各個產業的企業而言，對於遭遇資安攻擊的狀況，以及災後復原的能力，我們想特別提醒一般製造業，需要特別當心！</p> <p>首先，因為在去年遭遇50次以上攻擊事件的比例，一般製造業是18.5％，僅次於金融業（20.8%）；其次，在察覺自身受到攻擊的時間當中，一般製造業最為遲鈍，平均需23.7天，也就是超過三週才會發現（整體平均值為11.5天，慢了1倍以上）；若就復原時間來看，一般製造業需6.3天，幾乎快要一週才能恢復正常運作，處理時間過久（整體平均值為4.3天，慢了45％）！</p> <p>此外，對於資安防護信心偏低的企業比例，一般製造業也是高達23.9％，排名第二。在年度資安投資金額上，一般製造業更是敬陪末座，平均只有136萬元，低於臺灣企業整體平均的20％。若再將這筆預算除以12個月，一般製造業每個月花在資安的比例只有11萬元，相當令人擔憂。</p> <p>讓我們再來看看今年的企業資安投資重點項目。其中，針對「網路安全」的企業比例最高，達到57.9％，顯示企業非常關切這方面的保護是否夠完備；而去年身為榜首的IT基礎架構防護，今年退居第二，比例也減少了一些。</p> <p>另一個讓人意外的部份是災難復原，拿下第三名。</p> <p>至於其他名列前茅的投資項目，比例都有減少的趨勢，但差距最大的是「強化權限存取控管」，去年是40.6％，今年是19.6％，其次是資料外洩防護（DLP），今年為23％，接著是端點安全、員工意識教育訓練。或許這樣的反差，代表著企業採用或導入相關機制的情況，已經變得更普遍，所以，資安投資的重心有所調整。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div></div></div>
2019/4/5 09:00作者李宗翰https://www.ithome.com.tw/voice/129723
臉書開源能快速處理超大型圖嵌入的工具PyTorch-BigGraphs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/open-sourcing-pytorch-biggraph-for-faster-embeddings-of-extremely-large-graphs">臉書開源了專為超大型圖設計，支援多重關係圖嵌入訓練的工具PyTorch-BigGraph</a>，PyTorch-BigGraph為一分散式系統，可用於學習大型圖嵌入，特別適合應付具有數十億個節點以及數兆個邊的超大型圖，而由於PyTorch-BigGraph是以開源深度學習框架PyTorch開發，因此開發者可以自行替換損失函數、模型以及其他元件。</p> <p>圖是表達許多資料類型的核心工具，圖嵌入是非監督式學習的一種形式，但現在的圖可能非常巨大，具有數十億個節點以及數兆個邊，標準的圖嵌入方法擴展性不佳，無法應用在超大型圖上。臉書提到，超大嵌入圖主要有兩個挑戰，第一個，嵌入系統必須夠快，才能應用在實際研究與生產上，第二個挑戰，記憶體的限制也是個大問題，臉書舉例，嵌入二十億個節點，每個節點有128個浮點數參數，這樣便需要1 TB的容量，而這個量級超過一般商用伺服器記憶體的容量。</p> <p>而PyTorch-BigGraph能從大規模圖結構的資料產生嵌入，其以邊的列表形式將圖資料集作為輸入，每個邊由來源節點、目標節點以及可選的關鍵類型組成，PyTorch-BigGraph會對節點以及邊進行分片（Shard），以多執行緒進行訓練，並輸出成嵌入列表，這些嵌入可以當作各種任務的輸入，像是大規模地進行最鄰近搜索。PyTorch-BigGrap讓人工智慧開發人員，不需要專用計算資源，就能進行超大型圖的嵌入訓練，</p> <p>臉書提到，PyTorch-BigGraph經高度最佳化，其高度擴展的特性比起常用的嵌入式軟體，速度還要快數個量級，其產生嵌入的品質在基準測試當中，與最先進的模型相當，臉書釋出PyTorch-BigGraph鼓勵開發人員試驗更大型的資料集，以取得更好的非監督式機器學習結果。</p> </div></div></div>
2019/4/4 21:17作者李建興https://www.ithome.com.tw/news/129790
廢棄的finalize？
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Java繼承體系中，最頂層是Object類別，當中定義了各式物件的基礎行為，然而，其中的finalize方法問題重重，絕大多數情況下應避免使用。到了Java 9，斷然廢棄了finalize方法，這動作對基礎類別來說，絕不尋常，而且引發的問題是，當資源清除不得不依賴在物件生命週期結束之時，到底該怎麼做呢？</p> <p><span style="font-size:28px;"><strong>惡名昭彰的finalize</strong></span></p> <p>早在2001年《Effective Java》第一版的條款六，就談到「避免使用finalize方法」，這方法的規範聲稱，若開發者定義了該方法，在垃圾收集打算清除物件之前，會被執行，然而，JVM啟動垃圾收集的時機不定，因此，finalize執行的時機也就不定，這是多數Java開發者被告誡避免使用finalize方法時，最常用的理由之一。</p> <p>實際上，finalize方法還有更多問題，finalize只會執行一次，而在finalize被執行時，若物件自身因故被其他執行緒參考了，這時就會終止回收物件，之後就算該物件又有了被回收的時機，finalize也不會再執行了；finalize中拋出例外會終止方法的執行，然而例外會被忽略，令除錯發生困難；在實作繼承時，子類也可能疏忽，忘了呼叫父類的finalize方法，導致資源清理不完全等問題。</p> <p>話雖如此，Java SE標準API卻也有類別，定義了finalize方法，例如，java.io的FileInputStream等。若查看Java 8或早期的API原始碼，可看到實作中呼叫了本身定義的close方法；第三方程式庫實作，也可見到定義了finalize的類別，例如MySQL JDBC驅動程式的Connection介面實作中，就可見到定義finalize來清除資源。</p> <p>顯然地，這類API是將finalize作為資源清理的最後安全網，畢竟，有時資源慢一點清除，總比不清除來得好，是吧！問題就在於定義了finalize之後，垃圾收集的時機可能被一再推延，甚至沒有機會執行，而且，垃圾收集需要的時間會拉長，不少開發者甚至會發現，只不過加了個finalize方法，就導致了OutOfMemoryError。</p> <p>這是因為，如果定義了finalize的物件，會被排入一個終結佇列（finalization queue），而且，可能在主垃圾收集（Major GC）發生時，才執行finalize，若物件產生的速度快於清除的速度，就會發生記憶體不足的問題（可參考〈The Secret Life Of The Finalizer〉（<a href="https://bit.ly/2tDvfGA">https://bit.ly/2tDvfGA</a>））。</p> <p><span style="font-size:28px;"><strong>物件回收時自動執行？</strong></span></p> <p>當涉及系統資源或非本地資源（資料庫之類），不使用相關資源時，應主動將之關閉，這是開發者的基本常識。然而，關閉資源的邏輯在實作上，遠比許多開發者想像的還要麻煩（特別是使用Java時）且容易出錯，為了有個最後的安全網，FileInputStream、Connection等實作類別時，選擇了finalize作為最後防線，若開發者忘了或者實作錯誤時，至少還有個finalize可以在物件回收時，自動執行資源清理動作。</p> <p>資源的清理和物件的生命週期，實際上，應該是兩個不同階段的概念，為了鼓勵、簡化與正確地實作資源清理邏輯，Java 7引進了try-with-resources語法，以及AutoCloseable介面，對於涉及資源清理職責的物件，都應該實作AutoCloseable，並善用try-with-resources語法，而不是依賴於物件生命週期。</p> <p>然而，資源清理非得考慮與物件生命週期掛勾的時機，還是有的。若不定義finalize方法的話，在Java 8或早期版本中，PhantomReference會是個解法，建構PhantomReference時，必須指定參考物件（referent）與ReferenceQueue實例，若某物件只剩PhantomReference參考著，那麼，垃圾收集時可以回收該物件，PhantomReference實例則會移入ReferenceQueue。</p> <p>因此，可以繼承PhantomReference，並自定義清理資源的方法（例如close），在受控的邏輯下，來實作定時或不定時對ReferenceQueue的查詢（像是透過poll方法），在能夠從ReferenceQueue取得PhantomReference實例時，呼叫自定義的清理資源方法，並從ReferenceQueue當中，移除PhantomReference（可參考〈Phantom References in Java〉（<a href="https://bit.ly/2SZkz3X">https://bit.ly/2SZkz3X</a>））。</p> <p>儘管透過PhantomReference，清理資源的執行時機仍是不確定的，然而，開發者無法取得PhantomReference參考的物件（PhantomReference的get方法總是傳回null），清理資源的方法執行時，也不會私吞例外，不致於強制客戶端，只能無從選擇地順從finalize的實作。</p> <p>PhantomReference運用的實際案例，存在於JDK內部API，例如，內部API中的sun.misc.Cleaner，是PhantomReference子類，在DirectByteBuffer當中，擔當釋放記憶體的職責。</p> <p><span style="font-size:28px;"><strong>Java 9的Cleaner</strong></span></p> <p>在Java 9中，正式將finalize標示為廢棄（Deprecated），對於物件回收時自動執行指定邏輯的這件事，則提供了java.lang.ref.Cleaner類別，這有很大的程度是sun.misc.Cleaner公開移植版本，不過，並非PhantomReference子類，不能繼承、也沒有公開建構式，必須透過工廠方法create建立Cleaner實例，開發者透過Cleaner實例的register註冊物件，以及一個Runnable實例。</p> <p>此時，被註冊的物件，在內部的實作上，會被PhantomReference的子類實例持有，若那時物件只剩PhantomReference參考，就會執行註冊時提供的Runnable實例之run方法，並從Cleaner取消註冊，因此，可以實作Runnable來進行資源清理。</p> <p>透過Cleaner實例的register註冊時，會傳回Cleaner.Cleanable實例，它具有clean方法，呼叫的話，會執行Runnable的run方法。並從Cleaner取消註冊，因此，API客戶端也可以自行呼叫clean方法來清理資源，在Cleaner的API文件上，就有個結合AutoCloseable的範例，若需要提供主動關閉資源的時機，同時，也希望有個最後清理資源的安全網，可以考慮採用該模式。</p> <p>這時，開發者會想問了：過去，Java標準API中FileInputStream等的finalize相容性，怎麼辦呢？Java 9後FileInputStream等類別，清空了finalize方法的實作，而且標示了@Deprecated(since="9", forRemoval = true)，不過，就這麼清掉其中邏輯，是否會造成依賴在finalize的物件，在Java 9之後無法清理資源呢？</p> <p>對此，FileInputStream等在內部實作上，預設會改用PhantomReference機制，作為最後呼叫close方法的防線，如果有子類且自定義了close方法，實例化時，會有個內部的AltFinalizer實例產生，作用就是等著被回收時，呼叫AltFinalizer定義的finalize方法（被加了@SuppressWarnings("deprecation")），並且在其中進行相關資源的清理。</p> <p><span style="font-size:28px;"><strong>避免使用Cleaner</strong></span></p> <p>儘管Cleaner在使用上，可以避免掉finalize的一些問題，然而在《Effective Java》第三版條款八中，依舊建議避免使用。因為「仍然是不可預測、運行緩慢」，而且，在System.exit之類結束應用程式的情況下，規範上並沒有指明是否一定要執行清理。</p> <p>總而言之，真正重要的是，我們\必須分別看待資源清理和物件生命週期。對於資源，應優先考慮實現AutoCloseable，明確地關閉資源或者搭配try-with-resources，非不得已，才能將Cleaner或PhantomReference當成最後的手段。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/finalize">finalize</a></div><div class="field-item odd"><a href="/tags/java">Java</a></div><div class="field-item even"><a href="/tags/cleaner">Cleaner</a></div></div></div>
2019/4/4 21:42作者林信良https://www.ithome.com.tw/voice/129618
Google雲端記憶體資料庫服務Cloud Memorystore現支援Redis 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/databases/cloud-memorystore-now-with-redis-version-4-0-support-and-manual-failover-api">Google在其雲端Redis記憶體資料庫服務Cloud Memorystore支援Redis 4.0</a>，改善了快取和記憶體的使用，還加入手動故障轉移API，讓使用者能夠測試Cloud Memorystore故障轉移的行為。</p> <p>Cloud Memorystore能夠自動管理Redis實例，執行配置、擴展和監控的任務，適合低延遲且高可用性要求的使用案例，像是遊戲與零售應用。現在最新版本的Cloud Memorystore開始支援Redis 4.0，主要的功能更新包括快取改善以及活躍記憶體去碎片化。</p> <p>Redis 4.0在快取檔案置換機制上，開始採用最近最少使用（Least Frequently Used，LFU）演算法，這可以比之前使用的最久未使用（Least Recently Used，LRU）演算法，更加精確測量快取使用，Redis的LFU使用逼近演算法實作，不會大量增加記憶體使用。除此之外，Redis現在可以線上對記憶體進行去碎片化工作，這將能主動回收未使用的記憶體，防止不必要的系統崩潰。</p> <p>Google也為Cloud Memorystore增加手動故障轉移API，讓使用者測試應用程式故障轉移的行為。Google提到，測試Cloud Memorystore在產品階段，當發生錯誤時的服務轉移行為非常重要，使用者可以使用這個API，主動觸發故障轉移並觀察其行為，供使用者規畫系統備份以及還原功能。</p> <p>為了讓使用者方便對Redis應用程式除錯，Google在前一個Cloud Memorystore版本，對Stackdriver開放Redis指標，而現在為了進一步讓使用者能更簡單地在客戶端除錯，Google與OpenCensus合作，讓系統自動收集應用程式的追蹤資料以及指標，並可使用各種後端監控工具，包括Stackdriver，以更詳細暸解Redis的效能表現。OpenCensus為一遙測資料收集函式庫，能夠對使用者服務進行分散式追蹤收集指標。</p> </div></div></div>
2019/4/4 20:34作者李建興https://www.ithome.com.tw/news/129787
Google推出為計算密集工作最佳化的C2 VM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/compute/introducing-compute-and-memory-optimized-vms-for-google-compute-engine">Google為計算密集工作負載推出計算最佳化虛擬機器C2系列</a>，使用最新的第二代英特爾Xeon可擴充處理器（Intel Xeon Scalable Processor），比起一般GCP虛擬機器能提供超過40％的效能，另外，Google也預告將推出新的記憶體最佳化虛擬機器M2系列，記憶體配置最高將達12TB。</p> <p>Google提到，絕大多數的工作負載都可以在一般的GCP虛擬機器上執行，但是隨著企業將越來越多的應用搬上雲端，對於特定類型的工作負載來說，在經最佳化的虛擬機器上執行會更加適合，像是HPC、電子設計自動化、遊戲或是單執行緒應用程式。</p> <p>計算最佳化虛擬機器是GCP上新的C2計算系列，不只單個執行緒效能較高，記憶體速度也非常快，因此適合用來處理大多數計算密集的工作，可以比現有的虛擬機器額外提供超過40％效能，其使用了第二代英特爾Xeon可擴充處理器，能以時脈3.8 GHz的高效能速度進行計算。Google提到，計算最佳化虛擬機器對外公開底層伺服器平臺架構，因此使用者能夠進一步調校虛擬機器效能。使用者最多可以選擇使用60個vCPU，240 GB記憶體以及最多3 TB的本地端儲存。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Compute-Optimized_Machine_Types_max-900x900.png" style="width: 600px;" /></p> <p>另外，Google更新針對記憶體最佳化的虛擬機器產品線，預計推出M2系列。這類虛擬機器能滿足高記憶體配置需求，可以用來執行像是大型記憶體資料庫SAP HANA，或是記憶體分析工作負載等記憶體密集的任務。在去年Google就發布了配置最高4TB記憶體的虛擬機器，現在M2系列讓使用者能配置達12TB的記憶體以及416個vCPU，這些虛擬機器同樣將會使用第二代英特爾Xeon可擴充處理器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Memory-Optimized_Machine_Types_W1nX8QL_max-800x800.png" style="width: 600px;" /></p> <p>C2仍在測試階段，該系列有5個等級，最基本的規格c2-standard-4每小時0.209美元，最高等的c2-standard-60實體則每小時收費3.13美元，C2虛擬機器也提供先占式（Preemptible ）虛擬機器類型，每小時0.0505美元起，而記憶體最佳化虛擬機器M2系列將會在這一季上線，目前價格未定，會在晚些時候公開。</p> </div></div></div>
2019/4/4 20:37作者李建興https://www.ithome.com.tw/news/129784
Chromium版的Microsoft Edge仍將支援4K串流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你可能不知道，Microsoft Edge現為市場上唯一支援4K串流的主流瀏覽器，而且外界正擔心若微軟改採Chromium作為Microsoft Edge的瀏覽器核心，將讓Edge錯失此一優勢，然而，眼尖的開發人員卻發現Chromium版的Microsoft Edge正在實驗PlayReady DRM及PlayReady HEVC Decoding兩項功能，可望延續其支援4K串流的能力。</p> <p>PlayReady為微軟所開發的DRM技術，已被嵌入在電視、手機、平板及個人電腦等硬體裝置上，亦被部署於應用程式及作業系統中，根據微軟的估計，全球已有數千種服務及超過40億台的裝置採用PlayReady。</p> <p>當使用者在電腦上串流影片時，可串流的影片解析度除了得參考螢幕與處理器的能力之外，還必須仰賴瀏覽器及其所使用的數位版權管理（Digital Rights Management，DRM）技術。</p> <p><a href="https://blogs.windows.com/windowsexperience/2016/07/13/get-better-quality-video-with-microsoft-edge/#4EYCj5e1eEdvRHDF.97" target="_blank">根據微軟的說法</a>，內容供應商在網路上串流高階影片時，必須在提供最佳品質及確保內容受到保護之間取得平衡，隨著內容的品質愈來愈好，市場也愈來愈需要強大的DRM技術，這些系統必須能夠保護媒體串流以讓它們只能允許取得授權的用戶播放，當業者質疑影片可被輕易儲存或分享時，就不會提供高階影片串流。</p> <p>微軟的言下之意是該公司所開發的DRM技術PlayReady符合業者的需求，因此在2016年時，當其它瀏覽器都只能執行720p解析度的影片串流服務時，Edge已支援1080p的影片串流，而<a href="https://help.netflix.com/en/node/23742" target="_blank">現在Edge也是唯一可執行Netflix 4K影片串流服務的瀏覽器</a>。</p> <p>相較於Edge所具備的4K串流能力，目前透過Chrome、IE或Safari所能串流的Netflix影片最高解析度為1080p，而Firefox或Opera最高都只能達到720p。</p> <p>因此，當微軟宣布Edge將改採Chromium核心時，即有人擔心Edge將喪失對4K串流影片的支援。不過，現身於Chromium版Microsoft Edge中的PlayReady DRM選項，代表它將允許Edge使用PlayReady的DRM技術，PlayReady HEVC Decoding則是以HEVC技術，來解碼PlayReady內容，定位為高效率的HEVC編解碼技術可支援4K解析度、超高畫質電視（UHDTV），甚至是8K解析度。但不論是PlayReady DRM或PlayReady HEVC Decoding設定都只會出現在Windows 10的Edge上。</p> <p>市場預期微軟很快就會釋出Chromium版Edge的預覽版，也推測Google未來也會在Chromium的專案中嵌入類似功能，不讓Edge專美於前。</p> </div></div></div>
2019/4/4 20:50作者陳曉莉https://www.ithome.com.tw/news/129791
Android Q第二測試版能限制App存取外部儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在3月中的時候發布了最新行動裝置作業系統Android Q預覽版，強調使用者隱私，現在<a href="https://android-developers.googleblog.com/2019/04/android-q-beta-2-update.html">發布了第二個測試版</a>，啟用Scoped Storage隱私政策，還新增支援多重任務操作的對話泡泡，而Android Q也開始支援可折疊裝置，並在最新的Android Studio 3.5增加了專門的模擬器。</p> <p>無論是在硬體還是軟體上的設計，Google從Android P開始應用了不少隱私機制，也持續更新Google Play應用程式的政策，目的就是為了拉高整體Android生態系的隱私安全性。而Android Q的設計也圍繞著這個中心思想，提高系統透明度為用戶提供更多的控制，在平臺以及應用程式保護使用者的個人資料。</p> <p>Android Q第二測試版啟用Scoped Storage功能，未經授權的應用程式只能在私有沙盒中執行，如果要存取照片、影片或是音訊等集合檔案，則需要新的授權，Android Q會為每個應用程式創建一個獨立的儲存沙盒，限制應用程式互相存取儲存在外部儲存的檔案，Android Q將以更精細的媒體權限，替換原本的外部儲存權限。</p> <p>Google提到，這項更改將會影響使用共享媒體集合的應用程式，像是照片、影片、媒體瀏覽或是檔案儲存等應用，都可能因為Scoped Storage而使行為改變，開發者應該提早測試自家應用程式在Scoped Storage隱私功能下的變化，並做出相對應的更改。</p> <p>對多重任務的支援，Android Q新增對話泡泡功能，讓使用者以新的互動方式進行多重任務。應用程式可以將通知以對話泡泡的形式發送，當使用者在使用應用程式時，可以透過點擊對話泡泡以執行額外的工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2a.png" style="width: 250px;" /></p> <p>Google提到，泡泡功能對於訊息傳遞特別有用，可以讓使用者持續進行手上的工作，還能輕鬆的存取與其他聯絡人的對話訊息。開發者只要在應用程式中呼叫setBubbleMetadata新增BubbleMetadata，就能以對話泡泡的形式發送通知，在元資料中，開發者可以提供欲呈現在泡泡內容的活動。</p> <p>為了滿足可折疊裝置的需求，Android Q第二測試版開始支援可折疊裝置，而新發布的可折疊裝置模擬器，開發者可以在金絲雀頻道發布的Android Studio 3.5中，以Android虛擬裝置啟用。在平臺端，Google改進了onResume以及onPause上的行為，以支援多重恢復，系統會在應用程式取得焦點時，對應用程式發送通知，另外，Google還更新了resizeableActivity的manifest屬性，以幫助應用程式在可折疊或是大型螢幕上顯示的方式。</p> <p class="rtecenter"><img alt="" src="https://2.bp.blogspot.com/-DZx0iTv5254/XKTW4EczNeI/AAAAAAAAHY8/hU5dHRaCgF02Loxvuyi2VGt1-MFftnLIwCLcBGAs/s1600/image3.gif" style="width: 343px;" /></p> <p>使用者可以使用Android Studio 3.5創建可折疊虛擬裝置，目前在第二預覽版支援兩種配置，分別是4.6吋的摺疊螢幕打開變7.3吋的規格，以及6.6吋摺疊螢幕打開變成8吋的規格，模擬器可以讓使用者在螢幕上，觸發折疊、展開、改變朝向等裝置控制。</p> <p>Android Q第二測試版還提供了全新MicrophoneDirection API，以支援指向性可縮放麥克風，應用程式現在可以在啟用錄音功能時，對麥克風設定偏好的方向，像是使用者在自拍時，就能呼叫setMicrophoneDirection將屬性設為MIC_DIRECTION_FRONT，要求前置麥克風錄音，另外，這個API還提供標準化的方法控制縮放麥克風，使用者可以用來調整紀錄場域維度。</p> </div></div></div>
2019/4/4 21:09作者李建興https://www.ithome.com.tw/news/129788
虛幻引擎 4.22釋出，正式支援即時光線追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.unrealengine.com/en-US/blog/unreal-engine-4-22-released">Epic Games釋出最新版遊戲引擎虛幻引擎（Unreal Engine） 4.22</a>，除了正式加入即時光線追蹤（Real-Time Ray Tracing）技術，以精確呈現即時光照與陰影效果之外，也加入即時程式碼開發（Live Coding），並且加速建置時間，在程式碼開發工具上，開始支援微軟最新Visual Studio 2019。</p> <p>Epic Games去年5月宣布要在其虛幻引擎中支援即時光線追蹤特效，還與Lucasfilm合作，展示了使用即時光線追蹤技術的星際大戰動畫片段，而現在該特效正式在虛幻引擎 4.22提供，除了光線追蹤，還同時增加了路徑追蹤（Path Tracing）。</p> <p>這個版本的光線追蹤支援平行光、點光源、聚光燈以及矩形光，該特效能精確計算物體位在相機成像平截頭體（Camera Frustum）的內部還是外部，也能計算場景中地面物體的柔和環境遮蔽（Soft Ambient Occlusion），甚至是複雜的半透明表面，最新的光線追蹤也能正確算出光線折射與反射結果。</p> <p>除了光線追蹤，虛幻引擎 4.22還加入了路徑追蹤特效，可以用來計算間接照明的全域照明路徑，在引擎中產生參考標準的參照渲染，可用於直接改進場景中的工作流程內容，使用者不再需要輸出到第三方路徑追蹤器中進行比較。</p> <p>這個版本也改進即時虛擬生產工作管線（Virtual Production Pipeline），合成工具Composure現支援即時合成，使用者可以直接在虛幻引擎中合成圖像、影片以及CG元素，即時合成綠幕與引擎內容，官方提到，這對於預視覺化很有幫助，導演可以更直覺地了解綠幕加上最終場景的樣子。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-ui-uUB56U78.jpg" style="width: 600px;" /></p> <p>現在所有虛幻引擎 4.22的開發者都可以使用Molecular Matters的Live++元件，該元件支援C/C++應用程式熱重載，Live++會在背景編譯程式碼變更，並直接修補到正在執行的機器碼中，以大幅提升程式碼迭代速度，官方提到，Live++現在整合到虛幻引擎新的即時程式碼開發功能中，與傳統熱重載機制不同，即時程式碼開發修補單一函式，不需針對物件重新實例化進行特殊考量，對於大型專案來說更可靠也更具可擴展性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/youtu_be-zdw32spo4IM.jpg" style="width: 655px; height: 368px;" /></p> <p>官方還最佳化了UnrealBuildTool以及UnrealHeaderTool工具，讓C++迭代速度上升了三倍，根據官方提供的數據，在相同專案範例下，虛幻引擎 4.21的總增量建置（Incremental Build）時間為7.47秒，而4.22版本只有2.14秒，速度改善了340%，另外，官方還改進了增量建置的相依性檢查的準確性，包括偵測專案的檔案新增刪除，以及由編譯器執行的相依性檢查。</p> <p>在虛幻引擎 4.22中，開發者可以在編輯器的原始碼管理設定中，將Visual Studio 2019設定成預設IDE，開發者現在還可以更新專案支援的C++標準版本，只要在專案的.target.cs檔案更改CppStandard屬性即可，而在支援最新版Visual Studio的同時，虛幻引擎也停止支援Visual Studio 2015，官方不再於內部對Visual Studio 2015進行測試。</p> </div></div></div>
2019/4/4 21:12作者李建興https://www.ithome.com.tw/news/129789
【臺灣資安大會直擊】企業CIO也必懂的營業祕密法衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年國內一家知名的半導體公司控告其人資主管，私下將員工及應徵者資料以電子郵件送到自己的私人信箱，再和丈夫聯手透過獵人頭公司挖角這家半導體公司的人才，遭該公司以違反營業祕密法提告，但法院以未侵害營業祕密判決無罪。</p> <p>到底什麼樣的企業資訊屬於營業祕密，而談到營業祕密又容易和資訊安全聯想在一起，兩者間的關係如何？曾經擔任臺灣臺北地方法院檢察署智慧財產權及電腦犯罪專組主任檢察官，現為中華民國電腦稽核協會理事長的張紹斌，在今年的臺灣資安大會中解釋了什麼是營業祕密，為什麼企業認為的重要資訊，卻不被法院所認定。</p> <p>「營業祕密和資訊安全有直接或間接的關係」，張紹斌表示，營業祕密目的是在確保所有人穩佔市場競爭優勢，肯德基的炸雞調味香料，可口可樂的配方。除了技術資訊外，未上市的手機、新款籃球鞋、服務模式也能被視為營業祕密，但仍有判斷上的空間，不一定是營業祕密。</p> <p><strong>營業祕密的法制起源</strong></p> <p>為什麼有些資訊屬於營業祕密，而有些看似重要的資訊卻不是？張紹斌從營業祕密的立法源談起。</p> <p>營業祕密的法制起源，大約從1994年的WTO規範開始，在與貿易有關的智慧財產權協定中TRIPS首先將營業祕密納入國際公約中。美國則以統一營業祕密法，統合各州相關法律。雖然營業祕密被視為有經濟價值，保密性的資訊，但在不同的法系，對營業祕密的看法其實是有差異的。</p> <p>他以英美法系為例，將營業祕密視為私權的一種，是一種智慧財產，擁有者可以拋棄、處份或授權，是和商標權、著作權、專利權近似的一種權利。然而，在日本、德國、臺灣在內的大陸法制國家，則是將營業祕密放在反不正當競爭法中，即反托拉斯法，營業祕密是花費時間及金錢辛苦得來的成果，若是以不正當手段，例如竊取、欺騙等方式取得，就是不正當競爭。英美法系和大陸法系對營業祕密保護的立法體制上的差異。</p> <p>「智慧財產權法是獨佔法，反不正當競爭是反獨佔法，這是兩種相抵觸的思維邏輯」，張紹斌說。他認為以美國為體制的法律會慢慢將對營業祕密的保護，逐漸從公平競爭轉為智慧財產權的法制觀點。</p> <p>既然將營業祕密視為智慧財產權，屬私權的一種，那麼又和著作權、商標權、專利權又有什麼差異? 從法律來看，著作權必須具有原創性，重表達的形式，不需登記，採創作保護主義，商標權必須可證明其商品來源、表彰其價值、具有識別性，採註冊保護主義，同樣以註冊保護其權利的專利權，是以公開換取法律保護獨佔，缺點是專利保護期一過即失效，營業祕密則是不公開，但具有實質或潛在的經濟價值，所有人以合理的保密措施，不需登記。</p> <p>專利和營業祕密都在保護企業的智慧財產權，但張紹斌指出，專利權是以公開換取受法律一定時間的保護，如果別人在不知道專利下，開發出相同的產品或技術，有侵犯專利的風險，其缺點是專利保護時間一過即不再受保護；至於營業祕密則是不公開，乍聽之下，營業祕密似乎比較有利於所有者，但因為不公開，他人只要不是以非正當方法獲得，例如自行研發出相同技術或商品，不會有違反營業祕密法的疑慮。</p> <p>「企業營業祕密提出告訴也有風險，在法庭的攻防裡，主張具有營業祕密特質的資訊會受到質疑，在訴訟的過程中勢必揭露一些資訊，還可能導致機密資訊的外洩。」張紹斌表示。</p> <p>臺灣營業祕密法為獨立立法，當初是政府為了加入WTO而立。依營業祕密法的定義，營業祕密包括了方法、技術、製程、配方、程式、設計或是其他可用於生產、銷售或經營的資訊，還必須具備三項要件：不是涉及該類資訊的人所知，因其保密而存在經濟價值，所有人已採取合理保密措施。</p> <p><strong>資訊安全大過營業祕密</strong></p> <p>營業祕密因保密而具有經濟上的價值，和資訊安全息息相關，但張紹斌指出，資訊安全涵蓋範圍卻遠大於營業祕密，他以受公開帳號及密碼保護的企業內部資訊為例，即便以帳號及密碼保護，因為員工人人都可以看到，不一定能被視為營業祕密。</p> <p>張紹斌解釋，資訊保護的目的在維護資訊的機密、完整、可用，資訊保密的目的在防止外洩，造成組織的損失，而應該保護的資訊未必需要保密，例如公司的財務計畫、安全維護計畫等等，屬於組織的資訊，雖是組織的資產，卻未必具有財產交換的價值，像是員工的健康檢查紀錄。屬於財產資料又需要保密的，最重要的就是營業祕密。</p> <p>他建議，當企業發生資訊外洩，先別急著尋求法律救濟，應該先區分洩露資訊的性質，屬財產權的資訊亦或是人格權的資訊(如個資)，在排除職場倫理、業界慣例、不成文感受、政治偏好之下，再理解應受營業祕密法或是個人資料保護法保護。</p> </div></div></div>
2019/4/4 12:10作者蘇文彬https://www.ithome.com.tw/news/129765
【臺灣資安大會直擊】如何培育企業實戰資安人才？全新資安防禦競賽來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們需要更多的資安人才，才能幫助我們的產業作好資安」，HITCON創辦人徐千洋在今年臺灣資安大會的演說中，一開始就點出了國內企業在資安上的痛點，缺乏資安人才，也因此HITCON在過去舉辦了多次的CTF競賽，去年12月還舉辦了HITCON Defense大賽，這些競賽背後的目的，都在培育國內資安人才。</p> <p>但是，傳統CTF競賽，儘管可以讓資安人才學習到很多駭客攻擊技巧，但徐千洋也坦言，這些競賽中學得的技巧能否實際在企業中用於防禦，可能每個人有不同的解答。許多的企業資安人才和IT、稽核有關，但這些人未必很懂駭客攻防技巧，即便他們學習了，在IT的資安維運實務上可能會發現派不上用場。當企業發生資安事件時，他們在CTF競賽中學習解題未必能幫上忙。</p> <p>可是，面對資安攻擊的威脅，企業更迫切需要的是資源的統合利用，不只是企業自己的資源，還需要來自外部廠商的資源整合，內外部的資源整合來解決企業的安全問題。</p> <p>他認為，企業資安團隊培育人才時，有兩大課題，如何讓資安人才具備資安威脅應變能力，以及能體認到情資分享的重要性。</p> <p><strong>防禦競賽來模擬企業遭遇攻擊的真實情境</strong></p> <p>因此，為了讓培育人才的資安競賽更貼近企業的真實情況，去年底舉行的HITCON Defense大賽決定將企業的IT環境搬到競賽中。</p> <p>「這完全是個大工程，距離決定要辦只有兩個月」，徐千洋一語道出當初籌辦HITCON Defense的艱辛之處，不僅籌備的時間緊迫，資源也嚴重不足。</p> <p>首先，過去HITCON資安競賽隊伍多達十多隊，HITCON Defense大賽最初規劃是十四隊，雖然後來降低到十隊，但舉辦時間在年底，他們很快發現全臺無法湊出十套DDoS防禦設備，而每個隊伍需要的伺服器機櫃也是如此，最終只能湊出7套設備，1套給主辦單位扮演的紅隊(攻擊者)使用，6套提供給參賽團隊(藍隊)使用。由於這些借來的設備價格高昂，他們還保了鉅額的保險。</p> <p>每個隊伍會分配到雲端主機、實體主機若干臺，還有數臺桌上型電腦，模擬小型企業的內部網路環境，每個參賽隊伍會被分配到帳號密碼，讓他們登入自己的設備系統，如同企業真實的IT維運環境般，讓他們自行操作、設定這些設備，檢測系統上的漏洞並將其修補。</p> <p>而主辦單位則扮演紅隊，每隔一段時間對每個隊伍發動攻擊，若因為沒修補漏洞而被入侵，積分就會被扣分，直到扣完分數為止，而只要伺服器服務未被中斷，就會不斷累積積分。真實世界的一分鐘相當於比賽中的一小時，依日間、夜間還有不同的計分方式，而評分的標準包括了網路是否正常，是否在預定時間內解決問題，排除駭客攻擊引發的危機、是否可以合作。</p> <p>徐千洋表示，「我們希望競賽的目的從人才擴大到團隊，不只是一個人的力量，而是整個團隊，而是整個資源的力量。」企業面對資安攻擊，需要具備快速應變、找出問題的能力，Defense競賽中參賽隊伍扮演藍隊，實際面對紅隊的各種攻擊，如木馬、DDoS等，從中學習應變的能力。</p> <p>競賽設計也引入情資分享的概念，「傳統的競賽，每個隊伍為了解決對手，解出題目不可能讓別人知道，但在Defense競賽中，我們鼓勵隊伍分享出來。」他說。只要分享解題方法給主辦方，就能獲得積分獎勵，同時有30分鐘的休息時間，不會受到主辦單位紅隊攻擊，其他隊伍若是卡關也能以積分，向主辦單位換取解題線索。</p> <p>甚至，競賽現場還有藍隊廠商進駐，每個隊伍也能用積分換取所需要的軟體工具，立即用於解決問題。</p> <p>另外，過去企業被DDoS攻擊，工程師可能會選擇關閉主機，但會造成服務停擺，使企業營業蒙受損失，所以在Defense的競賽中，隊伍如果遭受攻擊仍能保持服務不中斷就能累積積分，相反地，如果服務中斷，積分便不會增加。</p> <p>還有一個特別之處，那就是每個競賽隊伍都可以向外求援，不論是透過電話或是網路，甚至走出去求援都可以，相比之一，傳統的資安競賽設計，隊伍必須在固定的封閉場所，斷絕對外的通訊。「這和企業遭遇資安攻擊的真實情境相同，企業以各種方式尋求外部的援助，不論是朋友、找社群高手或是廠商。」。</p> <p>主辦單位也安排了另類的社交攻擊，由正妹拿著USB隨身碟，在比賽現場和參賽者交談，趁其不備之時，伺機插入隨身碟至參賽隊伍的設備上，一旦被插上主辦單位的紅隊就會偵測到，參賽隊伍就會被扣分。以此提高各個隊伍對實體設備的安全意識。</p> <p>對於國內企業的資安人員缺乏學習的管道，徐千洋建議現在坊間已有不少的資安訓練課程，在學費上也有政府的補助，可供想要學習的企業資安人員利用，HITCON也同時歡迎資安人員參加競賽。</p> </div></div></div>
2019/4/4 12:40作者蘇文彬https://www.ithome.com.tw/news/129766
【不只掌控能源，駭客更試圖操控金融及媒體】關鍵基礎設施面臨更險峻的威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及關鍵基礎設施，許多人可能會先想到的部分，大多與民生需求相關，像是供應油、水、電力的單位，一旦遭受攻擊，便會嚴重影響社會整體功能的運作，並且造成人民的財產損失，甚至是重大傷亡。</p> <p>然而，不只有形的關鍵基礎設施受到駭客覬覦，對於一般民眾獲得重大資訊的管道，也成為攻擊者下手的主要目標。</p> <p>趨勢科技資安研究群核心技術部資深協理張裕敏（Ziv）認為，接下來2年內，散播假消息或是假新聞的攻擊手法，將會更加氾濫，因此，在2019臺灣資安大會中，張裕敏特別針對關鍵基礎設施所面臨的威脅，進行演講，探討這些設施遭受攻擊時，所帶來的影響。</p> <p>到底，關鍵基礎設施遭受攻擊帶來的影響，會有多嚴重？張裕敏以委內瑞拉為例，供應該國8成電力的古里（Guri）水力發電廠出現異常，疑似遭受網路攻擊，委內瑞拉全國頓時陷入大停電，至今原因不明。</p> <p>雖然張裕敏表示，這起水力發電廠遭受攻擊的事件原因有待釐清，因此目前發生的因素眾說紛紜──有人說是人為疏失，也有人認為是恐怖攻擊，而委內瑞拉總統則是直接定調為網路攻擊事件。</p> <p>但我們從許多媒體報導來看，委內瑞拉因此攻擊發生大停電之後，隨之而來的影響已經逐漸擴大：首先是公部門與醫療院所停擺，民眾也因馬達無法運作，導致沒有水可用；再者，冰箱內的食物只能任其腐敗，但即使當地居民想要購買食物，由於收銀機不能使用，商店交易竟要求以美金交易，隨著該國一個多星期電力時好時壞，情況變得更加惡化，嚴重影響該國民生。</p> <p><strong><span style="font-size:28px;">駭客攻擊關鍵基礎設施門檻極低，資源隨手可得</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%94%BB%E6%93%8A%E8%B7%AF%E5%BE%91_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>駭客想要攻擊關鍵基礎設施的控制設備，難度比以往可說是大幅降低，張裕敏以美國能源局攻擊途徑的示意資料為例，駭客可從網際網路打到進入的破口，成功滲透之後再進行控制或是加以破壞。圖片來源／趨勢科技</strong></span></p> <p>張裕敏指出，光是水利設施遭受攻擊，古里水力發電廠並非首例。自西元2000年至今，水利設施受害的情況可說是不斷發生，他也舉出了近年來多起發電廠、石油公司等，被駭或是遭到控制的事件。</p> <p>一如現今的資安情勢攻防不對等，張裕敏說，駭客想要攻擊關鍵基礎設施，無論是所需的作案工具、攻擊手法、可利用的漏洞，乃至於尋找目標，都有現成的資源可用。</p> <p>以作案的工具而言，駭客在GitHub上，就能取得Industrial Exploitation Framework等軟體；而攻擊手法的部分，ICS ATT&CK Matrix則提供了各式能運用的方式。</p> <p>由於許多關鍵基礎設施裡的控制設備，普遍缺乏定期安裝修補軟體，駭客可從美國的ICS-CERT，或趨勢科技旗下的漏洞懸賞單位Zero Day Initiative（ZDI），找到已經被公開的漏洞加以濫用；最後是攻擊的目標，攻擊者可從物聯網搜尋引擎Shodan找尋，甚至，這個搜尋引擎還分門別類，能讓駭客尋找指定廠牌的設備下手。</p> <p><span style="font-size:28px;"><strong>媒體、金融、網路基礎設施成攻擊者的新目標</strong></span></p> <p>針對關鍵基礎設施的範圍，張裕敏說，其實相當的廣泛。他引用了我國行政院《國家關鍵基礎設施安全防護計畫指導綱要》的定義，不光是水資源和能源，還包含了政府機關、高科技園區、金融單位、醫療院所、交通，以及通訊傳播等方面。因此，雖然許多能源設施受到駭客攻擊，是與工業控制的操作科技（OT）安全有關，但其實與大眾「知」有關的通訊傳播，也同樣面臨嚴重的威脅。</p> <p>上述的8大類型關鍵基礎設施中，通訊媒體與其他型態所面臨的攻擊，相當不同。張裕敏指出，針對這種類型的關鍵基礎設施攻擊，駭客可能會針對電視臺、網路媒體，以及社群媒體下手之外，其實最容易聽到的，莫過於所謂的假新聞、假資訊，藉由資料再加工的作法──例如張冠李戴、過度解讀等，進而操控特定資訊，不只可能會導致錯誤決策，還會造成大眾的恐慌，甚至是引發民眾對政府的不信任危機，換言之，後續帶來影響程度最廣泛的，其實是這種通訊傳播基礎設施威脅。近期影響最大的事件之一，就是2016年美國總統大選期間，出現了大量濫發假消息的推特帳號。</p> <p>由於這種攻擊會摧毀人民對於政府的信任，因此包含臺灣在內的許多國家，都打算祭出相關的法規，但是，新聞媒體和社群網路的內容，又牽涉到人民的言論自由，各國政府想要加以防範假消息的推波助瀾，就變得更加困難。</p> <p>再者，張裕敏指出，金流與網路基礎設施，也是駭客近期下手的重要目標。前者駭客可鎖定後端的資訊系統或ATM，導致無法正常交易；由於現代人幾乎不能沒有網路，因此從DNS、路由器、無線網路、4G或5G網路下手，同樣是駭客入侵、竊取隱私的管道。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9C%AA%E5%91%BD%E5%90%8D-1(1).jpg" style="width: 500px;" /></p> <p><span style="font-size:28px;"><strong>關鍵基礎設施安全提升，同時仰賴全民視為己任</strong></span></p> <p>張裕敏舉出了一個關鍵基礎設施接連受到攻擊，導致無法運作的情境──自己下班之後，原本不想開車，打算改以搭乘大眾運輸系統回家，到車站發現停止運作而無法乘坐。但想要開車回家，加油時卻發現加油站的油價飆漲了2萬倍，利用僅存的汽油返家，路上的交通號誌全部變成綠燈，導致大家爭先恐後，想要使用平時倚賴的導航回家，此時手機和GPS完全沒有任何訊號。</p> <p>好不容易回到了家，卻發現自家的智慧門禁因為沒電而無法開門，找出備用鑰匙進到家裡，廣播沒有聲音，電視也沒有任何畫面。到附近商店採買食物，信用卡與各種支付方式都無法使用，導致所有人臨櫃提領現金，隊伍大排長龍。</p> <p>終於，家裡的電力恢復，可是一打開電視，卻淨是怪異的報導，表示有目擊者看到，前述的異常事件是外星人所為。張裕敏說，上述的一連串情境，大多人可能會認為相當離譜，但實際上，在2013年發生的一起攻擊事件裡，就涵蓋其中8成的內容，因此，張裕敏認為，若是有一天真的接連發生，並非不可能，希望大家正視關鍵基礎設施的安全議題。</p> <p>至於因應關鍵基礎設施攻擊涉及範圍如此廣大、駭客又容易發動攻擊的情勢，張裕敏則提出了心法，包含了關鍵基礎設施單位與一般民眾的層面──針對上述的單位而言，他認為要參考各國制訂的綱要、指引文件，還有防護的措施，並且尋求資安公司的協助等，進而強化資訊安全；而對於一般民眾而言，若是能在發現不尋常的現象時，提高警覺，並進行通報，或許能及時阻止一場攻擊關鍵基礎設施的事件。</p> <p>張裕敏舉例，像是臺北市的智慧公車站中，可能預備了提供維護所用的USB埠，若是發現有不明人士連接了USB隨身碟，民眾通報警方到場關切，很可能就避免了這類交通系統遭受入侵的情況。</p> </div></div></div>
2019/4/4 10:00作者周峻佑https://www.ithome.com.tw/news/129721
【關鍵資安議題：容器安全】剖析容器的資安風險與防護
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_ming_ming_-4.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">Docker容器技術將應用程序虛擬化，比起傳統熟知的虛擬器技術更加輕量，具備檔案小、執行效能高、服務啟用及部署速度高等優點，我們可以在相同的主機資源下，建立大量的容器服務。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近來，在各大資訊媒體中，經常可見到一隻藍色鯨魚載著一堆方塊的標誌圖案，這隻火紅的鯨魚商標是Docker公司，也成為現今廣為關注的容器技術（Container）代表標誌。</p> <p><span style="font-size:28px;"><strong>崛起中的容器技術</strong></span></p> <p>容器技術的存在時間不算短，但直至Docker平臺問世，將容器技術以更成熟且簡單方便的模式，帶入應用市場中，解決傳統在應用程式服務的開發、運行和部署之間的鴻溝瓶頸，進而提供一套有效完善的解決方案。</p> <p>也因此，容器技術開拓了很多新的層面，例如：系統部署方式（輕量虛擬化、雲端應用、微服務、無伺服器、邊際運算等）以及應用開發方法（DevOps、CI/CD等）的改變，有如加裝噴射引擎般的推動，而獲得不少幫助。</p> <p>除此之外，在2015年，微軟公司正式加入Docker容器技術的支援，過往在系統應用開發上，須面臨Linux與Windows這二大系統派別的選擇難題，如今得以解決，更遑論該項技術對於雲端平臺的相容性，而使其更加有彈性，這讓服務應用的設計、開發上，能免除以往諸多的執行環境限制與困擾。</p> <p>簡而言之，容器技術是一種輕量的虛擬化方式，它將運行一個系統或應用程式所需的必要作業系統核心、程式編譯及函式庫等，進行打包封裝，而其餘的部分，則共用底層作業系統資源，至於Docker平臺本身，則是銜接各個容器與主機作業系統之間的控制器。</p> <p>基本上，容器技術跟市場熟知的VM（Virtual Machine）虛擬器技術，是不一樣的技術概念跟應用情境。我認為，若以簡單的界分方式來看，對於以應用服務為主要任務目標，Container容器技術是最佳的選擇方案，而對於以基礎架構為主要需求的使用場景，VM虛擬器則是比較好的選擇。</p> <p>透過圖解，我們可看到VM虛擬器與Docker容器技術的架構差異，基本上，VM虛擬器的結構是比較能夠被理解的，可簡單認知為：把一臺實體模式的伺服器主機，轉換成邏輯的虛擬系統主機，因此，在諸多資安風險、攻擊威脅、甚至修補防護機制的運用上，多半可以直接套用思考模式；但容器技術的架構，則是應用服務環境虛擬化的概念，可視作依據特定應用程式為主的安全固化（Harden）、且系統環境可經過優化包裝，甚至更為單純。</p> <p><span style="font-size:28px;"><strong>Docker容器可能的資安風險</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/C2_OWASP-%20Docker%20Security%202017.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>Docker容器技術是將既有的應用程序及系統模式重新建構的新模式，因此，仍舊可能遭受來自不同維度的已知資安攻擊威脅。對此，OWASP組織建立OWASP Docker Top 10的安全控制建議。　</strong>資料來源<span lang="zh-TW" xml:lang="zh-TW">／</span>OWASP- Docker Security 2017</span></p> <p>Docker所引領出的容器技術，確實帶來許多的革新與方便，但是其存在的安全風險則仍被持續發現探索中。接下來，僅以Docker為容器技術代表，分析容器技術應用的資安風險。</p> <p>如前面所提到，容器技術也是虛擬化的一種方式，但由於容器的技術架構有別於傳統作業系統及VM虛擬器，因此，對於相同類型的資安風險及威脅手法，則必須以容器技術結構來審視思考。</p> <p>我們可以OWASP於2017年的一份Docker Security報告中，看到可能的攻擊維度，大致可從Docker容器技術的主要結構來分析，包括：基礎層的系統主機（Host）、運行的主體Docker系統、封裝的容器檔、以及系統應用程序之間的溝通運行，共四個層面；但Docker容器技術的應用，並不單單只是提供另一種虛擬化方式，而是因為Docker容器技術的可控性及可標準化，進而應用在持續性整合與交付（CI/CD）及軟體敏捷開發流程（DevOps），因此，Docker容器的系統結構一旦發生安全問題，將嚴重影響整個應用服務的安全可靠性。以下我將從4大層面，逐一討論存在的資安風險威脅。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>1.基礎架構及作業系統層的保護</strong></span></span></p> <p>Docker容器系統與服務，仍需在基礎架構以，及作業系統（Linux或Windows）上建立，以及運行，因此，對於傳統的網路通訊管控、漏洞掃描修補、系統存取控制及帳號權限管控等，都是基本必要的安全項目，否則駭客一旦「放大絕」，將運行Docker容器服務的整個基礎架構，以及作業系統，進行提權控制或毀損侵害，結果就如同整個機房毀損故障的慘狀。</p> <p>不過，如同前述所言，Docker容器是將應用程序為主的輕量虛擬化方式執行，換句話說，作業系統本身就不需要安裝，以及存在該支應用程序，所以，在安全檢測與管控上，將可以更明確的界分。</p> <p>舉例來說，過往建立一個網站應用服務時，必須在作業系統上安裝Apache程式或啟用IIS元件，所以，當作Apache或IIS存在安全風險時，就會發生對作業系統交互影響的威脅。但是，如果改為利用Docker容器服務時，Apache及IIS是以應用程序虛擬化的方式存在，此時，對於作業系統的安全性影響有限。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>2.Docker平臺的保護</strong></span></span></p> <p>由於Docker是容器掛載運行的控制平臺，因此，Docker系統本身的安全性更顯重要。以今年初揭露的相關新聞「容器執行元件runC含有容器逃逸漏洞（CVE-2019-5736）」為例，包括：Docker、containerd及CRI-O等支援runC標準化的容器平臺，都受到波及，同時，也影響多個雲端服務平臺（GCP、AWS、Red Hat），以及數個Linux發行版。</p> <p>在這個漏洞當中，允許惡意容器透過該漏洞覆蓋runC的二進位檔案，並取得容器主機端的最高權限而得以執行命令。此外，這個漏洞的POC（概念性驗證）也已經出現漏洞利用的程式碼，並發布在GitHub，這意謂已是可被實作的攻擊威脅。</p> <p>除了Docker系統本身的安全外，管理者也必須避免將root權限共用於容器服務，因此，需將容器的root使用者，改對應到本機上的非root使用者，並且只允許Docker系統在非root權限下執行，僅限縮在特定的操作設定方面（例如：虛擬網路設定、檔案系統管理、配置操作等）。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>3.容器資源的保護</strong></span></span></p> <p class="rtecenter"><span style="color: rgb(128, 128, 128);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/C3_Docker%20Hub.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);"><strong>Docker Hub為Docker官方維護的公開映像檔倉庫，已有超過100,000個容器映像檔可供利用。它們來自各大型商業軟體廠商、開源軟體及社群組織，除了Linux 版本的作業系統及應用程式外，也包括Microsoft版本的多項企業主要應用程式（例如，MS SQL、IIS、ASP.NET等）；使用時，建議選擇官方釋出或經過驗證的容器映像檔版本為佳。</strong></span></p> <p>容器資源所指的部分，是將特定應用程式系統封裝好的映像檔。這些映像檔的來源，除了使用者自己建立之外，目前絕大多數會取用來自於外界已經封裝好的版本使用。一般而言，我們可以到Docker Hub搜尋資源，並佈建於Docker平臺上使用，也可以再加工封裝成自己所需要的版本。</p> <p>不過，根據Snyk資安公司於2019年所發布的《The State of Open source Security Report》」當中提到，他們掃描了Docker Hub中10個最受歡迎的Docker映像檔，結果發現當中的每一個映像檔，都包含了存在不少漏洞的系統函式庫。</p> <p>因此，我建議各位在選擇容器資源時，應以DockerCertified或是已經被驗證過的發布者（Verified Publisher）及官方公布的容器映像檔為佳，並且是取得最近更新的版本。</p> <p>此外，如果企業是自建容器映像的Private docker registry登錄，加以管理，本身除了做好對此的存取權限管控外，對容器映像檔進行弱點掃描及惡意程式檢測的作業，應該透過自動化的方式來進行，以確保容器遭受竄改，並避免有問題的容器被啟用服務。</p> <p><span style="font-size:22px;"><span style="color:#3399ff;"><strong>4.操作權限的保護：</strong></span></span></p> <p>Docker容器的操作權限，可概分為二者：Docker系統自身及容器服務。Docker系統自身的操作權限安全，我在上述第二點已經提到；而容器服務的部份，本身則是一個應用程序的虛擬體，所以自身除了已封裝在內的應用程序及相關系統資源以外，基本上，不需要真正的root權限。舉例來說：</p> <ul><li><span style="font-size:18px;"><strong>ssh存取是由系統主機的ssh服務管理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>cron是用作排程執行，其權限是交由主要使用cron服務的應用程式處理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>Syslogd服務為日誌系統，主要由Docker系統或第三方服務管理，所以，容器並不特別需要root權限。</strong></span></li> <li><span style="font-size:18px;"><strong>硬體管理及網路設定等部分與容器無關，所以，容器也不需要執行udevd或類似的服務。</strong></span></li> </ul><p>因此，容器真正要做好的部分，就是自身的應用程序服務，對於Docker容器管理者及使用者而言，應該盡量避免不必要的權限。我建議，應注意以下的容器權限管制：</p> <ul><li><span style="font-size:18px;"><strong>限制任何檔案掛載操作（可利用Data Volumes及Data Volumes Containers）</strong></span></li> <li><span style="font-size:18px;"><strong>限制直接存取本機的Socket通訊</strong></span></li> <li><span style="font-size:18px;"><strong>限制檔案系統操作、新增裝置、修改檔案屬性等</strong></span></li> <li><span style="font-size:18px;"><strong>限制載入核心模組</strong></span></li> </ul><p>實施上述作法的目的，是為了避免駭客取得容器中的root權限時，仍無法取得本機系統的最高權限，藉此降低威脅風險。當然，在一些特殊的容器應用下，還是需要開放部分的特殊權限，不過，容器的權限設計上，的確比傳統模式更容易區隔。</p> <p>以Oracle、MySQL、MS SQL等資料庫系統為例，在傳統使用模式下，往往DBA要求系統管理者提供系統最高權限，以確保資料庫系統運行的各種情況；但在容器服務的環境下，則能夠提供一個更妥適的方式。</p> <p>此外，由於容器服務之間，主要透過API的方式來相互溝通，以構成完整的應用服務，所以，我們也必須確保，容器服務之間是以TLS v1.1以上安全驗證方式來通訊。整體而言，這些都是強化權限安全的方法。</p> <p><strong>快速認識容器技術與Docker</strong></p> <p>容器的概念，可追溯於1979年時Unix系統中的Chroot功能設計，發展至LXC（Linux Container）做為容器技術概念的實現。隨著Linux CGroups及Namespace等技術的發展而變得更完整。</p> <p>之後，在2013年DotCloud（即Docker公司前身）所推出的開源容器Docker後，開始點燃容器技術的熱潮。</p> <p>雖然最初容器技術以Linux系統環境為主，但在2015年，微軟也在Windows Server加入容器技術，並且正式提供Windows系統環境的容器支援。</p> <p><span style="font-size:28px;"><strong>建立更敏捷快速的資安反應</strong></span></p> <p>Docker容器技術是個非常有趣的新趨勢，幾乎對於近幾年所討論的議題，如SDN、Cloud Services、IoT、Micro Services、DevOps，以及Serverless、Edge Computing，似乎都可以利用容器技術，設計出更敏捷、方便、好操控的架構。</p> <p>因此，在Docker容器的「創建階段」到「交付上線」過程中，我建議，以系統發展生命周期（SDLC）來確保應用服務的安全可靠性，但由於容器技術更著眼於敏捷速度（畢竟，應用程式開發跟環境設定條件已經由開發者配置好，而維運單位則是提供容器運行的基礎資源配置）所以，前端及後端的作業如果都依照前述方式準備好，此時，唯一必須要確認的部分，就是交付上線前的安全檢測。</p> <p>為了避免此一作業過程耗時費工（以傳統方式而言，需進行弱點及安全檢測後，再由開發者、系統及網路管理者，進行多方討論與改善修正），所以，檢測作業也必須具備敏捷快速的方式，以自動化整合在SDLC流程中，發現容器映像檔存在問題元件及惡意程式，則自動通報或退回開發者，進行重新調整封裝；當完成交付上線後，則持續針對啟用的容器服務進行安全監測，一旦後續又發現新暴露的漏洞利用，則自動通報與進行政策控制。</p> <p><span style="font-size:28px;"><strong>駭客攻佔目標時間越來越短，防守端的資安反應須更敏捷</strong></span></p> <p>由於Docker容器技術是應用程序的虛擬化，在程式碼更換異動時，可確保應用服務持續可用，並且不會與底層系統核心及相依服務元件有太多的瓜葛，所以，對於版本更新汰換作業上，可提供更便利的作業方式。</p> <p>過往大多數的資安事件都是肇始於「存在安全問題的版本更新修補不易」的因素，因而讓駭客有充足時間執行。更可怕的是，根據近期美國資安業者CrowdStrike的資料，各國駭客從外部入侵目標系統至成功達陣所需時間，俄羅斯駭客集團Bear，僅用了18分鐘，次者為北韓駭客集團，也僅需2小時多，而這樣的攻擊速度，非常值得我們再次深思自身的資安反應敏捷性。<strong>文☉創泓科技資深技術顧問Jim Huang</strong>、<strong><a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129426
【關鍵資安議題：弱點管理】當資安成為顯學，產品安全應成企業必要投資
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wei_ming_ming_-5.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">透過執行事件應變既定 SOP，Synology PSIRT成功在 24 小時內修復源於開放原始碼、針對蘋果通訊協定 AFP 實作上的漏洞，有效降低被攻擊的可能。</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年國際資安事件頻傳，加上日趨多元的勒索病毒型態防不勝防，越來越多企業的資訊安全意識開始抬頭，同時，也進一步啟動相關配套措施，資安的重要性逐漸浮上檯面。</p> <p>對於群暉科技（Synology）而言，更是如此。在強化產品資訊安全的工作上，我們是臺灣第一家獲得 CNA 認證的公司，因此可為自家產品指派 CVE ID權限。</p> <p>過去兩年以來，群暉科技投注不少資源在精進產品安全的部份。除了於 2016 年特別成立產品安全事件應變團隊（PSIRT），專職負責 Synology 產品安全事件的緊急應變外，也積極參與 CNA、FIRST 等國際資安組織，以及推出安全性弱點獎金計畫，透過與外部研究人員、資安社群的協作，持續布局前瞻性系統架構，為企業的產品資訊安全把關。</p> <p>回顧Synology PSIRT 兩年的具體成績，在SambaCry、Dnsmasq 與 WPA2 等嚴重問題爆發時，不僅在24小時內修復漏洞，更能於第一時間發出安全性諮詢（Security Advisory）通知使用者，並發布 DSM （Diskstation Manager）與 SRM （Synology Router Manager）安全性更新。</p> <p>我們也因為仰賴這些實戰經驗的累積，得以逐步建立資安危機處理的SOP，讓事件應變流程更臻完善。</p> <p>整體而言，「產品安全」和「事件應變」為Synology PSIRT的兩大主要業務，當中也包含：在產品研發過程中，檢視系統設計之安全性，並即時監看資安社群揭露的弱點，例如新的 CVE、來自其他廠商與第三方平臺的安全性訊息，以及國際資安新聞監測等，藉此蒐集所有跟 Synology 產品相關的情報，一旦發生資安事件，便能立即進行危機處理。</p> <p>除了因應來自外部的風險，作為一家產品線涵蓋 NAS 、網通、監控產品的公司，我們也在內部產品的開發上，極力做到事前的資安風險控管。</p> <p>例如，我們的PSIRT 在 2017年，開始推動產品安全保證流程，秉持風險最小化原則，在軟體開發的設計上，導入Security by Design 和 Security by Default的概念，從最初的產品設計環節即落實資安控管。以系統設計而言，明確規範Input / Output 的輸入指令來清楚定義執行動作，避免產生多餘邏輯或額外程式碼，也能有效降低具資安疑慮之行為被觸發的機會。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%A4%E6%9A%89PSIRT-3.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>接軌國際資安社群<span lang="zh-TW" xml:lang="zh-TW">，</span>實質上能帶給企業許多幫助，讓企業得以在漏洞揭露前即著手進行修補，因此<span lang="zh-TW" xml:lang="zh-TW">，</span> Synology PSIRT 積極參與 CNA、FIRST 等國際資安社群<span lang="zh-TW" xml:lang="zh-TW">，</span>以強化風向觀測。</strong></span></p> <p><span style="font-size:28px;"><strong>產品安全事件及時因應四步驟</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%A4%E6%9A%89PSIRT-2.png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>以 Synology PSIRT 執行事件應變的經驗出發，建議以發現問題、評估問題的安全等級、修補問題，以及揭露問題等四個步驟，在事件觸發當下，盡快採取相對應行動，防止傷害擴大。</strong></span></p> <p>在資安事件應變方面，接下來，我們就以去年 12 月底發生的「Synology-SA-18:62 Netatalk」事件為例，說明處理方式。</p> <p>這個出於開放原碼、針對蘋果通訊協定 Apple Filing Protocol（AFP）實作的漏洞，讓攻擊者能夠直接侵入群暉的DSM、SRM 系統，取得可執行任意動作的最高管理權限。</p> <p>由於直接危害到系統安全，此漏洞的安全性等級被評為「危險（Critical）」。而我們透過 PSIRT 執行事件應變時的既定 SOP：發現問題、評估問題的安全等級、修補問題，以及揭露問題等四個步驟，在事件觸發當下採取行動，於是，成功在 24 小時內完成修復，我們也在這類攻擊的概念驗證程式被廣泛流傳前，完成修補，有效降低被攻擊的可能。</p> <p>這支漏洞如果處理不好，其影響足以比擬群暉科技先前面臨的SambaCry重大資安事件。而這也驗證了一件事：在企業內部建立產品安全事件團隊，以及相對應的跨部門組織協作支援，能有效為企業的資訊安全把關。</p> <p>對於一般企業的資安工作而言，以 Synology PSIRT 執行事件應變經驗出發，我們建議，企業應建立回報問題的管道，以做到第一個步驟：「發現問題」。</p> <p>對此，目前相關的資安研究員可透過下列電子郵件信箱：<a href="mailto:[email protected]">[email protected]</a>或<a href="mailto:[email protected]">[email protected]</a>，向我們回報與 Synology 產品相關弱點。而這次 Netatalk事件即是研究人員主動通報，讓我們在第三方平臺發布漏洞前掌握先機，並於接獲通報的 3 小時內，迅速進入第二步：「評估問題的安全等級」階段。</p> <p>在此階段當中，產品安全團隊需釐清問題發生的原因，並依問題嚴重程度決定後續的因應措施，例如，修補問題時所涉及的部門與所需修復時間，並即刻知會組織內部的所有利益關係人，以開始後續應對流程。</p> <p>而關鍵第三步：「修補問題」則相當倚賴跨部門的組織協作。以這次事件所組成的緊急安全小組為例，該小組即包括負責修改與檢驗程式碼的 PSIRT、負責產品功能的研發部門、負責檢驗修補的品質控管（QC）團隊、處理後續技術問題的後勤支援部門、需掌握整體修補上線時程的產品管理部門，以及軟體更新後負責後台上架的 MIS 部門，甚至行銷部門也必須掌握最新進度，方能透過發送電子報向用戶溝通並更新資訊。</p> <p>總結來說，每起資安事件的應對，都是不斷學習優化的過程。除了回頭檢視整體產品線的安全性，我們也在每起事件發生後，重新檢討流程的運作邏輯。</p> <p>比方說，如何將漏洞的修改範圍縮到最小，並在最不影響使用者的情況下完成問題修補。</p> <p>以這次的事件而言，因重啟 Netatalk 的中斷時間極短，只要能避免系統重新啟動，使用者就不會感覺到服務中斷。</p> <p>最後，企業要確保各部門隨時準備好應對突發事件、縮短部門間工作輪替產生的時間落差等，都能使企業在面對資安事件時的溝通更加順暢，讓應變一步到位。</p> <p><span style="font-size:28px;"><strong>盤點內部資源，培養資安意識</strong></span></p> <p>然而，並非每家企業都有資源組成 PSIRT 這樣的資安團隊，但即便沒有專屬的安全團隊，在進行企業整體資安架構盤點時，仍有一些通用準則可以遵循。例如，由美國國家標準與技術研究所（NIST）提出的資安框架，就是十分值得企業參考的資安架構。</p> <p>CSF 列舉出企業資安架構的注意清單，主要探討資安的 5 大面向，包含識別與列管資產、採取的防禦措施、偵測威脅機制、攻擊因應，以及災害復原等，企業可以重新檢視現況，找出自身弱點並逐步加強。</p> <p>平時，企業就應針對內部資安架構，進行防範未然的措施。若依循以上的資安架構，首先，我們可盤點目前現有資源，執行災難復原演練，事前規畫發生問題時的應對方式，評估有無修補能力，並與原廠及系統整合商維繫順暢溝通管道，才能在事件發生時立即取得支援。</p> <p>事實上，我們也從過去處理經驗，學到重點，那就是：資安情報的取得十分關鍵。</p> <p>對於一個完善的企業資安架構而言，並不是在 2013 年做到 100 分，而到了 2018 年還能適用。唯有隨時保持彈性，才能面對日新月異的威脅攻擊。這也是為什麼 Synology PSIRT 這兩年積極參與 CNA、FIRST 等國際資安社群的原因。</p> <p>而就一般企業的角度來看，須積極觀測風向以確保情報來源暢通。以這兩年發生的 KRACKs 與 Meltdown / Spectre 為例，這兩起事件皆是由主導資安事件揭露的國際資安組織 ICASI與OASIS 所揭露，但只有這兩個組織的會員可以在第一時間獲得相關情報。由此可見，與國際資安社群接軌，能為企業帶來許多實質幫助，讓企業在漏洞揭露前便能搶先進行修補。</p> <p>「沒有百分之百安全的產品，但我們可以做到最好的風險控管」是群暉持續強調的概念。除事前過濾風險，資安事件發生時，企業也應做到最快且確實的因應。</p> <p>目前，Synology PSIRT 已從 2016 年最初的兩人團隊，成長到現在的五人編制，並持續與 AIS3 合作，尋找優秀資安人才。我們認為，如果一間公司在意自身產品，並將安全性視作產品品質的重要一環，資安將是絕對必要的投資。<strong>文⊙群暉科技產品事件安全應變組經理李宜謙、<a href="http://www.eslite.com/product.aspx?pgid=10099161842746130" target="_blank"><span style="color: rgb(178, 34, 34);">本文出自《iThome 2019臺灣資安年鑑》</span></a></strong></p> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129570
【iThome 企業資安大調查】為何企業資安防護擋不住攻擊？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p34-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-1(1).jpg" style="width: 660px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-2(2).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-3(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-600-4(1).jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P34-400-5.jpg" style="width: 400px;" /></p> <p><strong>資安防護信心分數計算方式：</strong><br /> 按企業CIO 和IT 主管自評，對自家資安防護分為極有信心（100 分）、非常有信心（80分）、大致上有信心（60 分）、只有一點點信心（40 分）、沒有信心（20 分），再依作答人數百分比作為權重相乘，計算出總分為61.4 分。</p> </div> </div></div></div>
2019/4/4 09:00未署名https://www.ithome.com.tw/article/129627
【臺灣資安大會直擊】IBM以知識圖譜技術重建APT攻擊者痕跡，更要推論出企業未來容易受攻擊的潛在弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「當你的公司遭到入侵的時候，你怎麼在最快的速度找到攻擊者？」2019臺灣資安大會中，IBM軟體研發中心台北實驗室、研創團隊負責人林俊叡指出，未來進階持續性威脅（Advanced Persistent Threat, APT）將越來越常見，如何掌握攻擊者的犯罪手法（Tactics, Techniques, and Procedures, TTP）、發掘潛在的危機，甚至防堵未來的攻擊，AI將扮演重要角色。</p> <p>他引述世界經濟論壇2019全球風險調查結果，資料詐欺或竊取（Data fraud or theft）、網路攻擊（Cyber-attacks）的發生率分別是第4、5名；網路攻擊、重要資訊基礎建設故障（Critical information infrastructure breakdown）的衝擊力也佔據第7、8名，由此可知，網路攻擊是2019年需要慎防的問題。</p> <p>而網路攻擊的動機又可大致分為4種，分別是獲取資訊（Access to information）、獲取財物（Financial profit）、駭客行為（Hacktivism）、網路戰（Cyberwar）。2018年獲取資訊（45%）的案例勝過獲取財物（33%），但在金融界，網路攻擊的目的仍以獲取財物為主。</p> <p>以搶銀行組織APT 38為例，這個駭客組織的任務動機是財務導向，他們使用網路間諜攻擊手法，曾經部署26支客製化的惡意軟體在目標對象的網路與系統架構，更能隨著防毒軟體的更新而進階修正、不被偵測；從威脅情資報告中，也難以察覺攻擊者的目的與身分。</p> <p>林俊叡更表示，等到對方要撤退時，可能先大規模癱瘓硬體設備，讓銀行顧此失彼無暇抓人，更甚者還留下其他Malware來誤導調查。因此，未來APT的威脅將更難以預測，「如何在對方達成目的之前，先用犯罪的線索找到幕後黑手，就是IBM在資安引進AI技術想要實現的目標」。</p> <p><strong>靠AI自動產生資安報，引進Knowledge Graph推論潛在危機</strong></p> <p>「找出攻擊者為什麼重要？」林俊叡表示，市面上的防毒軟體功能，大多僅為了掃描入侵威脅、阻擋問題IP、修補安全漏洞等，無法更積極地推論出攻擊者的目的、找到他是誰，進而阻擋新型態的APT攻擊；就連IBM持續針對內部的攻擊（Offenses）進行分析，也有高達99%在現有威脅情資報告中找不出攻擊者。</p> <p>因此，IBM開始在產品中使用了知識圖譜技術（Knowledge Graph）技術來偵查網路犯罪的痕跡，先蒐集企業內部的「疑似攻擊資訊」後，將可疑的IP、檔案雜湊值（Hash）以及網域（Domain）等資料，與知識圖譜資料庫內的資訊來比對，不只可以找出這些來自企業內疑似攻擊資訊間的關連，甚至可以擴大找出更多情報，例如從可疑 IP的相關知識圖譜資訊，可以進一步找出此IP背後相關的攻擊者或病毒家族（Malware Family），再從這些攻擊者過去手法的情報，進一步推測駭客這次攻擊這家企業的可能目的。過去得透過資安研究員層層人工解讀、比對才能繪製出來的攻擊脈絡痕跡，IBM首次應用知識圖譜技術後，現在可以自動完成一份資安報告，來推論潛在威脅供企業或資安人員參考。</p> <p>IBM先利用文字處理AI技術，大量擷取各種非結構化的資料，包括資安新聞、最新研究報告、資安通報等，來建構一套資安知識圖譜，例如繪製出一個攻擊木馬excel檔，背後相關的攻擊者、攻擊事件、類似攻擊木馬或手法等脈絡情靠，再利用AI技術來推論潛在威脅，並自動產生一份結構化的情資威脅報告。</p> <p>為了先建立一套可用來推論潛在威脅用的資安知識圖譜模型，IBM資安實驗室先利用US-CERT網路安全情報（Cyber Security Intelligence, CSI）的入侵指標（Indicators of Compromise, IOC）進行ML訓練，將訓練用的資料分出十分之一，作為測試驗證效果用的資料，反覆訓練與測試後，目前這個知識圖譜已有超過80%的正確率；IBM也用於分析IBM內部發生過的攻擊事件資訊，過去99%的情況下都無法辨認攻擊者，現在採用知識圖譜模型可以找出93%事件背後的攻擊者。</p> <p>林俊叡說明：「從駭客所部署在企業內的小東西，可以推測出到底是誰在攻擊你。」就像警察尋找連鎖犯罪一樣，同一個犯罪組織、或相似攻擊目的的攻擊程式可以找出共同性。但是各種情報資料非常龐大，透過AI自動產生威脅情資報告，就可以在可能遭駭客攻擊的途徑中進行防禦。例如透過重新調整網路架構，有效避開特定類型的網路攻擊等。</p> <p>至於為何不用ML技術，林俊叡解釋，採用ML會有黑箱方法的疑慮，可能產出無法解釋的結果，但若使用Knowledge Graph來推論攻擊痕跡，則較容易解釋推論過程。</p> </div></div></div>
2019/4/3 16:19作者翁芊儒https://www.ithome.com.tw/news/129549
微軟正式發布Visual Studio 2019，內建程式碼協作功能Live Share
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/visualstudio/visual-studio-2019-code-faster-work-smarter-create-the-future/">微軟正式發布Visual Studio 2019</a>。Visual Studio 2019重新設計了圖標以及起始頁面，程式碼編輯功能也大幅更新，在去年12月釋出第一個預覽版，現在終於釋出正式版。</p> <p>微軟檢討了Visual Studio 2017開發程式的流程，針對打開專案到真正撰寫第一行程式碼中間的過程進行簡化，Visual Studio 2019改進Git的操作，不論在複製程式碼儲存庫，或是打開既有專案和資料夾，都更加方便簡單，在模板選擇介面也做出更新，讓開發者用更直覺的方式開啟新專案。</p> <p>在使用者介面上，Visual Studio 2019使用了新的藍色主題並提高對比度，整體介面更加清楚，微軟為程式碼導覽增加視窗左下方的文件健康指示器，會顯示文件中錯誤與警告的數量，點擊圖標可以取得錯誤列表，而程式碼清理功能，則能應用多個重構規則，更簡單地修復錯誤與警告。</p> <p>程式碼除錯功能部分，新增了.NET Core應用程式資料中斷點，讓開發者可以在變數數值改變時才中斷應用程式，方便開發者對資料流進行除錯，而程式碼導師Visual Studio IntelliCode也提供人工智慧輔助，加速程式碼撰寫，並減少錯誤發生。</p> <p>另外，在去年5月Build 2018推出的遠端程式碼協作服務Live Share，隨著Visual Studio 2019正式發布Live Share也釋出正式版，而<a href="https://devblogs.microsoft.com/visualstudio/live-share-now-included-with-visual-studio-2019/">Visual Studio 2019將直接內建Live Share</a>。Live Share可以讓開發者與其他團隊成員進行即時協作開發，遠端共享程式碼、協作編輯以及進行除錯，而且不需要複製程式碼或是麻煩地重新配置環境，Live Share能分享專案的完整環境，而不僅是Visual Studio中的程式碼，還包括擴充套件。</p> <p>Live Share從去年發布以來，進行了不少更新，包括新增唯讀模式，支援C++與Python程式語言，也讓訪客能開啟除錯對話（Session）。微軟也與第三方擴充套件合作，開發者於Live Share正式版開始，能使用擴充套件強化即時共享功能，像是擴充套件OzCode能提供視覺化C#除錯功能，CodeStream可以讓開發者為任意一行程式碼增加註解，方便團隊討論。</p> <p class="rtecenter"><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2019/04/word-image-1.gif" style="width: 600px;" /></p> </div></div></div>
2019/4/3 15:10作者李建興https://www.ithome.com.tw/news/129770
新加坡立法打擊假新聞，被政府認定觸法者最高判處10年徒刑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為打擊假新聞，<a href="https://www.parliament.gov.sg/docs/default-source/default-document-library/protection-from-online-falsehoods-and-manipulation-bill10-2019.pdf" target="_blank">新加坡一項新法草案</a>計畫讓政府可全權認定網路上的訊息是否為假新聞，散佈假新聞的個人及平台皆可判處重刑，引發箝制言論自由的疑慮。</p> <p>新加坡政府向立法局遞交一份名為《防止網路虛假與操弄法案》（Protections From Online Falsehood and Manipulation Act 2019）的草案</p> <p>該法案開宗明義指出旨在防止假言論以電子通訊形式傳播，打擊傳播此類內容的網路帳號與提升網路政治廣告的透明度。法令禁止人民在星國內外散佈假消息危害國家安全、公共健康、社會及經濟穩定性、總統與議員選舉及星國外交關係，激化不同族群的人民仇恨、打擊國人對政府信心，且政府有權可出手干預。違者可處以個人最高5 萬元新加坡元或／及5年以下徒刑，但牽涉使用帳號或機器人軟體散佈假新聞，最高可判10年徒刑。</p> <p>另外，製作網路機器人軟體或提供通訊服務支持散佈假訊息者，該法也擬處以個人最高6萬新加坡元或／及6年以下徒刑，但團體最高可處以100萬新加坡元罰金。</p> <p>此法顯然也使Google、臉書、推特等社群媒體必須為假新聞負上責任。<a href="https://www.aicasia.org/wp-content/uploads/2019/04/AIC-statement-Singapore-Protection-from-Online-Falsehoods-and-Manipulation-Bill-1-April-2019-1.pdf" target="_blank">由Yahoo、Google及eBay組成的亞洲線上聯盟（Asia Online Coalition，AIC）抨擊</a>本法可能傷害網路言論自由。AIC表示，雖然該聯盟支持星國政府確保社會凝聚、和諧及機構與政治運作完整性的目標，但基於本法對星國產業、媒體及公民社會，以及對國際影響層面之廣，AIC對法案草擬期間未能提供公眾廣泛討論「感到失望」。</p> <p>AIC重申，頭痛醫頭式的立法並非解決複雜議題的最佳方案，而且本草案賦予新加坡政府全權判定什麼是真新聞、什麼是假新聞也令該組織感到擔憂。AIC稱本法是同類中權力最大的法律，對言論和表達自由有重大風險，也可能對新加坡甚至世界帶來嚴重影響。</p> <p><a href="http://theindependent.sg/impending-bill-gives-sg-govt-full-discretion-to-decide-what-is-fake-news-and-what-is-not/" target="_blank">新加坡版《The Independent》引述</a>臉書公共政策副總裁Simon Milner的郵件指出，這項法案給了新加坡行政機關廣泛權力，迫使臉書移除他們認定是假新聞的內容，並需推播政府政令給他人。</p> <p>臉書強調提供人民自由與安全表達言論是臉書的重要價值，該公司有責任以謹慎態度處理任何政府提出移除不實訊息的要求。</p> <p><a href="https://www.nytimes.com/2019/04/01/world/asia/singapore-fake-news-law.html" target="_blank">紐約時報報導</a>，一般預料，由於獲得新加坡總理李顯龍領導的人民行動黨支持，因此本法案未來幾個星期內就會完成三讀通過成為正式法令。</p> <p>無獨有偶，臉書執行長祖克柏近期也支持政府介入網路內容平台的管理，<a href="https://www.ithome.com.tw/news/129690" target="_blank">呼籲</a>國會立法規範網路有害內容、公正的選舉、隱私、資料可攜等議題。 </p> </div></div></div>
2019/4/3 15:15作者林妍溱https://www.ithome.com.tw/news/129771
微軟Azure AD Password Protection正式上線，設定密碼門檻更高了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-AD-Password-Protection-is-now-generally-available/ba-p/377487" target="_blank">微軟宣布</a>從去年6月就邁入公開預覽的Azure AD Password Protection功能正式上線了，當Azure管理人員啟用該功能之後，它就會自動拒絕使用者設定薄弱密碼，以預防密碼噴灑（Password Spraying）攻擊。</p> <p>所謂的密碼噴灑攻擊是以同一組密碼去測試大量的帳號，與鎖定特定帳號、以大量密碼進行配對的暴力破解（Brute Force）攻擊手法剛好相反。不管是哪一種，都有可能讓企業網路因特定員工的帳號遭到入侵而受到危害，而Azure AD Password Protection即是針對密碼噴灑攻擊的安全解決方案。</p> <p>Azure AD（Azure Active Directory）是Azure平台上負責身分驗證與存取管理的服務，在啟用Azure AD Password Protection之後，它將不許使用者設定逾500個最常用的密碼，再加上超過1萬個相關密碼的變種。</p> <p>負責身分管理的微軟副總裁Alex Simons解釋，這逾500個最常用的密碼是從數十億筆的外洩憑證分析而得，微軟將會定期更新此一禁止使用的密碼資料庫。Simons還舉例說明了所謂的密碼變種，以「Password」密碼為例，有不少人會將它改成「P@$$w0rd」，以@取代a、$取代s，以及0取代o，這類的密碼同樣會遭到Azure AD Password Protection的攔阻。</p> <p>伴隨著Azure AD Password Protection而來的，還有<a href="https://techcommunity.microsoft.com/t5/Azure-Active-Directory-Identity/Azure-AD-Password-Protection-and-Smart-Lockout-are-now-in-Public/ba-p/245423" target="_blank">智慧封鎖（Smart Lockout）功能</a>，透過雲端智慧來封鎖那些企圖猜測使用者密碼的歹徒，它能夠辨識來自有效用戶或歹徒的登錄而採取不同的作法。</p> <p>智慧封鎖為Azure AD的預設值，亦允許管理員設定輸入錯誤密碼的次數、或允許下次重新輸入密碼的時間。</p> <p>此外，AD Password Protection功能不僅適用於Azure，也適用於就地部署的Windows Server Active Directory，以同時保障雲端環境及混合環境的帳號安全。</p> </div></div></div>
2019/4/3 15:40作者陳曉莉https://www.ithome.com.tw/news/129773
美多家航空公司外包商系統異常，一度造成航班延宕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月1日美國多家航空公司因外包廠商的系統出問題導致航班一度延宕。</p> <p>美國聯邦航空總署（FAA）<a href="https://twitter.com/FAANews/status/1112681600788119553" target="_blank">公告</a>多家航空公司在４月１日當天早上發生電腦系統問題。根據<a href="https://www.cnbc.com/2019/04/01/southwest-delta-united-airlines-say-they-are-experiencing-systemwide-outages.html" target="_blank">CNBC</a>、<a href="https://chicago.cbslocal.com/2019/04/01/airlines-aerodata-computer-software-glitch-flight-delays/" target="_blank">CBS</a>等美國媒體報導，問題起因於航空公司外包商Aerodata系統故障，造成全面系統（system-wide）停機。<a href="https://www.aerodata.aero/Official/" target="_blank">Aerodata</a>專門提供航空公司的飛機效能資料、跑道分析、起飛重量控制及負載規劃系統，每天支援將近2.1萬次航班。</p> <p>媒體報導，受到影響的航空公司包括西南航空、美航、聯航、達美、阿拉斯加及捷藍（JetBlue）航空等。上述航空公司皆公告班機因系統停機而延遲。CNBC報導，西南航空有些已行駛到跑道上的班機，還因此需回到閘門口。</p> <p><a href="http://fortune.com/2019/04/01/flight-delays-aerodata/" target="_blank">財星雜誌引述</a>航班追蹤網站<a href="https://zh-tw.flightaware.com/live/cancelled/today" target="_blank">FlightAlert的紀錄</a>，顯示當天早上有2900多班次延誤。此外芝加哥當地媒體報導，二個主要機場各約有20航班取消。不過有多少是起因於Aerodata系統故障則不得而知。</p> <p>所幸系統問題很快就解決。FAA也在事發一小時後<a href="https://twitter.com/FAANews/status/1112694617684803585" target="_blank">公告問題排除</a>。</p> </div></div></div>
2019/4/3 14:25作者林妍溱https://www.ithome.com.tw/news/129767
微軟與BMW共創開放製造平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.co.uk/news-releases/microsoft-and-the-bmw-group-launch-the-open-manufacturing-platform-859672858.html" target="_blank">微軟與BMW在4月2日攜手成立開放製造平台</a>（Open Manufacturing Platform，OMP），以發展可供汽車產業或其它製造領域的各種智慧工廠解決方案。</p> <p>相關的解決方案將奠基於微軟的Azure工業IoT雲端平台上，將由OMP負責提供基於開發工業標準與開放資料模型的開源元件作為參考架構。雖然OMP目前的成員只有微軟與BMW，但預計在今年底可達成4到6名成員，並供應15種使用案例。</p> <p>OMP旨在解決製造業間諸如機器互連與就地部署系統整合的難題，一旦OMP得以成形，將允許OEM業者、製造商或其它業者重覆利用各種軟體解決方案，可望大幅減少履行成本。</p> <p>根據OMP的規畫，此一平台打算釋放那些原本只於私有系統上運作的資料，將它們整合為標準化的資料模型，以利未來進行資料分析或機器學習，OMP成員則能利用工業使用案例與樣本程式碼來打造自己的服務及解決方案。</p> <p>此外，OMP將相容於既有的工業4.0參考架構，採用OPC UA工業互通標準。OPC基金會主席Stefan Hoppe認為，採用開放的國際工業標準將使製造商、機制建置商及供應商能夠安全且有效率地整合它們既有的設備與系統，過去企業傾向於使用私有且封閉的生態系統，強調開放的OMP將形塑未來的製造業。</p> <p><a href="https://www.press.bmwgroup.com/global/article/detail/T0294085EN/the-bmw-group-and-microsoft-launch-the-open-manufacturing-platform" target="_blank">BMW</a>已準備貢獻該公司於德國雷根斯堡工廠的自主運輸系統案例，該案例透過運輸系統的中央協調簡化了物流程序，提高物流效率，未來BMW也會貢獻諸如數位供應鏈管理及預測維護等使用案例，並號召各界加入OMP以共同發展相關案例。</p> </div></div></div>
2019/4/3 14:45作者陳曉莉https://www.ithome.com.tw/news/129768
英特爾挖角高通財務長George Davis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.intel.com/news-releases/intel-appoints-george-s-davis-evp-cfo/#gs.3ld7mt" target="_blank">英特爾（Intel）於4月2日宣布</a>，已任命George Davis為該公司的執行副總裁及財務長。Davis原為高通（Qualcomm）財務長，且<a href="https://www.qualcomm.com/news/releases/2019/04/02/qualcomm-announces-chief-financial-officer-george-davis-leave-company-today" target="_blank">高通</a>在同一天才宣布Davis離職，並將由David Wise暫代高通財務長一職。</p> <p>現年61歲的Davis是在美國克萊蒙特麥肯納學院取得經濟學與政治學的學士學位，再於加州大學取得管理碩士學位，他擁有豐富的財務長經驗，包括先是在應用材料公司（Applied Materials）當了6年的財務長，再於2013年成為高通的財務長。</p> <p>英特爾表示，未來Davis將掌管該公司的全球金融組織，包括財務、會計、稅賦、資金、內部審計與投資人關係等，也會負責監督英特爾的資訊科技組織，並直接向執行長Bob Swan彙報。</p> <p>Davis並未說明離開高通並投入競爭對手懷抱的原因，只說有鑑於市場上對於資料分析、傳輸及儲存的需求飛快成長，英特爾已成為市場上最有機會的企業，期待在英特爾的轉型中發揮作用。</p> <p>Swan亦表示，Davis未來將協助英特爾追求以資料為主的市場機會，英特爾的股東將可繼續期待嚴格的資本配置方式，且英特爾也會不斷創造股東價值。</p> <p>至於高通僅簡短地感謝過去Davis對該公司的貢獻，也祝福他未來的努力能夠成功，並宣布將由該公司的資深副總裁David Wise暫代Davis的職務直至找到繼任人選。</p> </div></div></div>
2019/4/3 15:00作者陳曉莉https://www.ithome.com.tw/news/129769
2019年3月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本月份出現兩種同樣鎖定軟體更新機制，卻完全不同面向的重大攻擊手法，一種是駭客從更新系統下手，暗中散布後門，另一種則是針對缺乏自動更新機制的應用程式，大肆發動已知漏洞攻擊。這樣的現象，代表著軟體更新機制已是當今應用程式的必需品，同時這種更新系統也需要嚴謹的機制保護，以免成為攻擊者濫用的對象。</p> <p>這也突顯了普遍存在於我們環境之中，有可能是極為不起眼或是司空見慣的軟體、系統，竟變成有心人士的可趁之機－－軟體更新機制遭到攻擊的並不是別人，而是全球筆電5大廠商之一的華碩；至於受到已知漏洞攻擊，但因為有賴使用者自己手動安裝新版軟體修補，導致態勢日益惡化的，則是許多人電腦裝機必備的壓縮軟體WinRAR。這樣的現象顯然有待受到重視，雖然軟體供應者的態度很重要，不過使用者的部分，也應該試圖設法採取一些措施，以求自保，減緩上述情況所帶來的衝擊。</p> <h2><strong><span style="color:#B22222;">01.</span><a href="https://www.ithome.com.tw/news/129588">華碩電腦的軟體更新主機遭入侵，駭客藉由Live Update偷偷散布後門，恐影響上百萬用戶</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/960x420hua_shuo_geng_xin_zhu_ji_zao_hai_tu_pian_lai_yuan_qia_ba_si_ji_.jpg?itok=Ma6s9to3" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">02.</span><a href="https://www.ithome.com.tw/news/129402">WinRAR漏洞被揭露的第一周就有超過100個攻擊行動</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/winrar_570-960.png?itok=SsPvwKDp" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">03.</span><a href="https://www.ithome.com.tw/news/129366">臉書、IG同時當機，只因變更伺服器配置</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/fbdown-960.png?itok=E1CeIq5D" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">04.</span><a href="https://www.ithome.com.tw/news/129102">用來存放中國監控民眾資料的MongoDB資料庫遭到曝光</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/chinamonitor-960.png?itok=ffZB4mtK" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">05.</span><a href="https://www.ithome.com.tw/news/129551">HMD證實Nokia 7 Plus的確把用戶資料傳到中國</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/nokia7plus-960.png?itok=_p7KNsQj" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">06.</span><a href="https://www.ithome.com.tw/news/129001">Supermicro主機板元件驚傳漏洞，可能導致裸機運算服務被植入後門</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/supermicro-960.png?itok=RT81Ks8-" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">07.</span><a href="https://www.ithome.com.tw/news/129021">Thunderclap漏洞允許周邊裝置竊取記憶體機密資訊</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/thunderclaps-960.png?itok=Ax3oCZlM" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">08.</span><a href="https://www.ithome.com.tw/news/129314">2018年度十大網站攻擊技法出爐，臺灣資安專家研究再獲全球肯定，連續兩年蟬聯第一</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/zhu_tu_2018_web_hacking_techniques_660x420_portswigger.jpg?itok=wZcapZzc" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">09.</span><a href="https://www.ithome.com.tw/news/129607">Pwn2Own：研究人員成功入侵Tesla Model 3</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Pwn2Own-Tesla.jpg" style="width: 600px;" /></p> <h2><strong><span style="color:#B22222;">10.</span><a href="https://www.ithome.com.tw/news/129417">2019臺灣資安大會擴大登場，以資安週再創臺灣資安新高峰</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/cybersec_2019_day1_press_photo1.jpg?itok=O6WXipI-" style="width: 600px;" /></p> </div></div></div>
2019/4/3 10:50作者周峻佑https://www.ithome.com.tw/news/129761
微軟Android版Skype也爆自動接聽功能的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一月底傳出iPhone上的FaceTime有隱私漏洞，在電話未接通時，發話方即可接獲接話方的影像與聲音。而Android版的Skype也爆出這個問題，所幸微軟已經修復。</p> <p>事情源起為Skype的自動來電接聽功能，它原本是設計作為行動不方便人士的輔助支援功能，或是用於看顧獨自在家中的寵物。這項功能也可以選擇開啟或關閉。但<a href="https://answers.microsoft.com/en-us/skype/forum/all/how-to-stop-skype-on-mobile-to-automatically/b68e0762-b032-4eb5-a3b6-c749a4903eba?page=2" target="_blank">一月間有Skype用戶在微軟論壇上反映</a>，他Android手機的Skype會在來電數秒後自動接聽，即使關閉這項功能後卻仍然無法掛斷電話。其他用戶也表示有相同問題，而且如果曾設定過Skype的相機app使用權限，Skype也會自動開啟影像通話。</p> <p>這些使用者另一個共通點是都將Android手機連結智慧型手錶，有人連智慧型手錶未開啟的情況下，自動接聽也會啟動。用戶實測發現當手機和智慧型手錶配對連線情況下，會複製發生這個狀況，並推測本隱私漏洞出現在2018年11月之後版本的Skype 8。</p> <p>微軟並未說明此事，但似乎已經修補該漏洞。3月間論壇上有Skype Insider開發人員指出，問題可能起於手錶組態與Skype某項新功能變更共同作用的結果，建議用戶試試Android版Skype最新預覽版本，這意謂修補好漏洞的正式版即將釋出。</p> </div></div></div>
2019/4/3 11:15作者林妍溱https://www.ithome.com.tw/news/129762
微軟結束電子書業務，將退還曾於Microsoft Store購買電子書的所有款項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/help/4497396" target="_blank">微軟近日宣布</a>將結束Microsoft Store的電子書業務，等同於退出電子書市場，不再與Amazon、Apple Books及Google Play Books等服務競爭，也決定退款給曾在Microsoft Store購入電子書的用戶。</p> <p>從今年的4月2日起，電子書類別就會在Microsoft Store上消失，而且自今年的7月初起，消費者也無法再讀取曾於該站所購買的電子書，微軟將會退還所有的購書款項，同時建議消費者至其它電子書商店購買所需的書籍。</p> <p>微軟準備在今年7月根據消費者當初的付款方式展開退款流程，若所使用的付款方式已失效，微軟則會將款項退至其Microsoft Store帳號，以用來購買其它產品。</p> <p>此外，倘若消費者曾在電子書上作筆記或下註解，為了補償這些人的損失，微軟會再額外補貼25美元。</p> <p>微軟並未說明關閉電子書服務的原因，但<a href="https://www.zdnet.com/article/microsoft-removes-the-books-category-from-the-microsoft-store/" target="_blank">根據ZDNet的報導</a>，微軟的官方原因是為了簡化Microsoft Store的策略聚焦。</p> </div></div></div>
2019/4/3 11:35作者陳曉莉https://www.ithome.com.tw/news/129763
紐約州阿巴尼市遭勒索軟體攻擊，致部份服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體已成公部門夢魘。三月底美國紐約州阿巴尼（Albany）市系統遭勒索軟體劫持，導致部份服務中斷。</p> <p>阿巴尼市市長Kathy Sheehan於3月30日透過<a href="https://twitter.com/MayorSheehan/status/1112032981227573248?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1112032981227573248" target="_blank">推特公告</a>該市於當天早上發現勒索軟體攻擊事件。該市並未說明詳細受災情況，但表示阿巴尼市政府員工4月1日即正常上班，市府大樓及法院也照常開放，大部份市政服務也維持營運，信用卡報稅、警消機關等皆可正常運作。不過確有數項市民服務受到影響，包括出生、死亡及結婚證明謄本無法由網路辦理，市民必須親自前往地區公務機關申請。此外該市系統也無法受理結婚登記，要結婚的伴侶必須到其鄰近市鎮辦理。目前系統是否恢復則不得而知。</p> <p>阿巴尼市拒絕透露關於勒索軟體入侵調查的細節，包括惡意軟體如何進入市府網路，<a href="https://www.apnews.com/66279fdbbefc444a8d511b8180aaad10" target="_blank">美聯社</a>引述市長說法，表示勒索軟體並未造成個資外洩。</p> <p>這是半年來美國地方政府最新一起勒索軟體襲擊事件。期間<a href="https://www.ithome.com.tw/news/123793" target="_blank">亞特蘭大市</a>及<a href="https://www.ithome.com.tw/news/129226" target="_blank">喬治亞州傑克森郡</a>相繼遭勒索軟體攻擊，遭成網路或系統中斷，皆花上好幾天才能回復正常作業。</p> </div></div></div>
2019/4/3 11:40作者林妍溱https://www.ithome.com.tw/news/129764
IoT雙周報第60期：縮短樣本送測時間，全球快遞UPS開始以無人機替美大型醫院運送醫療樣本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/23~04/05精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧手錶</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果Apple Watch 4心電圖顯示功能擴大支援地區，現在歐洲和香港用戶也可使用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(5).png" style="width: 600px; height: 263px;" /></p> <p>去年底，蘋果推出最新款內建心電圖（ECG）顯示功能的Apple Watch 4，原本這項功能只限美國地區能用，但是近日蘋果在最新釋出watchOS 5.2更新中，也公告Apple Watch的心電圖顯示功能可在歐洲19國及香港地區啟用，但未包含臺灣在內。由於心電圖的量測已屬於醫療器材的領域，礙於各國醫療法規的限制，才遲遲無法使用這項功能。目前除了美國的「創新而低風險」（De Novo）標章外，蘋果就ECG app及心律不整通知功能如今已取得CE Mark標章，獲准在歐洲經濟區上市。使用者戴上Apple Watch 4，開啟ECG/EKG app、食指壓在Apple Watch錶冠上，就能顯示用戶心電圖，同時將資料儲存在iPhone的Health app上，也可儲存成PDF傳送給醫師。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> UPS </span></strong></span></p> <p><span style="font-size:22px;"><strong>縮短醫療送測時間，美國UPS派出無人機替醫院載運醫療樣本</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(46).jpg" style="width: 600px; height: 318px;" /></p> <p>美國快遞巨頭UPS近日與美國北卡羅萊納州一家大型醫院WakeMed合作，開始以無人機在該院區內來運送醫療樣本，以縮短樣本送測時間。UPS採用的是無人機業者Matterne製造的無人機，可以每小時43英里的速度飛行，即使在途中遭遇逆風或下雪等惡劣天候，也不影響其飛行，並且一次能攜帶大約2公斤的醫療用品。UPS利用無人機來載運病人血液和其他送測樣本，無人機以袋子裝好樣本以後，便會沿著預定的飛行路徑飛行，抵達該中心病理實驗室，再由實驗室人員將這些測試樣本取下進行測試，整個運送過程不到5分鐘，讓病患可以更快取得檢驗測試報告。UPS未來更計畫要利用無人機來改善美國其他醫院和醫療機構的運輸服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車模擬平臺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>以自駕車軟體模擬累積開車經驗，Nvidia自駕車模擬平臺Drive Constellation推出上市</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%403%EF%BC%9A%E5%9C%963_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(2).jpg" style="width: 600px; height: 375px;" /></p> <p>Nvidia日前在年度GTC大會上宣布自駕車模擬平臺Drive Constellation正式推出上市，並已被日本豐田汽車用於自駕系統模擬訓練上。Nvidia是在去年GTC年會上發表這套自駕車模擬系統，但是直到隔年3月中才推出。此運算平臺可以在兩種不同規格的伺服器運算環境上執行，其中一個伺服器上可以執行Drive Sim軟體，可用於模擬如攝影機、光達與雷達等自駕車感測器，來進行密集測試及功能驗證。在另一臺運算效能更高的伺服器上，則內建Drive Pegasu自駕車硬體，可以結合完整自駕車軟體模擬實際路測環境，讓自駕車還沒正式上路前，能先透過軟體建構逼真的交通模擬環境，來訓練自駕系統，持續累積自駕車上路經驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 自駕車 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 市調報告 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Navigant Research公布最新自動駕駛公司排名，Waymo奪冠，通用緊追在後望</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(41).jpg" style="width: 600px; height: 399px;" /></p> <p>僅管無人美國調研機構Navigant Research近日公布了2019年自動駕駛公司能力排名，Waymo排名第一，其次是通用汽車的Cruise與福特。該報告主要針對自駕車製造商、供應商以及科技公司未來10年內開發出等級3到等級5全自駕的執行力，以及在市場戰略、合作夥伴、生產計畫、自駕技術等綜合策略比較，繪製成象限座標圖，並依進展程度分成領先者、競爭者、挑戰者以及跟隨者四大類。其中，Waymo、通用、福特在自駕車執行力與策略發展上，都被歸類於領先者，反倒是Uber則遠落到10名之外，僅被視為是競爭者，至於電動車特斯拉與蘋果排名更是墊底。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">IoT應用 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 日本機場 </span></strong></span></p> <p><span style="font-size:22px;"><strong>日本機場上廁所不用擠，成田機場打造智慧IoT廁所4月啟用</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(37).jpg" style="width: 600px; height: 353px;" /></p> <p>日本成田機場近來與日本衛浴業者TOTO及電信公司聯手，利用IoT技術在機場內打造一個更聰明的智慧廁所設施，並將從本月3日起對外啟用，讓國內外旅客都能進來使用，以感受不同於以往的如廁體驗。像是在每間廁所及馬桶內皆裝有各種感測器，可以監測廁所使用情況，並將這些數據顯示在廁所入口處旁的兩側大型螢幕面板上，讓想要上廁所的人，可以即時透過它查看目前剩餘可用的間數，避開尖峰時段。並且也能將這些數據統計後以視覺化的方式來呈現，例如使用人數、頻率、滯留時間等，做為廁所管理或清潔人員維護的參考依據，提高公廁維護和管理效率。另外廁所內的每個馬桶也提供包含簡／繁中、英、韓共4國語言的語音導覽功能，讓外國旅客也能安心上廁所。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">5G網路 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英國電信 </span></strong></span></p> <p><span style="font-size:22px;"><strong>英國電信巨頭也加入5G商用行列，Vodafone今年將在英國19個城市力推5G服務</strong></span></p> <p>繼美國、韓國之後，歐洲不少家大型電信公司也加入5G商用行列。英國電信巨頭Vodafone近日宣布今年內將於英國19城市推出商用5G服務。Vodafone表示，目前5G基地臺的布建範圍，已能涵蓋布里斯托、卡地夫、利物浦、伯明罕，接下來，也將在格拉斯哥與倫敦部署，並將透過Vodafone RedStream光纖網路連接所有的5G站點，並可提供最高10 Gbs的連線速度。而且不只英國，Vodafone也同樣宣布今年Q4將在愛爾蘭推出5G網路服務。另一家西班牙電信Telefonica旗下英國電信公司O2 UK，也計畫今年在英國推出5G商用，不過初期僅在少部分城市提供，包括貝爾法斯特、卡地夫、愛丁堡及倫敦等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">樹莓派 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影音應用 </span></strong></span></p> <p><span style="font-size:22px;"><strong>用樹莓派也能播放Netflix影視，樹莓派作業系統RaspEX Kodi釋出新版強化影音應用</strong></span></p> <p>樹莓派作業系統RaspEX Kodi日前釋出新版本Build 190321，新版加入了LXDE桌面，以及應用程式VLC Media Player和NetworkManager等。RaspEX Kodi與樹莓派官方作業系統Raspbian最大的差別是，RaspEX Kodi版本預裝了多媒體播放器Kodi，最新版RaspEX Kodi使用Kodi 18.1 Leia版本，還新增了Netflix、Plex與Amazon Video等實用外掛，可以樹莓派連接大電視觀看影片，新版還增加了NetworkManager配置無線網路功能，也可以使用Raspbian上約3萬個套件。此版本專為樹莓派3 Model B+打造，不過也可使用在前一版本。責任編輯⊙余至浩</p> <p>圖片來源／UPS、Apple、TOTO、Nvidia、raspex.exton、Waymo</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.智慧眼鏡也能很時尚，華為聯手韓國潮牌推出首款智慧眼鏡Eyewear</strong></p> <p><strong><strong><strong>2.為減少IoT應用開發及部署時間，德國軟體商Software AG大推自助式IoT分析服務</strong></strong></strong></p> <p><strong><strong><strong>3.微軟Azure IP Advantage防護擴及IoT裝置，捐贈500項專利</strong></strong></strong></p> <p><strong><strong><strong>4.ARM與澳洲電錶生產商EDMI合作，將自家物聯網平臺ARM Pelion整合公共智慧電錶應用方案</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年4月</strong></strong></p> </div></div></div>
2019/4/3 10:27作者余至浩https://www.ithome.com.tw/news/129760
我為什麼會看到這篇貼文？臉書告訴你動態牆如何挑選內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://newsroom.fb.com/news/2019/03/why-am-i-seeing-this/">臉書最近宣布推出「我為什麼會看到這篇貼文」工具</a>，這是臉書首次在App中，揭露動態牆貼文的排序顯示是如何運作，來協助用戶更了解動態牆的資訊，並控制動態牆上來自朋友、粉絲專頁和社團的貼文，動態牆一直都是為每個用戶量身打造的，而現在臉書期望透過該功能，讓用戶可以獲得更多動態牆的資訊和管理權力。</p> <p>臉書表示，動態牆的目標是要呈現與用戶最相關的貼文，用戶可以藉由這項工具了解自己過去在臉書上的互動，如何影響動態牆上的貼文，臉書將會提供為什麼出現這則貼文的原因，像是這篇貼文是來自用戶的朋友、已加入的社團或是用戶追蹤的粉絲專頁等，也會提供什麼樣的資訊對動態牆貼文順序影響最大，包含用戶與貼文的互動頻率、與特定類型貼文互動的頻率和貼文的受歡迎程度等。</p> <p>用戶查看貼文顯示的相關訊息後，臉書也提供用戶管理動態牆貼文的方式，像是優先觀看、取消追蹤、動態牆喜好、隱私權設定等，來協助用戶制定屬於自己的動態牆。</p> <p>除此之外，臉書也在改善「我為什麼會看到這則廣告」的工具，這項工具在2014年首次推出，協助用戶了解自己所看見的廣告，這兩項工具將能夠讓用戶在自己的動態牆上，直接點選貼文或是廣告，查看這些內容為何出現在動態牆上的資訊，並進一步自行更改動態牆的內容。</p> </div></div></div>
2019/4/3 10:17作者何維涓https://www.ithome.com.tw/news/129738
【iThome 企業資安大調查】去年企業資安災情多嚴重？多久時間才能復原？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p33-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <div class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-1.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-2.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-3.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P33-600-4.png" style="width: 600px;" /></div> </div> </div></div></div>
2019/4/3 09:00未署名https://www.ithome.com.tw/article/129718
AWS推出預配置的深度學習容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aws.amazon.com/tw/blogs/aws/new-aws-deep-learning-containers/">AWS現在提供使用者預先配置的深度學習容器（Deep Learning Containers）</a>，使用者可以將預先訓練的模型，放置在ECS（Elastic Container Service）上，以在新的深度學習容器進行推理，使用者可以使用官方預先配置的映像檔，並根據需求自定義。</p> <p>AWS提到，不少使用者早已經使用Amazon EKS與ECS，在雲端部署TensorFlow工作負載，而現在AWS讓這項工作更加簡單，最佳化映像檔提供各種預設環境容器簡化環境設置的工作，以縮短訓練時間並提升推理效能。</p> <p>這些不同的深度學習容器，其命名基於使用不同的框架、環境以及硬體，使用者在框架有TensorFlow或MXNet兩種選擇，以執行模型訓練或是推理任務，工作負載可以在CPU或是GPU上運作，Python的版本有2.7或3.6可供選擇使用，使用者也可以選擇採用分散式訓練框架Horovod，並Ubuntu 16.04上執行。</p> <p>官方提到，這些映像檔都經過預先配置與驗證，因此使用者可以在數分鐘內完成客製化設定，開始在Amazon ECS和Amazon EC2上開始執行深度學習任務，這些映像檔免費釋出，可以在AWS Marketplace和Elastic Container Registry中找到這些映像檔，使用者可以直接使用官方提供的版本，或是根據需求選用其他函式庫或加入額外的套件。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129753
Linux發行版Ubuntu MATE開始支援樹莓派
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ubuntu-mate.org/blog/ubuntu-mate-bionic-beta1-raspberry-pi/">基於Ubuntu Bionic Beaver版本的Ubuntu MATE 18.04，釋出支援樹莓派版本測試版</a>，官方推薦在樹莓派3 Model B+模型上執行，樹莓派2 Model B和樹莓派3 Model B也沒問題，但其他較低階版本會因為記憶體不足而無法運作。</p> <p>Ubuntu MATE是Ubuntu的官方衍生版本，其與Ubuntu最大的不同，在於使用MATE桌面作為預設的使用者介面，Ubuntu使用的是GNOME 3，而MATE桌面則是GNOME 2的分岔。由於Ubuntu MATE的低硬體需求，因此無論是現代工作站或是單板電腦，甚至是較舊的機器都能適用。</p> <p>官方也釋出支援ARMv7 32位元的armhf以及ARMv8 64位元的arm64兩個獨立映像檔，官方提到，這個版本為樹莓派最佳化，以不犧牲個人電腦版本的功能為前提，盡可能提供完整的桌面環境。一般使用者可以用來執行日常的桌面應用，而裝置製造商也可以用來開發基於ARMv7或ARMv8的物聯網裝置雛型，當應用不需要視窗系統，使用者也可以停用X11顯示伺服器。</p> <p>Ubuntu MATE 18.04版本強化了樹莓派啟動時的效能，在初始第一次啟動設置完成之後，往後的啟動時間都約在3秒鐘左右，官方為樹莓派上的多媒體處理器VideoCore IV，更新了EGL/GLES/OpenVG函式庫，另外，官方還強化了對armhf架構的支援，為VLC和ffmpeg影音應用提供硬體加速。</p> <p>在硬體支援上，官方推薦以樹莓派3 Model B+進行安裝，雖然樹莓派3 Model A+也能夠執行Ubuntu MATE 18.04，但是效果並不好，通常第一次啟動會因為記憶體不足而失敗，使用者可以嘗試將安裝作業系統的記憶卡，先在其他樹莓派硬體啟動，則之後可以在樹莓派3 Model A+上運作。至於其他的模組的樹莓派，都會因為記憶體不足而無法順利執行Ubuntu MATE。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129755
Amazon Redshift現提供並行擴展功能，數秒就能提升叢集處理查詢的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS的資料倉儲服務<a href="https://aws.amazon.com/tw/blogs/aws/new-concurrency-scaling-for-amazon-redshift-peak-performance-at-all-times/" target="_blank">Redshift提供並行擴展服務</a>，能以數秒的時間擴展處理能力，應付數百個並行查詢，不需要預熱或是預先配置運算支援，按需以秒計費。</p> <p>AWS提到，過去在應付Redshift的高負載查詢有兩種手段，超額配置（Overprovisioning）以及對典型工作負載進行叢集最佳化。超額配置是事先配置超過需求的運算資源，以滿足高峰需求，雖然可以解決高負載的問題，但是卻浪費資源與成本，而針對典型工作最佳化叢集，強迫使用者在高峰時期等待，但這可能會拖延重要的業務決策。</p> <p>而現在AWS為Redshift使用者提供另一種選項，根據查詢的需求配置處理能力，即便Redshift瞬間需要處理數百個並行查詢，並行擴展也能快速為這些查詢提供一致的處理效能。並行擴展不需要預熱，也不用預先配置，使用者可以在需要的時候啟用，並在非高峰時期移除額外的處理能力。</p> <p>使用者可以將新增額外的計算能力，指定給特定用戶或是佇列，並繼續使用現有的BI以及ETL應用程式，並行擴展適合用於處理唯讀查詢任務。並行擴展收費方式按秒計費，並且每累積24小時，主叢集還需要多支付一小時的並行擴展信用點。</p> </div></div></div>
2019/4/3 09:00作者李建興https://www.ithome.com.tw/news/129757
Fintech周報第93期：不只政府機關，金融業也要攜手臺網公司推線上身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">03/30-04/05</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動身分識別 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">不只政府機關，金融業也要攜手臺網公司推線上身分驗證</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">證交所旗下臺灣網路認證公司（臺網公司）的TWID身分識別中心，去年與五大電信商簽約，推動Mobile ID（MID）行動身分識別服務，讓用戶憑手機門號，就能通過實名身分驗證。臺網公司近期開始要與金融業合作，在一場「行動身分識別研討會」活動中，包括玉山銀行、台新銀行、新光人壽、遠東商銀，都表示將與臺網公司合作，研擬導入行動身分驗證機制，打造多元數位金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">新光人壽廖晨旭資深協理表示，將與臺網公司合作應用，新光人壽的保戶可以透過MID線上驗證身分，成為新光人壽網路會員，進行個人聯絡資料修改、保單內容變更、保單借款及線上理賠申請等網路服務。台新銀行數位金融處副總經理包國儀也表示，台新數位銀行Richart也將與臺網合作，研擬數位金融服務。而行動身分識別服務，目前已有健保署及關務署正式採用，且都是應用在App用戶身分認證。健保署的應用是全民健保快易通（健康存摺），而關務署的應用是進口快遞包裹實名認證（EZ Way）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CIO</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行籌備處CIO甫上任，由前91APP資深副總周旺暾擔綱</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%2015_%E6%B4%BB%E5%8B%95%E5%AE%A3%E5%82%B3%E4%BD%BF%E7%94%A8_%E5%91%A8%E6%97%BA%E6%9A%BE_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_20190401_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行籌備處資訊長兼技術長，在4月1日正式上任，是由前91APP資深副總周旺暾，擔起將來銀行的IT建置。周旺暾擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。他在2004年進入微軟，一待將近13年，負責微軟雲端與資安等產品線的事業發展。2017年，周旺暾接任91APP人資長，更在隔年5月接手91APP拓張海外市場的事務，擔任資深副總經理。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行CIO兼CTO這個位子，需要擁有網路技術，又能結合網路商業思維的人來協助，而周旺暾過去的豐富資歷，成就了這職位的不二人選，也正是將來銀行籌備處多次力邀的原因。周旺暾提到，將來銀行籌備處在重新打造一家純網銀時的思維，其實是以網路的思維出發，而不是傳統的銀行思維。他解釋，銀行的概念不會消失，而是回到本質，可以在各種消費場景，即時提供各種金融服務給消費者。「我們不是要做銀行，而是要做金融服務。」他強調。<strong><a href="https://www.ithome.com.tw/news/129735">（更多內容...）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 北富銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 一鍵調額 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">北富銀日本旅遊信用卡推出一鍵調額新服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87.jpg" /></span></strong></p> <p><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行與國際發卡組織JCB合作，推出的日本旅遊J卡，在3月29日開通一鍵調額功能。北富銀表示，J卡卡友只要綁定北富銀LINE官方帳號好友，點開一鍵調額功能，北富銀內部風險評核系統，就會自動核算出該卡可調高的額度上限，此時卡友可在此限額內選擇所需調高的額度，且能立刻生效，最多可持續60天。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">北富銀總經理程耀輝表示，相較於過往卡友出國旅遊，消費時發現信用卡額度不足，需要打電話回國，並等待審核確認的流程。一鍵調額的風險核算機制，是憑藉長期穩定審慎的風控經驗、新上線額度管理系統，以及大數據運算的結合運用，並對250多萬卡友進行持續的信用追蹤分析，才有辦法在安全穩定的前提下，即時提供調額空間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE Bank </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黃以孟 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">LINE喊出LINE Bank要成為臺灣金融獨角獸</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_LINE%20Bank%E9%BB%83%E4%BB%A5%E5%AD%9F_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處執行長黃以孟，首度公開分享LINE Bank在臺發展願景，那就是打造臺灣第一隻本土金融獨角獸。他也提出了純網銀的未來樣貌，LINE Bank希望打造一個金融平臺，透過Open API與所有銀行對接，讓用戶一次掌握所有存款、消費金融、保險、基金投資等整合服務。黃以孟也提到，LINE Bank計畫打造個人信用分數，為信用記錄較不足的年輕族群，建立個人信用評級，而LINE Bank會主動去邀請用戶建立個人信用評級。且這些創新服務，也將與LINE平臺深度結合。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處也持續擴編臺灣團隊，需要科技、金融、資安、AI、大數據等人才。黃以孟指出，LINE Bank在人員的配置上，光是IT人員就會占總人數的一半以上。而針對初期的產品規畫，他也表示，會從簡單的金融產品如存款、個人信貸、銀行存放匯等開始做。而資安對純網銀很重要，所以，LINE Bank會導入日、韓總部資安防衛的能力和資源，藉此培養、訓練臺灣人才。他也宣布，若順利拿到純網銀執照，將會在銀行端成立人工智慧實驗室（AI Lab）。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 凱基銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI預測模型 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">凱基銀揭露開發AI預測模型的POC成果，下一步將商轉進而複製到開發金旗下子公司</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E5%91%A8%E9%83%AD%E5%82%91_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" style="font-size: 14pt;" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行、臺灣微軟與政治大學金融科技中心合作開發的「AI預測模型」，揭露了最新POC成果。在此次三方的合作下，他們發現小規模POC後的AI建模，成效可達人工建模標準，且AI建模所要花費的時間與人力，還可減少3分之2，而凱基銀行也認為，這表示AI演算法能突破人力處理資料量與複雜度的限制，增進預測模型的發展效率與準確度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行創新科技金融處資深副總經理周郭傑表示，他們在發展AI的戰略，是採用小規模POC，再來是商轉，進而大規模複製等三個步驟，要運用AI技術串連起價值鏈。此次POC所展現的成果，讓凱基銀要展開AI建模的商轉運用，比如說利用AI建構信用評分模型，辨識出哪些客戶是從未與銀行往來的信用小白，並進一步評估個別信用小白客戶合適的貸款額度。待商轉成功，凱基銀就要開始大規模複製，推進開發金控旗下的子公司，形成創新文化生態體系。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ATM </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 攻擊 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">研究：大多數ATM只要不到20分鐘就能攻陷</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">俄羅斯的漏洞安全解決方案供應商Positive Technologies近期公布一研究報告，該公司檢驗了市場上前三大ATM品牌—NCR、Diebold Nixdorf與GRGBanking，發現絕大多數的ATM（Automated Teller Machine，自動櫃員機）都能在20分鐘內，利用各種安全漏洞加以攻陷。Positive測試了上述三大品牌的10款ATM在不同配置下的安全性，總計測試了26臺ATM，發現有85％的ATM禁不起網路攻擊，69％的ATM可能遭受黑盒子（Black Box）攻擊，76％可被操縱以退出自助終端模式（kiosk）以便於作業系統上執行攻擊命令，還有92％的ATM允許駭客直接存取硬碟，另有42％可竄改開機模式，且所有的ATM都能被用來竊取金融卡資訊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安聯人壽 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">安聯人壽今年將全面發展數位化，兩大目標是業務流程再造與內部流程自動化工程</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">安聯人壽宣布2019年的數位化業務發展，一是未來營運轉型計畫與業務流程再造，安聯已開發了多項數位化工具，未來會加碼將金融科技全面應用到銷售系統上，另外也將計畫再次升級客戶服務。二是自動化工程，安聯人壽將著重於內部流程的自動化與優化，希望從後端開始改造，提供保戶更好體驗。安聯人壽營運長陳俊宏表示，安聯規畫將AI結合機器人流程自動化RPA，目前內部已開始進行POC，先測試在內部作業，如核保流程、理賠流程、反洗錢（AML）作業上，是否能否結合AI和RPA來提升自動化效果。他進一步揭露，DevOps將是安聯人壽今年一大重點，他們將透過安聯集團開發的標準，來建置敏捷式開發平臺，要運用DevOps相關工具與方法論，進行導入來提升開發與維運的效率，而總部也會派人來臺灣安聯，協助建置這個敏捷式開發平臺。安聯人壽過去自行開發了核心系統，當初設計時也保留很多彈性設計，更成了現在安聯數位轉型的重要基石。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="vertical-align: top; font-size: 14pt;">攝影／</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">洪政偉、</span><span style="vertical-align: top; font-size: 14pt;">李靜宜</span><span style="vertical-align: top; font-size: 18.6667px;">；</span>臺灣網路認證公司、台北富邦銀行<br /><span style="vertical-align: top; font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>超商龍頭7-ELEVEN加入台灣Pay通路，全臺四大超商通路共超過1萬個據點都能以掃碼方式完成支付</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2.</strong></strong></strong><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;"> </strong></strong></strong><strong>想成功擁抱區塊鏈得先衡量自己的數位成熟度，瑞典政府有方法能讓企業自評</strong><br /><strong style="font-size: 14pt; vertical-align: top;">3. </strong><strong>新款Android木馬程式Gustuff鎖定金融程式與加密貨幣程式</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年4月</strong></strong></strong></p> </div></div></div>
2019/4/2 19:12作者李靜宜https://www.ithome.com.tw/news/129758
【臺灣資安大會直擊】國際工控資安發展聚焦5大面向，臺灣7月將建立自來水處理測試平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年IT領域的資安的威脅正衝擊OT領域，不只是影響高科技製造業的自動化產線，也危急國家關鍵基礎設施，一旦運作中斷，必定帶來的極大影響。而工控的資安議題，也成為近年政府、產業，以及企業與民眾都會關心的議題。</p> <p>在上週舉行的臺灣資安大會，資策會資安科技研究所所長毛敬豪，也針對工控資安的議題，說明了國內外對此的關注焦點與現況，以及他們資安所的發展目標，同時也強調在國際上被廣泛採納的工控系統標準IEC 62443之重要性。</p> <p>為了點出臺灣在工控安全的重要性，毛敬豪談到臺灣產業結構，並以臺灣製造業對我國出口的衝擊面向來說明。例如，根據財政部統計處資料，2015年的臺灣總出口值達3,360億美元，其中電機電子業的出口值，佔了超過一半以上的比例，達1,741億美元。此外，臺灣工業總產值為4,603億美元，電機電子相關上下游產業的產值，也是超過一半。</p> <p>而且，近年臺灣政府為協助產業轉型，智慧製造也成為積極推動的項目。對於智慧製造的資安議題，毛敬豪提到了3個現況，像是製造業資安認知較弱，大多不知道為何或如何導入；其次，臺灣是ICT產品生產大國，但產品多未具備資安功能，也未符合國際標準規範；第三，資安業者在企業資安解決方案完整，但缺乏支援工控環境，需要跨領域更新發展。</p> <p>因此，在國內的工控資安推動上，毛敬豪指出，需要從人才、制度與技術這三大面向來推動。例如，提升工控業者資安意識、培養工控資安專業能力，還要制訂工控合規基準與協助導入，以及強化OT業者產品競爭力，與吋近資安業者發展工控資安解決方案。而要做到這些項目，還有一個重要的關鍵就是──工控實驗場域。</p> <p>「做工控安全的最大問題，也是第一個問題，就是沒有場域。」毛敬豪指出。這幾年，政府對於關鍵基礎設施的安全已經有所動作，舉例來說，前兩年資策會與工業局推動開放關鍵基礎設施場域，不僅協調水、電、油廠，並與資安業者合作到實際場域測試，以協助國內業者累積產品與技術研發經驗。</p> <p>而在開放實驗場域之外，國際上也有建構工控資安測試平臺（Testbed）實驗場域的案例。毛敬豪舉例，像是美國規畫了國家SCADA測試平臺（NSTB），是大型的室外實驗場域，由美國能源部旗下單位負責規畫與監督。在鄰近的亞洲地區，新加坡設計大學（SUTD）也設有小型的室內實驗場域，而日本也有設立日本控制系統安全中心（CSSC）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238825_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 305px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/R0238826_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 285px;" /></p> <blockquote><p>關於國際上的工業控制資安測試場域規畫，目前美國、新加坡與日本都有可借鑒的案例。</p> </blockquote> <p>對此，毛敬豪揭露的今年的新目標，就是執行工控實驗場域計畫。預計將在今年7月，與日本CSSC共同合作，建立一個化工水位串級控制流程的測試平臺。</p> <p>然而，為何臺灣要打造這樣的模擬測試場域呢？毛敬豪說明，主要有兩大目標，首先，希望國內資安廠商可以在這樣的場域上做產品的萃煉，其次是要藉由這樣的環境來做教育訓練。以幫助國內製造業認識可能的風險，或是進行攻防演練。</p> <p>關於教育訓練的方向，他也進一步解釋，訓練對象將分別OT人員與高階主管。舉例來說，要讓OT的人員來瞭解威脅與資安的概念，而目前規畫了兩個攻擊場景，分別惡意命令注入關閉制水閥開關，以及偽冒監看數據回應，以認識如何滲透測試與修補；另一則是針對高階主管的教育，讓經營管理要懂得資安風險。</p> <p>毛敬豪指出，要能提供一個工控資安場域讓大家都能使用，Testbed扮演著重要的角色。而Testbed的建立也應與自身實際需求相關，目前他們以水力設施為主，將模擬水處理上下游3道液位控制，建置大型儲水槽、可變控制水閥、緊急洩水出水口、液位傳感器與揚程馬達等，相關規格也已經開出，將搭配Emerson Delta V DCS控制系統，以及人機介面、PLC程式設計與情境變因控制等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238830_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>對於工控資安的議題，在臺灣資安大會現場，毛敬豪也對外揭露他們最新的計畫，預計將在7月打造一個工控實驗場域，建置化工水位串級控制流程Test bed，而目前相關規格也都已經開出，當中並將包含兩項演訓情境。</p> </blockquote> <p>若從國際工控資安發展趨勢來看，毛敬豪整理了美歐日的工控資安發展趨勢，並從5大面向加以分析，包括人才培育、標準導入與合規、風險評估服務、IEC 62443認驗證輔導，以及工控資安產品與場域。這也將是，臺灣在工控資安發展上可借鑒之處。</p> <p>在國際上，毛敬豪指出，以人才培育與工控資安產品與場域方面而言，例如，美、日兩國都有Test bed與演訓上的規畫，也有工業控制系統原廠，而場域上則有美國的NSTB與日本的CSSC。而就臺灣來看，目前這兩個面向，是正要推動發展的一塊。</p> <p>至於其他方面，在標準導入與合規上，毛敬豪表示，在制度上，美、歐（德）、日等國均認可並採用IEC 61508、IEC 62443等國際標準；讚風險評估服務上，美國發展較為完備，已有風險評鑑與標準認驗證，他們看到日本最近有NEC正在推展；至於IEC 62443認驗證的輔導的檢測認證機構方面，在美國有ISASecure、Exida，德國有TUV Nord與TUV Sud，日本有CSSC。而目前臺灣在此三個面向的發展較缺乏，將是未來需關注的部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0238827_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <blockquote><p>針對國際主要國家的工控資安發展趨勢進行比較，<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">毛敬豪表示，</span>臺灣目前正堆動人才培育與工控資安產品與場域這兩大方面。</p> </blockquote> <p>對於工控資安的安全標準方面，毛敬豪特別強調IEC 62443工業控制安全標準的重要性，該標準提供了OT良好的工程管理指南，當中並分為四大部分，分別是一般性、政策和程序、系統與部件。對於資安需求等級高的高科技、大型製造業，應該要關注。他並提醒，工控資安不能只有ISO 27001，他指出，包括ISO 27001、NIST Cybersecurity框架，都是以風險管理的導入來看資安的問題，但這兩個框架用在工控裡面會有許多挑戰。不過，對於難以投入資安的小型製造業者而言，仍有一定的幫助。</p> <p>此外，對於IEC 62443符合性驗證，毛敬豪也補充說明，例如美國ISASecure認證是基於IEC 62443標準開發的合規性認證，當中包含了三大類，分別是嵌入設備安全保證、系統安全保證與安全開發生命周期保證。較特別的是，他們看到日本在這項國際技術標準的推動，已將ISASecure認驗證體系移植到日本，讓日本當地就可以對國內廠商產品做驗證，而不用送到國外。</p> <p>而為了幫助國內業者，因此，他們未來也將計畫推動臺灣的ISASecure認驗證，讓國內業者能以中文申請並在臺進行驗證。</p> <p>另外，他也提到IEC 62443與ICS網路安全生命週期的關連性，主要分為三大階段，分別是評估階段、執行階段與維護／維持階段。他也直言，近年很多工控資安解決方案都在提Security Monitoring，這是屬於維護／維持階段的部分，但企業組織該要注意的是，前面兩個階段做好了沒有。</p> <p>最後，對於工控資安的發展，毛敬豪也表示，工控資安也要建構生態系，整合像是產業及領域的專家、工控安全專業顧問、資安業者、學術機構、公協會與系統整合業者等，並希望推動垂直領域的技術整合。</p> </div></div></div>
2019/4/2 17:52作者羅正漢https://www.ithome.com.tw/news/129756
台灣大哥大拼轉型，新總座林之晨：終結電信市場零和競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">4月1日正式接任台灣大哥大總經理的林之晨，今天(4/2)首次和媒體公開座談，他提出了「超5G策略」，未來將帶領台灣大哥大轉型為科技公司，終結電信市場的零和競爭。</span></p> <p class="p1"><span class="s1">林之晨原為AppWorks之初創投董事長暨合夥人，先前擔任台灣大哥大獨立董事，今年1月台灣大哥大董事會通過，4月起由林之晨接任鄭俊卿，成為台灣大哥大新任總經理，41歲的他也成為國內最年輕的電信公司總經理。由於他過去沒有電信產業背景，更讓外界關注上任後，將為台灣大哥大這家國內前三大電信業者帶來什麼樣的新思維。</span></p> <p class="p1"><span class="s1">從創投圈跨入電信產業，他自嘲自己就像外星人，從一個星球(AppWorks)移民到另一個星球(台灣大哥大)，未來他將扮演指揮艇角色，希望能儘快整合這個星球的不同資源，和台灣大哥大這個無敵鐵金鋼完全合體。</span></p> <p class="p1"><span class="s1">對於今後的任務，他提出了「超5G策略」，但其中的5G並非指電信標準的5G，而是「Gift」、「Group」、「Grit」、「Green」和「GSEA」(Greater South East Asia)五個方面。</span></p> <p class="p1"><span class="s1">「Gift」部份意指天賦，善用台灣大哥大集團的大數據及700萬用戶基礎、800多家通路，結合創新能力積極轉型；「Group」則是要打群架，整合集團內的凱擘、momo，加上AppWorks的資源發揮綜效，「Grit」則是放眼未來10到15年，發展超5G生態，「Green」則指發展為愛台灣、人類及地球的永續企業為目標，最後，「GSEA」則是以台灣5G生態為基礎，向東南亞市場前進，以發展成為國際級企業為目標。</span></p> <p class="p2">他將「超5G策略」定位為中長期的轉型目標，未來將朝向數位、AI、IoT等產業前進，希望讓台灣大哥大的市值在10到15年，從120億美元成長至1000億美元。</p> <p class="p2">不過，林之晨表示，短期而言，他希望未來的幾年能夠先找出集團成長的第二個、第三個成長曲線，就他的觀察，他認為現在電商平臺momo已是集團成長的第二個曲線，將來將會找出第三個、第四個成長曲線。</p> <p class="p1"><strong><span class="s1">進入更大的數位市場，電信業者不再是競爭對手</span></strong></p> <p class="p1"><span class="s1">談到台灣大哥大的轉型目標，林之晨表示，過去的電信服務，電信商提供的是連線服務(connectivity)，投入大筆資金建設基礎網路，每個月向用戶收取連網的費用，他希望能帶領台灣大哥大從電信公司轉型為科技公司，跨入一個更大的戰場。</span></p> <p class="p1"><span class="s1">「過去我們和其他電信業者間的服務重疊性相當高，和競業間是零和關係，但在數位的領域中，台灣大哥大和其他電信不再是競爭對手，面對的可能是其他本土公司，或是更大的國際公司」，他也直言，在數位領域中，電信業者間不再是競爭關係，還要面對其他領域的對手，甚至電信業者可以成為夥伴，就像台灣大哥大和遠傳一起投資Line Bank，在金融科技的領域中可以成為夥伴。</span></p> <p class="p1"><span class="s1">他表示，台灣大哥大不想只是提供連線服務的角色，因為對用戶而言，未來吸引他們的可能不是連線服務，更多的是個人化的服務。透過大數據分析，找出用戶感興趣的服務，在對的時間提供用戶感興趣的服務。例如喜愛NBA美國職籃的球迷，透過5G提供球迷可觀看各種角度的賽事轉播服務，而對於喜歡流行時尚的用戶，提供他們國外時尚秀的內容。</span></p> <p class="p1"><span class="s1">儘管台灣大哥大跨入數位戰場，例如旗下的myVide服務可能面臨Netflix，甚至是和Line競爭，momo也身處在高度競爭的電商市場，但林之晨認為除了整合集團資源發揮綜效外，和其他異業的對手間也並非完全競爭關係，以Line為例，可能只有20%的服務重疊，其他80%的服務沒有競爭關係，就可能建立起合作關係。</span></p> <p class="p1"><span class="s1">雖然過去沒有電信產業的經歷，但他表示，自己在台灣大哥大擔任獨立董事已有半年多的時間，向同仁們學習電信產業相關的經驗，在電信公司採用SDN軟體定義網路等虛擬化的轉型過程中，他相信電信公司將會愈來愈像軟體公司，而自己所擁有的軟體產業經驗反而是一項優勢。</span></p> <p class="p1"><strong><span class="s1">藉創投資源加速台灣大哥大轉型</span></strong></p> <p class="p1"><span class="s1">由於林之晨本身也是之初創投的董事長，擔任台灣大哥大總經理後，理所當然，促成台灣大哥大和之初創投及其300多家新創公司的合作也是他的任務之一。藉由新創公司的協助，或許可以讓台灣大哥大注入創新的思維，加速轉型的發展。</span></p> <p class="p1"><span class="s1">林之晨表示，可以將台灣大哥大想成是1到100的加速器，而成立9年已有328家新創公司的AppWorks，透過台灣大哥大的資源、品牌、通路，每年可培養5家從1到100的公司，台灣大哥大扮演加速器的角色，也能從中找到第三或第四個成長曲線。</span></p> <p class="p1"><span class="s1">回歸電信市場近來關注的5G釋照議題，他建議5G可採共頻共網的政策，由於5G的建設成本是4G的3到5倍，站在資源的有效利用角度，國內電信市場是否需要投入許多資源建設兩條高鐵應該好好思考。而將來5G正式推出商業化服務，商業及工業應用是業者所寄望的，台灣大哥大也會運用AppWorks及新創公司的資源，鎖定企業客戶的垂直場域需求。</span></p> </div></div></div>
2019/4/2 17:55作者蘇文彬https://www.ithome.com.tw/news/129754
Cloudflare釋出使用WireGuard技術的VPN服務Warp，不只保護隱私還能加速連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路服務供應商Cloudflare宣布在其1.1.1.1行動裝置應用程式中，推出名為<a href="https://blog.cloudflare.com/1111-warp-better-vpn/">Warp的VPN服務</a>，該服務是建構在使用UDP協定的新型VPN技術WireGuard上，Cloudflare表示，Warp不只能夠保護用戶行動裝置的流量，還能加速網路連線並增加可靠性。即日起使用者可在1.1.1.1應用程式中申請加入Warp計畫。</p> <p>強調兼具速度以及隱私特性的公共DNS服務1.1.1.1，除了能提供DNS加密服務外，還能以極快的速度回應使用者的查詢，比目前思科、Google以及其他ISP業者提供的公共DNS服務都還要快。Cloudflare在2018年的11月，於Android與iOS平臺釋出1.1.1.1應用程式，讓使用者可以快速切換行動裝置的DNS設定。</p> <p>而現在使用者可以在1.1.1.1應用程式上，申請加入Cloudflare最新釋出的VPN服務Warp。Cloudflare提到，現在市面上的VPN服務存在許多問題，使用者安裝額外的應用程式，常獲得連線速度慢，而且還會增加裝置電量消耗的負面體驗，許多VPN服務更是打著保護使用者隱私的名義，卻背地收集使用者的資訊，販售定位廣告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Warp-On.png" style="width: 600px;" /></p> <p>Cloudflare在2017年併購Neumob，Warp服務整合了該公司的行動裝置最佳化技術，並使用為行動網路進行最佳化的WireGuard技術，Warp利用Cloudflare的全球網路，讓使用者在毫秒內就能連上網際網路，Cloudflare表示，經他們測試證實，Warp確實可以明顯地提高網際網路效能，而且使用者網路連接品質越差，Warp能提供越明顯的網路改善效果。</p> <p>Warp還能增加行動網路的可靠性，其使用的協定可以快速地讓服務從訊號中斷狀態恢復，能有效減輕使用者在搭乘電車等旅途歷經的訊號損失，藉此提升網路使用體驗。Cloudflare提到，Warp使用的WireGuard技術，不會大幅增加裝置耗電量，而且Warp還能透過重送（Retransmit）最小化手機無線訊號使用，避免手機位在多基地臺覆蓋的地點時，快速消耗裝置的電量。</p> <p>Cloudflare積極在WireGuard技術上耕耘，他們剛<a href="https://www.ithome.com.tw/news/129674">開源了一個BoringTun專案</a>，這是一個以程式語言Rust開發的WireGuard使用者空間實作，Cloudflare提到，WireGuard使用UDP協定，在行動網路上有良好的效能表現，雖不能保證封包傳送以及封包的順序，但是WireGuard目的只在安全的封裝IP封包，那簡單的UDP協定更適合。</p> <p>延續1.1.1.1隱私保護的優點，Cloudflare也對Warp服務做出承諾，他們保證不會將任何用戶可識別資料寫入磁碟，不會出售使用者瀏覽的資料，也不會以廣告資料定位使用者，使用者無論使用1.1.1.1還是Warp服務，都不需要提供姓名、電話或是電子郵件等個人資料，並由外部審計師定期監督Cloudflare履行承諾的狀況。</p> <p>Cloudflare在1.1.1.1應用程式提供免費的Warp服務，不過目前由於服務才剛開始，因此對外分階段釋出，使用者可以在1.1.1.1應用程式上排隊，當服務可用時應用程式會通知使用者，另外，他們也預計在未來推出Warp+高級服務。Cloudflare計畫為Warp服務加入Cloudflare Railgun壓縮傳輸服務、進階標頭壓縮、智慧型壅塞控制以及多重路徑路由等技術。</p> </div></div></div>
2019/4/2 15:59作者李建興https://www.ithome.com.tw/news/129751
Firefox、Edge也能用WebAuthn硬體金鑰登入Google服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/christiaanbrand/status/1111370795324837888" target="_blank">Google宣佈</a>Google帳號開始轉換到WebAuthn標準，讓Firefox及Edge瀏覽器環境下，也能使用業界標準的硬體式安全金鑰來登入Gmail、Google Drive或G Suite等服務。</p> <p>在此之前，如果你想用USB安全金鑰登入Google旗下服務，只能使用Chrome瀏覽器。這是因為Google使用的是較早期的U2F（Universal Second Factor）協定，但Mozilla Firefox、Microsoft Edge和蘋果Safari並不支援這項協定。<a href="https://www.ithome.com.tw/news/122350" target="_blank">一年前Google、微軟及Mozilla承諾瀏覽器將支援FIDO 2身份驗證規格</a>，Google也啟動從U2F轉向以FIDO 2為基礎WebAuthn的過程。Google表示即日起，已經有實體驗證金鑰的Google用戶，就可以透過Edge和Firefox登入。</p> <p>不過目前只有登入（login）這段完成支援轉換。<a href="https://twitter.com/christiaanbrand/status/1111430192596025347" target="_blank">Google身份與安全產品經理Christiaan Brand指出</a>金鑰註冊需要「花一段時間」來轉換。這意謂著如果用戶要在Google帳號下新增加金鑰，仍需要透過Chrome瀏覽器進行。不過即使如此，完成初次的註冊後，在外使用沒有Chrome 的公用電腦收發Gmail仍變得安全許多。</p> <p>在眾瀏覽器及網路服務的支援下，<a href="https://www.ithome.com.tw/news/129100" target="_blank">上個月W3C宣佈硬體安全驗證協定FIDO 2已成為正式的WebAuthn業界標準</a>，向無密碼登入的願景再進一步。</p> </div></div></div>
2019/4/2 15:35作者林妍溱https://www.ithome.com.tw/news/129752
AR‧VR雙周報第29期：Tobii釋出最新眼球追蹤開發套件，要讓XR結合眼球控制虛擬物件更容易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>03/16~03/29精選AR‧VR新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臉書 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><span style="font-size:22px;"><strong>臉書Oculus家族再添新成員！搭載位置追蹤技術的VR頭戴裝置Oculus Rift S登場</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E4%B8%BB%E5%9C%96%EF%BC%9AOculus%20Rift%20S.jpg" style="width: 600px; height: 338px;" /></p> <p>臉書近日在GDC 2019遊戲開發者大會上發布了最新款的Oculus頭戴裝置Rift S，更新了螢幕以及控制系統，針對螢幕改進了光學和顯示技術，Rift S的螢幕有更高的畫素密度，之前的版本Rift使用了雙PenTile OLED面板，解析度為2160×1200，而Rift S則是與Oculus Go一樣，搭配解析度為2560×1440的LCD面板，因此可以顯示更多圖像細節。另外Oculus Rift S改用Oculus Insight的Inside-out追蹤，如此便不用像前一代Rift還需要設置外部感測器，控制器也經過重新設計，能夠支援Inside-out追蹤，執行熟悉的動作包括抓取等姿勢。Oculus Rift S還加入了Passthrough+技術，可以提供真立體校正透視，幫助使用者設定Guardian邊界，而當使用者在虛擬世界走出了邊界，則Passthrough+會自動啟動，避免使用者碰到周邊物品。臉書官方預告Oculus Rift S將在2019年春天發布，售價為399美元。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">HP </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 混合實境頭戴裝置 </span></strong></span></p> <p><span style="font-size:22px;"><strong>HP新款4K超高畫質的MR頭戴裝置HP Reverb亮相，售價599美元起</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962%EF%BC%9A%E5%9C%962_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(16).jpg" style="width: 600px;" /></p> <p>在平價版Windows MR頭戴裝置推出2年多後，HP日前發布最新款Windows MR頭戴裝置HP Reverb，能夠提供多達4K超高畫質的影像細膩呈現，不過使用時還是需要額外搭配一臺性能強大的PC，並無法獨立操作。HP Reverb VR左右各配備一塊單眼解析度達2160×2160的2.8寸螢幕，並可提供多達114度可視角度，以及90Hz的畫面更新率。HP Reverb VR還具備6度空間自由度（6DoF）的位置追蹤功能，因此不需要設置外部感測器。並且還配備專屬頭戴式耳機與兩個前置攝影鏡頭，可以用來實現混合實境應用；另外，操作上同樣配有一組WindowsVR控制器。HP Reverb VR預計將於4月底上市，並推出兩個版本，其中Reverb消費者版售價599美元，專業版則是649美元。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">眼動追蹤 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> XR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>要讓AR／VR更容易結合眼球控制，瑞典眼動追蹤公司Tobii釋出最新眼動追蹤開發者套件</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963%EF%BC%9A%E5%9C%963_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(24).jpg" style="width: 600px; height: 333px;" /></p> <p>以提供眼球追蹤控制PC功能的瑞典眼動追蹤廠商Tobii，近日在GDC遊戲開發大會上，釋出一套眼動追縱開發者套件Tobii XR SDK，要讓開發者更容易利用它來開發結合眼動追蹤功能的XR（含AR或VR等）設備。Tobii表示，該套件及其相關的函式庫可以被使用在能支援眼動追蹤的頭戴式裝置上，並也提供新的沉浸式互動及功能，讓用戶可以通過雙眼凝視，操控虛擬環境來提升使用者體驗。Tobii還為開發人員提供了可用的程式範例、教學和調試工具，可經由Unity及Unreal等VR遊戲引擎平臺來取用。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Nvidia</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 伺服器 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>強化雲端AR與VR串流應用，Nvidia推出新款RTX刀鋒伺服器</strong></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%964%EF%BC%9A%E5%9C%964_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(23).jpg" style="width: 600px; height: 600px;" /></p> <p>Nvidia日前在自家GTC大會推出最新款RTX刀鋒伺服器，鎖定正是雲端AR、VR串流應用需求，要讓雲端遊戲業者或影音平臺商能利用它來開發各種結合雲端的沉浸式VR與AR內容應用。這臺RTX伺服器高度為8U，每個刀鋒共可裝入40片圖靈GPU卡，並且最多可以串連多達32個刀鋒，總共可以容納高達1,280片GPU卡。Nvidia官方表示，該伺服器內建許多優化軟體堆疊，包括Optix RTX影像渲染、AR/VR、遊戲與專業視覺應用等都有，甚至還可以利用光線追蹤技術來呈現更逼真的光線和陰影效果，並且也可結合未來5G高速網路，來提供電影般細膩的視覺特效。</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">HTC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR內容 </span></strong></span></strong></p> <p><strong><strong><span style="font-size:22px;"><strong>HTC將推線上VR內容訂閱服務Viveport Infinity，4月正式上線</strong></span></strong></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%965%EF%BC%9A%E5%9C%965_%20AR%E2%80%A7VR%E9%9B%99%E9%80%B1%E5%A0%B1(22).jpg" style="width: 600px; height: 314px;" /></p> <p>繼HTC在今年CES大展上發布全新線上VR內容訂閱服務Viveport Infinity後，該公司近日也宣布這項服務，將在4月2日正式上線，並將提供月費與年費兩種訂閱方案，讓使用者能以每月12.99美元（約臺幣419元）或每年99美元（約臺幣3,199元）價格，來使用Viveport平臺上超過600款VR軟體及遊戲。至於之前已經訂閱的用戶，也能以原價格續訂該服務，HTC表示，該項新服務也可做為跨機種與跨平臺的訂閱服務使用，不只適用HTC Vive頭戴裝置，也支援了臉書Oculus Rift裝置，或是搭載Vive Wave平臺的所有VR一體機裝置。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">AR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 阿里巴巴 </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>推動先進AR技術研究，阿里巴巴併購以色列AR新創Infinity AR</strong></span></strong></p> <p>阿里巴巴近日大舉收購以色列AR新創Infinity AR，未來該團隊將加入阿里巴巴達摩院在以色列成立的機器視覺實驗室，來做為推動先進AR技術研究。阿里巴巴自3年前開始與Infinity AR展開合作，相繼投入包括AR、AI與電腦視覺技術等相關研究，並也獲得優異成果，因為決定將Infinity AR納入該集團成為旗下一員。阿里巴巴以色列機器視覺實驗室負責人Lihi Zelnik-Manor表示，未來將借重Infinity AR在感測器融合、電腦視覺以及導航技術的經驗，持續探索新興基礎技術，包括AR、機器視覺與AI等。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">Sony </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>Sony：PSVR頭戴裝置全球已賣出420萬臺</strong></span></strong></p> <p> </p> <p>日本Sony近日公布最新Play Station VR（PSVR）頭戴裝置的全球銷量，截至今年3月3日，PSVR已經在全球賣出420萬臺。PSVR自2016年秋天開賣以來，不到1年全球銷量就達到100萬臺，去年8月，PSVR銷量更突破300萬臺，以及賣出及2千多萬套的VR遊戲。近來也傳出Sony趁勝追擊，今年將推出第二代PSVR頭戴裝置，拉開與競爭對手的市占差距，新款PSVR裝置除了性能獲得大幅提升外，也將搭配全新PlayStation Move控制器及採用新型感測器追蹤技術。不過，Sony官方並未證實。</p> <p><span style=" color:#ffffff;"><strong><span style="background-color:#3399ff;">高通 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> VR </span></strong></span></p> <p><strong><span style="font-size:22px;"><strong>跨入VR裝置市場，高通今年將推出首款無線VR頭戴裝置</strong></span></strong></p> <p>行動晶片大廠高通不只開發手機晶片，現在也要推出自己的VR頭戴裝置硬體，高通目前正在研發一個VR頭戴裝置，不需要有線，而是可無線連接PC來體驗VR內容。這個VR裝置的開發計畫，來自於高通的Boundless XR for PC專案。該硬體將採用高通的Snapdragon 845處理器，搭配802.11ad無線晶片組。根據該公司表示，這個VR裝置將在今年稍晚時候推出，將會在今年舊金山舉行的遊戲開發者大會上，會有相關應用成果展示。責任編輯／余至浩</p> <p><strong>圖片來源／HTC、Nvidia、Tobii、Oculus VR、HP</strong></p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多AR‧VR動態 </span></strong></span></strong></strong></p> <p><strong><strong>1.不再製作原創VR動畫，Google關閉VR電影工作室Spotlight Stories</strong></strong></p> <p><strong><strong>2.HTC最新款VR頭戴裝置Vive Focus Plus將在4月中上市，售價799美元</strong></strong></p> <p><strong><strong>3.聯想為旗下VR頭戴裝置Mirage Solo新增現實觀看功能</strong></strong></p> <p><strong><strong>4.HTC虛擬實境訂閱服務Viveport今年稍晚將能支援Windows VR頭戴裝置了</strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年03月</strong></strong></p> </div></div></div>
2019/4/2 14:03作者余至浩https://www.ithome.com.tw/news/129744
安全研究人員示範誤導特斯拉Model S駛入對向車道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉三月大降價令許多人心動，但是資安業界擔心電動及自駕車系統可能遭駭引發安全問題。上周有<a href="https://www.youtube.com/watch?v=6QSsKy0I9LE" target="_blank">安全研究人員示範</a>，即使不是駭入系統，也可以用其他方法操弄特斯拉的車子，像是誤導它駛入對向車道。</p> <p>中國<a href="https://www.dailymail.co.uk/sciencetech/article-3799158/Tesla-fixes-security-bugs-claims-Model-S-hack.html" target="_blank">騰訊安全科恩實驗室（Keen Lab）在2016年即曾以Tesla Model S示範</a>如何駭入車輛輔助駕駛系統Autopilot，從遠端控制顯示螢幕、開車門天窗、甚至車輛煞車系統。在<a href="https://keenlab.tencent.com/en/2019/03/29/Tencent-Keen-Security-Lab-Experimental-Security-Research-of-Tesla-Autopilot/" target="_blank">這次的示範中</a>將目標轉向Tesla Model S 的視覺辨識。</p> <p>Tesla Autopilot可以透過影像識別技術辨識下雨的天氣，必要時啟動雨刷。但科恩實驗室研究人員在一台安裝Autopilot的2018.6.1版Model S攝影機前，以一平面電視播放雨滴打在車窗的影片，真的讓車子誤以為下雨而啟動雨刷，<a href="https://keenlab.tencent.com/en/2019/03/29/Tencent-Keen-Security-Lab-Experimental-Security-Research-of-Tesla-Autopilot/" target="_blank">指出</a>以在實體世界變造產生的假影像，系統會被干擾而回覆「不適當」的結果，進而啟動雨刷。</p> <p>另一項實驗中，研究人員設計了假車道來證實Autopilot的「車道識別瑕疵」。由於Autopilot是根據車道上刻意設計的不明顯小正方塊來偵測車道線，研究人員在交叉路口的車道上貼上干擾貼紙，讓Autopilot誤以為是直行道路，這讓Model S過了路口後就駛上對向車道。</p> <p>此外，研究人員再次駭入Autopilot，成功以無線遊戲遙控器操控Model S方向盤轉向，甚至在Autopilot未啟動情況下也辦得到。</p> <p>研究人員將測試結果通知特斯拉。這家車廠回覆指出，雨刷測試的情境並非真實世界會有，也不是安全性的問題。且一旦自動雨刷或道路辨識真的出問題，駕駛人都可以使用方向盤和煞車，輕易取代Autopilot。至於第三種情境，特斯拉公司表示漏洞早已在2017年以後的Autopilot版本修補。</p> </div></div></div>
2019/4/2 14:55作者林妍溱https://www.ithome.com.tw/news/129748
Google修補Android 11項重大及高風險安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2019-04-01#2019-04-01-details" target="_blank">Google發佈安全公告</a>，修補了包括2項遠端程式碼執行（remote code execution, RCE）等在內11項高風險與重大漏洞。</p> <p>Google 4月1日發佈的安全修補程式中，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2027" target="_blank">CVE-2019-2027</a>及<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2028" target="_blank"> CVE-2019-2028</a>的漏洞位於Android 媒體框架（Media framework），可讓攻擊者傳送變造過的檔案，進而在有權限情況下從遠端執行任意程式碼，被Google 研究人員列為重大風險等級。</p> <p>Google團隊另外還修補了9項高（High）風險漏洞，包括6項權限升級（elevation of privilege）漏洞。其中CVE-2019-2026位於Android框架，其他5項（CVE-2019-2030、CVE-2019-2031、CVE-2019-2033、CVE-2019-2034及CVE-2019-2035）位於作業系統中，可在讓裝置端的攻擊者不需使用者互動而取得更高權限。此外作業系統核心還包括3項可導致資訊洩露的漏洞：CVE-2019-2038、CVE-2019-2039、CVE-2019-2040，皆被列為高風險。</p> <p>除了少數漏洞外，大部份漏洞影響包括Android 7.0（7.1.1、7.1.2）、8.0/ 8.1及9等版本。所幸Google表示尚未接獲有開採或濫用上述漏洞的受害通報。</p> <p>主要Android廠商已在至少一個月前就獲得通報，包括Google Pixel和Nexus裝置、Samsung、Sony、LG、HTC、Nokia等品牌手機用戶，理應近日會接到更新通知，Google也會在48小時內，將修補程式釋出給Android開源碼專案（Android Open Source Project, AOSP）資料庫。</p> <p>此外，Google並預計在4月5日發佈第二波安全修補程式，修補作業系統中1項遠端程式碼執行（RCE）漏洞，以及2項權限升級與1項資訊洩露漏洞。4月5日的修補更新則可解決上述所有漏洞。</p> </div></div></div>
2019/4/2 13:05作者林妍溱https://www.ithome.com.tw/news/129742
Fastly開源原生WebAssembly編譯器和Runtime專案Lucet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fastly.com/blog/announcing-lucet-fastly-native-webassembly-compiler-runtime">雲端服務供應商Fastly釋出Lucet開源專案</a>，這是原生的WebAssembly編譯器和Runtime，目的是要將WebAssembly帶出瀏覽器，在開發者的應用程式中，安全地執行不受信任的WebAssembly程式。</p> <p>WebAssembly是新一代網頁格式，為C、C++以及Rust等高階程式語言的編譯，提供可移植性的優點，開發者可以選擇將WebAssembly網頁應用程式，部署在客戶端或是伺服器端，而且由於WebAssembly是為堆疊機器設計的二元格式，能夠在廣泛的平臺中，以原生速度執行程式碼。</p> <p>看上WebAssembly省資源且高執行效率的優點，Fastly現在擴充其雲端平臺，支援執行WebAssembly程式的能力，讓使用者不再受限使用Fastly VCL（Varnish Configuration Language）腳本語言，而是能以更多元的程式語言，像是Rust、TypeScript、C和C++等程式語言開發程式。為此Fastly即將推出WebAssembly邊緣運算平臺Terrarium，而Lucet則是其背後的引擎。</p> <p>Lucet使用Mozilla的Cranelift程式碼產生器建構而成，Cranelift專案被用於Firefox的WebAssembly和JavaScript的JIT引擎中，而Lucet還支援最新的WebAssembly模組化標準系統介面<a href="https://ithome.com.tw/news/129649">WASI</a>，WASI則是個新的標準，能將核心功能，像是檔案系統、網路或是其他系統裝置安全地開放給WebAssembly程式。Mozilla要以WASI擴展WebAssembly的可移植性，使其不靠瀏覽器也能在多個平臺執行，Fastly提到，在Lucet支援WASI可以讓使用者在任何平臺執行WebAssembly程式，包括雲端、邊緣、瀏覽器、電腦或是智慧型手機。</p> <p>Lucet可以讓邊緣雲端以同一個程序，在不會影響安全性的情況下，執行數以萬計的WebAssembly程式。Lucet有兩個元件編譯器以及Runtime，編譯器可以將WebAssembly模組編譯成為原生程式碼，而Runtime則可以管理資源並捕捉Runtime錯誤，編譯器與Runtime協同合作能夠確保每個WebAssembly程式僅能存取自己的資源。</p> <p>Lucet可以在50微秒內，使用KB大小的記憶體實例化WebAssembly模組，Chromium的V8引擎則需要花費約5毫秒和MB大小的記憶體，才能建置JavaScript或WebAssembly程式實例。Fastly提到，Lucet是專為將WebAssembly轉為原生執行機器碼設計的AOT（Ahead-Of-Time）編譯，比起為瀏覽器引擎設計的JIT（Just-In-Time）編譯，在Runtime設計上更簡單，執行起來也更省資源。</p> </div></div></div>
2019/4/2 10:33作者李建興https://www.ithome.com.tw/news/129736
Gmail滿15週年，改善智慧寫信和新增發送信件排程功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>Gmail是Google最成功的產品之一，推出至今滿15週年，為了慶祝Gmail這15年的進展，<a href="https://cloud.google.com/blog/products/g-suite/15-years-and-counting-making-gmail-work-faster-and-smarter-for-businesses">Google又為Gmail新增了幾項新功能，來協助用戶更有效率地工作</a>，包含智慧寫信（Smart Compose）功能現在能夠適應用戶的寫作模式，還能根據郵件內容建議標題，此外，Google也新增寄信排程功能，用戶可以先完成信件並指定未來的寄送時間，Gmail會在指定時間發出郵件。</p> <p>Gmail從一開始內建1GB免費儲存空間的基本電子郵件服務，到現在加入了多項智慧功能，包含優先郵件、智慧標籤、自動垃圾郵件過濾、智慧寫信等，其中，Google指出，智慧寫信功能每周在網頁上，已經為用戶減少輸入超過10億個字元，現在，該功能可以適應用戶書寫問候語的方式，舉例來說，若用戶比較喜歡用Hey而不是Hi，智慧寫信會學習而該功能也已經支援Android系統，iOS系統也會在近期支援，目前智慧寫信功能也新增了對西班牙語、法語、義大利語和葡萄牙語的支援。</p> </div></div></div>
2019/4/2 10:39作者何維涓https://www.ithome.com.tw/news/129737
資安一周第36期：針對WinRAR漏洞的多種的攻擊手法相繼現身。新款Android木馬Gustuff鎖定金融與加密貨幣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0328-0403一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color:#B22222;"><strong>＃軟體安全　＃WinRAR</strong></span></h3> <h2><strong>針對WinRAR漏洞的多種的攻擊手法相繼現身，用戶可要小心</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Picture19_FireEye.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／FireEye</span></p> <p>今年2月曝光的WinRAR安全漏洞CVE-2018-20250，有越來越多資安業者相繼披露鎖定該漏洞的攻擊樣本。</p> <p>例如，最近FireEye發現的「Scan_Letter_of_Approval .rar」，是假冒美國社會工作教育協會（CSWE）申請許可，實則暗藏一個可與遠端伺服器交流的VBS後門程式。還有鎖定對象是以色列軍事產業的「SysAid-Documentation.rar」，它偽裝成來自IT服務管理軟體業者SysAid。在其他誘餌內容上，包括烏克蘭前任總統所發出的產官合作訊息，以及外洩帳密檔案等。</p> <p>研究人員警告，短期內之所以能看到如此五花八門的WinRAR漏洞攻擊樣本，除了因為WinRAR擁有5億的龐大用戶，也因WinRAR缺乏自動更新機制，再加上CVE-2018-20250非常容易開採，相信未來會有更多的駭客繼續利用該漏洞。因此，WinRAR用戶應儘速升級至5.70版。<a href="https://www.ithome.com.tw/news/129648"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Android行動安全　＃木馬程式</strong></span></h3> <h2><strong>新款Android木馬Gustuff橫行，鎖定金融與加密貨幣程式</strong></h2> <p>在3月28日，資安業者Group-IB揭露功能強大的Android金融木馬程式Gustuff。它的主要感染途徑，是藉由簡訊傳送惡意APK檔案連結予Android用戶，一旦Android用戶下載並安裝了Gustuff，它就能接收遠端伺服器的命令，傳送惡意簡訊給裝置上的聯絡人，擴大感染範圍。</p> <p>Gustuff將能顯示基於合法程式圖示的假通知，當使用者點選該通知時，可能會出現兩種結果，第一種是金融木馬最常見的竊取手法，跳出要求使用者輸入帳密的視窗，第二種則是開啟合法程式，然後在付款欄位自動填入支付資訊以進行非法轉帳。此外，Gustuff還能危及PayPal、Western Union、eBay、Walmart、Skype與WhatsApp等應用。除了竊取金融憑證或盜轉之外，亦可將受駭裝置上的簡訊、螢幕截圖或照片傳送到遠端伺服器。<a href="https://www.ithome.com.tw/news/129672"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃防毒軟體　＃數位簽章</strong></span></h3> <h2><strong>華碩緊急釋出ShadowHammer鎖定目標偵測工具，卻遭微軟誤判為惡意程式</strong></h2> <p>在3月26日，國外媒體Motherboard與卡巴斯基揭露ShadowHammer供應鏈攻擊事件，其中華碩軟體更新Live Upadte伺服器遭入侵。值得注意的是，國外資安研究人員GiuGiuseppe `N3mes1s`在推特上公布，華碩所釋出可自行檢查是否為攻擊鎖定的ASDT檢視工具，遭到微軟內建防護工具Windows Defender誤判為惡意程式。</p> <p>據資安研究專家指出，一般而言，所有的防毒公司都會把用來進行軟體發行簽章的數位憑證當做白名單的依據，但是，華碩遭到駭客入侵冒用的數位簽章並未註銷（revoke），也導致許多資安公司可能會誤判華碩釋出的偵測工具。<a href="https://www.ithome.com.tw/news/129613"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃2019企業企業大調查</strong></span></h3> <h2><strong>【iThome 企業資安大調查】</strong><strong>臺灣企業資安投資力道回穩，今年更聚焦網安和災難復原</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89913%20%E5%B0%81%E9%9D%A2-P29-600-4(1).png" style="width: 220px; float: right;" /></p> <p>根據最新iThome企業資安大調查結果，從資安投資規模來看，今年的資安投資成長率，從去年的73％暴漲，回穩到10.2％，而從產業來看，去年金融業和服務業的資安預算大增，甚至翻倍成長，今年則指有些微提高。</p> <p>但去年預算緊縮的醫療業，受到資安法上路的衝擊，開始對醫院有更多的資安要求和規範，醫療業今年的資安投資翻了3倍，居各產業之冠。此外，今年重視網路安全的企業更多了，甚至超越了IT基礎架構防護的排名，成了排名第一的資安重點。另一個今年崛起的投資重點是災難復原（DR），而今年也有8.6％的企業，準備要來提升董事會和CEO的資安意識，將資安意識的教育，拉高到高層。<a href="https://www.ithome.com.tw/article/129615"><span style="color:#A9A9A9;">更多內容</span></a><span style="color: rgb(169, 169, 169);">　相關報導：</span><a href="https://www.ithome.com.tw/article/129708">【iThome 企業資安大調查】企業今年資安投資重點為何？</a>　<a href="https://www.ithome.com.tw/article/129717">【iThome 企業資安大調查】今年資安人才有多搶手？</a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃連網汽車安全　＃漏洞獎勵競賽</strong></span></h3> <h2><strong>Pwn2Own：研究人員成功入侵Tesla Model 3</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%891000w_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90ZDI.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／ZDI</span></p> <p>今年的Pwn2Own駭客競賽首度新增了汽車類別，攻擊目標包括數據機、藍牙或Wi-Fi、車載資訊娛樂系統、自動駕駛系統、自動駕駛的服務阻斷與感應鑰匙等，獎金則從3.5萬美元到25萬美元不等。</p> <p>其中，Fluoroacetate團隊鎖定的是車載資訊娛樂系統，它採用的是基於Chromium的網路瀏覽器。該團隊經過幾分鐘的設定，利用瀏覽器描繪引擎的即時編譯（JIT）漏洞，成功於系統上顯示了自己的訊息，這讓該團隊抱走了3.5萬美元的獎金與一輛Tesla汽車。主辦單位ZDI表示，他們希望藉由Tesla的創舉能夠鼓勵更多與連網汽車有關的安全研究。<a href="https://www.ithome.com.tw/news/129607"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃技術支援詐騙</strong></span></h3> <h2><strong>以假掃描誘騙客戶購買服務，Office Depot及Support.com與FTC以3,500萬美元和解</strong></h2> <p>假冒的技術支援詐騙橫行之外，也有支援服務商以不實掃描結果來欺騙客戶的狀況。近期美國辦公零售業者Office Depot與技術支援服務供應商，在遭到檢舉及調查屬實後，雙方分別以2,500萬美元及1,000萬美元與美國聯邦交易委員會（FTC）和解。根據調查，兩家業者自2009年起，便以個人電腦健檢軟體PC Health Check替客戶改善電腦效能，同時掃描電腦上的安全威脅與惡意程式，然而，FTC卻發現，就算PC Health Check沒有偵測到惡意程式或威脅，也會僅依據軟體提問時的客戶回答，於偵測結果中顯示電腦受到感染，誘騙客戶購買技術支援服務。<a href="https://www.ithome.com.tw/news/129639"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃打擊假訊息　＃事實查核　＃公私協力</strong></span></h3> <h2><strong>LINE謠言查證官方帳號預計六月底上線，要聯手行政院、民間組織打擊假消息</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89converge2019photo005_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90LINE.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／LINE</span></p> <p>假消息的議題在近幾年迅速發酵，最近，LINE預計在六月底推出「LINE謠言查證」官方帳號，用戶只要將有疑慮的內容傳發至其中，就能進一步釐清消息的真偽。在這項服務中，也與多家業者及單位合作，例如台灣事實查核中心、Cofacts真的假的、MyGoPen，以及蘭姆酒吐司。</p> <p>除了開發官方帳號之外，LINE也要將查證內容定期發布在LINE Today的「謠言破解」專區，而此處未來也會用RSS feed介接行政院「政院即時澄清專區」的內容，讓行政院的澄清文同步在LINE Today上更新，民眾也能即時掌握官方對國內重大消息，例如國安、交通、災防、食安等方面的最新說法。<a href="https://www.ithome.com.tw/news/129633"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Jenkins漏洞　＃挖礦攻擊</strong></span></h3> <h2><strong>Jenkins漏洞公布後兩天即遭利用，並假冒漏洞發現者測試之名但實為攻擊</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89e8e60bc0ly4g1g5662dk0j20u00c7t8u%EF%B9%8D%E9%98%BF%E9%87%8C%E9%9B%B2%E5%AE%89%E5%85%A8%E5%BE%AE%E5%8D%9A.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／阿里雲安全</span></p> <p>在3月底，阿里雲安全在部落格公布透過Jenkins RCE漏洞進行攻擊的挖礦事件。值得注意的是，該Jenkins系列漏洞是由臺灣滲透測試專家Orange Tsai在今年1月中對外揭露。他是在去年5月30日通報Jenkins，而他們的團隊從去年6月15到今年1月8日，也陸續將此一系列漏洞修補完畢。</p> <p>根據阿里雲安全的說明，有攻擊者直接複製了攻擊發現者在部落格上公布的概念性驗證，且攻擊payload含有Orange.tw字樣，可能被誤認為是漏洞發現者在進行測試，因此他們將該木馬命名為ImposterMiner（冒充者）。更值得關注的是，由於木馬開始爆發與漏洞公開的時間相隔甚短，僅有兩天。他們提醒用戶，應即時升級Jenkins相關的各種軟體。<a href="https://www.weibo.com/ttarticle/p/show?id=2309404354092955750457#_0"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><strong><a href="https://www.ithome.com.tw/news/129669">英國檢查華為電信設備發現新風險，確認其軟體工程與網路安全品質有重大缺陷</a><br /><a href="https://www.ithome.com.tw/news/129602">因應新變種Mirai殭屍網路病毒攻擊來襲，合勤呼籲路由器用戶應儘速安裝最新韌體</a><br /><a href="https://www.ithome.com.tw/news/129541">降低網路攻擊或災損從事前防範做起，澳洲政府實施八大減緩策略</a><br /><a href="https://www.ithome.com.tw/news/129682">Google工程師揭露TP-Link路由器含有可執行任何命令的安全漏洞</a><br /><a href="https://www.ithome.com.tw/news/129726">甲骨文「通知」用戶付費取得Java 8安全修補程式，否則小心被駭</a><br /><a href="https://www.ithome.com.tw/news/129684">研究人員：HTTPS不如你想的安全，5.5%含有TLS漏洞</a><br /><a href="https://www.ithome.com.tw/news/129693">豐田汽車遭駭客集團鎖定？澳洲、日本、越南皆淪陷</a></strong></h4> </div></div></div>
2019/4/2 10:44作者羅正漢https://www.ithome.com.tw/news/129740
VS Code三月Python更新釋出，Live Share開始支援Python互動視窗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-march-2019-release/">微軟釋出VS Code最新Python擴充套件</a>，除了Live Share開始支援Python互動程式編輯功能之外，還強化了Python語言伺服器（Python Language Server ）以及Test Explorer功能。</p> <p>Python擴充套件的三月更新版本強化了Python互動視窗，將其加入Live Share協作對話支援中，讓開發者在協作的同時，仍可以探索並視覺化資料，微軟提到，無論是在程式碼審查或是與組員進行結對程式設計（Pair Programming），現在Live Share都能夠更全面的支援各種程式協作方法。</p> <p class="rtecenter"><img alt="" src="https://40jajy3iyl373v772m19fybm-wpengine.netdna-ssl.com/python/wp-content/uploads/sites/12/2019/03/liveshare_fullsize.gif" style="width: 600px;" /></p> <p>微軟在這版本，對去年暑假釋出的Python語言服務器進行了大幅度的更新，改進的部分包括效能、記憶體使用以及資訊顯示上，也開始支援相對路徑輸入以及內顯套件（Implicit Package），並能理解打字、泛型、PEP提示和註釋等。開發者將游標移到子表達式上，還會自動完成f-strings以及類型資訊。</p> <p>而在二月新增的Test Explorer，提供開發者快速檢視測試活動。在這個版本也獲得許多改進，包括多重根目錄工作空間、參數化測試，同時還新增了狀態圖標，狀態圖標可以讓開發者快速查看檔案和套件測試狀況，而不需要展開測試工作目錄。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Mar19-4-TestExplorer.png" style="width: 600px;" /></p> <p>另外，開發者終於可以從這個版本開始，使用Poetry套件管理器管理專案的相依檔案，微軟提到，這是開發者熱烈要求的功能。開發者只要安裝Poetry之後，並在設定中增加Poetry的路徑，當要安裝新的套件時，就能以提供的Poetry路徑來安裝。</p> <p class="rtecenter"><img alt="" src="https://40jajy3iyl373v772m19fybm-wpengine.netdna-ssl.com/python/wp-content/uploads/sites/12/2019/03/Mar19-3-PoetryYapfInstall.gif" style="width: 600px;" /></p> </div></div></div>
2019/4/2 10:47作者李建興https://www.ithome.com.tw/news/129739
微軟Surface Book 2小改版，搭第8代Intel 晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如業界猜測，<a href="https://www.microsoft.com/en-us/store/config/Surface-Book-2/8MCPZJJCC98C" target="_blank">微軟悄悄改版二合一筆電Surface Book 2，升級為第8代英特爾晶片</a>。</p> <p>新版Surface Book 2主要是13.5吋機種採用Intel 第8代4核心i5晶片，時脈最高達3.6GHz，搭配256 GB硬碟及8GB RAM，定價1,499美元，也可加價升級為第8代4核心i7晶片及512GB。此外，去年搭載第7代雙核Intel i5晶片的舊機種則降為1,299美元。</p> <p>新SurfaceBook 2除了升級版4核心Intel Core 處理器，其餘沒有太大變化，包括最高可達267 ppi螢幕解析度的Pixel Sense顯示器、nVidia GeForce GTX圖形卡及號稱長達17小時的電池續航力，適合吃重的商務作業或打遊戲。其他功能包括TPM 2.0安全晶片、500萬像素1080p HD前置相機，支援Windows Hello臉部辨識，並具備環境光感應器、近接感測器及加速計等。</p> <p>不過<a href="https://www.microsoft.com/zh-tw/surface/devices/surface-book-2/tech-specs" target="_blank">台灣微軟網頁</a>尚未更新。微軟預計在美國時間4月17日在紐約舉行活動，<a href="https://www.engadget.com/2019/04/01/microsoft-surface-book-2-refresh-intel-8th-generation/" target="_blank">媒體猜測</a>屆時也會揭露更多大尺寸商務平板Surface Hub 2的產品細節。</p> </div></div></div>
2019/4/2 10:48作者林妍溱https://www.ithome.com.tw/news/129741
【iThome 企業資安大調查】今年資安人才有多搶手？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p32-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> <div class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-1.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-2.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-3.png" style="width: 600px;" /></div> <div class="rtecenter"> </div> <div class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P32-600-4.png" style="width: 600px;" /></div> </div> </div></div></div>
2019/4/2 09:00未署名https://www.ithome.com.tw/article/129717
將來銀行籌備處CIO今天上任，由前91APP資深副總周旺暾一手打造IT新團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會開出2張純網銀執照，3家純網銀申請業者送件後，目前金管會正在審查階段，待6月將公布花落誰家，擁有開立純網銀的資格。然而，純網銀有別於一般銀行，在IT的布局又更為關鍵。</p> <p>將來銀行（Next Bank）籌備處資訊長在今天（4/1）正式上任，是由前91APP資深副總周旺暾，擔起將來銀行的IT建置。</p> <p>周旺暾畢業於交通大學應用數學系、臺灣大學資訊工程學系暨研究所，擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。</p> <p>周旺暾在2004年進入微軟，一待就是長達將近13年的時間，主要負責微軟雲端與資安等產品線的事業發展，而微軟雲端運算平臺Azure Platform，也是於他任內在臺推出。</p> <p>2017年，周旺暾接任91APP人資長，協助重新調整91APP的內部組織，並找尋一個更好的方式招募人才。周旺暾解釋，新創公司成長到一個程度，普遍會遇到組織越來越沒效率，可是又要有很快的速度往前走，所以必須重新調整。</p> <p>會從微軟這樣的跨國企業，回到新創領域擔任人資長，周旺暾坦言，當人資長是有原因的，企業其實知道臺灣擁有好的人才，但爭取人才的方式是花大錢搶來，他認為，爭取人才最好的辦法，是要在企業內部塑造好的文化與環境。</p> <p>不只人資長這角色，周旺暾在2018年5月接手了91APP拓張海外市場的事務，擔任資深副總經理，藉由他過去在微軟的跨國經驗，重新設定91APP在東南亞的海外市場策略與作法，直至今年3月。而4月的第1天，正式就任將來銀行籌備處資訊長。</p> <p>據周旺暾透露，去年12月將來銀行籌備處成立後，就開始有人透過各種管道打電話接觸他，但周旺暾當時拒絕了好幾次，一是認為加入純網銀不在他的計畫之中，更重要的是91APP還有很多路要走，所以他想要留在91APP繼續完成。</p> <p>但到了農曆年前，周旺暾親自與將來銀行籌備處的團隊見面詳聊，他發現將來銀行「萬事俱備，只欠東風。」而這東風，需要擁有網路技術，又能結合網路商業思維的人來協助，而周旺暾過去的豐富資歷，成就了這職位的不二人選，也正是將來銀行籌備處多次力邀的原因。</p> <p>周旺暾提到，將來銀行籌備處在重新打造一家純網銀時的思維，其實是以網路的思維出發，而不是傳統的銀行思維。他解釋，銀行的概念不會消失，而是回到本質，可以在各種消費場景，即時提供各種金融服務給消費者。「我們不是要做銀行，而是要做金融服務。」他強調。</p> <p>截至今年3月底，將來銀行籌備處總員工人數為34人，資訊部門人數共6人。周旺暾預計，待順利拿到純網銀執照，招募人才的目標將擴大到400到500人，而IT人才將會占總人數的7成，他表示。</p> </div></div></div>
2019/4/1 18:48作者李靜宜https://www.ithome.com.tw/news/129735
Android開源專案簡化冗餘應用程式，從音樂播放器、日曆和計算機先開刀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google為更聚焦Android開源專案（Android Open Source Project，AOSP）的目的，使專案中應用程式專注支援Android平臺功能，所以開始整理專案中的應用程式，目前已經清理完三個應用程式，除<a href="https://android-developers.googleblog.com/2019/03/aosp-application-updates.html">了簡化音樂播放器以及日曆的功能外，還將計算機應用程式從AOSP專案中刪除</a>。</p> <p>AOSP提供一系列可用的應用程式，除了可以為建構Android裝置的廠商提供一系列可用的應用程式外，也能夠當作Android開發人員的範本，提供建置應用程式的參考，另外，這些應用程式也可以成為平臺的一部分，讓其他應用程式透過API呼叫應用程式的功能。</p> <p>但Google提到，隨著Android生態系逐漸成熟，社群中無論是開源或是私有的替代實作都逐漸增加，這些應用程式不只提供開發者範例，通常也具備夠豐富而足以展示Android的功能，因此Google從去年底開始著手清理AOSP中的應用程式，將AOSP專案應用程式的目標，鎖定在成為平臺的一部分，提供其他Android應用程式可呼叫的功能。</p> <p>目前Google已經清理了三個應用程式，包括音樂播放器（下圖左）、日曆（下圖右）以及計算機。音樂播放器現在只提供一首音樂或是一個檔案的播放功能，並且對外公開作為android.media.browse.MediaBrowserService的意圖處理程序（Intent Handler），播放器仍然具備基本的播放控制功能，包括播放、暫停、向前以及向後等控制元件，但是音樂圖標、表演者、專輯、歌曲、播放列表、搜尋和設定的功能都被移除了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(10).png" style="width: 290px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(7).png" style="width: 310px;" /></p> <p>而AOSP日曆現在則為公開的日曆事件意圖處理程序，無法創建新事件，也不能編輯或是刪除既有事件，只提供日、週以及月的檢視圖，而多帳戶支援、提醒和設定功能都已經被刪除了，未來可能還會再簡化。計算機因為本身是一個獨立的應用程式，因此從ASOP專案中刪除，不過仍然會成為一個獨立的開源應用程式存在。</p> </div></div></div>
2019/4/1 17:05作者李建興https://www.ithome.com.tw/news/129722
思科遭爆RV320和RV325路由器安全補丁未修復漏洞，僅是避免有漏洞裝置被發現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科在一月時，針對企業級路由器RV320和RV325發出安全更新，以修補產品上的資訊洩漏以及遠端攻擊漏洞，但是現在卻被資安公司爆料，思科並沒有確實地修補漏洞，僅是封鎖特定工具，避免有漏洞的路由器被駭客發現，目前思科正想辦法再次修復。</p> <p>資安公司<a href="https://www.redteam-pentesting.de/en/home/-seeing-your-network-from-the-attackers-perspective">RedTeam Pentesting GmbH</a>在一月的時候，揭露了兩款受到ISP以及企業大量採用的思科WAN VPN路由器RV320和RV325存在兩個安全漏洞，分別是編號<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-rv-inject">CVE-2019-1652</a>的遠端攻擊漏洞，允許駭客不需要密碼認證，就能進行遠端注射並執行管理者命令，以及<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190123-rv-info">CVE-2019-1653</a>漏洞，讓遠端攻擊者不需要密碼，就可以獲取裝置敏感的配置細節資訊。</p> <p>這兩個漏洞被駭客積極的開採，已經有多個資安研究組織釋出概念驗證攻擊程式碼，展示如何使用這兩個臭蟲攻擊存在漏洞的路由器。<a href="https://badpackets.net/over-9000-cisco-rv320-rv325-routers-vulnerable-to-cve-2019-1653/">資安研究機構Bad Packets</a>在一月的時候，掃描網路上存在漏洞RV320和RV325的路由器，發現有6,247臺RV320路由器以及3,410臺RV325路由器存在漏洞，總共約有1萬臺裝置暴露於風險之中。</p> <p>雖然思科在一月底的時候完成這兩個漏洞的修補，但現在RedTeam Pentesting GmbH卻再次揭露，思科的安全補丁治標不治本，並沒有完全修復漏洞，駭客依然可以不經過網頁授權，對路由器進行命令注射、輸出配置以及擷取診斷資料。</p> <p>Bad Packets也在推特指出，RV320和RV325的路由器是在2018年9月發現的，思科經過4個月後在2019年1月釋出修復補丁，卻僅是將資料傳輸工具curl列入黑名單，防止攻擊者使用curl發現存在漏洞的路由器，而非從根本修復路由器存在的漏洞。</p> <div class="media_embed"> <blockquote class="twitter-tweet" data-lang="zh-tw" height="" width=""><p dir="ltr" lang="en" xml:lang="en">To note, the Cisco RV320/RV325 router vulnerabilities were discovered back in September 2018. Four months later a patch was issued that simply blacklisted curl. Cisco then has the gall to request postponement of <a href="https://twitter.com/RedTeamPT?ref_src=twsrc%5Etfw">@RedTeamPT</a>'s latest disclosure nearly two months after that. <a href="https://t.co/o2FqTsTebO">pic.twitter.com/o2FqTsTebO</a></p> <p>— Bad Packets Report (@bad_packets) <a href="https://twitter.com/bad_packets/status/1111023676609093632?ref_src=twsrc%5Etfw">2019年3月27日</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p>思科在其網站更新漏洞說明，表示當初的修復並不完整，目前他們正在積極的修補這個漏洞，當修復程式碼完成將會釋出更新，目前沒有任何方法可以修補這個漏洞。</p> </div></div></div>
2019/4/1 17:08作者李建興https://www.ithome.com.tw/news/129728
甲骨文「通知」用戶付費取得Java 8安全修補程式，否則小心被駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文已在今年初終止免費支援Java 8，不過該公司業務人員「善意提醒」企業用戶要付費取得安全修補程式的措辭，讓收件者感到不滿。</p> <p>經常舉辦抓漏大賽的HackOne創辦人Alex Rice日前<a href="https://twitter.com/senorarroz/status/1110255155763503111" target="_blank">接到一封來自甲骨文業務人員電子郵件</a>，「通知」他甲骨文第一次非公開的季度重大修補更新即將在4月16日釋出。任何跑Java版本 8以後的非甲骨文應用系統和伺服器，都必須要有授權才能持續獲得修補程式和更新，因此，若沒有授權就可能使其「伺服器和桌機環境曝險與遭受攻擊（expose and vulnerable）。」該業務員表示，希望確保企業用戶在這段過渡期間擁有足夠「資源和資訊」，若有需求可以和他連繫。</p> <p>其實<a href="https://www.oracle.com/technetwork/java/java-se-support-roadmap.html" target="_blank">去年11月甲骨文就已預告終止對舊式系統上Java標準版本(SE) 8的免費更新</a>，但仍有一段緩衝期間。其中個人用戶將至少支援到2020年12月，而企業則只到2019年1月。在此之後，<a href="https://www.oracle.com/technetwork/java/javase/terms/license/index.html" target="_blank">非甲骨文產品用戶若需Java 8修補程式，則須購買BCL（Binary Code License）授權</a>。甲骨文也將從今年4月開始，每季發佈一次重大修補程式。</p> <p>就像微軟宣布明年1月14日終止支援Windows 7後，<a href="https://www.ithome.com.tw/news/129295" target="_blank">企業客戶可付費購買支援</a>，甲骨文向企業用戶收費也無可厚非。但Rice說他與甲骨文從來沒有過生意往來，該公司從不使用Java，接到甲骨文的信已經很奇怪了，更讓他莫名其妙的是，甲骨文業務人員信中使用恐嚇語氣，好像不付錢企業就要小心被駭，他有種被勒索的感覺，讓人感受很不好。他後來寫信給甲骨文反映此事也沒有下文。</p> <p>BleepingComputer報導，甲骨文對此拒絕評論。 </p> </div></div></div>
2019/4/1 16:39作者林妍溱https://www.ithome.com.tw/news/129726
臉書曾想用鳥型無人機打造空中連網基地台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書的Free Basics或Internet.org專案多年來，想以無人機打造偏遠地區的連網基礎架構。<a href="https://www.ithome.com.tw/news/124166" target="_blank">Business Insider報導</a>，除了Aquila的高空太陽能動力無人機外，臉書也曾開發出一個鳥型無人機作為連網基地台，不過最後仍然以失敗收場。</p> <p>報導引述消息人士指出，這個計畫名為Catalina，典故來自加州外海的聖塔麗娜島（Santa Catalina Island）。島上人民於19世紀後半曾利用飛鴿傳書形式，以信鴿和美國本土互傳訊息。事實上，Catalina專案也是使用麻雀大小的鳥型固定翼式無人機，內部由大容量的固態硬碟組成，形成空中的「無人機網絡」。不過它的角色不像Aquila是為完全無網路的偏鄉地區提供寬頻網路，而是用來強化現有較原始的2G網路，以支援手機影音串流及其他較吃頻寬的傳輸作業。</p> <p>消息人士透露，Catalina專案始於2017年。臉書方面也證實這項專案，但表示一年前就已結束。<a href="https://www.ithome.com.tw/news/124166" target="_blank">去年6月臉書也宣佈終止開發Aquila無人機</a>，顯示兩者結束的時間可能很相近。</p> <p><a href="https://connectivity.fb.com/" target="_blank">臉書的FreeBasics專案</a>仍然持續進行其他計畫，包括和空中巴士合作通訊平台（High Altitude Platform Station，HAPS）、高速多節點無線網路技術Terragraph，以及<a href="https://www.ithome.com.tw/news/107014" target="_blank">低價無線上網基地台盒子OpenCellular</a>等。</p> </div></div></div>
2019/4/1 16:58作者林妍溱https://www.ithome.com.tw/news/129727
【iThome 企業資安大調查】企業今年資安投資重點為何？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/913_feng_mian_-p31-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div id="_idContainer056"> <p><span style="color: rgb(51, 153, 255);"><span style="font-size: 28px;"><strong>iThome 2019年資安大調查問卷執行說明</strong></span></span></p> </div> <div id="_idContainer136"> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，回收488份問卷，有效問卷數382份。其中有72.1％填答者是企業資安最高主管。</strong></span></p> </div> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-4.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/913%20%E5%B0%81%E9%9D%A2-P31-600-5.png" style="width: 600px;" /></p> <p class="rtecenter"> </p> </div></div></div>
2019/4/1 15:24未署名https://www.ithome.com.tw/article/129708
別讓系統更新成為資安亂源
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年的臺灣資安大會剛落幕，在3月25日，竟傳出<a href="https://www.ithome.com.tw/news/129612" target="_blank">個人電腦廠商華碩的軟體更新遭入侵的事件</a>，引發全球關注。</p> <p>這項攻擊行動是由資安廠商Kaspersky所發現，發生的時間是在2018年的6月到11月，而關鍵就在於，該公司的軟體更新公用工具ASUS Live Update Utility，已經遭到歹徒濫用。而根據Kaspersky的統計，總共有多達5.7萬名以上的用戶，已經下載與安裝藏有後門程式的ASUS Live Update Utility。</p> <p>而在這家資安廠商收集的200份以上的惡意程式樣本，他們觀察到裡面竟有一份寫死在程式碼當中的MAC位址清單，當中包含了600筆以上的不重複MAC位址（Media Access Control Address，也就是電腦使用的網路介面位址）。</p> <p>而有了這樣的資料，其實是可以辨識出對方想要針對的目標所在電腦。因為，每一筆MAC位址，就是一臺連網設備使用的網路介面位址，若有這樣的資料，再與所有網路流量的資料進行比對，我們是有機會找出電腦的網路連線位置、所在地區，甚至是身分。</p> <p>然而，就算是全世界最大的網路服務供應商，也不可能擁有全球網際網路的流量資料，因此，我們無從得知這6百多筆MAC位址的電腦到底在哪裡，目前只從MAC位址的前3碼所代表的網路介面製造商識別碼，來判斷它們的共通點，或是用戶自行查詢比對，確認自己是否為主要攻擊目標，但目前尚未看到有人公開表示這樣的狀態，所以並無法有進一步受害消息。</p> <p>根據中國資安研究團隊360威脅情報中心在推特揭露的消息，我們知道當中有268臺連網設備採用華碩自家的網路卡，占比為44.97％；用英特爾（Intel）網路卡的有157臺，占26.34％；使用海華科技（AzureWave）網卡的有101臺，占16.95％，此外，這裡面的MAC位址，還有一些是光寶科技（LiteOn）、鴻海精密（Hon Hai Precision）等廠商生產的網路介面。</p> <p>讓我們回頭看看此次攻擊的關鍵──華碩的用戶系統更新機制。基本上，ASUS Live Update是預載在華碩個人電腦的更新軟體，可用來更新主機板的BIOS、UEFI，以及各種系統驅動程式、其他華碩提供的應用工具軟體，絕大多數的主機板業者、個人電腦廠商，也都設有類似的更新機制。然而，這樣的共通特性與遠端連結、軟體派送能力，一旦整體的安全性有了管理上的缺口，讓駭客有機可乘，所能影響的範圍將會非常廣泛。</p> <p>類似這樣的狀況，讓人想到<a href="https://www.ithome.com.tw/article/86313" target="_blank">6年前韓國發生的史上最大APT攻擊事件</a>。根據調查，駭客先入侵企業內部的病毒碼更新主機，再利用更新病毒檔的正常管道，將惡意程式傳送到企業環境當中的每一臺個人電腦或伺服器。當時的災情相當慘重，有韓國KBS電視臺等6家企業受害， 48,700臺以上的電腦、伺服器與ATM伺服器，發生接連當機的狀況，電腦系統也因為硬碟開機磁區損毀，無法重新上線服務，有多達數千臺ATM故障，而網路銀行與信用卡服務也受到影響。</p> <p>而在2019年發生的此次事件當中，雖然目前尚未看到有類似規模的災情，但所有的企業、組織都不應該大意，除了華碩本身要做緊急應變之外，我們也應該要積極清查本身採用該公司電腦的狀況，並且確認MAC位址不在這批清單上。</p> <p>以更宏觀的角度來看，我們對於所有軟體、韌體的更新機制，都必須謹慎以對，強調要求所有供應商需做好管控，而對於自行開發的軟體、韌體的更新流程管控，也務必多加小心，不能再像過去那樣，僅重視開發階段與系統上線階段的安全，對於應用程式新版的部署程序、認證機制，應該要重新徹底審視，嚴陣以待，絕不能讓這個共通環節失守，反而成為駭客快速染指所有列管連網設備的任意門。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B3%BB%E7%B5%B1%E6%9B%B4%E6%96%B0">系統更新</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E4%BE%9B%E6%87%89%E9%8F%88%E6%94%BB%E6%93%8A">供應鏈攻擊</a></div><div class="field-item odd"><a href="/tags/%E8%8F%AF%E7%A2%A9">華碩</a></div></div></div>
2019/4/1 15:28作者李宗翰https://www.ithome.com.tw/voice/129720
傳蘋果晶片首席設計師離職、挖角特斯拉工程主管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果近來高層人事異動頻繁，接連傳出晶片首席設計師Gerard Williams離職及迎來前特斯拉動力系統開發部門主管。</p> <p><a href="https://www.cnet.com/news/apple-loses-engineer-overseeing-the-processors-powering-iphones-ipads/" target="_blank">CNET引述消息人士報導</a>，蘋果的晶片平台架構資深總監Gerard Williams已於2月離職。在蘋果九年期間，Williams是蘋果自有晶片從A7到A12 X開發的掌門人，A7問世並搭載於iPhone 5S，是行動裝置第一顆64-bit處理器，而A12X則用於2018年秋天推出的最新款iPad Pro，蘋果號稱這個處理器，讓iPad Pro跑得比全球92%的電腦都要快。除了A系列處理器，Williams近年還負責帶領蘋果系統單晶片（SoC）的開發。</p> <p>不過Williams離職原因不明。目前<a href="https://www.linkedin.com/in/gerard-williams-iii-27895aa" target="_blank">他的LinkedIn檔案</a>並沒有任何更新。蘋果對這件事也拒絕評論。不過，蘋果逐漸加碼開發自有晶片，甚至有謠傳明年將以自行打造的Mac電腦晶片來取代英特爾產品。因此Williams的離開可以說將重創蘋果在晶片開發的推進計畫。</p> <p>蘋果這廂流失了自有晶片主管，另一方面則喜迎自特斯拉的開發重臣。<a href="https://electrek.co/2019/03/30/apple-car-tesla-electric-powertrain/" target="_blank">Electrek則首先發現</a>，特斯拉工程部門副總裁<a href="https://www.linkedin.com/in/dr-michael-schwekutsch-a75b0310/" target="_blank">Michael Schwekutsch的LinkedIn頁面</a>悄悄改成了蘋果特別專案部門（Special Project Program）部門的資深副總裁，這個部門也涵括汽車專案Project Titan。</p> <p>Schwekutsch擁有相當豐富的汽車電動傳動系統的開發經驗。Schwekutsch的資料頁顯示，他在特斯拉期間曾引領該公司超跑Tesla Roadster II及卡車系列 Tesla Semi的開發。報導也指出，他也參與過傳統車廠BMW i8、Porsche 918 Spyder 及Fiat 500e的開發。從這些經歷來看，顯示蘋果可能仍然持續推動電動車的開發計畫。</p> <p>新高層的加入或許可為命運多舛的Project Titan帶來新動力。歷經數年開發及計畫受挫的傳聞，9個月前<a href="https://www.ithome.com.tw/news/123926" target="_blank">The Information也曾報導蘋果</a>挖角Waymo大將Jaime Waydo ，但Project Titan迄今未見實質成果，一個月前蘋果才<a href="https://www.ithome.com.tw/news/129026" target="_blank">證實</a>位於聖塔克拉拉（Santa Clara）市及晴谷（SunnyVale）市的Project Titan組織異動，約190名員工將調往其他專案。</p> </div></div></div>
2019/4/1 12:45作者林妍溱https://www.ithome.com.tw/news/129716