iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

三星Samsung Pay搶攻虛擬悠遊卡商機再進一步，未來將取代實體卡片與現金加值，讓購卡、儲值、消費一機完成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了擴大Samsung Pay用戶、並增加行動支付的積極使用率，臺灣三星電子今日宣布與悠遊卡公司簽訂合作協議，要攜手進攻交通付款、小額支付的市場。未來民眾只要在指定Galaxy裝置的Samsung Pay應用程式中，下載一張虛擬悠遊卡，並以指定信用卡、簽帳金融卡線上加值或現金儲值後，就能在不開啟手機畫面的情況下，直接使用內建NFC感應付費。</p> <p>「Samsung Pay悠遊卡」除了取代悠遊卡、提供民眾另一個刷卡付費的載具，另一個亮點則是讓購卡、儲值、消費在一機完成。Samsung與台灣多家銀行合作（目前已知的有11家），未來將Samsung Pay綁定信用卡或簽帳金融卡後，就能直接線上儲值，不需仰賴實體機台。</p> <p>這也與年初在高捷推出的Samsung Pay乘車服務是完全不同的模式。進出高捷驗票閘門時，是利用指定Galaxy手機與穿戴裝置的Samsung Pay，綁定合作的銀行信用卡後直接刷卡扣款，取代的是簽帳金融卡或信用卡片，並非一卡通或悠遊卡等交通卡。Samsung行動與資訊事業部副總經理陳啟蒙也提醒，Samsung Pay悠遊卡雖然支援悠遊卡現有的付費功能，但仍不能用於跨國消費或預付刷卡，也只限於支援Samsung Pay功能的手機使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0001.JPG" style="width: 600px;" /></p> <p>臺灣的行動支付市場近兩年有顯著成長。陳啟蒙引述數據表示，光是2019年1、2月的所有行動支付總金額就高達128億臺幣，與去年同期的51億相比，成長了1.5倍以上。</p> <p>然而，就在臺灣行動支付愈趨普及（2018年普及率達50.3%）的同時，根據MIC的調查也顯示，行動支付僅佔整體消費比例的13.7%。對此，陳啟蒙表示：「我們要用更親民的切入點，把使用者的基數（Base）做的更大。」同時要提升臺灣用戶使用Samsung Pay支付的意願。</p> <p>悠遊卡公司董事長陳亭如表示，目前悠遊卡是台灣最具影響力的支付品牌。在交通票券的部分，悠遊卡在臺北捷運電子票證市占率中佔比89.8%；在小額支付的部分，悠遊卡公司與1173個連鎖品牌合作，臺灣各地的支付設備總數更高達141189個，平均每天創造700萬筆交易。在消費額的方面，去年悠遊卡創造出632億元的商機，其中交通類約佔340億元，小額消費約佔300億元，且小額消費的支付點還在逐年增加。</p> <p>此外，目前悠遊卡活躍用戶超過2000萬張卡，且悠遊卡客戶群並不限年輕族群，在記名卡中，46歲以上的消費額佔比29.8%。根據男女使用習慣也可發現，儘管超過七成的捷運族是女性，但六成男性是重度使用者（每年小額支付100次以上）。從上述數據可見，悠遊卡的消費模式已經扎根民眾日常生活。</p> <p>Samsung Pay目前已在中國、南韓、新加坡、香港、英國等五個市場，推動與當地交通卡的合作服務。陳啟蒙指出，Samsung Pay與香港的八達通交通卡合作後，提升當地用戶的積極使用率達六成，也就是說有60%用戶每月都使用Samsung Pay，而未來在臺灣上線後，積極使用率預計可從現在的五成達到七成。</p> <p>新服務上線日程仍未定，但推出後，預期可以擴大既有客群與支付點，並更廣泛的應用於全臺大眾交通工具中，包括高鐵、台鐵、捷運、公車、YouBike或計程車等，以及應用於超商、休閒娛樂場、醫療院所、無人化設備、加油站、停車場、校園等開放小額支付的場域，除了要讓線上線下消費無縫接軌，也要提升用戶黏著度、提高Samsung Pay在臺市佔率。</p> </div></div></div>
2019/4/11 16:59作者翁芊儒https://www.ithome.com.tw/news/129924
臉書臺灣辦公室換新家，承諾將持續投資臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臉書(Facebook)在臺成立團隊後的四年，今天(4/11)宣布臺灣辦公室已搬到台北市信義區的台北南山廣場大樓，新辦公室佔地約800坪，除了員工的辦公空間增加不少，也設有KTV、麻將等休閒場所，臉書並承諾將持續投資臺灣市場。</p> <p>這個臉書在臺灣的新基地位於台北南山廣場大樓，原本是世貿二館改建，位於台北101旁邊，去年六月才落成開幕，臉書新辦公室遷入該大樓的35層，今天首次對外公開，揭開臉書在臺灣的辦公室面紗。</p> <p>在入厝儀式活動上，臉書台灣及香港總經理余怡慧表示，臉書的使命就是幫助社群，讓人和人可以更緊密的連結在一起，臉書在2015年進入臺灣，當時還是個很小的辦公室，這幾年臉書在臺灣投入許多資源，包括過去三年來培育了上千位的女性創業家，鼓勵更多女性創業，也和公益團體合作，協助公益團體善用臉書的平臺及工具，和經濟部合作舉辦的「Made by Taiwan」，幫助臺灣的中小企業進入國際等等。臉書台灣團隊搬到新家，未來將會提供更全面服務、連結更多的機會，讓臺灣和國際更緊密。期許未來和臺灣的團隊一起拼經濟、拼科技、拼人才。</p> <p>臉書全球副總裁暨亞太區總裁Dan Neary表示，臉書全球每月約有27億人的使用，約佔超過四分之一的全球人口，每天平均約有20億人使用，臺灣是臉書的重要市場，在臺灣有超過2300萬人口，而臉書的使用者超過1900萬，喬遷至新的辦公室，代表了臉書對臺灣市場的信心，也是臉書在臺灣的重要里程碑，實現臉書去年宣布在臺擴大投入資源的承諾，未來會持續在三個面向投入資源，經濟、人才、科技，在經濟上協助中小型企業及外貿企業，在科技上，思考如何協助開發者善用臉書的平臺及工具，在人才上培養科技及數位人才。</p> <p>臉書在2015年首次進入臺灣市場，剛開始只有小小的辦公室，最初的三位員工擠身在一間小型會議室的桌前，現在位於台北南山廣場大樓35樓的新公室，佔地804坪的整層辦公室空間，擁有超過80個座位。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0257.jpg" style="width: 600px; height: 400px;" /></p> <p>臉書並沒有透露目前臺灣團隊的員工規模, 以及未來的員工數目標，但從搬到更大的辦公室，超過80個座位來看，相信未來還會繼續擴大招幕員工。</p> <p><strong>臉書臺灣辦公室長什麼樣？</strong></p> <p>臉書在全球發起「Artist in Residence」計畫，邀請各地的藝術家為各地的辦公室創作，將藝術創作融入原本單調的辦公室，讓辦公室空間變得較活潑，臉書在臺灣的新辦公室也不例外，會議室由在地藝家的畫作裝飾壁面，包含台北101等臺灣知名景點。</p> <p>會議室外的藝術牆結合豐富的在地元素，例如台北的自然及城市景觀，台北101大樓等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0238.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>另一面藝術牆則是藝術家利用剪紙及編織工藝製作而成，整面牆乍看下是圖騰花樣，近觀可以看到交錯紙張上的文字。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0262.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>會議室名稱也融入在地的特色，例如「廟會」、「北投」、「西門町」等等，會議室門外配置一型觸控面板，顯示每個會議室預約的情形。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0263.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>如同臉書在其他地區的辦公室，臺灣的新辦公室空間融入了休閒的氣息，設有KTV電話亭，讓員工可以唱歌壓一下。其他休閒設施還有麻將桌、象棋、圍棋、手足球等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0277.jpg" style="width: 600px; height: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0275.jpg" style="width: 300px; height: 450px;" /></p> <p> </p> <p>在員工用餐、休息區旁邊，設有放滿零食及泡麵的架子及飲料冰櫃。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0274.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>臉書在全球各地辦公室都有的「What’s on Your Mind」簽名牆，鼓勵員工將想法、想說的寫在牆上。牆上也留有總統蔡英文4月10日參觀的親筆簽名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0245.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>辦公室旁的圖書區，鼓勵員工養成閱讀習積，開放捐贈書籍和其他員工分享好書。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0268.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>臉書相當強調企業文化「be open」，因此辦公室的空間以開闊為主，鼓勵員工交流，在辦公室旁也設有沙發座椅區，而在辦公室的通道也常見沙發區，搭配牆上的海報標語，用以激勵、提醒員工臉書的企業文化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0261.jpg" style="width: 600px; height: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0255.jpg" style="width: 600px; height: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0270.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>這幾年臉書相當積極開拓內容，例如直播服務，辦公室內也設有一間Live Lab，這個房間內的天花板架設燈光，讓員工可以製作直播內容，房間內還有Oculus Rift、Go等VR裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0272.jpg" style="width: 600px; height: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0271.jpg" style="width: 600px; height: 400px;" /></p> <p> </p> <p>員工在工作之餘，有時也需要好好放空一下，臉書辦公室內有一個小房間，名為Quiet Room，這個房間沒有任何攝影裝置，裡面的擺設相當簡單，一張沙發椅及小桌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0259.jpg" style="width: 300px; height: 450px;" /></p> <p> </p> <p>其他具備臉書有趣元素的小地方。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0282-1.jpg" style="width: 600px; height: 400px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0242.jpg" style="width: 600px; height: 400px;" /></p> <p>辦公室內沒有員工個人的垃圾桶，採用公共垃圾桶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0260-1.jpg" style="width: 600px; height: 400px;" /></p> <p><a href="https://newsroom.fb.com/media-gallery/offices-around-the-world/" target="_blank">看看臉書的其他地區辦公室</a></p> <p> </p> </div></div></div>
2019/4/11 18:24作者蘇文彬https://www.ithome.com.tw/news/129926
Google更新G Suite：讓Assistant讀出行事曆、Docs可直接編輯微軟Office文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google趁著Cloud Next '19<a href="https://cloud.google.com/blog/products/g-suite/helping-businesses-work-faster-smarter-and-more-collaboratively-in-g-suite" target="_blank">發表了眾多的G Suite更新</a>，包括整合Google Assistant，支援外掛元件，在Hangouts Meet提供即時字幕，可直接編輯微軟Office元件，在Drive中支援訪客分享及新增Google Currents等。</p> <p>目前G Suite整合Google Assistant的能力主要在於行事曆，讓使用者可隨時要求Assistant報告會議時間與地點。而過去G Suite原本就允許用戶透過邊欄快速存取行事曆、Hangouts或Keep等Google工具，而不必在不同程式或分頁中切換，現在Google則將邊欄開放，讓使用者可於邊欄中納入其它第三方工具。</p> <p>因此，未來G Suite用戶將可直接在Gmail或Docs中直接存取由Copper、Box、Workfront、Asana、Evernote或思科所打造的工具。</p> <p>為了改善內容的搜尋，Google於Drive中提供了Drive metadata，讓企業管理員可建立元資料的目錄與分類，以方便於Drive中尋找特定資料；另也讓原本只能搜尋企業內部資料的Cloud Search，可搜尋企業所使用的逾60種第三方資源，涵蓋SAP、Salesforce、Amazon S3、Box或MySQL等。</p> <p>本周Google也全面開放Hangouts Meet的即時串流服務，該服務最多可支援10萬觀眾參與，亦開始支援即時自動字幕。</p> <p>在Sheets新增connected sheets，允許用戶直接於Sheets介面中協作最多達100億列的BigQuery資料，也能以公式與樞紐分析表來分析BigQuery資料。</p> <p>另一方面，過去要編輯微軟Offcie文件時，必須先將它們轉成Google格式，<a href="https://support.google.com/drive/answer/9276408" target="_blank">現在Google則透過Office editing功能</a>，允許使用者直接於Docs、Sheets與Slides中編輯原生的Office文件，涵蓋.doc、.docx、.dot、.xls、.xlsx、.xlsm、.xlt、.ppt、.pptx、.pps及.pot格式，也會以原有的格式儲存。</p> <p>此一功能預計可望於幾周後上線，將造福那些經常與Office使用者互動的G Suite用戶。</p> <p>其它已在測試或準備釋出的G Suite新功能，還包括：可邀請非G Suite用戶參與協作的Visitor sharing in Drive；在Gmail中整合Hangouts Chat；存取透明化則允許用戶存取Google員工的存取行動與紀錄，確保Google只基於正當理由存取客戶資料。新的管理功能則包括管理人員可建立安全通知回報及採取行動的規則。</p> </div></div></div>
2019/4/11 15:15作者陳曉莉https://www.ithome.com.tw/news/129920
25%的網釣郵件可以躲過Office 365內建的安全機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端安全業者<a href="https://www.avanan.com/resources/press-release-avanan-global-phish-report" target="_blank">Avanan</a>在最近公布的<a href="https://www.avanan.com/hubfs/2019-Global-Phish-Report.pdf" target="_blank">《全球網釣郵件報告》</a>中指出，有25%的網釣郵件能夠躲過Office 365內建的Exchange Online Protection（EOP）安全機制，另有5.3%的網釣郵件是因管理員的配置錯誤，而送到使用者的信箱。</p> <p>網釣攻擊通常是藉由電子郵件接觸使用者，誘導使用者開啟惡意檔案或點擊惡意連結，以於電腦上植入惡意程式或騙取使用者的憑證，是最近10年來最普遍的威脅。</p> <p>Avanan掃描了5,550萬封寄至Office 365及G Suite的電子郵件，其中有5,238萬封是寄至Office 365，有312萬封寄至G Suite，在每99封電子郵件中就找到1封網釣郵件。</p> <p>在所有被Avanan偵測到的逾65萬封網釣郵件中，有高達50.7%的網釣郵件含有惡意程式，有40.9%是為了竊取使用者憑證，另有8%為的是勒索，0.4%為魚叉式網釣。</p> <p>這些網釣郵件看起來與合法郵件並無不同，它們也許都來自知名品牌、都含有源自Google Drive的連結、都採用短網址，也都未揭露收件人名單，不過網釣郵件有些特別明顯的特徵，例如若含有連往WordPress網站的連結，有35%屬於網釣郵件，若含有加密錢包位址，更有98%是網釣郵件。</p> <p>網釣郵件也經常冒用知名品牌的名義寄送郵件，最常被冒用的是微軟，佔了43%，居次的則是Amazon，佔38%，另有9%冒用PayPal、花旗銀行、HSBC等金融品牌，以及2.5%冒用的是UPS、FedEx與DHL等物流品牌。</p> <p>該公司特別分析了寄到Office 365的電子郵件，發現有25%的網釣郵件被EOP認定為安全郵件，還有5.3%的網釣郵件是因管理人員的配置錯誤，將它們列入白名單而寄到使用者信箱，意味著有30.3%的網釣郵件可成功抵達Office 365用戶信箱。</p> <p>Avanan指出，駭客主要是透過隱匿手法繞過EOP郵件防護機制，例如將惡意網址拆分以讓EOP無法識別，或者是以畸型的郵件形式及附加檔案來混淆EOP，也會將惡意連結藏在看似無害的附加檔案中。Avanan說，隱匿手法不管是對EOP或微軟的進階威脅防護（Advanced Threat Protection，ATP）都非常有效，但駭客卻不常用，猜測是為了避免攻擊手法曝光而受到圍堵所採取的策略。</p> </div></div></div>
2019/4/11 16:05作者陳曉莉https://www.ithome.com.tw/news/129921
Google Chrome計劃封鎖「安全」網頁下不安全的HTTP下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 宣佈未來的Chrome版本，可能將預設封鎖HTTPS網頁等安全環境提供的HTTP下載，像是可執行檔及壓縮檔案。</p> <p>Google Chrome工程師Emily Stark以電子郵件<a href="http://lists.w3.org/Archives/Public/public-webappsec/2019Apr/0004.html" target="_blank">告知W3C Web app安全工作小組指出</a>，Chrome團隊想要在相容以及使用者方便性與安全性之間取得平衡，因此將把在安全環境下（如HTTPS網頁）執行的部份高風險檔案下載視為可疑內容（mixed content），而將之封鎖。至於是何種「高風險」下載，Google目前還在做最後的決定，可能是執行檔及壓縮檔，包括EXE、DMG（Mac壓縮映像檔）、CRX（Chrome 擴充套件）、以及所有主要壓縮檔格式如ZIP、GZIP、BZIP、TAR、RAR和7Z等。</p> <p>這次措施應只涉及桌機版本，因為Android及Google Play的安全上網（Safe Browsing）已經提供用戶防護。此外，不安全環境下執行的不安全下載，目前也不在Chrome的預設封鎖規畫中，因為Chrome已在網址列顯示「不安全」的標示，可提供一定程度的警告。</p> <p>Google也邀請其他瀏覽器業者加入他們，實作類似的機制。</p> </div></div></div>
2019/4/11 13:50作者林妍溱https://www.ithome.com.tw/news/129919
賽門鐵克：近七成飯店網站洩露住客個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.symantec.com/blogs/threat-intelligence/hotel-websites-leak-guest-data" target="_blank">安全研究人員發現</a>，高達67%的飯店網站因系統設計問題，將顧客訂房資料洩露給第三方業者。</p> <p>這是賽門鐵克首席威脅研究員Candid Wueest在瀏覽飯店網站時，發現到一些問題可能導致住客的個資外洩，隨後針對54個國家超過1500間飯店網站進行測試，結果發現當中有三分之二或67%的飯店網站，不慎將住客訂房代碼洩露給廣告商或分析公司等第三方網站。</p> <p>至於個資外洩的原因，主要問題出在系統設計上。研究人員發現測試的網站中57%會傳送確認電子郵件給顧客，當中含有可直接連回訂房記錄的網頁URL。這種電子郵件需要靜態連結，會將住客訂房代號和email信箱附在URL後方成為函式值。雪上加霜的是，29%的飯店未加密郵件中的URL，又或者是當用戶點選URL開展網頁時，網頁同時載入其他內容，像是廣告。</p> <p>這意謂著可能讓攻擊者攔截到郵件，或是透過HTTP呼叫中的參照欄，間接分享給第三方網站。分析顯示，每筆訂單平均有176次HTTP呼叫，這些呼叫可能來自網站的第三方合作業者，如廣告商或分析業者。這表示第三方服務業者可以藉此登入飯店預約訂房系統、讀取住客個人資料或是取消訂房。</p> <p>雖然有些飯店的訂房系統值得稱許，只顯示數值和住宿天數而未洩露任何住客個資，但「大部份」飯店訂房系統都有這個問題，洩露資訊包括住客全名、電子郵箱、住家地址、手機號碼、護照號碼及信用卡號後4碼、信用卡種類與有效期限。</p> <p>Wueest指出，還有其他情境也會導致訂房資料外洩，像是某些網站在訂房過程中將資料傳給他人，有的是在住客手動登入網站時洩露，還有網頁產生存取權杖後透過URL傳遞。研究人員甚至發現，即使住客取消訂房，訂房資料還是存在，讓駭客有如進入竊密的無人之境，並有多家飯店網站訂房代號可能遭致暴力破解或列舉攻擊（enumeration attacks），只要知道住客電子郵件或姓氏，就可猜到其訂房代號。</p> <p>研究人員隨機選擇旅行的地點，再透過搜尋引擎尋找這些地點的飯店，因此測試範疇從郊區的二星級旅館到緊臨海灘的五星級奢華度假村。有些飯店還是知名連鎖飯店，單一家飯店的網站隱私問題可能也會出現在其他飯店中。</p> <p>Wueest還透露，當發現到問題後，他立即通知受影響飯店的資料隱私主管（data privacy offer，DPO），但高達25%飯店業者經過六個星期都沒有下文，令人對飯店業的回應能力感到失望。他指出，GDPR在歐洲上路已經快滿一年，但觀光旅館業的資訊安全表現仍有待提升。</p> </div></div></div>
2019/4/11 13:15作者林妍溱https://www.ithome.com.tw/news/129917
Stack overflow釋出2019開發者調查結果，3成多開發者認為會議降低生產力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://insights.stackoverflow.com/survey/2019?utm_source=so-owned&utm_medium=announcement-banner&utm_campaign=dev-survey-2019#evaluating-competence">Stack overflow釋出了第九次的開發者大調查結果</a>，今年大調查有將近9萬名開發者參與，結果顯示，Python是成長最快的主要程式語言，DevOps專家以及網站可靠性工程師薪水最高。</p> <p>在語言使用的使用情況，連續七年JavaScript都是開發者最常使用的程式語言（下圖），而Python表現亮眼，不只排名上升，也是今年成長最快的語言，實際差距雖然贏Java不多，但是排名已經超越Java。Stack overflow將網頁開發框架與其他框架函式庫分開調查，開發者最常用的網頁框架則為jQuery，而今年有所變動的是React.js超越了Angular。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-04-11%20%E4%B8%8A%E5%8D%881_32_44.png" style="width: 600px;" /></p> <p>在其他開發框架、函式庫與工具的排名上，Node.js是第一名達49.9％（下圖），還有越來越多的開發者選擇使用.NET而非.NET Core，在深度學習函式庫上，開發者最愛用的是TensorFlow，而去年底正式發布的PyTorch，使用的人並不多只有3.3%。在資料庫的選擇上，MySQL仍是第一選擇有54.0%，第二名由PostgreSQL搶走，微軟SQL Server以些微差距位居第三。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-04-11%20%E4%B8%8A%E5%8D%881_35_07.png" style="width: 600px;" /></p> <p>Stack overflow還調查了開發者最愛、最討厭與最想用的語言，Rust已經連續四年，蟬聯最受開發者喜愛的程式語言，緊接在後的則是Python，而Python也是連續三年，獲最想使用的語言第一名，Stack overflow表示，這代表有許多人目前尚未使用Python，但是很想要學習。VBA和Objective-C是今年開發人員夢魘的第一第二名，這個結果代表，有很大一部分的開發者不想再使用這兩個語言。</p> <p>最受歡迎的開發工具是Visual Studio Code，有50.7％的受訪者使用，細看開發類別，在行動裝置開發上，有比較多的開發者使用Android Studio以及Xcode，而DevOps和SRE的熱門開發工具選項則還有Vim，資料科學家更傾向選擇IPython/Jupyter、PyCharm與RStudio。開發者主要使用的作業系統仍是Windows占將近50％，MacOS與Linux的使用比例相去不遠約為25％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-04-11%20%E4%B8%8A%E5%8D%881_16_39.png" style="width: 600px;" /></p> <p>Stack overflow還調查了影響開發者生產力的原因，第一名為令人分心的工作環境41.8％，第二名則有超過三分之一的受訪者認為會議降低他們的生產力，而對於性別少數的群體來說，不友善的工作環境影響他們的生產力。開發者最關心的薪水，每個地區的結果都非常一致，第一名為工程經理的9.5萬美元，接下來依序為網站可靠度工程師8.5萬美元、DevOps專家7.2萬美元與資料科學家的6.6萬美元。</p> <p>在前一次使用Stack overflow服務，有約40％的開發者認為，Stack overflow替他們節省了11到30分鐘，超過四分之三的開發者同意，他們節省了超過11分鐘，Stack overflow提到，他們依據調查保守估計，Stack Overflow每周為每位開發者節省30到90分鐘。</p> </div></div></div>
2019/4/11 12:32作者李建興https://www.ithome.com.tw/news/129902
Google將停用Google Play即時應用程式外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2019/04/google-play-instant-feature-plugin.html">從Android Gradle外掛3.4.0版本開始，Google Play將停止支援以功能外掛com.android.feature，還有即時應用外掛com.android.instantapp建置的應用程式</a>。在建置應用程式的時候，系統會標記功能外掛已經wg棄用，開發者需要將原本使用功能外掛建置的即時應用程式，改以使用新的應用程式發布格式App Bundle，並啟用即時應用以支援即時體驗。</p> <p>去年Google發布了全新建置和發布Android應用程式的方法App Bundle，能有效解決應用程式肥大的問題，使用者不再需要下載用不到的檔案，Google Play將根據使用者的裝置，僅提供所需要的檔案，這種為使用者產生最佳化的APK稱為動態交付。</p> <p>動態交付是基於動態功能的com.android.dynamic-feature，視使用者需要而進行，目前有三種交付類型，包括在安裝的時候交付動態功能、按需交付動態功能、即時與安裝時交付動態功能。</p> <p>Google持續更新App Bundle，在三月的更新，開發者只要使用Android Studio 3.3，就能讓單一專案建置App Bundle，同時包含一般與即時應用程式，之前開發者需要針對一般與即時應用程式，上傳兩個獨立的App Bundle，但現在只需要上傳含有體驗模組的單一App Bundle就可以了。</p> <p>過去建置即時應用程式的相依性較為複雜，需要創建功能模組作為App的基礎功能模組（Base Feature Module），要包含一般與即時應用程式共享的程式碼以及資源，另外，其餘程式碼庫還需要有多個非基礎功能模組，如即時應用程式進入點模組，以及有僅適用一般安裝的應用程式模組，另外，也需要即時應用程式模組，內含了即時應用程式碼與對映的相依檔案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(11).png" style="width: 600px;" /></p> <p>而在新的App Bundle實作中，基礎功能模組將被當作應用程式模組，管理一般與即時應用程式的程式碼和資源，開發者可以組織額外的模組化功能，作為三種動態功能模組類型的其中一種，而由於manifest中的dist:instant屬性，因此即時應用程式模組便不再需要了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/App%20bundle%20dependencies.png" style="width: 600px;" /></p> <p>透過將即時應用程式轉為即時App Bundle，應用程式不只能獲得新格式帶來的優勢，也能簡化應用程式模組化設計。開發者可以使用Android Studio 3.3以上版本，創建可啟用即時應用的App bundle，為應用程式加入即時體驗。</p> </div></div></div>
2019/4/11 12:35作者李建興https://www.ithome.com.tw/news/129901
Google將讓Android 7以上手機當2FA安全金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Cloud Next大會上<a href="https://www.blog.google/technology/safety-security/your-android-phone-is-a-security-key/" target="_blank">宣佈Android 7以上版本的手機將可作為雙因素驗證（2FA）的安全金鑰</a>。</p> <p>雙因素驗證（two-factor authentication，2FA）是藉由文字簡訊或Google Authenticator等發送第二階段的密碼，為用戶帳號增添多一份防護。然而此類防護卻會在碰上釣魚網站時破功，駭客可設立以假亂真的網頁騙取使用者輸入帳號密碼，或是利用惡意程式攔截密碼以假造用戶身份登入。硬體式安全金鑰解決方案於是應運而生，藉此終結難記、難管理又不安全的密碼。</p> <p>市面上除了Yubico之外，Google去年也<a href="https://www.ithome.com.tw/news/125614" target="_blank">推出</a>了FIDO 2協定的硬體安全金鑰Titan。2月底Google在世界通訊大會（MWC）上再進一步，宣佈Android取得FIOD2認證。4月Cloud Next大會上Google則正式宣布，凡是搭載Android 7.0以上作業系統的手機，在更新Google Play Services後，都將可當成FIDO 2/WebAuthn標準的安全金鑰，不再需要額外購買硬體金鑰裝置，即可用來安全登入Google帳號或企業用的Google Cloud帳號。</p> <p>如果你的手機跑的是Android 7以上版本，只要啟動雙因素驗證或兩步驟驗證（2-step verification，2SV）即可。使用者需先在Chrome OS 、macOS X及Windows 10 電腦（或平板）上的Chrome瀏覽器設定2SV，之後點擊「加入安全金鑰」下的選單選擇支援的Android手機，然後透過藍牙將手機連結電腦完成註冊即可。</p> <p>目前可預設以Android手機登入的服務是Google Account、Google Cloud、Gmail、G Suite等，Google表示日後也會加入其他服務。</p> <p>近期Google也<a href="https://www.ithome.com.tw/news/129752" target="_blank">宣佈</a>Google帳號開始轉換到WebAuthn標準，使Firefox及Edge瀏覽器用戶，也能使用業界標準的硬體式安全金鑰來登入Gmail、Google Drive或G Suite等服務，但是如果要註冊金鑰，暫時還是要再回到Chrome瀏覽器上。</p> <p>Google 並建議使用者另外註冊備份用的硬體金鑰，以免手機遺失。這意謂著你可能還是再買一支硬體金鑰裝置（如Google的Titan或Yubico）比較好。</p> </div></div></div>
2019/4/11 12:40作者林妍溱https://www.ithome.com.tw/news/129915
企業版Google+更名為Google Currents
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周在<a href="https://gsuiteupdates.googleblog.com/2019/04/currents-for-gsuite.html" target="_blank">G Suite中添增了新成員Google Currents</a>，而它即是用來取代Google+企業版，原先的Google+企業版用戶只要加入Google Currents測試版就能直接載入既有的Google+內容。</p> <p>Google已於4月2日正式關閉了Google+消費者版本，並把Google+的企業版更名為Google Currents，這名稱聽起來或許有點熟悉，因為Google曾推出名為Google Currents的社交雜誌程式，只是後來被Google Play Newsstand取代。</p> <p>各種版本的G Suite用戶都可參與Google Currents測試，它定位為企業內部的社交平台，允許員工或主管張貼各種內容，建立內容標籤，或是附加其它文件或照片，其他人亦能回覆或提供意見，每個人都能取得貼文的分析。</p> <p>Google會根據每個人的喜好或關聯性，來客製化首頁出現的貼文優先順序，亦允許使用者依照時間排序，或是藉由內容串與標籤來尋找特定內容。</p> <p>企業管理人員能夠建立客製化的內容串，來建立全公司或特定族群的討論主題，測量平台的參與度，追蹤使用情況，或是了解哪些議題特別熱門。企業管理人員（Admins）也能指派其他員工擔任內容管理員（Content Administrator），以分擔建立內容、管理標籤或其它責任。</p> </div></div></div>
2019/4/11 12:56作者陳曉莉https://www.ithome.com.tw/news/129916
【臺灣資安大會直擊】研發用端點電腦可能存在難以掌控的內部威脅，精品科技呼籲要強化相關管制措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對現今企業面臨的各式威脅，可說是內憂外患，不只是來自外部駭客的攻擊，同時還有存在於內部的威脅。但無論是內憂還是外患，在許多的攻擊事件中，竊取公司的機密，才是攻擊者發動的主要目的，因此，在2019臺灣資安大會上，精品科技資安顧問陳伯榆表示，防範資料外洩是企業首要工作項目之一，尤其是與公司命脈有關的研發單位（R&D），很可能會是企業相當容易忽略的環節。</p> <p>我們常說家賊難防，近年來企業經常遭遇高階主管被同行挖角，主管跳槽後便一併將機密流出，導致公司蒙受重大損失的情況，可說是時有所聞。因此，企業對於擁有極高權限的主管，也開始加以防範，然而，對於同樣握有公司核心機密的開發團隊，卻未必會同等重視可能隱含的威脅。其實，除了上述由內部員工洩密的情況，陳伯榆說，隨著駭客多年來的手法演進，內部威脅也可能因為夾帶來惡意攻擊行為，而成為駭客從中竊取公司機密的管道。</p> <h2><strong>資料外洩威脅態勢超越網路攻擊，僅次於極端氣候與天災</strong></h2> <p>由於資料外洩對於企業的損害極為嚴重，可能導致公司的機密製程遭到對手複製，或是在現今各國的個資保護法規下，面臨高額罰款的情況。其中，又以公司內部機密被竊取的問題，影響最為直接。但這樣的情勢到底有多嚴重呢？陳伯榆引用了非營利組織世界經濟論壇（The World Economic Forum，WEF）的全球風險報告內容，表示資料外洩的危機，不僅在2017年到2019年之間，是歷年來的前5大風險裡，年年榜上有名，在2019年1月推出的最新報告裡，這樣的威脅型態所帶來的風險，嚴重程度更超過了網路攻擊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WTO-2017-2019-top5risks.png" /></p> <blockquote><p>你知道嗎？資料外洩（遭竊）的嚴重程度，世界經濟論壇（WEF）認為，自2017年以來，僅次於極端氣候事件、天然災害、大規模恐怖攻擊危機。到了2018年，網路攻擊情勢加劇，列入該組織報告之前的前5名，但在今年則與資料外洩的情勢互有消長，資料外洩帶來的風險又超過了網路攻擊。</p> </blockquote> <p>從陳伯榆所引述世界經濟論壇的觀點中，2019年全球10大危機中，前3名為極端氣候、減緩與適應氣候變遷失敗，以及天然災害等。資料外洩與網路攻擊分別為第4名與第5名，這兩種情況所衍生的潛在風險，程度也超越了人為的環境災害、大規模遷徙、生物多樣性與生態圈的瓦解、水資源危機，還有主要經濟市場的資產泡沫化等現象。</p> <p>對於有心收集情資的人士而言，他們又會對那些資料最感興趣呢？陳伯榆引用了美國國家反情報安全中心（NCSC）2018年發表的外國經濟網路間諜報告（Foreign Economic Espionage in Cyberspace Report），指出最受到這些有心人士注目的情資，來源涵蓋了能源（含替代能源）、生物科技、國防、環境保護、高科技製造業，以及資訊通訊技術等6大領域。換言之，這些收集者的目標可說是面向了上述重要型態的產業。</p> <p>而在上述的6種領域裡，研發或研究部門都在該產業的公司行號中，可說是占有最為關鍵的角色，左右這些企業於業界的影響力。陳伯榆特別提及，這種單位企業相當難以管理，為此，他們也針對這樣的現象，提出有關的解決方案，在不影響研發的流程之下，保護公司相關的機敏資料。</p> <h2><strong>研發人員的端點電腦成為資料保護死角</strong></h2> <p>陳伯瑜指出，開發工具可能是最大的機密洩露源頭。雖然，企業通常都會運用AD、群組原則（GPO），以及各式網路管制等措施，加以控管，可是大部分的開發工具，往往需要相當高的權限才能正常運作，這樣的情況下，原本在IT環境中的管理機制，難以兼顧這類軟體的應用需求，企業可能只好採取放行的做法。再加上許多開發工具要價不斐，軟體本身可能還要定期連線到原廠，驗證授權的有效性，因此企業可能無法將開發電腦建置在不能對外連線的封閉環境中。</p> <p>在研發環境中，陳伯瑜將軟體開發工程師大致區分成兩種類型，一種是開發者的電腦透過RJ-45網路線或是JTAG連接埠，與開發板連接，電腦裡存放程式碼，開發者使用整合式開發環境（IDE）應用程式進行開發作業。</p> <p>另一種則是在高科技製造業較為常見的方式，開發工程師在電腦上，利用硬體描述語言（HDL）工具、模擬器、電子設計自動化（EDA）工具、印刷電路板（PCB）設計工具等，進行開發工作，這種型態的開發方式往往是因應特定機器的控制，甚至這些研發用的電腦會進一步會連接到資料庫，以及SVN或Git版本控制系統上，彙集工程師的開發成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RD-devmethod.png" /></p> <p>但無論是上述的那一種開發型態，工程師開發所使用的端點電腦，很有可能成為資料洩露的管道。陳伯瑜指出，企業過往都是在橋接端進行相關的防禦，但採取這樣策略的前提，是認為在開發環境裡，人員和裝置都是良善的，因此，對於開發用的端點電腦，長期以來普遍缺乏檢視其狀態的做法。</p> <h2><strong>從開發者存取的行為，採取對應資安與稽核措施</strong></h2> <p>因此，在企業的管理上，就要進一步釐清，開發作業上需要放行的正常行為，與應該管制與禁止的項目。例如，研發的成果若是允許分享到另一個部門，程式碼能夠提供加以運用，還是只能檢視片段內容等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RD-IDEapp-usages.png" /></p> <blockquote><p>陳伯榆舉出在工程師的研發電腦上，可能會面臨的風險。從開發的過程來看，包含會呼叫系統的DLL、網路通訊、命令提示字元與PowerShell，以及連接外部硬體裝置等，而據他所知，有些研發工程師還會用各式的螢幕截圖工具，截取企業開發的成果。</p> </blockquote> <p>而在限制的部分，像是程式碼的複製與貼上，如果完全不設限，就可能成為資料外洩的管道。但是，研發工程師在除錯的過程中，很可能擷取部分開發的內容，上網查詢資料，一味禁止顯然會影響相關的研發流程，要採取什麼策略，便成為企業需要面臨的難題。</p> <p>再者，研發過程中，工程師可能會以處理程序之間通訊（IPC）的方式，呼叫各種應用程式，通常這樣的情況下，被呼叫的應用程式也同樣繼承了相同的執行權限，導致能夠略過某些IT的管制措施，傳送資料到外部，企業也需要加以防範可能衍生的問題。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Teensy.jpg" style="width: 580px;" /></p> <blockquote><p>在執行SVT防護系統展示的過程中，陳伯榆拿出了一款企業裡常見的Teensy開發板，並嘗試將開發電腦上的研發資料，傳送到這個開發板上。</p> </blockquote> <p>陳伯榆以精品自己推出的解決方案SVT為例，他們會在不影響研發者主要作業流程的情況下，限制像是列印、螢幕截圖，以及IPC呼叫的行為，對於除錯所需複製程式碼的部分，該系統則是透過政策的方式，由管理者限縮能夠複製的文字內容長度，雖然這樣的做法，還是難以防範分成多次剪下、貼上，但他們也搭配事件記錄的機制，若是從SVT中發現開發工程師頻繁的執行這類行為，管理者就能進一步了解工程師操作的原因。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RD-FineArt-method.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RD-FineArt-method.png" style="width: 580px;" /></a></p> <blockquote><p>陳伯榆以他們收集客戶需求後，開發出的SVT系統為例，主要包含了管制開發人員部分可能會洩密的功能，以及共用對象的規範。</p> </blockquote> <p>除此之外，為了規避公司的稽核制度，工程師很可能會採取某些措施，包含了程式碼回避與混淆手法，或是利用企業對於網路環境規範的不足，採取DNS通道傳送資料到外部。陳伯榆表示，他曾經看過有些企業的工程師，竟一口氣用了6道混淆程序處理程式碼。在這樣的情況下，他認為企業現有的資安機制，很難察覺異狀。因此，陳伯榆指出，光是靠他們解決方案的管制措施，並不能完全防範各式外洩手法，而是也要搭配端點電腦的事件記錄追縱才行。其實企業對於這類電腦的狀態監控，從中發現可能的異常跡象，也是相當重要的措施，這也與當今端點防禦措施裡，透過大量事件記錄找出攻擊事件徵兆，再進一步因應的概念，算是不謀而合。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RD-Event-Tracks.png" style="width: 580px;" /></p> <blockquote><p>無論是工程師有心竊取機密，還是駭客操控研發用的電腦，都可能利用圖中所列的方式外洩，規避企業各式機制，並且在完成之後，清除相關事件記錄。若是沒有對應的監控機制，便難以發現或是追查這種異常事件。</p> </blockquote> </div></div></div>
2019/4/11 13:00作者周峻佑https://www.ithome.com.tw/news/129903
你的GPS裝置顯示的時間是正確的嗎？恭喜你安然渡過GPS的時間重置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球衛星定位（GPS）裝置都應該在4月7日進行時間的<a href="https://www.schriever.af.mil/News/Article-Display/Article/1776011/gps-week-number-to-rollover/" target="_blank">重置</a>，它幾乎每20年才重置一次，倘若現在你的GPS系統顯示的時間是正確的，那麼，恭喜你渡過了這一次的GPS時間重置。</p> <p>GPS時間的首度設定發生在1980年1月6日的凌晨0點，它並未採用大家習以為常的年、月、日、時、分或秒等概念，而是透過<a href="https://www.dhs.gov/cisa/gps-week-number-roll-over" target="_blank">周數</a>（Week Number）來表達日期，以1.5秒的間距來表達當周的時間，周數有10位數，秒數則有充裕的19位數。也因為周數只有10位數，在電腦上以二進位呈現時，最多只能填入1111111111，也就是說它只能從第0周算到第1023周，然後就會從0000000000重新計算。</p> <p>當GPS系統把上述的二進位數字傳遞到裝置上的GPS接收器時，接收器就能計算並顯示出正確的日期與時間，並與定位資訊一同出現。</p> <p>它在1999年8月22日的凌晨零點進行第一次重置，第二次即是2019年的4月7日凌晨零點。</p> <p>負責操作全球衛星定位系統的美國空軍太空司令部（AFSPC）表示，GPS時間每天都在全球的軍事或民間應用中出現，GPS社群已建立了相關的指南與規範：GPS-200，符合該規範的GPS裝置應該就不會受到GPS時間重置的影響。</p> <p>事實上，使用者應該很少看到單獨的GPS接收器，它通常被嵌在手機、健身手環、智慧錶、汽車或網路伺服器上，而大多數的裝置也都會同步接收器所收到的時間。</p> <p>不過，倘若這些接收器的年代過於久遠，特別是超過10年，而且未更新韌體，它可能無法辨識這次重置所收到的0000000000，指的是2019年的4月7日或是1999年的8月22日。例如ChinaAviationReview在Twitter上張貼了一張照片，透露出中國多架波音787飛機便因受到GPS時間重置的影響，螢幕上顯示為1999年的8月22日，亦為了等待更新而延誤起飛時間。</p> <p>此外，也有些接收器因為此次的GPS時間重置出現了奇怪的日期，例如Motorola Oncore UT+在當天顯示的是2016年8月14日，Novatel接收器則顯示2018年7月22日。</p> <p>美國國土安全部下轄的網路安全暨基礎設施安全局（Cyber security and Infrastructure Security Agency，CISA）建議，發生問題的使用者可向裝置或接收器的製造商求助，以便更新韌體、軟體，甚至是硬體。</p> <p>好消息則是GPS時間的周數計算欄位，已從10位數改為13位數，代表下一次的時間重置大概要157年後才會發生，大家這輩子應該都不會再遇到了。</p> </div></div></div>
2019/4/11 12:06作者陳曉莉https://www.ithome.com.tw/news/129914
【iThome 2019 CIO大調查】數位轉型領先企業如何採用新興科技？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/915_feng_mian_gu_shi_3shu_wei_zhuan_xing_qi_ye_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B3(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B3(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-2-V2(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B3(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B3(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-4.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>問卷執行說明</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，有效問卷數382份。其中已經完成數位轉型或正在執行中的企業，有206家，定義為數位轉型領先者，其餘則仍處於規畫中（規畫中者)，或甚至是自認不需要或還沒有任何轉型作為者（落後者）。有76.7％填答者是企業IT部門最高主管。</strong></span></p> </div></div></div>
2019/4/11 09:00作者王宏仁https://www.ithome.com.tw/article/129827
微軟Patch Tuesday修補兩個已被開採的Windows漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/18306ed5-1019-e911-a98b-000d3a33a34d" target="_blank">微軟在9日釋出4月的Patch Tuesday安全更新</a>，總計<a href="https://www.bleepingcomputer.com/news/microsoft/microsofts-april-2019-patch-tuesday-fixes-74-vulnerabilities/" target="_blank">修補了74個安全漏洞，包含CVE-2019-0803及CVE-2019-0859</a>兩個已被開採的Windows漏洞。</p> <p>CVE-2019-0803與CVE-2019-0859雖然是兩個不同的漏洞，但它們都屬於權限擴張漏洞，也都是在Win32k元件無法妥善處理記憶體中的物件時即會被觸發，駭客必須先登入系統，並執行特製程式以開採該漏洞，成功攻陷將允許駭客於核心模式執行任意程式，包括安裝程式、變更或刪除資料，以及建立擁有完整使用權限的帳號。</p> <p>儘管這兩個漏洞都必須先從本地端存取系統才能開採，但Rapid7安全研究人員Greg Wiseman表示，只要搭配微軟此次修補的任何一個遠端攻擊漏洞就能讓駭客自遠端取得系統的完整控制權。</p> <p>另一個高風險的漏洞為CVE-2019-0841，它是在Windows AppX Deployment Service（AppXSVC）不當處理硬連結（hard links）時可能觸發權限擴張漏洞，雖然它只被列為重要（Important）漏洞，但相關的概念性驗證攻擊程式已經在網路上現身。</p> <p>在74個漏洞中有15個被列為重大（Critical）等級。被資安專家視為該優先修補的包括CVE-2019-0853、CVE-2019-0845及CVE-2019-0786。</p> <p>其中，CVE-2019-0853漏洞存在於Windows繪圖裝置介面（GDI）處理記憶體中物件的方式，駭客可代管一個惡意網站並誘導使用者造訪，或是在網路上分享惡意檔案就能開採該漏洞，成功的攻擊將可取得使用者權限。</p> <p>CVE-2019-0845則是Windows IOleCvt介面的遠端程式攻擊漏洞，CVE-2019-0786為SMB Server的權限擴張漏洞，成功的開採可允許駭客繞過作業系統的特定安全檢查，進而掌控整個系統。</p> </div></div></div>
2019/4/11 09:18作者陳曉莉https://www.ithome.com.tw/news/129898
【舊金山Next直擊】Google雲端新CEO大喊「聆聽顧客聲音」原則，更要開始搶攻多雲混合雲戰場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於過去，Google今年Next雲端大會開場演講像是場中規中矩的產品大會，甚至有點沈悶，但這正是企業級商軟產品大會最常見的氛圍。</p> <p>今年再度由Google執行長Sundar Pichai親自開場，Sundar Pichai指出，Google的野心一如往常，是使用科技大規模地盡力改善更多人的生活，透過企業更可透過影響世界經濟來改造社會。他指出，雲是Google投資最大的地方，有三大優勢，世界級基礎架構、人人能用的技術創新，建立商業所需的開放生態系。過去20年讓Google成功的基礎架構投資，成就了現在的Google Cloud，現在正是用雲端科技解決問題的時刻，技術越容易使用和取得，才對企業有幫助，所以，GCP才會擴大團隊來瞭解顧客的機會，Google已經被許多產業前十大企業採用。而過去Google花了20年投入人人可用的開放生態系，現在則要再企業運用打造同樣的開放生態系。</p> <p>8成企業因為雲端太複雜而只使用內部的技術。Sundar Pichai指出，Google自己也同樣需要彈性、擴充的技術，才使用容器來造一套Borg平臺，而現在更打造出了開源的Kubernetes，現在已經是容器的工業標準，去年，GCP推出了雲端和本地端通用的Cloud Services Platform，兼具企業需要的安全，又讓開發者在雲上雲下有相同的開發環境。</p> <p>但Cloud Services Platform仍有一個用戶端的大問題，Sundar Pichai坦言，那就是跨雲需求，GCP要來解決這個難題的新產品就是Anthos。Anthos採用Kubernetes開源技術，可用於多雲或跨雲，而且完全由Google維護。</p> <p>「開發一次，可以到處執行，可以彈性選擇自家機房、GCP或任何其他雲端，這就是Anthos想做到的事，Google也從安全、簡單、彈性和安全來設計這款產品。」Sundar Pichai強調。Sundar Pichai沒有解釋為何要用Anthos這個字，作為Cloud Services Platform產品的新品牌名稱。Anthos這個字是一齣希臘悲劇劇本中，用來形容花朵盛開的比喻。但Sundar Pichai把這個關鍵產品的細節，交給了Google Cloud新任執行長Thomas Kurian。</p> <h3><strong><span style="color:#FF8C00;">Google Cloud新任執行長Thomas Kurianx初登場</span></strong></h3> <p>Sundar Pichai對新任Google雲端執行長的介紹不多，只強調Thomas Kurian領導GCP才10周，但他花了20年服務企業顧客，剛來不久就拜會了上百家GCP的企業用戶和夥伴了，完全是挑戰G Suite和行事曆的極限，「是一個非常有遠見的領導者。」Sundar Pichai這樣形容。</p> <p>今年59歲的Thomas Kurian，1996年離開麥肯習顧問公司後進入甲骨文，從產品經理做起，幾乎三分之一的人生在甲骨文度過，2008年開始率領甲骨文產品開發團隊，這是一個分散在全球32國的3萬5千人團隊，研發預算高達40億美元。他也負責甲骨文伺服器技術和知名的Fusion中介軟體產品線，可說是軟硬體技術兼具，後者是甲骨文成長速度最快的產品，更讓他成為甲骨文產品團隊的最高主管。他也從2008年開始負責推動甲骨文所有產品的雲端轉型，一手打造出Oracle Cloud。所以，Sundar Pichai才特別強調，新任雲端大主管是花了20年服務企業的技術人。</p> <p>Thomas Kurian在甲骨文所領導開發的產品，創造了350億美元年營收，包括了55億美元的雲端收入。不只是產品研發，他還負責管理甲骨文全球45座資料中心的團隊和甲骨文企業內部IT，甚至還有一個每年創造8億美元營收的250人規模甲骨文雲端服務銷售部門，更主導了60次甲骨文的軟體併購案。</p> <h3><span style="color:#FF8C00;"><strong>特色1：GCP轉而聚焦數位轉型企業，而非所有企業</strong></span></h3> <p>Thomas Kurian在他第一個Next大會開場第一件事，就是謝謝前任執行長Diane Greene打下的GCP基礎。但緊接著他竟提出對Google Cloud的三大願景。他強調，我們Google Cloud的願景，就是要服務想要推動數位轉型的企業，將提供世界級分散式的安全基礎架構，數位轉型平臺，以及數位轉型所需的產業解決方案。他一開場就和前任的切入角度截然不同，不同於過去以要把雲端技術帶給所有企業，Thomas Kurian更聚焦於數位轉型企業。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>特色2：聆聽顧客聲音，走下雲端進軍多雲混合雲</strong></span></h3> <p>「聆聽顧客的聲音才打造出Anthos這款產品。」Thomas Kurian強調。「顧客聲音」，這幾個字幾乎成了今年Next大會的官方慣用語，幾乎每一位產品主管都琅琅上口這幾個字，這是另一個和過去的Next大會不一樣的氛圍。也透露出，Thomas Kurian上任帶給Google Cloud團隊的期待之一，就是要GCP回到顧客角度。</p> <p>關於Anthos的產品目標，Thomas Kurian點出，要滿足三個顧客需求，第一是一套可以部署在企業內部，和那些無法上雲端的應用共存的混合雲產品，第二個需求是可以用單一開發模式，彈性、自主地遊走多雲，而且完全不用任何修改就能跨多雲。第三個則是需要一套簡單的基礎架構維運平臺，能提供一套統一的作法，安全地管理多雲環境。</p> <p>負責Anthos產品負責人GCP工程副總裁Eyal Manor也同樣指出，很多CIO的心聲是，要用大量開源技術上雲端是一件很難的事，他們也想更快超越競爭對手，將上市時間從以年為單位，縮短到一天為單位。但是，雲端技術太複雜，各家差異很大，所以，「目前仍有80％的企業運算工作還沒上雲端，就是怕被一朵雲綁定的風險太高。所以，88％企業想用多雲。」</p> <p>因此，GCP在Next大會第一天就宣布Anthos正式上市。這是一個以Kubernetes為基礎打造的跨雲管理平臺軟體。Eyal Manor指出，不用3個小時，企業就在自家機房安裝一套。除了容器叢集功能外，Anthos內建了監控機制、Log機制、可視化儀表版、CI/CD工具。<br /> GCP也同時宣布了Anthos產品將和多家軟硬體業者合作，包括如IBM、Cisco、Dell、HPE、Lenovo等推出硬體式產品，也會和軟體公司整合如VMware。例如Cisco從2017年就開始和GCP合作，Cisco網路與安全事業部資深副總裁David Goecheler透露，將和GCP聯手，結合Kubernetes和思考硬體產品打造雲端基礎架構產品。</p> <p>為了展現Anthos的能力，Google Cloud 產品管理總經理 Jennifer Lin現場展示了Anthos在本地端環境、GCP雲端，甚至還有一個部署在AWS美西雲端機房上的執行實例，而且可以在同一個後臺中管理多雲實例。而且Anthos還提供了一款轉移工具（Beta版），可以將企業現有VM直接轉移成為一個可在Anthos上執行的Kubernetes容器應用。GCP還找來Anthos先期使用者美國零售業者Kohl's的技術長Ratnakar Lavu站臺。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>特色</strong></span><font color="#ff8c00"><b>3：大秀各產業指標型企業採用情況，更強調GCP新企業顧客</b></font></h3> <p>大量秀出擁抱GPC的各產業企業用戶，是Thomas Kurian開場演講中的第二個重點，除了秀出GCP已經攻下娛樂媒體業、能源業、金融業、零售業、顧問服務業、軟體網路業、電信業、製造業等產業中不少前十大企業的顧客，也在醫療、零售、金融也都有更多採用的新企業，也找來飛利浦集團資訊長Alpha Doshi、Chase消費銀行CAO Reggie Chambers、高露潔-棕欖資訊長Mike Crowe也站臺分享。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>特色4：不是與開源爭利，而要和開源產業聯手服務企業</strong></span></h3> <p>另一個Thomas Kurian第一天演講的重要宣布是，推出了開源夥伴制度整合式開源生態系，將直接在GCP平臺中，直接提供第三方開源廠商的產品的部署和管理機制，也可以整合所用開源產品到單一的GCP帳單上，以及來自Google的單一技術支援窗口，由Google聯合開源廠商直接在GCP提供支援。目前加入聯盟的開源業者包括了Redis Lab、Datastax、mongoDB、Elastic、Influxdata、neo4j和推出Kafka的confluent。</p> <p>Thomas Kurian還批評對手，最近有雲端業者直接推出自家開源產品來和開源原廠搶生意，但Google則是要和開源圈聯盟。演講最後，他還不忘強調，今年Next不只有Google和和合作夥伴的發布，還有400家企業顧客分享數位轉型經驗。再次反映出，他想要求GCP開始要將顧客看得比產品更重要的意圖，這也是今年Next大會格外不同的特色。</p> </div></div></div>
2019/4/10 23:39作者王宏仁https://www.ithome.com.tw/news/129900
Yahoo奇摩推出新數位行銷工具，搶攻AR、VR廣告市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好擴增實境（AR）及虛擬實境（VR）帶來的沈浸式體驗在廣告的應用，Yahoo奇摩在臺推出了Yahoo Lab XR（Extended Reality，延展實境）數位行銷方案，未來將可看到更多AR、VR廣告。</p> <p>這項數位行銷方案涵蓋了3D、AR、VR、360等類型廣告，其中AR、VR及360可創造出沈浸式的體驗，結合小遊戲，可提高使用者的互動參與，強化受眾的廣告印象。</p> <p>Yahoo奇摩媒體業務事業群業務總經理方盈傑表示，根據過往經驗，導入AR可以增加8成的互動率，廣告遊戲或互動的完成率也有6成，顯示了這類沈浸式體驗廣告能夠帶來更好的效果。</p> <p>他並以Yahoo奇摩母公司Verizon Media的調查，4成7的廣告主期待有新的廣告表現形式，49%認為XR可以提升消費者的廣告體驗，結合速度更快的5G，有助於實現更具創意的廣告。</p> <p>方盈傑表示，過去廣告主可能會擔心沈浸式廣告的製作成本、時間過高過長，但現在製作成本、時間和製作一般Flash廣告相近，以360廣告為例，廣告素材需要的影像不一定需要360度環景相機才能製作，可以相機拍攝不同角度影像，或是全景照片就能製作，而3D廣告只要有產品的3D模型，例如建築或汽車的3D模型就能製作。</p> <p>目前國內已有飲料、汽車、電影等採用XR廣告方案，像是知名的汽車品牌透過360度廣告，消費者不需要親自到門市賞車，透過手機就能在360度的影像中，欣賞車內不同角度的內裝細節；飲料業者也透過AR擴增實境，結合小遊戲增加消費者的廣告印象。</p> <p>方盈傑指出，過去的XR的廣告多以專案的方式進行，在全球技術團隊努力下，廣告平臺已克服了規模化問題，已能夠提供給所有的廣告主，在XR技術問題解決後，廣告主可將心力集中在廣告創意的表現上。</p> <p>不過，並非所有的消費者都能夠在手機上看到相同的廣告體驗，例如AR在Web上需要特定版本以上的行動作業系統才能支援，iOS 11以上，Android 7以上。</p> <p> </p> </div></div></div>
2019/4/10 18:47作者蘇文彬https://www.ithome.com.tw/news/129899
資安一周第37期：假消息氾濫下也隱藏著國家級的攻擊，受政治學關注的全球民主指標研究中，臺灣在近五年都是全球最嚴重的國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0403-0410一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color:#B22222;"><strong>網站安全、Apache</strong></span></h3> <h2><strong>十多個Apache HTTP Server版本含有嚴重的權限擴張漏洞</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%890406-apache-960.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Apache.org</span></p> <p>Apache軟體基金會近日修補了Apache HTTP Server的一個嚴重漏洞，而此一編號為CVE-2019-0211的安全漏洞，屬於本地端權限擴張漏洞，將允許駭客取得系統的最高權限以執行任意程式，從2015年10月發表的2.4.17，到今年2月發表的2.4.38的十多個版本都遭殃，用戶應儘快升級到4月1日釋出的2.4.39。資安業者Rapid7指出，此漏洞對於提供共享網路代管服務的供應商而言，風險更高，因為這類服務允許不同的網站共用同一個父Apache伺服器，假設有駭客成功利用該漏洞，將能任意變動其他客戶的檔案或資料庫。<a href="https://www.ithome.com.tw/news/129802"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>假消息、V-DEM</strong></span></h3> <h2><strong>臺灣是連續五年受假消息攻擊最嚴重的國家</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/V-Dem%20Foreign%20dissemination%20of%20fales%20informaition%202018.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自v-den.net</span></p> <p>假消息對臺灣影響與危害的議題，不斷被討論，近期許多人引用了大型民主指標研究Varieties of Democracy（V-Dem）的分析結果（受政治學界所關注的V-Dem，在4月8日釋出的第9版資料庫），當中就有假消息與政府相關的量化數據。</p> <p>在V-DEM網站提供的自由民主指數中，使用者可透過互動式地圖項目查詢全球的現況，而在數位社會（Digital Society）中的一項變數中，是針對全球各國「遭受外國假資訊攻擊」（Foreign dissemination of fales informaition）的程度做調查，而此指標分數範圍在0到4之間，其中0分代表來自境外的假資訊最嚴重，4分則反之，意謂著分數越低越嚴重。而臺灣在此指標中得到0.26分，成為統計中最嚴重的國家，次之為拉脫維亞的0.52分。事實上，2012年最嚴重是拉脫維亞，但從2013年之後換成臺灣居首，且指標分數從0.64、0.52一直滑落，嚴重程度更甚。<a href="https://www.v-dem.net/en/analysis/MapGraph/"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>物聯網安全、ISAC</strong></span></h3> <h2><strong>打造物聯網資安聯防平臺，臺灣IoT-ISAC服務正式上線</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%8901%E7%89%A9%E8%81%AF%E7%B6%B2%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E6%9C%83.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／亞洲·矽谷計畫辦公室</span></p> <p>由國家發展委員會委託財團法人電信技術中心等執行的「亞洲·矽谷計畫－強化物聯網資安防護」，在本月10日正式宣布第一期的成果。該單位表示，已經完成物聯網系統層級安全評估機制，將可提出檢測方面的建議，並針對可能威脅進行有效預防措施，同時，物聯網資訊分享及分析中心（IoT-ISAC）正式上線，將可蒐集IoT相關資安事件資訊，提供資安事件統計資料，加速用戶瞭解目前國際或國內發生的資安漏洞或攻擊事件，當中並畫分了8大IoT類型，包括智能效能與環境監控、智慧商業、智慧製造、智慧能業、智慧醫療、智慧家庭、智慧交通與智慧物流的項目。<a href="https://www.communications.org.tw/news/policy/item/9167-0410.html"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>網路設備安全、思科</strong></span></h3> <h2><strong>思科遭爆RV320和RV325路由器安全補丁未修復漏洞，僅是避免有漏洞裝置被發現</strong></h2> <p>思科在一月時，針對企業級路由器RV320和RV325發出安全更新，以修補資訊洩漏及遠端攻擊漏洞，但是，通報的資安公司RedTeam Pentesting GmbH最近再次揭露，思科並沒有確實修補漏洞，僅是將資料傳輸工具curl列入黑名單，防止攻擊者使用curl發現存在漏洞的路由器，而非從根本修復路由器存在的漏洞。後續思科表示，當初的修復並不完整，目前他們正在積極修補這個漏洞。<a href="https://www.ithome.com.tw/news/129728"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>偷渡式下載、微軟</strong></span></h3> <h2><strong>微軟發布年度資安回顧報告，強調偷渡式下載攻擊在亞太最猖獗，而臺灣是最嚴重的地區</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Asia-dod.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／微軟</span></p> <p>繼賽門鐵克、趨勢科技、Check Point等資安廠商，揭露對於2018年整體資安態勢的觀察，最近微軟也公布了智慧資安報告（SIR），他們的看法大致如同其他業者，包含過去2017年頻頻出現的勒索軟體攻擊與加密貨幣挖礦手法，在2018年顯著降低，而軟體供應鏈和網路釣魚攻擊事件則是大幅增長。微軟並指出，亞太地區的資安威脅情勢，較全球整體來得嚴重，特別是偷渡式下載（Drive-by Download，DBD）攻擊的現象，出現再度氾濫的趨勢，且臺灣是亞太地區中最為嚴重的國家。<a href="https://www.ithome.com.tw/news/129806"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>勒索軟體</strong></span></h3> <h2><strong>紐約州阿巴尼市遭勒索軟體攻擊，致部份服務中斷</strong></h2> <p>這半年來，美國地方政府已遭到至少3起勒索軟體攻擊，三月底美國紐約州阿巴尼市系統也遭殃，導致部份服務中斷。3月30日，美國紐約州阿巴尼市（Albany）系統遭勒索軟體劫持，該市市長Kathy Sheehan於推特公告，但並未說明詳細受災情況。大部份市政服務也維持營運，不過確有數項市民服務受到影響，包括出生、死亡及結婚證明謄本無法由網路辦理，市民必須親自前往地區公務機關申請。<a href="https://www.ithome.com.tw/news/129764"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>網路身分驗證、硬體安全金鑰</strong></span></h3> <h2><strong>Firefox、Edge也能用WebAuthn硬體金鑰登入Google服務</strong></h2> <p>Google宣布，Google帳號開始轉換到WebAuthn標準，讓Firefox及Edge瀏覽器環境下，也能使用業界標準的FIDO2硬體式安全金鑰，來登入Gmail、Google Drive或G Suite等服務。在此之前，如果你想用USB安全金鑰登入Google旗下服務，只能使用Chrome瀏覽器與U2F Security Key，這是因為Google使用的是較早期的U2F協定，但Firefox、Edge與Safari並不支援。隨著去年FIDO 2身分驗證規格的推動，Google也啟動從U2F轉向以FIDO 2為基礎WebAuthn的過程。<a href="https://www.ithome.com.tw/news/129752"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>網路犯罪、臉書</strong></span></h3> <h2><strong>臉書暗藏由74個社團與38萬名成員組成的網路犯罪市集</strong></h2> <p>Cisco旗下的威脅情報研究組織Talos近日揭露，網路犯罪份子不只在地下論壇活動，也把個人資料、垃圾訊息服務或其他駭客服務的銷售行為光明正大地搬到臉書上，在臉書建立了74個社團，總計吸引了38.5萬名成員。而且，這些社團多數毫不避諱地採用非常明顯的名稱，例如專業的垃圾訊息（Spam Professional）、專業駭客（Spammer & Hacker Professional），以及提供臉書的網釣服務（Facebook hack--Phishing），或者是直接擺明要銷售信用卡的驗證碼等。當Talos向臉書檢舉時，站方很快就移除了大多數的駭客社團，但也發現新社團依然不斷開張。<a href="https://www.ithome.com.tw/news/129820"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>物聯網安全、家用路由器漏洞、DNS劫持</strong></span></h3> <h2><strong>駭客濫用Google平臺鎖定路由器展開DNS重導攻擊</strong></h2> <p>資安業者Bad Packets及網路測試業者Ixia，在最近幾個月相繼偵測到大規模鎖定家用路由器的DNS挾持攻擊，受到波及的路由器品牌涵蓋D-Link、Totolink、Secutech及ARG-W4等品牌，且相關攻擊全是利用Google Cloud Platform（GCP）的資源，成功利用了這些家用路由器的漏洞，並透過惡意DNS伺服器，將使用者的流量導至惡意網站。對此，安全研究人員建議，使用者應定期更新路由器韌體，或是檢查其DNS設定是否曾被竄改。<a href="https://www.ithome.com.tw/news/129819"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><a href="https://www.ithome.com.tw/news/129842">被行星家族的勒索軟體纏住了？別怕，Emsisoft釋出解密工具</a><br /><a href="https://www.ithome.com.tw/news/129873">Android間諜程式Exodus現身iOS平臺</a><br /><a href="https://www.ithome.com.tw/news/129773">微軟Azure AD Password Protection正式上線，提高密碼防護門檻</a><br /><a href="https://www.ithome.com.tw/news/129874">兩名高中生為了逃避考試摧毀學校的Wi-Fi網路</a><br /><a href="https://www.ithome.com.tw/news/129748">安全研究人員示範誤導特斯拉Model S駛入對向車道</a><br /><a href="https://www.ithome.com.tw/news/129742">Google修補Android 11項重大及高風險安全漏洞</a><br /><a href="https://www.ithome.com.tw/article/129461?page=2">【2019臺灣資安大會直擊】</a><br /><a href="https://www.ithome.com.tw/article/129719">【2019企業資安大調查】</a> </h4><p> </p></div></div></div>
2019/4/10 17:21作者羅正漢https://www.ithome.com.tw/news/129894
Wing獲准於澳洲推出商用無人機送貨服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/wing-aviation/wing-launches-commercial-air-delivery-service-in-canberra-5da134312474" target="_blank">澳洲民航局（Civil Aviation Safety Authority，CASA）已經批准Alphabet的無人機子公司Wing在澳洲北坎培拉的郊區社區提供無人機送貨服務</a>，同時Wing也宣布已與當地的餐廳或藥局合作，讓消費者透過行動程式訂購，而且在幾分鐘之內就能由無人機送達。</p> <p><a href="https://wing.com/australia/canberra" target="_blank">Wing</a>自2014年起便在澳洲展開無人機送貨測試，在最近的18個月，Wing已於特定社區執行超過3,000次的無人機送貨服務。</p> <p>CASA表示，當局已評估了所有的安全問題，因此不管是地上的人們、其它的財產或者是天上的飛機都不會因此而面臨風險。</p> <p>至於Wing目前在當地的合作對象則包括餐廳Kickstart Expresso，點心店Pure Gelato，巧克力專賣店 Jasper + Myrtle，麵包店Bakers Delight，墨西哥快餐店Guzman Y Gomez，高爾夫運動用品店Drummond Golf，以及藥局Capital Chemist。</p> <p>消費者則可透過Wing行動程式點餐或訂購其它商品，再由無人機送到家中。</p> <p>目前Wing只在Crace、Palmerston及Franklin等郊區的社區提供服務，在未來幾周則會擴大至Harrison與Gungahlin，亦打算擴充其商業合作夥伴。</p> <p>除了澳洲之外，Wing先前亦曾宣布將在今年春天於芬蘭首都赫爾辛基推出無人機送貨服務，惟迄今尚未發表。</p> </div></div></div>
2019/4/10 17:00作者陳曉莉https://www.ithome.com.tw/news/129887
突破開源資料庫與雲端業者的藩籬，GCP將整合7款開源資料庫解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/open-source/bringing-the-best-of-open-source-to-google-cloud-customers" target="_blank">Google於Google Cloud Next'19上宣布</a>，將於Google Cloud Platform（GCP）上整合7款開源資料庫專案，涵蓋Confluent、MongoDB、Elastic、Neo4j、Redis Labs、InfluxData與DataStax。</p> <p>Google解釋，開源資料庫是個快速成長且具規模的市場，根據SearchDataManagement.com的調查，企業用戶所開發的新應用中，有超過7成將於開源資料庫管理系統上運作，而既有以商用資料庫技術建置的關聯性資料庫中，有一半正準備或是即將轉移到開源平臺。</p> <p>此次Google所合作的資料庫開源專案皆各擅勝場，例如MongoDB為全球最受歡迎的文件資料庫，Elastic則是最熱門的搜尋技術，Neo4j專長在於圖像資料庫，InfluxData則以時序資料庫聞名。</p> <p>MongoDB<a href="http://www.mongodb.com/press/mongodb-and-google-cloud-announce-expanded-partnership-on-cloud-services" target="_blank">表示</a>，成為GCP上的一等服務代表資料庫使用者將可存取GCP上的核心功能，包括身分認證、存取管理、登入與監控、Kubernetes或Tensorflow等，同時也替彼此共同的用戶簡化了帳單計算，雙方亦將攜手推動服務的銷售。</p> <p>不過，最受外界矚目的是Google成功拆除了這些開源資料庫與雲端業者之間的藩籬。</p> <p>從去年開始，就有多個開源資料庫專案開始抵制雲端服務供應商，批評這些雲端業者利用開源專案的資源獲利，但貢獻卻非常地有限。其中之一的Confluent即在去年12月變更了該平臺的授權，雖然依舊允許使用者自由下載、變更及重新散布程式碼，但卻禁止任何人利用它來提供軟體即服務（SaaS）。</p> <p>當時Confluent執行長Jay Kreps說明，有些雲端業者會與開源公司合作，於系統上提供代管服務，但有些業者則是直接利用開源專案打造自己的版本並嵌入雲端服務中，後者只是為了自己的商業利益，而選擇在不違反授權的範圍內便宜行事。</p> <p>變更授權條款以抵制雲端平台的不只是Confluent，還包括Redis、MongoDB及Elastic等。Google並未揭露與這些開源專案合作所祭出的條件，但想必是個皆大歡喜的交易。</p> </div></div></div>
2019/4/10 17:00作者陳曉莉https://www.ithome.com.tw/news/129886
太浪費資源，中國打算淘汰挖礦產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.ndrc.gov.cn/yjzx/yjzx_add_fgs.jsp?SiteId=318" target="_blank">中國國家發展及改革委員會最近公布了《產業結構調整指導目錄》並對外公開徵求意見</a>，該目錄列出了鼓勵類、限制類及淘汰類等3類的產業別，而虛擬貨幣的挖礦活動即被列入淘汰類。</p> <p>中國的<a href="http://gys.ndrc.gov.cn/cyjgtzzdml20190408.pdf" target="_blank">《產業結構調整指導目錄》</a>主要是用來規範當地的產業發展方向，擬定優先發展順序，被歸類為淘汰類的產業特質包括不符相關法令規定，不具備安全生產條件，嚴重浪費資源，污染環境，以及需要被淘汰的落後工藝、技術、裝備與產品。在該目錄的第120頁把虛擬貨幣的挖礦活動納入了淘汰類別。</p> <p>中國在加密貨幣的挖礦上具備許多優勢，因而凝聚不少大型的挖礦農場，例如當地有許多繪圖卡工廠及ASIC礦工，購買或運送挖礦設備都比較便宜，且電費也相對低廉，中國政府更曾針對礦場調降電費，等於是變相鼓勵該產業。</p> <p>根據統計，全球有114國家設有挖礦農場，吸引近10萬名礦工，他們在2017年的挖礦產值為41億美元，而在CoinInsider去年所列出的全球前五大礦場分別座落於俄羅斯的莫斯科、瑞士的蘭塔、中國大連、冰島的雷克雅維克，以及美國華盛頓。</p> <p>其中，大連的礦場每月可挖出750個比特幣，採礦效能（hash rate）最高可達360,000TH，約佔整個比特幣網路的3%。</p> <p>而就在中國著手限制ICO（首次代幣發行）與加密貨幣的交易後，也日益將焦點移到當地的礦場。</p> <p>南華早報引述加密貨幣分析師Michael Zhong的看法指出，倘若中國政府落實了《產業結構調整指導目錄》，當地的礦工就必須轉移陣地到其它國家，屆時比特幣的挖礦行為將變得更分散，而不再由中國主導。</p> </div></div></div>
2019/4/10 17:10作者陳曉莉https://www.ithome.com.tw/news/129888
Google全面推出混合雲平台Anthos
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在本周於舊金山舉行的Google Cloud Next'19將去年發表的<a href="http://www.ithome.com.tw/news/124764" target="_blank">混合雲解決方案Cloud Services Platform</a>正名為Anthos，<a href="https://cloud.google.com/blog/topics/hybrid-cloud/new-platform-for-managing-applications-in-todays-multi-cloud-world" target="_blank">同時宣布已脫離測試階段並全面釋出</a>。</p> <p><a href="https://cloud.google.com/anthos/" target="_blank">Anthos</a>為一混合雲及任務管理解決方案，它能在GCP（ Google Cloud Platform）及Google Kubernetes Engine（GKE）上運作，或是在具備GKE On-Prem的用戶資料中心端運作，亦允許用戶管理於諸如AWS或Azure等第三方雲端上的任務。</p> <p>這意謂只要透過Anthos就能在任何雲端上部署、執行或管理各種應用，不必再學習不同的環境與API；它的配置管理介面則能建立多叢集政策，執行角色存取控制，創造命名空間或是分配資源，簡化多雲的管理程序。</p> <p>Google表示，Anthos是個百分之百的軟體解決方案，採用各種開源的API，可直接於用戶既有的硬體上執行，由於它奠基於GKE，因此能自動取得最新的功能與安全更新。</p> <p>目前Google也正在測試Anthos Migrate，能自動將位於就地部署或其它雲端上的虛擬機器遷移到GKE的容器中，且不必事先修改原始的虛擬機器或應用。</p> <p>迄今已有超過30家硬體、軟體及系統整合商接納了Anthos，其中，思科將在旗下的Cisco HyperFlex、Cisco ACI、Cisco SD-WAN 及Cisco Stealthwatch Cloud等資料中心技術整合Anthos；而VMware、Dell EMC、HPE、英特爾與聯想也承諾將在自家的超融合基礎設施上提供Anthos。</p> <p>Google並未公布Anthos的價格，但有媒體報導它採用訂閱制，100個虛擬中央處理單元的單月費用為1萬美元，外界則預期企業應可協商不同的交易價格。</p> </div></div></div>
2019/4/10 13:45作者陳曉莉https://www.ithome.com.tw/news/129879
AWS想阻止股東反對人臉辨識技術出售美國政府，遭主管單位駁回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Amazon Web Service（AWS）打算將臉部辨識技術Rekognition賣給美國政府的決策，遭自家股東反對並要求在股東大會投票表決此案，AWS企圖推翻股東提出的投票草案，但<a href="https://www.sec.gov/divisions/corpfin/cf-noaction/14a-8/2019/johnharringtonetalrecon040319-14a8.pdf" target="_blank">遭主管機關美國證管會（SEC）二度駁回</a>。</p> <p>去年AWS母公司Amazon的股東，企圖阻止這家雲端平台業者將Rekognition賣給美國政府。去年年中<a href="https://www.ithome.com.tw/news/123949" target="_blank">十多名Amazon股東去信要求</a>Amazon執行長Jeffrey Bezos停止開發與行銷AWS的Rekognition人臉辨識服務，美國公民自由聯盟（American Civil Liberties Union，ACLU）也連署15萬人提出同樣訴求，因為他們擔心Rekognition讓美國政府更容易進行人民監控。今年一月，Amazon一群股東偕同隱私權團體Open MIC發出<a href="https://static1.squarespace.com/static/57693891579fb3ab7149f04b/t/5c2cf4f86d2a73e6a9cfd391/1546450246520/Amazon+Prohibit+Sales+Resolution" target="_blank">公開聲明</a>，要求Amazon董事會在獨立機關評估之前，禁止將Rekognition賣給政府機關。Amazon股東預計在最近（可能於5月）的年度股東大會中投票以推動這項決定。</p> <p>AWS指出，Amazon Rekognition可用來分析影片中的各種物件，包括人物、文字與場景等，並標榜有精準的臉部分析與辨識，可應用於使用者驗證、人數計算及公共安全等領域，像是員工出入檢查及影像安全監控。目前Rekognition已經在佛羅里達州及奧勒岡州機場進行測試。</p> <p>AWS自然不希望失去爭取政府大案的機會。他們企圖引用美國SEC的豁免規定，這項規定將最近一個會計年度內營收規模小於公司總資產5%，或是淨利及銷售總額小於全公司5%的業務排除在言論自由保護範圍之外，希望能推翻股東提出的投票草案。</p> <p>不過Amazon分別在3月中及3月底先後向SEC提出重審的申訴，希望阻止投票動議，但皆遭SEC駁回。在4月初的公告中，SEC指出，Amazon提出排除股東會動議的理由依法無據，也會違反SEC對關於人權侵犯的股東會草案做出的一貫裁決。SEC認為股東會動議不僅要防止Rekongition遭濫用，而且也要防止當該軟體落入政府及警察單位手中可能的威脅及隱私疑慮。SEC認同這項動議是基於Amazon產品與服務對公民自由、隱私和公共信任造成風險提出，因此仍然維持上次決定，駁回Amazon的申訴。</p> <p>Open MIC執行總監Michael Connor透過聲明<a href="https://www.openmic.org/news/2019/4/4/a-win-for-shareholders-amazon" target="_blank">肯定</a>此項決定，表示尤其是大型法人股東必須在此重要議題上對Amazon高層表達關切並投下關鍵一票，以此驅策Amazon。</p> <p>不只是Amazon/AWS，Google在中國的<a href="https://www.ithome.com.tw/news/125316" target="_blank">「蜻蜓專案」</a>（Project Dragonfly）與微軟出售給美國國防部的<a href="https://www.ithome.com.tw/news/128940" target="_blank">軍用混合實境智慧頭盔HoloLens</a>，都因為政府監控和軍事用途，分別遭到公司員工和人權團體的反對，其中只有Google合作對象的是中國政府而可能被迫中止。</p> </div></div></div>
2019/4/10 11:00作者林妍溱https://www.ithome.com.tw/news/129877
Fintech周報第94期：LINE預計招募50位開發工程師，瞄準金融服務釋出多項職缺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">04/06-04/12</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 人才招募 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">LINE預計招募50位開發工程師，瞄準金融服務釋出多項職缺</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">LINE臺灣前陣子承諾2019年將針對開發者社群投入更多資源，近期便宣布將於5月18日，舉辦首屆LINE Developers Recruitment Day工程師招募活動，預計招募超過50位開發工程師，釋出職缺包含資安工程師、資料工程、前端與後端工程師等。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">LINE表示，此次徵才將針對近期LINE推出的服務，來招募開發人才。LINE積極在臺布局純網銀、LINE Pay等金融服務，此次在金融服務部分，釋出職缺包括了金融科技與區塊鏈相關內容，還有支付與虛擬貨幣等。而電商與旅遊導購平臺的串接，則釋出前端與後端工程師的職缺。LINE表示，資料工程團隊也是此次的招募重點，是為了協助LINE各服務，能運用資料科學與機器學習技術。此外，LINE也提到資安團隊也持續招募新血中。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 星展銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 企業帳戶即時管理 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">星展銀行推企業帳戶即時管理服務，助提升現金管理流程效率</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%98%9F%E5%B1%95%E9%8A%80%E8%A1%8C_%E6%94%9D%E5%BD%B1_%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="font-size: 14pt;" /></p> <p><span style="font-size: 18.6667px;">星展銀行（臺灣）於4月2日宣布，推出創新API方案DBS Ideal Rapid企業帳戶即時管理服務，協助企業快速掌握帳款交易資訊。星展銀行總經理林鑫川表示，現金管理是影響企業營運效能的關鍵，這項服務是透過API技術，提升企業現金管理流程效率，讓企業客戶在營運資源分配上能更靈活。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">星展銀行環球金融交易服務處處長陶曉昀則提到，對帳戶與金流的即時掌握，是企業維持競爭力不可或缺的一環。DBS Ideal Rapid企業帳戶即時管理服務，是透過API技術，自動整合不同通路的匯款資訊，並主動發送入帳通知，讓企業隨時掌握帳務狀態。同時透過串連財務系統與ERP系統，取得相關交易資訊，讓客戶不再需要登入網銀，即可查詢帳戶餘額及歷史交易記錄，節省對帳作業流程。此外，DBS Ideal Rapid還提供臺幣即時轉帳匯款功能，能快速執行各項應收或應付帳款動作，滿足企業日常交易需求。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 新光金控 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Fintech </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">新光金控揭露子公司2019年Fintech發展新規畫</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E6%96%B0%E5%85%89%E9%87%91%E6%8E%A7_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%96%B0%E5%85%89%E9%87%91%E6%8E%A7.jpg" /></span></strong></p> <p><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新光金控在3月28日舉辦2018年第四季法說會，針對旗下的新光人壽、新光銀行與元富證券等子公司，也提出2019年的發展規畫。主打外幣保單與保障型商品銷售的新光人壽，將會聚焦同一方向，並精實自有通路與發展夥伴多元通路。他們也要持續推廣數位服務，讓客戶能自主在網路通路，使用保險相關服務或進行交易。此外，新光人壽也將升級智能客服，希望能提高客戶滿意度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">而新光銀行，則將整合共同客戶，精進數位金融業務，目標是讓數位金融活戶與數位收益成長。而作為新光金控第三大獲利引擎的元富證券，則將結合金控資源，提升經紀業務市佔率。也將持續與新光人壽、新光銀行共同行銷，強化業務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 玉山銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 聲控 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">玉山行動銀行App支援Siri語音服務，可聲控開啟即期匯率或即時轉帳功能</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E7%8E%89%E5%B1%B1%E8%A1%8C%E5%8B%95%E9%8A%80%E8%A1%8CApp_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%8E%89%E5%B1%B1%E9%8A%80%E8%A1%8C.jpg" /></p> <p><span style="font-size: 18.6667px;">玉山銀行於4月8日宣布，玉山行動銀行App推出支援Siri語音服務，用戶只要透過聲控呼叫開啟功能，就可以查看即期匯率或即時轉帳。而玉山銀行也是國內首家推出此項服務的金融業。玉山銀行表示，只要是使用iOS 12或以上版本的iPhone用戶，即可開啟玉山行動銀行App，進入外匯匯率與即時轉帳功能後，點選加入Siri，即可自訂錄製呼叫語音，往後即可用此錄製下來的語音，呼叫Siri開啟即時轉帳功能或進入外匯匯率功能。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 洗錢防制法 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 虛擬貨幣事業 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">洗防法納管虛擬通貨事業，最快本月底敲定納管範圍</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">臺灣在去年11月正式三讀通過了洗錢防制法第五條修正案，將虛擬通貨平臺及交易業務，正式納入洗錢防制的一環。然而，洗防法修正案三讀通過後已5個月，相關子法卻還沒訂定出來，以至於法令無法上路。引述經濟日報報導，法務部與金管會，預計最快4月底前敲定虛擬貨幣業者的納管範圍，接著才會訂定子法，將虛擬貨幣業者納入反洗錢管理。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 永豐銀行 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 開放API </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">永豐銀開放出四大類API，包括消費支付、生活繳費、身分認證與金融資訊服務</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965_%E6%B0%B8%E8%B1%90%E9%8A%80%E8%A1%8C.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">永豐銀行2019年推出Partner APIs四大藍圖，要力推開放銀行，包括消費支付、生活繳費、身分認證與金融資訊服務API，讓企業透過串接API的方式，加速創新以滿足市場需求，也要讓銀行服務無所不在。永豐銀行舉例，如果是消費支付應用的企業，例如支付業者，導入消費支付API後，永豐銀行的客戶就可直接綁定帳戶，在業者端進行消費、儲值。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">若企業有定期性收款需求或提供繳費服務，即可運用生活繳費API，即能支援34項生活帳單及捐款服務。若企業需要身分認證功能，例如證券商在開戶功能導入身分認證API，民眾在開立證券戶後，也能直接線上驗證銀行帳戶，不用再跑一趟分行或券商。若企業經營旅遊或跨國購物相關服務，也可導入金融資訊服務相關API，提供即時金融匯率資訊。永豐銀也預計未來，身分認證除傳統的金融卡或帳號、密碼外，也將加入生物辨識技術，讓服務更為安全、便利。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 詐騙 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">韓國警方以AI糾出加密貨幣龐氏騙局首腦</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">韓國當地媒體報導，韓國警方在人工智慧（AI）的協助下，成功逮捕到一宗加密貨幣龐氏騙局的首腦及其下線。韓國警方指出，李姓及Bae姓主嫌成立會員制的購物網站及加密貨幣M-Coin的交易平臺，從去年5月起的6個月間成功吸收到5.6萬名會員，透過會員費和出售M-Coin總共吸金高達約212億韓圜（約1,870萬美元）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">這次行動很特別的是動用到AI技術。這家「公司」十分狡猾，會計系統設立於境外避免追查，去年南韓警方啟動調查後還轉入地下，將系統藏於私人家中甚至汽車行李箱。警方以龐氏騙局相關用語，包括「借貸」、「保證收入」、「風險因子」等字詞來訓練AI演算法。警方表示，配合消息人士提供的證據，這套AI系統還能辨識出吸收下線的廣告特徵及可疑公司。最後AI系統成功循線糾出一干人等及其伺服器和電腦。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="vertical-align: top; font-size: 14pt;">攝影／</span><span style="vertical-align: top; font-size: 18.6667px;">洪政偉；</span>LINE、新光金控、玉山銀行、永豐銀行<br style="vertical-align: top;" /><br /><span style="vertical-align: top; font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong style="font-size: 14pt;">比特幣價格回升，截至4月9日已衝破5,300美元</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2. </strong></strong></strong><strong style="font-size: 14pt;">財金公司開放API研究諮詢小組，除原有的10席金融機構成員，另5席金融機構代表為華銀、兆豐銀、彰銀、板信商銀、合作金庫</strong><br /><strong style="font-size: 14pt; vertical-align: top;">3. </strong><strong style="font-size: 14pt;">AWS推出預配置的深度學習容器</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年4月</strong></strong></strong></p> </div></div></div>
2019/4/10 11:58作者李靜宜https://www.ithome.com.tw/news/129878
臉書開源程式碼推薦工具Aroma
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/aroma-ml-for-code-recommendation/">臉書開源應用機器學習的程式碼推薦工具Aroma</a>，能以程式碼搜尋程式碼的方式，幫助開發者針對特定任務，查詢其他開發者的處理方法，Aroma可以搜尋大型程式碼庫，並提供程式碼推薦結果，以加速開發者的開發效率。</p> <p>臉書提到，過去沒有任何工具可以良好的解決程式碼推薦問題，無論是文件搜尋工具還是程式碼搜尋工具，取得的結果都不夠精準，難以找到適合可立即使用的程式碼撰寫模式。Aroma可以讓開發者直接以程式碼片段進行搜尋，Aroma則會回傳程式碼建議，而這些建議來自程式碼儲存庫中，找到的程式碼片段匯總。</p> <p>臉書舉例，當Android開發者想要了解其他人撰寫點陣圖解碼的寫法，就能使用原本的程式碼（下圖）進行搜尋，Aroma回傳的每個程式碼建議結果，是匯總儲存庫中數個程式碼片段而成，能夠呈現點陣圖解碼常用的程式碼寫法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine1_FireShot%20Capture%20255%20-%20Aroma_%20Using%20ML%20for%20code%20recommendation%20-%20aifacebookcom.jpg" style="width: 600px;" /></p> <p>Aroma從儲存庫中找到五個類似的方法，合成為最終的程式碼建議結果，下圖這個建議結果簡化了各個方法的具體細節，但是依照結果可以知道，這五個參考的程式碼方法，開發者們在解碼點陣圖的時候，都設置了額外的Options，並且設定了SampleSize以減少解碼大型點陣圖時的記憶體使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine2_FireShot%20Capture%20255%20-%20Aroma_%20Using%20ML%20for%20code%20recommendation%20-%20aifacebookcom.jpg" style="width: 600px;" /></p> <p>與其他搜尋解決方案不同的是，Aroma並非以字串或是Token進行匹配，而是找出能類似查詢程式碼的例子，並且修剪不相關的程式碼，以突顯需要強調的部分。而且Aroma所產生的程式碼建議，是匯總相似程式碼的結果，這些推薦結果代表著慣用寫法，因此比起單一搜尋結果，更具代表性也更容易使用。</p> <p>臉書也強調，Aroma的執行速度非常快，可以即時的提供結果，即便在非常龐大的程式碼儲存庫，也只要幾秒鐘的時間創建建議，不需要進行預先的模式探勘，而且Aroma的核心演算法與語言無關，臉書在內部的Hack、JavaScript、Python和Java程式碼褲都部署了Aroma。</p> </div></div></div>
2019/4/10 10:25作者李建興https://www.ithome.com.tw/news/129869
歐盟施壓，迫使臉書將明文告知他們利用消費者個資發送廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迫於歐盟壓力，歷經多次重大資料外洩事件的臉書同意修改其服務條款，明白解釋蒐集用戶資料發送精準廣告以換取免費服務。</p> <p><a href="http://europa.eu/rapid/press-release_IP-19-2048_en.pdf" target="_blank">歐盟指出</a>，新的服務條款將將以簡單易懂的語言，向使用者說明臉書提供給消費者（使用者）的哪些服務中，有哪些是根據其使用者資料而來、消費者要如何關閉帳號，以及哪些理由下可關閉帳號。</p> <p>歐盟法律、消費者與性別平等委員會主席Vera Jourova表示，臉書終於在服務條款中展現透明度及淺白語言，未來用戶將能明白他們的資料會被臉書用來銷售精準廣告。</p> <p>去年臉書爆發劍橋分析（Cambridge Analytica）高達8700萬筆用戶個資外洩事件，歐盟及歐洲各國消費者保護主管機關啟動調查，要求臉書需清楚告知用戶他們的商業模式、哪些營收是來自使用用戶的資料，也要求這家社群平台未來服務條款需遵守歐盟消費者法規。</p> <p>因此未來臉書將在其新版服務條款中，解釋他們免費提供消費者服務的代價是將其資料分享給廣告主，也會說明其商業模式仰賴依據使用者的資料分析，以銷售精準廣告給廠商。</p> <p>此外，臉書也將修改過去條款中不合理的部份，包括像個資遭誤用等事件發生時，臉書規避責任（現在將負起責任）、單方面變更服務條款的權利（除非是基於合理原因且考慮用戶的變更）、暫時保留用戶已刪除的內容（現在僅能因法規才能這麼做，且最長只能保留90天）。此外，也會說明用戶內容遭臉書移除時，應明白告知用戶其申訴的權利。</p> <p>臉書需在2019年6月底完成上述變更，如果臉書未能做到，則各國主管機關可能決定啟動執法，包括禁用令。</p> <p><a href="https://techcrunch.com/2019/04/09/its-free-youre-the-product/" target="_blank">Techcrunch引述</a>臉書發言人指出，雖然更新服務條款是與歐洲消費者保護主管機關的協議結果，但上述變更將適用於全球臉書網站。</p> </div></div></div>
2019/4/10 10:30作者林妍溱https://www.ithome.com.tw/news/129876
【iThome 2019 CIO大調查】轉型領先企業CIO今年優先目標為何？
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/915_feng_mian_gu_shi_2shu_wei_zhuan_xing_qi_ye_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-3(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-4.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B2(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-5.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 153, 255);"><strong>問卷執行說明</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，有效問卷數382份。其中已經完成數位轉型或正在執行中的企業，有206家，定義為數位轉型領先者，其餘則仍處於規畫中（規畫中者)，或甚至是自認不需要或還沒有任何轉型作為者（落後者）。有76.7％填答者是企業IT部門最高主管。</strong></span></p> </div></div></div>
2019/4/10 09:00作者王宏仁https://www.ithome.com.tw/article/129826
美國總務管理局釋出聯邦政府網頁設計系統USWDS 2.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總務管理局（U.S. General Services Administration，GSA）的技術轉型服務（Technology Transformation Services）底下的專案<a href="https://v2.designsystem.digital.gov/whats-new/updates/2019/04/08/introducing-uswds-2-0/">美國網頁設計系統（U.S. Web Design System，USWDS）釋出了2.0版本</a>，現在於<a href="https://github.com/uswds/">GitHub</a>中開源。USWDS由程式碼函式庫、工具程式和設計指南集合而成，目的是要幫助美國聯邦政府團隊，設計和建構出快速無障礙，適合行動裝置存取的政府網站。</p> <p>USWDS已經被200多個美國聯邦政府網站採用，過去兩年，官方收集設計與開發人員對USWDS專案的使用意見，並在研究了使用者回饋後，現在改版推出USWDS 2.0，強調模組化與使用者中心設計，加強無障礙設計與行動裝置的支援，提供設計人員一致的溝通語言簡化溝通工作，這個版本推出了功能強大的工具包，還開源了無襯線適合閱讀與表格資料的字體<a href="https://github.com/uswds/public-sans">Public Sans</a>。</p> <p>官方提到，開發者可以在原來的網站逐漸加入USWDS元件，不用為了要採用USWDS 2.0而從頭建置網頁，USWDS 2.0提供增量更改，以類別的方式提供獨立的樣式，不會影響網頁原有樣式，其模組化元件讓開發者可以靈活的新增功能，而設計人員也使用自定義字體以及設定大小。USWDS 2.0提供了專案共享的視覺設計決策模組Design tokens，以一組離散的顏色、大小與距離等選項，簡化設計人員的選擇以及溝通工作，解決因選擇太多造成的選擇或溝通困難，標準化調色盤、基本間距單位以及Type Scale都能幫助加速設計規格制定。</p> <p>USWDS 2.0的顏色系統讓設計人員能簡單的挑選無障礙設計顏色組合，每個USWDS系統顏色都有數字等級，任兩個數字間的差距越大則代表對比度越大，數字差40以上達AA Large對比，50以上就達到AA對比，而70以上則符合AAA對比，設計人員可依數字差簡單地選擇出可預測效果的顏色。</p> <p>為了讓開發人員更快開發出網站原型，官方為USWDS加入工具程式類別，這是基於Design tokens的現代設計方法，可以讓開發人員快速修改生產元件，在不需要撰寫專用CSS的情況下，輕鬆地建立可操作原型。USWDS 2.0提供簡化的12欄布局網格，這是一種基於Flexbox的網格，為設計與開發人員提供可以預測的控制，由於網格的巢狀結構，設計人員可以簡易的設計出適合各種螢幕大小的布局。</p> <p>USWDS還開源了免費的字體Public Sans，USWDS 2.0開始支援自定義字體，而當開發者需要一個簡單且中立的字體，則可以選擇使用Public Sans，Public Sans是由USWDS專案設計和維護的字體，從Libre Franklin改編而來的無襯線字體，專為易讀性設計，並且還有為表格資料設計的數字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/public-overlay-libre-franklin.png" style="width: 600px;" /></p> </div></div></div>
2019/4/10 09:39作者李建興https://www.ithome.com.tw/news/129867
Android間諜程式Exodus現身iOS平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lookout.com/esurv-research" target="_blank">資安業者Lookout指出</a>，過去在Android平台上肆虐的間諜程式Exodus已被移植到iOS平台上，且利用蘋果專為大型企業設計的Apple Developer Enterprise Program誘導使用者下載及安裝，儘管iOS版的Exodus不如Android版的強大，但它依然能夠竊取iOS裝置上的通訊錄、照片、GPS位置、裝置資訊，甚至是遠端竊聽。</p> <p>安全無疆界（Security Without Borders）組織率先在去年6月揭露了Exodus，當時它主要鎖定Android裝置，偽裝成各式電信營運商的服務程式，還成功登上了Google Play，但受害者全都位於義大利。</p> <p>Lookout則說，Exodus不僅使用憑證綁定、以公鑰加密與遠端控制暨命令伺服器的傳輸、特定階段設有區域限制，而且還具備完整的監控能力。</p> <p>不管是<a href="https://securitywithoutborders.org/blog/2019/03/29/exodus.html" target="_blank">安全無疆界</a>或Lookout都追蹤到Exodus是源自於義大利的eSurv及Connexxa，前者是一家提供視訊監控軟體及影像辨識系統的業者，且這兩家業者擁有同樣的創辦人。Google已在去年下半年移除了Google Play上與Exodus有關的行動程式，但它現在卻重新現身於iOS平台。</p> <p>不過，Exodus並非透過App Store散布，而是濫用了蘋果的Apple Developer Enterprise Program，該專案允許企業打造私有程式以供員工使用，而且只需要滿足諸如是家真正的企業、具備Apple ID及擁有D-U-N-S號碼等規定就能申請。</p> <p>於是，駭客偽造了義大利與土庫曼的電信業者網站，在網站上提供了假冒為電信服務的IPA（iOS App Store Package）程式，相關的IPA程式皆含有具備企業憑證的行動供應配置文件，因而得以透過App Store以外的網站散布。</p> <p>雖然iOS版的Exodus不如Android版強大，也只具備Android版的部份功能，但它依舊能竊取使用者裝置上的通訊錄、錄音、照片、影片、GPS位置、裝置資訊，或是執行遠端竊聽等，同時它也能在使用者毫無察覺的情況下自行啟動。</p> <p>蘋果在收到Lookout的通知後已撤銷了相關程式所採用的憑證。</p> </div></div></div>
2019/4/10 09:45作者陳曉莉https://www.ithome.com.tw/news/129873
兩名高中生為了逃避考試摧毀學校的Wi-Fi網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國紐澤西州高中Secaucus School的兩名學生最近遭到警方逮捕，原因是<a href="https://newyork.cbslocal.com/2019/04/02/police-secaucus-high-school-freshmen-hacked-schools-wi-fi-made-life-difficult-for-teachers-for-week/" target="_blank">這兩名學生為了幫助同學逃避上課及考試，摧毀了學校的Wi-Fi網路</a>。</p> <p>根據外電報導，這兩名學生都只有14歲，他們遞送龐大的流量至學校的路由器，造成路由器當機，也讓校方的Wi-Fi網路不通，使得仰賴網路的師生們無法登入學校系統、沒法作功課、沒法上課，也無法考試，而且持續了一周。</p> <p>警方則說他們是利用其它公司的服務駭進並關閉學校的Wi-Fi網路，且在今年3月便執行了多次攻擊。</p> <p>這兩名學生的同學透露，他們應該是在其他同學的要求下才發動攻擊，原因只是有的同學不想上課及考試。不管他們有沒有成為同學心目中的英雄，都已被控告參與電腦犯罪及共謀電腦犯罪。</p> </div></div></div>
2019/4/10 10:05作者陳曉莉https://www.ithome.com.tw/news/129874
Visual Studio 2019鮮為人知的小功能更新，現可為Git拉取設置快捷鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟剛釋出了Visual Studio 2019，這個版本簡化了程式碼開發工作的起始流程，同時也更新了使用者介面，整體顏色主題更加銳利，也更新了許多程式碼開發功能，並且開始內建遠端程式碼協作服務Live Share等。除了這些官方主打的功能之外，<a href="https://devblogs.microsoft.com/visualstudio/little-great-things-about-visual-studio-2019/">Visual Studio 2019也更新了一些有用的小功能</a>。</p> <p>Visual Studio之前的版本，會在解決方案關閉之後，保存使用狀態以便在下一次開啟時，可以在解決方案資源管理器中，恢復專案和文件夾的折疊與展開狀態，但對於喜歡每次開啟解決方案時都能擁有乾淨面板的使用者，這樣的設計就不那麼友善了，而現在Visual Studio 2019原生加入清理解決方案載入的功能。</p> <p>這項功能由兩個獨立的複選框控制，使用者可以在Ctrl+Q搜尋Load，並在專案與解決方案中的一般選項頁面，反勾選解決方案載入時重新開啟文件，以及反勾選解決方案載入時，恢復解決方案資源管理器的階層狀態兩個選項，這樣不只可以讓介\面更加簡潔，也會因為減少了Visual Studio回復狀態的時間，專案載入的速度更快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/solution-load-perf-settings.png" style="width: 600px;" /></p> <p>開發者現在也可以為Git拉取動作加入快捷鍵，過去使用者可以在團隊資源管理器、命令列或使用外部工具執行Git拉取，但是複雜的手續常讓開發者忘記在提交之前，先執行Git拉取動作而產生程式碼衝突，而現在Visual Studio 2019讓開發者可以在鍵盤快捷鍵設置拉取命令，只要以Ctrl+Q搜尋Keyboard，並在環境的鍵盤選項頁面，找到Team.Git.Pull命令，並且指定任意快捷組合，就能快速執行Git拉取。</p> <p>Visual Studio 2019還支援了C#程式碼清理功能，幫助開發者保持程式碼整齊，以及維持一致的程式碼風格。開發者可以在編輯器底部的程式碼清理選單中，點擊配置程式碼清理按鈕，在開啟的對話框中，將下方的可用修復規則，加入到上方的已包含的規則中，這樣每次開發者執行程式碼清理的時候，都會自動應用自這些程式碼風格規則。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/clipboard-preview.png" style="width: 600px;" /></p> <p>開發者常用的剪貼簿功能現在更加方便，由於開發者在Visual Studio使用Ctrl+C複製程式碼時，都會被儲存在剪貼簿堆疊（Clipboard Ring）中，使用Ctrl+Shift+V可以循環剪貼簿堆疊中的項目，並貼上開發者選擇的項目，而在Visual Studio 2019中，當開發者按下Ctrl+Shift+V時，現在會顯示剪貼簿堆疊內容的視覺預覽，而這將讓開發者夠容易的在歷史複製中，瀏覽並且選擇正確的項目。</p> <p>除此之外，Visual Studio 2019也提供開發者快速收藏程式碼的功能，Git Stash就像是TFS中的Shelveset功能一樣，不需要創建分支，就能儲存專案程式碼，開發者可以在團隊資源管理器視窗中管理這些收藏，現在這個功能內建於Visual Studio 2019中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/git-stash.png" style="width: 600px;" /></p> </div></div></div>
2019/4/10 10:12作者李建興https://www.ithome.com.tw/news/129868
微軟更新抓漏政策，所舉報的漏洞就算內部已知情，也能獲得全額獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.technet.microsoft.com/msrc/2019/04/02/microsoft-bounty-program-updates-faster-bounty-review-faster-payments-and-higher-rewards/" target="_blank">微軟宣布</a>抓漏獎勵專案（Microsoft Bounty Program）將與HackerOne平台合作以加速抓漏獎金的發送，同時提高獎金及抓漏範圍，還變更了重覆提交漏洞的獎勵政策，舉凡是第一個提交的安全人員，都能獲得全額的獎金，不管微軟內部是否已經抓到該漏洞。</p> <p>微軟在2018年總計發出了超過200萬美元的抓漏獎金，從今年1月起，微軟即開始加速獎金的發放流程，在Cloud、Windows及Azure DevOps抓漏專案中，只要微軟完成漏洞的評估或重製即會發送獎金，而不必再等到修補完成。</p> <p>此外，未來微軟將與HackerOne平台合作以加速獎金支付程序，因此可提供更多的支付選項，涵蓋PayPal、加密貨幣、或多達30種法定貨幣的轉帳，也能拆分獎金並把它們捐給不同的慈善機構。</p> <p>目前微軟與HackerOne的合作只限於抓漏獎金的發放，漏洞報告仍然是由微軟安全回應中心（Microsoft Security Response Center）負責。</p> <p>今年微軟也將把Windows Insider Preview抓漏專案的最高獎金從1.5萬美元提高到5萬美元，將Microsoft Cloud抓漏專案的獎金從1.5萬美元提高到2萬美元，也將擴大Cloud專案與其它專案的抓漏範圍。</p> <p>另一方面，過去當安全研究人員所舉報的漏洞是內部已知漏洞時，微軟僅會象徵性地提供10%的漏洞獎金，但微軟現在認為，光是得知外部研究人員所具備的發現能力就是有價值的，因此決定變更該政策，只要是第一個回報符合資格之漏洞的研究人員，就算是微軟內部已知的漏洞，也能獲得全額獎金。</p> </div></div></div>
2019/4/10 10:15作者陳曉莉https://www.ithome.com.tw/news/129875
IDC和微軟聯手發布亞太AI大調查的臺灣數據，僅3成臺灣企業擁抱AI，保守文化是最大阻力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究機構IDC亞太團隊和微軟今天在臺公開了一份針對亞太15個市場的亞太AI大調查結果，IDC台灣區總經理江芳韻指出，台灣目前只有32%的企業開始擁抱AI，低於亞太地區的41%，阻力包括普遍保守的企業文化、習慣規避風險的思維以及缺乏穩健的導入計畫。</p> <p>IDC調查了亞太國家1,605位企業CXO等級高階主管和1,585位第一線員工，其中包括了台灣100家企業的決策者，以及104個第一線員工，最後在2月發布了一份《未來預備式：借助AI掌握亞洲的增長潛能》報告（Future Ready Business: Assessing Asia’s Growth Potential Through AI）。其中，IDC臺灣特別針對台灣調查結果與亞太區結果進行比較。全亞太區調查對象所屬產業遍布金融服務、政府部門、醫療照護、製造、教育、服務、電信和零售等，以線上問卷、電訪或面對面訪談的方式進行。</p> <p>IDC指出，AI對企業的影響可從三個面向來看，分別是創新力、生產力與競爭力。創新力是企業因AI技術而發展的新產品／新服務佔所有產品或服務的比例。亞太區的比例是22%，IDC預估2021年預測可以達到42%，但台灣則只有13%，2021年也預計達到31%，不過，臺灣區的成長幅度以2.4倍高於亞太區的1.9倍，IDC指出，雖然臺灣遠低於亞太區平均值，但反過來說，台灣擁抱AI後將帶來更高的效益與機會。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0036.JPG" style="width: 600px;" /></p> <blockquote><p>亞太地區（左）與台灣（右）創新力的比較。</p> </blockquote> <p>第二項是生產力指標，跟根據IDC調查，台灣企業導入AI後，生產力從現今的12%到2021年預測可達30%，預估可成長2.5倍，也高於亞太地區的1.9倍；在在競爭力指標上，71%的台灣企業認為，AI未來3年將與公司的競爭力高度相關，對已經導入AI的領先企業來說，3年後的競爭力將有2.2倍的成長。江芳韻指出，企業的競爭力將取決於創新的速度與營運的效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0042.JPG" style="width: 600px;" /></p> <blockquote><p>亞太地區（左）與台灣（右）生產力的比較。</p> </blockquote> <p>研究報告中也揭示了5個驅動企業導入AI的因素，包括與顧客更好的互動（Better Customer Engagements）、更多創新（Accelerated Innovation）、更多獲利（Higher Margins）、更有競爭力（Higher Competitiveness）、生產力的提升（Productive Employees）。</p> <p>不過，台灣與亞太區擁抱AI的理由差異很大。44%的台灣企業認為，「與顧客更好的互動」是導入AI最重要的因素，遠高於亞太區的26%，江芳韻解釋：「對台灣企業來講，怎麼樣去經營跟客戶的關係、得到客戶的支持、提升客戶的滿意度與忠誠度，在目前是有很高的需求與期待。」</p> <p>雖然台灣企業對於AI前景樂觀，但也非所有企業都具備了擁抱AI的體質或思維。IDC設計了一個AI準備度模型，來衡量企業是否已經準備好要擁抱AI，衡量指標包括了企業對AI的發展策略（Strategy）、投資程度與回報率（Investment）、開發、部署、管理、監控AI的能力（Capabilities）、基礎設備（Infrastructure）、資料的品質、可用性與即時性（Data），以及企業文化（Culture）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0048(1).JPG" style="width: 600px;" /></p> <p>在上述模型中，台灣的綜合準備度指數與亞太平均差不多，但在投資項目的準備度指數，台灣以2.6高於亞太平均2.43，代表台灣企業對AI的重要性有一定程度的認知，並且願意投資；不過在企業文化的部分，大部分的台灣企業比較保守，還是容易選擇規避風險，江芳韻表示，「台灣中大型企業的創新還是由上而下（Top Down）發動，由員工自己由下而上（Bottom Up）發動的創新比例，仍比亞太區情況更低。」</p> <p>江芳韻也提到，不論是台灣決策者與員工填答者都一致認為，台灣缺乏發展AI的企業文化。如高達63%臺灣作答者認為，企業沒有賦權給員工做決策、承擔風險、快速敏捷的做出反應（Empowerment），另有56%臺灣作答者認為，企業並無提供創新的環境（Innovation），更有47%臺灣填答者認為，企業不鼓勵員工垂進行直或水平的合作（Collaboration），這些數據都反映出，台灣的企業文化還有進步的空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0051.JPG" style="width: 600px;" /></p> <blockquote><p>由左到右的研究項目分別為：賦權（Empowerment）、創新（Innovation）、超越（Going Beyond）、合作（Collaboration），每個項目的左側為決策者的想法，右側為第一線員工的想法。</p> </blockquote> <p>不過，決策者與員工也有對AI態度分歧的地方，主要是AI的工作影響性（AI will augment jobs），員工們多認為，AI可以協助員工更完善的完成工作與減少重複性工作，但決策者支持這項的比例較低。有趣的是，當被詢問到AI是否會取代員工工作的問題，只有2%的員工認同此說法，遠低於決策者的22%，這數據反映出，員工對AI的接受度比決策者想像的更高，江芳韻也因此鼓勵企業大膽擁抱AI。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0052.JPG" style="width: 600px;" /></p> <blockquote><p>每一個項目的上方為決策者想法，下方為第一線員工的想法。</p> </blockquote> <p>目前已有32%的台灣企業導入AI，其餘68%的企業在導入AI時面臨了不少困難，第一是缺乏相關技術、資源與學習計畫，第二是找不到適合、能解決問題的合作夥伴，第三則是缺乏進一步的分析能力與完善的基礎設施來發展組織需要的技術。江芳韻對此鼓勵台灣企業，要改變過去的心態、把創新與可能帶來的風險列入常態，並將AI作為長期戰略，才能在未來充滿變動的環境中維持競爭力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC_0050.JPG" style="width: 600px;" /></p> <blockquote><p>左側為亞太地區導入AI時面臨的挑戰，右側為台灣的數據。</p> </blockquote> </div></div></div>
2019/4/10 00:21作者翁芊儒https://www.ithome.com.tw/news/129871
【臺灣資安大會直擊】臺灣工控資安實驗平臺首度大公開，從模擬環境與真實現況來認識OT的資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>工業控制系統的資安問題，攸關國家的穩定與安危而備受重視。為了提升工控資安風險研究，臺灣已有資安業者積極投入，例如，在去年下半，安碁資訊仿效國外打造工業控制系統實驗測試平臺（Testbed），針對實際攻擊進行驗證與漏洞挖掘，未來並可用於資安產品測試與教育訓練實作。</p> <p>在今年的臺灣資安大會上，他們特別展示打造的小型資安工控系統實驗平臺，同時發表最新的研究成果，包括臺灣工控設備暴露於外的現況，以及工控系統漏洞問題的探討等。</p> <p>為了突顯工控系統遭人控制的風險，該公司技術副總黃瓊瑩也藉由Testbed來展示駭客如何入侵至工業控制環境，並取得ICS設備的操控權限。目的是要讓大家都能更清楚工控資安的問題與現況，並要有所重視與行動。</p> <p><strong>鑑於安全研究人員在OT研究上的困難，國內已有資安業者建置OT實驗平臺</strong></p> <p>這個Testbed模樣如何？看起來就如同迷你火車鐵道模型，上面有著鐵路相關的鐵軌、隧道、火車站、各式號誌，以及布置好的山林景色。更關鍵的是，這個模型採用的是與真實世界相同的工業控制協定，一旁並有PLC／HMI與SCADA的系統設備。</p> <p>為何要打造這樣的工業控制系統？黃瓊瑩表示，在OT領域中，因為資安研究人員欠缺相應的實作環境，而且設備不易取得且十分昂貴──若要打造一個發電、煉油系統，在實務上其實有很大的困難。此外，工業控制系統在資安方面的資料，相較於IT領域，相當稀有。因此，他更強調實驗平臺對於資安業者的價值，較容易盡情的發揮與研究，能提供練習、測試與驗證的環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）臺灣工控資安實驗平臺首度大公開960x420.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B960x420.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961B%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B960x420.jpg" style="width: 600px;" /></p> <blockquote><p>為了突顯工業控制系統被入侵的風險，安碁資訊以交通運輸情境，打造了可類比於真實環境所需的模型場景，並連接OT環境使用的SCADA（左側機器）與PLC／HMI（右側機器）的系統設備。</p> </blockquote> <p>基本上，這次安碁展示的實驗平臺，是以交通運輸為情境，包含了隧道、平交道與斷軌區等真實環境所需要的場景，以及15個感測器與3個換軌器，並藉由此Testbed展示駭客入侵火車的手法研究。黃瓊瑩說，入侵過程主要分為四大步驟，包括滲透至內網、中間人攻擊、封包測錄與解析，以及封包重放與竄改。</p> <p>舉例來說，若是攻擊者要操弄火車行駛，首先可透過Angry IP Scanner這樣的IP檢查工具，找出各設備的MAC位置，進而得知使用的設備類型，像是發現實驗環境中的192.168.250.1是Omron的PLC，192.168.250.161是SCADA系統。</p> <p>接下來，將可利用ARP Spoofing監聽SCADA與PLC之間連線，然後開啟封包分析Wireshark工具，將測錄封包的結果解析，並對照暫存器與運行狀態，以掌握暫存器的內容值。</p> <p>之後，他們再嘗試透過網路的節點直接下達指令，透過重送攻擊更改設備狀態，藉由Modbus攻擊套件，設定攻擊主機IP位置，進而更改軌道閘門狀態，就可以讓火車駛向正常狀況下不會走到的斷軌區。</p> <p>從這樣的攻擊過程演示，不僅說明了當攻擊者可以接觸到裡面的控制網路時，怎麼執行攻擊，黃瓊瑩更是提醒，操弄這樣的工業控制系統並不難，因為工業控制協定在本質設計上，就沒有加密、身分認證等機制，因此只要掌握設備間的溝通，就可播放同樣的封包去操弄。</p> <p>實驗平臺的作用不僅如此，黃瓊瑩指出，他們還要用來研究工業控制系統存在的各種問題。而且，他們也從現實面的工控安全問題與漏洞現況來探討。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）臺灣工控資安實驗平臺首度大公開(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B(1).jpg" style="width: 600px;" /></a></p> <blockquote><p>關於OT與IT環境連結的現況，若缺乏有效隔離將增加入侵風險。黃瓊瑩表示，IT環境很多的基本控制要件，在OT世界沒辦法實作。他以畫面鎖定這樣的小功能來舉例，OT隨時都有值班人員，顯然情境大不相同。更關鍵的是在密碼定期變更，以及現場生場環境的更新修補，實務上其實會有很多困難。當然，如果環境是真的完全隔離，安全問題較少，但只要一個點被突破，不論是USB等可攜式裝置進入廠區、網路入侵等各種可能，整個工控環境就容易暴露重大安全風險。</p> </blockquote> <p><strong>從工控環境的現實面來看，設備暴露於外的風險需要正視</strong></p> <p>首先，工控系統暴露在網際網路的問題，是他們研究的一大課題。其實，去年底安碁就已經向我們透露相關資訊，這次則是他們首度於大型公開場合公布。在去年下半，他們已經發現有10,546個臺灣的工控設備暴露於網際網路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）臺灣工控資安實驗平臺首度大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E7%81%A3%E5%B7%A5%E6%8E%A7%E8%B3%87%E5%AE%89%E5%AF%A6%E9%A9%97%E5%B9%B3%E8%87%BA%E9%A6%96%E5%BA%A6%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <blockquote><p>從這些暴露於外的工控設備來看，以工控協議而言，以Siemens S7專有通訊協定最高（40％），Modbus公開協定次之（7％），Ethernet/IP公開協定為第三（4％）。此外，可能便於維運管理，以啟用的服務而言，HTTP最高（41％），HTTPS次之（10％），接下來是Telnet（8％）、FTP（6％）與SSH（5％）。</p> </blockquote> <p>值得關注的是，以暴露的工控設備其產業別而言，包括了政府機關、學校、停車場、飯店大廈管理、鑄造製造等，甚至能源業也在其中。同時，黃瓊瑩也在簡報中放上一張臺灣某關鍵基礎設施的施耐得PLC控制器介面截圖，並提及這是他們找到暴露最多的一款。</p> <p>對於這樣的現況，他們也已通報相關能源單位處理。黃瓊瑩說明，他們這幾年也參與了國家關鍵基礎設施的專案，在通知單位機關後，對方也提供了一千多的IP位址來比對是否在暴露於外的名單中，經清查後，果然發現有10個IP位址符合，後續安碁也從提供的資料中，再找到100個IP位址也有相同問題。</p> <p>＠小標：工控系統的漏洞問題也將成無法迴避的挑戰</p> <p>另一個不可忽視的風險，是工控系統的漏洞問題。從國際上的弱點資料庫來看，根據ICS-CERT的統計數據顯示，安全漏洞的數量逐年增加，特別是自2010年Stuxnet病毒攻擊伊朗核電廠後，遭揭露的弱點有倍增的趨勢，例如，從2009年的19個漏洞，到2015年的212個，這其實意味著駭客對OT的興趣提升。兩百多個漏洞似乎還好？對此，他特別提醒，因為OT環境在一般狀況下，不是那麼容易接觸到，不像IT世界動輒幾萬個漏洞，因此數量上會有相當的落差。</p> <p>目前，挖掘工控設備系統漏洞的國內資安業者，其實並不多，黃瓊瑩因此也說明了他們在這方面的研究與進展。</p> <p>黃瓊瑩表示，在最近幾個月，他們就發現了Rockwell Automation一款設備的兩個漏洞，並提報到MITRE與ICS-CERT。MITRE也在去年11月底發布了CVE-2018-19615與CVE-2018-19616，CVSS 3.0的嚴重等極為5.1分與8.1分，而ICS-CERT在今年2月發布了ICSA-19-050-04、ICSA-19-050-04，CVSS 3.0評分為6.1分與9.8分。後續，Rockwell Automation在今年2月20日也已公開確認此漏洞。</p> <p>顯然，兩者相較之下，第二個漏洞具重大風險。而黃瓊瑩也說問題是出在驗證機制上，雖然系統具有基本的登入與密碼要求，但其檢查機制是設計在用戶端，而不是在伺服器端，因此相當容易被操弄而通過驗證，若要修補這樣的問題並不難。</p> <p>從上述這些真實的案例，黃瓊瑩更是探討了更多工業控制系統面臨的現況。舉例來說，該公司直到3月中仍未提供修補程式，因此風險其實並未受到控制，而就算更新修補出來，全球使用該設備的組織，在實務上也不一定能馬上完成更新。他並提醒，如果挖掘出工控系統的漏洞，如果不幸該工控設備又暴露在網際網路，更是立即可見的問題。</p> <p>最後，黃瓊瑩也針對工業控制網路防護的自我檢查，提供了三個重要的建議，包括資產盤點與網路架構檢視、OT網路隔離性檢視，以及ICS系統帳號管理。同時他也強調，在研究臺灣工控設備的狀況時，幾乎都發現預設密碼的問題，也就是說，用戶只要在網路下載該系統使用手冊，就可以得到密碼並通過驗證，這點更是需要特別注意。</p> </div></div></div>
2019/4/9 23:08作者羅正漢https://www.ithome.com.tw/news/129872
台灣微軟與高雄市聯手，以AI助學校打造數位雙語教學環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統教育不僅要數位化，還要開始借重AI工具，讓學生能以更智慧、有效率的方式學習外語能力。</p> <p>高雄市政府今天（4/9）和台灣微軟合作，為培育雙語人才，鼓勵學校在雙語教學中使用微軟的AI工具，幫助學生以更智慧化的方式學習外語，培養更多雙語人才。</p> <p>高雄市長韓國瑜表示，高雄市府今年推動的三大教育主軸，是雙語教育、回歸教育基本面，以及照顧弱勢，高雄不只是港灣城市，也聚集重工業，高雄市與台灣微軟合作數位雙語教育，期望雙語教育能夠盡快扎根，在五到十年後開花結果。</p> <p>微軟已將AI應用在旗下的產品中，此次和高雄市的合作，將鼓勵學校的雙語課程使用微軟Office 365提供的AI工具，例如在OneNote裡的「沈浸式閱讀模式」，幫助學生專注閱讀，另外，透過AI朗讀工具，學生便能依照個人的學習狀況，調整朗讀的速度，並學習正確的發音。</p> <p>學生可以利用不同顏色標註詞性，加強對單字的印象，或是對英語文章的段落及單字進行翻譯，節省逐字查詢字典的時間，提升學習效率；PowerPoint也支援微軟翻譯功能，為英語簡報提供輔助字幕，讓學生更容易瞭解授課內容。</p> <p>台灣微軟也會培養教師的數位教學能力，配合相關工具開發數位雙語教學。目前高雄苓雅區的成功國小、茄萣國小已加入這項AI雙語計畫，高雄市府和台灣微軟的合作，未來將以12年國教課程為目標，擴大到其他教育層級單位。</p> <p>除了AI雙語教學，高雄市也將和台灣微軟投入軟硬體資源，分階段以500台Surface電腦結合AI工具，建置500間智慧教室，鼓勵老師開發出多元化、互動性的數位教學課程。</p> <p>為解決高雄學校教育資源上的城鄉落差，台灣微軟也將把在全球推行的雲端未來學校計畫、微軟學校計畫、微軟創新老師計畫帶到高雄，引進國外的教育資源，消彌教育資源分配上的落差。</p> <p>另外，台灣微軟也承諾以其AI技術、平臺服務及專業認證課程，扶植高雄的產學合作，加速AI的產業發展；而在去年底，台灣微軟和高雄科技大學商業智慧學校合作的AI金融科技中心也將在最近落成，結合物聯網、AI、機器學習、大數據分析技術，培養符合國際市場的智慧商務人才。</p> </div></div></div>
2019/4/9 19:42作者蘇文彬https://www.ithome.com.tw/news/129870
【臺灣資安大會直擊】維持企業恢復力是資安重要的一環，妥善運用合適的開源工具也能予以強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面臨想要做資安卻沒有經費的情況，開源軟體為企業帶來了一線生機。然而，許多資安人員嘗試自己導入開源軟體，可能會遇到各式的問題，例如，使用之後才發現不合己用，或是缺乏某些功能，以及部分關鍵的套件必須花費購買，甚至是軟體本身存在很多漏洞，還有開發者終止維護等等，如何在茫茫的開源軟體大海中，找到符合企業需求的軟體，便成為資訊人員的難題。耀達電腦技術總監鄭郁霖以自己使用經驗，在2019臺灣資安大會上，推薦多款解決方案，並分享他挑選開源軟體的技巧。</p> <p>鄭郁霖指出，臺灣中小企業資訊人員經常面臨的情況，就是企業缺乏能投入資安領域的資金，往往背後也伴隨著政策與人力支援極為不足。鄭郁霖說：「錢能解決的問題都不是問題，真正的問題是沒有錢」，但資訊人員又不能坐以待斃，因此，導入開源解決方案，就是最務實的策略。鄭郁霖認為，資訊人員在挑選各式軟體或是系統的時候，不只要評估實務應用上的需求，也要將資安防護納入考量，他也依據自己推薦企業採用的順序，列出了12款開源軟體──先從透過虛擬化平臺統合現有資訊系統，再進行事件記錄的監控，接著，就要針對災害復原，保護企業重要資料，更進一步，則是網路流量與行動裝置的控管，最後，則是黑箱與白箱檢測機制的導入。</p> <p>雖然鄭郁霖與博格讀書會創辦人X1，兩人都是以資訊人員兼任資安工作為題，介紹開源或是免費的工具，但相較於<a href="https://www.ithome.com.tw/news/129457">X1推薦的解決方案</a>，是從駭客的攻擊過程著手反思企業需求，鄭郁霖則是依據網路管理的層面提出建議，較為偏重企業面臨攻擊時，仍能維持正常運作的能力，也就是現在資安上常會提到的「恢復力（Resilience）」。不過對於中小企業的資訊人員而言，我們認為，兩種面向的開源與免費工具，都算是一時之選。</p> <p>整體來說，鄭郁霖介紹的工具中，缺乏防火牆一類的網路防護機制，我們也向鄭郁霖確認，他表示，由於這種類型的解決方案中，仰賴大量的即時更新與技術支援，商業產品較能做到有關的維護層面，因此他沒有特別推薦有關的開源工具。</p> <h2><strong>透過虛擬化平臺彙整現有的資訊系統，降低管理難度</strong></h2> <p>在鄭郁霖所推薦與資安有關的開源軟體中，他特別先提到的是虛擬化平臺Proxmox Virtual Environment（PVE）。鄭郁霖指出，透過虛擬化統合企業裡各種重要的資訊系統後，能改善備份、復原、遷移，以及環境建置所面臨的不便，因此比起導入各式的管理工具，他認為要改善企業資安的第一步，就是要先透過虛擬化平臺，統整環境中現有的資訊系統。</p> <p>鄭郁霖表示，與其他各式的虛擬化平臺比較，PVE雖然是開源軟體，但是功能相當完整，不只內建備份還原、快照、高可用性等機制，也支援Linux容器（LXC），企業能用來做為隔離的測試環境之用。而在虛擬環境網路管理的部分，鄭郁霖特別提到PVE本身內建的防火牆，資訊人員可從主機端進行集中配置與管理，或是以群組為單位設定防火牆政策、套用相同的巨集指令集等，除了企業無須為每個VM額外購買防火牆軟體，由於PVE的防火牆是由主機端上運作，少了由客體端到主機端這一層，也較在客體端執行的防火牆效能要來得好。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PVE-firewall-settings.png" /></p> <blockquote><p>Proxmox VE虛擬平臺內建防火牆功能，管理者可集中以群組和巨集的方式，大量套用VM的網路政策。</p> </blockquote> <p>再者，漏洞修補即時，而且軟體版本能直接就地升級，也是PVE的一大特色。鄭郁霖指出，今年2月11日公布的容器執行元件runC的重大漏洞（CVE-2019-5736），Proxmox在隔天就納入有關元件的修補程式，算是相當迅速。而根據鄭郁霖自己的經驗，他在7年前建置的PVE系統3.4版，僅透過內建的升級機制，便一路順利更新到現在最新的5.3版本，而不需重新安裝。</p> <h2><strong>針對可能面臨的攻擊行為，建立預警措施</strong></h2> <p>在統整了現有的資訊系統之後，接著，資訊人員便要建立事件警示機制，鄭郁霖推薦的是LibreNMS與Graylog，前者可監控裝置的網路使用率、溫度等狀態，讓資訊人員能得知伺服器主機的健康程度，後者則提供進一步事件記錄分析的能力，進而找出攻擊的徵兆。藉由上述2款系統做為資安事件的情報站，並建立有關的規則，一旦出現異常狀況時，就即時通知管理者，排除可能導致服務停止運作的事件，進而降低服務被迫中斷的時間。</p> <p>鄭郁霖舉例他如何運用LibreNMS──像是針對網頁伺服器監控，檢測網頁的內容是否遭到置換，由於某些入侵攻擊手法裡，會暗中植入惡意程式碼或是竄改網站的檔案，透過這樣的監控機制，就有機會及早發現攻擊事件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LibreNMS.png" /></p> <blockquote><p>鄭郁霖藉由LibreNMS監控企業的網站伺服器，圖中LibreNMS呈現了該網站受到存取的趨勢，管理者便能進一步確認是否出現異常。</p> </blockquote> <p>另一種應用情境，鄭郁霖則是用LibreNMS來檢查網路設備的組態設定檔案，藉由定期檢測設備中的組態自動備份，可進行差異比對，以及版本控制。若是面臨網路設備的組態遺失，就能快速回復，網管人員也能從中找出可能的錯誤。</p> <p>而在應用程式服務的可用性上，也可以藉由LibreNMS降低管理負擔。鄭郁霖提到用來維持SSL憑證與網域的有效性，在到期日的90日前，在LibreNMS主控臺上顯示為警告，有效期剩下30天時，則列為重大事件，並通知管理者，以免忘記續約導致服務中斷。</p> <p>對於事件記錄的分析上，鄭郁霖運用了Graylog，並在這套系統的儀表板上，快速判斷AD網域裡，帳號遭到攻擊者鎖定的情況，同時得知那些主機成為攻擊目標，透過Graylog顯示的圖表，也能了解攻擊的趨勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-ADanalysis.png" style="width: 550px;" /></p> <blockquote><p>圖中鄭郁霖透過Graylog分析AD網域的存取事件記錄，該系統統整了異常登入次數最多的使用者帳號與伺服器名稱。</p> </blockquote> <h2><strong>面臨檔案可能遭到綁架的威脅，資料備份與快速復原機制重要性也隨之提升</strong></h2> <p>有了內部網路的監控機制後，接著，鄭郁霖認為，資訊人員要確保資料的可用性。由於近年來勒索軟體攻擊猖獗，一旦企業的重要資料受到加密而無法使用，輕則導致營運中斷，嚴重者可能迫使公司關門。因此，鄭郁霖推薦了2款開源解決方案，能協助企業快速復原資料，進而回復正常運作，分別是FreeNAS和Duplicati，其共通點是都提供備份資料加密的保護功能，增加備份資料的安全。鄭郁霖表示，他在利用FreeNAS異地備份IDC機房主機的資料時，便會利用上述資料加密的功能，避免公司機密遭到外洩。</p> <p>而這2種備份軟體各有其應用的面向，FreeNAS提供快照與內建資料檢查機制，由於採用ZFS檔案儲存系統與軟體定義儲存（SDS）架構，一旦主機出現故障，企業將磁碟移轉到新的FreeNAS主機上就能繼續運作，因此這套備份系統不致被特定的硬體限制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FreeNAS-pool-encryption.png" /></p> <blockquote><p>針對資料池存放的檔案保護，FreeNAS提供了加密保護機制。</p> </blockquote> <p>對於許多中小型企業，往往難以再建置外部的備份伺服器，透過雲端儲存空間達到異地備份，便是一時之選。在這種備份的需求下，能廣泛支援將資料備份到多種雲端空間Duplicati，就是相當合適的解決方案，鄭郁霖表示，幾乎是Linux能夠運用的雲端空間，這套備份系統都能使用──包含了常見的Amazon S3、Box、Dropbox、Google Drive，以及微軟OneDrive等，盡在Duplicati支援之列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Duplicati.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Duplicati.png" style="width: 550px;" /></a></p> <blockquote><p>想要將雲端儲存空間做為重要資料異地備份的地方，企業可透過Duplicati執行，其支援的服務相當多，如圖中所列，也包含了常見的FTP和WebDAV資料夾。</p> </blockquote> <h2><strong>進一步掌握網路進出流量，並擴及行動裝置與物聯網設備的管理與弱點檢測</strong></h2> <p>有了基礎建設，以及內部網路環境的監控機制，也確保了企業重要資料的可用性之後，鄭郁霖才建議IT人員更進一步，著手網路與行動裝置的管理，還有弱點掃描等面向。</p> <p>在網路流量的控管上，鄭郁霖推薦了網路存取控管（NAC）解決方案PacketFence，它同時能將無線網路納入管理，並結合了使用者的身分驗證機制，以及控管能夠存取企業網路環境的裝置等功能。而安全性的部分，PacketFence則可結合OpenVAS弱點檢測工具，檢查連網裝置的安全性，也能透過Snort套件，檢測網路行為，進一步發現異常跡象。</p> <p>除了企業網路的存取，現在相當普及的行動裝置，也是企業需要納入管理的項目之一。鄭郁霖建議採用WSO2 IoT這套行動裝置管理系統（MDM），進行控管。而對於這種裝置的應用程式安全性，他推薦用Mobile Security Framework（MobSF），檢查APK和IPA應用程式是否存在潛在的風險。</p> <p>附帶一帶的是，若是企業開發應用程式，鄭郁霖表示，則能運用SonarQube進行程式碼掃描，減少自行研發軟體的弱點。</p> <h2><strong>挑選開源軟體有訣竅，更新頻繁程度是指標</strong></h2> <p>基本上，許多提供開放原始碼軟體的開發者，最初研發的動機，便是出自於自身的需求，因此，很有可能在自己不再使用之後，便停止開發，或是交由他人維護，導致日後的軟體品質堪慮。雖然原始碼公開之後，任何人都能加以改寫、改進，但缺乏有志之士挺身而出延續軟體維護的情況，也不時發生，甚至還有在專案移交之後，新任維護者從供應鏈下手攻擊的現象。因此，許多的資訊人員，對於開源解決方案，心裡總有一份擔憂，畢竟，商業軟體出錯，或許可以找廠商負責弄到好，但開放原始碼的軟體，出現各種異常通常得自行處理，很多原本躍躍欲試的資訊人員，可能因此打退堂鼓。</p> <p>鄭郁霖指出，IT人員想要挑選合適的開源軟體，不只要從自身的需求面評估，也要考量軟體開發者的支援能力，減少導入之後一旦遇到開發者停止維護，便求助無門的情形。資訊人員想要確認這件事，可從3個面向著手，首先，是這款軟體的更新頻率，假如一款軟體好幾年都沒有更新，那麼要是使用之後遇到臭蟲，或是與其他應用程式不相容的情形，可能就得要自行想辦法解決。</p> <p>再者，則是有關這款軟體受到採用的程度。假如一款開源軟體有許多人採用，那麼出現錯誤時，除了開發者能夠處理，也比較有機會出現有志之士，協助提出修正檔案或是其他解決方案。</p> <p>若是擔憂個人開發者可能因為自身各式的狀態，而終止軟體維護，鄭郁霖認為，也可以選擇由商業公司提供的開源軟體。由於這種型態的廠商，通常以提供技術支援與軟體進階功能獲利，開源版本的口碑會影響其商譽，因此，由他們推出的開源軟體，可靠性與後續的支援較有保障。</p> <p>除了軟體開發者支援的能力，開源軟體的授權和安全性，也是必須納入評估的部分。不過，雖說資訊人員可透過前述指標，確保自己不會變成軟體孤兒，但是開源軟體的授權種類繁多，會不會存在什麼限制沒有留意到，而導致企業不小心違反相關授權條款？軟體的安全性又要如何評估？有沒有工具能協助我們判斷呢？</p> <p>答案其實是有的。鄭郁霖提出了Open Hub平臺──IT人員只要輸入開源軟體的名稱，該平臺就會顯示有關這套軟體專案的情況，包含所採用的授權模式、漏洞出現的頻率與修補因應的可靠程度指標、專案的活躍程度，以及具有高度同質性的替代開源軟體等資訊，可供參考。Open Hub由老牌開源套件檢測解決方案業者Black Duck（現被Synopsys併購）推出，統整了47萬款開源軟體專案的資料，對於想要採用開放原始碼解決方案的IT人員而言，Open Hub可說是相當實用的資訊平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OpenHub-PVE-details.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpenHub-PVE-details.png" style="width: 550px;" /></a></p> <blockquote><p>想要了解開源軟體的評價，老牌開源套件檢測解決方案業者Black Duck所推出的Open Hub，可讓IT人員快速掌握所需資訊，以圖中Proxmox VE為例，包含頁面上方的專案概略介紹，以及性質相近的解決方案，還有中間對於所採用的授權方式說明，而下方則是呈現了軟體的發展情形，包含程式碼數量的增長趨勢、每個月提交的項目與貢獻者人數等資訊。</p> </blockquote> </div></div></div>
2019/4/9 15:48作者周峻佑https://www.ithome.com.tw/news/129866
【臺灣資安大會直擊】創新與資安如何兼顧？5家銀行高階主管揭露各自秘訣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/129508">在2019臺灣資安大會的一場金融安全論壇，金管會主委顧立雄親自開場致詞，金管會副主委黃天牧也揭露金管會金融政策中，與資安防禦相關的四大金融資安監理作為</a>。</p> <p>不只金融業主管機關對資安重視，金融業者包括玉山銀行暨玉山金控資訊長謝萬禮、第一銀行資訊長劉培文、將來銀行籌備處策略長吳建頤、台北富邦銀行數位金融顧問李維斌、台新金控資訊長孫一仕，也在這場論壇，針對金融產業的創新與資安防護，進行對談。</p> <p>「金融創新的同時，還得顧及金融資安，對資訊主管來說，是很大的挑戰。」玉山銀行暨玉山金控資訊長謝萬禮點出關鍵。他解釋，銀行資訊單位被賦予的責任是金融創新發展與各方應用，然而要創新就要快速迭代開發，同樣也會因應很大的資安風險。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5747.JPG" /></p> <p><span style="font-size:14px;"><span style="color:#808080;"><strong><span style="font-family:arial,helvetica,sans-serif;"><em>玉山銀行暨玉山金控資訊長謝萬禮</em></span></strong></span></span></p> </blockquote> <p>謝萬禮也認為，與其應外部壓力而做金融創新與資安，倒不如思考如何透過機制，導入方法，用更開放的思維擁抱改變。因為，「當我們不改變，別人也會來改變我們，世界不斷前進，若不踏入未來的領域，遲早會被顛覆。」</p> <p>然而，在金融創新上，心態的改變才是關鍵。他舉例，一家企業若期許要讓資訊科技，成為企業最重要的核心競爭力，引領企業變革與數位轉型，這樣的思維與格局，就會大大不同。但挑戰是如何把理念，說服老闆們與經營團隊。</p> <p>在資安議題上，謝萬禮認為，駭客的企圖與想法與過往完全不一樣，過往駭客是要練功夫展現實力，接著要偷走個資拿去賣，現階段是要從企業把金錢轉出去。然而，一次的資安事件，會讓企業過去建立的品牌信用與聲譽受損，而且可能是無法預估的損失。但，他也認為，有些資安現象，可以改變老闆對資安投資的看法，當他們了解到資安風險，以及可能會對企業造成的損失，就會更加願意投資資安。</p> <p><span style="color:#0066cc;"><strong><span style="font-size:24px;">做好資安得先盤點企業資訊資產，並落實全體人員資安意識</span></strong></span></p> <p>「資安已經變成金融業基本的條件與要求。」但是，金融業內部的網站是否能終生防禦？謝萬禮指出，得下不少苦工夫，企業要做好資安，得先盤點自有的資訊系統、資訊資產，以及資料的重要性，也只有踏踏實實地全面盤點過後，才知道哪些東西要放在最重要的保險箱。而在資安投資上，得依據企業的系統環境，面臨的風險，逐步編列中長期預算。</p> <p>然而，謝萬禮也強調，最重要的是落實銀行人員的資安意識，包含第一線營業單位的人員，尤其是手上握有高權限帳號的特殊人員、IT人員。他坦言，資安意識若沒有在內部建立起來，企業即便做再多資安投資，都是沒有效果的。</p> <p>過去，人人期待駭客不要找上門，謝萬禮認為，企業現階段得要轉變的觀念是，假設病毒、駭客、木馬程式已經進來自家了，要做的事就是在他們潛伏的活動時間內，早一步阻攔他們偷走資料或把錢轉出，「這就代表我們資安的成功。」他說。</p> <p>謝萬禮也強調，資安聯防很重要，靠單一銀行的力量很難面對外部挑戰，怎麼讓更多人共同分享資訊，是一大課題。他也建議主管機關，除了懲罰外，也要有正面鼓勵，例如有金融業者在駭客達到目的前，完成阻攔動作，並把這樣的機制分享出來，主管機關可以給出鼓勵，業者就會更願意把資訊分享出來。</p> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融創新與資安都是風險，最難是企業價值體系與文化，決定你不能做什麼事</span></span></strong></p> <p>「董事會看金融科技對傳統銀行帶來的威脅，就像是全球暖化，而資安則是像颱風或地震，短暫的時間就可以感受到衝擊。」這是第一銀行資訊長劉培文的觀察，他提到，就像2016年一銀ATM遭駭事件，因為曾經發生過資安事件，所以一銀從上到下在推動資安是更通順的，也包括成立數位安全處。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5809.JPG" /></p> <p><em><span style="font-size:14px;"><span style="color:#808080;"><strong>第一銀行資訊長劉培文</strong></span></span></em></p> </blockquote> <p>他也指出，金融創新與資安，對於銀行的經營階層來說，都是風險，只是規模不一。談到資安，許多第一個喊出的就是需要資源，但劉培文可不這麼想，他認為，有資源就能決定要做的事情，「但最難的是企業的價值體系與文化，決定你不能做什麼事情」。</p> <p>劉培文提到，以企業經營的角度來說，傳統銀行進行數位轉型的挑戰更大，因為過往的經營模式已經很成功，所以認為發展金融科技帶來的獲益不夠。當養成了這樣的價值觀，就不會選擇做創新的事情。不過，他也觀察到，這樣的價值觀與文化已經在銀行逐漸改變，可能也會讓創新與資安的資源與SOP開始轉變。</p> <p>「資安單位人員絕對不能只懂資安，必須要懂金融業務，了解金融創新在做什麼，又如何與外部跨業合作。」劉培文強調，銀行得要有一個機制，讓資訊安全單位的人員加入IT單位、業務單位、創新單位的作業。</p> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融創新得小步快跑，實踐資安需是生態系思維</span></span></strong></p> <p>台北富邦銀行數位金融顧問李維斌表示，因為銀行業是高度監管的產業，所以要從老舊系統（legacy）的觀念，轉到創新（innovation）是困難的。而創新也代表不確定性，根本無法預測導入服務後，會帶來什麼影響。我們得要小步、快跑，才能應付現在的變化，這樣的作法會讓不確定性漸漸降低。</p> <p>李維斌表示，現在的金融服務不是一次到位，而是一步步去擴充規模(scale)。而銀行的基礎設施能否應付未來的需求，就很重要。此外，他也談到資安、個資隱私很重要，複雜度也很高，不是單一家銀行就可以解決的，得由民眾、政府監管單位的認知做起，讓整個生態系都必須起來，才能實踐資安。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5813.JPG" /></p> <p><span style="font-size:14px;"><em><strong><span style="color:#696969;">台北富邦銀行數位金融顧問李維斌</span></strong></em></span></p> </blockquote> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融創新與資安，得在風險、方便性與成本間取得平衡</span></span></strong></p> <p>台新金控資訊長孫一仕談到，金融創新較偏向在業務模式上，科技的應用則是讓業務模式創新的工具，對於底層的技術，他相對沒那麼擔心。在金融創新部分，他個人認為，未來銀行的趨勢會是異業結盟，也就是開放API，因為異業結盟會帶來更多連結，不管是人或是應用。</p> <p>而在資安的觀察，孫一仕提到，銀行通常都是發生了資安事件，高層的關注度就會變得非常高。他也揭露台新在金融科技與資安的方向，雖然「做資安是沒有止境的，也沒有辦法保證百分百安全。」但台新會持續在風險、方便性與成本間取得平衡，讓科技工具發揮效果，也要讓台新全行的人員都有資安意識，例如，台新在內部常做社交工程演練，就是希望持續提升人員資安意識。</p> <p>孫一仕也強調，資安聯防很重要，沒有一家金融機構能保證資安能夠做到百分百安全，彼此資訊通知、聯防才是上策。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5827.JPG" /></p> <p><span style="font-size:14px;"><em><strong><span style="color:#808080;">台新金控資訊長孫一仕</span></strong></em></span></p> </blockquote> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">推進金融服務時，資安防護如何與便利性平衡是將來銀行的思考方向</span></span></strong></p> <p>將來銀行籌備處策略長吳建頤則是觀察到，使用者的行為在轉換，金融服務在推進的時候，資安防護要如何與便利性平衡，是重要課題。對於有機會重新打造一家純網銀的將來銀行籌備處來說，如何在手機上做到相對安全，又能讓便利性達到一定程度，會是他們思考的問題。</p> <p>吳建頤更認為，資安這件事情不一定只是企業資安團隊的責任，或許用戶也可以為自己的資安把關。他舉例，去年線上信用卡偽冒交易，臺灣就損失了21億臺幣，或許客戶可以在信用卡的App上，把信用卡電子商務相關的交易直接關掉，或是客戶明明不出國，就可以直接把國外的交易關掉。「用戶可以用自己的力量，去控管他認為是資訊安全匯流的漏洞。」若能做到安全又兼顧便利性，會是將來銀行要去嘗試的方向，吳建頤說。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_5847.JPG" /></p> <p><span style="font-size:14px;"><em><span style="color:#808080;"><strong>將來銀行籌備處策略長吳建頤</strong></span></em></span></p> </blockquote> <p><strong><span style="color:#0066cc;"><span style="font-size:24px;">金融業數位化過程，最後一哩路是身分驗證</span></span></strong></p> <p>在現今的零信任時代，金融業如何保全自身與顧客？李維斌表示，信任是一段旅程，也是讓社會更容易往前走的重要因素，建立信任需要時間，而且禁不起打擊。而銀行要從交易（transation）到與顧客建立關係（relation），要經營的就是信任。李維斌也直言，大家都不喜歡銀行，但是銀行還是相對被信任的單位，所以銀行要繼續走到下一步，就是要與年輕族群建立關係。</p> <p>謝萬禮則認為，顧客對企業的信任是日積月累，金融創新與資安佈建與意識也一樣，只有累積、沒有奇蹟。他也指出，金融業在數位化過程，遇到最大挑戰就是身分驗證，這是最後一哩路，若有好的機制可以實踐，相信對臺灣金融業對數位線上服務，會有大的變革與不同的樣貌。</p> <p>最後，謝萬禮也提到，不管是金融創新或是資安議題，企業經營還是要回到初衷，了解外在世界環境的改變、顧客行為的改變，以及顧客遇到的痛點，而企業是否有解決顧客的問題。文⊙李靜宜</p> </div></div></div>
2019/4/9 17:04作者李靜宜https://www.ithome.com.tw/news/129857
歐盟將調查微軟產品是否侵犯GDPR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲資料保護監管機關（European Data Protection Supervisor，EDPS）最近<a href="https://edps.europa.eu/press-publications/press-news/press-releases/2019/edps-investigates-contractual-agreements_en" target="_blank">開始調查</a>微軟與歐盟各組織之間的協議，以及歐盟組織所使用的微軟產品與服務，是否違反當地的資料保護規定，包括《歐盟通用資料保護規則》（GDPR）與Regulation 2018/1725。</p> <p>在去年5月上線的GDPR被稱為史上最嚴格的資料保護法案，它明確規範了企業蒐集用戶資料的行為，且一旦違法，可能被判罰2,000萬歐元或企業全球營收的4%。在GDPR之後，歐洲也訂出專供歐盟政府機關使用的資料保護規定Regulation 2018/1725，Regulation 2018/1725與GDPR的內容相當一致，另也要求不管是政府機關或承包商都必須承擔合規責任。</p> <p>此次EDPS的行動主要是受到荷蘭的啟發。去年荷蘭政府委託<a href="https://www.privacycompany.eu/en/impact-assessment-shows-privacy-risks-microsoft-office-proplus-enterprise/" target="_blank">Privacy Company評估</a>政府員工所使用的Office ProPlus（Office 2016及Office 365）對於資料保護的影響，發現微軟在未知會使用者的情況下，蒐集了大量的用戶資料，還把資料傳送到微軟的美國伺服器上。</p> <p>EDPS說，任何使用微軟Office產品的歐盟組織都可能面臨同樣的問題，將替個人權利及自由帶來風險。</p> <p>此外，歐盟的各組織都仰賴微軟的服務與產品來執行日常的任務，包括以它們來處理大量的個人資料，考量到此一資料處理的性質、範圍、目的與脈絡，更因採取適當的合約保障及降低風險的措施來確保它們可遵守上述法規。</p> <p>上述種種都促使EDPS準備全面評估目前歐盟組織所使用的各項微軟服務與產品，以及微軟與這些組織所簽署的合約是否符合資料保護規定。</p> <p>EDPS的舉動對微軟而言應該不會太意外，而且在經過與荷蘭政府的協商之後，微軟已經承諾將致力保護用戶的隱私，確保Office ProPlus及其它的微軟產品及服務都能符合GDPR及其它相關法令的規範。</p> </div></div></div>
2019/4/9 15:25作者陳曉莉https://www.ithome.com.tw/news/129865
英國政府擬要求網站平臺負責移除有害內容，違者將處以天價罰金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/government/consultations/online-harms-white-paper/online-harms-white-paper-executive-summary--2" target="_blank">英國政府於4月8日公佈</a>，臉書、Google等社群網站及搜尋業者需負責移除線上有害內容或連結，未遵守者將處以如同<a href="https://www.ithome.com.tw/article/123464" target="_blank">GDPR</a>同等級的天價罰金。</p> <p>英國數位文化媒體暨體育部（DCMS）與內政部公佈《線上傷害白皮書Online Harms Whitepaper》，建議成立專責主管單位，監督社群網站內容平臺移除「具傷害性」的網路內容，包括散佈恐怖主義、兒童色情、仇恨犯罪、霸凌他人、製造假新聞或銷售不法商品。有鑑於目前雖已有相關法規，但仍不足以確保民眾網路安全，因此白皮書旨在推動政府針對傷害網路使用者（尤其是兒童），以及顛覆國家安全、破壞信任與危及社會穩定的行為加重處罰。</p> <p>白皮書建議上述獨立主管機關，可撰寫社群網站和網路公司的管理規範、定義「最佳典範」，並要求業者負責移除平臺上的有害內容，搜尋引擎則需移除網站連結，違者可處以罰金。</p> <p>本法適用於臉書、Google、推特、或是Snapchat等通訊平臺及雲端業者。</p> <p>這份白皮書已獲得英國首相梅伊（Theresa May）的公開支持。她透過聲明表示，網路公司對線上用戶，特別是兒童免於線上有害內容的保護不力為時已久，她認為政府做的還不夠，現在是做出改變的時候了，英國已聽到業界及家長的心聲，將對網路公司施以法律責任。</p> <p>白皮書甚至考慮建議賦予該主管機關權限，針對網路內容平臺的高層主管處以罰金，或要求ISP封鎖這些網站。至於罰金內容，<a href="https://www.bbc.com/news/technology-47826946" target="_blank">英國文化部長Jeremy Wright接受BBC訪問時說</a>，英國可能參考歐盟隱私法GDPR，最高可處以業者年營收4%的罰金。</p> <p><a href="https://www.gov.uk/government/consultations/online-harms-white-paper" target="_blank">本白皮書已上線</a>廣邀外界意見為期12個月。不過批評者憂心此舉將傷害網路言論自由。</p> </div></div></div>
2019/4/9 11:12作者林妍溱https://www.ithome.com.tw/news/129858
基於Chromium的Microsoft Edge預覽版來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2019/04/08/microsoft-edge-preview-builds-the-next-step-in-our-oss-journey/#6KCH7vvvP27Ayk7U.97">微軟發表了Microsoft Edge Insider網站</a>，並<a href="https://blogs.windows.com/msedgedev/2019/04/08/microsoft-edge-preview-channel-details/#CMHkSdcfyQCVbl4M.97" target="_blank">釋出基於Chromium開源專案的兩款Microsoft Edge預覽版</a>：Canary及Developer（Dev），以供開發人員於Windows 10上展開測試。</p> <p>由於它們是微軟首個採用Chromium的Microsoft Edge的預測版，因此主要著重在基本功能，尚未納入眾多功能，現在也只支援英文。</p> <p>其中，自Canary頻道下載的版本將會每日更新，這是微軟內部工程師每天使用的版本，在該版本上測試新功能或驗證臭蟲的修補，適用於那些不在乎遭遇臭蟲，也迫不及待想測試Chromium版Microsoft Edge的開發人員。</p> <p>至於自Dev頻道下載的版本則是每周更新一次，由微軟選出這一周以來效能與風評最好的Canary版本供應給開發人員，預期多數開發人員都會選擇Dev版本。</p> <p>未來微軟還會提供予企業或IT專家使用的Beta頻道，以及支援一般使用者的Stable頻道。</p> <p>不管是Canary、Dev都能與電腦上既有的Microsoft Edge共同運作而不影響瀏覽器的正常效能，之後微軟也將陸續釋出Beat版，支援其它Windows平台或macOS的版本，也會擴大對其它語言的支持。</p> <p>微軟表示，開發人員在首批基於Chromium的Microsoft Edge測試版上可發現大量的介面變更，因為微軟企圖讓它看起來更像Microsoft Edge，而下一個測試版則會開始整合微軟功能，包含Bing搜尋、Windows Defender SmartScreen、Microsoft Account service與Azure AD、Microsoft Activity Feed Service及Microsoft News等。</p> <p>另一方面，微軟也將回饋Chromium專案，包括貢獻各種無障礙技術、讓Chromium可在基於ARM的Windows 10上運作、讓Chromium可支援Windows觸控鍵盤，以及整合Windows Hello等。</p> </div></div></div>
2019/4/9 12:55作者陳曉莉https://www.ithome.com.tw/news/129859
Windows 10新政策：外接儲存裝置直接移除就好，不必再安全移除了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於Windows 10 1809（Windows 10 October 2018 Update）<a href="https://support.microsoft.com/en-us/help/4495263/windows-10-1809-change-in-default-removal-policy-for-external-media" target="_blank">變更了外接儲存媒體的移除政策</a>，將預設值從「更佳效能」（Better performance）切換成「快速移除」（Quick removal），意謂著<a href="https://www.theverge.com/2019/4/8/18300734/microsoft-safely-remove-eject-usb-flash-drive-not-needed-windows-10" target="_blank">Windows 10 1809用戶未來可隨時地直接移除外接的儲存裝置，不必再經由「安全移除硬體」（Safely Remove Hardware）程序</a>。</p> <p>過去當Windows用戶要移除USB或Thunderbolt等任何外接儲存裝置時，都必須先在工作列上點選「安全移除硬體」的圖示，它的目的是為了保護外接裝置上的資料完整性，確保所有的快取操作都已完成。</p> <p>事實上，它也是為了改善系統的效能，讓Windows能夠快取外部磁碟的寫入作業。</p> <p>而當切換至「快速移除」時，Windows無法再快取磁碟寫入作業，以確保它隨時可被移除，因而可能造成系統效能下滑。</p> <p>使用者還是能根據需求變更每個外部裝置的移除政策，但微軟提醒，若切換至「更佳效能」政策時，最好允許寫入快取，而且一定要執行「安全移除硬體」，否則將面臨資料遺失的風險。</p> </div></div></div>
2019/4/9 13:05作者陳曉莉https://www.ithome.com.tw/news/129860
微軟將Skype群組視訊人數上限提高到50人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>未來Skype的群組通訊將會更熱鬧了！<a href="https://blogs.skype.com/news/2019/04/04/call-up-to-50-people-at-once-with-skype/" target="_blank">微軟近日更新了Skype，將群組視訊及語音通訊服務的人數上限從25人提高到50人</a>，雖然不及Line的200人，但將與Facebook Messenger所支援的群組通訊人數相當，也勝過Google Hangouts的25人及WhatsApp的4人。</p> <p>不過，為了避免吵到被邀請參與群組通訊的親友或同事，新版的Skype在召開群組通訊時，將以通知訊息來取代鈴響，也能個別選擇不同的對象傳遞鈴聲，若與會人士原本就低於25人，則可選擇全數採用鈴聲。</p> <p>要使用此一最新功能必須安裝最新版的Skype。</p> </div></div></div>
2019/4/9 10:20作者陳曉莉https://www.ithome.com.tw/news/129851
Mozilla發布美國消費者隱私法案指南，要求終止企業全面收集和使用資料的時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/netpolicy/files/2019/04/Mozilla-U.S.-Consumer-Privacy-Bill-Blueprint-4.4.19-2.pdf">Mozilla針對美國聯邦隱私法案發布了立法建議指南</a>，該指南以消費者為中心，要求隱私法規範企業對使用者隱私承擔更多的責任。這份立法指南也獲得隱私法草案以及隱私倡議者的支持，包括美國民主與技術中心以及數位參議員。</p> <p>Mozilla提到，這份法案指南的目標很明確，就是讓使用者重獲掌控自己資料的權利，為需要使用資料的一方，訂立明確可執行的規則，而這些規則最好能夠與全球趨勢接軌，讓企業在管理資料上可以更加的一致。Mozilla認為，美國在資料的實踐以及公共政策執行上都是失敗的，雖然使用者資料帶來了許多創新的產品，但是「通知並同意」的隱私資料授權方法，顯然大有問題，缺乏真正對於使用者的保障。</p> <p>有鑒於全球隱私和資料保護的進展，以及美國在這方面的落後，不少科技公司開始喊話，要求國會訂立企業可遵循的法案，而美國國會也因此動了起來，而Mozilla發表這一個隱私法案框架，希望可以影響國會制訂出更佳完善的隱私法案。</p> <p>Mozilla要求法律賦予美國人民足夠強大，能夠確實保護自己隱私資料的權利。為企業提供明確的規則，限制資料收集和使用的方式。給予執法單位足夠的權力、程序和補救機制，主動把關使用者隱私安全。</p> <p>Mozilla認為，應該結束企業全面收集和使用資料的風氣，也不應該把為了A目的收集的資料用於B用途，應該是有目的和有限制地收集和使用個人資料，在資料安全性上，明確要求企業應安全且小心的維護資料，並明確公開地處理非活動帳戶資料。</p> <p>在人民的權利方面，隱私法案應賦予使用者查看自己被收集或是產生的資訊，並了解資料被使用的方式，也能夠在帳戶或是服務轉為非活動狀態，合理地刪除資料，使用者應該有足以依循的機制，處理屬於自己的資料，另外，使用者也應該具備細緻且可撤銷的授權選項，而且不應該所有使用者都應用相同的資料收集以及使用授權。</p> <p>Mozilla還提到，隱私法應該給予FTC足夠的權力與資源，以跟上不斷進步的技術，以及不斷變化的隱私威脅，也應該簡化FTC的執法程序，簡化其加強民事調查以及懲罰效率，避免浪費不必要的時間和資源在訴訟上。FTC應該具有主動保護義務，主動限制可能傷害使用者的資料使用方式。</p> </div></div></div>
2019/4/9 10:30作者李建興https://www.ithome.com.tw/news/129843
韓國警方以AI糾出加密貨幣龐氏騙局首腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://koreajoongangdaily.joins.com/news/article/Article.aspx?aid=3061537" target="_blank">韓國當地媒體報導</a>，韓國警方在人工智慧（AI）的協助下，成功逮捕到一宗加密貨幣龐氏騙局的首腦及其下線。</p> <p>韓國警方指出，李姓及Bae姓主嫌成立會員制的購物網站及加密貨幣M-Coin的交易平台，從2018年5月開始招募會員。會員享有住宿、購物及結婚喪禮費用的折扣，但需先繳交33萬韓圜成為10個月會員，或繳費99萬韓圜成為頂級會員。</p> <p>這些騙徒除了違法吸金外，還成立201個營業處，透過各處「經理」吸收下線。每當成功吸收到一名新會員，這些經理就能獲得600個尚未發行的M-coin作為獎勵，每滿20名會員還能再獲得一筆獎金。他們另外也以1:100到1:500韓圜的匯率出售M-coin，宣稱M-coin的價格未來會從200漲到600韓圜以吸引會員吸收更多下線。</p> <p>兩嫌專門鎖定對加密貨幣不了解的民眾，包括長者、家庭主婦及退休人士下手，從去年5月起的6個月間成功吸收到5.6萬名會員，透過會員費和出售M-Coin總共吸金高達約212億韓圜（約1870萬美元）。</p> <p>這次行動很特別的是動用到AI技術。這家「公司」十分狡猾，會計系統設立於境外避免追查，去年南韓警方啟動調查後還轉入地下，將系統藏於私人家中甚至汽車行李箱。警方以龐氏騙局相關用語，包括「借貸」、「保證收入」、「風險因子」等字詞來訓練AI演算法。警方表示，配合消息人士提供的證據，這套AI系統還能辨識出吸收下線的廣告特徵及可疑公司。最後AI系統成功循線糾出一干人等及其伺服器和電腦。</p> <p>過去兩年間加密貨幣炒得火熱，也成為犯罪溫床。<a href="https://www.ithome.com.tw/news/128539" target="_blank">安全公司CryptoTrace報告指出</a>，歹徒透過ICO（initial coin offering）退場詐騙、駭入交易平台及龐氏騙局已騙走投資人將近7.5億美元。例如去年越南Modern Tech向3.2萬人透過ICO募了6.6億後即惡性關閉，捲走投資人血汗錢。</p> </div></div></div>
2019/4/9 10:40作者林妍溱https://www.ithome.com.tw/news/129856
GCP開始支援基礎設施即程式碼IaC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/devops-sre/want-repeatable-scale-adopt-infrastructure-as-code-on-gcp">Google現在為GCP使用者提供完整基礎設施即程式碼（Infrastructure as code，IaC）服務</a>，讓使用者能以程式碼開發的方式，測試、自動應用以及審核雲端環境變更，現在GCP整合了熱門的IaC工具，使用者可以簡單地開始使用，Google提到，採用IaC原則能夠為大量成長的應用程式需求，打下穩固的基礎。</p> <p>IaC是一個讓使用者以處理應用程式程式碼的方式，配置基礎設施的過程，使用者可以將基礎設施配置邏輯以程式碼控制系統進行管理，並且加入進持續整合（CI）和持續部署（CD）的工作管線中，共享給組織的其他成員使用。IaC流程可以在不同類型的基礎設施中使用，像是虛擬機器或是裸機系統，也能應用在部署於Kubernetes叢集上的容器，或是在混合環境也沒問題。</p> <p>使用者可以在程式碼控制系統中管理IaC的相關檔案，包括YAML描述檔、Dockerfiles、shell腳本以及其他相依檔案，Google提到，無論使用哪一種工具管理基礎設施配置，重點是必須建立一套可重複且自動化的IaC檔案捕捉流程。</p> <p>在專案中執行IaC流程，組織能夠更好的控制基礎設施的設計，開發團隊跟營運團隊都能簡單的對基礎設施進行審核，而且透過部署到CI/CD工作管線中，使用者可以簡單地更改程式碼儲存庫，在幾分鐘內應用測試。</p> <p>GCP支援了Deployment Manager、Terraform、Chef、Puppet、Ansible以及Packer等自動化工具，幫助組織建立IaC流程。Google提醒，要在組織中實行IaC，就跟開始執行DevOps一樣，需要從思維上進行根本的改變，IaC自動化需要更改流程和組織治理，當部分程序還需要手動執行時，則會造成檔案版本不一致，因此在IaC的相關程序，不應該允許任一步驟手動執行。</p> <p>另外，Google認為，並非所有組織都適合執行IaC，建構IaC流程需要付出相當的時間成本，因此當組織認為花費的時間過多，那就沒必要堅持採用，因為流程建立完，還需要訓練沒有IaC概念和工具使用經驗的成員。</p> </div></div></div>
2019/4/9 10:40作者李建興https://www.ithome.com.tw/news/129844
【iThome 2019 CIO大調查】數位轉型領先企業三大重點：加碼IT、擁抱敏捷和深化AI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/915_feng_mian_gu_shi_1shu_wei_zhuan_xing_qi_ye_-960.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對企業高層而言，數位轉型已不需問Why，他們最想知道的是怎麼做？如何做？才能順利轉型。但數位轉型沒有捷徑，更沒有保證成功的公式可遵循，只有從大量企業實際經驗中，來挖掘可供自身借鏡的發展策略。</p> <p>因此，<a href="https://www.ithome.com.tw/article/129350" target="_blank">iThome從今年CIO大調查中</a>，特別挑出了206家已經完成數位轉型或正在執行轉型的臺灣大型企業，進一步分析其IT策略與科技採用，來了解這群正在數位轉型之路上的領先者怎麼想？怎麼做？並和自認沒有數位轉型需求或還沒展開任何轉型作為的落後者相比，試圖找出可供更多企業借鏡的轉型發展參考。</p> <p>從IT投資來看，領先者今年IT投資成長了11%，幾乎是落後者成長力道的兩倍，IT預算占營收的比例也達到了3.6%，遠高於落後者的2.1%。這意味著，這些數位轉型領先群，比起落後者更加重視IT投資。企業高層多半知道，數位轉型不是「省錢」或「便宜」之計，的確是得加碼投入資源才行，但要花多少錢？以這群領先者的經驗來看，以企業年營收的3.6%作為推動轉型所需的IT投資，可視為臺灣企業參考指標。</p> <p>不過，不是花錢就能順利轉型，領先企業更大力培養自家IT團隊，以IT人力占比來看，領先企業的IT人力比重相當高，每100個員工，就有2.7名是IT成員，但落後者卻只有0.3名，一般企業平均值也只有1.4名，自有IT戰力的培養是數位轉型的關鍵。另外一點值得觀察的是，領先企業中，今年想要大力擁抱敏捷文化的CIO，多達16.5%，這個比例反映出，數位轉型不只需要有更充沛的人力，還要改變團隊，大力擁抱敏捷文化，企業才能順利邁進下一階段發展。</p> <p><span style="font-size:28px;"><strong>轉型成功不只需要足夠投資，更需要有好人才</strong></span></p> <p>除了資源，人才也是轉型關鍵，更可以從領先企業今年的AI策略看出來。不少企業都將AI視為轉型關鍵技術，領先群也不例外，但是，從近兩年AI投資金額來看，領先企業今年沒有持續提高AI投資，反而是減少了1成多。但是，想採用AI的領先企業，從去年的44.2%，在今年增加到57.8%。更多數位轉型領先企業要導入AI，但是，他們不再一昧花大錢，甚至不需要到與去年相當的投資，卻要做更多AI應用。關鍵就是，領先企業在AI策略上，轉而聚焦於AI人才的招募，迫切度僅次於對開發人力的需求。</p> <p>從CIO年度重點目標來看，領先者企業的CIO偏愛主動、開創型的發展方向。不論是在促進商業與業務變革、開發創新產品和服務、與新創公司合作、靠商業模式超越對手等，將這些更主動性的高要求，視為年度重要目標的領先者CIO比例，遠高於落後者。例如22.3%領先者CIO今年要促進業務變革，但只有8.1%的落後企業CIO列入自己的工作目標。相差了2倍多。</p> <p>而落後企業的年度目標是什麼呢？確保IT穩定、降低成本、風險管理和法規遵循等防守型的策略上，落後者都比領先者更偏重這些要求。例如37.4%的落後企業CIO今年要降低成本，但只有27.2%的領先者CIO決定要這麼做。年度目標相比，正反映出這兩個族群在IT策略上的根本差異，主動出擊是數位轉型企業領先者偏愛的策略。</p> <p>進一步來看領先者的新興科技採用策略，大數據分析、機器學習、雲端儲存、資料科學、深度學習、多雲混合雲架構（最後兩項比例相同）是前五大重點。進一步聚焦在AI，領先者偏愛機器學習、深度學習和臉部辨識，不過，今年想擁抱AIoT的領先企業也有17.5％。</p> <p>若單看新一代開發技術的採用上，容器技術和微服務架構是兩大重點，其次是敏捷開發、Open API架構、Kubernetes和DevOps，這些也都是國外當紅的新興開發技術或新一代IT架構。數位轉型領先企業，擁抱各式新興科技的腳步，一點都不輸全球科技產業的前進速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-2.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/915%20%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B1(%E6%95%B8%E4%BD%8D%E8%BD%89%E5%9E%8B%E4%BC%81%E6%A5%AD)-600-4.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong>問卷執行說明</strong></span></p> <p><span style="color:#696969;"><strong>調查對象涵蓋了臺灣2千大企業，搭配iThome歷屆CIO大調查企業中的資訊部門最高主管，及政府一級機構、大專院校資訊主管和資安主管等，來進行線上問卷調查。調查從2019年1月21日到2月19日結束，有效問卷數382份。其中已經完成數位轉型或正在執行中的企業，有206家，定義為數位轉型領先者，其餘則仍處於規畫中（規畫中者)，或甚至是自認不需要或還沒有任何轉型作為者（落後者）。有76.7％填答者是企業IT部門最高主管。</strong></span></p> </div></div></div>
2019/4/9 09:00作者王宏仁https://www.ithome.com.tw/article/129825
Google更新機器學習開發套件ML Kit，新增支援智慧回覆與語言辨識功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google拓展了機器學習套件ML Kit的可應用情境，現在不僅提供圖像辨識功能，開始加入自然語言處理，提供智慧回覆（Smart Reply）與文字語言識別兩個新的API。</p> <p>ML Kit是Google在2018的I/O大會上釋出的人工智慧SDK，目的是要降低行動應用程式使用人工智慧的技術門檻，ML Kit被整合進行動應用程式開發平臺Firebase，其提供了一系列開箱即用的API，開發者不需要擁有機器學習領域的知識，馬上就可以為應用程式加入臉部辨識或是文字辨識等功能。Google提到，原本ML Kit只專注提供圖片與影片處理功能，但現在進一步擴展ML Kit支援範圍，開始提供自然語言處理解決方案。</p> <p>現在ML Kit提供了智慧回覆與語言識別兩個API，前者可以在聊天應用程式中產生回覆建議，後者則可以辨識文字的語言。聊天應用程式現在也可以為使用者提供方便的回覆建議，就像是Google之前智慧電子郵件信箱Inbox的信件回覆建議功能一樣，可以根據對方的訊息提供數個回覆建議，Google表示，智慧回覆建議可以幫助使用者在忙碌時快速回應訊息，或是更快速地輸入長訊息。</p> <p>開發者可以使用智慧回覆API在自己的應用程式中，實作出訊息回覆建議功能，API會依照對話中最新的10條訊息提供回覆建議，雖然如此，但即使對話中沒有10條訊息，該功能仍可以正常運作。回覆建議功能是只會在裝置上運作的無狀態API，歷史紀錄不會被存在記憶體，也不會被上傳到伺服器中，使用者毋須擔心個人隱私安全。</p> <p>Google提到，除了建議回覆功能，他們還增加一個模型來檢測敏感言論，避免給出不洽當的回覆建議，也提供語言識別功能，確保程式不會給出核心模型沒有訓練過的語言建議，目前智慧回覆只提供英文建議。</p> <p>不只是智慧回覆，不少應用程式還提供文字拼寫檢查或是翻譯等的功能，而現在使用者使用這些功能之前，不再需要先行指定文字語言，開發者可以使用辨識文字語言API，自動辨識目標文字語言，ML Kit能夠辨識103種語言的文字，只需要給定幾個單詞，ML Kit就能回傳精準的判斷結果，在iOS和Android只需要1到2毫秒的回應時間。當ML Kit無法確定語言，則會提供可能的語言列表。</p> </div></div></div>
2019/4/9 10:09作者李建興https://www.ithome.com.tw/news/129829
被行星家族的勒索軟體纏住了？別怕，Emsisoft釋出解密工具了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自奧地利的<a href="https://decrypter.emsisoft.com/planetary" target="_blank">防毒軟體業者Emsisoft最近釋出了行星（Planetary）勒索家族的解密工具</a>，以協助受害者免受檔案遭到加密或被勒索之苦。</p> <p>該勒索軟體家族之所以聞名是因為它以行星作為加密檔案的副檔名，例如在遊戲中出現的米拉行星（.mira）、海王星（.Neptune）、冥王星（. Pluto）或.yum等。</p> <p>駭客採用AES-256來加密使用者的檔案，並向使用者要求贖金，最早的版本是以. Planetary作為加密後的副檔名，之後陸續出現各種以行星命名的變種。</p> <p><a href="https://decrypter.emsisoft.com/howtos/emsisoft_howto_planetary.pdf" target="_blank">Emsisoft強調</a>，在執行解密程式之前必須先確定已移除勒索軟體，同時必須保留勒索文件，此一文件通常使用一致的 !!!READ_IT!!!.txt名稱。</p> <p>此外，為了以防萬一，該解密程式的預設值並不會刪除遭到加密的檔案，若使用者擔心硬碟容量不夠，可變更該設定以在解密時順便移除遭到加密的檔案。</p> </div></div></div>
2019/4/9 10:11作者陳曉莉https://www.ithome.com.tw/news/129842
【舊金山Next直擊】如何迎戰AWS和微軟，Google Cloud新任CEO即將揭曉新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google一年一度的雲端大會Next明天即將在舊金山登場，這是Google Cloud第四度舉辦Next雲端大會，但最大不同是，過去帶頭開場的雲端女王Diane Greene，換成了去年11月才加入Google的Google Cloud新任執行長Thomas Kurian。上個月，Thomas Kurian才首度以新職務公開透露，將擴大銷售團隊，採取更積極的銷售布局。在Thomas Kurian第一次的Next大會，也預料將揭露他對Google Cloud最新的發展戰略。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%E6%96%B0CEO_TK_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google(2).jpg" style="float: right;" /></p> <p>今年59歲的Thomas Kurian，1996年離開麥肯習顧問公司後進入甲骨文，從產品經理做起，幾乎三分之一的人生在甲骨文度過，2008年開始率領甲骨文產品開發團隊，這是一個分散在全球32國的3萬5千人團隊，研發預算高達40億美元。他也負責甲骨文伺服器技術和知名的Fusion中介軟體產品線，可說是軟硬體技術兼具，後者是甲骨文成長速度最快的產品，更讓他成為甲骨文產品團隊的最高主管。他也從2008年開始負責推動甲骨文所有產品的雲端轉型，一手打造出Oracle Cloud。</p> <p>Thomas Kurian在甲骨文所領導開發的產品，創造了350億美元年營收，包括了55億美元的雲端收入。不只是產品研發，他還負責管理甲骨文全球45座資料中心的團隊和甲骨文企業內部IT，甚至還有一個每年創造8億美元營收的250人規模甲骨文雲端服務銷售部門，更主導了60次甲骨文的軟體併購案。</p> <p>新任Google CEO的挑戰很大。根據RightScale今年1月公布的2019雲端大調查報告，Google在企業雲端採用率上，微幅增加了1個百分比，從去年的19％，增加到今年的20％，依舊排名第三，遠遠落後於排名第一的AWS（67%）和第二的Azure（60%）。儘管正在試用或未來有意採用Google Cloud的比例，遠高於其他兩家業者，但最終，企業用戶沒有真的實際採用，反倒是推出不到2年WMware Cloud on AWS，就以18％採用率緊追在後，名列第四。</p> <p>Google早在2015年中展開了激烈的組織重組，當時就決定全力發展雲端，期望雲端可以成為取代Google原本龐大的廣告營收來源。當時，Google找來了VMware創辦人Diane Greene領軍雲端部門。<br /> 創業型的Diane Greene當時就指出，Google的雲端技術力，是她認為最能和競爭對手拉開差距的關鍵。</p> <p>從過去幾屆Next大會，也可以看出Diane Greene大秀Google雲端技術力，來追趕AWS和微軟Azure等領先的雲端競爭者。在2016年Next大會演講中，Diane就點出了Google雲端平臺的三大發展方向，包括了雲端安全、機器學習雲，以及NoOps全自動化IT，目標是提供可以讓企業加速上雲端的雲端產品。</p> <p>在具體策略上，2016年，Google Cloud祭出了三大戰略，第一就是推廣無伺服器新架構，用Kubernetes加速企業上雲端，將Google用了10年的大規模Container管理技術，變成了商用產品，也就是Kubernetes。第二項戰略是跨大全球資料中心布局，2年至少增設10座雲端機房，尤其是亞太雲端機房的布局。第三項戰略是將機器學習上雲讓人人能用，更強化雲端資料平臺瞄準4大應用。Google將2015年開源的機器學習引擎TensorFlow，變成了機器學習雲端服務。</p> <p>隔年，2017年，Google Cloud全力衝刺下，根據RightScale調查，2017年，Google在大型企業雲端採用率中，提高到了15％，那一年排名第二的微軟Azure採用率也只有43％，只有起步甚早的AWS的雲端採用率過半達到59％。</p> <p>第二屆Next大會，一口氣擴大為3天的萬人研討會，多家財金五百大企業如Verizon電信、HSBC匯豐銀行、全美第二大零售業家得寶Home Depot、迪士尼、高露潔－棕欖和eBay等公司的IT主管都紛紛站臺揭露GCP產品的導入經驗。Alphabet執行董事長Eric Schmidt更直言，Google也有大型企業用戶了！</p> <p>不只開始有大型企業案例，Google Cloud在2017年Next期間，一口氣發布了58項雲端產品或服務的更新，25項與合作夥伴的新計畫，更揭露了四大策略：策略1、積極結盟企業級IT同業，強化雲端生態系；策略2、主打大型標竿企業案例，建立業界口碑；策略3：打造全套式分析平臺服務，來擴大AI平臺吸引力；最後一項策略是G Suite辦公室協作平臺成主角，更要搶攻實體會議室</p> <p>到了2018年，第三屆Next大會時，Diane Greene在開場時強調，我們2年來拼命工作，要追趕對手花了10年的發展腳步，讓Google Cloud成為企業可用的產品。去年成果是，Google Cloud在三個Gartner企業級產品魔力象限中，進入了領先群，包括了IaaS公雲、API全生命周期管理和內容協作這三類產品。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%E5%89%8DCEO.jpg" /></p> <p><strong>Google Cloud前執行長Diane Greene花了3年時間，要將GCP發展到企業可用的等級。</strong></p> <p>Diane Greene再度調整Google Cloud發展策略，這是目標是要將雲端落地到企業中。最出人意料的「落地」策略，就是把雲端GKE服務（Google Kubernetes Engine，K8s代管服務）變成了一套可以部署在企業機房內的套裝軟體GKE On-Prem。Google Cloud也開始進軍混合雲或業私有雲需求。</p> <p>去年第二項落地策略是推出AI專用晶片，來搶攻IoT邊緣運算市場。來自三星的Google Cloud物聯網副總裁李仁鍾（Injong Rhee)，發表了Google第一款邊緣運算晶片Edge TPU，還推出了Edge TPU 開發版。第三項落地策略是，GCP開始因應企業應用差異，新推出了自助式的客製AI，也就是AutoML系列服務。而最後一項落地策略則是開始瞄準垂直產業需求，新增整套式AI方案</p> <p>不過，主打技術力的Diane Greene沒有忘記，銷售是Google Cloud最大的弱點，在過去三年中，她也從無到有，建立了一整個在總部的全球銷售團隊，並且開始將銷售計畫、雲端經銷體系擴大到全球各地，但這一步還沒有完成，她就離開了。</p> <p>不同於創業型的Diane Greene，長年專注在企業產品研發和銷售的Thomas Kurian，已經預告了攻擊式的銷售戰略是他的新目標，但具體要怎麼做？即將在4月9日的Next大會開場演講中揭曉。</p> </div></div></div>
2019/4/9 05:26作者王宏仁https://www.ithome.com.tw/news/129845
三星開始量產5G晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsungs-multi-mode-exynos-chipsets-help-bring-the-5g-era-to-mobile-consumers?awc=8330_1554709193_2b733bca10899907f09a099ae711817f" target="_blank">三星宣布已經開始量產該公司的5G晶片</a>，涵蓋數據機晶片Exynos Modem 5100、無線射頻收發晶片Exynos RF 5500，以及電源控制晶片Exynos SM 5800，這3款晶片皆同時支援5G NR的sub-6 GHz頻段及舊有的無線存取技術，宣稱可替行動裝置製造商提供5G時代的最佳通訊解決方案。</p> <p>當中的Exynos Modem 5100是三星最早發表的5G晶片，除了支援5G-NR R15規格中的sub-6GHz與毫米波（mmWave）頻段之外，也支援2G的GSM/CDMA，3G的WCDMA、TD-SCDMA、HSPA，以及4G LTE。</p> <p><a href="https://www.zdnet.com/article/samsung-begins-mass-production-of-its-own-5g-chips/" target="_blank">根據外電報導</a>，在南韓銷售的Galaxy S10 5G即採用了Exynos Modem 5100，但海外的Galaxy S10 5G有些可能會採用高通的X50數據機晶片。</p> <p>至於Exynos RF 5500無線射頻收發器則是智慧型手機透過行動網路傳遞資料的關鍵元件之一，它具備14個下載接收路徑，支援4×4 MIMO與256 QAM以最大化5G網路的傳輸速率。</p> <p>Exynos SM 5800則能根據數據機的射頻輸入訊號動態調整供應電壓，最多可減少30%的電力使用。</p> </div></div></div>
2019/4/8 17:10作者陳曉莉https://www.ithome.com.tw/news/129836
【臺灣資安大會直擊】水利署水資源IoT安全對策大揭露，告訴你公共物聯網如何對抗駭客攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>拜物聯網帶來的資料加值與創新應用所賜，近年來，各國也紛紛將IoT技術運用在民生相關的公共建設推動上，大力推行民生公共物聯網的發展。然而，這些民生基礎設施連網的同時，也帶來了新的資安威脅與挑戰，成為政府推動公共物聯網面臨的一大資安難題。前水利署水資源物聯網雲端平臺的主要負責人，也是現任臺灣體育運動大學圖書資訊處資訊服務組組長何丁武近日在臺灣資安大會上，也以水資源物聯網安全為例，來說明推動民生公共物聯網應落實的幾大資安要求。</p> <p>一般來說，民生公共物聯網共有4大功能，各是優質水資源供需、空氣品質監測、地震預警以及防救災。其中，水資源物聯網，在於利用IoT感測技術，打造更聰明且易於管理的水資源設施環境，將水資源資料透過通訊網路回傳後端系統，再透過資料交叉分析，提高水資源在防汛、安防、灌溉、調控(水供需)，以及自來水水網的作業與管理效率。</p> <p>但是，水資源物聯網的安全，也不容忽視。因為是屬於公共IoT設備，憂關民生用水，因此，對於設備資安要求標準更高，但是如何在不大幅增加IoT安全維護成本的同時，又能確保符合必要的資安行事要求，也成為推動公共物聯網的一大安全挑戰。例如感測器可用性得要達到97%（代表一年不能中斷60分鐘），但相對來說，IoT設備成本也就因此提高，另外電力與使用效能也是另一個棘手問題。甚至於，針對公共工控系統（ICS）的資安挑戰更大，由於設計之初，往往就沒有加入資安考量，只強調可靠與可用性，更容易成為駭客覬覦的目標。</p> <p>若以現行水資源物聯網的作業規範為例，何丁武表示，從感測層開始、網路層，到最上面的應用層，包括感知設備、閘道器、監控設備，又或是針對資料傳送加解密、日誌，安全性更新，與資訊安全驗證等，各有不同安全要求。並分有水庫與堰壩兩種水利建造物感測標的，在資料蒐集時也都要符合加密，以及安全連線的要求，包括基礎水位、流量、開度(水閘門)、雨量、水量、濕度、流速、濁度、水壓以及加速度等。</p> <p>另在資料交換上，同樣得要符合更高安全的資料傳送、可用性監控的目標，以確保整個資料流（Data Flow）傳輸過程安全無虞，從感測資料開始，包括感測設備傳送的觀測結果、地理座標或運作狀態等，也不分是採用NB-IoT或LoRa 無線通訊網路傳送感測資料，都得通過MQTT協定，與OAuth2驗證，才將量測或讀值寫入資料庫，並且皆採用SensorThings資料模型格式。而使用者則以HTTPS加密協定來存取資料，以確跑保傳輸安全。</p> <p>在設計新系統時，也得將資安思維納入系統設計環節，提前進行各項必要的安全防護措施，例如符合對於安全系統發展生命週期（SSDLC）的要求等，以降低遭受攻擊的損失。此外，亦需要落實安全檢測的項目，必須針對系統進行源碼檢測、弱點掃描，及滲透測試，並明訂風險值，且於系統上線前提供測試報告，以證明系統的安全性無虞。</p> <p>對於訊息加解密、認證的安全要求上，何丁武也指出，應針對IoT資訊系統的重要性進行分級，規範對應的加密強度。對於安全性要求更高的設備或服務，應採雙因子認證功能強化資安，若使用金鑰也需建立安全的金鑰管理機制，包含產生、儲存、使用、備份等，並且也得落實日誌與稽核的安全管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_151013.jpg" style="width: 600px; height: 338px;" /></p> <p>又以水資源關鍵基礎設施的安全防護來看。去年下半年，水利署也提出了水庫關鍵基礎設施安全防護管理計畫，針對設施設備安全與功能正常、人員安全，供水穩定以及資訊安全來加強防護。若從制度面來看，包括落實實體隔離與管制、水庫相關系統營運確保，以及營運持續等三大面向。其次，在危機處理面上，也需設置訊息回應窗口、建置情蒐蒐集聯繫平臺、結合外部機關支援系統，以及建置水資源資安資訊分享與分析中心（W-ISAC），以達到資安資訊分享、通報、資安事件應變等。</p> <p>何丁武表示，去年水利署的W-ISAC已經設立完成，並且已經實際運作中，做為全臺北中南水資源資安情資的發布之用，還將這些資安情資用於深度研究與分析，包括OT威脅趨勢分析、OT攻擊行為分析，以及防範策略的擬定。該平臺也能依據風險程度高低以燈號顏色來表示。例如綠色燈燈號代表低度警戒，並不構成威脅，紅色燈號代表高度警戒，需立即採取行動等。除了W-ISAC的建置完成以外，水利署也計畫逐步來完成W-CERT與W-SOC中心的設置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_153010.jpg" style="width: 600px; height: 338px;" /></p> </div></div></div>
2019/4/8 14:50作者余至浩https://www.ithome.com.tw/news/129821
思科：臉書暗藏由74個社團與38萬名成員組成的網路犯罪市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/2019/04/hiding-in-plain-sight.html" target="_blank">思科（Cisco）旗下的威脅情報組織Talos近日揭露</a>，網路犯罪份子不只在地下論壇活動，也把個人資料、垃圾訊息服務或其它駭客服務的銷售行為光明正大地搬到臉書上，在臉書建立了74個社團，總計吸引了38.5萬名成員。</p> <p>而且這些社團多數毫不避諱地採用非常明顯的名稱，例如專業的垃圾訊息（Spam Professional）、專業駭客（Spammer & Hacker Professional），或者是直接擺明要銷售信用卡的驗證碼（Buy Cvv On THIS SHOP PAYMENT BY BTC），以及提供臉書的網釣服務（Facebook hack--Phishing）等，使用者只要利用spam、carding或CVV等關鍵字在臉書上搜尋，就能找到駭客社團。</p> <p>Talos指出，臉書似乎只仰賴使用者的檢舉來清除這些駭客社團，因為有的社團在臉書上甚至已存活8年之久，且短短幾個月的時間他們就追蹤到74個駭客社團與38.5萬名社團成員。</p> <p>當Talos向臉書檢舉時，臉書很快就移除了大多數的駭客社團，但Talos卻也發現新社團依然不斷開張。</p> <p>由於社交媒體的定位就是為了協助全球民眾能夠聚集與分享，但臉書似乎還無法準確區分非法及合法社團，而是仰賴社團的自我監管與用戶的檢舉，Talos除了認為臉書應強化防禦惡意社團的能力之外，也呼籲臉書用戶應主動向臉書檢舉非法社團的存在，以共同維護社交平台上的安全。</p> </div></div></div>
2019/4/8 14:00作者陳曉莉https://www.ithome.com.tw/news/129820
遊戲商禁止歐盟消費者到其它成員國購買遊戲，歐盟：違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://europa.eu/rapid/press-release_IP-19-2010_en.htm" target="_blank">歐盟執委會（European Commission，EC）上周指出</a>，已針對Steam遊戲平台的母公司Valve及5家遊戲出版商發出異議聲明，認為這些業者聯手禁止玩家在其它歐盟國家購買遊戲違反了當地的反壟斷法令。</p> <p>接到異議聲明的5家遊戲出版商分別是Bandai Namco、Capcom、Focus Home、Koch Media與ZeniMax，這些出版商與Valve合作，在遊戲中嵌入了啟動金鑰，使用者購買遊戲之後，若要在Steam上執行，就必須輸入啟動金鑰。</p> <p>然而，有鑑於歐盟各國的生活水平不同，每個國家的遊戲售價也不同，為了避免歐盟玩家到其它國家購買便宜的遊戲，Valve與這5家出版商擬定了地域封鎖策略，禁止使用者於Steam上啟動於其它國家所購買的遊戲金鑰。</p> <p>遊戲售價較低廉的歐盟國家包括捷克、愛沙尼亞、匈牙利、拉脫維亞、波蘭、斯洛伐克及羅馬尼亞等。換句話說，如果你住在德國，卻到隔壁的波蘭買了上述出版商所發行的遊戲，那麼回到德國之後並無法在Steam上啟動該遊戲。</p> <p>EC委員Margrethe Vestager指出，在真正的數位單一市場中，歐盟消費者不管住在哪裡，都有權利購買及執行任何他們所選擇的遊戲，不應阻止消費者在各個歐盟成員國中尋找最佳交易。</p> <p>EC允許被指控的Valve及5家出版商替自己辯護，但若EC認為業者違法的證據明確，除了將禁止業者的行為之外，也會祭出最高10%年度營收的罰款。</p> <p>歐盟是在2018年的12月正式禁止不合理的地域封鎖策略，但當時只規範了以CD或DVD格式銷售的遊戲，或是其它實體商品，並未包括下載，不過，EC準備在明年3月重新評估該規定的範圍，打算納入其它數位內容，涵蓋音樂、電子書、軟體或線上遊戲等。</p> </div></div></div>
2019/4/8 14:50作者陳曉莉https://www.ithome.com.tw/news/129823
駭客濫用Google平臺鎖定路由器展開DNS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://badpackets.net/ongoing-dns-hijacking-campaign-targeting-consumer-routers/" target="_blank">Bad Packets</a>及網路測試業者<a href="https://www.ixiacom.com/company/blog/paypal-netflix-gmail-and-uber-users-among-targets-new-wave-dns-hijacking-attacks" target="_blank">Ixia</a>最近幾個月相繼偵測到大規模鎖定家用路由器的DNS挾持攻擊，受到波及的路由器品牌涵蓋D-Link、TOTOLINK、Secutech及ARG-W4等品牌，且相關攻擊全是利用Google Cloud Platform（GCP）的資源。</p> <p>DNS如同網路上的電話號碼簿，可將使用者所輸入的網域名稱直接轉成IP位址，家用路由器上通常會有內建的DNS伺服器，亦允許使用者指定DNS伺服器，當駭客竄改了路由器的DNS伺服器設定時，就能將使用者的流量導至駭客所掌控的惡意伺服器，也許是為了執行廣告點選詐騙，更多的是進行網釣攻擊以竊取用戶憑證。</p> <p>Bad Packets率先偵測到3波的DNS挾持攻擊，它們先後出現在去年的12月、今年的2月，以及今年的3月，Ixia緊接著在4月發現新一波的路由器DNS挾持攻擊，駭客先藉由GCP開採使用者家中的路由器，把路由器中的DNS設定改為駭客所掌控的版本，並透過在OVH或GCP上所架設的惡意DNS伺服器，將使用者的流量導至惡意網站。</p> <p>Ixia發現駭客鎖定了Paypal、Gmail、Uber及Netflix等知名網站，以及巴西的代管服務供應商與巴西金融組織，以惡意DNS伺服器將受害者導至假冒的上述網站並騙取使用者的登入憑證，這些偽造的網站在外觀上與正牌網站一模一樣，但卻採用未加密的HTTP傳輸協定。</p> <p>Bad Packets認為，相較於其它的競爭對手，GCP似乎更容易遭到濫用，只要具備Google帳號就能以瀏覽器存取Google Cloud Shell，再透過指令使用雲端資源，有鑑於這些虛擬機器的短暫特質，再加上Google對於濫用檢舉的反應並不快，皆使得這類的惡意行為難以防範。</p> <p>不過，<a href="https://arstechnica.com/information-technology/2019/04/ongoing-dns-hijackings-target-unpatched-consumer-routers/" target="_blank">Google回應了Ars Technica的詢問</a>，表示正在建立可辨識任何新興威脅的規則，也會偵測並移除那些違反Google服務條款的帳號，或是暫時關閉有疑慮的帳號。</p> <p>安全研究人員則建議使用者應定期更新路由器韌體，或是檢查路由器上的DNS設定是否曾被竄改。</p> </div></div></div>
2019/4/8 13:25作者陳曉莉https://www.ithome.com.tw/news/129819
【臺灣資安大會直擊】臺灣大型組織破千臺主機紅隊演練細節首次大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「這是我們做過最大規模的紅隊演練，實施組織的主機群超過4位數，且資安做得相當完善。」戴夫寇爾執行長翁浩正在2019臺灣資安大會上，首次揭露了臺灣企業委外執行紅隊演練（Red Team Assessment）的實際案例。</p> <p>「全世界，包括臺灣，資安最大困境，就是戰場超乎你想像的大。」翁浩正解釋，不管是政府單位、金融機構、電商業者等組織，他們的網站、伺服器非常多，加上個人化的行動裝置、雲端，因此只要有接上網路，不管是內部網路或外部網路上的任何裝置、主機，駭客都有機會攻擊。</p> <p>在戰場無限擴張的時代，翁浩正認為，百分之百的全面防禦很難做到，從駭客角度看，任何主機都是有機會入侵，現今不可能全面防禦。「戰場那麼大，只能針對駭客的思維做重點防禦，且在被入侵後能立刻做反應。」</p> <p>翁浩正指出，對企業來說，企業的主網站與資料庫向來是重點防禦區，企業主會投入極高資安預算與資源，像是買防火牆、網路應用程式防火牆（WAF）等各種防禦設備與資安服務。正因如此，對於以利益為導向的駭客來說，對這一區攻擊的成功率較低，成本較高，所以，駭客通常不會先攻擊這部分，「網路邊界才是駭客攻擊的重點」，翁浩正點出關鍵。</p> <p>他解釋，企業這麼大，有些主機雖然由企業管控，但其實不在資安管轄範圍之內。例如極少有企業將測試機、開發機納入資安檢測範圍，「光是主網站都顧不完，沒有太多餘力去顧到次要網站。」</p> <p>因此，駭客會從企業網路邊界中，找尋資安防禦較弱的網站，從攻擊成本較低的次要網站下手，透過這類次要網站進入企業的內部網路，進而得到企業最近的資料，甚至有機會從企業內部來攻擊企業的主要網站，「這是駭客最常見的攻擊手法。」翁浩正說。</p> <p>他更提醒，企業愛用的雲端服務如Gmail、Slack、GitHub，只要有任何一名員工沒有開啟二步驟驗證（2FA），並且還在使用遭外洩的帳號密碼，此員工的帳號就會成為企業的防禦缺口。駭客組織或是網軍能透過此帳號，取得企業GitHub原始碼，再來進行原始碼分析，就能得到企業最近的資料。這正是紅隊演練中常見的演練項目之一。</p> <p><span style="font-size:26px;"><span style="color:#008080;"><strong>從紅隊演練找出資料外洩路徑，優先修補高風險漏洞</strong></span></span></p> <p>翁浩正指出，紅隊演練是最真實的攻擊演練，在不損及企業利益的前提下，對企業進行模擬入侵攻擊，並且是無所不用其極的方式，從各種進入點執行攻擊，嘗試達成企業指定的測試任務。像是個資、金流、信用卡號等各種機密資料，這些企業最在意的資料，也會是駭客有興趣的資料，都會成為紅隊演練的攻擊目標。</p> <p>「若企業能在紅隊演練中，找到機密資料如何外洩，封閉這條路徑，讓駭客難以利用，企業就會變得更加安全。」翁浩正說。</p> <p>不過，他強調：「紅隊演練不是滲透測試。」滲透測試只是檢測單一系統的各種風險，在固定範圍內盡可能找出各種漏洞。紅隊演練則是針對企業所屬的所有主機，找出各種可入侵的路徑，利用漏洞來達成攻擊目標，「企業授權演練的範圍越大，紅隊演練的效果會更好。」他舉例，金融機構舉辦紅隊演練時，設定竊取客戶個資為攻擊目標，紅隊的任務就是用各種方法潛入來取得個資。</p> <p>在技術上，相較於滲透測試，翁浩正比較，紅隊演練會組合多種入侵路徑和手法來擴大攻擊面。例如先透過情資蒐集，找出管理者信箱，利用跨站腳本攻擊（XXS）搭配社交工程手法，取得管理者權限。再找出企業網路邊界中防護不佳的主機，利用已知漏洞進行攻擊，來獲取更多控制權，以便進入內部網路。甚至，紅隊會盤點企業所用的第三方雲端服務，針對員工帳號採用撞庫攻擊來竊取權限，登入企業的雲端主機，從中取得更多的資料，來輔助更多攻擊行為。</p> <p>翁浩正也以一場實際紅隊演練來說明。他指出，實施演練的大型組織擁有數千臺的主機，對外服務的網站，包括了主網站、次要網站與非主網站三類，內部網路則有7x24小時的監控機制，也要求不同的伺服器主機須使用不同的密碼才能登入。</p> <p>這個組織主網站的資安防護強度很高，在核心防護區實施了白名單管制，只有名單上的主機才能連線到企業最核心的系統。虛擬主機上的網路硬碟，也套用了政府部門所用的政府組態基準GCB規則來設定組態以強化防護，甚至帳號驗證的AD控制器都使用RSA TOKEN來保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E6%AA%941%EF%BC%9AIMG_0566(1).JPG" /></p> <p>然而，即便這家企業所用的資安設備與服務相當齊全，但因次要網站的防護不足，沒有實施過滲透測試，也未納入WAF防火牆中，所以，戴夫寇爾先找出了次要網站上的漏洞，成了率先遭攻擊的防禦弱點。接著，在演練時，戴夫寇爾從次要網站下手，以撞庫攻擊的方式，成功地竊取到下一臺主機的登入權限，翁浩正解釋，成功駭入的關鍵，正是次要網站用了已外洩的帳號密碼。</p> <p>紅隊循此路徑，就進入了企業的內部網路，運用已知漏洞，進一步控制了行政系統與檔案管理系統的主機。翁浩正指出，這可能是內部主機監控機制的涵蓋率不足、存取權限不夠嚴謹、通報嚴重度偏低等所造成的漏洞。</p> <p>此外，進行紅隊演練時，翁浩正還發現，這個組織儘管每一臺主機都有特權帳號，但卻使用了同樣的密碼規則，破解出一組後，就可以推算出每一臺主機的密碼。透過這方式因此而登入了大量的主機，甚至有臺是VMware的vCenter伺服器，也由於vCenter管理了上百臺虛擬主機，所以，當他們控制了這家企業2臺vCenter的權限，就等於控制了1千多臺的主機。翁浩正強調，密碼設定不能有規則，否則就有機會遭破解。</p> <p>最後，他們發現AD控制器也部署在VMware上，仿效先前vCenter的攻擊手法，也得到了AD的密碼，此時，扮演攻擊方的紅隊，已經有機會登入這家企業每一個員工的電腦，甚至可以透過白名單主機，連接到企業最核心的系統。翁浩正認為，像是vCenter、AD這類高敏感的核心系統，若未納入盤點，將會是企業資安防禦上的大盲點。</p> <p>這組織最擔心的事情，都在紅隊演練中發生了。但翁浩正強調，這不是一件壞事，企業能在真實資安事件發生前，先用紅隊演練發現最大威脅，補完漏洞、落實防禦措施，等到真有駭客要循同樣的手法來入侵時，就會變得很困難。</p> <p><span style="font-size:26px;"><strong><span style="color:#008080;">紅隊演練得靠多人編制團隊實施攻擊分工</span></strong></span></p> <p>不過，因為紅隊演練中，往往需要大規模的攻擊和嘗試，紅隊必須採取多人編制的團隊作戰，翁浩正透露，在執行每次紅隊演練前，都會經過縝密的戰鬥規畫，分析目標組織的規模、攻擊目標可能位置、擁有哪些主機等，也會先評估哪些是可攻擊的弱點主機，再來擬定攻擊戰略，分組進行紅隊演練。有能力實施紅隊演練的團隊，還得經常挖掘並發表漏洞研究，還要具備強大的情報收集能力，並且高度熟悉駭客思維及各種多樣攻擊手法。「紅隊演練就是情報戰，掌握情報就能左右戰爭。」他說。</p> <p>以戴夫寇爾的紅隊演練編制來說，共分為5個小組，分別是情資小組（Intel Team）、特種部隊（Special Force）、正規軍（Regular Army）、支援小組（Support Team）與研究小組（Research Team）。</p> <p>先出動的是情資小組，負責情報偵察，以及收集企業外洩的帳號密碼。接著，由特種部隊負責取得最初的存取權限，尋找企業第一個可攻擊的爆破點，取得控制權後，再利用漏洞想辦法進入企業內網或取得更高的主機權限。翁浩正指出，前線防禦設備也可能是攻擊目標，所以企業在採購對外的第一線資安設備，千萬要小心。</p> <p>入侵內網後，下一步則由正規軍出面掃蕩，尋找企業有哪些主機有類似的漏洞，並建置C2中繼站，開始橫向或是垂直的移動，入侵更多主機。除了攻擊部隊外，支援小組的任務則是觀察與記錄戰況，翁浩正解釋，由於紅隊演練規模太大，委外的攻擊團隊進駐到企業內部後，企業也很擔心，所以，得記錄下攻擊團隊的重點攻擊行為。研究小組則是負責漏洞的挖掘，並尋找哪些漏洞可以取得最初控制權，甚至是開發漏洞利用程式。</p> <p><span style="font-size:26px;"><span style="color:#008080;"><strong>可用紅隊演練結果重分配資安預算</strong></span></span></p> <p>翁浩正認為，資安的重要性是全企業級的影響，所以，資安預算應從風險角度來評估，而不是屬於IT預算中的一部分。資源足夠的企業都進行風險評鑑，再以評鑑結果來安排資安預算。他認為，企業除了金預算用於高遭攻擊機率且高影響的部分之外，也應保留部分預算給低機率但高影響的部分，甚至要投資一些控制措施，讓低影響的情境不會增加風險。文⊙李靜宜</p> </div></div></div>
2019/4/8 11:41作者李靜宜https://www.ithome.com.tw/news/129815
沒有假議題，只有處理不了的議題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北市政府副發言人日前在電視政論節目當中，表示統獨是「假議題」，並且強調民生經濟才是當前人民最關切的議題，引發全國熱議。然而，在IT的領域裡面，大家其實對於現今當紅的許多技術應用浪潮，可能也有類似的論調，然而，這些真的都是廠商在炒作議題嗎？</p> <p>以雲端服務為例，一般企業現在的接受度和採用率已逐漸提升，在我們的2019年CIO大調查當中，絕大多數產業的重點投資項目，它都名列前三大（只有高科技製造業是第四大），綜合所有企業來看，對於雲端服務的平均投資金額為696萬元，僅次於資訊安全（739萬元）和物聯網（732萬元）。所以，雲端服務對投入大量資金的臺灣企業而言，是個假議題嗎？</p> <p>如果你還是堅持雲端服務是個假議題，那麼，最近傳出裁員消息的甲骨文，以及這幾年來也傳出裁員，並高喊Cloud First、Mobile First的IT大廠，像是IBM、微軟，應該都不需要為此屢屢大幅調整人力配置。</p> <p>那麼，當前熱門的人工智慧（機器學習）呢？在今年的臺灣企業IT的重點投資項目當中，它已擠入前五大，平均投資金額為616萬元，而對於各大IT廠商而言，在既有產品當中，也都爭相整合這方面的技術，企圖提供更理想的分析與預測能力。</p> <p>而今年臺灣企業最大的IT投資項目是什麼？無庸置疑是資訊安全，近年來，兩岸關係處於持續緊繃狀態、北韓遭到經濟封鎖，以及中美貿易戰等多種因素作祟，以臺灣作為主要目標的網路攻擊接連不斷而來，同時，也充斥著各種假新聞的操作，若有人仍然認為資安是庸人自擾的假議題，或抱持駭客與資安廠商串通起來矇騙市場的陰謀論，也只會讓人恥笑。</p> <p>因為，就連全世界最知名的臺灣大企業，去年都因為惡意軟體的攻擊而導致產線大規模停擺，蒙受嚴重損失，而為數眾多的臺灣中小企業，原本就處於資安預算、專業防護人力明顯不足的困境，又怎能無視這樣的威脅，認為自己擋得住、防得了呢？許多公司至今仍以為一定要有錢有勢，才可能會成為攻擊目標，事實上，無差別的加密勒索軟體攻擊，以及有特定目標的網路攻擊，兩者都是同時存在的，就算有此消彼長的態勢，以及單筆受害金額的高低落差，我們都無法輕易排除自己被鎖定、被滲透的可能性，因為，即使你不是主要受害者，仍有可能因為手上的連網設備遭到駭客的惡意程式劫持，而在自己不知情的狀況下，去傷害他人。</p> <p>整體而言，每當看到有人輕率地批評某件事是假議題，此時，我們應該反思，仔細審視對方的論點是否站得住腳，當我們指責他人總是喜歡舊事重提、「炒冷飯」、翻舊帳，認為這些狀況只是特定利益團體為了煽動對立而提出的訴求，但現在情勢已明顯不同，因為，國家主權的危機就在眼前，任何政治團體若不能認知到這樣的處境，企圖透過「假議題」的比喻來轉移大眾的注意力，這是罔顧現實，我們更期待的是要有人來承擔這份重任，做出改善，而非一再擱置，導致最後變成真正的問題。</p> <p>或許在過去兩岸關係較為平緩、相互包容的狀態下是如此，然而，在2014年因立法院審查海峽兩岸服務貿易協議爆發爭議，引發318學運之後，再加上中國這幾年極力打壓我國的外交，壓縮臺灣的國際交流空間，各種文攻武赫的動作變本加厲，都是實實在在面臨的國家處境，朝野都應該意識到這樣的局面而有所回應，表達守護主權的堅定立場。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%81%87%E8%AD%B0%E9%A1%8C">假議題</a></div></div></div>
2019/4/8 11:50作者李宗翰https://www.ithome.com.tw/voice/129817
【臺灣資安大會直擊】不只資安產品能用AI，趨勢利用AI輔助沙箱偵測每年數十萬PDF檔，以降低資安維運成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來的AI技術，就像是一個Excel表格功能，可以節省許多整理表格的力氣與時間。」趨勢科技全球研發部資深副總周存貹近日參加臺灣資安大會時表示，對於資安公司來說，AI也像是一種製作資安表格的工具，可以幫助許多資安公司加強資安產品的防護。周存貹認為，資安整合AI能力，已成為必然的發展趨勢，因此，真正的關鍵在於，如何運用AI來解決現有資安產品面臨的難題。</p> <p>因為AI技術最近幾年的大躍進，也帶來資安防護技術的演進，開始有越來越多的資安公司，將AI能力融入自家資安防護產品之中，試圖解決一些傳統資安產品面臨的問題，例如病毒碼更新管理難題、無法偵測未知病毒，以及容易出現誤判的情況等。趨勢科技也是其中一家。</p> <p>周存貹表示，目前該公司與資安及營運相關的AI專案多達50個。以資安為例，至今，趨勢已實際將AI技術應用在電子郵件詐騙阻擋、垃圾郵件阻擋以及惡意巨集偵測等方面。以目前常見的變臉詐騙(BEC)來說，他們利用500多封電子郵件的書信內容當作訓練樣本，讓AI學習公司主管的書寫風格，以判斷信件內容是否為詐騙，一旦發現內容與本人的書寫風格不符，就會發送警告，提醒收／寄件者注意。趨勢在內部使用一段時間後發現成果高於預期，如今也把這項技術運用在自家資安產品中。另外，在阻擋釣魚郵件上，趨勢也同樣利用AI對於圖像辨識能力，來教導它學習判別釣魚網站，使用至今也獲得不錯的辨識成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_163742.jpg" style="width: 600px; height: 338px;" /></p> <p>不只有資安產品會用到AI，趨勢也利用AI輔助沙箱偵測內含巨集惡意程式的PDF文件檔案，來降低資安維運成本。過去趨勢是利用沙箱模擬分析技術（sandbox）來進行偵測，將所有信件附加的PDF檔案放進沙箱環境做檢測，以確保電腦安全。但是，以前光是每天要處理的郵件多達上百萬到千萬封，用在處理全部PDF檔案，事前可能需要準備數十萬臺沙盒才夠用，不僅耗費許多運算成本，甚至每次處理<br /> 至少需要3到5秒的等待時間，要過濾完所有PDF檔相當費時。</p> <p>後來，趨勢決定改用AI來替他們解決這個營運難題。他們利用將近1年蒐集來的數十萬個PDF檔案當作訓練資料，來建立ML模型，用來判別PDF檔案的好壞，僅針對AI沒辦法分辨的問題檔案，再丟進沙箱內進一步檢測。經過半年併行測試後，也幫助他們大幅降低了沙箱的使用數量，而且同樣能發揮到相同防護的效果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190319_164324.jpg" style="width: 600px; height: 277px;" /></p> <p>不過，周存貹坦言，AI在提高病毒偵測率、降低誤判率，以及減少更新病毒碼的頻率方面，雖然能發揮到不錯的效果，但是純用AI來防毒，現階段還是存在一定程度風險。首先，AI技術的先天特性，目前還難以解釋病毒偵測成功或失敗與否的原因，所以當AI發生誤判或抓不到病毒時，不容易找到真正的原因，並且也很難立即反應，得要重新餵資料訓練模型，這段時間，等於是讓企業重要系統成為駭客的囊中物；再者，對已知病毒的偵測率，AI反而不如傳統資安產品。最後，不只只有資安公司會想到用AI，駭客攻擊也開始用AI來反制，利用對抗式攻擊（Adversarial Attacks）技術，誘騙AI產生錯誤的判斷，藉此規避AI資安產品的偵測。</p> <p>周存貹建議，企業在選用資安產品時，AI固然是重要的參考指標，但是更重要的是，這個資安產品是不是有做到多層的保護，也就是在伺服器、端點、閘道器或防火牆，加入多種不同的資安保護，以及這個資安產品是不是搭配多樣的技術，如AI、行為分析偵測等，從各個資安層面對企業提供全面的保護；再者，也要將單一資安產品的整合能力納入考量，能與其他資安產品整合，可以協調合作。這些都具備了，才是完整的資安解決方案。</p> <p>以趨勢的X-GEN防護產品為例。他表示，當有一個惡意檔案進到企業，除了會先經過幾道安全機制過濾，包括WEB Reputation、Application Control與census check，同時也會搭配兩種ML引擎的資安防護，一個是pre-execution ML，先針對還沒執行前的檔案做ML推論，以判別是否屬於惡意檔案，另一個則是 Runtime ML，可在檔案或程式值執行過程中，用於偵測或捕捉惡意病毒，並將其擋下。如此一來，這才能達到多層次、多產品、多功能的保護。</p> </div></div></div>
2019/4/8 12:12作者余至浩https://www.ithome.com.tw/news/129816
傳微軟電子病歷管理平台HealthVault將於11月20日關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/129056" target="_blank">關掉Health app</a>後，微軟可能又將關閉推展許久的電子病歷管理平台HealthVault。</p> <p><a href="https://www.zdnet.com/article/microsoft-is-closing-its-healthvault-patient-records-service-on-november-20/" target="_blank">ZDNet報導</a>，有HealthVault用戶接獲微軟以電子郵件通知，該公司HealthVault服務將從2019年11月20日關閉。微軟表示希望告知此事以便用戶能提前準備。</p> <p>HealthVault於2009年上線，長期以來微軟積極以之與主要醫院合作，作為大眾用戶健康資料的儲存與管理平台。</p> <p>在11月20日之後，所有用戶儲存在HealthVault帳號下的資料將會被刪除。如果用戶希望保存帳號下的資料，必須及早行動從HealthVault帳號下將資料搬移。微軟也建議想將資料匯出的使用者，可以聯絡同業包括Get Real Health及FollowMyHealth。</p> <p>此外，任何仰賴HealthVault服務運作的行動及網頁app也會在其關閉後無法運作。微軟提醒用戶向app廠商詢問未來計畫。</p> <p>這是微軟最新一次關閉與健康有關業務。今年三月初微軟才<a href="https://www.ithome.com.tw/news/129056" target="_blank">宣佈</a>5月31日起不再支援Health app及Band健康手環。微軟同時也允諾將款項退回給新加入的用戶。去年這家軟體巨人也關閉了HealthVault Insights app。</p> <p>但微軟仍有多項健康管理的新計畫，包括健康聊天機器人以及為Azure和協同平台Teams加入病歷整合功能。ZDNet推測微軟可能是想退出面對一般消費者的健康照護服務，專注在B2B（企業對企業）市場或軟體開發。</p> </div></div></div>
2019/4/8 10:18作者林妍溱https://www.ithome.com.tw/news/129810
微軟擴大Windows 10 20H1的早期開發者測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/129801" target="_blank">微軟宣佈</a>代號19H1/ 1903的重大Windows 10更新，將發佈給Release Preview 通道的開發人員，預告即將釋出給大眾。配合此一進度，微軟<a href="https://insider.windows.com/en-us/articles/check-your-windows-insider-program-settings/" target="_blank">計畫將代號20H1的Windows 10更新釋出給Fast ring通道的Insider開發人員</a>。</p> <p>同時微軟也宣佈把加入Skip Ahead選項的一小群開發人員與Fast Ring通道合併，預計未來幾周內就會開始。微軟還提醒開發人員確認自己屬於哪個通道，如果只想停留在May 2019 Update（19H1）的開發商，可以轉到Slow ring或Release Preview通道，因為20H1將會是功能不穩定或漏洞很多的版本。</p> <p>事實上，<a href="https://www.ithome.com.tw/news/128784" target="_blank">微軟早在2月14日就針對加入Skip Ahead的Insider開發人員釋出20H1測試版</a>，這次的宣佈使更多開發人員得以測試20H1，而非19H2。</p> <p>通常依據微軟的設計，Fast Ring開發人員只會比Slow Ring早一個版本，但這次宣佈卻使Fast Ring早了二個版本（跳過19H2），當時微軟並未多做解釋，只說是因為部份功能需要較多測試期，卻引發外界猜測19H2是不是就沒有了。</p> <p>不過媒體報導仍然會有。<a href="https://www.ithome.com.tw/news/129044" target="_blank">ZDNet 2月間根據內部消息指出</a>，把20H1測試提前理由是因應Windows及Azure開發工作整合引發的過度期，而這也導致19H2只會是小改版。果真如此，企業IT部門一定會很高興，因為他們就有理由跳過一次重大升級了。</p> <p>總之，<a href="https://twitter.com/brandonleblanc/status/1114224385777225729" target="_blank">微軟高層Brandon LeBlanc於４月５日透過推特說明</a>，仍然會有19H2，但要過幾周微軟才會說清楚對19H2的規劃。</p> </div></div></div>
2019/4/8 10:45作者林妍溱https://www.ithome.com.tw/news/129813
MIT從嚴審查和中、俄、沙國合作，暫停與華為、中興的計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到美中外交關係緊繃影響，美國麻省理工學院（MIT）公告會從嚴審查中國、俄羅斯及沙烏地阿拉伯三國與MIT的合作專案，而自即日起，暫停與廠商華為與中興的合作計畫。</p> <p><a href="http://orgchart.mit.edu/node/27/letters_to_community/new-review-process-elevated-risk-international-proposals" target="_blank">MIT研究副總裁Maria Zuber對內部職員發佈公開信說明該校做出的新決定。</a>她說，MIT常有很多國際合作機會，由於這些合作可能帶來風險或問題，因此MIT向來對可能的合作專案有繁複的評核流程。但因為國際合作的量與範疇近年愈來愈大，MIT於是在2017年秋天啟動強化評估流程。近期MIT公佈新的審核流程，並決定三類專案需要比一般國際合作專案接受更嚴格的審核。</p> <p>根據MIT的新審核流程，任何專案都要經過合規審查、學術審查及專案風險審查。至於需要更嚴格審查的三類專案則包括由中國（包括香港）、俄羅斯和沙烏地阿拉伯的個人和公司實體贊助、在這些國家由MIT員工與師生執行、以及和這三個國家的個人及公司實體合作的專案。</p> <p>MIT會特別關注這些國家的合作專案是否有與智財、技術輸出控管、資料安全與取用、經濟競爭性、國家安全、政治公民權或人權風險，以及是否影響MIT社群、及和MIT核心價值與使命是否一致。MIT會依國際情勢變化調整黑名單的國家。</p> <p>此外，因應美國政府針對兩公司違反對特定國家（伊朗）的國際制裁令進行調查，此時MIT也將暫停與華為、中興及其子公司之間締結新合作，既有合作也暫時不再更新。她表示俟情況改變，MIT會再重視審視。</p> <p>MIT的決定可說是美國川普政府運用國家之力防堵華為及中興產品的結果。<a href="https://www.ithome.com.tw/news/122478" target="_blank">2018年春天美國政府發出禁令禁止電信設備商輸出技術給中興</a>，一度危及中興生存。2018年美國國會更以危害國家安全為由，通過《國防授權法案》889節禁止電信業者採購華為及中興5G網路產品，且美國除了自己不買華為產品，也要求盟邦包括英國、德國及日本加入其抵制行動，引發<a href="https://www.ithome.com.tw/news/129192" target="_blank">華為在美控告此法違憲</a>，風波迄今仍未平息。</p> </div></div></div>
2019/4/8 11:09作者陳曉莉https://www.ithome.com.tw/news/129814
Yahoo分出來的Altaba出售阿里巴巴股權後關門大吉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>還記得Altaba嗎？<a href="https://www.businesswire.com/news/home/20190402006082/en/Altaba-Announces-Board-Approval-Plan-Complete-Liquidation" target="_blank">Altaba宣佈</a>出售中國電商巨人阿里巴巴的股權，同時關閉營運。</p> <p>若你不記得Altaba也很正常。2017年Verizon收購Yahoo的主要業務，包括搜尋、Yahoo Mail、Yahoo Messenger、Tumblr、Flickr及媒體品牌Huffington Post、Engadget、TechCrunch等，<a href="https://www.ithome.com.tw/news/111018" target="_blank">改名為Oath後成為加入子公司</a>。不過今年初<a href="https://www.verizon.com/about/news/introducing-verizon-media-group" target="_blank">Oath再度改名為Yahoo媒體事業群</a>。剩下來的業務包括阿里巴巴與日本Yahoo股權，持有非Yahoo非核心專利的實體Excalibur IP，則改名為Altaba，但已經從網際網路世界主要舞台退場。2018年9月，Altaba出清手中的日本Yahoo 股權。而原本在此前2個月，它也擬出售部份阿里巴巴股票，隨後又買回以挽救股價。</p> <p>今年四月初，Altaba宣佈其公司基金董事會表決通過出售持有剩下的阿里巴巴股權及Excalibur IP的股份，並完全結束公司。這次出售為股東產生的利益估計在398億到411億美元之間，其中一半將等股東大會通過後執行。</p> <p>Altaba執行長Thomas McInerney指出，2017年6月該公司已經採取積極作為激發股東價值，並產生可觀效果…而對股東來說正確的下一步是該公司於四月初宣佈的計畫，代表公司能力範圍內最具決定性的一步，以保護資產價值在損失最少的程度。</p> <p><a href="https://techcrunch.com/2019/04/03/altaba-alibaba-sale/?utm_medium=TCnewsletter&tpcc=TCdailynewsletter" target="_blank">Techcrunch引述</a>阿里巴巴發言人表示，很高興Yahoo過去曾投資阿里巴巴，並看到現在這筆投資能帶來強勁回報。而隨這次股權出售，也正式宣示Yahoo的獨立運作部份告終。</p> </div></div></div>
2019/4/8 10:00作者林妍溱https://www.ithome.com.tw/news/129809