iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/9 06:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Chrome將讓用戶可封鎖cookies、加入反網站指紋技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年I/O大會上，<a href="https://blog.chromium.org/2019/05/improving-privacy-and-security-on-web.html" target="_blank">Google宣布未來將強化Chrome瀏覽器的隱私防護</a>，包括讓用戶封鎖網站cookies以及防止網站蒐集瀏覽器數位指紋（fingerprint）的技術。</p> <p>過去30年來，網站利用cookies記憶使用者身份，以提升網站使用流暢性，像是用戶不用再輸入密碼，或是保留用戶偏好的網站設定及購物清單等。但是cookies也讓廣告商及網站得以追蹤用戶上網足跡及偏好，以便投放個人化廣告，這也形成長久以來的隱私疑慮，因為用戶無從得知有哪些資料被網站蒐集。為了提升透明度，Google未來幾個月內將導入多項變更，包括提升cookies使用的透明度、要求網站開發商清楚揭露跨網站cookies，以及加入反數位指紋技術。</p> <p>提升網站cookies的透明度，意指讓使用者可以清楚看到網站儲存了哪些cookies，並且可以很簡單地封鎖或刪除不想要的網站cookies。Google並未提供相關介面，表示正在進行多項調整，並在今年內陸續透過預覽版展示。</p> <p>目前Google正在修改cookies運作機制，目的在使網站開發商必須清楚說明哪些cookies跨網站執行及追蹤用戶。Google根據其發展的SameSite cookie屬性來建立這個機制，未來幾個月內，Chrome 就會要求開發商以這套機制來跨站存取cookies，這就能讓使用者可以刪掉所有cookies，但又能不影響網域cookies，以保留用戶的登入及偏好設定，同時讓瀏覽器清楚提供cookies是哪些網站丟的，就能讓用戶了解網站如何使用他們的資料，並做出決定。</p> <p>Google表示，這也有安全上的好處，可防止cookies遭到跨站注入及Spectre、跨站請求偽造（CSRF）等資料外洩攻擊。此外Google也宣布，最終將要求追蹤跨站cookies只能使用HTTP連線，以提高隱私防護。</p> <p>此外，隨著大動作防堵cookies措施，一些追蹤手法變得更隱密而難以偵測，這將使cookie控制的效果打折。這些手法利用用戶瀏覽器的獨有特徵，例如視窗大小、解析度來追蹤用戶，稱為數位指紋。Google表示，數位指紋是在未尊重用戶選擇下進行追蹤，因此Chrome計畫更積極限制數位指紋。方法之一是減少瀏覽器被動曝露以形成指紋，藉此偵測並干擾主動性指紋形成。</p> <p><a href="https://www.ithome.com.tw/news/130442" target="_blank">微軟在Build 2019大會上也宣</a><a href="http://www.ithome.com.tw/news/130442" target="_blank">布</a>讓新版Microsoft Edge 加入更多隱私工具，讓用戶能自行設定網路廣告追蹤的接受度或全部封鎖。此外，<a href="https://www.ithome.com.tw/news/129162" target="_blank">Mozilla新推出的Firefox 67</a>，也可封鎖數位指紋追蹤。</p> </div></div></div>
2019/5/8 14:45作者林妍溱https://www.ithome.com.tw/news/130482
Google機器學習開發套件新增3大測試版功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://firebase.googleblog.com/2019/05/whats-new-Google-IO-2019.html">Google宣布機器學習開發套件ML Kit新增3大測試版功能</a>，包含設備端翻譯API、物體偵測和追蹤API，以及AutoML Vision Edge，該機器學習套件去年在行動應用程式開發平臺Firebase中推出，要將機器學習技術帶到行動裝置端，提供行動裝置開發者易用的套件和一系列的API，就算開發者不熟悉ML技術，也可以在自家應用模型使用ML技術，上個月才新加入智慧回覆與語言辨識功能。</p> <p>設備端翻譯API提供與支援Google翻譯同款的離線模型，能夠在App中快速且動態翻譯58種語言的文字。物體偵測和追蹤API則是能夠在App中，即時定位並追蹤相機內最重要的物體。透過AutoML Vision Edge功能，開發者可以簡單地依照自己的需求，打造影像辨分類模型，像是打造出能夠分辨多種不同類型食物，或是動物的模型，只要將訓練資料上傳至Firebase平臺的控制臺，就能利用Google AutoML技術建立客製化的TensorFlow輕量版模型，在用戶的裝置端執行，若對於收集訓練資料有困難，也可以使用Google提供的開源App。</p> <p>Google也宣布Firebase平臺的效能監控功能支援網頁App，目前網頁版效能監控是測試版，讓網頁開發人員可以了解用戶真實的體驗，針對網頁的速度和表現進行修改。開發者只需要在網頁中加入幾行程式碼，效能監控面板會追蹤網頁指標並用視覺化的方式呈現，網頁指標包含頁面載入、網路統計數據等。</p> </div></div></div>
2019/5/8 15:00作者何維涓https://www.ithome.com.tw/news/130479
Google透露正在開發摺疊式手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Google在發布中階版Pixel 3a及Pixel 3a XL手機的同時，該公司手機部門主管也透露正在打造摺疊式手機，只是消費者可能短時間內還買不到。</p> <p><a href="https://www.cnet.com/news/google-is-already-working-on-a-foldable-pixel-phone/" target="_blank">CNET引述Pixel部門主管Mario Queiroz接受媒體訪問時說道</a>，Google正在測試摺疊式手機，但是並不打算急著推出。</p> <p>Queiroz指出，Google內部投入摺疊式手機已經好一段時間，但是他認為目前並沒有很適合的使用情境（use case）。他表示摺疊式手機創新性還不夠，例如螢幕應該要再大一點。此外，他也認為，現在設想的使用情境中，不一定非摺疊機種不可，因此它還是屬於「nice -to - have」的東西。</p> <p>目前Google的摺疊式手機專案進度如何，或是它的螢幕是怎麼個開、闔法，軟體如何運作等都不得而知。<a href="https://www.theverge.com/2019/3/14/18266257/google-folding-bending-screen-display-patent" target="_blank">不過三月間曾有媒體發現</a>Google曾經申請了項摺疊裝置的專利，有別於現有市面上三星（向內）或華為（向外）手機摺法，Google專利顯示為Z字型折法。不過這並不意謂Google手機最後就是長成這樣。這也表示期待摺疊款Pixel手機的用戶可能要再等上一段時日。</p> <p>三星要價1,980美元的Galaxy Fold手機原本預期4月底上市，<a href="https://www.ithome.com.tw/news/130067" target="_blank">但卻被測試的媒體發現</a>一下子就被玩壞，這也迫使三星緊急延後上市時程。</p> </div></div></div>
2019/5/8 15:00作者林妍溱https://www.ithome.com.tw/news/130483
Google更新AR開發平臺ARCore，助開發者打造更真實的AR體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developers.googleblog.com/2019/05/ARCore-IO19.html">Google在I/0大會上宣布針對AR開發平臺ARCore的擴增影像（Augmented Images）和光線評估（Light Estimation）功能進行更新</a>，使開發者可以打造出更有互動感和真實感的AR體驗，且為了讓所有人能夠更容易體驗AR，Google推出允許用戶直接在網頁中查看3D物體的新工具Scene Viewer。</p> <p>為了讓AR體驗變得更有真實感，必須處理真實世界物體不會維持靜態的事實，當用戶拿著相機對著2D影像時，像是海報，擴增影像API會將圖像轉為栩栩如生的影像，擴增影像功能這次的更新則是能夠同時追蹤移動中的多個影像，好讓開發者能夠創造動態、互動性質的AR遊戲。</p> <p>此外，為了提供AR體驗更真實的光線，Google在光線評估API中新增環境HDR模式，藉由單一個相機，利用機器學習技術來理解360度高動態範圍的照光，當啟用環境HDR模式時，虛擬的物體會像實體的物體一樣被照亮，就算是光源正在移動，真實的物體和虛擬的物體也能無縫地融合在一起。</p> <p>環境HDR模式提供開發者3個API來複製真實世界的光線，Main Directional Light是協助開發者將陰影放置在正確的方向，Ambient Spherical Harmonics則是幫助來自所有方向的周圍光線建模，HDR Cubemap是提供鏡面光和反射光。</p> </div></div></div>
2019/5/8 15:10作者何維涓https://www.ithome.com.tw/news/130484
Google將行動應用框架Flutter擴展至網頁、嵌入式裝置和桌機端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://developers.googleblog.com/2019/05/Flutter-io19.html">Google在今年的I/O開發者大會上宣布將行動應用框架Flutter擴展到更多平臺</a>，包含網頁端、嵌入式裝置和桌機端，此舉是受到Google內部越來越依賴Flutter框架，以及Dart平臺能夠提供可攜帶式體驗的潛力所影響。</p> <p>過去以來，Flutter團隊的任務是為行動App開發者打造最佳的框架，Google認為行動App的開發已經成熟，但是需要改進，許多App開發者被迫在兩個行動平臺中重複開發同一個App，或是在跨平臺的框架中妥協，Flutter框架就是能夠讓開發者透過單一的程式庫，來打造跨平臺的App，現在則更進一步，將Flutter框架帶到網頁端、嵌入式裝置和桌機端。</p> <p>Google指出，一個高效能、可攜帶式的UI框架具有商業潛力，對新創業者來說，這樣的框架能夠打造出在行動端、網頁或是桌機，都用相同的App來接觸用戶的體驗，不需要考慮技術上的限制，而針對大型企業，用單一個程式庫提供所有用戶一樣的體驗，能夠節省開發App的複雜度和成本，進而改善App使用體驗的品質。</p> <p>Google將發布第一個Flutter網頁技術預覽版，這項技術還持續開發中，Google邀請早期試用者嘗試並提供回饋，而在行動端的Flutter框架也升級至1.5版，修改了來自數百萬個開發者的回饋建議，對桌機端的支援，Google則是發布了在Mac、Windows、Linux開發Flutter App的指引，嵌入式裝置方面，Google最近發布了直接在樹莓派上執行的展示範例，也提供embedding API在多個應用場景中使用。</p> </div></div></div>
2019/5/8 12:10作者何維涓https://www.ithome.com.tw/news/130475
【波士頓直擊】不畏Google、虛擬化龍頭VMware挑戰！紅帽找來微軟與IBM兩大執行長助陣，拉抬跨雲、混合雲戰略聲勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>【波士頓直擊】自去年IBM併購以來，紅帽今天（5/7）召開全球用戶大會，一如往年，同樣由該公司執行長Jim Whitehurst擔任第一天傍晚的開場壓軸，會中除了一樣有來自各產業最新上雲用戶案例分享外，這次更找來兩家合作夥伴對談，暢談開源的精神與理念，不過這次與他對談的來頭可不小，一位是IBM執行長Ginni Rometty，另一位則是微軟執行長Satya Nadella。兩人先後登臺，甚至，還未等Jim Whitehurst開口， Satya Nadella就自嘲說：「沒有想到會有（和你同臺）這一天」，Jim Whitehurst聽完也識趣的說:「每件事都有時間性，該來總是會來」，這段意外插曲，也惹得檯下觀眾一片笑聲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1918-001.JPG" style="width: 600px; height: 263px;" /></p> <p>今年有了這兩位雲端界重量極人物的加入，也替紅帽活動拉抬不少聲勢。儘管目前在混合雲競賽上，紅帽仍占上風，但是近來，也有像是Google、與虛擬化龍頭VMware正一步步進逼，例如，VMware不只與AWS聯手，前陣子，更借助母公司戴爾科技集團推出整合VMware與Dell EMC基礎架構的混合雲平臺Dell Technologies Cloud，來替VMware打造更完整的混合雲生態系，要逐步縮短與紅帽差距。</p> <p>不過，IBM執行長Ginni Rometty會親自站臺，並不讓人意外，因為去年底IBM才剛以稍低於整年營收，大約340億美元天價買下紅帽，會出席自家活動，也算合理，反倒是隻身出現在紅帽用戶大會上的微軟執行長Satya Nadella，才是跌破眾人眼鏡，即使活動與Build大會撞期，他硬是挪出空檔，千里迢迢前來替紅帽站臺，如果不說，還會誤以為兩家交情匪淺。尤其，對於大力擁抱開源的紅帽，與長年封閉前幾年才逐步開放的微軟，兩家公司王見王，也形成有趣的對比。</p> <p>但是直到活動尾聲，Jim Whitehurst才揭曉答案，一如先期預期，由Jim Whitehurst偕同Satya Nadella一同宣布，OpenShift on Azure服務（或稱Azure Red Hat OpenShift ）推出正式版。其實，早在去年紅帽高峰會上，紅帽就與微軟聯手，在Azure上發表OpenShift 容器管理服務，只不過當時只是私人預覽，一般企業並無法試用，但是隨著OpenShift on Azure正式GA後，對於企業來說，除了AWS以外，以後也可將OpenShift帶進Azure公有雲，幫助企業打造混合雲應用環境。不過，現階段，只有商用版OpenShift Container platform，與社群使用的OKD（前身為OpenShift Orign）可以部署在Azure公有雲上，其他版本還不行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1878-001.JPG" style="width: 600px; height: 400px;" /></p> <p>在與母公司執行長Ginni Rometty對談時，Jim Whitehurst不避會問到雙方完成交易之後的運作，Ginni Rometty則重申，未來交易完成後，將繼續保有紅帽開源文化精神，以及確保完整獨立營運，更重要的是，「持續擴大開源文化，與開放創新，是我們應當承擔的重要使命。」她這麼說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1871-001.JPG" style="width: 600px; height: 400px;" /></p> <p>在整場2小時的主題演講，Jim Whitehurst幾乎很少談論自家下一步混合雲具體戰略，甚至也沒有看到產品發表，只有在活動尾聲時，才介紹了新版Linux作業系統RHEL 8（Red Hat Enterprise Linux 8）的正式版推出。大多時候，Jim Whitehurst都把時間留給重要企業用戶，分享自家上雲、混合雲以及數位轉型經驗，並沒有因為被別人收購，或是公司換新Logo，就不再堅守原有立場，仍以用戶為中心的策略思維。</p> <p>今年有自不同產業代表上臺分享自家經驗，如美國石油巨頭ExxonMobil，就介紹自家導入容器平台（OpenShift）歷程，並由該公司Upstream數位轉型部門資料科學家Audrey Reznik親自傳授，在全球130多個開發團隊的的導入經驗。又如，新加坡最大商業銀行星展銀行（DBS Bank），該集團資訊長David Gledhill，也分享自家混合雲架構的實戰經驗，如何透過混合管理平臺加快應用交付速度，並改善用戶體驗。今年已經第二次來的德意志銀行則分享如何利用紅帽開源技術的最新經驗，來縮短應用交付周期，從原來的數個月，到現在只許幾周時間就完成應用迅速改版更新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1913-001.JPG" style="width: 600px; height: 400px;" /></p> <p>雖然，在今年主題演講上，Jim Whitehurst很少介紹自家產品，但是同一天，紅帽官網也有一些重要產品宣布，首先，就是RHEL 8走出Beta測試而邁入正式版。8.0版除了在先前測試版已知的功能，如應用程式串流，或是網頁式遠端管理功能(Web Console)，另外，還內含一個全新智慧管理機制（smart Management），這是一個在混合雲架構採用的自動化或自主管理方式，利用本地端系統管理的Red Hat Satellite，再搭配另一個雲端專管服務，來達到跨雲之間自動化管理，以降低複雜跨雲管理的需求。甚至也可加強用於資安漏洞、合規性與故障排除的管理。</p> <p>同天另一場全球媒體記者會上，紅帽RHEL商用部門總經理Stefanie Chiras也揭露更多使用數據，她表示，自2014年推出RHEL 7以來，已經獲得多達15,000家企業用戶採用。隨著RHEL 8正式版的推出，她也更加看好RHEL 8推出後的發展，以去年11月推出RHEL 8測試版為例，她表示，至今已有高達14,000次的下載，幾乎是之前RHEL 7 Beta下載量的好幾倍，「更重要的是，這些開發者試用後，大多都給予相當正面的評價。」她說</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1930.JPG" style="width: 600px; height: 400px;" /></p> <p>再者，Jim Whitehurst在稍早舉行一場全球媒體記者會上，已經正式發布了第4版OpenShift容器平臺，甚至隨後，在網路也已將找得到相關官方網頁，來介紹新版特色，根據該網頁說明，目前OpenShift 4.0推出的是開發者預覽版，在特色上，則是新增了許多以開發者與維運為中心的工具，來加速應用程式開發，也讓這些容器化應用更容易部署以及自動擴展，並且能達到全生命周期維護，另外也加強對於叢集容器或微服務的管理等。</p> <p>新版OpenShift 4另一大特色，就是開始支援對於無伺服器（Serverless）容器的管理，微軟同一天在自家Build大會宣布與紅帽在這方面有重大進展，已經能透過KEDA開源專案，採用基於Kubernetes的事件觸發，來自動完成資源調度與管理，讓Azure Functions無伺服器服務也能在Red Hat OpenShift容器平臺上執行，可以做為Azure 、混合雲、本地端管理，或是可用來實現雲端FaaS服務。不過目前還是開發者預覽版。</p> </div></div></div>
2019/5/8 13:18作者余至浩https://www.ithome.com.tw/news/130478
Dropbox發表冷儲存服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端儲存業者<a href="https://blogs.dropbox.com/tech/2019/05/how-we-optimized-magic-pocket-for-cold-storage/" target="_blank">Dropbox宣布即將採用新的冷儲存（Cold Storage）服務</a>，以用來儲存存取頻率較低的資料，並強調資料不論是存放在暖儲存（Warm Storage）或冷儲存，幾乎不會造成用戶的不便。</p> <p><a href="https://techcrunch.com/2019/05/06/dropbox-adds-cold-storage-layer-for-less-frequently-access-files/" target="_blank">Dropbox在2016年將基礎設施從AWS移回自家架構時，建立了Magic Pocket來容納數個Exabyte（EB）的龐大資料量</a>，迄今已有超過90%的用戶資料是存放在Magic Pocket上。有鑑於使用者存取新舊資料的頻率不同，現在Dropbox新建了冷儲存層，並將原來的Magic Pocket系統更名為暖儲存層。</p> <p>Dropbox指出，檔案剛被上傳時的幾個小時內存取頻率最高，之後的存取頻率便隨著時間而大幅下滑，這使得該站工程師認為若以同樣的方式儲存所有檔案並不合理，於是決定建立兩個不同的儲存層。</p> <p>其中的暖儲存層其實就是標準的Magic Pocket系統，具備高儲存密度與非常快速的網路連結，而冷儲存層也是基於同樣的硬體及網路，但藉由減少25%的磁碟使用量而能節省成本，卻不會犧牲可用性與續航力。</p> <p>Dropbox說明，當系統判斷資料變冷之後，就會於背景異步將資料轉移至冷儲存，儘管它的存取延遲可能會高於暖儲存層，但用戶幾乎難以辨識兩者的差別。</p> </div></div></div>
2019/5/8 11:40作者陳曉莉https://www.ithome.com.tw/news/130476
賽門鐵克：網路間諜組織Buckeye在影子掮客之前就利用了NSA的攻擊工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2016年8月時，一個自稱為「影子掮客」（The Shadow Brokers）的駭客組織，在網路上拍賣美國國安局（NSA）下轄網路攻擊組織「方程式」（Equation Group）所開發的攻擊工具，在當時掀起了軒然大波，然而，資安業者<a href="https://www.symantec.com/blogs/threat-intelligence/buckeye-windows-zero-day-exploit" target="_blank">賽門鐵克（Symantec）最近發現了新證據，指出網路間諜集團Buckeye早在2016年3月，就開始利用相關的攻擊程式</a>。</p> <p>從時間點來看，影子掮客是在2017年4月釋出包括DoublePulsar、FuzzBunch、EternalBlue及EternalSynergy等攻擊工具，隔月北韓駭客即利用DoublePulsar與EternalBlue來散布造成重大災情的WannaCry勒索軟體，但Buckeye早在2016年3月就以DoublePulsar發動攻擊了。</p> <p>迄今影子掮客的身分依然不明，外界揣測它來自俄羅斯，而所持有的攻擊工具則是向國安局的約聘人員所收購；至於<a href="https://www.zdnet.com/article/chinese-hackers-were-using-nsa-malware-a-year-before-shadow-brokers-leak/" target="_blank">Buckeye也被稱作APT3或Gothic Panda，是來自中國的網路間諜團隊</a>，自2009年開始活動，一直到2017年中被美國破獲。</p> <p>研究人員指出，2016年3月時，Buckeye便替後門程式DoublePulsar設計了專用的攻擊工具Bemstour，開採兩個微軟零時差漏洞CVE-2017-0143與CVE-2019-0703，並用它來攻擊香港及比利時，前者在2017年3月修補，後者則是一直到今年才修補。</p> <p>賽門鐵克並不確定Buckeye取得DoublePulsar的管道，但有鑑於Buckeye並未使用其它由影子掮客外洩的攻擊程式，讓研究人員猜測Buckeye很可能是發現了NSA在中國系統上所植入的DoublePulsar，秉持著「草船借箭」的精神重製了DoublePulsar，而比較不像是偷來或買來的。</p> </div></div></div>
2019/5/8 12:00作者陳曉莉https://www.ithome.com.tw/news/130477
Visual Studio Code現支援遠端Python開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在PyCon 2019大會中宣布，<a href="https://devblogs.microsoft.com/python/remote-python-development-in-visual-studio-code/">Visual Studio Code開始支援Python遠端開發</a>，開發人員可以使用三個擴充套件，在遠端也能獲得和本機端相同的開發體驗。這三個擴充套件分別是遠端容器、遠端SSH以及遠端WSL（Windows Subsystem for Linux），讓開發者在這三個相對應的環境進行遠端開發</p> <p>由於在Docker容器能方便地創建可重現的開發環境，無需在本地端電腦上安裝複雜的相依項目，因此成了熱門的開發方法，而這也可以讓新的團隊成員，安裝Docker並在Visual Studio Code中打開工作區以重現團隊開發環境。而遠端容器擴充套件則是使用開發容器（Dev Container）的概念，讓Visual Studio Code開發者無縫的在Docker容器開發環境中工作。</p> <p>開發容器由.devcontainer檔案夾中的檔案定義，Visual Studio Code會依據該資料夾檔案為工作區創建Docker環境，開發者可以使用Dockerfile創建單個容器，或以docker-compose.yml執行多個容器。開發者可以在遠端容器擴充套件中，選擇既存的.devcontainer資料夾，以現有開發容器定義創建開發容器，或是為工作區創建新的開發容器，微軟提供內建的Python定義，讓開發人員可以選擇使用Python 2/3，或是Miniconda等快速進行設定。</p> <p>當開發者開啟開發容器後，Visual Studio Code便會創建一個Docker映像檔，並安裝輕量級遠端伺服器，開發者便可以開始在遠端伺服器中進行開發，除此之外，開發者也可以將Visual Studio Code附加到任何一個正在執行的Docker容器中，而非從頭開始創建開發容器定義。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/5_AttachContainer.png" style="width: 446px;" /></p> <p>Python開發人員另一個常見的開發情境，是在遠端電腦執行開發環境，以存取特別的運算資源或是資料集，和遠端容器擴充套件一樣，開發者可以使用遠端SSH擴充套件，連接遠端工作區，開發者只要在擴充套件中輸入目標SSH主機就能進行連接，開發者也能配置SSH主機，供團隊其他成員連線使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/6_ConfigureSSH.png" style="width: 624px;" /></p> <p>開發者還可以在遠端WSL工作區進行開發，使用遠端WSL擴充套件，便能讓開發者的Visual Studio Code UI在Ｗindows桌面環境上執行，而Visual Studio Code的遠端伺服器在Linux子系統中執行。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/10_NewWSLWindow(1).png" style="width: 600px;" /></p> </div></div></div>
2019/5/8 12:05作者李建興https://www.ithome.com.tw/news/130465
微軟正打造網頁版開發工具Visual Studio Online
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據開發者對IntelliCode以及Live Share的回饋，微軟進一步延伸遠端程式碼協作概念，即將推出三個能增加開發生產力的功能，分別是<a href="https://devblogs.microsoft.com/visualstudio/intelligent-productivity-and-collaboration-from-anywhere/">個人遠端開發、雲端開發環境配置，以及網頁版Visual Studio Online</a>。</p> <p>微軟提到，個人遠端開發這項功能，是他們釋出程式碼協作功能Live Share的時候，就收到的回饋建議，而遠端開發也的確有其優點，能在有別於部署應用程式的作業系統工作，可以讓開發者利用更高階的硬體進行開發，還能增加應用程式的可移植性。</p> <p>而在五月初，微軟已經為Visual Studio Code釋出了遠端開發擴充套件，讓本地端工具得以連到WSL（Windows Subsystem for Linux）、Docker容器或是SSH環境，執行完整的開發體驗，包括使用擴充套件、設定主題和除錯等，而現在微軟也對Visual Studio釋出遠端開發功能，支援的語言從C#和C++開始。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-05-07%20%E4%B8%8B%E5%8D%8862136.jpg" style="width: 600px;" /></p> <p>另外，為了解決設定開發環境的麻煩事，微軟推出了完全雲端託管的按需開發環境，當開發者需要處理新專案的時候，將可以使用Visual Studio或Visual Studio Code連結雲端環境，啟動雲端開發環境，交由服務負責進行環境配置，這將幫助開發者以最短的時間開始程式碼編輯工作，還能快速的安裝相依項目。現在這個功能仍在私密預覽中，開發者還需要等一等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-05-07%20%E4%B8%8B%E5%8D%8862216.jpg" style="width: 600px;" /></p> <p>現在微軟正在開發Visual Studio Online，以賦予開發者隨時隨地就能開發的靈活性，這是一個基於網頁的伴隨編輯器（Companion Editor），讓開發者在任何裝置的瀏覽器上，執行諸如快速編輯，或是查看團隊Live Share對話等工作。由於Visual Studio Online是基於Visual Studio Code開發，因此開發者能夠快速上手，而且還可以使用豐富的擴充套件，支援Visual Studio Code工作區與Visual Studio解決方案，此外，Visual Studio Online還會支援IntelliCode以及Live Share。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine1_%E8%9E%A2%E5%B9%95%E5%BF%AB%E7%85%A7%202019-05-07%20%E4%B8%8B%E5%8D%8862254.jpg" style="width: 600px;" /></p> </div></div></div>
2019/5/8 11:00作者李建興https://www.ithome.com.tw/news/130464
新版Windows終端機可以自訂介面了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows的命令列工具不再黑黑醜醜，微軟在Build開發者大會上，宣布釋出全新開源全功能<a href="https://devblogs.microsoft.com/commandline/introducing-windows-terminal/">Windows終端機</a>（Terminal），這是一個現代高效的終端應用程式，可用來操作命令提示字元、PowerShell和WSLWindows Subsystem for Linux等殼層，將在今年夏天於Windows 10的Microsoft Store提供，但想嚐鮮的使用者，可以於<a href="https://github.com/Microsoft/Terminal">GitHub</a>中複製專案使用，目標在冬天時推出Windows終端機1.0。</p> <p>微軟終於為終端機加入了多頁籤功能，使用者現在可以開啟任意數量的分頁，每個分頁都可以連接到選擇的殼層或是應用程式，像是命令提示字元、PowerShell，也能在WSL執行Ubuntu、openSUSE以及Debian，甚至是透過SSH連接樹莓派也沒問題，微軟提到，這是使用者最常要求的終端機功能，他們在最新的終端機程式中實現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/tab-menu.png" style="width: 600px;" /></p> <p>而使用者第一眼看到Windows終端機與過去的命令列工具最大的差異，還是在介面的變化，整體介面新穎許多，Windows終端機使用GPU加速的DirectWrite文字渲染引擎，因此可以顯示更多元的文字、字形和符號，包括了中日韓統一表意文、表情符號、Powerline字體、圖標以及程式開發合字（Ligature）等，而微軟也提供了全新開源字體，供使用者使用，微軟表示，新的文字渲染引擎渲染文字的速度，要比過去的控制臺GDI引擎還要快上許多。</p> <p>Windows終端機提供了許多配置選項，使用者可以對終端應用程式的外觀以及分頁進行控制，而這些配置會被以結構化文字檔案儲存，方便使用者或其他工具使用，Windows終端機允許多個配置文件存在，因此使用者可以為每個殼層、應用程式和工具創建多個配置文件，這些配置文件皆可以設定各自的字體樣式、大小與顏色主題，背景模糊與透明度等組合。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/emojis.png" style="width: 600px;" /></p> <p>微軟說明之所以無法改進現有的Windows控制臺（Console），原因在於Windows控制臺需要對命令列工具和腳本等維持向後相容性，微軟已經對控制臺進行了部分的改進，但是無法在現有限制下，對使用者介面做出更多的改善，微軟認為，需要對控制臺架構進行破壞性改變，因此才重新打造了Windows終端機。</p> <p>Windows終端機與控制臺能同時共存，當使用者直接執行Cmd或PowerShell等其他應用，則會開啟傳統控制實例，而使用者也不需要擔心，Windows控制臺也將在未來幾十年持續發布，以支援現有的應用程式。</p> </div></div></div>
2019/5/8 11:13作者李建興https://www.ithome.com.tw/news/130461
華碩軟體更新伺服器竟成惡意後門派送幫兇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2019年3月底，一起關於<a href="https://www.ithome.com.tw/news/129590" target="_blank">華碩筆電的軟體供應鏈攻擊事件</a>，引起全球關注，不僅因為華碩為臺灣電腦設備大廠，也是全球前五大電腦品牌之一，擁有相當多的用戶，所以影響範圍廣大。</p> <p>揭露此事件的資安業者卡巴斯基，特別將此複雜的供應鏈攻擊，命名為「ShadowHammer」，並在他們蒐集的惡意程式樣本中，逆向找出寫死在程式碼的600筆MAC位置清單，也就是這次攻擊最可能鎖定的目標。而隨著事件的發現與曝光，也中斷了這次攻擊行動的繼續發展。</p> <p>不過，<a href="https://www.ithome.com.tw/news/129588" target="_blank">這次華碩更新伺服器遭入侵的事件</a>，已經讓臺灣的企業與用戶更感受到軟體供應鏈攻擊的威脅，同時，還引發企業對更新服務安全，以及數位簽章憑證安全的關注。因為近年來，已有多起軟體供應鏈攻擊，是與服務更新伺服器有關，而華碩也為此撤銷現行的程式碼簽章憑證，甚至他們又在4月13日公告，要將旗下的主機板、顯示卡、迷你電腦、工作站、伺服器等產品，執行多重性程式碼簽章憑證架構升級。</p> <p>若更深入探究下去，這樣的事件也再次引發各界對當今供應鏈的信任問題，以及在開發流程到<a href="https://www.ithome.com.tw/voice/129720" target="_blank">更新管理</a>的討論。</p> <p><span style="font-size:28px;"><strong>華碩本身非最終目標，但因此受影響用戶遍及全球</strong></span></p> <p>關於華碩軟體更新伺服器遭入侵一事，資安業者卡巴斯基先是在1月29日，確認這起涉及華碩Live Update服務的攻擊活動，並於隔日通知華碩，後來於3月25日曝光於媒體，當日晚間華碩也針對此事發表聲明。而根據卡巴斯基實驗室的調查結果顯示，駭客散布惡意更新的時間是在2018年6月到11月間，並指出被駭客偷偷改裝成木馬程式的華碩Live Update，因為使用了合法的數位簽章，所以不容易被察覺。</p> <p>值得注意的是，在這次事件中，從影響範圍上，可以分成2個不同層面來看，包括受此攻擊過程所影響到的用戶，以及這次供應鏈攻擊的主要目標。</p> <p>首先，根據卡巴斯基的調查，他們統計到有5萬7千名卡巴斯基用戶，下載並安裝了具有後門的華碩Live Update版本，同時他們還估計，在全球可能有超過一百萬的用戶受影響。</p> <p>這也看出供應鏈攻擊所影響的規模，相當廣大，畢竟華碩在全球多個國家都有銷售筆電，受波及的用戶非常多。</p> <p>在3月26日，另一家資安業者賽門鐵克也公布關於華碩軟體更新與供應鏈攻擊的調查，他們指出有1萬3千臺他們的用戶電腦，曾經被他們偵測到木馬程式的更新。特別的是，他們並從這些用戶的區域位置做出統計，其中，美國、澳洲、義大利佔比都在10%以上，接下來是法國、英國、加拿大、日本、德國、臺灣與瑞典，這也印證了受此事件影響的用戶遍及全球。</p> <p>關於可能的攻擊目標方面，根據卡巴斯基的說明，他們在1月底至3月期間，已經與多次與華碩討論此攻擊活動的發現，包括兩次面對面的電話會議，接著，卡巴斯基也在蒐集的230份惡意程式樣本中，發現600多個MAC位址清單，因此在3月8日將此新發現提供給華碩。</p> <p>而這樣的跡象也意謂著，這些裝置可能才是這次攻擊行動的主要目標，因為，每一筆MAC位址，也就代表一臺裝置使用的網路介面位址。簡單來說，駭客這次攻擊先是向華碩筆電用戶遞送惡意的更新程式，接著將進行第二階段的行動，就可能是要針對這些目標所在電腦，發動更進一步的攻擊。</p> <p>但隨著此一事件的曝光，相關攻擊行動也因此被中斷。對此，我們也詢問了卡巴斯基臺灣技術總監謝長軒，他表示，以現況來講，當時他們公布相關資訊時，就已經列出了入侵指標（Indicators of Compromise，IOC），當中包含IP位址、網域名稱，還有相關特徵等，在這樣的情資分享下，其他資安業者的解決方案可以套用這個IOC來偵測。</p> <p>同時，卡巴斯基也提供給一般用戶可識別ShadowHammer的工具程式，以及檢查自己是否為鎖定目標的MAC位置清單檢查網頁。而華碩也提供了一個名為ASDT的檢測程式，可幫助民眾檢查自己的Live Update工具程式，確認是否更新至最新版。</p> <p>而在此之前，是否有其他資安業者可能偵測到相關問題，並阻擋下來？像是透過木馬化的Live Update下載了其他惡意程式的活動。謝長軒表示，對於資安業者而言，每天有相當多的惡意攻擊發生，這些防護的機制大多是機器自動進行，在一些狀況下，才會以人為方式介入去調查。</p> <p>關於這次事件，謝長軒透露了更多的細節。他們在去年12月底接到客戶通知電腦有問題，在協助進行IR事件回應過程中，才發現惡意程式為何是透過合法的軟體而來。因此他們再從Hash值去比對，回頭找出第一次與最後一次看到此樣本的時間，以統計出他們客戶中受影響的數量。</p> <p>當然，為了要向他人說明這個合法的軟體有問題，謝長軒表示，這還必須要更深入的去分析該程式的內容，而卡巴斯基也在確認後，將此攻擊行動通知華碩，雙方並在後續進行多次此事件的討論。而對於通報這樣的動作，他表示，全球有400家大大小小的防毒業者，如果都無法發現異常而進一步調查，此供應鏈攻擊的潛伏期就會更長。</p> <p><span style="font-size:26px;"><strong>原本信賴的更新機制與數位簽章被濫用，成為事件中的安全焦點</strong></span></p> <p>在這次華碩事件中，更新伺服器與程式碼簽章憑證的安全防護問題，更是成為不可忽視的焦點。</p> <p>簡單來說，這個Live Update是華碩在自家筆電所附上的工具程式，主要是為了幫助使用者保護與增強設備安全，可透過這款工具，獲得自動且即時的軟體更新。例如，在網路上檢查華碩的更新伺服器，是否有系統適用的最新BIOS、韌體、驅動程式及工具程式等。</p> <p>但是，這種原本幫助改善系統安全的管道，如今卻被駭客利用成為散布惡意後門的工具。一旦用戶在更新伺服器受害期間下載更新，安裝了被攻擊者偷偷加料的更新程式，成為駭客傳送其他惡意程式的入口。由於這種用戶信賴的系統更新工具遭到濫用，又不易察覺，而被多方關注。</p> <p>不僅是更新伺服器的安全，還有程式碼簽章憑證問題受到議論，因為這個被注入後門的更新程式，也使用了華碩的程式碼簽章憑證。</p> <p>為何駭客要取得業者的程式碼簽章憑證？因為這可以避過既有的一些防護機制。例如，現有的基本資安防護機制會傾向相信此憑證資訊，認可該公司的這個軟體沒有被別人竄改過，是由簽章擁有人發布。但如果駭客取得簽章並幫加料的更新程式蓋章，等於幫自己加上一個合法的護身符，而能在對方信任的情況下，不受到攔阻。</p> <p>另外又衍生的狀況是，當華碩推出ASDT檢測工具時，國外資安研究人員GiuGiuseppe `N3mes1s`在推特上指出，該工具被微軟Windows Defender誤判為惡意程式，這樣的烏龍事件，其實也是受到程式碼簽章憑證的影響，因為已有一些資安公司，得知此數位簽章有冒用問題，因此先採不信任的態度，將之排除在白名單以外。</p> <p>對此，謝長軒也進一步說明，在他們通報華碩之後，後續雖然沒有發現新的惡意樣本，但在3月時，華碩新發布的軟體仍是使用有問題的程式碼簽署，因此他們提醒對方應盡快做出處理。而最簡單的動作，就是註銷駭客入侵冒用的數位簽章，至少各家安全業者就能在檢查簽章時，發出警告資訊，並要注意新的簽章憑證不會再次遭竊。</p> <p>同時，謝長軒也提到Blind Trust的議題，對於信任憑證這樣的機制，部分作法更為嚴謹的業者，不會單單只是依賴憑證檢查，還有其他的作法一起搭配，也會有人去介入調查分析的情況。但在目前市場現況下，簽章憑證仍是較普遍使用的一種方式，並且具有效率，未來要用什麼樣的機制來改善，將是挑戰。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/190322-shadowhammer-1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/190322-shadowhammer-1_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 500px;" /></a></p> <p><span style="color:#3399ff;"><strong>駭客使用華碩的數位簽章而使得惡意更新難以被察覺</strong></span></p> <p><span style="color:#808080;"><strong>根據卡巴斯基的研究指出，這次事件中被注入惡意程式碼的華碩Live Update程式，使用了合法的數位簽章，因此難以被察覺。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/operation-shadowhammer-a-high-profile-supply-chain-attack-15_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png"><span style="color:#808080;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/operation-shadowhammer-a-high-profile-supply-chain-attack-15_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E5%8D%A1%E5%B7%B4%E6%96%AF%E5%9F%BA.png" style="width: 500px;" /></strong></span></a></p> <p><strong style="color: rgb(51, 153, 255);">面對駭客組織濫用憑證的威脅，卡巴斯基提醒華碩應註銷被入侵的憑證</strong></p> <p><span style="color:#808080;"><strong>根據卡巴斯基的研究指出，駭客可能竊取了華碩數位憑證的副本，或是濫用了華碩內部安裝憑證的系統，因此認為這些被入侵的憑證應該要被註銷。但是，在他們向華碩報告的一個月後（如同中顯示3月10日），他們發現華碩新發布的軟體仍使用被入侵的憑證來簽署，因此他們立即通知華碩，並提供相關證據。</strong></span></p> <p><span style="font-size:28px;"><strong>近期華碩大動作進行多項產品的程式碼簽章憑證升級</strong></span></p> <p>在華碩更新伺服器被駭事件傳出後，後續事件處理也是各界關心的焦點。</p> <p>在消息曝光後，華碩已在一日內對媒體發表正式聲明，指出有部份機臺搭載的Live Update版本遭駭客植入惡意程式碼，企圖對少數特定對象發動攻擊，他們強調，已對Live Update軟體升級了全新的多重驗證機制，同時提供ASDT檢查工具，並在當日晚間於官網發布相關公告，期望讓用戶能安心使用。</p> <p>後續，華碩則在官網的FAQ頁面增加相關說明，請用戶更新Live Update到V3.6.8以後的版本，來解決安全問題，這也終於讓用戶可以有更清楚的答案。</p> <p>只是，對於這次事件的影響範圍，該公司只有針對供應鏈攻擊的面向回應，表示受影響的數量為數百臺，但未公布從華碩更新伺服器下載木馬化Live Update的用戶數量。</p> <p>事隔半月後，華碩則是進一步解決程式碼簽章憑證所引發的問題，他們在4月13日發出相關公告，並說明影響的產品包含旗下主機板、顯示卡、迷你電腦、工作站、伺服器等。</p> <p>無論如何，這起事件也再次突顯業者程式碼簽章遭竊的後果與嚴重性，而這樣的狀況，也讓人想到去年臺灣兩家IT廠商D-Link與全景資訊，也被發現憑證遭竊與濫用的問題。接連不斷的事件，該如何防止這樣的事件再次上演，是企業必須重視的問題。</p> <p>更讓人震驚的是，即便是信譽良好的供應商業者，使用的數位簽章證書也可能遭受入侵與冒用，而這將引起其他軟體公司，乃至整個開發過程與更新環境的擔憂。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>華碩更新伺服器遭駭事件處理過程</strong></span></span></p> <p><strong>2019年1月29日</strong></p> <p>卡巴斯基發現遭入侵的ASUS Live Update工具程式</p> <p><strong>2019年1月30日</strong></p> <p>卡巴斯基將初步報告提供給華碩</p> <p><strong>2019年1月31日</strong></p> <p>雙方進行面對面的電話會議。華碩並提供最新版本的華碩Live Update程式給卡巴斯基，經過分析發現它並未受到感染。</p> <p><strong>2019年2月1日</strong></p> <p>華碩提供2018年的Live Update備份檔，經卡巴斯基分析後，發現沒有感染的狀況，並且使用不同的證書簽章。</p> <p><strong>2019年2月14日</strong></p> <p>雙方進行第二次面對面會談，並討論攻擊細節。</p> <p><strong>2019年2月20日</strong></p> <p>卡巴斯基再次提供有關攻擊的新發現細節</p> <p><strong>2019年3月8日</strong></p> <p>卡巴斯基向華碩提供了目標MAC地址列表的新發現</p> <p><strong>2019年3月26日</strong></p> <p>此事經科技媒體Motherboard報導曝光，卡巴斯基也同步揭露關於此次供應鏈攻擊「ShadowHammer」行動的相關資訊，並指出駭客散布惡意更新的時間是在2018年6月到11月間。華碩也於晚間對此發表相關聲明。</p> <p><strong>2019年4月8日</strong></p> <p>卡巴斯基提供一份關於對華碩攻擊調查的綜合報告。</p> <p><strong>2019年4月13日</strong></p> <p>華碩發布產品程式碼簽章憑證維護公告，將對旗下數項產品進行多重性程式碼簽章憑證架構升級，這些產品包括主機板、顯示卡、迷你電腦、工作站與伺服器等。同時，他們也提醒用戶，此項升級作業需撤銷現行的程式碼簽署憑證。</p> <p>資料來源：卡巴斯基、iThome整理，2019年5月</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130415
更新下載伺服器遭濫用事件頻傳，防禦思維也需要跟著轉變
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於<a href="http://www.ithome.com.tw/news/129590" target="_blank">華碩的軟體更新伺服器遭駭</a>，這樣的問題是否有前例？事實上，這種更新機制遭駭客利用已經不是頭一遭。</p> <p>例如，2013年南韓防毒軟體業AhnLab遭APT攻擊一事，就是駭客透過更新伺服器這樣的正常管道，讓企業使用的資安工具變成派毒工具。</p> <p>不過當時的攻擊更為直接，駭客對企業派送惡意程式造成短時間內多間韓國銀行與電視臺遇害，導致使用該防毒的企業電腦與ATM受害，更影響了正常的金融交易運作，這也使得該國政府啟動國家危機管控機制。</p> <p>在臺灣，過去也有安裝下載伺服器遭入侵的案例，例如2014年底，臺灣遊戲代理商Garena的遊戲安裝檔遭到感染，該公司在網站上發出資訊安全公告，同時公司高層也透過公開聲明向玩家致歉，表達對此駭侵事件的重視與負責。</p> <p>從上述兩起關於更新、下載伺服器的受駭事件來看，早有前例可循，但類似狀況並未因此終止。</p> <p>在接下來幾年，又相繼傳出各種形式的滲透攻擊，不是直接從攻破企業防護，而是透過供應商的更新、部署，甚至是開發過程下手，進而威脅到使用這些應用或服務的企業，令人防不勝防。</p> <p>舉例來說，<a href="https://www.ithome.com.tw/article/99232" target="_blank">2015年的蘋果XcodeGhost事件</a>，駭客更是從App開發的環境下手，仿冒一個植入惡意程式碼的山寨版，並散布到中國雲端空間與論壇，讓使用的開發者，打造出的App都具有惡意程式，而這一事件也點出一個現象，那就是許多中國開發者在下載蘋果開發工具時，竟是選擇非官方來源的載點。</p> <p>不僅如此，駭客的下手面向與鎖定對象，都有很大不同與可能性。像是2017年駭客利用在烏克蘭知名的會計軟體，被用來散布勒索軟體NotPetya，不少資安業者更是認為，這是以癱瘓系統為目標的國家級攻擊行動，與前述南韓防毒軟體事件相同的是，駭客攻擊目標有相當明確的區域性。</p> <p>此外，在2017年還有像是知名網管工具Xshell 5、系統清理工具<a href="https://www.ithome.com.tw/news/116984" target="_blank">CCleaner</a>，這類全球都有不少企業用戶的軟體，也都曾經發現被入侵、假冒，而成為駭客散播惡意程式的管道，帶來廣大的影響，這也與此次華碩事件相同，受害的用戶遍及各地。</p> <p>甚至，還有些是鎖定產業上下游的事件，例如駭客從PC業者的合作伙伴下手，像是有研究人員揭露HP電腦的音效晶片驅動程式，內藏鍵盤側錄程式。此外，也有駭客假冒某PDF編輯軟體業者合作伙伴的伺服器，並透過特別的挾持手段，讓用戶安裝PDF軟體時原本要從合作伙伴下載MSI格式的字體包，變成連至駭客伺服器，用戶電腦因而被遞送挖礦程式。</p> <p>上述這些僅僅是部分案例而已，然而我們已經不難看出利用供應鏈的攻擊形式與範圍之廣，而且又難以察覺。</p> <p>在華碩的這次事件後，也再次讓整體產業，都更關注到更新伺服器與憑證的安全問題，更要提醒的是，儘管業者本身財物損失並不嚴重，但無形的商譽卻造成極大的破壞。</p> <p>而最關鍵的問題是，一旦更新伺服器與程式碼簽章憑證受駭，等於駭客就能藉由這樣的合法管道散布惡意威脅，不論是產品開發的公司或是產品用戶，該如何繼續信任這些產品的安全性？</p> <p>對此，面對用戶軟體服務更新有龐大需求的微軟，他們的資訊安全暨風險管理協理林宏嘉也提出他們的觀察。他強調這是一種攻擊邏輯的轉變，業者過去在意的是本身有沒有東西被偷，做好自身的防護，但現在也應該要轉變思維，或許業者本身不是價值標的物，但是駭客可以透過他們去擄獲到很多有價值的標的，因此，本身的防禦也要跟上。</p> <p>林宏嘉並表示，從犯罪的經濟體系來看，過去APT攻擊只是鎖定單一目標採各種針對性攻擊手法。現在駭客更在意的是經濟規模，而從這些軟體業者下手，可一次獲取到眾多的受害者，再來看誰適合成為目標，或者是先知道某群用戶使用的工具，然後搞清楚其產業鍊結構，再從周邊找出容易攻破的點。</p> <p>無論如何，未來這樣的網路威脅還可能會變得更氾濫。在今年初，我們也持續看到許多資安業者發布的2019網路安全預測，都在提醒供應鏈攻擊將是現在的主流。對於軟體開發商或自行開發應用程式的企業團隊而言，近年不斷在提倡安全軟體開發，但軟體部署與交付，以及後續軟體升級與維護的安全，也都不能像過去一樣輕忽。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>當軟體更新伺服器遭駭，使用這些軟體的企業與用戶該如何處置？</strong></span></span></p> <p>一般而言，更新服務的作用不外乎是功能增加強化與漏洞的修補，企業在考量升級穩定性之餘，通常都是信任這樣的更新機制，而這樣的管道一旦被入侵，不論系統、PC與軟體業者的更新服務，其實都將帶來同樣嚴重程度的風險，但涉及系統與底層的威脅層面，還是最令人憂心。</p> <p>在華碩這次傳出軟體更新伺服器遭入侵，讓用戶可能更新了具後門的華碩Live Update版本，事後用戶該如何因應？原則上，就是依照原廠提供的安全公告，將Live Update更新至最新且安全的版本，用戶事後能夠做的事情相當有限。另外，官方還建議若是確認自己受到影響，應備份重要資料並還原作業系統，同時定期更換密碼以保障用戶安全。</p> <p>但對於企業用戶而言，若是這種威脅事件不斷增加的情形下，是否對於這些更新機制也應抱持著零信任的態度？因為這類攻擊已經暴露了軟體更新機制的風險，儘管軟體供應鏈本身需要負相當大的責任，但用戶也可以進一步思考的是，若是不小心發生這樣的問題，該如何降低風險？</p> <p>例如，現有的防護機制是否能查出這樣的風險，是否要增強端點上的偵測與回應機制，或是做出更高要求的管控，以避免未經授權的程式執行。</p> <p>同時，企業要對自己本身的標的掌握度也要夠好，也就是要清楚知道一套軟體安裝在多少臺電腦上，內部總共安裝多少軟體及其更新狀態，即便問題發生也能快速清查影響範圍。而對於企業在內部近端架設的軟體更新主機，是否也應增設檢查的關卡，來減少威脅的發生，</p> <p>無論如何，在軟體供應鏈攻擊的威脅之下，除了供應商要保障本身服務的安全，但用戶與企業本身是否也該採取更嚴謹的做法，因為這已是現今無法迴避的挑戰。</p> <p><span style="color:#3399ff;"><span style="font-size:26px;"><strong>最近6年來軟體供應鏈相關攻擊事件</strong></span></span></p> <p><strong>2013年3月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2013%E5%B9%B43%E6%9C%88_1280px-AhnLab_svg.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#3399ff;"><strong>防毒業者、更新伺服器</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#B22222;"> 韓國防毒軟體業AhnLab遭駭 </span></span></strong></p> <p>駭客控制該公司病毒碼更新伺服器，透過更新病毒檔這樣的正常管道，讓原本派送給企業用戶最新防毒定義檔的方式，變成直接對企業派送後門並傳遞惡意程式。而這次攻擊行動，直接造成多間韓國銀行與電視臺的電腦與ATM受害。</p> <p><strong>2014年11月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2014%E5%B9%B411%E6%9C%88_200X200_GARENA.jpg" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>遊戲代理商、下載伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 臺灣遊戲代理商Garena被入侵 </span></strong></span></p> <p>該公司的遊戲安裝檔伺服器遭駭客入侵，數位簽章也被竊取，影響英雄聯盟（LOL）等三款線上遊戲，導致2014年11月中旬到12月下旬之間，他們在官網供玩家下載的遊戲安裝檔遭感染惡意程式。而業者在12月底，也對外發出安全公告。</p> <p><strong>2015年3月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2015%E5%B9%B49%E6%9C%88_1200x630bb.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>App開發工具</strong></span></p> <p><a href="http://www.ithome.com.tw/article/99232" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 蘋果XcodeGhost事件 </span></strong></span></a></p> <p>駭客從蘋果開發工具Xcode著手，從其官網下載正版並植入惡意程式碼，再將盜版藉由雲端空間與論壇散，導致用其開發的App都具有惡意程式。事件在2015年9月被揭露，影響App數量超過4千個，同時突顯中國開發者竟選擇非官方來源的載點的普遍現象。</p> <p><strong>2015年12月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2015%E5%B9%B412%E6%9C%88%EF%B9%8DHP_logo_630x630.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>PC業者上下游</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> HP電腦音效卡內藏鍵盤側錄 </span></strong></span></p> <p>HP電腦在2017年5月被研究人員Modzero發現內含了側錄程式，問題出在IC設計業者Conexant所生產的音效晶片驅動程式，該研究人員並從檔案的metadata發現，該鍵盤測錄程式，至少在2015年聖誕節期間，就已存在於HP筆電上。</p> <p><strong>2017年3月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2017%E5%B9%B43%E6%9C%88_225px-Flag_of_Ukraine_svg.png" style="text-align: center; width: 250px; margin: 3px; float: right;" /></p> <p><span style="color:#B22222;"><strong>會計軟體、更新伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 烏克蘭會計軟體供應商遭入侵 </span></strong></span></p> <p>當地具有高市占率的會計軟體M.E.Doc，其供應商Intellect Service的更新伺服器在2017年3至6月間遭入侵多次，向其客戶與及其他外部網站散佈勒索軟體NotPetya，經烏克蘭警方在2017年7月破獲。值得注意的是，多數研究人員認為，NotPetya是國家支持的攻擊行動，而對象就是烏克蘭。</p> <p><strong>2017年7月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2017%E5%B9%B47%E6%9C%88Xshell%205_.jpg" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>網管業者、更新伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 網管工具軟體Xshell 5遭植入後門 </span></strong></span></p> <p>網管工具業者NetSarang遭入侵，他們旗下的Xshell軟體遭駭客修改了程式碼並嵌入惡意檔案，並使用了合法的數位簽章，來執行後門程式ShadowPad，幫助攻擊者私自蒐集目標裝置資料。卡巴斯基實驗室在2017年8月公布相關細節。</p> <p><strong>2017年8月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2017%E5%B9%B48%E6%9C%88_CCleaner_logo_2013.png" style="text-align: center; width: 250px; float: right; margin: 3px;" /></p> <p><span style="color:#B22222;"><strong>系統清理工具、下載伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 系統清理工具CCleaner遭植入後門 </span></strong></span></p> <p>Ccleaner的官網下載被入侵，駭客入侵了Avast剛併購的Piriform公司下載伺服器，使得CCleaner 5.33的Windows版遭到感染，被植入二階段後門。這起事件經Cisco Talos在9月揭露，感染期間為一個月，當時，受感染的程式，已被下載兩百多萬次。</p> <p><strong>2018年1月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2018%E5%B9%B41%E6%9C%88_PDF.png" style="text-align: center; width: 250px; margin: 3px; float: right;" /></p> <p><span style="color:#B22222;"><strong>軟體業者合作伙伴伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 某一PDF編輯器的合作伙伴伺服器遭入侵 </span></strong></span></p> <p>微軟在2018年7月揭露一起供應鏈攻擊事件，駭客建立仿冒PDF編輯器軟體之合作夥伴的伺服器，從該合作夥伴提供的字體包MSI檔案著手，注入惡意的虛擬貨幣挖礦程式碼。攻擊行動在1月到3月間，讓使用者下載並執行PDF編輯器時，會自動從假冒伺服器中安裝字體包。</p> <p><strong>2018年6月</strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2018%E5%B9%B46%E6%9C%88_AsusLogo.png" style="text-align: center; width: 250px; margin: 3px; float: right;" /></p> <p><span style="color:#B22222;"><strong>PC業者、更新伺服器</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 華碩筆電軟體更新主機遭入侵 </span></strong></span></p> <p>華碩的更新伺服器遭攻破，駭客偷偷藉由更新機制散布後門，這起事件在今年1月被卡巴斯基發現並通知華碩，並於三月曝光於媒體，而根據卡巴斯基的研究，散布惡意更新的時間是在2018年6月到11月這段期間，影響用戶數達百萬。</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130417
【提升軟體更新服務的安全層級，不讓駭客有機可趁】從開發到更新的流程，都要落實安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這次<a href="https://www.ithome.com.tw/news/130417" target="_blank">華碩更新伺服器遭濫用所引起的安全問題</a>，讓軟體供應鏈攻擊的威脅再受重視，然而，本身提供軟體更新服務的企業，該如何面對這樣的風險？才能讓企業與用戶都能夠繼續信賴，成為各界關注焦點。</p> <p>在這次事件後，已經提醒了其他所有提供更新服務的業者，不能忽視這方面的安全。那麼，是否能有簡單的原則要能夠遵循？簡單而言，不論是在軟體更新檔案上線的流程，或是軟體更新檔案上傳伺服器後，都必須確認檔案的一致性，並要能做到即時的監控。</p> <p>對此，賽門鐵克首席顧問張士龍更指出3個重點面向：第一點是這次供應鏈攻擊所設涉及的部分，包括更新程式的安全管理，負責發布更新的主機安全防護，以及憑證的管理等；第二點是檔案派送方面一致性的檢測；第三個則是部署流程方面的各環節，也要有相對應的檢查與流程控管。而其中所有流程的安全控管，更是他所強調的部份。</p> <p>另外，近年在許多安全議題都提及的白名單機制，也能套用在這些開發相關的伺服器，以及更新伺服器上，協助做到較嚴格的管控。</p> <p>當然，這些安全管控不算新的概念，大型企業也應該都有實施資訊安全管理制度，因此是否能夠落實將是關鍵，或是企業根本沒有顧及這些方面，那麼現在就應該要有所重視。而從這次華碩的更新檔案被加料，以及數位簽章憑證遭濫用來看，對於其他提供更新下載服務的企業而言，同樣也該有所警惕。</p> <p><span style="font-size:28px;"><strong>正視軟體供應鏈攻擊的威脅，總共有5大攻擊面向必須要注意</strong></span></p> <p>深入探究下去，對於這次華碩更新主機遭駭的事件，其實許多資安專家也都提到了幾個需要注意面向，包括是在軟體開發的過程，以及發布與部署的環節，甚至後續的維運管理。畢竟，關於更新檔案被駭客植入惡意程式碼，是有可能發生在某一環節。</p> <p>其中，關於安全軟體發展生命週期（SSDLC）的重要性，近年各界已經不斷在呼籲，目的就是要避免駭客借道軟體漏洞著手破壞或加料，然而最後的部署維運階段，以及發布到自動更新服務這一部分，過往並未特別受到重視，如今卻可能成為被忽略的一個環節。更進一步來看，企業若要全面掌握可能發生問題的環節、盤點防護面向，設法認識攻擊者下手方向，就是最好的方式。</p> <p>根據美國國家反情報與安全中心（NCSC）的研究，他們在2017年10月公布了相關資料，多起軟體供應鏈攻擊案例之中，我們可將駭客下手的環節歸納為5個方面，包括軟體工具（開發工具、軟體開發套件）、內賊（開發者）、程式碼、Updates/Patch更新主機與下載主機。</p> <p>而在MITRE提出的ATT&CK知識庫中，也針對軟體供應鏈入侵手法而提出說明，這裡面提到，駭客能在供應鏈的任何階段入侵，不只是操縱開發工具、開發環境、原始碼程式庫，以及入侵更新、部署機制，也會藉由感染映像檔，修改版本替換，以及從分銷管道下手。</p> <p>更要注意的是，這些手法已不是概念是想像，而是真實的活動，有多家資安業者都在2019年的預測中，認為軟體供應鏈攻擊是相當顯著的威脅態勢，而在賽門鐵克最新的網路安全威脅報告（ISTR），更是指出2018 年的攻擊較往年增加了78%。而攻擊者之所以會選擇劫持軟體更新，就是一次能感染龐大的目標，是相當有效率的攻擊手法。</p> <p>無論如何，類似這樣的事件一定會繼續發生，已經成為軟體開發商與企業、一般消費者必須正視的問題，也是不得不面對的重大挑戰，因為既有信任的管道早已被打破，這也將是所有企業與資安界同樣要面對的難題。</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130419
【涉及遠端派送與集中控管的應用軟體，都必須強化安全防護】不只更新管道，所有軟體派送方案也會被當成濫用目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/130415" target="_blank">當企業軟體更新服務被駭客盯上</a>，讓原本信任的管道成資安破口，而這次華碩更新主機遭駭事件，更讓企業憂心的是，是否還有其他過去信任的管道，也可能帶來同樣的風險。</p> <p>在這次議題中，多半是圍繞在軟體更新服務討論，但是，也有資安服務業者提出不同層面、但架構類似的問題，讓我們注意到更多的威脅面。例如，除了有更新服務會被濫用，駭客若要散布惡意程式，也可以在企業內部利用正常的軟體派送管道，像是任何有中央控制臺架構、具備軟體派送功能的系統。</p> <p>事實上，多年前已有資安專家提醒，憂心這些預設的信賴機制，也會是駭客下手的目標，不過我們較少看到這類事件被揭露。在這次報導過程中，我們找到經常協助企業進行資安事件處理的安碁資訊，該公司技術副總黃瓊瑩也以他們的經驗，說明這種威脅的實際存在。</p> <p><span style="font-size:28px;"><strong>除了連外上層管道，企業內部建置的軟體派送工具也面臨入侵風險</strong></span></p> <p>在2015年，已有類似的駭客攻擊手法，是在企業內網中啟動了假冒的防毒中控主機，會先向原本真正的防毒中控臺要求資訊，以取得註冊數與版本等相關參數，接下來再向用戶端程式發送封包，通知向新的主機報到，藉此派送惡意程式後再消失。黃瓊瑩表示，透過事後的調查分析，他們才發現這起事件的更新路徑有問題，同時也注意到軟體缺乏相應的下載檢查機制，甚至還發現駭客曾利用通知降版方式，來規避既有檢查的狀況。後續，防毒業者也對此改良防護機制，像是在產品部署註冊時，都會用公鑰架構來加密，讓上述假冒、掉包的方式無法進行，因此，在2016年後，已較少看到這樣的問題。</p> <p>但是，這樣的攻擊手法也不斷變化。在2018年他們又看到這樣的威脅，原因出在企業內部管理的問題，被駭客竊取相關的金鑰，使得駭客又可以原本的假冒方式來攻擊。另外，他們在2016年也發現有駭客是利用資產管理系統，來散布惡意程式。這也表示，入侵者相當清楚這些軟體的架構與溝通方式。</p> <p>對此，黃瓊瑩指出，以往企業都會重視AD伺服器的防護，但萬萬沒想到這些具有中控、遠端派送功能的系統，也能被駭客操弄。因此，在現行攻擊手法的轉變之下，他認為，不論是防毒中控臺、資產管理系統、更新主機，這些系統的防護層級，都應該要提升到如同AD伺服器防護，予以更嚴格的管理。</p> <p>更值得關注的是，黃瓊瑩還大膽預測下一波濫用的管道，很可能會是政府組態基準設定與檢測工具（GCB），這也意謂著政府組織要特別關注。</p> <p>此外，對於最近發生的更新伺服器主機遭駭事件，黃瓊瑩也強調伺服器本身金鑰防護的重要性，可多多利用HSM（Hardware Security Module）、IC卡，強化金鑰管理的安全。</p> </div></div></div>
2019/5/8 09:00作者羅正漢https://www.ithome.com.tw/news/130421
蘋果悄悄推出自製手遊，學巴菲特送報紙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近蘋果悄悄地推出了支援iOS的手機遊戲<a href="https://itunes.apple.com/us/app/warren-buffetts-paper-wizard/id1461432935" target="_blank">《Warren Buffett's Paper Wizard 》</a>（華倫巴菲特的報紙精靈），以向蘋果最大投資人之一的巴菲特致敬。</p> <p>其實該款遊戲的製造商為Wildlife Design, Inc，但版權歸蘋果所有，它是款免費遊戲，基於股神巴菲特童年的送報經驗所創造。巴菲特12歲時開始送報，騎著腳踏車在不同的路線分送不同的報紙，為了改善送報的效率，他訓練自己不必下車甚至不需停車，就能把報紙扔到對的門口或草坪，也會規畫送報路線，童年累積的經驗讓巴菲特把它當成遊戲，還在股東大會上舉辦丟報紙大賽。</p> <p><a href="https://thenextweb.com/apple/2019/05/06/apple-game-paper-wizard-warren-buffett/" target="_blank">《Warren Buffett's Paper Wizard 》遊戲</a>很簡單，就是一款可以訓練玩家丟報紙技術的遊戲，例如可以一邊閃避飛鳥或車輛，同時能夠準確地把報紙丟到訂戶家中，藉以賺取華倫幣，還會有等級不同的關卡。</p> <p>現年88歲的巴菲特曾多次公開表達對蘋果的喜愛，他是多元控股公司Berkshire Hathaway的最大股東，而Berkshire Hathaway則持有5%的蘋果股票。</p> <p>這應該是蘋果史上第二次推出手機遊戲，蘋果曾於2008年推出支援iPhone的《Texas Hold’em》（德州撲克》，售價為4.99美元，但已於2011年下架。</p> </div></div></div>
2019/5/7 17:20作者陳曉莉https://www.ithome.com.tw/news/130462
2019 Build開發者大會登場！微軟Azure平臺、Microsoft 365再成焦點，AI與協作能力大進化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【西雅圖現場直擊】微軟開發者大會BUILD 2019於今日（美西時間5月6日）開始連續三天舉行，針對會前即透露將為Azure平臺所發表的全新服務與開發技術，在今日上午的主題演講中都給出了更多的答案。</p> <p>在第一天的大會上，微軟執行長Satya Nadella不僅在主題演講談到微軟各平臺的最新發展，以及他們的願景，同時他並指出，在萬物連網與皆具備運算能力的時代下，信任是相當重要的一件事，而微軟也因此聚焦在隱私、網路安全以及負責任的AI這三大方面，期望提供開發者一個可信賴的平臺，這已是他近年不斷反覆強調的重點。</p> <p><strong>Azure平臺認知服務再進化，AI應用更廣泛</strong></p> <p>就微軟現在的布局來看，他們在平臺上的發展可分成四大側重面向，包括Azure、Microsoft 365、Dynamic 365與Gaming，而這次最多更新與吸睛的部分，就是在Azure與Microsoft 365這兩大面向。</p> <p>首先，從Azure平臺的發展來看，隨著AI技術的廣泛發展，微軟今年將之應用在Azure服務與功能的態勢也變得更為明顯。</p> <p>例如，在微軟推出已經3年的Azure認知服務中，Nadella介紹了當中的5大類別項目，分別是辨識（Vision）、語音（Speech）、語言（Language）、搜尋（Search）與決策（Decision）。值得我們關注的是，去年微軟即對認知服務推出更多新服務及功能，並聚焦在現場影像即時分析與強化Chatbot應用。在今年Azure服務的新重點上，不僅是讓其認知服務的能力更提升，並且也將在應用層面帶到建議與決策之用，可為用戶提供具體建議，方便用戶有效率作出決定。</p> <p>例如，在語音（Speech）類別項目之下，Nadella特別介紹了一項還處於預覽版的新服務──對話者辨識功能，從微軟現場同仁的示範，可以清楚看出當不同人輪流說話時，除了做到即時的語音轉文字（Speech-to-text），同時也能夠辨識出誰在發言。</p> <p>而且，所需要的硬體設備也比去年的示範時更簡單，現在桌面上只擺一臺Surface筆電，搭配Azure speech service就可以完成，而不像是之前展示時，硬體搭配的是一款具有360度鏡頭與矩陣麥克風的裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在Azure認知服務中的語音（Speech）類別項目下，展示了一項預覽版的新功能，在語音轉換文字時還可辨識發言者身分，這也將讓會議記錄的工作更容易自動進行。</p> </blockquote> <p>另外值得一提的是，在認知服務當中，決策類別是近期新增的項目。主要是方便開發者透過API，迅速運用此一決策類型的服務，來打造可提供明智與有效決策建議的產品或應用程式。</p> <p>目前，微軟在決策類別下共提供了3個新的服務項目，分別是：內容審核（Content Moderator）、偵測異常（Anomaly Detector）與個人化（personalizer）服務。其中，內容審核的作用是，可針對圖像、文字與影片過濾不適當內容，並內建人工審核工具，可在人機共同作業下產生最佳的仲裁結果，而另外兩項還處於預覽版的階段，偵測異常剛推出不久，而個人化服務則是基於增強學習模型（Reinforcement Learning），再根據即時資訊提供建議。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2B）2019Build大會主題演講直擊.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962B%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></a></p> <blockquote><p>不僅如此，還有更多關於Azure方面的人工智慧應用，在另一場今日早上的主題演講中，微軟全球執行副總Scott Guthrie，他也是微軟雲端及人工智慧事業部負責人，談到Azure認知搜尋方面的新進展。例如，能夠幫助從結構化與非結構化的內容得到更深入的分析結果。</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在Azure機器學習的新特色中，Scott Guthrie還提到自動化機械學習演算法，以及將MLOps功能整合在去年下半發布的Azure DevOps中，同時其使用者介面更直覺，讓用戶能夠直接以拖曳方式建立ML模型。此外，還有硬體加速的支援，如FPGAs的硬體加速模型服務，以及在ONNX Runtime上支援NVIDIA TensorRT與Intel nGraph等。</p> </blockquote> <p>至於其他Azure方面的新進展，Nadella也提到Azure在零售業、農產生產、醫療、金融市場、電信的許多應用案例。他並以星巴克用上Azure平臺的各式技術來舉例，包括Azure AI、Azure IoT、Azure Sphere與Azure Block Chain Service等，他們認為，這些技術的應用搭配，將是打造一個更智慧化數位消費體驗的關鍵。</p> <p>再者，Azure服務下的Bot Framework與混合實境（MR）的應用，Nadella也從一些應用實例來說明，期許成為開發者打造新一代數位體驗的利器。</p> <p>無論如何，Azure技術的應用上已有幾個明確的目標，AI當是無庸置疑，其他還包括了 MR、IoT與區塊鏈，這些例子其實都是為了突顯微軟是從這幾個面向，要為開發者帶來更多的幫助。</p> <p><strong>Microsoft 365大進化，瀏覽器Edge提供IE模式與Fluid Framework最吸睛</strong></p> <p>在Microsoft 365的部分，在今年Build大會上的比重比往年要明顯提升許多。Nadella指出，現在Microsoft 365的主要構面包括了Windows、Office、瀏覽器Edge瀏覽器與協作工具Teams，值得關注的是，微軟將以Microsoft Graph知識圖譜技術為基礎，應用在整個Microsoft 365平臺之中。而且，Edge瀏覽器是Nadella這次所強調的重點。</p> <p>簡單來說，Microsoft Graph將可在資料存取安全的條件下，串連起機構組織內部的從屬關係、資訊與活動，進一步分析其中的關連性，幫助帶來員工作業與協作方式的改進。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>在Azure平臺之外，Microsoft 365也成為今年一大焦點，在2019 Build開發者大會今日的主題演講中，其中又以Edge、Teams與Microsoft Graph最受注目。</p> </blockquote> <p>較為意想不到的是，Edge瀏覽器的全新功能首度揭露。提到Edge瀏覽器方面，大家首先想到的應該是去年底宣布將改採Chromium為核心的消息，在這次大會上，Nadella宣布了3個Edge瀏覽器上的全新功能，分別是IE模式、隱私工具與收藏（Collections）。</p> <p>其中的IE模式最引人注目，不僅是提供更好的網頁相容性，看起來這對於仍使用老舊IE的用戶而言是一項利多，讓企業可以在Edge瀏覽器上以IE模式，執行舊的Web應用。</p> <p>第二個功能是隱私保護工具，這裡主要分成三個保護等級，分別是無限制（Unrestricted）、平衡（Balanced）與嚴格（Strict），現場也展示了用戶透過網址前的鎖頭圖示，能夠檢視第三方追蹤的程度，像是允許與封鎖的數量。</p> <p>第三個是收藏功能，將提供更好的內容擷取與蒐集方式。在現場示範中，使用者可將不同網頁上的圖片、文字與其他元素，以拖曳方式收藏各式資訊到右側窗格之中，之後用戶要保留這些內容，可以匯出成Office文件（Excel、Word）或寄送電子郵件。看起來，這樣的功能與過去一些筆記軟體的瀏覽器外掛元件功能有點像，但好處在於將是內建的應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>強化協作能力是近年微軟不斷發展的一大焦點，在這次大會上微軟宣布了名為Fluid Framework的新技術架構，將讓未來Microsoft 365平臺的協作能力提升到新的境界。</p> </blockquote> <p>另一值得關注的新技術，是一個名為Fluid Framework的應用，根據微軟的說法，不論是在網頁或文件上的共同編輯，該技術將能打破傳統協作應用的隔閡。</p> <p>舉例來說，這項技術將可讓開發者應用在任何瀏覽器上，提供更方便的人與人協作，同時，為了展現Fluid的一些特性，現場也展示了使用者與AI的協作應用。例如，當使用者輸入一句英文時，示範畫面上的9個Word介面中，將可以看到在輸入時會自動即時翻譯成9種語言；另外，微軟也展示了這種模組化的協作式結構設計，例如，將Word中插入的表格內容，複製到不同的應用程式中，例如Teams的交談對話框中，使用者在Team對話框中仍然能使用表格常用排列方式篩選功能，而且，不論任一方編輯表格資料，都能同步即時更新，即使該資料寄送到Outlook中也一樣。</p> <p>其實，過去在Word內插入Excel表格時，我們也曾看過這樣的概念，但現在微軟透過Fluid的框架，讓這樣的應用可以適用的範圍可以更加廣泛，也讓未來的協作應用。</p> <p>此外，Nadella在大會現場也展現了對話式AI的願景，要讓所有工作、安排都能透過對話式AI來完成，而這將是他們未來所要朝向的重要目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%892019Build%E5%A4%A7%E6%9C%83%E4%B8%BB%E9%A1%8C%E6%BC%94%E8%AC%9B%E7%9B%B4%E6%93%8A.jpg" style="width: 600px;" /></p> <blockquote><p>最後，Nadella也強調了協作工具Teams的重要性，整合了即時通訊、視訊會議與豐富的協作特性。最特別的是，微软還展示了一項Teams與3D業者Spatial應用的整合情境，讓使用者戴上微軟第2代混合實境頭戴裝置HoloLens 2之後，接著在Teams執行Spatial的應用，透過掃描QRcode的方式加入一個混合實境的空間，打造出不僅是炫麗且未來可能實現的協作應用情境。</p> </blockquote> </div></div></div>
2019/5/7 13:26作者羅正漢https://www.ithome.com.tw/news/130433
Build 2019：微軟將在今年夏天開源量子開發套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloudblogs.microsoft.com/quantum/2019/05/06/new-plans-to-open-source-more-of-the-quantum-development-kit/" target="_blank">微軟在Build開發者大會上宣布</a>，將在今年夏天透過GitHub<a href="https://www.geekwire.com/2019/microsoft-will-open-source-parts-q-programming-language-behind-quantum-computing-strategy/" target="_blank">開源量子開發套件</a>（Quantum Development Kit），包括Q#程式語言編譯器及量子模擬器。</p> <p>微軟的量子開發套件含有Q#程式語言、Q#編譯器、Q#函式庫、量子模擬器、函式庫與範例等，微軟已於去年開源量子函式庫及範例，今年夏天則將開源Q#編譯器與量子模擬器。其中的編譯器，可將開發人員所撰寫的程式碼轉成電腦可讀取及執行的程式，模擬器則可用來測試各種量子應用程式。</p> <p>換句話說，微軟的量子開發套件將可支援不同階段的量子程式開發，從學習基本的量子概念、撰寫第一個量子程式，到提供真正的量子解決方案。</p> <p>目前微軟已與美國西北太平洋國家實驗室（PNNL）合作打造了化學函式庫，允許化學家模擬分子互動，或是探索量子演算法於該領域的實際應用。</p> <p>此外，微軟也建立Microsoft Quantum Networt，來召集對量子運算有興趣的個人或新創企業，其中的1QBit打算已在幾個月後貢獻兩個與化學研究有關的程式碼範例，其中之一鎖定變分量子本徵求解（Variational-Quantum-Eigensolver，VQE），另一個則可用來示範密度矩陣嵌入理論（Density Matrix Embedding Theory，DMET）。</p> <p>量子開發套件的開源，除了能夠吸引對量子運算有興趣的開發人員之外，也讓那些被規定要採用開源軟體的學術機構得以部署Q#。</p> <p>儘管大家相信量子運算將能帶來革命性的運算能力，但對於實現此一願景的時程表或殺手級應用尚無共識。</p> </div></div></div>
2019/5/7 16:20作者陳曉莉https://www.ithome.com.tw/news/130459
報告：iPhone XR電池續航力官方數值大灌水
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國消費者團體近日公佈<a href="https://press.which.co.uk/whichpressreleases/apple-significantly-overstates-iphone-battery-life-compared-to-which-tests/" target="_blank">市面手機的測試報告</a>指出，蘋果過於誇大iPhone電池續航力的數據，有的機種甚至灌水50%。不過蘋果以測試結果無從比較為由予以駁斥。</p> <p>英國消費者監督機構Which?今年4月針對市面上5個品牌，包括iPhone、三星、HTC、Sony、Nokia的50多款手機進行充飽電後的連續通話時間測試。每個品牌最少測試6款手機，再將測試結果計算出平均通話時間，再與各廠商自行拿出的數據比較。</p> <p>在Which?測試的9隻iPhone手機中，全部都不及蘋果宣稱的通話時間。事實上，蘋果的數據比Which?測出的數據多了18%到51%。差最多的是iPhone XR，蘋果宣稱可以用25小時，但實際測試只有16小時32分鐘，差了51%。</p> <p>HTC也有些微名實不符的狀況。測試顯示電池可通話19.6小時，比HTC宣稱的20.5小時少了5%。</p> <p>有趣的是，其他三家廠商竟低估自己手機的續航力。Which?測得Sony手機平均通話時間為16小時，比Sony提供的12.6小時還高出21%。其中Sony Xperia Z5 Compact在測試中測得的通話時間達25小時52分，比它公開宣稱的17小時多出將近9小時。</p> <p>不過這家消費者監督組織並未說明其他測試因素，包括螢幕亮度、App使用、訊號大小或背景程式執行狀況等。</p> <p>對於此測試結果，僅兩家廠商做出回應。蘋果指出，自家產品經過嚴格測試，蘋果對其電池續航力的數據有信心。基於軟硬體的嚴密整合，iPhone具備智慧耗電管理功能，可最大化電池續航力。蘋果表示Which?並未公佈其測試方法，因此該公司無從比較兩項數據。</p> <p>HTC則表示其產品效能經過全面嚴格測試，設定及測試環境的誤差，可能導致HTC和Which?測試結果有些出入。</p> <p>蘋果一向很重視消費者單位做出的產品評測。2017 年底《消費者報導》（Consumer Report）針對新MacBook Pro測試，以電池續航力不穩定為由，首度做出不推薦的結論，引發蘋果的關切。在經過合作追查下<a href="https://www.ithome.com.tw/news/111097" target="_blank">找到原因</a>出在一項Safari瑕疵上。蘋果加以修補後，使該報導團隊在第二度測試中，出現一如蘋果宣稱的結果。 </p> </div></div></div>
2019/5/7 16:30作者林妍溱https://www.ithome.com.tw/news/130460
微軟預計明年底發布.NET 5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://devblogs.microsoft.com/dotnet/introducing-net-5/">微軟近日宣布繼.NET Core 3.0 之後的下一個版本是.NET 5</a>，預計在2020年11月推出，2020年的上半年先推出第一波預覽版，而.NET 5將是.NET系列中最重要的版本，從此之後將會只有一個.NET，能夠支援Windows、Linux、macOS、iOS、Android、tvOS、watchOS和WebAssembly等，.NET 5也會新增.NET API、runtime和語言功能。</p> <p>從 .NET Core專案開始，微軟就已經在平臺中，加入了約5萬個.NET框架API，.NET 5利用.NET Core和Mono，建立了一個單一平臺，使開發者可以在任何地方，執行所有現代的.NET程式碼，統一執行行為和開發者的體驗。微軟指出，.NET 5將會是.NET重要的轉折，無論開發者建置的是哪一類型的應用程式，程式碼和專案檔案都會是相同的，每個應用程式都能夠使用相同的runtime、API和語言功能。</p> </div></div></div>
2019/5/7 16:50作者何維涓https://www.ithome.com.tw/news/130448
今夏Windows將開始內建Linux核心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2014年Satya Nadella上任微軟執行長喊出的「微軟愛Linux」，看來不是口號而是真的深深愛上了，<a href="https://devblogs.microsoft.com/commandline/shipping-a-linux-kernel-with-windows/">微軟宣布從今年夏天的Windows Insiders版本，將開始內含Linux核心</a>，用來支援最新版本適用於Linux的Windows子系統（Windows Subsystem for Linux，WSL），微軟提到，這是Linux核心首次成為Windows的元件共同發布。</p> <p>WSL是微軟2016年推出的功能，讓開發者可以在Windows上執行GNU/Linux環境，包括Bash shell等命令列工具、公用程式甚至是X視窗系統等應用程式，WSL提供由微軟開發的Linux相容核心介面，開發者可以在其上執行GNU使用者空間，像是Ubuntu、openSUSE與Kali等Linux版本，而現在微軟乾脆直接讓Windows附帶Linux，並且同時發表了名為WSL 2的最新WSL架構。</p> <p>這個版本的Linux核心使用最新長期穩定版4.19，為確保WSL核心始終維持最新的版本，因此當新的Linux長期穩定版本釋出，微軟會對核心進行衍合（Rebase）。這個Linux核心使用來自Kernel.org的長期支援版本來源外，也應用許多微軟客製的補丁，目的是要縮短啟動時間、減少記憶體使用，以打造出小而輕量的WSL 2核心。</p> <p>微軟提到，他們現在聘用越來越多的Linux貢獻者，除了可以獲得更多的Linux技術支援外，他們也從上游直接對Linux做出更新，在使用Linux的過程同時對Linux做出貢獻。雖然微軟仍有多項針對核心的更新，尚未包含在這次使用的Linux核心中，但是會包含在未來使用的核心版本，微軟表示，維護下游的補丁不只增加複雜度，也並非開源社群的標準做法，因此他們傾向開發產品需要的補丁，並與社群合作整合上游程式碼。</p> <p>在安全性上，WSL核心微軟使用自家的CI/CD系統建置，並透過Windows Update提供更新服務，確保核心能夠持續維持最新穩定版本，免受Linux漏洞影響安全。WSL 2提供的內核是完全開源的，在Windows Insider版本中發布的WSL 2，也將會在GitHub釋出說明，有興趣的開發者甚至可以開發自己的核心。</p> </div></div></div>
2019/5/7 17:00作者李建興https://www.ithome.com.tw/news/130449
微軟靠Semantic Machines對話式AI技術，要讓Cortana更聰明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://blogs.microsoft.com/ai/microsoft-build-future-of-natural-language/">微軟最近在Build大會上展示智慧助理管理用戶行程的應用場景，並發布未來對話式AI的願景</a>，微軟的下一代智慧助理技術，將會利用去年收購的Semantic Machines公司，在對話AI和機器學習的技術，創造出能夠理解上下文、更加智慧化的對話式AI語音助理，該技術也會應用在更多微軟的產品和服務中，來增進對話體驗，這項技術將來也會在微軟Bot框架中推出。</p> <p>微軟認為，雖然現今的智慧語音助理有各式各樣的技能，能夠查看天氣預報、回報交通狀況和運動賽事，還能播放音樂、翻譯、算數、講笑話以及傳送訊息等，但是現今的語音助理無法用上下文意來協助用戶做決定，舉例來說，語音助理不會在安排戶外區的會議之前，先確認天氣預報。</p> <p>自然語言介面技術的目標是使人類與電腦，能夠用像人類之間對話的方式來溝通，微軟的自然語言介面就是要讓用戶可以用自然的方式表達，不需要理解AI語音助理是如何運作的，而現在的智慧語音助理，像是Cortana是用機器學習從用戶的指令中，理解用戶的意圖，再根據意圖，來觸發預先設定好的一系列動作。</p> <p>由於回應指令的規則是手動設計的，開發者必需針對每一個使用場景，預測所有會用到的技能，來為每個使用場景撰寫腳本，但人類能夠設想的應用場景和腳本有限，因此，這樣的方式限制了語音助理能處理的領域和功能。</p> <p>Semantic Machines的對話系統是使對話AI學習上下文和概念，將機器學習技術擴大使用，不僅針對意圖辨識，而是整個系統的運作，也就是系統可以從自身的資料中學習，該系統能夠學習如何將人類的詞語，與運算步驟連結，來執行用戶請求的任務，例如，系統會透過大量的文句範例，學習如何擷取運動比賽分數，此外，機器學習技術還能使系統從已知的內容，產生出新的內容，用更多方式來學習做更多事。</p> <p>另外，Semantic Machines的對話系統能夠記錄對話上下文，還能同時講話和聆聽，Semantic Machines稱之為full duplex capability。</p> </div></div></div>
2019/5/7 16:00作者何維涓https://www.ithome.com.tw/news/130447
亞洲大學和臺灣金融科技公司聯手，要用AI和區塊鏈打造國產應鏈金融平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">亞洲大學聯合臺灣金融科技公司正在研發一項國產的供應鏈金融信用分析技術Fusion$360，結合AI和區塊鏈技術，來分析供應鏈上下游業者，甚至是競爭對手的情報，來評估中小企業的信用風險，作為銀行徵信參考，進而提高這些中小企業借貸成功的機率。</p> <p dir="ltr">這項計畫主要推手亞洲大學大數據研究中心主任林蔚君表示：「在金融與科技結合的浪潮下，我們可以運用各式各樣的管道蒐集更多資訊，進一步做更好的徵信，讓更多人享有借貸的服務。」她強調，供應鏈金融是近兩年才興起的概念，雖然已有企業已經開始提供服務，但以區塊鏈及AI技術來實踐的案例不多，這也是亞大團隊與其他業者的不同之處。</p> <p dir="ltr">相較於大公司，中小型、林蔚君指出，小規模的企業通常因資訊不透明、缺乏信評基礎，導致銀行必須花更多時間與人力來辦理業務，自然會降低授信意願，而影響了其借貸額度。而中小微型企業無法取得授信，不僅會因資金周轉不順無法擴大投資，也容易選擇高利率的信用卡融資，來滿足短期周轉需求，長久以往不利於企業的經營與擴展。</p> <p dir="ltr">近兩年來，國外開始興起「供應鏈金融」服務，整合供應鏈資訊，設法將單間企業不可控的融資風險轉化成可控的風險。林蔚君也帶領的亞洲大學團隊，也運用<span style="color: rgb(84, 84, 84); font-family: arial, sans-serif; font-size: small;">灣金融科技公司</span>Fusion$360平臺的API管理系統APIM、區塊鏈及AI技術，來研究新的供應鏈信用分析方法。林蔚君表示：「我們要讓借貸真正落實大中小微型企業或個人，達到普惠金融的目的。」</p> <h3 dir="ltr"><span style="color:#FF8C00;">整合上下游競合企業情報和第三方資料來訓練徵信AI模型</span></h3> <p dir="ltr">首先，研究團隊採用Fusion$360的APIM平臺，即時同步供應鏈上下游資訊，也利用此平臺提供的區塊鏈技術，來確保供應鏈中的商業票據、交易紀錄等資料不被篡改。</p> <p dir="ltr">研究團隊接著以自然語言處理技術，設計出供應鏈上下游關聯的輿情探勘技術，可以用來分析多種企業資料。林蔚君指出，不僅要用企業本身的財務報表來評估風險，還納入供應鏈上下游體系、競合企業的情報，包括中心廠的訂單與應收應付帳款、企業過往的交易紀錄、外部網站蒐集到的第三方資料等。</p> <p dir="ltr">蒐集了資料並標記後，研究團隊再利用機器學習進行供應鏈上下游關係與競合關係的預測，來建立一套供應鏈信評模型，用以分析中小企業的隱性經營績效與未來風險。此外，林蔚君指出，也透過區塊鏈認證的機制，讓AI模型產生的信評分析更可信。</p> <p dir="ltr">此研究目前使用了三組數據實際驗證，分別來自TEJ資料庫、國際銀行以及半導體零組件通路業者。例如某家半導體零組件通路業者近三年來、與15,000家客戶的交易資料，其中包括專利、部落格與公司負責人網絡等外部非結構化資料，並透過機器學習建構出上下游與競爭企業關係圖，以此強化信用評等，林蔚君指出，目前這個模型在預測企業違約（應付卻無付款）的準確率高達80%。</p> <p dir="ltr">另外，研究團隊也以TEJ資料庫中，近3000家上市上櫃公司、上下游競合企業的財務資料，來預測該企業下市下櫃的風險，準確率高達近95%。林蔚君說明，用供應鏈資訊來衡量，比傳統作法單看一家公司來衡量企業信用的作法，前者的效果可以更好。目前亞大研究團隊已經與三家中心廠及一間銀行簽訂MOU，目標要在明年成立新創公司，實際推動技術的應用。</p> <h3 dir="ltr"><span style="color:#FF8C00;">亞大供應鏈金融服務打破生態系限制，要與國際同類服務區隔</span></h3> <p dir="ltr">目前國際已有不少供應鏈金融服務，包括隸屬阿里巴巴集團的螞蟻金服、鴻海旗下富金通與點融網共同推出的鴻海Chained Financed、以及上海的萬向供應鏈服務平台，不同企業提供融資服務的對象以及評估方式均有所差異。</p> <p dir="ltr">例如，螞蟻金服是針對阿里巴巴集團生態系內的企業提供服務，以電商平臺「淘寶」、金流平臺「支付寶」為核心，將企業在淘寶網上面的交易紀錄、是不是有準時交貨、服務的滿意度等，列為評估信用的指標；鴻海Chained Financed則是透過區塊鏈，提供鴻海體系內企業享有實時融資、低手續費、低利率、高度自動與無紙化的供應鏈金融服務，在企業需要融資的時候，可依據該公司與鴻海過往的合作經驗來強化他的信用評等。</p> <p>而萬向供應鏈服務平台則是結合星展銀行業務資源，專注於汽車供應鏈。平台以區塊鏈技術，將合約智能化，紀錄各級供應商之間的發票、物流等資訊，並以企業的應收帳款單據來融資借貸。</p> <p>林蔚君比少說明，上述案例的服務對象有其侷限性，螞蟻金服的客戶要有網購交易的紀錄，鴻海Chained Financed主要為上游企業服務，萬象則是以汽車供應鏈的廠商為主。而亞大的服務就是要打破生態體系的限制，以更多元的資料評估授信，讓更多企業受惠，未來也希望與純網銀合作，發展第三方供應鏈金融服務平臺。</p> </div></div></div>
2019/5/7 09:45作者翁芊儒https://www.ithome.com.tw/news/130434
MIT找出能使神經網路體積縮小的80/20分析法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://www.csail.mit.edu/news/smarter-training-neural-networks">麻省理工學院電腦科學和AI實驗室最近發表一篇縮小神經網路的論文</a>，能在不改變準確率的情況下，找出與最終結果預測相關的子網路，該子網路相比原本的神經網路小10倍，有時候子神經網路，甚至能夠比原本的網路更快做出預測。</p> <p>MIT指出，目前大部分的AI都建立在深度神經網路的預測結果上，而神經網路通常相當龐大，且需要大量的訓練資料集，訓練的過程也需要耗費數天的時間，硬體方面，也要搭配昂貴的GPU，甚至是需要客製化所需的硬體設備，但是，如果其實根本就不需要這麼龐大的神經網路呢？</p> <p>現在縮小神經網路所採取的方法，並非特別有效率，在找到成功的子網路之前，必須針對整個神經網路進行多次的訓練和修剪，但是MIT的教授Michael Carbin表示，若能夠準確地在原始的網路中，找出與最終預測相關聯的部分，科學家就有可能可以跳過這段昂貴的處理過程，找出這樣的關聯性，能夠省下數小時的工作，還能讓個別的開發者，更簡單地打造出有意義的模型，而不是只有大型科技企業才有能力辦到。</p> <p>MIT團隊將傳統的深度學習方法比喻成樂透，訓練大量的神經網路就像是試著盲目地買所有可能會中獎的票券，有沒有可能，在一開始就選擇中獎的號碼呢？為了測試所謂的「樂透票券假說」（lottery ticket hypothesis），並證明與最終預測結果相關的子神經網路確實存在，團隊首先透過常用的方法，從訓練網路中，將最低權重的連結修剪掉，透過去除不必要的連結，使得神經網路能夠在低功設備上執行，像是智慧型手機。</p> <p>這項實驗關鍵的創新想法在於，在神經網路訓練後修剪掉的連結，是不是再也不需要，為了測試這項假設，團隊試著再一次訓練同一個神經網路，但是這一次並沒有包含被修剪掉的連結，隨著修剪越來越多連結，團隊就能找出在不影響網路學習的情況下，可以刪除多少連結，團隊也針對許多不同的網路，重複這個過程上萬次，來找出與最終結果預測相關的子網路。下一步，MIT團隊計畫探索為什麼特定子網路對學習特別在行，並開發出找出這些子網路的有效方法。</p> </div></div></div>
2019/5/7 13:25作者何維涓https://www.ithome.com.tw/news/130444
臉書讓外包員工標註用戶貼文及相片，引發隱私爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/article/us-facebook-ai-focus/facebook-labels-posts-by-hand-posing-privacy-questions-idUSKCN1SC01T" target="_blank">路透社報導</a>，為了訓練人工智慧（AI）演算法，臉書從2014年起以數百名外包員工為臉書及Instagram (IG)用戶傳送的貼文、動態及相片加註標籤。此事也獲得臉書證實，但強調在服務條款中已經向用戶說明。</p> <p>報導指出，臉書從2014年就運用印度委外業者Wipro的人力，進行臉書及IG上的用戶貼文加註工作，投入人力高達260人。他們在檢視過用戶產出的文字和照片後，根據5種面向（dimensions）或類別，像是內容主題（如是自拍、食物或動物）、場合以及作者意圖等加標籤。</p> <p>報導引述多名曾在Wipro工作的消息人士指出，這些工作目的在了解用戶在臉書平台貼文的內容長期下來有什麼演變，以便臉書發展新功能。而在檢視這些內容過程中，這些外包員工也可以一睹臉書用戶的私生活，包括家族成員或度假生活。</p> <p>Wipro拒絕評論，不過臉書證實的確有這類專案。臉書表示，該公司一直有約200個內容標註的專案隨時在進行著，全球參與人數有數千名，Wipro只是其中一個。許多專案的目的是訓練臉書平台底層的AI演算法。</p> <p>報導引述臉書AI產品管理總監Nipun Mathur指出，為了提升AI能力，標註工作是不可或缺的一環。</p> <p>至於讓外包人力接觸用戶的私密內容，可能有侵害用戶隱私之嫌，不過臉書發言人說，臉書已經在服務約定條款中明白揭露，該公司會以用戶提供給臉書的資訊來改善服務，也說過程中可能會有其他服務業者參與。</p> <p>臉書並非唯一一個AI標註專案引發隱私爭議的大廠。<a href="https://www.ithome.com.tw/news/129934" target="_blank">近期彭博也報導</a>，為了訓練並提升Alexa的服務品質，Amazon雇用位於波士頓、哥斯大黎加、印度和羅馬尼亞等地的上千名員工，負責聽取並記錄智慧喇叭Echo產品用戶和人工智慧（AI）語音助理Alexa的對話。今年Amazon旗下的智慧門鈴部門Ring，也傳出允許烏克蘭研究中心人員自由存取全球各地用戶的影像資料。只是在名義上這些人力為臉書員工，而非外包員工。</p> </div></div></div>
2019/5/7 13:00作者林妍溱https://www.ithome.com.tw/news/130446
微軟新Edge整合IE模式、新增隱私工具、網頁圖文蒐集功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底微軟宣佈Edge採用Chromium為核心，終於在近期Build大會上，<a href="https://blogs.windows.com/msedgedev/2019/05/06/edge-chromium-build-2019-pwa-ie-mode-devtools/" target="_blank">介紹Windows 10新Microsoft Edge的主要功能特色</a>，包括整合Internet Explorer (IE)模式、新增隱私保護，及更方便從網頁蒐集並分享資訊的Collections功能。</p> <p>首先，因應部分企業應用程式或網頁仍使用舊Web技術，新Microsoft Edge將加入IE模式，讓企業可以在Edge下以IE環境跑舊Web應用。其實早在2015年Edge問世時就已經有IE模式，但是它會以個別瀏覽器形式開啟。而新Edge將整合IE 11的相容性，企業可以設定特定網站或app，並以Edge作為預設瀏覽器，在單一瀏覽器環境下跑新、舊app。微軟預告接下來的時間會再逐步公佈新Edge的部署和管理功能。</p> <p>而為了和Google Chrome區隔化，微軟還強打Microsoft Edge的隱私保護工具，讓用戶對自己資訊如何被蒐集擁有更多控制權。使用者將可在單一頁面上設定第三方單位的追蹤防護，包括不限（unrestricted）、平衡（balanced）和嚴格（strict）三個等級。不限是完全接受廣告追蹤，也意謂用戶看到的廣告最多，平衡限制只接受用戶造訪過的網站廣告，嚴格則是封鎖所有網站廣告。</p> <p>微軟解釋這項工具主要是針對網站廣告，因此媒體認為，新功能其實類似AdBlock Plus或Ghostery等廣告過濾工具。但微軟表示目前還在早期階段，之後也會有更具體的資訊。</p> <p>新Microsoft Edge還加入名為Collections的工具，以解決用戶造訪太多網站以致於開啟太多分頁或視窗，造成資訊一團亂的問題。運用雲端AI技術及直覺介面，Collections讓用戶將網頁上的圖片、文字段落或其他元素以拖拉方式集結起來，並可匯出到Word、Excel或是剪貼簿及電子郵件。微軟還計畫讓剪下來的元素連結回原始網頁。不過這項功能還在非常早期的開發階段，連目前預覽版也還沒加入。</p> <p>微軟強調，拜Chromium核心之賜，新Edge將可和最新Web標準相容，而新的開發工具也是以Chromium DevTools為底層打造，方便Web應用、網頁、漸進式網頁應用（PWA）或WebView app的開發與除錯，並確保跨Windows及macOS平臺的執行。</p> <p>此外，一如去年微軟<a href="https://www.ithome.com.tw/news/127590" target="_blank">承認</a>的，新Edge也能跑Google Chrome的外掛程式。</p> <p>微軟已經在上個月透過Dev和Canary通道<a href="https://www.microsoftedgeinsider.com/en-us/" target="_blank">釋出新Microsoft Edge開發者預覽版</a>，目前僅提供Windows 10 PC版本，不過可能很快就會有Windows 7版。不過<a href="https://www.zdnet.com/article/microsofts-chromium-based-edge-browser-will-get-these-new-features/" target="_blank">ZDNet指出</a>，目前沒有跡象顯示，這些新功能會提供給舊版Windows和Mac版本的Edge。</p> </div></div></div>
2019/5/7 11:25作者林妍溱https://www.ithome.com.tw/news/130442
微軟Word要用AI來幫你改作文
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如果你覺得無法下筆成章，微軟在Build大會上<a href="https://blogs.microsoft.com/ai/microsoft-365-intelligent-workday-productivity/" target="_blank">宣佈</a>今年秋天線上版Word（Word Online）將加入一項名為Ideas in Word的人工智慧（AI）工具，可以幫你寫出一篇好文章。</p> <p>Ideas工具其實已經用於PowerPoint和Excel。Ideas in Word運用機器學習及Microsoft Graph的人工智慧技術協助使用者潤飾文章，以產出專業文件。首先，根據Graph的人工智慧能力，Ideas in Word可協助基本的文法、拼字校正或正確用詞、以及一些技術面的建議，如加標題、常用的縮寫名詞、估計文章閱讀所需時間、列出要點等。</p> <p>此外，Ideas in Word還運用深度學習技術，甚至可以提供文章寫作建議。這項技術是以機器學習來理解某個字所在的句子上下文，提供最常見的同義字，以強化文章的可讀性。微軟Office 部門今年稍早，也運用機器學習技術來強化同義字的優先排序，使試用者對Word 建議的同義字接受度增加一倍。</p> <p>Google也在去年為Google Docs<a href="https://www.grammarly.com/blog/google-docs-beta-chrome/" target="_blank">新增</a>類似的文法檢查技術Grammarly，並已逐步釋出給Chrome用戶。</p> </div></div></div>
2019/5/7 12:00作者林妍溱https://www.ithome.com.tw/news/130443
隨意銷售用戶位置，美國四大電信業者面臨集體訴訟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，包括AT&T、Verizon、Sprint及T-Mobile等美國四大電信業者在上周各自面臨了集體訴訟，原因是它們任意將客戶資料出售給掮客、收債員，甚至是賞金獵人，違反了消費者保護法及相關的電信法令。</p> <p>這些電信業者所出售的與其說是資料，不如說是服務，因為它們允許買方利用電話號碼來追蹤特定人士的具體位置。</p> <p>賞金獵人在美國是個合法職業，專門追捕棄保潛逃的嫌犯，並可獲得一定的保釋金比例作為報酬。有了來自電信業者的服務，他們將更容易定位目標對象的位置，進而達成任務。</p> <p><a href="https://motherboard.vice.com/en_us/article/nepxbz/i-gave-a-bounty-hunter-300-dollars-located-phone-microbilt-zumigo-tmobile" target="_blank">Motherboard率先在今年1月揭露了這起電信醜聞</a>，該報付了300美元給一名有門路的賞金獵人，這名賞金獵人透過他的人脈及第三方平台查到了特定電話號碼的位置，並秀在Google Maps上，誤差約為500米。就算不是透過認識的人，該服務在黑市也買得到。</p> <p>電信業者並未直接參與相關服務的銷售，中間轉了好幾手。而上述業者也都向Motherboard坦承曾出售客戶的即時位置資料，只是現在都已終止。</p> <p>根據Z Law所提出的集體訴訟案，這些案子總計涉及了從2015年4月底到今年2月間，使用AT&T、Verizon、Sprint及T-Mobile服務的逾3億名客戶，他們將代表消費者向業者求償。</p> </div></div></div>
2019/5/7 10:25作者陳曉莉https://www.ithome.com.tw/news/130440
Verizon打算出售Tumblr，成人網站Pornhub有意接手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報甫於日前披露Verizon有意出售自Yahoo併購案所取得的微型部落格Tumblr，<a href="https://www.buzzfeednews.com/article/ryanhatesthis/pornhub-interested-in-buying-tumblr" target="_blank">加拿大成人網站Pornhub旋即表達強烈的收購意願</a>，引來一陣熱議。</p> <p>2007年成立的Tumblr定位為微型部落格及社交網站，它允許使用者張貼文字、照片、論述、連結、對話、音訊或影片，在2013年7月被Yahoo以11億美元的現金收購，<a href="https://www.ithome.com.tw/node/80455" target="_blank">當時Yahoo還承諾不會搞砸Tumblr</a>，無奈之後的Yahoo自身難保，Tumblr也隨著Yahoo與Verizon的收購案被納入Verizon麾下，目前的Tumblr代管了超過4億個部落格及逾1,700億篇的文章。</p> <p>根據華爾街日報的報導，Verizon打算出脫Tumblr，已在接觸各方買家。只是沒想到成人網站Pornhub副總裁Corey Price跳出表達對Tumblr的強烈興趣。</p> <p>其實Tumblr一直與成人內容有所連結，TechCrunch在2013年5月所做的調查即發現，Tumblr有22%的流量與成人內容有關，且當時該站所代管的部落格就有16.45%含有成人內容。</p> <p>在Yahoo接手Tumblr之後，曾努力整頓該站的成人內容，Verizon則在去年2月於Tumblr推出可過濾成人內容的安全模式，繼之於去年底大刀闊斧地禁止該站用戶張貼任何描繪性行為的圖片及影片。只是，Verizon最終還是因為Tumblr難以達到營收目標而決定將它脫手。</p> <p><a href="https://www.theverge.com/2019/5/2/18527177/verizon-seeking-tumblr-sale-rumor-blogging" target="_blank">Price向BuzzFeed News表示</a>，Tumblr是那些想要探索及表達性慾的人們的避風港，人們能夠透過Tumblr的庇護輕鬆地閱讀成人內容，他們一直對該平台不斷抑制色情社區的作法感到沮喪。</p> <p>Price還說，他們非常期待能夠買下Tumblr，讓該平台能夠重返它以往充滿NSFW（不適合在工作場合出現，Not Safe/Suitable For Work）內容的榮耀。</p> </div></div></div>
2019/5/7 11:00作者陳曉莉https://www.ithome.com.tw/news/130441
臉書打造包容性AI，拿掉影像辨識的有色眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人們越來越倚重人工智慧解決關鍵任務，因此機器學習是否具備包容性（Inclusive），能夠良好兼容各種多元屬性，成了重要的課題，<a href="https://tech.fb.com/building-inclusive-ai-at-facebook/">臉書在研發其智慧視訊裝置Portal時，發現人工智慧進行影像辨識時，對膚色以及性別存在偏見</a>，因此發展出一個框架以打造具包容性的人工智慧，並擴大應用到內部其他專案中。</p> <p>臉書在F8大會分享了他們發展包容性人工智慧的歷程，事件就發生在臉書AR/VR技術業務主管Lade Obamehinti身上，該團隊在Portal早期測試階段，發現其人工智慧相機作出了出乎意料的判斷。由於Portal的相機會透過電腦視覺計算，根據人們在房間中的移動與分布，動態構圖找出最適合容納多個主體的視野，但是在某一次Lade Obamehinti說話且做出豐富的手勢，Portal的人工智慧並沒有焦點放在Lade Obamehinti這個明顯的興趣點上，而是將鏡頭聚焦在另一名白人男同事身上。</p> <p>Lade Obamehinti是來自奈及利亞的優秀女性，他發現，人工智慧模型之所以會對不同的人，做出不一樣的表現，部分原因在於用來訓練模型的資料集存在限制與缺陷，由於人類天性就會對事物進行分類，如果不加以控制，則會造成人工智慧系統出現偏差，而且還可能會放大人性負面的部分。為此臉書發展出一套包容性人工智慧開發程序，其提供人工智慧開發人員可依據的指南，幫助研究人員設計資料集、測量產品效能，以及測試包容性的系統。</p> <p>當臉書把包容性考慮進人工智慧的訓練時，發現原本訓練Portal智慧相機模型的資料集，膚色以及性別的樣本分布不均，而樣本偏差會使得訓練出來的人工智慧服務，不完全適用於真實世界，因此Portal團隊重新調整了資料集，使用更加平均的性別、年齡和膚色樣本，並在驗證以及訓練模型時，遵守包容性人工智慧指南，以最大程度降低Portal智慧相機模型可能出現的風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_FireShot%20Capture%20325%20-%20Building%20inclusive%20AI%20at%20Facebook%20-%20techfbcom.png" style="width: 500px;" /></p> <p>Lade Obamehinti為臉書建立了一套程序，來描述包容性人工智慧，其包含使用者研究、演算法開發以及系統驗證，使用者研究用來分析產品功能在不同的人出現的各式回應，演算法則是關於資料集設計、訓練與評估，而系統驗證則專注於效能表現以及各項體驗上。在過去一年中，臉書內部開始將包容性人工智慧程序，導入到開發流程中，用來確保臉書與Instagram的照片濾鏡，在各式膚色與因素下都能良好運作，Messenger中的AR特效，在各種臉部形狀與膚色都能正確的表現。</p> <div class="media_embed" height="476px" width="275px"> <iframe allowfullscreen="true" allowtransparency="true" frameborder="0" height="476px" scrolling="no" src="https://www.facebook.com/plugins/video.php?href=https%3A%2F%2Fwww.facebook.com%2FTechAtFacebook%2Fvideos%2F1035456443319840%2F&show_text=0&width=275" style="border:none;overflow:hidden" width="275px"></iframe></div> <p>但臉書也提到，並非每種應用都能應用包容性流程，因為在某些領域上，整個行業都沒有足夠具代表性的資料集，為了解決這樣的問題，臉書正在推動建立全球使用者研究，將包容性人工智慧測試擴展到聲音上，臉書表示，聲音資料集需要考量方言、年紀以及其他更多的屬性，才足以建立能夠聽懂不同人們說話的人工智慧。</p> <p><a href="https://www.ithome.com.tw/news/113462">機器學習的包容性議題持續受到關注</a>，特別是當機器學習的應用影響人們權益或是生命時，像是去年美國警方開始使用AWS Rekognition的人臉辨識服務，<a href="https://www.ithome.com.tw/news/123370">美國公民自由聯盟（American Civil Liberties Union，ACLU）指稱系統存在辨識誤差，可能對無辜的人造成負面影響</a>。另外，Google與美國軍方合作的Maven計畫，以人工智慧辨識無人機拍攝的物體，並以導彈摧毀這些物件，<a href="https://www.ithome.com.tw/news/122292">電子前線基金會（Electronic Frontier Foundation，EFF）則表示，人工智慧仍處於難以控制的階段，可能造成不必要的傷害</a>。</p> <p>也越來越多的學者提出對於人工智慧的不信任，<a href="https://www.ithome.com.tw/news/128814">萊斯大學電腦科學副教授Genevera Allen發現，科學研究使用機器學習分析資料，但由於找到的模式只會存在於資料集，而非來自真實世界，將模式直接套用在真實世界，則會得到錯誤的結果</a>。而<a href="https://www.ithome.com.tw/news/126537">臺大資工所助理教授陳縕儂則提到，人工智慧之所以存在偏見，是因為人們存在意識偏見，人工智慧只是真實的學習人們提供給他們的資料</a>。</p> </div></div></div>
2019/5/7 11:05作者李建興https://www.ithome.com.tw/news/130430
JupyterHub 1.0提供SSL內部加密功能，確保分散式架構通訊安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>群組用Jupyter Notebooks的JupyterHub終於釋出了1.0版本，支援SSL全面加密內部連線，還強化了身份驗證功能。</p> <p>JupyterHub是支援多使用者的Jupyter Notebooks伺服器解決方案，能為開發人員群組提供共同使用Jupyter Notebooks的服務。這次的更新，官方為JupyterHub加入了管理命名伺服器（Named Server）的使用者介面，由於JupyterHub每個使用者都可以擁有多個伺服器，因此JupyterHub 1.0加入了可以管理這些伺服器的使用者介面，使用者可以從JupyterHub首頁創建、啟動、停止與刪除伺服器。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_VozbyUHN9qTICXzQSKQvfw.png" style="width: 500px;" /></p> <p>在JupyterHub內部通訊方面，原本用於通訊的HTTP協定，在單機上能夠良好的運作，但官方提到，在分散式或是共享基礎設施的架構上，加密通訊會是更安全的選擇，因此JupyterHub 1.0使用者可以啟用SSL加密所有內部通訊。</p> <p>在身份驗證上，官方為JupyterHub 1.0新增檢查和刷新身份驗證功能。由於JupyterHub的身份驗證像是GitHub OAuth，通常由外部組織管理，而身份驗證狀態可用來留存憑證，但這些憑證可能會過期或是需要刷新，過去JupyterHub並未良好的支援這些功能，而官方現在於這個版本，為身份驗證訊息添加新的配置資訊，讓使用者能夠更好地控制身份驗證憑證的生命周期，例如c.Authenticator.auth_refresh_age能夠設定身份過期時間，c.Authenticator.refresh_pre_spawn則能強制在創建伺服器之前，刷新身份驗證憑證。</p> </div></div></div>
2019/5/7 11:10作者李建興https://www.ithome.com.tw/news/130432
面對層出不窮的低級錯誤
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在日常的工作環境裡面，很多我們認為是常識的基本行為認知，有很多人並不瞭解，也不會想去搞懂，一旦做錯了，別人還必須要花很多時間來告訴他為何要如此，但他下次還是有可能會做錯，從不知不覺到後知後覺的階段，需要一段時間，而要養成任何的小技能，通常都必須經歷這樣的過程。</p> <p>以系統管理而言，曾接觸Linux作業系統的人，必定會被告誡不要擅自使用「rm -rf」，因為會刪除指定路徑中的所有檔案，而在Windows作業系統的圖形管理介面當中，針對使用者要刪除本機電腦大量檔案的動作，會跳出警告視窗，要求使用者再次確認是否繼續（但如果是刪除NAS上的大量檔案，可能就不會有類似的提示），因此，想要降低不小心誤刪檔案的可能性，系統若能提供類似這樣的確認機制，就會多一些機會讓你思考是否要這麼做。（rm若搭配-i的參數，就能在刪除檔案之前，多一道提示用戶確認的步驟）。</p> <p>在電子郵件的寄送上，Gmail近年來添加了30秒內的「取消傳送」，可將不慎寄出的信件收回，也是讓人津津樂道的功能，在微軟的Exchange郵件伺服器系統，以及Outlook收信程式當中，也都提供傳送之後回收或取代電子郵件訊息的功能。當前流行的即時通訊應用裡面，也有許多App陸續開始提供收回已發訊息的機制，像是LINE（回收24小時內訊息）、Skype（回收1小時內訊息）。</p> <p>若是談到資料備份還原、系統的高可用性（HA）、檔案同步，現有的各種保護機制更是不勝枚舉，從作業系統到應用程式，從單機的個人電腦、智慧型手機，到伺服器、虛擬化、雲端服務，可說是應有盡有。在這些平臺剛開始崛起時，連帶的資料與系統保護措施，往往也跟著萌芽，造就了豐富的產品與廠牌選擇。</p> <p>不過，這些機制如果要奏效，事前仍需要知道它們具備的特性，有的要手動啟用相關功能，才能得到保障，有的則存在著使用時效的限制，若未及時取下、復原，最後終究還是回天乏術。</p> <p>無論如何，小心駛得萬年船，「凡事謹言慎行」雖然是老掉牙的教條規訓，卻是最言簡意賅的方式。每個會影響他人的舉動，我們都必須要謹慎看待，找出當下最適合採行的作法。因為，科技雖然帶來許多效率的提升，但往往大多數人把方便當隨便，而導致個人或企業的信譽受損，像是：不小心刪錯檔案，而丟失大量資料；或者是與顧客溝通該以面對面的方式或電話進行溝通，卻認為只須透過電子郵件與手機簡訊等書面方式進行，而讓對方覺得不受尊重。</p> <p>雖說「科技始終來自人性」，但諸如此類的低級錯誤，一直出現在我們的工作環境裡面，像是產品標錯價格、誤植字詞、寫出骯髒的程式碼等等。</p> <p>另一方面，若從市場需求來看，這些人為造成的問題，或許也都是另類的商機，因為我們已經越來越沒有時間和心力，去向這些人員爭論與解釋何謂正確的行為，或許就像中國文化大學推廣教育部資訊長<a href="https://www.ithome.com.tw/news/130082" target="_blank">陳仁偉所言，要做好DevOps安全</a>，終極的目標是要由架構層面進行「防呆」。如此一來，讓相關人等連觸犯錯誤的機會都沒有，這才是正本清源之道。</p> <p>談論至此，探討如何防呆，在當前這樣困頓的工作環境當中，的確比較務實，不過，我們又要為此付出多大代價呢？</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/devops">DevOps</a></div></div></div>
2019/5/7 09:00作者李宗翰https://www.ithome.com.tw/voice/130414
併後首場紅帽全球用戶大會將登場！握有開源多雲、混合雲競爭上風的紅帽，今年將端出什麼樣的牛肉？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【波士頓直擊】去年10月，IBM以破記錄340億美元天價，大舉收購開源軟體商紅帽，震撼IT圈，更成為史上最大宗開源商軟併購交易案，雖然這樁交易，預計今年下半年才完成。但也令各界十分好奇，併購後的紅帽，在7日即將登場的紅帽年度高峰會，究竟會在混合雲新策略布局上，將端出什麼樣的牛肉。</p> <p>向來以企業級Linux OS而聞名的開源商軟巨頭紅帽，近幾年，靠著以能通吃多雲、跨雲的OpenShift 容器平臺當作主力混合雲產品，在競爭激烈的混合雲市場打響名號。至今已經發行到3.11版的OpenShift，更是目前市面上少數已經相當成熟的混合雲產品，OpenShift更透過持續穩定改版更新，加強對於Kubernetes、混合雲新特色的支援，而獲得不少企業青睞，轉而擁抱混合雲架構。</p> <p>紅帽也趁勢與公有雲業者聯手，尤其是AWS、微軟、IBM等三大雲端巨頭，搶進不只雲端Linux作業系統，還是企業級雲端PaaS平臺的混合雲服務市場，推出了雲端版OpenShift，方便企業用戶以容器將應用程式打包，並透過OpenShift將各種容器化應用移轉到公有雲平臺上部署。要通吃實體伺服器、VM、私有雲，以及公有雲容器應用市場。</p> <p>紅帽在混合雲市場的競爭優勢，讓它近來更成為了連AWS、微軟等各大雲端業者都極力拉攏合作，以擴大自家混合雲聲勢的對象，甚至IBM更不惜砸大錢將它買下，看準了正是混合雲市場的龐大商機，正因為如此，在被併購之後，今年的紅帽高峰會，紅帽下一步混合雲動向，也就格外受人囑目，更將牽動未來一年全球多雲、混合雲市場競爭局勢的走向。</p> <p>而作為被併購後的第一場年度高峰會上，紅帽除了將在今年紅帽用戶大會上揭露自家混合雲新戰略之外，也將發表一系列混合雲產品重大更新，與新版企業版Linux軟體，包含RHEL 8、OpenShift 4容器平臺等。以OpenShift 4來說，從紅帽年初公布的OpenShift產品路線藍圖來看，就已經預告了即將推出的OpenShift 4軟體，將包含幾項重大更新與強化功能，首先是對於調度管理平臺Kubernetes的優化與功能強化，將支援到Kubernetes 1.12新版，其次，則是將加強與Red Hat容器目錄（ Container Catalog ）的整合機制，至於去年整併CoreOS技術，並以Red Hat CoreOS 之姿推出的紅帽容器OS，也將與新OpenShift有更全面性的整合，成為OpenShift的immutable Host主要選擇。</p> <p>另在自動化部署上，4.0版也有機會將在AWS環境上推出整套式的自動化部署及配置方案，能涵蓋硬體、作業系統、容器、到軟體應用等。並且也將加入OTA線上更新功能，方便用戶進行多個版本更新，以維持更新到官方最新版。</p> <p>除了OpenShift的重大更新之外，在線上版OpenShift服務方面，紅帽則也暗示了，將會與微軟展開更密切合作，而且還提前預告，今年將會由微軟執行長Satya Nadella親自為紅帽活動站台，將在大會第一天的主題演講上，與紅帽執行長Jim Whitehurst同臺，就雙方在混合雲合作上揭露更多的布局。</p> <p>外界普遍推測，兩家公司將會有更重要混合雲產品或合作宣布。而從之前公布OpenShift版本演進規劃，也可看出一些端倪。一來，Jim Whitehurst當天很可能會偕同Satya Nadella宣布OpenShift on Azure的正式版推出，二來，則是許多用戶期待的Windows容器支援，也有機會由兩家執行長，在這次大會上一同發布，正式將Windows容器帶進OpenShift容器平臺。如此一來，才足以解釋為何今年會由微軟執行長 Satya Nadella慎重親自到場參加，即使與遠在西雅圖舉行的微軟Build用戶大會撞期，都還千里迢迢從美西到美東、長途拔涉，甘願替紅帽場子站臺。</p> <p>其實，早在去年紅帽高峰會上，紅帽就與微軟聯手，推出了OpenShift on Azure服務，不過，起初，仍是私人預覽，到了今年的4.0版OpenShift發布，OpenShift on Azure也將一併推出正式版，這也意謂著，除了AWS，企業之後也能在Azure公有雲上部署OpenShift，打造屬於自己的混合雲應用環境。</p> <p>而開放讓OpenShift執行Windows容器，更是許多企業用戶相當期待OpenShift新版能加入的新功能，對於倚賴微軟Windows OS的企業，有了Windows容器的支援，也能用OpenShift同時管Linux容器與Windows容器，不用在各自管兩套環境，而是能使用與Linux容器管理同一套資源調度與管理方式，來管Windows容器，不論是部署或管理上也將更具彈性。只不過，按照原定規劃，OpenShift將會等到8、9月釋出的4.2版更新中，才會支援Windows容器的執行。</p> <p>另外，在企業版Linux OS更新上，RHEL 8也將走出Beta測試階段推出正式版，並且在自動化工具和維運管理、Kubernetes調度、現代化App開發流程，以及新興應用技術，如AI、邊緣運算、5G等，也將會有重要功能更新，或新產品推出。</p> <p>一如往年，今年紅帽也找來在各產業上的重要企業用戶，包含星展銀行、UPS、大眾汽車、BMW、軍機製造商Lockheed Martin等，分享自家使用開源技術上雲、混合雲與數位轉型經驗，除此之外，紅帽母公司IBM執行長Ginni Rometty也將到場參加第一天主題演講，與紅帽執行長Jim Whitehurst同臺，揭露兩家公司整併後的運作模式。此外，一連三天活動，更有超過400場議程，主題涵蓋混合雲基礎架構、Kubernetes與 Linux容器，到混合雲儲存以及功能即服務（FaaS）等。</p> <p>儘管目前在混合雲競賽上，紅帽仍占上風，但是近來，也有像是Google、與虛擬化龍頭VMware正一步步進逼，例如，VMware不只與AWS聯手，前陣子，更借助母公司戴爾科技集團推出整合VMware與Dell EMC基礎架構的混合雲平臺Dell Technologies Cloud，來替VMware打造更完整的混合雲生態系，來逐步縮短與紅帽差距，紅帽會要如何接招，外界都等著看。</p> <style type="text/css"> <![CDATA[/* ><!]]>*/ </style><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></div></div></div>
2019/5/6 20:39作者余至浩https://www.ithome.com.tw/news/130410
Google更新Apigee擴充套件，支援雲端機器學習引擎等更多GCP服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/api-management/making-api-development-faster-with-new-apigee-extensions">Google的企業API管理平臺Apigee更新其擴充套件</a>，讓開發人員得以存取更多的GCP服務，新增加的服務包括Cloud Functions、Cloud Authentication、Cloud Data Loss Prevention、雲端機器學習引擎以及BigQuery服務。Apigee擴充套件能讓開發者方便存取GCP服務，加速企業API開發，並快速交付API產品。</p> <p>建構API產品的時候，開發人員通常需要連接各種雲端服務，並使用一系列ServiceCallout的組合，以及開箱即用的Apigee政策，以處理憑證和管理令牌等工作，才能存取雲端服務，但Google提到，這個過程容易出錯，不幸的是，使用Apigee建構的每個API代理，都需要執行這一相同的程序。</p> <p>因此Google提供Apigee擴充套件，減少配置和應用政策時，需要進行的重複且冗餘工作，簡化安全存取雲端服務的過程，API開發人員現在可以從政策列表中，選擇使用一級政策介面的必要服務，而一旦設定完成，雲端服務的政策，就可以在所有API代理中重複使用。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/Apigee_Extensions.gif" style="width: 600px;" /></p> <p>另外，這次的更新，還增加Apigee擴充套件對Salesforce的支援，降低API開發人員存取Salesforce REST API的複雜度，讓企業能更簡單地使用Salesforce執行個體中的資料。</p> </div></div></div>
2019/5/6 16:00作者李建興https://www.ithome.com.tw/news/130418
Mozilla出包，憑證過期讓Firefox附加程式停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2019/05/04/update-regarding-add-ons-in-firefox/" target="_blank">上周五（5月3日）凌晨有不少Firefox用戶發現既有的附加程式不能用</a>了，也無法安裝新的附加程式，原因是<a href="https://www.techspot.com/news/79937-expired-certificate-broke-all-firefox-add-ons.html" target="_blank">用來簽署Firefox附加程式的中間憑證過期了</a>。Firefox團隊趕忙進行修補，已於5月5日釋出了支援桌面的與Android的Firefox 66.0.4，替兩天的慌亂暫時畫下了句點。</p> <p>根據Firefox用戶所張貼的畫面，他們的附加程式是突然就不靈了，並跳出「該附加程式無法通過Firefox的使用驗證，已經被關閉」的警告，就算是重新安裝也無用，結果竟然只是Mozilla忘了中間憑證的截止日期，連帶讓仰賴該憑證的附加程式失效。</p> <p>這一個小失誤所釀成的災難也讓Firefox團隊的周末泡湯，他們先透過Firefox用來蒐集及使用資料的Studies系統發布小型的修補程式，雖然Studies的預設是啟用的，依然有許多用戶無法尋回附加程式；由於無法應付龐大的用戶抱怨與詢問，該團隊甚至暫時關閉官方部落格的留言功能；還必須阻擋用戶參考其他用戶所提供的緩解建議，因為它們可能跟官方所部署的修補程式相衝。</p> <p>雖然已經釋出Firefox 66.0.4以修復憑證問題，也重新啟用那些已被關閉的附加元件、主題、搜尋引擎及語言套件等，但Firefox團隊表示還有一些問題尚待解決，他們會儘快在5月6日以前解決它們。</p> </div></div></div>
2019/5/6 16:50作者陳曉莉https://www.ithome.com.tw/news/130426
Jenkins外掛存在安全漏洞，衍生密碼外洩或跨站攻擊風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nccgroup.trust/sg/about-us/newsroom-and-events/blogs/2019/may/story-of-a-hundred-vulnerable-jenkins-plugins/" target="_blank">安全研究人員發現</a>，100多隻Jenkins外掛程式存在安全漏洞，可能引發登入資料外洩或是跨網站攻擊等安全風險。</p> <p>Jenkins是一種支援開發、部署和自動化軟體開發的開源工具，可以外掛擴充以便提供Active Directory驗證或執行靜態程式分析、將組譯好的軟體複製到CIFS 網路檔案系統等重覆性作業。和Wordpress一樣，Jenkins在第三方開發商的投入下，現有上百種外掛。但NCC Group安全顧問Viktor Gazdag手動測試100多款Jenkins外掛後發現二大類漏洞，包括驗證資料以明碼儲存以及缺少權限檢查的跨網站請求偽造（cross site request forgery，CSRF），後者可能導致資料竊取以及伺服器端的請求偽造（Server-Side Request Forgery，SSRF）攻擊。</p> <p>其中又以第一類漏洞占最大宗。以明碼儲存的驗證資料包括使用者名稱、密碼、API金鑰或令牌，以及可用於Jenkins和外掛中的憑證。雖然Jenkins將密碼加密儲存成credentials.xml檔，但研究人員發現部份外掛開發商是儲存成外掛自己的.xml檔或是某項作業的config.xml檔，這些大部份都沒有加密。此外，部份用戶輸入驗證資料的Web form也洩露了密碼和令牌，也未使用正確的Jelly表格控制。但Jenkins的安全文件中並未提及這兩種檔案可能洩露資訊，更別提workspace資料匣也可能暫時儲存了敏感資訊。</p> <p>研究人員就發現，某個MQ外掛將密碼明碼儲存在外掛的自有設定檔中，AWS Code Build外掛則把加密金鑰明碼儲存在config.xml 。Publish Over Dropbox Plugin則在外掛設定中，將令牌大喇喇顯示於Web form中。</p> <p>其次為欠缺權限檢查的跨網站請求偽造（CSRF）漏洞。有些外掛讓使用者連接伺服器來測試驗證資料，這原本可根據使用者角色權限，強制執行POST呼叫，要求使用者提供CSRF令牌（Crumb）來確保伺服器安全性，但在本研究中卻發現部份外掛程式並未強制POST呼叫，使外掛程式可能遭遇CSRF攻擊。攻擊者可能利用CSRF惡意程式變更主機名稱，再誘騙管理員連上伺服器，利用被攻擊者接管的伺服器竊取登入資料。如研究人員就發現OpenStack Cloud Plugin有缺少權限檢查的CSRF漏洞問題。但這類漏洞還可能發展成伺服器端的請求偽造（SSRF）攻擊，藉由測試連線和攻擊者掌握的參數，進一步用來進行傳輸埠掃瞄、探查內部網路架構或暴力破解登入。</p> <p>為避免用戶資訊透過外掛洩露，研究人員呼籲外掛程式開發人員必須強制執行POST呼叫，以Jenkins.getInstance().checkPermission(Jenkins.ADMINISTER)檢查權限，並以Jenkins的Secret及Web form的密碼欄位來儲存登入資訊。</p> </div></div></div>
2019/5/6 15:05作者林妍溱https://www.ithome.com.tw/news/130412
英國國稅局蒐集聲紋違反GDPR，將刪除5百萬筆民眾紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國稅務暨海關總署（HM Revenue and Customs, HMRC）<a href="https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/799688/Letter_from_Sir_Jonathan_Thompson_to_HMRC_Data_Protection_Officer_-_3_May_2019.pdf" target="_blank">指出</a>，因應GDPR的規定，該局將刪除500萬筆納稅人作為生物辨識的錄音資料。</p> <p>從2017年1月起，為加速民眾更快找到對的窗口，英國民眾在打電話給國稅局時，被要求重覆說出「我的聲音即是密碼（My voice is my password）」。這些錄音檔也被收入國稅局的生物辨識語音ID（Voice ID）的聲紋資料庫。然而隨著去年5月底歐洲個資法GDPR上路，國稅局未經用戶明顯同意而紀錄資料的行為也遭到質疑。今年一月英國隱私團體<a href="https://www.theregister.co.uk/2019/01/25/hmrc_voice_id_big_brother_watch/" target="_blank">Big Brother Watch聲稱</a>該署已經蒐集了超過510萬筆英國民眾的聲紋資料。這也對HMRC產生壓力，英國資訊專員辦公室（Information Commissioner's Office，ICO）<a href="https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2019/05/ico-says-that-voice-data-collected-unlawfully-by-hmrc-should-be-deleted" target="_blank">公佈調查結果</a>，認定HMRC蒐集聲紋資料的行為違反GDPR，要求該署刪除資料。</p> <p>在HMRC執行長暨常務次長Johnathan Thompson，寫給資料保護官Chris Franklin的信件中指出，因應ICO的要求，該署決定包括HMRC將只保留取得明顯同意的Voice ID。該署是從2018年10月在GDPR規定下引入這項措施，估計有150萬筆合法取得的資料獲得保留。HMRC並將在2019年6月5日之前，刪除沒有明顯同意約500萬筆記錄。</p> <p>但Thompson贊成HMRC繼續使用Voice ID，因為「受到客戶歡迎」，也是確保客戶資料較安全的方法，還能加速民眾服務流程。目前HRMC 已經實施取得用戶明顯同意及在隱私權公告說明不會將聲紋資料作為其他用途。</p> </div></div></div>
2019/5/6 15:20作者林妍溱https://www.ithome.com.tw/news/130416
國際警方聯手破獲全球第二大暗網市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.europol.europa.eu/newsroom/news/double-blow-to-dark-web-marketplaces">歐洲刑警組織（Europol）</a>及<a href="https://www.justice.gov/opa/pr/three-germans-who-allegedly-operated-dark-web-marketplace-over-1-million-users-face-us" target="_blank">美國司法部（DOJ）宣布</a>已聯同其它國家，共同破獲了全球第二大暗網市集Wall Street Market，已於德國逮捕負責經營Wall Street Market的3名嫌犯，也在美國逮捕了Wall Street Market的最大的兩名賣家，再次對外宣誓絕不縱容暗網上的非法交易。</p> <p>Wall Street Market的運作如同尋常的電子商務網站，只不過它是個隱匿在Tor網路上的市集，無法藉由普通瀏覽器造訪。這類的暗網市集所銷售的通常是非法產品，從毒品、槍械、駭客工具、外洩個資，到各種想像得到或想像不到的商品，Wall Street Market被列為全球第二大暗網市集，僅次於Dream Market。</p> <p>Wall Street Market擁有115萬名買家帳號，有5,400名註冊賣家，陳列逾6.3萬種交易，涵蓋各式毒品、假文件、惡意軟體及盜來的個資等，買家必須以比特幣或門羅幣等加密貨幣付款，Wall Street Market平台則收取2~6%的交易手續費。</p> <p>德國聯邦警察是在德國檢察官辦公室的示意下，關閉了Wall Street Market市集，而相關調查也受到歐洲刑警組織、荷蘭國家警察、歐洲司法部，以及美國緝毒局、聯邦調查局、國稅局、國土安全部及美國司法部的支援。</p> <p>德國聯邦警察也在德國逮捕了負責經營Wall Street Market市集的3名嫌犯，他們分別是31歲的Wurzburg、29歲的Stuttgart，以及23歲的Kleve，都是德國籍，至於美國則是逮捕了Wall Street Market市集專門銷售違禁藥品的兩大賣家：Ladyskywalker與Platinum45。</p> <p>Wall Street Market其實只存在不到3年，而Wurzburg、Stuttgart與Kleve已同時面臨美國與德國的指控，根據調查，這三名主嫌已經打算捲款潛逃，已將用戶帳號中及所代管的加密貨幣轉到自己的帳號中，估計價值1,100萬美元。</p> <p>這類的「出場詐騙」（Exit Scams）其實是暗網中常見的詐騙手法，當德國警察逮到上述3名嫌犯時，也搜出了55萬歐元的現金，以及6位數的加密貨幣。</p> <p>歐洲刑警組織與美國司法部重申，任何以為自己在暗網中進行非法交易的犯罪份子不應認為自己是匿名的，他們終將被發現並被繩之以法。</p> </div></div></div>
2019/5/6 16:00作者陳曉莉https://www.ithome.com.tw/news/130420
日本將開發首隻惡意程式以防衛網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tokyo-np.co.jp/article/politics/list/201904/CK2019043002000106.html" target="_blank">日本東京新聞</a>、<a href="https://www.japantimes.co.jp/news/2019/04/30/national/first-japan-develop-computer-virus-defend-cyberattacks/#.XM763aR-XMg" target="_blank">Japan Times報導</a>，為阻擋外國的網路攻擊，日本政府考慮開發第一隻用於防衛用的惡意程式。</p> <p>報導引述消息人士指出，日本防衛廳正在考慮研發一款病毒，可在日本政府機關或陸海空軍網路遭遇攻擊時發揮遏阻效果。這隻病毒預計在今年內開發完成，病毒的詳細能力並不清楚，但可能僅在對方「有明確攻擊意圖」時予以反擊。</p> <p>這項計畫是日本強化軍事國防計畫的一環，因為現代軍事行動不再僅限傳統陸、海、空領域。近年因應中國的快速擴張，日本政府亟思提高國防能力。同時間眾多安全研究發現，許多複雜且具有巨大破壞能力的病毒來自中國、俄羅斯、以色列、伊朗、北韓等國家或政府資助的駭客組織。</p> <p>在此之前，承認擁有網路防衛武器的國家包括美、英及德國。美國國安局也被史諾登（Edward Snowden）揭露以稜鏡（prism）計畫開發Eternal系列等攻擊工具用以反恐任務。</p> </div></div></div>
2019/5/6 14:40作者林妍溱https://www.ithome.com.tw/news/130411
YouTube前工程師揭露秘辛：我們在十年前謀殺了IE 6
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾在YouTube任職的<a href="http://blog.chriszacharias.com/a-conspiracy-to-kill-ie6" target="_blank">Chris Zacharias在自己的部落格公布</a>了一段不為人知的過去，坦承他們是2009年謀殺IE 6的兇手，讓以IE 6造訪YouTube的用戶比例在一個月內從18%下滑到9%，還意外造成Google服務群起效尤的連鎖反應。</p> <p>在2009年的7月中旬，使用者以IE 6造訪YouTube時便會看到一個橫幅廣告「我們將在不久後停止支援IE 6，請立刻升級。」然而，這個廣告是由YouTube的一小撮工程師自行決定推出，並沒有經過Google的同意，也繞過了Google的程式碼審核機制與政策，Google則是看到媒體報導才知道的。</p> <p>Zacharias說，忘了是哪一件事觸發他們決定殺死IE 6的，可能只是因為YouTube的網頁開發團隊在每次的更新周期都必須耗費一兩周來解決IE 6與YouTube的相容性問題，或者是在非常特定的情況下YouTube會造成IE掛掉或甚至出現藍屏，他們都很想棄守對IE 6的支援，但高層卻要求他們繼續支援IE 6，因為有些使用者或企業可能無法升級，且當時造訪YouTube的使用者中，仍有高達18%使用IE 6。</p> <p>於是，在一場午餐聚會中，幾名已經好幾天都沒睡飽的工程師，因累到對IE 6用戶的同情心已蕩然無存，私下擬定了消滅IE 6的計畫，由於無法直接撤下對IE 6的支援，才想出了利用橫幅廣告來恐嚇IE 6用戶的招術。</p> <p>該廣告只有IE 6用戶會看到，而Google內部幾乎都使用Chrome，得以避人耳目；此外，當時Google才買下YouTube沒多久（Google是在2006年底以16.5億美元併購YouTube），也才剛關閉自家的Google Video，尚未把YouTube完全整合到Google組織中，因而讓該團隊有機可趁。</p> <p>這群工程師建立了一個名為「OldTuber」的權限予舊的YouTube工程師，讓他們能存取YouTube的程式碼集，還能完全繞過Google所制定的程式碼規範政策，藉由OldTuber所提交的程式碼既不需具備可讀性，也不用經過詳細的測試，亦無需維護程式碼覆蓋率，再把程式整合到YouTube站上，而一旦出了任何差錯，參與此事的工程師很可能全部都會被革職。</p> <p>對許多資深工程師來說，那是個既混亂又美麗的年代，他們崇尚灰帽駭客（時黑時白）、喜歡開快車、喝威士忌、在身上穿孔與刺青，有些曾被拘捕過，還有些曾經被Google拒於門外。</p> <p>總之，「IE 6謀殺計畫」順利地讓IE 6用戶在YouTube站上看到即將終止支援的橫幅廣告，由於並非官方廣告，<a href="https://www.ithome.com.tw/node/56017" target="_blank">它既無詳細的說明</a>，也沒有時程表，只有列出Chrome、Firefox、IE 8等供使用者參考的其它瀏覽器，並引來媒體的大肆報導。</p> <p>在被媒體披露之後，率先來到這群工程師面前的是Google的公關主管，詢問「為什麼全球第二大網站威脅要停止支援近1/5的用戶群？」結果是媒體幫了大忙，因為眾家媒體已幫YouTube作了解釋，後來該主管只是警告他們不要再先斬後奏就離開了。</p> <p>第二個來興師問罪的則是Google的法務，他們擔心此舉會惹來歐盟的反托拉斯調查，並要求工程師立即刪除廣告。不過，工程師向法務解釋，廣告上所建議的瀏覽器排序是隨機的，第一個出現的可能是Chrome，也可能是IE 8或Firefox，成功地安撫了法務單位。</p> <p>幾天之後，以IE 6存取Google Docs也出現了類似的廣告，原因是Google Docs團隊亦早就厭煩IE 6，在發現YouTube上的廣告之後，誤以為此事已被許可，便很開心地跟進了，接著有如滾雪球般地，其它Google服務也都嵌入了同樣的廣告。</p> <p>Zacharias表示，在短短的一個月之內，YouTube來自IE 6的流量已直接腰斬一半，同時間全球的IE 6流量也下滑了10%，超乎他們原先的預期。</p> <p>2001年問世的IE 6為Windows XP的預設瀏覽器，在2009年時，市場上已經有IE 7及IE 8等兩款更新的IE瀏覽器，<a href="https://www.w3counter.com/globalstats.php?year=2009&month=6" target="_blank">根據W3Counter的統計，2009年6月時市場上最受歡迎的瀏覽器</a>為IE 7的31.29%，IE 6則以24.6%居次，但IE 6的市佔率在7月即驟降至15.59%，8月又萎縮到14.43%，看來YouTube的確功不可沒。微軟一直到2012年1月才<a href="https://www.ithome.com.tw/node/71592" target="_blank">正式向IE 6道再見</a>，彼時的IE 6市佔率已不到1%。</p> <p>其實當時除了YouTube之外，包括臉書（Facebook）與Twitter等網站，也都建議IE 6用戶升級到更新的瀏覽器，只是未以「停止支援」作為要脅。</p> </div></div></div>
2019/5/6 12:30作者陳曉莉https://www.ithome.com.tw/news/130409
Google釋出超過500萬張圖片的地標辨識新資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://ai.googleblog.com/2019/05/announcing-google-landmarks-v2-improved.html">Google最近發布了用於訓練地標辨識模型的新版資料集Landmarks-v2</a>，比之前第一版的資料集更大，含有超過20萬個不同地標，500萬張以上的圖像，資料量是第一版的2倍，除此之外，Google還宣布兩項新的Kaggle挑戰，分別是Landmark Recognition 2019和Landmark Retrieval 2019，為了加速物體辨識的研究，還將物體辨識技術Detect-to-Retrieve開源釋出。</p> <p>Google Landmarks是全世界最大的地標辨識資料集。在創建Landmarks-v2資料集的過程中，其中一項挑戰就是要為地標生成標籤，由於標記者不可能為數百萬張地標影像標記，Google透過全世界各地的攝影師一同努力，來解決這項問題，每個攝影師都熟悉他們所在地的地標，讓這些攝影師為圖片標記標籤。</p> <p>而Google新宣布的兩項Kaggle挑戰，要邀請機器學習的愛好者和研究員參與，Landmark Recognition 2019的目標是要辨識出輸入圖片的地標，Landmark Retrieval 2019挑戰則是要找出所有包含該地標的圖片，這兩項挑戰總共祭出5萬美元的獎金，獲勝的隊伍將會受邀至CVPR 2019研討會發表使用方法。</p> <p>此外，Google也開源釋出物體辨識的新技術Detect-to-Retrieve，Google利用物體偵測模型的邊界框（bounding boxes），給予含有目標類別物體的影像區域額外的權重，該方法大幅地提升了模型的準確率，Google釋出的模型是透過原本的Google-Landmarks資料集中，含有86,000張圖片的子資料集來訓練。</p> </div></div></div>
2019/5/6 12:50作者何維涓https://www.ithome.com.tw/news/130405
Google開放第三方打造Android Automotive OS程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2019/05/developing-apps-for-android-automotive.html" target="_blank">Google宣布</a>，即將開放第三方開發人員打造基於Android Automotive OS的應用程式，且即將於5月7日~9日舉行的Google I/O將會有專為Automotive OS開發人員規畫的會議。</p> <p>也許很多人都知道<a href="https://blog.google/products/android/smarter-cars-powered-android/" target="_blank">Android Auto</a>，卻很少人聽過Android Automotive OS。Google在2014年便發表了Android Auto，它是Google專為汽車所設計的Android框架，可用來連結車載資訊娛樂系統與Android手機，至於Android Automotive OS則是一個完整的作業系統，可直接作為車載資訊娛樂系統的底層架構，不需搭配Android裝置就能使用。</p> <p>Google是在2017年宣布Audi及Volvo將以Android作為車載資訊娛樂系統的平台，讓車主可直接在該系統上執行Google Maps，聆聽Spotify或使用Google Assistant，當時甚至尚未替Android Automotive OS命名。</p> <p>而今Google則將開放第三方開發人員打造基於Android Automotive OS的行動程式，初期將以媒體程式為主，之後將會擴大到導航或傳訊程式，首個合作對象則是Volvo旗下的Polestar 2電動車。</p> <p>儘管Google透露，在發表替汽車量身打造的Android Automotive OS之後，汽車製造商對Android Automotive OS的需求即不斷增加，但迄今除了Audi與Volvo之外，尚無其它準備採用Android Automotive OS的汽車品牌曝光。</p> </div></div></div>
2019/5/6 00:00作者陳曉莉https://www.ithome.com.tw/news/130406
人權觀察組織揭露中國大規模監控維吾爾族的手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府在2014年於新疆啟動了《嚴厲打擊暴力恐怖活動專項行動》（Strike Hard Campaign），<a href="https://www.hrw.org/video-photos/interactive/2019/05/02/china-how-mass-surveillance-works-xinjiang" target="_blank">人權觀察組織Human Rights Watch近日指出</a>，中國為此一行動建立了「一體化聯合作戰平台」（Integrated Joint Operations Platform，IJOP），大規模蒐集及監控新疆民眾的日常生活，且<a href="https://www.hrw.org/report/2019/05/01/chinas-algorithms-repression/reverse-engineering-xinjiang-police-mass-surveillance" target="_blank">當地警方的手機也裝有IJOP程式</a>，以隨時查詢或輸入資料。</p> <p>中國政府的此一行動其實是為了鎮壓當地1,300萬的突厥穆斯林，他們都是住在新疆的維吾爾族，為中國的少數民族之一，不過，Human Rights Watch認為IJOP不僅侵犯了民眾的隱私，也拑制了人們的行動、宗教及表達的自由。</p> <p>根據Human Rights Watch對IJOP程式的分析，該系統不只紀錄人們的姓名、身分證字號、民族、照片、地址；還紀錄了人們的身高、血型、學歷、政治傾向、出國活動；也紀錄人們的車牌、電號與天然氣編號。</p> <p>更特別的是，它列出36種特質以將人們分門別類，例如是否剛從監獄被放出來、是否為特定人物的粉絲、是否為海歸派、是否出門很久突然回家、是否突然不用智慧型手機了、不跟鄰居往來/不從前門進出、家中的電量使用有否異常等，若車主與加油者的身分不一亦會被列入紀錄。</p> <p>當地警方還會紀錄人們的手機是否安裝了51種被列入黑名單的程式，從 Viber、WhatsApp、Telegram到VPN等。</p> <p>Human Rights Watch呼籲中國政府應立即關閉IJOP平台並移除所有資料，也要求其它國家的政府應對濫用Strike Hard Campaign的中國官員展開制裁，例如禁用簽證或是凍結他們的財產，亦應採取適當的出口限制，以避免中國政府取得用來侵犯人權的技術。</p> <p>目前新疆約有2,500萬人口，維吾爾族佔了1,300萬，目前並不確定IJOP平台所蒐集資料的對象是僅限維吾爾族或波及全新疆。</p> </div></div></div>
2019/5/6 11:45作者陳曉莉https://www.ithome.com.tw/news/130404
D-Link雲端監視器含有拍攝畫面可遭攔截及竄改韌體的安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者<a href="https://www.welivesecurity.com/2019/05/02/d-link-camera-vulnerability-video-stream/" target="_blank">ESET近日揭露了一款D-Link的雲端監視器含有眾多安全漏洞</a>，例如採用未加密的安全傳輸、允許駭客竄改韌體、或者是曝露了它的HTTP傳輸埠，研究人員表示，他們去年8月就知會D-Link，但迄今只有一個漏洞被修補。</p> <p>ESET所分析的裝置為D-Link DCS-2132L，它是夜視型的無線網路攝影機，定位為雲端監視器，在台灣市場的售價為4,999元新台幣。</p> <p>研究人員指出，該雲端監視器最嚴重的問題在於，它在傳輸影像時是未加密的，不管是攝影機與雲端之間，或是雲端與客戶端程式之間，將允許駭客執行中間人（man-in-the-middle，MitM）攻擊，攔截監視器所拍攝的畫面。</p> <p>至於客戶端程式與監視器之間則是藉由Port 2048上的代理伺服器，透過客製化D-Link通道協定的TCP通道進行通訊，但這些通道中只有部份流量有加密，而諸如對IP/MAC位址的請求、版本資訊、視訊與音訊串流等內容都未加密。</p> <p>另一個重要漏洞，則是藏匿在瀏覽器外掛程式Mydlink Services中，此一外掛程式允許使用者利用瀏覽器來管理TCP通道的建立與即時畫面的播放，也負責利用通道轉發對視訊與音訊串流的請求，所含的漏洞，允許系統上的任何應用程式或使用者，無需身分認證就能存取該監視器的網頁介面，也能用來置換裝置韌體。</p> <p>D-Link DCS-2132L上的Universal Plug and Play功能，還會把Port 80的HTTP介面曝露在公開網路上，以Shodan搜尋的結果發現全球有接近1,600個裝置的Port 80曝露在外。</p> <p>ESET表示，該公司在去年8月就向D-Link通報研究結果，D-Link很快就修補了Mydlink Services漏洞，但韌體從2016年11月就未更新，也未修補其它漏洞，提醒用戶在利用雲端監視器保護家中安全時也需留意裝置的安全風險。</p> </div></div></div>
2019/5/6 12:00作者陳曉莉https://www.ithome.com.tw/news/130407
駭客鎖定Git用戶發動攻擊，清空儲存庫內容並加以勒索
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個周末有許多開發人員抱怨，他們存放在GitHub、GitLab及Bitbucket等Git代管平台上的儲存庫被清空，取而代之的是駭客的勒索訊息，要求受害者支付0.1個比特幣（約572美元）來換回資料，否則就會將這些內容公諸於世或轉作其它用途。</p> <p>不管是GitHub、<a href="https://about.gitlab.com/2019/05/03/suspicious-git-activity-security-update/" target="_blank">GitLab</a>或Bitbucket都已證實此事，只是尚未確定受害規模，<a href="https://www.bleepingcomputer.com/news/security/attackers-wiping-github-and-gitlab-repos-leave-ransom-notes/" target="_blank">Bleeping Computer</a>與ZDNet在GitHub的掃描結果發現，至少有392個儲存庫遭勒索。</p> <p>在傳出災情之後，代管平台也展開了調查，所有業者都說駭客是利用合法的憑證登入服務，而非破解了各平台的身分認證機制。</p> <p><a href="https://security.stackexchange.com/questions/209448/gitlab-account-hacked-and-repo-wiped" target="_blank">一名開發人員Daniel Ruf在Stack Exchange平台上回應</a>，這是因為開發人員在Git的配置文件中存放了URL、使用者名稱及密碼；GitLab亦說有強大的證據顯示，受害者都將密碼以明文形式存放在這些儲存庫的部署中。</p> <p>換句話說，駭客只是在網路上掃描了Git的配置檔案，就能捕獲眾多以明文存放的密碼。</p> <p>各大Git程式碼代管平台除了呼籲開發人員不要將憑證以明文存放在配置檔案中之外，也規勸用戶採用雙因素認證機制。此外，值得慶幸的是，這些資料似乎還有機會還原，GitLab即說，除非使用者沒有進行本地備份，或是GitLab上的檔案是唯一的，否則應能找回遺失的資料。</p> <p>有類似遭遇的Git用戶應先向代管平台求助，亦有Git用戶<a href="https://security.stackexchange.com/questions/209448/gitlab-account-hacked-and-repo-wiped" target="_blank">列出尋回資料的作法</a>。</p> </div></div></div>
2019/5/6 12:05作者陳曉莉https://www.ithome.com.tw/news/130408
HTTP安全從「頭」開始
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於Web應用程式開發者而言，無論前端或後端，多少都要認識HTTP，而在HTTP的相關知識中，最為人知曉、卻也最被人忽略的是標頭（Header），舉例來說，伺服端的回應標頭，除了控制瀏覽器對內容類型、快取、編碼的處理，也可用來控制現代瀏覽器上安全措施應有之行為。</p> <p><span style="font-size:28px;"><strong>HTTP安全標頭</strong></span></p> <p>談到HTTP標頭的同時又要涉及安全議題之際，Web應用程式開發者可以聯想到的標頭有幾個呢？至少都會聯想到Set-Cookie，因為其中可以附加HttpOnly及secure，前者控制Cookie只能用在HTTP傳輸上，從而限制了JavaScript無法讀取Cookie，這可以用來避免會話劫持（Session hijacking）；後者要求Cookie只在加密連線請求時才能發送給瀏覽器。實際上，這在現代瀏覽器中更為嚴格，例如Chrome 52後，非加密連線（非https://）請求下，瀏覽器不會接受secure的Cookie設置。</p> <p>對於曾經處理跨域請求的開發者來說，應該也接觸過CORS規範，伺服端可以藉由Access-Control-Allow-Origin等標頭，控制瀏覽器是否允許指令稿拿到相關回應，另外，也可使用Vary來控制瀏覽器對相同URL資源的快取行為，這在先前專欄〈深入認識跨域請求〉探討過。</p> <p>然而，試著用瀏覽器開啟「Security Headers」這個網站，輸入網站網域名稱後、按下「Scan」，你是否會得到大紅的「F」？Security Headers會檢測指定的網址，是否傳回預期的7個安全有關的回應標頭及其設定內容，從而決定出網站的安全指數。</p> <p>實際上，與安全相關的回應標頭不只7個，還有OWASP的Secure Headers Project，當中也列出了安全相關的標頭，若要了解各瀏覽器在哪個版本實現、各大網站採用的現況、相關的增刪變更，以及可用的檢測工具等資訊，在它的「Best Practices」中，也列出了這些安全標頭的相關說明。</p> <p><span style="font-size:28px;"><strong>控制瀏覽器的安全措施</strong></span></p> <p>現代瀏覽器如Chrome、Firefox、Safari甚至是IE，都實作了一組可被HTTP回應標頭控制的安全措施。因此，在沒有進一步被相關標頭指示下，這些安全措施會有預設行為，然而Web開發人員或網站管理者，還是可以藉由標頭來改變其行為。</p> <p>以XSS的防護為例，現代瀏覽器在檢測到發出的請求與得到的回應中，若包含了相同的（惡意）指令稿，預設就會封鎖指令稿執行並不顯示頁面內容，X-XSS-Protection標頭可用來控制是否關閉該功能（0為關閉）、過濾指令稿後是否顯示內容（1; mode=block是封鎖）、或者回報至指定網址（1;report=your-url），當然，這主要是針對反射式XSS的預防。</p> <p>其中的X-Frame-Options可用來控制瀏覽器，可否在iframe裡顯示網站內容（DENY、SAMEORIGIN或者用ALLOW-FROM設置白名單）。但這不是為了避免自家內容被其他的網站蓋臺顯示，主要是用來避免介面偽照（UI Redressing）的相關攻擊，像是在近乎透明的iframe中載入惡意網站，實現點擊劫持（ClickJacking）或提取使用者輸入內容等攻擊。</p> <p>若伺服器回應時沒有指定Content-Type，瀏覽器會試著嗅探（Sniff）回應類型，並進行探測到的類型應有行為。如果惡意偽裝為圖片連結，內容實際上卻是指令稿，在沒有指定Content-Type的情況下，瀏覽器就有可能執行指令稿，為了避免這類問題，X-Content-Type-Options可設置為nosniff，不過要注意，雖然字面上是用來關閉瀏覽器的嗅探行為，然而因為相容性的問題（<a href="https://bit.ly/2WCB5nK">https://bit.ly/2WCB5nK</a>），實際上只會套用在script與style，要求這兩者必須在有正確的內容類型指定下，才能運作。</p> <p>另一個是Referer標頭（在規範中被拼錯），可用來表示請求是從哪個頁面連結而來，對於網站做些來源統計。然而，有時這裡會意外地洩漏敏感訊息，像是附在網站上的會話ID等，可運用Referrer-Policy的8個設定值，規範在是否同源、加密連線等的情況下，瀏覽器才附上Referer標頭，當然也可設定no-referrer，來完全關閉Referer標頭之使用。</p> <p>接下來，是Strict-Transport-Security的標頭，可用來強制要求瀏覽器，就算一開始是http://，接下來的設定期間內（max-age，以秒為單位），瀏覽器都要使用加密連線，執行相關設定時，可決定是否包含子域（includeSubDomains）；Feature-Policy是個相對比較新的標頭，控制的是瀏覽器的特性，可用來決定瀏覽器是否可使用某些API或設備（例如相機頭），Chrome在60版之後才加入此支援。</p> <p><span style="font-size:28px;"><strong>內容安全策略</strong></span></p> <p>Content-Security-Policy是設定最多樣、最繁複，也值得特別討論的安全標頭。先前談過的X-XSS-Protection，主要是針對反射式XSS的預防，對於其他類型的XSS，往往有賴於Web應用程式在實作上加以防堵。基本上，Content Security Policy（CSP）是2010年被提出來討論的規範，其目的在於，從根本禁止瀏覽器從非預期的來源，載入惡意指令稿。</p> <p>CSP規範在提出討論之後，接下來在發展的過程中，各家瀏覽器就在試著實現了，因此這中間除了Content-Security-Policy之外，還出現了X-Content-Security-Policy、X-WebKit-CSP等非標準標頭。而CSP的版本，在2015年1.0版正式釋出，2016年來到2.0版，目前3.0版正在草案階段。</p> <p>XSS的問題，根本上是瀏覽器不知道哪些來源的資源是可信任的，CSP簡單來說就是設置白名單，明確告知瀏覽器，只能夠從哪個來源載入資源，可控制的資源包括：script、style、img、media、object、frame、font等，我們在default-src裡面，可以設定預設值，例如若沒有設定script-src的名單，那就看default-src中的名單，確定可否載入指令稿，對於不在白名單的載入行為，report-uri可用來要求瀏覽器發送報告至指定網址。</p> <p>然而，使用白名單設置是個麻煩的過程。由於現代Web應用程式，往往會從多個來源（CDN之類）載入資源，過於嚴格的白名單，甚至會造成網站來源間的設置衝突。</p> <p>為此，CSP也有一些寬鬆的設定選項（像是unsafe-inline等），不過往往也被濫用，若沒有正確地設置這類選項，相關規則就會被繞過，而無法有效防範XSS，在網站上搜尋「CSP bypass」就可以找到大量的案例。為了協助運用CSP防堵XSS，也為了能正確地、安全地設置CSP選項，Google推出了CSP Evaluator（<a href="https://csp-evaluator.withgoogle.com/">https://csp-evaluator.withgoogle.com/</a>），可以把編寫好的CSP貼上去，以檢測內容是否正確，以及是否有安全問題，也可以看看其中的「Sample unsafe policy」，因為，這看似設定得很用心的CSP範例，其實問題多多。</p> <p><span style="font-size:28px;"><strong>被動防守與主動防堵</strong></span></p> <p>各類型HTTP伺服器，都有方式可以全域設置這些安全性標頭，有些Web框架也提供相關設定，各個安全標頭的作用與設定細節，只要在網路搜尋「HTTP Header Security」，都能找到說明，因此，重點應擺在認識這些文件背後著墨的安全議題。</p> <p>Web應用程式過去在安全性這方面，往往只能被動地等待瀏覽器的請求，看看是否有需要防堵的攻擊，甚至連使用者被攻擊了都不知道（像是DOM-based XSS）；而HTTP安全相關的標頭，可以主動地要求瀏覽器，積極地遵守標頭的指示，不發起非安全的操作，若能善加利用，對Web應用程式的安全性，也會是不小的助益。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/http">HTTP</a></div><div class="field-item odd"><a href="/tags/%E6%A8%99%E9%A0%AD">標頭</a></div></div></div>
2019/5/5 09:00作者林信良https://www.ithome.com.tw/voice/130302
一周大事：Windows 桌機及Server版可望拿掉密碼過期政策。介接IT網路成常態，醫療院所也要有OT危安意識
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:28px;"><strong>不必再定期改密碼了！Windows 桌機及Server版可望拿掉密碼過期政策</strong></span></p> <p>每三個月變更一次密碼的夢魘可望不再！微軟公佈Windows 10 桌機版及Windows Server 1903版Windows 10 1903（即19H1）及Windows Server 1903版安全基準設定草案，其中最值得注意是將拿掉要求定期變更密碼的密碼過期政策。<a href="https://www.ithome.com.tw/news/130226" target="_blank">更多內容</a></p> <p> </p> <p><strong style="font-size: 28px;">有了實體隔離OT就安全嗎？中華資安國際：醫院儀器暗藏古老惡意軟體</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/190320-%E9%86%AB%E7%99%82OT%E8%B3%87%E5%AE%89-%E6%B8%B8%E5%B3%AF%E9%B5%AC.jpg" style="width: 500px;" /></p> <p>隨著時代的轉變，原本環境封閉的操作科技（OT）環境，已經與IT連接在一起，然而，操作科技的安全性，並未跟隨這樣的情勢，進行強化，這樣的情形不只在工業環境出現，具備各式檢測儀器的醫療院所，也同樣面臨這種危險。在2019臺灣資安大會上，中華資安國際副總經理游峯鵬以他們的檢測經驗，呼籲這些單位要整頓OT安全。<a href="https://www.ithome.com.tw/news/129939" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>升級Windows 10 1903？PC至少要有32GB硬碟空間</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0426-hardware1903.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_微軟</span></p> <p>雖然有部分用戶對於即將來到的Windows 10 May 2019 Update (1903)感到如臨大敵，但如果你的電腦想升級到1903版的話，除了處理器要符合最低要求，此外，電腦也需具備最少32GB的儲存容量。<a href="https://ithome.com.tw/news/130248" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>Google雲端硬碟新增離線模式，沒網路也能使用檔案</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/ying_mu_kuai_zhao_2019-04-25_shang_wu_11_16_32.png" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_Google</span></p> <p>若人在外面沒有網路連線，卻需要存取Google雲端硬碟上的檔案怎麼辦？現在就算是在離線或是網路不穩定的狀態下，使用者也能在Google雲端硬碟中使用Docs、Sheets和Slides檔案了，Google最近為雲端硬碟服務新增了離線模式，使用者可以在新的離線模式預覽版中，預先查看哪些文件有支援離線模式，並於檔案文件按下右鍵，選擇開啟離線模式，就能在離線時使用該檔案。<a href="https://www.ithome.com.tw/news/130222" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>nginx首度登上網站數量市占第一寶座，成長力道強勁挑戰Apache地位</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_fireshot_capture_296_-_april_2019_web_server_survey_-_netcraft_-_newsnetcraftcom.png" style="width: 500px;" /></strong></span></p> <p>網路資安公司Netcraft釋出2019年4月的網頁伺服器調查結果，發現nginx成為網站數量市占率第一名。Netcraft在四月收集了14億網站的回應，其中包括了2.3億個不重複網域，以及接近900萬臺的網頁用電腦。<a href="https://www.ithome.com.tw/news/130209" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>網站延遲上線、功能及安全問題，赫茲要求Accenture退錢並求償數百萬美元</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/herz.jpg" style="width: 500px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_Herz</span></p> <p>租車業龍頭赫茲租車（Hertz）本月中因為委外開發的公司網站數度延遲上線且品質低落，向紐約法院控告IT服務大廠Accenture，要求退回已支付的4200萬美元並賠償損失。<a href="https://www.ithome.com.tw/news/130278" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>蘋果悄悄更新Mac防毒軟體，可防Windows惡意程式</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-macxprotect.png" style="width: 600px;" /></strong></span></p> <p><span style="color: rgb(128, 128, 128);">圖片來源_蘋果</span></p> <p>蘋果近日悄悄更新Mac的防毒軟體XProtect，可偵測在Mac電腦執行的惡意Windows PE檔及可執行檔。<a href="https://www.ithome.com.tw/news/130233" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size:28px;"><strong>歐洲議會通過92億歐元的科技預算，將用來研發超級電腦、AI及網路安全</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-shu_wei_ou_zhou_.png" style="width: 500px;" /></p> <p>歐洲議會（European Parliament）在上周通過了預算達92億歐元（約3,233億元新台幣）的數位歐洲計畫（Digital Europe Programme），打算讓所有的歐洲民眾都擁有迎接數位挑戰的基礎設施與技能，亦為歐盟數位單一市場策略的一環。<a href="https://www.ithome.com.tw/news/130223" target="_blank">更多內容</a></p> <p> </p> <p><span style="font-size: 28px;"><strong>臉書擴大事實查核並降級違規出版商頁面，減輕假消息對歐盟選舉的影響</strong></span></p> <p class="rtecenter"><span style="font-size: 28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/refine_factcheckers_thumbnail_final.jpg" style="width: 500px;" /></strong></span></p> <p>臉書（Facebook）證實2016年美國總統大選受外國政權干涉，未經查證的假消息在臉書上流竄影響選民風向，而2019年歐洲議會選舉將在五月舉行，由歐盟選民選出歐洲議會議員，現在臉書為了避免平臺再次成為外國勢力影響他國政治的工具，正擴大掃蕩歐盟地區假消息的動作，增加新的事實查核合作夥伴，還更新系統演算法，針對外部網站、出版商頁面以及群組進行內容品質評估，防堵假消息傳播。<a href="https://www.ithome.com.tw/news/130304" target="_blank">更多內容</a></p> </div></div></div>
2019/5/5 09:00未署名https://www.ithome.com.tw/news/130352
臺北大直地區旅館戰場新生力軍，美福以IT打造全新5星飯店
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北市，除了信義區為旅館飯店業一級戰區外，內湖大直已隱然成為另一個飯店觀光業新戰場，這裡不僅聚集了一般旅館、汽車旅館，還有國際級的觀光飯店，除了維多麗亞酒店、臺北萬豪酒店，後續還有英迪格酒店、老爺酒店將會進駐，競爭之激烈可見一斑。</p> <p>在這個旅館飯店業的戰區中，三年前開始營運的臺北美福大飯店，是大直地區新近成立的大型精品飯店，也是美福國際首次跨足飯店業的代表作，挾著母公司在食材供應的資源，美福飯店嘗試以餐飲、住宿，要在臺北市的旅館業佔有一席之地，背後從無到有，建置、維運飯店資訊系統的推手，就是臺北美福大飯店資訊部經理陳永琦。</p> <p>陳永琦形容自己進入飯店業IT是個巧合，他原本從事業務方面的工作，曾擔任軟體公司的業務經理，逐漸朝網路部份的業務發展，曾加入是方電訊，考量到個性的合適性，後來考取RHCE證照，才開始投入飯店業IT工作，在華泰飯店的總公司IT部門待了9年的時間，曾參與過華泰瑞舍、華泰瑞苑等4家關係飯店的IT建置工作。</p> <p>包括了飯店的機房建置、主機架設，以及有線、無線網路的規畫，飯店的前後檯系統上線及教育訓練，對於新飯店籌備到營運的相關需求及時程，他都有相當的經驗。</p> <p><span style="font-size:28px;"><strong>從無到有建置飯店IT系統</strong></span></p> <p>陳永琦在2015年加入了美福飯店籌備團隊，當時負責IT籌備工作的只有他一人，許多事都必須自己規畫準備，過去的工作經歷讓他知道什麼時間該做哪些事，例如餐廳印表機該放在哪裡，或是工作人員的動線、飯店內無線網路的規畫等等。</p> <p>在陳永琦加入之前，飯店籌備團隊先前已先建置採購、人事、財務系統，他加入後聚焦於飯店的前檯，例如客房系統、餐飲系統、POS等實際部署工作。</p> <p>在飯店的電話分機部份，陳永琦的規畫原則以看到前兩碼就能分辨來自哪個單位的電話為主，例如依前檯及後檯區分，內部分機分別以33xx及55xx設定，雖然看似只是簡單的小原則，卻能使內部業務的溝通在無形中更有效率。</p> <p>這個系統化的原則也用在美福飯店所使用的Gmail群組畫分中，從最小單位的個人，到往上一層層的群組畫分，餐飲部、業務部、客房部等等，再往上統整為更大的營運大群組、後勤大群組。當發送內部電子郵件時，能更精準的發送到指定的收件人信箱。</p> <p>儘管他已相當熟悉飯店業從無到有的IT工作相關經驗，但加入美福飯店還是碰到了難題，因為過去所熟悉的飯店PMS系統Opera，而在美福則是使用國產的德安系統。</p> <p>Opera涵蓋了飯店的前檯管理系統、銷售及宴會管理、預訂、營收管理等等，多為國際連鎖飯店體系常用的營運系統，國內也有不少飯店使用，德安則主要提供飯店及連鎖餐飲業ERP，國內也有飯店採用其ERP系統，因同屬關係企業，美福飯店在前臺的PMS也採用德安。</p> <p>基於關係企業的緣故，美福採用德安系統，雖然在飯店營運系統採購成本上可能因此享有優勢，並省去了調查市場上其他飯店營運管理系統的過程，但也因為這樣，美福無法選擇符合其真正需求的系統，必須適應德安這套系統。</p> <p>為了建立飯店營運的各項系統，他先蒐集相關的資料，例如餐廳的POS系統，先蒐集選單設定、點菜畫面、平面圖、菜餚、套餐、餐廳作業流程等資料，客房的前檯系統部份，蒐集房種、房號、服務項目、房價等資料，宴會訂席系統則蒐集場地、時段、場租等等。</p> <p>將蒐集到的各項資料提供給德安系統的PM，先建置系統及規畫作業流程。後續再安排第一次的教育訓練，讓使用各個系統的員工先熟悉系統的操作，藉由第一次教育訓練，驗證資料內容、流程是否完善，並進行調整，第二次的教育訓練則是系統正式上線前的最後檢核。</p> <p>「在飯店的系統籌備階段中，資訊部門像是PM角色，協助各單位備齊資料，朝系統上線的目標前進。當資料進入系統後，下一步便是對員工進行教育訓練，讓員工能夠熟悉系統運作，也在訓練中和員工互動，一起讓系統走向最佳的方向」，他說。</p> <p>然而，飯店營運系統上線後還是碰到困難，像是對餐飲服務來說，相當重要的宴會訂席，德安系統無法完全滿足當時餐飲部門的場地彈性管理需求，以大宴會廳至美廳為例，依照訂席的需求，至美廳可分拆為多個小型宴會廳，依分拆的廳數不同，桌子擺放數量也會變動，對飯店的訂席管理而言，彈性調整場地的使用相當重要，但當時的系統無法滿足彈性的場地管理需求，坪效管理上容易產生混淆。經過美福和德安之間數次交涉後，在業務單位、資訊部門及副總經理的支持下，最後，德安同意根據飯店的需求調整，並將調整的功能列入德安系統的標準版中。</p> <p>陳永琦回想當時列出了50多個大大小小的問題，像是兩位訂席人員預訂同一個場地，當一位預訂成功，另一個預訂會不見，理論上，系統應對第二個訂席請求，將場地設定為鎖定或唯讀。</p> <p><span style="font-size:28px;"><strong>打造無死角無線上網環境</strong></span></p> <table align="right" border="0" cellpadding="1" cellspacing="1" style="width:250px;"><tbody><tr><td><img alt="" src="https://s4.itho.me/sites/default/files/images/09_(%E6%8A%BD)%E9%99%B3%E6%B0%B8%E7%90%A6_%E5%8F%B0%E5%8C%97%E7%BE%8E%E7%A6%8F%E5%A4%A7%E9%A3%AF%E5%BA%97_%E8%B3%87%E8%A8%8A%E9%83%A8%20%E7%B6%93%E7%90%86_20190315_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 250px;" /></td> </tr><tr><td><span style="color:#696969;"><strong>臺北美福大飯店資訊部經理陳永琦表示，「資訊部門應對第一線同仁面對客人的壓力感同身受，以最快方式提供解決之法」。</strong>攝影／洪政偉</span></td> </tr></tbody></table><p>美福飯店在無線網路服務也下了番功夫，使用單顆價值數萬元的高階無線AP，以打造一個沒有死角的無線網路環境為目標，讓飯店內移動，自動在不同的AP間切換，使連網不致中斷。</p> <p>為此，美福在每間客房都設置一顆無線AP，這點和一般飯店為了節省成本，將AP設置在走廊的做法不同，美福飯店的客房內空間較大，空間上採用挑高的設計，對無信訊號遮蔽影響較小，但因為飯店的裝潢還是會遮蔽部份的無線訊號，因此連同大廳、宴會廳在內的公共空間，飯店內共設置了200顆AP，美福以兩顆控制器，分別管理客房內和公共空間的AP。</p> <p>為了方便管理，每個AP的命名規則包括樓層及房號，因此當發生問題，例如某個AP的無線上網速度變慢，資訊部門就能從網頁管理中很快察覺，由於AP全天候24小時運作，為了避免AP網速變慢的問題，他們也會在較少人使用的時間，每月固定重新啟動AP，以確保飯店內無線上網的品質穩定性。</p> <p>如果有重大的安全疑慮，需要更新AP韌體時，他們會按樓層分批更新每間房間、公共場所的AP，但不同於一般企業更新資訊設備可以選在下班的深夜時段進行，由於飯店全天24小時都有人使用，降低AP更新韌體對顧客的影響，他們選定更新的樓層後，會通知訂房人員，儘量不要安排客人入住該樓層。</p> <p>另外，美福飯店也整合電信機房，可以拉進中華電信Gb級的光纖網路服務，以滿足宴會廳大型活動，同時間多人高速上網，對更大網路速度的需求。</p> <p><span style="font-size:28px;"><strong>靠IT在飯店業戰場中建立特色</strong></span></p> <p>美福飯店在2016年4月正式開幕，投身內湖大直這個旅館飯店業戰場，在同一條路上不到500公尺距離的臺北萬豪酒店，只晚了幾個月的時間開幕，兩家飯店在位置、開幕時間都很接近，形成微妙的競爭關係。而在大直地區，還有維多麗亞、香樹花園等其他飯店競爭，美福如何從中建立自己的特色就很重要。</p> <p>由於飯店在三年前才成立，在現代化的腳步上比較沒有包袱，在客房內開始運用科技打造新的住房體驗，例如客房電視內使用IPTV電視系統。</p> <p>為了深化旅客的住房體驗，整合不同系統的目的，是要讓客人更容易使用各項服務，陳永琦表示，下一步要讓客人能在電視上點餐，客房服務人員掌握客人資料，當客人在電視上點餐後，系統就會將點餐訊息， IPTV系統透過API串接Line機器人，將訊息發送給相關的服務人員，服務人員再向客人確認餐點是否需要依個人喜好調整。</p> <p>這項服務是將傳統飯店內厚厚一本客房指南電子化，搬到IPTV電視上，因此未來不只是可在電視上點餐，還可能預約其他的服務，這項服務可能在今年內就會看到。</p> <p>迎合國人經常使用Line作為溝通的工具，美福飯店底下餐廳所使用的第三方訂位系統inline綁定飯店的Line@帳號，讓消費者可以透過Line直接線上預訂餐廳用餐。為了降低已預訂的客人No Show的情形，預訂完成後也會發送簡訊，讓臨時無法到場用餐的客人，可以直接回覆簡訊取消訂位。</p> <p>過去，飯店支付款項使用的刷卡傳真單，由於容易有盜刷、詐騙的風險，美福也和銀行業者合作線上付款系統，取代刷卡傳真單，飯店會發送簡訊到消費者的手機，消費者點入簡訊提供的連結就可進行線上刷卡，由銀行業者把關交易安全，飯店人員也能立即掌握線上付款進度。</p> <p>現在資訊部門包含陳永琦在內有2人，在資訊部份的工作上分工，分別管理資訊設備及營運系統，陳永琦主要負責資訊設備的維護，而另一位員工則在三年前加入，較熟悉德安系統，主要負責飯店營運系統的維運管理，由於人力有限，部份的工作例如較為複雜的網路設備管理，委託外部的系統整合廠商協助維護管理。</p> <p>美福透過建置虛擬化主機，以VM架構起網路監控系統，將網路設備、印表機等登錄到系統中，監控斷線、延遲等異常情形，出現異常狀況時馬上就能知道，現在會議室預約、HR Flow也架設在VM上，目前已有兩臺VM主機各司其職，飯店的營運系統則在兩臺實體主機上，並由VM主機作為備援。</p> <p>談到飯店業資訊部門的角色，陳永琦認為「資訊部門最熟悉各個系統的資源，對飯店第一線同仁在前檯面對客人的壓力應該感同身受，處理問題時先以最快方式提供解決之法，再慢慢改善」。</p> <p>為了更好地支援第一線，資訊人員也要瞭解飯店各部門同仁的工作，例如飯店換日（營業日）的夜間稽核，通常是在深夜時段稽核當天營業日的營收及支出，完成稽核後才會更換新的營業日，他表示，有時候業務部門碰到問題可能不會向資訊部門反映，因此IT更要常常走到前線，才能更瞭解他們碰到的問題，並幫助他們解決。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> CTO小檔案 </span></strong></p> <p><strong>臺北美福大飯店資訊部經理陳永琦</strong></p> <p>學經歷：1989年到1999年間在遊戲公司擔任業務工作，1999年至2003年間在網路服務公司工作，曾在是方電訊擔任業務，後來考取RHCE證照，2006年加入華泰大飯店，擔任資訊部主任，2015年加入臺北美福大飯店籌備團隊，從無到有參與資訊軟硬體的規劃與執行。</p> <p><strong><span style="color: rgb(255, 255, 255); background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></p> <p><strong>臺北美福大飯店</strong></p> <p>● 地址：臺北市中山區樂群二路55號</p> <p>● 成立時間：2016年4月</p> <p>● 主要業務：旅客住宿/餐飲，宴會會議</p> <p>● 員工數：400人</p> <p>● 董事長：李冠霆</p> <p>● 總經理：林偉德</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 資訊部門檔案 </span></strong></p> <p>● 資訊部門主管職稱：資訊部經理</p> <p>● 資訊部門主管姓名：陳永琦</p> <p>● 資訊部門人數：2人</p> <p>● IT預算：300萬元</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 公司大事記 </span></strong></p> <p>● 2014年：財務、人事、採購系統上線</p> <p>● 2015年：客房系統、餐飲系統、POS銷售前臺上線，虛擬化備援主機上線</p> <p>● 2016年：餐券系統銷售餐券、HR Flow系統上線</p> <p>● 2017年：線上問卷系統上線</p> <p>● 2018年：線上訂位上線、線上購物上線、線上付款上線、引進Handy Phone</p> <p>● 2019年：線上訂房系統、飯店會員管理系統上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/15_nei_ye_chen_yong_qi_tai_bei_mei_fu_da_fan_dian_zi_xun_bu_jing_li_20190315_hong_zheng_wei_she__0.jpg" width="960" height="420" alt="" title="臺北美福大飯店資訊部經理陳永琦" /></div></div></div>
2019/5/4 12:00作者蘇文彬https://www.ithome.com.tw/people/130301
亞馬遜為何要攻入實體通路市場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_zhu_tu_960x420fan_ben_2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">時報出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>活用在網路上建立的顧客關係，發動實體空間的顧客爭奪戰」，亞馬遜正是採取這項策略的先驅。</p> <p>亞馬遜原本是以網路為據點的企業，現在卻接連在實體空間建立通路，企圖藉此抓住顧客。</p> <p>亞馬遜開發擺在顧客家裡的Amazon Dash與AmazonEcho，並發展實體店面Amazon Go與Amazon Books。其中最極端的例子，應該就是在2017年宣布併購美國高級食品超市全食超市（Whole Foods Market）吧？這項舉動被視為威脅，新聞也大幅報導。</p> <p>但如果把亞馬遜的舉動單純視為從網路空間走向實體空間的「通路多元化」，那就判斷錯誤了。亞馬遜鎖定的不是通路，而是結合網路空間與實體空間的通路，掌握顧客的行為資料，並運用這些資料，針對每一位顧客擬定促銷、價格、商品等所有面向的最佳戰略。</p> <p>換句話說，亞馬遜透過網路與實體的結合，推動一連串行銷的革新，或者可以稱為「4P革新」。革新成功時的衝擊將難以估量。</p> <p>亞馬遜已經能夠根據顧客的購買紀錄推薦商品，實現促銷的最佳化。下一階段的衝擊將是透過與顧客建立關係帶來「價格破壞」與「商品開發」。</p> <p>舉例來說，亞馬遜將高級會員的優惠價格擴大到Amazon Books與全食超市等實體店面。除此之外，亞馬遜也加速發展自有品牌，譬如亞馬遜乾電池等商品，在網路上的銷售擁有全美第一的市占率。</p> <p>換句話說，亞馬遜企圖以通路為起點，針對促銷、價格、商品等行銷要素，推動其他公司無法模仿的改革。</p> <p>亞馬遜實踐的這種競爭方式，正是「通路轉移」策略。</p> <p>所謂「通路轉移」策略指的是：</p> <p><strong>1. 以網路空間為據點進軍實體空間</strong></p> <p><strong>2. 透過與顧客建立關係</strong></p> <p><strong>3. 推動行銷要素的改革</strong></p> <p>如果只是單純開設網路商店與實體店面，並不足以對抗這樣的行動。我們必須把對通路的認知，從「銷售空間」轉變為「與顧客建立關係的空間」。</p> <p>如果企業沒有主動發起真正有意義的通路轉移，顧客將被這些來自網路的侵入者連根挖走。</p> <p>許多企業已經急著透過結合網路空間與實體空間的通路，建立顧客關係。譬如美國服飾品牌BONOBOS，顧客可以先在網路商店選好衣服，再前往實體店面購買。日本家具家飾業者宜得利則導入先在實體商店選擇商品，再從網路商店購買的機制。美國眼鏡商Warby Parker會將眼鏡樣品送到顧客家中，顧客再從中挑選喜歡的購買。</p> <p>這些企業藉由改變通路，強化與顧客之間的關係，帶動事業的改革。</p> <p><span style="font-size:28px;"><strong>Amazon Dash│顧客的「家」也變成通路</strong></span></p> <p>Amazon Dash是一個小小的按鈕，上面印著飲料、洗衣精或尿布等商品的品牌名稱。這是為了讓顧客透過亞馬遜購買特定品牌商品的專用按鈕。顧客不需要打開手機或電腦，只要按下按鈕即可訂購常用商品。把這個按鈕裝在冰箱門上、洗衣機上，或是收納尿布的櫃子裡，在差不多該補充的時候按下按鈕，就完成在亞馬遜上的訂購，接下來只要等商品送來即可。</p> <p>Amazon Dash的使用方法非常簡單，只需連上WiFi，並透過亞馬遜APP設定常用商品即可，剩下的步驟就只有在需要的時候按下按鈕。也可以設定在訂購的商品送達之前，不管按幾次按鈕都視為同一筆訂單，防止重複訂購。訂購商品時也會寄發確認通知，顧客不僅可以確認訂購內容，也可以取消。</p> <p><span style="font-size:28px;"><strong>不需要手機、也不需要電腦的Amazon Dash</strong></span></p> <p>Amazon Dash只是一個小小的按鈕，但從通路的角度來看卻是「分量十足」，帶來的衝擊甚至足以大幅改變過去的典範。</p> <p>Amazon Dash的創新之處在於，讓網路購物的入口出現在「家」這個實體空間裡。</p> <p>過去如果想購買商品，必須透過手機或電腦連上亞馬遜的網站，從網站上選擇、搜尋商品，再按下購買鍵。無論是選擇商品還是購買商品，都必須上網才能進行。但只要有了Amazon Dash，不需要每次都連上網路商店，只要在家中這個實體空間決定好商品並按下按鈕，即完成在網路商店上的購買。</p> <p>對於在實體空間販賣洗衣精等日用品的零售企業而言，Amazon Dash是穿越空間之隔的侵入者，明顯成為威脅。</p> <p><span style="font-size:28px;"><strong>亞馬遜並不存在「網路商店VS實體商店」的對立</strong></span></p> <p>或許你的公司時至今日依然只針對「如何打造與實體店面類似的網路商店」，討論在網路空間上的發展。或許只因為網路商店的預期營收不高，就對網路空間的發展做出消極的投資判斷。也有可能網路商店明明創造出熱門商品，負責實體店面的核心部門卻來興師問罪：「這是在跟我們搶客人嗎？」</p> <p>如果你的公司符合上述任何一項狀況，將可能面臨重大危機。因為以網路空間為據點展開通路轉移的企業，並不會陷入這樣的討論。他們挑戰的是全新策略，彈性地分配選擇通路與購買通路，組合網路空間與實體空間。</p> <p>在新的策略中，網路商店與實體商店彼此對立的典範並不存在。存在的只有如何在實體空間鋪設通路，並將在實體空間中的購物行為，帶進網路商店裡。</p> <p>各位不能忘記一件事，顧客根本不在意商店的經營者到底是網路企業還是實體企業。有些人聽到如此斷言可能會提出異議，但各位可以這麼想，只要能夠提供其他企業所沒有的迷人購物體驗，就能抓住顧客。</p> <p>不管往來的時間有多長，顧客都不會天真到對於明顯缺乏魅力的企業忠誠。如果無法捨棄店面至上主義，受制於過去的典範，或許在不知不覺間，就連實體店面的優勢也會被網路企業奪去。</p> <p><span style="font-size:28px;"><strong>打破「店面至上主義」</strong></span></p> <p>這或許也能解釋成一直以來綁住零售業的「店面至上主義」。所以，現有的零售企業會架設網路商店作為自家公司的通路，並且熱中於在網路商店打造「與實體店面相同」的購物體驗。這些公司將網路商店與實體商店視為兩個平行的個體，有時各自負責的部門甚至會在公司內部彼此競爭。</p> <p>但Amazon Dash的概念不存在這樣的前提。Amazon Dash雖然以網路商店為據點，但引導顧客進入網路商店的接觸點卻存在於實體空間。亞馬遜將選擇通路（Amazon Dash）與購買通路（Amazon.com）分開，並依照各自的功能組合網路空間與實體空間，藉此吸引顧客。</p> <p>換句話說，討論的前提已經不再是「顧客只會在線上通路或實體通路擇一購買商品」，而是「顧客購物時會在線上通路與實體通路之間來來去去」。</p> <p>亞馬遜的據點在網路上，採取的競爭方式明顯不同於傳統企業。Amazon Dash的出現，將通路從「先有店面」的咒縛中解放，同時也顯示，對於以實體空間為據點的企業而言，全新的戰爭將揭開序幕。（摘錄整理自《為什麼亞馬遜要開實體商店？》）</p> <p><span style="color:#3399ff;"><strong>為什麼亞馬遜要開實體商店？三個關鍵架構，掌握全通路時代的下一階段戰略</strong></span></p> <p>奧谷孝司、岩井琢磨／著；林詠純／譯</p> <p>時報出版</p> <p>售價：350元</p> <p><strong style="color: rgb(51, 153, 255);">作者簡介</strong></p> <p><strong>奧谷孝司</strong></p> <p>良品計畫前網路事業部長。日本宅配超市Oisix ra daichi全通路長。顧問公司株式會社顧客時間共同執行長兼董事。</p> <p>1997年進入良品計畫公司， 2005年擔任服飾雜貨部門經理，推出「服貼直角襪」等熱門經典商品。2010年就任網路事業部長，策畫「MUJI passport」。</p> </div></div></div>
2019/5/4 10:00未署名https://www.ithome.com.tw/article/130049
玩轉著色器語言
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基本上，WebGL不只是個圖形程式庫，開發者必須與GPU進行溝通，使用GLSL撰寫程式，因為這是一種著色器語言（Shader language）。</p> <p>為什麼要用特定語言來撰寫著色器？撰寫時有哪些要注意的地方？又有哪些輔助工具可以使用呢？</p> <p><span style="font-size:28px;"><strong>著色器能夠執行快速處理的原因</strong></span></p> <p>先前我在專欄<a href="https://ithome.com.tw/voice/129982" target="_blank">〈瀏覽器裡的3D建模師〉</a>談過，WebGL開發者需要使用GLSL撰寫著色器程式，透過JavaScript API編譯並送入GPU」。GPU是專門執行繪圖運算的微處理器，在繪圖速度自然比透過HTML5 Canvas API等來得快速，這結論基本上沒錯，然而，若能進一步理解「專門執行繪圖運算」是指什麼，有助於對著色器語言的掌握。</p> <p>正如我在<a href="https://ithome.com.tw/voice/129982" target="_blank">〈瀏覽器裡的3D建模師〉</a>提及的，著色器程式包含頂點與片段著色器。頂點著色器在編寫時，對象是針對單頂點的演算，片段著色器在編寫時，對象是單個像素的演算。在頂點著色器中，頂點間無法溝通，不知道前一頂點或下個頂點是哪個，更別說是頂點的狀態；頂點也無法得知上一次的狀態為何；在片段著色器中，基本上也是相同，只是頂點換為像素，一樣地，每次都是獨立運算。</p> <p>若需要處理的畫布有1024 × 768個像素，每秒60個影格，在交給CPU循序處理每個像素的情況下，CPU每秒須處理47,185,920個像素，現代CPU是有多個核心，開發者也可以特意將程式設計為平行處理，讓多個核心來平均分擔這些任務（然而在瀏覽器上做不到，別忘了，JavaScript是單執行緒模型），實際上，GPU就是這麼做的，透過內部許多的微型處理器，平行地處理每個像素。</p> <p>這也就是為什麼有些開發者會覺得，著色器在學習或編寫上並不容易。因為著色器為了要能配合GPU平行處理的特性，在設計模型上做出了限制，每個頂點或像素都是「獨立地」處理，彼此並不可見，而且不會記憶狀態，無論圖像再怎麼複雜，每個頂點或像素的演算必須是通用的（也就是抽象的），這樣GPU才可以將著色器運行在各個微型處理器上，每個像素的處理，都是個小型任務。</p> <p>除了平行處理的特性之外，繪圖處理上經常涉及大量的向量、矩陣運算以及數學函數，著色器語言在向量與矩陣的支援上很友善，特定數學函數還能透過硬體來加速，就程式開發的角度來看，專門執行繪圖運算而獲得繪圖優勢，就是這麼一回事。</p> <p><span style="font-size:28px;"><strong>著色器的程式碼內容</strong></span></p> <p>對於著色器的撰寫，若能知道實際上是在進行平行程式設計的任務，其實很重要，因為這讓開發者知道可以做些什麼，又有哪些事做不到。對於做得到的事，也可以用來判斷哪些演算應該放在著色器中，而哪些可以寫在JavaScript（就WebGL而言）。</p> <p>要將運算實現在哪邊？這完全取決於開發者，我們可以撰寫簡單的著色器，其他都交給JavaScript來處理，或者是除了HTML頁面處理以外的全部運算，都使用著色器來實現。而這會令人直接聯想到效能，理論上，交由GPU運算會有比較好的效率，在〈Introduction to Shaders〉（<a href="https://bit.ly/2HOFkZs">https://bit.ly/2HOFkZs</a>）也談到這件事，實際上只有CPU才知道怎麼渲染，GPU還是須與CPU合作，亦有常見的效能瓶頸──來自於溝通上的開銷，而不是運算。</p> <p>對於初次接觸WebGL的前端開發者而言，建議撰寫簡單的著色器，其他由JavaScript來實現；在逐漸熟悉GLSL之後，並發現JavaScript程式中有些通用向量、矩陣或數學函數運算，再來考慮實現在著色器之中。會有此考量的另一個原因在於，GLSL沒什麼通用的除錯工具，這表示著色器中的邏輯不應過於複雜，往往就是一些數學為主的運算。</p> <p>另一方面，如果著色器摻雜越多瀏覽器的情境，就可能越局限在某些應用場合。為了讓著色器更通用，我們在著色器當中，應儘量只針對頂點、像素進行處理，避免摻雜瀏覽器情境（例如滑鼠座標轉換），而這些也會是考量之一。</p> <p>當然，詳細地認識GLSL，對著色器可以寫些什麼絕對是有幫助的，最好是個所視即所得的學習方式，〈The Book of Shaders〉是個線上文件，作者以講解片段著色器的設計為主，並提供一個由glslCanvas程式庫（<a href="https://bit.ly/2WoIOGc">https://bit.ly/2WoIOGc</a>）建立的環境，即便未搭配頂點著色器，也可以搭建出許多立即可見的驚人效果，對於認識GLSL及著色器而言，是不錯的資源。</p> <p><span style="font-size:28px;"><strong>著色器開發工具？</strong></span></p> <p>就WebGL而言，著色器要撰寫在哪？著色器程式碼會作為字串透過WebGL相關的API送進GPU，基本上，寫在JavaScript字串中也可以，當然，在字串中寫程式碼很麻煩；另一方式是寫在<script type="x-shader></script>之間，type只是個自訂型態，因此只要取得DOM的textContent，就可以取得程式碼；開發者也可以寫在獨立的文字檔中，透過XMLHttpRequest、Fetch API之類取得。</p> <p>如果使用Visual Studio Code，相對來說，有不少著色器延伸模組。例如，Shader languages support for VS Code可以支援語法醒目提示（若是HLSL還可以有函式自動補完、簡易文件說明等），glsl-canvas以方才提到的glslCanvas為基礎做了改進，可以在片段著色器撰寫時即時預覽，另外，還有Shader Toy等模組，相對來說，在著色器工具的支援是比較熱絡而多樣化的。</p> <p>開發者可能會想，有除錯器嗎？呃！就結論來說，沒有通用的除錯器！因為平行地執行著色器來處理頂點及像素，導致在CPU上運行除錯器的傳統概念行不通；有種說法是，寫出正確的著色器程式就可以減少除錯的機會（<a href="https://bit.ly/2HHJtiD">https://bit.ly/2HHJtiD</a>），另一種說法是，在著色器領域沒有太多要除錯的（<a href="https://bit.ly/2HTufGo">https://bit.ly/2HTufGo</a>）。</p> <p>這聽來有點可笑，不過，著色器的確會平行地處理頂點、像素，而這讓人聯想到函數式設計，在這類典範中，著重個別函式的功能簡單而正確，從而組合出正確的程式。雖然著色器程式沒有通用的除錯器，也不能列印值，然而，不少文件都建議，可以輸出不同顏色來代表各種預期狀況，例如，在單元測試個別函式時派上用場，而這也表示，著色器的流程應分解為逐個小任務，才能使用這種方式。</p> <p>如果真的難以除錯，可試著將任務移至JavaScript實現，利用它的除錯器驗證邏輯是否正確；當然，最後的任務是繪製，麻煩的是沒呈現出預期畫面，特別是在處理動畫，瀏覽器上有些外掛，像是Chrome上有WebGL Insight，可以捕捉、控制影格，並顯示函式的呼叫過程。</p> <p><span style="font-size:28px;"><strong>著色器導向典範</strong></span></p> <p>如果對前端與JavaScript有一定的熟悉度，WebGL在JavaScript API方面沒什麼難處，基本上就是按表操課。對我來說，後來反而是著色器語言這方面吸引了我。因為，一開始只覺得，它有個獨特的風味，後來慢慢玩轉了一段時間，發現真正的價值之一，是在於著色器語言的掌握，例如，以向量、矩陣等的運用來思考運算。</p> <p>另一個價值在於，雖然GLSL語言本身是基於命令式的C語言，而非函數式風格，然而，獨立、無狀態地處理頂點、像素這方面，還是隱含著函數式、平行處理的典範，而如何設計出一個通用的演算，適用於全部像素，然而又能組合出複雜的圖樣，也是滿新奇的概念，因此，這會是個挑戰，然而也會是樂趣之所在！</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/glsl%E8%AA%9E%E8%A8%80">GLSL語言</a></div><div class="field-item odd"><a href="/tags/%E8%91%97%E8%89%B2%E5%99%A8%E8%AA%9E%E8%A8%80">著色器語言</a></div></div></div>
2019/5/4 10:00作者林信良https://www.ithome.com.tw/voice/130051
雲端儲存陣列
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/918-27-feng_mian_gu_shi_-1_open-960x420_0.jpg?itok=vlMLpFxO" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將企業級儲存陣列的軟體平臺，移植到公有雲而成的雲端儲存陣列，兼具了老牌儲存陣列的成熟與豐富功能，以及公有雲服務的便利性與彈性，以NetApp為首，包括Dell EMC、HPE與Pure Storage在內的一線大廠都投入了這個領域，迅速形成了一個嶄新的儲存產品類型</p> </div></div></div>
2019/5/4 09:00未署名https://www.ithome.com.tw/article/130300
思科修補Nexus 9000網路交換器重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周四（5月2日）美國網路設備大廠思科發佈網路交換器產品Nexus 9000一項可導致駭客長驅直入的<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190501-nexus9k-sshkey" target="_blank">重大漏洞</a>。</p> <p>漏洞出現在Cisco Nexus 9000 Series網路交換器的應用中心基礎架構（application centric infrastructure，ACI）Mode軟體當中的SSH 金鑰管理元件。代號為CVE-2019-1804的漏洞，可導致遠端未授權的攻擊者，以系統管理員權限連上系統。</p> <p>思科指出，本漏洞來自於SSH加密公、私鑰以預設狀態被誤放於裝置上，讓攻擊者得以透過IPv6開啟SSH連線連結目標裝置，並以系統管理員權限存取系統，可用於植入惡意程式、刪改資料或竊密。本漏洞被列為9.8的重大（Critical）風險漏洞。</p> <p>不過思科表示攻擊行動僅能通過IPv6通訊協定，無法經由IPv4發生。</p> <p>受影響產品為執行Cisco NX-OS Software軟體14.1（1i）版本以前的Nexus 9000系列。思科已經針對本漏洞發布修補程式，並表示本漏洞沒有權宜性的解決方案，呼籲用戶儘早更新。</p> <p>本產品同時間還出現一個編號<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190501-nexus9k-rpe" target="_blank">CVE-2019-1803</a>的高（High）風險權限升級漏洞，也一併為思科修補。</p> <p>此外，思科周三（5月1日）還修補了發生在Adaptive Security、Firepower Threat Defense Software、Web Security Appliance等產品的<a href="https://tools.cisco.com/security/center/publicationListing.x?product=Cisco&sort=-day_sir#~Vulnerabilities" target="_blank">40多項高風險漏洞</a>。</p> </div></div></div>
2019/5/3 16:15作者林妍溱https://www.ithome.com.tw/news/130397
Mozilla即將封鎖含有混淆程式碼的附加元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2019/05/02/add-on-policy-and-process-updates/" target="_blank">Mozilla更新了Firefox的附加程式政策</a>，<a href="https://developer.mozilla.org/en-US/docs/Mozilla/Add-ons/AMO/Policy/Reviews-2019-05" target="_blank">將拒絕及封鎖含有混淆程式碼的附加元件</a>，亦宣布未來將更加主動地封鎖違反政策的附加元件，新政策預計於今年6月10日上線。</p> <p>程式碼混淆（Obfuscation）技術指的是故意建立讓人們難以理解的程式碼，可能是利用不必要的迂迴表達來編寫語句，藉以隱藏程式目的或防止竄改；被混淆之後的程式碼也許改善了安全性，卻也提高除錯門檻。</p> <p>Mozilla附加程式社群經理Caitlin Neiman表示，從今年6月10日起，Mozilla將不再接受含有混淆程式碼的附加程式，但只要包含了原始碼，依然允許採用壓縮、串連或其它機器產生的程式碼。如果既有的附加程式採用了混淆程式碼，開發人員最好在6月10日以前更新它，否則就會被拒絕或封鎖。</p> <p>Neiman也闡明了Mozilla的封鎖程序，指出將會更主動地封鎖違反政策的附加程式，包括那些故意違反政策、含有重大安全漏洞、侵犯使用者隱私或規避使用者控制或同意權的附加程式。</p> <p>所謂的封鎖是直接關閉使用者於Firefox中所安裝的附加程式，但它分為軟封鎖及硬封鎖兩種等級，前者適用於情節輕微者，就算被關閉了依然允許使用者重新啟用，後者則適用於情節重大的對象，將禁止使用者啟用該附加程式。</p> </div></div></div>
2019/5/3 16:30作者陳曉莉https://www.ithome.com.tw/news/130398
Container周報第99期：PKS1.4來了，VMware更深度整合K8s
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4/15~5/1一定要看的容器新聞精選</p> <h3><strong><span style="color:#FF8C00;">#VMware、#Pivotal</span><br /> 虛擬化龍頭VMware深化Kubernetes整合，PKS推出1.4新版</strong></h3> <p>近日VMware和Pivotal聯手打造的容器服務PKS釋出了1.4新版，支援Kubernetes 1.13版，另外也可支援VMware NSX-T網路虛擬化軟體，意味著可以讓Kubernetes和NSX網路虛擬化架構有更深度的整合。新版本可以提供更精細的權限控制，例如訂定POD安全政策、預先指定多租戶的DNS、另外也可透過VMware vRealize自動化框架來自動配置Kubernetes叢集。這代表了PKS在1.4版和VMware產品有更深的整合。另外，VMware也推出了一些測試工具試用版，例如Kubernetes自動安裝精靈測試版，可以提供簡單的快速部署設定，來加快Kubernetes的部署作業。VMware透露，目前已有150家PKS用戶。VMware也同步展示了下一個PKS版本測試版，可以支援在Windows Server上執行的Kubernetes。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_PKS_1_4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_VMware.jpg" /></p> <h3><strong><span style="color:#FFA500;">#邊緣運算、#Rancher Labs、#K3OS</span><br /> 進軍邊緣運算市場，Rancher Labs釋出K8s叢集專用的Linux作業系統K3OS</strong></h3> <p>Rancher Labs推出Linux發行版開源專案K3OS，內建了一個只有40MB大小的Kubernetes輕量版，具備所有運作Kubernetes需要的資源，但是移除了Kubernetes原始版本中老舊以及Alpha測試功能，執行後使用的記憶體量，只有原始版本的四分之一，特別適合用在物聯網、邊緣應用或是ARM等裝置。Rancher Labs也移除了像是systemd以及套件管理器等init系統，而這將能最大程度的縮小系統可攻擊面，藉以提高安全性。另外，K3OS使用了Ubuntu核心以保證其受到完整的更新支援，並且還使用了輕量級Alpine Linux發行版的工具和封裝技術。Rancher Labs試圖打造出一套完整可用於邊緣運算的技術，K3OS與K3s是其中一環，能在邊緣裝置中部署Kubernetes叢集，而他們的容器管理軟體Rancher，則能用來控制數萬個K3OS節點與K3s叢集。</p> <h3><strong><span style="color:#FFA500;">#容器安全、#Docker Hub</span><br /> 小心不明映像檔，Docker Hub遭入侵，外洩19萬名用戶憑證</strong></h3> <p>容器安全再度拉警報，最近Docker坦言，Docker容器映像檔的官方儲存庫Docker Hub在4月25日遭到駭客入侵，駭客可能存取了19萬名用戶的憑證資料。這也意味著，這19萬名用戶所建立的Docker容器，可能遭駭客污染或竄改，例如植入了可疑的程式碼。<br /> 根據調查，駭客是未經授權進入了一個Docker Hub的資料庫，該資料庫存放了19萬名用戶的憑證資料，包括使用者名稱與雜湊密碼，以及Docker autobuilds用來連結GitHub與Bitbucket的令牌。儘管該資料庫並未存放用戶的金融資料，且19萬個帳號不到Docker Hub用戶數的5%，但Docker已緊急要求用戶變更Docker Hub密碼及其它採用同樣密碼的帳號。目前Docker仍在調查此事，尚未釐清駭客的入侵管道。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_DockerHub%E9%81%AD%E9%A7%AD.jpg" /></p> <h3><strong><span style="color:#FFA500;">#作業系統、#Ubuntu</span><br /> Ubuntu 19.04出爐！內建最新版Kubernetes 1.14</strong></h3> <p>Canonical宣布釋出最新的Ubuntu作業系統19.04（Disco Dingo），使用Linux 5.0核心，但是增加了Nvidia GPU驅動程式自動安裝機制，並且使用最新版本的GNOME 3.32。不過這個版本並非長期支援版本，支援只到2020年1月，要用於建構生產系統仍建議使用長期支援版本Ubuntu 18.04，其支援時間到2023年4月。Ubuntu 19.04添加了豐富的開發工具，除了最近微軟的Visual Studio Code被打包成Snap可以使用外，還支援到Ruby 2.5.5、PHP 7.2.15、Python 3.7.3，而Go語言則支援到1.10.4，還有OpenJDK 11以及Rust 1.31等。而且還可以在CI/CD、測試和各階段，以相同的Snap安裝多個實例，也就是說，可以同時安裝兩個不同版本的同一資料庫，或是兩個版本的Go編譯器。在Ubuntu伺服器版本上，則支援了剛發布的OpenStack版本Stein，而容器管理系統Kubernetes則支援1.14。</p> <h3><strong><span style="color:#FFA500;">#Serverless、#Cloud Run</span><br /> GCP無伺服器產品大更新，新推出容器託管服務Cloud Run</strong></h3> <p>GCP在四月中一口氣推出了多項Serverless無伺服器產品和服務，將無伺服器產品和容器產品線有更多的整合。包括了Cloud Run託管服務，另外推出了GKE上的託管版本。Cloud Run可將無態的容器應用，部署到Cloud Run上自動變成雲端Serverless無伺服器服務，可支援任何語言，但僅支援單一核心vCPU和最多1GB記憶體，自動採用HTTPS，不支援VPC。另外，GCP還開源釋出FaaS框架Functions Framework。可將Node.js程式部署於Google Cloud Functions、本地端開發環境、Cloud Run或任何Knative環境中，等於可打造出一個通吃多雲混合雲架構的無伺服器架構（共同API），來強化既有Cloud Functions無伺服器服務。</p> <h3><strong><span style="color:#FFA500;">#邊緣運算、#AutoML</span><br /> GCP的AutoML推出第一個邊緣運算服務，也支援容器部署</strong></h3> <p>GCP在去年推出了只需上傳資料和標記，不用資料科學家也能快速建立客製化機器學習模型的AutoML，引起了企業高度興趣，其中又以AutoML Vision影像自動建模服務最受青睞，臺灣也有企業開始試用。最近GCP進一步推出第一個AutoML邊緣運算版本AutoML Vision Edge，可以將自動訓練好的客製化機器學習模型，匯出成可以在本地端裝置執行的版本，讓企業在邊緣設備中部署AutoML Vision模型，進行即時處理。目前可以自動匯出Android或iOS裝置的部署包，更可以匯出成容器映像檔，讓企業部署到任何可以執行容器的環境中。GCP也開始用容器將雲端AI技術，延伸到本地邊緣運算環境中了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_AutoML%E8%A8%93%E7%B7%B4%E5%9C%96%E7%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" /></p> <h3><strong><span style="color:#FFA500;">#雲端容器、#GKE</span><br /> Google推出GKE進階版，強化安全以及可靠性功能</strong></h3> <p>Google的雲端託管Kubernetes服務Google Kubernetes Engine（GKE）現在提供兩種版本，除了原本的GKE Standard之外，還多了GKE Advanced，比起原有的GKE服務多了企業級的控制以及自動化功能，原本的GKE服務改名為GKE Standard。GKE Advanced提供基礎設施自動化功能，Google提到，由於手動擴展Kubernetes叢集，不只程序繁雜，還可能有可靠性與可用性的問題。<br /> 另外，GKE Advanced加入兩個新功能Vertical Pod Autoscaler（VPA）以及Node Auto Provisioning，簡化用戶管理Kubernetes叢集的工作，VPA可以用來監控部署資源的使用狀況，並調整所需的CPU和RAM，以穩定地執行工作負載，而Node Auto Provisioning則應用加強版Cluster Autoscaling最佳化叢集資源。</p> <p><strong>責任編輯／王宏仁</strong></p> <p><strong><span style="color:#0000FF;">更多Container動態</span></strong></p> <ul><li>Azure Functions現支援PowerShell以自動執行無伺服器任務。</li> <li>Apache軟體基金會專案全面改用GitHub。</li> </ul><p> ＠資料來源：iThome整理，2019年5月</p> </div></div></div>
2019/5/3 16:42作者王宏仁https://www.ithome.com.tw/news/130399
為了讓Alexa聽懂用戶的複雜指令，AWS用新方法開發語義分析器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p>「Alexa，關燈並播放音樂。」當語音助理接收到複雜的行為指令時，該怎麼處理？<a href="https://developer.amazon.com/blogs/alexa/post/ce2e3e1c-5f21-4c53-b274-59de34cd4015/alexa-turn-down-the-lights-and-play-music-the-science-of-handling-compound-requests">AWS最近整合了遷移學習和複製機制（copying mechanism），建置能夠聽懂多個意圖指令的語義分析器</a>。</p> <p>傳統上來說，Alexa會根據意圖和slot來解讀用戶請求，舉例來說，若用戶說「Alexa，播放Marvin Gaye的What’s Going On？」，該請求的意圖是播放音樂，而歌曲名和歌手名字會填補slot的資訊，不過，這樣簡單的機制並無法處理含有多個意圖的指令，像是「Alexa，新增花生醬和牛奶到購物清單，並且播放音樂」，要處理像這樣的指令，需要一個能夠分析句子結構和內容的語義分析器。</p> <p>不過，利用機器學習建置語義分析器是相當困難的，因為訓練資料必須要有複雜的標記，為了解決這項問題，AWS整合了遷移學習和複製機制兩項技術，遷移學習可以減少建置機器學習模型所需的資料量，將現有模型的知識轉移到新模型中，而複製機制則是可以讓模型處理從未見過的字詞，像是特定的歌手名字，這項機制在訓練資料稀疏的情況下是相當重要的。</p> <p>AWS在兩項任務中測試該語義分析器，分別是自然語言理解和問題回答，在自然語言理解相關的測試中，AWS發現只有複製機制，就能將整體模型的平均正確率提升61%，而加上遷移學習能夠再提升6.4%，而在問題回答的任務中，AWS使用了兩個包含自由格式問題的公開資料集，測試結果顯示遷移學習將模型的表現提升了10.8%。</p> </div></div></div>
2019/5/3 15:20作者何維涓https://www.ithome.com.tw/news/130391
Google解散蜻蜓專案，終止中國版搜尋引擎計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google母公司Alphabet在4月30日提交給美國證券交易委員會（SEC）的<a href="https://www.sec.gov/Archives/edgar/data/1652044/000130817919000205/lgoog2019_def14a.htm" target="_blank">DEF 14A文件</a>中指出，Google已經不再開發與中國版搜尋引擎有關的蜻蜓專案（Dragonfly），且此一專案的團隊成員也已經被移到其它專案了。</p> <p>《The Intercept》在去年8月踢爆Google正秘密展開蜻蜓專案，打造符合中國內容審查政策的搜尋引擎版本，報導一出即有上千名Google員工<a href="https://www.ithome.com.tw/news/125316" target="_blank">連署抗議該專案</a>，繼之有十多個人權組織<a href="https://www.ithome.com.tw/news/125558" target="_blank">要求Google終止開發蜻蜓專案</a>，甚至連美國副總統彭斯（Mike Pence）都<a href="https://www.ithome.com.tw/news/126288" target="_blank">公開向Google喊話</a>。在排山倒海而來的反對聲浪之後，去年底其實已經傳出蜻蜓專案<a href="https://www.ithome.com.tw/news/127742" target="_blank">接近停擺</a>的消息。</p> <p>DEF 14A文件為Alphabet在股東會之前提供給股東的委託書，主要用來揭露企業的各項資訊，包括董事會名單、高階主管的薪資與紅利，以及待投票事項等，而Google對蜻蜓專案的說明，則現身於待投票的提議中。</p> <p>Alphabet的股東擔心Google替中國開發過濾版的搜尋引擎，將助長中國的網路審查政策，可能會帶來法律、聲譽及財務上的風險，因而要求Alphabet提供蜻蜓專案的人權影響評估報告，具體檢驗該專案的風險成本。Google則說，蜻蜓專案已經停擺，因此沒必要再進行相關的評估。</p> <p>Google解釋，該公司對於在中國或其它國家提供服務一直抱持著開放的態度，曾考慮各種可於中國提供服務的選項，包括Google翻譯在內；儘管Google愈來愈了解中國市場與當地使用者的需求，但仍存在許多未知，現階段並沒有於中國推出搜尋服務的計畫，且已中止蜻蜓專案，該專案的團隊成員也都被挪到其它專案了。</p> <p>Google亦強調，在該公司推出任何新搜尋服務之前，都會進行應有的人權調查，諮詢人權組織Global Network Initiative（GNI）夥伴或其它關鍵人士的看法，並仔細考慮他們的意見，Google致力於保持負責的決策過程、尊重用戶的基本權力，也將在全球貫徹同樣的使命，未來倘若Google打算重啟蜻蜓專案，將會光明正大地進行並廣納意見。</p> </div></div></div>
2019/5/3 15:30作者陳曉莉https://www.ithome.com.tw/news/130394
微軟Azure推出多項AI新服務，簡化機器學習模型建置過程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><style type="text/css"> <![CDATA[/* ><!]]>*/ </style></p> <p><a href="https://blogs.microsoft.com/blog/2019/05/02/new-intelligent-cloud-and-intelligent-edge-advancements-ushering-in-the-next-era-of-computing/">微軟宣布推出幾項新的AI服務和更新</a>，來簡化開發者在Azure平臺上，大規模地打造AI應用的建置、訓練和部署過程，包含新的自動化機器學習增強服務、直覺化的使用者介面，以及全新的視覺化ML介面，提供開發者不需要寫程式碼，用拖拉的方式就能創建和部署ML模型，此外，一系列MLOps的功能，也整合至Azure DevOps服務中，提供開發工具包使開發者設計AI模型更方便。</p> <p>而Azure認知服務方面，也推出了新的類別Decision，提供用戶特定的建議，來協助制定決策，微軟還利用強化學習打造Personalizer服務，另外，微軟也將AI技術用在Azure Search，利用已經正式推出的認知搜尋功能，讓用戶透過認知服務演算法，在結構化和非結構化的內容中，找出新的洞察。</p> </div></div></div>
2019/5/3 15:45作者何維涓https://www.ithome.com.tw/news/130392
2019年4月十大資安新聞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>傳統的防護機制，不少可能已經過時不再適用，這一個月來也出現了兩起這樣的例子，成為本月份的一大焦點。像是近期微軟開始計畫要將定期更改密碼的機制取消，Google也打算解決SMTP所帶來的郵件安全問題，發展MTA-STS與SMTP TLS兩種技術。</p> <p>在資安事件方面，本月最受注目當屬Docker Hub遭入侵，以及Apache HTTP Server的漏洞修補，若不即時因應將對企業造成極大的影響。</p> <p>在國內的資安政策上，自從華為5G議題開始延燒，去年底也就傳出政府要更進一步商討國內政府機關安全產品採購的議題，終於行政院在4月中給出明確的答案，通過相關行政命令。</p> <p>另外，假消息的議題持續受到熱烈討論，特別是4月初V-Dem資料庫的結果公布，雖然這只是一項研究計畫，但值得全臺灣民眾關注，畢竟從這項全球性的調查而言，許多別的國家民眾看到境外假消息攻擊的項目，大多都覺得自己國家的嚴重程度沒那麼高。</p> <h2><strong><span style="color:#B22222;">01.</span><a href="https://www.ithome.com.tw/news/130226">不必再定期改密碼了！Windows 桌機及Server版可望拿掉密碼過期政策</a></strong></h2> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/01__Microsoft%20Dropping%20the%20password%20expiration%20policies.jpg" style="width: 400px;" /></p> <h2><strong><span style="color:#B22222;">02.</span><a href="https://www.ithome.com.tw/news/129925">SMTP不夠安全，Gmail開始採用MTA-STS標準以驗證連線</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/129925"><img alt="" src="https://s4.itho.me/sites/default/files/images/02_refine_fireshot_capture_261_-_google_online_security_blog_gmail_making_email_more_secure_with_mta-_-_securitygoogleblogcom.png" style="width: 400px;" /></a></strong></p> <h2><strong><span style="color:#B22222;">03.</span><a href="https://www.ithome.com.tw/news/130275">Docker Hub遭入侵，外洩19萬名用戶憑證</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/130275"><img alt="" src="https://s4.itho.me/sites/default/files/images/03_0429-dockerhacked.png" style="width: 400px;" /></a></strong></p> <h2><strong><span style="color:#B22222;">04.</span><a href="https://www.ithome.com.tw/news/129802">十多個Apache HTTP Server版本含有嚴重的權限擴張漏洞</a></strong></h2> <p><a href="https://www.ithome.com.tw/news/129802"><img alt="" src="https://s4.itho.me/sites/default/files/images/04_0406-apache-960.png" style="width: 400px;" /></a></p> <h2><strong><span style="color:#B22222;">05.</span><a href="https://www.ithome.com.tw/news/130155">行政院公布危害資通安全產品使用原則，3個月內將公布禁用產品清單</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/130155"><img alt="" src="https://s4.itho.me/sites/default/files/images/05_960-xing_zheng_yuan_hong_zheng_wei_she__0.jpg" style="width: 400px;" /></a></strong></p> <h2><strong><span style="color:#B22222;">06.</span><a href="https://www.ithome.com.tw/news/129682">Google工程師揭露TP-Link路由器含有可執行任何命令的安全漏洞</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/129682"><img alt="" src="https://s4.itho.me/sites/default/files/images/06_0401-tplink-960.png" style="width: 400px;" /></a></strong></p> <h2><strong><span style="color:#B22222;">07.</span><a href="https://www.ithome.com.tw/news/129684">研究人員：HTTPS不如你想的安全，5.5%含有TLS漏洞</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/129684"><img alt="" src="https://s4.itho.me/sites/default/files/images/07_0401-https-960.png" style="width: 400px;" /></a></strong></p> <h2><strong><span style="color:#B22222;">08.</span><a href="https://www.ithome.com.tw/news/129922">臺灣是連續六年受假消息攻擊最嚴重的國家</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/129922"><img alt="" src="https://s4.itho.me/sites/default/files/images/08_zhu_tu_jia_xiao_xi_v-demv9_2018tai_wan_.jpg" style="width: 400px;" /></a></strong></p> <h2><strong><span style="color:#B22222;">09.</span><a href="https://www.ithome.com.tw/news/129819">駭客濫用Google平臺鎖定路由器展開DNS重導攻擊</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/129819"><img alt="" src="https://s4.itho.me/sites/default/files/images/09_0408-dns-ars_technica-960.png" style="width: 400px;" /></a></strong></p> <h2><strong><span style="color:#B22222;">10.</span><a href="https://www.ithome.com.tw/news/130079">Broadcom Wi-Fi晶片組驅動程式含多種安全漏洞</a></strong></h2> <p><strong><a href="https://www.ithome.com.tw/news/130079"><img alt="" src="https://s4.itho.me/sites/default/files/images/10_0418-broadcom.png" style="width: 400px;" /></a></strong></p> </div></div></div>
2019/5/3 12:07作者羅正漢https://www.ithome.com.tw/news/130390
日本樂天銀行來臺分享18年網銀經驗，怎麼在資安和行銷用AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樂天銀行在日本已經有18年純網銀經驗，累積開戶人數超過720萬戶，從電商、信用卡、旅遊服務到電子書，全球生態圈更可串聯約1.8億的使用者。樂天國際商業銀行預定總經理佐伯和彥特別來臺分享，面對如此龐大的資料流動與資訊來源，樂天如何運用AI與大數據分析，成為日本客戶滿意度最高、資訊最安全的純網銀。</p> <p>「先蒐集顧客的大數據資料，透過AI分析，可以獲得影響顧客／犯罪者行為的關鍵因素（Insight）。」佐伯和彥表示，相比樂天銀行剛成立時，現在的網速、CPU速度、記憶體更大也更快，電腦能更快地處理資料，讓AI能更準確地推測客戶想法、洞察犯罪者留下的線索。</p> <p>樂天銀行主要將AI應用於兩個層面，一是防範金融犯罪（Anti Financial Crime），二是應用於市場行銷（Marketing）。</p> <h3><span style="color:#FFA500;">如何靠AI防範金融犯罪，但更重要的是全產業、跨領域人才通力合作</span></h3> <p>在防範金融犯罪的方面，佐伯和彥表示，要靠「AML+ACC+ECR」來達成。他解釋，銀行一開始聚焦在反洗錢（Anti Money Laundering），但隨著網路帶來的服務增加，現在更加重視網路犯罪的防範（Anti Cyber Crime）。除此之外，樂天也要增進與顧客的關係（Enhanced Customer Relationship），不只防範駭客對銀行的直接攻擊，更要保護顧客個人帳戶的財產不被詐騙。</p> <p>佐伯和彥提出一個觀念：「一定要預設顧客電腦已被植入惡意軟體，才能做好資安防護。」他解釋，現在的網路犯罪，任何帳戶都可能遭駭變成發動DDoS攻擊的殭屍電腦，進而對銀行的主伺服器或行員電腦進行攻擊；近年更出現了瀏覽器中間人攻擊（Man-in-the-Browser, MITB），犯罪者利用金融機構傳送網頁給用戶的過程，從中竄改網頁或盜取帳密使用戶受害。兩者均說明，「資安防護必須將客戶端的裝置安全性也納入考量。」</p> <p>因此，為了強化純網銀的資安，樂天引進AI來偵測異常的網路行為。佐伯和彥表示，樂天彙整了大量顧客行動、犯罪者行為資料，甚至是網路交易進行的時刻、授權裝置位置等各種資訊，來訓練AI模型，能透過不同條件組合來追蹤異常的帳戶活動。例如，某個一直以來都進行小額存款的帳戶，突然在24小時內錢被全部提出來，又或是某帳戶在20分鐘內，出現相隔遙遠的異地提款紀錄等都可能是犯罪者幕後操作的可疑行為。</p> <p>佐伯和彥也提醒，落實資安防治要有三項認知，第一，不論是任何電腦、行動裝置、App、社交平臺都有網路犯罪的可能；第二，必須仰賴產業整體合作才能防範網路犯罪，若有一家銀行受到駭客攻擊，就得要通報所有銀行加強防護，要資訊流通且共享；第三，網路犯罪偵測就像貓抓老鼠的遊戲，凡是出現了一個威脅，就要不厭其煩地把它抓出來消滅掉，不能心存僥倖。另外，他也提醒，網路犯罪行為日趨複雜，「並非只靠工程師獨自面對，而得由各種專業人才通力合作，才能將所有弱點或問題逐一瓦解。」佐伯和彥一再強調團隊合作的重要。</p> <h3><span style="color:#FFA500;">樂天又如何靠AI投放個人化廣告</span></h3> <p>日本樂天銀行不只在資安上借重AI，也在行銷上大用AI。樂天串聯許多類型服務，從電商、信用卡、保險、旅遊服務到電子書都有涉獵，但要如何讓消費者買單？佐伯和彥透露，樂天靠AI進一步推測顧客需求，來進行個人化的廣告推薦與投放。</p> <p>當顧客申請開戶並進行消費，樂天就能取得用戶的基本資料與消費紀錄，接著透過這份真實資料，在網路上創造一個該用戶的數位分身，稱為CDNA（Customer DNA）。佐伯和彥舉例，一位住在東京的30歲女子，生於1988年，喜歡吃甜食，通常在晚上使用手機上網，透過AI分析這名顧客的真實訊息，可以建立出她的數位分身：這名女性有80%機率在公司上班、75%已婚、97%沒養寵物等。</p> <p>透過顧客基本資料（Seed Data）以及CDNA的推測資訊（Findings from CDNA），樂天就能找到特定服務的潛在客戶（Prospective User），再以個人化的資訊推播提高成交量（Result），這是市場行銷要利用AI做到的事。佐伯和彥也以數據說明成效，廣告的點擊量增加了778.3%，內容播放數（Content Views）也增加356.2%，兩者均有顯著成長。</p> <p>樂天在臺灣的會員資料逐年增加，未來若取得純網銀執照，也能提供串聯生態系服務的個人化消費體驗。樂天電商2008年進入台灣，而後在2014年加入旅遊、信用卡服務，2016年開始提供電子書Kobo ebook、Rakuma行動市集App，其中信用卡申辦的年增率達到79%，已在臺發行超過50萬張。</p> </div></div></div>
2019/5/3 14:18作者翁芊儒https://www.ithome.com.tw/news/130383
鎖定SAP的惡意程式被公開，90萬家企業用戶曝險機率大增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球使用SAP ERP的企業用戶要注意了，安全廠商<a href="https://www.onapsis.com/10kblaze" target="_blank">發現</a>一隻鎖定SAP平台的惡意程式近日被公開，將導致全球100萬家SAP企業客戶中高達9成，陷入系統被駭客接管或刪改資料的風險。</p> <p>安全廠商Onapsis Research Labs近日發現，一隻瞄準SAP Gateway和Message Server的惡意程式10KBlaze被公開在網路論壇上。Gateway和Message Server都是SAP Netweaver中的元件，分別提供行動裝置及其他系統連接SAP系統，以及串聯Netweaver各元件和資料庫。10KBlaze主要是利用NetWeaver及S/4HANA一項<a href="https://www.ithome.com.tw/news/122772" target="_blank">已由</a><a href="http://www.ithome.com.tw/news/122772" target="_blank">SAP</a><a href="https://www.ithome.com.tw/news/122772" target="_blank">官方揭露的系統設定問題</a>而對企業帶來威脅。</p> <p>去年Onapsis發現，SAP NetWeaver Message Server軟體出貨時，存取控制表（Access Control List, ACL）預設為關閉，以方便系統安裝。然而關閉ACL意謂著，所有人都可以存取port 3900註冊app，包括外部攻擊者。事實上SAP早在14年前就三度發出警告，提醒企業用戶開啟ACL設定，以降低未授權存取的風險。安全公司估計有90萬家用戶仍使用不當的設定。</p> <p>研究人員指出，一旦SAP被植入10KBLAZE，遠端攻擊者即可以用它來新增具備管理員權限的用戶帳號，藉此存取或修改機密敏感的企業資料，或是取得資料庫完整存取權限、搞掛SAP系統或永久刪除重要資訊。</p> <p>安全公司指出，由於每個SAP系統都有Message Server和Gateway，因此所有使用NetWeaver Application Server及S/4HANA的系統都可能受影響，包括SAP Business Suite、ERP、SAP CRM、SCM、SAP SRM、S/4HANA、SAP Solution Manager、SAP GRC Process and Access Control、SAP Process Integration/Exchange Infrastructure (PI/XI)、SAP Solution Manager等等。</p> <p>由於波及範圍實在太大，安全公司已經把這隻程式的入侵偵測簽章開源給主要防火牆廠商如思科、FireEye及Palo Alto，而企業用戶也可以<a href="https://www.onapsis.com/10kblaze" target="_blank">將Snort rules實作於防火牆及入侵偵測系統</a>來防止入侵。</p> </div></div></div>
2019/5/3 14:40作者林妍溱https://www.ithome.com.tw/news/130393