iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

篩選「Android」清除篩選 ×

本頁 60 篇 · 依收錄順序顯示摘要

來自中國開發商DO Global的程式，因涉廣告詐騙遭Google下架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.buzzfeednews.com/article/craigsilverman/google-ban-play-store-do-global-baidu" target="_blank">根據BuzzFeed News的報導</a>，來自中國開發商DO Global所打造的Android程式因涉及廣告詐騙，正面臨遭Google全面下架的危機，在隸屬於DO Global的100款程式中，確定已有46款被下架，其它的也兇多吉少。</p> <p>BuzzFeed News與資安業者Checkpoint是在4月中，針對來自DO Global的Android程式展開調查，發現DO Global所打造的程式含有一廣告詐騙機制PreAMo，它會偽裝成使用者來點擊廣告，向廣告代理商詐騙廣告費，在雙方向Google檢舉之後，Google首波移除了來自DO Global的6款程式，下載量超過9,000萬次。</p> <p>BuzzFeed News還發現，DO Global還使用不同的發行商名稱來隱匿程式的來源，此舉同樣違反了Google Play的開發者政策。</p> <p>隨之Google再移除了源自DO Global的40款程式，且其它的DO Global程式也岌岌可危。DO Global的100款程式在全球的安裝數量估計超過6億。</p> <p>DO Global定位為全球行動廣告平台，是在去年自百度獨立，迄今百度仍握有DO Global的34%股權。DO Global已向BuzzFeed News發布聲明，坦承自己的違規行為，還說該公司接受Google的決定。</p> </div></div></div>
2019/4/29 15:00作者陳曉莉https://www.ithome.com.tw/news/130276
Google Play撤下逾50款廣告程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.avast.com/adware-plagues-google-play?ref=cj&utm_medium=affiliate&utm_source=commissionjunction&utm_campaign=6158287&couponfield=yes&cjevent=172f9a14668c11e980cb047b0a24060c" target="_blank">防毒軟體業者Avast日前指出</a>，Google Play上有超過50款行動程式植入了名為TsSdk的廣告程式，它們表面上可能是遊戲、照片編輯、健身或音樂程式，實際上它們也具備這些功能，只是會不斷地播放全螢幕的廣告，或是說服使用者下載其它程式。Google在收到Avast的通知之後已將它們全數移除。</p> <p>TsSdk使用了可繞過Android背景服務限制的第三方Android函式庫，Google Play並未明確禁止程式繞過背景服務限制，但TsSdk藉由這些函式庫不斷播放廣告卻違反Google Play的規定。</p> <p>根據Avast的分析，TsSdk有新、舊兩種版本，舊版的安裝數量較少，只有360萬次，受害市場主要為印度、印尼、菲律賓、巴基斯坦、孟加拉與尼泊爾，當使用者安裝了嵌有TsSdk的行動程式之後，它會自動在首頁上建立程式捷徑，且只要一打開螢幕它就會跳出全螢幕廣告，有些變種會在受害者使用手機時定期播放廣告，有些還會下載其它程式。</p> <p>至於新版TsSdk則相對普及，安裝次數接近2,800萬次，受害者主要散布在菲律賓、印度、印尼、馬來西亞、巴西、尼泊爾與英國。它加密了廣告程式碼以躲避偵測，而且它在部署全螢幕廣告時會先進行各項檢查，例如只有透過臉書下載的程式才會觸發其廣告機制。</p> <p>此外，嵌入新版TsSdk的程式只會在程式剛裝好的4小時內跳出廣告，而且頻率愈來愈低；它在前兩個小時會每15分鐘播放一次廣告，再來就是30分鐘及45分鐘。</p> </div></div></div>
2019/4/29 11:55作者陳曉莉https://www.ithome.com.tw/news/130273
新版Nextcloud 16能以機器學習偵測可疑登入行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nextcloud.com/blog/nextcloud-16-introduces-machine-learning-based-security-and-usability-features-acl-permissions-and-cross-app-projects/">用來創建檔案分享與通訊服務的開源套裝軟體Nextcloud釋出第16版</a>，這個新版本重點擺在機器學習的應用，藉以提升系統在安全性與可用性，新加入的存取控制列表（Access control lists，ACL）功能，則能讓管理者更細緻的控制群組資料夾權限。</p> <p>為了面對更複雜的攻擊手段，除了應用雙因素驗證，現在Nextcloud 16還加入了機器學習以檢測可疑登入行為，即早警告使用者以採取對應行動。檢測可疑登入功能需要先追蹤實例上，使用者成功登入行為60天，才能生成資料來訓練神經網路，當模型訓練完成後，就可以用來檢測可疑登入行為。當使用者帳號被惡意登入時，系統將通知用戶，用戶可以終止可疑連線並設置新密碼，而系統管理員也能從日誌中掌握該事件，除了可以禁用使用者帳戶外，也能強制用戶更新密碼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/suspicious-login-settings.png" style="width: 600px;" /></p> <p>除了登入驗證，Nextcloud 16在協作功能也應用了機器學習，提供分享建議以及文件推薦。當用戶進行檔案分享時，Nextcloud現在會立即顯示常用群組以及聯絡人，加速用戶對團隊或是個人的文件分享操作。而文件推薦功能，則是系統會嘗試預測用戶感興趣的資料，在文件列表頂端顯示推薦文件，目的是要幫助使用者以更少的動作，找到需要的資料。</p> <p>Nextcloud 16在群組資料夾支援ACL，系統管理員可以對每個群組共享的檔案或是資料夾，設定特別的存取權限，雖然資料夾權限是預設繼承的，但是子資料夾與檔案的權限可以被系統管理員另外覆寫，因此可以在頂級資料夾設定唯讀權限，但在子資料夾設定成可寫入權限。可供配置的權限有讀取、寫入、創建、刪除和共享，而這些權限都有繼承、允許與拒絕三個選項。</p> <p>這個版本還有一個新的專案功能，可以讓使用者將訊息與應用程式等元素以專案的概念相關聯，在專案中加入檔案、通話或是各種項目，這些項目會出現在專案列表中，使用者點擊列表即可跳轉到這些項目的應用程式中，而專案是跨整個Nextcloud系統的，當用戶在專案中增加的項目，其他用戶也能夠查看，不過項目中文件的共享權限是獨立的，當用戶沒有給予其他用戶讀取檔案的權限，這些檔案也不會對外公開。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/deck-projects.png" style="width: 600px;" /></p> <p>Nextcloud 16更新了其通訊應用程式Talk 6.0，這個版本主要加入了全新的命令，讓系統管理員設定用戶可以在通訊中執行的動作，而Talk 6.0也支援專案功能，使用者能將通話加入到專案項目中。Android和iOS的Talk也都同時發布了新版本。</p> </div></div></div>
2019/4/29 11:08作者李建興https://www.ithome.com.tw/news/130260
【儲存管理平臺：Pure Storage Pure1】以雲端為基礎，由AI驅動，提供無遠弗屆的智慧化儲存管理
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/960x420_32.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最初Pure Storage是以固態儲存技術打響名號，自2011年正式發表首款產品後，憑藉專門針對快閃儲存架構設計的Purity儲存軟體平臺，短短幾年內，就在全快閃儲存陣列領域取得了一席之地，成為與一線大廠並駕齊驅的全快閃領導廠商，而現在又藉由Pure1這個雲端管理平臺，在AI輔助的IT管理應用上搶得先機。</p> <p>Pure1是基於雲端服務型態提供AI輔助分析功能的儲存管理平臺，可支援Pure Storage的儲存產品，亦即FlashArray與FlashBlade，只要用戶在設備啟用Phone-Home雲端監控服務，系統便能向原廠雲端監控中心發送系統狀況資訊，然後，用戶便能透過Pure1雲端控制臺介面，檢視自身Pure Storage儲存環境的運作狀態，並執行資源與負載分析，以及獲得存取架構配置的最佳化建議。另外，Pure1還有搭配手機的控制臺App版本可用。</p> <p><span style="font-size:28px;"><strong>雲端+AI=打破內外藩籬的智慧化儲存管理</strong></span></p> <p>2015年中推出的Pure1，最初稱為Pure1 Global Insight，原本是作為架構在雲端上的集中監控工具，為FlashArray全快閃儲存陣列提供集中管理功能，以輔助儲存設備本身網頁控制臺的不足，可以一次同時監控多臺儲存設備，而且不受地理環境限制。特別的是，Pure1還結合了一部份儲存資源管理功能，幫助用戶預測與規畫儲存容量。</p> <p>後來Pure Storage持續改善Pure1管理能力的深度與廣度，讓Pure1從單純的雲端集中管理用途，成長為智慧型管理平臺，可透過AI，幫助用戶分析與管理儲存環境。</p> <p>在提高管理能力深度方面，透過引進AI與機器學習技術，來改善Pure1的儲存資源分析預測能力，可以提供更精準的儲存效能與容量分析預測，以及升級建議，並增加了透通到VM層級的監控能力。</p> <p>在管理能力的廣度方面，Pure1原本只能搭配FlashArray全快閃儲存陣列，後來又陸續納入FlashBlade物件儲存設備，以及Cloud Block Store雲端儲存服務的支援，因此現在的Pure 1，已成為可涵蓋Pure Storage全線儲存產品的統一管理平臺。</p> <p><span style="font-size:28px;"><strong>提供基於AI的主動預測與分析規畫能力</strong></span></p> <p>Pure1是建立在儲存設備Phone Home功能的基礎上，先透過Phone Home向原廠雲端資料回傳資料，再藉由這4大元件向用戶提供服務：Pure1 Manage雲端管理介面、Pure1 Meta AI引擎、Pure1 Analyze分析工具，以及Pure1 Support支援服務。</p> <p>用戶可透過Pure1 Manage雲端管理介面，來使用Pure1提供的各式功能；Pure1 Meta AI引擎則會以全球數千部儲存陣列回傳的大量資料為基礎，透過深度分析，為各式各樣不同的應用型態建立特徵模式；接著再由Pure1 Analyze分析工具依據用戶個別情況，以及AI引擎建立的特徵模式，提供效能與容量預測與升級指引；Pure1 Support則提供了基於主動式預測的支援服務。</p> <p>而藉由這4大元件的組合，讓Pure1提供了一種顛覆現有儲存管理與支援模式——無遠弗屆的管理能力，以及基於AI分析預測的主動支援服務。</p> <p>Pure1的雲端控制臺，可允許用戶在任何地方取得管理儲存設備的能力；而憑藉持續的雲端監控與AI分析技術，Pure1能從儲存設備回傳的訊息參數，以及AI引擎從全球應用情境建立的特徵模式，主動的診斷與預測用戶的問題與需求，能在用戶察覺之前，便主動發現異常，並加以因應。</p> <p>Pure Storage原廠宣稱，Pure1的主動支援能力可涵蓋80%的故障事件，經由電話、郵件等傳統報修的事件則只剩下20%比重。</p> <p>除了因應日常維運的異常外，Pure1的AI分析技術還能提供自動化的儲存環境規畫與升級建議，無需原廠提供諮詢人力，用戶從Pure1便能得到組態調整與擴充建議，讓儲存環境的管理，邁入維運自動化與智慧化的新境界。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Pure1儲存管理平臺的基本架構與3大運作階段</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ai.jpg" style="text-align: center; width: 500px;" /></p> <p>雲端AI儲存管理平臺是一種SAAS型式的服務，登入雲端即可使用，至於底層的運作，則是建立在儲存設備的資料回傳功能，以及雲端資料中心的分析功能上。</p> <p>Pure1平臺也是透過Pure Storage儲存設備本身的Phone Home功能來啟動，只要用戶啟用該項功能，接下來，儲存設備會便會以每30秒一次的頻率，將自身的容量耗用、效能狀況與系統檢測資訊，發送到原廠的雲端資料中心。</p> <p>當Pure Storage的雲端資料中心接收到用戶端資訊，接著利用AI與機器學習等分析技術進一步分析處理後，再透過雲端網頁控制臺，向用戶提供集中管理、自動化診斷與報修，以及儲存資源分析與預測等服務。</p> <p><span style="font-size:28px;"><strong>Pure1透通到VM層級的儲存資源檢視能力</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_10.png" style="width: 305px;" /></p> <p><span style="color:#B22222;"><strong>檢視VM拓樸架構</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過Pure1 VM Analytics Collector工具程式的幫助，用戶可以在Analytics儲存資源分析選項中的VM Topology項目，製作出從VM到FlashArray儲存陣列的拓樸關係，一目了然地看出個別VM到儲存設備間的連接關係。</strong></span></p> <p>絕大多數的儲存陣列管理平臺，都只能檢視到自身Volume或LUN儲存區這一層級，對於容量耗用與效能負載的監控，也只能達到Volume或LUN的粒度。</p> <p>對於過去的實體主機存取應用環境來說，實體主機是直接與儲存設備的Volume或LUN對應與連接，所以，Volume或LUN的資源耗用，便等於是實體主機的儲存資源耗用。</p> <p>不過隨著虛擬化的普及，用戶實際上的儲存應用，大都是以VM為單位，而VM是透過Hypervisor平臺來間接使用儲存設備的Volume，由於儲存設備的一個Volume，可能同時承載了多個VM的存取，因此單單只是監控Volume層級的儲存資源變化，無法對應個別VM的儲存資源應用情況。</p> <p>雖然用戶可以從vCenter等虛擬環境管理平臺，檢視VM的I/O與容量耗用，但vCenter的監控只及於自身的VM，而無法涵蓋到儲存設備端。而且當應用環境規模較大時，多臺Hypervisor主機與儲存設備彼此交錯互連，也讓用戶難以難掌握從VM到儲存設備間的連接存取關係。</p> <p>所以，在虛擬化應用環境下，若要能完整監控與管理儲存資源使用情況，必須要擁有一種能夠透通從儲存設備到VM的管理工具。過去只有Tintri等少數儲存產品能提供這種能力，而現在Pure Storage藉由去年底推出的Pure1 VM Analytics Collector，也在Pure1平臺上實現了透通儲存端到VM的儲存資源監控能力。</p> <p>Pure Storage所實作的概念其實很簡單，透過Pure1 VM Analytics Collector這個Docker的Container小程式，向用戶虛擬環境的vCenter撈取VM資料，然後回傳到Pure1，Pure1便能藉此建立從VM到儲存設備Volume之間的拓樸關係，並監控個別VM的資源使用情況。</p> <p>目前提供的Pure1 VM Analytics Collector，只適用於FlashArray儲存陣列與VMware環境，有兩種安裝方式可用：一為透過FlashArray Purity//FA作頁系統的Purity//RUN功能，直接安裝在FlashArray儲存陣列上；另一為透過VM的形式，安裝到Hypervisor上。</p> <p>完成Pure1 VM Analytics Collector的部署後，用戶便能在Pure1網頁控制臺的Analytics儲存資源分析選項中，點選VM Topology項目，從拓樸圖之中檢視個別VM的儲存連接架構，以及硬體資源使用情況。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Pure1雲端控制臺介面6大功能總覽</strong></span></span></p> <p>雲端AI儲存管理平臺的所有服務，都是透過登入網頁控制臺來執行，Pure Storage目前為Pure1平臺提供了兩種網頁控制臺介面，ㄧ為透過瀏覽器登入的標準網頁控制臺，另一為剛於去年底發表，透過iOS或Android行動裝置App登入的行動式網頁控制臺。</p> <p>兩種版本的功能是一致的，不過，網頁版將相關功能區分為較精細的6大選項，App版本則把整併為3大選項，我們這裡以網頁版為例，來介紹Pure1的所能提供的服務。</p> <p>登入Pure1，從網頁控制臺的左邊選單可看到6個主要功能項目，由上到下是：Dashboard、Appliances、Analytics、Protection、Messages與Support，其中的Dashboard、Appliances、Protection與Messages等4個項目，都是屬於狀態檢視用途，讓用戶從不同面向——整個儲存環境、個別儲存設備到個別儲存區，來監控儲存設備的狀態；Analytics項目則是Pure1的精華，提供了基於AI技術的儲存資源分析、預測與指引功能，主要分為I/O效能與儲存容量兩大儲存資源分析類型，還提供了用戶自定歷史資料分析範圍等功能；至於Support項目，則是用戶與Pure Storage之間溝通的橋梁，用於回報問題、提出支援需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_1.png" style="width: 500px;" /></p> <p><span style="color:#B22222;"><strong>Dashboard——儀表板</strong></span></p> <p><span style="color:#696969;"><strong>Dashboard儀表板是Pure1的首頁，利用圖表讓用戶一目了然地檢視自身整個儲存環境的狀態，包括整個儲存環境的資源使用統計數字，工作負載最大的前十組系統狀況，以及近期的系統更新訊息等。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_2.png" style="width: 343px;" /></strong></span></p> <p><span style="color:#B22222;"><strong>Appliances——儲存伺服器檢視</strong></span></p> <p><span style="color:#696969;"><strong>用於檢視儲存環境中的個別儲存陣列，只要是被納入Pure1管理的FlashArray與FlashBlade裝置（理論上該公司的Cloud Block Store雲端陣列也能納入），用戶就可以在Appliances項目下，檢視個別的容量與效能狀況。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_3.png" style="width: 497px;" /></strong></span></p> <p><span style="color:#B22222;"><strong>Analytics——儲存資源分析</strong></span></p> <p><span style="color:#696969;"><strong>這是Pure1平臺最精華的功能項目，提供了效能、容量、預測與VM拓樸等4個子項目，分別提供了基於效能、容量兩種歷史記錄的分析功能、未來使用情況的預測模擬與升級建議，以及透通到VM層級的拓墣架構檢視功能。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_4.png" style="width: 444px;" /></strong></span></p> <p><span style="color:#B22222;"><strong>Protection——儲存保護狀態檢視</strong></span></p> <p><span style="color:#696969;"><strong>用於檢視Pure1管理的儲存設備資料保護設定狀態，包括3個層級，分別對應3種管理粒度，首先是個別Volume與檔案系統的快照政策，其次是包含多個Volume的保護群組快照狀態，第三是Active Cluster遠端叢集的資料同步狀態。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_5.png" style="width: 396px;" /></strong></span></p> <p><span style="color:#B22222;"><strong>Messages——系統訊息</strong></span></p> <p><span style="color:#696969;"><strong>Pure1最大的效益，是向用戶提供整理後的訊息。不過，有時候用戶還是需要檢視系統的原始日誌訊息，以進一步判斷特定裝置在指定時間的狀態，這時可進入Message項目，便能檢視個別設備的警示與日誌記錄。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_6.png" style="width: 360px;" /></strong></span></p> <p><span style="color:#B22222;"><strong>Support——支援服務</strong></span></p> <p><span style="color:#696969;"><strong>用戶與原廠間的溝通橋樑，含有3個項目，Knowledge是知識庫檢閱功能，Community用於參與社群討論，Cases則可讓用戶開立支援需求，原廠會在15分鐘內回應，並根據用戶訂購的服務等級（Basic、Advanced或Premium）寄送備品。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Pure1基於機器學習的儲存資源預測功能</strong></span></span></p> <p>幫助用戶預測與規畫未來的儲存資源架構，是Pure1平臺最大特色之一。</p> <p>早在Pure Storage於2015發表Pure1時，便提供了稱作Pure1 Capacity Planner的容量預測與規畫工具，利用儲存設備回傳的資源使用狀況資料，預測未來的容量增長需求，還能建議擴充升級儲存櫃型號，不過，這時候預測的對象，只有相對容易處理的容量。</p> <p>後來借助2017年引進的AI與機器學習技術，Pure Storage在2018年時，為Pure1增加了稱作Meta Workload Planner的工作負載預測規畫工具，可利用Pure Storage的Meta AI引擎，分析用戶設備的效能使用趨勢，預測未來的效能成長需求，並提出適當的升級規劃。</p> <p>所以，現在的Pure1平臺，已能針對容量與效能兩方面需求，提供成長預測與升級建議。用戶無須諮詢原廠技術顧問，也無需執行耗時的概念驗證測試（PoC），只要透過Pure1的預測功能，就能精準模擬出儲存設備成長需求，以及組態調整或升級後的表現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_7.png" style="width: 466px;" /></p> <p><span style="color:#B22222;"><strong>啟用預測功能</strong></span></p> <p><span style="color:#696969;"><strong>登入Pure1控制臺後，點選Analytics儲存資源分析項目，再點選其中的Forecast預測項目，頁面左邊是儲存設備列表，右邊是模擬結果欄。從儲存設備列表中點選想要分析與預測的設備，便可到模擬結果欄執行分析預測。</strong></span></p> <p class="rtecenter"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/Pure1_Console_8.png" style="width: 235px;" /></strong></span></p> <p><span style="color:#B22222;"><strong>儲存資源預測</strong></span></p> <p><span style="color:#696969;"><strong>模擬分析欄有兩個選單，ㄧ為Training Windows，用於確定預測引擎使用的歷史記錄時間區段基準，另一為Hardware，用於提供硬體升級模擬與建議。</strong></span></p> <p><span style="color:#696969;"><strong>其中，用戶可透過Training Widows選單的時間軸，自行設定時間區段，而裡面呈現的Load與Capactiy圖表，分別用於決定選用的平均效能與容量的區段。</strong></span></p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 產品資訊 </span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>Pure Storage Pure1</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>●原廠：Pure Storage (02)8729-2179</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>●建議售價：廠商未提供</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>●支援儲存產品：Pure Storage FlashArray儲存陣列, FlashBlade Scale-Out 物件儲存設備</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>●主要服務：儲存設備雲端集中監控（系統效能, 容量, 儲存區保護狀態, VM資源）,故障自動報修, 儲存資源使用分析與預測, 模擬工作負載, 自動化升級建議</strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>【註：產品資訊時有異動，正確資訊請洽廠商】</strong></span></p> </div></div></div>
2019/4/27 10:00作者張明德https://www.ithome.com.tw/review/129885
臺灣熱門行動應用App潛藏多種資安風險，叡揚資訊呼籲企業要重視開發安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著智慧型手機等行動裝置的應用日益普及，許多企業與公部門所提供的服務，許多都推出了App，讓使用者能直接用來存取相關的業務。然而，這些App的安全性是否足夠，還是可能潛藏了不少弱點？在叡揚資訊於4月24日舉行的2019解決方案日中，該公司資訊資深產品經理游文賢揭露他們的檢測結果，發現在臺灣80款常見的App裡，有近3/4的App含有可被攻擊者濫用的弱點，呼籲企業要重視行動應用程式的開發安全。</p> <p>游文賢表示，他們檢測的80款行動裝置App，主要來自政府機關、電信業者、金融單位、航空公司，以及電子商務平臺等單位，並且也依據App Store與Google Play商店裡，屬於較為熱門的iOS與Android應用程式，做為納入測試的標準。至於檢測的方式，則是根據OWASP Mobile 2016規範，以及美國國家資訊安全保障聯盟（NIAP）的要求，採用叡揚資訊旗下代理的Kryptowire進行黑箱測試。結果總共多達59款App含有漏洞，而且其中不乏是具有高風險的弱點，像是寫死（Hard-coded）的加密金鑰，或是SSL連線驗證機制竟能被繞過等。</p> <p>從OWASP Mobile 2016所列出的10大行動應用App風險中，這些受測的App上就存在7種，其中最多App隱含的風險，是應用程式同時包含了額外、不相關的功能模組，共有54款出現這種現象。雖然這種現象未必會直接帶來危害，但是如今駭客手法刁鑽，很可能鎖定開發者實際沒有使用的程式庫，找尋其中的漏洞，發動攻擊，游文賢更進一步指出，企業為了將防護的效益最佳化，保護措施通常集中於正式上線的各式功能，不會針對行動應用程式裡的測試模組，還有對應的應用系統伺服器等，加以防護，一旦遭受攻擊，駭客很可能就得以長驅直入到企業內部環境，因此，這種問題背後隱含的風險其實相當嚴重。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MobileApp-WeakPointFromOWASP.png" /></p> <blockquote><p>在OWASP Mobile 2016所列出的10大行動應用程式風險中，叡揚檢測的臺灣在地80款App裡，就出現了圖中的7種，右邊的數字是代表發現含有這種風險App的數量。</p> </blockquote> <p>另一項叡揚資訊列出的風險，則是存放資料的措施不安全，也有49款行動應用App被發現這種問題。資料儲存不當，使得手機等行動裝置成為有心人士能夠竊取機密的管道。</p> <p>除了上述2種資安風險之外，叡揚資訊也找到其他OWASP Mobile 2016所列出的威脅，像是採用不安全的資料傳輸機制、行動應用App能被逆向工程破解，以及加密的強度不足等。</p> <p>至於從美國國家資訊安全保障聯盟所列出的資安檢測項目裡，上述的行動應用App同時面臨了其他風險，包含會在移除時留下無用檔案（Leftover Files）、App編譯時採用不安全的組態，還有使用強度不足的加密字串（Encryption Seed）等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MobileApp-WeakPointFromNIAP.png" /></p> <blockquote><p>從美國國家資訊安全保障聯盟（NIAP）所列出的資安風險來看，受測的App也出現了共11種風險。</p> </blockquote> </div></div></div>
2019/4/26 19:02作者周峻佑https://www.ithome.com.tw/news/130259
研究人員公布可用來竊取機密資訊的高通晶片旁路漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國資安業者<a href="https://www.nccgroup.trust/us/our-research/private-key-extraction-qualcomm-keystore/" target="_blank">NCC Group公布了藏匿在逾40款高通晶片的旁路漏洞</a>，可用來竊取晶片內所儲存的機密資訊，並波及採用相關晶片的Android裝置，高通已於本月初修補了此一在去年就得知的漏洞。</p> <p>此一編號為CVE-2018-11976的漏洞，涉及高通晶片安全執行環境（Qualcomm Secure Execution Environment，QSEE）的橢圓曲線數位簽章演算法（Elliptic Curve Digital Signature Algorithm，ECDSA），將允許駭客推測出存放在QSEE中、以ECDSA加密的224位元與256位元的金鑰。</p> <p>QSEE源自於ARM的TrustZone設計，TrustZone為系統單晶片的安全核心，它建立了一個隔離的安全世界來供可靠軟體與機密資料使用，而其它軟體則只能在一般的世界中執行，QSEE即是高通根據TrustZone所打造的安全執行環境。</p> <p>NCC Group資深安全顧問Keegan Ryan指出，諸如TrustZone或QSEE等安全執行環境設計，受到許多行動裝置與嵌入式裝置的廣泛採用，只是就算安全世界與一般世界使用的是不同的硬體資源、軟體或資料，但它們依然奠基在同樣的微架構上，於是他們打造了一些工具來監控QSEE的資料流與程式流，並找出高通導入ECDSA的安全漏洞，成功地從高通晶片上恢復256位元的加密私鑰。</p> <p>Ryan解釋，大多數的ECDSA簽章是在處理隨機數值的乘法迴圈，假設駭客能夠恢復這個隨機數值的少數位元，就能利用既有的技術來恢復完整的私鑰，他們發現有兩個區域可外洩該隨機數值的資訊，儘管這兩個區域都含有對抗旁路攻擊的機制，不過他們繞過了這些限制，找出了該數值的部份位元，而且成功恢復了Nexus 5X手機上所存放的256位元私鑰。</p> <p>NCC Group早在去年就發現了此一漏洞，並於去年3月知會高通，高通則一直到今年4月才正式修補。</p> <p><a href="https://www.qualcomm.com/company/product-security/bulletins" target="_blank">根據高通所張貼的安全公告</a>，CVE-2018-11976屬於ECDSA簽章程式碼的加密問題，將會讓存放在安全世界的私鑰外洩至一般世界。它被高通列為重大漏洞，而且影響超過40款的高通晶片，可能波及多達數十億台的Android裝置。</p> </div></div></div>
2019/4/26 17:35作者陳曉莉https://www.ithome.com.tw/news/130258
GitLab 11.10於營運儀表板新增工作管線資訊，助用戶掌握多專案狀態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/2019/04/22/gitlab-11-10-released/#composable-auto-devops">GitLab釋出11.10版本</a>，這個版本強化了營運儀表板（Operations Dashboard）以提升DevOps生命周期的透明度，並且還進一步簡化協作與開發人員工作流程，對於之前的合併請求建議（Merge Request Suggestions），原本僅支援單行更改，而從這個版本開始用戶可以同時為多行程式碼撰寫建議。</p> <p>營運儀表板能讓用戶一目瞭然每個專案的運作健康程度，包括工作管線以及警示狀態，用戶可以逐一添加專案，方便查看感興趣的專案。而在這個版本，工作管線的狀態也會顯示在營運儀表板中，官方提到，這個功能方便用戶查看單一專案的工作管線，但是在多專案工作管線更顯得有用，當用戶使用微服務架構的時候，通常需要以工作管線測試和部署，儲存在不同專案儲存庫的程式碼，而現在這些專案的工作管線執行狀態都會出現營運儀表板上。</p> <p class="rtecenter"><img alt="" src="https://about.gitlab.com/images/11_10/cross-project-pipelines-dashboard.gif" style="width: 500px;" /></p> <p>另外，官方提到，隨著時間，來源和目標分支程式碼可能出現分歧，這會讓來源以及目標工作管線正常且沒有合併衝突的情況下，在組合輸出的時候工作管線發生故障，原因是兩者之間的更改並不相容。為了解決這個問題，GitLab讓合併請求工作管線自動創建新的參照，之中會包含來源和目標分支組合合併結果，接著在依據該參照執行工作管線，以確保組合結果的有效性。</p> <p>GitLab 11.10也更新了合併請求建議功能，合併請求建議是GitLab在11.6版本提供的功能，讓程式碼審查者在合併請求的差異上，撰寫註釋直接留下修改建議，當合併請求被接受時，建議會自動被應用。而審查者原本只能對單行撰寫註釋，但現在可以對多行進行更改，並且任何對來源分支有寫入權限的用戶，都可以點擊接受應用更新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/multi-line-suggestion.png" style="width: 500px;" /></p> <p>這個版本也加入了範圍標籤（Scoped Labels）功能，讓用戶得以在問題（Issues）、合併請求等階段使用互斥標籤，以解決雜亂的自創欄位或是工作流程狀態，像是使用者可以在問題中，創建一個客制化欄位以描述作業系統，則標籤可使用雙冒號分隔欄位，如platform::iOS、platform::Android與platform::Linux，對目標應用任何一個上述標籤，則系統根據設定移除任何platform::開頭的標籤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/scoped-labels.png" style="width: 500px;" /></p> </div></div></div>
2019/4/26 16:00作者李建興https://www.ithome.com.tw/news/130252
支援Windows暗黑模式的Chrome 74來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在4月23日<a href="https://chromereleases.googleblog.com/2019/04/stable-channel-update-for-desktop_23.html" target="_blank">釋出</a>了相容於Windows、Mac、Linux、Android及iOS等平台的Chrome 74，其中的Windows版本開始支援暗黑模式，Android版則將Data Saver選項改為Lite mode，另也在桌面版上新增「減少動態媒體」（Reduce motion）的選項，同時修補了39個安全漏洞。</p> <p>Chrome 73便已開始支援macOS的暗黑模式（Dark Mode），但一直到Chrome 74才支援Windows的暗黑模式功能，不管是在macOS或是Windows上，Chrome都是跟隨作業系統的設定，亦即當使用者在作業系統上啟用暗黑模式時，Chrome就會自動切換成暗黑模式，而無法單獨設定Chrome的暗黑模式。</p> <p>另一項在桌面版平台新增的功能為「減少動態媒體」，它可降低網站上的動畫、頁面滾動或縮放效果所帶來的暈眩或不適感。</p> <p>至於Android版的Chrome 74則將Data Saver更名為<a href="https://blog.chromium.org/" target="_blank">Lite mode</a>。Google說明，Data Saver設定可減少最高60%的Chrome網頁傳輸量，但改善後的版本不只節省資料傳輸，而且提供更快的載入，也使用更少的記憶體，才重新命名為Lite mode。</p> <p>此外，Lite mode只會存在於Android版的Chrome上，並將棄用Chrome 74的桌面版Data Saver擴充程式。</p> <p>另有一項安全上的改善，是禁止網站在使用者關閉該分頁時開啟另一個視窗。Chrome 74還修補了39個安全漏洞，這次修補的漏洞中，有5個屬於高風險等級，並未有重大漏洞。</p> <p>支援各種平台的Chrome 74將在陸續在未來幾天或幾周部署至全球市場。</p> </div></div></div>
2019/4/24 16:30作者陳曉莉https://www.ithome.com.tw/news/130210
資安一周第39期：原本一月底就要宣布的政府禁用危害國家資通安全產品明確原則終於公布，將溯及既往，禁用清單則在7月底前確定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0418-0424一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color:#B22222;"><strong>軟體安全、微軟Office</strong></span></h3> <h2><strong>卡巴斯基實驗室：2018年Q4攻擊有7成鎖定微軟Office</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89office_platforms_diagram_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="text-align: right; width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／卡巴斯基</span></p> <p>鎖定系統與應用程式的攻擊不斷，根據卡巴斯基實驗室的分析，在去年第四季受到駭客攻擊的平臺中，有70%是針對微軟Office。而根據該實驗室的追蹤，在2016年第四季時，最受駭客青睞的攻擊平臺為瀏覽器（45%）、Android（19%）與微軟Office（16%），三年後Office則躍升為第一，並占所有攻擊的70%。</p> <p>究其原因，卡巴斯基表示，包括攻擊表面眾多，與Windows整合，並指出最近經常出現Offce的零時差漏洞，並認為微軟當初建置Office的許多設計決策是錯誤的，但並未詳細說明是那些決策。<span style="color:#A9A9A9;"><a href="https://www.ithome.com.tw/news/130006">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>國家資安政策</strong></span></h3> <h2><strong>行政院公布危害資通安全產品使用原則，禁用產品清單則將在3個月內公布</strong></h2> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89960-xing_zheng_yuan_hong_zheng_wei_she__0.jpg" style="width: 220px; float: right;" /></strong></p> <p>行政院發言人Kolas Yotaka在4月19日召開記者會，公布行政命令「各機關對危害國家資通安全產品限制使用原則」，並以電子公文發函給各機關。這項原則原本應該在一月底公布，但因為外界有諸多疑慮，所以在綜合多方考量下，遲至4月中旬才對外公布。Kolas Yotaka表示，這項行政命令的母法來自「資通安全管理法」，包括受該法規範的中央與地方政府，以及關鍵基礎設施的提供者等，都必須在未來3個月內，優先盤點機關內已經採購的、來自危險地區的產品清單送交行政院，行政院也會彙整一份正面表列、禁止採購品牌的產品清單，給受資安法規範的機關參考；該份使用原則將溯及既往，適用先前已經採購的資安產品。<a href="https://www.ithome.com.tw/news/130155"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>韌體安全、無線晶片漏洞</strong></span></h3> <h2><strong>Broadcom Wi-Fi晶片組驅動程式含多種安全漏洞</strong></h2> <p>美國電腦網路危機處理暨協調中心（CERT/CC）本周警告，Broadcom Wi-Fi晶片組所採用的Wl與brcmfmac驅動程式，含有多個安全漏洞，包括CVE-2019-9500、2019-9501、2019-9502與2019-9503，這四個漏洞將允許駭客執行服務阻斷攻擊，甚至可自遠端執行任意程式，且禍延蘋果、群暉等品牌的產品。在本月18日前，CERT/CC僅確定brcmfmac驅動程式的漏洞已被修補，同時也提及幫助緩解此漏洞的方法，就是使用用戶自己信任的Wi-Fi網路。<a href="https://www.ithome.com.tw/news/130079"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>DNS挾持</strong></span></h3> <h2><strong>國家級駭客持續攻擊中東及北非國家的DNS系統</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89image1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Cisco%20Talos.jpg" style="text-align: right; width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Cisco Talos</span></p> <p>Cisco旗下的威脅情報組織Talos揭露名為「海龜」（Sea Turtle）攻擊行動，該行動從2017年1月到今年第一季，持續鎖定中東及北非地區13個國家的逾40個組織，發動DNS攻擊，他們認為一攻擊是由國家支持的駭客所為。此攻擊活動是以DNS挾持作為主要的攻擊手法，藉由非法竄改DNS名稱紀錄，把造訪者導至駭客所掌控的伺服器。該行動的主要受害者為國家安全組織、外交部、知名能源組織，以及替這些組織提供服務的第三方業者；而次要受害者則是DNS註冊商、電信業者與ISP業者。還要注意的是，駭客通常以第三方業者作為跳板來攻擊目標對象。<span style="color: rgb(169, 169, 169);"><a href="https://www.ithome.com.tw/news/130106">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>通訊安全、國家資安政策</strong></span></h3> <h2><strong>法國打造政府機關專用傳訊程式Tchap，上線隔天就被找到漏洞</strong></h2> <p>為了加強政府機關之間的通訊安全，法國採用開源的全程加密通訊協定Matrix打造了Tchap傳訊程式，同時規定只有使用政府機關的電子郵件帳號才能註冊，並在4月17日於App Store及Google Play上釋出了Tchap測試版，然而，法國的資安研究人員Baptiste Robert（網名Elliot Alderson‏）隔天就找到了Tchap的安全漏洞，並且成功註冊了Tchap帳號，滲透Tchap的群組聊天室。</p> <p>法國政府表示，將會持續改善Tchap測試版，也會聽取外部專家的意見，而且已準備推出針對Tchap的抓漏獎勵計畫。<a href="https://www.ithome.com.tw/news/130136"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>資料外洩、網站安全</strong></span></h3> <h2><strong>駭客在黑市銷售近10億筆使用者資料</strong></h2> <p>根據科技媒體ZDNet報導，有一代號為Gnosticplayers的駭客，透過暗網市集Dream Market陸續外洩了5波的用戶資料，最近的一波涉及6個品牌，包括遊戲平臺Mindjolt、電子商務網站Wanelo、電子邀請函服務平臺Evite、南韓旅遊網Yanolja、時尚購物網站Moda Operandi ，以及蘋果裝置的維修業者iCracked等，總計牽涉到44個品牌。依照ZDNet先前向遭駭的38個品牌的求證經驗，最新一波外洩資料很可能也是真實的，總數接近10億筆。資安專家建議，受害者應儘快更新密碼，或是採用雙因素認證，以避免帳號遭到挾持與濫用。<a href="https://www.ithome.com.tw/news/130013"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>無線網路安全、雲端資料庫管理</strong></span></h3> <h2><strong>知名熱點搜尋App可能曝露200萬用戶Wi-Fi密碼</strong></h2> <p>根據科技媒體TechCrunch報導，Wi-Fi Finder App的開發商，他們蒐集200萬筆用戶Wi-Fi密碼等內容的資料庫，竟然未設密碼公開於網路上，可能讓企業及家用Wi-Fi網路門戶洞開。</p> <p>Wi-Fi Finder是一款App，可讓手機用戶快速搜尋並連上鄰近Wi-Fi熱點，也讓使用者分享他們Wi-Fi熱點供他人使用，下載人次超過50萬。發現這個資料的的GDI安全研究人員Sanyam Jain指出，這200萬筆記錄之下，都包含Wi-Fi網路名稱、精確地點、BSSID，以及明碼儲存的網路密碼。更值得注意的是，雖然該App聲稱只提供公共Wi-Fi熱點的密碼，但研究人員分析熱點的地點資料，發現其中有大量是來自住宅區的家用Wi-Fi基地臺。<a href="https://www.ithome.com.tw/news/130172"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>行動安全、瀏覽器漏洞、惡意廣告</strong></span></h3> <h2><strong>駭客利用iOS上的Chrome漏洞傳遞惡意廣告</strong></h2> <p>專門攔截惡意廣告的Confiant近日指出，駭客集團eGobbler成功利用了iOS版Chrome瀏覽器的漏洞，可繞過既有的跳出視窗攔截機制，並向iOS用戶遞送惡意廣告，且該集團在6天之內發動了8次攻擊，遞送30個惡意廣告，受害用戶可能高達5億人之多。據了解，該組織遞送之惡意廣告為常見的得獎詐騙，宣稱使用者只要輸入個人資料，就有機會中大獎，但其實是用來蒐集個資的詐騙行動。Confiant亦打造出該漏洞的概念性驗證攻擊程式，Google已經收到通知並正在調查中。<a href="https://www.ithome.com.tw/news/130090"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>程式碼簽章憑證、華碩</strong></span></h3> <h2><strong>華碩產品程式碼簽署憑證維護公告</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%8F%AF%E7%A2%A9%E7%A8%8B%E5%BC%8F%E7%A2%BC%E7%B0%BD%E7%BD%B2%E6%86%91%E8%AD%89%E7%B6%AD%E8%AD%B7%E5%85%AC%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E8%8F%AF%E7%A2%A9.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／華碩</span></p> <p>今年3月底華碩筆電產品的軟體更新主機遭入侵，遭到資安業者卡巴斯基揭露，當中也指出木馬化的ASUS Live Update，使用的是合法的數位簽章，難以被察覺，因此多家資安業者已經對華碩遭到冒用的數位簽章採不信任處理，像是將其放在白名單之外。</p> <p>本月13日，華碩正式公告對旗下數項產品，進行多重性程式碼簽章憑證架構升級，這些產品包括主機板、顯示卡、迷你電腦、工作站、伺服器及電競配件等。同時，他們也提醒用戶，此項升級作業需撤銷現行的程式碼簽署憑證，因此可能導致現有軟體版本執行時，例如Aura、AI Suite III、GPU Tweak II與Armoury II等程式，跳出Windows安全性警示。若是用戶遇到這樣的問題，用戶可連至華碩官方網站，將軟體更新至內含最新程式碼簽署憑證的版本。<span style="color: rgb(169, 169, 169);"><a href="https://www.asus.com/tw/News/seIupOl14ycL2kmt">更多內容</a></span><br /> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><a href="https://www.ithome.com.tw/news/130149">Drupal釋出新版，修補jQuery與Symfony的跨站腳本攻擊漏洞</a><br /><a href="https://www.ithome.com.tw/news/130147">美國氣象電視臺也成勒索軟體受害者，導致節目無法準時開播</a><br /><a href="https://www.ithome.com.tw/news/130179">微軟4月安全更新與多款防毒軟體相衝</a><br /><a href="https://www.ithome.com.tw/news/130078">甲骨文每季修補又來了，這次補297個漏洞</a><br /><a href="https://www.ithome.com.tw/news/130045">歐盟：未發現卡巴斯基軟體通俄竊密的證據</a><br /><a href="https://www.ithome.com.tw/news/130065">FCC主席建議否決中國移動進入美國市場</a><br /><a href="https://www.ithome.com.tw/article/129461?page=3">【2019臺灣資安大會直擊】</a><br /> </h4> </div></div></div>
2019/4/24 10:32作者羅正漢https://www.ithome.com.tw/news/130181
Google網頁自動優化功能Data Saver改名為輕量版模式，不只省數據用量還要使用更少記憶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://blog.chromium.org/2019/04/data-saver-is-now-lite-mode.html">Google近日宣布將網頁自動優化功能Data Saver，改名輕量版模式（Lite mode）</a>，不只聚焦於節省數據用量，還注重效能，期望能夠使用更少記憶體，Data Saver在2013年3月首次亮相，開始在Android版本的Chrome上測試，接著在2014年1月正式推出，自Google在Chrome瀏覽器中引入Data Saver以來，用戶的數據使用量已經降低了60%。</p> <p>不過為了擴展該功能，除了節省數據用量之外，Google還希望可以提供更多優勢，現在網頁下載的速度越來越快，在許多情況下，網頁下載不只要快，還要用更少的記憶體，這也就是為什麼Google要重新命名Data Saver，並改良推出輕量版模式。</p> <p>輕量版模式會持續在網頁開始下載之前，用Google伺服器來壓縮用戶造訪的網頁，減少數據使用量，透過NetworkInformation API，輕量版模式會告訴網頁伺服器，用戶希望獲得一個使用較少數據量的網頁版本，輕量版模式還能幫助網頁載入，若Chrome預計該網頁在螢幕上顯示第一個文字或是圖片，需要花超過5秒的時間，Chrome就會載入一個輕量的版本，來代替原始版本的網頁。</p> <p>Google強調，輕量版模式還是會持續關注用戶隱私權的問題，當Chrome優化HTTTPS網頁時，只有URL會分享給Google，其他像是cookie、登入資訊和個人化的網頁內容都不會與Google共享，Google表示，他們從來不會打破Chrome和網頁之間的安全連結。</p> </div></div></div>
2019/4/24 11:45作者何維涓https://www.ithome.com.tw/news/130191
【舊金山Next直擊】122項Google雲端最新發布大整理（下）：AI、機器學習、生產力、生態系經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>前半篇，請瀏覽<a href="https://www.ithome.com.tw/news/130154">【舊金山Next直擊】122項Google雲端最新發布大整理（上）：混合雲、無伺服器、資安三大重點</a></p> <h2><strong><span style="color:#008000;">聰明分析</span></strong></h2> <h3><span style="color:#FF0000;"><strong>資料分析</strong></span></h3> <p><strong><span style="background-color:#FFA500;">48. <a href="https://cloud.google.com/data-fusion/">Data Fusion</a>雲端資料整合服務（Beta版）</span></strong>，利用開源CDAP資料整合工具所打造的服務，是一款可將資料快速匯入BigQuery的雲端ETL前處理服務，支援上百種資料來源，包括Oracle、AWS和Azure資料源。不過，AWS和Azure也有提供類似的CDAP資料整合服務。</p> <p><strong><span style="background-color:#FFA500;">49. BigQuery DTS的SaaS應用連結器（Beta版）</span></strong>，快速<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">串接上百款SaaS服務</a>的資料，不用寫任何程式碼。</p> <p><strong><span style="background-color:#FFA500;">50. <a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">Cloud Dataflow SQL</a>服務（Alpha公測版）</span></strong>，可用標準SQL建立批次或串流資料的通用分析流程。</p> <p><strong><span style="background-color:#FFA500;">51. Dataflow彈性排程服務<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">FlexRS</a>（Beta版</span></strong>），可排程執行Dataflow的批次資料處理任務。</p> <p><strong><span style="background-color:#FFA500;">52. Cloud Dataproc雲端服務支援<a href="https://cloud.google.com/dataproc/docs/concepts/configuring-clusters/autoscaling">自動擴充</a></span></strong>，可依據預先定義的擴充政策，自動增減在GCP上Hadoop和Spark叢集的節點規模。</p> <p><strong><span style="background-color:#FFA500;">53. Dataproc任務API新增<a href="https://cloud.google.com/dataproc/docs/tutorials/presto-dataproc">Presto任務支援</a>（Beta版</span></strong>），更容易用Dataproc API來進行不同資料源的Presto查詢任務。</p> <p><strong><span style="background-color:#FFA500;">54. <a href="https://cloud.google.com/dataproc/docs/concepts/components/kerberos">Dataproc Kerberos TLC</a>釋出Beta版</span></strong>，可在Dataproc服務上啟用支援Kerberos驗證的Hadoop安全模式。</p> <p><strong><span style="background-color:#FFA500;">55. 推出BigQuery的<a href="https://cloud.google.com/solutions/business-intelligence/#featured-products">BI引擎</a>（Beta版</span></strong>），這是一個可即時分析BigQuery上資料的BI引擎，也能整合到第三方服務中產生互動式BI報表。</p> <p><strong><span style="background-color:#FFA500;">56. Google試算表服務增加新的「<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">連結型試算表</a>」（Connected Sheets）</span></strong>，可以在試算表中連結BigQuery上的數據，將BigQuery上的限定資料，透過試算表分享給其他人。</p> <p><strong><span style="background-color:#FFA500;">57. <a href="https://cloud.google.com/bigquery/docs/bigqueryml">BigQuery ML</a>正式推出</span></strong>。用標準SQL語法就能在BigQuery內建立機器學習模型。可支援線性回歸、二元邏輯回歸、多重類別邏輯迴歸等。</p> <p><strong><span style="background-color:#FFA500;">58. BigQuery新增<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">K-means集群分析ML</a>功能（Beta版）</span></strong>，同樣可用標準SQL來進行資料分群。</p> <p><strong><span style="background-color:#FFA500;">59. BigQuery新增<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">TensorFlow模型匯入</a>功能（Alpha測試版）</span></strong>，可直接將現有TensorFlow模型匯入BigQuery，再用來快速建立新分類模型或預測模型。</p> <p><strong><span style="background-color:#FFA500;">60. BigQuery新增<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">TensorFlow的DNN分類器</a>功能（Alpha測試版）</span></strong>，用標準SQL語法，就能來訓練或部署一個DNN模型，以便分類BigQuery上的資料。</p> <p><strong><span style="background-color:#FFA500;">61. BigQuery新增<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation">TensorFlow的DNN回歸器</a>功能</span></strong>，可在TensorFlow中設計回歸模型後，再於BigQuery中用來產生資料的趨勢線。</p> <p><strong><span style="background-color:#FFA500;">62.<a href="https://cloud.google.com/blog/products/data-analytics/google-cloud-smart-analytics-accelerates-your-business-transformation"> Cloud Data Catalog</a>服務（即將Beta版）</span></strong>，這是一個資料集的集中管理和查詢平臺，可用來管理所有儲存在Google Cloud的資料集，或套用特定資料規範或資安政策。也可說是一款資料治理工具。</p> <p><strong><span style="background-color:#FFA500;">63. <a href="https://cloud.google.com/composer/">Cloud Composer</a>資料流程自動化服務正式上線</span></strong>，這是一個Apache Airflow託管服務，可用來調度和排程分散於多雲或企業本地端的資料處理與分析任務。</p> <h3><strong><span style="color:#FF0000;">AI與機器學習</span></strong></h3> <p><strong><span style="background-color:#FFA500;">64. <a href="https://cloud.google.com/ai-platform/">AI Platform</a>服務（Beta版）</span></strong>，這是一個ML專案管理平臺，涵蓋ML專案從資料準備、模型建置、執行到維運管理等階段，支援群組角色控管。可將ML專案部署到GCP或本地端環境。</p> <p><strong><span style="background-color:#FFA500;">65. <a href="https://cloud.google.com/natural-language/automl/docs/">AutoML NL</a>(自然語言)服務</span></strong>（仍是Beta版）新增特定產業分析模型（如生醫），強化其實體抽取和語意分析能力。</p> <p><strong><span style="background-color:#FFA500;">66. 新推出<a href="https://cloud.google.com/automl-tables/">AutoML Tables</a>（Beta版）</span></strong>，可用分析結構化資料，自動建立ML預測模型。</p> <p><strong><span style="background-color:#FFA500;">67. <a href="https://cloud.google.com/vision/">AutoML Vision</a>（仍是Beta版）</span></strong>強化物件辨識能力，可偵測影像中的多個物件，再以方框來定位。</p> <p><strong><span style="background-color:#FFA500;">68. 推出<a href="https://cloud.google.com/blog/products/ai-machine-learning/expanding-google-cloud-ai-to-make-it-easier-for-developers-to-build-and-deploy-ai">AutoML Vision Edge</a>（Beta版）</span></strong>，可在邊緣設備中部署AutoML Vision模型，進行即時處理。可支援Android與iOS裝置（ARM處理器皆支援）、Edge TPU和容器執行環境，可自動產生能在不同環境下執行的ML模型或容器應用。</p> <p><strong><span style="background-color:#FFA500;">69. 新推出<a href="https://cloud.google.com/video-intelligence/">AutoML Video Intelligence</a>服務（Beta版）</span></strong>，可自動建立客製化的影片特徵抽取模型，支援自動下標籤、自動辨識鏡頭型態等。</p> <p><strong><span style="background-color:#FFA500;">70. 推出<a href="https://cloud.google.com/solutions/document-understanding/">文件理解AI</a>（Beta版）</span></strong>，可自動分析紙本文件的數位化圖檔，進行自動分類、抽取文件內容或轉換成結構化資料。</p> <p><strong><span style="background-color:#FFA500;">71. <a href="https://cloud.google.com/vision/product-search/docs/">影像產品搜尋API</a>正式上線</span></strong>，可供企業在自家App中提供以圖找產品的功能，顧客拍攝或上傳圖片即可找出相似產品。</p> <p><strong><span style="background-color:#FFA500;">72. <a href="https://cloud.google.com/vision/docs/beta">大幅強化Cloud Vision API</a>服務（Beta版）</span></strong>，新增線上立即抽取PDF檔案、TIFF和GIF影像中的文字或提供註解描述，每次最多5頁。另提供離線（在雲端背景執行）批次註解大量影像，每次最多2千張。</p> <p><strong><span style="background-color:#FFA500;">73. 大幅強化<a href="https://cloud.google.com/natural-language/">Cloud NL API</a>服務</span></strong>，新增俄文支援以及日文情感分析機制，也大幅強化了發票識別能力，可辨識電話、地址、日期、價格和數字。</p> <p><strong><span style="background-color:#FFA500;">74. 新推出<a href="https://cloud.google.com/translate/docs/intro-to-v3">第三代翻譯API</a>（第三代仍是Beta版</span></strong>），可自訂字彙、專業術語來修正翻譯，也可非同步批次翻譯大量文字。可以匯入AutoML Translation訓練好的模型。</p> <p><strong><span style="background-color:#FFA500;">75. 大幅強化<a href="https://cloud.google.com/video-intelligence/docs/beta">Video Intelligence API</a></span></strong>，上傳影片的物件追蹤功能、文字OCR功能正式上線，另外新增串流影片追蹤功能（Beta版），例如可追蹤影片中的物件、偵測特定內容、自動下標籤、偵測鏡頭切換等。</p> <p><strong><span style="background-color:#FFA500;">76. 發布<a href="https://cloud.google.com/recommendations/">推薦AI</a>（Beta版）服務</span></strong>，只需提供產品目錄和使用者網站瀏覽行為資訊，即可自動建立個人化推薦功能，甚至可進行A/B測試。</p> <p><strong><span style="background-color:#FFA500;">77. <a href="https://cloud.google.com/solutions/contact-center/">客服中心AI服務</a>進入Beta版</span></strong>，可利用Google Cloud AI快速建立互動式客服中心，新增虛擬客服、真人客服小助手（自動提供參考資料）、自動判斷主題等，也和更多客服或視訊業者合作，如Avaya、Salesforce等。</p> <h2><span style="color:#008000;"><strong>Windows工作負載上GCP</strong></span></h2> <p><strong><span style="background-color:#FFA500;">78. 支援<a href="https://cloud.google.com/compute/docs/instances/windows/bring-your-own-license/">自帶微軟授權轉移上GCP</a>使用</span></strong>，不用向GCP購買。</p> <p>79. 日前併購了Velostrata串流遷移工具，已經<strong><span style="background-color:#FFA500;">可支援將VM搬上GCP的功能</span></strong>，幾周後會改版，可將<a href="https://cloud.google.com/blog/products/gcp/making-google-cloud-the-best-place-to-run-your-microsoft-windows-applications">指定實體主機上的Windows工作負載</a>，自動遷移到GCP的單一用戶群節點上，還能自動套用現有微軟授權。</p> <p><strong><span style="background-color:#FFA500;">80. 即將推出<a href="https://cloud.google.com/managed-microsoft-ad/">微軟AD託管服務</a></span></strong>。將可在GCP執行AD，來管理雲端AD工作負載，自動維護AD伺服器，也能將企業內部的私有AD網域延伸到雲端環境。</p> <p><strong><span style="background-color:#FFA500;">81. Cloud SQL將推出<a href="https://cloud.google.com/sql/">微軟SQL Server託管服務</a></span></strong>，可支援到SQL Server 2017企業版，也可將現有授權轉移到雲端使用。未來會支援更多微軟環境，例如GCP將擴充Anthos混合雲部署能力到微軟環境上。</p> <h2><strong><span style="color:#008000;">生產力與協作</span></strong></h2> <p><strong><span style="color:#FF0000;">G Suite</span></strong></p> <p><strong><span style="background-color:#FFA500;">82. Google助理<a href="https://cloud.google.com/blog/products/g-suite/helping-businesses-work-faster-smarter-and-more-collaboratively-in-g-suite">新增行事曆整合</a>（Beta版</span></strong>），例如語音助理可以提醒下一場會議的時間和地點等。</p> <p><strong><span style="background-color:#FFA500;">83. <a href="https://gsuite.google.com/campaigns/index__add-ons-beta.html?_ga=2.112547652.-1958977851.1555944216">G Suite擴充功能</a>進入Beta版階段</span></strong>，在側邊欄新增最愛App存取清單，不用像過去得切換頁面才能打開不同App。</p> <p><strong><span style="background-color:#FFA500;">84. Google Search新增<a href="https://cloud.google.com/products/search/">第三方軟體內資料搜尋</a>（正式版但限定使用資格）</span></strong>。可以用Google Search來搜尋第三方軟體內的資料庫內容，如SAP產品、Sharepoint等。</p> <p><strong><span style="background-color:#FFA500;">85. 雲端磁碟新增<a href="https://gsuite.google.com/campaigns/index__drive-metadata.html?_ga=2.121403208.-1958977851.1555944216">後設資料功能</a>（Beta版）</span></strong>，管理員可對雲端硬碟中的檔案，增加更多類型或分類的後設資料，來強化搜尋。</p> <p><strong><span style="background-color:#FFA500;">86. Hangout Meet更新，<a href="https://gsuite.google.com/products/meet/?_ga=2.121403208.-1958977851.1555944216">增加即時自動字幕功能</a>（正式版）</span></strong>，即時串流影音將可公開釋出變成直播，單一視訊會議人數上限將提高到250人</p> <p><strong><span style="background-color:#FFA500;">87. 正式推出了G Suite的<a href="https://cloud.google.com/voice">Google Voice網路電話服務</a></span></strong>。可透過AI技術來過濾垃圾來電或騷擾電話，也能自動將語音留言轉換成文字。</p> <p><strong><span style="background-color:#FFA500;">88. Gmail現在也能使用G Suite的<a href="https://gsuite.google.com/campaigns/index__chat-beta.html?_ga=2.121403208.-1958977851.1555944216">Hangouts Chat</a>功能了（Beta版</span></strong>），也可讓外部非Gmail用戶加入聊天對話中。</p> <p><strong><span style="background-color:#FFA500;">89. 可在G Suite<a href="https://support.google.com/drive/answer/9276408">直接編輯Office文件</a>（正式版）</span></strong>，包括Word、Excel和PowerPoint檔皆可線上編輯。</p> <p><strong><span style="background-color:#FFA500;">90. Google雲端硬碟新增了<a href="https://support.google.com/drive/answer/9195194">訪客共享功能</a>（Beta版）</span></strong>，可以提供一組密碼驗證機制，讓訪客也能共同編輯G Suite上的指定檔案。</p> <p><strong><span style="background-color:#FFA500;">91. Google+企業版改名為<a href="https://gsuite.google.com/products/currents/?_ga=2.93212765.-1958977851.1555944216">Currents</a>（Beta版）</span></strong>，類似Slack的群組討論和協作平臺。</p> <p>92. G Suite企業版<strong><span style="background-color:#FFA500;">正式推出<a href="https://cloud.google.com/access-transparency/">資料存取透明化控管機制</a>（Access Transparency）</span></strong>，可更進一步檢視雲端供應商存取企業資料的行為，如會列出Google員工在合約授權下，何時存取了哪些資料的記錄。包括因為維修需求、法遵規定，或是用戶提出的支援需求下，該員工採取了哪些操作。</p> <p><strong><span style="background-color:#FFA500;">93. G Suite<a href="https://gsuiteupdates.googleblog.com/2019/04/improving-data-regions-expanded-support.html">資料區域功能</a>強化</span></strong>，現在也可以指定備份資料的儲存區域，或是當特定人員轉移工作地點時，自動將其資料轉移到新工作地點的區域雲端中心中儲存。</p> <p><strong><span style="background-color:#FFA500;">94. 推出<a href="https://gsuiteupdates.googleblog.com/2019/04/gmail-advanced-phishing-malware-protection-beta.html">進階版釣魚和惡意程式防護服務</a>（Beta版）</span></strong>，新增加了可疑郵件隔離區、郵件附檔異常警示、可疑詐欺郵件警告。</p> <p><strong><span style="background-color:#FFA500;">95. 更新了G Suite的<a href="https://gsuite.google.com/products/admin/security-center/?_ga=2.155612283.-1958977851.1555944216">資安中心</a>和<a href="https://gsuite.google.com/products/admin/alert-center/?_ga=2.155612283.-1958977851.1555944216">通報中心</a>功能</span></strong>，提供更多整合資訊。</p> <h3><strong><span style="color:#FF0000;">企業級Chrome</span></strong></h3> <p><strong><span style="background-color:#FFA500;">96. GCP管理平臺新增了<a href="https://cloud.google.com/chrome-enterprise/browser-management/">Chrome瀏覽器雲端管理</a>功能</span></strong>，可以管理同一地點的所有Windows、Mac和Linux環境下的Chrome瀏覽器，來訂定和套用統一的政策。</p> <h2><span style="color:#008000;"><strong>顧客</strong></span></h2> <p><strong><span style="background-color:#FFA500;">97. 發行<a href="https://services.google.com/fh/files/misc/next-19-google-cloud-customer-voices-digital-book.pdf">用戶案例書</a></span></strong>，涵蓋7大產業的40家GCP企業用戶。</p> <p><strong><span style="background-color:#FFA500;">98~108. ，新顧客應用案例，</span></strong>包括了<a href="https://cloud.google.com/blog/topics/customers/australia-post-delivers-online-and-in-person-for-customers">澳洲郵政</a>、<a href="https://youtu.be/PZ1Lqxfs1yw?t=3074">貝克休斯油田</a>、<a href="https://youtu.be/XGrlWVWlpgE?t=4153">高露潔棕欖</a>、<a href="https://youtu.be/XGrlWVWlpgE?t=2170">柯爾百貨</a>、<a href="https://cloud.google.com/blog/topics/customers/mckesson-chooses-google-cloud-to-help-it-chart-a-course-to-the-future">麥卡遜醫藥公司</a>、<a href="https://youtu.be/PZ1Lqxfs1yw?t=6021">P&G</a>、<a href="https://cloud.google.com/blog/topics/customers/how-unilever-uses-google-cloud-to-optimize-marketing-campaigns">聯合利華</a>、<a href="https://youtu.be/PZ1Lqxfs1yw?t=2466">UPS</a>、<a href="https://cloud.google.com/blog/topics/customers/how-viacom-modernized-its-intelligent-content-discovery-platform-with-google-cloud">Viacom傳媒</a>、<a href="https://www.youtube.com/watch?v=PZ1Lqxfs1yw&feature=youtu.be&t=4436">惠而浦</a>、<a href="https://www.youtube.com/watch?v=W16iHlo2TuE&feature=youtu.be&t=1793">Wix網站平臺</a>。</p> <h2><strong><span style="color: rgb(0, 128, 0);">夥伴關係</span></strong></h2> <p><strong><span style="background-color:#FFA500;">109~111. 新增加了4家將提供Anthos超融合設備的供應商</span></strong>：<a href="https://blogs.cisco.com/news/next-phase-cisco-google-cloud">Cisco</a>、<a href="https://www.dellemc.com/en-us/index.htm">Dell EMC</a>、<a href="https://www.hpe.com/us/en/newsroom/blog-post/2019/04/hpe-and-google-cloud-join-forces-to-accelerate-innovation-with-hybrid-cloud-solutions-optimized-for-containerized-applications.html">HPE</a>和<a href="https://www.lenovoxperience.com/newsDetail/283yi044hzgcdv7snkrmmx9ovwkeqasgj9ez69uwpslt01yb">聯想</a>。<a href="https://newsroom.intel.com/news-releases/intel-google-cloud-announce-strategic-partnership-accelerate-hybrid-cloud/">Intel</a>也宣布支援硬體產品將支援Anthos。<a href="https://blogs.vmware.com/networkvirtualization/2019/04/vmware-and-google-showcase-hybrid-cloud-deployment.html">VMware</a>的SD-WAN和服務網格功能也承諾將支援Anthos。</p> <p><strong><span style="background-color:#FFA500;">112. 公布<a href="https://cloud.google.com/blog/products/open-source/bringing-the-best-of-open-source-to-google-cloud-customers">開源策略合作夥伴</a></span></strong>，7大開源資料庫可在GCP內直接訂閱租用，提供單一帳單以及單一的支援窗口。</p> <p><strong><span style="background-color:#FFA500;">113~119. 與多家顧問公司、軟體公司、雲端供應商策略結盟</span></strong>，包括Accenture、Deloitte、DevOps產品整合（Atos和CloudBees）、Salesforce（整合客服中心AI）、Dropbox（整合G Suite）、Docusign（整合G Suite）、AI產品夥伴（Avaya、Genesys、Mitel、Nvidia、Taulia和UiPath）</p> <p><strong><span style="background-color:#FFA500;">120~122. 新增了3類合作夥伴（行銷分析專業、IoT專業、資安訓練專業）</span></strong>，目前這3纇共有<a href="https://cloud.google.com/blog/topics/partners/building-a-better-cloud-together-news-from-our-partners-at-next19">21家</a>。另外，GCP將推出<strong><span style="background-color:#FFA500;">認證經銷商（MSP）的識別勳章</span></strong>，可供合格經銷商使用。GCP也照例在每年Next大會期間，公布了<strong><span style="background-color:#FFA500;">2018年合作夥伴大獎得獎名單</span></strong>，包括技術類、全球經銷類和區域經銷類的得主，今年有不少日本經銷商得獎，也反應出日本企業市場熱烈擁抱GCP的情況。</p> </div></div></div>
2019/4/23 18:20作者王宏仁https://www.ithome.com.tw/news/130158
【舊金山Next直擊】122項Google雲端最新發布大整理（上）：混合雲、無伺服器、資安三大重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年Google雲端行銷副總裁Alison Wagonfeld都會總結今年Next大會中最重要的百項發表，今年也不例外，她一口氣<a href="https://cloud.google.com/blog/topics/inside-google-cloud/100-plus-announcements-from-google-cloud-next19">彙整了122項重點發布</a>，這也是一窺Google雲端今年戰略布局的捷徑。</p> <p>去年Next大會有105項發布，涵蓋了顧客、夥伴、行動裝置與Chrome、AI和機器學習、基礎架構服務、應用系統開發、資料分析、資料庫、IoT、資安、企業協作與生產力、社會影響等，偏重產品導向的分類架構，也刻意將17家大型企業顧客放在最前面，來凸顯GCP真有大型企業採用。</p> <p>今年GCP反而在大分類上刻意拿掉了熱門的AI和機器學習，改為聰明分析（Smart Analytics）這類更像傳統企業IT的用語。今年另一特色是更強調管理面向，而非產品面的發布。</p> <p>GCP今年Next大會發布重點涵蓋了基礎架構、混合雲、Serverless（無伺服器）、DevOps/SRE、API管理、資料管理、網通、資安與驗證、聰明分析、Windows工作量上GCP、生產力與協作、顧客、夥伴關係。</p> <p>順序安排上，雖然，顧客和夥伴關係放到最後兩項，但是，不像去年強調個別合作夥伴，GCP今年轉而強調夥伴關係和生態系。值得注意的，今年有幾項格外低調或沒有登場的產品，包括了去年引起話題的硬體產品Cloud TPU和Edge TPU（去年IoT戰略特色）和區塊鏈應用dApp，凸顯出GCP回頭聚焦軟體和服務。以下是今年122項新發布：</p> <h2><span style="color:#008000;"><strong>基礎架構</strong></span></h2> <p><strong><span style="background-color:#FFA500;">1.<a href="https://cloud.google.com/blog/topics/infrastructure/google-cloud-announces-new-regions-in-seoul-and-salt-lake-city">GCP再添2座新雲端營運中心</a></span></strong>，一座落腳韓國首爾（明年初啟用），另一座位於美國鹽湖城（明年上半年啟用）。GCP全球現有19座雲端營運中心，未來即將啟用的中心包括了日本大阪、印尼雅加達，以及剛公布的首爾和鹽湖城。</p> <h2><strong><span style="color:#008000;">混合雲</span></strong></h2> <p><strong><span style="background-color:#FFA500;">2 .正式推出<a href="https://cloud.google.com/anthos/">Anthos</a>混合雲軟體產品</span></strong>（前身是Cloud Services Platform換新名）。可部署於雲端GKE服務或企業內部GKE On-Prem主機，未來也可部署於AWS和Azure等第三方雲端服務上。雖然Anthos已經是正式版，但GKE On-Prem仍是測試版。GCP也公布了30家軟硬體合作廠商，包括5家伺服器平臺業者Cisco、Dell、HPE、Lenovo和Intel。</p> <p><strong><span style="background-color:#FFA500;">3. <a href="https://cloud.google.com/blog/topics/hybrid-cloud/new-platform-for-managing-applications-in-todays-multi-cloud-world">Anthos Migrate</a>自動遷移工具測試版</span></strong>。以GCP新併購的Velostrata技術為基礎，要來提供將VM自動轉換成Kubernetes容器化應用能力，等於是VM轉容器的遷移工具，再部署於Anthos上執行。不過，仍無法支援高負載或Windows環境的應用。</p> <p><strong><span style="background-color:#FFA500;">4. <a href="https://cloud.google.com/blog/topics/hybrid-cloud/new-platform-for-managing-applications-in-todays-multi-cloud-world">Anthos Config Management</a>跨叢集管理工具。</span></strong>可透過集中式Git，來建立跨本地端和雲端的K8s多叢集管理政策，如RBAC角色管理、資源容量管理，配置檔可支援版本控管。</p> <h2><strong><span style="color:#008000;">Serverless無伺服器</span></strong></h2> <p><strong><span style="background-color:#FFA500;">5. <a href="https://cloud.google.com/run/">Cloud Run</a>託管服務（Beta版）。</span></strong>可將無態的容器應用，部署到Cloud Run上自動變成雲端Serverless無伺服器服務，可支援任何語言，但僅支援單一核心vCPU和最多1GB記憶體，自動採用HTTPS，不支援VPC。</p> <p><strong><span style="background-color:#FFA500;">6. <a href="https://cloud.google.com/run/docs/gke/setup">Cloud Run on GKE</a>託管服務（Beta版）。</span></strong>GKE也將提供Cloud Run無伺服器託管服務的功能（相同API），但可擴大運用到GKE所支援的標準硬體，例如GPU。可支援VPC網路存取或GCE網路。</p> <p><strong><span style="background-color:#FFA500;">7. <a href="https://cloud.google.com/knative/">Knative</a>無伺服器中介管理平臺發布。</span></strong>可用於管理部署在Kubernetes上的無伺服器應用，等於是無伺服器應用的中介軟體，也是Cloud Run的關鍵中介層。由Google和Pivotal、IBM、紅帽、SAP聯合開發，意味著這幾家的產品都會支援Knative，可將無伺服器應用部署到其他雲端平臺上。</p> <p><strong><span style="background-color:#FFA500;">8. 開源釋出FaaS框架<a href="https://cloud.google.com/blog/products/serverless/announcing-cloud-run-the-newest-member-of-our-serverless-compute-stack">Functions Framework</a>。</span></strong>可將Node.js程式部署於Google Cloud Functions、本地端開發環境、Cloud Run或任何Knative環境中，等於可打造出一個通吃多雲混合雲架構的無伺服器架構（共同API），來強化既有Cloud Functions無伺服器服務，另外App Engine平臺也推第二代新版。</p> <h2><strong><span style="color:#008000;">DevOps/SRE</span></strong></h2> <p><strong><span style="background-color:#FFA500;">9. 新推出<a href="https://cloud.google.com/blog/products/devops-sre/announcing-cloud-code-accelerating-cloud-native-application-development">Cloud Code</a>開發外掛工具（測試版）。</span></strong>可讓常見開發工具直接部署、除錯Kubernetes上的雲端原生應用，甚至是管理Kubernetes叢集，也可將Cloud Build的DevOps流程串接到本地端IDE。目前支援微軟VS Code和IntelliJ。</p> <h2><span style="color:#008000;"><strong>API管理</strong></span></h2> <p><strong><span style="background-color:#FFA500;">10. <a href="https://cloud.google.com/apigee/api-management/hybrid/">Apigee hybrid</a>混合雲API管理（Beta版）。</span></strong>可將Apigee API管理平臺部署到本地端或任何第三方公有雲上。</p> <p><strong><span style="background-color:#FFA500;">11. <a href="https://cloud.google.com/apigee/api-management/secure-apis/">Apigee安全報表</a>（Beta版）</span></strong>，可提供API資安狀態的視覺化報表。</p> <p><strong><span style="background-color:#FFA500;">12. Apigee終於可以<a href="https://cloud.google.com/apigee/api-management/extensions/">整合大量GCP服務</a></span></strong>，透過外掛可監控或存取如Cloud Function、Cloud DLP、Cloud ML引擎、BigQuery、Cloud Spanner、Cloud Pub/Sub等服務的API。</p> <h2><strong><span style="color:#008000;">資料管理</span></strong></h2> <h3><span style="color:#FF0000;"><strong>資料庫</strong></span></h3> <p><strong><span style="background-color:#FFA500;">13. GCP將提供<a href="https://cloud.google.com/blog/products/databases/enterprise-databases-managed-for-you">SQL Server託管服務</a>（預覽版</span></strong>），Cloud SQL服務將可託管企業內部的微軟SQL Server工作負載，可支援到最新版SQL Server 2017。</p> <p><strong><span style="background-color:#FFA500;">14. Cloud SQL的<a href="https://cloud.google.com/sql/">PostgreSQL託管服務</a>正式支援PostgreSQL去年底推出的11新版</span></strong>。</p> <p><strong><span style="background-color:#FFA500;">15. <a href="https://cloud.google.com/bigtable/">Cloud Bigtable</a>的跨地區（region）副本功能正式上線</span></strong>，可以建立跨國的PB級NoSQL資料庫。</p> <h3><strong><span style="color:#FF0000;">儲存</span></strong></h3> <p><strong><span style="background-color:#FFA500;">16. 新的低價<a href="https://cloud.google.com/blog/products/storage-data-transfer/whats-cooler-than-being-cool-ice-cold-archive-storage">歸檔雲端儲存服務</a></span></strong>，每GB每月價格僅0.0012美元，但資料存取速度仍可達毫秒級水準。</p> <p><strong><span style="background-color:#FFA500;">17. 雲端NAS檔案式儲存服務<a href="https://cloud.google.com/filestore/">Cloud Filestore</a>正式上線</span></strong>，支援NFSv3，最大IOPS為30,000。可支援GCE和GKE。</p> <p><strong><span style="background-color:#FFA500;">18. <a href="https://cloud.google.com/blog/products/storage-data-transfer/whats-cooler-than-being-cool-ice-cold-archive-storage">地區永久磁碟服務</a>4月底正式推出</span></strong>，可在同一雲端營運中心（Regional）中建立跨區域（Zone）的雙活磁碟副本。</p> <p><strong><span style="background-color:#FFA500;">19. GCP雲端儲存推出<a href="https://cloud.google.com/storage/docs/bucket-policy-only">整套式資安政策（</a>Beta版）</span></strong>，可以建立共用的雲端儲存權限政策。</p> <p><strong><span style="background-color:#FFA500;">20. GCP雲端儲存<a href="https://cloud.google.com/storage/docs/access-control/signing-urls-manually">支援Signature V4</a>（Beta版）協定</span></strong>，可以讓同一支應用透過簽署過的網址，來存取不同的儲存資源。</p> <p><strong><span style="background-color:#FFA500;">21. <a href="https://cloud.google.com/storage-transfer/docs/access-control">雲端IAM</a>角色功能正式支援交易型服務</span></strong>。IAM權限可套用到交易任務的新增、存取、更新和刪除行為。</p> <h2><strong><span style="color:#008000;">網通</span></strong></h2> <p><strong><span style="background-color:#FFA500;">22. <a href="https://cloud.google.com/traffic-director/">流量總管（Traffic Director）</a>（Beta版）</span></strong>，可用於大量微服務架構、服務網格架構的流量控管和SLA監控。</p> <p><strong><span style="background-color:#FFA500;">23. <a href="https://cloud.google.com/vpn/docs/how-to/choosing-a-vpn#ha-vpn">高可用VPN</a>即將推出Beta版</span></strong>，從企業內部到VPC的連線可靠度將達到99.99%服務水準。</p> <p><strong><span style="background-color:#FFA500;">24. 100Gbps等級的<a href="https://cloud.google.com/interconnect/docs/concepts/overview">Cloud Interconnect服務</a></span></strong>，可直接從企業機房或和合作供應商機房的私有IP，提供高速網路直連。</p> <p><strong><span style="background-color:#FFA500;">25. <a href="https://cloud.google.com/vpc/docs/private-access-options">私人Google存取權</a>正式上線</span></strong>，可指定私有IP來存取Google服務，支援大多數GCP服務。</p> <p><strong><span style="background-color:#FFA500;">26. <a href="https://cloud.google.com/network-tiers/">網通服務分級制</a></span></strong>。企業可選擇兩種不同等級的網通服務，便宜慢速的標準版（Standard），或高價高速的進階版（Premium ）。</p> <h2><span style="color:#008000;"><strong>資安與驗證</strong></span></h2> <h3><span style="color:#FF0000;"><strong>資安</strong></span></h3> <p><strong><span style="background-color:#FFA500;">27. <a href="https://cloud.google.com/blog/products/identity-security/introducing-access-approval-and-new-access-transparency-services-gain-more-meaningful-oversight-of-your-cloud-provider">存取同意功能</a>（測試版）</span></strong>，可要求在存取GCP服務的資料或配置檔前，要先取得同意。</p> <p><strong><span style="background-color:#FFA500;">28. <a href="https://cloud.google.com/dlp/docs/dlp-ui">DLP資料外洩防護用戶端介面</a>（Beta版）</span></strong>，可透過簡單點擊，不用撰寫腳本程式，就能快速進行DLP掃描。</p> <p><strong><span style="background-color:#FFA500;">29. <a href="https://cloud.google.com/vpc-service-controls/">VPC服務控制功能</a>正式推出</span></strong>，使用者可自訂GCP服務上機密資料的範圍，來限制這些敏感區域的資料存取行為。</p> <p><strong><span style="background-color:#FFA500;">30. <a href="https://cloud.google.com/security-command-center/">雲端資安中心（Cloud Security Command Center）</a>正式上線</span></strong>，可以用來監控和管理GCP服務的各種安全狀態和事件。</p> <p><strong><span style="background-color:#FFA500;">31. 雲端資安中心新增「<a href="https://services.google.com/fb/forms/eventthreatdetection-betasignup/">威脅事件偵測」（Event Threat Detection）計畫</a>（Beta版）</span></strong>，可偵測惡意程式、挖礦程式、外部DDoS攻擊等。</p> <p><strong><span style="background-color:#FFA500;">32. 雲端資安中心新增<a href="https://services.google.com/fb/forms/securityhealthanalyticsalphaprogram/">「資安健康分析」（Security Health Analytics）計畫</a>（Alpha版）</span></strong>，可自動掃描GCP基礎架構的配置安全問題，如儲存設定出錯、通訊埠曝光等</p> <p><strong><span style="background-color:#FFA500;">33. 可自動掃描漏洞的<a href="https://cloud.google.com/blog/products/identity-security/increasing-trust-in-google-cloud-visibility-control-and-automation">雲端安全掃描工具</a>，正式支援App Engine服務</span></strong>，GKE和GCE支援則進入Beta版。</p> <p><strong><span style="background-color:#FFA500;">34. <a href="https://console.cloud.google.com/marketplace/browse?q=command%20center&_ga=2.204720917.-462762613.1554397572">八家資安夥伴</a>提供更多GCP整合</span></strong>，包括Capsule8、Cavirin、Chef（法遵失效報表）、McAfee、Redlock、Stackrox、Tenable.io和Twistlock。</p> <p><strong><span style="background-color:#FFA500;">35. 雲端資安中心將支援<a href="https://cloud.google.com/incident-response/docs/">Stackdriver事件回應和管理機制</a>（即將Beta版）</span></strong>。</p> <p><strong><span style="background-color:#FFA500;">36. <a href="https://cloud.google.com/container-registry/docs/get-image-vulnerabilities">容器儲存庫弱點掃描功能</a>正式上線</span></strong>。</p> <p><strong><span style="background-color:#FFA500;">37. <a href="https://cloud.google.com/binary-authorization/">二進位授權（Binary Authorization）功能</a>正式上線</span></strong>，可在CI/CD系統的自動部署階段，確保部署的是正確的映像檔。</p> <p><strong><span style="background-color:#FFA500;">38. <a href="https://cloud.google.com/kubernetes-engine/sandbox/">GKE沙盒功能</a>進入Beta版</span></strong>。可利用開源gVisor建立容器的沙盒環境，避免容器跳脫（Container Escapes）攻擊。</p> <p><strong><span style="background-color:#FFA500;">39. GKE推出S<a href="https://cloud.google.com/load-balancing/docs/ssl-certificates">SL加密憑證託管服務</a>（Beta版）</span></strong>，可管理GKE的ingress憑證。</p> <p><strong><span style="background-color:#FFA500;">40. <a href="https://cloud.google.com/shielded-vm/">庇護式VM</a>（Shielded VM）正式上線</span></strong>，可驗證GCE虛擬機器的完整性。</p> <p><strong><span style="background-color:#FFA500;">41. <a href="https://cloud.google.com/policy-intelligence/">智慧型政策功能</a>（Alpha測試版）</span></strong>，利用機器學習技術來自動管理資安政策。</p> <p><strong><span style="background-color:#FFA500;">42. 推出<a href="https://cloud.google.com/phishing-protection/">釣魚防護服務</a>（Beta版）</span></strong>，自動偵測可疑URL，確保網頁瀏覽安全性，可整合雲端資安中心。</p> <p><strong><span style="background-color:#FFA500;">43. 推出<a href="https://cloud.google.com/recaptcha-enterprise/">企業級reCAPTCHA驗證服務</a>（Beta版）</span></strong>，企業可用於防止可疑的網站登入行為，如程式自動登入。</p> <h3><span style="color:#FF0000;"><strong>驗證和存取管理</strong></span></h3> <p><strong><span style="background-color:#FFA500;">44. <a href="https://cloud.google.com/context-aware-access/">脈絡式存取管理</a>（Context-aware access）功能強化，目前為Beta版</span></strong>。新增BeyondCorp聯盟，加入的端點安全業者可將產品資訊整合到脈絡偵測引擎中。</p> <p><strong><span style="background-color:#FFA500;">45. <a href="https://blog.google/technology/safety-security/your-android-phone-is-a-security-key/">Android手機內建軟體金鑰</a></span></strong>。Android 7.0版手機更新後可成為FIDO 2/WebAuthn標準的安全金鑰，不用額外購買金鑰硬體。</p> <p><strong><span style="background-color:#FFA500;">46. <a href="https://cloud.google.com/identity/">雲端驗證服務</a>功能強化</span></strong>，增加上千款App的單一登入機制（SSO），也可整合人資系統。</p> <p><strong><span style="background-color:#FFA500;">47. <a href="https://cloud.google.com/identity-cp/">身分驗證平臺</a>正式上線。</span></strong>企業可在自製App中提供Google等級的驗證機制，做到類似Google服務的驗證機制。</p> <p> 未完，請瀏覽<a href="https://www.ithome.com.tw/node/130158">【舊金山Next直擊】122項Google雲端最新發布大整理（下）</a></p> </div></div></div>
2019/4/23 18:03作者王宏仁https://www.ithome.com.tw/news/130154
IoT雙周報第61期：美零售龍頭Walmart將擴大導入4千名機器人雇員，將用機器人取代重複且瑣碎的店務工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#0000FF;"><strong>04/06~04/19精選IoT新聞</strong></span></h3> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GCP </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google搶攻邊緣運算再祭新招，將雲端AutoML圖像識別ML能力帶進Android與iOS兩大行動平臺</strong></span></p> <p>Google在今年Google Cloud Next 年度大會上針對邊緣運算推出AutoML Vision Edge新服務，雖然只是Beta測試版，但已可將雲端AutoML Vision圖像識別ML能力帶進邊緣裝置，可在邊緣設備中部署AutoML Vision模型，進行即時處理。AutoML Vision是在2018年就發布的服務，讓開發者建立客製化的圖像識別機器學習模型，現在進一步推出AutoML Vision Edge，可簡化客製化機器學習模型在邊緣設備的部署工作，可支援Android與iOS裝置、TPU和容器執行環境，可自動產生這些環境中可執行的ML模型，來進行ML推理。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 無人機</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Wing </span></strong></span></p> <p><span style="font-size:22px;"><strong>Alphabet旗下Wing無人機送貨服務正式在澳洲上路，無人機可外送餐點到府</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961%EF%BC%9A%E5%9C%961_IoT%E9%9B%99%E9%80%B1%E5%A0%B1(32).jpg" style="width: 600px; height: 399px;" /></p> <p>Alphabet旗下無人機公司Wing，近日獲准於澳洲正式提供無人機送貨服務。Wing自2014年起便在澳洲展開無人機送貨測試，在最近的18個月，Wing已於特定社區執行超過3,000次的無人機送貨服務。Wing無人機將先在澳洲北坎培拉的郊區社區開始提供無人機外送，Wing目前在當地的合作對象包含有餐廳、點心店、巧克力專賣店、麵包店、墨西哥快餐店、高爾夫運動用品店，以及藥局。消費者可以透過Wing行動程式點餐或訂購其它商品，再由無人機送到家中。在未來幾周則會擴大至其他社區。除了澳洲之外，Wing先前亦曾宣布將在今年春天於芬蘭首都赫爾辛基推出無人機送貨服務，惟迄今尚未發表。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Walmart </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美零售龍頭Walmart全美門市擴大導入4千臺機器人雇員，清潔、搬運與掃貨全面改由機器人代勞</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cdn_corporate_walmart_com%20-%20%E8%A4%87%E8%A3%BD.jpg" style="width: 600px; height: 322px;" /></p> <p>美國零售龍頭Walmart最近宣布將於全美實體商店擴大導入將近4千臺機器人雇員，將雇用大量機器人處理重複且瑣碎的工作，包括清潔地板或檢查庫存等。Walmart自2年前就開始在少數門市測試機器人，開始利用機器人流程自動化，來取代需要大量人力的例行性或反覆性作業，如今更進一步擴大在門市部署。Walmart預計今年將在全美分店導入1,500個Auto-C掃地機器人、300個Auto-S貨架掃描機器人、900個自助取貨機（pickup tower），以及1,200個自動卸貨機器人，用來處理店內清潔、貨架商品掃描、貨物裝卸等工作，以提高工作效率，讓員工可以專注在商品銷售，以及提供顧客更好的服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 5G頻譜</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 美國FCC </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國史上規模最大頻譜釋出，FCC規畫5,000兆赫的頻譜將於12月競標以加速5G發展</strong></span></p> <p>美國聯邦通訊委員會（FCC）日前宣布，將在今年12月進行第三波的5G頻譜競標，這將是美國史上規模最大的頻譜競標，以推動及加速美國的5G發展。FCC在今年展開了可支援5G的頻譜競標，包括今年初結束的28 GHz頻段競標，目前正在進行中的24 GHz頻段競標，也計畫在今年12月開放競標37 GHz上段、39 GHz與47 GHz等頻段，第三波的競標涉及3,400兆赫，若加上28 GHz與24 GHz頻段，FCC總計規畫了近5,000兆赫的頻譜供商業使用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">LoRa網路公用事業</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 日本機場 </span></strong></span></p> <p><span style="font-size:22px;"><strong>LoRa網路也能用DLMS公用電錶標準，LoRa聯盟聯手DLMS用戶協會力推互通協議</strong></span></p> <p>LoRa聯盟（LoRa Alliance）近日與推動智慧電錶資料交換標準的DLMS用戶協會（DLMS User Association）簽署一分互助協議，要讓雙方通訊標準能夠互通。DLMS是目前全球公用事業公認的電錶資料交換標準，LoRa則是物聯網最常用的LPWAN通訊協議。通過在LoRa網路上使用DLMS應用標準，將能讓水電等公用事業，能利用LoRa網路在建築物和地下布建能夠長久使用的IoT公用設備，不只能利用這些設備來改善原有服務，亦能跨許多不同的物聯網應用，替這些公用事業帶來新服務，包括智慧家庭、智慧建築、智慧工業，以及智慧城市等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">AMD處理器</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 邊緣運算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AMD再推新款Ryzen嵌入式APU ，搶攻4K影像加速處理與邊緣運算應用市場</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20190416_150131.jpg" style="width: 600px;" /></p> <p>繼首款AMD Ryzen嵌入式APU推出1年後，AMD近日再推AMD Ryzen R1000新系列，要來搶攻4K影像加速處理與邊緣運算應用市場。R1000系列除了同樣具備省電特性，甚至跟前一代V1000系列相比，更可提供高出3倍的每瓦效能表現，因此更省電，甚至不需要外加散熱風扇，在設計上，也可以有效節省硬體空間。雖然同樣採用低功耗設計，但R1000處理器亦可用於加速4K影像處理，以及邊緣運算應用所用，如電腦視覺、人臉辨識等，並能支援最多10Gb網路。AMD R1000系列同時也兼容與前一代相同的FP5 BGA封裝設計。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">調查 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧喇叭 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Canalys預測2019年全球智慧喇叭銷量將突破2億臺，兩年後超越平板</strong></span></p> <p>市場研究機構Canalys近日公布最新智慧喇叭市場報告，預測到2019年底前，全球智慧喇叭的安裝數將達到2.08億臺，比2018年成長高達82.4%。分析機構還預期智慧喇叭安裝率將在二年內超越平板。以區域來看，美國仍以超過8,000萬臺為最大智慧喇叭市場，占全球42.2%。但是論成長潛力，東亞地區特別是中國，因擁有大量新興中產階級家庭以及願意擁抱新科技的勞動人口，將成為成長火車頭。Canalys估計中國的智慧喇叭的安裝數將比2018年成長166%，數量來到6,000萬臺，不但是所有主要市場中成長最快的，也是僅次美國的第二大市場。包括南韓、日本、加拿大，也都被預估今年會成長132%、131%及80%。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">智慧工廠 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 新漢 </span></strong></span></p> <p><span style="font-size:22px;"><strong>老牌工業硬體商變身工業4.0服務整合商，新漢展示首座3千坪智慧工廠</strong></span></p> <p>臺灣工業電腦製造商新漢，去年底在臺啟用首座工業4.0示範工廠，近日也對外公開內部細節。新漢去年砸了2億元，共花了3個月打造這座智慧工廠，並建置有兩條SMT產線與一條DIP產線，而且全面採用自動化生產、組裝，更結合工業物聯網與雲端技術整合工廠OT資訊，打造出自動化雲端戰情中心，可即時呈現工廠生產與營運資訊，以提高管理效率。新漢這座智慧工廠自去年10月啟用至今，已替這家公司提升多達3成工廠效率。新漢更要借助這次建廠實戰經驗，要從傳統工業硬體代工，變身工業4.0解決方案商。責任編輯⊙余至浩</p> <p>攝影／余至浩　圖片來源／Wing、Walmart、GCP</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多IoT動態 </span></strong></span></p> <p><strong>1.消弭窮人歧視爭議，Amazon Go無人店也將增設現金交易了</strong></p> <p><strong><strong><strong>2.工人智慧？傳Amazon以數千員工聽取Echo用戶對話來訓練Alexa</strong></strong></strong></p> <p><strong><strong><strong>3.美電信巨頭Verizon正式在美國兩大城市推出5G商用服務</strong></strong></strong></p> <p><strong><strong><strong>4.三星首款5G手機Galaxy S10最快5月在美上市</strong></strong></strong></p> <p><strong><strong>資料來源：iThome整理，2019年4月</strong></strong></p> </div></div></div>
2019/4/19 18:29作者余至浩https://www.ithome.com.tw/news/130111
Amazon與Google和好了，Fire TV將有官版YouTube程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon與Google在4月18日<a href="https://press.aboutamazon.com/news-releases/news-release-details/amazon-and-google-announce-official-youtube-apps-launch-fire-tv" target="_blank">宣布</a>，Google將發表支援Fire TV的YouTube程式，而Amazon的Prime Video也將支援Chromecast及Android TV，雖然這並不是什麼了不起的合作，卻彰顯了兩家業者之間關係的破冰。</p> <p>Google與Amazon之間的不合最早可追溯到2011年，當時Google正在推動Android Market（即現在的Google Play Store），並不鼓勵第三方建造自己的Android程式市集，但Amazon卻大張旗鼓地招兵買馬，建立自己的Amazon Appstore，除了供Amazon產品使用之外，也支援其他Android裝置，還推廣到全球逾200個市場。</p> <p>讓彼此之間的嫌隙浮上檯面，則是Amazon自2015年陸續停售了Chromecast、Nest，也不曾賣過Google Home喇叭，亦不讓Chromecast用戶使用Prime Video服務。</p> <p>Google的對策則是不准Echo Show與Fire TV裝置存取YouTube，不僅是不在這些裝置上供應YouTube程式，就算是這些裝置直接連至YouTube網站也會被封鎖，一度引來媒體的大肆報導。</p> <p>然而，雙方在去年底打破了僵局，Amazon讓Chromecast與Nest都重新登上了該市集，繼之於今年4月宣布合作。</p> <p>根據Google與Amazon的協議，Google將發表支援Fire TV裝置及Fire TV版智慧電視的官方YouTube程式，而Amazon的Prime Video程式將支援Chromecast、內建Chromecast的裝置，以及基於Android TV的裝置。今年Google還會發表支援Fire TV的YouTube TV與YouTube Kids程式。</p> <p>雙方並未說明破冰的理由，只說很高興能夠在對方的平台上提供自己的服務。</p> </div></div></div>
2019/4/19 15:10作者陳曉莉https://www.ithome.com.tw/news/130098
Google正式提供歐盟Android用戶，有選擇第三方搜尋引擎及瀏覽器的權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四<a href="https://www.blog.google/around-the-globe/google-europe/presenting-search-app-and-browser-options-android-users-europe/" target="_blank">公佈</a>從未來幾周內正式實作，讓歐盟的Android裝置用戶可以自由選擇安裝Google 搜尋及Chrome瀏覽器以外的產品。</p> <p>去年7月歐盟針對Google以強迫Android手機及平板業者安裝搜尋、地圖等自家服務<a href="https://www.ithome.com.tw/news/124652" target="_blank">重罰</a>這家科技大廠43.4億歐元，今年3月Google<a href="https://www.ithome.com.tw/news/129499" target="_blank">宣佈</a>遵從歐盟判決定的新措施，並於4月18日通知歐盟Android用戶會看到的改變。未來幾周內，現有及新Android裝置更新到最新版Google Play後，在首次開啟時將出現2個視窗，分別提供搜尋引擎app和瀏覽器的選擇。每個視窗都包含5種選擇，其中包含裝置內已安裝的app，再依受歡迎度加入其他選擇，並以隨機順序顯示。</p> <p>例如搜尋引擎提供Google、Qwant、DuckDuck Go、Ecosia及Seznam，瀏覽器則有Chrome、Firefox、Microsoft Edge、Opera及Puffin等選擇。</p> <p>使用者可以任意安裝想要的app。用戶安裝其他搜尋app或瀏覽器時，會出現一個有新視窗顯示新app要怎麼設定（如產生圖標、widget或設定預設）。而用戶下載搜尋app時，也會有訊息問他是否要變更Chrome裏下次開啟時的預設搜尋引擎。</p> <p>Google表示，未來還會陸續加入更多遵從歐盟判決而實作的變更。</p> </div></div></div>
2019/4/19 12:15作者林妍溱https://www.ithome.com.tw/news/130089
Fintech周報第95期：BiiLabs攜手鴻海旗下創星物聯，將區塊鏈導入行車保險應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">04/06-04/12</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> BiiLabs </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 創星物聯 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 汽車保險 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">BiiLabs攜手鴻海旗下創星物聯，將區塊鏈導入行車保險應用</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">分散式帳本技術新創BiiLabs攜手鴻海集團旗下創星物聯科技，將區塊鏈分散式帳本技術（DLT）導入駕駛行為計費保險（UBI）。2014年成立的創星物聯的解決方案，是利用車輛的車載診斷裝置（OBD-II），來獲取各種車輛數據資料。BiiLabs分散式帳本技術，結合駕駛行為保險，對車輛數據資料進行加密，並將其雜湊值儲存在底層帳本架構Tangle，使數據資料無法被篡改。不止如此，也能讓索賠流程自動化，建立透明的支付機制預防詐保，以及能夠依照特定合約規則執行，例如，保險理賠的程序，只能在車輛由保險公司認證的指定維修人員進行維修時才會付款。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">BiiLabs共同創辦人暨執行長朱宜振表示，使用基於區塊鏈分散式帳本的駕駛行為保險，保險費將取決於駕駛的駕駛安全程度分數。此外，駕駛行為保險，還能鼓勵駕駛者建立安全的駕駛習慣，透過車輛的OBD-II獲取數據，可以分析踩油門、剎車的頻率，以及加減速的程度。這意味著，駕駛的安全性更高，支付的保費就更低。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 好險網 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 保險機器人 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">好險網攜手微軟推出保險機器人，協助保險業務員服務保戶</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS(5).jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">保險業新聞資訊網站「好險網」宣布，與臺灣微軟共同打造為保險業務員設計的保險機器人，而微軟提供的技術是語音辨識及互動分析系統。保險機器人有一功能為「智能秘書」，能透過資料庫串接、語意辨識、人臉辨識等功能，所組成的AI智能回應系統，它能讓保險業務員，擁有專屬的智能秘書機器人，協助業務員與保戶間能有更多互動，像是退休試算、風險承受度分析、財富累積測驗、個性測驗等功能。當保戶使用這些功能後產生的報表，也可經由授權提供給保險業務員，業務員就能提供保戶適合的保險產品。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">另一功能「數據精靈」，則是好險網透過文章關鍵字、社交媒體、廣告露出等所彙整出的數據資料庫，提供給保險業務員，協助他們了解客戶的網路瀏覽動向，讓業務員能更精準的提供客戶所需的產品。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">好險網董事長劉先覺表示，一般的保險公司雖能透過自身網站，蒐集到保戶的瀏覽行為，可以做CRM、交叉銷售，對既有客戶做銷售，但相對封閉。他認為，在未來保險科技時代，客戶沒有忠誠度，一定是在比價網站上買保險。而現在好險網表面看起來是內容提供平臺，如透過保險文章、影片來吸引業務員，在經由業務員把內容轉給他的保戶，好險網就能追蹤到客戶的數位足跡，得知他的偏好，進而將這樣的數據提供給業務員。劉先覺提到，這是開拓新客戶市場，而不是既有客戶。我們可以追蹤數位足跡，知道這群人來我們網站時，我們怎麼貼廣告給他們，而這背後有一些AI技術，他目前則不便透露。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 蘭嶼達悟幣 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位身分 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">社區貨幣經濟大不易，蘭嶼達悟幣花了一年終於正式發行</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/img_20190416_105218.jpg" /></span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為促進蘭嶼在地產業的發展，把金錢流留在島上，DTCO數金科技執行長李亞鑫去年4月時宣布，要在蘭嶼發行社區加密貨幣達悟幣（Tao Coin），時隔1年，達悟幣終於在4月16日正式發行，發行總量為100億個。DTCO去年已經和蘭恩文教基金會、台灣說蘭嶼環境教育協會推出蘭嶼永續護照，這次三方更共同發行達悟幣，同樣要瞄準在地觀光和循環經濟。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">達悟幣與數位身分目前已整合於蘭嶼永續護照(Tao Passport App)，透過App內建的電子錢包功能，民眾將可用達悟幣於合作店家進行消費，李亞鑫表示，達悟幣採場外交易（OTC）的模式，用戶可用新臺幣1比1的價格，向手中握有達悟幣的族人購買，另外，未來，接受達悟幣付款的店家，也會同時提供達悟幣給遊客購買。不過，目前只有一家民宿可以使用達悟幣。李亞鑫期望，今年能有30到40個商家加入，上萬名觀光客使用，並在2年內，創造6千萬的交易量。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Coinbase </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Visa </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 加密貨幣簽帳卡 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">Coinbase推出全球首張加密貨幣簽帳卡</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1_-RvGZNRzl9qkrkzkPLAIRg(2).png" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">總部設在美國的加密貨幣交易平臺Coinbase，在英國發表全球首張加密貨幣簽帳卡Coinbase Card，這是與Visa合作的簽帳卡，將允許英國用戶以各種Coinbase所支援的加密貨幣支付食物、車票或飯店費用。欲申請Coinbase Card的Coinbase用戶可先下載Coinbase Card行動程式，再連結自己的Coinbase帳號與錢包之後，就能立即以該行動程式進行交易，之後即會收到實體的卡片。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">儘管Coinbase Card目前只在英國發行，但它可同時在網路上與實體商店交易，並選擇以比特幣、以太幣、萊特幣或其它加密貨幣支付，或者是直接將加密貨幣兌換成英鎊來完成交易，也能自ATM提領現金。Coinbase Card程式除了可充當Coinbase Card的虛擬卡片之外，它還會提供收據、交易細節、支出類別或其它資訊，也能連結Coinbase平臺以買賣加密貨幣。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金管會 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> STO監理規範 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">金管會初步擬定STO監理規範架構，將採分級管理，適用門檻是三千萬元內</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Image%20from%20iOS%20(1)(6).jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">金管會證期局在今年年初，設定6月底以前完成STO相關規範研議。目前，金管會參考各國對STO的監理規範與實務案例後，已初步擬定我國STO監理規範架構。證期局副局長張振山表示，將依照證券交易法第6條規定，發布函令核定STO為證券交易法的有價證券，並採「分級管理」，只要是募資金額新臺幣3,000萬元以下，即可豁免證券交易法第22條規定，只要向金管會申報生效就可以發行STO。然而，如果募資金額超過3,000萬元，就必須先申請進入沙盒實驗，且相關的規範細節，得看未來實驗結果再行研議。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">目前，較為明確的STO分級監理規範架構，是針對募資金額3,000萬元以下的STO募資案。只開放給專業投資人認購，專業投資人分為「專業機構投資人」與「專業投資人之自然人」，機構投資人在認購金額與持有餘額上並沒有限制，但是自然人對每一STO募資案認購金額、持有餘額不得超過10萬元。此外，目前的規範暫不開放給一般散戶（一般自然人）認購，張振山表示，要先看STO未來發展再做調整。不過，針對金管會初步擬定的規範，業者仍有許多意見，金管會則表示，已蒐集外界意見，金管會再進行內部研議，訂定出規範，預計6月底對外預告。.</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> Samsung Pay </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 悠遊卡 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">三星Samsung Pay搶攻虛擬悠遊卡商機再進一步，未來將取代實體卡片與現金加值，讓購卡、儲值、消費一機完成</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">為了擴大Samsung Pay用戶、並增加行動支付的積極使用率，臺灣三星電子宣布與悠遊卡公司簽訂合作協議，要攜手進攻交通付款、小額支付的市場。未來民眾只要在指定Galaxy裝置的Samsung Pay應用程式中，下載一張虛擬悠遊卡，並以指定信用卡、簽帳金融卡線上加值或現金儲值後，就能在不開啟手機畫面的情況下，直接使用內建NFC感應付費。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">新服務上線日程仍未定，但推出後，預期可以擴大既有客群與支付點，並更廣泛的應用於全臺大眾交通工具中，包括高鐵、臺鐵、捷運、公車、YouBike或計程車等，以及應用於超商、休閒娛樂場、醫療院所、無人化設備、加油站、停車場、校園等開放小額支付的場域，除了要讓線上線下消費無縫接軌，也要提升用戶黏著度、提高Samsung Pay在臺市佔率。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 挖礦產業 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 中國 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">太浪費資源，中國打算淘汰挖礦產業</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">中國國家發展及改革委員會最近公布了《產業結構調整指導目錄》並對外公開徵求意見，而虛擬貨幣的挖礦活動即被列入淘汰類的產業。被歸類為淘汰類的產業特質，包括不符相關法令規定，不具備安全生產條件，嚴重浪費資源，污染環境，以及需要被淘汰的落後工藝、技術、裝備與產品。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">根據統計，全球前五大礦場分別座落於俄羅斯的莫斯科、瑞士的蘭塔、中國大連、冰島的雷克雅維克，以及美國華盛頓。其中大連的礦場每月可挖出750個比特幣，採礦效能最高可達360,000TH，約佔整個比特幣網路的3％。南華早報引述加密貨幣分析師Michael Zhong的看法指出，倘若中國政府落實了《產業結構調整指導目錄》，當地的礦工就必須轉移陣地到其它國家，屆時比特幣的挖礦行為將變得更分散，而不再由中國主導。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="vertical-align: top; font-size: 14pt;">攝影／</span>李靜宜、黃郁芸<span style="vertical-align: top; font-size: 18.6667px;">；</span>BiiLabs、Coinbase<br /><span style="vertical-align: top; font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>新安東京海上產險攜手Yahoo奇摩，共同推出保險智能平臺</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2. </strong></strong></strong><strong>不只iOS用戶，Android用戶也能以指紋功能登入永豐行動銀行App</strong><br /><strong style="font-size: 14pt; vertical-align: top;">3. </strong><strong>ACE虛擬貨幣交易所結合ABA亞洲區塊鏈加速器，成立實體門市</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年4月</strong></strong></strong></p> </div></div></div>
2019/4/18 19:09作者李靜宜https://www.ithome.com.tw/news/130081
Android Studio 3.4新增視覺化資源管理工具，預設程式碼壓縮器改用R8
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>經過6個月的開發時間，<a href="https://android-developers.googleblog.com/2019/04/android-studio-34.html">Google 17日發布了最新版的App開發IDE Android Studio 3.4</a>，現在就能夠下載使用，除了有超過300個錯誤修護和穩定度增強之外，在開發、建置和測試App階段，都推出了一些小的新功能和工具，來解決核心開發者在建立App和資源管理的工作流程問題。</p> <p>為了協助App設計，Android團隊整合了使用者的回饋，創造出App資源管理工具，讓使用者可以管理和預覽專案資源，還更新了吃較少系統資源的Android模擬器，同時支援Android Q Beta。</p> <p>在開發App方面，Android Studio 3.4新增了資源管理員工具Resource Manager，由於使用者反應在Android Studio 中，資產管理和定位是個繁雜且笨重的工作，尤其是當App變得越來越複雜的時候，因此，這次推出資源管理工具，將drawable、color和layout都用視覺化的方式呈現在App專案中，還支援拖放的功能。</p> <p>此外，該版本還加入了輔助程式碼的功能Import Intentions，當使用者用新的Jetpack 和Firebase函式庫時，Android Studio 3.4會辨識常見的類別，並給予使用者程式碼的建議，這項更新將能夠為使用者在撰寫程式時節省更多時間，而輸出編輯器屬性的面板Layout Editor Properties Panel也翻新了，現在只有單一視窗。</p> <p>在建置App方面，許多開發者長期要求要有一個前端的使用者介面，來管理Gradle專案檔案，目前3.4版本已經先改善了Product Structure Dialog（PSD），新的PSD能夠讓使用者在專案中查看並新增依賴關係（dependencies），此外，新的PSD還會呈現建置的變數、建議來改善建置檔案的配置，另外，預設的程式碼壓縮器也改成R8，自動移除未使用的程式碼和資源，以減少APK的容量。</p> </div></div></div>
2019/4/18 16:40作者何維涓https://www.ithome.com.tw/news/130063
Google將拉長陌生開發商的app審核期間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升Android app的隱私安全性，<a href="https://www.ithome.com.tw/news/128274" target="_blank">今年一月Google開始掃蕩過度存取手機簡訊及通話記錄的app後</a>，<a href="https://android-developers.googleblog.com/2019/04/improving-update-process-with-your.html" target="_blank">近期又宣布進一步的管理措施</a>，未來Google不認識的開發商所開發app的審核期間將延長「數天」。</p> <p>這些都是<a href="https://www.ithome.com.tw/news/126329" target="_blank">Google去年宣布針對Android app的用戶資訊存取，採取徹底稽核及限制措施政策的一環</a>。不少app被下架或開發商帳號被封鎖，引發開發商抱怨不已。但是Google Android & Google Play產品管理部副總裁Sameer Samat指出，自一月實施app存取手機簡訊及通話記錄的稽核以來，過度存取的情形已減少98%。</p> <p>他說，雖然大多數開發商是立意良善，但確有少數人是出於嚴重或多次違規而被封鎖帳號。他表示Google封鎖帳號99%沒有冤枉人，但為免錯殺無辜，<a href="https://support.google.com/googleplay/android-developer/answer/2477981?hl=en" target="_blank">Google也提供開發商申訴管道</a>以便Google重新審核認定無違規情形後恢復帳號。</p> <p>同時間，Google也宣佈即將針對從未和Google打過交道的開發商所開發的app，花更多時間來審查，但強調是幾天而非幾周。Samat表示這讓Google可以在審核app上架Google Play Store前做更徹底的檢查，也有助於Google做出錯誤判定。</p> <p>Google 過去對app審查期間要比蘋果來得快。<a href="https://developer.apple.com/app-store/review/" target="_blank">蘋果網頁指出</a>，App Store上平均50%的app會在24小時內審核完成，90%於48小時內審核完畢。</p> <p>此外，針對開發商的抱怨，Google表示也會修改通知違規、拒絕上架的電子郵件以提供更清楚的解釋。也會擴大app人工審查的團隊以加速申訴審核的進行。</p> </div></div></div>
2019/4/17 15:25作者林妍溱https://www.ithome.com.tw/news/130041
資安一周第38期：郵件安全議題成近期焦點，包括郵件傳輸協定的強化、網釣郵件規避偵測的新趨勢，以及帳密外洩事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0411-0417一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>＃電子郵件標準安全</strong></span></h3> <h2><strong>SMTP不夠安全，Gmail開始採用MTA-STS標準以驗證連線</strong></h2> <p>Google宣布Gmail開始採用新的MTA-STS以及SMTP TLS Reporting標準，強化電子郵件安全性，並在4月10日開始進行Beta測試。</p> <p>以採用MTA-STS技術而言，郵件伺服器會要求外部郵件伺服器發送訊息，驗證SMTP連線是否使用有效的公共憑證，以及使用TLS 1.2或更高版本進行加密：而TLS Reporting將讓郵件伺服器可以向外部郵件伺服器請求報告，以了解外部郵件伺服器以MTA-STS政策發送信件，成功與否的資訊。不像只使用SMTP協定，則很容易遭受中間人攻擊，使用者電子郵件可能在未被發現的情況下，於兩個伺服器間傳輸被攔截，並且遭到竄改。<a href="https://www.ithome.com.tw/news/129925"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <h3> </h3> <h3><span style="color:#B22222;"><strong>＃資料外洩　＃飯店業</strong></span></h3> <h2><strong>賽門鐵克：近七成飯店網站洩露住客個資</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Hotel_Booking_Privacy_Infographic.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／賽門鐵克</span></p> <p>賽門鐵克首席威脅研究員Candid Wueest在瀏覽飯店網站時，發現到一些問題可能導致住客的個資外洩，隨後他針對54個國家、超過1500間飯店網站進行測試，結果發現，當中有三分之二的飯店網站，不慎將住客訂房代碼，洩露給廣告商或分析公司等第三方網站。</p> <p>至於個資外洩的原因，主要問題出在系統設計上。研究人員發現測試的網站中，有57%會傳送確認電子郵件給顧客，當中包含了可直接連回訂房記錄的網頁URL，而此靜態連結會將住客訂房代號和Email信箱附在URL後方成為函式值，其中，還有29%的飯店未加密郵件中的URL。這可能讓攻擊者攔截到郵件，或透過HTTP呼叫中的參照欄，間接分享給第三方網站。<a href="https://www.ithome.com.tw/news/129917"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>＃網站安全　＃WordPress外掛程式漏洞　＃責任揭露問題</strong></span></h3> <h2><strong>不滿WordPress支援論壇版主的行為，安全研究人員連續公布3個WordPress外掛程式漏洞</strong></h2> <p>有安全研究人員最近藉由Plugin Vulnerabilities平臺，連續對外公布3個WordPress外掛程式的零時差漏洞，陷逾10萬個WordPress網站於安全風險中。值得注意的是，此次研究人員不遵循責任揭露的漏洞公布事件，是為了抗議WordPress支援論壇版的版主行為而起，其中Social Warfare的漏洞公布後，開發人員已經及時修補，但有兩支Wordpress外掛程式──Yuzo Related Posts與Yellow Pencil Visual Theme Customizer的漏洞在公布後，已造成攻擊發生，因此在WordPress外掛程式商店下架，且開發人員還建議用戶應儘快將所安裝的版本移除。<a href="https://www.ithome.com.tw/news/129987">更多內容</a></p> <h3> </h3> <h3><strong style="color: rgb(178, 34, 34);">＃郵件安全　＃網釣郵件</strong></h3> <h2><strong>25%的網釣郵件可以躲過Office 365內建的安全機制</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89How%20phishing%20Email%20were%20treated%20by%20o365%20EOP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Avanan.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Avanan</span></p> <p>雲端安全業者Avanan在最近公布的全球網釣郵件報告中指出，他們掃描了5,550萬封寄至Office 365及G Suite的電子郵件，平均每99封電子郵件中，就找到1封網釣郵件。而在他們偵測的65萬多封網釣郵件中，有高達50.7%的網釣郵件含有惡意程式，有40.9%是為了竊取使用者憑證，另有8%目的是勒索，0.4%為魚叉式網釣。</p> <p>對於寄到Office 365的電子郵件，Avanan該公司也特別分析，他們發現有25%的網釣郵件，能夠躲過Office 365內建的Exchange Online Protection（EOP）安全機制，而採用的手法上，包過將惡意網址拆分，或者是以畸型的郵件形式及附加檔案，讓EOP無法識別。<span style="color: rgb(128, 128, 128);"><a href="https://www.ithome.com.tw/news/129921">更多內容</a></span></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃無線網路安全　＃WPA3</strong></span></h3> <h2><strong>研究人員揭露Wi-Fi WPA3標準的多個重大漏洞</strong></h2> <p>Wi-Fi聯盟去年發表了WPA3的Wi-Fi無線網路加密通訊標準，最近，紐約大學阿布達比分校的Mathy Vanhoef與以色列台拉維夫大學的Eyal Ronen聯手，揭露WPA3的多個重大漏洞。根據他們的說明，WPA3的優點之一是以Dragonfly交握取代了WPA2的4向交握，讓駭客更難破解網路密碼，但他們發現鎖定Dragonfly密碼編碼方式的許多漏洞或攻擊型態，可以在一定距離內讓駭客取得Wi-Fi網路的密碼，因此，也被外界稱為Dragonblood漏洞。幸好目前WPA3尚未普及，且Wi-Fi聯盟也已釋出了修補程式。<a href="https://www.ithome.com.tw/news/129931"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <div> <h3><span style="color: rgb(178, 34, 34);"><strong>＃網站登入安全　＃FIDO2　＃Google</strong></span></h3> <h2><strong>Google將讓Android 7以上手機當2FA安全金鑰</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89Google%20Android%207%E4%BB%A5%E4%B8%8A%E6%89%8B%E6%A9%9F%E7%95%B62FA%E5%AE%89%E5%85%A8%E9%87%91%E9%91%B0_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AAGoogle%E7%B6%B2%E7%AB%99.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Google網站</span></p> <p>Google在Cloud Next大會上宣布，凡是搭載Android 7.0以上作業系統的手機，在更新Google Play Services後，將可作為安全登入Google帳號或企業用Google Cloud帳號的雙因素驗證（2FA）安全金鑰。目前可預設以Android手機登入的服務是Google Account、Google Cloud、Gmail、G Suite等。另外，Google也建議使用者另外註冊備份用的硬體金鑰，以免手機遺失。<a href="https://www.ithome.com.tw/news/129915"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> </div> <h3><span style="color:#B22222;"><strong>＃VPN程式漏洞</strong></span></h3> <h2><strong>多款企業等級的VPN應用允許駭客繞過身分認證，思科、Palo Alto Networks及Pulse Secure被點名</strong></h2> <p><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自kb.cert.org</span></p> <p>美國電腦網路危機處理暨協調中心（CERT/CC）上周指出，有多家業者所開發的虛擬私人網路（VPN）含有安全漏洞，將允許駭客繞過身分認證機制，存取使用者的應用服務，被點名的業者與產品包括Palo Alto Networks的GlobalProtect Agent、Pulse Secure的 Connect Secure、思科的AnyConnect，以及F5 Networks。截至4月15日，Palo Alto與Pulse Secure已完成修補。<a href="https://www.ithome.com.tw/news/129986"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>＃網路治理　＃ICANN</strong></span></h3> <h2><strong>全球網路治理倡議多重利害關係人共同參與的概念，臺灣近年IPv6成長幅度第一亦成為焦點</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89ICANN%20APAC-TWNIC%20Engagement%20Forum_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90TWNIC.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／TWNIC</span></p> <p>由ICANN與TWNIC共同舉辦的合作交流論壇（ICANN APAC-TWNIC Engagement Forum），4月16、17日在臺舉行，並邀請APNIC、NCC的代表參與，讓臺灣與國際網路治理的專家，能共同討論全球網路議題。</p> <p>在這次會議中，談及網路上可搜尋內容的管理，以及杜絕假消息、網路罷凌等，同時也指出捍衛言論自由的重要性，並強調需建立一個多利害關係人共同參與的安全、開放、全球互連網際網路環境。此外，歐盟GDPR的要求為WHOIS服務帶來的衝擊，但兩者精神背道而馳，需制訂新的政策因應，ICANN表示已啟動第一階段的討論。另外，還有像是IPv6、DNSSEC、中文網域與網路內容的管控，並提及臺灣在網路治理、DNS資安防護以及IPv6普及的推動，值得一提的是，TWNIC也指出臺灣在IPv6的成長速度是近年全球最快，排名已升至全球第11。<a href="https://forum.twnic.net.tw/2019/agenda01.htm"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h3><span style="color: rgb(178, 34, 34);"><strong>＃工控資安　＃開放實測場域</strong></span></h3> <h2><strong>促進臺灣資安工控技術能量，公布第三次關鍵基礎設施資安防護場域實測計畫</strong></h2> <p>為促進臺灣的關鍵基礎設施資安產業發展，協助國內資安廠商快速累積工控安全技術能量，由經濟部工業局委託資策會辦理的「關鍵基礎設施資安防護場域實測」廠商甄選，在4月15日，資策會正式對外發出公告。這樣的計畫在前兩年分別執行過一次，今年是第三次，將延續去年開放國營水、電、油廠的方式，在不影響服務正常運作、不直接接觸工控設備，以及蒐集之資料不外傳的3項原則下，徵選業者進行實測。較特別的是，今年這些場域的開放實測時間，要比去年更長，從一個星期變成一個月，便於業者蒐集更多例行與突發事件的資料變化。<a href="https://www.iii.org.tw/Info/AnnounceDtl.aspx?anc_sqno=704&fm_sqno=20"><span style="color: rgb(128, 128, 128);">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><a href="https://www.ithome.com.tw/news/129999">AdBlock Plus廣告過濾外掛漏洞可被執行惡意程式碼</a><br /><a href="https://www.ithome.com.tw/news/129969">微軟客服人員遭駭，致部份Outlook.com郵件用戶帳號資訊外洩</a><br /><a href="https://www.ithome.com.tw/news/129919">Google Chrome計畫封鎖HTTPS網頁下的不安全HTTP下載</a><br /><a href="https://www.ithome.com.tw/news/129970">Windows安全修補造成跑部份防毒軟體的Windows 7 PC、Server 2012當機或無法重開機</a><br /><a href="https://www.ithome.com.tw/news/129898">微軟Patch Tuesday修補兩個已被開採的Windows漏洞</a><br /><a href="https://www.ithome.com.tw/security">Google新推出多種身份驗證與存取控制功能，助企業部署零信任安全架構</a><br /><a href="https://www.ithome.com.tw/news/129914">你的GPS裝置顯示時間正確嗎？如果一切正常，恭喜你安然渡過GPS的時間重置</a></h4> </div></div></div>
2019/4/17 11:29作者羅正漢https://www.ithome.com.tw/news/130034
Google更新Google Play回饋流程，加強與開發者間的溝通機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近期更積極收緊了使用者隱私政策，特別從Android Q版本開始，提供使用者更高的資料透明度與控制能力，為此Google執行一連串的新政策，包括了從去年底開始，更改SMS與通話記錄權限，而這件事引發了不少開發者反彈，<a href="https://android-developers.googleblog.com/2019/04/improving-update-process-with-your.html">Google現在公開回應，並且承諾改進了開發者回饋流程</a>。</p> <p>為了保護可透過SMS與通話記錄權限曝露的使用者資料，Google限制了特定的使用案例，而這樣的更改對於開發者影響很大，因為部分應用程式的功能可能受到影響甚至無法使用，Google提到，可以存取這些敏感資訊的應用程式數量大減98％，而其中大多數應用程式都已經成功轉換替代功能，或是移除了相關的次要功能。</p> <p>開發者對於SMS與通話記錄權限的更改，主要表達三項不滿，第一、權限申報表單使用案例描述不清，難以正確無誤地完成；第二、審查和申訴程序時間過久，開發者難以即時獲得應用程式是否符合政策的結果，而且申訴的程序太長且過於繁雜；第三、部分開發者認為Google皆採用自動化判定，其中沒有人類參與其中，也難以尋得可以提供有效決策，或是新使用案例詳細資訊的對象。</p> <p>作為對這些抱怨的回應，Google改進了現有的程序。Google承諾他們的溝通將會提供更詳細訊息，在發送的拒絕和申訴電子郵件中，將會附上更詳細的解釋，包括修改應用程式以遵守規定的方法，還有申訴的管道。另外，Google還提到，他們的發展團隊現在都由人類審查敏感決定，而非機器人，因此他們會改善溝通的方法，讓這些回應更具個性化，他們也正在擴大團隊，以加速申訴流程。</p> <p>對於那些抱怨被暫停帳號的開發者，Google提到，他們有信心99%的帳號停用都是正確的，不少惡意開發者一再的開新帳號，或是使用其他開發者的現有帳戶，以發布不安全的應用程式，他們都有掌握帳號之間關聯的證據，但為了平臺安全，他們無法分享案例細節。Google提到，他們會在數天內，審查完那些尚未通過的應用程式，以確保這些應用程式安全無虞。</p> </div></div></div>
2019/4/17 11:10作者李建興https://www.ithome.com.tw/news/130016
卡巴斯基實驗室：去年Q4偵測到的攻擊有7成鎖定Office
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.kaspersky.com/blog/ms-office-vulnerabilities-sas-2019/26415/" target="_blank">卡巴斯基實驗室（Kaspersky Lab）近日警告</a>，在去年第四季受到駭客攻擊的平台中，有70%落在微軟的Office，原因包括攻擊表面眾多、與Windows整合，以及從安全的觀點來看，微軟當初建置Office的許多設計決策是錯誤的。</p> <p>根據該實驗室的追蹤，在2016年第四季時，最受駭客青睞的攻擊平台為瀏覽器，占了45%，居次的是Android的19%，微軟Office以16%排名第三。但到了2018年的第四季，Office躍升為第一，占所有攻擊的70%，瀏覽器與Android則分占14%與12%。</p> <p>這些攻擊當然與Office的安全漏洞有關。卡巴斯基實驗室說明，最近經常出現Offce的零時差漏洞，它們通常是從目標式攻擊開始，繼之流入公開網路，最終則會被整合到攻擊套件中，而且此一周期愈來愈短。</p> <p>以微軟在<a href="https://www.ithome.com.tw/news/118298" target="_blank">2017年11月修補的CVE-2017-11882漏洞</a>為例，在鎖定該漏洞的概念性驗證程式曝光的同一天，研究人員就觀察到大規模的垃圾郵件攻勢，其它的漏洞也一樣，一旦有關漏洞的技術報告出爐，幾天之內黑市就會開始銷售相關的攻擊程式。</p> <p>這是因為在漏洞細節被公布之後，漏洞本身就變得不那麼複雜，也更容易打造攻擊程式。此外，惡意程式作者也偏好簡單、有邏輯的漏洞，一來所打造的攻擊程式將更為可靠，二來它們可影響眾多的Office版本。</p> <p>卡巴斯基實驗室並未說明Office的哪些設計決策影響了它的安全性，只說現在微軟也很難改變這些設計，否則便會危及它的向下相容性。</p> </div></div></div>
2019/4/16 16:00作者陳曉莉https://www.ithome.com.tw/news/130006
今年Google I/O可望發表中階Pixel手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://store.google.com/magazine/avengers" target="_blank">Google Store的首頁</a>已開始替即將於5月7日展開的Google I/O熱身，秀出「援軍已經在路上了。」（Help is on the way.）的廣告詞，還說即將有大人物蒞臨Pixel宇宙（something is coming to the Pixel universe），而外界猜測Google屆時將發表中階的Pixel 3a與3a XL。</p> <p>日前各大媒體先是在Google官網上的手機列表上發現「Pixel 3a」的名稱，還在該名稱上以藍字寫上了「NEW」，繼之媒體便引述消息來源報導，指出T-Mobile正在自家的行動網路上測試Pixel 3a。</p> <p>這使得<a href="https://www.techradar.com/news/google-pixel-3a-and-3a-xl-launch-date-and-pricing-seemingly-revealed" target="_blank">外界紛紛猜測Pixel 3a</a>將是Pixel 3旗鑑手機的中階版本，而且Google將同時發表Pixel 3a與Pixel 3a XL。</p> <p>Pixel 3系列為Google在去年發表的旗鑑手機，主打AI與相機功能，其中的Pixel 3採用5.5吋螢幕，64GB版本的售價為799美元，Pixel 3 XL採用6.3吋螢幕，64GB版本的售價為899美元。</p> <p>而今流出的Pixel 3a則是採用5.6吋螢幕，Pixel 3a XL為6吋螢幕，售價可能分別訂在500美元及600美元左右。</p> <p>Google I/O為年度開發者會議，除了Pixel 3a系列手機之外，Google也可望在該會議上發表日前已揭露的<a href="https://www.ithome.com.tw/news/129466" target="_blank">遊戲串流平台Stadia</a>，Android Q的新測試版，以及更新的Google Assistant、Chrome與Chrome OS等。</p> </div></div></div>
2019/4/16 15:25作者陳曉莉https://www.ithome.com.tw/news/130000
Google新推出多種身份驗證與存取控制功能，助企業部署零信任安全架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/identity-security/simplifying-identity-and-access-management-of-your-employees-partners-and-customers">Google宣布了多種新方法，幫助企業部署零信任架構BeyondCorp模型</a>，從為Cloud Identity-Aware Proxy（Cloud IAP）加入情境感知，到推出Active Directory（AD）託管服務等，都是要讓企業不需要VPN，或是為應用程式加入身份認證管理，就能存取傳統LDAP應用程式以及虛擬機器。</p> <p>隨著網際網路應用程式和基礎架構的類型增加，傳統基於網路的保護資料存取方法越來越不敷使用，Google在2011年開始使用BeyondCorp安全模型來保護內部資源，在2017年釋出了Cloud IAP，現在則將情境感知存取功能，正式加入Cloud IAP和VPC服務，讓企業保護網頁應用程式、虛擬機器和GCP API，這個功能目前在Cloud Identity還在Beta階段，但企業可以先嘗試使用，來保護G Suite應用程式存取。Google提到，情境感知存取可以定義使用者身份與存取應用程式的精細度等，讓企業能夠給予使用者簡單的方法，但又能安全地存取應用程式或是基礎設施資源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Context-aware_access_high-level_architectu_max-1100x1100.png" style="width: 600px;" /></p> <p>在Cloud IAP、Cloud IAM與VPC Service Controls上，使用情境管理存取保護GCP工作負載不需要額外收費，而在G Suite上的情境感知存取功能，包括Gmail、雲端硬碟、文件、日曆以及Cloud Keep等功能，企業只要使用Cloud Identity Premium、G Suite Enterprise還有教育版G Suite Enterprise，就能開始使用Beta版。</p> <p>另外，現在Android手機還能內建安全金鑰，讓使用者可以使用手機的雙因素驗證（Two-Factor Authentication，2FA）登入Google的服務。Google認為基於FIDO標準的安全金鑰，是目前市場上最能抵抗釣魚的雙因素驗證方法，因此鼓勵使用者使用內建在Android手機中的安全金鑰進行認證登入。</p> <p>這個安全金鑰使用標準公鑰加密的協定，與傳統的雙因素驗證像是SMS或是代碼相比，可以提供更強健的網路釣魚和帳戶接管保護，Google提到，去年員工開始使用安全金鑰以來，就沒有再發生過帳戶遭到接管。目前該項功能處於測試階段，Android 7.0+裝置內建安全金鑰，這項服務不另外收費，使用者可以直接將現有手機，使用在工作以及個人帳戶的雙因素驗證上，以藍芽在Chrome OS、macOS或Windows 10上登入Chrome瀏覽器。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/User_experience_on_Pixel_3.gif" style="width: 600px;" /></p> <p>Google也宣布單一登入（Single Sign-On，SSO）功能開始支援密碼儲存管理（Password Vaulting）、增強型終端使用者入口以及整合的人力資源管理系統（HRMS），以簡化應用程式存取。使用者可以透過密碼管理應用程式，一鍵存取各種應用程式，而Cloud Identity擁有龐大的SSO應用程式目錄，讓企業能以單一系統管理所有應用程式的存取權限。</p> <p>即將上線的密碼儲存管理功能會有一個儀表板（下圖），讓使用者可以查看所有能夠使用SSO登入的應用程式，而儀表板將會取代原本的Apps User Hub，以提供更完善的使用者體驗。在人力資源管理上，當員工進入、離開企業或是改變角色，則其存取權限勢必做出改變，Google與主要的HRIS/HRMS供應商合作，讓員工訊息可以在人力資源系統和雲端身份間同步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dashboard_for_end-users_max-2000x2000.png" style="width: 600px;" /></p> <p>去年Google針對客戶和合作夥伴推出的Cloud Identity測試版（CICP），讓企業為其應用程式添加Google身份以及存取管理功能，現在這個功能成為正式版，並且重新命名為Identity Platform。Identity Platform提供可自定義的身份驗證服務，能用來管理使用者註冊和登入的使用者介面流程，並支援多種身份驗證方法，也提供客戶端和伺服器端SDK，還整合Google的智慧與威脅訊號，以偵測受到入侵的使用者帳戶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Identity_Platform_max-1200x1200.png" style="width: 600px;" /></p> <p>最後，Google還發布了支援微軟Active Directory（AD）的Managed Service，這是一個高可用性，經過強化的雲端服務，可以幫助企業管理在雲端使用AD的工作負載。Google提到，即便企業早已經可以在GCP上部署AD環境，但需要自己進行管理把關安全性，但Managed Service為一個託管服務，由Google負責維護。</p> </div></div></div>
2019/4/15 11:05作者李建興https://www.ithome.com.tw/news/129950
貝佐斯挑釁對手：把基本薪資也提高到每小時15美元吧
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon創辦人暨執行長貝佐斯（Jeff Bezos）每年都會發表<a href="https://blog.aboutamazon.com/company-news/2018-letter-to-shareholders" target="_blank">致股東的公開信</a>，今年貝佐斯向股東打了預防針，表示隨著企業的成長，失敗的規模也會隨之擴大，同時也向競爭對手下了戰帖，要求對方也把員工的基本薪資調整到每小時15美元，或者是16美元，以造福所有人。</p> <p>貝佐斯表示，每件事都會隨著企業的成長而規模化，包括失敗的實驗，假設失敗的規模無法隨之成長，也就無法取得真正能改變現狀的發明，Amazon將依照企業規模進行實驗，所以也偶爾會出現代價高達數十億美元的失敗作品。</p> <p>不過，貝佐斯也承諾將會努力找出好賭注，坦言並非所有的好賭注都會成功，但只要有一個成功了，就能彌補許多失敗。</p> <p>貝佐斯還以Fire Phone及Echo為例，說明這兩個幾乎是同時開發的產品有一個失敗了，另一個卻成功了，且儘管Fire Phone失敗了，Amazon也能學到教訓。</p> <p>Fire Phone為Amazon在2014年7月發表的智慧型手機，搭載基於Android的Fire OS平台，但市場反應不佳，在隔年的8月便宣布停產，估計全球賣不到3.5萬支，還留下價值約8,300萬美元的庫存。</p> <p>此外，貝佐斯也向各大競爭對手下戰帖，希望他們也把<a href="https://www.ithome.com.tw/news/126240" target="_blank">員工的最低薪資提高到每小時15美元</a>。貝佐斯並沒有指名道姓，只說「你們自己知道」（you know who you are!）最好是直接調整到16美元，再把戰帖丟回來，而它將是場可造福所有人的競爭。</p> <p>在貝佐斯丟出了戰帖之後，美國媒體即紛紛跳出來幫忙點名，包括目前每小時最低薪資只有11美元的Walmart，以及每小時只有12美元的Target。</p> <p>目前美國政府所規定的最低薪資為每小時7.25美元，Target已經計畫要在今年6月將最低薪資調漲到13美元，於2020年漲到15美元；至於Walmart則尚無將薪資調漲至15美元的時程表。</p> <p>不過，Walmart副總裁Dan Bartlett在Twitter上<a href="https://www.cnbc.com/2019/04/11/walmart-responds-to-amazons-challenge-over-pay.html" target="_blank">回擊</a>了貝佐斯：希望競爭對手（you know who you are）可以付一下稅。（Hey retail competitors out there (you know who you are ) how about paying your taxes? ），還附上了一則有關Amazon在去年獲利超過112億美元，卻沒有付半毛稅收給美國政府的<a href="https://finance.yahoo.com/news/amazon-taxes-zero-180337770.html" target="_blank">新聞連結</a>。</p> </div></div></div>
2019/4/12 23:00作者陳曉莉https://www.ithome.com.tw/news/129949
為幫助開發者提升付費訂戶數量，Android開發人員控制臺新增訂閱分析功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2019/04/optimize-your-subscriptions-with-new.html">Google在Android開發人員控制臺（Google Play Console）加入更多分析功能</a>，幫助開發者提升訂閱轉換率以及訂戶留存比例，還能知道訂戶取消訂閱的原因，幫助開發者制定挽回用戶的策略。</p> <p>Google Play推出7年以來，市場逐漸成熟，因此同時提升使用者轉換率並留住訂戶，成為重要目標，對此開發人員控制臺新增了訂閱留存報告，幫助開發者了解留下訂閱者的方法，以及這些訂戶如何從免費試用者轉換成付費訂閱者，包括對推廣價格的反應以及第二次付款的情況。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(8).png" style="width: 600px;" /></p> <p>開發者可以透過存貨單位（SKU）、國家和訂閱開始日期配置兩個組別，Google提到，這可用於A/B測試，像是更改免費試用的時間，以驗證對訂閱轉換產生影響。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image4.png" style="width: 600px;" /></p> <p>去年Google在訂閱中心推出了取消調查功能，讓開發人員能了解使用者取消訂閱的原因，開發者可以利用Google Play Developer API取得這些資料，現在Google要讓這些資料更容易存取，直接在開發人員控制臺中顯示每日聚合資訊，也提供以CSV格式下載用戶回應。Google提到，留下現有訂戶與獲得新訂戶一樣重要，這個取消訂閱報告，能讓開發者知道用戶是自願還是非自願退訂的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(12).png" style="width: 600px;" /></p> <p>當使用者的付款方式失敗，即是非自願取消訂閱，現在取消報告加入恢復效能卡功能，來幫助開發者了解寬限期和帳戶保留對恢復訂閱的效果，開發者也能知道取消訂閱的訂戶從哪一天恢復訂閱，以判斷恢復通知訊息的有效性。Google提到，同時設置寬限期和帳戶保留的用戶，恢復率可從10％成長到33％。</p> </div></div></div>
2019/4/12 18:00作者李建興https://www.ithome.com.tw/news/129942
Google Chrome計劃封鎖「安全」網頁下不安全的HTTP下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 宣佈未來的Chrome版本，可能將預設封鎖HTTPS網頁等安全環境提供的HTTP下載，像是可執行檔及壓縮檔案。</p> <p>Google Chrome工程師Emily Stark以電子郵件<a href="http://lists.w3.org/Archives/Public/public-webappsec/2019Apr/0004.html" target="_blank">告知W3C Web app安全工作小組指出</a>，Chrome團隊想要在相容以及使用者方便性與安全性之間取得平衡，因此將把在安全環境下（如HTTPS網頁）執行的部份高風險檔案下載視為可疑內容（mixed content），而將之封鎖。至於是何種「高風險」下載，Google目前還在做最後的決定，可能是執行檔及壓縮檔，包括EXE、DMG（Mac壓縮映像檔）、CRX（Chrome 擴充套件）、以及所有主要壓縮檔格式如ZIP、GZIP、BZIP、TAR、RAR和7Z等。</p> <p>這次措施應只涉及桌機版本，因為Android及Google Play的安全上網（Safe Browsing）已經提供用戶防護。此外，不安全環境下執行的不安全下載，目前也不在Chrome的預設封鎖規畫中，因為Chrome已在網址列顯示「不安全」的標示，可提供一定程度的警告。</p> <p>Google也邀請其他瀏覽器業者加入他們，實作類似的機制。</p> </div></div></div>
2019/4/11 13:50作者林妍溱https://www.ithome.com.tw/news/129919
Stack overflow釋出2019開發者調查結果，3成多開發者認為會議降低生產力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://insights.stackoverflow.com/survey/2019?utm_source=so-owned&utm_medium=announcement-banner&utm_campaign=dev-survey-2019#evaluating-competence">Stack overflow釋出了第九次的開發者大調查結果</a>，今年大調查有將近9萬名開發者參與，結果顯示，Python是成長最快的主要程式語言，DevOps專家以及網站可靠性工程師薪水最高。</p> <p>在語言使用的使用情況，連續七年JavaScript都是開發者最常使用的程式語言（下圖），而Python表現亮眼，不只排名上升，也是今年成長最快的語言，實際差距雖然贏Java不多，但是排名已經超越Java。Stack overflow將網頁開發框架與其他框架函式庫分開調查，開發者最常用的網頁框架則為jQuery，而今年有所變動的是React.js超越了Angular。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-04-11%20%E4%B8%8A%E5%8D%881_32_44.png" style="width: 600px;" /></p> <p>在其他開發框架、函式庫與工具的排名上，Node.js是第一名達49.9％（下圖），還有越來越多的開發者選擇使用.NET而非.NET Core，在深度學習函式庫上，開發者最愛用的是TensorFlow，而去年底正式發布的PyTorch，使用的人並不多只有3.3%。在資料庫的選擇上，MySQL仍是第一選擇有54.0%，第二名由PostgreSQL搶走，微軟SQL Server以些微差距位居第三。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-04-11%20%E4%B8%8A%E5%8D%881_35_07.png" style="width: 600px;" /></p> <p>Stack overflow還調查了開發者最愛、最討厭與最想用的語言，Rust已經連續四年，蟬聯最受開發者喜愛的程式語言，緊接在後的則是Python，而Python也是連續三年，獲最想使用的語言第一名，Stack overflow表示，這代表有許多人目前尚未使用Python，但是很想要學習。VBA和Objective-C是今年開發人員夢魘的第一第二名，這個結果代表，有很大一部分的開發者不想再使用這兩個語言。</p> <p>最受歡迎的開發工具是Visual Studio Code，有50.7％的受訪者使用，細看開發類別，在行動裝置開發上，有比較多的開發者使用Android Studio以及Xcode，而DevOps和SRE的熱門開發工具選項則還有Vim，資料科學家更傾向選擇IPython/Jupyter、PyCharm與RStudio。開發者主要使用的作業系統仍是Windows占將近50％，MacOS與Linux的使用比例相去不遠約為25％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-04-11%20%E4%B8%8A%E5%8D%881_16_39.png" style="width: 600px;" /></p> <p>Stack overflow還調查了影響開發者生產力的原因，第一名為令人分心的工作環境41.8％，第二名則有超過三分之一的受訪者認為會議降低他們的生產力，而對於性別少數的群體來說，不友善的工作環境影響他們的生產力。開發者最關心的薪水，每個地區的結果都非常一致，第一名為工程經理的9.5萬美元，接下來依序為網站可靠度工程師8.5萬美元、DevOps專家7.2萬美元與資料科學家的6.6萬美元。</p> <p>在前一次使用Stack overflow服務，有約40％的開發者認為，Stack overflow替他們節省了11到30分鐘，超過四分之三的開發者同意，他們節省了超過11分鐘，Stack overflow提到，他們依據調查保守估計，Stack Overflow每周為每位開發者節省30到90分鐘。</p> </div></div></div>
2019/4/11 12:32作者李建興https://www.ithome.com.tw/news/129902
Google將停用Google Play即時應用程式外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2019/04/google-play-instant-feature-plugin.html">從Android Gradle外掛3.4.0版本開始，Google Play將停止支援以功能外掛com.android.feature，還有即時應用外掛com.android.instantapp建置的應用程式</a>。在建置應用程式的時候，系統會標記功能外掛已經wg棄用，開發者需要將原本使用功能外掛建置的即時應用程式，改以使用新的應用程式發布格式App Bundle，並啟用即時應用以支援即時體驗。</p> <p>去年Google發布了全新建置和發布Android應用程式的方法App Bundle，能有效解決應用程式肥大的問題，使用者不再需要下載用不到的檔案，Google Play將根據使用者的裝置，僅提供所需要的檔案，這種為使用者產生最佳化的APK稱為動態交付。</p> <p>動態交付是基於動態功能的com.android.dynamic-feature，視使用者需要而進行，目前有三種交付類型，包括在安裝的時候交付動態功能、按需交付動態功能、即時與安裝時交付動態功能。</p> <p>Google持續更新App Bundle，在三月的更新，開發者只要使用Android Studio 3.3，就能讓單一專案建置App Bundle，同時包含一般與即時應用程式，之前開發者需要針對一般與即時應用程式，上傳兩個獨立的App Bundle，但現在只需要上傳含有體驗模組的單一App Bundle就可以了。</p> <p>過去建置即時應用程式的相依性較為複雜，需要創建功能模組作為App的基礎功能模組（Base Feature Module），要包含一般與即時應用程式共享的程式碼以及資源，另外，其餘程式碼庫還需要有多個非基礎功能模組，如即時應用程式進入點模組，以及有僅適用一般安裝的應用程式模組，另外，也需要即時應用程式模組，內含了即時應用程式碼與對映的相依檔案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(11).png" style="width: 600px;" /></p> <p>而在新的App Bundle實作中，基礎功能模組將被當作應用程式模組，管理一般與即時應用程式的程式碼和資源，開發者可以組織額外的模組化功能，作為三種動態功能模組類型的其中一種，而由於manifest中的dist:instant屬性，因此即時應用程式模組便不再需要了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/App%20bundle%20dependencies.png" style="width: 600px;" /></p> <p>透過將即時應用程式轉為即時App Bundle，應用程式不只能獲得新格式帶來的優勢，也能簡化應用程式模組化設計。開發者可以使用Android Studio 3.3以上版本，創建可啟用即時應用的App bundle，為應用程式加入即時體驗。</p> </div></div></div>
2019/4/11 12:35作者李建興https://www.ithome.com.tw/news/129901
Google將讓Android 7以上手機當2FA安全金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Cloud Next大會上<a href="https://www.blog.google/technology/safety-security/your-android-phone-is-a-security-key/" target="_blank">宣佈Android 7以上版本的手機將可作為雙因素驗證（2FA）的安全金鑰</a>。</p> <p>雙因素驗證（two-factor authentication，2FA）是藉由文字簡訊或Google Authenticator等發送第二階段的密碼，為用戶帳號增添多一份防護。然而此類防護卻會在碰上釣魚網站時破功，駭客可設立以假亂真的網頁騙取使用者輸入帳號密碼，或是利用惡意程式攔截密碼以假造用戶身份登入。硬體式安全金鑰解決方案於是應運而生，藉此終結難記、難管理又不安全的密碼。</p> <p>市面上除了Yubico之外，Google去年也<a href="https://www.ithome.com.tw/news/125614" target="_blank">推出</a>了FIDO 2協定的硬體安全金鑰Titan。2月底Google在世界通訊大會（MWC）上再進一步，宣佈Android取得FIOD2認證。4月Cloud Next大會上Google則正式宣布，凡是搭載Android 7.0以上作業系統的手機，在更新Google Play Services後，都將可當成FIDO 2/WebAuthn標準的安全金鑰，不再需要額外購買硬體金鑰裝置，即可用來安全登入Google帳號或企業用的Google Cloud帳號。</p> <p>如果你的手機跑的是Android 7以上版本，只要啟動雙因素驗證或兩步驟驗證（2-step verification，2SV）即可。使用者需先在Chrome OS 、macOS X及Windows 10 電腦（或平板）上的Chrome瀏覽器設定2SV，之後點擊「加入安全金鑰」下的選單選擇支援的Android手機，然後透過藍牙將手機連結電腦完成註冊即可。</p> <p>目前可預設以Android手機登入的服務是Google Account、Google Cloud、Gmail、G Suite等，Google表示日後也會加入其他服務。</p> <p>近期Google也<a href="https://www.ithome.com.tw/news/129752" target="_blank">宣佈</a>Google帳號開始轉換到WebAuthn標準，使Firefox及Edge瀏覽器用戶，也能使用業界標準的硬體式安全金鑰來登入Gmail、Google Drive或G Suite等服務，但是如果要註冊金鑰，暫時還是要再回到Chrome瀏覽器上。</p> <p>Google 並建議使用者另外註冊備份用的硬體金鑰，以免手機遺失。這意謂著你可能還是再買一支硬體金鑰裝置（如Google的Titan或Yubico）比較好。</p> </div></div></div>
2019/4/11 12:40作者林妍溱https://www.ithome.com.tw/news/129915
Yahoo奇摩推出新數位行銷工具，搶攻AR、VR廣告市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好擴增實境（AR）及虛擬實境（VR）帶來的沈浸式體驗在廣告的應用，Yahoo奇摩在臺推出了Yahoo Lab XR（Extended Reality，延展實境）數位行銷方案，未來將可看到更多AR、VR廣告。</p> <p>這項數位行銷方案涵蓋了3D、AR、VR、360等類型廣告，其中AR、VR及360可創造出沈浸式的體驗，結合小遊戲，可提高使用者的互動參與，強化受眾的廣告印象。</p> <p>Yahoo奇摩媒體業務事業群業務總經理方盈傑表示，根據過往經驗，導入AR可以增加8成的互動率，廣告遊戲或互動的完成率也有6成，顯示了這類沈浸式體驗廣告能夠帶來更好的效果。</p> <p>他並以Yahoo奇摩母公司Verizon Media的調查，4成7的廣告主期待有新的廣告表現形式，49%認為XR可以提升消費者的廣告體驗，結合速度更快的5G，有助於實現更具創意的廣告。</p> <p>方盈傑表示，過去廣告主可能會擔心沈浸式廣告的製作成本、時間過高過長，但現在製作成本、時間和製作一般Flash廣告相近，以360廣告為例，廣告素材需要的影像不一定需要360度環景相機才能製作，可以相機拍攝不同角度影像，或是全景照片就能製作，而3D廣告只要有產品的3D模型，例如建築或汽車的3D模型就能製作。</p> <p>目前國內已有飲料、汽車、電影等採用XR廣告方案，像是知名的汽車品牌透過360度廣告，消費者不需要親自到門市賞車，透過手機就能在360度的影像中，欣賞車內不同角度的內裝細節；飲料業者也透過AR擴增實境，結合小遊戲增加消費者的廣告印象。</p> <p>方盈傑指出，過去的XR的廣告多以專案的方式進行，在全球技術團隊努力下，廣告平臺已克服了規模化問題，已能夠提供給所有的廣告主，在XR技術問題解決後，廣告主可將心力集中在廣告創意的表現上。</p> <p>不過，並非所有的消費者都能夠在手機上看到相同的廣告體驗，例如AR在Web上需要特定版本以上的行動作業系統才能支援，iOS 11以上，Android 7以上。</p> <p> </p> </div></div></div>
2019/4/10 18:47作者蘇文彬https://www.ithome.com.tw/news/129899
資安一周第37期：假消息氾濫下也隱藏著國家級的攻擊，受政治學關注的全球民主指標研究中，臺灣在近五年都是全球最嚴重的國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0403-0410一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color:#B22222;"><strong>網站安全、Apache</strong></span></h3> <h2><strong>十多個Apache HTTP Server版本含有嚴重的權限擴張漏洞</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%890406-apache-960.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Apache.org</span></p> <p>Apache軟體基金會近日修補了Apache HTTP Server的一個嚴重漏洞，而此一編號為CVE-2019-0211的安全漏洞，屬於本地端權限擴張漏洞，將允許駭客取得系統的最高權限以執行任意程式，從2015年10月發表的2.4.17，到今年2月發表的2.4.38的十多個版本都遭殃，用戶應儘快升級到4月1日釋出的2.4.39。資安業者Rapid7指出，此漏洞對於提供共享網路代管服務的供應商而言，風險更高，因為這類服務允許不同的網站共用同一個父Apache伺服器，假設有駭客成功利用該漏洞，將能任意變動其他客戶的檔案或資料庫。<a href="https://www.ithome.com.tw/news/129802"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>假消息、V-DEM</strong></span></h3> <h2><strong>臺灣是連續五年受假消息攻擊最嚴重的國家</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/V-Dem%20Foreign%20dissemination%20of%20fales%20informaition%202018.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自v-den.net</span></p> <p>假消息對臺灣影響與危害的議題，不斷被討論，近期許多人引用了大型民主指標研究Varieties of Democracy（V-Dem）的分析結果（受政治學界所關注的V-Dem，在4月8日釋出的第9版資料庫），當中就有假消息與政府相關的量化數據。</p> <p>在V-DEM網站提供的自由民主指數中，使用者可透過互動式地圖項目查詢全球的現況，而在數位社會（Digital Society）中的一項變數中，是針對全球各國「遭受外國假資訊攻擊」（Foreign dissemination of fales informaition）的程度做調查，而此指標分數範圍在0到4之間，其中0分代表來自境外的假資訊最嚴重，4分則反之，意謂著分數越低越嚴重。而臺灣在此指標中得到0.26分，成為統計中最嚴重的國家，次之為拉脫維亞的0.52分。事實上，2012年最嚴重是拉脫維亞，但從2013年之後換成臺灣居首，且指標分數從0.64、0.52一直滑落，嚴重程度更甚。<a href="https://www.v-dem.net/en/analysis/MapGraph/"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>物聯網安全、ISAC</strong></span></h3> <h2><strong>打造物聯網資安聯防平臺，臺灣IoT-ISAC服務正式上線</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%8901%E7%89%A9%E8%81%AF%E7%B6%B2%E8%B3%87%E5%AE%89%E9%98%B2%E8%AD%B7%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E6%9C%83.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／亞洲·矽谷計畫辦公室</span></p> <p>由國家發展委員會委託財團法人電信技術中心等執行的「亞洲·矽谷計畫－強化物聯網資安防護」，在本月10日正式宣布第一期的成果。該單位表示，已經完成物聯網系統層級安全評估機制，將可提出檢測方面的建議，並針對可能威脅進行有效預防措施，同時，物聯網資訊分享及分析中心（IoT-ISAC）正式上線，將可蒐集IoT相關資安事件資訊，提供資安事件統計資料，加速用戶瞭解目前國際或國內發生的資安漏洞或攻擊事件，當中並畫分了8大IoT類型，包括智能效能與環境監控、智慧商業、智慧製造、智慧能業、智慧醫療、智慧家庭、智慧交通與智慧物流的項目。<a href="https://www.communications.org.tw/news/policy/item/9167-0410.html"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>網路設備安全、思科</strong></span></h3> <h2><strong>思科遭爆RV320和RV325路由器安全補丁未修復漏洞，僅是避免有漏洞裝置被發現</strong></h2> <p>思科在一月時，針對企業級路由器RV320和RV325發出安全更新，以修補資訊洩漏及遠端攻擊漏洞，但是，通報的資安公司RedTeam Pentesting GmbH最近再次揭露，思科並沒有確實修補漏洞，僅是將資料傳輸工具curl列入黑名單，防止攻擊者使用curl發現存在漏洞的路由器，而非從根本修復路由器存在的漏洞。後續思科表示，當初的修復並不完整，目前他們正在積極修補這個漏洞。<a href="https://www.ithome.com.tw/news/129728"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>偷渡式下載、微軟</strong></span></h3> <h2><strong>微軟發布年度資安回顧報告，強調偷渡式下載攻擊在亞太最猖獗，而臺灣是最嚴重的地區</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Asia-dod.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／微軟</span></p> <p>繼賽門鐵克、趨勢科技、Check Point等資安廠商，揭露對於2018年整體資安態勢的觀察，最近微軟也公布了智慧資安報告（SIR），他們的看法大致如同其他業者，包含過去2017年頻頻出現的勒索軟體攻擊與加密貨幣挖礦手法，在2018年顯著降低，而軟體供應鏈和網路釣魚攻擊事件則是大幅增長。微軟並指出，亞太地區的資安威脅情勢，較全球整體來得嚴重，特別是偷渡式下載（Drive-by Download，DBD）攻擊的現象，出現再度氾濫的趨勢，且臺灣是亞太地區中最為嚴重的國家。<a href="https://www.ithome.com.tw/news/129806"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>勒索軟體</strong></span></h3> <h2><strong>紐約州阿巴尼市遭勒索軟體攻擊，致部份服務中斷</strong></h2> <p>這半年來，美國地方政府已遭到至少3起勒索軟體攻擊，三月底美國紐約州阿巴尼市系統也遭殃，導致部份服務中斷。3月30日，美國紐約州阿巴尼市（Albany）系統遭勒索軟體劫持，該市市長Kathy Sheehan於推特公告，但並未說明詳細受災情況。大部份市政服務也維持營運，不過確有數項市民服務受到影響，包括出生、死亡及結婚證明謄本無法由網路辦理，市民必須親自前往地區公務機關申請。<a href="https://www.ithome.com.tw/news/129764"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>網路身分驗證、硬體安全金鑰</strong></span></h3> <h2><strong>Firefox、Edge也能用WebAuthn硬體金鑰登入Google服務</strong></h2> <p>Google宣布，Google帳號開始轉換到WebAuthn標準，讓Firefox及Edge瀏覽器環境下，也能使用業界標準的FIDO2硬體式安全金鑰，來登入Gmail、Google Drive或G Suite等服務。在此之前，如果你想用USB安全金鑰登入Google旗下服務，只能使用Chrome瀏覽器與U2F Security Key，這是因為Google使用的是較早期的U2F協定，但Firefox、Edge與Safari並不支援。隨著去年FIDO 2身分驗證規格的推動，Google也啟動從U2F轉向以FIDO 2為基礎WebAuthn的過程。<a href="https://www.ithome.com.tw/news/129752"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>網路犯罪、臉書</strong></span></h3> <h2><strong>臉書暗藏由74個社團與38萬名成員組成的網路犯罪市集</strong></h2> <p>Cisco旗下的威脅情報研究組織Talos近日揭露，網路犯罪份子不只在地下論壇活動，也把個人資料、垃圾訊息服務或其他駭客服務的銷售行為光明正大地搬到臉書上，在臉書建立了74個社團，總計吸引了38.5萬名成員。而且，這些社團多數毫不避諱地採用非常明顯的名稱，例如專業的垃圾訊息（Spam Professional）、專業駭客（Spammer & Hacker Professional），以及提供臉書的網釣服務（Facebook hack--Phishing），或者是直接擺明要銷售信用卡的驗證碼等。當Talos向臉書檢舉時，站方很快就移除了大多數的駭客社團，但也發現新社團依然不斷開張。<a href="https://www.ithome.com.tw/news/129820"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>物聯網安全、家用路由器漏洞、DNS劫持</strong></span></h3> <h2><strong>駭客濫用Google平臺鎖定路由器展開DNS重導攻擊</strong></h2> <p>資安業者Bad Packets及網路測試業者Ixia，在最近幾個月相繼偵測到大規模鎖定家用路由器的DNS挾持攻擊，受到波及的路由器品牌涵蓋D-Link、Totolink、Secutech及ARG-W4等品牌，且相關攻擊全是利用Google Cloud Platform（GCP）的資源，成功利用了這些家用路由器的漏洞，並透過惡意DNS伺服器，將使用者的流量導至惡意網站。對此，安全研究人員建議，使用者應定期更新路由器韌體，或是檢查其DNS設定是否曾被竄改。<a href="https://www.ithome.com.tw/news/129819"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><a href="https://www.ithome.com.tw/news/129842">被行星家族的勒索軟體纏住了？別怕，Emsisoft釋出解密工具</a><br /><a href="https://www.ithome.com.tw/news/129873">Android間諜程式Exodus現身iOS平臺</a><br /><a href="https://www.ithome.com.tw/news/129773">微軟Azure AD Password Protection正式上線，提高密碼防護門檻</a><br /><a href="https://www.ithome.com.tw/news/129874">兩名高中生為了逃避考試摧毀學校的Wi-Fi網路</a><br /><a href="https://www.ithome.com.tw/news/129748">安全研究人員示範誤導特斯拉Model S駛入對向車道</a><br /><a href="https://www.ithome.com.tw/news/129742">Google修補Android 11項重大及高風險安全漏洞</a><br /><a href="https://www.ithome.com.tw/article/129461?page=2">【2019臺灣資安大會直擊】</a><br /><a href="https://www.ithome.com.tw/article/129719">【2019企業資安大調查】</a> </h4><p> </p></div></div></div>
2019/4/10 17:21作者羅正漢https://www.ithome.com.tw/news/129894
臉書開源程式碼推薦工具Aroma
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.facebook.com/blog/aroma-ml-for-code-recommendation/">臉書開源應用機器學習的程式碼推薦工具Aroma</a>，能以程式碼搜尋程式碼的方式，幫助開發者針對特定任務，查詢其他開發者的處理方法，Aroma可以搜尋大型程式碼庫，並提供程式碼推薦結果，以加速開發者的開發效率。</p> <p>臉書提到，過去沒有任何工具可以良好的解決程式碼推薦問題，無論是文件搜尋工具還是程式碼搜尋工具，取得的結果都不夠精準，難以找到適合可立即使用的程式碼撰寫模式。Aroma可以讓開發者直接以程式碼片段進行搜尋，Aroma則會回傳程式碼建議，而這些建議來自程式碼儲存庫中，找到的程式碼片段匯總。</p> <p>臉書舉例，當Android開發者想要了解其他人撰寫點陣圖解碼的寫法，就能使用原本的程式碼（下圖）進行搜尋，Aroma回傳的每個程式碼建議結果，是匯總儲存庫中數個程式碼片段而成，能夠呈現點陣圖解碼常用的程式碼寫法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine1_FireShot%20Capture%20255%20-%20Aroma_%20Using%20ML%20for%20code%20recommendation%20-%20aifacebookcom.jpg" style="width: 600px;" /></p> <p>Aroma從儲存庫中找到五個類似的方法，合成為最終的程式碼建議結果，下圖這個建議結果簡化了各個方法的具體細節，但是依照結果可以知道，這五個參考的程式碼方法，開發者們在解碼點陣圖的時候，都設置了額外的Options，並且設定了SampleSize以減少解碼大型點陣圖時的記憶體使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine2_FireShot%20Capture%20255%20-%20Aroma_%20Using%20ML%20for%20code%20recommendation%20-%20aifacebookcom.jpg" style="width: 600px;" /></p> <p>與其他搜尋解決方案不同的是，Aroma並非以字串或是Token進行匹配，而是找出能類似查詢程式碼的例子，並且修剪不相關的程式碼，以突顯需要強調的部分。而且Aroma所產生的程式碼建議，是匯總相似程式碼的結果，這些推薦結果代表著慣用寫法，因此比起單一搜尋結果，更具代表性也更容易使用。</p> <p>臉書也強調，Aroma的執行速度非常快，可以即時的提供結果，即便在非常龐大的程式碼儲存庫，也只要幾秒鐘的時間創建建議，不需要進行預先的模式探勘，而且Aroma的核心演算法與語言無關，臉書在內部的Hack、JavaScript、Python和Java程式碼褲都部署了Aroma。</p> </div></div></div>
2019/4/10 10:25作者李建興https://www.ithome.com.tw/news/129869
Android間諜程式Exodus現身iOS平台
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lookout.com/esurv-research" target="_blank">資安業者Lookout指出</a>，過去在Android平台上肆虐的間諜程式Exodus已被移植到iOS平台上，且利用蘋果專為大型企業設計的Apple Developer Enterprise Program誘導使用者下載及安裝，儘管iOS版的Exodus不如Android版的強大，但它依然能夠竊取iOS裝置上的通訊錄、照片、GPS位置、裝置資訊，甚至是遠端竊聽。</p> <p>安全無疆界（Security Without Borders）組織率先在去年6月揭露了Exodus，當時它主要鎖定Android裝置，偽裝成各式電信營運商的服務程式，還成功登上了Google Play，但受害者全都位於義大利。</p> <p>Lookout則說，Exodus不僅使用憑證綁定、以公鑰加密與遠端控制暨命令伺服器的傳輸、特定階段設有區域限制，而且還具備完整的監控能力。</p> <p>不管是<a href="https://securitywithoutborders.org/blog/2019/03/29/exodus.html" target="_blank">安全無疆界</a>或Lookout都追蹤到Exodus是源自於義大利的eSurv及Connexxa，前者是一家提供視訊監控軟體及影像辨識系統的業者，且這兩家業者擁有同樣的創辦人。Google已在去年下半年移除了Google Play上與Exodus有關的行動程式，但它現在卻重新現身於iOS平台。</p> <p>不過，Exodus並非透過App Store散布，而是濫用了蘋果的Apple Developer Enterprise Program，該專案允許企業打造私有程式以供員工使用，而且只需要滿足諸如是家真正的企業、具備Apple ID及擁有D-U-N-S號碼等規定就能申請。</p> <p>於是，駭客偽造了義大利與土庫曼的電信業者網站，在網站上提供了假冒為電信服務的IPA（iOS App Store Package）程式，相關的IPA程式皆含有具備企業憑證的行動供應配置文件，因而得以透過App Store以外的網站散布。</p> <p>雖然iOS版的Exodus不如Android版強大，也只具備Android版的部份功能，但它依舊能竊取使用者裝置上的通訊錄、錄音、照片、影片、GPS位置、裝置資訊，或是執行遠端竊聽等，同時它也能在使用者毫無察覺的情況下自行啟動。</p> <p>蘋果在收到Lookout的通知後已撤銷了相關程式所採用的憑證。</p> </div></div></div>
2019/4/10 09:45作者陳曉莉https://www.ithome.com.tw/news/129873
Google更新機器學習開發套件ML Kit，新增支援智慧回覆與語言辨識功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google拓展了機器學習套件ML Kit的可應用情境，現在不僅提供圖像辨識功能，開始加入自然語言處理，提供智慧回覆（Smart Reply）與文字語言識別兩個新的API。</p> <p>ML Kit是Google在2018的I/O大會上釋出的人工智慧SDK，目的是要降低行動應用程式使用人工智慧的技術門檻，ML Kit被整合進行動應用程式開發平臺Firebase，其提供了一系列開箱即用的API，開發者不需要擁有機器學習領域的知識，馬上就可以為應用程式加入臉部辨識或是文字辨識等功能。Google提到，原本ML Kit只專注提供圖片與影片處理功能，但現在進一步擴展ML Kit支援範圍，開始提供自然語言處理解決方案。</p> <p>現在ML Kit提供了智慧回覆與語言識別兩個API，前者可以在聊天應用程式中產生回覆建議，後者則可以辨識文字的語言。聊天應用程式現在也可以為使用者提供方便的回覆建議，就像是Google之前智慧電子郵件信箱Inbox的信件回覆建議功能一樣，可以根據對方的訊息提供數個回覆建議，Google表示，智慧回覆建議可以幫助使用者在忙碌時快速回應訊息，或是更快速地輸入長訊息。</p> <p>開發者可以使用智慧回覆API在自己的應用程式中，實作出訊息回覆建議功能，API會依照對話中最新的10條訊息提供回覆建議，雖然如此，但即使對話中沒有10條訊息，該功能仍可以正常運作。回覆建議功能是只會在裝置上運作的無狀態API，歷史紀錄不會被存在記憶體，也不會被上傳到伺服器中，使用者毋須擔心個人隱私安全。</p> <p>Google提到，除了建議回覆功能，他們還增加一個模型來檢測敏感言論，避免給出不洽當的回覆建議，也提供語言識別功能，確保程式不會給出核心模型沒有訓練過的語言建議，目前智慧回覆只提供英文建議。</p> <p>不只是智慧回覆，不少應用程式還提供文字拼寫檢查或是翻譯等的功能，而現在使用者使用這些功能之前，不再需要先行指定文字語言，開發者可以使用辨識文字語言API，自動辨識目標文字語言，ML Kit能夠辨識103種語言的文字，只需要給定幾個單詞，ML Kit就能回傳精準的判斷結果，在iOS和Android只需要1到2毫秒的回應時間。當ML Kit無法確定語言，則會提供可能的語言列表。</p> </div></div></div>
2019/4/9 10:09作者李建興https://www.ithome.com.tw/news/129829
Google擴大Duplex AI支援，iOS與更多Android裝置都能用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在2018 Google I/O上展示的AI語音助理Duplex，先是去年10月在Pixel裝置上線，現在<a href="https://9to5google.com/2019/04/03/google-duplex/" target="_blank">要進一步擴大支援包含iOS與其他非Pixel但執行Android 5.0以上的裝置</a>。</p> <p>在2018 Google I/O大會上，Google讓以Duplex技術為基礎的人工智慧語音助理，代人類打電話給餐廳以及美容院預訂服務，語音助理可以自然地與店家談話協調時間，還會刻意在句子加上「嗯哼」或「哦」等語助詞，讓店家完全沒發現來電者是電腦，幾乎與人類說話一樣的效果嚇壞不少人。</p> <p>在去年10月底，Google發布Pixel 3及3 XL等裝置，同時也開始在這些裝置上支援Google Duplex，提供電腦代為打電話訂位的服務。而現在Google在其以智慧助理撥打電話的支援頁面上，將iPhone列為支援的裝置，使用者只要安裝Google智慧助理就可以開始使用，而Android裝置也只需要安裝5.0或更高版本，即可使用自動撥打電話服務，不過，目前服務的地方仍只有美國特定的43個州。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; encrypted-media; gyroscope; picture-in-picture" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/-qCanuYrR0g" width="560px"></iframe></div> <p> </p> </div></div></div>
2019/4/5 22:03作者李建興https://www.ithome.com.tw/news/129795
Android Q第二測試版能限制App存取外部儲存
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在3月中的時候發布了最新行動裝置作業系統Android Q預覽版，強調使用者隱私，現在<a href="https://android-developers.googleblog.com/2019/04/android-q-beta-2-update.html">發布了第二個測試版</a>，啟用Scoped Storage隱私政策，還新增支援多重任務操作的對話泡泡，而Android Q也開始支援可折疊裝置，並在最新的Android Studio 3.5增加了專門的模擬器。</p> <p>無論是在硬體還是軟體上的設計，Google從Android P開始應用了不少隱私機制，也持續更新Google Play應用程式的政策，目的就是為了拉高整體Android生態系的隱私安全性。而Android Q的設計也圍繞著這個中心思想，提高系統透明度為用戶提供更多的控制，在平臺以及應用程式保護使用者的個人資料。</p> <p>Android Q第二測試版啟用Scoped Storage功能，未經授權的應用程式只能在私有沙盒中執行，如果要存取照片、影片或是音訊等集合檔案，則需要新的授權，Android Q會為每個應用程式創建一個獨立的儲存沙盒，限制應用程式互相存取儲存在外部儲存的檔案，Android Q將以更精細的媒體權限，替換原本的外部儲存權限。</p> <p>Google提到，這項更改將會影響使用共享媒體集合的應用程式，像是照片、影片、媒體瀏覽或是檔案儲存等應用，都可能因為Scoped Storage而使行為改變，開發者應該提早測試自家應用程式在Scoped Storage隱私功能下的變化，並做出相對應的更改。</p> <p>對多重任務的支援，Android Q新增對話泡泡功能，讓使用者以新的互動方式進行多重任務。應用程式可以將通知以對話泡泡的形式發送，當使用者在使用應用程式時，可以透過點擊對話泡泡以執行額外的工作。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2a.png" style="width: 250px;" /></p> <p>Google提到，泡泡功能對於訊息傳遞特別有用，可以讓使用者持續進行手上的工作，還能輕鬆的存取與其他聯絡人的對話訊息。開發者只要在應用程式中呼叫setBubbleMetadata新增BubbleMetadata，就能以對話泡泡的形式發送通知，在元資料中，開發者可以提供欲呈現在泡泡內容的活動。</p> <p>為了滿足可折疊裝置的需求，Android Q第二測試版開始支援可折疊裝置，而新發布的可折疊裝置模擬器，開發者可以在金絲雀頻道發布的Android Studio 3.5中，以Android虛擬裝置啟用。在平臺端，Google改進了onResume以及onPause上的行為，以支援多重恢復，系統會在應用程式取得焦點時，對應用程式發送通知，另外，Google還更新了resizeableActivity的manifest屬性，以幫助應用程式在可折疊或是大型螢幕上顯示的方式。</p> <p class="rtecenter"><img alt="" src="https://2.bp.blogspot.com/-DZx0iTv5254/XKTW4EczNeI/AAAAAAAAHY8/hU5dHRaCgF02Loxvuyi2VGt1-MFftnLIwCLcBGAs/s1600/image3.gif" style="width: 343px;" /></p> <p>使用者可以使用Android Studio 3.5創建可折疊虛擬裝置，目前在第二預覽版支援兩種配置，分別是4.6吋的摺疊螢幕打開變7.3吋的規格，以及6.6吋摺疊螢幕打開變成8吋的規格，模擬器可以讓使用者在螢幕上，觸發折疊、展開、改變朝向等裝置控制。</p> <p>Android Q第二測試版還提供了全新MicrophoneDirection API，以支援指向性可縮放麥克風，應用程式現在可以在啟用錄音功能時，對麥克風設定偏好的方向，像是使用者在自拍時，就能呼叫setMicrophoneDirection將屬性設為MIC_DIRECTION_FRONT，要求前置麥克風錄音，另外，這個API還提供標準化的方法控制縮放麥克風，使用者可以用來調整紀錄場域維度。</p> </div></div></div>
2019/4/4 21:09作者李建興https://www.ithome.com.tw/news/129788
微軟Android版Skype也爆自動接聽功能的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一月底傳出iPhone上的FaceTime有隱私漏洞，在電話未接通時，發話方即可接獲接話方的影像與聲音。而Android版的Skype也爆出這個問題，所幸微軟已經修復。</p> <p>事情源起為Skype的自動來電接聽功能，它原本是設計作為行動不方便人士的輔助支援功能，或是用於看顧獨自在家中的寵物。這項功能也可以選擇開啟或關閉。但<a href="https://answers.microsoft.com/en-us/skype/forum/all/how-to-stop-skype-on-mobile-to-automatically/b68e0762-b032-4eb5-a3b6-c749a4903eba?page=2" target="_blank">一月間有Skype用戶在微軟論壇上反映</a>，他Android手機的Skype會在來電數秒後自動接聽，即使關閉這項功能後卻仍然無法掛斷電話。其他用戶也表示有相同問題，而且如果曾設定過Skype的相機app使用權限，Skype也會自動開啟影像通話。</p> <p>這些使用者另一個共通點是都將Android手機連結智慧型手錶，有人連智慧型手錶未開啟的情況下，自動接聽也會啟動。用戶實測發現當手機和智慧型手錶配對連線情況下，會複製發生這個狀況，並推測本隱私漏洞出現在2018年11月之後版本的Skype 8。</p> <p>微軟並未說明此事，但似乎已經修補該漏洞。3月間論壇上有Skype Insider開發人員指出，問題可能起於手錶組態與Skype某項新功能變更共同作用的結果，建議用戶試試Android版Skype最新預覽版本，這意謂修補好漏洞的正式版即將釋出。</p> </div></div></div>
2019/4/3 11:15作者林妍溱https://www.ithome.com.tw/news/129762
Fintech周報第93期：不只政府機關，金融業也要攜手臺網公司推線上身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="vertical-align: top; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; color: inherit; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18px;"><strong style="vertical-align: top;"><span style="vertical-align: top; color: rgb(0, 0, 205);">03/30-04/05</span></strong></span></h3> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 行動身分識別 </span> </strong></span><span style="vertical-align: top; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span><br /><strong style="vertical-align: top; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">不只政府機關，金融業也要攜手臺網公司推線上身分驗證</span></strong><br /><span style="vertical-align: top; font-size: 18.6667px;">證交所旗下臺灣網路認證公司（臺網公司）的TWID身分識別中心，去年與五大電信商簽約，推動Mobile ID（MID）行動身分識別服務，讓用戶憑手機門號，就能通過實名身分驗證。臺網公司近期開始要與金融業合作，在一場「行動身分識別研討會」活動中，包括玉山銀行、台新銀行、新光人壽、遠東商銀，都表示將與臺網公司合作，研擬導入行動身分驗證機制，打造多元數位金融服務。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">新光人壽廖晨旭資深協理表示，將與臺網公司合作應用，新光人壽的保戶可以透過MID線上驗證身分，成為新光人壽網路會員，進行個人聯絡資料修改、保單內容變更、保單借款及線上理賠申請等網路服務。台新銀行數位金融處副總經理包國儀也表示，台新數位銀行Richart也將與臺網合作，研擬數位金融服務。而行動身分識別服務，目前已有健保署及關務署正式採用，且都是應用在App用戶身分認證。健保署的應用是全民健保快易通（健康存摺），而關務署的應用是進口快遞包裹實名認證（EZ Way）。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 純網銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> CIO</span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">將來銀行籌備處CIO甫上任，由前91APP資深副總周旺暾擔綱</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%2015_%E6%B4%BB%E5%8B%95%E5%AE%A3%E5%82%B3%E4%BD%BF%E7%94%A8_%E5%91%A8%E6%97%BA%E6%9A%BE_%E5%B0%87%E4%BE%86%E9%8A%80%E8%A1%8C_%E8%B3%87%E8%A8%8A%E9%95%B7_20190401_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行籌備處資訊長兼技術長，在4月1日正式上任，是由前91APP資深副總周旺暾，擔起將來銀行的IT建置。周旺暾擁有25年的網路經驗，是臺灣第一個網際網路入口網站蕃薯藤（yam）公司化後的第3號員工。他在2004年進入微軟，一待將近13年，負責微軟雲端與資安等產品線的事業發展。2017年，周旺暾接任91APP人資長，更在隔年5月接手91APP拓張海外市場的事務，擔任資深副總經理。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">將來銀行CIO兼CTO這個位子，需要擁有網路技術，又能結合網路商業思維的人來協助，而周旺暾過去的豐富資歷，成就了這職位的不二人選，也正是將來銀行籌備處多次力邀的原因。周旺暾提到，將來銀行籌備處在重新打造一家純網銀時的思維，其實是以網路的思維出發，而不是傳統的銀行思維。他解釋，銀行的概念不會消失，而是回到本質，可以在各種消費場景，即時提供各種金融服務給消費者。「我們不是要做銀行，而是要做金融服務。」他強調。<strong><a href="https://www.ithome.com.tw/news/129735">（更多內容...）</a></strong></span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 北富銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 一鍵調額 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">北富銀日本旅遊信用卡推出一鍵調額新服務</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329%E6%96%B0%E8%81%9E%E7%85%A7%E7%89%87.jpg" /></span></strong></p> <p><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">台北富邦銀行與國際發卡組織JCB合作，推出的日本旅遊J卡，在3月29日開通一鍵調額功能。北富銀表示，J卡卡友只要綁定北富銀LINE官方帳號好友，點開一鍵調額功能，北富銀內部風險評核系統，就會自動核算出該卡可調高的額度上限，此時卡友可在此限額內選擇所需調高的額度，且能立刻生效，最多可持續60天。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">北富銀總經理程耀輝表示，相較於過往卡友出國旅遊，消費時發現信用卡額度不足，需要打電話回國，並等待審核確認的流程。一鍵調額的風險核算機制，是憑藉長期穩定審慎的風控經驗、新上線額度管理系統，以及大數據運算的結合運用，並對250多萬卡友進行持續的信用追蹤分析，才有辦法在安全穩定的前提下，即時提供調額空間。 </span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> LINE Bank </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 黃以孟 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">LINE喊出LINE Bank要成為臺灣金融獨角獸</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_LINE%20Bank%E9%BB%83%E4%BB%A5%E5%AD%9F_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" /></span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處執行長黃以孟，首度公開分享LINE Bank在臺發展願景，那就是打造臺灣第一隻本土金融獨角獸。他也提出了純網銀的未來樣貌，LINE Bank希望打造一個金融平臺，透過Open API與所有銀行對接，讓用戶一次掌握所有存款、消費金融、保險、基金投資等整合服務。黃以孟也提到，LINE Bank計畫打造個人信用分數，為信用記錄較不足的年輕族群，建立個人信用評級，而LINE Bank會主動去邀請用戶建立個人信用評級。且這些創新服務，也將與LINE平臺深度結合。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">LINE Bank籌備處也持續擴編臺灣團隊，需要科技、金融、資安、AI、大數據等人才。黃以孟指出，LINE Bank在人員的配置上，光是IT人員就會占總人數的一半以上。而針對初期的產品規畫，他也表示，會從簡單的金融產品如存款、個人信貸、銀行存放匯等開始做。而資安對純網銀很重要，所以，LINE Bank會導入日、韓總部資安防衛的能力和資源，藉此培養、訓練臺灣人才。他也宣布，若順利拿到純網銀執照，將會在銀行端成立人工智慧實驗室（AI Lab）。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 凱基銀 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> AI預測模型 </span></strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"> </strong></span><br /><strong style="font-size: 14pt; vertical-align: top;"><span style="vertical-align: top; font-size: 22px;">凱基銀揭露開發AI預測模型的POC成果，下一步將商轉進而複製到開發金旗下子公司</span></strong></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_%E5%91%A8%E9%83%AD%E5%82%91_%E6%94%9D%E5%BD%B1_%E6%9D%8E%E9%9D%9C%E5%AE%9C.JPG" style="font-size: 14pt;" /></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行、臺灣微軟與政治大學金融科技中心合作開發的「AI預測模型」，揭露了最新POC成果。在此次三方的合作下，他們發現小規模POC後的AI建模，成效可達人工建模標準，且AI建模所要花費的時間與人力，還可減少3分之2，而凱基銀行也認為，這表示AI演算法能突破人力處理資料量與複雜度的限制，增進預測模型的發展效率與準確度。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px;">凱基銀行創新科技金融處資深副總經理周郭傑表示，他們在發展AI的戰略，是採用小規模POC，再來是商轉，進而大規模複製等三個步驟，要運用AI技術串連起價值鏈。此次POC所展現的成果，讓凱基銀要展開AI建模的商轉運用，比如說利用AI建構信用評分模型，辨識出哪些客戶是從未與銀行往來的信用小白，並進一步評估個別信用小白客戶合適的貸款額度。待商轉成功，凱基銀就要開始大規模複製，推進開發金控旗下的子公司，形成創新文化生態體系。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> ATM </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 攻擊 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">研究：大多數ATM只要不到20分鐘就能攻陷</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">俄羅斯的漏洞安全解決方案供應商Positive Technologies近期公布一研究報告，該公司檢驗了市場上前三大ATM品牌—NCR、Diebold Nixdorf與GRGBanking，發現絕大多數的ATM（Automated Teller Machine，自動櫃員機）都能在20分鐘內，利用各種安全漏洞加以攻陷。Positive測試了上述三大品牌的10款ATM在不同配置下的安全性，總計測試了26臺ATM，發現有85％的ATM禁不起網路攻擊，69％的ATM可能遭受黑盒子（Black Box）攻擊，76％可被操縱以退出自助終端模式（kiosk）以便於作業系統上執行攻擊命令，還有92％的ATM允許駭客直接存取硬碟，另有42％可竄改開機模式，且所有的ATM都能被用來竊取金融卡資訊。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;"><strong style="vertical-align: top; color: rgb(255, 255, 255);"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 安聯人壽 </span> </strong></span><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong style="vertical-align: top;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 數位轉型 </span></strong></span><br /><strong style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 14pt;"><span style="vertical-align: top; font-size: 22px;">安聯人壽今年將全面發展數位化，兩大目標是業務流程再造與內部流程自動化工程</span></strong><br /><span style="vertical-align: top; font-family: 微軟正黑體, sans-serif; font-size: 18.6667px;">安聯人壽宣布2019年的數位化業務發展，一是未來營運轉型計畫與業務流程再造，安聯已開發了多項數位化工具，未來會加碼將金融科技全面應用到銷售系統上，另外也將計畫再次升級客戶服務。二是自動化工程，安聯人壽將著重於內部流程的自動化與優化，希望從後端開始改造，提供保戶更好體驗。安聯人壽營運長陳俊宏表示，安聯規畫將AI結合機器人流程自動化RPA，目前內部已開始進行POC，先測試在內部作業，如核保流程、理賠流程、反洗錢（AML）作業上，是否能否結合AI和RPA來提升自動化效果。他進一步揭露，DevOps將是安聯人壽今年一大重點，他們將透過安聯集團開發的標準，來建置敏捷式開發平臺，要運用DevOps相關工具與方法論，進行導入來提升開發與維運的效率，而總部也會派人來臺灣安聯，協助建置這個敏捷式開發平臺。安聯人壽過去自行開發了核心系統，當初設計時也保留很多彈性設計，更成了現在安聯數位轉型的重要基石。</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="vertical-align: top; font-size: 18.6667px;">圖片來源：</span><span style="vertical-align: top; font-size: 14pt;">攝影／</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">洪政偉、</span><span style="vertical-align: top; font-size: 14pt;">李靜宜</span><span style="vertical-align: top; font-size: 18.6667px;">；</span>臺灣網路認證公司、台北富邦銀行<br /><span style="vertical-align: top; font-size: 18.6667px;">責任編輯／李靜宜</span></p> <p style="vertical-align: top; margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><strong style="vertical-align: top; color: rgb(255, 255, 255); font-size: 18.6667px;"><span style="vertical-align: top; background-color: rgb(51, 153, 255);"> 金融科技近期新聞 </span></strong><br /><strong style="font-size: 14pt; vertical-align: top;">1. </strong><strong>超商龍頭7-ELEVEN加入台灣Pay通路，全臺四大超商通路共超過1萬個據點都能以掃碼方式完成支付</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">2.</strong></strong></strong><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;"> </strong></strong></strong><strong>想成功擁抱區塊鏈得先衡量自己的數位成熟度，瑞典政府有方法能讓企業自評</strong><br /><strong style="font-size: 14pt; vertical-align: top;">3. </strong><strong>新款Android木馬程式Gustuff鎖定金融程式與加密貨幣程式</strong><br /><strong style="font-size: 14pt; vertical-align: top;"><strong style="vertical-align: top; font-size: 14pt;"><strong style="vertical-align: top; font-size: 14pt;">資料來源：iThome整理，2019年4月</strong></strong></strong></p> </div></div></div>
2019/4/2 19:12作者李靜宜https://www.ithome.com.tw/news/129758
Cloudflare釋出使用WireGuard技術的VPN服務Warp，不只保護隱私還能加速連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路服務供應商Cloudflare宣布在其1.1.1.1行動裝置應用程式中，推出名為<a href="https://blog.cloudflare.com/1111-warp-better-vpn/">Warp的VPN服務</a>，該服務是建構在使用UDP協定的新型VPN技術WireGuard上，Cloudflare表示，Warp不只能夠保護用戶行動裝置的流量，還能加速網路連線並增加可靠性。即日起使用者可在1.1.1.1應用程式中申請加入Warp計畫。</p> <p>強調兼具速度以及隱私特性的公共DNS服務1.1.1.1，除了能提供DNS加密服務外，還能以極快的速度回應使用者的查詢，比目前思科、Google以及其他ISP業者提供的公共DNS服務都還要快。Cloudflare在2018年的11月，於Android與iOS平臺釋出1.1.1.1應用程式，讓使用者可以快速切換行動裝置的DNS設定。</p> <p>而現在使用者可以在1.1.1.1應用程式上，申請加入Cloudflare最新釋出的VPN服務Warp。Cloudflare提到，現在市面上的VPN服務存在許多問題，使用者安裝額外的應用程式，常獲得連線速度慢，而且還會增加裝置電量消耗的負面體驗，許多VPN服務更是打著保護使用者隱私的名義，卻背地收集使用者的資訊，販售定位廣告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Warp-On.png" style="width: 600px;" /></p> <p>Cloudflare在2017年併購Neumob，Warp服務整合了該公司的行動裝置最佳化技術，並使用為行動網路進行最佳化的WireGuard技術，Warp利用Cloudflare的全球網路，讓使用者在毫秒內就能連上網際網路，Cloudflare表示，經他們測試證實，Warp確實可以明顯地提高網際網路效能，而且使用者網路連接品質越差，Warp能提供越明顯的網路改善效果。</p> <p>Warp還能增加行動網路的可靠性，其使用的協定可以快速地讓服務從訊號中斷狀態恢復，能有效減輕使用者在搭乘電車等旅途歷經的訊號損失，藉此提升網路使用體驗。Cloudflare提到，Warp使用的WireGuard技術，不會大幅增加裝置耗電量，而且Warp還能透過重送（Retransmit）最小化手機無線訊號使用，避免手機位在多基地臺覆蓋的地點時，快速消耗裝置的電量。</p> <p>Cloudflare積極在WireGuard技術上耕耘，他們剛<a href="https://www.ithome.com.tw/news/129674">開源了一個BoringTun專案</a>，這是一個以程式語言Rust開發的WireGuard使用者空間實作，Cloudflare提到，WireGuard使用UDP協定，在行動網路上有良好的效能表現，雖不能保證封包傳送以及封包的順序，但是WireGuard目的只在安全的封裝IP封包，那簡單的UDP協定更適合。</p> <p>延續1.1.1.1隱私保護的優點，Cloudflare也對Warp服務做出承諾，他們保證不會將任何用戶可識別資料寫入磁碟，不會出售使用者瀏覽的資料，也不會以廣告資料定位使用者，使用者無論使用1.1.1.1還是Warp服務，都不需要提供姓名、電話或是電子郵件等個人資料，並由外部審計師定期監督Cloudflare履行承諾的狀況。</p> <p>Cloudflare在1.1.1.1應用程式提供免費的Warp服務，不過目前由於服務才剛開始，因此對外分階段釋出，使用者可以在1.1.1.1應用程式上排隊，當服務可用時應用程式會通知使用者，另外，他們也預計在未來推出Warp+高級服務。Cloudflare計畫為Warp服務加入Cloudflare Railgun壓縮傳輸服務、進階標頭壓縮、智慧型壅塞控制以及多重路徑路由等技術。</p> </div></div></div>
2019/4/2 15:59作者李建興https://www.ithome.com.tw/news/129751
Google修補Android 11項重大及高風險安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/security/bulletin/2019-04-01#2019-04-01-details" target="_blank">Google發佈安全公告</a>，修補了包括2項遠端程式碼執行（remote code execution, RCE）等在內11項高風險與重大漏洞。</p> <p>Google 4月1日發佈的安全修補程式中，<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2027" target="_blank">CVE-2019-2027</a>及<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2028" target="_blank"> CVE-2019-2028</a>的漏洞位於Android 媒體框架（Media framework），可讓攻擊者傳送變造過的檔案，進而在有權限情況下從遠端執行任意程式碼，被Google 研究人員列為重大風險等級。</p> <p>Google團隊另外還修補了9項高（High）風險漏洞，包括6項權限升級（elevation of privilege）漏洞。其中CVE-2019-2026位於Android框架，其他5項（CVE-2019-2030、CVE-2019-2031、CVE-2019-2033、CVE-2019-2034及CVE-2019-2035）位於作業系統中，可在讓裝置端的攻擊者不需使用者互動而取得更高權限。此外作業系統核心還包括3項可導致資訊洩露的漏洞：CVE-2019-2038、CVE-2019-2039、CVE-2019-2040，皆被列為高風險。</p> <p>除了少數漏洞外，大部份漏洞影響包括Android 7.0（7.1.1、7.1.2）、8.0/ 8.1及9等版本。所幸Google表示尚未接獲有開採或濫用上述漏洞的受害通報。</p> <p>主要Android廠商已在至少一個月前就獲得通報，包括Google Pixel和Nexus裝置、Samsung、Sony、LG、HTC、Nokia等品牌手機用戶，理應近日會接到更新通知，Google也會在48小時內，將修補程式釋出給Android開源碼專案（Android Open Source Project, AOSP）資料庫。</p> <p>此外，Google並預計在4月5日發佈第二波安全修補程式，修補作業系統中1項遠端程式碼執行（RCE）漏洞，以及2項權限升級與1項資訊洩露漏洞。4月5日的修補更新則可解決上述所有漏洞。</p> </div></div></div>
2019/4/2 13:05作者林妍溱https://www.ithome.com.tw/news/129742
Gmail滿15週年，改善智慧寫信和新增發送信件排程功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>Gmail是Google最成功的產品之一，推出至今滿15週年，為了慶祝Gmail這15年的進展，<a href="https://cloud.google.com/blog/products/g-suite/15-years-and-counting-making-gmail-work-faster-and-smarter-for-businesses">Google又為Gmail新增了幾項新功能，來協助用戶更有效率地工作</a>，包含智慧寫信（Smart Compose）功能現在能夠適應用戶的寫作模式，還能根據郵件內容建議標題，此外，Google也新增寄信排程功能，用戶可以先完成信件並指定未來的寄送時間，Gmail會在指定時間發出郵件。</p> <p>Gmail從一開始內建1GB免費儲存空間的基本電子郵件服務，到現在加入了多項智慧功能，包含優先郵件、智慧標籤、自動垃圾郵件過濾、智慧寫信等，其中，Google指出，智慧寫信功能每周在網頁上，已經為用戶減少輸入超過10億個字元，現在，該功能可以適應用戶書寫問候語的方式，舉例來說，若用戶比較喜歡用Hey而不是Hi，智慧寫信會學習而該功能也已經支援Android系統，iOS系統也會在近期支援，目前智慧寫信功能也新增了對西班牙語、法語、義大利語和葡萄牙語的支援。</p> </div></div></div>
2019/4/2 10:39作者何維涓https://www.ithome.com.tw/news/129737
資安一周第36期：針對WinRAR漏洞的多種的攻擊手法相繼現身。新款Android木馬Gustuff鎖定金融與加密貨幣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><strong style="vertical-align: top; color: rgb(51, 153, 255);">0328-0403一定要看的資安新聞</strong></h3> <p> </p> <h3><span style="color:#B22222;"><strong>＃軟體安全　＃WinRAR</strong></span></h3> <h2><strong>針對WinRAR漏洞的多種的攻擊手法相繼現身，用戶可要小心</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Picture19_FireEye.png" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／FireEye</span></p> <p>今年2月曝光的WinRAR安全漏洞CVE-2018-20250，有越來越多資安業者相繼披露鎖定該漏洞的攻擊樣本。</p> <p>例如，最近FireEye發現的「Scan_Letter_of_Approval .rar」，是假冒美國社會工作教育協會（CSWE）申請許可，實則暗藏一個可與遠端伺服器交流的VBS後門程式。還有鎖定對象是以色列軍事產業的「SysAid-Documentation.rar」，它偽裝成來自IT服務管理軟體業者SysAid。在其他誘餌內容上，包括烏克蘭前任總統所發出的產官合作訊息，以及外洩帳密檔案等。</p> <p>研究人員警告，短期內之所以能看到如此五花八門的WinRAR漏洞攻擊樣本，除了因為WinRAR擁有5億的龐大用戶，也因WinRAR缺乏自動更新機制，再加上CVE-2018-20250非常容易開採，相信未來會有更多的駭客繼續利用該漏洞。因此，WinRAR用戶應儘速升級至5.70版。<a href="https://www.ithome.com.tw/news/129648"><span style="color:#A9A9A9;">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Android行動安全　＃木馬程式</strong></span></h3> <h2><strong>新款Android木馬Gustuff橫行，鎖定金融與加密貨幣程式</strong></h2> <p>在3月28日，資安業者Group-IB揭露功能強大的Android金融木馬程式Gustuff。它的主要感染途徑，是藉由簡訊傳送惡意APK檔案連結予Android用戶，一旦Android用戶下載並安裝了Gustuff，它就能接收遠端伺服器的命令，傳送惡意簡訊給裝置上的聯絡人，擴大感染範圍。</p> <p>Gustuff將能顯示基於合法程式圖示的假通知，當使用者點選該通知時，可能會出現兩種結果，第一種是金融木馬最常見的竊取手法，跳出要求使用者輸入帳密的視窗，第二種則是開啟合法程式，然後在付款欄位自動填入支付資訊以進行非法轉帳。此外，Gustuff還能危及PayPal、Western Union、eBay、Walmart、Skype與WhatsApp等應用。除了竊取金融憑證或盜轉之外，亦可將受駭裝置上的簡訊、螢幕截圖或照片傳送到遠端伺服器。<a href="https://www.ithome.com.tw/news/129672"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃防毒軟體　＃數位簽章</strong></span></h3> <h2><strong>華碩緊急釋出ShadowHammer鎖定目標偵測工具，卻遭微軟誤判為惡意程式</strong></h2> <p>在3月26日，國外媒體Motherboard與卡巴斯基揭露ShadowHammer供應鏈攻擊事件，其中華碩軟體更新Live Upadte伺服器遭入侵。值得注意的是，國外資安研究人員GiuGiuseppe `N3mes1s`在推特上公布，華碩所釋出可自行檢查是否為攻擊鎖定的ASDT檢視工具，遭到微軟內建防護工具Windows Defender誤判為惡意程式。</p> <p>據資安研究專家指出，一般而言，所有的防毒公司都會把用來進行軟體發行簽章的數位憑證當做白名單的依據，但是，華碩遭到駭客入侵冒用的數位簽章並未註銷（revoke），也導致許多資安公司可能會誤判華碩釋出的偵測工具。<a href="https://www.ithome.com.tw/news/129613"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃2019企業企業大調查</strong></span></h3> <h2><strong>【iThome 企業資安大調查】</strong><strong>臺灣企業資安投資力道回穩，今年更聚焦網安和災難復原</strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89913%20%E5%B0%81%E9%9D%A2-P29-600-4(1).png" style="width: 220px; float: right;" /></p> <p>根據最新iThome企業資安大調查結果，從資安投資規模來看，今年的資安投資成長率，從去年的73％暴漲，回穩到10.2％，而從產業來看，去年金融業和服務業的資安預算大增，甚至翻倍成長，今年則指有些微提高。</p> <p>但去年預算緊縮的醫療業，受到資安法上路的衝擊，開始對醫院有更多的資安要求和規範，醫療業今年的資安投資翻了3倍，居各產業之冠。此外，今年重視網路安全的企業更多了，甚至超越了IT基礎架構防護的排名，成了排名第一的資安重點。另一個今年崛起的投資重點是災難復原（DR），而今年也有8.6％的企業，準備要來提升董事會和CEO的資安意識，將資安意識的教育，拉高到高層。<a href="https://www.ithome.com.tw/article/129615"><span style="color:#A9A9A9;">更多內容</span></a><span style="color: rgb(169, 169, 169);">　相關報導：</span><a href="https://www.ithome.com.tw/article/129708">【iThome 企業資安大調查】企業今年資安投資重點為何？</a>　<a href="https://www.ithome.com.tw/article/129717">【iThome 企業資安大調查】今年資安人才有多搶手？</a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃連網汽車安全　＃漏洞獎勵競賽</strong></span></h3> <h2><strong>Pwn2Own：研究人員成功入侵Tesla Model 3</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%891000w_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90ZDI.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／ZDI</span></p> <p>今年的Pwn2Own駭客競賽首度新增了汽車類別，攻擊目標包括數據機、藍牙或Wi-Fi、車載資訊娛樂系統、自動駕駛系統、自動駕駛的服務阻斷與感應鑰匙等，獎金則從3.5萬美元到25萬美元不等。</p> <p>其中，Fluoroacetate團隊鎖定的是車載資訊娛樂系統，它採用的是基於Chromium的網路瀏覽器。該團隊經過幾分鐘的設定，利用瀏覽器描繪引擎的即時編譯（JIT）漏洞，成功於系統上顯示了自己的訊息，這讓該團隊抱走了3.5萬美元的獎金與一輛Tesla汽車。主辦單位ZDI表示，他們希望藉由Tesla的創舉能夠鼓勵更多與連網汽車有關的安全研究。<a href="https://www.ithome.com.tw/news/129607"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃技術支援詐騙</strong></span></h3> <h2><strong>以假掃描誘騙客戶購買服務，Office Depot及Support.com與FTC以3,500萬美元和解</strong></h2> <p>假冒的技術支援詐騙橫行之外，也有支援服務商以不實掃描結果來欺騙客戶的狀況。近期美國辦公零售業者Office Depot與技術支援服務供應商，在遭到檢舉及調查屬實後，雙方分別以2,500萬美元及1,000萬美元與美國聯邦交易委員會（FTC）和解。根據調查，兩家業者自2009年起，便以個人電腦健檢軟體PC Health Check替客戶改善電腦效能，同時掃描電腦上的安全威脅與惡意程式，然而，FTC卻發現，就算PC Health Check沒有偵測到惡意程式或威脅，也會僅依據軟體提問時的客戶回答，於偵測結果中顯示電腦受到感染，誘騙客戶購買技術支援服務。<a href="https://www.ithome.com.tw/news/129639"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃打擊假訊息　＃事實查核　＃公私協力</strong></span></h3> <h2><strong>LINE謠言查證官方帳號預計六月底上線，要聯手行政院、民間組織打擊假消息</strong></h2> <p class="rteright"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89converge2019photo005_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90LINE.jpg" style="width: 220px; float: right;" /></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／LINE</span></p> <p>假消息的議題在近幾年迅速發酵，最近，LINE預計在六月底推出「LINE謠言查證」官方帳號，用戶只要將有疑慮的內容傳發至其中，就能進一步釐清消息的真偽。在這項服務中，也與多家業者及單位合作，例如台灣事實查核中心、Cofacts真的假的、MyGoPen，以及蘭姆酒吐司。</p> <p>除了開發官方帳號之外，LINE也要將查證內容定期發布在LINE Today的「謠言破解」專區，而此處未來也會用RSS feed介接行政院「政院即時澄清專區」的內容，讓行政院的澄清文同步在LINE Today上更新，民眾也能即時掌握官方對國內重大消息，例如國安、交通、災防、食安等方面的最新說法。<a href="https://www.ithome.com.tw/news/129633"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h3><span style="color:#B22222;"><strong>＃Jenkins漏洞　＃挖礦攻擊</strong></span></h3> <h2><strong>Jenkins漏洞公布後兩天即遭利用，並假冒漏洞發現者測試之名但實為攻擊</strong></h2> <p class="rteright"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89e8e60bc0ly4g1g5662dk0j20u00c7t8u%EF%B9%8D%E9%98%BF%E9%87%8C%E9%9B%B2%E5%AE%89%E5%85%A8%E5%BE%AE%E5%8D%9A.jpg" style="width: 220px; float: right;" /><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／阿里雲安全</span></p> <p>在3月底，阿里雲安全在部落格公布透過Jenkins RCE漏洞進行攻擊的挖礦事件。值得注意的是，該Jenkins系列漏洞是由臺灣滲透測試專家Orange Tsai在今年1月中對外揭露。他是在去年5月30日通報Jenkins，而他們的團隊從去年6月15到今年1月8日，也陸續將此一系列漏洞修補完畢。</p> <p>根據阿里雲安全的說明，有攻擊者直接複製了攻擊發現者在部落格上公布的概念性驗證，且攻擊payload含有Orange.tw字樣，可能被誤認為是漏洞發現者在進行測試，因此他們將該木馬命名為ImposterMiner（冒充者）。更值得關注的是，由於木馬開始爆發與漏洞公開的時間相隔甚短，僅有兩天。他們提醒用戶，應即時升級Jenkins相關的各種軟體。<a href="https://www.weibo.com/ttarticle/p/show?id=2309404354092955750457#_0"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p> <p> </p> <h4><strong><span style="color: rgb(0, 153, 255);">更多資安動態</span></strong><br /><strong><a href="https://www.ithome.com.tw/news/129669">英國檢查華為電信設備發現新風險，確認其軟體工程與網路安全品質有重大缺陷</a><br /><a href="https://www.ithome.com.tw/news/129602">因應新變種Mirai殭屍網路病毒攻擊來襲，合勤呼籲路由器用戶應儘速安裝最新韌體</a><br /><a href="https://www.ithome.com.tw/news/129541">降低網路攻擊或災損從事前防範做起，澳洲政府實施八大減緩策略</a><br /><a href="https://www.ithome.com.tw/news/129682">Google工程師揭露TP-Link路由器含有可執行任何命令的安全漏洞</a><br /><a href="https://www.ithome.com.tw/news/129726">甲骨文「通知」用戶付費取得Java 8安全修補程式，否則小心被駭</a><br /><a href="https://www.ithome.com.tw/news/129684">研究人員：HTTPS不如你想的安全，5.5%含有TLS漏洞</a><br /><a href="https://www.ithome.com.tw/news/129693">豐田汽車遭駭客集團鎖定？澳洲、日本、越南皆淪陷</a></strong></h4> </div></div></div>
2019/4/2 10:44作者羅正漢https://www.ithome.com.tw/news/129740
Android開源專案簡化冗餘應用程式，從音樂播放器、日曆和計算機先開刀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google為更聚焦Android開源專案（Android Open Source Project，AOSP）的目的，使專案中應用程式專注支援Android平臺功能，所以開始整理專案中的應用程式，目前已經清理完三個應用程式，除<a href="https://android-developers.googleblog.com/2019/03/aosp-application-updates.html">了簡化音樂播放器以及日曆的功能外，還將計算機應用程式從AOSP專案中刪除</a>。</p> <p>AOSP提供一系列可用的應用程式，除了可以為建構Android裝置的廠商提供一系列可用的應用程式外，也能夠當作Android開發人員的範本，提供建置應用程式的參考，另外，這些應用程式也可以成為平臺的一部分，讓其他應用程式透過API呼叫應用程式的功能。</p> <p>但Google提到，隨著Android生態系逐漸成熟，社群中無論是開源或是私有的替代實作都逐漸增加，這些應用程式不只提供開發者範例，通常也具備夠豐富而足以展示Android的功能，因此Google從去年底開始著手清理AOSP中的應用程式，將AOSP專案應用程式的目標，鎖定在成為平臺的一部分，提供其他Android應用程式可呼叫的功能。</p> <p>目前Google已經清理了三個應用程式，包括音樂播放器（下圖左）、日曆（下圖右）以及計算機。音樂播放器現在只提供一首音樂或是一個檔案的播放功能，並且對外公開作為android.media.browse.MediaBrowserService的意圖處理程序（Intent Handler），播放器仍然具備基本的播放控制功能，包括播放、暫停、向前以及向後等控制元件，但是音樂圖標、表演者、專輯、歌曲、播放列表、搜尋和設定的功能都被移除了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image1(10).png" style="width: 290px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/image2(7).png" style="width: 310px;" /></p> <p>而AOSP日曆現在則為公開的日曆事件意圖處理程序，無法創建新事件，也不能編輯或是刪除既有事件，只提供日、週以及月的檢視圖，而多帳戶支援、提醒和設定功能都已經被刪除了，未來可能還會再簡化。計算機因為本身是一個獨立的應用程式，因此從ASOP專案中刪除，不過仍然會成為一個獨立的開源應用程式存在。</p> </div></div></div>
2019/4/1 17:05作者李建興https://www.ithome.com.tw/news/129722
Cloudflare開源WireGuard使用者空間實作釋出BoringTun專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p> </p> <p><a href="https://blog.cloudflare.com/boringtun-userspace-wireguard-rust/">Cloudflare發布了BoringTun專案</a>，這是一個以程式語言Rust撰寫的WireGuard協定使用者空間實作，而WireGuard則是一個新型的VPN公用程式與協定。Cloudflare提到，Rust具有C++的執行速度，而且具備高度記憶體安全，甚至比Go還安全，是跨平臺應用程式的好選擇。</p> <p>WireGuard是一個很新的通用VPN開源專案，能夠建立安全的點對點網路連接通道，原本是整合在Linux核心中，現在被發展成跨平臺的VPN解決方案，其目標是取代IPsec以及OpenVPN這類基於TLS的VPN技術。相對於傳統VPN來說，WireGuard使用較新且更簡單快速的技術，以雜訊協定框架（Noise Protocol Framework ）建構，並採用一系列現代加密演算法，在公鑰操作使用X25519，在授權認證加密使用ChaCha20-Poly1305，而在訊息認證則採用Blake2。</p> <p>Cloudflare尋求符合自家需求的WireGuard實作，他們需要WireGuard實作在使用者空間運作，執行速度快，且能跨平臺在Linux、Windows、macOS、iOS和Android上執行。雖然目前存在數種WireGuard實作方式，但不是與特定平臺綁定，就是不在使用者空間執行，跟Cloudflare需求最相近的則是wireguard-go專案，但是經過他們進行的基準測試，wireguard-go的效能遠低於在Linux核心運作的WireGuard核心模組，Cloudflare提到，Go適合用來撰寫伺服器，但是卻不適合用來處理原始封包，而這項工作卻是VPN的本質。</p> <p>在語言選擇上，雖然C和C++的執行效能都很好，但是Cloudflare提到，經證明這兩個語言的記憶體模型在現代加密與安全導向的專案太過脆弱，而wireguard-go專案也顯示出Go的缺點，Rust則是現代且安全的程式語言，能提供跟C++一樣的執行效率，不只提供高度記憶體安全性，還具備更安全的並行規則，整體來說比Go更安全，同時還提供大量的平臺選擇，可以簡單地發布跨平臺應用程式。</p> <p>WireGuard有另一個Rust的實作wireguard-rs，但是Cloudflare表示，該專案還相當不成熟，因此決定自行打造。Cloudflare表示，WireGuard專案是所以名為BoringTun，是對Google的BoringSSL致敬，BoringSSL消除了OpenSSL的複雜性，他們認為，WireGuard很有機會對傳統VPN協定做出相同的貢獻，成為未來類VPN技術的標準。</p> <p>目前BoringTun仍在Cloudflare內部的安全審查階段，還不適合用於關鍵工作，但是使用者可以在<a href="https://github.com/cloudflare/boringtun">GitHub</a>中取得程式碼，該專案以BSD 3-Clause授權開源。</p> </div></div></div>
2019/4/1 10:24作者李建興https://www.ithome.com.tw/news/129674
新款Android木馬程式Gustuff鎖定金融程式與加密貨幣程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.group-ib.com/media/gustuff/" target="_blank">資安業者Group-IB於本周揭露一款功能強大的Android金融木馬程式Gustuff</a>，它瞄準市場上超過100款金融程式與32款加密貨幣程式，除了可竊取使用者的金融憑證之外，還能自動執行交易。</p> <p>Gustuff主要的感染途徑是藉由簡訊傳送惡意APK檔案連結予Android用戶，一旦Android用戶下載並安裝了Gustuff，它就能接收遠端伺服器的命令，傳送惡意簡訊給裝置上的聯絡人，進一步擴大感染範圍。</p> <p>Gustuff能夠顯示基於合法程式圖示的假通知，當使用者點選該通知時，可能會出現兩種結果，一是跳出要求使用者輸入憑證的視窗，二是會開啟合法程式，然後在付款欄位自動填入支付資訊以進行非法轉帳。</p> <p>第一種是金融木馬最常見的手法，目的是為了竊取使用者的金融憑證。第二種則有賴於Gustuff的獨特能力：自動轉帳系統（Automatic Transfer Systems，ATS），ATS能夠自動填入或竄改金融程式中的欄位。</p> <p>為了執行ATM，Gustuff利用了Android平台上的「輔助」（Accessibility Service）服務以繞過金融程式的安全機制，讓Gustuff得以與這些金融程式互動，進而執行非法轉帳。此外，Gustuff也能關閉Google Protect功能，且成功率高達7成。</p> <p>Gustuff不只鎖定眾多的金融與加密貨幣程式，還能危及各種市集、線上商店、支付系統或傳訊程式，涵蓋PayPal、Western Union、eBay、Walmart、Skype與WhatsApp等。且除了竊取金融憑證或盜轉之外，亦可將受駭裝置上的簡訊、螢幕截圖或照片傳送到遠端伺服器，或是自遠端將裝置回復成出廠預設值。</p> <p>Group-IB是在去年的4月於駭客論壇上發現了Gustuff，駭客並以每月800美元的價格兜售Gustuff殭屍網路。</p> <p>有趣的是，Gustuff是由俄羅斯駭客所打造，但主要的感染範圍或鎖定的金融機構都是在俄羅斯以外，在Group-IB負責安全情報分析的Rustam Mirkasymov表示，這是因為俄羅斯政府最近大舉掃盪境內的Android殭屍網路並逮捕相關駭客，才使得當地駭客將目標轉移到國際市場。</p> </div></div></div>
2019/3/29 15:35作者陳曉莉https://www.ithome.com.tw/news/129672
Azure認知服務新增辨識異常事件的能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/zh-tw/blog/new-updates-to-azure-ai-expand-ai-capabilities-for-developers/">微軟更新雲端人工智慧服務Azure認知服務（Azure Cognitive Services）</a>，加入了異常檢測器（Anomaly Detector）預覽版本，幫助企業以人工智慧識別特殊事件，也改進了自定義視覺（Custom Vision）功能，讓使用者能更準確地辨識圖像中的物件。</p> <p>Azure認知服務來自微軟研究院研發，或是Bing搜尋引擎背後的人工智慧技術，微軟將其轉為方便使用的API，開發人員使用這些API就能快速地將視覺辨識、語音、語言、知識與搜尋五大類人工智慧服務，放到自家的應用程式或是服務中。</p> <p>新加入的異常檢測器（Anomaly Detector）可以用來偵測資料中的異常模式或是罕見事件，進而可被用於偵測盜刷信用卡等情境。</p> <p>透過單一的API，使用者就能夠將異常檢測服務嵌入到應用程式中，常見的使用案例包括辨識商業事件和文字錯誤，也能監控物聯網裝置流量以及偵測詐欺等。微軟表示，這個異常檢測器已經在Azure以及其他微軟核心產品等200多個團隊中使用。</p> <p>另外，微軟改進自定義視覺功能，以強化對圖像辨識案例的支援。透過機器學習，自定義視覺讓開發人員可以快速地建構、部署和改善自定義圖像分類器，以精準辨識圖像中的內容。開發人員可以訓練自己的分類器，以辨識場景中的內容，或者將自定義分類器輸出，用於iOS、Android以及其他邊緣應用上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/57ea83d7-6599-4246-9c2d-d53d3417211e.png" style="width: 600px;" /></p> <p>微軟強化自定義視覺功能，現在提供高品質模型，其獲得全新的機器學習後端支援，可以處理更具挑戰性的資料集，並且進行更精細的分類，使用者可以指定計算時間，自定義視覺功能便會找出最佳訓練和增強的配置。另外，現在自定義視覺輸出的模型，還針對行動裝置進行最佳化，在高吞吐量的情況下，仍然能執行高精度的預測，輸出的分類器還支援樹莓派3與Vision AI Dev Kit。</p> <p>開發者現在可以使用REST API與SDK 3.0，快速地將自定義視覺功能整合進應用程式中，其端到端工作管線支援模型迭代改進，使用者可以一次一次的快速修正模型，在真實環境中快速的訓練模型，並使用收集的資料來改進模型，讓模型達到產品階段的品質。</p> </div></div></div>
2019/3/28 11:17作者李建興https://www.ithome.com.tw/news/129631
Google促開發者升級Google Play Developer API至最新版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年推出Google Play Developer API第三版後，<a href="https://android-developers.googleblog.com/2019/03/changes-to-google-play-developer-api.html">Google預告第一版與第二版API將在2019年12月1日停止使用</a>，從五月開始則會在Google Play控制臺，對使用舊版API的應用程式發出警告。</p> <p>Google Play Developer API提供訂閱以及應用程式內購買的功能，開發者可以用來自動化應用程式內結算，還有應用程式發布工作流程。第三版本讓開發者可以在生產、開發測試、封閉測試以及內部測試頻道，控制應用程式發布的各階段，包括開始、管理以及暫停，另外，還進一步改善與簡化管理工作流程的方式。</p> <p>現在Google要求使用Google Play API客戶端函式庫的應用程式，應該升級至最新第三版本的API，該版本完全相容舊版本的功能，Google提到，許多第三方外掛程式都已經開始支援第三版API，如果開發者使用的外掛程式還不支援新版，應該主動聯繫維護人員。</p> <p>對於還在使用第一版API的開發者，在轉換使用第三版API之前，需要先將專案連結到Google Play控制臺。</p> </div></div></div>
2019/3/28 11:14作者李建興https://www.ithome.com.tw/news/129626
UC Browser暗藏中間人攻擊能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.drweb.com/show/?i=13176&c=38&lng=en&p=0" target="_blank">俄羅斯資安業者Dr. Web本周警告</a>，他們發現了Android平台上熱門的UC瀏覽器（UC Browser）能夠載入任意軟體模組，而且是以未加密的HTTP協定與遠端伺服器通訊，暗藏中間人攻擊能力，且該程式在Google Play上的安裝數量已經超過5億。</p> <p>UC瀏覽器為中國優視科技所開發的瀏覽器產品，阿里巴巴在2014年收購了優視科技，並建立UC行動事業群。UC行動事業群除了持續開發基本的UC瀏覽器之外，還打造了專門下載影片的輕薄UC Browser mini，在Google Play上亦有1億以上的安裝數量。</p> <p>Dr. Web指出，該公司偵測到UC瀏覽器具備了可繞過Google Play伺服器並下載輔助軟體的能力，而此一作法已違反Google的規定。</p> <p>根據Google Play的開發者政策，藉由Google Play散布的應用程式不得透過該平台更新機制以外的任何方法進行變更、替換或更新，也規定程式不得自Google Play以外來源下載可執行的檔案。</p> <p>然而，Dr. Web卻發現UC瀏覽器從遠端伺服器下載了可執行的Linux函式庫，雖然該函式庫是為了支援Office及PDF文件，並無不良企圖，但這既是個可執行的檔案，也繞過了Google Play的伺服器，明顯違反Google準則，且此一更新功能從2016年起便已存在。</p> <p>此外，UC瀏覽器與遠端伺服器之間的通訊是採用未加密的HTTP協定，含有潛在的中間人攻擊（man-in-the-middle attacks，MitM）威脅，允許駭客將流量導至惡意網站以下載惡意模組，由於UC瀏覽器可執行未簽署的外掛程式，代表該模組不必經過驗證就能執行。</p> <p>Dr. Web認為，就算優視沒有不良企圖，但這樣的作法是有風險的。沒有人能夠保證該機制不會遭到駭客開採，利用惡意模組指使瀏覽器顯示網釣訊息，以竊取使用者的各種憑證，或是植入木馬程式來存取使用者的機密資料。</p> <p>而另一款UC Browser mini同樣也具備下載模組元件的能力，只是它並不存在中間人攻擊的威脅。</p> <p>Dr. Web已經知會優視與Google，但並未獲得這兩家業者的回應，目前這兩個程式仍然安好地處於Google Play上。</p> </div></div></div>
2019/3/27 16:45作者陳曉莉https://www.ithome.com.tw/news/129623
臉書提供白帽設定以利安全研究人員尋找漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了協助漏洞獵人能夠更方便地在臉書平台與行動程式上執行安全研究，<a href="https://www.facebook.com/notes/facebook-bug-bounty/security-testing-for-mobile-apps-made-easy/2528930930454451/" target="_blank">臉書（Facebook）最近推出了白帽設定（White Settings）功能</a>，當漏洞獵人啟用白帽設定之後，即可突破臉書既有的安全機制，以利他們展開測試。</p> <p>臉書的行動程式通常會整合各種安全機制，例如其中之一的Certificate Pinning能夠自動拒絕採用偽造SSL憑證的網站連結。臉書說，這些機制雖是為了確保使用者資料傳輸的安全性，但同樣地它們也替想要尋找安全漏洞的白帽駭客們築高了測試門檻。</p> <p>於是臉書決定透過白帽設定降低程式的安全能力，以讓漏洞獵人們更容易以行動程式來測試伺服器端的安全漏洞。</p> <p>白帽設定主要有3個選項，一是允許使用者憑證，二是啟用Platform API請求代理機制，三則是關閉臉書對TLS 1.3的支援，最後一項是為了因應那些只相容於TLS 1.2的Burp Suite或Charles等測試工具。</p> <p>漏洞獵人必須先至臉書的白帽駭客網頁啟用白帽設定，選擇欲採用這些設定的行動程式（Facebook、Messenger或Instagram），之後即可於行動程式上看到該設定並啟用它。目前此一設定僅支援Android平台上的各項臉書程式，並不支援iOS平台。</p> <p>由於白帽設定基本上是降低了臉書各項程式的安全性，因此臉書也建議研究人員在非測試期間最好將它關閉。</p> </div></div></div>
2019/3/27 16:51作者陳曉莉https://www.ithome.com.tw/news/129624
RedMonk熱門程式語言排行榜出爐：Kotlin首度擠進前20名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定軟體開發領域的分析業者RedMonk根據GitHub專案所使用的程式語言及Stack Overflow社群的討論程度，<a href="https://redmonk.com/sogrady/2019/03/20/language-rankings-1-19/" target="_blank">公布了今年的熱門程式語言排行榜</a>，顯示出Android平台上的開發語言Kotlin依舊快速成長，從2017年的第65名、<a href="https://redmonk.com/sogrady/2018/08/10/language-rankings-6-18/" target="_blank">2018年的第28名</a>，到今年首度擠進前20名。</p> <p>由JetBrains在2011年打造的Kotlin是個跨平台且靜態的通用型程式語言，它能與Java互動，其標準函式庫的JVM版本亦仰賴Java Class Library，且在2017年5月正式被Google納入Android Studio，成為Android平台上的官方支援語言之一，Google去年甚至在GCP上發表了Kotlin專用的入口網站。</p> <p>根據StackOverflow去年的調查，Kotlin已成為開發人員第二喜歡的程式語言，僅次於Rust。而Google去年10月的統計則顯示，Google Play上前1,000名Android程式中，有27%是以Kotlin撰寫，而且開發人員對Kotlin的滿意度高達97%。</p> <p>開發人員對Kotlin讚譽有加之處包括它簡單又強大、比Java安全、能與Android Studio無縫整合、Jetbrains及Google持續改善Kotlin、受到許多知名開發商的採用，以及可支援任何基於JVM的裝置等，也有些人認為它是Android平台上最有機會取代Java的語言。</p> <p>目前Kotlin在RedMonk排行榜上位居第20名，是該排行榜進步最快的程式語言，其它上榜的依序是JavaScript、Java、Python、PHP、C#、C++、CSS、Ruby、C、Objective-C、Swift、TypeScript、Scala、Shell、Go、R、PowerShell、Perl與Haskell。</p> <p>其中，TypeScript也從16名上升到12名，Go與R雙雙下滑一名。此外，包括Clojure、Groovy及Scala等其它基於JVM的程式語言就不像Kotlin這麼順利了，Clojure、Groovy分別跌落3個名次共處24名，下滑一個名次的Scala則佔據第13名。</p> </div></div></div>
2019/3/26 11:35作者陳曉莉https://www.ithome.com.tw/news/129587
Google改進Android App Bundle，開發者可以按需安裝與卸載App模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google為縮小Android應用程式安裝容量，在去年的時候發布了<a href="https://android-developers.googleblog.com/2019/03/the-latest-android-app-bundle-updates.html">Android App Bundle，而現在加入了新的更新</a>，加入附加語言安裝API，同時也簡化了即時（Instant）應用程式App Bundle的發布程序，也改善了Google Play應用程式簽章提供了新的選項，除此之外，現在開發者還可以按需要卸載應用程式模組，進一步減少容量占用。</p> <p>由於Android應用程式日漸肥大，不只減少使用者安裝應用程式的慾望，還會增加應用程式被移除的機率，而且多數開發者不願為各種規格的裝置，維護各自的APK，因此用一個APK通吃所有裝置的結果，便是APK中包山包海，使用者下載的安裝檔中包含了許多用不到的檔案。因此Google提出了Android App Bundle解決方案，開發者上傳適用所有裝置的安裝內容，再由Google Play來跟據使用者的裝置，提供個別所需要的安裝檔案。</p> <p>Android App Bundle因為不只能減少應用程式容量，也簡化了發布流程，因此獲得不少開發人員的支持，目前已經有超過6萬個應用程式，使用Android App Bundle格式發布。而根據開發者的回饋，Google對Android App Bundle做出了幾點更新。</p> <p>過去當開發者以Android App Bundle作為應用程式發布格式時，Google Play只能透過裝置的區域設定，提供語言資源最佳化，當使用者在安裝應用程式之後，更改系統區域設置，則Google Play會自動下載所需的資源。而從最新的Play Core函式庫 1.4.0開始，Google推出了新的附加語言API，開發者可以在應用程式提供語言選擇器，應用程式可以請求Google Play立刻安裝需要的語言資源，讓使用者能順利開始使用。</p> <p>在Android Studio 3.3中，開發者可以在單一專案中建構同時包含一般與即時應用程式的App Bundle，但是在上傳至Google Play時，仍然必須上傳兩個單獨的App Bundle，不過這次更新後已經沒有這個限制了，開發者可以在Play控制臺上傳內含即時體驗模組的單一App Bundle，並在發布新的即時應用程式時進行選擇即可。Google表示，安裝版本以及即時版本使用相同版本的程式碼，而這將簡化發布工作流程。</p> <p>而由於開發者需要啟用Google Play應用程式簽章，才能使用Android App Bundle發布應用程式，並且獲得動態交付（Dynamic Delivery）最佳化，Google提到，根據開發者的回饋，Google修改了新應用程式的註冊流程，讓開發者能更簡單地初始化用於應用程式簽章的金鑰。開發者不需要先上傳自簽章檔案，只要上傳現有金鑰就可以了，或是選擇Google Play生成金鑰，讓用於簽署本地端App Bundle成為上傳用金鑰。</p> <p>另外，Google讓開發人員可以永久卸載應用程式初始安裝中的動態功能模組，Google提到，這項改變將能進一步縮小應用程式的容量，當使用者初次下載應用程式後，部分模組像是註冊功能將不再使用，開發者就可以設定將其卸載，即便在之後更新也不會被重新安裝，當然，當使用者再次需要使用註冊功能時，可以按需安裝回來。</p> </div></div></div>
2019/3/25 11:36作者李建興https://www.ithome.com.tw/news/129542
一周大事：2019臺灣資安大會登場，蔡英文強調資安3戰略。工研院視網膜病變AI診斷技術獨步全球
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px;"><strong>2019臺灣資安大會登場，蔡英文：強化政府資安聯防能量、培育產業及資安人才</strong></span></p> <p>由iThome主辦的2019臺灣資安大會於3月19日正式展開三天活動，總統蔡英文親自蒞臨致詞，並表示未來政府會繼續投入完備資安基礎環境、強化中央及地方聯防體驗，提升國內資安產業能量以及培育資安人才。</p> <p>iThome總編輯暨臺灣資安大會主席吳其勳表示，今年是臺灣資安大會成立的第五年，從一開始千人規模的會議，到如今來自20多個國家，超過8千人報名參加的盛況，特別是今年邀請到總統到場，給予國內資安產業鼓勵，今年資安大會也擴大為資安週，有超過250場演講，探討資安的各個面向，還有超過80家全球資安品牌，展示最新資安防禦技術，成為亞洲地區受注目的資安會議。</p> <p>今年臺灣資安大會也邀請到國際知名資安專家Bruce Schneier以及亞馬遜全球漏洞獎勵計畫兼亞馬遜日本資安長陳浩維等知名資安專家擔任主講。<a href="https://ithome.com.tw/news/129439" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>工研院領先Google一步！國產糖尿病視網膜病變AI診斷技術獨步全球</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_from_ios_2_1.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">攝影_王若樸</span></p> <p>近年來，世界各地吹起一波醫療影像AI浪潮。隨著這波風潮，工研院更在2年前，就著手打造國產糖尿病視網膜病變AI輔助診斷系統，這套系統，不僅能將視網膜病變的嚴重程度分為5級，讓醫生能依此進行恰當的治療方式，還可以標示出4種肉眼難以辨識的初期病徵位置，讓病患及早發現問題、及早治療。<a href="https://www.ithome.com.tw/news/129368" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>總統盃黑客松開跑，邀全民一起來許願</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B8%BD%E7%B5%B1%E7%9B%83%E9%BB%91%E5%AE%A2%E6%9D%BE.png" style="width: 500px;" /></p> <p>第二屆總統盃黑客松在3月17日到4月14日開放報名，這次競賽在官網設立「公民許願池」，開放民眾提出待解決的問題，鼓勵參賽的高手運用政府開放資料幫大家解決問題。<a href="https://www.ithome.com.tw/news/129381" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>2018年度十大網站攻擊技法出爐，臺灣資安專家研究再獲全球肯定，連續兩年蟬聯第一</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_2018_web_hacking_techniques_660x420_portswigger.jpg" style="width: 500px;" /></strong></span></p> <p>2018年度網站攻擊技術的前十名，已經正式公布，共有59項提名，歷經兩個月的社群投票活動，產生去年最值得關注的新研究。這項活動不僅是讓滲透測試的安全人員，可以從中獲得啟發，而網站安全人員，也能關注到最新的攻擊趨勢。值得注意的是，獲得2017年度第一的網站攻擊技術，是由臺灣的安全研究人員Orange Tsai（蔡政達）提出，更難得的是，他在2018年新的成果──「打破解析器邏輯，繞過路徑正規化並發現零時差漏洞」，再次獲得全球網站安全研究人員的青睞與肯定，達成二連霸。<a href="https://ithome.com.tw/news/129314" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>GraphQL基金會與聯合開發基金會合推GraphQL開源規範標準化</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_ying_mu_kuai_zhao_2019-03-15_xia_wu_43112.png" style="width: 500px;" /></strong></span></p> <p><span style="color:#808080;">圖片來源_ GraphQL</span></p> <p>Linux基金會旗下的GraphQL基金會要與聯合開發基金會（Joint Development Foundation）聯手，共同推動開源標準的採用，並且持續發展GraphQL規範。<a href="https://ithome.com.tw/news/129372" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Verizon的行動5G服務4月上路，每月吃到飽費率比4G貴10美元</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/verizon5g-960.jpg" style="width: 500px;" /></p> <p><span style="color:#808080;">圖片來源_ Verizon</span></p> <p>美國最大電信業者Verizon將於4月11日在芝加哥與明尼亞波利斯正式推出5G超寬頻網路（5G Ultra Wideband Network）服務，且今年就會擴大部署到全美逾30個城市，至於5G行動網路的每月費率將比既有的4G網路多上10美元。<a href="https://www.ithome.com.tw/news/129336" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>反擊Nvidia，英特爾攜手科技業者建立CXL快速互連標準</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/cxl0314-960.png" style="width: 500px;" /></p> <p><span style="color:#808080;">圖片來源_ CXL Consortium</span></p> <p>在與Nvidia爭搶資料中心晶片製造商Mellanox敗下陣的英特爾（Intel），宣布與Google、思科、HPE及微軟等重量級業者共同成立一標準組織，以發展開放互連技術 Compute Express Link（CEL），並已釋出CXL 1.0規格。<a href="https://ithome.com.tw/news/129321" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Linux基金會發布全新開源孵化平臺CommunityBridge，可提供募資、資安、人才媒合三大功能</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_fireshot_capture_194_-_fueling_open_source_innovation_and_sustainability_-_communitybridge_-_communitybridgeorg.jpg" style="width: 500px;" /></p> <p>日前Linux基金會宣布為開源開發者社群建立CommunityBridge平臺，為選定的專案、成員或是組織，提供資金、安全以及人力上的協助。而且為了獎勵早期申請者，使用該平臺不只不需要支付任何費用，且Linux基金會將吸收任何平臺以及運算資源費用，直到該平臺成功募集到第一個1,000萬美元資金為止。<a href="https://www.ithome.com.tw/news/129382" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>美國官司第一勝：蘋果被判侵權，賠償高通3100萬美元</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/qualcomm-960.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_ Google地圖</span></p> <p>高通與蘋果官司在美國市場第一回合結果揭曉，美國聖地牙哥法院判決蘋果侵犯高通3項專利，需賠償3100萬美元。<a href="https://ithome.com.tw/news/129401" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Android Q首個預覽版問世，強化隱私與安全機制</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/adroidq-960.png" style="width: 500px;" /></strong></span></p> <p>Google釋出新一代Android平台Android Q的首個預覽版，包括可供所有早期採用者試用的Android Q Beta 1，以及供開發人員下載的SDK預覽版。<a href="https://ithome.com.tw/news/129334" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>基於區塊鏈技術的身分驗證方興起，強調零信任與去識別化</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/960x420zhu_tu_qu_kuai_lian_baasid.jpg" style="width: 500px;" /></p> <p>關於身分識別的資安議題，近年不斷受到各界討論，隨著集中化的帳號資料庫外洩事件頻傳、簡訊OTP驗證不夠安全等，如何因應這樣的課題，全球都在關注，而相關的技術也不斷在演進與發展。<a href="https://www.ithome.com.tw/news/129143" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>微軟修補64個安全漏洞，當中兩個已遭開採</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314patch_tuesday-960.png" style="width: 500px;" /></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_ 微軟</span></p> <p>微軟發布三月Patch Tuesday，有17個重大（Critical）漏洞，另有2個已遭到駭客開採，資安專家呼籲使用者最好立即修補。已被開採的CVE-2019-0797是由卡巴斯基實驗室在今年2月所發現的Windows本地端權限擴張漏洞，當Win32k無法適當處理記憶體中的物件時就會觸發漏洞，允許駭客於核心模式執行任意程式，包括安裝程式、變更或刪除資料，也能建立具備完整使用者權限的新帳號。<a href="https://www.ithome.com.tw/news/129323" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>臺灣是全球受Botnet攻擊最多的國家</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_check_pointtai_wan_wei_xie_960x420.jpg" style="width: 500px;" /></strong></span></p> <p>全球的資安威脅情勢不斷轉變，從前些年的勒索軟體的威脅，到去年上半的挖礦攻擊，現在2019年已經過了兩個月，去年一整年到現在，又有哪些新的重點值得關注呢？資安業者Check Point特別針對臺灣惡意程式攻擊企業組織的態勢，提供了他們所偵測分析的相關數據。<a href="https://www.ithome.com.tw/news/129187" target="_blank">更多內容</a></p> </div></div></div>
2019/3/24 12:00未署名https://www.ithome.com.tw/news/129467
【臺灣資安大會直擊】世足賽期間資安威脅大公開，趨勢：小心社交平臺、惡意網站及文件讓你惡意程式上身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">去年對足球迷來說，可能是狂熱的一年，因為每4年一次的世界盃足球賽在俄羅斯舉行，各國球迷齊聚一堂，為自己的國家隊加油，也是足球巨星們展現精湛球技較勁的全球競技場。</span></p> <p class="p1"><span class="s1">不過，世足賽期間不僅足球場上球員表現精采，網路上也出現各種安全威脅，趨勢科技在臺灣資安大會上分享了他們對去年世足賽(6/14-7/15)期間的網路威脅研究。他們從開幕前兩週就先展開觀察，威脅的定義包含了針對世足賽官方舉辦單位及相關組織的惡意程式或惡意網站，未經授權商品及詐欺行為，還有影響實體世足賽安全。</span></p> <p class="p1"><span class="s1">趨勢科技利用自家的Smart Protection Network，加上線上檢測工具Virus Total、新聞媒體，以及Twitter、Instagram等SNS平臺。</span></p> <p class="p1"><span class="s1">趨勢科技研究員Hsiaoyu Shih表示，從我們的觀察來看，這些威脅的大多數是非官方授權的商品販售，例如票券、球衣或球帽，威脅類型主要是以惡意的電子郵件及網站為大宗。在世足賽開始的前兩週就可以看到整體的威脅上升的趨勢，惡意網站數量從世足賽開始的6月14日逐漸下降，推測可能是買到假商品的人通報，使得這類惡意網站被查封。</span></p> <p class="p1"><span class="s1">「這類的網路威脅通常利用人們關心的事件，相信不只會出現在世足賽，也可能發生在2020年將舉行的東京奧運上，或是大型選舉活動，這些都是吸引受害者上當很好的題材」，Hsiaoyu Shih表示。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSC03338%20(1).jpg" style="width: 600px; height: 399px;" /></span></p> <p class="p1"><strong><span class="s1">SNS成為駭客散佈攻擊的良好管道</span></strong></p> <p class="p1"><span class="s1">趨勢也對Twitter與Instagram等貼文進行威脅分析，以Twitter為例，他們先利用Twitter API鎖定12個賽場方圓1公里內的貼文，再從和世足賽相關的關鍵字如FIFA、Worldcup等過濾這些貼文，蒐集和世足賽有關的內容，其他國家語言的貼文利用Google API翻譯為英文後再蒐集，之後再對較危險的關鍵字如Weapon、Kill、Theaf等標示為紅色，其他如worldcup、bad、fifa等則標為黃色。</span></p> <p class="p1"><span class="s1">沒買到入場票的球迷通常會到賽館現場找找看有沒有黃牛票可買，一則推文表示可提供購票的管道，實際點入後連結到Instagram，再連到非官方的售票網頁；另一例子則是在推文中散佈賭博的訊息，要求使用者點入連結到一個陌生的網站，這個網站可能因為限制造訪者的IP位置，因此無法進入。</span></p> <p class="p1"><span class="s1">「SNS雖然是很好的社交平臺，同時也是駭客散佈攻擊很好的平臺」，她以販售假球衣的訊息為例，球迷進入陌生網站，最遭的可能不是買到假商品，球迷還可能被騙取信用卡資料，蒙受財產上的損失。</span></p> <p class="p1"><span class="s1">趨勢科技也發現疑似從FIFA內部外洩的文件，內容和FIFA官方網站開發有關，被上傳到Virus Total，趨勢科技推測可能是人員失誤，不小心將內部文件流出。</span></p> <p class="p1"><strong><span class="s1">駭客以世足賽免費視訊、預測賽事文件為名散佈惡意程式</span></strong></p> <p class="p1"><span class="s1">在世足賽的研究期間，趨勢發現種種的惡意攻擊手法，其中是一個惡意網站，以知名球星的圖像吸引球迷，宣稱能免費提供觀看球賽的即時串流影像，要求受害者下載一個Android app，實際上這是一個竊取資料的惡意app，安裝後就會開始要求各種裝置的權限，竊取的資料包含使用者的裝置名稱、位置及IP，還有SMS訊息、文件檔案等等。從app利用Google Drive散佈、程式碼訊息中隱含阿拉伯文資訊，種種手法和在中東地區的APT駭客組織APT-C-23極為相似。</span></p> <p class="p1"><span class="s1">另一個攻擊的手法則是以世足賽的賽事結果預測為名散佈惡意的Word文件，當受害者感興趣而點開文件，會顯示文件受到保護，要求啟動文件，啟動後就會看到駭客隨意截取自媒體報導的比賽預測訊息，但同時這個動作也會開始執行惡意巨集程式碼，並從C&C伺服器下載以JPG為副檔名的檔案。</span></p> <p class="p1"><span class="s1">有趣的是，趨勢科技檢視C&C伺服器，發現Image資料匣內的檔案都存放JPG的檔案(下圖)，看起來很合理，打開這些JPG檔案也會看到普通的圖像，實際上這些圖檔掩藏.exe或.dll的可執行檔，一旦執行後便會下載後門程式，竊取受害者的電腦螢幕截圖、側錄鍵盤輸入，或是搜尋特定的檔案，再將竊取的資料上傳到受企業信賴的雲端儲存服務，例如Dropbox。駭客也利用這些受信賴的雲端服務儲存下一階段攻擊的檔案。</span></p> <p class="p1"><span class="s1"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-03-21%20%E4%B8%8B%E5%8D%8810_12_21.jpg" style="width: 600px; height: 403px;" /></span></p> <p class="p1"><span class="s1">趨勢科技解析這份惡意文件，發現先前的文件內容和北韓有關，顯示駭客先前可能曾利用北韓為議題，吸引其他關心這類議題的受害者上當，這代表駭客只要變換題材內容，就能吸引其他目標的注意。從攻擊手法和針對韓語使用者為目標來看，趨勢科技研判和駭客團體Group 123手法相似。</span></p> <p class="p1"><span class="s1">「讓大家為之瘋迷的活動，一定是駭客吸引使用者上當的很好題材，不論是個人或是舉辦賽事等各種大型活動的組織都應該特別小心」，Hsiaoyu Shih表示，個人或組織都應該具備網路安全的知識，對這類吸引人的文件，應該要知道以正確、安全方式處理，她也提醒，即使在活動結束後也要保持警覺，因為駭客的目標可能不是這次的活動，另外，企業也應該要有充足的準備因應攻擊，才能將傷害降到最低。</span></p> </div></div></div>
2019/3/21 22:36作者蘇文彬https://www.ithome.com.tw/news/129504
Opera釋出內建免費VPN的Opera for Android 51
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>挪威瀏覽器業者<a href="https://press.opera.com/2019/03/20/opera-launches-built-in-vpn/" target="_blank">Opera於本周更新支援Android平台的行動瀏覽器</a>，此一新的Opera for Android 51內建了免費的私人虛擬網路（Virtual Private Network，VPN）服務，以期改善用戶的線上隱私與安全。</p> <p>VPN採用加密的隧道協定（Tunneling Protocol）以阻止竊聽與嗅探來提供機密性，也能進行傳送者的身分驗證，預防身分偽造，或確保訊息的完整性。當Android用戶執行新版Opera瀏覽器時，不用額外下載程式，也無需登入，直接切換至VPN模式即可。</p> <p>負責Android平台的Opera副總裁Peter Wallman表示，當使用者在缺乏VPN保護的狀態下使用公共Wi-Fi網路時便很容易曝露自己的通訊，VPN將讓第三方更難竊取使用者資訊，也可避免被追蹤。而Opera則企圖讓VPN的採用變得更容易及友善，以幫助那些想要更多安全卻不知從何著手的使用者。</p> <p>Opera引用Global World Index的統計指出，全球約有6.5億的VPN使用者，且透過VPN連網的行動裝置用戶也愈來愈多，行動VPN用戶每天使用的比例高達42%，桌面VPN用戶每天使用的比例也有35%。</p> <p>有鑑於其它行動瀏覽器業者並未內建VPN功能，市場猜測Opera此舉是為了提振該瀏覽器於行動市場的佔有率。根據Net Applications的調查，Opera的市佔率只有0.35%，遠遠落後Chrome的63.21%、Safari的26.38%，也輸給百度、UC Browser、QQ、舊版的Android Browser及Firefox。</p> </div></div></div>
2019/3/21 16:25作者陳曉莉https://www.ithome.com.tw/news/129497
Google要讓歐盟Android用戶自由選擇搜尋引擎和瀏覽器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在3月20日歐盟針對Google以第三方網站AdSense for Search合約，排擠搜尋競爭對手的事件<a href="https://www.ithome.com.tw/news/129489）前夕，Google宣佈（https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">公佈判決結果</a>前夕，<a href="https://blog.google/around-the-globe/google-europe/supporting-choice-and-competition-europe/" target="_blank">Google宣佈</a>讓歐盟Android用戶自由選擇瀏覽器及搜尋服務，以「支持歐洲用戶選擇及產業自由競爭」。</p> <p>過去十年來，Google受到歐盟反競爭委員會的多次「關照」，以及天價金額的處罰。包括2017年以Google濫用搜尋優勢排擠比價購物競爭網站<a href="https://www.ithome.com.tw/news/115162" target="_blank">判罰24.2億歐元</a>，2018年再以強迫Android手機及平板業者安裝搜尋、地圖等自家服務，<a href="https://www.ithome.com.tw/news/124652" target="_blank">重罰43.4億歐元</a>，以及今年3月以AdSense for Search合約條款排擠微軟、Yahoo等競爭對手，<a href="https://www.ithome.com.tw/news/129489" target="_blank">罰款14.9億歐元</a>。</p> <p>Google全球事務資深副總裁Kent Walker指出，每一次Google都「虛心接受」外界包括歐盟及其他人的「意見」，也順應要求修改其服務。最近Google開始<a href="https://support.google.com/google-ads/answer/9262823" target="_blank">測試Google Shopping</a>的新格式，提供使用者直接連結到購物比價網站，搭配廠商提供的特定優惠。</p> <p>針對Android手機綁Google apps的案件，去年Google已經<a href="https://www.ithome.com.tw/news/126465" target="_blank">透過個別授權的方式</a>，將Google Play、Google Chrome和Google Search個別提供給歐盟Android手機用戶，也就是要用戶額外付費才能下載這些app。</p> <p>Google預計會再提供進一步措施，確保歐洲的Android手機用戶知道他們可自由下載瀏覽器和搜尋引擎，但目前並未說明會怎麼做及詳細時程，只透露這包括詢問歐盟現有及新的Android 手機用戶想使用哪一款瀏覽器和搜尋app。</p> <p>Google主管最後表示，該公司向來致力於提供用戶最快、最好的答案，最新措施則彰顯Google以開放而嚴謹的態度實現承諾。</p> </div></div></div>
2019/3/21 16:50作者林妍溱https://www.ithome.com.tw/news/129499
Google在AdSense搜尋廣告排擠對手遭歐盟罰款14.9億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟反托拉斯委員會以Google濫用市場獨大地位，在與第三方網站的AdSense廣告合約中，採行多項限制性的條款，阻撓Google競爭者在這些網站上投放搜尋廣告，違反歐盟反托拉斯法規，在3月20日宣布<a href="http://europa.eu/rapid/press-release_IP-19-1770_en.htm" target="_blank">判罰Google 14.9億歐元</a>（約520億台幣）。</p> <p>歐盟競爭委員會主席Margrethe Vestager指出，歐盟以Google在線上搜尋廣告中介市場上非法不當運用其獨大地位，判罰14.9億歐元。Google透過對第三方施加反競爭的合約限制來鞏固其線上搜尋廣告的優勢，時間超過10年，扼殺了競爭者在同等地位上競爭及創新的可能性，間接損害消費者利益。</p> <p>這裏討論的不是Google一般的搜尋廣告，而是AdSense for Search服務廣告，後者是顯示在第三方網站，像新聞媒體網站、部落格或旅遊網站內建的Google客製化搜尋（Custom Search）結果頁中的廣告。歐盟在2010年啟動調查，認為Google透過AdSense for Search扮演線上搜尋廣告中，廣告主和第三方網站之間的中介平台角色，而在Google獨佔近90%搜尋的市場中，對競爭者如微軟、Yahoo等而言，第三方網站是他們取得線上搜尋廣告營收的重要途徑。</p> <p><a href="https://www.ithome.com.tw/news/107134" target="_blank">2016年7月歐盟發出二項異議聲明書</a>，對Google做出二項指控。其中一項就是指控Google 利用AdSense for Search和第三方網站的合約，排擠搜尋競爭對手。3月20日的宣佈就是歐盟委員會近二年調查的結果。</p> <p>歐盟調查後，相信Google從2006年就在合約中加入獨家條款，禁止這些出版商網站在其搜尋結果頁展示競爭搜尋引擎的廣告。2009年3月起Google放棄獨家條款，改採名為「優先投放」（Premium Placement）的合約條款，要求出版商保留最賺錢的廣告版位給Google的廣告，並要求Google廣告的投放基本量，使競爭者廣告無法投放在明顯且容易點擊到的版位，而在另一條款中，Google 也要求如果出版商想變更競爭者廣告展示位置，必須取得Google的書面同意。</p> <p>歐盟認為Google先是施加了「獨家供應義務」使搜尋競爭者無法在最知名的網站上投放搜尋廣告，後來又以「鬆綁獨家策略」確保自家搜尋廣告的優勢，且控制競爭者廣告的績效，認定Google行為違反了歐盟反托拉斯法。</p> <p>在2016年歐盟提出異議聲明書後數月，Google停止了所有非法行為。總結Google違法期間及嚴重性，歐盟判罰Google 2018年在歐盟區內線上搜尋廣告總營收的1.29%，即1.49億歐元。Google也可能在歐盟會員國內被個人或企業分別提出民事訴訟。</p> <p>Google尚未對此作出回應。</p> <p>這是歐盟近兩年第三度對這家搜尋巨擘因壟斷業務行為開罰。2017年，<a href="https://www.ithome.com.tw/news/115162" target="_blank">歐盟針對Google濫用搜尋優勢排擠比價購物競爭網站判罰24.2億歐元</a>，<a href="https://www.ithome.com.tw/news/124652" target="_blank">2018年再以Android強制搭售自家服務，重罰43.4億歐元</a>。</p> </div></div></div>
2019/3/21 14:00作者林妍溱https://www.ithome.com.tw/news/129489
快升級到Chrome 72！舊版行動Chrome爆有讓駭客竊取帳密的重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你的Chrome升級到最新的72版沒？如果沒有最好快點，因為<a href="https://www.ptsecurity.com/ww-en/about/news/high-risk-vulnerability-in-android-devices-discovered-by-positive-technologies/" target="_blank">安全公司揭露從Android 4.4版以來的Chrome就存在的漏洞</a>，可能讓駭客竊取Android手機用戶上網紀錄、登入資訊等重要資料。</p> <p>這項漏洞是由俄國資安業者Positive Technologies研究員Sergey Toshin在今年一月發現並已通報Google。<a href="https://chromereleases.googleblog.com/2019/01/stable-channel-update-for-desktop.html" target="_blank">Google已在一月釋出修補該漏洞的Chrome 72.0.3626.81版</a>，但當時Google只是輕描淡寫為「瀏覽器中政策執行不足」。</p> <p>這項編號為<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-5765" target="_blank">CVE-2019-5765的漏洞</a>是位在Android 4.4版本以後的Chromium引擎中，後者是Android的WebView一項元件，允許網頁在Android app內顯示網頁。所有使用Chromium為核心的行動版瀏覽器，包括Google Chrome、Samsung Internet Browser、Yandex Browser都會受到影響。</p> <p>研究人員指出，項漏洞可經由Instant app引發安全風險。這類app讓手機用戶不必下載也能試用。用戶點選瀏覽器連結後，智慧型手機會下載一個小檔案可像原生app般執行，它能存取手機硬體但不佔用儲存空間。當攻擊者以instant app執行，就可在用戶點選連結惡意app後攔截資料。</p> <p>該項漏洞可讓駭客從程序記憶體中取得敏感資訊，包括上網紀錄、app登入需要的驗證權杖和標頭，以及其他資料。由於大部份Android app都有WebView，也使這項漏洞變得非常危險，被Google列為高風險漏洞。</p> <p>從Android 7.0後，WebView已經由Google Chrome實作，因此只要更新瀏覽器即可修補漏洞。但早期版本的Android的WebView則必須經由Google Play安裝。若Android手機用戶沒有Google Play服務，則需等手機業者釋出WebView更新。</p> </div></div></div>
2019/3/21 14:05作者林妍溱https://www.ithome.com.tw/news/129490
Google Photos含有可洩露拍照時間與地點的臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.imperva.com/blog/now-patched-google-photos-vulnerability-let-hackers-track-your-friends-and-location-history/" target="_blank">Imperva的安全研究人員Ron Masas最近揭露了Google Photos服務的臭蟲</a>，指出該臭蟲將允許第三方惡意網站汲取Google Photos用戶所存放的照片資訊，包括拍照時間、地點或對象等。</p> <p>整合了人工智慧能力的Google Photos可利用照片的元資源替照片加上標籤，包括地理坐標或日期等；還能自動以文字描述照片，或是偵測照片中的物件與活動；另也具備了人臉辨識能力以判斷照片中的人物。</p> <p><a href="https://venturebeat.com/2019/03/20/security-firms-detail-android-and-google-photos-vulnerabilities-that-exposed-user-data/" target="_blank">Masas則找到了可讓第三方網站透過旁路攻擊擷取上述資料的方法</a>，他說Google Photos的搜尋終端容易受到基於瀏覽器的時序攻擊（timing attack），或稱跨站搜尋（Cross-Site Search）攻擊。</p> <p>駭客只要誘導使用者造訪惡意網站，令他們同時登入Google Photos，就能向Google Photos的搜尋終端送出多種搜尋請求，先找到結果為零的回應時間作為基準線，再與其它的查詢進行比較，以用來推斷使用者是否曾造訪某地。例如Masas查詢了「我在冰島的照片」，假設回應時間比基準線還久，可判斷該使用者應曾到過冰島，也能在查詢字串中加入日期，重覆測試不同的時間點，即可得知該使用者在大約什麼時候去過冰島。</p> <p>其實這類的攻擊行動有些繁瑣，因此並不普及，但Masas認為基於瀏覽器的旁路攻擊行動一直被忽視，迄今大概只有Google或臉書等大型科技業者會把它當作一回事，大多數的業者並未意識到它的風險。在Masas發文的當時，Google也已修補了此一臭蟲。</p> </div></div></div>
2019/3/21 14:15作者陳曉莉https://www.ithome.com.tw/news/129491
去年10個最常被駭客開採的漏洞中，有8個是微軟漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>威脅情報業者<a href="https://www.recordedfuture.com/top-vulnerabilities-2018/" target="_blank">Recorded Future本周公布了2018年基於安全漏洞的網路攻擊分析報告</a>，指出在最常被駭客開採的10個安全漏洞中，就有8個漏洞來自微軟。</p> <p>有不少業者都會定期在每個月或每季修補產品中的安全漏洞，但對企業的資安團隊而言，漏洞的優先修補順序一向是個艱難的挑戰，這激發了Recorded Future對此展開研究的靈感。</p> <p>Recorded Future分析了去年一整年的攻擊套件、網釣攻擊及遠端存取木馬所瞄準的漏洞，顯示出2018年最常被駭客鎖定的十大漏洞中，有8個屬於微軟漏洞，另外兩個則分別是Adobe漏洞及Android漏洞。</p> <p>第一名是微軟在去年5月修補的CVE-2018-8174漏洞，此一當時就已被開採的漏洞藏匿在Windows VBScript Engine中，使用者只要透過IE造訪惡意網站，或是透過任何基於IE描繪引擎的微軟產品開啟惡意檔案，就會觸發漏洞，允許駭客自遠端取得使用者權限。</p> <p>根據Recorded Future的分析，與CVE-2018-8174漏洞有關的攻擊套件主要是藉由網釣攻擊來散布金融木馬程式Trickbot，也有攻擊套件利用它來遞送勒索軟體Magniber，至少受到7款攻擊套件的青睞。</p> <p>居次的則是存在於Adobe Flash Player中的CVE-2018-4878，它是個「釋放後使用」（Use-after-free）漏洞，成功的開採將允許駭客掌控被駭電腦，於遠端執行任意程式，<a href="https://www.ithome.com.tw/news/121072" target="_blank">曾被北韓駭客用來攻擊南韓民眾</a>，Adobe也是在該漏洞遭到開採之後才緊急修補。</p> <p>值得注意的是，在其它位於前10名的7個微軟漏洞中，有4個是在2017年修補的，1個是在2016年修補的，甚至在2012年修補的<a href="https://docs.microsoft.com/en-us/security-updates/securitybulletins/2012/ms12-027" target="_blank">CVE-2012-0158</a>都還在排行榜上名列第九。</p> <p>CVE-2012-0158漏洞藏匿在ActiveX控制模組mscomctl.ocx中，因而影響了大量的微軟產品，從Microsoft Office、SQL Server、BizTalk Server、Commerce Server、Visual FoxPro到Visual Basic 6.0等，攻擊的形式可以是惡意網站、惡意Office檔案或惡意RTF檔案，成功的開採將允許遠端駭客執行任意程式。</p> <p>此外，排名第六的CVE-2016-0189已連續3年進入前十名。這是一個指令碼引擎記憶體毀損漏洞，允許遠端駭客進行阻斷服務攻擊或執行任意程式，殃及IE 9至IE 11，已被整合到5個攻擊套件中。</p> <p>至於排行榜上位居第十的Android漏洞為CVE-2015-1805，這是Google在2016年修補的本地權限擴張漏洞，主要遭到刷機程式開採。</p> </div></div></div>
2019/3/21 12:25作者陳曉莉https://www.ithome.com.tw/news/129487
【臺灣資安大會直擊】趨勢研究員披露假訊息最新威脅，經濟目的造假新聞氾濫，假影片開始猖獗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="p1"><span class="s1">趨勢科技資深威脅架構師Fyodor Yarochkin，在2019臺灣資安大會座談中，揭</span>露<span class="s1">社交媒體中假訊息的內部運作，並更新去年的研究報告（What’s new in 2018：Fake news and social manipulations）對假新聞的分析，更以現下時事為例，說明假新聞的未來趨勢，以及對社會造成的負面影響。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin表示，真假新聞的界線模糊，可因政治立場產生不同解讀。如俄羅斯總統普丁3月18號簽署「禁止民眾散播假新聞」的法令，若因散布不實言論違反公共秩序，將被處以罰款或監禁。此舉也引起國際媒體質疑，假新聞的防範是否成為政治手段、侵害人民言論自由？</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin更以委內瑞拉為例，說明假新聞為政治服務的情形。委國政府阻止一般民眾取得敏感資訊，使人民連不上特定網路，為此，Google母公司Alphabet旗下的孵化器Jigsaw去年10月底推出應用程式「Intra」，加密使用者的Android手機和DNS伺服器的連結，讓手機自動指向Google的公共DNS伺服器，人民才得以自由造訪被封鎖的網站，現今服務更已擴及全球。</span></p> <p class="p1"><span class="s1">但相較於政府對消息的封鎖，更常見的是流動於各社交群媒體中的假訊息。操作者可利用各國地下市場尋找交易平台，而地下業者常見操作方式，包括請社群網紅轉貼文章（Follows）、善用口碑或操控輿論以達成目的（Astroturfing）、創造有影響力的言論（Influencing opinion）、特定事件的推廣（News and Events promotions）、罐頭式行銷訊息（Spam and scam campaigns）等。</span></p> <p class="p1"><span class="s1">Fyodor Yarochkin也觀察，操作者會以各國受歡迎的社群媒體為平臺散播消息。如台灣人習慣使用Line、Facebook，巴西人以WhatsApp替政治人物的助選；近來更有加拿大網民發現，在美國網路流量排行第五的Reddit網站上，因華為CFO孟晚舟被加拿大政府逮捕事件，開始出現許多受中國贊助的用戶，以宣傳活動壓制任何反中國的輿論，顯示中國的酸民工廠（Troll Factory）已經入侵Reddit，試圖以煽動或挑釁的言論引起衝突。</span></p> <p class="p1"><span class="s1">除了以文字作為假消息傳播媒介，假照片與影片的傳播將更具影響力。如3月15日紐西蘭恐攻事件、槍手殺人的直播影片，據國內媒體報導，雖然Facebook在24小時內移除上傳影片超過150萬次，但相關影像仍以各種形式在網路上流傳。Fyodor Yarochkin指出，兇手真正的目的可能在於加深民族間的衝突、宣揚白人主義，惡意的行為可能因網路引起更大的負面效果，這與假新聞的傳播目的相同。</span></p> <p class="p1"><span class="s1">而為了經濟目的而產出的假新聞，數量可能又較政治性假新聞更多。Fyodor Yarochkin表示，透過假新聞炒作股票、或欺騙性的宣傳行為，會讓更多民眾受害，且操作者的獲利更高，也是各國需要嚴加防範的類型；而近期社群媒體中也出現各種網站的假聯絡資訊，如Twitter貼文發現偽造的趨勢科技電話，民眾可能因撥打錯誤客服專線尋求Tech Support，被騙錢而不自知。</span></p> <p class="p1"><span class="s1">最後，Fyodor Yarochkin也提到，雖然社群網站已經成為假新聞的溫床，但當遇到不可抗力的災難時，仍然能迅速協助救援。例如WhatsApp成功幫助印度南部的Tamil Nadu，在去年颶風Gaja侵襲後，成為資訊整合平台，使救援團隊有效率的分散救援。</span></p> </div></div></div>
2019/3/20 23:19作者翁芊儒https://www.ithome.com.tw/news/129480